华为交换机各种配置实例（2）

交换机配置（七）DHCP配置

1，交换机作DHCP Server
『配置环境参数』
1.      PC1、PC2的网卡均采用动态获取IP地址的方式
2.      PC1连接到交换机的以太网端口0/1，属于VLAN10；PC2连接到交换机的以太网端口0/2，属于VLAN20
3.      三层交换机SwitchA的VLAN接口10地址为10.1.1.1/24，VLAN接口20地址为10.1.2.1/24
『组网需求』
1.      PC1可以动态获取10.1.1.0/24网段地址，并且网关地址为10.1.1.1；PC2可以动态获取10.1.2.0/24网段地址，并且网关地址为10.1.2.1
『DHCP Server配置流程流程』
可以完成对直接连接到三层交换机的PC机分配IP地址，也可以对通过DHCP中继设备连接到三层交换机的PC机分配IP地址。
分配地址的方式可以采用接口方式，或者全局地址池方式。
【SwitchA采用接口方式分配地址相关配置】
1.        创建（进入）VLAN10
[SwitchA]vlan 10
2.        将E0/1加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1
3.        创建（进入）VLAN接口10
[SwitchA]interface Vlan-interface 10
4.        为VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0
5.        在VLAN接口10上选择接口方式分配IP地址
[SwitchA-Vlan-interface10]dhcp select interface
6.        禁止将PC机的网关地址分配给用户
[SwitchA]dhcp server forbidden-ip 10.1.1.1
【SwitchA采用全局地址池方式分配地址相关配置】
1.        创建（进入）VLAN10
[SwitchA]vlan 10
2.        将E0/1加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1
3.        创建（进入）VLAN接口10
[SwitchA]interface Vlan-interface 10
4.        为VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0
5.        在VLAN接口10上选择全局地址池方式分配IP地址
[SwitchA-Vlan-interface10]dhcp select global
6.        创建全局地址池，并命名为”vlan10”
[SwitchA]dhcp server ip-pool vlan10
7.        配置vlan10地址池给用户分配的地址范围以及用户的网关地址
[SwitchA-dhcp-vlan10]network 10.1.1.0 mask 255.255.255.0
[SwitchA-dhcp-vlan10]gateway-list 10.1.1.1
8.        禁止将PC机的网关地址分配给用户
[SwitchA]dhcp server forbidden-ip 10.1.1.1
【补充说明】
以上配置以VLAN10的为例，VLAN20的配置参照VLAN10的配置即可。在采用全局地址池方式时，需新建一个与”vlan10”不同名的全局地址池。
经过以上配置，可以完成为PC1分配的IP地址为10.1.1.0/24，同时PC1的网关地址为10.1.1.1；为PC2分配的IP地址为10.1.2.0/24，同时PC2的网关地址为10.1.2.1。
VLAN接口默认情况下以全局地址池方式进行地址分配，因此当VLAN接口配置了以全局地址池方式进行地址分配后，查看交换机当前配置时，在相应的VLAN接口下无法看到有关DHCP的配置。
利用全局地址池方式，可以完成为用户分配与三层交换机本身VLAN接口地址不同网段的IP地址。
2，DHCP Relay配置
『配置环境参数』
1.      DHCP Server的IP地址为192.168.0.10/24
2.      DHCP Server连接在交换机的G1/1端口，属于vlan100，网关即交换机vlan接口100的地址192.168.0.1/24
3.      E0/1-E0/10属于vlan10，网段地址10.10.1.1/24
4.      E0/11-E0/20属于vlan20，网段地址10.10.2.1/24
『组网需求』
1.      在SwitchA上配置DHCP Relay使下面用户动态获取指定的相应网段的IP地址
2.      PC1、PC2均可以ping通自己的网关，同时PC1、PC2之间可以互访
『交换机DHCP Relay配置流程』
DHCP Relay的作用则是为了适应客户端和服务器不在同一网段的情况，通过Relay，不同子网的用户可以到同一个DHCP Server申请IP地址，这样便于地址池的管理和维护。
【SwitchA相关配置】
1.        全局使能DHCP功能（缺省情况下，DHCP功能处于使能状态）
[SwitchA]dhcp enable
2.        创建（进入）VLAN100
[SwitchA]vlan 100
3.        将G1/1加入到VLAN100
[SwitchA-vlan100]port GigabitEthernet 1/1
4.        创建（进入）VLAN接口100
[SwitchA]interface Vlan-interface 100
5.        为VLAN接口100配置IP地址
[SwitchA-Vlan-interface100]ip address 192.168.0.1 255.255.255.0
6.        创建（进入）VLAN10
[SwitchA]vlan 10
7.        将E0/1-E0/10加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1 to Ethernet 0/10
8.        创建（进入）VLAN接口10
[SwitchA]interface Vlan-interface 10
9.        为VLAN接口10配置IP地址
[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.255.0
10.    使能VLAN接口10的DHCP中继功能
[SwitchA-Vlan-interface10]dhcp select relay
11.    为VLAN接口10配置DHCP服务器的地址
[SwitchA-Vlan-interface10]ip relay address 192.168.0.10
12.    创建（进入）VLAN20
[SwitchA-vlan10]vlan 20
13.    将E0/11-E0/20加入到VLAN20
[SwitchA-vlan20]port Ethernet 0/11 to Ethernet 0/20
14.    创建（进入）VLAN接口20
[SwitchA]interface Vlan-interface 20
15.    为VLAN接口20配置IP地址
[SwitchA-Vlan-interface20]ip address 10.10.2.1 255.255.255.0
16.    使能VLAN接口20的DHCP中继功能
[SwitchA-Vlan-interface20]dhcp select relay
17.    为VLAN接口20配置DHCP服务器的地址
[SwitchA-Vlan-interface20]ip relay address 192.168.0.10
【补充说明】
也可以在全局配置模式下，使能某个或某些VLAN接口上的DHCP中继功能，例如：[SwitchA]dhcp select relay interface Vlan-interface 10
3，DHCP Snooping
『配置环境参数』
1.      DHCP Server连接在交换机SwitchA的G1/1端口，属于vlan10，IP地址为10.10.1.253/24
2.      端口E0/1和E0/2同属于vlan10
『组网需求』
1.      PC1、PC2均可以从指定DHCP Server获取到IP地址
2.      防止其他非法的DHCP Server影响网络中的主机
『交换机DHCP-Snooping配置流程』
当交换机开启了DHCP-Snooping后，会对DHCP报文进行侦听，并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址。
【SwitchA相关配置】
1.        创建（进入）VLAN10
[SwitchA]vlan 10
2.        将端口E0/1、E0/2和G1/1加入到VLAN10
[SwitchA-vlan10]port Ethernet 0/1 Ethernet 0/2 GigabitEthernet 1/1
3.        全局使能dhcp-snooping功能
[SwitchA]dhcp-snooping
4.        将端口G1/1配置为trust端口，
[SwitchA-GigabitEthernet1/1]dhcp-snooping trust
【补充说明】
由于DHCP服务器提供给用户包含了服务器分配给用户的IP地址的报文�D�D”dhcp offer”报文，由G1/1端口进入SwitchA并进行转发，因此需要将端口G1/1配置为”trust”端口。如果SwitchA上行接口配置为Trunk端口，并且连接到DHCP中继设备，也需要将上行端口配置为”trust”端口。

交换机配置（八）配置文件管理

（1）文件常用操作
  1，命令 display current-configuration:查看以太网交换机的当前配置
  2，命令 display saved-configuration：查看以太网交换机的启动配置
  3，命令 reset saved-configuration：擦除Flash Memory中的配置文件，以太网交换机下次上电时，系统将采用缺省的配置参数进行初始化。
（2）FTP文件上传与下载
1. 组网需求
交换机作为FTP Server，远端的PC作为FTP Client。在FTP Server上作了如下配置：配置了一个FTP用户名为switch，密码为hello，对该用户授权了交换机上Flash根目录的读写权限。交换机上的一个VLAN接口的IP地址为1.1.1.1，PC的IP地址为2.2.2.2，交换机和PC之间路由可达。
交换机的应用程序switch.app保存在PC上。PC通过FTP向远端的交换机上传switch.app，同时将交换机的配置文件vrpcfg.txt下载到PC实现配置文件的备份。
2. 组网图（略）
3. 配置步骤
1) 交换机上的配置
# 用户登录到交换机上。（用户可以在本地通过Console口登录到交换机上，也可以通过telnet远程登录到交换机上。各种登录方式请参见入门模块的描述。）
# 在交换机上开启FTP服务，设置好用户名、密码和路径：
[Quidway] ftp server enable
[Quidway] local-user switch
[Quidway-luser-switch] service-type ftp ftp-directory flash:
[Quidway-luser-switch] password simple hello
2) 在PC上运行FTP Client程序，同交换机建立FTP连接，同时通过上载操作把交换机的应用程序switch.app上载到交换机的Flash根目录下，同时从交换机上下载配置文件vrpcfg.txt。FTP Client应用程序由用户自己购买、安装，Quidway系列交换机不附带此软件。
注意：如果交换机的Flash memory空间不够大，请删除Flash中原有的应用程序然后再上载新的应用程序到交换机Flash中。
3) 在上载完毕后，用户在交换机上进行升级操作。
# 用户可以通过命令boot boot-loader来指定下载的程序为下次启动时的应用程序，然后重启交换机，实现交换机应用程序的升级。
boot boot-loader switch.app
reboot
（3）TFTP文件上传与下载
1. 组网需求
交换机作为TFTP Client，PC作为TFTP Server，在TFTP Server上配置了TFTP的工作路径。交换机上的一个VLAN接口的IP地址为1.1.1.1，交换机和PC相连的端口属于该VLAN，PC的IP地址为1.1.1.2。
交换机的应用程序switch.app保存在PC上。交换机通过TFTP从TFTP Server上下载switch.app，同时将交换机的配置文件vrpcfg.txt上传到TFTP Server的工作目录实现配置文件的备份。
2. 组网图（略）
3. 配置步骤
1) 在PC上启动了TFTP Server，配置TFTP Server的工作目录。
2) 交换机上的配置
# 用户登录到交换机上。（用户可以在本地通过Console口登录到交换机上，也可以通过telnet远程登录到交换机上。各种登录方式请参见入门模块的描述。）
  注意：如果交换机的Flash memory空间不够大，请删除Flash中原有的应用程序然后再下载新的应用程序到交换机的Flash中。
# 进入系统视图。
system-view
[Quidway]
# 配置VLAN接口的IP地址为1.1.1.1，同时保证与PC相连的端口属于这个VLAN。（本例中以VLAN 1为例。）
[Quidway] interface vlan 1
[Quidway-vlan-interface1] ip address 1.1.1.1 255.255.255.0
[Quidway-vlan-interface1] quit
# 将交换机的应用程序switch.app从TFTP Server下载到交换机。
[Quidway] tftp  get //1.1.1.2/switch.app switch.app
# 将交换机的配置文件vrpcfg.txt上传到TFTP Server。
[Quidway] tftp put vrpcfg.txt //1.1.1.2/vrpcfg.txt
# 执行quit命令退回到用户视图下。
[Quidway] quit
# 用户可以通过命令boot boot-loader来指定下载的程序为下次启动时的应用程序，然后重启交换机，实现交换机应用程序的升级。
boot boot-loader switch.app
reboot

交换机配置（九）远程管理配置

1，WEB方式
『WEB方式远程管理交换机配置流程』
首先必备条件要保证PC可以与SwitchB通信，比如PC可以ping通SwitchB。
如果想通过WEB方式管理交换机，必须首先将一个用于支持WEB管理的文件载入交换机的flash中，该文件需要与交换机当前使用的软件版本相配套。WEB管理文件的扩展名为”tar”或者”zip”，可以从网站上下载相应的交换机软件版本时得到。
需要在交换机上添加WEB管理使用的用户名及密码，该用户的类型为telnet类型，而且权限为最高级别3。
注意，在将WEB管理文件载入交换机flash时，不要将文件进行解压缩，只需将完整的文件载入交换机即可(向交换机flash载入WEB管理文件的方法，请参考本配置实例中交换机的系统管理配置章节)。
【SwitchB相关配置】
1.查看交换机flash里面的文件(保证WEB管理文件已经在交换机flash中)
dir /all
Directory of flash:/
-rwxrwx 1 noone nogroup 442797 Apr 02 2000 13:09:50 wnm-xxx.zip
2.添加WEB管理的用户，用户类型为”telnet”，用户名为”huawei”，密码为”wnm”
[SwitchB]local-user huawei
[SwitchB-luser-huawei]service-type telnet level 3
[SwitchB-luser-huawei]password simple wnm
3.配置交换机管理地址
[SwitchB]interface vlan 100
[SwitchB-Vlan-interface100]ip addr 192.168.0.2 255.255.255.0
4.对HTTP访问用户的控制（Option）
[SwitchB]ip http acl acl_num/acl_name
相关学习帖：
[url]http://bbs.51cto.com/viewthread.php?tid=401882&fpage=1&highlight=web[/url]
2，TELNET方式
【TELNET密码验证配置】
只需输入password即可登陆交换机。
1.        进入用户界面视图
[SwitchA]user-interface vty 0 4
2.        设置认证方式为密码验证方式
[SwitchA-ui-vty0-4]authentication-mode password
3.        设置登陆验证的password为明文密码”huawei”
[SwitchA-ui-vty0-4]set authentication password simple huawei
4.        配置登陆用户的级别为最高级别3(缺省为级别1)
[SwitchA-ui-vty0-4]user privilege level 3
5.        或者在交换机上增加super password(缺省情况下，从VTY用户界面登录后的级别为1级，无法对设备进行配置操作。必须要将用户的权限设置为最高级别3，才可以进入系统视图并进行配置操作。低级别用户登陆交换机后，需输入super password改变自己的级别)例如，配置级别3用户的super password为明文密码”super3”
[SwitchA]super password level 3 simple super3
【TELNET本地用户名和密码验证配置】
需要输入username和password才可以登陆交换机。
1.        进入用户界面视图
[SwitchA]user-interface vty 0 4
2.        配置本地或远端用户名和口令认证
[SwitchA-ui-vty0-4]authentication-mode scheme
3.        配置本地TELNET用户，用户名为”huawei”，密码为”huawei”，权限为最高级别3(缺省为级别1)
[SwitchA]local-user huawei
[SwitchA-user-huawei]password simple huawei
[SwitchA-user-huawei]service-type telnet level 3
4.        在交换机上增加super password
[SwitchA]super password level 3 simple super3
 
【TELNET RADIUS验证配置】
以使用华为3Com公司开发的CAMS 作为RADIUS服务器为例
1.        进入用户界面视图
[SwitchA]user-interface vty 0 4
2.        配置远端用户名和口令认证
[SwitchA-ui-vty0-4]authentication-mode scheme
3.        配置RADIUS认证方案，名为”cams”
[SwitchA]radius scheme cams
4.        配置RADIUS认证服务器地址10.110.51.31
[SwitchA-radius-cams]primary authentication 10.110.51.31 1812
5.        配置交换机与认证服务器的验证口令为”huawei”
[SwitchA-radius-cams]key authentication huawei
6.        送往RADIUS的报文不带域名
[SwitchA-radius-cams]user-name-format without-domain
7.        创建（进入）一个域，名为”huawei”
[SwitchA]domain huawei
8.        在域”huawei”中引用名为”cams”的认证方案
[SwitchA-isp-huawei]radius-scheme cams
9.        将域”huawei”配置为缺省域
[SwitchA]domain default enable huawei
【TELNET访问控制配置】
1.        配置访问控制规则只允许10.1.1.0/24网段登录
[SwitchA]acl number 2000
[SwitchA-acl-basic-2000]rule deny source any
[SwitchA-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255
2.        配置只允许符合ACL2000的IP地址登录交换机
[SwitchA-ui-vty0-4]acl 2000 inbound
相关学习帖：
[url]http://bbs.51cto.com/viewthread.php?tid=349090&fpage=1&highlight=telnet[/url]
3，SSH方式
1. 组网需求
配置终端（SSH Client）与以太网交换机建立本地连接。终端采用SSH协议进行登录到交换机上，以保证数据信息交换的安全。
2. 组网图（略）
3. 配置步骤（SSH认证方式为口令认证）
[Quidway] rsa local-key-pair create
&  说明：如果此前已完成生成本地密钥对的配置，可以略过此项操作。
[Quidway] user-interface vty 0 4
[Quidway-ui-vty0-4] authentication-mode scheme
[Quidway-ui-vty0-4] protocol inbound ssh
[Quidway] local-user client001
[Quidway-luser-client001] password simple huawei
[Quidway-luser-client001] service-type ssh
[Quidway] ssh user client001 authentication-type password
SSH的认证超时时间、重试次数以及服务器密钥更新时间可以采取系统默认值，这些配置完成以后，您就可以在其它与以太网交换机连接的终端上，运行支持SSH1.5的客户端软件，以用户名client001，密码huawei，访问以太网交换机了。

交换机配置（十）STP配置

 『配置环境参数』
1. SwitchA选用华为-3com公司的高中端交换机，如S8500或者S6500系列交换机
2. SwitchB和SwitchC选用华为-3com公司的低端交换机，如S3500或者S3550系列交换机
3. SwitchD、SwitchE和SwitchF选用华为­-3com公司的低端交换机，如S3000或者S2000系列交换机
『组网需求』
1. 所有设备运行STP(Spanning Tree Protocol)生成树协议
2. 以SwitchB为根网桥，阻断网络中的环路，并能达到链路冗余备份的效果
『交换机STP配置流程』
通过改变交换机或者端口的STP优先级，从而达到手工指定网络中的根网桥，以及端口的STP角色，完成阻断环路及链路的冗余备份。
【SwitchB相关配置】
1.全局使能STP功能（缺省情况下，DHCP功能处于使能状态）
[SwitchB]stp enable
2.将SwtichB配置为树根(两种方法：将SwitchB的Bridge优先级设置为0，或者直接将SwitchB指定为树根，两种方法一个效果)
[SwitchB]stp priotity 0
[SwitchB]stp root primary
3.在各个指定端口上启动根保护功能(在此例中，SwtichB的所有端口都是制定端口)
[SwitchB]interface Ethernet 0/1
[SwitchB-Ethernet-0/1]stp root-protection
【SwitchC相关配置】
1.全局使能STP功能（缺省情况下，DHCP功能处于使能状态）
[SwitchB]stp enable
2.将SwtichC配置为备份树根(两种方法：将SwitcCB的Bridge优先级设置为4096，或者直接将SwitchC指定为备份树根，两种方法一个效果)
[SwitchB]stp priotity 4096
[SwitchB]stp root secondary
3.在指定端口上启动根保护功能(在此例中，SwtichC的端口0/1、0/2和0/3是指定端口)
[SwitchB]interface Ethernet 0/1
[SwitchB-Ethernet-0/1]stp root-protection
【其他Switch的相关配置】
将接PC机的端口stp功能关闭，或者配置为边缘端口，并使能BPDU保护功能
[SwitchD­-Ethernet0/4]stp disable
[SwitchD­-Ethernet0/5]stp edged-port enable
[SwitchD­]stp bpdu-protection
【补充说明】
配置了”bpdu-protection”以后，如果某个边缘端口收到BPDU报文，则该边缘端口将会被关闭，必须由手工进行恢复。
当端口上配置了”stp root-protection”以后，该端口的角色只能是指定端口，且一旦该端口上收到了优先级高的配置消息，则该端口的状态将被配置为侦听状态，不再转发报文，当在足够长的时间内没有收到更优的配置消息时，端口会恢复原来的正常状态。
 
 

交换机配置（十一）私有VLAN配置

『配置环境参数』
PC1的IP地址为10.1.1.1/24，PC2的IP地址为10.1.1.2/24，PC3的IP地址为10.1.1.3/24，服务器的IP地址为10.1.1.253/24；PC1、PC2和PC3分别连接到交换机的端口E0/1 、E0/2和 E0/3，端口分属于VLAN10、20和30，服务器连接到交换机的端口G2/1，属于VLAN100。
『交换机Isolate-user-VLAN完成端口隔离配置流程』
等同于原有命令行中的PVLAN，利用VLAN配置视图中，Isolate-user-VLAN命令(原有命令行中的Primary-VLAN)来完成。
『配置过程』
【SwitchA相关配置】
1.创建（进入）VLAN10，将E0/1加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/1
2.创建（进入）VLAN20，将E0/2加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/2
3.创建（进入）VLAN30，将E0/3加入到VLAN30
[SwitchA]vlan 30
[SwitchA-vlan30]port Ethernet 0/3
4.创建（进入）VLAN100，将G2/1加入到VLAN100
[SwitchA]vlan 100
[SwitchA-vlan100]port GigabitEthernet 2/1
5.将VLAN100配置为Isolate-user-VLAN
[SwitchA-vlan100]Isolate-user-VLAN enable
6.在系统视图模式下，配置Isolate-user-VLAN与各个secondary VLAN之间的映射关系
[SwitchA]isolate-user-vlan 100 secondary 10 20 30
【补充说明】
此功能配置主要用于对用户主机进行二层隔离。
在配置Isolate-user-VLAN与secondary VLAN之间的映射关系之前，Isolate-user-VLAN与secondary VLAN必须都包含物理端口。
配置了映射关系之后，不可以再对Isolate-user-VLAN或secondary VLAN进行端口增减的操作，必须先解除映射关系。

交换机配置（十二）端口trunk、hybrid应用配置

1，端口trunk应用
『配置环境参数』
1.PC1的IP地址为10.1.1.1/24，PC2的IP地址为10.1.1.2/24，PC3的IP地址为10.1.1.3/24，PC4的IP地址为10.1.1.4/24；
2.PC1和PC2分别连接到交换机SwitchA的端口E0/1和E0/2，端口分属于VLAN10和20；PC3和PC4分别连接在交换机SwitchB的端口E0/10和E0/20，端口分别属于VLAN10和20。
3.SwitchA通过端口G2/1，连接到SwitchB的端口G1/1；SwitchA的端口G2/1和SwitchB的端口G1/1均是Trunk端口，而且允许VLAN10和VLAN20通过。
『组网需求』
1.SwitchA与SwitchB之间相同VLAN的PC之间可以互访。
2.SwitchA与SwitchB之间不同VLAN的PC之间禁止互访。
『交换机Trunk端口配置流程』
利用将端口配置为Trunk端口来完成在不同交换机之间透传VLAN，达到属于相同VLAN的PC机，跨交换机进行二层访问；或者不同VLAN的PC机跨交换机进行三层访问的目的。
『配置过程』
【SwitchA相关配置】
1.创建（进入）VLAN10，将E0/1加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/1
 
2. 创建（进入）VLAN20，将E0/2加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/2
3.将端口G2/1配置为Trunk端口，并允许VLAN10和VLAN20通过
[SwitchA]interface GigabitEthernet 1/1
[SwitchA-GigabitEthernet1/1]port link-type trunk
[SwitchA-GigabitEthernet1/1]port trunk permit vlan 10 20
【SwitchB相关配置】
1.创建（进入）VLAN10，将E0/10加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/10
2.创建（进入）VLAN20，将E0/20加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/20
3.将端口G2/1配置为Trunk端口，并允许VLAN10和VLAN20通过
[SwitchA]interface GigabitEthernet 2/1
[SwitchA-GigabitEthernet2/1]port link-type trunk
[SwitchA-GigabitEthernet2/1]port trunk permit vlan 10 20
2，端口hybrid应用
『配置环境参数』
1.PC1、PC2和PC3分别连接到二层交换机SwitchA的端口E0/1 、E0/2和 E0/3，端口分属于VLAN10、20和30，服务器连接到端口G2/1，属于VLAN100。
2.PC1的IP地址为10.1.1.1/24，PC2的IP地址为10.1.1.2/24，PC3的IP地址为10.1.1.3/24，服务器的IP地址为10.1.1.254/24。
『组网需求』
1.PC1和PC2之间可以互访；
2.PC1和PC3之间可以互访；
3.PC1、PC2和PC3都可以访问服务器；
4.其余的PC间访问均禁止。
『交换机Hybrid端口配置流程』
利用Hybrid端口的特性�D�D一个端口可以属于多个不同的VLAN，来完成分属不同VLAN内的同网段PC机的访问需求。
『配置过程』
【SwitchA相关配置】
1.创建（进入）VLAN10，将E0/1加入到VLAN10
[SwitchA]vlan 10
[SwitchA-vlan10]port Ethernet 0/1
2.创建（进入）VLAN20，将E0/2加入到VLAN20
[SwitchA]vlan 20
[SwitchA-vlan20]port Ethernet 0/2
3.创建（进入）VLAN30，将E0/3加入到VLAN30
[SwitchA]vlan 30
[SwitchA-vlan30]port Ethernet 0/3
4.创建（进入）VLAN100，将G2/1加入到VLAN100
[SwitchA]vlan 100
[SwitchA-vlan100]port GigabitEthernet 2/1
5.配置端口E0/1为Hybrid端口，能够接收VLAN20、30和100发过来的报文
[SwitchA]interface Ethernet 0/1
[SwitchA-Ethernet0/1]port link-type hybrid
[SwitchA-Ethernet0/1]port hybrid vlan 20 30 100 untagged
6.配置端口E0/2为Hybrid端口，能够接收VLAN10和100发过来的报文
[SwitchA]interface Ethernet 0/2
[SwitchA-Ethernet0/2]port link-type hybrid
[SwitchA-Ethernet0/2]port hybrid vlan 10 100 untagged
7.配置端口E0/3为Hybrid端口，能够接收VLAN10和100发过来的报文
[SwitchA]interface Ethernet 0/3
[SwitchA-Ethernet0/3]port link-type hybrid
[SwitchA-Ethernet0/3]port hybrid vlan 10 100 untagged
8.配置端口G2/1为Hybrid端口，能够接收VLAN10、20和30发过来的报文
[SwitchA]interface GigabitEthernet 2/1
[SwitchA-GigabitEthernet2/1]port link-type hybrid
[SwitchA-GigabitEthernet2/1]port hybrid vlan 10 20 30 untagged
【补充说明】
对于Hybrid端口来说，可以同时属于多个VLAN。这些VLAN分别是该Hybrid端口的PVID，以及手工配置的”untagged”及”tagged”方式的VLAN。一定要注意对应端口的VLAN配置，保证报文能够被端口进行正常的收发处理。
此应用在二层网络中，对相同网段的主机进行访问权限的控制。
S系列交换机实现不同VLAN之间互访的配置
一、组网需求：
交换机配置了4个VLAN，分别为VLAN1，VLAN2，VLAN3，VLAN4，要求VLAN1可以与VLAN2，3，4互访，但是VLAN2，3，4之间不能互访，用Hybrid端口属性实现此功能。
二、组网图：
无
三、配置步骤：
1.      创建VLAN2
[Quidway]vlan 2
2.      创建VLAN3
[Quidway-vlan2]vlan 3
3.      创建VLAN4
[Quidway-vlan3]vlan 4
4.      进入端口Ethernet1/0/1
[Quidway-vlan4] interface Ethernet1/0/1
5.      将端口设置为hybrid模式
[Quidway-Ethernet1/0/1]port link-type hybrid
6.      设置端口pvid为1
[Quidway-Ethernet1/0/1]port hybrid pvid vlan 1
7.      允许VLAN1，2，3，4不打标签通过
[Quidway-Ethernet1/0/1]port hybrid vlan 1 to 4 untagged
8.      进入端口Ethernet1/0/2
[Quidway-Ethernet1/0/1]interface Ethernet1/0/2
9.      将端口设置为hybrid模式
[Quidway-Ethernet1/0/2]port link-type hybrid    
10.  设置端口pvid为2
[Quidway-Ethernet1/0/2]port hybrid pvid vlan 2
11.  允许VLAN1，2不打标签通过
[Quidway-Ethernet1/0/2]port hybrid vlan 1 to 2 untagged
12.  进入端口Ethernet1/0/3
[Quidway-Ethernet1/0/2]interface Ethernet1/0/3
13.  将端口设置为hybrid模式
[Quidway-Ethernet1/0/3]port link-type hybrid                     
14.  设置端口pvid为3
[Quidway-Ethernet1/0/3]port hybrid pvid vlan 3
15.  允许VLAN1，3不打标签通过
[Quidway-Ethernet1/0/3]port hybrid vlan 1 3 untagged
16.  进入端口Ethernet1/0/4
[Quidway-Ethernet1/0/3]interface Ethernet1/0/4
17.  将端口设置为hybrid模式                
[Quidway-Ethernet1/0/4]port link-type hybrid
18.  设置端口pvid为4
[Quidway-Ethernet1/0/4]port hybrid pvid vlan 4                   
19.  允许VLAN1，4不打标签通过
[Quidway-Ethernet1/0/4]port hybrid vlan 1 4 untagged   
四、配置关键点：
1. 利用交换机以太网端口的Hybrid特性，可以实现PVLAN的功能。
2. 采用Hybrid属性实现的PVLAN功能和PVLAN的工作机制存在较大差异，上述情况只适用于网络流量，网络用户较少的应用。