锐捷交换机常用操作命令AAA

《锐捷交换机常用操作命令AAA》由会员分享，可在线阅读，更多相关《锐捷交换机常用操作命令AAA（31页珍藏版）》请在装配图网上搜索。

1、一、交换机配置模式介绍 2二、交换机基本配置 22.1 接口介质类型配置32.2 接口速度/双工配置 32.3 VLAN 配置 42.4 端口镜像52.5 端口聚合62.6 交换机堆叠62.7 ACL 配置72.8 端口安全82.9 交换机防攻击配置102.10 DHCP 配置132.11 三层交换机配置14三、交换机常用查看命令 16、交换机配置模式介绍交换机配置模式主要有： 用户模式：此模式只可以简单的查看一些交换机的配置和一些简单的修改。 Switch特权模式：此模式可以查看一些交换机的配置，后面讲述的很多 show 命令便是在此模式下进 行的，还可以对一些简单的设置配置，例如时间。Sw

2、itch enable/在用户模式下输入 enable 将进入配置模式Switch全局配置模式：此模式下可以进行对交换机的配置，例如：命名、配置密码、设路由等。 Switchconfigure erminal /特权模式下可以通过 config terminal 命令进入配置模式 Switch(config)#端口配置模式：此模式下对端口进行配置，如配置端口 ip等。Switch(config)#interface gigabitEthernet 1/1 /配置模式下输入 interface gigabitEthernet 1/1进入到端口 g 1/1 接口模式。二、交换机基本配置交换机命名：

3、在项目实施的时候，建议为处于不同位置的交换机命名，便于记忆，可提高后 期管理效率。switch(config)#hostname ruijie /ruijie 为该交换机的名字交换机配置管理密码：配置密码可以提高交换机的安全性，另外， telnet 登录交换机的时候， 必须要求有 telnet 管理密码。switch (config)#enable secret level 1 0 rg/配己置 telnet 管理密码为 rg,其中1 表示 telnet 密码， 0 表示密码不加密switch (config)#enable secret level 15 0 rg/配置特权模式下的管理密码

4、rg,其中 15 表示为特权密码交换机配置管理 IPswitch (config)#interface vlan 1/假设管理 VLAN 为 VLAN 1switch (config-if)#ip address 192.168.1.1 255.255.255.0/给管理 VLAN 配置管理 IP 地址switch (config-if)#no shutdown /激活管理IP,养成习惯，无论配置什么设备，都使用 一下这个命令交换机配置网关：switch(config)#ip default-gateway 192.168.1.254 /假设网关地址为 192.168.1.254， 此命令用户

5、二层设备。通过以上几个命令的配置，设备便可以实现远程管理，在项目实施时(尤其是设备位置比较 分散)特别能提高效率。2.1 接口介质类型配置锐捷为了降低 SME 客户的总体拥有成本，推出灵活选择的端口形式：电口和光口复用接口， 方便用户根据网络环境选择对应的介质类型。但光口和电口同时只能用其一，如使用了光口IF,则电口 1不能使用。接口介质类型的转换：Switch(config)#interface gigabitethernet 0/1Switch(config-if)#medium-type fiber /把接口工作模式改为光口Switch(config-if)#medium-type co

6、pper /把接口工作模式改为电口 默认情况下,接口是工作在电口模式 在项目实施中,如果光纤模块指示灯不亮,工作模式是否正确也是故障原因之一。2.2 接口速度/双工配置命令格式：Switch(config)#interface interface-id /进入接口配置模式Switch(config-if)#speed 10 | 100 | 1000 | auto /设置接口的速率参数,或者设置 为 autoSwitch(config-if)#duplex auto | full | half /设置接口的双工模式1000只对千兆口有效；默认情况下，接口的速率为auto,双工模式为auto。配置

7、实例：实例将gigabitethernet 0/1的速率设为1000M,双工模式设为全双工：Switch(config)#interface gigabitethernet 0/1Switch(config-if)#speed 1000Switch(config-if)#duplex full光口不能修改速度和双工配置，只能aut o。23 VLAN配置添加 VLAN 到端口：在交换机上建立 VLAN：Switch (config)#vlan 100 /建立 VLAN 100Switch (config)#name ruijie /该 VLAN 名称为 ruijie将交换机接口划入 VLAN

8、100 中：Swi tch (config)#in terface range f 0/1-48/range 表示选取了系列端口 1-48，这个对多个端口进行相同配置时非常有用Switch (config-if-range)#switchport access vlan 100 /将接口划到 VLAN 100 中Swi tch (config-if-range)#no swit chpor t access vlan /将接口划回到默认 VLAN 1 中， 即端口初始配置交换机端口的工作模式：Switch(config)#interface fastEthernet 0/1Switch(con

9、fig-if)#switchport mode access/该端口工作在 access 模式下Switch(config-if)#switchport mode trunk/该端口工作在 trunk 模式下如果端口下连接的是PC,则该端口一般工作在access模式下，默认配置为access模式。 如果端口是上联口，且交换机有划分多个VLAN，则该端口工作在TRUNK模式下。NATIVE VLAN 配置：Switch(config)#interface fastEthernet 0/1Switch(config-if)#switchport mode trunkSwitch(config-if

10、)#switchport trunk native vlan 100 /设置该端口 NATIVE VLAN为 100 端口只有工作在TRUNK模式下，才可以配置NATIVE VLAN；在TRUNK上Nat ive VLAN的数据是无标记的(Un tagged),所以即使没有在端口即使没有工作 在TRUNK模式下，Native Vlan仍能正常通讯；默认情况下，锐捷交换机的NATIVE VLAN为1。建议不要更改。VLAN 修剪配置：Switch(config)#interface fastEthernet 0/2Switch(config-if)#switchport trunk allowe

11、d vlan remove 2-9,11-19,21-4094 /设定 VLAN 要修剪的 VLANSwitch(config-if)#no switchport trunk allowed vlan /取消端口下的 VLAN 修剪VLAN 信息查看：Switch#show vlanVLAN Name Status Ports1 default active Fa0/1 ,Fa0/11,Fa0/12Fa0/13,Fa0/14,Fa0/15Fa0/16,Fa0/17,Fa0/18Fa0/19,Fa0/20,Fa0/21Fa0/22,Fa0/23,Fa0/24100 VLAN0100 active

12、 Fa0/1 ,Fa0/2 ,Fa0/3Fa0/4 ,Fa0/5 ,Fa0/6Fa0/7 ,Fa0/8 ,Fa0/9Fa0/10Switch#2.4 端口镜像端口镜像配置：Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2/配置 G0/2 为镜像端口Switch (config)# monitor session 1 source interface GigabitEthernet 0/1 both/配置 G0/1 为被镜像端口，且出入双向数据均被镜像。Switch (config)# no

13、monitor session 1 /去掉镜像 1S21、S35 等系列交换机不支持镜像目的端口当作普通用户口使用，如果需要做用户口，请将 用户 MAC 与端口绑定。锐捷 SME 交换机镜像支持一对多镜像，不支持多对多镜像。去除 TAG 标记：Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2 encapsulation replicate/ encapsulation replicate 表述镜像数据不带 TAG 标记。目前该功能只有S37、S57、S86、S96交换机支持，其他型号交换机不

14、支持。锐捷交换机支持两种模式：镜像目的口输出报文是否带TAG根据源数据流输入的时候是否带TAG来决定。强制所有的镜像输出报文都不带 TAG ，受限于目前芯片的限制，只支持二层转发报文不带 Tag，经过三层路由的报文，镜像目的端口输出的报文会带Tag。端口镜像信息查看：S3750#sh monitor session 1Session: 1Source Ports:Rx Only : NoneTx Only : NoneBoth : Fa0/1Destination Ports: Fa0/2encapsulation replicate: true2.5 端口聚合端口聚合配置：Switch(co

15、nfig)#interface fastEthernet 0/1Switch (config-if)#port-group 1 /把端口 f0/1 加入到聚合组 1 中。Switch (config-if)#no port-group 1 /把端口 f0/1 从聚合组 1 中去掉。S2126G/50G交换机最大支持的6个AP,每个AP最多能包含8个端口。6号AP只为模块1和 模块2保留，其它端口不能成为该AP的成员，模块1和模块2也只能成为6号AP的成员。聚合端口需是连续的端口,例如避免把端口 1 和端口 24 做聚合。端口聚合信息查看：S3750#show aggregatePort 1 s

16、ummary /查看聚合端口 1 的信息。AggregatePort MaxPorts SwitchPort Mode PortsAg1 8 Enabled Access Fa0/1 , Fa0/2S3750#信息显示 AP1 的成员端口为 0/1 和 0/2。2.6 交换机堆叠设置交换机优先级：S3750(config)#device-priorit 5 锐捷交换机的堆叠采用的是菊花链式堆叠，注意堆叠线的连接方法，如图5：也可以不设置交换机优先级，设备会自动堆叠成功。堆叠后，只有通过主交换机CONSOLE 口 对堆叠组进行管理。查看堆叠信息：Student_dormitory_B#show

17、membermember MAC address priority alias SWVer HWVer1 00d0.f8d9.f0ba 10 1.61 3.22 00d0.f8d9.f2ef 1 1.61 3.23 00d0.f8ff.d38e 1 1.61 3.327 ACL配置ACL 配置：配置 ACL 步骤：建立 ACL：Switch(config)# Ip access-list exten ruijie /建立 ACL 访问控制列表名为 ruijie， extend 表示建立的是扩展访问控制列表。Switch(config)#no Ip access-list exten ruiji

18、e /删除名为 ruijie 的 ACL。增加一条ACE项后，该ACE是添加到ACL的最后，不支持中间插入，所以需要调整ACE顺序 时，必须整个删除ACL后再重新配置。添加 ACL 的规则：Switch (config-ext-nacl)#deny icmp any 192.168.1.1 255.255.255.0 / 禁止 PING IP 地址为 192.168.1.1 的设备。Switch (config-ext-nacl)# deny tcp any any eq 135 /禁止端口号为 135 的应用。Switch (config-ext-nacl)#deny udp any any

19、 eq www /禁止协议为 www 的应用。 Switch(config-ext-nacl)# permit ip any any /允许所有行为。将 ACL 应用到具体的接口上：Switch (config)#interface range f 0/1Switch (config-if)#ip access-group ruijie in /把名为 ruijie 的 ACL 应用到端口 f0/1 上。Switch (config-if)#no ip access-group ruijie in /从接口去除 ACL。ACL 模版： 下面给出需要禁止的常见端口和协议(不限于此)：Switch

20、 (config-ext-nacl)# deny tcp any any eq 135Switch(config-ext-nacl)#denytcpanyanyeq139Switch(config-ext-nacl)#denytcpanyanyeq593Switch(config-ext-nacl)#denytcpanyanyeq4444Switch(config-ext-nacl)#denyudpanyanyeq4444Switch(config-ext-nacl)#denyudpanyanyeq135Switch(config-ext-nacl)#denyudpanyanyeq137Swi

21、tch(config-ext-nacl)#denyudpanyanyeq138Switch(config-ext-nacl)#denytcpanyanyeq445Switch(config-ext-nacl)#denyudpanyanyeq445Switch(config-ext-nacl)#denyudpanyanyeq593Switch(config-ext-nacl)#denytcpanyanyeq593Switch(config-ext-nacl)# deny tcp any any eq 3333Switch(config-ext-nacl)# deny tcp any any eq

22、 5554Switch(config-ext-nacl)# deny udp any any eq 5554 S2150G(config-ext-nacl)#deny udp any any eq netbios-ss S2150G(config-ext-nacl)#deny udp any any eq netbios-dgmS2150G(config-ext-nacl)#deny udp any any eq netbios-ns Switch(config-ext-nacl)# permit ip any any最后一条必须要加上permit ip any any,否则可能造成网络的中断

23、。ACL 注意点：交换机的ACL、802.1X、端口安全、保护端口等共享设备硬件表项资源，如果出现如下提示：% Error: Out of Rules Resources，则表明硬件资源不够，需删除一些ACL规则或去掉某些应 用。ARP 协议为系统保留协议，即使您将一条 deny any any 的 ACL 关联到某个接口上，交换机也 将允许该类型报文的交换。扩展访问控制列表尽量使用在靠近想要控制的目标区域的设备上。如果ACE项是先permit,则在最后需要手工加deny ip any any如果ACE项是先deny，则 在最后需要手工加 permit ip any any。ACL 信息查看：

24、Switch#show access-lists 1Extended IP access list: 1deny tcp any any eq 135deny tcp any any eq 136deny tcp any any eq 137deny tcp any any eq 138deny tcp any any eq 139deny tcp any any eq 443deny tcp any any eq 445 permit ip any anySwitch#2.8 端口安全 端口安全可以通过限制允许访问交换机上某个端口的MAC地址以及IP来实现控制对该端口的 输入。当安全端口配置

25、了一些安全地址后，则除了源地址为这些安全地址的包外，此端口将 不转发其它任何报文。可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设 置为1,并且为该端口配置一个安全地址，则连接到这个口的工作站(其地址为配置的安全M 地址)将独享该端口的全部带宽。端口安全配置：Switch (config)#interface range f 0/1Switch(config-if)# switchport port-security /开启端口安全Switch(config-if)# switchport port-security /关闭端口安全Switch(config-if)# switch

26、port port-security maximum 8 /设置端口能包含的最大安全 地址数为 8Switch(config-if)# switchport port-security violation protect /设置处理违例的方 式为 protectSwitch(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address192.168.1.1/在接口 fastethernetO/1配置一个安全地址00d0.f800.073c，并为其绑定一个IP地址：192.168.1.1Switch(conf

27、ig-if)#no switchport port-security mac-address 00d0.f800.073c ip-address 192.168.1.1 /删除接口上配置的安全地址以上配置的最大安全地址数为8个，但只在端口上绑定了一个安全地址，所以该端口仍然能 学习 7 个地址。违例处理方式有：pro tec t：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址(不是该端口的安全 地址。res trie t：当违例产生时，将发送一个Trap通知。shut down:当违例产生时，将关闭端口并发送一个Trap通知。端口安全信息查看：Switch# show port-sec

28、urity interface fastethernet 0/3 /查/ 看接口 f0/3 的端口安全配 置信息。Interface : Fa0/3Port Security: EnabledPort status : downViolation mode:ShutdownMaximum MAC Addresses:8Total MAC Addresses:0Configured MAC Addresses:0Aging time : 8 minsSecureStatic address aging : EnabledSwitch# show port-security address /查看

29、安全地址信息Vlan Mac Address IP Address Type Port Remaining Age（mins） 1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 81 00d0.f800.3cc9 192.168.12.5 Configured Fa0/1 7 一个安全端口只能是一个 access port；802.1x 认证功能和端口安全不能同时打开；在同一个端口上不能同时应用绑定IP的安全地址和ACL，否则会提示属性错误：% Error:Attribute conflict。2.9 交换机防攻击配置防 ARP 攻击：在交换机上

30、对防ARP攻击的功能有：IP 和 MAC 地址的绑定：Switch(config)#arp ip-address hardware-address type interface-idSwitch(config)#arp 192.168.12.111 00d0.f800.073c arpa gigabitethernet 0/1此命令只有三层交换机支持。防网关被欺骗： 假设交换机的千兆口为上联口，百兆端口接用户，上联口接网关。如果某个用户假冒网关的IP发出ARP请求，那么其他用户无法区分是真正的网关还是假冒的网关，把假冒网关的ARP 保存到本机的 ARP 列表中，最终将造成用户上网不正常。针对

31、ARP 欺骗的手段，可以通过设置交换机的防 ARP 欺骗功能来防止网关被欺骗。具体的做 法就是，在用户端口上通过防ARP欺骗命令设置要防止欺骗的IP,阻止以该设置IP为源IP 地址的ARP通过交换机，这样可以保证交换机下联端口的主机无法进行网关ARP欺骗。配置：Switch(config)#Interface interface-id /进入指定端口进行配置。Switch(config-if)#Anti-ARP-Spoofing ip ip-address /配置防止 ip-address 的 ARP欺骗。配置实例：假设 S2126G G1/1 接上联端口， Fa0/124 接用户，网关 ip

32、 地址为 192.168.64.1，在端口 1 到 24 口设置防网关 ARP 欺骗如下：Switch(config)# inter range fastEthernet 0/1-24 /进入端口 Fa0/124 进行配置。Switch(config-if-range)#anti-ARP-Spoofing ip 192.168.64.1 /设置防止 192.168.64.1 arp 欺骗Switch(config-if-range)# no anti-ARP-Spoofing ip 192.168.64.1 /去掉防 ARP 欺骗。 防网关被欺骗只能配置在用户端口处，不能配置在交换机的上联口，

33、否则会造成网络中断。 防网关被欺骗不能防 ARP 主机欺骗，也就是说该功能只是在一定程度上减少 ARP 欺骗的可能 性，并不是完全防止ARP欺骗。防 STP 攻击：网络中攻击者可以发送虚假的BPDU报文，扰乱网络拓扑和链路架构，充当网络根节点，获取信息。采取的防范措施：对于接入层交换机，在没有冗余链路的情况下，尽量不用开启STP协议。(传统的防范方式)。 使用交换机具备的BPDU Guard功能，可以禁止网络中直接接用户的端口或接入层交换机的下 连端口收到BPDU报文。从而防范用户发送非法BPDU报文。配置：Switch(config)# inter fastEthernet 0/1 /进入端

34、口 Fa0/1。Switch(config-if)# spanning-tree bpduguard enable /打开该端口的的 BPDU guard功能Switch(config-if)# spanning-tree bpduguard diaable /关闭该端口的的 BPDU guard 功 能打开的BPDU guard，如果在该端口上收到BPDU，则会进入error-disabled状态，只有手 工把该端口 shut down然后再no shut down或者重 新启动交换机，才能恢复。该功能只能在直接面向PC的端口打开，不能在上联口或非直接接PC的端口打开。防 DOS/DDOS

35、攻击：DoS/DDoS (拒绝服务攻击/分布式拒绝服务攻击)：它是指故意攻击网络协议的缺陷或直接通 过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚至 系统崩溃。锐捷交换机可设置基于RFC 2827的入口过滤规则配置：Switch(config)# inter fastEthernet 0/1 /进入端口 Fa0/1。Switch(config-if)#ip deny spoofing-source /预防伪造源 IP 的 DOS 攻击的入口过滤功能。丢弃所有与此网络接口前缀不符合的输入报文。Switch(config-if)#no ip deny spoofin

36、g-source /关闭入口过滤功能。只有配置了网络地址的三层接口才支持预防DoS攻击的入口过滤功能。注意只能在直连(connected)接口配置该过滤，在和骨干层相连的汇聚层接口(即uplink 口) 上设置入口过滤，会导致来自于internet各种源ip报文无法到达该汇聚层下链的主机。只能在一个接口上关联输入 ACL 或者设置入口过滤，二者不能同时应用。如果已经将一个接 口应用了一个ACL，再打开预防DoS的入口过滤，将导致后者产生的ACL代替前者和接口关 联。反之亦然。在设置基于 defeat DoS 的入口过滤后，如果修改了网络接口地址，必须关闭入口过滤然后再 打开，这样才能使入口过滤

37、对新的网络地址生效。同样，对SVI应用了入口过滤，SVI对应 物理端口的变化，也要重新设置入口过滤。S57 系列交换机中 S5750S 不支持 Defeat DoS。IP 扫描攻击：目前发现的扫描攻击有两种：目的IP地址变化的扫描，称为scan dest ip attack。这种扫描最危害网络，消耗网络带宽， 增加交换机负担。目的IP地址不存在，却不断的发送大量报文，称为“same des tip attack。对三层交换机 来说，如果目的IP地址存在，则报文的转发会通过交换芯片直接转发，不会占用交换机CPU 的资源，而如果目的 IP 不存在，交换机 CPU 会定时的尝试连接，而如果大量的这种

38、攻击存在， 也会消耗着 CPU 资源。配置：Switch(config)#system-guard enable /打开系统保护 Switch(config)#no system-guard /关闭系统保护功能非法用户隔离时间每个端口均为 120 秒对某个不存在的 IP 不断的发 IP 报文进行攻击的最大阀值每个端口均为每秒20 个对一批 IP 网段进行扫描攻击的最大阀值每个端口均为每秒10 个监控攻击主机的最大数目 100 台主机查看信息：Switch#show system-guard isolated-ipinterface ip-address isolate reason remai

39、n-time(second)Fa 0/1 192.168.5.119 scan ip attack 110Fa 0/1 192.168.5.109 same ip attack 61 以上几栏分别表示：已隔离的IP地址出现的端口、已隔离的IP地址，隔离原因，隔离的剩 余时间。isolate reason中有可能会显示“chip resource full”，这是因为交换机隔离了较多的用 户，导致交换机的硬件芯片资源占满(根据实际的交换机运作及ACL设置，这个数目大约是 每端口可隔离100 120个IP地址)，这些用户并没有实际的被隔离，管理员需要采取其他措 施来处理这些攻击者。另外，当非法用户

40、被隔离时，会发一个LOG记录到日志系统中，以备管理员查询，非法用户 隔离解除时也会发一个LOG通知。210 DHCP配置按照通常的DHCP应用模式(ClientServer模式)，由于DHCP请求报文的目的IP地址为 255.255.255.255,因此每个子网都要有一个DHCP Server来管理这个子网内的IP动态分配 情况。为了解决这个问题，DHCP Relay Agent就产生了，它把收到的DHCP请求报文转发给 DHCP Server，同时，把收到的DHCP响应报文转发给DHCP Client。DHCP Relay Agent就相 当于一个转发站，负责沟通不同广播域间的DHCP Cl

41、ient和DHCP Server的通讯。这样就实 现了局域网内只要安装一个DHCP Server就可对所有网段的动态IP管理，即ClientRelay AgentServer模式的DHCP动态IP管理。DHCP RELAY功能使用在网络中只有一台DHCP SERVER，但却有多个子网的网络中：配置：打开 DHCP Relay Agent：Switch(config)#service dhcp /打开 DHCP 服务，这里指打开 DHCP Relay AgentSwitch(config)#no service dhcp /关闭 DHCP 服务配置DHCP Server的IP地址：Switch(

42、config)#ip helper-address address /设置 DHCP Server 的 IP 地址配置实例：Switch(config)#service dhcpSwitch(config)#ip helper-address 192.168.1.1 /设置 DHCP Server 的 IP 地址为192.168.1.1配置了 DHCP Server，交换机所收到的DHCP请求报文将全部转发给它，同时，收到Server 的响应报文也会转发给DHCP Clien t。2.11 三层交换机配置SVI：SVI(Switch virtual interface) 是和某个 VLAN 关

43、联的 IP 接口。每个 SVI 只能和一个 VLAN 关联，可分为以下两种类型：SVI 是本机的管理接口，通过该管理接口管理员可管理交换机。SVI 是一个网关接口，用于3 层交换机中跨 VLAN 之间的路由。配置：switch(config)#interface vlan 10 /把 VLAN 10 配置成 SVI switch(config)#no interface vlan 10 /删除 SVI switch(config-if)#ip address 192.168.1.1 255.255.255.0 /给该 SVI 接口配置一个 IP 地址switch(config-if)#no i

44、p address /删除该 SVI 接口上的 IP 地址此功能一般应用在三层交换机做网关的时候，应用 SVI 在该设备上建立相关 VLAN 的网关 IP。Routed Port： 在三层交换机上，可以使用单个物理端口作为三层交换的网关接口，这个接口称为 Routed port。Routed port不具备2层交换的功能。通过no switchport命令将一个2层接口 switch port转变为Routed port,然后给Routed port分配IP地址来建立路由。配置：switch (config)#interface fa 0/1switch (config-if)#no swit

45、ch /把 f 0/1 变成路由口switch (config-if)#switch /把接口恢复成交换口switch (config-if)#ip address 192.168.1.1 255.255.255.0 /可/ 配置 ip 地址等一个限制 是，当一个接口是 L2 Aggregate Port 的成员口时，是不能用 switchport/ no switchport 命令进行层次切换的。该功能一般应用在对端设备是路由器或对端端口作路由接口使用。路由配置：静态路由是由用户自行设定的路由，这些路由指定了报文从源地址到目的地址所走的路径。锐捷网络所有三层交换机都支持路由功能，包括静态路由

46、、默认路由、动态路由。 静态路由配置：switch (config)#ip route 目的地址 掩码 下一跳 /添加一条路由switch (config)#no ip route 目的地址 掩码 /删除掉某条路由默认路由配置：switch (config)#ip route 0.0.0.0 0.0.0.0 下一跳switch (config)#no ip route 0.0.0.0 0.0.0.0 下一跳 /删除某条默认路由。 配置实例：switch (config)#ip route 192.168.1.0 255.255.255.0 1.1.1.1 /配置到网段 192.168.1.0的

47、下一跳 ip 地址为 1.1.1.1switch (config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1 / 配置一条默认路由，下一跳为1.1.1.1信息显示：switch #show ip route /显示当前路由表的状态switch#sh ip routeCodes: C - connected, S - static, R - RIPO - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external typ

48、e 1, E2 - OSPF external type 2* - candidate defaultGateway of last resort is 218.4.190.1 to network 0.0.0.0S* 0.0.0.0/0 1/0 via 218.4.190.1, FastEthernet 1/0C 61.177.13.66/32 is local host.C 61.177.24.1/32 is directly connected, dialer 1S 172.16.0.0/24 1/0 via 192.168.0.1, FastEthernet 0/0C 192.168.

49、0.0/24 is directly connected, FastEthernet 0/0C 192.168.0.253/32 is local host.C 218.4.190.0/29 is directly connected, FastEthernet 1/0C 218.4.190.2/32 is local host.S 218.5.3.0/24 1/0 via 218.4.190.1, FastEthernet 1/0Switch#S代表是静态路由，C代表是直连路由。三、交换机常用查看命令show cpu /查看 CPU 利用率 switch #show cpuCPU utili

50、zation for five seconds: 3%CPU utilization for one minute : 6%CPU utilization for five minutes: 6%如果 CPU 利用率偏高，就要考虑网络中是否有攻击或者网络设备是否能胜任当前的网络负载。一般来说，CPU超过30%就不正常了。show clock /查看交换机时钟switch #show clockSystem clock : 2007-3-18 10:29:14 Sundayshow logging /查看交换机日志switch #show loggingSyslog logging: Enabl

51、edConsole logging: Enabled(debugging)Monitor logging: DisabledBuffer logging: Enabled(debugging)Server logging severity: debuggingFile logging: Disabled注意，日志前面都有时间，但交换机的时钟往往和生活中的时钟对不上，这时需要我们使用 show clock 查看交换机时钟，进而推断日志发生的时间，便于发现问题。show mac-address-table dynamic /查看交换机动态学习到的 MAC 地址表switch #show mac-a

52、ddress-table dynamicVlan MAC Address Type Interface 1 00d0.f8ba.6001 DYNAMIC Gi1/1/121 0020.ed42.b02e DYNAMIC Fa1/0/1021 00d0.f8ba.6007 DYNAMIC Gi1/1/1查看交换机的 MAC 表，要注意查看 MAC 地址是否是从正确的端口学习上来的，或者是否存在 某个 PC 的 MAC 地址。show running-config /查看当前交换机运行的配置文件 通过此命令，可以查看交换机的配置情况，我们在处理故障时一般都要先了解设备有哪些配置。show vers

53、ion /查看交换机硬件、软件信息switch #sh verisonSystem description : Red-Giant Gigabit Stacking IntelligentSwitch(S2126G/S2150G) By Ruijie NetworkSystem uptime : 0d:3h:39m:6sSystem hardware version : 3.2 /硬件版本信息System software version : 1.61(4) Build Sep 9 2005 Release /IOS 版本信息System BOOT version : RG-S2126G-BO

54、OT 03-02-02 /BOOT 层版本信息System CTRL version : RG-S2126G-CTRL 03-08-02 /CTRL 版本信息Running Switching Image : Layer2有些故障是软件版本的BUG,所以遇到问题时也需要了解该设备的软件版本，是否版本过低， 是否新版本已解决了这个故障。show arp /查看交换机的 arp 表S3750#show arpAddress Age (min) Hardware Addr Type Interface192.168.0.1 6 00d0.f888.3177 arpa VL1192.168.0.245

55、 57 00d0.f8a5.6d5b arpa VL1Arp表显示了 IP地址和MAC地址的对应关系，可以了解设备是否正确学习了 PC的IP和MAC, 也可以分析是否有 arp 攻击等。show interfaces gigabitEthernet 4/1 counters /显示接口详细信息的命令Interface : Gi4/15 minute input rate : 95144528 bits/sec, 12655 packets/sec/5 分钟平均输入比特和包的流量情况5 minute output rate : 32025224 bits/sec, 9959 packets/se

56、c/5 分钟平均输出比特和包的流量情况InOctets : 538589*1435 /流入的总的信元数目InUcastPkts : 5826645588 /流入端口的单播包的数目InMulticastPkts : 2 /流入端口的组播包数目InBroadcastPkts : 26738 /流入端口的广播包数目OutOctets : 2260427126592 /流出端口的信元数目OutUcastPkts : 4719687624 /流出端口的单播包的数目OutMulticastPkts : 1195703 /流出端口的组播包数目OutBroadcastPkts : 195960 /流出端口的广

57、播包数目Undersize packets : 0 /碎片包(小余 64 字节的包)的个数Oversize packets : 0 /特大型(一般来说大于 65535 字节的包)的包的个数 collisions : 0 /冲突的次数Fragments : 0 /碎片的个数Jabbers : 0 /无意义的包的个数CRC alignment errors : 0 /CRC 校验错误个数AlignmentErrors : 0 /队列错误的个数FCSErrors : 0 /帧 FCS 校验错误的个数dropped packet events (due to lack of resources): 0

58、 /由于端口缺乏资源而丢弃的包 的个数packets received of length (in octets):64:2372602475, 65-127: 1781677084, 128-255: 492840867, /相/ 应长度范围内数据包的个 数256-511: 251776189, 512-1023: 1254108344, 1024-1518: 99779360关注端口数据包的数目，如果某类型的数据包明显异常多，比如广播包多，则有可能网络中 有广播风暴。关注碎片包、冲突包、CRC校验错误包等错误包的个数，如果很多，则要考虑端口有无物理 故障，线路有无问题，或者两端协商是否正常

59、。/队列错误的个数FCSErrors : 0 /帧 FCS 校验错误的个数dropped packet events (due to lack of resources): 0 /由于端口缺乏资源而丢弃的包 的个数packets received of length (in octets):64:2372602475, 65-127: 1781677084, 128-255: 492840867, /相/ 应长度范围内数据包的个 数256-511: 251776189, 512-1023: 1254108344, 1024-1518: 99779360关注端口数据包的数目，如果某类型的数据包明

60、显异常多，比如广播包多，则有可能网络中 有广播风暴。关注碎片包、冲突包、 CRC 校验错误包等错误包的个数，如果很多，则要考虑端口有无物理 故障，线路有无问题，或者两端协商是否正常。锐捷交换机配置命令交换机基本操作：1. 进入特权模式SwitchenableSwitch#2. 返回用户模式Switch#exitPress RETURN to get started!Switch配置模式：全局配置模式主机名(config)#:配置交换机的整体参数 子模式:1. 线路配置模式主机名(config-line)#:配置交换机的线路参数2. 接口配置模式主机名(config-if)#:配置交换机的接口参

61、数1. 进入、退出全局配置模式Switch#configure terminalSwitch(config)#exitSwitch#2. 进入、退出线路配置模式Switch(config)#line console 0Switch(config-line)#exitSwitch(config)#3. 进入、退出接口配置模式Switch(config)#interface fastEthernet 0/1 Switch(config-if)#exitSwitch(config)#从子模式下直接返回特权模式Switch（config-if）#endSwitch#交换机操作帮助：1. 支持命令简写（

62、按TAB键将命令补充完整）2. 在每种操作模式下直接输入“?”显示该模式下所有的命令3. 命令空格 “?”显示命令参数并对其解释说明4. “字符?”显示以该字符开头的命令5命令历史缓存：（Ctrl+P）显示上一条命令，（Ctrl+N）显示下一条命令 6.错误提示信息交换机显示命令： 显示交换机硬件及软件的信息 Switch#show version 显示当前运行的配置参数 Switch#show running-config 显示保存的配置参数 Switch#show configure常用交换机EXEC命令：1. 将当前运行的配置参数复制到flash：Switch#write memoryBuilding configuration.OKSwitch#2. 清空flash中的配置参数：Switch#delete flash：config.textSwitch#3. 交换机重新启动：Switch#reloadSystem configuration has been modified. Sav