锐捷 CISCO 交换机配置命令
- 发布时间：2020-03-29
- 发布者： 徐彩云
- 来源： 原创
- 阅读量：
锐捷 CISCO 交换机配置命令。
交换机配置模式主要有：
用户模式：此模式只可以简单的查看一些交换机的配置和一些简单的修改。
Switch>
特权模式：此模式可以查看一些交换机的配置，后面讲述的很多show命令便是在此模式下进行的，还可以对一些简单的设置配置，例如时间。
Switch> enable //在用户模式下输入enable将进入配置模式
Switch＃
全局配置模式：此模式下可以进行对交换机的配置，例如：命名、配置密码、设路由等。
Switch＃configure erminal //特权模式下可以通过config terminal 命令进入配置模式
Switch(config)#
端口配置模式：此模式下对端口进行配置，如配置端口ip等。
Switch(config)#interface gigabitEthernet 1/1 //配置模式下输入interface
gigabitEthernet 1/1进入到端口g 1/1接口模式。
二、交换机基本配置
交换机命名：
在项目实施的时候，建议为处于不同位置的交换机命名，便于记忆，可提高后期管理效率。
switch(config)#hostname ruijie //ruijie为该交换机的名字
交换机配置管理密码：
配置密码可以提高交换机的安全性，另外，telnet登录交换机的时候，必须要求有telnet管理密码。
switch (config)#enable secret level 1 0 rg //配置telnet管理密码为rg，其中1表示telnet密码，0表示密码不加密
switch (config)#enable secret level 15 0 rg //配置特权模式下的管理密码rg，其中15表示为特权密码
交换机配置管理IP
switch (config)#interface vlan 1 //假设管理VLAN为VLAN 1
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //给管理VLAN配置管理IP地址
switch (config-if)#no shutdown //激活管理IP，养成习惯，无论配置什么设备，都使用一下这个命令
交换机配置网关：
switch(config)#ip default-gateway 192.168.1.254 //假设网关地址为192.168.1.254，此命令用户二层设备。
通过以上几个命令的配置，设备便可以实现远程管理，在项目实施时（尤其是设备位置比较分散）特别能提高效率。
2.1 接口介质类型配置
锐捷为了降低SME客户的总体拥有成本，推出灵活选择的端口形式：电口和光口复用接口，方便用户根据网络环境选择对应的介质类型。
但光口和电口同时只能用其一，如图1，如使用了光口
图1
接口介质类型的转换：
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#medium-type fiber //把接口工作模式改为光口
Switch(config-if)#medium-type copper //把接口工作模式改为电口
默认情况下，接口是工作在电口模式
在项目实施中，如果光纤模块指示灯不亮，工作模式是否正确也是故障原因之一。
2.2 接口速度/双工配置
命令格式：
Switch(config)#interface interface-id //进入接口配置模式
Switch(config-if)#speed {10 | 100 | 1000 | auto } //设置接口的速率参数，或者设置为auto
Switch(config-if)#duplex {auto | full | half} //设置接口的双工模式
? 1000只对千兆口有效；
? 默认情况下，接口的速率为auto，双工模式为auto。
配置实例：
实例将gigabitethernet 0/1的速率设为
Switch(config)#interface gigabitethernet 0/1
Switch(config-if)#speed 1000
Switch(config-if)#duplex full
? 在故障处理的时候，如果遇到规律性的时断时续或掉包，在排除其他原因后，可以考虑是否和对端设备的速率和双工模式不匹配，尤其是两端设备为不同厂商的时候。
? 光口不能修改速度和双工配置，只能auto。
2.3 VLAN配置
添加VLAN到端口：
在交换机上建立VLAN：
Switch (config)#vlan 100 //建立VLAN 100
Switch (config)#name ruijie //该VLAN名称为ruijie
将交换机接口划入VLAN 100中：
Switch (config)#interface range f 0/1-48 //range表示选取了系列端口1-48，这个对多个端口进行相同配置时非常有用
Switch (config-if-range)#switchport access vlan 100 //将接口划到VLAN 100中
Switch (config-if-range)#no switchport access vlan //将接口划回到默认VLAN 1中，即端口初始配置
交换机端口的工作模式：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access //该端口工作在access模式下
Switch(config-if)#switchport mode trunk //该端口工作在trunk模式下
? 如果端口下连接的是PC，则该端口一般工作在access模式下，默认配置为access模式。
? 如果端口是上联口，且交换机有划分多个VLAN，则该端口工作在TRUNK模式下。
图2
如图2：端口F0/1、F0/2、F0/3都必须工作在TRUNK模式下。
NATIVE VLAN配置：
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode trunk
Switch(config-if)#switchport trunk native vlan 100 //设置该端口NATIVE VLAN为100
? 端口只有工作在TRUNK模式下，才可以配置NATIVE
VLAN；
? 在TRUNK上Native VLAN的数据是无标记的(Untagged)，所以即使没有在端口即使没有工作在TRUNK模式下，Native Vlan仍能正常通讯；
? 默认情况下，锐捷交换机的NATIVE VLAN为1。建议不要更改。
VLAN修剪配置：
Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport trunk allowed vlan remove 2-9,11-19,21-4094 //设定VLAN要修剪的VLAN
Switch(config-if)#no switchport trunk allowed vlan //取消端口下的VLAN修剪
图3
如图3，VLAN1是设备默认VLAN，VLAN10和VLAN20是用户VLAN，所以需要修剪掉的VLAN为2-9,11-19,21-4094。（4094为VLAN ID的最大值）
VLAN信息查看：
Switch#show vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1 ,Fa0/11,Fa0/12
Fa0/13,Fa0/14,Fa0/15
Fa0/16,Fa0/17,Fa0/18
Fa0/19,Fa0/20,Fa0/21
Fa0/22,Fa0/23,Fa0/24
100 VLAN0100 active Fa0/1 ,Fa0/2 ,Fa0/3
Fa0/4 ,Fa0/5 ,Fa0/6
Fa0/7 ,Fa0/8 ,Fa0/9
Fa0/10
Switch#
2.4 端口镜像
端口镜像配置：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2
//配置G0/2为镜像端口
Switch (config)# monitor session 1 source interface GigabitEthernet 0/1 both
//配置G0/1为被镜像端口，且出入双向数据均被镜像。
Switch (config)# no monitor session 1 //去掉镜像1
? S21、S35等系列交换机不支持镜像目的端口当作普通用户口使用，如果需要做用户口，请将用户MAC与端口绑定。
? 锐捷SME交换机镜像支持一对多镜像，不支持多对多镜像。
去除TAG标记：
Switch (config)# monitor session 1 destination interface GigabitEthernet 0/2
encapsulation replicate
// encapsulation replicate表述镜像数据不带TAG标记。
? 目前该功能只有S37、S57、S86、S96交换机支持，其他型号交换机不支持。
? 锐捷交换机支持两种模式：
镜像目的口输出报文是否带TAG根据源数据流输入的时候是否带TAG来决定。
强制所有的镜像输出报文都不带TAG ，受限于目前芯片的限制，只支持二层转发报文不带Tag，经过三层路由的报文，镜像目的端口输出的报文会带Tag。
端口镜像信息查看：
S3750#sh monitor session 1
Session: 1
Source Ports:
Rx Only : None
Tx Only : None
Both : Fa0/1
Destination Ports: Fa0/2
encapsulation replicate: true
2.5 端口聚合
端口聚合配置：
Switch(config)#interface fastEthernet 0/1
Switch (config-if)#port-group 1 //把端口f0/1加入到聚合组1中。
Switch (config-if)#no port-group 1 //把端口f0/1从聚合组1中去掉。
如图4，端口聚合的使用可以提高交换机的上联链路带宽和起到链路冗余的作用。
图4
? S
? S2700 系列交换机最大支持的31个AP，每个AP 最多能包含8个端口。
? S3550-24/48系列交换机最大支持的6个AP，每个AP最多能包含8个端口。
? S3550
? S3550-12SFP/GT系列交换机最大支持的12个AP，每个AP最多能包含8个端口。
? 57系列交换机最大支持12个AP，每个AP最多能包含个8端口。
? 配置为AP的端口，其介质类型必须相同。
? 聚合端口需是连续的端口，例如避免把端口1和端口24做聚合。
端口聚合信息查看：
S3750#show aggregatePort 1 summary //查看聚合端口1的信息。
AggregatePort MaxPorts SwitchPort Mode Ports
------------- -------- ---------- ------------- -------------------------------
Ag1 8 Enabled Access Fa0/1 , Fa0/2
S3750#
信息显示AP1的成员端口为0/1和0/2。
2.6 交换机堆叠
设置交换机优先级：
S3750(config)#device-priorit 5
锐捷交换机的堆叠采用的是菊花链式堆叠，注意堆叠线的连接方法，如图5：
图5
? 也可以不设置交换机优先级，设备会自动堆叠成功。
? 堆叠后，只有通过主交换机CONSOLE口对堆叠组进行管理。
查看堆叠信息：
Student_dormitory_B#show member
member MAC address priority alias SWVer HWVer
------ ---------------- -------- -------------------------------- ----- -----
1 00d0.f8d9.f0ba 10 1.61 3.2
2 00d0.f8d9.f2ef 1 1.61 3.2
3 00d0.f8ff.d38e 1 1.61 3.3
2.7 ACL配置
ACL配置：
配置ACL步骤：
建立ACL：
Switch(config)# Ip access-list exten ruijie //建立ACL访问控制列表名为ruijie，extend表示建立的是扩展访问控制列表。
Switch(config)#no Ip access-list exten ruijie //删除名为ruijie的ACL。
增加一条ACE项后，该ACE是添加到ACL的最后，不支持中间插入，所以需要调整ACE顺序时，必须整个删除ACL后再重新配置。
添加ACL的规则：
Switch (config-ext-nacl)#deny icmp any 192.168.1.1 255.255.255.0 //禁止PING IP地址为192.168.1.1的设备。
Switch (config-ext-nacl)# deny tcp any any eq 135 //禁止端口号为135的应用。
Switch (config-ext-nacl)#deny udp any any eq www //禁止协议为www的应用。
Switch(config-ext-nacl)# permit ip any any //允许所有行为。
将ACL应用到具体的接口上：
Switch (config)#interface range f 0/1
Switch (config-if)#ip access-group ruijie in //把名为ruijie的ACL应用到端口f 0/1上。
Switch (config-if)#no ip access-group ruijie in //从接口去除ACL。
ACL模版：
下面给出需要禁止的常见端口和协议（不限于此）：
Switch (config-ext-nacl)# deny tcp any any eq 135
Switch(config-ext-nacl)# deny tcp any any eq 139
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 4444
Switch(config-ext-nacl)# deny udp any any eq 135
Switch(config-ext-nacl)# deny udp any any eq 137
Switch(config-ext-nacl)# deny udp any any eq 138
Switch(config-ext-nacl)# deny tcp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 445
Switch(config-ext-nacl)# deny udp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 593
Switch(config-ext-nacl)# deny tcp any any eq 3333
Switch(config-ext-nacl)# deny tcp any any eq 5554
Switch(config-ext-nacl)# deny udp any any eq 5554
S
S
S
Switch(config-ext-nacl)# permit ip any any
最后一条必须要加上permit ip any any，否则可能造成网络的中断。
ACL注意点：
? 交换机的ACL、802.1X、端口安全、保护端口等共享设备硬件表项资源，如果出现如下提示：% Error: Out of Rules Resources，则表明硬件资源不够，需删除一些ACL规则或去掉某些应用。
? ARP协议为系统保留协议，即使您将一条deny any any的ACL关联到某个接口上，交换机也将允许该类型报文的交换。
? 扩展访问控制列表尽量使用在靠近想要控制的目标区域的设备上。
? 如果ACE项是先permit，则在最后需要手工加deny ip any any，如果ACE项是先deny，则在最后需要手工加permit ip any any。
ACL信息查看：
Switch#show access-lists 1
Extended IP access list: 1
deny tcp any any eq 135
deny tcp any any eq 136
deny tcp any any eq 137
deny tcp any any eq 138
deny tcp any any eq 139
deny tcp any any eq 443
deny tcp any any eq 445
……
permit ip any any
Switch#
2.8 端口安全
端口安全可以通过限制允许访问交换机上某个端口的MAC地址以及IP来实现控制对该端口的输入。
当安全端口配置了一些安全地址后，则除了源地址为这些安全地址的包外，此端口将不转发其它任何报文。
可以限制一个端口上能包含的安全地址最大个数，如果将最大个数设置为1，并且为该端口配置一个安全地址，则连接到这个口的工作站(其地址为配置的安全M地址)将独享该端口的全部带宽。
端口安全配置：
Switch (config)#interface range f 0/1
Switch(config-if)# switchport port-security //开启端口安全
Switch(config-if)# switchport port-security //关闭端口安全
Switch(config-if)# switchport port-security maximum 8 //设置端口能包含的最大安全地址数为8
Switch(config-if)# switchport port-security violation protect //设置处理违例的方式为protect
Switch(config-if)# switchport port-security mac-address 00d0.f
//在接口fastethernet0/1配置一个安全地址00d0.f
Switch(config-if)#no switchport port-security mac-address 00d0.f
以上配置的最大安全地址数为8个，但只在端口上绑定了一个安全地址，所以该端口仍然能学习7个地址。
违例处理方式有：
protect：保护端口，当安全地址个数满后，安全端口将丢弃未知名地址(不是该端口的安全地址。
restrict：当违例产生时，将发送一个Trap通知。
shutdown：当违例产生时，将关闭端口并发送一个Trap通知。
端口安全信息查看：
Switch# show port-security interface fastethernet 0/3 //查看接口f0/3的端口安全配置信息。
Interface : Fa0/3
Port Security: Enabled
Port status : down
Violation mode:Shutdown
Maximum MAC Addresses:8
Total MAC Addresses:0
Configured MAC Addresses:0
Aging time : 8 mins
SecureStatic address aging : Enabled
Switch# show port-security address //查看安全地址信息
Vlan Mac Address IP Address Type Port Remaining Age（mins）
---- --------------- --------------- ---------- -------- ------------------
1 00d0.f
1 00d0.f800.3cc9 192.168.12.5 Configured Fa0/1 7
? 一个安全端口只能是一个access port；
? 802.1x认证功能和端口安全不能同时打开；
? 在同一个端口上不能同时应用绑定IP 的安全地址和ACL，否则会提示属性错误： % Error: Attribute conflict。
2.9 交换机防攻击配置
防ARP攻击：
在交换机上对防ARP攻击的功能有：
IP和MAC地址的绑定：
Switch(config)#arp ip-address hardware-address [type] interface-id
Switch(config)#arp 192.168.12.111 00d0.f
此命令只有三层交换机支持。
防网关被欺骗：
假设交换机的千兆口为上联口，百兆端口接用户，上联口接网关。如果某个用户假冒网关的IP发出ARP请求，那么其他用户无法区分是真正的网关还是假冒的网关，把假冒网关的ARP保存到本机的ARP列表中，最终将造成用户上网不正常。
针对ARP欺骗的手段，可以通过设置交换机的防ARP欺骗功能来防止网关被欺骗。具体的做法就是，在用户端口上通过防ARP欺骗命令设置要防止欺骗的IP，阻止以该设置IP为源IP地址的ARP通过交换机，这样可以保证交换机下联端口的主机无法进行网关ARP欺骗。
如图6，防网关被欺骗配置在靠近用户侧的设备上。
图6
配置：
Switch(config)#Interface interface-id //进入指定端口进行配置。
Switch(config-if)#Anti-ARP-Spoofing ip ip-address //配置防止ip-address的ARP欺骗。
配置实例：
假设S
Switch(config)# inter range fastEthernet 0/1-24 //进入端口Fa0/1~24进行配置。
Switch(config-if-range)#anti-ARP-Spoofing ip 192.168.64.1 //设置防止192.168.64.1 arp欺骗
Switch(config-if-range)# no anti-ARP-Spoofing ip 192.168.64.1 //去掉防ARP欺骗。
? 防网关被欺骗只能配置在用户端口处，不能配置在交换机的上联口，否则会造成网络中断。
? 防网关被欺骗不能防ARP主机欺骗，也就是说该功能只是在一定程度上减少ARP欺骗的可能性，并不是完全防止ARP欺骗。
防STP攻击：
网络中攻击者可以发送虚假的BPDU报文，扰乱网络拓扑和链路架构，充当网络根节点，获取信息。
采取的防范措施：
对于接入层交换机，在没有冗余链路的情况下，尽量不用开启STP协议。（传统的防范方式）。
使用交换机具备的BPDU Guard功能，可以禁止网络中直接接用户的端口或接入层交换机的下连端口收到BPDU报文。从而防范用户发送非法BPDU报文。
配置：
Switch(config)# inter fastEthernet 0/1 //进入端口Fa0/1。
Switch(config-if)# spanning-tree bpduguard enable //打开该端口的的BPDU guard功能
Switch(config-if)# spanning-tree bpduguard diaable //关闭该端口的的BPDU guard功能
? 打开的BPDU guard，如果在该端口上收到BPDU，则会进入error-disabled 状态，只有手工把该端口shutdown然后再no shutdown或者重 新启动交换机，才能恢复。
? 该功能只能在直接面向PC的端口打开，不能在上联口或非直接接PC的端口打开。
防DOS/DDOS攻击：
DoS/DDoS（拒绝服务攻击/分布式拒绝服务攻击）：它是指故意攻击网络协议的缺陷或直接通过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚至系统崩溃。
锐捷交换机可设置基于RFC 2827的入口过滤规则，如图7：
图7
配置：
Switch(config)# inter fastEthernet 0/1 //进入端口Fa0/1。
Switch(config-if)#ip deny spoofing-source //预防伪造源IP的DOS攻击的入口过滤功能。丢弃所有与此网络接口前缀不符合的输入报文。
Switch(config-if)#no ip deny spoofing-source //关闭入口过滤功能。
? 只有配置了网络地址的三层接口才支持预防DoS攻击的入口过滤功能。
? 注意只能在直连(connected)接口配置该过滤，在和骨干层相连的汇聚层接口（即uplink口）上设置入口过滤，会导致来自于internet各种源ip报文无法到达该汇聚层下链的主机。
? 只能在一个接口上关联输入ACL或者设置入口过滤，二者不能同时应用。如果已经将一个接口应用了一个ACL，再打开预防DoS的入口过滤，将导致后者产生的ACL代替前者和接口关联。反之亦然。
? 在设置基于defeat DoS的入口过滤后，如果修改了网络接口地址，必须关闭入口过滤然后再打开，这样才能使入口过滤对新的网络地址生效。同样，对SVI应用了入口过滤，SVI对应物理端口的变化，也要重新设置入口过滤。
? S57系列交换机中S5750S不支持Defeat
DoS。
IP扫描攻击：
目前发现的扫描攻击有两种：
目的IP地址变化的扫描，称为scan dest ip attack。这种扫描最危害网络，消耗网络带宽，增加交换机负担。
目的IP地址不存在，却不断的发送大量报文，称为“same des tip attack。对三层交换机来说，如果目的IP地址存在，则报文的转发会通过交换芯片直接转发，不会占用交换机CPU的资源，而如果目的IP不存在，交换机CPU会定时的尝试连接，而如果大量的这种攻击存在，也会消耗着CPU资源。
配置：
Switch(config)#system-guard enable //打开系统保护
Switch(config)#no system-guard //关闭系统保护功能
非法用户隔离时间每个端口均为120秒
对某个不存在的IP不断的发IP报文进行攻击的最大阀值每个端口均为每秒20个
对一批IP网段进行扫描攻击的最大阀值每个端口均为每秒10个
监控攻击主机的最大数目100台主机
查看信息：
Switch#show system-guard isolated-ip
interface ip-address isolate reason remain-time(second)
---------- ------------------ -------------------- ------------------
Fa 0/1 192.168.5.119 scan ip attack 110
Fa 0/1 192.168.5.109 same ip attack 61
以上几栏分别表示：已隔离的IP地址出现的端口、已隔离的IP地址，隔离原因，隔离的剩余时间。
isolate reason中有可能会显示“chip resource full”，这是因为交换机隔离了较多的用户，导致交换机的硬件芯片资源占满（根据实际的交换机运作及ACL设置，这个数目大约是每端口可隔离100－120个IP地址），这些用户并没有实际的被隔离，管理员需要采取其他措施来处理这些攻击者。
另外，当非法用户被隔离时，会发一个LOG记录到日志系统中，以备管理员查询，非法用户隔离解除时也会发一个LOG通知。
2.10 DHCP配置
按照通常的DHCP应用模式（Client—Server模式），由于DHCP请求报文的目的IP地址为255.255.255.255，因此每个子网都要有一个DHCP Server来管理这个子网内的IP动态分配情况。为了解决这个问题，DHCP Relay Agent就产生了，它把收到的DHCP 请求报文转发给DHCP Server，同时，把收到的DHCP响应报文转发给DHCP Client。DHCP Relay
Agent就相当于一个转发站，负责沟通不同广播域间的DHCP Client和DHCP
Server的通讯。这样就实现了局域网内只要安装一个DHCP Server就可对所有网段的动态IP管理，即Client—Relay Agent—Server模式的DHCP动态IP管理。
如图8，DHCP RELAY功能使用在网络中只有一台DHCP
SERVER，但却有多个子网的网络中：
图8
配置：
打开DHCP Relay Agent：
Switch(config)#service dhcp //打开DHCP服务，这里指打开DHCP
Relay Agent
Switch(config)#no service dhcp //关闭DHCP服务
配置DHCP Server的IP地址：
Switch(config)#ip helper-address address //设置DHCP
Server的IP地址
配置实例：
Switch(config)#service dhcp
Switch(config)#ip helper-address 192.168.1.1 //设置DHCP
Server的IP地址为192.168.1.1
配置了DHCP Server，交换机所收到的DHCP请求报文将全部转发给它，同时，收到Server的响应报文也会转发给DHCP
Client。
2.11 三层交换机配置
SVI：
SVI(Switch virtual interface) 是和某个VLAN关联的IP接口。每个SVI只能和一个VLAN关联，可分为以下两种类型：
SVI是本机的管理接口，通过该管理接口管理员可管理交换机。
SVI是一个网关接口，用于3层交换机中跨VLAN之间的路由。
配置：
switch (config)#interface vlan 10 //把VLAN 10配置成SVI
switch (config)#no interface vlan 10 //删除SVI
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //给该SVI接口配置一个IP地址
switch (config-if)#no ip address //删除该SVI接口上的IP地址
此功能一般应用在三层交换机做网关的时候，应用SVI在该设备上建立相关VLAN的网关IP。
Routed Port：
在三层交换机上，可以使用单个物理端口作为三层交换的网关接口，这个接口称为Routed port。Routed
port不具备2层交换的功能。通过no
switchport命令将一个2层接口switch
port转变为Routed port,然后给Routed
port分配IP地址来建立路由。
配置：
switch (config)#interface fa 0/1
switch (config-if)#no switch //把f 0/1变成路由口
switch (config-if)#switch //把接口恢复成交换口
switch (config-if)#ip address 192.168.1.1 255.255.255.0 //可配置ip地址等
一个限制是，当一个接口是L2 Aggregate Port的成员口时，是不能用switchport/
no switchport命令进行层次切换的。
该功能一般应用在对端设备是路由器或对端端口作路由接口使用。
路由配置：
静态路由是由用户自行设定的路由，这些路由指定了报文从源地址到目的地址所走的路径。
锐捷网络所有三层交换机都支持路由功能，包括静态路由、默认路由、动态路由。
静态路由配置：
switch (config)#ip route 目的地址 掩码 下一跳 //添加一条路由
switch (config)#no ip route 目的地址 掩码 //删除掉某条路由
默认路由配置：
switch (config)#ip route
switch (config)#no ip route 0.0.0.0 0.0.0.0 下一跳 //删除某条默认路由。
配置实例：
switch (config)#ip route 192.168.1.0 255.255.255.0 1.1.1.1 //配置到网段192.168.1.0的下一跳ip地址为1.1.1.1
switch (config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1 //配置一条默认路由，下一跳为1.1.1.1
信息显示：
switch #show ip route //显示当前路由表的状态
switch#sh ip route
Codes: C - connected, S - static, R - RIP
O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
* - candidate default
Gateway of last resort is 218.4.190.1 to network 0.0.0.0
S* 0.0.0.0/0 [1/0] via 218.4.190.1, FastEthernet 1/0
C 61.177.13.66/32 is local host.
C 61.177.24.1/32 is directly connected, dialer 1
S 172.16.0.0/24 [1/0] via 192.168.0.1, FastEthernet 0/0
C 192.168.0.0/24 is directly connected, FastEthernet 0/0
C 192.168.0.253/32 is local host.
C 218.4.190.0/29 is directly connected, FastEthernet 1/0
C 218.4.190.2/32 is local host.
S 218.5.3.0/24 [1/0] via 218.4.190.1, FastEthernet 1/0
Switch#
S代表是静态路由，C代表是直连路由。
三、交换机常用查看命令
? show cpu //查看CPU利用率
switch #show cpu
CPU utilization for five seconds: 3%
CPU utilization for one minute : 6%
CPU utilization for five minutes: 6%
如果CPU利用率偏高，就要考虑网络中是否有攻击或者网络设备是否能胜任当前的网络负载。一般来说，CPU超过30%就不正常了。
? show clock //查看交换机时钟
switch #show clock
System clock : 2007-3-18 10:29:14 Sunday
? show logging //查看交换机日志
switch #show logging
Syslog logging: Enabled
Console logging: Enabled(debugging)
Monitor logging: Disabled
Buffer logging: Enabled(debugging)
Server logging severity: debugging
File logging: Disabled
Logging history:
2007-3-18 11:26:36 @5-COLDSTART:System coldstart
2007-3-18 11:26:36 @5-LINKUPDOWN:Fa2/0/1 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Fa1/0/10 changed state to up
2007-3-18 11:26:37 @5-LINKUPDOWN:Gi
2007-3-18 11:26:37 @4-TOPOCHANGE:Topology is changed
注意，日志前面都有时间，但交换机的时钟往往和生活中的时钟对不上，这时需要我们使用show clock查看交换机时钟，进而推断日志发生的时间，便于发现问题。
? show mac-address-table dynamic //查看交换机动态学习到的MAC地址表
switch #show mac-address-table dynamic
Vlan MAC Address Type Interface
---------- -------------------- -------- -------------------
1 00d0.f8ba.6001 DYNAMIC Gi1/1/1
21 0020.ed42.b02e DYNAMIC Fa1/0/10
21 00d0.f8ba.6007 DYNAMIC Gi1/1/1
查看交换机的MAC表，要注意查看MAC地址是否是从正确的端口学习上来的，或者是否存在某个PC的MAC地址。
? show running-config //查看当前交换机运行的配置文件
通过此命令，可以查看交换机的配置情况，我们在处理故障时一般都要先了解设备有哪些配置。
? show version //查看交换机硬件、软件信息
switch #sh verison
System description : Red-Giant Gigabit Stacking Intelligent
Switch(S
System uptime : 0d:3h:
System hardware version : 3.2 //硬件版本信息
System software version : 1.61(4) Build Sep 9 2005 Release //IOS版本信息
System BOOT version : RG-S
System CTRL version : RG-S
Running Switching Image : Layer2
有些故障是软件版本的BUG，所以遇到问题时也需要了解该设备的软件版本，是否版本过低，是否新版本已解决了这个故障。
? show arp //查看交换机的arp表
S3750#show arp
Address Age (min) Hardware Addr Type Interface
--------------- ---------- -------------- ------ --------------------
192.168.0.1 6 00d0.f888.3177 arpa VL1
192.168.0.245 57 00d0.f
Arp表显示了IP地址和MAC地址的对应关系，可以了解设备是否正确学习了PC的IP和MAC，也可以分析是否有arp攻击等。
? show interfaces gigabitEthernet 4/1 counters //显示接口详细信息的命令
Interface : Gi4/1
5 minute input rate : 95144528 bits/sec, 12655 packets/sec
//5分钟平均输入比特和包的流量情况
5 minute output rate : 32025224 bits/sec, 9959 packets/sec
//5分钟平均输出比特和包的流量情况
InOctets : 538589***1435 //流入的总的信元数目
InUcastPkts : 5826645588 //流入端口的单播包的数目
InMulticastPkts : 2 //流入端口的组播包数目
InBroadcastPkts : 26738 //流入端口的广播包数目
OutOctets : 2260427126592 //流出端口的信元数目
OutUcastPkts : 4719687624 //流出端口的单播包的数目
OutMulticastPkts : 1195703 //流出端口的组播包数目
OutBroadcastPkts : 195960 //流出端口的广播包数目
Undersize packets : 0 //碎片包（小余64字节的包）的个数
Oversize packets : 0 //特大型（一般来说大于65535字节的包）的包的个数
collisions : 0 //冲突的次数
Fragments : 0 //碎片的个数
Jabbers : 0 //无意义的包的个数
CRC alignment errors : 0 //CRC校验错误个数
AlignmentErrors : 0 //队列错误的个数
FCSErrors : 0 //帧FCS校验错误的个数
dropped packet events (due to lack of resources): 0 //由于端口缺乏资源而丢弃的包的个数
packets received of length (in octets):
64:2372602475, 65-127: 1781677084, 128-255: 492840867, //相应长度范围内数据包的个数
256-511: 251776189, 512-1023: 1254108344, 1024-1518: 99779360
关注端口数据包的数目，如果某类型的数据包明显异常多，比如广播包多，则有可能网络中有广播风暴。
关注碎片包、冲突包、CRC校验错误包等错误包的个数，如果很多，则要考虑端口有无物理故障，线路有无问题，或者两端协商是否正常。
//队列错误的个数
FCSErrors : 0 //帧FCS校验错误的个数
dropped packet events (due to lack of resources): 0 //由于端口缺乏资源而丢弃的包的个数
packets received of length (in octets):
64:2372602475, 65-127: 1781677084, 128-255: 492840867, //相应长度范围内数据包的个数
256-511: 251776189, 512-1023: 1254108344, 1024-1518: 99779360
关注端口数据包的数目，如果某类型的数据包明显异常多，比如广播包多，则有可能网络中有广播风暴。
关注碎片包、冲突包、CRC校验错误包等错误包的个数，如果很多，则要考虑端口有无物理故障，线路有无问题，或者两端协商是否正常。
cisco
1.在基于IOS的交换机上设置主机名/系统名:
switch(config)# hostname hostname
在基于CLI的交换机上设置主机名/系统名:
switch(enable) set system name name-string
2.在基于IOS的交换机上设置登录口令:
switch(config)# enable password level 1 password
在基于CLI的交换机上设置登录口令:
switch(enable) set password
switch(enable) set enalbepass
3.在基于IOS的交换机上设置远程访问:
switch(config)# interface vlan 1
switch(config-if)# ip address ip-address netmask
switch(config-if)# ip default-gateway ip-address
在基于CLI的交换机上设置远程访问:
switch(enable) set interface sc0 ip-address netmask broadcast-address
switch(enable) set interface sc0 vlan
switch(enable) set ip route default gateway
4.在基于IOS的交换机上启用和浏览CDP信息:
switch(config-if)# cdp enable
switch(config-if)# no cdp enable
为了查看Cisco邻接设备的CDP通告信息:
switch# show cdp interface [type modle/port]
switch# show cdp neighbors [type module/port] [detail]
在基于CLI的交换机上启用和浏览CDP信息:
switch(enable) set cdp {enable|disable} module/port
为了查看Cisco邻接设备的CDP通告信息:
switch(enable) show cdp neighbors[module/port] [vlan|duplex|capabilities|detail]
5.基于IOS的交换机的端口描述:
switch(config-if)# description description-string
基于CLI的交换机的端口描述:
switch(enable)set port name module/number description-string
6.在基于IOS的交换机上设置端口速度:
switch(config-if)# speed{10|100|auto}
在基于CLI的交换机上设置端口速度:
switch(enable) set port speed moudle/number {10|100|auto}
switch(enable) set port speed moudle/number {4|16|auto}
7.在基于IOS的交换机上设置以太网的链路模式:
switch(config-if)# duplex {auto|full|half}
在基于CLI的交换机上设置以太网的链路模式:
switch(enable) set port duplex module/number {full|half}
8.在基于IOS的交换机上配置静态VLAN:
switch# vlan database
switch(vlan)# vlan vlan-num name vla
switch(vlan)# exit
switch# configure teriminal
switch(config)# interface interface module/number
switch(config-if)# switchport mode access
switch(config-if)# switchport access vlan vlan-num
switch(config-if)# end
在基于CLI的交换机上配置静态VLAN:
switch(enable) set vlan vlan-num [name name]
switch(enable) set vlan vlan-num mod-num/port-list
9. 在基于IOS的交换机上配置VLAN中继线:
switch(config)# interface interface mod/port
switch(config-if)# switchport mode trunk
switch(config-if)# switchport trunk encapsulation {isl|dotlq}
switch(config-if)# switchport trunk allowed vlan remove vlan-list
switch(config-if)# switchport trunk allowed vlan add vlan-list
在基于CLI的交换机上配置VLAN中继线:
switch(enable) set trunk module/port [on|off|desirable|auto|nonegotiate]
Vlan-range [isl|dotlq|dotl0|lane|negotiate]
10.在基于IOS的交换机上配置VTP管理域:
switch# vlan database
switch(vlan)# vtp domain domain-name
在基于CLI的交换机上配置VTP管理域:
switch(enable) set vtp [domain domain-name]
11.在基于IOS的交换机上配置VTP 模式:
switch# vlan database
switch(vlan)# vtp domain domain-name
switch(vlan)# vtp {sever|cilent|transparent}
switch(vlan)# vtp password password
在基于CLI的交换机上配置VTP 模式:
switch(enable) set vtp [domain domain-name] [mode{ sever|cilent|transparent }][password
password]
12. 在基于IOS的交换机上配置VTP版本:
switch# vlan database
switch(vlan)# vtp v2-mode
在基于CLI的交换机上配置VTP版本:
switch(enable) set vtp v2 enable
13. 在基于IOS的交换机上启动VTP剪裁:
switch# vlan database
switch(vlan)# vtp pruning
在基于CL I 的交换机上启动VTP剪裁:
switch(enable) set vtp pruning enable
14.在基于IOS的交换机上配置以太信道:
switch(config-if)# port group group-number [distribution
{source|destination}]
在基于CLI的交换机上配置以太信道:
switch(enable) set port channel moudle/port-range mode{on|off|desirable|auto}
15.在基于IOS的交换机上调整根路径成本:
switch(config-if)# spanning-tree [vlan vlan-list] cost cost
在基于CLI的交换机上调整根路径成本:
switch(enable) set spantree portcost moudle/port cost
switch(enable) set spantree portvlancost moudle/port [cost cost][vlan-list]
16.在基于IOS的交换机上调整端口ID:
switch(config-if)# spanning-tree[vlan vlan-list]port-priority
port-priority
在基于CLI的交换机上调整端口ID:
switch(enable) set spantree portpri {mldule/port}priority
switch(enable) set spantree portvlanpri {module/port}priority [vlans]
17. 在基于IOS的交换机上修改STP时钟:
switch(config)# spanning-tree [vlan vlan-list] hello-time seconds
switch(config)# spanning-tree [vlan vlan-list] forward-time seconds
switch(config)# spanning-tree [vlan vlan-list] max-age seconds
在基于CLI的交换机上修改STP时钟:
switch(enable) set spantree hello interval[vlan]
switch(enable) set spantree fwddelay delay [vlan]
switch(enable) set spantree maxage agingtiame[vlan]
18. 在基于IOS的交换机端口上启用或禁用Port Fast 特征:
switch(config-if)#spanning-tree portfast
在基于CLI的交换机端口上启用或禁用Port Fast 特征:
switch(enable) set spantree portfast {module/port}{enable|disable}
19. 在基于IOS的交换机端口上启用或禁用UplinkFast 特征:
switch(config)# spanning-tree uplinkfast [max-update-rate
pkts-per-second]
在基于CLI的交换机端口上启用或禁用UplinkFast 特征:
switch(enable) set spantree uplinkfast {enable|disable}[rate update-rate]
[all-protocols off|on]
20. 为了将交换机配置成一个集群的命令交换机,首先要给管理接口分配一个IP地址,然后使用下列命令: switch(config)# cluster enable
cluster-name
21. 为了从一条中继链路上删除VLAN,可使用下列命令:
switch(enable) clear trunk module/port vlan-range
22. 用show vtp domain 显示管理域的VTP参数.
23. 用show vtp statistics显示管理域的VTP参数.
24. 在Catalyst交换机上定义TrBRF的命令如下:
switch(enable) set vlan vlan-name [name name] type trbrf bridge bridge-num[stp
{ieee|ibm}]
25. 在Catalyst交换机上定义TrCRF的命令如下:
switch (enable) set vlan vlan-num [name name] type trcrf
{ring hex-ring-num|decring decimal-ring-num} parent vlan-num
26. 在创建好TrBRF VLAN之后,就可以给它分配交换机端口.对于以太网交换,可以采用如下命令给VLAN分配端口:
switch(enable) set vlan vlan-num mod-num/port-num
27. 命令show spantree显示一个交换机端口的STP状态.
28. 配置一个ELAN的LES和BUS,可以使用下列命令:
ATM (config)# interface atm number.subint multioint
ATM(config-subif)# lane serber-bus ethernet elan-name
29. 配置LECS:
ATM(config)# lane database database-name
ATM(lane-config-databade)# name elan1-name server-atm-address
les1-nsap-address
ATM(lane-config-databade)# name elan2-name server-atm-address les2-nsap-address
ATM(lane-config-databade)# name …
30. 创建完数据库后,必须在主接口上启动LECS.命令如下:
ATM(config)# interface atm number
ATM(config-if)# lane config database database-name
ATM(config-if)# lane config auto-config-atm-address
31. 将每个LEC配置到一个不同的ATM子接口上.命令如下:
ATM(config)# interface atm number.subint multipoint
ATM(config)# lane client ethernet vlan-num elan-num
32. 用show lane server 显示LES的状态.
33. 用show lane bus显示bus的状态.
34. 用show lane database显示LECS数据库可内容.
35. 用show lane client显示LEC的状态.
36. 用show module显示已安装的模块列表.
37. 用物理接口建立与VLAN的连接:
router# configure terminal
router(config)# interface media module/port
router(config-if)# description description-string
router(config-if)# ip address ip-addr subnet-mask
router(config-if)# no shutdown
38. 用中继链路来建立与VLAN的连接:
router(config)# interface module/port.subinterface
router(config-ig)# encapsulation[isl|dotlq] vlan-number
router(config-if)# ip address ip-address subnet-mask
39. 用LANE 来建立与VLAN的连接:
router(config)# interface atm module/port
router(config-if)# no ip address
router(config-if)# atm pvc 1 0 5 qsaal
router(config-if)# atm pvc 2 0 16 ilni
router(config-if)# interface atm module/port.subinterface multipoint
router(config-if)# ip address ip-address subnet-mask
router(config-if)# lane client ethernet elan-num
router(config-if)# interface atm module/port.subinterface multipoint
router(config-if)# ip address ip-address subnet-name
router(config-if)# lane client ethernet elan-name
router(config-if)# …
40. 为了在路由处理器上进行动态路由配置,可以用下列IOS命令来进行:
router(config)# ip routing
router(config)# router ip-routing-protocol
router(config-router)# network ip-network-number
router(config-router)# network ip-network-number
41. 配置默认路由:
switch(enable) set ip route default gateway
42. 为一个路由处理器分配VLANID,可在接口模式下使用下列命令:
router(config)# interface interface number
router(config-if)# mls rp vlan-id vlan-id-num
43. 在路由处理器启用MLSP:
router(config)# mls rp ip
44. 为了把一个外置的路由处理器接口和交换机安置在同一个VTP域中:
router(config)# interface interface number
router(config-if)# mls rp vtp-domain domain-name
45. 查看指定的VTP域的信息:
router# show mls rp vtp-domain vtp domain name
46. 要确定RSM或路由器上的管理接口,可以在接口模式下输入下列命令:
router(config-if)#mls rp management-interface
47. 要检验MLS-RP的配置情况：
router# show mls rp
48. 检验特定接口上的MLS配置：
router# show mls rp interface interface number
49. 为了在MLS-SE上设置流掩码而又不想在任一个路由处理器接口上设置访问列表：
set mls flow [destination|destination-source|full]
50. 为使MLS和输入访问列表可以兼容，可以在全局模式下使用下列命令：
router(config)# mls rp ip input-acl
51. 当某个交换机的第3层交换失效时，可在交换机的特权模式下输入下列命令：
switch(enable) set mls enable
52. 若想改变老化时间的值，可在特权模式下输入以下命令：
switch(enable) set mls agingtime agingtime
53. 设置快速老化：
switch(enable) set mls agingtime fast fastagingtime pkt_threshold
54. 确定那些MLS-RP和MLS-SE参与了MLS，可先显示交换机引用列表中的内容再确定：
switch(enable) show mls include
55. 显示MLS高速缓存记录：
switch(enable) show mls entry
56. 用命令show in arp显示ARP高速缓存区的内容。
57. 要把路由器配置为HSRP备份组的成员，可以在接口配置模式下使用下面的命令：
router(config-if)# standby group-number ip ip-address
58. 为了使一个路由器重新恢复转发路由器的角色，在接口配置模式下：
router(config-if)# standy group-number preempt
59. 访问时间和保持时间参数是可配置的：
router(config-if)# standy group-number timers hellotime holdtime
60. 配置HSRP跟踪：
router(config-if)# standy group-number track type-number interface-priority
61. 要显示HSRP路由器的状态：
router# show standby type-number group brief
62. 用命令show ip igmp确定当选的查询器。
63. 启动IP组播路由选择：
router(config)# ip muticast-routing
64. 启动接口上的PIM：
dalllasr1>(config-if)# ip pim {dense-mode|sparse-mode|sparse-dense-mode}
65. 启动稀疏-稠密模式下的PIM：
router# ip multicast-routing
router# interface type number
router# ip pim sparse-dense-mode
66. 核实PIM的配置：
dallasr1># show ip pim interface[type number] [count]
67. 显示PIM邻居：
dallasr1># show ip neighbor type number
68. 为了配置RP的地址，命令如下：
dallasr1># ip pim rp-address ip-address [group-access-list-number][override]
69. 选择一个默认的RP：
dallasr1># ip pim rp-address
通告RP和它所服务的组范围：
dallasr1># ip pim send-rp-announce type number scope ttl group-list
access-list-number
为管理范围组通告RP的地址：
dallasr1># ip pim send-rp-announce ethernet0 scope 16 group-list1
dallasr1># access-list 1 permit 266.0.0.0 0.255.255.255
设定一个RP映像代理：
dallasr1># ip pim send-rp-discovery scope ttl
核实组到RP的映像：
dallasr1># show ip pim rp mapping
dallasr1># show ip pim rp [group-name|group-address] [mapping]
70. 在路由器接口上用命令ip multicast ttl-threshold ttl-value设定TTL阀值：
dallasr1>(config-if)# ip multicast ttl-threshold ttl-value
71. 用show ip pim neighbor显示PIM邻居表。
72. 显示组播通信路由表中的各条记录：
dallasr1>show ip mroute
[group-name|group-address][scoure][summary][count][active kbps]
73. 要记录一个路由器接受和发送的全部IP组播包：
dallasr1> #debug ip mpacket [detail] [access-list][group]
74. 要在CISCO路由器上配置CGMP：
dallasr1>(config-if)# ip cgmp
75.配置一个组播路由器，使之加入某一个特定的组播组：
dallasr1>(config-if)# ip igmp join-group group-address
76. 关闭 CGMP：
dallasr1>(config-if)# no ip cgmp
77. 启动交换机上的CGMP：
dallasr1>(enable) set cgmp enable
78. 核实Catalyst交换机上CGMP的配置情况：
catalystla1>(enable) show config
set prompt catalystla1>
set interface sc0 192.168.1.1 255.255.255.0
set cgmp enable
79. CGMP离开的设置：
Dallas_SW(enable) set cgmp leave
80. 在Cisco设备上修改控制端口密码：
R1(config)# line console 0
R1(config-line)# login
R1(config-line)# password Lisbon
R1(config)# enable password Lilbao
R1(config)# login local
R1(config)# username student password cisco
81. 在Cisco设备上设置控制台及vty端口的会话超时：
R1(config)# line console 0
R1(config-line)# exec-timeout 5 10
R1(config)# line vty 0 4
R1(config-line)# exec-timeout 5 2
82. 在Cisco设备上设定特权级：
R1(config)# privilege configure level 3 username
R1(config)# privilege configure level 3 copy run start
R1(config)# privilege configure level 3 ping
R1(config)# privilege configure level 3 show run
R1(config)# enable secret level 3 cisco
83. 使用命令privilege 可定义在该特权级下使用的命令：
router(config)# privilege mode level level command
84. 设定用户特权级：
router(config)# enable secret level 3 dallas
router(config)# enable secret san-fran
router(config)# username student password cisco
85. 标志设置与显示：
R1(config)# banner motd ‘unauthorized access will be prosecuted!’
86. 设置vty访问：
R1(config)# access-list 1 permit 192.168.2.5
R1(config)# line vty 0 4
R1(config)# access-class
87. 配置HTTP访问：
Router3(config)# access-list 1 permit 192.168.10.7
Router3(config)# ip http sever
Router3(config)# ip http access-class 1
Router3(config)# ip http authentication local
Router3(config)# username student password cisco
88. 要启用HTTP访问，请键入以下命令：
switch(config)# ip http sever
89. 在基于set命令的交换机上用setCL1启动和核实端口安全：
switch(enable) set port security mod_num/port_num…enable mac address
switch(enable) show port mod_num/port_num
在基于CiscoIOS命令的交换机上启动和核实端口安全：
switch(config-if)# port secure [mac-mac-count maximum-MAC-count]
switch# show mac-address-table security [type module/port]
90. 用命令access-list在标准通信量过滤表中创建一条记录：
Router(config)# access-list access-list-number {permit|deny} source-address
[source-address]
91. 用命令access-list在扩展通信量过滤表中创建一条记录：
Router(config)# access-list access-list-number {permit|deny{protocol|protocol-keyword}}{source
source-wildcard|any}{destination destination-wildcard|any}[protocol-specific
options][log]
92. 对于带内路由更新，配置路由更新的最基本的命令格式是：
R1(config-router)#distribute-list access-list-number|name in [type number]
93. 对于带外路由更新，配置路由更新的最基本的命令格式是：
R1(config-router)#distribute-list access-list-number|name out [interface-name]
routing-process| autonomous-system-number
94. set snmp命令选项：
set snmp community {read-only|ready-write|read-write-all}[community_string]
95. set snmp trap 命令格式如下：
set snmp trap {enable|disable}
[all|moudle|classis|bridge|repeater|
auth|vtp|ippermit|vmps|config|entity|stpx]
set snmp trap rvcr_addr rcvr_community
96. 启用SNMP chassis 陷阱:
Console>(enable) set snmp trap enable chassis
97. 启用所有SNMP chassis 陷阱:
Console>(enable) set snmp trap enable
98. 禁用SNMP chassis 陷阱:
Console>(enable) set snmp trap disable chassis
99. 给SNMP陷阱接收表加一条记录：
Console>(enable) set snmp trap 192.122.173.42 public
100. show snmp 输出结果。
101. 命令set snmp rmon enable 的输出结果。
102. 显示SPAN信息：
Consile> show
span
