H3C交换机设备安全基线
H3C设备安全配置基线
目录
第1章........................................................................................................................................................................................................................................................ 概述4
1.1 目的 (4)
1.2 适用范围 (4)
1.3 适用版本 (4)
第2章.................................................................................................................................................................... 帐号管理、认证授权安全要求5
2.1 帐号管理 (5)
2.1.1 用户帐号分配* (5)
2.1.2 删除无关的帐号* (6)
2.2 口令 (7)
2.2.1 静态口令以密文形式存放 (7)
2.2.2 帐号、口令和授权 (8)
2.2.3 密码复杂度 (9)
2.3 授权 (10)
2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议 (10)
第3章.......................................................................................................................................................................................................................... 日志安全要求11
3.1 日志安全 (11)
3.1.1 启用信息中心 (11)
3.1.2 开启NTP服务保证记录的时间的准确性 (12)
3.1.3 远程日志功能* (13)
第4章..................................................................................................................................................................................................................... I P协议安全要求14
4.1 IP协议 (14)
4.1.1 VRRP认证 (14)
4.1.2 系统远程服务只允许特定地址访问 (14)
4.2 功能配置 (15)
4.2.1 SNMP的Community默认通行字口令强度 (15)
4.2.2 只与特定主机进行SNMP协议交互 (16)
4.2.3 配置SNMPV2或以上版本 (17)
4.2.4 关闭未使用的SNMP协议及未使用write权限 (18)
第5章.......................................................................................................................................................................................................................... 其他安全要求19
5.1 其他安全配置 (19)
5.1.1 关闭未使用的接口 (19)
5.1.2 修改设备缺省BANNER语 (20)
5.1.3 配置定时账户自动登出 (20)
5.1.4 配置console口密码保护功能 (21)
5.1.5 端口与实际应用相符 (22)
第1章概述
1.1目的
规范配置H3C路由器、交换机设备，保证设备基本安全。
1.2适用范围
本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。
1.3适用版本
comwareV7版本交换机、路由器。
第2章帐号管理、认证授权安全要求2.1帐号管理
2.1.1用户帐号分配*
1、安全基线名称：用户帐号分配安全
2、安全基线编号：SBL-H3C-02-01-01
3、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。
4、参考配置操作：
[H3C] local-user admin
[H3C-luser-manage-admin] password hash admin@mmu2
[H3C-luser-manage-admin] authorization-attribute user-role level-15
[H3C] local-user user
[H3C-luser-network-user] password hash user@nhesa
[H3C-luser-network-user] authorization-attribute user-role network-operator
5、安全判定条件：
（1）配置文件中，存在不同的账号分配
（2）网络管理员确认用户与账号分配关系明确
6、检测操作：
使用命令dis cur命令查看：
…
#
local-user admin class manage
password hash $h$6$mmu2MlqLkGMnNyKy$9R2lM4uRDsxuoWQ==
service-type ssh
authorization-attribute user-role level-15
#
local-user user class network
password hash $h$6$mmu2MlqLkGMnNy
service-type ssh
authorization-attribute user-role network-operator
#
对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。
2.1.2删除无关的帐号*
1、安全基线名称：删除无关的账号
2、安全基线编号：SBL-H3C-02-01-02
3、安全基线说明：应删除与设备运行、维护等工作无关的账号。
4、参考配置操作：
[H3C]undo local-user user class network
5、安全判定条件：
（1）配置文件存在多个账号
（2）网络管理员确认账号与设备运行、维护等工作无关
6、检测操作：
使用dis cur | include local-user命令查看：
[H3C]dis cur | include local-user
local-user admin class manage
local-user user1 class manage
若不存在无用账号则说明符合安全要求。
2.2口令
2.2.1静态口令以密文形式存放
1、安全基线名称：静态口令以密文形式存放
2、安全基线编号：SBL-H3C-02-02-01
3、安全基线说明：配置本地用户和super口令使用密文密码。
4、参考配置操作：
[H3C-luser-manage-admin]password hash <密文password> //配置本地用户密文密码
[H3C]super password hash <密文password> //配置super密码使用密文加密
5、安全判定条件：
配置文件中没有明文密码字段。
6、检测操作：
使用dis cur显示本地用户账号和super密码为密文密码
#
local-user admin class manage
password hash
$h$6$mmu2MlqLkGMnNyKy$9R2lM4uRDoZlLwO/4Jn/G1OXExEKsv+c2lNRICxCEUU13fGSGCqkVojcHvn8a6u8gcHLXVWaCgq4/VI0sxuoWQ== service-type ssh telnet
authorization-attribute user-role level-15
#
local-user user1 class manage
password hash
$h$6$Vq2YRqXUGH5+Rb7H$gXyN9RI9CPidNbbabnP8Ul6RvR9p8+AchsO5MmNV+ePgOJ6z8/mZTL1hlnQV14oDAbvP5uHhG7gP1/U0pwHGFQ== authorization-attribute user-role network-operator
#
#
super password role network-admin hash
$h$6$5hCfLSGRV20XIu31$CMRoTM2axjYWGsOuwnhH7jdyczUUTGupjH0RinySGYft6k9RDySQS29QyciznpJoVS/thfJHRWEmiPQG7c13WQ== #
2.2.2帐号、口令和授权
1、安全基线名称：账号、口令和授权安全基线
2、安全基线编号：SBL-H3C-02-02-02
3、安全基线说明：通过认证系统，确认远程用户身份，判断是否为合法的网络用户。
4、参考配置操作：
[H3C-luser-manage-admin]password hash pipaxing@xiangyun
[H3C-luser-manage-admin]authorization-attribute user-role level-15
[H3C]domain admin
[H3C-isp-admin]authentication default local
5、安全判定条件：
账号和口令的配置，指定了认证的系统。
6、检测操作：
[H3C]dis cur
…
#
domain admin
#
domain system
#
domain default enable system
#
2.2.3密码复杂度
1、安全基线名称：密码复杂度
2、安全基线编号：SBL-H3C-02-02-03
3、安全基线说明：对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。
4、参考配置操作：
[H3C]local-user admin
[H3C-luser-manage-admin]password pipaxing@xiangyun
5、安全判定条件：
密码强度符合要求，密码至少90天进行更换。
2.3授权
2.3.1用IP协议进行远程维护的设备使用SSH等加密协议
1、安全基线名称：用IP协议进行远程维护设备
2、安全基线编号：SBL-H3C-02-03-01
3、安全基线说明：使用IP协议进行远程维护设备，应配置使用SSH等加密协议连接。
4、参考配置操作：
[H3C]ssh server enable
[H3C]local-user admin
[H3C-luser-manage-admin]service-type ssh
5、安全判定条件：
配置文件中只允许SSH等加密协议连接。
6、检测操作：
使用dis cur | include ssh命令：
[H3C]dis cur | include ssh
ssh server enable
service-type ssh
ssh 服务为enable状态表明符合安全要求。
第3章日志安全要求
3.1日志安全
3.1.1启用信息中心
1、安全基线名称：启用信息中心
2、安全基线编号：SBL-H3C-03-01-01
3、安全基线说明：启用信息中心，记录与设备相关的事件。
4、参考配置操作：
[H3C]info-center enable
5、安全判定条件：
（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录使用的IP地址。
（2）记录用户登录设备后所进行的所有操作。
6、检测操作：
使用dis info-center有显示Information Center: Enabled类似信息，如：
[H3C]dis info-center
Information Center: Enabled
Console: Enabled
Monitor: Enabled
Log host: Enabled
10.1.0.20,
port number: 514, host facility: local7
10.1.0.95,
port number: 514, host facility: local7
10.1.0.99,
port number: 514, host facility: local7
Log buffer: Enabled
Max buffer size 1024, current buffer size 512
Current messages 512, dropped messages 0, overwritten messages 3736
Log file: Enabled
Security log file: Disabled
Information timestamp format:
Log host: Date
Other output destination: Date
3.1.2开启NTP服务保证记录的时间的准确性
1、安全基线名称：日志记录时间准确性
2、安全基线编号：SBL-H3C-03-01-02
3、安全基线说明：开启NTP服务，保证日志功能记录的时间的准确性。
4、参考配置操作：
配置ntp客户端，服务器地址为192.168.1.1：
[H3C]ntp-service enable
[H3C]ntp-service unicast-server 192.168.1.1
5、安全判定条件：
日志记录时间准确。
6、检测操作：
[H3C]dis cur | include ntp
ntp-service enable
ntp-service unicast-server 192.168.1.1
3.1.3远程日志功能*
1、安全基线名称：远程日志功能
2、安全基线编号：SBL-H3C-03-01-03
3、安全基线说明：配置远程日志功能，使设备能通过远程日志功能传输到日志服务器。
4、参考配置操作：
[H3C]info-center loghost *.*.*.* //配置接收日志的服务器地址
[H3C]info-center source default loghost level emergency //配置发送的日志级别5、安全判定条件：
日志服务器能够正确接收网络设备发送的日志。
6、检测操作：
使用命令dis cur | include info-center查看：
[H3C]dis cur | include info-center
undo copyright-info enable
info-center loghost 10.1.0.20
info-center loghost 10.1.0.95
info-center loghost 10.1.0.99
info-center source default loghost level emergency
第4章IP协议安全要求
4.1IP协议
4.1.1VRRP认证
1、安全基线名称：VRRP认证
2、安全基线编号：SBL-H3C-04-01-01
3、安全基线说明：VRRP启用认证，防止非法设备加入到VRRP组中。
4、安全判定条件：
查看VRRP组，只存在正确的设备。
5、检测操作：
使用命令dis vrrp
4.1.2系统远程服务只允许特定地址访问
1、安全基线名称：系统远程服务只允许特定地址访问
2、安全基线编号：SBL-H3C-04-01-02
3、安全基线说明：设备以UDP/TCP协议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET服务器、TFTP服务器、FTP服务器、SSH服务器等，应配置设备，只允许特定主机访问。
4、参考配置操作：
通过配置访问控制列表ACL，只允许特定的地址访问设备的服务，如：
[H3C]acl advanced 3000
[H3C-acl-ipv4-adv-3000]rule 0 permit tcp source 10.18.54.12 0 destination 10.1.0.50 0 destination-port eq 443
[H3C-acl-ipv4-adv-3000]rule 65534 deny ip
5、安全判定条件：
在相关端口上绑定相应的ACL。
6、检测操作：
使用dis cur命令查看：
#
interface Vlan-interface10
ip address 10.1.0.50 255.255.255.0
packet-filter 3000 inbound
#
4.2功能配置
4.2.1SNMP的Community默认通行字口令强度
1、安全基线名称：SNMP协议的community团体字
2、安全基线编号：SBL-H3C-04-02-01
3、安全基线说明：修改SNMP的community默认团体字，字符串应符合口令强度要求。
4、参考配置操作：
[H3C]snmp-agent community read
[H3C] snmp-agent community write < community团体字>
5、安全判定条件：
Community非默认，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
6、检测操作：
使用命令dis cur | include snmp查看：
[H3C]dis cur | include snmp
snmp-agent
snmp-agent local-engineid 800063A280A4F25325010000000001
snmp-agent community read xiangyun_read
snmp-agent community write xiangyun_write
snmp-agent sys-info version v3
snmp-agent trap enable arp
snmp-agent trap enable radius
snmp-agent trap enable stp
7、补充：
若设备不需要使用SNMP协议应关闭SNMP功能，若需要用到应使用V2版本以上的SNMP协议。
4.2.2只与特定主机进行SNMP协议交互
1、安全基线名称：只与特定主机进行SNMP协议交互
2、安全基线编号：SBL-H3C-04-02-02
3、安全基线说明：设备只与特定主机进行SNMP协议交互
4、参考配置操作：
使用ACL限制只与特定主机进行SNMP交互
[H3C]acl advanced name acl_snmp
[H3C-acl-ipv4-adv-acl_snmp]rule permit ip source 11.11.1.10 0
[H3C-acl-ipv4-adv-acl_snmp]rule deny ip source any
[H3C]snmp-agent community read xiangyun acl name acl_snmp
5、安全判定条件：
Snmp绑定了acl
6、检测操作：
使用dis cur | include snmp命令查看：
[H3C]dis cur | include snmp
snmp-agent
snmp-agent local-engineid 800063A280A4F25325010000000001
snmp-agent community read xiangyun
snmp-agent sys-info version 3
snmp-agent trap enable arp
snmp-agent trap enable radius
snmp-agent trap enable stp
snmp-agent community read xiangyun acl name acl_snmp
4.2.3配置SNMPV2或以上版本
1、安全基线名称：配置SNMPv2或以上版本
2、安全基线编号：SBL-H3C-04-02-03
3、安全基线说明：系统应配置SNMPv2或以上版本
4、参考配置操作：
[H3C]snmp-agent sys-info version v3
5、安全判定条件：
系统可以成功使用snmpv2或v3版本协议。
6、检测操作：
使用dis cur | include snmp命令查看：
[H3C]dis cur | include snmp
…..
snmp-agent sys-info version 3
…..
4.2.4关闭未使用的SNMP协议及未使用write权限
1、安全基线名称：关闭未使用的SNMP协议及未使用write权限
2、安全基线编号：SBL-H3C-04-02-04
3、安全基线说明：系统应及时关闭未使用的SNMP协议及未使用write权限
4、参考配置操作：
[H3C]undo snmp-agent community pipaxing
5、安全判定条件：
Snmp权限为read。
6、检测操作：
使用dis cur | include snmp命令查看，权限只有read：
[H3C]dis cur | include snmp
…..
snmp-agent community read xiangyun
…..
第5章其他安全要求
5.1其他安全配置
5.1.1关闭未使用的接口
1、安全基线名称：关闭未使用的接口
2、安全基线编号：SBL-H3C-05-01-01
3、安全基线说明：关闭未使用的接口
4、参考配置操作：
[H3C]int g1/0/10
[H3C-GigabitEthernet1/0/10]shutdown
5、安全判定条件：
未使用接口应该管理员down。
6、检测操作：
[H3C]dis cur
….
#
interface GigabitEthernet1/0/10
port link-mode bridge
combo enable fiber
shutdown
#
….
5.1.2修改设备缺省BANNER语
1、安全基线名称：修改设备缺省BANNER语
2、安全基线编号：SBL-H3C-05-01-02
3、安全基线说明：要修改设备缺省BANNER语，BANNER最好不要有系统平台或地址等有碍安全的信息。
4、参考配置操作：
[H3C]header login
Please input banner content, and quit with the character '%'.
5、安全判定条件：
欢迎界面、提示符等不包含敏感信息。
6、检测操作：
通过远程登录或console口登录查看设备提示信息。
5.1.3配置定时账户自动登出
1、安全基线名称：配置账号定时自动退出
2、安全基线编号：SBL-H3C-05-01-03
3、安全基线说明：如Telnet、ssh、console登录连接超时退出
4、参考配置操作：
配置vty登录3分钟无操作自动退出：
[H3C]user-interface vty 0 4
[H3C-line-vty0-4]idle-timeout 3
5、安全判定条件：
每种登录方式均设备了超时退出时间。
6、检测操作：
使用dis cur查看：
[H3C]dis cur
…
#
line vty 0 4
authentication-mode scheme
user-role level-4
idle-timeout 3 0
#
…
5.1.4配置console口密码保护功能
1、安全基线名称：配置console口密码保护
2、安全基线编号：SBL-H3C-05-01-04
3、安全基线说明：配置console口密码保护
4、参考配置操作：
[H3C]user-interface aux 0
[H3C-line-aux0]authentication-mode password
[H3C-line-aux0]set authentication password simple admin123
5、安全判定条件：
通过console口登录，确认需要密码。
6、检测操作：
使用命令dis cur查看：
[H3C]dis cur
…
#
line aux 0
authentication-mode password
user-role network-admin
set authentication password hash $h$6$QpooKvn4vB7WJP7u/J9oscewiEEVfvQ==
#
…
5.1.5端口与实际应用相符
1、安全基线名称：端口与实际应用相符
2、安全基线编号：SBL-H3C-05-01-05
3、安全基线说明：系统使用的端口默认无描述，安全事件处理及后期日志查询较为不变，出于安全考虑，应该将使用的端口添加符合实际应用的描述。
华为交换机各种配置方法
端口限速基本配置1 端口绑定基本配置 ACL基本配置 密码恢复 三层交换配置 端口镜像配置 DHCP配置 配置文件管理 远程管理配置 STP配置 私有VLAN配置 端口trunk、hybrid应用配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』
华为交换机各种配置实例[网管必学]
华为交换机各种配置实例[网管必学 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 )参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps
2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。 【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。
华为交换机常用命令
华为交换机常用命令： 1、display current-configuration 显示当前配置 2、display interface GigabitEthernet 1/1/4 显示接口信息 3、display packet-filter interface GigabitEthernet 1/1/4 显示接口acl应用信息 4、display acl all 显示所有acl设置3900系列交换机 5、display acl config all 显示所有acl设置6500系列交换机 6、display arp 10.78.4.1 显示该ip地址的mac地址，所接交换机的端口位置 7、display cpu显示cpu信息 8、system-view 进入系统图（配置交换机），等于config t 命令 9、acl number 5000 在system-view命令后使用，进入acl配置状态 10、rule 0 deny 0806 ffff 24 0a4e0401 f 40 在上面的命令后使用，，acl 配置例子 11、rule 1 permit 0806 ffff 24 000fe218ded7 f 34 //在上面的命令后使用，acl配置例子 12、interface GigabitEthernet 1/0/9 //在system-view命令后使用，进入接口配置状态 13、[86ZX-S6503-GigabitEthernet1/0/9]qos //在上面的命令后使用，进入接口qos配置 14、[86ZX-S6503-qosb-GigabitEthernet1/0/9]packet-filter inbound user-group 5000 //在上面的命令后使用，在接口上应用进站的acl 15、[Build4-2_S3928TP-GigabitEthernet1/1/4]packet-filter outbound user-group 5001 //在接口上应用出站的acl 16、undo acl number 5000 //取消acl number 5000 的设置 17、ip route-static 0.0.0.0 0.0.0.0 10.78.1.1 preference 60 //设置路由 18、reset counters interface Ethernet 1/0/14 //重置接口信息 19、save //保存设置 20、quit //退出（此信息仅为分享之用，我们不排除对您并不适用的可能。另，如此信息侵犯您的权益，请告知我们，我们会及时删除） 华为路由器交换机配置命令：交换机命令 [Quidway]discur；显示当前配置 [Quidway]displaycurrent-configuration；显示当前配置 [Quidway]displayinterfaces；显示接口信息 [Quidway]displayvlanall；显示路由信息 [Quidway]displayversion；显示版本信息 [Quidway]superpassword；修改特权用户密码 [Quidway]sysname；交换机命名
XX银行H3C交换机安全基线配置
X X银行H3C交换机系列安全配置基线
目录 1适用声明 (2) 2访问控制 (3) 2.1配置ACL规则 (3) 2.2配置常见的漏洞攻击和病毒过滤功能 (4) 3安全审计 (6) 3.1开启设备的日志功能 (6) 4入侵防范 (7) 4.1配置防ARP欺骗攻击 (7) 5网络设备防护 (8) 5.1限制管理员远程直接登录 (8) 5.2连接空闲时间设定 (9) 5.3远程登陆加密传输 (10) 5.4配置CONSOLE口密码保护功能和连接超时 (11) 5.5按照用户分配账号 (12) 5.6删除设备中无用的闲置账号 (13) 5.7修改设备上存在的弱口令 (13) 5.8配置和认证系统联动功能 (14) 配置和认证系统联动功能 (14) 5.9配置NTP服务 (15) 5.10修改SNMP的COMMUNITY默认通行字 (16) 5.11使用SNMPV2或以上版本 (17) 5.12设置SNMP的访问安全限制 (18) 5.13系统应关闭未使用的SNMP协议及未使用RW权限 (19) 5.14关闭不必要的服务 (19) 5.15配置防源地址欺骗攻击 (20) 5.16禁止设备未使用或者空闲的端口 (21) 5.17远程连接源地址限制 (21)
1 适用声明 适用人员IT部的网络维护人员、安全评估人员、安全审计人员 适用版本H3C同系列的网络交换机 适用等保一级项 适用等保二级项 适用等保三级项 适用等保四级项 参考依据《H3C交换机配置手册》 《GB/T 20270-2006 信息安全技术网络基础安全技术要求》 《GB/T 20011-2005 信息安全技术路由器安全评估准则》 《JR/T 0068-2012 网上银行系统信息安全通用规范》 《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》 《GB/T 25070-2010 信息安全技术信息系统等级保护安全设计技术要 求》 《JR/T 0071-2012金融行业信息系统信息安全等级保护实施指引》
华为交换机及路由器各种配置实例大全(20200909191858)
交换机配置（三）ACL基本配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为、 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率 限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30
3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的 粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的 级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】 对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示，，，，20M，40M，60M，80M。 此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。 『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合 acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图
华为交换机基本配置命令29908
华为交换机基本配置命令 一、单交换机VLAN划分 命令命令解释 system 进入系统视图 system-view 进入系统视图 quit 退到系统视图 undo vlan 20 删除vlan 20 sysname 交换机命名 disp vlan 显示vlan vlan 20 创建vlan(也可进入vlan 20) port e1/0/1toe1/0/5 把端口1-5放入VLAN 20 中 5700系列 单个端口放入VLAN [Huawei]intg0/0/1 [Huawei]port link-typeaccess（注：接口类型access，hybrid、trunk） [Huawei]port default vlan 10 批量端口放入VLAN [Huawei]port-group 1 [Huawei-port-group-1]group-member ethernet G0/0/1 to ethernet G0/0/20 [Huawei-port-group-1]port hybrid untagged vlan 3 删除group（组）vlan 200内的15端口 [Huawei]intg0/0/15 [Huawei-GigabitEthernet0/0/15]undo port hybrid untagged vlan 200 通过group端口限速设置 [Huawei]Port-group 2 [Huawei]group-member g0/0/2 to g0/0/23 [Huawei]qos lr outbound cir 2000 cbs 20000 disp vlan 20 显示vlan里的端口20 int e1/0/24 进入端口24 undo port e1/0/10 表示删除当前VLAN端口10 disp curr 显示当前配置 return 返回 Save 保存 info-center source DS channel 0 log state off trap state off通过关闭日志信息命令改变DS模块来实现（关闭配置后的确认信息显示） info-center source DS channel 0 log state on trap state on 通过打开日志信息命令改变DS模块来实现（打开配置后的确认信息显示）
华为交换机安全防范技术
在网络实际环境中，随着计算机性能的不断提升，针对网络中的交换机、路由器或其它计算机等设备的攻击趋势越来越严重，影响越来越剧烈。交换机作为局域网信息交换的主要设备，特别是核心、汇聚交换机承载着极高的数据流量，在突发异常数据或攻击时，极易造成负载过重或宕机现象。为了尽可能抑制攻击带来的影响，减轻交换机的负载，使局域网稳定运行，交换机厂商在交换机上应用了一些安全防范技术，网络管理人员应该根据不同的设备型号，有效地启用和配置这些技术，净化局域网环境。本文以华为3COM公司的Quidway系列交换机为例，分两期为您介绍常用的安全防范技术和配置方法。以下您将学到广播风暴控制技术、MAC地址控制技术、DHCP控制技术及ACL技术。 广播风暴控制技术 网卡或其它网络接口损坏、环路、人为干扰破坏、黑客工具、病毒传播，都可能引起广播风暴，交换机会把大量的广播帧转发到每个端口上，这会极大地消耗链路带宽和硬件资源。可以通过设置以太网端口或VLAN的广播风暴抑制比,从而有效地抑制广播风暴，避免网络拥塞。 1.广播风暴抑制比 可以使用以下命令限制端口上允许通过的广播流量的大小，当广播流量超过用户设置的值后，系统将对广播流量作丢弃处理，使广播所占的流量比例降低到合理的范围，以端口最大广播流量的线速度百分比作为参数，百分比越小，表示允许通过的广播流量越小。当百分比为100时，表示不对该端口进行广播风暴抑制。缺省情况下，允许通过的广播流量为100%，即不对广播流量进行抑制。在以太网端口视图下进行下列配置： broadcast-suppression ratio 2.为VLAN指定广播风暴抑制比 同样，可以使用下面的命令设置VLAN允许通过的广播流量的大小。缺省情况下，系统所有VLAN不做广播风暴抑制，即max-ratio值为100%。 MAC地址控制技术 以太网交换机可以利用MAC地址学习功能获取与某端口相连的网段上各网络设备的MAC 地址。对于发往这些MAC地址的报文，以太网交换机可以直接使用硬件转发。如果MAC地址表过于庞大，可能导致以太网交换机的转发性能的下降。MAC攻击利用工具产生欺骗的MAC地址，快速填满交换机的MAC表，MAC表被填满后，交换机会以广播方式处理通过交换机的报文，流量以洪泛方式发送到所有接口，这时攻击者可以利用各种嗅探工具获取网络信息。TRUNK接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包，甚至瘫痪。可以通过设置端口上最大可以通过的MAC地址数量、MAC地址老化时间，来抑制MAC攻击。 1.设置最多可学习到的MAC地址数
H3C交换机设备安全基线
H3C设备安全配置基线 目录 第 1 章概述 (5) 1.1 目的 (5) 1.2 适用范围 (5) 1.3 适用版本 (5) 第 2 章帐号管理、认证授权安全要求 (6) 2.1 帐号管理 (6) 2.1.1 用户帐号分配* (6) 2.1.2 删除无关的帐号* (7) 2.2 口令 (8) 2.2.1 静态口令以密文形式存放 (8) 2.2.2 帐号、口令和授权 (9) 2.2.3 密码复杂度 (10) 2.3 授权 (11) 2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议 (11) 第 3 章日志安全要求 (13) 3.1 日志安全 (13) 3.1.1 启用信息中心 (13)
3.1.2 开启NTP服务保证记录的时间的准确性 (14) 3.1.3 远程日志功能* (15) 第4章IP协议安全要求 (17) 4.1 IP 协议 (17) 4.1.1 VRRP认证 (17) 4.1.2 系统远程服务只允许特定地址访问 (17) 4.2 功能配置 (18) 4.2.1 SNMP的Community默认通行字口令强度 (18) 4.2.2 只与特定主机进行SNMP协议交互 (19) 4.2.3 配置SNMPV2或以上版本 (20) 424 关闭未使用的SNMP协议及未使用write权限 (21) 第 5 章IP 协议安全要求 (23) 5.1 其他安全配置 (23) 5.1.1 关闭未使用的接口 (23) 5.1.2 修改设备缺省BANNER语 (24) 5.1.3 配置定时账户自动登出 (24) 5.1.4 配置console 口密码保护功能 (25) 5.1.5 端口与实际应用相符 (26)
最新华为交换机常用配置实例
最新华为交换机常用配置实例 2016最新华为交换机常用配置实例 华为交换机常用配置实例 sys进入到系统视图 Entersystemview,returntouserviewwithCtrl+Z. [Quidway]user-interfaceaux0 [Quidway-ui-aux0]authentication-modescheme Notice:TelnetorSSHusermustbeadded,otherwiseoperatorcan't login! [Quidway-ui-aux0]qu [Quidway]local-userhuawei增加用户名 Newlocaluseradded. [Quidway-luser-huawei]passwordsimplehuawei配置密码,且密码不加密 [Quidway-luser-huawei]service-typetelnetsshlevel3 服务类型为SSH和telnet,且用户登陆后权限为管理员权限 [Quidway-luser-huawei]qu [Quidway]user-interfacevty04 [Quidway-ui-vty0-4]authentication-modescheme Notice:TelnetorSSHusermustbeadded,otherwiseoperatorcan't login! [Quidway-ui-vty0-4]
save 华为QuidWay交换机配置命令手册： 1、开始 建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console口连接。 在主机上运行终端仿真程序(如Windows的超级终端等)，设置终端通信参数为：波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控，并选择终端类型为VT100。 以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符(如)。 键入命令，配置以太网交换机或查看以太网交换机运行状态。需要帮助可以随时键入"?" 2、命令视图 (1)用户视图(查看交换机的简单运行状态和统计信息):与交换机建立连接即进入 (2)系统视图(配置系统参数)[Quidway]:在用户视图下键入system-view (3)以太网端口视图(配置以太网端口参数)[Quidway- Ethernet0/1]:在系统视图下键入interfaceethernet0/1 (4)VLAN视图(配置VLAN参数)[Quidway-Vlan1]:在系统视图下键入vlan1 (5)VLAN接口视图(配置VLAN和VLAN汇聚对应的IP接口参 数)[Quidway-Vlan-interface1]:在系统视图下键入 interfacevlan-interface1 (6)本地用户视图(配置本地用户参数)[Quidway-luser-user1]:在系统视图下键入local-useruser1
华为交换机配置命令
华为交换机配置命令
华为交换机配置指令 视图切换指令
打开以太网端口：[Switch-ethernet port-id]undo shutdown 设置以太网端口描述字符串：[Switch-ethernet port-id]description text 设置以太网端口的双工模式：[Switch-ethernet port-id]duplex { auto| full| half } 设置以太网端口的速率：[Switch-ethernet port-id]speed { 10 | 100 | 1000 | auto } 设置以太网端口的MDI模式：[Switch-ethernet port-id]mdi {across| auto | normal } 开启以太网端口的流量控制功能：[Switch-ethernet port-id]flow-control display查看指令 查看版本信息：
华为交换机常用命令配置介绍
华为交换机配置命令 华为QuidWay交换机配置命令手册： 1、开始 建立本地配置环境，将主机的串口通过配置电缆与以太网交换机的Console口连接。 在主机上运行终端仿真程序（如Windows的超级终端等），设置终端通信参数为：波特率为9600bit/s、8位数据位、1位停止位、无校验和无流控，并选择终端类型为VT100。 以太网交换机上电，终端上显示以太网交换机自检信息，自检结束后提示用户键入回车，之后将出现命令行提示符（如
华为交换机及路由器各种配置实例大全
华为交换机各种配置实例 交换机配置（三）ACL基本配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps
[SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】 对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。 『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate 3 3. 配置acl，定义符合速率限制的数据流
华为交换机配置30例
目录 交换机远程TELNET登录 (2) 交换机远程AUX口登录 (5) 交换机DEBUG信息开关 (6) 交换机SNMP配置 (9) 交换机WEB网管配置 (10) 交换机VLAN配置 (12) 端口的TRUNK属性配置（一） (14) 交换机端口TRUNK属性配置（二） (16) 交换机端口TRUNK属性配置（三） (18) 交换机端口HYBRID属性配置 (21) 交换机IP地址配置 (23) 端口汇聚配置 (25) 交换机端口镜像配置 (27) 交换机堆叠管理配置 (29) 交换机HGMP V1 管理配置 (31) 交换机集群管理（HGMP V2）配置 (33) 交换机STP配置 (34) 路由协议配置 (36) 三层交换机组播配置 (41) 中低端交换机DHCP-RELAY配置 (44) 交换机802.1X配置 (46) 交换机VRRP配置 (51) 单向访问控制 (54) 双向访问控制 (57) IP+MAC+端口绑定 (62) 通过ACL实现的各种绑定的配置 (64) 基于端口限速的配置 (66)
基于流限速的配置 (68) 其它流动作的配置 (70) 8016 交换机DHCP配置 (73)
. 交换机远程T ELNET 登录 1 功能需求及组网说明 2 telnet 配置 『配置环境参数 』 PC 机固定I P 地址10.10.10.10/24 SwitchA 为三层交换机，vlan100 地址10.10.10.1/24 SwitchA 与S witchB 互连v lan10 接口地址192.168.0.1/24 SwitchB 与S witchA 互连接口v lan100 接口地址192.168.0.2/24 交换机S witchA 通过以太网口e thernet 0/1 和S witchB 的e thernet0/24 实现互连。 『组网需求』 1. SwitchA 只能允许10.10.10.0/24 网段的地址的P C telnet 访问 2. SwitchA 只能禁止10.10.10.0/24 网段的地址的P C telnet 访问 3. SwitchB 允许其它任意网段的地址t elnet 访问 2 数据配置步骤 『PC 管理交换机的流程』 1. 如果一台P C 想远程T ELNET 到一台设备上，首先要保证能够二者之间正常通信。 SwitchA 为三层交换机，可以有多个三层虚接口，它的管理v lan 可以是任意一个 具有三层接口并配置了I P 地址的v lan 2. SwitchB 为二层交换机，只有一个二层虚接口，它的管理v lan 即是对应三层虚 接口并配置了I P 地址的v lan 3. Telnet 用户登录时，缺省需要进行口令认证，如果没有配置口令而通过T elnet 登录，则系统会提示“password required, but none set.”。 【SwitchA 相关配置】
华为交换机S5000系列常用配置
华为S5000交换机常用配置 登录Web设置页面 1.您需要将管理计算机的IP地址与交换机的IP地址（缺省为19 2.168.0.233/255.255.255.0）设置在同一子网中。如果采用远程配置，请确保管理计算机和交换机路由可达。 2.开启/关闭HTTP服务器：
H3C交换机安全配置基线
H3C交换机安全配置基线（Version 1.0） 2012年12月
目录 1 引言 (1) 2 适用范围 (1) 3 缩略语 (1) 4 安全基线要求项命名规则 (2) 5 文档使用说明 (2) 6 注意事项 (3) 7 安全配置要求 (3) 7.1 账号管理 (3) 7.1.1 运维账号共享管理 (3) 7.1.2 删除与工作无关账号 (3) 7.2 口令管理 (4) 7.2.1 静态口令加密 (4) 7.2.2 静态口令运维管理 (4) 7.3 认证管理 (5) 7.3.1 RADIUS认证（可选） (5) 7.4 日志审计 (6) 7.4.1 RADIUS记账（可选） (6) 7.4.2 启用信息中心 (6) 7.4.3 远程日志功能 (7) 7.4.4 日志记录时间准确性 (7)
7.5 协议安全 (7) 7.5.1 BPDU防护 (8) 7.5.2 根防护 (8) 7.5.3 VRRP认证 (8) 7.6 网络管理 (9) 7.6.1 SNMP协议版本 (9) 7.6.2 修改SNMP默认密码 (9) 7.6.3 SNMP通信安全（可选） (10) 7.7 设备管理 (10) 7.7.1 交换机带内管理方式 (10) 7.7.2 交换机带内管理通信 (11) 7.7.3 交换机带内管理超时 (11) 7.7.4 交换机带内管理验证 (12) 7.7.5 交换机带内管理用户级别 (12) 7.7.6 交换机带外管理超时 (13) 7.7.7 交换机带外管理验证 (13) 7.8 端口安全 (13) 7.8.1 使能端口安全 (13) 7.8.2 端口MAC地址数 (14) 7.8.3 交换机VLAN划分 (14) 7.9 其它 (15) 7.9.1 交换机登录BANNER管理 (15)
华为交换机 综合配置案例
2综合配置案例关于本章 2.1 中小型园区/分支出口综合配置举例 2.2 大型园区出口配置示例（防火墙直连部署） 2.3 大型园区出口配置示例（防火墙旁路部署） 2.4 校园敏捷网络配置示例 2.5 轨道交通承载网快速自愈保护技术配置举例 2.6 配置交换机上同时部署ACU2和NGFW的示例
2.1 中小型园区/分支出口综合配置举例 园区网出口简介 园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之 间数据流的唯一出入口。对于中小型企业来说，考虑到企业网络建设的初期投资与长 期运维成本，一般希望将多种业务部署在同一设备上。企业网络用户一般同时需要访 问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用 运营商Internet网络组建私网VPN。对于部分可靠性要求较高的园区网络，一般考虑部 署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路 由等技术保证园区出口的可靠性。华为AR系列路由器配合华为S系列交换机是中小型 园区网出口设备的理想解决方案。 l园区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需 求。 l园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求。 l园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全。 l中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。 配置注意事项 l本配置案例适用于中小型企业园区/分支出口解决方案。 l本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S 系列园区交换机快速配置中的“中小园区组网场景”。 组网需求 某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部 门，分支只有一个部门。现在需要建设跨地域的企业园区网络，需要实现的需求如 下： l总部和分支都需要实现用户访问Internet的需求。总部划分为A、B两个部门，其中A部门的用户可以访问Internet，但是B部门的用户不能访问Internet；分支所有用户 都可以访问Internet。 l总部有Web服务器，对外提供WWW服务，外网用户可以访问内网服务器。 l总部和分支之间需要通过Internet进行私网VPN互通，通信内容需要有安全保护。 l总部园区出口可靠性要求较高，需要考虑链路级的可靠性和设备级的可靠性。 l分支可以适当降低可靠性要求。 方案介绍 根据用户需求，可以给出如图2-1所示的综合配置解决方案，该方案具备层次化、模块 化、冗余性、安全性的特点，适用于中小型企业/分支的园区网络部署。
华三华为交换机-路由器配置常用命令汇总
H3C交换机配置命令大全 1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、port link-type Access|Trunk|Hybrid 设置端口访问模式 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口 9、quit 退出当前视图模式 10、vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全 1、system-view 进入系统视图模式 2、sysname R1 为设备命名为R1 3、display ip routing-table 显示当前路由表 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 0/0 进入以太网端口视图 6、ip address 192.168.1.1 255.255.255.0 配置IP地址和子网掩码 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口