网络工程师考试命令合集交换机、路由器、ACL、NAT、防火墙等配置命令

交换机基本配置

display current-configuration //显示当前配置

display saved-configuration //保存的配置

auto speed 100 //接口在自协商模式下速率为100mbps

negotiation auto //自协商为全双工

display interface 端口 //查看该端口的状态

vlan x

management-vlan //设置管理vlan

port-group 1 //进入接口组视图

group-member gigabitethernet0/0/1 to gigabitethernet0/0/10 //组成员为1-10接口方便一次操作多个接口

telnet远程登录

telnet server enable //启用远程登陆服务

user-interface vty 0 4 //开启VTY线路模式 0-4这5个用户

protocol inbound telnet //配置VTY支持telnet协议

authentication-mode aaa|password|none //配置认证方式

aaa //进入aaa视图

local-user 用户名 password [cipher|simple] 密码 //添加登录用户名密码（明文或密文）

local-user 用户名 privilege level 3 //设置用户权限最大为15

return //回到用户视图

save //保存

console用户验证方式

user-interface console 0 //进入console控制台接口

authentication-mode aaa|password|none //验证模式为密码认证

如果是password即

authentication-mode password

则需配置密码

set authentication password [cipher] 密码

端口隔离（同一组实现隔离不同组不隔离）

port-isolate mode l2|all //配置全局端口隔离为二层或三层隔离

interface 端口

port-isolate enable group 1 //端口开启隔离并加入group1

添加静态MAC地址表项

mac-address static 0001-0002-0003 ethernet 1/0/1 vlan 5 //目的地址为0001-0002-0003，vlan5的报文从接口1/0/1转发出去

display mac-address //查看MAC地址表

vlan

基于端口划分

undo vlan 3 //撤销vlan

vlan batch 10 to 15 //vlan 10 11 12 13 14 15 批量创建vlan

vlan 3

name huawei //vlan3 设置名字为huawei 下次进入vlan3可用vlan vlan-name huawei

port link-type hybrid //混合模式

port hybrid untagged|tagged vlan 5 //带不带标记，并加入vlan5

port default vlan id, port trunk allow-pass vlan all|id to id //其他两个模式

interface vlanif 1 //进入交换机虚接口

ip address 192.168.1.1 24 //设置ip

基于mac地址划分

vlan 3

mac-vlan mac-address 0001-0002-0003 //MAC地址和vlan3关联

interface ethernet 0/0/1

mac-vlan enable //在接口下使能MAC地址的划分

gvrp的配置

normal,fixed:禁止动态注册注销vlan，只传播静态vlan信息，forbidden：只传播vlan1的信息。

gvrp //全局使能GVRP

各接口设置为trunk 允许所有vlan信息

interface ethernet 0/0/1

gvrp

gvrp registration normal|fixed|forbidden //注册模式

display gvrp statistics //查看接口的GVRP统计信息

stp的配置

stp mode stp|rstp //运行stp或rstp

stp root primary //交换机指定为根桥

stp root secondary //交换机指定为备份根桥

stp priority 优先级 //设置网桥的优先级 4096的倍数

stp pathcost-standard legacy //华为的路径开销算法legacy

Ethernet0/0/1

stp cost 20000 //手动设置端口路径开销 20000为最大，一般把将阻塞的端口设为此

stp edged-port enable //与PC相连的端口设为边缘端口

stp bpdu-filter enable //启用bpdu报文过滤

stp enable |disable //交换机启用或关闭stp功能

路由器配置

dhcp服务器配置

dhcp enable //全局使能DHCP功能

ip pool pool1 //创建地址池pool1

network 192.168.1.0 mask 255.255.255.0 //范围

gateway-list 192.168.1.254 //网关

dns-list ip1 ip 2 //dns地址

lease day 1 hour 10 //租约信息 1天10小时

static-bind ip-address 192.168.1.1 mac-address 0001-0002-0003 //静态绑定MAC地址和ip

excluded-ip-address 192.168.1.10 //不分配的IP地址

interface ethernet0/0/1

dhcp select global //使能接口采用全局地址池的DHCP功能

dhcp relay server-ip 12.12.1.1 //dhcp中继代理的设置

静态路由设置

ip route-static 192.168.1.0 24 192.168.10.1

ip route-static 192.168.1.0 255.255.255.0 s0

ip route-static 0.0.0.0 0.0.0.0 10.0.0.1

display ip routing-table // 查看路由表

ipv6静态路由

进入接口

ipv6 enable

ipv6 address 1::1 64

ipv6 route-static : : 0 12::2 //下一跳都是转发给12::2（默认路由）

ipv6 route-static 1: : 64 12::1 //静态路由配置

display ipv6 routing-table

动态路由

优先级，直连路由：0，ospf：10，is-is：15，静态路由：60，rip：100，BGP：255

cost为度量值，度量值越小越好

rip（30s） ripv1广播 v2组播224.0.0.9 ripng是ipv6的协议

rip 1

version 2

network 10.0.0.0

undo summary //取消路由汇聚功能

peer 10.0.0.3 //说明邻接路由器

display rip route //查看rip协议的路由信息

display rip interface //查看rip接口信息

bfd快速收敛与rip联动

bfd //全局使能BFD

rip 1 //进入rip视图

bfd all-interfaces enable //所有接口启动bfd功能

ospf

router id 1.1.1.1 //路由器标识

ospf 1

area 0 //骨干网，area1 区域为0.0.0.1

network 192.168.2.0 0.0.0.255

display ospf routing //查看ospf路由信息

display ospf peer //查看邻居信息

ospf cost 开销值 //手动设定开销值

is-is中间系统到中间系统类似ospf

isis 1

is-level level-1

network-entity net

isis enable

display isis route

display isis peer

路由重发布（边界路由器）

rip 1 //进入rip视图

import-route ospf 109 cost 10（不大于15）

ospf 1

import-route rip 1 cost 200

import-route static //静态路由重发布

BGP协议

vrrp

vrrp vrid 1 virtual-ip 192.168.1.254 //虚拟网关ip为192.168.1.254

vrrp vrid 1 priority 120 //优先级

vrrp vrid 1 track interface gi0/0/2 reduced 100（如果gi0/0/2端口的状态变为down，则优先级降低100，变为20）

ACL

acl 编号 //基本acl为2000-2999(仅源time)，高级acl为3000-3999，二层acl4000-4999

rule permit source 172.168.1.1 0.0.0.0

通配符掩码（反掩码）255.255.255.255表示主机

description xxx //只当做描述

[可选]

acl [number] 2000 [match-order:auto|config] //顺序规则config或者自动排序规则auto（深度优先原则）默认config

acl name xx [basic]

基本acl

rule [步长] deny|permit source ip+反掩码|any time-range time-name

//步长默认为5，再默认以5增长，可自定义步长

//any=0.0.0.0 255.255.255.255

time-range 名称 8:00 to 18:00 working-day

//work-day表示周一到周五 off-day周六周日 daily 每天 0-6 表示每周几 0为星期天

rule deny source 172.16.0.0 0.0.255.255 time-range 名称 //指定时间拒绝

display acl resource

traffic-filter outbound acl name test //接口直接应用ACl规则

高级acl

rule deny tcp destination-port eq|gt|lt|neg telnet|23 source 192.168.1.0 0 destination 172.16.200.0 0.0.0..255 //禁止源ip192.168.1.0目的ip172.16.200的 tcp端口号等于23 的数据包通过 souce-port

rule permit icmp source xx destination xx 允许ping

Qos策略

traffic classifier c1 operate and|or //创建流分类

以下面两个流分类为例，对于tc1来说，报文必须同时匹配ACL2001（或ACL3001），802.1p优先级为5和三层协议类型为IP协议三个规则时才属于该类。

[switch] traffic classifier tc1 operator and
[switch-classifier-tc1] if-match acl 2001
[switch-classifier-tc1] if-match 8021p 5
[switch-classifier-tc1] if-match acl 3001
[switch-classifier-tc1] if-match protocol ip

对于tc2来说，报文匹配ACL3001或者报文802.1p优先级为6时都属于该类。

[switch] traffic classifier tc2 operator or
[switch-classifier-tc2] if-match acl 3001
[switch-classifier-tc2] if-match 8021p 6

在一个流行为中可以定义一个或多个动作，如下流行为tb1表示对匹配分类的报文进行流量监管，限速为4096kbit/s，同时进行流量统计。

[switch]traffic behavior tb1 //创建流行为

[switch-behavior-tb1] car cir 4096 //cir为每秒可通过的速率

[switch-behavior-tb1] statistic enable

流行为tb2表示将匹配分类的报文重定向到下一跳10.10.10.1。

[switch] traffic behavior tb2

[switch-behavior-tb2] redirect ip-nexthop 10.10.10.1

以下面的配置为例，流策略tp1表示对匹配tc1规则的报文执行tb1的动作，对匹配tc2规则的报文执行tb2动作。

[switch] traffic policy tp1 match-order config //流策略

[switch-trafficpolicy-tp1] classifier tc1 behavior tb1

[switch-trafficpolicy-tp1] classifier tc2 behavior tb2

应用流策略

流策略配置完之后，需要选择该策略在设备上生效的范围。流策略可以应用在接口、VLAN和全局的出方向和入方向，其中接口包括物理接口、子接口、VLANIF接口和Eth-Trunk接口等。以接口为例，在指定接口入方向应用某个流策略，表示对进入该接口且匹配流分类规则的流量执行指定动作。如下所示：

[switch] interface GigabitEthernet 1/0/1

[switch-GigabitEthernet1/0/1] traffic-policy tp1 inbound

设备上还配置了一个流策略tp2，且应用在VLAN30上

[switch-vlan30] traffic-policy tp2 inbound

二层acl（源地址目的地址 802.1p优先级二层协议类型等）

rule deny cos 3 //禁止802.1p优先级为3的报文通过

rule deny destination-mac xx-xx-xx //mac地址

ipv6-over-ipv4 GRE隧道

interface tunnel0/0/1 //进入隧道口

tunnel-protocol GRE //GRE隧道协议

keepalive //开启keepalive

ipv6 enable

ipv6 address fc02：：1 64 //给隧道口配置ipv6地址

source 10.1.1.1 //源ip地址

destination 10.1.2.2 //目的ip地址

gre key 123 //配置隧道的验证key123

路由器都配置完后，配置路由器的tunnel静态路由

R1:：ipv6 route-static fc03：：1 64 tunnel0/0/1

R2：ipv6 route-static fc01：：1 64 tunnel0/0/1

ipv6 ISATAP隧道

interface tunnel0/0/1

tunnel-protocol ipv6-ipv4 isatap //isatap协议

ipv6 enable

ipv6 address 2001:: 64 eui-64 //给隧道口配置ipv6地址

source gigabitethernet2/0/0 //tunnel源地址或源端口

undo ipv6 nd ra halt //使能系统发布RA报文功能

NAT配置

静态NAT（一对一）

interface seriall0/0/1 //在外网接口下配置

nat static global 202.10.10.1 inside 192.168.1.1 //把公网global地址和inside内网地址绑定

动态NAT（多对多）

interface seriall0/0/1 //在外网接口下配置

nat address-group 1 202.10.1.20 202.10.1.50 //把20-50的地址分为一个组，供内网使用

acl 2000

rule 5 permit source 192.168.1.0 0.0.0.255 //给内网需要Nat转换的地址匹配acl允许

interface seriall0/0/1 //在外网接口下配置

nat outbound 2000 address-group 1 no-pat //使用nat outbound命令将ACL 2000 与地址池相关联，，使得ACL中规定的地址，可以使用地址池,no-pat不可重用

display nat outbound //在路由器上查看NAT bound信息

NAPT（一对多）pat

nat address-group 0 202.10.1.20 202.10.1.20 //只有一个ip的组

nat outbound 2000 address-group 0 //实现1对多

Easy-IP

nat outbound 2000 //直接使用接口的ip对应内网的ip, 不需要创建地址池，大大节省了地址空间,

display nat session protocol tcp|udp

配置NAT Server

nat server protocol tcp global 202.169.10.6 ftp inside 192.168.1.5 ftp

// nat server命令定义内部服务器的映射表，指定服务器通信协议类型为TCP，，配置服务器使用的公网IP地址为202.169.10.6，服务器内网通信地址为192.168.1.5，指定端口为21，该常用端口号可以直接使用关键字“ftp”代替。

防火墙配置

firewall zone inside //定义一个区域名字叫inide

priority 15 //定义优先级为15

firewall zone outside //定义一个区域名字叫outside

priority 5 //定义优先级为5

firewall interzone inside outside //定义inside区域可以主动访问outside，outside不可主动访问inside ，必须先inside后outside

firewall enable //开启功能

interface ethernet0/0/1 //进入接口

zone inside //配置此接口为inside区域

interface ethernet0/0/1 //进入接口

zone inside //配置此接口为inside区域

display firewall session [protocol ] //查看防火墙建立的会话，外网只有会话才能访问内网

如果想让外网能访问内网telnet服务器则

acl 3000

rule permit tcp desitination 192.168.1.100 destitation-port eq telnet //服务器ip192.168.1.100

firewall interzone inside outside

packet-filter 3000 inbound //包过滤

ipsec

还有个ipsec和BGP协议当时没有写上(考完就忘了)，如果有小伙伴有的话可以私聊我加上去，谢谢了