·IADTP（InterAccessDeviceTunnelingProtocol，接入设备间隧道协议）：H3C公司自主研发的隧道协议，该协议提供了设备间报文的通用封装和传输机制。提供漫游服务的设备之间会建立IADTP隧道，用于保证设备间控制报文以及客户端漫游信息的安全传输。
·HA（HomeAgent，本地代理）：客户端跨AC漫游后，与该客户端初始上线AP相连接的AC即为HA。
·FA（ForeignAgent，外地代理）：客户端跨AC漫游后，客户端与某个不是HA的AC进行关联，该AC即为FA。
客户端完成AC内漫游的过程如下：
(1)客户端在AP1上初始上线，在AC上会创建该客户端的漫游表项信息；
(2)客户端漫游到AP2，AC查找该客户端的漫游表项，如果是RSN+802.1X认证方式，且客户端携带的PMKID和设备缓存的PMKID一致，则对其进行快速漫游，其他情况，则不对其进行快速漫游；
(3)如果进行快速漫游，客户端不需要再次认证，即可在AP2上成功上线；否则需要重新认证。
图1-1AC内漫游
客户端完成AC间漫游的过程如下：
(1)客户端在AP2上初始上线，在AC1上会创建该客户端的漫游表项，并通过IADTP隧道将漫游表项同步到漫游组成员AC2上；
(2)客户端漫游到AP3，AC2查找该客户端的漫游表项，如果是RSN+802.1X认证方式，且客户端携带的PMKID和设备缓存的PMKID一致，则对其进行快速漫游，其他情况，则不对其进行快速漫游；
(3)如果进行快速漫游，客户端不需要再次认证，即可在AP3上成功上线；否则需要重新认证；
(4)客户端在AP3上线，AC2会给AC1发送漫游请求消息；
(5)AC1收到漫游请求消息，并校验漫游信息是否正确。如果校验失败，则给AC2回复漫游失败的漫游响应消息。如果校验成功，AC1添加该客户端的漫游轨迹和漫出信息，并给AC2回复漫游成功的漫游响应信息；
(6)AC2收到AC1回复的漫游响应信息。如果漫游失败，AC2将通知客户端下线；如果漫游成功，AC2添加该客户端的漫入信息。
图1-2AC间漫游
此端口号用于Portal漫游中心与WLAN漫游中心进行报文交互。WLAN漫游中心的UDP端口号需要和Portal漫游中心视图下配置的UDP端口号保持一致。
未配置允许接入WLAN漫游中心的Portal漫游中心的IP地址时，WLAN漫游中心会处理所有Portal漫游中心发送的报文，允许所有Portal漫游中心接入，配置了允许接入WLAN漫游中心的Portal漫游中心的IP地址后，只有指定的Portal漫游中心可以接入，未指定的Portal漫游中心不允许接入，以防止非法设备接入对网络造成恶意攻击。
以太网链路聚合通过将多条以太网物理链路捆绑在一起形成一条以太网逻辑链路，实现增加链路带宽的目的，同时这些捆绑在一起的链路通过相互动态备份，可以有效地提高链路的可靠性。
链路捆绑是通过接口捆绑实现的，多个以太网接口捆绑在一起后形成一个聚合组，而这些被捆绑在一起的以太网接口就称为该聚合组的成员端口。每个聚合组唯一对应着一个逻辑接口，称为聚合接口。聚合组与聚合接口的编号是相同的，例如聚合组1对应于聚合接口1。
二层聚合组/二层聚合接口：二层聚合组的成员端口全部为二层以太网接口，其对应的聚合接口称为二层聚合接口。
聚合接口的速率和双工模式取决于对应聚合组内的选中端口：聚合接口的速率等于所有选中端口的速率之和，聚合接口的双工模式则与选中端口的双工模式相同。
聚合组内的成员端口具有以下两种状态：
·选中（Selected）状态：此状态下的成员端口可以参与数据的转发，处于此状态的成员端口称为“选中端口”。
·非选中（Unselected）状态：此状态下的成员端口不能参与数据的转发，处于此状态的成员端口称为“非选中端口”。
操作Key是系统在进行链路聚合时用来表征成员端口聚合能力的一个数值，它是根据成员端口上的一些信息（包括该端口的速率、双工模式等）的组合自动计算生成的，这个信息组合中任何一项的变化都会引起操作Key的重新计算。在同一聚合组中，所有的选中端口都必须具有相同的操作Key。
表1-1属性类配置
配置项
内容
端口隔离
端口是否加入隔离组、端口所属的端口隔离组
VLAN配置
端口上允许通过的VLAN、端口缺省VLAN、端口的链路类型、VLAN报文是否带Tag配置
链路聚合分为静态聚合和动态聚合两种模式，处于静态聚合模式下的聚合组称为静态聚合组，处于动态聚合模式下的聚合组称为动态聚合组。
静态聚合和动态聚合工作时首先要选取参考端口，之后再确定成员端口的状态。
(1)选择参考端口
参考端口从本端的成员端口中选出，其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照，只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。
对于聚合组内处于up状态的端口，按照端口的端口优先级->全双工/高速率->全双工/低速率->半双工/高速率->半双工/低速率的优先次序，选择优先次序最高、且属性类配置与对应聚合接口相同的端口作为参考端口；如果多个端口优先次序相同，首先选择原来的选中端口作为参考端口；如果此时多个优先次序相同的端口都是原来的选中端口，则选择其中端口号最小的端口作为参考端口；如果多个端口优先次序相同，且都不是原来的选中端口，则选择其中端口号最小的端口作为参考端口。
(2)确定成员端口状态
图1-3静态聚合组内成员端口状态的确定流程
动态聚合模式通过LACP（LinkAggregationControlProtocol，链路聚合控制协议）协议实现，动态聚合组内的成员端口可以收发LACPDU（LinkAggregationControlProtocolDataUnit，链路聚合控制协议数据单元），本端通过向对端发送LACPDU通告本端的信息。当对端收到该LACPDU后，将其中的信息与所在端其他成员端口收到的信息进行比较，以选择能够处于选中状态的成员端口，使双方可以对各自接口的选中/非选中状态达成一致。
参考端口从聚合链路两端处于up状态的成员端口中选出，其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照，只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。
·首先，从聚合链路的两端选出设备ID（由系统的LACP优先级和系统的MAC地址共同构成）较小的一端：先比较两端的系统LACP优先级，优先级数值越小其设备ID越小；如果优先级相同再比较其系统MAC地址，MAC地址越小其设备ID越小。
·其次，对于设备ID较小的一端，再比较其聚合组内各成员端口的端口ID（由端口优先级和端口的编号共同构成）：先比较端口优先级，优先级数值越小其端口ID越小；如果优先级相同再比较其端口号，端口号越小其端口ID越小。端口ID最小、且属性类配置与对应聚合接口相同的端口作为参考端口。
(2)确定成员端口的状态
图1-4动态聚合组内成员端口状态的确定流程
与此同时，设备ID较大的一端也会随着对端成员端口状态的变化，随时调整本端各成员端口的状态，以确保聚合链路两端成员端口状态的一致。
静态聚合和动态聚合的优点分别为：
·静态聚合模式：一旦配置好后，端口的转发流量的状态就不会受网络环境的影响，比较稳定。
·动态聚合模式：能够根据对端和本端的信息调整端口的转发流量的状态，比较灵活。
PPPoE（Point-to-PointProtocoloverEthernet，在以太网上承载PPP协议）的提出，解决了PPP无法应用于以太网的问题，是对PPP协议的扩展。
PPPoE描述了在以太网上建立PPPoE会话及封装PPP报文的方法。要求通信双方建立的是点到点关系，而不是在以太网中所出现的点到多点关系。
PPPoE利用以太网将大量主机组成网络，然后通过一个远端接入设备为以太网上的主机提供互联网接入服务，并对接入的每台主机实现控制、认证、计费功能。由于很好地结合了以太网的经济性及PPP良好的可扩展性与管理控制功能，PPPoE被广泛应用于小区接入组网等环境中。
PPPoE协议将PPP报文封装在以太网帧之内，在以太网上提供点对点的连接。关于PPPoE的详细介绍，可以参考RFC2516。
目前设备作为PPPoEclient接入网络。
本特性的支持情况与设备型号有关，请以设备的实际情况为准。
系列
型号
产品代码
描述
WX1800H系列
WX1804H-PWR
EWP-WX1804H-PWR-CN
支持
WX2500H系列
WX2508H-PWR-LTE
WX2510H-PWR
WX2510H-F-PWR
WX2540H
WX2540H-F
WX2560H
EWP-WX2508H-PWR-LTE
EWP-WX2510H-PWR
EWP-WX2510H-F-PWR
EWP-WX2540H
EWP-WX2540H-F
EWP-WX2560H
MAK系列
MAK204
MAK206
EWP-MAK204
EWP-MAK206
WX3000H系列
WX3010H
WX3010H-X-PWR
WX3010H-L-PWR
WX3024H
WX3024H-L-PWR
WX3024H-F
EWP-WX3010H
EWP-WX3010H-X-PWR
EWP-WX3010H-L-PWR
EWP-WX3024H
EWP-WX3024H-L-PWR
EWP-WX3024H-F
WX3010H支持
WX3010H-X不支持
WX3010H-L不支持
WX3024H支持
WX3024H-L不支持
WX3024H-F不支持
WX3500H系列
WX3508H
WX3510H
WX3520H
WX3520H-F
WX3540H
EWP-WX3508H
EWP-WX3508H-F
EWP-WX3510H
EWP-WX3510H-F
EWP-WX3520H
EWP-WX3520H-F
EWP-WX3540H
EWP-WX3540H-F
不支持
WX5500E系列
WX5510E
WX5540E
EWP-WX5510E
EWP-WX5540E
WX5500H系列
WX5540H
WX5560H
WX5580H
EWP-WX5540H
EWP-WX5560H
EWP-WX5580H
AC插卡系列
LSUM1WCME0
EWPXM1WCME0
LSQM1WCMX20
LSUM1WCMX20RT
LSQM1WCMX40
LSUM1WCMX40RT
EWPXM2WCMD0F
EWPXM1MAC0F
WX1810H-PWR
WX1820H
WX1840H
EWP-WX1804H-PWR
EWP-WX1810H-PWR
EWP-WX1820H
EWP-WX1840H-GL
WX3800H系列
WX3820H
WX3840H
EWP-WX3820H-GL
EWP-WX3840H-GL
WX5800H系列
WX5860H
EWP-WX5860H-GL
PPPoE使用Client/Server模型。PPPoEClient向PPPoEServer发起连接请求，两者之间会话协商通过后，就建立PPPoE会话，此后PPPoEServer向PPPoEClient提供接入控制、认证、计费等功能。
常见组网如下：
在两台路由器之间建立PPPoE会话，所有主机通过同一个PPPoE会话传送数据，主机上不用安装PPPoE客户端拨号软件，一般是一个企业共用一个账号接入网络（图中PPPoEClient位于企业/公司内部，PPPoEServer是运营商的设备）。
图1-5PPPoE组网结构图
VLAN（VirtualLocalAreaNetwork，虚拟局域网）技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN，每个VLAN是一个广播域。处于同一VLAN的主机能够直接互通，而处于不同VLAN的主机不能够直接互通。
VLAN可以基于端口进行划分。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发该VLAN的报文。
在某VLAN内，可根据需要配置端口加入Untagged端口列表或Tagged端口列表（即配置端口为Untagged端口或Tagged端口），从Untagged端口发出的该VLAN报文不带VLANTag，从Tagged端口发出的该VLAN报文带VLANTag。
端口的链路类型分为三种。在端口加入某VLAN时，对不同链路类型的端口加入的端口列表要求不同：
·Access：端口只能发送一个VLAN的报文，发出去的报文不带VLANTag。该端口只能加入一个VLAN的Untagged端口列表。
·Trunk：端口能发送多个VLAN的报文，发出去的端口缺省VLAN的报文不带VLANTag，其他VLAN的报文都必须带VLANTag。在端口缺省VLAN中，该端口只能加入Untagged端口列表；在其他VLAN中，该端口只能加入Tagged端口列表。
·Hybrid：端口能发送多个VLAN的报文，端口发出去的报文可根据需要配置某些VLAN的报文带VLANTag，某些VLAN的报文不带VLANTag。在不同VLAN中，该端口可以根据需要加入Untagged端口列表或Tagged端口列表。
不同VLAN间的主机不能直接通信，通过设备上的VLAN接口，可以实现VLAN间的三层互通。VLAN接口是一种三层的虚拟接口，它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口，VLAN接口的IP地址可作为本VLAN内网络设备的网关地址，对需要跨网段的报文进行基于IP地址的三层转发。
MAC（MediaAccessControl，媒体访问控制）地址表记录了MAC地址与接口的对应关系，以及接口所属的VLAN等信息。设备在转发报文时，根据报文的目的MAC地址查询MAC地址表，如果MAC地址表中包含与报文目的MAC地址对应的表项，则直接通过该表项中的出接口转发该报文；如果MAC地址表中没有包含报文目的MAC地址对应的表项时，设备将采取广播的方式通过对应VLAN内除接收接口外的所有接口转发该报文。
MAC地址表项分为以下几种：
·静态MAC地址表项：由用户手工配置，用于目的是某个MAC地址的报文从对应接口转发出去，表项不老化。静态MAC地址表项优先级高于自动生成的MAC地址表项。
·黑洞MAC地址表项：由用户手工配置，用于丢弃源MAC地址或目的MAC地址为指定MAC地址的报文（例如，出于安全考虑，可以禁止某个用户发送和接收报文），表项不老化。
缺省情况下，MAC地址学习功能处于开启状态。有时为了保证设备的安全，需要关闭MAC地址学习功能。常见的危及设备安全的情况是：非法用户使用大量源MAC地址不同的报文攻击设备，导致设备MAC地址表资源耗尽，造成设备无法根据网络的变化更新MAC地址表。关闭MAC地址学习功能可以有效防止这种攻击。在开启全局的MAC地址学习功能的前提下，用户可以关闭单个接口的MAC地址的学习功能。
如果MAC地址表过于庞大，可能导致设备的转发性能下降。通过配置接口的MAC地址数学习上限，用户可以控制设备维护的MAC地址表的表项数量。当接口学习到的MAC地址数达到上限时，该接口将不再对MAC地址进行学习，同时，用户还可以根据需要选择是否允许系统转发源MAC不在MAC地址表里的报文。
生成树协议运行于二层网络中，通过阻塞冗余链路构建出无数据环路的树型网络拓扑，并在设备或数据链路故障时，重新计算出新的树型拓扑。
生成树协议包括STP、RSTP、PVST和MSTP。
·STP：由IEEE制定的802.1D标准定义，是狭义的生成树协议。
·PVST：PVST为每个VLAN维护一个单独的生成树实例。每个VLAN都将运行单个生成树，允许以每个VLAN为基础开启或关闭生成树。每个VLAN内的生成树实例都有单独的网络拓扑结构，相互之间没有影响。
·MSTP：由IEEE制定的802.1s标准定义，它可以弥补STP和RSTP的缺陷，既可以快速收敛，也能使不同VLAN的流量沿各自的路径转发，从而为冗余链路提供了更好的负载分担机制。
生成树的工作模式有以下几种：
·STP模式：设备的所有端口都将向外发送STPBPDU。如果端口的对端设备只支持STP，可选择此模式。
·RSTP模式：设备的所有端口都向外发送RSTPBPDU。当端口收到对端设备发来的STPBPDU时，会自动迁移到STP模式；如果收到的是MSTPBPDU，则不会进行迁移。
·PVST模式：对于Access端口，PVST将根据该VLAN的状态发送RSTP格式的BPDU。对于Trunk端口和Hybrid端口，PVST将在缺省VLAN内根据该VLAN的状态发送RSTP格式的BPDU，而对于其他本端口允许通过的VLAN，则发送PVST格式的BPDU。
·MSTP模式：设备的所有端口都向外发送MSTPBPDU。当端口收到对端设备发来的STPBPDU时，会自动迁移到STP模式；如果收到的是RSTPBPDU，则不会进行迁移。
MSTP把一个交换网络划分成多个域，这些域称为MST（MultipleSpanningTreeRegions，多生成树域）域。每个域内形成多棵生成树，各生成树之间彼此独立并分别与相应的VLAN对应，每棵生成树都称为一个MSTI（MultipleSpanningTreeInstance，多生成树实例）。CST（CommonSpanningTree，公共生成树）是一棵连接交换网络中所有MST域的单生成树。IST（InternalSpanningTree，内部生成树）是MST域内的一棵生成树，它是一个特殊的MSTI，通常也称为MSTI0，所有VLAN缺省都映射到MSTI0上。CIST（CommonandInternalSpanningTree，公共和内部生成树）是一棵连接交换网络内所有设备的单生成树，所有MST域的IST再加上CST就共同构成了整个交换网络的一棵完整的单生成树。
其中，对于属于同一MST域的设备具有下列特点：
·都使能了生成树协议。
·域名相同。
·VLAN与MSTI间映射关系的配置相同。
·MSTP修订级别的配置相同。
·这些设备之间有物理链路连通。
生成树可能涉及到的端口角色有以下几种：
·根端口（RootPort）：在非根桥上负责向根桥方向转发数据的端口就称为根端口，根桥上没有根端口。
·指定端口（DesignatedPort）：负责向下游网段或设备转发数据的端口就称为指定端口。
·替换端口（AlternatePort）：是根端口或主端口的备份端口。当根端口或主端口被阻塞后，替换端口将成为新的根端口或主端口。
·备份端口（BackupPort）：是指定端口的备份端口。当指定端口失效后，备份端口将转换为新的指定端口。当使能了生成树协议的同一台设备上的两个端口互相连接而形成环路时，设备会将其中一个端口阻塞，该端口就是备份端口。
·主端口（MasterPort）：是将MST域连接到总根的端口（主端口不一定在域根上），位于整个域到总根的最短路径上。主端口是MST域中的报文去往总根的必经之路。主端口在IST/CIST上的角色是根端口，而在其他MSTI上的角色则是主端口。
STP只涉及根端口、指定端口和替换端口三种端口角色，RSTP的端口角色中新增了备份端口，MSTP涉及所有的端口角色。
表1-2RSTP和MSTP中的端口状态
状态
Forwarding
该状态下的端口可以接收和发送BPDU，也转发用户流量
Learning
是一种过渡状态，该状态下的端口可以接收和发送BPDU，但不转发用户流量
Discarding
该状态下的端口可以接收和发送BPDU，但不转发用户流量
STP定义了五种端口状态：Disabled、Blocking、Listening、Learning和Forwarding。其中Disabled、Blocking和Listening状态都对应RSTP/MSTP中的Discarding状态。
实现了对路由表的查看，包括路由表的概要信息和统计信息。
静态路由是一种特殊的路由，由管理员手工配置。当网络结构比较简单时，只需配置静态路由就可以使网络正常工作。静态路由不能自动适应网络拓扑结构的变化，当网络发生故障或者拓扑发生变化后，必须由管理员手工修改配置。
缺省路由是在没有找到匹配的路由表项时使用的路由。配置IPv4缺省路由时，指定目的地址为0.0.0.0/0；配置IPv6缺省路由时，指定目的地址为::/0。
RIP（RoutingInformationProtocol，路由信息协议）是一种基于距离矢量（Distance-Vector）算法的内部网关协议（InteriorGatewayProtocol，IGP），它通过UDP报文进行路由信息的交换，使用的端口号为520。RIP适用于小型网络。
每个运行RIP的路由器管理一个路由数据库，该路由数据库包含了到所有可达目的地的路由项，这些路由项包含下列信息：
·目的地址：主机或网络的地址。
·下一跳地址：为到达目的地，需要经过的相邻路由器的接口IP地址。
·出接口：本路由器转发报文的出接口。
·度量值：本路由器到达目的地的开销。
·路由标记（RouteTag）：用于标识外部路由。
RIP的运行过程如下：
(1)路由器启动RIP后，便会向相邻的路由器发送请求报文（Requestmessage），相邻的RIP路由器收到请求报文后，响应该请求，回送包含本地路由表信息的响应报文（Responsemessage）。
(2)路由器收到响应报文后，更新本地路由表，同时向相邻路由器发送触发更新报文，通告路由更新信息。相邻路由器收到触发更新报文后，又向其各自的相邻路由器发送触发更新报文。在一连串的触发更新广播后，各路由器都能得到并保持最新的路由信息。
(3)路由器周期性向相邻路由器发送本地路由表，运行RIP协议的相邻路由器在收到报文后，对本地路由进行维护，选择一条最佳路由，再向其各自相邻网络发送更新信息，使更新的路由最终能达到全局有效。同时，RIP采用老化机制对超时的路由进行老化处理，以保证路由的实时性和有效性。
RIP协议向邻居通告的是自己的路由表，有可能会发生路由环路，可以通过以下机制来避免：
·计数到无穷（Countingtoinfinity）：将度量值等于16的路由定义为不可达（infinity）。在路由环路发生时，某条路由的度量值将会增加到16，该路由被认为不可达。
·触发更新（TriggeredUpdates）：RIP通过触发更新来避免在多个路由器之间形成路由环路的可能，而且可以加速网络的收敛速度。一旦某条路由的度量值发生了变化，就立刻向邻居路由器发布更新报文，而不是等到更新周期的到来。
·水平分割（SplitHorizon）：RIP从某个接口学到的路由，不会从该接口再发回给邻居路由器。这样不但减少了带宽消耗，还可以防止路由环路。
·毒性逆转（PoisonReverse）：RIP从某个接口学到路由后，将该路由的度量值设置为16（不可达），并从原接口发回邻居路由器。利用这种方式，可以清除对方路由表中的无用信息。
RIP有两个版本：RIP-1和RIP-2。
RIP-1是有类别路由协议（ClassfulRoutingProtocol），它只支持以广播方式发布协议报文。RIP-1的协议报文无法携带掩码信息，它只能识别A、B、C类这样的自然网段的路由，因此RIP-1不支持不连续子网（DiscontiguousSubnet）。
RIP-2是一种无类别路由协议（ClasslessRoutingProtocol），与RIP-1相比，它有以下优势：
·支持路由标记。
·报文中携带掩码信息，支持路由聚合和CIDR（ClasslessInter-DomainRouting，无类域间路由）。
·支持指定下一跳，在广播网上可以选择到最优下一跳地址。
·支持组播路由发送更新报文，只有RIP-2路由器才能收到更新报文，减少资源消耗。
·支持对协议报文进行验证，并提供明文验证和MD5验证两种方式，增强安全性。
RIP-2有两种报文传送方式：广播方式和组播方式，缺省将采用组播方式发送报文，使用的组播地址为224.0.0.9。当接口运行RIP-2广播方式时，也可接收RIP-1的报文。
IP地址是每个连接到IPv4网络上的设备的唯一标识。IP地址长度为32比特，通常采用点分十进制方式表示，即每个IP地址被表示为以小数点隔开的4个十进制整数，每个整数对应一个字节，如10.1.1.1。
IP地址由两部分组成：
·网络号码字段（Net-id）：用于区分不同的网络。网络号码字段的前几位称为类别字段（又称为类别比特），用来区分IP地址的类型。
·主机号码字段（Host-id）：用于区分一个网络内的不同主机。
表1-3IP地址分类
地址类型
地址范围
说明
A
0.0.0.0～127.255.255.255
IP地址0.0.0.0仅用于主机在系统启动时进行临时通信，并且永远不是有效目的地址
127.0.0.0网段的地址都保留作环回测试，发送到这个地址的分组不会输出到链路上，它们被当作输入分组在内部进行处理
B
128.0.0.0～191.255.255.255
-
C
192.0.0.0～223.255.255.255
D
224.0.0.0～239.255.255.255
组播地址
E
240.0.0.0～255.255.255.255
255.255.255.255用于广播地址，其它地址保留今后使用
随着Internet的快速发展，IP地址已近枯竭。为了充分利用已有的IP地址，可以使用子网掩码将网络划分为更小的部分（即子网）。通过从主机号码字段部分划出一些比特位作为子网号码字段，能够将一个网络划分为多个子网。子网号码字段的长度由子网掩码确定。
子网掩码是一个长度为32比特的数字，由一串连续的“1”和一串连续的“0”组成。“1”对应于网络号码字段和子网号码字段，而“0”对应于主机号码字段。
多划分出一个子网号码字段会浪费一些IP地址。例如，一个B类地址可以容纳65534（216-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。但划分出9比特长的子网字段后，最多可有512（29）个子网，每个子网有7比特的主机号码，即每个子网最多可有126（27-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。因此主机号码的总数是512*126=64512个，比不划分子网时要少1022个。
若不进行子网划分，则子网掩码为默认值，此时子网掩码中“1”的长度就是网络号码的长度，即A、B、C类IP地址对应的子网掩码默认值分别为255.0.0.0、255.255.0.0和255.255.255.0。
接口获取IP地址有以下几种方式：
·通过手动指定IP地址
·通过DHCP分配得到IP地址
当设备收到一个报文后，如果发现报文长度比转发接口的MTU值大，则进行下列处理：
·如果报文不允许分片，则将报文丢弃；
·如果报文允许分片，则将报文进行分片转发。
为了减轻转发设备在传输过程中的分片和重组数据包的压力，更高效的利用网络资源，请根据实际组网环境设置合适的接口MTU值，以减少分片的发生。
IPv6（InternetProtocolVersion6，互联网协议版本6）是网络层协议的第二代标准协议，也被称为IPng（IPNextGeneration，下一代互联网协议），它是IETF（InternetEngineeringTaskForce，互联网工程任务组）设计的一套规范，是IPv4的升级版本。IPv6和IPv4之间最显著的区别为：地址的长度从32比特增加到128比特。
IPv6地址被表示为以冒号（:）分隔的一连串16比特的十六进制数。每个IPv6地址被分为8组，每组的16比特用4个十六进制数来表示，组和组之间用冒号隔开，比如：2001:0000:130F:0000:0000:09C0:876A:130B。
为了简化IPv6地址的表示，对于IPv6地址中的“0”可以有下面的处理方式：
·每组中的前导“0”可以省略，即上述地址可写为2001:0:130F:0:0:9C0:876A:130B。
·如果地址中包含一组或连续多组均为0的组，则可以用双冒号“::”来代替，即上述地址可写为2001:0:130F::9C0:876A:130B。
IPv6地址由两部分组成：地址前缀与接口标识。其中，地址前缀相当于IPv4地址中的网络号码字段部分，接口标识相当于IPv4地址中的主机号码部分。
地址前缀的表示方式为：IPv6地址/前缀长度。其中，前缀长度是一个十进制数，表示IPv6地址最左边多少位为地址前缀。
IPv6主要有三种类型的地址：单播地址、组播地址和任播地址。
·单播地址：用来唯一标识一个接口，类似于IPv4的单播地址。发送到单播地址的数据报文将被传送给此地址所标识的接口。
·组播地址：用来标识一组接口（通常这组接口属于不同的节点），类似于IPv4的组播地址。发送到组播地址的数据报文被传送给此地址所标识的所有接口。
·任播地址：用来标识一组接口（通常这组接口属于不同的节点）。发送到任播地址的数据报文被传送给此地址所标识的一组接口中距离源节点最近（根据使用的路由协议进行度量）的一个接口。
IPv6中没有广播地址，广播地址的功能通过组播地址来实现。
表1-4IPv6地址类型与格式前缀的对应关系
格式前缀（二进制）
IPv6前缀标识
简介
单播地址
未指定地址
00...0(128bits)
::/128
不能分配给任何节点。在节点获得有效的IPv6地址之前，可在发送的IPv6报文的源地址字段填入该地址，但不能作为IPv6报文中的目的地址
环回地址
00...1(128bits)
::1/128
不能分配给任何物理接口。它的作用与在IPv4中的环回地址相同，即节点用来给自己发送IPv6报文
链路本地地址
1111111010
FE80::/10
用于邻居发现协议和无状态自动配置中链路本地上节点之间的通信。使用链路本地地址作为源或目的地址的数据报文不会被转发到其他链路上
全球单播地址
其他形式
等同于IPv4公网地址，提供给网络服务提供商。这种类型的地址允许路由前缀的聚合，从而限制了全球路由表项的数量
11111111
FF00::/8
任播地址
从单播地址空间中进行分配，使用单播地址的格式
IPv6单播地址中的接口标识符用来唯一标识链路上的一个接口。目前IPv6单播地址基本上都要求接口标识符为64位。
不同接口的IEEEEUI-64格式的接口标识符的生成方法不同，分别介绍如下：
·所有IEEE802接口类型（例如，以太网接口、VLAN接口）：IEEEEUI-64格式的接口标识符是从接口的链路层地址（MAC地址）变化而来的。IPv6地址中的接口标识符是64位，而MAC地址是48位，因此需要在MAC地址的中间位置（从高位开始的第24位后）插入十六进制数FFFE（1111111111111110）。为了使接口标识符的作用范围与原MAC地址一致，还要将Universal/Local(U/L)位（从高位开始的第7位）进行取反操作。最后得到的这组数就作为EUI-64格式的接口标识符。
·Tunnel接口：IEEEEUI-64格式的接口标识符的低32位为Tunnel接口的源IPv4地址，ISATAP隧道的接口标识符的高32位为0000:5EFE，其他隧道的接口标识符的高32位为全0。
·其他接口类型：IEEEEUI-64格式的接口标识符由设备随机生成。
IPv6全球单播地址可以通过下面几种方式配置：
·采用EUI-64格式形成：当配置采用EUI-64格式形成IPv6地址时，接口的IPv6地址的前缀需要手工配置，而接口标识符则由接口自动生成。
·手工配置：用户手工配置IPv6全球单播地址。
·无状态自动配置：根据接收到的RA报文中携带的地址前缀信息及使用EUI-64功能生成的接口标识，自动为接口生成IPv6全球单播地址。
·有状态获取地址：通过DHCPv6服务器自动获取IPv6地址。
一个接口上可以配置多个全球单播地址。
IPv6的链路本地地址可以通过两种方式获得：
·自动生成：设备根据链路本地地址前缀（FE80::/10）及使用EUI-64功能生成的接口标识，自动为接口生成链路本地地址。
·手工指定：用户手工配置IPv6链路本地地址。
每个接口只能有一个链路本地地址，为了避免链路本地地址冲突，推荐使用链路本地地址的自动生成方式。
配置链路本地地址时，手工指定方式的优先级高于自动生成方式。即如果先采用自动生成方式，之后手工指定，则手工指定的地址会覆盖自动生成的地址；如果先手工指定，之后采用自动生成的方式，则自动配置不生效，接口的链路本地地址仍是手工指定的。此时，如果删除手工指定的地址，则自动生成的链路本地地址会生效。
DHCP（DynamicHostConfigurationProtocol，动态主机配置协议）用来为网络设备动态地分配IP地址等网络配置参数。
DHCP采用客户端/服务器通信模式，由客户端向服务器提出请求分配网络配置参数的申请，服务器返回为客户端分配的IP地址等配置信息，以实现IP地址等信息的动态配置。
在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机）。如果DHCP客户端和DHCP服务器处于不同物理网段时，客户端可以通过DHCP中继与服务器通信，获取IP地址及其他配置信息。
在以下场合通常利用DHCP服务器来完成IP地址分配：
·网络规模较大，手工配置需要很大的工作量，并难以对整个网络进行集中管理。
·网络中主机数目大于该网络支持的IP地址数量，无法给每个主机分配一个固定的IP地址。例如，Internet接入服务提供商限制同时接入网络的用户数目，用户必须动态获得自己的IP地址。
·网络中只有少数主机需要固定的IP地址，大多数主机没有固定的IP地址需求。
DHCP服务器通过地址池来保存为客户端分配的IP地址、租约时长、网关信息、域名后缀、DNS服务器地址、WINS服务器地址、NetBIOS节点类型和DHCP选项信息。服务器接收到客户端发送的请求后，选择合适的地址池，并将该地址池中的信息分配给客户端。
DHCP服务器在将IP地址分配给客户端之前，还需要进行IP地址冲突检测。
地址池的地址管理方式有以下几种：
·静态绑定IP地址，即通过将客户端的硬件地址或客户端ID与IP地址绑定的方式，实现为特定的客户端分配特定的IP地址。
·动态选择IP地址，即在地址池中指定可供分配的IP地址范围，当收到客户端的IP地址申请时，从该地址范围中动态选择IP地址，分配给该客户端。
在DHCP地址池中还可以指定这两种类型地址的租约时长。
DHCP服务器为客户端分配IP地址时，地址池的选择原则如下：
(1)如果存在将客户端MAC地址或客户端ID与IP地址静态绑定的地址池，则选择该地址池，并将静态绑定的IP地址和其他网络参数分配给客户端。
(2)如果不存在静态绑定的地址池，则按照以下方法选择地址池：
·如果客户端与服务器在同一网段，则将DHCP请求报文接收接口的IP地址与所有地址池配置的网段进行匹配，并选择最长匹配的网段所对应的地址池。
·如果客户端与服务器不在同一网段，即客户端通过DHCP中继获取IP地址，则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的网段进行匹配，并选择最长匹配的网段所对应的地址池。
DHCP服务器为客户端分配IP地址的优先次序如下：
(1)与客户端MAC地址或客户端ID静态绑定的IP地址。
(2)DHCP服务器记录的曾经分配给客户端的IP地址。
(3)客户端发送的DHCP-DISCOVER报文中Option50字段指定的IP地址。Option50为客户端请求的IP地址选项（RequestedIPAddress），客户端通过在DHCP-DISCOVER报文中添加该选项来指明客户端希望获取的IP地址。该选项的内容由客户端决定。
(4)按照动态分配地址选择原则，顺序查找可供分配的IP地址，选择最先找到的IP地址。
(5)如果未找到可用的IP地址，则从当前匹配地址池中依次查询租约过期、曾经发生过冲突的IP地址，如果找到则进行分配，否则将不予处理。
DHCP利用选项字段传递控制信息和网络配置参数，实现地址动态分配的同时，为客户端提供更加丰富的网络配置信息。
Web页面为DHCP服务器提供了灵活的选项配置方式，在以下情况下，可以使用Web页面DHCP选项功能：
·随着DHCP的不断发展，新的DHCP选项会陆续出现。通过该功能，可以方便地添加新的DHCP选项。
·有些选项的内容，RFC中没有统一规定。厂商可以根据需要定义选项的内容，如Option43。通过DHCP选项功能，可以为DHCP客户端提供厂商指定的信息。
·扩展已有的DHCP选项。当前已提供的方式无法满足用户需求时（比如通过Web页面最多只能配置8个DNS服务器地址，如果用户需要配置的DNS服务器地址数目大于8，则Web页面无法满足需求），可以通过DHCP选项功能进行扩展。
表1-5常用DHCP选项配置
选项编号
选项名称
推荐的选项填充类型
3
RouterOption
IP地址
6
DomainNameServerOption
15
DomainName
ASCII字符串
44
NetBIOSoverTCP/IPNameServerOption
46
NetBIOSoverTCP/IPNodeTypeOption
十六进制数串
66
TFTPservername
67
Bootfilename
43
VendorSpecificInformation
为防止IP地址重复分配导致地址冲突，DHCP服务器为客户端分配地址前，需要先对该地址进行探测。
由于在IP地址动态获取过程中采用广播方式发送请求报文，因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。为进行动态主机配置，需要在所有网段上都设置一个DHCP服务器，这显然是很不经济的。
DHCP中继功能的引入解决了这一难题：客户端可以通过DHCP中继与其他网段的DHCP服务器通信，最终获取到IP地址。这样，多个网络上的DHCP客户端可以使用同一个DHCP服务器，既节省了成本，又便于进行集中管理。
为了防止非法主机静态配置一个IP地址并访问外部网络，设备支持DHCP中继用户地址表项记录功能。
启用该功能后，当客户端通过DHCP中继从DHCP服务器获取到IP地址时，DHCP中继可以自动记录客户端IP地址与硬件地址的绑定关系，生成DHCP中继的用户地址表项。
DHCP客户端释放动态获取的IP地址时，会向DHCP服务器单播发送DHCP-RELEASE报文，DHCP中继不会处理该报文的内容。如果此时DHCP中继上记录了该IP地址与MAC地址的绑定关系，则会造成DHCP中继的用户地址表项无法实时刷新。为了解决这个问题，DHCP中继支持动态用户地址表项的定时刷新功能。
·如果DHCP中继接收到DHCP服务器响应的DHCP-NAK报文，则表示该IP地址的租约仍然存在，DHCP中继不会删除该IP地址对应的表项。
DHCPSnooping是DHCP的一种安全特性，具有如下功能：
网络中如果存在私自架设的非法DHCP服务器，则可能导致DHCP客户端获取到错误的IP地址和网络配置参数，从而无法正常通信。为了使DHCP客户端能通过合法的DHCP服务器获取IP地址，DHCPSnooping安全机制允许将端口设置为信任端口和不信任端口：
·信任端口正常转发接收到的DHCP报文。
·不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文。
在DHCPSnooping设备上指向DHCP服务器方向的端口需要设置为信任端口，其他端口设置为不信任端口，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。
DHCPSnooping通过监听DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文，记录DHCPSnooping表项，其中包括客户端的MAC地址、DHCP服务器为DHCP客户端分配的IP地址、与DHCP客户端连接的端口及VLAN等信息。利用这些信息可以实现ARPDetection功能，即根据DHCPSnooping表项来判断发送ARP报文的用户是否合法，从而防止非法用户的ARP攻击。
DHCPSnooping设备重启后，设备上记录的DHCPSnooping表项将丢失。如果DHCPSnooping与其他模块配合使用，则表项丢失会导致这些模块无法通过DHCPSnooping获取到相应的表项，进而导致DHCP客户端不能顺利通过安全检查、正常访问网络。
DHCPSnooping表项备份功能将DHCPSnooping表项保存到指定的文件中，DHCPSnooping设备重启后，自动根据该文件恢复DHCPSnooping表项，从而保证DHCPSnooping表项不会丢失。
Option82记录了DHCP客户端的位置信息。管理员可以利用该选项定位DHCP客户端，实现对客户端的安全和计费等控制。Option82包含两个子选项：CircuitID和RemoteID。
支持Option82功能是指设备接收到DHCP请求报文后，根据报文中是否包含Option82以及用户配置的处理策略及填充模式等对报文进行相应的处理，并将处理后的报文转发给DHCP服务器。当设备接收到DHCP服务器的响应报文时，如果报文中含有Option82，则删除Option82，并转发给DHCP客户端；如果报文中不含有Option82，则直接转发。
表1-6Option82处理方式
收到DHCP请求报文
处理策略
DHCPSnooping对报文的处理
收到的报文中带有Option82
Drop
丢弃报文
Keep
保持报文中的Option82不变并进行转发
Replace
根据DHCPSnooping上配置的填充模式、内容、格式等填充Option82，替换报文中原有的Option82并进行转发
收到的报文中不带有Option82
根据DHCPSnooping上配置的填充模式、内容、格式等填充Option82，添加到报文中并进行转发
DNS（DomainNameSystem，域名系统）是一种用于TCP/IP应用程序的分布式数据库，提供域名与地址之间的转换。IPv4DNS提供域名和IPv4地址之间的转换，IPv6DNS提供域名和IPv6地址之间的转换。
设备作为DNS客户端，当用户在设备上进行某些应用（如Telnet到一台设备或主机）时，可以直接使用便于记忆的、有意义的域名，通过域名系统将域名解析为正确的地址。
使用动态域名解析时，需要手工指定域名服务器的地址。
动态域名解析通过向域名服务器查询域名和地址之间的对应关系来实现将域名解析为地址。
动态域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀，在域名解析的时候，用户只需要输入域名的部分字段，系统会自动将输入的域名加上不同的后缀进行解析。例如，用户想查询域名aabbcc.com，那么可以先在后缀列表中配置com，然后输入aabbcc进行查询，系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。
使用域名后缀的时候，根据用户输入域名方式的不同，查询方式分成以下几种情况：
·如果用户输入的域名中没有“.”，比如aabbcc，系统认为这是一个主机名，会首先加上域名后缀进行查询，如果所有加后缀的域名查询都失败，将使用最初输入的域名（如aabbcc）进行查询。
·如果用户输入的域名中间有“.”，比如www.aabbcc，系统直接用它进行查询，如果查询失败，再依次加上各个域名后缀进行查询。
·如果用户输入的域名最后有“.”，比如aabbcc.com.，表示不需要进行域名后缀添加，系统直接用输入的域名进行查询，不论成功与否都直接返回结果。就是说，如果用户输入的字符中最后一个字符为“.”，就只根据用户输入的字符进行查找，而不会去匹配用户预先设置的域名后缀，因此最后这个“.”，也被称为查询终止符。带有查询终止符的域名，称为FQDN（FullyQualifiedDomainName，完全合格域名）。
手工建立域名和地址之间的对应关系。当用户使用域名进行某些应用时，系统查找静态域名解析表，从中获取指定域名对应的地址。
DNS代理（DNSproxy）用来在DNSclient和DNSserver之间转发DNS请求和应答报文。局域网内的DNSclient把DNSproxy当作DNSserver，将DNS请求报文发送给DNSproxy。DNSproxy将该请求报文转发到真正的DNSserver，并将DNSserver的应答报文返回给DNSclient，从而实现域名解析。
使用DNSproxy功能后，当DNSserver的地址发生变化时，只需改变DNSproxy上的配置，无需改变局域网内每个DNSclient的配置，从而简化了网络管理。
EWPXM1MAC0
DNS仅仅提供了域名和地址之间的静态对应关系，当节点的地址发生变化时，DNS无法动态地更新域名和地址的对应关系。此时，如果仍然使用域名访问该节点，通过域名解析得到的地址是错误的，从而导致访问失败。
DDNS（DynamicDomainNameSystem，动态域名系统）用来动态更新DNS服务器上域名和地址之间的对应关系，保证通过域名解析到正确的地址。
目前，只有IPv4域名解析支持DDNS，IPv6域名解析不支持DDNS，即只能通过DDNS动态更新域名和IPv4地址之间的对应关系。
WX3010H-X-PWR支持
WX3010H-L-PWR不支持
WX3024H-L-PWR不支持
WX3024H-F支持
产品系列
产品型号
IGMPsnooping（InternetGroupManagementProtocolsnooping，互联网组管理协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的IGMP报文建立IGMPsnooping转发表，并根据该表指导组播数据的转发。
IGMPsnooping转发表的表项由VLAN、组播组地址、组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向组播组成员的端口。
MLDsnooping（MulticastListenerDiscoverysnooping，组播侦听者发现协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的MLD报文建立MLDsnooping转发表，并根据该表指导IPv6组播数据的转发。
MLDsnooping转发表的表项由VLAN、IPv6组播组地址、IPv6组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向IPv6组播组成员的端口。
ARP（AddressResolutionProtocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。
设备通过ARP协议解析到目的MAC地址后，将会在自己的ARP表中增加IP地址和MAC地址映射关系的表项，以用于后续到同一目的地报文的转发。
ARP表项分为两种：动态ARP表项、静态ARP表项。
动态ARP表项可以固化为静态ARP表项，但被固化后无法再恢复为动态ARP表项。
为了防止部分接口下的用户占用过多的ARP资源，可以通过设置接口学习动态ARP表项的最大个数来进行限制。
静态ARP表项通过手工创建或由动态ARP表项固化而来，不会被老化，不会被动态ARP表项覆盖。
配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。
在配置静态ARP表项时，如果管理员希望用户使用某个固定的IP地址和MAC地址通信，可以将该IP地址与MAC地址绑定；如果进一步希望限定用户只在指定VLAN的特定接口上连接，则需要进一步指定报文转发的VLAN和出接口。
一般情况下，ARP动态执行并自动寻求IP地址到以太网MAC地址的解析，无需管理员的介入。
当静态ARP表项中的IP地址与VLAN虚接口的IP地址属于同一网段时，该静态ARP表项才能正常指导转发。
如果ARP请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理ARP功能的设备就可以回答该请求，这个过程称作代理ARP。
代理ARP功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。
代理ARP分为普通代理ARP和本地代理ARP，二者的应用场景有所区别：
·普通代理ARP：想要互通的主机分别连接到设备的不同三层接口上，且这些主机不在同一个广播域中。
·本地代理ARP：想要互通的主机连接到设备的同一个三层接口上，且这些主机不在同一个广播域中。
在配置本地代理ARP时，用户也可以指定进行ARP代理的IP地址范围。
免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址。
设备通过对外发送免费ARP报文来实现以下功能：
·确定其它设备的IP地址是否与本机的IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。
·设备改变了硬件地址，通过发送免费ARP报文通知其它设备更新ARP表项。
启用了学习免费ARP报文功能后，设备会根据收到的免费ARP报文中携带的信息（发送端IP地址、发送端MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文中的发送端IP地址对应的ARP表项：
·如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项；
·如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。
关闭学习免费ARP报文功能后，设备不会根据收到的免费ARP报文来新建ARP表项，但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项，可以关闭学习免费ARP报文功能，以节省ARP表项资源。
开启回复免费ARP报文功能后，当设备收到非同一网段的ARP请求时发送免费ARP报文。关闭该功能后，设备收到非同一网段的ARP请求时不发送免费ARP报文。
用户可以配置某些接口定时发送免费ARP报文，以便及时通知下行设备更新ARP表项或者MAC地址表项，主要应用场景如下：
·防止仿冒网关的ARP攻击
如果攻击者仿冒网关发送免费ARP报文，就可以欺骗同网段内的其它主机，使得被欺骗的主机访问网关的流量被重定向到一个错误的MAC地址，导致其它主机用户无法正常访问网络。
·防止主机ARP表项老化
在实际环境中，当网络负载较大或接收端主机的CPU占用率较高时，可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。这种情况下，接收端主机的动态ARP表项会因超时而老化，在其重新学习到发送设备的ARP表项之前，二者之间的流量就会发生中断。
ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。
不同设备支持配置的ARP攻击防御功能如下：
·接入设备支持配置的功能包括：ARP网关保护、ARP过滤保护和ARPDetection。
如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：
·设备向目的网段发送大量ARP请求报文，加重目的网段的负载。
·设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。
为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：
·ARP源抑制功能：如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，如果网络中每5秒内从某IP地址向设备某接口发送目的IP地址不能解析的IP报文超过了设置的阈值，则设备将不再处理由此IP地址发出的IP报文直至该5秒结束，从而避免了恶意攻击所造成的危害。
ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。
配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。
ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。
启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。
使能严格模式后，新建ARP表项前，ARP主动确认功能会执行更严格的检查：
·收到目标IP地址为自己的ARP请求报文时，设备会发送ARP应答报文，但不建立ARP表项；
·收到ARP应答报文时，需要确认本设备是否对该报文中的源IP地址发起过ARP解析：若发起过解析，解析成功后则设备启动主动确认功能，主动确认流程成功完成后，设备可以建立该表项；若未发起过解析，则设备丢弃该报文。
本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计，在5秒内，如果收到同一源MAC地址（源MAC地址固定）的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的检查模式为监控模式，则只打印日志信息，不会将该源MAC地址发送的ARP报文过滤掉。
对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该设备存在攻击也不会被检测、过滤。
启用ARP扫描功能后，设备会对局域网内的邻居自动进行扫描（向邻居发送ARP请求报文，获取邻居的MAC地址，从而建立动态ARP表项）。
ARP扫描功能一般与ARP固化功能配合使用。ARP固化功能用来将当前的ARP动态表项（包括ARP扫描生成的动态ARP表项）转换为静态ARP表项。通过对动态ARP表项的固化，可以有效防止攻击者修改ARP表项。
建议在网吧这种环境稳定的小型网络中使用这两个功能。
在设备上不与网关相连的接口上配置此功能，可以防止伪造网关攻击。
在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同，则认为此报文非法，将其丢弃；否则，认为此报文合法，继续进行后续处理。
ARP过滤保护功能用来限制接口下允许通过的ARP报文，可以防止仿冒网关和仿冒用户的攻击。
在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同：
·如果相同，则认为此报文合法，继续进行后续处理；
·如果不相同，则认为此报文非法，将其丢弃。
ARPDetection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。
ARPDetection包含三个功能：用户合法性检查、ARP报文有效性检查、ARP报文强制转发。
(1)用户合法性检查
如果仅在VLAN上开启ARPDetection功能，则仅进行用户合法性检查。
对于ARP信任接口，不进行用户合法性检查；对于ARP非信任接口，需要进行用户合法性检查，以防止仿冒用户的攻击。
用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在接口上的合法用户，包括基于IPSourceGuard静态绑定表项的检查、基于DHCPSnooping表项的检查。只要符合任何一个，就认为该ARP报文合法，进行转发。如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。
(2)ARP报文有效性检查
对于ARP信任接口，不进行报文有效性检查；对于ARP非信任接口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。
·源MAC地址的检查模式：会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文。
·目的MAC地址的检查模式（只针对ARP应答报文）：会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，需要被丢弃。
·IP地址检查模式：会检查ARP报文中的源IP或目的IP地址，如全1、或者组播IP地址都是不合法的，需要被丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。
(3)ARP报文强制转发
对于从ARP信任接口接收到的ARP报文不受此功能影响，按照正常流程进行转发；对于从ARP非信任接口接收到的并且已经通过用户合法性检查的ARP报文的处理过程如下：
·对于ARP请求报文，通过信任接口进行转发。
·对于ARP应答报文，首先按照报文中的以太网目的MAC地址进行转发，若在MAC地址表中没有查到目的MAC地址对应的表项，则将此ARP应答报文通过信任接口进行转发。
表1-7ND使用的ICMPv6消息
ICMPv6消息
类型号
作用
邻居请求消息NS（NeighborSolicitation）
135
获取邻居的链路层地址
验证邻居是否可达
进行重复地址检测
邻居通告消息NA（NeighborAdvertisement）
136
对NS消息进行响应
节点在链路层变化时主动发送NA消息，向邻居节点通告本节点的变化信息
路由器请求消息RS（RouterSolicitation）
133
节点启动后，通过RS消息向路由器发出请求，请求前缀和其他配置信息，用于节点的自动配置
路由器通告消息RA（RouterAdvertisement）
134
对RS消息进行响应
在没有抑制RA消息发布的条件下，路由器会周期性地发布RA消息，其中包括前缀信息选项和一些标志位的信息
重定向消息（Redirect）
137
当满足一定的条件时，缺省网关通过向源主机发送重定向消息，使主机重新选择正确的下一跳地址进行后续报文的发送
邻居表项保存的是设备在链路范围内的邻居信息，设备邻居表项可以通过邻居请求消息NS及邻居通告消息NA来动态创建，也可以通过手工配置来静态创建。
目前，静态邻居表项有两种配置方式：
·配置本节点的三层接口相连的邻居节点的IPv6地址和链路层地址。
·配置本节点VLAN中的二层端口相连的邻居节点的IPv6地址和链路层地址。
对于VLAN接口，可以采用上述两种方式来配置静态邻居表项：
·采用第一种方式配置静态邻居表项后，设备还需要解析该VLAN下的二层端口信息。
·采用第二种方式配置静态邻居表项后，需要保证该二层端口属于指定的VLAN，且该VLAN已经创建了VLAN接口。
表1-8RA报文中的参数
参数
地址前缀/前缀长度
主机根据该地址前缀/前缀长度生成对应的IPv6地址，完成无状态自动配置操作
有效生命期
表示前缀有效期。在有效生命期内，通过该前缀自动生成的地址可以正常使用；有效生命期过期后，通过该前缀自动生成的地址变为无效，将被删除
首选生命期
不用于无状态配置标识
选择了该标识，则指定前缀不用于无状态地址配置
不是直连可达标识
选择了该标识，则表示该前缀不是当前链路上直连可达的
MTU
发布链路的MTU，可以用于确保同一链路上的所有节点采用相同的MTU值
不指定跳数限制标识
选择了该标识，则表示RA消息中不带有本设备的跳数限制
被管理地址配置标志位（Mflag）
用于确定主机是否采用有状态自动配置获取IPv6地址
如果选择了该标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取IPv6地址；否则，将通过无状态自动配置获取IPv6地址，即根据自己的链路层地址及路由器发布的前缀信息生成IPv6地址
其他信息配置标志位（Oflag）
用于确定主机是否采用有状态自动配置获取除IPv6地址外的其他信息
如果选择了其他信息配置标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取除IPv6地址外的其他信息；否则，将通过无状态自动配置获取其他信息
邻居请求重传间隔（RetransTimer）
配置路由优先级
(RouterPreference)
用于设置发布RA消息的路由器的路由器优先级，主机根据接收到的RA消息中的路由器优先级，可以选择优先级最高的路由器作为默认网关。在路由器的优先级相同的情况下，遵循“先来先用”的原则，优先选择先接收到的RA消息对应的发送路由器作为默认网关
如果NS请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理功能的设备就可以代答该请求，回应NA报文，这个过程称作ND代理（NDProxy）。
NDProxy功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。
NDProxy功能根据应用场景不同分为普通NDProxy和本地NDProxy。
图1-6普通ND代理的典型应用环境
在这种组网情况下，当HostA需要与HostB通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此HostA会直接发出请求HostB硬件地址的NS请求。但是，此时的两台主机处于不同的广播域中，HostB无法收到HostA的NS请求报文，当然也就无法应答。
通过在Device上启用普通NDProxy功能，可以解决此问题。在接口IntA和IntB上启用普通NDProxy后，Router可以应答HostA的NS请求。同时，Device作为HostB的代理，把其它主机发送过来的报文转发给HostB。这样，实现HostA与HostB之间的通信。
图1-7本地ND代理的应用场景
在这种组网情况下，当HostA需要与HostB通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此HostA会直接发出请求HostB硬件地址的NS请求。但是，因为连接两台主机处于不同的VLAN中，HostB无法收到HostA的NS请求报文。
通过在DeviceA上启用本地NDProxy功能，可以解决此问题。在接口IntB上启用本地NDProxy后，DeviceA会代替HostB回应NA，HostA发给HostB的报文就会通过DeviceA进行转发，从而实现HostA与HostB之间的通信。
NAT（NetworkAddressTranslation，网络地址转换）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要应用在连接两个网络的边缘设备上，用于实现允许内部网络用户访问外部公共网络以及允许外部公共网络访问部分内部网络资源（例如内部服务器）的目的。NAT最初的设计目的是实现私有网络访问公共网络的功能，后扩展为实现任意两个网络间进行访问时的地址转换应用。
静态地址转换是指外部网络和内部网络之间的地址映射关系由配置确定，该方式适用于内部网络与外部网络之间存在固定访问需求的组网环境。静态地址转换支持双向互访：内网用户可以主动访问外网，外网用户也可以主动访问内网。
动态地址转换是指内部网络和外部网络之间的地址映射关系在建立连接的时候动态产生。该方式通常适用于内部网络有大量用户需要访问外部网络的组网环境。动态地址转换存在两种转换模式：
该模式下，NAT设备只对报文的IP地址进行NAT转换，同时会建立一个NO-PAT表项用于记录IP地址映射关系，并可支持所有IP协议的报文。
PAT（PortAddressTranslation）模式下，一个NAT地址可以同时分配给多个内网地址共用。该模式下，NAT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP、UDP和ICMP（InternetControlMessageProtocol，因特网控制消息协议）查询报文。
采用PAT方式可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。
在实际应用中，内网中的服务器可能需要对外部网络提供一些服务，例如给外部网络提供Web服务，或是FTP服务。这种情况下，NAT设备允许外网用户通过指定的NAT地址和端口访问这些内部服务器，NAT内部服务器的配置就定义了NAT地址和端口与内网服务器地址和端口的映射关系。NAT内部服务器支持以下几种内网和外网的地址、端口映射关系。
表1-9NAT内部服务器的地址与端口映射关系
外网
内网
一个外网地址
一个内网地址
一个外网地址、一个端口号
一个内网地址、一个内网端口号
一个外网地址，N个连续的外网端口号
一个内网地址，一个内网端口
N个连续的内网地址，一个内网端口号
一个内网地址，N个连续的内网端口号
N个连续的外网地址
N个连续的内网地址
N个连续的外网地址连续，一个外网端口号
一个内网地址，一个内网端口号
一个外网地址，一个外网端口号
一个内部服务器组
N个连续的外网地址，一个外网端口号
NAT444是运营商网络部署NAT的整体解决方案，它基于NAT444网关，结合AAA服务器、日志服务器等配套系统，提供运营商级的NAT，并支持用户溯源等功能。在众多IPv4向IPv6网络过渡的技术中，NAT444仅需在运营商侧引入二次NAT，对终端和应用服务器端的更改较小，并且NAT444通过端口块分配方式解决用户溯源等问题，因此成为了运营商的首选IPv6过渡方案。
图1-8NAT444解决方案架构
·CPE：实现用户侧地址转换。
·NAT444网关：实现运营商级地址转换。
·日志服务器：接受和记录用户访问信息，响应用户访问信息查询。
NAT444静态地址转换是指，NAT网关设备根据配置自动计算私网IP地址到公网IP地址、端口块的静态映射关系，并创建静态端口块表项。当私网IP地址成员中的某个私网IP地址向公网发起新建连接时，根据私网IP地址匹配静态端口块表项，获取对应的公网IP地址和端口块，并从端口块中动态为其分配一个公网端口，对报文进行地址转换。
配置NAT444静态地址转换时，需要创建一个端口块组，并在端口块组中配置私网IP地址成员、公网IP地址成员、端口范围和端口块大小。假设端口块组中每个公网IP地址的可用端口块数为m（即端口范围除以端口块大小），则端口块静态映射的算法如下：按照从小到大的顺序对私网IP地址成员中的所有IP地址进行排列，最小的m个私网IP地址对应最小的公网IP地址及其端口块，端口块按照起始端口号从小到大的顺序分配；次小的m个私网IP地址对应次小的公网IP地址及其端口块，端口块的分配顺序相同；依次类推。
NAT444动态地址转换融合了普通NAT动态地址转换和NAT444静态地址转换的特点。当内网用户向公网发起连接时，首先根据动态地址转换中的ACL规则进行过滤，决定是否需要进行源地址转换。对于需要进行源地址转换的连接，当该连接为该用户的首次连接时，从所匹配的动态地址转换配置引用的NAT地址组中获取一个公网IP地址，从该公网IP地址中动态分配一个端口块，创建动态端口块表项，然后从端口块表项中动态分配一个公网端口，进行地址转换。对该用户后续连接的转换，均从生成的动态端口块表项中分配公网端口。当该用户的所有连接都断开时，回收为其分配的端口块资源，删除相应的动态端口块表项。
NAT444动态地址转换支持增量端口块分配。当为某私网IP地址分配的端口块资源耗尽（端口块中的所有端口都被使用）时，如果该私网IP地址向公网发起新的连接，则无法再从端口块中获取端口，无法进行地址转换。此时，如果预先在相应的NAT地址组中配置了增量端口块数，则可以为该私网IP地址分配额外的端口块，进行地址转换。
一个NAT地址组是多个地址组成员的集合。当需要对到达外部网络的数据报文进行地址转换时，报文的源地址将被转换为地址组成员中的某个地址。
NAT444地址组与NAT地址组的配置基本相同，所不同的是，NAT444地址组必须配置端口块参数（端口范围、端口块大小和增量端口块数）以实现基于端口块的NAT444地址转换。
配置NAT444端口块静态映射需要创建一个端口块组，并在接口的出方向上应用该端口块组。端口块组中需要配置私网IP地址成员、公网IP地址成员、端口范围和端口块大小，系统会根据端口块组中的配置自动计算私网IP地址到公网IP地址、端口块的静态映射关系，创建静态端口块表项，并根据表项进行NAT444地址转换。
在配置内部服务器时，将内部服务器的内网信息指定为一个内部服务器组，组内的多台主机可以共同对外提供某种服务。外网用户向内部服务器指定的外网地址发起应用请求时，NAT设备可根据内网服务器的权重和当前连接数，选择其中一台内网服务器作为目的服务器，实现内网服务器负载分担。
目前，PAT支持两种不同的地址转换模式：
·Endpoint-IndependentMapping（不关心对端地址和端口转换模式）：只要是来自相同源地址和源端口号的报文，不论其目的地址是否相同，通过PAT映射后，其源地址和源端口号都被转换为同一个外部地址和端口号，该映射关系会被记录下来并生成一个EIM表项；并且NAT设备允许所有外部网络的主机通过该转换后的地址和端口来访问这些内部网络的主机。这种模式可以很好的支持位于不同NAT网关之后的主机进行互访。
·AddressandPort-DependentMapping（关心对端地址和端口转换模式）：对于来自相同源地址和源端口号的报文，相同的源地址和源端口号并不要求被转换为相同的外部地址和端口号，若其目的地址或目的端口号不同，通过PAT映射后，相同的源地址和源端口号通常会被转换成不同的外部地址和端口号。与Endpoint-IndependentMapping模式不同的是，NAT设备只允许这些目的地址对应的外部网络的主机可以通过该转换后的地址和端口来访问这些内部网络的主机。这种模式安全性好，但由于同一个内网主机地址转换后的外部地址不唯一，因此不便于位于不同NAT网关之后的主机使用内网主机转换后的地址进行互访。
通过配置DNS映射，可以在DNS服务器位于外网的情况下，实现内网用户可通过域名访问位于同一内网的内部服务器的功能。DNS映射功能需要和内部服务器配合使用，由内部服务器对外提供服务的外网IP地址和端口号，由DNS映射建立“内部服务器域名<-->外网IP地址+外网端口号+协议类型”的映射关系。
NAT设备对来自外网的DNS响应报文进行DNSALG处理时，由于载荷中只包含域名和应用服务器的外网IP地址（不包含传输协议类型和端口号），当接口上存在多条NAT服务器配置且使用相同的外网地址而内网地址不同时，DNSALG仅使用IP地址来匹配内部服务器可能会得到错误的匹配结果。因此需要借助DNS映射的配置，指定域名与应用服务器的外网IP地址、端口和协议的映射关系，由域名获取应用服务器的外网IP地址、端口和协议，进而（在当前NAT接口上）精确匹配内部服务器配置获取应用服务器的内网IP地址。
通过在内网侧接口上使能NAThairpin功能，可以实现内网用户使用NAT地址访问内网服务器或内网其它用户。NAThairpin功能需要与内部服务器、出方向动态地址转换或出方向静态地址转换配合工作，且这些配置所在的接口必须在同一个接口板，否则NAThairpin功能无法正常工作。
该功能在不同工作方式下的具体转换过程如下：
·C/S方式：NAT在内网接口上同时转换访问内网服务器的报文的源和目的IP地址，其中，目的IP地址转换通过匹配某外网接口上的内部服务器配置来完成，源地址转换通过匹配内部服务器所在接口上的出方向动态地址转换或出方向静态地址转换来完成。
·P2P方式：内网各主机首先向外网服务器注册自己的内网地址信息，该地址信息为外网侧出方向地址转换的NAT地址，然后内网主机之间通过使用彼此向外网服务器注册的外网地址进行互访。该方式下，外网侧的出方向地址转换必须配置为PAT转换方式，并使能EIM模式。
通过开启指定应用协议类型的ALG功能，实现对应用层报文数据载荷字段的分析和NAT处理。
(1)NAT会话日志
NAT会话日志是为了满足网络管理员安全审计的需要，对NAT会话（报文经过设备时，源或目的信息被NAT进行过转换的连接）信息进行的记录，包括IP地址及端口的转换信息、用户的访问信息以及用户的网络流量信息。
有三种情况可以触发设备生成NAT会话日志：
·新建NAT会话。
·删除NAT会话。新增高优先级的配置、删除配置、报文匹配规则变更、NAT会话老化以及执行删除NAT会话的命令时，都可能导致NAT会话被删除。
(2)NAT444日志
NAT444日志分为NAT444用户日志和NAT444告警信息日志。
NAT444用户日志是为了满足互联网用户溯源的需要，在NAT444地址转换中，对每个用户的私网IP地址进行端口块分配或回收时，都会输出一条基于用户的日志，记录私网IP地址和端口块的映射关系。在进行用户溯源时，只需根据报文的公网IP地址和端口找到对应的端口块分配日志信息，即可确定私网IP地址。
有两种情况可以触发设备输出NAT444用户日志：
·端口块分配：端口块静态映射方式下，在某私网IP地址的第一个新建连接通过端口块进行地址转换时输出日志；端口块动态映射方式下，在为某私网IP地址分配端口块或增量端口块时输出日志。
·端口块回收：端口块静态映射方式下，在某私网IP地址的最后一个连接拆除时输出日志；端口块动态映射方式下，在释放端口块资源（并删除端口块表项）时输出日志。
在NAT444地址转换中，如果可为用户分配的公网IP地址、端口块或端口块中的端口都被占用，则该用户的后续连接由于没有可用的资源无法对其进行地址转换，相应的报文将被丢弃。为了监控公网IP地址和端口块资源的使用情况，可以对端口用满和资源用满两种情况记录告警信息日志。
·端口用满告警：在私网IP地址对应的端口块中的所有端口都被占用的情况下，输出告警信息日志。对于端口块动态映射方式，如果配置了增量端口块分配，则当首次分配的端口块中的端口都被占用时，并不输出日志；只有当增量端口块中的端口也都被占用时，才会输出日志。
·资源用满告警：在NAT444端口块动态映射中，如果所有资源（公网IP地址、端口块）都被占用，则输出日志。
·入方向的静态地址转换通常用于与接口上的出方向动态地址转换、内部服务器或出方向静态地址转换配合以实现双向NAT，不建议单独配置。
·若接口上同时存在普通NAT静态地址转换、普通NAT动态地址转换、NAT444端口块静态映射、NAT444端口块动态映射和内部服务器的配置，则在地址转换过程中，它们的优先级从高到低依次为：内部服务器；普通NAT静态地址转换；NAT444端口块静态映射；NAT444动态转换和普通NAT动态地址转换，系统对二者不做区分，统一按照ACL编号由大到小的顺序匹配。
·各地址组成员的IP地址段不能互相重叠。
·配置的所有地址组成员包含的地址总数不能少于安全引擎（或安全插卡）的数量。
·内部服务器组成员按照权重比例对外提供服务，权重值越大的内部服务器组成员对外提供服务的比重越大。
·在配置NAT444日志功能前，必须先配置将用户定制日志发送到日志主机的功能，否则无法产生NAT444告警信息日志。
FTP用于在FTP服务器和FTP客户端之间传输文件，是IP网络上传输文件的通用协议。本设备可作为FTP服务器，使用20端口传输数据，使用21端口传输控制消息。
·当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户通过Telnet访问设备。
SSH是SecureShell（安全外壳）的简称，是一种在不安全的网络环境中，通过加密机制和认证机制，实现安全的远程访问以及文件传输等业务的网络安全协议。
SSH协议采用了典型的客户端/服务器模式，并基于TCP协议协商建立用于保护数据传输的会话通道。
本设备可作为SSH服务器，为SSH客户端提供以下几种应用：
·SecureTelnet：简称Stelnet，可提供安全可靠的网络终端访问服务。
·SecureFTP：简称SFTP，基于SSH2，可提供安全可靠的网络文件传输服务。
·SecureCopy：简称SCP，基于SSH2，可提供安全的文件复制功能。
SSH协议有两个版本，SSH1.x和SSH2.0（本文简称SSH1和SSH2），两者互不兼容。SSH2在性能和安全性方面比SSH1有所提高。设备作为SSH服务器时，非FIPS模式下支持SSH2和SSH1两个版本，FIPS模式下只支持SSH2版本。
设备作为SSH服务器时，利用本地密码认证机制验证SSH客户端的用户名和密码的合法性。身份认证通过后，SSH客户端将与SSH服务器建立相应的会话，并在该会话上进行数据信息的交互。
NTP通过时钟层数来定义时钟的准确度。时钟层数的取值范围为1～15，取值越小，时钟准确度越高。
通过Web页面可以配置本地时钟作为参考时钟。
LLDP（LinkLayerDiscoveryProtocol，链路层发现协议）提供了一种标准的链路层发现方式，可以将本端设备的信息（包括主要能力、管理地址、设备标识、接口标识等）组织成不同的TLV（Type/Length/Value，类型/长度/值），并封装在LLDPDU（LinkLayerDiscoveryProtocolDataUnit，链路层发现协议数据单元）中发布给与自己直连的邻居，邻居收到这些信息后将其以标准MIB（ManagementInformationBase，管理信息库）的形式保存起来，以供网络管理系统查询及判断链路的通信状况。
LLDP代理是LLDP协议运行实体的一个抽象映射。一个接口下，可以运行多个LLDP代理。目前LLDP定义的代理类型包括：最近桥代理、最近非TPMR桥代理和最近客户桥代理。LLDP在相邻的代理之间进行协议报文交互，并基于代理创建及维护邻居信息。
当设备的工作模式由Disable/Rx切换为TxRx/Tx，或者发现了新的邻居设备（即收到一个新的LLDP报文且本地尚未保存发送该报文设备的信息）时，该设备将自动启用快速发送机制，即将LLDP报文的发送周期设置为快速发送周期，并连续发送指定数量（快速发送LLDP报文的个数）的LLDP报文后再恢复为正常的发送周期。
如果开启了发送LLDPTrap功能，设备可以通过向网管系统发送Trap信息以通告如发现新的LLDP邻居、与原来邻居的通信链路发生故障等重要事件。
TLV是组成LLDP报文的单元，每个TLV都代表一个信息。LLDP可以封装的TLV包括基本TLV、802.1TLV、802.3TLV和LLDP-MED（LinkLayerDiscoveryProtocolMediaEndpointDiscovery，链路层发现协议媒体终端发现）TLV。
基本TLV是网络设备管理基础的一组TLV，802.1TLV、802.3TLV和LLDP-MEDTLV则是由标准组织或其他机构定义的TLV，用于增强对网络设备的管理，可根据实际需要选择是否在LLDPDU中发送。
表1-10日志信息等级列表
数值
信息等级
0
emergency
1
alert
表示设备出现重大故障，需要立刻做出反应的信息，如流量超出接口上限
2
critical
表示严重信息，如设备温度已经超过预警值，设备电源、风扇出现故障等
error
表示错误信息，如接口链路状态变化等
4
warning
表示警告信息，如接口连接断开，内存耗尽告警等
5
notification
informational
表示需要记录的通知信息，如通过命令行输入命令的记录信息，执行ping命令的日志信息等
7
debugging
表示调试过程产生的信息
系统可以向日志缓冲区（logbuffer）、日志主机（loghost）等方向发送日志信息。日志信息的各个输出方向相互独立，可在页面中分别设置。
包过滤是指采用ACL规则对接口入方向或出方向的报文进行过滤，即对匹配上ACL规则的报文按照其中定义的匹配动作允许或拒绝通过，对未匹配上任何ACL规则的报文则按照指定的缺省动作进行处理。
QoS即服务质量。对于网络业务，影响服务质量的因素包括传输的带宽、传送的时延、数据的丢包率等。在网络中可以通过保证传输的带宽、降低传送的时延、降低数据的丢包率以及时延抖动等措施来提高服务质量。
QoS策略包含了三个要素：类、流行为、策略。用户可以通过QoS策略将指定的类和流行为绑定起来，灵活地进行QoS配置。
类用来定义一系列的规则来对报文进行分类。
流行为用来定义针对报文所做的QoS动作。
策略用来将指定的类和流行为绑定起来，对符合分类条件的报文执行流行为中定义的动作。
设备支持基于接口应用QoS策略，对通过接口接收或发送的流量生效。接口的每个方向（出和入两个方向）只能应用一个策略。如果QoS策略应用在接口的出方向，则QoS策略对本地协议报文不起作用。一些常见的本地协议报文如下：链路维护报文、SSH等。
报文在进入设备以后，设备会根据映射规则分配或修改报文的各种优先级的值，为队列调度和拥塞控制服务。
优先级映射功能通过报文所携带的优先级字段来映射其他优先级字段值，就可以获得决定报文调度能力的各种优先级字段，从而为全面有效的控制报文的转发调度等级提供依据。
如果配置了优先级信任模式，即表示设备信任所接收报文的优先级，会自动解析报文的优先级或者标志位，然后按照映射表映射到报文的优先级参数。
如果没有配置优先级信任模式，并且配置了端口优先级值，则表明设备不信任所接收报文的优先级，而是使用端口优先级，按照映射表映射到报文的优先级参数。
按照接收端口的端口优先级，设备通过一一映射为报文分配优先级。
根据报文自身的优先级，查找优先级映射表，为报文分配优先级参数，可以通过配置优先级信任模式的方式来实现。
在配置接口上的优先级模式时，用户可以选择下列信任模式：
·Untrust：不信任任何优先级。
·Dot1p：信任报文自带的802.1p优先级，以此优先级进行优先级映射。
·DSCP：信任IP报文自带的DSCP优先级，以此优先级进行优先级映射。
设备中提供了多张优先级映射表，如果缺省优先级映射表无法满足用户需求，可以根据实际情况对映射表进行修改。
802.1X协议是一种基于端口的网络接入控制协议，即在局域网接入设备的端口上对所接入的用户和设备进行认证，以便控制用户设备对网络资源的访问。
802.1X系统中包括三个实体：
·客户端：请求接入局域网的用户终端，由局域网中的设备端对其进行认证。客户端上必须安装支持802.1X认证的客户端软件。
·设备端：局域网中控制客户端接入的网络设备，位于客户端和认证服务器之间，为客户端提供接入局域网的端口，并通过与认证服务器的交互来对所连接的客户端进行认证。
在接入设备上，802.1X认证方法有三种方式：
·CHAP或PAP认证方法。在这种方式下，设备对EAP认证过程进行终结，将收到的EAP报文中的客户端认证信息封装在标准的RADIUS报文中，与服务器之间采用PAP或CHAP方法进行认证。CHAP以密文的方式传送密码，而PAP是以明文的方式传送密码。
·EAP认证方法。在这种方式下，设备端对收到的EAP报文进行中继，使用EAPOR（EAPoverRADIUS）封装格式将其承载于RADIUS报文中发送给RADIUS服务器。
端口支持以下两种接入控制方式：
·基于端口认证：只要该端口下的第一个用户认证成功后，其它接入用户无须认证就可使用网络资源，但是当第一个用户下线后，其它用户也会被拒绝使用网络。
·基于MAC认证：该端口下的所有接入用户均需要单独认证，当某个用户下线后，也只有该用户无法使用网络。
在线用户握手功能处于开启状态的前提下，还可以通过开启在线用户握手安全功能，来防止在线的802.1X认证用户使用非法的客户端与设备进行握手报文的交互，而逃过代理检测、双网卡检测等iNode客户端的安全检查功能。
设备端主动触发方式用于支持不能主动发送EAPOL-Start报文的客户端，例如WindowsXP自带的802.1X客户端。设备主动触发认证的方式分为以下两种：
·单播触发：当设备收到源MAC地址未知的报文时，主动向该MAC地址单播发送Identity类型的EAP-Request帧来触发认证。若设备端在设置的时长内没有收到客户端的响应，则重发该报文。
EAD（EndpointAdmissionDefense，端点准入防御）作为一个网络端点接入控制方案，它通过安全客户端、安全策略服务器、接入设备以及第三方服务器的联动，加强了对用户的集中管理，提升了网络的整体防御能力。但是在实际的应用过程中EAD客户端的部署工作量很大，例如，需要网络管理员手动为每一个EAD客户端下载、升级客户端软件，这在EAD客户端数目较多的情况下给管理员带来了操作上的不便。
802.1X认证支持的EAD快速部署功能就可以解决以上问题，它允许未通过认证的802.1X用户访问一个指定的IP地址段（称为FreeIP），并可以将用户发起的HTTP访问请求重定向到该IP地址段中的一个指定的URL，实现用户自动下载并安装EAD客户端的目的。
开启了SmartOn功能的端口上收到802.1X客户端发送的EAPOL-Start报文后，将向其回复单播的EAP-Request/Notification报文，并开启SmartOn通知请求超时定时器定时器等待客户端响应的EAP-Response/Notification报文。若SmartOn通知请求超时定时器超时后客户端仍未回复，则设备会重发EAP-Request/Notification报文，并重新启动该定时器。当重发次数达到规定的最大次数后，会停止对该客户端的802.1X认证；若在重发次数达到最大次数之前收到了该Notification报文的回复报文，则获取该报文中携带的SwitchID和SmartOn密码的MD5摘要，并与设备本地配置的SmartOn的SwitchID以及SmartOn密码的MD5摘要值比较，若相同，则继续客户端的802.1X认证，否则中止客户端的802.1X认证。
802.1XSmartOn功能与在线用户握手功能互斥，建议两个功能不要同时开启。
设备支持的认证方法包括：
·不认证：对用户非常信任，不对其进行合法性检查，一般情况下不采用这种方法。
·本地认证：认证过程在接入设备上完成，用户信息（包括用户名、密码和各种属性）配置在接入设备上。优点是速度快，可以降低运营成本；缺点是存储信息量受设备硬件条件限制。
·远端认证（RADIUS）：认证过程在接入设备和远端的服务器之间完成，接入设备和远端服务器之间通过RADIUS协议通信。优点是用户信息集中在服务器上统一管理，可实现大容量、高可靠性、支持多设备的集中式统一认证。当远端服务器无效时，可配置备选认证方式完成认证。
设备支持的计费方法包括：
·不计费：不对用户计费。
·本地计费：计费过程在接入设备上完成，实现了本地用户连接数的统计和限制，并没有实际的费用统计功能。
·远端计费（RADIUS）：计费过程在接入设备和远端的服务器之间完成。当远端服务器无效时，可配置备选计费方式完成计费。
·LAN接入用户：例如802.1X认证用户。
·Portal用户。
用户认证时，设备将按照如下先后顺序为其选择认证域：接入模块指定的认证域-->用户名中指定的ISP域-->系统缺省的ISP域。其中，仅部分接入模块支持指定认证域，例如802.1X认证。
·RADIUS客户端：一般位于接入设备上，可以遍布整个网络，负责将用户信息传输到指定的RADIUS服务器，然后根据服务器返回的信息进行相应处理（如接受/拒绝用户接入）。
RADIUS协议使用UDP作为封装RADIUS报文的传输层协议，通过使用共享密钥机制来保证客户端和RADIUS服务器之间消息交互的安全性。
需要注意的是，该功能仅能和H3C的iMCRADIUS服务器配合使用。
为使某个请求网络服务的用户可以通过本地认证，需要在设备上添加相应的用户条目。所谓用户，是指在设备上设置的一组用户属性的集合，该集合以用户名唯一标识。
为了简化用户的配置，增强用户的可管理性，引入了用户组的概念。用户组是一系列公共用户属性的集合，某些需要集中管理的公共属性可在用户组中统一配置和管理，属于该用户组的所有用户都可以继承这些属性。
ACL（AccessControlList，访问控制列表）是一或多条规则的集合，用于识别报文流。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。设备依照这些规则识别出特定的报文，并根据预先设定的策略对其进行处理。
表3-1ACL分类
ACL分类
规则制定依据
IPv4ACL
基本ACL
依据报文的源IPv4地址制订规则
高级ACL
依据报文的源/目的IPv4地址、源/目的端口号、优先级、承载的IPv4协议类型等三、四层信息制订规则
IPv6ACL
依据报文的源IPv6地址制订规则
依据报文的源/目的IPv6地址、源/目的端口号、优先级、承载的IPv6协议类型等三、四层信息制订规则
二层ACL
依据报文的源/目的MAC地址、802.1p优先级、链路层协议类型等二层信息
一个ACL中可以包含多条规则，设备将报文按照一定顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。规则匹配顺序有两种：
·配置顺序：按照规则编号由小到大进行匹配。
表3-2各类型ACL的“深度优先”排序法则
1.先比较源IPv4地址的范围，较小者（即通配符掩码中“0”位较多者）优先
2.如果源IPv4地址范围相同，再比较配置的先后次序，先配置者优先
(1)先比较协议范围，指定有IPv4承载的协议类型者优先
3.如果协议范围相同，再比较源IPv4地址范围，较小者优先
4.如果源IPv4地址范围也相同，再比较目的IPv4地址范围，较小者优先
5.如果目的IPv4地址范围也相同，再比较TCP/UDP端口号的覆盖范围，较小者优先
6.如果TCP/UDP端口号的覆盖范围无法比较，则比较配置的先后次序，先配置者优先
(1)先比较源IPv6地址的范围，较小者（即前缀较长者）优先
7.如果源IPv6地址范围相同，再比较配置的先后次序，先配置者优先
(1)先比较协议范围，指定有IPv6承载的协议类型者优先
8.如果协议范围相同，再比较源IPv6地址范围，较小者优先
9.如果源IPv6地址范围也相同，再比较目的IPv6地址范围，较小者优先
10.如果目的IPv6地址范围也相同，再比较TCP/UDP端口号的覆盖范围，较小者优先
11.如果TCP/UDP端口号的覆盖范围无法比较，则比较配置的先后次序，先配置者优先
(1)先比较源MAC地址范围，较小者（即掩码中“1”位较多者）优先
12.如果源MAC地址范围相同，再比较目的MAC地址范围，较小者优先
13.如果目的MAC地址范围也相同，再比较配置的先后次序，先配置者优先
比较IPv4地址范围的大小，就是比较IPv4地址通配符掩码中“0”位的多少：“0”位越多，范围越小。
比较IPv6地址范围的大小，就是比较IPv6地址前缀的长短：前缀越长，范围越小。
比较MAC地址范围的大小，就是比较MAC地址掩码中“1”位的多少：“1”位越多，范围越小。
每条规则都有自己的编号，这个编号可由手工指定或由系统自动分配。由于规则编号可能影响规则的匹配顺序，因此当系统自动分配编号时，为方便后续在已有规则之间插入新规则，通常在相邻编号之间留有一定空间，这就是规则编号的步长。系统自动分配编号的方式为：从0开始，按照步长分配一个大于现有最大编号的最小编号。比如原有编号为0、5、9、10和12的五条规则，步长为5，则系统将自动为下一条规则分配编号15。如果步长发生了改变，则原有全部规则的编号都将自动从0开始按新步长重新排列。比如原有编号为0、5、9、10和15的五条规则，当步长变为2后，这些规则的编号将依次变为0、2、4、6和8。
设备上的一个存储介质即称为一个文件系统。
如果设备仅支持固定存储介质flash，其文件系统名称为flash:。
如果设备仅支持固定存储介质CF卡，其文件系统名称为“cfa0:”。
如果设备除了固定存储介质外还支持可插拔存储介质U盘，可插拔存储介质的文件系统名称由存储介质的位置、存储介质类型、存储介质编号、分区编号和冒号组成：
·存储介质类型：U盘的类型名称为“usb”。
·存储介质编号：同类型的存储介质以英文小写字母a开始进行排序，例如“usba”表示第一个U盘。
·分区编号：一个存储介质上的分区以数字0开始进行排序，例如“usba0”表示第一个U盘上的第一个分区。
·冒号：作为存储介质名称的结束符，例如第一个U盘的完整名称为“usba0:”
表3-3无线控制器设备的存储介质
固定存储介质
可插拔存储介质
Flash
U盘
SD卡
U盘、SD卡
CF卡
HD卡
EWP-WX1820H-PWR
对于支持IRF的设备，存储介质位置的表示方式为：slotn#。其中n为IRF中成员设备的编号。例如：slot2#代表成员设备2上的存储介质。不指定slot参数时，表示IRF中主设备的存储介质。
文件系统名称中的英文字符输入时区分大小写，必须为小写字符。
本设备的文件系统采用树形目录结构，用户可以通过文件夹操作来改变目录层级，方便的管理文件。
(1)根目录
根目录用“/”来表示。在IRF中，输入cdslotn#medium:/可以进入成员设备的相应文件系统的根目录。
(2)工作目录
工作目录也被称为当前工作目录。
(3)文件夹的命名
文件夹名称中可以包含数字、字母或特殊字符（除了*|\/<>":）。给文件夹命名时，首字母请不要使用“.”。因为系统会把名称首字母为“.”的文件夹当成隐藏文件夹。
(4)常用文件夹
设备出厂时会携带一些文件夹，在运行过程中可能会自动产生一些文件夹，这些文件夹包括：
·diagfile：用于存放诊断信息文件的文件夹
·license：用于存放License文件的文件夹
·logfile：用于存放日志文件的文件夹
·seclog：用于存放安全日志文件的文件夹
·versionInfo：用于存放版本信息文件的文件夹
·其它名称的文件夹
(1)文件的命名
文件名中可以输入以数字、字母、特殊字符为组合的字符串（除了*|\/<>":）。给文件命名时，首字母请不要使用“.”。因为系统会把名称首字母为“.”的文件当成隐藏文件。
(2)常见文件类型
设备出厂时会携带一些文件，在运行过程中可能会自动产生一些文件，这些文件包括：
·xx.ipe（复合软件包套件，是启动软件包的集合）
·xx.bin（启动软件包）
·xx.cfg（配置文件）
·xx.mdb（二进制格式的配置文件）
·xx.log（用于存放日志的文件）
·其它后缀的文件
(3)隐藏文件和文件夹
文件/文件夹分为隐藏的、非隐藏的。因为有些系统文件/文件夹是隐藏文件/文件夹，所以对于隐藏文件/文件夹，请不要修改或删除，以免影响对应功能；对于非隐藏的文件/文件夹，请完全了解它的作用后再执行文件/文件夹操作，以免误删重要文件/文件夹。
·不支持IRF的设备在执行文件系统操作过程中，禁止对存储介质进行插拔操作。否则，可能会引起文件系统的损坏。
·支持IRF的设备在执行文件系统操作过程中，禁止对存储介质进行插拔或主设备和从设备的倒换操作。否则，可能会引起文件系统的损坏。
·当用户占用可插拔存储介质的资源（如用户正在访问某个目录或正在打开文件等）时，存储介质被强制拔出。此时，请先释放占用的存储介质的资源（如切换目录、关闭打开的文件等），再插入存储介质。否则，存储介质被插入后可能不能被识别。
·当需要对U盘进行写文件系统操作，请确保没有将U盘写保护。如果U盘写保护了，这些操作将执行失败。其它文件系统操作不受写保护开关影响。
文件操作是指对指定的文件路径下的文件进行相应操作，目前文件操作分为以下三类：
·上传：设备支持上传版本文件、配置文件、证书、本地portal页面、MAP文件、特殊AP版本文件等。
·下载：设备支持下载版本文件、配置文件、一键诊断信息及之前上传的信息文件等。
·删除：设备支持选择删除设备上的非隐性文件。
目前删除之后的文件无法恢复，请确保删除文件准确无误。
·License配置：在该页面可以进行在线自动或本地手动安装License操作。
·获取DID：在该页面可以将设备DID文件下载到本地。
·License和特性：查看设备上是否已经安装了License以及已安装的License的简要信息。
·角色管理：对用户可执行的系统功能以及可操作的系统资源权限的管理。
·通过角色规则实现对系统功能的操作权限的控制。例如，定义用户角色规则允许用户配置A功能，或禁止用户配置B功能。
·通过资源控制策略实现对系统资源（接口、VLAN）的操作权限的控制。例如，定义资源控制策略允许用户操作VLAN10，禁止用户操作接口GigabitEthernet1/0/1。
一个角色中可以包含多条规则，规则定义了允许/禁止用户操作某类实体的权限。
系统支持的实体类型包括：
·命令行：控制用户权限的最小单元，具体可分为读、写、执行类型的命令行。
·Web菜单：通过Web对设备进行配置时，各配置页面以Web菜单的形式组织，按照层次关系，形成多级菜单的树形结构。
·XML元素：与Web菜单类似，XML对于配置对象的组织也呈现树状结构，每一个XML元素代表XML配置中的一个XML节点。
·SNMPOID：对象标识符，SNMP协议通过OID唯一标识一个被管理对象。
对实体的操作权限包括：
·读权限：可查看指定实体的配置信息和维护信息。
·执行权限：可执行特定的功能，如与FTP服务器建立连接。
定义一个规则，就等于约定允许或禁止用户针对某类实体具有哪些操作权限，具体分为：
·控制命令行的规则：用来控制一条命令或者与指定的命令特征字符串相匹配的一类命令是否允许被执行。
·控制特性的规则：用来控制特性包含的命令是否允许被执行。因为特性中的每条命令都属于读类型、写类型或执行类型，所以在定义该类规则时，可以精细地控制特性所包含的读、写或执行类型的命令能否被执行。
·控制特性组的规则：此规则和基于特性的规则类似，区别是一条基于特性组的规则中可同时对多个特性包含的命令进行控制。
·控制Web菜单的规则：用来控制指定的Web菜单选项是否允许被操作。因为每个菜单项中的操作控件具有相应的读，写或执行属性，所以定义基于Web菜单的规则时，可以精细地控制菜单项中读、写或执行控件的操作。
·控制XML元素的规则：用来控制指定的XML元素是否允许被执行。XML元素也具有读，写或执行属性。
·控制OID的规则：用来控制指定的OID是否允许被SNMP访问。OID具有读，写和执行属性。
资源控制策略规定了用户对系统资源的操作权限。
表3-4系统预定义的角色名和对应的权限
角色名
权限
network-admin
network-operator
·可执行进入XML视图的命令
·可允许用户对所有Web菜单选项进行读操作
·可允许用户对所有XML元素进行读操作
·可允许用户对所有SNMPOID进行读操作
level-n(n=0～15)
·level-0：可执行命令ping、tracert、ssh2、telnet和super，且管理员可以为其配置权限
·level-2～level-8和level-10～level-14：无缺省权限，需要管理员为其配置权限
·level-15：具有与network-admin角色相同的权限
security-audit
安全日志管理员，仅具有安全日志文件的读、写、执行权限，具体如下：
以上权限，仅安全日志管理员角色独有，其它任何角色均不具备
guest-manager
预定义的用户角色中，仅用户角色level-0～level-14可以通过自定义规则和资源控制策略调整自身的权限。需要注意的是，这种修改对于displayhistory-commandall命令不生效，即不能通过添加对应的规则来更改它的缺省执行权限。
一个用户可同时拥有多个角色。拥有多个角色的用户可获得这些角色中被允许执行的功能以及被允许操作的资源的集合。
定义控制命令行的规则时，通过输入命令特征字符串来指定要控制命令行的范围。特征字符串的输入需要遵循以下规则：
·在输入命令特征字符串时必须指定该命令所在的视图，进入各视图的命令特征字符串由分号（;）分隔。分号将命令特征字符串分成多个段，每一个段代表一个或一系列命令，后一个段中的命令是执行前一个段中命令所进入视图下的命令。一个段中可以包含多个星号（*），每个星号（*）代表了0个或多个任意字符。例如：命令特征字符串“system;interface*;ip*;”代表从系统视图进入到任意接口视图后，以ip开头的所有命令。
·当最后一个段中的最后一个可见字符为分号时，表示所指的命令范围不再扩展，否则将向子视图中的命令扩展。例如：命令特征字符串“system;radiusscheme*;”代表系统视图下以radiusscheme开头的所有命令；命令特征字符串“system;radiusscheme*”代表系统视图下以radiusscheme开头的所有命令，以及进入子视图（RADIUS方案视图）下的所有命令。
·当星号（*）出现在一个段的首部时，其后面不能再出现其它可打印字符，且该段必须是命令特征字符串的最后一个段。例如：命令特征字符串“system;*”就代表了系统视图下的所有命令，以及所有子视图下的命令。
·当星号（*）出现在一个段的中间时，该段必须是命令特征字符串的最后一个段。例如：命令特征字符串“debugging*event”就代表了用户视图下所有模块的事件调试信息开关命令。
·一个段中必须至少出现一个可打印字符，不能全部为空格或Tab。
·对于能在任意视图下执行的命令（例如display命令）以及用户视图下的命令（例如dir命令），在配置包含此类命令的规则时，不需要在规则的命令匹配字符串中指定其所在的视图。
用户执行命令时，系统遵循以下匹配规则：
·命令关键字与命令特征字符串是采用前缀匹配算法进行匹配的，即只要命令行中关键字的首部若干连续字符或全部字符与规则中定义的关键字相匹配，就认为该命令行与此规则匹配。因此，命令特征字符串中可以包括完整的或部分的命令关键字。例如，若规则“rule1denycommanddisarpsource*”生效，则命令displayarpsource-macinterface和命令displayarpsource-suppression都会被禁止执行。
·基于命令的规则只对指定视图下的命令生效。若用户输入的命令在当前视图下不存在而在其父视图下被查找到时，用于控制当前视图下的命令的规则不会对其父视图下的命令执行权限进行控制。例如，定义一条规则“rule1denycommandsystem;interface*;*”禁止用户执行接口视图下的任何命令。当用户在接口视图下输入命令aclbasic3000时，该命令仍然可以成功执行，因为系统在接口视图下搜索不到指定的acl命令时，会回溯到系统视图（父视图）下执行，此时该规则对此命令不生效。
·display命令中的重定向符（“|”、“>”、“>>”）及其后面的关键字不被作为命令行关键字参与规则的匹配。例如，若规则“rule1permitcommanddisplaydebugging”生效，则命令displaydebugging>log是被允许执行的，其中的关键字>log将被忽略，RBAC只对重定向符前面的命令行displaydebugging进行匹配。但是，如果在规则中配置了重定向符，则RBAC会将其作为普通字符处理。例如，若规则“rule1permitcommanddisplaydebugging>log”生效，则命令displaydebugging>log将会匹配失败，因为其中的关键字>log被RBAC忽略了，最终是命令displaydebugging与规则进行匹配。因此，配置规则时不要使用重定向符。
用户访问SNMPOID时，系统遵循以下匹配规则：
·与用户访问的OID形成最长匹配的规则生效。例如用户访问的OID为1.3.6.1.4.1.25506.141.3.0.1，角色中存在“rule1permitreadwriteoid1.3.6”，“rule2denyreadwriteoid1.3.6.1.4.1”和“rule3permitreadwriteoid1.3.6.1.4”，其中rule2与用户访问的OID形成最长匹配，则认为rule2与OID匹配，匹配的结果为用户的此访问请求被拒绝。
·对于定义的OID长度相同的规则，规则编号大的生效。例如用户访问的OID为1.3.6.1.4.1.25506.141.3.0.1，角色中存在“rule1permitreadwriteoid1.3.6”，“rule2denyreadwriteoid1.3.6.1.4.1”和“rule3permitreadwriteoid1.3.6.1.4.1”，其中rule2和rule3与访问的OID形成最长匹配，则rule3生效，匹配的结果为用户的访问请求被允许。
管理员可以限制用户密码的最小长度。当设置用户密码时，如果输入的密码长度小于设置的最小长度，系统将不允许设置该密码。
管理员可以设置用户密码的组成元素的组合类型，以及至少要包含每种元素的个数。密码的组成元素包括以下4种类型：
·[A～Z]
·[a～z]
·[0～9]
·32个特殊字符（空格~`!@#$%^&*()_+-={}|[]\:”;’<>,./）
密码元素的组合类型有4种，具体涵义如下：
·组合类型为1表示密码中至少包含1种元素；
·组合类型为2表示密码中至少包含2种元素；
·组合类型为3表示密码中至少包含3种元素；
·组合类型为4表示密码中包含4种元素。
当用户设置密码时，系统会检查设定的密码是否符合配置要求，只有符合要求的密码才能设置成功。
·密码中不能包含连续三个或以上的相同字符。例如，密码“a111”就不符合复杂度要求。
·密码中不能包含用户名或者字符顺序颠倒的用户名。例如，用户名为“abc”，那么“abc982”或者“2cba”之类的密码就不符合复杂度要求。
系统保存用户密码历史记录。当用户修改密码时，系统会要求用户设置新的密码，如果新设置的密码以前使用过，且在当前用户密码历史记录中，系统将给出错误信息，提示用户密码更改失败。另外，用户更改密码时，系统会将新设置的密码逐一与所有记录的历史密码以及当前密码比较，要求新密码至少要与旧密码有4字符不同，且这4个字符必须互不相同，否则密码更改失败。
可以配置每个用户密码历史记录的最大条数，当密码历史记录的条数超过配置的最大历史记录条数时，新的密码历史记录将覆盖该用户最老的一条密码历史记录。
密码尝试次数限制可以用来防止恶意用户通过不断尝试来破解密码。
每次用户认证失败后，系统会将该用户加入密码管理的黑名单。可加入密码管理功能黑名单的用户包括：FTP用户和通过VTY方式访问设备的用户。不会加入密码管理功能黑名单的用户包括：用户名不存在的用户、通过Console口连接到设备的用户。
表3-5NTP时钟源工作模式
模式
工作过程
应用场合
服务器模式
对等体模式
系统提供了诊断信息收集功能，便于用户对错误进行诊断和定位。
通过使用Ping功能，用户可以检查指定地址的设备是否可达，测试链路是否通畅。
通过使用Tracert功能，用户可以查看IP报文从源端到达目的端所经过的三层设备，从而检查网络连接是否可用。当网络出现故障时，用户可以使用该功能分析出现故障的网络节点。
不同款型规格的资料略有差异,详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!