H3C 镜像旁路认证设置案例，好东西与大家分享

大boss

H3C S3600镜像口对接旁路认证营销配置命令

1. 环境描述

某品牌连锁酒店，某分店有10层楼，每层楼有30个房间，共300个房间。

网络核心采用H3C S3600三层交换机，每一层楼分一个TRUNK口，级联一个二层的VLAN交换机，每个房间对应一个VLAN和一个子网。原有网络拓扑图如下：

2. 旁路模式实施

旁路认证需要在三层交换机上设置一个观察口和一个ACCESS口，都接在集客旁路认证网关上。如下图：

1) 在三层交换机上指定8号为观察口，把11~20号口的数据镜像给8号口。

2) 8号观察口连接集客网关内网口NET1，NET1将作为旁路模式的监听口。

3) 在三层交换机上指定7号口为ACCESS口，并划到三层交换机原有的上联VLAN 100。

4) 7号口接集客网关的外网口NET2，NET2将作为旁路模式的回传口。

5) 给集客网关NET2分配IP地址192.168.100.3/24， 网关为防火墙的IP地址192.168.100.2。

注：

ü 本案例中，11~20号口都为TRUNK模式，下面级联VLAN交换机。

ü 楼层交换机也可以采用楼道端口隔离交换机，11~20号口则为ACCESS模式，本案例同样适用。

ü 本案例中，服务器与办公电脑等不需要认证，不镜像数据即可。

3. 三层交换配置3.1 配置镜像口

本案例中，需要配置11~20号口做数据镜像，镜像方式是上下行都镜像。在华三S3600三层交换机上设置镜像11号口的命令如下：

－－－－－－－－－－－－－－－－－－－－－

   <H3C>system-view

   [H3C]interface Ethernet 1/0/11

   [H3C-Ethernet1/0/11]mirroring-port both

   －－－－－－－－－－－－－－－－－－－－－

注：有的交换机需要配置镜像组，请查相关手册

其中命令mirroring-port both，表示同时镜像上行和下行的数据。配置完成以后，执行dis this可以看到11号口的配置大致如下：

  －－－－－－－－－－－－－－－－－－－－－－

  [H3C-Ethernet1/0/11]dis this

  #

  interfaceEthernet1/0/11

  portlink-typetrunk

  undoporttrunk permitvlan 1

  porttrunk permitvlan 1601to 1630

  mirroring-portboth

  #

  return

－－－－－－－－－－－－－－－－－－－－－

注：dis this命令仅仅是察看当前的配置信息。

重复在12~20号口上做mirroring-port both操作，即完成了镜像口配置。

3.2 配置观察口

如上图，我们选择8号口做观察口，同样的华三S3600三层交换机上配置如下：

－－－－－－－－－－－－－－－－－－－－－


    <H3C>system-view

   [H3C]interface Ethernet 1/0/8

   [H3C-Ethernet1/0/8]monitor-port

   －－－－－－－－－－－－－－－－－－－－－

命令monitor-port设置了8号口为观察口，同样通过dis this命令可以看到本口的配置信息和状态

  －－－－－－－－－－－－－－－－－－－－－－

  [H3C-Ethernet1/0/8]dis this

  #

  interface Ethernet1/0/8

  monitor-port

  #

  return

  －－－－－－－－－－－－－－－－－－－－－－

3.3 设置回传口

案例中用户原网络分了一个编号为100的VLAN用作上联口，配置了IP地址192.168.100.1/255.255.255.0，并将1号口划给了这个VLAN 100。

我们将使用7号口作为通讯回传口，在这里，我们仅需要把这个口设置为ACCESS模式，并加入VLAN 100即可，命令如下：

－－－－－－－－－－－－－－－－－－－－－－

   <H3C>system-view

   [H3C]interface  Ethernet  1/0/7

   [H3C-Ethernet1/0/7]port access vlan 100

  －－－－－－－－－－－－－－－－－－－－－－

注：

* 请根据实际情况配置7号口的VLAN号。

* 也可以再创建一个VLAN，并指定IP地址和掩码，并将7号口加入到这个VLAN口，要求是集客网关接这个口可以同时访问内网和因特网。

同样使用dis this命令可以查看本接口的状态，如下：

－－－－－－－－－－－－－－－－－－－－－－－

[H3C-Ethernet1/0/7]display  this

#

interface Ethernet1/0/7

port access vlan 100

#

return

注：

ü 请根据实际情况配置7号口的VLAN号。

ü 也可以再创建一个VLAN，并指定IP地址和掩码，并将7号口加入到这个VLAN口，要求是集客网关接这个口可以同时访问内网和因特网。

同样使用dis this命令可以查看本接口的状态，如下：

－－－－－－－－－－－－－－－－－－－－－－－

[H3C-Ethernet1/0/7]display  this

#

interface Ethernet1/0/7

port access vlan 100

#

return

集客网关选择旁路认证，并做对应配置即可实现旁路WIFI营销：

4旁路认证优势

4.1 不更改网络结构

新增WIFI营销设备，不得替换现有网络设备，或者增加网络层级，也不得变动路由路径。

4.2 调试不断网

升级改造过程中，产品安装调试确保用户上网不受影响。

4.3故障有预案

WIFI营销设备出现故障时，可以快速的恢复网络畅通，并不影响现在业务数据。

4.4高性能原则

WIFI营销设备，可适应千兆网络，不得对现有网络造成瓶颈。

4.5网络可扩展

WIFI营销设备不得给网络延伸或者将来的第三方设备接入造成障碍。

大boss

xiaoduoduo999 发表于 2015-10-26 09:35
看不懂，太复杂，不知所云。

这个没有一点网络基础知识确实是不太容易看懂在说什么

xiaoduoduo999

看不懂，太复杂，不知所云。

6331805

谢谢分享，很详细，很细致！很用心！

addmeok

LZ辛苦了
写的很详细,命令都打出来了

华为,锐捷...也来一份啊

eli

帮顶，不明觉厉。

天生的心

不错！！！ 好文，学习中

sgwyj

友情帮顶

modi5156

虽然看不到！但是赶脚很腻害

大boss

modi5156 发表于 2015-10-28 00:09
虽然看不到！但是赶脚很腻害

唉，遗憾了， 这么好的东西

wyll

LZ很用心
虽然看不懂，感觉很牛X

谷职(焦)

学习一下，虽然不懂啊