第10章 专线业务的配置

第10章 专线 业务 的 配置 10.1 二层 专线 的 配置 10.1.1 组网图 500)this.width=500;" border=0> 『 配置 环境参数』 计算机设置为自动获取 IP 地址的方式 MA5200F 的上行口地址： 200.100.0.1 MA5200F 对端路由器地址： 200.100.0.2 10.1.2 数据 配置 步

 

第10章  专线业务的配置

10.1  二层专线的配置

10.1.1  组网图

『配置环境参数』

计算机设置为自动获取IP地址的方式

MA5200F的上行口地址：200.100.0.1

MA5200F对端路由器地址：200.100.0.2

10.1.2  数据配置步骤

『专线用户的一些概念：』

接入用户的类型可分为两种：个人用户和集团用户。个人用户具有唯一的IP地址和MAC地址，使用唯一的账号，具有唯一的接入权限。集团用户具有多个IP地址和MAC地址，使用统一的接入权限。MA5200 V100R007为了满足实际组网中集团用户的需求，提出了专线接入的概念。 在MA5200E/F，专线接入泛指同一逻辑端口下的所有用户统一进行CAR和流量统计，对AAA只表现为一个连接的接入方式。 

专线接入具有如下的特征： 

l         ?   该专线下，所有的用户具有相同的权限； 

l         ?   该专线下，所有的用户统一计费； 

l         ?   该专线下，所有的用户统一做CAR； 

l         ?   该专线接入以端口VLAN作为标识。 

【配置专线用户的接入端口】

这里配置vlan子接口的目的主要是使得这个vlan子接口up起来。

加入用户从2号端口的1号VLAN接入上来：

[MA5200F]interface Ethernet 2.1

【配置地址池】 

对于专线用户是需要利用DHCP协议自动获取IP地址的，这个地址是存在一个事先设定好的地址池中的，这个地址池可以存在一个远端的DHCP的服务器上面，也可以存在5200本机上面，如果地址池是在5200上面的话那么首先就要配置这个地址池的相关参数。 

1.        创建一个名为huawei的地址池： 

[MA5200F]ip pool huawei local

2.        配置地址池的网关以及掩码： 

[MA5200F-ip-pool-huawei]gateway 61.10.1.1 255.255.255.0

3.        配置地址池的地址段： 

[MA5200F-ip-pool-huawei]section 0 61.10.1.2  61.10.1.10

注意： 

地址池中间还需要根据具体的情况配置相应的DNS服务器。 

★ 如果采用的是外置的地址池的话就按照下面的内容进行配置：

注意：

MA5200R007版本在采用外置地址池的情况下也需要在本地配置此地址池，所不同的在建立地址池的时候需要将地址池的属性设置为remote，而且地址池中只需要指定gateway（这里的主要作用就是生成一条用户网关的路由），而不需要配置地址段section。同时还需要建立一个DHCP SERVER组，在这个组里面指定外置DHCP SERVER的地址（注意，这里的DHCP SERVER的ip地址并不是地址池中的gateway）

1.        建立外置一个名为remotedhcp的DHCP SERVER组：

[MA5200F]dhcp-server group remotedhcp

2.        设置此DHCP SERVER组：

这里主要是指定此DHCP SERVER组所指向的DHCP SERVER的IP地址。

[MA5200F-dhcp-server-group-remotedhcp]dhcp-server 192.168.1.10

3.        创建一个远端地址池：

[MA5200F]ip pool huaweiremote remote

4.        指定地址池的gateway以及绑定DHCP SERVER组：

[MA5200F-ip-pool-huaweiremote]gateway 61.10.1.1 255.255.255.0

[MA5200F-ip-pool-huaweiremote]dhcp-server group remotedhcp

好了，现在我们已经给用户配置了一个地址池，接下来我们要为用户设置相应的认证和计费方案。 

【配置认证方案】 

1.        进入AAA视图： 

[MA5200F]aaa

2.        添加一个新的认证方案Auth1： 

[MA5200F-aaa]authentication-scheme Auth1

这样接下来就进入了相应的认证方案视图。 

3.        设置认证方案： 

我们已经创建了一个新的认证方案Auth1，接下来我们将定义这个认证方案的具体内容。 

[MA5200F-aaa-authen-auth1]authentication-mode local

这里我们将Auth1这一个认证方案定义为了本地认证，也就是说采用这样的一个认证方案的用户是在5200本地进行认证的。  

【配置计费方案】 

1.        进入AAA视图： 

[MA5200F]aaa

2.        添加一个新的计费方案Acct1： 

[MA5200F-aaa]accounting-scheme Acct1

3.        设置计费方案： 

[MA5200F-aaa-accounting-acct1]accounting-mode local

这里我们将Acct1这一个计费方案定义为了本地计费，也就是说采用这样的一个计费方案的用户是在5200本地进行计费的。  

【配置域】 

在5200上面每一个用户都是属于一个指定的（或者是默认的）域的，因此，在进行用户的配置之前我们首先要配置用户所属的域的一些参数。 

1.        进入AAA视图： 

[MA5200F]aaa

2.        新建一个名为isp的域： 

[MA5200F-aaa]domain isp 

接下来便进入了相应的域的配置视图。 

3.        指定该域所使用的地址池： 

[MA5200F-aaa-domain-isp]ip-pool first Huawei

4.        指定该域的认证方案和计费方案： 

[MA5200F-aaa-domain-isp]authentication-scheme Auth1

[MA5200F-aaa-domain-isp]accounting-scheme Acct1

这里我们将该域的认证方案和计费方案设置为了先前定义好的两个方案Auth1和Acct1，分别是本地认证和本地计费。

【添加用户帐号】 

1.        进入本地认证管理配置视图： 

[MA5200F]local-aaa-server

2.        添加用户： 

[MA5200F-local-aaa-server]batch-user ethernet 2 1 1 domain isp

这之后便添加了一个用户名为：ma5200f-vlan-01-0001@isp的用户帐号。 

【配置VLAN端口】 

配置VLAN端口的目的是指定某个端口的某些指定的VLAN用户认证前后所使用的域，所采用的认证方法。 

1.        进入端口VLAN的配置视图： 

[MA5200F]portvlan ethernet 2 vlan 1 1 

这里的含义是进入了2号以太网端口的从1开始总共1个VLAN ID的配置视图。

2.        设置该端口VLAN为专线用户接入类型，并且配置用户认证前所使用的域：

[MA5200F-ethernet-2-vlan1-1]access-type vlan-leased-line default-domain pre-authentication isp

在access-type后面有多个选项，其中的vlan-leased-line是指的专线类型的端口，一般用于接入二层或者三层的专线用户。 

【配置上行接口以及路由】 

配置上行接口的目的是为了和上层的路由器或者交换机相连接，在配置上行接口的时候我们首先要将需要配置的接口指定为“非管理类型”。 

1.        进入端口VLAN的配置视图： 

[MA5200F]portvlan ethernet 24 0 1 

2.        设置端口VLAN的接入类型为非管理类型： 

[MA5200F-ethernet-24-vlan0-0]access-type interface 

在access-type后面有多个选项，其中的interface是指的非管理类型的端口，用于连接上层交换机。 

3.        创建VLAN子接口： 

[MA5200F]interface Ethernet 24.0

这里需要说明一下，创建上行接口的步骤是先将一个端口上的某一个VLAN指定为“非管理类型”，然后再在这个端口上创建此VLAN的子接口。这里多了一个概念就是“VLAN子接口”。 

这样，一个物理端口上就可以创建多个逻辑的VLAN子接口，每个子接口可以配置不同的ip地址。这样报文在上行的时候就可以根据需要走不同的ip上行，并且带上相应的VLAN ID，三层交换机（或者二层交换机）就可以根据这样的VLAN ID对用户的报文进行不同路径的转发了。增强了转发的灵活性。如果这里的VLAN子接口设置为0的话就是不带 VLAN ID上去。 

4.        在 VLAN子接口下配置ip地址： 

[MA5200F-Ethernet24.0]ip address 200.100.0.1 255.255.255.252

5.        配置默认路由： 

对于一般条件的接入业务，5200上面只需要配置一条指向上行路由器端口的默认路由就可以了： 

[MA5200F]ip route-static 0.0.0.0 0.0.0.0 200.100.0.2 

10.1.3  测试验证

计算机应该能够获取到61.10.1.0/24网段的IP地址，此时应该可以ping通对端路由器的地址202.100.0.2（对端路由器需要做到MA5200F下面用户网段的回程路由）。 

10.2  三层专线的配置

10.2.1  组网图

『配置环境参数』

计算机IP地址为：60.10.1.2/24

MA5200F的上行口地址：200.100.0.1

MA5200F对端路由器地址：200.100.0.2

MA5200F上接下端路由器的端口的地址为：60.11.1.2/30

MA5200F下连路由器的地址为：60.11.1.1/30

10.2.2  数据配置步骤

『三层专线用户的概念』 

普通三层接入VLAN专线与普通二层接入VLAN专线的区别在于，普通三层接入VLAN专线下挂的为三层设备，而普通二层接入VLAN专线下挂的为二层设备。

【配置认证方案】 

1.        进入AAA视图： 

[MA5200F]aaa

2.        添加一个新的认证方案Auth1： 

[MA5200F-aaa]authentication-scheme Auth1

这样接下来就进入了相应的认证方案视图。 

3.        设置认证方案： 

我们已经创建了一个新的认证方案Auth1，接下来我们将定义这个认证方案的具体内容。 

[MA5200F-aaa-authen-auth1]authentication-mode local

这里我们将Auth1这一个认证方案定义为了本地认证，也就是说采用这样的一个认证方案的用户是在5200本地进行认证的，当然在实际的开局中我们也可以根据实际的情况将认证方案设置为其它的类型，如radius，这样的话这个用户将会去radius服务器进行认证。 

【配置计费方案】 

1.        进入AAA视图： 

[MA5200F]aaa

2.        添加一个新的计费方案Acct1： 

[MA5200F-aaa]accounting-scheme Acct1

3.        设置计费方案： 

[MA5200F-aaa-accounting-acct1]accounting-mode local

这里我们将Acct1这一个计费方案定义为了本地计费，也就是说采用这样的一个计费方案的用户是在5200本地进行计费的，当然在实际的开局中我们也可以根据实际的情况将计费方案设置为其它的类型，如radius，这样的话这个用户将会去radius服务器进行计费。 

【配置域】 

在5200上面每一个用户都是属于一个指定的（或者是默认的）域的，因此，在进行用户的配置之前我们首先要配置用户所属的域的一些参数。 

1.        进入AAA视图： 

[MA5200F]aaa

2.        新建一个名为isp的域： 

[MA5200F-aaa]domain isp 

接下来便进入了相应的域的配置视图。 

3.        指定该域的认证方案和计费方案： 

[MA5200F-aaa-domain-isp]authentication-scheme Auth1

[MA5200F-aaa-domain-isp]accounting-scheme Acct1

这里我们将该域的认证方案和计费方案设置为了先前定义好的两个方案Auth1和Acct1，分别是本地认证和本地计费。

【配置与下挂路由器相连的接口地址】

[MA5200F]interface Ethernet 2.0

[MA5200F-Ethernet2.0]ip address 60.11.1.2 255.255.255.252

【配置到用户网段的路由】

三层专线由于是下挂的路由器，一次需要配置到用户网段的静态路由，下一跳是下挂路由器的接口地址。同时，通过配置到用户网段的静态路由来限制专线用户的接入网段。

[MA5200F]ip route-static 61.10.1.2 255.255.255.0 60.11.1.1

【配置VLAN端口】 

配置VLAN端口的目的是指定某个端口的某些指定的VLAN用户认证前后所使用的域，所采用的认证方法。 

1.        进入端口VLAN的配置视图（0表示没有vlan）： 

[MA5200F]portvlan ethernet 2 vlan 0 1

2.        设置该端口VLAN为专线用户接入类型，以及用户认证前所使用的域：

[MA5200F-ethernet-2-vlan0-0]access-type vlan-leased-line default-domain pre-authentication isp

在access-type后面有多个选项，其中的vlan-leased-line是指的专线类型的端口，一般用于接入二层或者三层的专线用户。 

3.        配置端口的认证方法： 

[MA5200F-ethernet-2-vlan0-0]authentication-method bind

【配置上行接口以及路由】 

配置上行接口的目的是为了和上层的路由器或者交换机相连接，在配置上行接口的时候我们首先要将需要配置的接口指定为“非管理类型”。 

1.        进入端口VLAN的配置视图： 

[MA5200F]portvlan ethernet 24 0 1 

2.        设置端口VLAN的接入类型为非管理类型： 

[MA5200F-ethernet-24-vlan0-0]access-type interface 

在access-type后面有多个选项，其中的interface是指的非管理类型的端口，用于连接上层交换机。 

3.        创建VLAN子接口： 

[MA5200F]interface Ethernet 24.0

这里需要说明一下，创建上行接口的步骤是先将一个端口上的某一个VLAN指定为“非管理类型”，然后再在这个端口上创建此VLAN的子接口。这里多了一个概念就是“VLAN子接口”。 

这样，一个物理端口上就可以创建多个逻辑的VLAN子接口，每个子接口可以配置不同的ip地址。这样报文在上行的时候就可以根据需要走不同的ip上行，并且带上相应的VLAN ID，三层交换机（或者二层交换机）就可以根据这样的VLAN ID对用户的报文进行不同路径的转发了。增强了转发的灵活性。如果这里的VLAN子接口设置为0的话就是不带 VLAN ID上去。 

4.        在 VLAN子接口下配置ip地址： 

[MA5200F-Ethernet24.0]ip address 200.100.0.1 255.255.255.252

5.        配置默认路由： 

对于一般条件的接入业务，5200上面只需要配置一条指向上行路由器端口的默认路由就可以了： 

[MA5200F]ip route-static 0.0.0.0 0.0.0.0 200.100.0.2 

10.2.3  测试验证

用户计算机此时应该可以ping通对端路由器的地址202.100.0.2（对端路由器需要做到MA5200F下面用户网段的回程路由）。

 

10.3  PROXY专线的配置

10.3.1  组网图

『配置环境参数』

计算机设置为自动获取IP地址的方式

MA5200F的上行口地址：200.100.0.1

MA5200F对端路由器地址：200.100.0.2

10.3.2  数据配置步骤

『PROXY专线用户的一些概念：』

PROXY专线具有二层专线的所有的特性。同时PROXY专线在用户的认证方式上更为灵活，可以采用WEB，DOT1X等认证策略，二普通的二层专线用户只能进行BIND认证。

PROXY专线的数据配置和一般的接入用户的数据配置是基本相同的，只是在portvlan里面所指定的接入类型不同罢了。

我们这里以静态用户为例子说明PROXY专线是如何配置的，当然PROXY专线用户也可以配置为动态用户或者WEB认证用户。 

【配置地址池】

PROXY专线用户首先配置地址池。现在的版本对于静态用户也是需要配置地址池的，并且要将静态用户的地址包含进所配置的地址池中，同时还要执行禁用的命令，所以在做静态用户数据的第一步就是生成相应的地址池。

1.        创建一个名为huawei的地址池：

[MA5200F]ip pool huawei local

2.        配置地址池的网关以及掩码：

[MA5200F-ip-pool-huawei]gateway 61.10.1.1 255.255.255.0

3.        配置地址池的地址段：

[MA5200F-ip-pool-huawei]section 0 61.10.1.2  61.10.1.10 

4.       在地址池里面将静态用户的地址去除： 

MA5200F-ip-pool-huawei]excluded-ip-address 61.10.1.2

另外在实际开局中此处还要配置DNS服务器的IP，但由于是业务配置指导书，此处DNS的配置省略，具体配置可以参考开局指导书中的相关部分，下面的各配置中地址池的配置与此相同。 

好了，现在我们已经给静态用户配置了一个地址池，接下来我们要为静态用户设置相应的认证和计费方案。

【配置认证方案】

1.        进入AAA视图：

[MA5200F]aaa

2.        添加一个新的认证方案Auth1：

[MA5200F-aaa]authentication-scheme Auth1

这样接下来就进入了相应的认证方案视图。

3.        设置认证方案：

我们已经创建了一个新的认证方案Auth1，接下来我们将定义这个认证方案的具体内容。

[MA5200F-aaa-authen-auth1]authentication-mode local

这里我们将Auth1这一个认证方案定义为了本地认证，也就是说采用这样的一个认证方案的用户是在5200本地进行认证的，当然在实际的开局中我们也可以根据实际的情况将认证方案设置为其它的类型，如radius，这样的话这个用户将会去radius服务器进行认证。

【配置计费方案】

1.        进入AAA视图：

[MA5200F]aaa

2.        添加一个新的计费方案Acct1：

[MA5200F-aaa]accounting-scheme Acct1

3.        设置计费方案：

[MA5200F-aaa-accounting-acct1]accounting-mode local

这里我们将Acct1这一个计费方案定义为了本地计费，也就是说采用这样的一个计费方案的用户是在5200本地进行计费的，当然在实际的开局中我们也可以根据实际的情况将计费方案设置为其它的类型，如radius，这样的话这个用户将会去radius服务器进行计费。

注意： 

如果选择的是本地计费的方式，那么话单首先是生成在cache里面的，重启之后将会丢失。而且由于cache的容量有限，当cache满了之后将无法进行正常的计费。所以我们需要配置数据将cache里面的话单定时备份出来：

4.        设置话单的备份方式：

[MA5200F-local-aaa-server]cache-bill backup-mode tftp

5.        设置备份的时间间隔（默认是720分钟）：

[MA5200F-local-aaa-server]cache-bill backup-interval 120

6.        设置备份话单服务器的参数：

[MA5200F-local-aaa-server]bill-server 10.1.1.1 filename bill

【配置域】

在5200上面每一个用户都是属于一个指定的（或者是默认的）域的，因此，在进行用户的配置之前我们首先要配置用户所属的域的一些参数。

1.        进入AAA视图：

[MA5200F]aaa

2.        新建一个名为isp的域：

[MA5200F-aaa]domain isp

接下来便进入了相应的域的配置视图。 

3.        指定该域所使用的地址池： 

[MA5200F-aaa-domain-isp]ip-pool first Huawei

4.        指定该域的认证方案和计费方案： 

[MA5200F-aaa-domain-isp]authentication-scheme Auth1

[MA5200F-aaa-domain-isp]accounting-scheme Acct1

这里我们将该域的认证方案和计费方案设置为了先前定义好的两个方案Auth1和Acct1，分别是本地认证和本地计费。 

【配置VLAN端口】 

配置VLAN端口的目的是指定某个端口的某些指定的VLAN用户认证前后所使用的域，所采用的认证方法，以及静态用户的数据。 

1.        进入端口VLAN的配置视图： 

[MA5200F]portvlan ethernet 2 vlan 1 1

这里的含义是进入了2号以太网端口的从1开始总共1个VLAN ID的配置视图。 

2.        设置该端口VLAN为二层普通用户接入类型：

[MA5200F-ethernet-2-vlan1-1] access-type proxy-leased-line

在access-type后面有多个选项，其中的proxy-leased-line是指的PROXY专线用户。

注意： 

在一个portvlan下面指定了接入类型为proxy-leased-line之后，这个portvlan下面就只能接入一个用户了。 

3.        配置用户所使用的域： 

[MA5200F-ethernet-2-vlan1-1]default-domain authentication isp 

4.        配置端口的认证方法： 

[MA5200F-ethernet-2-vlan1-1]authentication-method bind

5.        添加静态用户： 

[MA5200F-ethernet-2-vlan1-1]static-user 61.10.1.2 detect

这里的detect的含义是：静态用户不绑定MAC地址，MA5200设备主动探测。此应用主要是在静态用户是二层交换机等需管理设备。

此处配完后可以通过[MA5200F]display static-user

  Port-type  Port-ID  VLAN-ID   IP-address  Static-user-state

  ---------------------------------------------------------------------------

  Ethernet    1           1      61.10.1.2   Updated

  ---------------------------------------------------------------------------

  Total 4 item(s)

状态为UPDATED时表示这个静态用户目前处在预连结状态，如果为其它的状态的话请检查自己的数据配置情况。目前静态用户的配置顺序必须为：地址池－－－认证计费策略－－－域－－－进行portvlan的配置并添加静态用户。 

【添加用户帐号】

1.        进入本地认证管理配置视图： 

[MA5200F]local-aaa-server

2.        添加用户： 

[MA5200F-local-aaa-server]batch-user ethernet 2 1 1 domain isp

这之后便添加了一个用户名为：ma5200f-vlan-01-0001@isp的用户帐号。 

【配置上行接口以及路由】 

配置上行接口的目的是为了和上层的路由器或者交换机相连接，在配置上行接口的时候我们首先要将需要配置的接口指定为“非管理类型”。 

1.        进入端口VLAN的配置视图： 

[MA5200F]portvlan ethernet 24 vlan 0 1 

2.        设置端口VLAN的接入类型为非管理类型： 

[MA5200F-ethernet-24-vlan0-0]access-type interface 

在access-type后面有多个选项，其中的interface是指的非管理类型的端口，用于连接上层交换机。 

3.        创建VLAN子接口： 

[MA5200F]interface Ethernet 24.0

这里需要说明一下，创建上行接口的步骤是先将一个端口上的某一个VLAN指定为“非管理类型”，然后再在这个端口上创建此