H3C华为路由器配置实例.doc

1、通过在外网口配置 nat 基本就 OK 了，以下配置假设 Ethernet0/0 为局域网接口，Ethernet0/1为外网口。1、配置内网接口（Ethernet0/0）：MSR20-20 interface Ethernet0/0MSR20-20- Ethernet0/0ip add 192.168.1.1 242、使用动态分配地址的方式为局域网中的 PC 分配地址MSR20-20dhcp server ip-pool 1MSR20-20-dhcp-pool-1network 192.168.1.0 24MSR20-20-dhcp-pool-1dns-list 202.96.134.133M

2、SR20-20-dhcp-pool-1 gateway-list 192.168.1.13、配置 natMSR20-20nat address-group 1 公网 IP 公网 IPMSR20-20acl number 3000MSR20-20-acl-adv-3000rule 0 permit ip4、配置外网接口（Ethernet0/1）MSR20-20 interface Ethernet0/1MSR20-20- Ethernet0/1ip add 公网 IPMSR20-20- Ethernet0/1 nat outbound 3000 address-group 15加默缺省路由MSR

3、20-20route-stac 0.0.0.0 0.0.0.0 外网网关总结：在2020路由器下面, 配置外网口,配置内网口,配置 acl 作 nat, 一条默认路由指向电信网关. ok!Console 登陆认证功能的配置关键词：MSR;console;一、组网需求：要求用户从 console 登录时输入已配置的用户名 h3c 和对应的口令 h3c，用户名和口令正确才能登录成功。二、组网图：三、配置步骤：设备和版本：MSR 系列、version 5.20, R1508P02RTA关键配置脚本#/创建本地帐号与密码local-user h3cpassword simple h3c/设置服务类型为

4、 terminalservice-type terminal /设置用户优先级为 3level 3#/设置 console 接口为 scheme 认证模式user-interface con 0authentication-mode scheme#四、配置关键点：1) 在配置完成后，释放当前连接，重新连接设备即可。telnet 用户进行本地认证功能的典型配置关键词：MSR;telnet;一、组网需求：要求用户 telnet 登录时输入已配置的用户名 h3c 和对应的口令 h3c，用户名和口令正确才能登录成功。设备清单：MSR 系列路由器台 1二、组网图：三、配置步骤：设备和版本：MSR 系列、

5、version 5.20, R1508P02RTA关键配置脚本#/更改同时配置设备的用户数为 5，默认为 1，保证最多 5 个用户进入系统视图configure-user count 5#/打开 Telnet 服务器，缺省关闭，必须打开telnet server enable#/创建本地帐号与密码local-user h3cpassword simple h3c/设置服务类型为 telnetservice-type telnet /设置用户优先级为 3level 3#/连接到 telnet 主机客户端interface Ethernet0/1port link-mode routeip add

6、ress 192.168.0.1 255.255.255.0#/设置 scheme 认证user-interface vty 0 4authentication-mode scheme#四、配置关键点：1) 必须保证 Telnet Server Enable，Configure-user count 也根据需要进行配置；2) 实际使用用户名、密码要和 local-user 配置保持一致。MSR 系列路由器地址池方式做 NAT 的配置关键字：MSR;NAT;地址池一、组网需求：内网用户通过路由器的 NAT 地址池转换来访问 Internet。设备清单：MSR 系列路由器 1 台，PC 1 台二、

7、组网图：三、配置步骤：适用设备和版本：MSR 系列、Version 5.20, Release 1508P02MSR1 配置#/用户 NAT 的地址池nat address-group 1 202.100.1.3 202.100.1.6#/配置允许进行 NAT 转换的内网地址段acl number 2000rule 0 permit source 192.168.0.0 0.0.0.255rule 1 deny#interface GigabitEthernet0/0port link-mode route/在出接口上进行 NAT 转换nat outbound 2000 address-gro

8、up 1ip address 202.100.1.2 255.255.255.0#/内网网关interface GigabitEthernet0/1port link-mode routeip address 192.168.0.1 255.255.255.0#/配置默认路由ip route-static 0.0.0.0 0.0.0.0 202.100.1.1#四、配置关键点：1）地址池要连续；2）在出接口做 NAT 转换；3）默认路由一般要配置。DHCP SERVER 功能的配置关键字：MSR;DHCP; 基础配置一、组网需求：MSR1 作为 DHCP 服务器为网段 10.1.1.0/24

9、中的客户端动态分配 IP 地址，该地址池网段分为两个子网网段：10.1.1.0/25 和 10.1.1.128/25。路由器的两个以太网接口 G0/0 和 G0/1 的地址分别为 10.1.1.1/25 和10.1.1.129/25。10.1.1.0/25 网段内的地址租用期限为 10 天 12 小时，域名为，DNS 服务器地址为 10.1.1.2，NBNS 服务器地址为 10.1.1.4，出口网关的地址为 10.1.1.1。10.1.1.128/25 网段内的地址租用期限为 5 天，域名为，DNS 服务器地址为 10.1.1.2，无 NBNS 服务器地址，出口网关的地址为 10.1.1.12

10、9。设备清单：PC 两台、MSR 系列路由器 1 台二、组网图：三、配置步骤：适用设备和版本：MSR 系列、Version 5.20, Release 1508P02MSR1 配置#/配置 DHCP 父地址池 0 的共有属性（地址池范围、DNS 服务器地址）dhcp server ip-pool 0network 10.1.1.0 mask 255.255.255.0dns-list 10.1.1.2domain-name #/配置 DHCP 子地址池 1 的属性（地址池范围、出口网关）dhcp server ip-pool 1network 10.1.1.0 mask 255.255.255

11、.128gateway-list 10.1.1.1nbns-list 10.1.1.4expired day 10 hour 12#/配置 DHCP 子地址池 2 的属性（地址池范围、出口网关）dhcp server ip-pool 2network 10.1.1.128 mask 255.255.255.128gateway-list 10.1.1.129expired day 5#interface GigabitEthernet0/0port link-mode routeip address 10.1.1.1 255.255.255.128#interface GigabitEther

12、net0/1port link-mode routeip address 10.1.1.129 255.255.255.128#/禁止服务器地址参与自动分配dhcp server forbidden-ip 10.1.1.2 10.1.1.4#/使能 DHCP 服务功能dhcp enable#四、配置关键点：1)子地址池 1、2 的范围要在父地址池 0 里面。2)要把一些固定的 IP 地址，如 DNS 服务器地址、域名服务器地址、WINS 服务器地址禁止用于自动分配。3)配置好地址池及相关服务器地址后，一定要在系统视图下使能 DHCP 服务功能。MSR 系列路由器 GRE 隧道基础配置关键字：M

13、SR;GRE; 隧道一、组网需求：Router A 、Router B 两台路由器通过公网用 GRE 实现私网互通。设备清单：MSR 系列路由器 2 台二、组网图：三、配置步骤：Router A 配置#interface LoopBack1ip address 11.1.1.1 255.255.255.255#interface GigabitEthernet0/0port link-mode routeip address 10.1.1.1 255.255.255.252#/创建 GRE 隧道，指定封装后的源地址和目的地址interface Tunnel0ip address 192.168

14、.0.2 255.255.255.0source 10.1.1.1destination 10.1.1.2#/通过 tunnel 访问对端私网的路由ip route-static 12.1.1.0 255.255.255.0 Tunnel0#Router B 配置#interface Ethernet0/0port link-mode routeip address 10.1.1.2 255.255.255.252#interface LoopBack1ip address 12.1.1.1 255.255.255.255#/创建 GRE 隧道，指定封装后的源地址和目的地址interface

15、Tunnel0ip address 192.168.0.1 255.255.255.0source 10.1.1.2destination 10.1.1.1#/通过 tunnel 访问对端私网的路由ip route-static 11.1.1.0 255.255.255.0 Tunnel0#四、配置关键点：1)两端的隧道地址要处于同一网段；2)不要忘记配置通过 tunnel 访问对方私网的路由。L2TP 穿过 NAT 接入 LNS 功能配置关键字：MSR;L2TP;VPN;NAT;LNS一、组网需求：移动用户通过 L2TP 客户端软件接入 LNS 以访问总部内网，但 LNS 的地址为内网地址，

16、需要通过 NAT 服务器后才能接入。设备清单：MSR 系列路由器 2 台PC 1 台二、组网图：三、配置步骤：LNS 配置#sysname H3C#l2tp enable /使能 L2TP#domain h3cip pool 1 11.1.1.2 11.1.1.5#local-user ua /创建本地用户 userapassword simple uaservice-type ppp /采用 ppp 方式#l2tp-group 1 /创建 L2TP 组undo tunnel authenticationallow l2tp virtual-template 0#interface Ether

17、net0/0port link-mode routeip address 192.168.0.1 255.255.255.0#interface Virtual-Template0 ppp authentication-mode pap domain h3c/采用 PAP 的域认证方式ppp pap local-user ua password simple uaremote address pool 1 ip address 11.1.1.1 255.255.255.0#interface LoopBack0ip address 192.168.0.3 255.255.255.255#ip

18、route-static 0.0.0.0 0.0.0.0 192.168.0.2#NAT 配置#sysname NAT#acl number 2000 rule 0 permit source 192.168.0.0 0.0.0.255rule 5 deny#interface GigabitEthernet0/0port link-mode routeip address 192.168.0.2 255.255.255.0 /配置内网网关#interface GigabitEthernet0/1port link-mode route/使用出接口进行 NAT 转换nat outbound 2

19、000 /允许外网 UDP 数据访问 192.168.0.1nat server protocol udp global 1.1.1.1 any inside 192.168.0.1 anyip address 1.1.1.1 255.0.0.0#PC 的配置如下：在 PC 上的配置步骤可以分为两步：创建一个新连接和修改连接属性，具体如下：首先要创建一个新的连接，操作步骤为：网络邻居-属性在网络任务栏里选择“创建一个新的连接”单击下一步选择“连接到我的工作场所”，单击下一步选择“虚拟专用网络连接”，单击下一步输入连接名称“l2tp”，单击下一步选择“不拨初始连接”，单击下一步选择 LNS 的服

20、务器地址 1.1.1.1，单击下一步选择“不使用我的智能卡”，单击下一步单击完成，此时就会出现名为 l2tp 的连接，如下：单击属性按钮，修改连接属性，要与 LNS 端保持一致，如下：在属性栏里选择“安全”，选择“高级”“设置”，如下:选择“允许这些协议”“不加密的密码（PAP）(U)”,单击确定。至此，PC 机上的配置完成。双击“l2tp”连接，输入用户名 ua 和密码ua，就可以访问内部网络了。在 PC 上 pingLNS 的 loopback 地址，如下：C:Documents and SettingsAdministratorping 192.168.0.3Pinging 192.16

21、8.0.3 with 32 bytes of data:Reply from 192.168.0.3: bytes=32 time=1ms TTL=255Reply from 192.168.0.3: bytes=32 time1ms TTL=255Reply from 192.168.0.3: bytes=32 time1ms TTL=255Reply from 192.168.0.3: bytes=32 time1ms TTL=255Ping statistics for 192.168.0.3:Packets: Sent = 4, Received = 4, Lost = 0 (0% l

22、oss),Approximate round trip times in milli-seconds:Minimum = 0ms, Maximum = 1ms, Average = 0ms四、配置关键点：1） L2TP 的认证最好采用域方式认证2） PC 侧的配置要与 LNS 上的配置一致3） PC 侧的服务器地址要填 NAT 公网出口地址LNS 上对 L2TP 接入进行 Radius 认证功能的配置关键字：MSR;L2TP;LNS;Radius;AAA一、组网需求：MSR 路由器是 LNS 服务器，对外提供 L2TP 接入服务，并对接入用户进行Radius 认证设备清单：MSR 系列路由器

23、1 台，主机 2 台二、组网图：三、配置步骤：MSR配置#/势能 L2TPl2tp enable#/将默认域改为 h3cdomain default enable h3c#/配置 Radius 方案 h3cradius scheme h3cserver-type standard/主认证 Radius 服务器地址primary authentication 192.168.0.13/主计费服务器地址primary accounting 192.168.0.13/认证服务器密码key authentication 123456/计费服务器密码key accounting 123456/不带域名认

24、证user-name-format without-domain/使能计费accounting-on enable#/配置 H3C 域domain h3c/配置认证方案为 h3cauthentication ppp radius-scheme h3c/配置授权方案也是 h3c，必须配置，否则无法认证通过authorization ppp radius-scheme h3caccess-limit disablestate activeidle-cut disableself-service-url disable/配置地址池ip pool 1 10.0.0.2 10.0.0.9#/l2tp 组

25、 1l2tp-group 1/不进行隧道认证undo tunnel authentication/绑定虚模板 0allow l2tp virtual-template 0#/虚模板 0interface Virtual-Template0/进行 ppp 的 pap 认证，使用默认域（ h3c）认证ppp authentication-mode pap/指定默认域（h3c）的地址池 1remote address pool 1/虚模板地址ip address 10.0.0.1 255.255.255.0#/连接 Radius 服务器接口interface GigabitEthernet0/0po

26、rt link-mode routeip address 192.168.0.22 255.255.255.0#/连接互联网的接口interface GigabitEthernet0/1port link-mode routeip address 221.231.137.5 255.255.255.192#四、配置关键点：1) 在 h3c 域视图下必须配置 Authorization 授权方案，否则即使 Radius 认证通过，Radius 服务器返回的 Accept 授权不会被路由器接受，导致认证失败；2) Radius 方案中是否计费、端口、密码设置要视 Radius 服务器而定；3) P

27、C 部分配置可以参考 L2TP 部分典型配置。VLAN（802.1q）功能的典型配置关键词：MSR;802.1q;一、组网需求：在局域网中,通过交换机上配置 VLAN 可以减少主机通信广播域的范围,当 VLAN之间有部分主机需要通信,但交换机不支持三层交换时,可以采用一台支持802.1Q 的路由器实现 VLAN 的互通.这需要在以太口上建立子接口,分配 IP 地址作为该 VLAN 的网关,同时启动 802.1Q。设备清单：MSR 系列路由器 1 台二、组网图：三、配置步骤：RTA关键配置脚本#/设置子接口封装类型为 vlan10 interface Ethernet0/0.10vlan-typ

28、e dot1q vid 10ip address 10.0.0.1 255.255.255.0#/设置子接口封装类型为 vlan20 interface Ethernet0/0.20vlan-type dot1q vid 20ip address 20.0.0.1 255.255.255.0#/设置子接口封装类型为 vlan30 interface Ethernet0/0.30vlan-type dot1q vid 30ip address 30.0.0.1 255.255.255.0#四、配置关键点：1) 交换机部分配置，可以参考交换机的操作手册；2) 在各个 VLAN 中的主机必须指定网关 ,其地址为路由器相应子接口的 IP，配置完毕后个 VLAN 间的主机可以相互 ping 通；3）如果想对个 VLAN 间部分主机访问做控制，可以通过在路由器上做 ACL 进行访问控制。3）如果想对个 VLAN 间部分主机访问做控制，可以通过在路由器上做 ACL 进行访问控制。