便宜VPS网关于H3C的MSR路由器的DHCP服务器配置问题。急!最好详细点。
哪有那么麻烦！
方法1：路由器打开DHCP，IP池5-254，然后在静态路由表中添加3台电脑的MAC做成静态分配2-4就可以了。无线路由关闭DHCP，WAN口闲置不用，路由器接无线路由器LAN口就可以了。
方法2：路由器打开DHCP，IP池2-254。路由接无线路由WAN口，设置无线路由WAN口器静态IP或动态IP都可以，无线路由开启DHCP，设置LAN口IP地址与路由器的不一样就可以了。例如：路由器网关192.168.1.1，设置无线路由上网方式为静态IP上网，WAN口设为静态IP192.168.1.5，DNS可以填192.168.1.1，也可以填你当地的DNS地址，设置无线路由的LAN口IP地址为192.168.0.1，这样3台电脑的网关是192.168.1.1，而无线上网的电脑网关为192.168.0.1。这样就可以了。
H3C F100 DMZ NAT配置
排查思路：
1、先检查下服务器网卡灯是否正常；
2、检查服务器IP地址配置，掩码，网关是否配置正确；
3、从服务器上去PING它的网关，防火墙的外网口是否可以PING通；
（注意：防火墙有些接口是禁PING的情况）
4、从防火墙去PING服务器地址，排除是服务器防火墙的问题；
4、若以上步骤没有问题的话，应该重点检查防火墙策略配置；
希望能帮到你。
H3C交换机端口安全模式配置
H3C交换机端口安全模式配置
用户网络访问控制是我们在进行网络管理和网络设备配置时经常要用到一项网络技术应用。其实在用户的网络访问控制方面，最直接、最简单的方法就是配置基于端口的安全模式，不仅Cisco交换机如此，H3C交换机也有类似的功能，而且看起来功能更加强大。下面跟我一起来学习一下H3C以太网交换机端口安全模式配置方法！
在H3C以太网交换机上可配置的端口安全模式总体来说是可分为两大类：控制MAC地址学习类和认证类。控制MAC地址学习类无需对接入用户进行认证，但是可以允许或者禁止自动学习指定用户MAC地址，也就是允许或者禁止把对应MAC地址添加到本地交换机的MAC地址表中，通过这种方法就可以实现用户网络访问的控制。认证类则是利用MAC地址认证或IEEE 802.1X认证机制，或者同时结合这两种认证来实现对接入用户的网络访问控制。
配置了安全模式的H3C以太网交换机端口，在收到用户发送数据报文后，首先在本地MAC地址表中查找对应用户的MAC地址。如果该报文的源MAC地址已经在本地交换机中的MAC地址表中则直接转发该报文，否则根据端口所在安全模式进行相应的处理，并在发现非法报文后触发端口执行相应的安全防护特性。
在H3C以太网交换机中可配置的端口安全模式及各自的工作原理如下。
1. autoLearn模式与secure模式
在autoLearn(自动学习)端口安全模式下，可通过手工配置，或动态学习MAC地址，此时得到的MAC地址称为Secure MAC(安全MAC地址)。在这种模式下，只有源MAC为Secure MAC的报文才能通过该端口;但在端口下的Secure MAC地址表项数超过端口允许学习的最大安全MAC地址数后，该端口也不会再添加新的Secure MAC，并且端口会自动转变为Secure模式。
如果直接将端口安全模式设置为Secure模式，则将立即禁止端口学习新的MAC地址，只有源MAC地址是原来已在交换机上静态配置，或者已动态学习到的MAC地址的报文才能通过该端口转发。
根据以上描述，可以得出在autoLearn和secure模式下报文处理流程如图19-1所示。
图19-1 autoLearn和secure端口安全模式报文处理流程图
2. 单一IEEE 802.1X认证模式
采用单一IEEE 802.1x认证方式的端口安全模式又包括以下几种：
l userlogin：对接入用户采用基于端口的IEEE 802.1x认证，仅允许通过认证的用户接入。
l userLoginSecure：对接入用户采用基于用户MAC地址的IEEE 802.1x认证(也就是Cisco IOS交换机中所说的MAB)。仅接收源MAC地址为交换机的MAC地址的数据包，但也仅允许802.1x认证成功的用户数据报文通过。此模式下，端口最多只允许接入一个经过802.1x认证的用户(即IEEE 802.1X单主机模式)。
l userLoginSecureExt：与userLoginSecure类似，但端口下的802.1x认证用户可以有多个(即IEEE 802.1X多主机模式)。
l userLoginWithOUI：与userLoginSecure类似，端口最多只允许一个802.1x认证用户，但该用户的数据包中还必须包含一个允许的OUI(组织唯一标志符)。
因为H3C以太网交换机的IEEE 802.1X认证将在本书第21章专门介绍，故在此不再赘述。
3. MAC地址认证模式
MAC地址认证安全模式即macAddressWithRadius模式。MAC地址认证是一种基于端口和用户MAC地址的网络访问控制方法，它不需要用户安装任何客户端软件。交换机在启用了MAC地址认证的端口上首次检测到用户的MAC地址以后，即启动对该用户的认证操作。认证过程中，不需要用户手动输入用户名或者密码，因为这是基于用户MAC地址进行的认证。如果该用户认证成功，则允许其通过端口访问网络资源，否则该用户的MAC地址就被添加为“静默MAC”。在静默时间内(可通过静默定时器配置)，来自此MAC地址的用户报文到达时直接做丢弃处理，以防止非法MAC短时间内的重复认证。
目前H3C以太网交换机支持“本地认证”和“RADIUS远程认证”这两种MAC地址认证方式。有关H3C以太网交换机的RADIUS服务器认证配置方法将在本书第20章专门介绍;有关MAC地址认证的配置方法将在本章19.5节介绍。
4. and模式
“and”是“和”的意思，就是要求同时满足所有的条件。and端口安全模式包括以下两种子模式：
l macAddressAndUserLoginSecure：当用户的MAC地址不在转发表中时，接入用户首先进行MAC地址认证，当MAC地址认证成功后再进行IEEE 802.1x认证。只有在这两种认证都成功的`情况下，才允许该用户接入网络。此模式下，端口最多只允许一个用户接入网络，也就是最先通过全部这两种认证的用户。
l macAddressAndUserLoginSecureExt：与macAddressAndUserLoginSecure类似。但此模式下，端口允许接入网络的用户可以有多个。
根据以上描述得出以上这两种and端口安全子模式的报文处理流程如图19-2所示。
图19-2 and端口安全模式的报文处理流程图
5. else模式
“else”是“另外”的意思，就是一种认证通不过后还可以尝试其它的认证方式。else端口安全模式包括以下两个子模式：
l macAddressElseUserLoginSecure：当用户的MAC地址不在转发表中时，对接入用户首先进行MAC地址认证，如果认证成功则直接通过，如果MAC地址认证失败再尝试进行802.1x认证。此模式下，端口下可以有多个用户通过MAC地址认证，但端口仅允许接入一个用户经过802.1x认证，也就是最先通过802.1x认证的用户。
l macAddressElseUserLoginSecureExt：与macAddressElseUserLoginSecure类似。但此模式下，端口允许经过多个用户通过IEEE 802.1X认证。
根据以上描述得出以上这两种else端口安全子模式的报文处理流程如图19-3所示。
图19-3 else端口安全模式报文处理流程图
6. or模式
“or”是“或者”的意思，也就是可以任选其中一种认证方式。or端口安全模式包括以下两个子模式：
l macAddressOrUserLoginSecure：当用户的MAC地址不在转发表中时，接入用户通过MAC地址认证后，仍然可以进行IEEE 802.1x认证;但接入用户通过IEEE 802.1x认证后，不再进行MAC地址认证。此模式下，可以有多个经过基于MAC地址认证的用户，但端口仅允许接入一个经过认证的802.1x用户，也就是最先通过802.1x认证的用户。
l macAddressOrUserLoginSecureExt：与macAddressOrUserLoginSecure类似。但此模式下可以允许多个通过IEEE 802.1x认证的用户。
根据以上描述得出以上这两种or端口安全子模式的报文处理流程如图19-4所示。
图19-4 or端口安全模式报文处理流程图
;
H3C交换机系统基本配置(3)
H3C交换机系统基本配置
[H3C]ntdp enable 缺省情况下为开启的
[H3C-Ethernet0/3]ntdp enable 缺省情况下为使能
debugging ntdp
十.SNMP配置:
S1550E支持SNMPv1,SNMPv2c,主要配置包括:设置团体名,设置系统信息,设置Trap目标主机的地址,允许或禁止发送Trap,禁止SNMP Agent的运行
[H3C]snmp-agent community read bigheap 设置bigheap团体,且为只读访问
[H3C]snmp-agent max-size 1600 设置Agent能接受/发送的SNMP消息包最大为1600字节,缺省1500
[H3C]snmp-agent sys-info contact #27345 location Diqiu version v2c 设置系统信息,版本为v2c,缺省情况下联系信息为\"RD Hangzhou, H3C Technologies co.,Ltd.\",位置为\"Hangzhou China\",v2c版本
[H3C]undo snmp-agent 禁止SNMP Agent的运行,若配置任何SNMP命令将重新启动SNMP Agent
[H3C]display snmp-agent community read
[H3C]display snmp-agent sys-info contact
[H3C]display snmp-agent sys-info location
[H3C]display snmp-agent sys-info version
debugging snmp-agent packet|process
十一.IGMP Snooping配置:
IGMP Snooping是运行在二层交换机上的组播约束机制,用于管理和控制组播组.主要负责建立和维护二层MAC地址表,同时根据建立的组播地址表来转发路由器下发的组播报文,如果不运行IGMP Snooping,则组播报文将在二层网络中广播
IGMP Snooping配置包括:启动和关闭IGMP Snooping,配置路由器端口老化时间,配置最大响应查询时间,配置组播组成员端口老化时间,配置端口快速离开,调试功能
[H3C]igmp-snooping 启用IGMP Snooping功能,默认为关闭
[H3C]igmp-snooping router-aging-time 500 配置路由器端口老化时间为500s,默认为105s
[H3C]igmp-snooping max-response-time 15 配置最大响应查询时间为15s,默认为10s
[H3C]igmp-snooping host-aging-time 300 配置组播组成员端口老化时间为300s,默认为260s
[H3C-Ethernet0/3]igmp-snooping fast-leave 配置快速离开,若收到离开报文,则立即删除端口,不询问
[H3C]display igmp-snooping configuration 显示配置信息
[H3C]display igmp-snooping statistics 显示包统计信息
[H3C]display igmp-snooping group vlan 2 显示VLAN2中IP组播组和MAC组播组的信息
reset igmp-snooping statistics 清楚统计信息
debugging igmp-snooping
十二.系统调试:
debugging all 开启所有调试开关,此命令为协议调试开关
terminal debugging 终端调试开关,打开开关,默认为关闭
debugging drv 主要显示报文的实际内容,默认为关闭
[H3C]display debugging 显示调试开关状态
十三.802.1x配置:
[H3C-Ethernet0/3]dot1x 开启802.1x特性,也可在系统视图下使用,使用后全局开启,也可用 interface参数开启指定端口的802.1x特性,缺省全关闭,要启用802.1x,全局和端口的都需开启
[H3C-Ethernet0/3]dot1x port-control unauthorized-force 设置工作模式为强制非授权模式,使用 模式与dot1x命令相同,默认为auto,即通过了认证才可以访问,还有authorized-force,为强制授权 模式,允许用户访问
[H3C-Ethernet0/3]dot1x port-method portbased 设置接入控制方式为基于端口的,使用模式与 dot1x命令相同,默认为macbase,基于MAC地址的
[H3C-Ethernet0/3]dot1x max-user 10 设置端口接入用户的数量最大为10个,使用模式与dot1x命令 相同,默认为128,取值范围为1-128
[H3C]dot1x authentication-method eap 设置802.1x的用户认证方法为EAP,即EAP中继,直接用EAP报 文发送到服务器,需服务器支持
[H3C-Ethernet0/3]dot1x re-authenticate 开启802.1x重认证功能使交换机以一定时间间隔周期性 的进行认证,使用模式同dot1x命令,缺省情况下所有端口该特性都关闭
[H3C]dot1x timer handshake-period 20 reauth-period 7200 quiet-period 30 tx-period 20 supp- timeout 20 server-timeout 200 设置802.1x认证的定时器,handshake-period为认证成功后, 系统以此间隔为周期发送握手请求报文(相当于keepalive消息发送间隔),1-1024s,默认15s.
reauth-period为重认证超时定时器,1-86400s,默认3600s.
quiet-period为用户认证失败后,Autheticator的静默定时器,静默后再处理认证,10-120s,默认60s.
tx-period为传送超时定时器,Supplicant未成功发送认证应答报文,则重发认证请求,10-120s,默认 为30s.
supp-timeout为认证超时定时器,Supplicant未成功响应,则重发认证请求,10-120s,默认30s.
server-timeout为服务器未成功响应的超时定时器,100-300s,默认100s.
reset dot1x statistics 清除802.1x统计信息
[H3C]display dot1x statistics 显示802.1x的配置,运行情况和统计信息
debugging dot1x 打开802.1x的相关模块的调试信息
十四.RADIUS配置:
[H3C]radius scheme system 进入system方案,其各项值为缺省值,1550E只支持默认方案
[H3C-radius-system]primary authentication 10.110.1.1 1812 设置RADIUS服务器地址和UDP端口 号,默认情况下,system方案中服务器IP地址为空,UDP端口号为1812
[H3C-radius-system]key authentication 123 指示RADIUS加密共享密钥为123,默认无共享密钥
[H3C-radius-system]timer 10 设置RADIUS服务器响应超时定时器,1-10s,默认为5s
[H3C-radius-system]retry 10 设置RADIUS服务器最大响应重试次数为10,1-20次,默认为5次
[H3C]display radius 显示radius方案信息
debugging radius packet 打开radius报文调试开关
;
