华为网络设备基本配置

本次博文是通过一个大型的实验拓补进行展开的，使朋友们能够掌握Cisco设备与华为设备的区别，博文中所涉及的网络原理与Cisco设备一致，只是命令有所区别而已！

一、华为设备的知识点

想要配置华为的网络设备，那么以下基础的知识点是必须要掌握的：

• （1）链路聚合概述；
• （2）成员接口；
• （3）链路聚合模式；
• （4）活动接口与非活动接口；
• （5）主动端与被动端；
• （6）负载均衡模式；

下面详细介绍这几个重要的知识点：

（1）链路聚合概述

链路聚合（link aggregation）是将多个物理接口当做一个逻辑接口，以增加带宽和提供线路冗余。链路聚合的带宽理论上相当于所包含的物理接口带宽总和，非常适用于企业核心网络中，同时参与捆绑的某个成员接口或链路损坏，不影响聚合链路的正常工作，提供了冗余性。华为设备支持的链路聚合协议是LACP（link aggregation control protocol）。在华为设备中，由多个物理接口捆绑成逻辑接口，该接口被称为Eth-Trunk接口。链路聚合相关的标准由802.3ad定义。

（2）成员接口

将成员接口加入Eth-Trunk时，需要注意以下问题：
1）每个Eth-Trunk接口下最多可以包含8个成员接口；
2）成员接口不能单独配置任何功能和静态MAC地址；
3）成员接口加入Eth-Trunk时，必须为默认的hybrid类型接口（该类型是华为设备默认的接口类型）；
4）Eth-Trunk接口不能嵌套，即成员接口不能是Eth-Trunk；
5）一个以太网接口只能加入一个Eth-Trunk接口，如果需要加入其它Eth-Trunk接口，必须先退出原来的Eth-Trunk接口；
6）一个Eth-Trunk接口中的成员接口必须是同一类型，即FE口和GE口不能加入同一个Eth-Trunk接口。
7）可以将不同接口板上的以太网接口加入同一个Eth-Trunk。
8）如果本地设备使用了Eth-Trunk，与成员接口直连的对端接口也必须捆绑为Eth-Trunk接口，这样两端才能正常通信。
9）当成员接口的速率不一致时，实际使用中速率小的接口可能会出现拥塞，导致丢包。
10）当成员接口加入Eth-Trunk后，学习MAC地址时是按照Eth-Trunk来学习的，而不是按照成员接口来学习的。

（3）链路聚合模式

华为网络设备支持的链路聚合模式有手工负载分担模式和静态LACP模式：

• 手工负载分担模式：该模式中没有LACP协议报文的参与，所有的配置均由手工完成，如加入多个成员接口。该模式下所有接口均处于转发状态，实现链路的负载分担。它支持的负载分担方式包括目的MAC、源MAC、源MAC异或目的MAC、源IP、目的IP、源IP异或目的IP。手工负载模式通常应用于对端设备不支持LSCP协议的情况下。
• 静态LACP模式：该模式是线路两端利用LACP协议进行协商，从而确定活动接口和非活动接口的链路聚合方式，在该模式下，创建Eth-Trunk、加入Eth-Trunk成员接口需要手工完成，而确定活动接口和非活动接口由LACP协议进行协商。静态LACP模式也称为M : N模式。这种方式可以实现链路负载分担和冗余备份的双重功能。在链路聚合组中M条链路处于活动状态，转发数据并负载分担，而另外N条链路 处于非活动状态，不转发数据，当M条链路中有链路出现故障时，系统会自动从N条备份链路中选择优先级最高的接替故障链路，并开始转发数据。

注意：静态LACP模式与手工负载分担模式的主要区别为静态LACP模式可以有备份链路，而手工负载分担模式中所有成员接口均处于转发状态，分担负载流量，除非线路故障。

（4）活动接口与非活动接口

• 处于活动状态并负责转发数据的接口称为活动接口；
• 处于非活动状态并禁止转发数据的接口被称为非活动接口；

在静态LACP模式中可以配置活动接口数量的上限以及下限，活动接口和非活动接口一般不需要人为干预。

根据配置的工作模式不同，角色分工如下：

• 手工负载分担模式：正常情况下，所有接口都属于活动接口，除非这些接口出现链路故障。
• 静态LACP模式：M条链路对应的接口为活动接口并负责转发数据，N条链路对应的接口为非活动接口并负责冗余备份。

（5）主动端与被动端

在静态LACP模式下，聚合组两端的设备中，需要选择一端为主动端，而另一端为被动端。通常情况下，LACP优先级较高的一端为主动端，LACP优先级较低的一端为被动端。如果优先级一样，那么通常选择MAC地址小的一段为主动端。（优先级的数值越小，优先级越高）。

区分主动端与被动端的目的是保证两端设备最终确认的活动接口一致，否则两端都按照本端各自的接口优先级来选择活动接口，最终两端所确定的活动接口很有可能不一致，聚合链路也就无法建立。如图所示：

SwitchA选择上面的两个接口为活动接口，而SwitchB选择下面的两个接口为活动接口，因为SwitchA的优先级比较高，所以最终的活动接口两端都以SwitchA为准，因此应首先确定主动端，被动端按照主动端侧的接口优先级来选择活动接口。

（6）负载均衡模式

链路聚合的主要作用是提高带宽以及增加冗余，而普遍的做法就是在多条物理链路上实行负载分担。

常用的负载分担模式包括：

• dst-ip（目的IP地址）模式：从目的IP地址、出端口的TCP/UDP端口号中分别选择指定位的3bit数值进行异或运算，根据运算结果选择Eth-Trunk表中对应的出接口。
• dst-mac（目的MAC地址）模式：从目的MAC地址、VLAN ID、以太网类型及入端口信息中分别指定位的3bit数值进行异或运算，根据运算结果选择Eth-Trunk表中对应的出接口。
• src-ip（源IP地址）模式：从源IP地址、入端口的TCP/UDP端口号中分别指定位的3bit数值进行异或运算，根据运算结果选择Eth-Trunk表中对应的出接口。
• src-mac（源MAC地址）模式：从源MAC地址、VLAN ID、以太网类型及入端口信息中分别指定位的3bit数值进行异或运算，根据运算结果选择Eth-Trunk表中对应的出接口。
• src-dst-ip（源IP地址与目的IP地址的异或）模式：对目的IP地址、源IP地址两种负载分担模式的运算结果进行异或运算，根据运算结果选择Eth-Trunk表中对应的出接口。
• src-dst-mac（源MAC地址与目的MAC地址的异或）模式：对目的MAC地址、源MAC地址、VLAN ID、以太网类型及入端口信息中分别选择指定位的3bit数值进行异或运算，根据运算结果选择Eth-Trunk表中对应的出接口。

二、实验拓补

原理掌握明白之后，那么接下来我们开始通过一个大型的实验拓补来讲解一下华为设备的命令，实验拓补如下：

（1）实验需求：

1）链路聚合
S1和S2使用链路聚合将两条物理链路组成一个逻辑链路，用于实现链路负载分担和备份，设置S1为LCAP主动端，要求逻辑链路基于目的MAC方式进行负载分担；
2）VALN及VLAN间路由
要求所有VLAN客户端和服务器之间互通；
3）OSPF和RIP部分
R2、R3、S1、S2使用OSPF；R3、R4、R5开启RIP；
4）路由重分发
要求OSPF与RIP进行充分发，实现可以相互通信；
5）NAT及访问控制
要求192.168.20~21.0/24网段的主机不可以访问互联网，服务器以202.106.0.200地址发布到互联网，互联网用户PC1可以通过这个地址访问服务器！

该拓扑图涉及的命令如下：

• 链路聚合；
• vlan划分；
• 单臂路由及三层交换；
• OSPF及RIP的动态路由配置；
• 路由重分发；
• PAT及静态NAT的配置；
• 基本ACL及高级ACL配置；

（2）案例实施

1）pc、server自行配置IP地址

2）配置链路聚合

华为的链路聚合主要通过LACP进行实现。在配置时，需要指定优先级、工作模式、负载均衡模式以及所需的成员接口。

S1的配置如下：

<Huawei>system-view                              //进入系统视图模式
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable                         //关闭回显信息，避免打乱
Info: Information center is disabled.
[Huawei]sysname S1                                //配置设备名称为S1
[S1]lacp priority 1000                                //设置S1设备的系统LACP优先级
[S1]interface Eth-Trunk 12                        //创建链路聚合逻辑接口，名称为 Eth-Trunk 12 
[S1-Eth-Trunk12]mode lacp-static              //配置静态LACP模式
[S1-Eth-Trunk12]load-balance dst-mac      //配置负载均衡模式为目标MAC地址
[S1-Eth-Trunk12]trunkport GigabitEthernet 0/0/2           //添加成员接口G0/0/2
Info: This operation may take a few seconds. Please wait for a moment...done.
[S1-Eth-Trunk12]trunkport GigabitEthernet 0/0/3           //添加成员接口G0/0/3
Info: This operation may take a few seconds. Please wait for a moment...done.
[S1-Eth-Trunk12]quit                                                     //退回系统视图模式

注意：LACP优先级值越小，优先级越高。默认情况下，系统LACP优先级的值为32768。在两端设备中选择系统LACP优先级较小的一端作为主动端，如果LACP优先级值相同，则选择MAC地址较小的一端作为主动端。

S2的配置如下：

<Huawei>system-view 
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname S2
[S2]interface Eth-Trunk 12
[S2-Eth-Trunk12]mode lacp-static 
[S2-Eth-Trunk12]trunkport GigabitEthernet 0/0/2
Info: This operation may take a few seconds. Please wait for a moment...done.
[S2-Eth-Trunk12]trunkport GigabitEthernet 0/0/3
Info: This operation may take a few seconds. Please wait for a moment...done.
[S2-Eth-Trunk12]quit
//由于配置命令与S1设备差不多，这里就不多做解释了

3）配置VLAN间路由

VLAN之间的路由主要通过S1和S2实现，需要注意的是，即使S1和S2上面的接口都是trunk模式，也需要创建相应的VLAN，因为交换机收到来自某VLAN的数据包时，如果它本身没有改VLAN时，那么将会丢弃该数据包。

S1的配置如下：

[S1]vlan batch 10 to 13                            //一次性创建VLAN10~VLAN13
Info: This operation may take a few seconds. Please wait for a moment...done.
[S1]interface Eth-Trunk 12                      //进入链路聚合接口
[S1-Eth-Trunk12]port link-type trunk           //配置链路聚合接口模式为trunk
[S1-Eth-Trunk12]port trunk allow-pass vlan all    //trunk链路允许所有VLAN通过
[S1-GigabitEthernet0/0/4]int g0/0/4
[S1-GigabitEthernet0/0/5]port link-type trunk                //链路聚合模式为trunk
[S1-GigabitEthernet0/0/5]port trunk allow-pass vlan all       //允许所有VLAN通过
[S1-GigabitEthernet0/0/4]int g0/0/5
[S1-GigabitEthernet0/0/5]port link-type trunk
[S1-GigabitEthernet0/0/5]port trunk allow-pass vlan all
[S1-GigabitEthernet0/0/5]int vlan 10                  //进入VLAN10
[S1-Vlanif10]ip add 192.168.10.1 24                  //设置IP地址
[S1-Vlanif10]int vlan 11
[S1-Vlanif11]ip add 192.168.11.1 24
[S1-Vlanif11]quit

注意：华为设备的Trunk通道默认不允许除VLAN1以外的所有VLAN，而Cisco设备默认则允许所有VLAN通过。所以在配置华为设备时，在配置完成基本的Trunk配置后，一定要加上允许相关VLAN通过Trunk的命令。

S2的配置如下：

[S2]vlan batch 10 to 13
Info: This operation may take a few seconds. Please wait for a moment...done.
[S2]interface eth-trunk 12
[S2-Eth-Trunk12]port link-type trunk
[S2-Eth-Trunk12]port trunk allow-pass vlan all
[S2-Eth-Trunk12]interface g0/0/4
[S2-GigabitEthernet0/0/4]port link-type trunk
[S2-GigabitEthernet0/0/4]port trunk allow-pass vlan all
[S2-GigabitEthernet0/0/4]interface g0/0/5
[S2-GigabitEthernet0/0/5]port link-type trunk
[S2-GigabitEthernet0/0/5]port trunk allow-pass vlan all
[S2-GigabitEthernet0/0/5]int vlan 12
[S2-Vlanif12]ip add 192.168.12.1 24
[S2-Vlanif12]int vlan 13
[S2-Vlanif13]ip add 192.168.13.1 24
[S2-Vlanif13]quit
//与S1 命令基本一致，这里就不多做解释了！

SW1的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname sw1
[sw1]vlan 10
[sw1-vlan10]interface g0/0/1
[sw1-GigabitEthernet0/0/1]port link-type trunk
[sw1-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[sw1-GigabitEthernet0/0/1]int g0/0/2                  
[sw1-GigabitEthernet0/0/2]port link-type access       //配置端口模式为access
[sw1-GigabitEthernet0/0/2]port default vlan 10         //接口加入VLAN 10
[sw1-GigabitEthernet0/0/2]quit

SW2的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname  sw2 
[sw2]vlan 11
[sw2-vlan11]interface g0/0/1
[sw2-GigabitEthernet0/0/1]port link-type trunk
[sw2-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[sw2-GigabitEthernet0/0/1]int g0/0/2    
[sw2-GigabitEthernet0/0/2]port link-type access 
[sw2-GigabitEthernet0/0/2]port default vlan 11
[sw2-GigabitEthernet0/0/2]quit

SW3的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname  sw3
[sw3]vlan 12
[sw3-vlan12]interface g0/0/1
[sw3-GigabitEthernet0/0/1]port link-type trunk
[sw3-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[sw3-GigabitEthernet0/0/1]interface g0/0/2
[sw3-GigabitEthernet0/0/2]port link-type access 
[sw3-GigabitEthernet0/0/2]port default vlan 12
[sw3-GigabitEthernet0/0/2]quit

SW4的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname  sw4
[sw4]vlan 13
[sw4-vlan13]interface g0/0/1
[sw4-GigabitEthernet0/0/1]port link-type trunk
[sw4-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[sw4-GigabitEthernet0/0/1]interface g0/0/2
[sw4-GigabitEthernet0/0/2]port link-type access 
[sw4-GigabitEthernet0/0/2]port default vlan 13
[sw4-GigabitEthernet0/0/2]quit

4）配置单臂路由

华为的单臂路由与Cisco几乎没有差别。主要有两项配置，一项是交换机与路由器之间的Trunk配置，另外一项是路由器的子接口配置及关联相应的VLAN。

R4的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname R4
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]ip add 192.168.101.2 24
[R4-GigabitEthernet0/0/0]int g0/0/1.1              //进入子接口
[R4-GigabitEthernet0/0/1.1]ip add 192.168.20.1 24          //子接口配置IP地址
[R4-GigabitEthernet0/0/1.1]dot1q termination vid 20       //使子接口与vlan 20关联
[R4-GigabitEthernet0/0/1.1]arp broadcast enable            //子接口打开ARP广播
[R4-GigabitEthernet0/0/1.1]int g0/0/1.2
[R4-GigabitEthernet0/0/1.2]ip add 192.168.21.1 24
[R4-GigabitEthernet0/0/1.2]dot1q termination vid 21
[R4-GigabitEthernet0/0/1.2]arp broadcast enable
[R4-GigabitEthernet0/0/1.2]int g0/0/2
[R4-GigabitEthernet0/0/2]ip add 192.168.102.1 24
[R4-GigabitEthernet0/0/2]quit

SW5的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname sw5
[sw5]vlan 20
[sw5-vlan20]vlan 21                                      //VLAN也可以一个一个的创建
[sw5-vlan21]int g0/0/1
[sw5-GigabitEthernet0/0/1]port link-type trunk 
[sw5-GigabitEthernet0/0/1]port trunk allow-pass vlan all
[sw5-GigabitEthernet0/0/2]int g0/0/2
[sw5-GigabitEthernet0/0/3]port link-type access
[sw5-GigabitEthernet0/0/3]port default vlan 20
[sw5-GigabitEthernet0/0/2]int g0/0/3
[sw5-GigabitEthernet0/0/3]port link-type access
[sw5-GigabitEthernet0/0/3]port default vlan 21

5）配置OSPF与RIP

华为的RIP配置与Cisco命令几乎一致，注意把no变成undo即可；配置OSPF时与Cisco不同，它不是一条network命令同时宣告网络和区域，而是在某个区域下的子模式宣告相应的网络。

S1的配置如下：

[S1]vlan 50
[S1-vlan50]int g0/0/1
[S1-GigabitEthernet0/0/1]port link-type access
[S1-GigabitEthernet0/0/1]port default vlan 50               //物理接口加入VLAN
[S1-GigabitEthernet0/0/1]int vlan 50
[S1-Vlanif50]ip add 192.168.50.10 24
[S1-Vlanif50]ospf 1                //进入OSPF进程
[S1-ospf-1]area 0                   //进入区域0
[S1-ospf-1-area-0.0.0.0]network 0.0.0.0 255.255.255.255               //简单起见，宣告所有网段
[S1-ospf-1-area-0.0.0.0]quit

注意：在配置OSPF时，如果想要指定router-id，可以在进入进程模式时追加router-id，如[S1] ospf 1 router-id 1.1.1.1 。另外，华为三层交换机的二层接口没有直接提升为三层接口的命令，类似于Cisco下的no switchport命令。所以在做VLAN间路或者和路由器直连时，只能配置VLAN虚接口，物理接口与VLAN做个绑定！

S2的配置如下：

[S2]vlan 60
[S2-vlan60]int g0/0/1
[S2-GigabitEthernet0/0/1]port link-type access
[S2-GigabitEthernet0/0/1]port default vlan 60
[S2-GigabitEthernet0/0/1]int vlan 60
[S2-Vlanif60]ip add 192.168.60.10 24
[S2-Vlanif60]ospf 1
[S2-ospf-1]area 0
[S2-ospf-1-area-0.0.0.0]network 0.0.0.0 255.255.255.255

R2的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname R2
[R2]int g4/0/0
[R2-GigabitEthernet4/0/0]ip add 202.106.0.10 24
[R2-GigabitEthernet4/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip add 192.168.50.1 24
[R2-GigabitEthernet0/0/1]int g0/0/2
[R2-GigabitEthernet0/0/2]ip add 192.168.60.1 24
[R2-GigabitEthernet0/0/2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip add 192.168.100.1 24
[R2-GigabitEthernet0/0/0]ospf 1
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]netw    
[R2-ospf-1-area-0.0.0.0]network 192.168.50.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]network 192.168.60.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]network 192.168.100.0 0.0.0.255   
//注意这里OSPF就不可以声明所有网段了，否则实验外网与内网通信就没有意义了！
[R2-ospf-1-area-0.0.0.0]quit

R3的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable
Info: Information center is disabled.
[Huawei]sysname R3
[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip add 192.168.100.2 24
[R3-GigabitEthernet0/0/0]int  g0/0/1
[R3-GigabitEthernet0/0/1]ip add 192.168.101.1 24
[R3-GigabitEthernet0/0/1]ospf 1
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]network 192.168.100.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]rip                         //进入RIP进程模式，默认进程ID为1
[R3-rip-1]version 2                                      //指定RIP版本
[R3-rip-1]undo summary                             //关闭RIP的自动汇总
[R3-rip-1]network 192.168.101.0                //宣告网段
[R3-rip-1]quit

注意：在Cisco的IOS中配置RIP时，及可以通过标准的类宣告网络，也可以根据实际网络来宣告。比如：10.1.1.1/24，那么在宣告时，命令10.1.1.0和命令10.0.0.0都可以，但是Cisco将其纠正为10.0.0.0（为标准的宣告方式）。在华为设备中，只能以标准的方式宣告RIP网络。即根据主类的掩码来宣告！

R4的配置如下：

[R4]rip
[R4-rip-1]version 2
[R4-rip-1]undo summary 
[R4-rip-1]network 192.168.101.0
[R4-rip-1]network 192.168.20.0
[R4-rip-1]network 192.168.21.0
[R4-rip-1]network 192.168.102.0

R5的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname R5
[R5]int g0/0/0
[R5-GigabitEthernet0/0/0]ip add 192.168.102.2 2
[R5-GigabitEthernet0/0/0]int g0/0/1
[R5-GigabitEthernet0/0/1]ip add 10.0.0.1 24
[R5-GigabitEthernet0/0/1]rip
[R5-rip-1]version 2
[R5-rip-1]undo summary 
[R5-rip-1]network 192.168.102.0
[R5-rip-1]network 10.0.0.0

6）配置路由重分发

华为设备的路由重发分是通过import-route命令实现的，不管导入的是什么协议，都要就上进程ID号，和Cisco一样，如果把A协议导入B协议中，那么首先要进入Ｂ的路由进程中，执行导入Ａ的命令，反之同理！

R3的配置如下：

[R3]ospf 1 
[R3-ospf-1]import-route rip 1                        //进入OSPF进程宣告RIP进程
[R3-ospf-1]rip
[R3-rip-1]import-route ospf 1                      //进入RIP宣告OSPF进程
[R3-rip-1]quit

R2的配置如下：

[R2]ip route-static 0.0.0.0 0.0.0.0 202.106.0.1
//真实环境中，内网连接外网的服务器肯定是一条默认路由
[R2]ospf 1
[R2-ospf-1]default-route-advertise
//宣告默认路由（前提是有默认路由）

7）配置NAT及访问控制

华为的NAT转换直接配置在外部接口模式下，需要转换的内部流量通过ACL抓取，而转换后的内部全局地址通过配置NAT组实现。

R2的配置如下：

[R2]nat address-group 1 202.106.0.100 202.106.0.100          //定义NAT组（池）
[R2]acl 2000                     //编写编号为2000的acl规则
[R2-acl-basic-2000]rule 0 permit source 192.168.50.0 0.0.0.25
[R2-acl-basic-2000]rule 10 permit source 192.168.60.0 0.0.0.255
[R2-acl-basic-2000]rule 20 permit source 192.168.10.0 0.0.0.255
[R2-acl-basic-2000]rule 30 permit source 192.168.11.0 0.0.0.255
[R2-acl-basic-2000]rule 40 permit source 192.168.12.0 0.0.0.255
[R2-acl-basic-2000]rule 50 permit source 192.168.13.0 0.0.0.255
//允许源地址访问，当然可以做路由汇总少写一些！
[R2-acl-basic-2000]int g4/0/0
[R2-GigabitEthernet4/0/0]nat outbound 2000 address-group 1
//定义PAT，将acl允许的地址映射到地址池中
[R2-GigabitEthernet4/0/0]nat server global 202.106.0.200 inside 10.0.0.10
//定义静态NAT，一对一！
[R2-GigabitEthernet4/0/0]quit
[R2]acl 3000
[R2-acl-adv-3000]rule 0 deny ip source 192.168.20.0 0.0.0.255
[R2-acl-adv-3000]rule 10 deny ip source 192.168.21.0 0.0.0.255 destination 20.0.0.0 0.0.0.255 destination eq80
//定义编号为3000的acl，拒绝源地址，可以加上目标地址和端口
[R2-acl-adv-3000]int g4/0/0
[R2-GigabitEthernet4/0/0]traffic-filter inbound acl 3000
//接口应用编号为3000的acl

注意：华为的ACL与Cisco类似，分别分为基本与高级，类似于Cisco的标准和扩展。其中基本的编号为2000~2999吗，高级的编号为3000~3999。rule后面的编号表示ACL规则的生效顺序！

R1 的配置如下：

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info enable 
Info: Information center is disabled.
[Huawei]sysname R1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 202.106.0.1 24
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 20.0.0.1 24
//注意，R1只配置IP地址即可！

配置完成之后，可以自行进行验证，本次博文只是为了尽可能的展示命令而已！

三、常用的排错命令

[S1]display current-configuration      //查看当前设备的所有配置
[S1]display ip routing-table               //查看路由表
[S1]display vlan                            //查看vlan信息
[S1]display ip interface brief        //查看接口状态
[S1]display current-configuration interface vlan 10
//查看某一个接口的当前配置信息
[S1]display nat session all              //查看NAT转换条目
[S1]display ospf peer brief              //查看OSPF邻居信息
[S1]display acl all                            //查看ACL信息
[S1]display eth-trunk 12               //查看链路聚合信息

———————— 本文至此结束，感谢阅读 ————————