A：基于MAC本地認證的配置方法如下:
[Quidway]mac-authen
[Quidway]mac-authen username macaddress format with-hyphen
[Quidway]aaa
[Quidway-aaa]
[Quidway-aaa]local-user f0de-f163-76d5 password simple f0de-f163-76d5
[Quidway]int ethe0/0/4
[Quidway-Ethernet0/0/4]mac-authen

當mac認證不通過時，交換機上上不學習PC的mac，查看認證狀態(tài)時有如下顯示：

[Quidway]dis mac-authen int Ethernet 0/0/4

Ethernet0/0/4 state: UP. MAC address authentication is enabled
Maximum users: 256
Current users: 0
Authentication Success: 6, Failure: 18
Guest VLAN is disabled

Silent MAC info:
f0de-f163-76d5
1 silent mac address(es) found, 1 printed.

當MAC認證通過時，交換機上學習到PC的MAC，查看認證狀態(tài)時有如下顯示：

[Quidway]dis mac-authen int Ethernet 0/0/4

Ethernet0/0/4 state: UP. MAC address authentication is enabled
Maximum users: 256
Current users: 1
Authentication Success: 5, Failure: 17
Guest VLAN is disabled

Online user(s) info:
UserId MAC/VLAN AccessTime UserName
------------------------------------------------------------------------------
37 f0de-f163-76d5/1 2008/01/01 00:37:08 f0de-f163-76d5
------------------------------------------------------------------------------

#
acl number 3000 //用于內部主機直接使用211.1.1.6訪問服務器，只有內網(wǎng)發(fā)起的服務才會在GE1/0/0上進行NAT
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 211.1.1.6 0
#
interface GigabitEthernet1/0/0
ip address 192.168.1.1 255.255.255.0
nat static global 211.1.1.6 inside 192.168.1.2 netmask 255.255.255.255 //內網(wǎng)用戶直接使用211.1.1.6訪問服務器時進行NAT
nat outbound 3000 //內網(wǎng)用戶直接訪問211.1.1.6時做Easy IP，將源地址改為GE1/0/0的地址,保證內網(wǎng)服務器和主機間的交互都經(jīng)過Router轉發(fā)
#
interface GigabitEthernet1/0/1
ip address 202.1.1.1 255.0.0.0
nat static global 211.1.1.6 inside 192.168.1.2 netmask 255.255.255.255 //保證外網(wǎng)用戶使用211.1.1.6可以訪問服務器
return

　　在接口上做QOS CAR，如下舉例（WAN接口）：
　　qos car outbound source-ip-address range 192.168.1.2 to 192.168.1.254 per-address cir 32 cbs 6016 pbs 10016 green pass yellow pass red discard
//配置在接口出方向對源地址為192.168.1.2到192.168.1.254范圍內的報文做流量監(jiān)管，指定各IP地址發(fā)送報文的承諾信息速率為32kbit/s　即上傳
　　qos car outbound destination-ip-address range 192.168.2.2 to 192.168.2.254 per-address cir 16 cbs 3008 pbs 5008 green pass yellow pass red discard 即下載
//配置在接口出方向對源地址為192.168.2.2到192.168.2.254范圍內的報文做流量監(jiān)管，指定各IP地址發(fā)送報文承諾信息速率為16kbit/s
　　若在qos car命令中不配置per-address參數(shù)，則對源IP在指定范圍內的所有報文聚合起來做CAR，即對該地址段發(fā)送報文的總流量做流量監(jiān)管。

場景一：用戶使用設備時不使用WEB網(wǎng)頁進行配置管理，且不使用BIMS（Branch Intelligent Management System）功能進行遠程配置。
規(guī)避方案：關閉HTTP端口 和BIMS服務，具體配置如下：
AR 18/28/46：
[Quidway] ip http shutdown
[Quidway] undo bims enable
AR 19/29/49：
[Quidway] undo ip http enable
S2000系列、S3000系列、S3500系列、S3900系列、S5100系列和S5600系列交換機：
[Quidway] ip http shutdown (注3)
S7800系列交換機：
[Quidway] undo ip http enable

場景二：用戶使用WEB網(wǎng)頁對設備進行配置管理或使用BIMS功能進行遠程配置。
規(guī)避方案：通過ACL控制HTTP建立的源IP地址，具體配置如下：
AR 18/28/46：
[Quidway] acl number 2001
[Quidway-acl-basic-2001] rule 0 permit source 1.1.1.1 0
[Quidway-acl-basic-2001]rule 5 deny
[Quidway]ip http acl 2001
AR 19/29/49：
[Quidway] acl number 2001
[Quidway-acl-basic-2001] rule 0 permit source 1.1.1.1 0
[Quidway-acl-basic-2001]rule 5 deny
[Quidway]ip http acl 2001
S2000系列、S3000系列、S3500系列、S3900系列、S5100系列和S5600系列交換機：
[Quidway] acl number 2001
[Quidway-acl-basic-2001] rule 0 permit source 1.1.1.1 0
[Quidway-acl-basic-2001]rule 5 deny
[Quidway]ip http acl 2001 (注3)
S7800系列交換機：
[Quidway] acl number 2001
[Quidway-acl-basic-2001] rule 0 permit source 1.1.1.1 0
[Quidway-acl-basic-2001]rule 5 deny
[Quidway]ip http acl 2001
場景三：設備不支持WEB網(wǎng)頁進行配置管理，但HTTP服務端口是打開的。
規(guī)避方案：關閉HTTP服務端口，具體配置如下：
S8500系列交換機：
[Quidway] ip http shutdown

　　更改加密套件為CCMP，客戶端設置安全類型為WPA2，加密類型為AES

802.11a/b/g/n在頻段、兼容性、理論速率、實測速率、單AP用戶量方面的對比情況如下表：

　　1、速率。目前來看，我們建議所有新建網(wǎng)用戶采用802.11A/B/N,支持300M
　　2、胖AP Or 瘦AP：AP數(shù)量大型12臺建議采用瘦AP，瘦AP支持漫游業(yè)務不中斷。
　　3、功率大?。河脩裘芏却?，功率小，用戶密度小，功率選大，一個AP支持的用戶數(shù)大概為15-20個。
　　4、放裝型還是分布型：樓道、普通用戶密度小用分布型，會議室用戶密碼大用放裝型。

　　使用NTP時間同步的方式處理。網(wǎng)絡中一般路由器、防火墻設備都有硬件時鐘芯片。我們可以通過NTP時鐘同步的方式將所有網(wǎng)絡設備的時鐘進行同步。
　　例：
　　防火墻配置（10.10.1.254）： ntp-service refclock-master 2
　　交換機配置： ntp-service unicast-server 10.10.1.254

　　1、由于華為交換機（Sx300/Sx700）默認是不將操作命令記入日志，如果需要將操作的命令寫入日志，需要配置相關的命令。
　　2、在設備需要配置如下的命令：
info-center source SHELL channel logbuffer log level debugging state on，這樣在設備上通過display logbuffer就可以看見登陸設備之后操作的命令了。

例如：
[SW-L-S2752-02]info-center source SHELL channel logbuffer log level debugging state on
[SW-L-S2752-02]dis logb
Logging buffer configuration and contents : enabled
Allowed max buffer size : 1024
Actual buffer size : 512
Channel number : 4 , Channel name : logbuffer
Dropped messages : 0
Overwritten messages : 0
Current messages : 295

Feb 15 2012 04:50:32-05:13 SW-L-S2752-02 %%01SHELL/5/CMDRECORD(l)[0]:Record command information. (Task=VT0 , Ip=10.10.1.254, User=huawei, Command="info-center source SHELL channel logbuffer log level debugging state on")