信息系计算机网络专业数通课程总结

数通课程包括：网络基础、交换路由、无线网络、防火墙，前24周内容是河北省中职“网络搭建与应用”学生比赛（网络搭建部分）学生必须掌握的内容。25周-30周内容国赛才会涉及到，我后面会慢慢弄补充。

实验部分使用cisco模拟器，除VSS（堆叠）和无线网络（只能图形界面）外其它都可以模拟，基本实验命令和拓扑图都已经给出。技能大赛使用神州数码设备，部分协议例如：堆叠、无线、防火墙 和cisco命令差别较大需要学生真机练习。

最后我会把2023年技能大赛网络搭建部分，神码设备的命令根据比赛要求写出来。希望看此内容的老师和同学，把前24周内学会、学精，无论是上课还是比赛完全够用。

注意：文档里面有一些网址链接使用 crtl +点击鼠标左键打开

第一周 计算机网络基础

网络通信的概念

网络通信是指网络之间通过某种方式进行数据交换和信息传递的过程。这些网络可以是局域网、城域网、广域网或互联网等。网络通信的实现依赖于各种协议和技术，包括TCP/IP、UDP、HTTP、FTP、SMTP等。

在网络通信中，数据通常以数据包的形式进行传输。每个数据包都包含有关发送方和接收方的信息，以及要传输的实际数据。数据包在网络中通过各种节点（如路由器、交换机等）进行传输，最终到达目的地。

网络通信可以应用于各种场景，包括但不限于：

1. 电子邮件：使用SMTP等协议在网络上发送和接收电子邮件。
2. 网页浏览：使用HTTP等协议从Web服务器上获取网页内容并在本地浏览器中显示。
3. 文件传输：使用FTP等协议在网络上传输文件。
4. 即时通讯：使用各种即时通讯协议（如XMPP、IRC等）进行实时文字、语音或视频通信。
5. 远程登录：使用Telnet或SSH等协议远程登录到其他计算机或网络设备上进行操作和管理。

为了确保网络通信的安全性和可靠性，通常会采用各种安全措施，如加密、身份验证、访问控制等。此外，还需要对网络通信进行性能优化和故障排查，以确保数据传输的速度和稳定性。

使用快递的形式来形象地解释网络通信是一个很好的比喻。在网络通信中，数据包就像是要寄送的快递包裹，而网络则类似于快递公司的运输系统。

以下是使用快递形式来解释网络通信的几个方面：

1. 发送方与接收方：在网络通信中，发送方类似于寄件人，他们将要传输的数据打包成数据包，并指定接收方的地址。接收方则类似于收件人，他们等待并接收来自发送方的数据包。

2. 数据包：数据包就像是一个个具体的快递包裹，它们包含了要传输的数据和相关的地址信息。每个数据包都有一个头部，其中包含了发送方和接收方的地址、序列号等信息，类似于快递包裹上的标签和运单。

3. 网络节点：网络中的节点（如路由器、交换机等）类似于快递公司的中转站或分拣中心。它们负责接收数据包，并根据目的地址将其转发到下一个节点，直到数据包到达最终目的地。

4. 传输过程：网络通信的过程就像快递包裹在运输系统中的流动。数据包从发送方出发，经过多个节点的转发和传输，最终到达接收方。在这个过程中，数据包可能会经过不同的传输介质（如光纤、电缆等），类似于快递包裹在不同交通工具上的运输。

5. 协议和技术：网络通信中的协议和技术相当于快递公司的操作规范和工具设备。例如，TCP/IP协议类似于快递公司内部的配送流程和规则，而各种加密算法则类似于保护快递包裹安全的措施。

通过这种比喻，我们可以更直观地理解网络通信中数据包的传输过程、网络节点的作用以及协议和技术的重要性。同时，这也帮助我们认识到网络通信与日常生活之间的联系和相似之处。

网络三层基本架构，小型网络和大型网络的区别。

企业网的基本三层结构为接入层（用来接入用户终端），汇聚层，核心层。大型网络比小型网络需要更多地冗余（为了网络可靠），大型企业网络除了接入汇聚核心三层之外，还需要有数据中心、网管中心、DMZ非军事化区域（放置企业E-mail邮箱、Web等服务器），以及与外网相连的防火墙装置（为了网络安全）。

四种网络传输介质分别是什么，同轴电缆的分类、网线的排序、光钎的组成、光信号在光钎的传输方式，光纤的连接器、光波的分类、光钎用的三个波段。光缆的分类、串口电缆的应用。

四种网络传输介质有同轴电缆，双绞线，光纤，串口电缆。

同轴电缆

同轴电缆中间为一根细的铜芯，主要用在有线电视网中、2M(E1）信号传递、视频摄像头信号传递。同轴电缆接头有BNC(卡扣）和SMB（螺纹）两种。

10BASE-5 粗同轴电缆，10代表最多可传10M的网，5代表可传500米

10BASE-2 细同轴电缆，10代表最多可传10M的网，2代表可传200米（185）

双绞线（重点学生需要会做）

通常说的网线，内部8根4组线相互缠绕，实际应用用橙色和绿色4根线。

四根线用来传送数据，剩余4根线用来备份（也可令接一个水晶头）。

568B：橙白、橙、绿白、蓝、蓝白、绿、棕白、棕

568A：绿白、绿、橙白、蓝。蓝白、橙、棕白、棕

如果网线需要传递1Gbit/S需要8根全部排列，两端1/3、2/6、4/7、5/8对调

相同设备用交叉线（568A-568B），不同设备用直连线（568A-568A），网线最多可传100米（96）

双绞线是一种常用的网络传输介质，由两根具有绝缘保护层的铜导线组成，将两根导线按一定密度互相缠绕在一起，可降低信号干扰的程度。双绞线可以分为多种类型，它们的区别主要在于传输速率、频率、线径、屏蔽方式等方面。

1. 按照线径分类：双绞线可以分为粗缆和细缆两种。粗缆的线径较粗，传输距离较远，但价格较高；细缆的线径较细，价格相对较低，但传输距离较短。这种分类方式已经不太常用。

2. 按照传输速率分类：双绞线可以分为3类、5类、超5类、6类和7类双绞线等。其中，3类双绞线的传输速率为10Mbps，已经被淘汰；5类双绞线的传输速率为100Mbps，是目前最为常用的双绞线类型；超5类双绞线的传输速率也为100Mbps，但其性能比5类更高，对信号的干扰更少；6类双绞线的传输速率为1Gbps，是未来的发展方向，主要用于高速数据传输；7类双绞线的传输速率更高，但应用相对较少。

3. 按照屏蔽方式分类：双绞线可以分为屏蔽双绞线（STP）和非屏蔽双绞线（UTP）两种。屏蔽双绞线的外层具有金属屏蔽层，可以有效地减少电磁干扰和信号衰减，适用于电磁环境较为复杂的场合；而非屏蔽双绞线的外部没有金属屏蔽层，价格相对较低，但易受电磁干扰，适用于电磁环境较为简单的场合。

除了以上分类方式，双绞线还可以按照电气性能、频率等参数进行分类。不同类型的双绞线在传输速率、频率、带宽、线序等方面也存在差异。例如，6类双绞线的传输频率比5类更高，带宽也更大，可以支持更高速的数据传输；而超5类双绞线则具有更好的抗干扰性能。

在实际应用中，需要根据具体的需求和场景来选择合适的双绞线类型。例如，在服务器机房布线中，为了支持高速数据传输和保证传输质量，通常会选择6类非屏蔽双绞线或更高类别的双绞线。同时，也需要注意双绞线的线序和接法，以保证网络的稳定性和可靠性。

制作双绞线时，需要注意以下事项：

1. 选择合适的线缆：根据需要选择合适的双绞线，考虑到所需传输速率和距离，选择合适的线径和线芯数量。
2. 剥线长度要适当：剥线时要确保长度适中，不能过长或过短，以免影响信号传输。同时，剥线时要避免损伤内部的导线。
3. 保持绞合紧密：双绞线中的两根线芯要保持紧密的绞合，以减少干扰和信号损失。
4. 注意线序：在排线过程中，需要遵循一定的线序规则，避免线序错乱。通常，双绞线两端的水晶头接线标准应做到相同设备相异、相异设备相同的原则。
5. 插入水晶头时要插到底：在将双绞线插入水晶头时，要确保插到底，使芯线与探针接触良好。
6. 压线时要均匀缓慢用力：在压线过程中，要均匀缓慢用力，确保探针完全刺破双绞线芯线，避免探针与芯线接触不良。
7. 测试双绞线：制作完成后，需要对双绞线进行测试，检查其连通性和传输质量。

此外，还需要注意双绞线的外皮必须剥去一段，但里面的导线在操作时不能损伤，里面导线的外皮是不需要剥掉的。在排线时，最好多使用一些固定卡子，以减轻线缆自身重量对接头的张力。因为在电缆接线施工时，电缆的拉力是有一定限制的。

以上就是制作双绞线时需要注意的事项。遵循这些注意事项，可以确保制作出的双绞线具有良好的传输性能和稳定性。

光纤

由纤芯、包层、保护层（涂覆层）组成，其中纤芯和包层都由SiO2（玻璃丝）组成，光信号在光纤中以全反射方式传播（光线在均匀介质中是以直线形式传播的，当遇到两种不均匀的介质时，会在两种介质接触面上发生反射与折射，通过调节入射角的大小时光线的折射消失，即全部用来反射即全反射）

光纤的连接器（用来连接光纤两端，并插入光模块的连接器）：FC法兰（圆头）、LC（小方头）、SC（大方头）。

光波的分类：电磁波按波长的大小分为长波、中波、短波、微波（红外线、可见光、紫外线），光纤所用波长介于红外线与可见光之间，称为近红外光。常用的三种波段（即低损耗窗口）850-880nm、1310nm、1550nm。其中1310nm、1550nm用于单模光纤，850-880nm用于多模光纤。

单模光纤和多模光纤的传输距离因其不同的物理特性和应用环境而有所区别。

单模光纤（SMF）是只有一股（大多数应用中为两股）玻璃光纤的光纤，纤芯直径为8.3μm-10μm，只有一种传输模式。其传输速率比多模光纤要高，而且传输距离也比多模光纤要高出很多。通常情况下，单模光纤用于远程信号传输，其传输距离的理论值为50Km100Km。

多模光纤（MMF）则是中心玻璃芯较粗（50或62.5μm），可传多种模式的光。由于其传输的模式多达数百个，各个模式的传播常数和群速率不同，使光纤的带宽窄，色散大，损耗也大，只适于中短距离和小容量的光纤通信系统。具体来说，62.5μm的多模光纤要达到1000M带宽最大传输距离只能275M，50μm的多模光纤在1000M带宽下最大传输距离为550M。因此，多模光纤通常用于短距离的光纤通信，如在建筑物内或校园里，典型的传输速度是100M/s，传输距离可达2km（100BASE-FX），1 G/s可达1000m。

总的来说，单模光纤的传输距离远远超过多模光纤，适用于长距离、大容量的光纤通信系统；而多模光纤则因其短距离、小容量的特点，在短距离通信和局域网等领域有着广泛的应用。

​ 波分复用（WDM)采用单模光纤，将多个不同波长的光波复用为一个光波达到大容量传输的目的。

​ 衡量光接收器件的指标是：灵敏度（保证误码率条件下光接收机能接收的最小光功率值）

​ 过载点（保证误码率条件下光接收机能接收的最大光功率值）

​ 最佳接收光功率范围灵敏度+3、过载点—5

光纤中光信号的大小单位为dBm；损耗、放大增益单位为dB。

光缆：把多跟光纤组在一起，外部加入保护套即为光缆。分为架空光缆、埋地光缆、海底光缆等。

​ 光缆的色谱：蓝、橙、绿、棕、灰、白、红、黑、黄、紫

串口电缆

通常用在广域网WAN中，即出去局域网的网关设备与公网设备相连的介质。

V.24:最高速率为64Kbps；v.35：最高速率为2048Kbps；串口线缆在传输数据时能对数据进行检验保证稳定可靠传输数据。

网络传输使用的单位及换算

1.确定传输速度的单位：在网络传输中，带宽的单位通常是比特/秒（bps），表示每秒传输的比特数。常见的带宽单位有Kbps、Mbps、Gbps等，其中K代表千，M代表百万，G代表十亿。需要注意的是，这里的带宽单位是指比特率，而不是字节率。

2.换算单位：如果需要将不同单位的带宽进行比较或转换，可以使用相应的换算关系进行计算。例如，1Mbps等于1000Kbps，1Kbps等于1000bps。

3.（这是重点一定要会计算实际传输速度）电信所说的200M带宽，实际上是指200Mbps，即每秒传输200兆比特。然而，需要注意的是，这并不代表真实的传输速度一定能够达到200MB/s，因为带宽和传输速度是两个不同的概念。

在实际的网络传输中，真实的传输速度受到多种因素的影响，包括网络设备的性能、传输介质的带宽容量、数据传输量、网络拥塞、协议开销等。因此，即使电信提供了200M的带宽，真实的传输速度也可能会低于这个值。

另外，需要注意的是，带宽的单位是比特/秒（bps），而传输速度通常使用的单位是字节/秒（B/s）。由于1字节等于8比特，因此在将带宽转换为传输速度时，需要将带宽除以8。所以，200Mbps的带宽理论上最大的传输速度是25MB/s左右（因为200Mbps ÷ 8 = 25MB/s）。

4.在计算机中，一个汉字和一个字母所占的字节数取决于编码方式。

对于汉字来说，常见的编码方式有GB2312、GBK、GB18030、Unicode等。在GB2312和GBK编码中，一个汉字通常占用2个字节。而在Unicode编码中，一个汉字可能占用2个字节（UTF-16编码）或3~4个字节（UTF-8编码，根据汉字的Unicode编码范围而定）。

对于字母来说，如果使用的是ASCII编码，一个字母（包括大写和小写）通常占用1个字节。如果使用的是Unicode编码，一个字母在UTF-8编码中通常占用1个字节，在UTF-16编码中通常占用2个字节，在UTF-32编码中则占用4个字节。

需要注意的是，这些字节数只是理论上的值，实际的字节数可能会因为不同的系统、不同的软件或不同的编码设置而有所不同。因此，在实际应用中，需要根据具体情况来确定一个汉字或一个字母所占的字节数。

画出OSI和TCP/IP分层，写出各层功能

OSI（Open System Interconnection）参考模型和TCP/IP模型都是网络通信中常用的模型，它们有一些共同点，但也有一些不同之处。

OSI参考模型是国际标准化组织（ISO）制定的一个用于计算机或通信系统间互联的标准体系，一般称为OSI参考模型或七层模型。它是一个七层的、抽象的模型，包括应用层、表示层、会话层、传输层、网络层、数据链路层和物理层。每一层都有明确的功能和协议，通过各层之间的协作来实现网络通信。OSI参考模型是一个理论模型，它为网络通信提供了一个清晰的框架和标准化的接口，使得不同的厂商和开发者可以遵循相同的标准来开发网络设备和应用程序，从而实现互操作性。

TCP/IP模型则是一种实际的网络通信协议族，它包括了TCP协议、IP协议以及其他一些相关的协议。TCP/IP模型可以看作是OSI参考模型的简化版，它将OSI参考模型中的应用层、表示层和会话层合并为应用层，将传输层保持不变，将网络层也保持不变，将数据链路层和物理层合并为网络接口层，从而形成了四层模型。TCP/IP模型在网络通信中得到了广泛的应用，成为了互联网的基础协议族。

OSI参考模型和TCP/IP模型有一些共同点，比如它们都采用了分层结构，每一层都提供特定的功能和服务，并且都通过协议数据单元（PDU）来进行数据传输。同时，它们也有一些不同之处，比如OSI参考模型更加抽象和理论化，而TCP/IP模型则更加实际和应用化。此外，OSI参考模型中的协议是垂直的，即每一层只能与相邻的上下两层进行通信，而TCP/IP模型中的协议则是水平的，即每一层都可以直接与对端相同层次进行通信。

总的来说，OSI参考模型和TCP/IP模型都是网络通信中重要的模型，它们为网络通信提供了标准化的接口和协议，使得不同的设备和应用程序可以互相通信和协作。在实际应用中，TCP/IP模型得到了广泛的应用和认可，成为了互联网的基础协议族。

OSI七层分层：

应用层：直接为应用程序提供服务

表示层：对数据进行格式化转换，加密解密

会话层：建立、维护、管理两端的会话连接 数据 pdu

传输层：建立端到端的连接，为上层协议提供面向连接的服务（tcp）和无连接的服务（udp）通过端口号区分上次协议的不同 数据段 segment

网络层：IP寻址和路由选择 数据包 packet 路由器

数据链路层：为物理层和网络层提供链路连接 数据帧 frame 交换机

物理层：规范、定义接口线缆标准 。 比特流 bit 集线器、传输介质

TCP/IP协议：

应用层 RIP、BGP、FTP、TFTP、HTTP、HTTPS、DNS、TELNET、SMTP、POP3等

传输层 TCP、UDP

网络层 IP、IPX、ARP、RARP、ICMP、IGMP、OSPF、VRRP

网络接口层 HDLC、PPP、FR、PPPOE、以太网、ATM、QinQ

判断一个协议属于那一层，根据TPP，是否有Type（类型）、Protocal（协议号）、Port（端口号）。有type就是网络层，有协议号就是传输层，有端口号就是应用层。

什么是冲突域、广播域、三种以太网及各自的特点。以太网的工作模式有哪些。未关闭自协商时默认优先级最高的工作模式是？关闭自协商是为了什么？以太网的工作原理是什么并画出流程图。

冲突域就是共享式（总线型组网、集线器星型组网）以太网的工作环境，在总线型网络中所有数据都是以广播的方式发送，并且总线型以太网的工作模式为半双工，所以只要有主机在网络中发送数据，那么其它主机就不能再向外发送了。

广播域是交换式（交换机）以太网的工作环境，交换机上会生成MAC地址表，基于以太网帧的源mac地址学习MAC地址表，基于以太网帧的目的地址转发数据，从而隔离了冲突域，对于广播信息主机是以广播的形式发送，网络中所有主机都可以收到该报文，所有能够接受同一网络广播信息的设备的集合称为广播域。

共享以太网（集线器式Hub）：冲突泛滥、广播泛滥、无安全机制。

交换以太网（交换机式）：隔离冲突域、广播泛滥、安全性差。交换机上可配置VLAN来实现隔离广播域。

快速以太网（路由器式）：既隔离冲突域又隔离广播域

以太网的工作模式：半双工（可发可收但不能同时进行-对讲机）、全双工（收发可以同时进行电话）

关闭自协商（undo neg auto）的原因：使用设备接口默认的协商方式时，两端模式可能不同，或者不同厂商的默认工作模式也会有差别，所以需要关闭接口默认的工作模式，给它们统一定义。没有关闭自协商的情况下，百兆全双工是优先级最高的。

以太网的工作原理：CSMA/CD，带有冲突检测（CD）的载波侦听（CS）多址访问（MA）。

发送前侦听通道是否空闲，空闲时发送，遇到冲突，都停下进行二进制的回退算法（取M值），优先的发送，如果还遇到冲突，继续回退算法，当冲突超过16次时认为发送失败。

设备MAC地址的组成。第七位、第八位各自代表什么。

MAC地址为设备全球唯一的标识，每一台终端设备网卡都有对应的唯一的MAC。MAC地址由IEEE分配，一共48位（48bit）组成，前24位有IEEE分配给全球的厂商（华为设备其中一个为00E0FC），后24位有厂商分配给生产的设备，一个前24的MAC地址，只能生产2的24次方个设备（1千6百多万），所以各厂商不止一组前24位的MAC地址。

MAC地址第八位：

​ 为0代表发出去的是一个单播帧 一对一

​ 为1代表发出去的是一个组播帧 一对多但不是全部

​ 全1代表发出去的是一个广播帧 一对全部

MAC地址第七位：

​ 为0代表发往一个公有地址的帧

​ 为1代表发往一个局部地址的帧

接收端在接收到前导符定界符后，在根据以太网帧最后一个字段FCS来判断是不是完整的有效帧，是接收，不是丢弃。

详细画出以太网两种帧结构及VLAN帧结构（包括各部分大小），什么决定网络层协议，网络层协议有哪些？什么决定传输层协议，传输层协议有哪些，写出端口号。

终端之间通信，封装好的数据帧跟随比特流在物理层中发送，接收端根据前导码和定界符来接收数据帧。

前导码为7字节 10101010交替出现 出现在物理层

定界符为1字节 10101011 当出现11时表示马上该出现数据帧的DMAC，接收端根据FCS来判断是否接收该帧。

IEEE规定：一个以太网数据帧的范围为64-1500B，大于1500B时需要分片传输，DMAC.SMAC.FCS各6B 6B 4B，TYPE/Length字段为2B，LLC（交换机的BPDU封装在这DSAP/SSAP=0x42）、SNAP加起来为10B。所以，802.3的DATA为38-1500B,ETH-II的DATA为46-1500B。

TYPE:0X0800(IP)、0X0806(ARP)、0X8035(RARP)、0X8863(PPPOE的发现阶段)、0X8864(PPPOE的会话阶段)

​ 0X8000(IS-IS）、0X86dd(IPv6)、0X8847(MPLS单播)、0X8848(MPLS组播)、0X8100(VLAN)

​ 网络协议ip、地址解析协议arp、反向地址解析协议rarp

Protocl：1(ICMP)、2(IGMP)、 6(TCP)、 17(UDP)、47(GRE)、 89(OSPF) 、112(VRRP)、124(IS-IS over IP)

网际控制报文协议icmp、因特网组管理协议igmp、传输控制协议tcp 、用户数据包协议udp 、通用封装协议gre、开放式最短路径优先ospf、虚拟路由器备份协议vrrp、中间系统路由协议is-is

Port：20(FTP数据)、21(FTP控制)、22(SSH)、23(TELNET)、25(SMTP发邮件)、53(DNS域名解析)、67(DHCP服务器)、68(DHCP客户端)、69(TFTP)、80(HTTP)、110(POP3收邮件)、161(SNMP服务器)、162(SNMP客户端)、179(BGP)、443(HTTPS)、520(RIP)、521(RIPNG)

文本传输协议ftp、远程登录协议telnet、动态主机地址分配协议dhcp、简单文本传输协议tftp、超文本传输协议http、简单网管协议snmp、加密的超文本传输协议https、路由信息协议rip

判断一个协议属于那一层，根据TPP，是否有Type（类型）、Protocal（协议号）、Port（端口号）。有type就是网络层，有协议号就是传输层，有端口号就是应用层。

介绍下常见企业级网络设备厂商

以下是对常见企业级网络设备厂商的简单介绍：

思科（Cisco）

• 思科是全球最大的网络设备制造商之一，总部位于美国加州。
• 它的产品线涵盖了路由器、交换机、防火墙、服务器、IP电话等多个领域，是全球网络设备市场的头号品牌。
• 思科不仅提供网络设备，还提供一系列网络解决方案、咨询服务和技术支持。
• 其用户群体遍布政府、教育、医疗、金融、通信等各个领域。

华为技术有限公司

• 华为是中国的一家重要的高科技企业，也是全球最大的电信设备制造商之一。
• 华为的产品线涵盖了通信设备、数据中心设备、网络设备等多个领域，其中网络设备是华为的核心业务。
• 华为的路由器、交换机等网络设备因其卓越的性能、稳定性和安全性而受到广泛赞誉。
• 华为的服务遍布全球各大电信运营商、政府、企业等各个领域。

华三（H3C）

• H3C是业界领先的数字化解决方案领导者，产品更倾向于部署在企业网。
• 在国内市场份额上，H3C居于第二的位置，仅次于华为。
• H3C提供包括交换机、路由器、无线产品、安全产品、数据中心产品在内的全系列网络产品。

锐捷

• 锐捷是中国数据通信解决方案提供商，主要客户是教育行业，特别是学校。
• 锐捷提供包括交换机、路由器、无线产品、云桌面等在内的全系列网络设备及解决方案。

瞻博（Juniper Networks）

• Juniper是全球领先的联网和安全性解决方案供应商，是思科在国外的主要竞争对手之一。
• 在国内市场上，瞻博的防火墙和路由器是比较常见的产品。
• Juniper提供高性能、高可靠性的网络设备和解决方案，广泛应用于全球各大企业。

这些厂商在网络设备领域各有特色和优势，为全球的企业和组织提供了高效、可靠的网络设备和解决方案。在选择网络设备时，用户通常会考虑设备的性能、价格、技术支持、服务等多个方面，并根据自身的需求选择最合适的厂商和产品。

分别介绍下CISCO和华为的网络工程师考证体系

Cisco和华为都提供了一系列的网络工程师认证，以帮助专业人士提升技能并获得行业认可。以下是两者的网络工程师考证体系介绍：

Cisco的网络工程师认证体系主要包括以下几个级别：

1. CCNA（Cisco Certified Network Associate）：这是Cisco认证体系中的初级认证，涵盖了基本的网络知识和技能，包括IP地址、路由和交换基础等。
2. CCNP（Cisco Certified Network Professional）：这是Cisco认证体系中的中级认证，要求考生具备更高级的网络知识和技能，包括复杂的路由和交换技术、网络安全等。
3. CCIE（Cisco Certified Internetwork Expert）：这是Cisco认证体系中的最高级别认证，要求考生具备专家级的网络知识和技能，能够独立设计和实施复杂的网络解决方案。

华为的网络工程师认证体系也分为几个级别，但命名略有不同：

1. HCIA（Huawei Certified ICT Associate）：这是华为认证体系中的初级认证，涵盖了基本的网络知识和技能，类似于Cisco的CCNA认证。
2. HCIP（Huawei Certified ICT Professional）：这是华为认证体系中的中级认证，要求考生具备更高级的网络知识和技能，类似于Cisco的CCNP认证。该认证涵盖了路由交换、安全、存储、无线等多个方向。
3. HCIE（Huawei Certified ICT Expert）：这是华为认证体系中的最高级别认证，要求考生具备专家级的网络知识和技能，类似于Cisco的CCIE认证。该认证包括笔试、实验和面试三个环节，要求考生能够独立设计和实施复杂的网络解决方案。

Cisco和华为的网络工程师认证考试科目和价格

Cisco的考试科目和价格：

1. CCNA：涵盖了基本的网络知识和技能，包括IP地址、路由和交换基础等。考试价格根据不同地区和时间有所差异，一般在200-300美元左右。

2. CCNP：要求考生具备更高级的网络知识和技能，包括复杂的路由和交换技术、网络安全等。考试通常包含多门科目，每门科目的考试费用也在200-300美元左右，具体费用取决于所选择的考试科目和地区。

3. CCIE：Cisco认证体系中的最高级别认证，考试分为笔试和实验两部分。笔试部分通常涵盖理论知识和技术概念，而实验部分则要求考生在实际环境中配置和解决网络问题。考试费用较高，笔试部分一般在400-500美元左右，实验部分费用更高，具体金额取决于考试地点和实验环境。

需要注意的是，Cisco的认证考试价格可能随时调整，建议考生在报名前查阅最新的官方价格信息。

华为的考试科目和价格：

1. HCIA：涵盖了基本的网络知识和技能。考试科目通常包括网络基础知识、网络设备和技术的应用等。考试费用根据不同地区和时间有所差异，一般在200美元左右。

2. HCIP：涵盖了更高级的网络知识和技能，包括路由交换、安全、存储、无线等多个方向。考试科目根据所选择的方向而定，每个方向的考试科目和数量都有所不同。考试费用也会因所选方向和科目数量而有所差异，一般在每门科目160-300美元左右。

3. HCIE：华为认证体系中的最高级别认证。考试包括笔试、实验和面试三个环节，要求考生能够独立设计和实施复杂的网络解决方案。考试费用较高，具体金额因地区、考试科目和实验环境等因素而有所差异。一般而言，整个认证过程的费用可能在数千美元以上。

同样地，华为的认证考试价格也可能随时调整，建议考生在报名前查阅最新的官方价格信息。

总体而言，无论是Cisco还是华为的网络工程师认证，都需要考生投入一定的时间和精力进行学习和备考。考试费用的高低也会因认证级别、考试科目和地区等因素而有所不同。建议考生在选择认证和报名考试前，充分了解认证要求和考试内容，并评估自己的实际能力和需求。

Cisco Packet Tracer（思科模拟器）安装及汉化

安装比较简单全部下一步就可以登录的时候选择guest登录等一会就可以

思科模拟器怎么汉化

1、首先咱们需要一个中文插件，这里建议可以百度直接搜索“**Chinese.ptl”**文件。

2、文件下载好之后，将其复制粘贴到以下路径。

“C:\Program Files (x86)\Cisco Packet Tracer 6.0\languages”

3、接着我们打开思科模拟器，在上方菜单栏中找到“**Options”，再选中“**Preferences”

4、在新的弹窗中，找到“Chinese.ptl”点击；再点击“change language（更改语言）”

5、以上步骤完成以后，咱们再重启软件，这个时候就能看到软件已经变成了中文版了。

第二周 计算机网络基础进阶

画出IP报头和TCP报头，写出各部分代表的含义。

IP报头：20-60B

版本4 头长20B 服务类型 QOS/TOS 整长65535B

标识符 标志位01 片偏移

生存时间TTL 协议号 校验 主机TTL=128 路由器=255

源ip地址 经过一个三层转发-1，减

目的IP地址 为0丢弃。

IP选项40B

Flag=0代表数据帧分片 Flag=1代表数据包最后一个分片

如果分片了标识符来判断接收到的帧是不是属于同一个帧，片偏移来判断先后顺序

TCP报头：

源端口号16b 目的端口号16b 端口号（0-65535）

序列号 0-1023公知端口号 1024-65535动态

确认序列号

头长 ack syn fin 滑动窗口 ack syn建立连接3次握手

校验 保留 紧急指针 ack fin 关闭连接的4次握手

选项40B 填充字段 window 滑动窗口，确认重传

TCP可靠的保障

进制转换

二进制、八进制、十进制、十六进制都有哪些数

二进制、八进制、十进制和十六进制分别包含以下数码：

• 二进制：只有两个数码，即0和1。二进制数是以2为基数的记数系统，它表示任何数字都只用0和1两个数字。

• 八进制：有八个数码，即0、1、2、3、4、5、6、7。八进制数是以8为基数的记数系统，它使用0-7八个数字来表示任何数字。

• 十进制：有十个数码，即0、1、2、3、4、5、6、7、8、9。十进制数是我们日常生活中常用的记数系统，它以10为基数，使用0-9十个数字来表示任何数字。

• 十六进制：有十六个数码，即0、1、2、3、4、5、6、7、8、9、A、B、C、D、E、F。其中A表示10，B表示11，C表示12，D表示13，E表示14，F表示15。十六进制数是以16为基数的记数系统，它使用0-9和A-F十六个数字（字母）来表示任何数字。

需要注意的是，在不同的记数系统中，同一个数字可能有不同的表示方式。例如，在十进制中，数字238表示的是二百三十八；而在十六进制中，数字EE也表示的是二百三十八（因为E在十六进制中表示14，所以EE=1416^1+1416^0=224+14=238）。因此，在进行数制转换时需要注意当前使用的记数系统，以及不同记数系统之间的对应关系。

十进制和二进制之间转换

二进制与十进制的换算方法：

1.除二取余法，除到商为0，倒着往回表示。

2.利用128 64 32 16 8 4 2 1往上加。（网络工程师常用的方法）

二进制和十进制之间的转换是一个常见的计算任务。使用给定的数字集合（128, 64, 32, 16, 8, 4, 2, 1）来表示二进制的每一位是一种直观的方法，因为这些数字恰好是2的幂次方（从2^7到2^0）。

从二进制转换到十进制：

假设我们有一个8位的二进制数，比如 10110010。我们可以使用给定的数字集合来表示这个二进制数的每一位，并将其转换为十进制数：

128 * 1 (最左边的位是1) + 64 * 0 + 32 * 1 + 16 * 1 + 8 * 0 + 4 * 0 + 2 * 1 + 1 * 0
= 128 + 0 + 32 + 16 + 0 + 0 + 2 + 0
= 178

因此，二进制数 10110010 转换为十进制是 178。

从十进制转换到二进制：

现在，假设我们有一个十进制数，比如 178，我们想要将其转换为二进制数。我们可以使用给定的数字集合来找到对应的二进制表示。

我们从最大的数字（128）开始，并检查它是否小于或等于给定的十进制数（178）。如果是，我们将该数字加到结果中，并从十进制数中减去它。然后我们继续下一个较小的数字（64），重复这个过程，直到我们处理完所有的数字或十进制数变为0。

178 - 128 = 50 (128小于178, 所以最左边的位是1)
50 - 64 = -14 (64大于50, 所以下一位是0，我们不进行减法)
50 - 32 = 18 (32小于50, 所以下一位是1)
18 - 16 = 2 (16小于18, 所以下一位是1)
2 - 8 = -6 (8大于2, 所以下一位是0，我们不进行减法)
2 - 4 = -2 (4大于2, 所以下一位是0，我们不进行减法)
2 - 2 = 0 (2等于2, 所以下一位是1)
0 - 1 = -1 (1大于0, 但我们已经处理完所有的数字，且十进制数变为0，所以停止)

因此，十进制数 178 转换为二进制是 10110010。

注意：在实际的计算中，我们通常不会进行像上面那样的无效减法（例如50 - 64）。这里只是为了展示过程而进行的。在实际的转换中，我们会直接跳过那些大于当前十进制数的数字。

十进制转八进制方法

方法（间接法）：先将十进制数转换为二进制数，然后将二进制数每三位一组（从低位开始），不足三位的在高位补0，然后将每组二进制数转换为对应的八进制数，即可得到该十进制数对应的八进制数。

例如，将十进制数136转换为八进制数的过程如下：

首先，将136转换为二进制数：10001000

然后，将二进制数每三位一组：001 000 100

最后，将每组二进制数转换为对应的八进制数：1 0 4

因此，十进制数136对应的八进制数为104。

需要注意的是，在转换过程中，如果十进制数为小数，则需要采用类似的方法处理小数部分，即将小数部分乘以8，然后取整数部分，剩下的小数部分继续乘以8，直到小数部分为0为止。最后将得到的整数部分从低位到高位依次排列，即可得到该十进制小数对应的八进制数。

十进制转十六进制方法

通过二进制间接转换的方法则是先将十进制转换为二进制，然后再将二进制数每四位一组转换为对应的十六进制数。具体步骤可以参考上面八进制。

IP地址V4（重点）

IP地址的组成，表示格式

ipv4的地址为点分十进制，有四组十进制数表示。每个十进制数可换算为8个二进制数，所以ipv4的地址个数为2的32次方个，约为43亿。

IP地址的分类，为什么这么分，D类、E类做什么用。

地址分类：

​ A:0.0.0.0-127.255.255.255 最高位为0

​ B:128.0.0.0-191.255.255.255 前两位为10=128

​ C:192.0.0.0-223.255.255.255 前三位为110=192

​ D:224.0.0.0-239.255.255.255 前四位为1110=224 用作组播

​ E:240.0.0.0-255.255.255.255 前四位为1111=240 科研保留

私有地址有哪些，它们的作用是什么，特殊地址有哪些它们的作用是什么，写出各类地址默认的网络位及掩码,主机数及可用主机数。

私有地址：

​ A：10.0.0.0-10.255.255.255 私有地址的的作用是：在局域网内互通，缓解

​ B：172.16.0.0-172.31.255.255 地址压力，私有地址在公网上不能使用，所以

​ C：192.168.0.0-192.168.255.255 需要在局域网网关设备上做网络地址转换NAT

特殊地址：

​ 127.0.0.1-127.255.255.255 环回地址 127.0.0.2永不被使用地址

​ 224.0.0.1 网络中所有的路由器和主机 224.0.0.2网络中所有的路由器

​ 224.0.0.5 ospf中hello、DR通告给DR other的LSA 224.0.0.6 ospf中IR通告给DR和BDR

​ 224.0.0.9 RIPV2的组播请求地址 224.0.0.18 vrrp中master通告的地址

​ 0.0.0.0 任意网络 255.255.255.255当前广播域内广播

IP地址=网络地址位+主机地址位

默认子网掩码：

A:255.0.0.0 8+24 主机数2^24^ 可用主机数2^24^ -2

B:255.255.0.0 16+16 主机数2^16^ 可用主机数2^16^ -2=65534

C:255.255.255.0 24+8 主机数2^8^ 可用主机数2^8^ -2=254

什么是网络地址和广播地址，并且会计算

网络地址是一个IP地址的主机部分全部为0时所得到的地址。它将一个具体的IP地址划分成两个部分：网络号和主机号。对于一个IP地址来说，网络地址只包含了其所在的网络的地址信息，而不包含该网络中任何主机的地址信息。因此，网络地址通常被用来表示一个网络本身，而不是网络中的某个具体设备。（简单来说是地址段的开头）

广播地址则是一个IP地址的主机部分全部为1时所得到的地址。当向一个广播地址发送数据时，该数据将会被发送到该网络中的所有设备上。广播地址被广泛应用于需要在本地网络中进行广播通信的场合，例如在网络中发现设备、向所有设备发送通知等。（地址段的结尾）

计算网络地址和广播地址的方法通常依赖于IP地址的子网掩码。子网掩码是一个32位的地址掩码，用于将IP地址划分成网络地址和主机地址两部分。子网掩码中的1表示IP地址中对应位属于网络地址部分，0则表示对应位属于主机地址部分。

对于一个给定的IP地址和子网掩码，可以通过将其进行位运算来得到网络地址和广播地址。具体地，将IP地址和子网掩码进行按位与运算，就可以得到网络地址；而将子网掩码取反后再与IP地址进行按位或运算，就可以得到广播地址。

例如，对于一个IP地址为192.168.1.1，子网掩码为255.255.255.0的网络，其网络地址可以通过将IP地址和子网掩码进行按位与运算得到，即11000000.10101000.00000001.00000001（IP地址）与11111111.11111111.11111111.00000000（子网掩码）进行按位与运算，得到11000000.10101000.00000001.00000000，即192.168.1.0，这就是该网络的网络地址。而广播地址则可以通过将子网掩码取反后得到00000000.00000000.00000000.11111111，再将其与IP地址进行按位或运算得到，即11000000.10101000.00000001.11111111，即192.168.1.255，这就是该网络的广播地址。

需要注意的是，在计算广播地址时，需要将子网掩码取反后再进行运算，这是因为广播地址需要将主机部分全部设置为1，而子网掩码中的0表示对应位属于主机地址部分，因此需要将子网掩码中的0全部取反为1，再将结果与IP地址进行或运算，才能得到广播地址。

IP按类分的缺陷及改进的方法。详细写出两种方法的原理。

IP地址如果按类分的话，它的可用主机数是固定的。如C类地址默认可用地址254个，若实际只有30台主机就会造成地址浪费。所以引入子网划分和VLSM变长子网掩码（借位）。

VLSM借位是网络位借用主机位来划分子网，借的几位即子网位数，子网数目=2^子网位数^

如:/24--/27，子网位数为3，子网数目为8，每个子网的可用主机数位2^5^-2=30

CIDR无类域间路由（路由汇聚使用），原理是把路由表中的若干条路由条目汇聚为一条

如：192.168.16.0/24 17.0 18.0 19.0 20.0 这五条路由可聚合为一条192.168.16.0/21

ip 地址练习题

选择题

1. 一个C类IP地址的默认子网掩码是什么？ A. 255.0.0.0 B. 255.255.0.0 C. 255.255.255.0 D. 255.255.255.255
2. 如果一个网络的IP地址是192.168.1.0，子网掩码是255.255.255.0，那么该网络的广播地址是什么？ A. 192.168.1.1 B. 192.168.1.254 C. 192.168.1.255 D. 192.168.255.255
3. 给定IP地址172.16.3.56和子网掩码255.255.255.192，该IP地址所在的网络地址是什么？ A. 172.16.3.0 B. 172.16.3.32 C. 172.16.3.64 D. 172.16.3.128
4. IP地址10.0.0.1属于哪一类IP地址？ A. A类 B. B类 C. C类 D. D类
5. 一个B类网络的默认子网掩码有多少位用于表示网络地址？ A. 8 B. 16 C. 24 D. 32
6. 对于IP地址192.168.2.130和子网掩码255.255.255.128，该子网的网络地址是什么？ A. 192.168.2.0 B. 192.168.2.64 C. 192.168.2.128 D. 192.168.2.255
7. 以下哪个是有效的私有IP地址？ A. 10.0.0.1 B. 127.0.0.1 C. 172.31.1.1 D. 192.168.1.1
8. 一个子网有60台主机，应该使用哪一类IP地址和子网掩码来划分子网？ A. A类，255.0.0.0 B. B类，255.255.0.0 C. C类，255.255.255.0，并进行适当的子网划分 D. 任意类，子网掩码为255.255.255.252
9. IP地址224.0.0.5属于哪一类IP地址？ A. A类 B. B类 C. C类 D. D类 E. E类
10. 给定一个IP地址和子网掩码，要确定该IP地址是否属于某一特定子网，你应该怎么做？ A. 将IP地址和子网掩码进行AND操作 B. 将IP地址和子网掩码进行OR操作 C. 比较IP地址和子网掩码的前8位 D. 比较IP地址和子网掩码的后8位

答案

1. C - C类IP地址的默认子网掩码是255.255.255.0。
2. C - 广播地址是网络地址的主机位全部置为1，因此是192.168.1.255。
3. B - 子网掩码255.255.255.192表示前26位是网络地址，因此网络地址是172.16.3.32。
4. A - IP地址10.0.0.1属于A类IP地址。
5. B - B类网络的默认子网掩码是255.255.0.0，前16位用于表示网络地址。
6. C - 对于子网掩码255.255.255.128，网络地址是IP地址和子网掩码进行AND操作的结果，即192.168.2.128。
7. A, C, D - 所有选项都是有效的私有IP地址。但如果必须选择一个，则A、C和D都是正确的。题目可能意在询问哪一个不是私有IP地址，那么正确答案应该是B，因为127.0.0.1是回环地址。
8. C - 一个子网有60台主机，最适合使用C类IP地址并进行适当的子网划分来满足主机数量要求。
9. D - IP地址224.0.0.5属于D类IP地址，用于多播。
10. A - 要确定一个IP地址是否属于某一特定子网，应该将IP地址和子网掩码进行AND操作，得到的结果就是网络地址。然后将这个网络地址与目标子网的网络地址进行比较。

简答题

假设你是一家网络管理员，现在你的公司获得了一个C类IP地址：192.168.1.0。公司内有多个部门，包括：行政部、人事部、财务部、技术部、销售部和市场部。每个部门都需要自己的子网，并且你需要为每个子网分配足够的IP地址以满足当前和未来的需求。行政部需要10个IP地址，人事部需要15个IP地址，财务部需要20个IP地址，技术部需要30个IP地址，销售部需要40个IP地址，市场部需要25个IP地址。请设计一个IP地址分配方案，将192.168.1.0这个网段合理地划分成多个子网，以满足每个部门的需要，并给出每个子网的网络地址、广播地址和可用IP地址范围。

解答：

首先，我们需要确定子网掩码来划分网络。考虑到技术部需要最多的IP地址（30个），我们可以选择子网掩码255.255.255.224，这将每个子网划分为32个IP地址（其中30个可用，2个用于网络地址和广播地址）。

原始网络： IP地址范围：192.168.1.0 - 192.168.1.255 子网掩码：255.255.255.0 网络地址：192.168.1.0 广播地址：192.168.1.255

划分子网后：

1. 行政部子网

   • 子网掩码：255.255.255.224
   • 网络地址：192.168.1.0
   • 广播地址：192.168.1.31
   • 可用IP地址范围：192.168.1.1 - 192.168.1.30
   • 说明：虽然只需要10个IP，但使用了一个/27子网，提供30个可用地址。

2. 人事部子网

   • 子网掩码：255.255.255.224
   • 网络地址：192.168.1.32
   • 广播地址：192.168.1.63
   • 可用IP地址范围：192.168.1.33 - 192.168.1.62
   • 说明：分配了一个/27子网，提供30个可用地址。

3. 财务部子网

   • 子网掩码：255.255.255.224
   • 网络地址：192.168.1.64
   • 广播地址：192.168.1.95
   • 可用IP地址范围：192.168.1.65 - 192.168.1.94
   • 说明：分配了一个/27子网，但实际上只使用了20个地址，其余保留。

4. 技术部子网

   • 子网掩码：255.255.255.224
   • 网络地址：192.168.1.96
   • 广播地址：192.168.1.127
   • 可用IP地址范围：192.168.1.97 - 192.168.1.126
   • 说明：分配了一个/27子网，满足30个IP地址的需求。

5. 销售部子网

   • 子网掩码：255.255.255.224
   • 网络地址：192.168.1.128
   • 广播地址：192.168.1.159
   • 可用IP地址范围：192.168.1.129 - 192.168.1.158
   • 说明：虽然需要40个IP，但使用了一个/27子网，实际只提供了30个可用地址，需要额外考虑。

   注意： 销售部需要40个IP地址，但使用/27子网只能提供30个可用地址，因此我们需要调整子网划分或使用其他方法（如NAT、私有地址空间等）来满足这一需求。这里我们可以考虑将销售部进一步划分为两个子网或使用一个更大的子网掩码（如/26），但这将影响其他部门的子网划分。

6. 市场部子网

   • 子网掩码：255.255.255.224
   • 网络地址：192.168.1.160
   • 广播地址：192.168.1.191
   • 可用IP地址范围：192.168.1.161 - 192.168.1.190
   • 说明：分配了一个/27子网，但实际上只使用了25个地址，其余保留。

总结： 在这个方案中，我们使用了子网掩码255.255.255.224来划分192.168.1.0网段。然而，我们注意到销售部需要的IP地址数量超出了单个/27子网所能提供的数量。因此，在实际应用中，可能需要重新考虑子网划分策略，例如为销售部分配一个更大的子网（如/26），同时调整其他部门的子网划分以满足所有部门的需求。这可能需要额外的规划和管理。

TTL(生存时间)的特点，PC和设备默认的TTL是多少？ICMP的三种功能。Code和type字段不同取值代表的含义。ICMP的2个应用

TTL生存时间，每经过一次三层转发后-1，减为0后丢弃，丢弃的设备给网络中回复一个ICMP的错误报告。默认TTL，PC=128 路由器=255。

ICMP的三种功能：

​ 1.重定向，发送ARP请求时目的ip地址错误，收到重新定义网关方向的响应

​ 2.差错检测，通过发送ICMP Echo requset和接收reply来判断网络连通性

​ 3.错误报告，TTL=0后向网络发送。

ICMP中Type和Code取值：5 0 重定向 8 0 请求 0 0 响应

​ 3 0 网络不可达 3 1 主机不可达

​ 3 2 协议不可达 3 3端口不可达

ICMP的应用：1.ping -c指定ping的次数（默认5次） -a指定源ip地址

​ -t指定超时时间 -h指定ttl

​ 2.tracert（路径跟踪）显示数据包在网络传输过程中所经过的每一跳

​ tracert 每次向外发送三个数据包用来追踪到达下一跳设备的路径，第一组三个数据包的TTL被设置为1，经过第一台路由器转发直接变为0之后丢弃，路由器回复一个ICMP报文，通过IP数据包的源IP地址可知道第一台路由器的地址，之后每增加一台路由器发送端TTL+1，从而追踪出到达目的端所经过的每台设备。

ARP表的查询方法跟新周期，MAC地址表的查询方法跟新周期，ip路由表的查询方法。写出几种ARP和各自的功能。

ARP缓存表查询方法： arp -a主机；display arp设备。

MAC地址表的查询方法 ipconfig/all display mac-address 300S更新 win+R cmd ipconfig/all

ip路由表的查询方法 route print (windows) display ip routing-table （设备）

五种ARP:

1.arp请求 在不知道对方mac地址时发送，目的地址为广播MAC(FFFF-FFFF-FFFF)，单播IP地址；

2.arp响应 响应arp请求,目的地址为单播MAC、单播IP；

3.arp缓存 缓存表1200S

4.arp代理 网关设备代替接收端把自己的mac地址回复给arp请求

5.免费arp 当网络中新加入主机配置IP地址时用来检测地址是否冲突。

写出几个常用网络命令

常用网络命令包括：

1. ping命令：一般用于检测网络是否通畅以及网络连接速度。它是基于ICMP协议工作的。ping命令会发送一个ICMP回声请求消息给目的地并报告是否收到所希望的ICMP回声应答。
2. ipconfig命令：用于显示当前的TCP/IP配置的设置值。这些信息一般用来检验人工配置的TCP/IP设置是否正确。
3. netstat命令：是一个监控TCP/IP网络的非常有用的工具，它可以显示路由表、实际的网络连接以及每一个网络接口设备的状态信息。
4. arp命令：用于显示和修改“地址解析协议”（ARP）缓存中的项目。ARP缓存中包含一个或多个表，它们用于存储IP地址及其经过解析的以太网或令牌环物理地址。
5. net命令：是许多网络命令的集合，可以用于网络管理和网络故障排查。
6. tracert命令：用于确定IP数据包访问目标所采取的路径。
7. route命令：用于显示和修改本地IP路由表条目。
8. nbtstat命令：用于显示基于NetBIOS的协议统计和当前TCP/IP连接，使用这个命令你可以得到远程主机的NETBIOS信息。

以上这些命令在Windows系统中较为常用，而在类Unix系统（如Linux）中，虽然命令名称和用法可能有所不同，但大体功能类似。

TCP和UDP的区别。TCP建立连接的三次握手和关闭连接的四次握手。什么保证TCP安全可靠

TCP:面向连接的，可靠的全双工的传输协议

UDP:面向无连接的，不可靠、提供尽力而为的服务，时效性高

TCP（Transmission Control Protocol，传输控制协议）和UDP（User Datagram Protocol，用户数据报协议）都是网络传输层的重要协议，但它们的使用场景有所不同。

TCP是一个面向连接的、可靠的、基于字节流的传输层通信协议。由于其保证数据传输的可靠性和顺序性，TCP通常用于需要连续传输、对数据传输有较高要求、但实时性要求不那么高的场景。具体例子包括：

• 文件传输（FTP）：在文件传输过程中，通常需要保证数据的完整性和顺序性，因此TCP是非常合适的选择。
• 邮件发送（SMTP）：邮件发送过程中也需要保证数据的完整性和可靠性，因此通常也使用TCP协议。
• 远程登录（TELNET/SSH）：远程登录需要稳定可靠的数据传输，以保证用户能够正常操作远程主机，因此也通常使用TCP协议。
• Web浏览（HTTP/HTTPS）：Web浏览需要加载各种网页元素，包括文本、图片、视频等，这些都需要稳定可靠的数据传输，因此也通常使用TCP协议。

UDP则是一个无连接的传输层协议，不保证数据传输的可靠性和顺序性，但具有较快的传输速度和较低的资源占用。因此，UDP通常用于对实时性要求较高、但能够容忍一定数据丢失的场景。具体例子包括：

• 实时音视频通信：实时音视频通信对传输速度要求较高，且能够容忍一定的数据丢失，因此通常使用UDP协议。
• 在线直播：在线直播也需要较快的传输速度，且能够容忍一定的数据丢失，因此也通常使用UDP协议。
• DNS查询：DNS查询通常只需要传输较少的数据量，且对实时性要求较高，因此也通常使用UDP协议。

需要注意的是，TCP和UDP并不是互相替代的关系，而是根据不同的使用场景选择合适的协议。在某些场景下，也可以同时使用TCP和UDP协议以满足不同的需求。

一、TCP建立连接的三次握手机制 1.TCP 3次握手建立连接 建立TCP连接：在TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接：

建立连接时,客户端发送syn包(syn=j)到服务器，并进入SYN_SEND状态，等待服务器确认； SYN：同步序列编号(Synchronize Sequence Numbers) 服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态； 客户端收到服务器的SYN＋ACK包（此时客户端进入ESTABLISHED状态），向服务器发送确认包ACK(ack=k+1)，此包发送完毕，服务端收到这个包后进入ESTABLISHED状态，客户端和服务器都进入ESTABLISHED状态，完成三次握手。 三次握手的关键就在于，它可以应变连接请求是否失效。 三次握手建立连接的流程如下：

2.为什么需要第三次握手 需要第三次握手根本原因是防止失效的连接请求报文段被服务端接收，从而产生错误，具体表现：若建立连接只需两次握手，客户端并没有太大的变化，仍然需要获得服务端的应答后才进入ESTABLISHED状态，而服务端在收到连接请求后就进入ESTABLISHED状态。此时如果网络拥塞，客户端发送的连接请求迟迟到不了服务端，客户端便超时重发请求，如果服务端正确接收并确认应答，双方便开始通信，通信结束后释放连接。此时，如果那个失效的连接请求抵达了服务端，由于只有两次握手，服务端收到请求就会进入ESTABLISHED状态，等待发送数据或主动发送数据。但此时的客户端早已进入CLOSED状态，服务端将会一直等待下去，这样浪费服务端连接资源。

二、TCP关闭连接的四次挥手机制 1.TCP 4次握手关闭连接 对于一个已经建立的连接，TCP使用改进的三次握手来释放连接（使用一个带有FIN附加标记的报文段）。TCP关闭连接的步骤如下：

客户端向服务器发送一个带有FIN附加标记的报文段（FIN表示英文finish），客户端进入FIN_WAIT_1状态； Server收到FIN后，并不立即用FIN报文段回复客户端，而是先向客户端发送一个确认序号ACK，同时通知自己相应的应用程序：对方要求关闭连接（先发送ACK的目的是为了防止在这段时间内，对方重传FIN报文段），此时服务器进入CLOSE_WAIT状态； 服务器关闭与客户端的连接：当服务器发送的数据完成之后会单独向客户端发送一个FIN报文段，表示同意关闭连接；服务器进入LAST_ACK状态 客户端收到服务端的FIN报文段后，客户端进入TIME_WAIT状态，向服务端发送ACK表示连接彻底释放，服务端进入CLOSED状态，完成四次握手。 四次挥手关闭连接的流程：

2.为什么是四次挥手 因为TCP连接是双向连接的，即客户端会向服务端发送数据请求，服务端会向客户端发送响应的数据，TCP是一种可靠的连接方式。客户端发送完数据，服务端不一定把所有的响应数据发送完成，关闭连接时需要断开客户端向服务端发送数据的连接（此时客户端还可以接收服务端发送的数据）和服务端向客户端发送响应的连接，即服务端对客户端关闭连接的请求的响应ACK和服务端同意关闭连接的FIN字段需要分开发送。

PS：建立连接时的第二次握手时服务端向客户端发送的响应包括SYN和ACK。

第三周 链路聚合、VLAN（虚拟局域网）

Cisco Packet Tracer模拟器基本命令

基本配置

1.进入特权模式：enable

查看show 命令 特权模式下可以使用

Switch(config)#int range f0/2-9（连续）

s2(config)#int range f0/5,f0/7,f0/11（不连续）

2.进入全局配置模式：configure terminal

3.配置交换机主机名：hostname

4.配置交换机接口：interface

5.配置交换机接口IP地址和子网掩码：ip address

6.打开交换机接口：no shutdown

7.配置交换机管理口：interface vlan 1

8.配置交换机管理口IP地址和子网掩码：ip address

9.配置交换机默认网关：ip default-gateway

10.配置交换机密码：enable secret

11.保存配置并退出全局配置模式：end

12.退出特权模式：exit

13.查看配置信息：show running-config

14.

r1(config-router)#do show run  查看当前配置

基本配置通常包括设置主机名、配置接口IP地址、启用路由协议等。这些操作通常在全局配置模式下进行。

1. 进入特权执行模式： 输入 enable 并按回车键。

2. 进入全局配置模式： 输入 configure terminal 并按回车键。

3. 设置主机名（可选）： 输入 hostname [新主机名] 并按回车键。

4. 配置接口： 输入 interface [接口类型] [接口编号]，例如 interface FastEthernet 0/1，然后按回车键。 在接口配置模式下，可以设置IP地址、子网掩码等。

5. 启用路由协议（如RIP、OSPF等）： 输入 router [路由协议名称]，然后按回车键。在路由配置模式下，可以添加网络、配置路由参数等。

6. 退出配置模式： 输入 end 或 exit 并按回车键。

恢复出厂设置

恢复出厂设置通常意味着清除所有配置并重启设备，使其回到出厂时的默认状态。

1. 进入特权执行模式： 输入 enable 并按回车键。

2. 确认当前配置（可选）： 输入 show running-config 查看当前配置。

3. 清除配置： 输入 erase startup-config 或 write erase 并按回车键。这将清除启动配置文件。

4. 重启设备： 输入 reload 并按回车键。设备将重新启动，并应用默认配置。

重启

重启设备可以通过几种不同的命令实现。

1. 在特权执行模式下重启： 输入 reload 并按回车键。

2. 通过系统命令重启： 在某些情况下，可以输入类似 system reboot 的命令来重启设备。

console 口登录设备

securecrt连接console

启动设备，将RJ45连接交换机Console口，USB转接口连笔记本。

右键计算机管理，进入管理单击“设备管理器”，查看“端口”：COM3（根据个人的连接而定）

打开CRT连接终端

单击“连接”（此图标名为：连接，快捷键alt+c）

单击 “新建会话”，建立一个新的连接

在SecureCRT@协议选项：选中“Serial”协议

对应端口：COM3，波特率设定：9600，流控全关

点击下一步至结束，连接即可。

设置登陆的账号密码（实验）

在Cisco设备上创建或修改用户名和密码通常涉及全局配置模式下的几个简单步骤。以下是如何进行的详细说明：

创建用户名和密码

1. 进入特权执行模式： 首先，你需要从用户模式切换到特权执行模式。这通常是通过输入enable命令并按回车键来完成的。

   Router> enable
   Password: [如果已配置特权模式密码，则在此处输入]
   Router#
   

2. 进入全局配置模式： 接下来，输入configure terminal命令并按回车键，以进入全局配置模式。

   Router# configure terminal
   Enter configuration commands, one per line. End with CNTL/Z.
   Router(config)#
   

3. 创建本地用户名和密码： 使用username命令 followed by the desired username and the privilege keyword with the appropriate privilege level (typically 15 for full access). The secret keyword is used to set the password in encrypted form.

   Router(config)# username newuser privilege 15 secret newpassword
   

   或者，如果你已经有一个本地数据库并且想要添加新用户，你可以省略privilege部分，只设置用户名和密码：

   Router(config)# username newuser secret newpassword
   

   注意：在某些Cisco IOS版本中，privilege关键字可能不被支持，而是使用role和aaa new-model命令来分配权限。

4. （可选）启用本地身份验证： 如果你的设备配置了其他身份验证方法（如RADIUS或TACACS+），并且你想要回退到本地身份验证，确保在VTY线路上配置login local。

   Router(config)# line vty 0 15
   Router(config-line)# login local
   Router(config-line)# exit
   

5. 保存配置： 最后，不要忘记保存你的配置更改，以防止在设备重启后丢失。

   Router(config)# end
   Router# write memory
   

   或者，你也可以使用简写形式：

   Router# wr
   

修改用户名和密码

修改用户名和密码的过程与创建新用户类似，但是你需要先进入全局配置模式，然后使用username命令修改现有用户的密码。

1. 进入特权执行模式和全局配置模式，如上所述。

2. 修改现有用户的密码：

   Router(config)# username existinguser secret newpassword
   

3. 保存配置更改。

请注意，出于安全考虑，应该选择强密码，并定期更改密码。此外，确保你的配置符合组织的安全政策和最佳实践。

远程登录 telnet、ssh（实验）

当然，下面是一个具体的配置例子，展示了如何在Cisco设备上设置Telnet和SSH远程登录。

配置Telnet

假设你已经通过控制台连接到了Cisco路由器或交换机，并准备开始配置。

Router> enable                     # 进入特权执行模式
Router# configure terminal         # 进入全局配置模式
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)# hostname MyRouter   # 设置设备主机名
MyRouter(config)# enable secret cisco123   # 设置特权模式密码
MyRouter(config)#username ccie privilege 15 secret cisco
MyRouter(config)# line vty 0 4              # 进入VTY线路配置模式，配置远程登录线路
MyRouter(config-line)# login local              # 启用登录验证
MyRouter(config-line)#transport input telnet
MyRouter(config-line)# exit                # 退出VTY线路配置模式
MyRouter(config)# exit                     # 退出全局配置模式
MyRouter# write memory                     # 保存配置

配置SSH

在配置SSH之前，请确保你的Cisco设备支持SSH，并已加载了相应的IOS版本。

路由

router(config)# hoatname R1 / 必须改主机名 ssh
R1(config)#ip domain-name ssh / 创建网络ip域
R1(config)#crypto key generate rsa / 生成加密密钥
How many bits in the modulus [512]: 2048 / 配置密钥长度 越大越优先
R1(config)#enable password  /配置特权模式密码
R1(config)#line vty 0 4 / 创建五个登录点
R1(config-line)#login local / 设置本地用户登录
R1(config-line)#transport inpu ssh / 登录模式为ssh登录
R1(config)#username ssh privilege 15 password 12/ 新建用户和密码并给予权限
R1(config)#ip ssh time-out 120 / 配置无操作超时时间为120秒
R1(config)#ip ssh authentication-retries 1 / 修改重认证的次数

pc

ssh -l +用户名 +要登录设备的端口 例如：ssh -l ssh 192.168.1.1
提示password：  输入密码：zl
进入enable ：  输入密码：zl

什么是链路聚合、链路聚合两端设备可以是什么，两端的哪些参数必须一致。怎么使二层交换机变为三层，实现聚合(实验)

在实际网络中，设备与设备之间如果只有一条链路的话，一旦出现故障，就会导致业务中断，所以引入链路聚合，原理是将多根链路通过聚合为一条实际链路（ETH-trunk）来传输，这些多条链路之间可以实现负载分担，也可以作为备份链路。链路聚合两端设备可以是一组交换机，一组路由器，也可以是一个交换机，一个路由器。链路聚合是两端端口数量（不超过8条）、双工模式、速率、流控方式（flow control）必须相同，否则不能聚合。

配置Cisco设备的链路聚合（EtherChannel）通常涉及将多个物理接口组合成一个逻辑接口，以提高带宽和提供链路冗余。下面是一个基本的Cisco链路聚合配置示例，但请注意，我无法直接提供拓扑图，因为这是一个文本环境。您可以使用网络绘图工具（如Visio、Packet Tracer或其他网络设计软件）来创建适合您网络的拓扑图。

假设我们有两台Cisco交换机（Switch-A和Switch-B），并且我们希望在这两台交换机之间配置一个聚合链路。每个交换机都有两个物理接口（例如FastEthernet0/1和FastEthernet0/2），我们将它们捆绑到一个EtherChannel中。

Switch-A的配置：

Switch-A> enable
Switch-A# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch-A(config)# interface range FastEthernet0/1 - 2
Switch-A(config-if-range)# channel-group 1 mode on
Switch-A(config-if-range)# channel-group 1 mode active(选择配置设置为主动端)
Switch-A(config-if-range)# exit
Switch-A(config)# interface port-channel 1
Switch-A(config-if)# switchport mode trunk
Switch-A(config-if)# exit
Switch-A(config)# end
Switch(config)#port-channel load-balance dst-ip  //按照目标主机IP地址数据分发来实现负载平衡
Switch#show etherchannel summary  //显示以太网通道组的情况

Switch-B的配置：

Switch-B> enable
Switch-B# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch-B(config)# interface range FastEthernet0/1 - 2
Switch-B(config-if-range)# channel-group 1 mode on
Switch-B(config-if-range)# channel-group 1 mode passive(选择配置设置为被动端)
Switch-B(config-if-range)# exit
Switch-B(config)# interface port-channel 1
Switch-B(config-if)# switchport mode trunk
Switch-B(config-if)# exit
Switch-B(config)# end
Switch(config)#port-channel load-balance dst-ip  //按照目标主机IP地址数据分发来实现负载平衡
Switch#show etherchannel summary  //显示以太网通道组的情况

在上述配置中，我们执行了以下步骤：

1. 进入特权模式（enable）。
2. 进入全局配置模式（configure terminal）。
3. 在两个物理接口上创建一个接口范围，并将它们加入到一个名为1的聚合组中，模式设置为on（这表示LACP模式，如果使用PAgP，请使用desirable或auto）。
4. 退出接口范围配置模式。
5. 进入聚合接口（port-channel 1）配置模式。
6. 设置聚合接口为trunk模式（这假设您希望在此链路上传输多个VLAN，如果是接入链路，请使用switchport mode access和switchport access vlan命令）。
7. 退出聚合接口配置模式。
8. 退出全局配置模式。

VLAN(虚拟局域网)

为什么要划分VLAN，vlan的帧，vlan的范围。

虽然交换机可以隔离冲突域，但是交换网络仍然广播泛滥。为了使网络在二层实现隔离，引入vlan（虚拟局域网技术）。通过在交换机上配置VLAN，可以实现在同一个VLAN内的用户可以进行二层互访，而不同VLAN间的用户被二层隔离。这样既能够隔离广播域，又能够提升网络的安全性。

VLAN的帧结构：4B的TAG字段中，2B的TPID

Pri =3bit 表示优先级，Cfi =1bit 0表示标准帧 1 表示非准帧。VLANID=12bit，所以vlan范围

（0-4095）,0/4095保留、1默认，可配置vlan（1-4094）

VLAN的链路类型和端口类型有哪些，各自的转发接收数据的规则是什么

Vlan的链路类型有两种：接入链路（access）主要用于交换机连主机

​ 干道链路（trunk）主要用于交换机连交换机。

Vlan的端口类型有二种：access trunk

VLAN的缺点，改进缺点用的办法有哪些。

VLAN的缺点：部署vlan后，完全隔离了二层的流量，使不同vlan的主机在二层完全不能互访，改进的方法有多臂路由，单臂路由，三层交换，super vlan等。

VLAN配置（实验）

在Cisco交换机上配置VLAN时，通常会遇到两种类型的端口：access端口和trunk端口。Access端口通常用于连接终端设备（如PC、服务器等），而trunk端口则用于交换机之间的连接，以承载多个VLAN的流量。

VLAN Access端口的配置：

Access端口只能属于一个VLAN，通常用于连接终端设备到交换机。以下是配置VLAN Access端口的基本步骤：

1. 进入特权模式：

   Switch> enable
   Password: [如果配置了enable密码，则输入密码]
   Switch#
   

2. 进入全局配置模式：

   Switch# configure terminal
   Switch(config)#
   

3. 进入接口配置模式，例如接口FastEthernet0/2：

   Switch(config)# interface FastEthernet0/2
   Switch(config-if)#
   

4. 将接口配置为access模式，并将其分配给特定的VLAN：

   Switch(config-if)# switchport mode access
   Switch(config-if)# switchport access vlan 10
   

   在上述命令中，10是分配给该接口的VLAN ID。

5. 退出接口配置模式：

   Switch(config-if)# exit
   

6. （可选）验证配置：

   Switch# show interfaces FastEthernet0/1 switchport
   

VLAN Trunk端口的配置：

Trunk端口允许多个VLAN的流量通过，通常用于交换机之间的连接。以下是配置VLAN Trunk端口的基本步骤：

1. 进入特权模式（如果尚未进入）：

   Switch> enable
   Password: [如果配置了enable密码，则输入密码]
   Switch#
   

2. 进入全局配置模式（如果尚未进入）：

   Switch# configure terminal
   Switch(config)#
   

3. 进入接口配置模式，例如接口FastEthernet0/2：

   Switch(config)# interface FastEthernet0/0/2
   Switch(config-if)#
   

4. 将接口配置为trunk模式：

   Switch(config-if)# switchport mode trunk
   Switch(config-if)#switchport trunk encapsulation dot1q（输入这条命令三层交换机才能设置trunk口）
   

5. 允许特定的VLAN通过trunk：

Switch(config-if)# switchport trunk allowed vlan 10,20,30

在上述命令中，10,20,30是允许通过trunk的VLAN ID列表。如果要允许所有VLAN，请使用switchport trunk allowed vlan add all命令。

7. 退出接口配置模式：

   Switch(config-if)# exit

8. （可选）验证配置：

   Switch# show interfaces FastEthernet0/2 switchport

native vlan

native vlan 是一个作用于仅为本交换机的概念，所有未划分vlan的端口默认自动划分到native vlan中，交换机的默认native vlan 是vlan 1；

当turnk端口发送属于native vlan的帧的时候，帧的tag将会被剥离；

当trunk端口接收到untagged的帧的时候，将会给该帧打上该交换机的native vlan的帧；

interface GigabitEthernet 0/1
switchport mode trunk
switchport trunk native vlan 30

第四周 交换机工作原理及STP（生成树）

LAN MAN WAN VLAN WLAN 代表什么，802.11都有哪些标准，都用到的频率有哪些。什么是AP AC。

网络按覆盖范围和空间距离，可以划分为局域网（LAN）、城域网（MAN）、广域网（WAN）。

WLAN表示无线局域网，范围比wifi大；VLAN代表虚拟局域网；WWAN表示无线广域网

MAN城域网即代表一个城市可以划为一个MAN

网络按业务划分，可以分为电信网、互联网（X.25、Internet、FR）、有线电视网，三网合一是指将以上三种网络采用相同的方式接入。

802.11分为：802.11b/g/n主要采用2.4Ghz，802.11b=11Mbps、802.11g=54Mbps、802.11n=450Mbps；802.11a/ac主要采用5Ghz，其中802.11ac最高速率可达1.25gbps。

下一代路由器无线为BYOD。

AP：无线接入点，把用户终端接入网络 AC：无线接入控制器

交换机的工作原理

交换机工作在数据链路层，以MAC地址进行识别。交换机的工作原理：基于源MAC地址的学习和

基于MAC地址的转发。转发时若不知道对方MAC，先发ARP请求来获取对方MAC地址。交换机的

转发行为有泛洪（未知单播帧或广播帧）、转发、丢弃(小于64K丢弃，IEEE规定一个以太网数据帧

的范围是64-1500B)。

三种交换模式有：

直通转发Cut-trough（交换机收到DMAC即开始转发）；

存转发store-and-forward（交换机将整个数据帧接收到后转发）；

分段转发Fram-free（交换机收到完整数据包的前64B，完后根据头信息查表转发）。

STP（生成树）Rstp(快速生成树) MSTP(多实例生成树)

STP的主要作用、环路引起的危害、STP的工作流程，四步走和四要素是什么。

为了增加网络的可靠性，交换机之间需要加入更多的冗余，有冗余后可能给交换网络带来环路危险

环路的危害：广播风暴；MAC地址表震荡、主机收到重复的数据帧。

生成树一共分为三种：STP慢生成树 RSTP快生成树 MSTP 多实例生成树

STP的工作流程，选阻塞端口的过程： 选举过程中每一步都按四要素来依次选举

​ 四步走 BPDU 四要素 (比小)

在所有交换机中选举根交换机 root 根桥ID（MAC+优先级）优先级默认32768 步长4096,范围0-65535

在非根交换机上选举根端口 RP 根路径开销(交换机出端口到根桥的总开销)，cost值

在每个冲突域，每个网段选举指定端口 DP 发送者的桥ID（优先级+MAC）

阻塞预备端口（非根、非指定端口） AP 端口PID（对端和本端的端口ID）

STP（生成树协议）的工作流程中，选择阻塞端口的过程是STP消除网络环路的关键步骤之一。以下是STP的工作流程以及阻塞端口的选择过程：

STP的工作流程：

1. 运行STP协议的设备首先会认为自己是根桥，发送以自己为根的BPDU（桥接协议数据单元）。
2. 交换BPDU后，进行根桥的选举。选举根桥的规则通常是BID（桥接标识符）最小的交换机成为根桥。BID由桥优先级和MAC地址组成，先比较桥优先级，越小越优，桥优先级相同，则比较MAC地址，越小越优。根桥确定后，由根桥周期性（例如每2秒）发送以自身为根的BPDU，非根桥不再发送以自己为根的BPDU。
3. 在根桥确定后，其他非根桥交换机上需要选举根端口（RP），根端口是交换机上距离根桥最近的端口，负责接收来自根桥的数据。根端口的选择基于到根桥的路径成本最低、直连的桥ID最小和端口ID最小。
4. 在每条链路上选举出一个指定端口（DP），指定端口负责为该网段注入数据包。同一网段上的不同交换机的不同端口比较到根桥的cost，cost最小的被选为指定端口。
5. 既不是根端口也不是指定端口的就是阻塞端口（Blocking Port）。阻塞端口被设置为禁用状态，以避免环路的发生。

阻塞端口的选择过程：

1. 在选举完根端口和指定端口后，剩余的端口成为候选阻塞端口。
2. 设备将比较自己的Bridge ID与相邻设备的Bridge ID。如果本地设备的BID较高，那么它将自己的一个端口设置为阻塞端口，以避免与较低BID的设备之间形成环路。
3. 如果有多个候选阻塞端口，通常会基于优先级或其他因素来选择一个端口作为阻塞端口。

STP和RSTP的端口角色各自有什么

STP（生成树协议）和RSTP（快速生成树协议）在端口角色上有所不同。以下是它们各自的端口角色：

STP的端口角色有三种：

1. 根端口（Root Port）：这是交换机转发包到根网桥时提供最小路径开销的端口。每个非根交换机上都存在一个根端口。
2. 指定端口（Designated Port）：该类端口连接到指定的交换机，在从该交换机上转发来自LAN中的包到根网桥时，该端口可以提供最小的路径开销。每个网段内必须有一个指定端口，根网桥上的端口都是指定端口。
3. 阻塞端口（Blocking Port）：既不是根端口也不是指定端口的端口将被设置为阻塞状态，以避免环路。

RSTP在STP的基础上增加了两种端口角色，总共有五种：

1. 根端口（Root Port）：与STP中的根端口角色相同。
2. 指定端口（Designated Port）：与STP中的指定端口角色相同。
3. 替代端口（Alternate Port）：这是RSTP特有的一种端口角色，作为根端口的备份，提供了另一条到根网桥的路径。如果根端口失效，替代端口可以迅速转变为根端口。
4. 备份端口（Backup Port）：这也是RSTP特有的一种端口角色，作为指定端口的备份。如果指定端口失效，备份端口可以迅速转变为指定端口。
5. 禁用端口（Disabled Port）：这种端口角色在STP和RSTP中都存在，表示该端口不参与生成树计算，也不会转发数据。

STP和RSTP的状态、两种BPDU（什么时候使用）、三种计时器

STP（生成树协议）和RSTP（快速生成树协议）在端口状态、BPDU（桥接协议数据单元）类型以及计时器方面有所不同。以下是它们的主要区别和特点：

STP的状态：

1. Blocking（阻塞状态）：端口不转发数据帧，不学习MAC地址。这是初始状态，也是避免环路的关键状态。
2. Listening（侦听状态）：端口准备开始参与生成树计算，但不转发数据帧也不学习MAC地址。
3. Learning（学习状态）：端口学习MAC地址，但不转发数据帧。
4. Forwarding（转发状态）：端口正常转发数据帧，并学习MAC地址。
5. Disabled（禁用状态）：端口不参与生成树计算，也不转发数据帧。

RSTP的状态：

RSTP简化了STP的状态，主要有以下几种：

1. Discarding（丢弃状态）：这相当于STP中的Blocking、Listening和Learning状态。端口不转发数据帧，但可能在学习MAC地址（取决于具体实现）。
2. Learning（学习状态）：与STP中的Learning状态相同，端口学习MAC地址，但不转发数据帧。
3. Forwarding（转发状态）：与STP中的Forwarding状态相同，端口正常转发数据帧，并学习MAC地址。

两种BPDU：

1. Configuration BPDU：用于生成树的计算，包含桥接器的优先级、MAC地址等信息。STP和RSTP都使用这种BPDU。
2. Topology Change Notification (TCN) BPDU：仅在STP中使用，用于通知网络中的其他桥接器发生了拓扑变化。RSTP使用更有效的方法（Proposal/Agreement机制）来快速响应拓扑变化，因此不需要TCN BPDU。

三种计时器：

1. Hello Timer：STP和RSTP都使用这个计时器来定期发送BPDU。STP的默认Hello时间是2秒，而RSTP的默认Hello时间是2秒，但可以更快地配置。
2. Forward Delay Timer：STP在监听和学习状态使用此计时器，以确保在转发数据之前网络是稳定的。默认值是15秒。RSTP大大减少了这个计时器的值，通常设置为几秒，以实现更快的网络恢复。
3. Max Age Timer：STP使用这个计时器来确定BPDU的最大生存时间。如果在这个时间内没有收到新的BPDU，桥接器会认为与发送该BPDU的桥接器的连接已经断开。STP的默认值是20秒（Hello Timer的倍数），而RSTP由于更快的Hello Timer，这个值也会相应地减少。

STP的收敛时间范围、RSTP通过什么来加快收敛。

STP（生成树协议）的收敛时间范围通常取决于网络拓扑和配置。在标准的STP中，收敛时间主要由以下几个因素决定：

• Hello Timer（默认2秒）：用于定期发送BPDU（桥接协议数据单元）的时间间隔。
• Forward Delay Timer（默认15秒）：在端口从Blocking（阻塞）状态转变为Forwarding（转发）状态之前，需要等待的时间。通常，这个计时器在Listening（侦听）和Learning（学习）状态下各使用一次。
• Max Age Timer（默认20秒）：BPDU的最大生存时间。如果在这个时间内没有收到新的BPDU，桥接器会认为与发送该BPDU的桥接器的连接已经断开。

基于这些计时器，STP的收敛时间范围通常是从30秒到50秒。在最佳情况下，例如根端口直接失效，收敛时间约为30秒（2个Forward Delay Timer的时间）。在非最佳情况下，例如非根交换机的根端口出现故障或链路失效，收敛时间可能会增加到50秒，因为需要等待Max Age Timer过期以及额外的Forward Delay Timer。

RSTP（快速生成树协议）通过以下几种方式来加快收敛：

1. Proposal/Agreement机制：RSTP引入了这个机制来加速指定端口的选择过程。当一个交换机检测到其指定端口可以成为根端口时，它会发送一个Proposal（提议）BPDU。如果相邻交换机同意这个提议，它会立即进入Forwarding状态，而不需要等待完整的Forward Delay Timer。

2. 根端口快速切换：在RSTP中，根端口的失效会立即触发端口角色的重新评估。如果存在替代端口（Alternate Port），它将立即成为新的根端口并进入Forwarding状态。

3. 边缘端口：RSTP引入了边缘端口的概念，这些端口通常连接到主机或其他不会造成环路的设备。边缘端口可以直接进入Forwarding状态，跳过Listening和Learning状态，从而加速收敛。

4. 缩短计时器：RSTP允许使用更短的Hello Timer和Forward Delay Timer，这有助于减少故障恢复时间。

5. 直接检测到链路故障：RSTP交换机可以直接检测到链路故障，而不需要等待Max Age Timer过期。当链路故障被检测到时，交换机可以立即开始重新计算生成树。

通过这些改进，RSTP能够在几秒钟内实现网络收敛，显著减少了STP所需的时间。在实际部署中，具体的收敛时间取决于网络设备和配置的具体情况。

Port role的不同取值代表的端口角色。根保护、环路保护、BPDU配置在哪些端口？作用是什么？

Port role agreement propocal

​ R 1 0

​ A/B 0 1

​ D 1 1

​ Unkown 0 0

在RSTP/MSTP中有四种保护：

1.根保护，保护跟交换机的根角色，在跟交换机的所有制定端口下做

2.环路保护，如果6S后重新选举根桥后，以前的根回来了，则会构成环路，做在根端口上。

3.BPDU保护，保护边缘端口不会收到BPDU，做在连接主机的交换机的全局模式下

4.TC-BPDU保护，网络发生拓扑改变后，根交换机会收到很多TC-BPDU,短时间收到过多BPDU

​ 后，会使交换机超载，甚至死机，构成网络攻击，所以需要做TC-bpdu保护来限制收到的

​ TC-BPDU的个数，做在交换机全局模式下。

MSTP：单生成树的弊端，多实例生成树的概念

MSTP（多实例生成树协议）是为了解决传统STP（生成树协议）和RSTP（快速生成树协议）中存在的单生成树的一些弊端而发展起来的。以下是单生成树的三个主要弊端：

1. 部分VLAN路径不通：在单生成树环境中，所有VLAN都共享同一个生成树实例。这可能导致某些VLAN的流量无法利用所有可用的链路，因为生成树算法会选择一条无环的路径，而其他链路可能会被阻塞。这样，如果选定的路径发生故障，相关VLAN的流量可能会受到影响，即使存在其他可用的链路。

2. 无法实现流量的负载分担：由于单生成树环境中所有VLAN都使用相同的生成树，因此无法实现流量的负载分担。即使存在多条可用链路，也只能使用其中一条，这可能导致网络拥塞和资源浪费。

3. 拓扑变更时收敛时间长：在单生成树环境中，当网络拓扑发生变化时，生成树算法需要重新计算路径。这可能需要较长的时间，特别是在大型网络中，从而导致网络中断和延迟。

多实例生成树（MST）的概念旨在解决这些问题。多实例生成树允许在同一个交换机上运行多个独立的生成树实例，每个实例可以为不同的VLAN或VLAN组提供服务。这样，每个VLAN或VLAN组可以选择自己的根桥和路径，从而实现更加灵活和高效的网络设计。

MSTP通过以下方式实现多实例生成树：

• 多实例：在MSTP中，可以定义多个生成树实例，每个实例独立于其他实例运行。每个实例可以有自己的根桥和路径选择。

• VLAN映射：MSTP允许将VLAN映射到特定的生成树实例上。这样，不同的VLAN可以使用不同的生成树实例，从而实现流量的隔离和负载分担。

• 快速收敛：MSTP继承了RSTP的快速收敛特性，可以在拓扑变更时快速重新计算生成树，减少网络中断时间。

• 兼容性：MSTP向后兼容STP和RSTP，可以与这些协议共存于同一网络中。

通过使用多实例生成树，MSTP可以解决单生成树环境中的路径不通、负载分担和收敛时间问题，提供更加可靠和高效的网络性能。

stp rstp mstp 基本配置（实验）

在Cisco交换机上配置STP（生成树协议）、RSTP（快速生成树协议）和MSTP（多生成树协议）的基本步骤如下。请注意，这些步骤可能会因不同的Cisco交换机型号和IOS版本而略有不同。

STP 基本配置

1. 进入特权执行模式：

 enable

2. 进入全局配置模式：

  configure terminal

3. 启用STP：

  spanning-tree mode stp

或者对于某些较新的交换机，STP可能已经是默认模式，你只需要进行其他相关配置。

4. 配置STP的其他参数，如优先级、VLAN等（根据具体需求而定）。

以下是Cisco设备上STP和RSTP的基本配置步骤：

1. 进入特权执行模式： 首先，你需要通过控制台或SSH/Telnet登录到交换机，并进入特权执行模式。这可以通过输入enable命令完成。

2. 进入全局配置模式： 在特权执行模式下，输入configure terminal或conf t进入全局配置模式。

3. 启用STP或RSTP：

   • 对于STP：默认情况下，STP可能是启用的，但你可能需要针对特定的VLAN配置它。例如，为VLAN 10启用STP，你可以使用命令spanning-tree vlan 10。
   • 对于RSTP：你需要明确地在每个VLAN上启用它，使用命令spanning-tree mode rapid-pvst启用基于每个VLAN的快速生成树，这通常是Cisco设备上的RSTP实现。如果你只想针对特定VLAN启用RSTP，可以使用spanning-tree vlan vlan-id mode rapid-pvst。

4. 配置STP/RSTP参数（可选）： 你可以根据需要配置各种STP/RSTP参数，如优先级、成本、端口优先级等。例如：

   • 设置STP根桥的优先级：spanning-tree vlan vlan-id priority value
   • 设置STP端口的优先级：interface interface-id; spanning-tree vlan vlan-id port-priority value
   • 设置STP端口的成本：interface interface-id; spanning-tree cost value

5. 验证配置： 使用show spanning-tree命令验证STP或RSTP的配置和状态。你可以添加vlan vlan-id来查看特定VLAN的信息。

6. 保存配置： 完成配置后，使用write memory或copy running-config startup-config命令保存配置，以便在设备重启后保持这些设置。

请注意，配置STP和RSTP时，你应确保整个交换网络中的设备都使用相同的协议版本和配置，以避免不一致和潜在的网络问题。此外，在更改STP或RSTP配置之前，最好先了解当前网络拓扑和流量模式，以避免在更改过程中出现意外中断。

RSTP 基本配置

1. 进入特权执行模式：

   enable

2. 进入全局配置模式：

   configure terminal

3. 启用RSTP：

   spanning-tree mode rapid-pvst

对于某些交换机型号，可能需要使用spanning-tree mode rstp命令。

4. 配置RSTP的其他参数，如优先级、边缘端口等（根据具体需求而定）。

MSTP配置

当然，下面是一个简化的Cisco交换机上MSTP（多生成树协议）配置的例子。请注意，这个例子假设您已经对Cisco交换机的配置有一定的了解，并且您的交换机支持MSTP。

首先，您需要进入特权执行模式，然后进入全局配置模式：

Switch> enable
Switch# configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Switch(config)#

接下来，配置MSTP：

Switch(config)# spanning-tree mode mstp     // 设置生成树模式为MSTP
Switch(config)# spanning-tree mst configuration     // 进入MSTP配置模式
Switch(config-mst)# name MyMSTPRegion       // 设置MSTP区域名称为MyMSTPRegion
Switch(config-mst)# revision 1              // 设置修订号为1
Switch(config-mst)# instance 1 vlan 10-20   // 将VLAN 10到20映射到实例1
Switch(config-mst)# instance 2 vlan 30-40   // 将VLAN 30到40映射到实例2
Switch(config-mst)# exit                    // 退出MSTP配置模式

然后，您可以为每个实例配置优先级和根桥接器（如果需要）：

Switch(config)# spanning-tree mst 1 root primary     // 设置实例1的此交换机为根桥接器
Switch(config)# spanning-tree mst 1 priority 4096     // 设置实例1的优先级为4096
Switch(config)# spanning-tree mst 2 root secondary    // 设置实例2的此交换机为备份根桥接器
Switch(config)# spanning-tree mst 2 priority 8192     // 设置实例2的优先级为8192

请注意，root primary 和 root secondary 命令在标准MSTP配置中并不存在。通常，您只能通过设置优先级来影响哪个交换机成为根桥接器。优先级值越小，优先级越高。上面的命令中，priority 4096 和 priority 8192 是有效的，但 root primary 和 root secondary 需要被替换为适当的优先级设置。

配置端口为边缘端口可以加速端口状态转换（对于直接连接到主机的端口）：

Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# spanning-tree portfast edge mstp     // 将端口设置为边缘端口并启用PortFast
Switch(config-if)# exit

最后，不要忘记保存配置：

Switch(config)# end
Switch# copy running-config startup-config
Destination filename [startup-config]?
Building configuration...
[OK]

第五周 VLAN间路由、单臂路由、多臂路由

二层交换机和三层交换机的区别

二层交换机和三层交换机在多个方面存在显著的区别：

1. 工作层级：二层交换机工作在OSI模型的第2层（数据链路层），而三层交换机则工作在网络层。这意味着三层交换机不仅实现了数据包的高速转发，还可以根据不同网络状况达到最优网络性能。
2. 原理：二层交换机在接收到数据包时，会读取其中的源MAC地址和目的MAC地址，并在其地址表中查找对应的端口，如果找到与目的MAC地址对应的端口，就直接把数据包复制到这个端口上。而三层交换机则结合了二层交换技术和三层转发功能，在二层交换机的基础上增加了路由功能。
3. 功能：二层交换机主要基于MAC地址进行访问，仅做数据的转发，并且不能配置IP地址。相比之下，三层交换机可以配置不同VLAN的IP地址，并且VLAN之间可以通过三层路由实现通讯。
4. 应用：二层交换机通常用于网络的接入层和汇聚层，而三层交换机则主要用于网络的核心层，尽管也存在少部分三层交换机用于汇聚层的现象。
5. 支持的协议：二层交换机主要支持物理层和数据链路层协议，如以太网交换机，其功能与集线器（HUB）类似。而三层交换机则支持物理层、数据链路层及网络层协议。

总的来说，二层交换机和三层交换机在工作层级、原理、功能、应用以及支持的协议等方面都存在明显的区别。这些区别使得它们各自适用于不同的网络环境和需求。

VLAN间路由 + TFTP 上传配置（实验）

s1(config)#vlan 10
s1(config)#vlan 22
s1(config)#int f0/1
s1(config-if)#switchport mode access 
s1(config-if)#switchport access vlan 10
s1(config)#int f0/8
s1(config-if)#switchport mode access 
s1(config-if)#switchport access vlan 22
s1(config)#int f0/24
s1(config-if)#switchport mode trunk 
s1(config-if)#switchport trunk allowed vlan all

s3(config)#ip routing 开启三层交换路由功能
s3(config)#vlan 10
s3(config-vlan)#vlan 22
s3(config-vlan)#exit
s3(config-if)#switchport trunk encapsulation dot1q (三层交换需要这条命令)
s3(config-if)#switchport mode trunk 
s3(config-if)#switchport trunk allowed vlan all
s3(config)#int vlan 10
s3(config-if)#ip add 172.16.1.1 255.255.255.0
S3(config-if)#no shutdown  // 接口生效
s3(config)#int vlan 20
s3(config-if)#ip add 172.16.2.1 255.255.255.0
S3(config-if)#no shutdown  // 接口生效

设置上传TFTP
s3(config)#int vlan 1
s3(config-if)#ip add 192.168.2.2 255.255.255.0
S3(config-if)#no shutdown  // 接口生效
S3#copy startup-config running-config  // 保存配置
s3#copy running-config tftp  上传配置文件
Address or name of remote host []? 192.168.2.1 （服务器ip）
Destination filename [s3-confg]? s3 （文件起名字）
Writing running-config....!!
[OK - 1283 bytes]
1283 bytes copied in 3.034 secs (422 bytes/sec)（成功）

### 命令总结

show flash 查看系统映像
copy flash tftp 上传系统映像到服务器
copy running-config tftp 上传配置文件
copy tftp flash 下载系统备份
copy tftp running-config 下载配置文件

单臂路由（实验）

在Cisco设备中配置单臂路由（router-on-a-stick）通常是为了在一个物理接口上实现多个VLAN间的路由。

首先，确保您的Cisco路由器和交换机已经通过适当的物理接口连接。在这个例子中，我们将使用路由器的FastEthernet接口（例如Fa0/0）和交换机的一个trunk端口（例如FastEthernet0/24）。

交换机配置（假设为二层交换机）:

Switch> enable
Switch# configure terminal
Switch(config)# interface FastEthernet0/1
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,11,17
Switch(config-if)# no shutdown
Switch(config-if)# exit
Switch(config)# vlan 10
Switch(config-vlan)# exit
Switch(config)# vlan 11
Switch(config-vlan)# exit
Switch(config)# vlan 17
Switch(config-vlan)# exit
Switch(config)# interface FastEthernet0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# no shutdown
Switch(config-if)# exit

注意： 您需要为每个VLAN配置相应的接口，并为每个接口分配一个IP地址。在这个例子中，我们只配置了VLAN 10的接口作为示例。

路由器配置:

Router> enable
Router# configure terminal
Router(config)# interface FastEthernet0/0
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# interface FastEthernet0/0.1
Router(config-subif)# encapsulation dot1Q 10
Router(config-subif)# ip address 10.1.255.254 255.255.0.0
Router(config-subif)# exit
Router(config)# interface FastEthernet0/0.2
Router(config-subif)# encapsulation dot1Q 11
Router(config-subif)# ip address 10.2.2.7 255.255.0.0
Router(config-subif)# exit
Router(config)# interface FastEthernet0/0.3
Router(config-subif)# encapsulation dot1Q 17
Router(config-subif)# ip address 14.5.2.254 255.255.255.0
Router(config-subif)# exit
Router(config)# ip routing
Router(config)# exit

注意： 在这个例子中，路由器的Fa0/0接口被配置为子接口（例如Fa0/0.10, Fa0/0.20等），每个子接口对应一个VLAN。子接口使用802.1Q封装（dot1Q）来标识不同的VLAN。

多臂路由（实验）

在Cisco设备中，多臂路由（Multi-Arm Router）通常指的是一个路由器具有多个物理接口，每个接口连接到一个不同的VLAN或子网。这与单臂路由（Router-on-a-Stick）不同，后者使用单个物理接口并通过子接口来处理多个VLAN。不过，在实际应用中，“多臂路由”这个术语并不常用，因为现代网络通常使用单臂路由或三层交换机来实现VLAN间路由。

不过，为了说明如何通过多个物理接口配置路由，我可以提供一个例子，其中路由器有多个接口，每个接口连接到不同的VLAN。

交换机配置（假设为二层交换机）:

Switch> enable
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# exit
Switch(config)# interface range FastEthernet0/1,f0/3
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10
Switch(config-if-range)# no shutdown
Switch(config-if-range)# exit
Switch(config)# interface FastEthernet0/2,f0/4
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 20
Switch(config-if-range)# no shutdown
Switch(config-if-range)# exit

路由器配置:

Router> enable
Router# configure terminal
Router(config)# interface FastEthernet0/0
Router(config-if)# ip address 192.168.10.254 255.255.255.0
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# interface FastEthernet0/1
Router(config-if)# ip address 192.168.20.254 255.255.255.0
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# ip routing
Router(config)# exit

在这个例子中，我们有一个二层交换机和两个VLAN（VLAN 10和VLAN 20）。VLAN 10通过交换机的Fa0/1接口连接到路由器的G0/0接口，VLAN 20通过交换机的Fa0/2接口连接到路由器的G0/1接口。每个路由器接口都在其相应的VLAN子网中配置了IP地址。

第六周 AS（自治系统）、静态路由

什么是AS，AS又分为哪两类。

AS自治系统（0-65535）：由同一机构管理，运行统一路由策略的路由器的集合。

AS分为IGP:AS内部路由协议 direct（0）、static（60）、rip（100）、ospf（10）、is-is（15）

EGP:AS外部路由协议 bgp（255）

写出路由协议的分类。

路由协议可以根据不同的分类标准进行分类，以下是几种常见的分类方式：

1. 根据路由的获取方式，路由协议可以分为直连路由、静态路由和动态路由。直连路由是通过链路层发现学习的本地直连路由；静态路由是由网络管理员手动配置的固定路由；动态路由则是根据网络结构或流量的变化，由路由协议自动调整路由信息以发现最佳路径。
2. 根据应用的网络层协议不同，路由协议可以分为单播路由协议和组播路由协议。单播路由协议包括RIP、OSPF、BGP、IS-IS等，用于在路由器之间交换单播路由信息；组播路由协议包括DVMRP、PIM-SM、PIM-DM等，用于在路由器之间交换组播路由信息。
3. 根据运行的IP地址类型不同，路由协议可以分为有类路由协议和无类路由协议。有类路由协议如RIPv1，在路由更新时不携带子网掩码信息；无类路由协议如EIGRP、OSPF、IS-IS、BGP，支持VLSM（可变长子网掩码）和CIDR（无类域间路由），在路由更新时携带子网掩码信息。
4. 根据使用的算法不同，路由协议可以分为距离矢量路由协议和链路状态路由协议。距离矢量路由协议如RIP、BGP，基于Bellman-Ford算法，使用距离向量来确定最佳路径；链路状态路由协议如OSPF、IS-IS，基于Dijkstra算法，使用链路状态数据库来计算最短路径树。
5. 根据使用的网络范围不同，路由协议可以分为内部网关协议（IGP）和外部网关协议（EGP）。内部网关协议如RIP、OSPF、IS-IS等，用于在自治系统内部交换路由信息；外部网关协议如BGP，用于在自治系统之间交换路由信息。

以上分类方式并不是完全独立的，有些路由协议可能同时属于多个分类。例如，OSPF既是一个无类路由协议，也是一个链路状态路由协议，同时也是一个内部网关协议。

IP路由表的组成部分、常见的优先级。

IP路由表是路由器中存储的一张表格，它记录了不同网络目的地址的路由信息，用于指导路由器如何转发数据包。IP路由表通常由多个路由条目组成，每个路由条目包含以下关键信息：

1. 目的网络地址（Destination）：表示IP包要到达的目的逻辑网络或子网地址。
2. 掩码（Mask）：与目的地址一起来标识目的主机或路由器所在的网段。将目的地址和网络掩码进行“逻辑与”运算后，可以得到目的主机或路由器所在网段的地址。
3. 下一跳地址（Gateway）：表示数据包在路由转发过程中的下一个跳点，即与承载路由表的路由器相接的相邻路由器的端口地址。有时我们也将下一跳地址称为路由器的网关地址。
4. 发送的物理端口（Interface）：数据包离开本路由器去往目的地时将经过的接口。
5. 路由信息的来源（Owner）：表示该路由信息是如何学习到的。路由表可以由管理员手工建立（静态路由表），也可以由路由选择协议自动建立并维护（动态路由表）。
6. 路由优先级（Priority）：也称为管理距离，用于决定来自不同路由来源的路由信息的优先权。

关于路由的优先级，不同的路由协议和厂商可能有不同的定义和实现。一般来说，路由优先级越小，路由越优先。例如，在Cisco路由器中，常见的路由优先级如下（数值越小优先级越高）：

1. 直连路由：0
2. 静态路由：1
3. EIGRP：90（内部）/ 170（外部）
4. OSPF：110（内部）/ 150（外部）/ 20（NSSA外部）
5. IS-IS：15（L1）/ 18（L2）
6. RIP：120
7. BGP：200（IBGP）/ 20（EBGP）

这些优先级值可以在路由器配置中进行调整。在实际应用中，路由器会根据这些优先级值以及路由选择算法（如最长掩码匹配原则）来选择最优的路由条目进行数据包转发。

路由选路的原则

路由选路的原则主要包括以下几点：

1. 最长掩码匹配原则（Longest Prefix Matching）：路由器在选择转发接口时，会根据目的IP地址与路由表中的目的IP地址前缀进行匹配，并选择最长匹配的路由进行转发。这意味着具有更具体（即更长）的子网掩码的路由条目将优先匹配。例如，如果路由表中有两个条目分别匹配到192.168.1.0/24和192.168.0.0/16，那么目的地为192.168.1.1的数据包将选择匹配到192.168.1.0/24的路由。

2. 路由优先级原则：当路由表中存在多条到达同一目的地的路由时，路由器会根据路由的优先级来选择最佳路由。优先级通常也称为管理距离或路由选择优先级，不同的路由协议和来源有不同的默认优先级值。一般来说，优先级值越小，路由越优先。例如，在Cisco路由器中，直连路由具有最高的优先级（优先级值为0），而静态路由的优先级通常高于动态路由协议学习到的路由。

3. 开销（Metric）原则：当路由表中存在多条具有相同目的网络和相同优先级的路由时，路由器会考虑每条路由的开销值来选择最佳路径。开销是一个衡量路由可达性优劣的度量，它可以基于不同的因素如跳数、带宽、延迟、负载等来计算。路由器会倾向于选择开销值最小的路由作为最佳路径。

静态路由的特点，静态路由的格式，缺省路由的格式，怎么把一条静态路由配置为备份路由（浮动路由）

静态路由的特点、格式，缺省路由的格式，以及将静态路由配置为备份路由（浮动路由）的方法如下：

一、静态路由的特点：

1. 允许对路由的行为进行精确的控制：由于静态路由是手动配置的，管理员就可以通过静态路由来控制数据包在网络中的行程。静态路由适用于规模不大的网络。
2. 不占用网络流量：动态路由需要路由器之间自动发送路由信息，要占用网络带宽，而静态路由不会产生这些流量。
3. 静态路由是单向的：要使双方能通信，通信双方主机所在的路由器上都要配置到达对方的静态路由。
4. 缺乏灵活性：当网络拓扑改变的时候，无法自动适应这种改变，只能由管理员手动来重新配置。所以，静态路由适用于拓扑结构相对固定的网络。

二、静态路由的格式：

静态路由的配置格式一般为：[Router]ip route-static 目的地IP地址 子网掩码 下一跳IP地址。具体配置可能会根据出接口的类型有所不同。例如，如果出接口为P2P（点对点）类型，配置可以简化为：[Router]ip route-static 目的地IP地址 子网掩码 出接口。

三、缺省路由的格式：

缺省路由又称为默认路由，其目的地址与子网掩码配置为全零（0.0.0.0 0.0.0.0）。当报文的路由与路由表中的所有路由都匹配失败时，为使报文有一个最终的发送地，路由器或网络主机将使用缺省路由转发报文。

四、将静态路由配置为备份路由（浮动路由）：

配置备份路由通常涉及设置一条具有更高开销或更低优先级的路由，以便在主路由失效时作为备用。对于静态路由，这可以通过配置不同的优先级或管理距离来实现。具体配置方法可能因设备和操作系统而异，但通常包括指定一个更高的开销值或设置一个较低的优先级。

在某些情况下，还可以使用特定的命令或功能来配置备份路由，例如在某些路由器上，可以使用“ip route x.x.x.x y.y.y.y z.z.z.z backup”命令来配置一条备份静态路由。

静态路由配置（实验）

交换机静态路由配置
s3(config)#ip route 18.6.0.0 255.255.0.0 192.168.1.2
路由器静态配置
r1(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1

r1(config)#ip route 20.1.1.0 255.255.255.0 192.168.1.2
r2(config)#ip route 20.1.1.0 255.255.255.0 192.168.1.6
r2(config)#ip route 45.1.0.0 255.255.0.0 192.168.1.1
r3(config)#ip route 45.1.0.0 255.255.0.0 192.168.1.5

第七周 Rip 动态路由协议

RIP路由表、Ospf路由表采取的算法。Rip的工作原理

rip协议通过贝尔曼-福特算法（B-F），OSPF通过SPF算法来建立最短路径树，得到路由表。

在RIP网络中，路由器会每隔30秒向相邻路由器发一个跳数+1的路由请求报文，网络中 的路由器收到请求后会把自己的整张路由表回复给它。RIP是以跳数为度量的，在RIP网 络中跳数不超过15跳，即路由器的数量不能超过16个。超过后收不到路由请求报文。

RIP（Routing Information Protocol）的工作原理主要基于距离矢量算法，它通过路由器之间交换路由信息来确定网络中的最佳路径。以下是RIP工作原理的详细解释：

1. 启动与初始化：当路由器启动或接口状态改变（如接口UP）时，路由器会向与其直接相连的网络广播路由更新消息。这些消息包含了路由器自身的路由表信息。
2. 路由更新：路由器之间通过定期（如每隔30秒）广播路由更新消息来交换路由信息。这些消息包含了路由器到达各个目的网络的距离（即跳数）和下一跳地址。RIP使用跳数作为度量值，每经过一个路由器，跳数就加1。
3. 路由表的形成与更新：每个路由器都维护一个路由表，记录了到达目的网络的最短路径。当路由器接收到其他路由器的路由更新消息时，它会将这些消息中的路由信息与自己的路由表进行比较。如果接收到的路由信息具有更少的跳数，或者原先没有这条路由信息，那么路由器就会更新自己的路由表。
4. 防止路由环路：RIP采用了几种机制来防止路由环路的发生。其中最重要的是水平分割（Split Horizon）和路由毒化（Route Poisoning）以及抑制计时器（Hold-down Timer）。水平分割原则确保路由器不会将从某个接口接收到的路由信息再从该接口发送出去。路由毒化则是当路由器检测到某条路由不可达时，它会将这条路由的跳数设置为无穷大（在RIP中为16），并广播这个更新，以确保其他路由器不再选择这条路径。抑制计时器则用于在一定时间内抑制对某条路由的更新，以避免路由信息的频繁变化。
5. 收敛与稳定：通过不断交换和更新路由信息，RIP网络最终会达到一个稳定状态，即所有路由器都拥有正确的路由表，并且数据包能够沿着最短路径到达目的地。这个过程称为路由收敛。

需要注意的是，RIP协议有一些局限性，如最大跳数限制为15，使得它不适用于大型网络。此外，RIP的收敛速度相对较慢，特别是在网络拓扑结构发生变化时。因此，在实际应用中，RIP通常只用于小型和相对稳定的网络环境。

想象一下，我们的班级就像一个网络，每个学生代表网络中的一个节点（路由器），而每个学生之间的交谈则代表节点之间的通信。RIP的工作原理可以用以下步骤来描述：

1. 初始状态：每个学生（路由器）只知道直接相邻的同学（直接相连的网络）的名字和位置。这就像路由器启动时的初始路由表，只包含直连的网络信息。
2. 交换信息：每个学生都会定期向全班大声说出自己知道的所有同学的名字和到达这些同学需要经过的步数（跳数）。在RIP中，这个步骤对应于路由器之间定期交换路由表信息。每个路由器都会将自己知道的路由信息广播给所有相邻的路由器。
3. 更新路由表：当某个学生听到其他学生喊出的信息时，他会比较自己原先知道的信息和新听到的信息。如果新听到的信息表示到达某个同学需要经过的步数更少，或者原先不知道这个同学的信息，那么这个学生就会更新自己的信息表。在RIP中，路由器也会根据接收到的路由信息来更新自己的路由表。如果接收到的路由信息具有更少的跳数，或者原先没有这条路由信息，那么路由器就会更新自己的路由表。
4. 防止路由环路：为了防止信息在传递过程中形成环路（比如A告诉B通过C可以到达D，然后B又告诉C通过A可以到达D，形成一个环路），RIP使用了一个称为“路由毒化”和“抑制计时器”的机制。这就像在班级中，如果一个学生发现通过另一个学生到达某个同学的路径已经不存在了（比如那个同学已经离开教室），他就会大声告诉全班这个信息，并且在一段时间内不再接受关于这个同学的位置信息。
5. 重复以上过程：这个过程会持续进行，以便每个学生（路由器）都能及时了解到班级（网络）中其他同学（网络节点）的最新位置信息（路由信息）。

通过以上步骤，RIP协议能够在网络中动态地学习和更新路由信息，从而确保数据包能够沿着最佳路径到达目的地。然而，由于RIP协议的一些限制（如最大跳数限制为15），它通常只适用于小型网络。在大型或复杂的网络中，可能需要使用更先进的路由协议，如OSPF或BGP。

Rip的度量及范围、计时器、rip的分类及各自的特点。

RIP是以跳数为度量的，在RIP网 络中跳数不超过15跳，即路由器的数量不能超过16个。超过后收不到路由请求报文。

Rip网络中三个计时器：

1、更新计时器30s，每隔30s会向邻居相互之间发送整张路由表

2、老化计时器180S：收到的对方整张路由表中，自己有相同的路由条目，进入老化

3、垃圾计时器120S：4次的路由跟新请求收不到路由回复，进入垃圾计时器

​ RIP的分类：

​ ripv1，以广播方式发送报文；不支持VLSM/CIDR；不支持认证

​ ripv2，以组播形式发送报文；支持VLAM/CIDR，支持明文、MD5认证。

​ 配置不同的版本，RIP发送的Request报文和响应的Response报文的版本不同：

​ 如果没有配置RIP的版本，则广播发送RIP-1报文，接收RIP-1和RIP-2报文。

​ 如果配置RIP的版本为RIP-1，则只广播发送RIP-1报文，接收广播的RIP-1报文。

​ 如果配置RIP的版本为RIP-2，则只组播发送RIP-2报文，接收组播或广播的RIP-2报文。

​ 如果配置RIP的版本为组播的RIP-2（multicast），发送组播的RIP-2报文，接收RIP-2的报文。

​ 如果配置RIP的版本为广播的RIP-2（broadcast），发送广播的RIP-2报文，接收RIP-1和RIP-2的报文。

当r1中没有设置版本的时候能接收到r2中的2.2.2.2,而r2中并没有收到r1中的1.1.1.1

当r1中设置版本为v1的时候不能接收到r2中的2.2.2.2,而r2中并没有收到r1中的1.1.1.1

当r1中设置版本为v2的时候能接收到r2中的2.2.2.2,而r2中能收收到r1中的1.1.1.1

Rip避免路由环路的方法。

RIP网络中，因为有30S的路由跟新时间，邻居路由器需要过30S才能知道网络发生变化因此会带来环路。

​ 避免路由环路的方法：（可以关闭水平分割去观察环路）

​ 1.水平分割，从一个接口收进来，不能再从该接口发出去 不让发

​ 2.毒性逆转，收进来后直接把跳数设置为16

​ 3.触发跟新，当网络发生变化后，路由器快速给邻居路由器发送触发跟新报文

​ 4.定义最大跳数，设置该报文可以在网络中转发的最大次数

​ 5、路由抑制

在Cisco设备中，为了避免RIP路由协议中的环路问题，通常会采用水平分割（Split Horizon）的方法，并可能结合其他机制如路由毒化（Poison Reverse，但在Cisco的实现中通常称为毒性逆转）和抑制时间。不过需要注意的是，Cisco RIP默认已启用水平分割，且同时配置水平分割和毒性逆转时，只有毒性逆转会生效。

以下是基于Cisco设备的RIP避免环路的基本配置步骤：

1. 进入特权执行模式： 输入 enable 并按回车键。
2. 进入全局配置模式： 输入 configure terminal 并按回车键。
3. 配置各接口的IP地址： 这一步是基础网络配置，确保每个接口都已正确配置IP地址和子网掩码。
4. 启用RIP路由协议： 输入 router rip 并按回车键进入RIP路由配置模式。
5. 配置网络： 使用 network 命令将直连网络添加到RIP进程中。例如，如果接口IP地址是192.168.1.1/24，则输入 network 192.168.1.0。
6. 取消路由聚合（如果需要）： 在某些情况下，可能需要取消自动路由聚合来避免环路。在RIP配置模式下，对每个需要取消聚合的网络使用 no auto-summary 命令。
7. 配置水平分割： 在Cisco设备上，水平分割通常是默认启用的。要显式配置水平分割，需要进入接口配置模式，并使用 ip split-horizon 命令。但是，请注意，这个命令在现代Cisco IOS版本中可能已被弃用或不再需要，因为水平分割通常是默认行为。
8. 配置毒性逆转（可选）： 虽然水平分割和毒性逆转通常不会同时配置（因为Cisco RIP中默认只有毒性逆转生效），但如果你确实需要配置毒性逆转，可以在RIP配置模式下使用 version 2 命令启用RIP版本2，它支持毒性逆转和其他一些特性。
9. 退出配置模式并保存配置： 输入 end 退出配置模式，然后使用 write memory 或 copy running-config startup-config 命令保存配置。

Rip工作在那一层。端口号是什么。IPV6的路由信息协议叫什么，端口号是多少？rip1 ospf1，1代表什么？

RIP（Routing Information Protocol）主要工作在网络层

Rip版本有三种:

v1 端口号520 目的地址：255.255.255.255 支持ipv4

V2端口号520 目的地址：224.0.0.9 支持ipv4

Ripng端口号521 支持ipv6

​ rip1、ospf1，1代表进程号。进程号范围是0-65535

不同进程之间的相互引入：同一路由器既使用了进程1，也使用了进程2，则需要相互引入

Rip路由跟新原则和通告原则是什么

路由根新原则：

​ 1）对于本端路由表没有的，学习并且跳数加1

​ 2）从相同的源接收的路由信息，随着cost值得变化而进行变化

​ 3）来源不同的cost值变小就更新，变大不更新

​ 4）来源相同的，对端删除本段也删除

​ （若学到16跳不会装入路由表，意味着不可达，会删除原来存在的跳数4）

RIPV1的通告原则：（通过做实验给予解释）

​ 1）接口地址与转发地址不在同一类，直接按类聚合通告

​ 2）接口地址与转发地址在同一类，并且掩码一致，直接通告

​ 3）接口地址与转发信息在同一类，掩码不一致，按类聚合通告

​ 4）接口地址与转发信息在同一类，主机路由直接通告，生成路由表也为主机地址

Rip抑制接口。抑制接口的特点是什么？怎么关闭自动汇总。Rip通告的两层含义。Rip的聚合。

在Cisco路由器中，配置RIP（Routing Information Protocol）时，可能会遇到需要抑制接口（passive interface）的场景，以及对RIP的路由汇总（自动汇总或手动汇总）进行控制的需求。下面分别解释这些概念和操作：

RIP抑制接口（Passive Interface）

抑制接口是一种在RIP中配置特定接口不发送也不接收RIP更新的方法。换句话说，抑制的接口仍然会监听RIP更新，但不会在这些接口上发送自己的更新。这对于不希望某些接口参与RIP路由更新的情况非常有用，比如连接到一个不需要路由信息的网络或设备时。

特点：

• 不发送RIP更新。
• 仍然可以接收RIP更新（除非接口被shutdown或配置为不接收更新）。
• 抑制的接口不会将直连网络通告进RIP域。

配置方法：

Router(config)# router rip
Router(config-router)# passive-interface [接口类型] [接口编号]

例如，抑制FastEthernet0/0接口：

Router(config-router)# passive-interface FastEthernet 0/0

关闭自动汇总（Auto-summary）

在Cisco RIP中，默认情况下，路由器会在主类网络边界上自动汇总路由信息。这意味着，如果路由器学习到了一个更具体的子网路由，它会将其汇总为主类网络地址，并可能向其他路由器通告这个汇总的路由，而不是更具体的路由。这有时会导致路由选择不佳。

关闭自动汇总的方法： 在RIP配置模式下，使用no auto-summary命令。

Router(config)# router rip
Router(config-router)# no auto-summary

RIP通告的两层含义

1. 发送RIP更新：RIP路由器定期（默认每30秒）向其所有启用的接口发送路由更新。这些更新包含路由器自身的路由表信息，让其他RIP路由器了解网络可达性。

2. 接收并处理RIP更新：路由器也会监听来自其他RIP路由器的更新。当接收到更新时，路由器会根据这些更新来更新其路由表，可能添加、更改或删除路由。

RIP的聚合（Route Summarization）

RIP的聚合是指将多个更具体的路由信息汇总为一个更一般的网络地址。例如，如果有三个子网192.168.1.0/24、192.168.2.0/24和192.168.3.0/24，路由器可以将它们汇总为单个192.168.0.0/16路由。

• 自动汇总：如上所述，默认情况下，Cisco路由器会在主类网络边界上自动进行路由汇总。

• 手动汇总：可以通过创建静态汇总路由，并在RIP配置中使用network命令来手动汇总路由。例如：

Router(config)# ip route 192.168.0.0 255.255.0.0 Null0
Router(config)# router rip
Router(config-router)# network 192.168.0.0

在这个例子中，路由器会创建一个指向Null0接口（一个不存在的接口）的静态汇总路由，并通过RIP通告这个汇总路由。这实际上是一个“黑洞”路由，因为它不会将流量转发到任何地方，通常用于抑制特定网络的路由通告。

RIP配置（实验）

Router3(config)# router rip      
Router3(config-router)# network 192.168.1.0  
Router3(config-router)# network 192.168.30.0 
Router3(config-router)# network 192.168.20.0 
Router4(config)# router rip
Router4(config-router)# network 192.168.3.0   
Router4(config-router)# network 192.168.10.0  
Router4(config-router)# network 192.168.30.0
Router5(config)# router rip
Router5(config-router)# network 192.168.10.0   
Router5(config-router)# network 192.168.20.0  
Router5(config-router)# network 192.168.2.0  

第八周 OSPF 动态路由协议 1

Rip的缺点和ospf的优点，ospf建立路由表的过程。

rip由于受跳数限制，一般也用于小型网络中。OSPF为链路状态算法，不受跳数限制。

OSPF主要优点：支持划区域，骨干区域在中间，非骨干区域不能相连。避免环路产生。

OSPF网络要求每一台路由器都知道整个网络的链路状态信息，路由器通过发送LSA来向邻

居路由器通告自己的信息，网络中的每一台路由器都会收到其它路由器的LSA，然后根据

SPF算法来计算最短路径树，放入本地路由表。LSA类似于BPDU，包含自己的地址，掩码开销等。

OSPF（Open Shortest Path First，开放式最短路径优先）是一种动态路由协议，主要用于IP网络。以下是关于OSPF动态路由协议的一些详细信息：

1. 基本概念：OSPF是一种链路状态路由协议，用于在单一自治系统（AS）内部工作。它使用链路状态路由算法，并通过内部网关协议（IGP）进行操作。
2. 工作原理：OSPF通过路由器之间交换链路状态信息来计算最佳路径。每个路由器都会生成一个链路状态通告（LSA），其中包含与其直接相连的链路信息。这些LSA会被泛洪到整个网络中，使每个路由器都能了解整个网络的拓扑结构。然后，每个路由器使用Dijkstra算法计算到达每个目的地的最短路径。
3. 特点与优势：
   • 路由变化收敛速度快：由于OSPF采用链路状态算法，当网络拓扑发生变化时，它能够快速重新计算路由并收敛。
   • 无路由环路：OSPF通过一系列机制（如区域划分、路由聚合等）来避免路由环路的发生。
   • 支持变长子网掩码（VLSM）和汇总：OSPF支持VLSM，使得网络设计更加灵活。同时，它也支持路由汇总，可以减少路由表的大小和路由更新的数量。
   • 层次区域划分：OSPF允许将网络划分为多个区域，每个区域可以独立运行OSPF进程。这种层次化的结构有助于简化网络管理和提高可扩展性。
4. 应用与注意事项：在网络中使用OSPF协议后，大部分路由将由OSPF协议自行计算和生成，无须网络管理员人工配置。然而，为了充分发挥OSPF的优势并确保网络的稳定性，需要结合具体网络应用环境进行细致的规划。

总之，OSPF是一种高效、可靠的动态路由协议，广泛应用于各种规模的IP网络中。它通过链路状态算法和内部网关协议实现快速路由计算和收敛，并支持多种网络设计和管理功能。

Ospf的五种报文和各自的含义

OSPF的五种报文： HELLO 用来发现，查找建立邻居 周期10S 叫服务员点菜

​ DD 链路摘要信息 服务员拿来菜单

​ LSR 链路状态请求报文 点菜

​ LSU 链路状态跟新报文 上菜

​ LSACK 链路状态确认报文 确认

OSPF（Open Shortest Path First，开放式最短路径优先）协议中有五种类型的报文，它们各自的含义如下：

1. Hello报文：这是OSPF用来发现和维护邻居关系的重要工具。路由器会定期发送Hello报文，以表明其活动状态并发现网络邻居。如果一段时间内没有收到某个邻居的Hello报文，那么这个邻居就被认为已经下线。
2. Database Description报文（DD报文）：这种类型的报文用于在邻居路由器之间交换链路状态数据库的概要信息。它描述了本地LSDB（链路状态数据库）的摘要信息，用于两台路由器进行数据库同步。DD报文并不包含完整的链路状态信息，而是包含了链路状态数据库中每个链路状态通告（LSA）的摘要。
3. Link-State Request报文（LSR报文）：这是在路由器收到DD报文后，如果发现自己的链路状态数据库中缺少某些LSA或者某些LSA过时，它会发送LSR报文，请求邻居发送这些完整的LSA。
4. Link-State Update报文（LSU报文）：这种类型的报文用于响应LSR报文，发送完整的LSA。此外，当路由器的链路状态发生变化时，它也会通过LSU报文向其它路由器广播这些变化。LSU报文用来向对端设备发送其所需要的LSA或者泛洪本端更新的LSA，内容是多条LSA（全部内容）的集合。
5. Link-State Acknowledgment报文（LSAck报文）：这种类型的报文用于确认收到LSU报文。这是OSPF协议可靠性的关键，因为通过LSAck报文，发送LSU报文的路由器可以知道其链路状态更新已经被正确接收。LSAck报文的内容是需要确认的LSA的Header（一个LSAck报文可对多个LSA进行确认）。

这五种OSPF报文类型共同实现了OSPF协议的主要功能，包括发现邻居、交换链路状态信息、响应链路状态变化以及确认链路状态更新。

Ospf七种的状态机转换，每个状态下对应的OSPF进程都在干什么？

OSPF down--- 关闭状态 ---- 一旦启动了 OSPF 协议，则发出 hello 包，并进入下一状态 init---- 初始化状态 ---- 收到的 hello 包中，存在自己的 RID 值，则进入下一状态 2-way---- 双向通讯状态 ----- 邻居关系建立的标志 。 条件匹配：匹配成功则进入下一阶段，不成功则停留在 2-way exstart---- 预启动状态 ---- 使用未携带信息的 DBD 包进行主从关系选举， RID 大的为主 exchange----- 准交换状态 ---- 使用携带目录信息的 DBD 报文进行目录共享 loading------ 加载状态 ----- 邻居间使用 LSR/LSU/LSAck 三种报文来获取完整的 TOPO 信息 full---- 转发状态 ---- 修成正果 ------ 标志邻接关系的建

OSPF 的Router ID怎么选。

Router ID是路由器的唯一标识，

获取途径：1.手工配置

​ 2.优选环回口地址 选大

​ 3.选接口地址 选大

在Cisco设备中，OSPF（Open Shortest Path First）的Router ID是一个用于在OSPF网络中唯一标识路由器的32位IP地址。Router ID在OSPF区域内部作为本路由器的唯一标识，并且在DR（Designated Router）和BDR（Backup Designated Router）选举过程中也起到关键作用。如果Router ID不唯一，路由器之间将无法建立邻居关系。

在配置Cisco设备的OSPF Router ID时，可以采用以下步骤：

1. 进入特权执行模式：

   Router> enable
   Password: [输入密码]
   Router#
   

2. 进入全局配置模式：

   Router# configure terminal
   Enter configuration commands, one per line. End with CNTL/Z.
   Router(config)#
   

3. 配置OSPF进程并设置Router ID： 首先，启动OSPF进程并分配一个进程ID（这个进程ID只在本地路由器上有效）。然后，通过router-id命令手动指定Router ID。

   Router(config)# router ospf [process-id]
   Router(config-router)# router-id [router-id]
   

   其中，[process-id]是OSPF进程的标识符，可以随意设置，但通常是1。[router-id]是你想要设置的Router ID，它应该是一个不与其他路由器冲突的IP地址。

   例如：

   Router(config)# router ospf 1
   Router(config-router)# router-id 1.1.1.1
   

4. 配置网络范围： 接下来，需要指定哪些网络将参与OSPF进程。使用network命令，后跟网络地址、反掩码（wildcard mask）和区域ID。

   Router(config-router)# network [network-address] [wildcard-mask] area [area-id]
   

   例如：

   Router(config-router)# network 10.1.1.0 0.0.0.255 area 0
   

5. 保存配置： 完成配置后，确保保存配置以防止重启后配置丢失。

   Router(config)# end
   Router# write memory
   

请注意，虽然可以使用设备的任何一个IP地址作为Router ID，但建议使用一个稳定的接口地址，如Loopback接口地址，因为它不会因物理接口的状态变化而受到影响。如果未手动指定Router ID，OSPF会选择设备上活动接口中的最高IP地址作为Router ID。在多个路由器组成的网络中，每个路由器的Router ID都必须是唯一的。

OSPF 怎么修改优先级。什么是邻居和邻接，怎么判断

在Cisco设备中，你可以通过修改OSPF（Open Shortest Path First）接口优先级来影响指定接口在选举指定路由器（Designated Router, DR）和备份指定路由器（Backup Designated Router, BDR）时的权重。接口优先级值越高，该接口在选举过程中越有可能被选为DR。

要修改OSPF中路由器接口的优先级，你需要进行以下配置步骤：

1. 进入特权执行模式：

   Router> enable
   Password: [输入密码]
   Router#
   

2. 进入全局配置模式：

   Router# configure terminal
   Enter configuration commands, one per line. End with CNTL/Z.
   Router(config)#
   

3. 进入接口配置模式： 选择你想要修改优先级的接口，并进入该接口的配置模式。

   Router(config)# interface [接口类型] [接口编号]
   

   例如，对于Gigabit Ethernet接口0/0，你将输入：

   Router(config)# interface GigabitEthernet 0/0
   

4. 设置OSPF接口优先级： 在接口配置模式下，使用ip ospf priority命令来设置接口的OSPF优先级。

   Router(config-if)# ip ospf priority [优先级值]
   

   优先级值是一个0到255之间的整数。默认优先级为1。如果你想让该接口在DR选举中更有竞争力，可以设置一个较高的值。

   例如，将Gigabit Ethernet接口0/0的OSPF优先级设置为100：

   Router(config-if)# ip ospf priority 100
   

5. 退出接口配置模式并保存配置：

   Router(config-if)# end
   Router# write memory
   

   或者，在较新的Cisco IOS版本中，你可以使用wr作为write memory的简写：

   Router# wr
   

修改接口优先级只影响该接口在DR和BDR选举中的权重。如果网络中有多个路由器，并且它们都在同一个OSPF区域中，那么DR和BDR的选举将基于所有参与路由器的接口优先级和Router ID。如果优先级相同，Router ID较高的路由器将被选为DR。

通过hello报文在2-way阶段建立的关系为邻居关系

通过交换LSR LSU LSACK在FULL阶段建立的关系叫邻接关系

ospf什么是DR和BDR，怎么选

DR：指定路由器 BDR：备份指定路由器 通过路由器优先选0-255默认为1，大的优先

在OSPF（Open Shortest Path First）协议中，DR（Designated Router，指定路由器）和BDR（Backup Designated Router，备份指定路由器）是两个非常重要的概念。它们的作用和选举过程如下：

DR和BDR的作用：

• DR：在一个广播型、多接入网络（如以太网）中，为了减少OSPF流量，所有邻居路由器只和DR/BDR同步LSA（链路状态通告）条目。DR负责更新其他所有OSPF路由器，是OSPF网络中的核心设备。
• BDR：作为DR的备份，BDR会监控DR的状态。在当前DR发生故障时，BDR会接替DR的角色，确保网络的稳定性和可用性。

DR和BDR的选举过程：

• 初始状态：在网络初始化阶段，每个OSPF路由器都会宣称自己是DR或BDR。路由器之间通过交换Hello报文来发现彼此，并收集邻居信息。
• 优先级比较：在选举过程中，首先比较路由器的优先级。优先级是一个0到255之间的整数值，值越大优先级越高。默认情况下，路由器的优先级为1。可以通过手动配置来调整路由器的优先级。
• Router ID比较：如果两个路由器的优先级相同，那么就比较它们的Router ID。Router ID是一个32位的IP地址，用于在OSPF网络中唯一标识一个路由器。Router ID越大的路由器优先级越高。
• 选举结果：经过优先级和Router ID的比较后，优先级最高且Router ID最大的路由器将被选举为DR。如果DR失效或OSPF进程重启，将重新进行DR选举。同时，会选举一个BDR作为DR的备份。

在DR和BDR选举完成后，其他非DR/BDR的路由器（称为DROTHER）将只与DR和BDR建立邻居关系，并同步LSA条目。这样可以大大减少OSPF网络中的流量和开销，提高网络性能。

OSPF无环路的原因是什么？修改OSPF协议和外部引入协议的优先级，命令是什么？设置OSPF的认证，命令是什么？OFPF通告格式。

骨干区域在中间，非骨干区域不能相连保障了OSPF无环路。

在Cisco设备中，OSPF（Open Shortest Path First）协议和外部引入协议的优先级是通过路由选择过程中的路由管理距离（Administrative Distance，AD）来控制的。不过，直接修改OSPF的AD在Cisco设备中通常是不支持的，因为OSPF的AD是固定的（对于OSPF内部路由是110，对于OSPF外部路由是120）。

如果你想要修改外部路由引入到OSPF中的优先级，你通常会通过修改路由映射（route-map）或前缀列表（prefix-list）来影响这些路由的度量值（metric），而不是直接修改AD。对于其他协议（如EIGRP、BGP等）引入到OSPF中的路由，你可以使用redistribute命令结合路由映射来实现。

例如，如果你想要修改从BGP引入到OSPF的路由的度量值，你可以这样做：

Router(config)# route-map BGP-to-OSPF permit 10
Router(config-route-map)# set metric [新的度量值]
Router(config-route-map)# exit
Router(config)# router ospf [process-id]
Router(config-router)# redistribute bgp [BGP进程ID] subnets route-map BGP-to-OSPF

这里，[新的度量值]是你想要设置的OSPF度量值，[BGP进程ID]是你的BGP进程标识符。

关于设置OSPF的认证，你可以在接口级别或区域级别配置。以下是接口级别配置的示例：

Router(config)# interface [接口类型] [接口编号]
Router(config-if)# ip ospf authentication message-digest
Router(config-if)# ip ospf message-digest-key [密钥ID] md5 [密钥]

其中，[密钥ID]是一个1到255之间的整数，用于标识密钥，[密钥]是实际的MD5密钥字符串。

对于区域级别配置，你可以这样做：

Router(config)# router ospf [process-id]
Router(config-router)# area [区域ID] authentication message-digest
Router(config-router)# area [区域ID] message-digest-key [密钥ID] md5 [密钥]

这里，[区域ID]是你想要配置认证的区域标识符。

请注意，以上命令是基于Cisco IOS的，并且可能会因不同的IOS版本或设备型号而略有差异。务必参考你的设备文档以获取准确的命令和配置指南。同时，对于生产环境中的设备，请确保在配置更改之前进行充分的规划和测试。

OSPF通告格式为 network X.X.X.X X.X.X.X（反掩码，越精确越好）

第九周 OSPF 动态路由协议 2

Ospf支持的网络类型

OSPF（Open Shortest Path First）协议支持的网络类型主要有四种，包括：

1. 广播网络（Broadcast）：这种网络类型中，通常以组播形式发送Hello报文、LSU报文和LSAck报文。当链路层协议是Ethernet、FDDI时，OSPF默认认为网络类型是Broadcast。这种网络类型需要进行DR（Designated Router，指定路由器）和BDR（Backup Designated Router，备份指定路由器）的选举。
2. 非广播多路访问网络（NBMA，Non-Broadcast Multi-Access）：这种网络类型中，以单播形式发送协议报文（Hello报文、DD报文、LSR报文、LSU报文、LSAck报文）。当链路层协议是帧中继、X.25时，OSPF默认认为网络类型是NBMA。由于不能发送广播和组播报文，所以在帧中继网络中，OSPF需要通过配置指定邻居来建立邻接关系。
3. 点到多点网络（P2MP，Point-to-Multipoint）：在这种网络类型中，没有一种链路层协议会被默认地认为是P2MP类型。这种网络类型使用点到多点的方式来建立连接，不需要进行DR和BDR的选举。
4. 点到点网络（P2P，Point-to-Point）：当链路层协议是PPP、HDLC和LAPB时，OSPF默认认为网络类型是P2P。在这种网络类型中，不需要进行DR和BDR的选举，直接形成邻接关系。所有的OSPF报文都是通过组播地址224.0.0.5来发送的。

Ospf的路由器分类，开销计算公式，修改开销值修改默认带宽参考值。组播地址224.0.0.5，224.0.0.6分别是谁发给谁的？

路由器分类： IR 普通路由器

​ BR 骨干路由器 区域内部通告IR-DR/BDR-DR other

​ ABR 区域边界路由器 区域间相互通告

​ ASBR 自制系统边界路由器 AS间相互通告

开销计算公式：cost=默认带宽/实际带宽 接口下 ospf cost X

修改默认带宽参考值 ospf视图下 Bandwidth-reference XXX 默认带宽参考

​ 224.0.0.5 DR/BDR通告给其它IR（DR other） 第二类LSA network LSA

224.0.0.6 IR通告给DR/BDR 第一类LSA router LSA

写出Ospf的六种LSA及各自的产生者和功能

OSPF六 种LSA： Router LSA 每一个IR产生 IR-DR/BDR

​ Network LSA DR/BDR产生 DR-DR other

​ Network summary LSA ABR产生 区域之间相互通告LSA

​ ASBR summary LSA ABR产生 第五类LSA查找区域的ABR位置

​ ASBR external LSA ASBR产生 AS之间相互通告LSA

​ NSSA LSA NSSA区域neutral路由器产生

Ospf的两个特殊区域，stub末节区域，完全shub（stub no-summary）区域的区别，NSSA（NOT SO STUB）区域的特点。

OSPF两个特殊区域：

​ 1.STUB末节区域，收到第五类LSA后通过第三类LSA生成一条默认路由，不会抑制区域间

​ 完全STUB区域， 收到第五类LSA后转换为默认路由(缺省路由)，同时抑制区域间路由

​ Stub区域可以泛洪第三类和第四类LSA，完全Stub区域不可以泛洪第三类和第四类

​ LSA（通告默认路由的第三类LSA除外）。

​ 2.NSSA区域，将第七类LSA转化为第五类LSA通告出去

​ Stub区域不能引入AS外部路由，NSSA可以引入AS外部路由。

OSPF邻居建立失败的原因，什么时候用到虚连接。

OSPF邻居建立失败的原因：1.双方认证模式不同

​ 2.双方认证密码不同

​ 3.自然掩码不一致

​ 4.Hello间隔不同

​ 5.Router ID冲突

​ 6.区域不同

​ 7.通告错误

注意：OSPF路由器双方进不同的进程对建邻居没有影响。若一个路由器同时有多个进程，

​ 需要互相引入。

虚连接：当OSPF网络的骨干区域(Area 0)不在中间时，需要做虚连接，在连接区域0的

​ 两个ABR上指vlink-peer。

​ 当网络中没有area 0时，在中间位置区域做虚连接，即把中间区域配置为骨干

​ 区域，因为虚连接默认为骨干区域的一部分，反之同理。

第十周 OSPF 实验

OSPF常用命令

在Cisco设备上配置OSPF（Open Shortest Path First）时，以下是一些常用的命令：

1. 启用OSPF进程并进入配置模式：

Router(config)# router ospf [process-id]

这里的[process-id]是OSPF进程的标识符，它是一个1到65535之间的整数。

2. 配置OSPF路由器ID：

Router(config-router)# router-id [router-id]

[router-id]`是一个32位的IP地址，用于在OSPF区域内唯一标识路由器。

3. 将网络添加到OSPF区域：

Router(config-router)# network [network-address] [wildcard-mask] area [area-id]

[network-address]和[wildcard-mask]用于指定要添加到OSPF区域的网络地址和通配符掩码。[area-id]`是OSPF区域的标识符，可以是一个0到4294967295之间的整数或一个点分十进制格式的IP地址。

4. 调整OSPF接口的代价：

Router(config-if)# ip ospf cost [cost]

[cost]`是一个1到65535之间的整数，用于指定OSPF接口的代价。

5. 修改OSPF接口的Hello间隔和死亡时间：

Router(config-if)# ip ospf hello-interval [seconds]

[seconds]`是一个以秒为单位的整数，用于指定Hello报文的发送间隔。

6. 修改OSPF接口的优先级：

Router(config-if)# ip ospf priority [priority]

[priority]`是一个0到255之间的整数，用于指定OSPF接口的优先级。

7. 显示OSPF邻居信息：

Router# show ip ospf neighbors

8. 显示OSPF路由表信息：

Router# show ip route ospf

9. 显示OSPF数据库信息：

Router# show ip ospf database

10. 清除OSPF进程：

Router# clear ip ospf process

在Cisco路由器上，将OSPF与其他路由协议（如直连路由、静态路由和RIP）进行互相引入配置时，通常会涉及到重分发（redistribution）的概念。重分发是指将一个路由协议学习到的路由信息引入到另一个路由协议中。

以下是一些配置示例，展示了如何将直连路由、静态路由和RIP路由重分发到OSPF中，以及将OSPF路由重分发到其他路由协议中。

将直连路由重分发到OSPF

直连路由不需要特别的重分发配置，因为它们会自动被OSPF学习到。但是，如果你想要调整直连路由的度量值或其他参数，你可以使用路由映射（route-map）来实现。

将静态路由重分发到OSPF

假设你有一条静态路由指向网络192.168.100.0/24，下一跳为10.0.0.2，你可以这样重分发到OSPF：

Router(config)# router ospf 1
Router(config-router)# redistribute static subnets

将RIP路由重分发到OSPF

假设RIP正在运行并学习了一些路由，你可以这样将它们重分发到OSPF：

Router(config)# router ospf 1
Router(config-router)# redistribute rip subnets

将OSPF路由重分发到其他路由协议

将OSPF路由重分发到静态路由通常没有意义，因为静态路由是手动配置的。但是，你可以将OSPF路由重分发到RIP或其他动态路由协议。

例如，将OSPF路由重分发到RIP：

Router(config)# router rip
Router(config-router)# redistribute ospf 1

Router(config-router)#redistribute connected subnets (引入直连)

OSPF 配置（实验）

pc1 pc2 单臂路由 pc3 pc4 vlan间路由

r1(config)#router ospf 1
r1(config-router)#router-id 1.1.1.1
r1(config-router)#network 192.168.6.0 0.0.0.255 area 0
r1(config-router)#network 192.168.3.0 0.0.0.255 area 1
r1(config-router)#network 192.168.6.4 0.0.0.3 area 2

rip 引入 ospf 如何配置 （实验）

在Cisco路由器上，将RIP路由引入到OSPF（开放最短路径优先）协议中，可以实现不同路由域之间的互通。以下是配置RIP引入到OSPF的基本步骤和示例：

配置步骤：

1. 配置接口和RIP：

   • 首先，确保路由器的接口已经正确配置，并且RIP已经在相应的接口上启用。
   • 配置RIP版本（通常是RIPv2），并宣告相应的网络段。

2. 配置OSPF：

   • 启用OSPF进程，并分配一个进程ID。
   • 将与OSPF直接相连的网络段宣告到OSPF区域中。

3. 重分发RIP到OSPF：

   • 进入OSPF配置模式。
   • 使用redistribute命令，后跟rip关键字，将RIP路由重分发到OSPF中。
   • （可选）配置路由映射或其他过滤策略，以控制哪些RIP路由被重分发到OSPF。

4. 验证配置：

   • 使用show ip route命令验证路由表是否包含通过重分发学到的路由。
   • 使用show ip ospf database命令查看OSPF数据库，确认RIP路由已被正确引入。

配置示例：

假设我们有一个路由器，它的Fa0/0接口连接到一个RIP网络，而Fa0/1接口连接到一个OSPF网络。我们想要将RIP网络中的路由引入到OSPF中。

Router(config)# interface FastEthernet0/0
Router(config-if)# ip address 192.168.1.1 255.255.255.0
Router(config-if)# no shutdown
Router(config-if)# exit

Router(config)# interface FastEthernet0/1
Router(config-if)# ip address 10.0.0.1 255.255.255.0
Router(config-if)# no shutdown
Router(config-if)# exit

Router(config)# router rip
Router(config-router)# version 2
Router(config-router)# network 192.168.1.0
Router(config-router)# exit

Router(config)# router ospf 1
Router(config-router)# network 10.0.0.0 0.0.0.255 area 0
Router(config-router)# redistribute rip subnets
Router(config-router)# exit

在这个示例中：

• Fa0/0接口被配置为RIP网络的一部分，并分配了IP地址192.168.1.1/24。
• Fa0/1接口被配置为OSPF网络的一部分，并分配了IP地址10.0.0.1/24。
• RIP进程被启用，版本设置为2，并且宣告了192.168.1.0网络。
• OSPF进程被启用，进程ID为1，10.0.0.0网络被宣告到区域0。
• 使用redistribute rip subnets命令将RIP路由（包括子网）重分发到OSPF进程中。

思科CCNA路由器配置——OSPF基于区域的MD5认证实验详解

MD5认证
R1
enable　　进入特权模式
config　　 进入全局模式
hostname R1　　修改名称
interface l0　　进入端口
ip address 192.168.2.254 255.255.255.0　　设置IP地址
interface s0/1　　进入端口
ip address 192.168.1.1 255.255.255.0　　　设置IP地址
physical-layer speed 64000　　设置同步时钟
exit　　返回上一级
router ospf 1　　启动OSPF协议
network 192.168.1.0 255.255.255.0 area 0　　添加直连网段到OSPF
network 192.168.2.0 255.255.255.0 area 0　　添加直连网段到OSPF
area 0 authentication message-digest　　启动区域的MD5认证
exit　　返回上一级
interface s0/1　　进入端口
ip ospf message-digest-key 1 md5 978285　　设置MD5认证密码
R2
enable　　进入特权模式
config　　进入全局模式
hostname R2　　修改名称
interface s0/2　　进入端口
ip address 192.168.1.2 255.255.255.0　　设置IP地址
physical-layer speed 64000　　设置同步时钟
interface l0　　进入端口
ip address 192.168.3.254 255.255.255.0　　设置IP地址
router ospf 1　　启动OSPF协议
network 192.168.1.0 255.255.255.0 area 0　　将直连网段添加到OSPF
network 192.168.3.0 255.255.255.0 area 0　　将直连网段添加到OSPF
area 0 authentication message-digest　　启动区域的MD5认证
exit　　返回上一级
interface s0/1　　进入端口
ip ospf message-digest-key 1 md5 978285　　设置MD5认证密码

第十一周 ACL 访问控制列表

ACL的定义及作用，两种定义语句是什么，ACL的分类和分类规则

基本ACL针对网络层和传输层进行过滤，也叫包过滤。 其中基本ACL中包含标准ACL和扩展ACL。

标准ACL只对源IP地址进行过滤，应靠近目的使用 在思科设备上标准ACL编号为1-99，扩展ACL编号为100-199 扩展ACL可以对协议、源IP地址、源端口号、目的IP地址、目的端口号进行过滤，应靠近源使用

ACL（Access Control List，访问控制列表）是网络设备（如路由器、交换机等）上用于实现访问控制和安全策略的一种技术。它通过定义一系列的规则，来决定如何处理经过设备的网络数据包，包括允许数据包通过、拒绝数据包通过或者对数据包进行特定的操作。

ACL的主要作用包括：

1. 流量过滤：根据源/目的IP地址、端口号、协议类型等条件，允许或拒绝网络流量的通过。
2. 网络安全：防止未授权的用户或设备访问网络资源，提高网络的安全性。
3. 流量管理：可以用来限制某些类型的网络流量，防止网络拥塞。
4. 网络服务控制：允许或拒绝特定的网络服务（如HTTP、FTP等）。

在Cisco设备中，ACL的定义语句主要有两种形式：

1. 标准ACL（Standard ACL）：基于源IP地址进行过滤。它的定义语句通常使用访问列表号1到99（或1300到1999）来标识，并使用“permit”或“deny”关键字来指定允许或拒绝的动作。例如：

   access-list <1-99> permit|deny <source-ip> <wildcard-mask>
   

   其中<source-ip>是源IP地址，<wildcard-mask>是通配符掩码。

2. 扩展ACL（Extended ACL）：基于源IP地址、目的IP地址、端口号、协议类型等多个条件进行过滤。它的定义语句通常使用访问列表号100到199（或2000到2699）来标识，并可以指定多种条件和动作。例如：

   access-list <100-199> permit|deny <protocol> <source-ip> <source-wildcard> <destination-ip> <destination-wildcard> [operator] [port]
   

   其中<protocol>是协议类型（如IP、TCP、UDP等），<source-ip>和<destination-ip>分别是源和目的IP地址，<source-wildcard>和<destination-wildcard>是对应的通配符掩码，[operator]和[port]是可选的端口和操作符。

ACL的分类通常包括：

• 标准ACL：只检查数据包的源IP地址。
• 扩展ACL：可以检查数据包的源IP地址、目的IP地址、端口号和协议类型。
• 命名ACL（Named ACL）：使用名称而不是数字来标识ACL，提高了可读性和管理的灵活性。命名ACL可以是标准的，也可以是扩展的。
• 基于时间的ACL（Time-Based ACL）：允许在特定的时间范围内应用ACL规则。
• 动态ACL（Dynamic ACL）：根据网络设备的状态或其他动态条件动态地改变ACL规则。
• 自反ACL（Reflexive ACL）：允许基于会话的流量通过，通常用于VoIP等需要双向通信的应用。
• 其他特殊ACL：如基于MAC地址的ACL（在二层交换机上使用）等。

需要注意的是，ACL的分类和规则可能会因不同的网络设备和厂商而有所差异。在实际应用中，应该根据网络设备的文档和最佳实践来配置和管理ACL。

ACL的两种匹配方法，通配符掩码与反掩码的比较，配置ACL

在Cisco设备中，访问控制列表（ACL）是用于过滤网络流量的重要工具。ACLs 可以基于源和/或目标IP地址、端口号和其他标准来允许或拒绝数据包。在配置ACL时，通常会使用两种匹配方法：通配符掩码（Wildcard Mask）和子网掩码的反掩码（Inverse Mask）。不过，实际上在标准ACL和扩展ACL的配置中，通常只使用通配符掩码。子网掩码的反掩码更多是在路由协议和某些特定应用中使用。

1. 通配符掩码（Wildcard Mask）:

   • 通配符掩码用于ACLs中来指定IP地址的哪些位应该与ACL条目匹配。
   • 通配符掩码中的二进制“0”表示对应的IP地址位必须匹配。
   • 通配符掩码中的二进制“1”表示对应的IP地址位不必匹配（即不关心该位的值）。
   • 通配符掩码是子网掩码的反转，但有一个重要的区别：它不一定连续，可以在任何位置有“0”或“1”。

2. 子网掩码的反掩码（Inverse Mask）:

   • 实际上，在ACL配置中不直接使用子网掩码的反掩码。但是，为了理解，我们可以说它是子网掩码的按位取反。
   • 如果子网掩码是255.255.255.0，那么它的反掩码就是0.0.0.255（注意这不是用于ACL配置的，仅用于说明）。
   • 反掩码的概念主要用于理解子网掩码如何工作，以及在路由协议中如何应用子网。在ACLs中，我们实际上使用的是通配符掩码。

配置ACL的示例:

假设我们要配置一个扩展ACL，以允许来自192.168.1.0/24网络的流量访问服务器的Web服务（TCP端口80），我们可以这样配置：

Router(config)# access-list 100 permit tcp 192.168.1.0 0.0.0.255 host <服务器IP地址> eq www
Router(config)# interface <接口名称>
Router(config-if)# ip access-group 100 in

在这个例子中：

• access-list 100 permit tcp 表示这是一个扩展ACL（因为编号是100），并且它允许TCP流量。
• 192.168.1.0 0.0.0.255 是源IP地址和通配符掩码。这意味着源地址的前三个八位字节必须是192.168.1，而最后一个八位字节可以是0到255之间的任何值。
• host <服务器IP地址> 指定了目的IP地址，这里使用了“host”关键字来表示一个具体的IP地址。
• eq www 表示目的端口必须等于TCP的WWW服务端口（即80）。

请注意，在现代Cisco设备的配置中，更推荐使用命名ACL（Named ACL）而不是编号ACL（Numbered ACL），因为命名ACL提供了更好的可读性和灵活性。此外，eq www 可以替换为更明确的 eq 80。

关于配置 标准ACL access-list 【1-99】 【permit / deny】 【address / any / host】 【通配符掩码】 通配符掩码：0代表匹配1代表不匹配 和ospf、eigrp 里面的一样 例如：ACL 10 拒绝 192.168.10.0/24 网段

access-list 10 deny 192.168.10.0 0.0.0.255

R1(config)#access-list 1 deny host 10.1.3.3     具体的地址要加host 网段不加
R1(config)#access-list 1 permit any                创建编号为1的ACL允许所有
R1(config)#interface g0/0/1
R1(config-if)#ip access-group 1 in                 把ACL 1 运用到接口的in方向扩展ACL

access-list 【100-199】【permit / deny】【ahp /eigrp / esp gre / icmp / ip / ospf / tcp / udp】源【address / any / host】 【通配符掩码】【匹配的端口号】目的【address / any / host】 【通配符掩码】【匹配的端口号】 例如：ACL100 允许 10.1.1.0/24 网段的32769 端口号 去往20.1.1.0/24 网段的80端口 的TCP流量

access-list 100 permit tcp 10.1.1.0 0.0.0.255 eq 32769 20.1.1.0 0.0.0.255 eq 80

注意：

所有的ACL最后都具有隐式拒绝所有的ACE条目 ACL要挂接在接口上才会起作用 一个出站 IPv4 ACL、一个入站 IPv4 ACL、一个入站 IPv6 ACL、一个出站 IPv6 ACL

ACL配置（实验）

禁止192.168.3.0网段访问192.168.1.0网段
Router(config)#access-list 100 deny ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
Router(config)#access-list 100 permit ip any any
Router(config)#int f0/0
Router(config-if)#ip access-group 100 out

EQ 就是 EQUAL等于 NE就是 NOT EQUAL不等于 GT 就是 GREATER THAN大于　 LT 就是 LESS THAN小于 GE 就是 GREATER THAN OR EQUAL 大于等于 LE 就是 LESS THAN OR EQUAL 小于等于

禁止192.168.1.0网段访问server1的FTP服务和DNS服务
Router(config)#access-list 101 deny tcp 192.168.1.0 0.0.0.255 10.1.1.0 0.0.0.255 eq ftp 
Router(config)#access-list 101 deny tcp 192.168.1.0 0.0.0.255 10.1.1.0 0.0.0.255 eq www  (DNS服务器)
Router(config)#access-list 101 permit ip any any
Router(config)#int e0/1/0
Router(config-if)#ip access-group 101 out 

第十二周 NAT地址转换

NAT的作用是什么，NAT的分类及各自的特点

NAT为网络地址转换，私有地址不能再公网使用，所以需要在出网关时做地址转换。

Cisco NAT（网络地址转换）是一种将私有IP地址转换为公有IP地址的技术，通常用于连接两个网络。在Cisco设备中，NAT可以通过配置路由器或防火墙来实现。它可以将内部网络中的私有IP地址转换为合法的公网IP地址，从而使得内部网络可以访问外部网络，并且外部网络也可以访问内部网络的部分资源。

NAT分为两种类型：NAT（网络地址转换）和NAPT（网络端口地址转换IP地址对应一个全局地址）。

​ 静态NAT：实现内部地址与外部地址一对一的映射。现实中，一般都用于服务器；

​ 动态NAT：定义一个地址池，自动映射，也是一对一的。现实中，用得比较少；

​ NAPT：使用不同的端口来映射多个内网IP地址到一个指定的外网IP地址，多对一。

NAT配置（实验）

静态NAT

R0(config)#ip nat inside source static 172.16.1.1 200.10.10.1
R0(config)#int g0/1
R0(config-if)#ip nat inside 内网
R0(config-if)#int g0/0
R0(config-if)#ip nat outside  外网
没有设置NAT之前 ping 200.10.10.2不通 设置NAT之后可以通
可自行用命令“show ip nat statistics”查看NAT转换信息

动态 NAT

R0(config)#ip nat pool test 200.10.10.1 200.10.10.6 netmask 255.255.255.248
!定义内部全局地址池
R0(config)#access-list 10 permit 172.16.1.0 0.0.0.255
!定义访问控制列表，内部本地地址范围
R0(config)#ip nat inside source list 10 pool test
!建立映射关系

R0(config)#int g0/1
R0(config-if)#ip nat inside    !定义内部网络接口
R0(config)#int g0/0
R0(config-if)#ip nat outside   !定义外部网络接口
可自行用命令“show ip nat statistics”查看NAT转换信息

NAPT

NAPT：使用不同的端口来映射多个内网IP地址到一个指定的外网IP地址，多对一。

第一种方法
Router(config)#access-list 1 permit 172.16.1.0 0.0.0.255 
Router(config)#access-list 1 permit 172.16.2.0 0.0.0.255 
Router(config)#ip nat inside source list 1 int G0/0 overload 
Router(config)#int g0/1.1 
Router(config-subif)#ip nat inside 
Router(config-subif)#int g0/1.2 
Router(config-subif)#ip nat inside 
Router(config-subif)#exit 
Router(config)#int g0/0
Router(config-if)#ip nat outside 
Router(config-if)#exit 
Router(config)#exit

第二种加了地址池
Router(config)#access-list 1 permit 172.16.1.0 0.0.0.255 
Router(config)#access-list 1 permit 172.16.2.0 0.0.0.255 
ip nat pool out-pool 200.10.10.1 200.10.10.1 netmask 255.255.255.0//创建地址池，地址池的名字叫out-pool，地址池中起始的地址为200.1.1.3，结束地址为200.1.1.3，子网掩码为255.255.255.0，这个地址池中只有一个地址，在实际工程中如果申请到多个公网IP地址，可以配置成一个范围
ip nat inside source list 1 pool 5ijsj overload (无overload表示多对多，有overload表示多对一)  //把允许被NAT的ACL1和地址池out-pool关联起来，这里的overload是超载的意思，尤其在内网上网主机多于地址池中合法IP地址的时候（多对一），这个关键字不能忘。
Router(config)#int g0/1.1 
Router(config-subif)#ip nat inside 
Router(config-subif)#int g0/1.2 
Router(config-subif)#ip nat inside 
Router(config-subif)#exit 
Router(config)#int g0/0
Router(config-if)#ip nat outside 
Router(config-if)#exit 
Router(config)#exit

第十三周 DHCP动态主机设置协议

DHCP的报文类型，工作原理是什么。

DHCP六种报文：

​ 1.Discover 客户端发现服务器在哪 广播

​ 2.Offer 服务器回复客户端 单播

​ 3.Request 客户端请求IP地址 单播请求，广播通知其它服务器

​ 4.Ack 服务器下发分配地址 单播

​ 5.Nak 服务器拒绝分配

​ 6.Relese 租期到或者客户端下线

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）是一种网络协议，用于自动分配、管理和配置网络设备的IP地址和其他网络参数。它的工作原理可以概括为四个基本步骤：客户机请求IP地址、服务器响应请求、客户机选择IP地址和服务器确认IP租约。

1. 客户机请求IP地址：当DHCP客户机启动时，它会在网络中广播一个DHCP DISCOVER包，请求IP地址。这个包的源地址为0.0.0.0，目的地址为255.255.255.255，同时包含客户机的MAC地址和计算机名，以便服务器能够确定是哪个客户机发送的请求。
2. 服务器响应请求：当DHCP服务器接收到客户机请求IP地址的信息时，它会在自己的数据库中查找是否有合法的IP地址提供给客户机。如果有，它会将此IP地址标记为已使用，并广播一个DHCP OFFER包。这个包中包含客户机的MAC地址、提供的合法IP地址、子网掩码、租约期限、服务器标示以及其他参数。
3. 客户机选择IP地址：DHCP客户机在接收到第一个DHCP OFFER包后，会从中选择一个IP地址，并在网络中广播一个DHCP REQUEST包，以确认它选择了该IP地址。这个包的源地址仍然是0.0.0.0，目的地址255.255.255.255，同时包含为客户机提供IP配置的服务器的服务标示符（IP地址）。服务器接收到该包后，会查看标示符，以确定自己提供的IP地址是否被客户机选中。
4. 服务器确认IP租约：如果客户机接受提供的IP地址，则发出IP地址的DHCP服务器会将该地址保留，并发送一个DHCP ACK包给客户机，确认IP租约。如果客户机在一段时间内没有收到DHCP ACK包，则会重新发送DHCP REQUEST包或选择另一个IP地址。如果客户机拒绝提供的IP地址，则发出IP地址的DHCP服务器会将该地址提供给下一个IP租约请求。

在整个DHCP过程中，客户机和服务器之间通过广播或多播方式进行通信，以确保所有设备都能接收到必要的信息。DHCP可以减轻网络管理员的工作负担，使网络更加稳定和可靠，因为它能够自动分配和管理IP地址，避免了手动配置的繁琐和错误。

DHCP 配置中继（实验）

R0(config)#ip dhcp pool zhu
R0(dhcp-config)#network 192.168.1.0 255.255.255.0 //动态分配192.168.1.0/24这个网段内的IP地址
R0(dhcp-config)#dns-server 8.8.8.8   //dns服务器地址
R0(dhcp-config)#default-router 192.168.1.254  // 网关地址
R0(config)#ip dhcp excluded-address 192.168.1.254 //排除网关地址
R0(config)#ip dhcp pool fu
R0(dhcp-config)#network 192.168.2.0 255.255.255.0
R0(dhcp-config)#dns-server 8.8.8.8
R0(dhcp-config)#default-router 192.168.2.254
R0(config)#ip dhcp excluded-address 192.168.2.254

R1(config)#int g0/1
R1(config-if)#ip helper-address 192.168.3.1   配置DHCP中继//配置辅助寻址，指向DHCP服务器的地址，即路由器R1的IP地址

s0(config)#ip routing 开启三层
s0(config)#ip dhcp pool vlan10          DHCP地址池名字随意起
s0(dhcp-config)#network 192.168.1.0 255.255.255.0 //动态分配192.168.1.0/24这个网段内的IP地址
s0(dhcp-config)#dns-server 8.8.8.8   //dns服务器地址
s0(dhcp-config)#default-router 192.168.1.254  // 网关地址
s0(config)#ip dhcp excluded-address 192.168.1.254 //排除网关地址
s0(config)#ip dhcp pool vlan20
s0(dhcp-config)#network 192.168.2.0 255.255.255.0
s0(dhcp-config)#dns-server 8.8.8.8
s0(dhcp-config)#default-router 192.168.2.254
s0(config)#ip dhcp excluded-address 192.168.2.254
interface Vlan1
 ip address 10.1.1.1 255.255.255.0

s1(config)#int vlan 20
s1(config-if)#ip helper-address 10.1.1.1   配置DHCP中继//配置辅助寻址，指向DHCP服务器的地址，即路由器R1的IP地址
interface Vlan1
 ip address 10.1.1.2 255.255.255.0

配置地址范围 模拟器不支持

Router(dhcp-config)#range 192.168.1.2 192.168.1.100

设置租期7天 模拟器不支持

Router(dhcp-config)#lease 7

cisco路由器接口自动获取ip

在Cisco路由器上配置接口以自动获取IP地址通常是通过DHCP（动态主机配置协议）客户端功能实现的。以下是在Cisco路由器上配置接口以通过DHCP自动获取IP地址的基本步骤：

1. 进入特权EXEC模式：

   enable
   

2. 进入全局配置模式：

   configure terminal
   

3. 选择接口： 假设您要配置FastEthernet0/0接口，您需要使用以下命令：

   interface FastEthernet0/0
   

   或者对于其他类型的接口，比如GigabitEthernet，命令可能是：

   interface GigabitEthernet0/0
   

4. 配置接口为DHCP客户端： 在接口配置模式下，输入以下命令以启用DHCP客户端：

   ip address dhcp
   

   注意：在某些Cisco IOS版本中，您可能需要使用ip dhcp client命令代替ip address dhcp。

5. （可选）配置DHCP客户端标识符： 如果您需要为DHCP请求指定一个特定的客户端标识符，可以使用以下命令：

   ip dhcp client identifier <interface-type> <interface-number>
   

   其中<interface-type>和<interface-number>通常是接口的类型和编号，如FastEthernet0或GigabitEthernet0/0。但在现代Cisco IOS版本中，这一步通常不是必需的，因为路由器会自动选择合适的客户端标识符。

6. 激活接口： 确保接口是激活状态：

   no shutdown
   

7. 退出接口配置模式：

   end
   

8. 保存配置： 确保保存您的配置更改，以便在路由器重启后配置仍然有效：

   write memory
   

   或简写为：

   wr
   

完成上述步骤后，路由器的指定接口将尝试通过DHCP从DHCP服务器获取IP地址、子网掩码、默认网关和其他网络参数。请确保您的网络中有一个活动的DHCP服务器，并且该服务器已配置为向路由器接口分配IP地址。

第十四周 路由重分发（ospf、rip、静态、直连互相引入）

路由重分发基本配置

将直连路由重分发到OSPF

直连路由不需要特别的重分发配置，因为它们会自动被OSPF学习到。但是，如果你想要调整直连路由的度量值或其他参数，你可以使用路由映射（route-map）来实现。

将静态路由重分发到OSPF

假设你有一条静态路由指向网络192.168.100.0/24，下一跳为10.0.0.2，你可以这样重分发到OSPF：

Router(config)# router ospf 1
Router(config-router)# redistribute static subnets

将RIP路由重分发到OSPF

假设RIP正在运行并学习了一些路由，你可以这样将它们重分发到OSPF：

Router(config)# router ospf 1
Router(config-router)# redistribute rip subnets

将OSPF路由重分发到其他路由协议

将OSPF路由重分发到静态路由通常没有意义，因为静态路由是手动配置的。但是，你可以将OSPF路由重分发到RIP或其他动态路由协议。

例如，将OSPF路由重分发到RIP：

Router(config)# router rip
Router(config-router)# redistribute ospf 1

Router(config-router)#redistribute connected subnets (引入直连)

静态-RIP路由（实验）

R1(config)#ip route 192.168.2.0 255.255.255.0 20.1.1.2
R1(config)#router rip
R1(config-router)#redistribute static 引入直连
interface Loopback1
 ip address 140.1.1.1 255.255.255.0 环回口

R2(config)#ip route 0.0.0.0 0.0.0.0 20.1.1.1

ospf 引入直连（实验）

r0(config)#router ospf 1
r0(config-router)#router-id 1.1.1.1
r0(config-router)#network 10.1.1.0 0.0.0.255 area 0
r0(config-router)#redistribute connected subnets  //引入直连 192.168.1.0

r1(config)#router ospf 1
r1(config-router)#router-id 2.2.2.2
r1(config-router)#net 10.1.1.0 0.0.0.255 area 0
r1(config-router)#net 20.1.1.0 0.0.0.255 area 1
r1(config-router)#redistribute connected subnets  //140.1.1.0 换回口不用宣告被引入直连

OSPF-Rip(实验)

r1(config)#router ospf 1
r1(config-router)#router-id 1.1.1.1
r1(config-router)#network 10.1.1.0 0.0.0.255 area  0
r1(config-router)#net 140.1.1.0 0.0.0.255 area 0
r1(config-router)#redistribute rip subnets  //引入 rip
r1(config-router)#e
r1(config)#router rip
r1(config-router)#net 20.1.1.0
r1(config-router)#redistribute ospf 1 //引入 ospf

第十五周 VRRP 虚拟路由器备份协议

VRRP的定义，为什么有VRRP,怎么选举Master，优先级为0和255对应的含义

VRRP虚拟路由器备份协议。为了备份局域网网关引入VRRP。是一个选举协议，在一组

VRRP路由器中创建虚拟路由器，作为局域网网关，并关联一个Master。选路由器根据路

由器优先级，0-255.默认为100,255代表ip地址拥有者，地址跟虚拟路由器地址相同。0

代表停止运行VRRP。

优先级的值越高，表示该路由器的优先级越高，越有可能成为Master。然而，通常情况下，优先级的默认值是100，可以通过手动配置进行调整。在VRRP中，Master选举是基于优先级的。当一个VRRP组中的路由器启动时，它们会发送VRRP通告报文来宣告自己的优先级和状态。具有最高优先级的路由器将被选举为Master，而其他路由器则成为备份路由器（Backup）。如果当前Master故障或优先级发生变化，备份路由器中优先级最高的将接替成为新的Master。

VRRP通告，组播地址、TTL、协议号、虚拟路由器MAC地址的组成，三种认证，Backup路由器的作用，VRRP的重定向、配置VRRP的四步走。

VRRP只用Mater才能通告，通告组播地址224.0.0.18。

虚拟路由器的MAC地址，前40位数固定，后一组表示VRID，组几产生。TTL=255 112

Backup路由器作用：监控Master状态。VRRP的arp请求，ICMP的重定向。

VRRP配置：1.接口下创建虚拟组VRID与VRIP

​ 2.修改优先级，设置主备

​ 3.主设定抢占模式，延迟 抢占时间：3倍的消息通告+抢占延迟

​ 4.设置联动track接口

vrrp 配置（实验）

R0(config)#int f0/0.1
R0(config-subif)#Encap dot1q 10
R0(config-subif)#ip add 192.168.1.254 255.255.255.0
R0(config-subif)#standby 1 ip 192.168.1.10
R0(config-subif)#standby 1 priority 150 //越高越优先默认100，走优先级高的路线
R0(config)#int f0/0.2
R0(config-subif)#encap dot1Q 20
R0(config-subif)#ip add 192.168.2.254 255.255.255.0
R0(config-subif)#standby 2 ip 192.168.2.20

R1(config)#int f0/0.1
R1(config-subif)#Encap dot1q 10
R1(config-subif)#ip add 192.168.1.254 255.255.255.0
R1(config-subif)#standby 1 ip 192.168.1.10
R1(config)#int f0/0.2
R1(config-subif)#encap dot1Q 20
R1(config-subif)#ip add 192.168.2.254 255.255.255.0
R1(config-subif)#standby 2 ip 192.168.2.20
R1(config-subif)#standby 2 priority 150 //越高越优先默认100，走优先级高的路线

第十六周 广域网ppp

串行链路默认协议为什么。PPP组件有哪些，PPP链路建立的过程、LCP协商什么、LCP的几种报文及含义。

默认协议为PPP（S线，地址同一网段）修改：Link-protocal HDLC/FR

​ PPP组件：LCP 数据链路层组件 NCP 网络层组件

​ PPP链路建立过程：

​ Down---Esatablish---LCP协商---NCP协商---Success/termination

​ LCP协商三个部分：1.MRU 最大接收单元，类似RTU最大传输单元 不超1500B

​ 2.认证 PAP两次握手,request--ack/nak

​ CHAP三次握手，对同意challenge魔术字加解密比结果

​ 3.魔术字 随机产生，用来测试是否有环路

PPP认证方式，两次握手和三次握手，详细介绍过程。NCP协商什么及协商过程。

PPP（Point-to-Point Protocol）是一种数据链路层协议，通常用于建立直接连接的两个网络节点之间的通信。PPP 支持多种网络协议，并且提供了数据加密、压缩和身份验证等功能。在 PPP 连接建立过程中，认证是一个重要的环节，它确保只有经过授权的用户或设备才能接入网络。

PPP PAP认证配置案例

PPP 认证方式

PPP 主要有两种认证方式：

1. PAP (Password Authentication Protocol)

   • PAP 以明文方式发送用户名和密码。
   • 认证过程简单，但安全性较低，因为密码可能会被截获。
   • 认证过程通常包括两次握手：
     • 第一次：客户端向服务器发送用户名和密码。
     • 第二次：服务器回应认证成功或失败。

2. CHAP (Challenge Handshake Authentication Protocol)

   • CHAP 使用挑战-响应机制，密码不以明文形式在网络上传输，因此比 PAP 更安全。
   • 认证过程通常包括多次消息交换，但可以被看作是一种“三次握手”的变形：
     • 第一次：服务器向客户端发送一个随机挑战。
     • 第二次：客户端使用预先配置的密码和一个单向哈希函数计算响应，并将响应发送回服务器。
     • 第三次：服务器使用相同的密码和哈希函数验证客户端的响应。如果验证通过，则认证成功。

NCP 协商

NCP（Network Control Protocol）是 PPP 中的一个组件，用于在 PPP 连接的两个端点之间协商网络层参数。NCP 负责为不同的网络层协议（如 IP、IPX、AppleTalk 等）建立和维护单独的逻辑通道。

NCP 协商过程通常包括以下步骤：

1. 配置请求：一端（通常是客户端）发送一个包含所需配置选项的请求。
2. 配置确认/拒绝：另一端（通常是服务器）回应配置请求，确认接受或拒绝提出的选项。
3. 配置完成：一旦所有选项都被接受或达到某种协商状态，NCP 协商完成，并且相应的网络层协议可以在 PPP 连接上运行。

NCP 协商可能涉及多个回合的消息交换，直到双方就所有必要的配置选项达成一致。这些选项可能包括 IP 地址分配、DNS 服务器地址、压缩算法选择等。

总的来说，PPP 认证和 NCP 协商是建立和维护 PPP 连接的重要步骤，它们确保了连接的安全性和网络层协议的正确配置。

PPP配置（实验）

CHAP 认证

【思科实验】PPP 的 CHAP 单双向认证配置(重要)

注意：两边的密码必须设置一致，否则不能建立链接

双向认证配置

单项chap：
R1:
hostname R1
username R2 password 123                    创建用户和密码
interface Serial0/3/0
ip address 192.168.1.1 255.255.255.0
encapsulation ppp                              封装PPP
ppp authentication CHAP                      开启CHAP功能
R2:
hostname R2
username R1 password 123                    创建用户和密码
interface Serial0/3/0
ip address 192.168.1.1 255.255.255.0
encapsulation ppp                             封装PPP

Client：

Client>en                            //进入特权模式
Client#conf t                        //进入全局配置模式
Enter configuration commands, one per line.  End with CNTL/Z.
Client(config)#username ISP password abc123        //创建对方用户名和密码
Client(config)#int se2/0            //进入se2/0
Client(config-if)#no shut            //开启se2/0
%LINK-5-CHANGED: Interface Serial2/0, changed state to down
Client(config-if)#ip add 192.168.2.1 255.255.255.0            //设置se2/0口ip
Client(config-if)#encap ppp            //给se2/0口封装PPP
Client(config-if)#ppp auth chap        //设置ppp验证方式为chap
Client(config-if)#end                //返回特权模式
Client#

ISP：
ISP>en                                //进入特权模式
ISP#conf t                            //进入全局配置模式
Enter configuration commands, one per line.  End with CNTL/Z.
ISP(config)#username Client password abc123        //创建对方用户名和密码
ISP(config)#int se2/0                //进入se2/0
ISP(config-if)#no shut                //开启se2/0
ISP(config-if)#ip add 192.168.2.2 255.255.255.0            //设置se2/0口ip
ISP(config-if)#encap ppp            //给se2/0口封装PPP
ISP(config-if)#
%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial2/0, changed state to up
ISP(config-if)#ppp auth chap        //设置ppp验证方式为chap
ISP(config-if)#clock rate 64000        //设置se2/0的时钟频率为64000
ISP(config-if)#

思科模拟器入门基础-PPP协议双向CHAP认证

PAP 认证

双向PAP:

R2:
username R1 password 123                     创建账户和密码
interface Serial0/3/0
ip address 192.168.1.1 255.255.255.0
encapsulation ppp                             封装PPP
ppp authentication pap                       开启PAP功能
ppp pap sent-username R2 password 123     发送给对方验证的账号

R1:
username R2 password 123                     创建账户和密码
interface Serial0/3/0
ip address 192.168.1.1 255.255.255.0
encapsulation ppp                             封装PPP
ppp authentication pap                       开启PAP功能
ppp pap sent-username R1 password 123     发送给对方验证的账号

单向PAP:

R2:
username R1 password 123     创建账户和密码
interface Serial0/3/0
ip address 192.168.1.1 255.255.255.0
encapsulation ppp                             封装PPP
ppp authentication pap                       开启PAP认证
R1:
interface Serial0/3/0
ip address 192.168.1.2 255.255.255.0
encapsulation ppp                              封装PPP
ppp pap sent-username R1 password 123     发送给对方验证的账号

​

Mutlilink PPP

Cisco Multilink PPP（MP）是PPP（点对点协议）的扩展，具有绑定两条或多条同步并行连接的能力，所产生的虚拟连接拥有的带宽等于各条独立连接的带宽的总和。Multilink PPP主要目的是增加带宽和实现负载分摊。

实现负载分摊的方式是系统根据用户自定义帧的最大字节，将超出的帧进行分段，然后根据QoS规则进行排队调度，通过不同串口发送分段数据，这个也是LFI（分段fragment和交织interleave）技术。

在Cisco设备上，Multilink PPP的配置可以通过虚拟模板接口（Virtual-Template）或MP-Group接口来实现。配置完成后，可以获得额外的吞吐量，因为它可以将多个物理链路捆绑成一个逻辑链路，同时还可以提供网络冗余和增强网络的可靠性。

cisco 模拟器不支持  Mutlilink PPP
MLP：
创建multilink：
R1(config)#username R2 password 123 
R1(config)#interface multilink 12
R1(config-if)# add 192.168.0.1 255.255.255.0
R1(config-if)#ppp multilink 12
R1(config-if)#ppp multilink group 12
R1(config-if)#encapsulation ppp                             封装PPP
R1(config-if)#ppp authentication pap                       开启PAP功能
R1(config-if)#ppp pap sent-username R1 password 123     发送给对方验证的账号

划分物理接口，进入到multilink逻辑接口（所由接口都需要划分，IP地址配置在逻辑接口）：
R1(config)#interface s0/0
R1(config-if)#ppp multilink 12
R1(config-if)#ppp multilink group 12
R1#show ppp multilink

R1(config)#interface s0/1
R1(config-if)#ppp multilink 12
R1(config-if)#ppp multilink group 12
R1#show ppp multilink

利用PPP多链路捆绑实现PPP链路的可靠性

第十七周 端口安全

端口安全-MAC地址绑定（实验）

静态绑定 pc2 和 f0/2 端口绑定，把f0/2 换pc1不通
s1(config)#int f0/2
s1(config-if)#switchport mode access
s1(config-if)#switchport port-security 
s1(config-if)#switchport port-security mac-address 0060.2FAD.D219

端口安全-连接数控制

在您提供的场景中，我们将为不同部门配置交换机的端口安全功能，以限制接入的设备数量，并定义在违反规则时采取的操作。不过，请注意，标准的Cisco IOS中并没有直接的protect选项作为端口安全违规的处理方式。通常，protect是某些交换机型号或特定固件版本中用于描述端口安全违规动作的术语，但标准的Cisco IOS支持restrict和shutdown动作。

配置示例

2号端口连接财务室

Switch(config)# interface FastEthernet 0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 5
Switch(config-if)# switchport port-security violation restrict
Switch(config-if)# exit

命令解释:

• interface FastEthernet 0/2: 进入2号端口的配置模式。
• switchport mode access: 设置端口为访问模式，通常用于连接终端设备。
• switchport port-security: 启用端口安全功能。
• switchport port-security maximum 5: 限制此端口最多允许5个MAC地址接入。
• switchport port-security violation restrict: 当违规发生时，限制新的未知MAC地址接入，但不关闭端口或生成日志。

3号端口连接经理室

Switch(config)# interface FastEthernet 0/3
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# exit

命令解释:

• interface FastEthernet 0/3: 进入3号端口的配置模式。
• switchport mode access: 设置端口为访问模式。
• switchport port-security: 启用端口安全功能。
• switchport port-security maximum 2: 限制此端口最多允许2个MAC地址接入。
• switchport port-security violation shutdown: 当违规发生时，关闭端口。

4号端口连接会议室

由于标准的Cisco IOS中可能没有protect选项，我将使用restrict作为替代。如果您确定您的交换机支持protect，请参考交换机文档。

Switch(config)# interface FastEthernet 0/4
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 10
Switch(config-if)# switchport port-security violation restrict
Switch(config-if)# exit

命令解释:

• interface FastEthernet 0/4: 进入4号端口的配置模式。
• switchport mode access: 设置端口为访问模式。
• switchport port-security: 启用端口安全功能。
• switchport port-security maximum 10: 限制此端口最多允许10个MAC地址接入。
• switchport port-security violation restrict: 当违规发生时，限制新的未知MAC地址接入，但不关闭端口或生成日志（替代protect）。

注意

• 在实际部署中，您应该根据您的交换机型号和实际的端口号来修改这些命令。
• 如果您想自动学习并保存连接到端口的MAC地址，可以在相应的端口配置模式下使用switchport port-security mac-address sticky命令。
• 在配置端口安全之前，请确保所有连接到这些端口的设备都已经连接到网络，并且它们的MAC地址已经被交换机学习，以避免不必要的服务中断。
• 端口安全功能通常用于防止MAC地址欺骗和限制未经授权的设备接入网络。

第十八 、十九周 无线局域网 （难点）

无线局域网组网

AC+AP组网是一种基于集中式管理的无线局域网（WLAN）组网架构。在这种架构中，AC（Access Controller）作为网络管理中心，负责控制和管理所有AP（Access Point），而AP则作为接入点，负责覆盖无线信号和接入用户。具体来说，AC可以集中管理AP的配置、认证、访问控制、流量限制、安全审计等功能，以提高网络的可靠性和安全性。而AP则负责无线信号的覆盖和用户接入，可以适应不同的网络需求和环境变化。

AC和AP之间通过有线或无线连接进行通信，从而形成一个统一的WLAN网络。这种组网方式适用于大型企业、学校等需要对网络进行精细管理的场合，通过集中管理和控制，可以提高网络的管理效率和用户体验，减少网络管理和维护的工作量。同时，AC+AP组网还可以实现网络的智能优化和流量控制，从而提高网络的性能和可靠性。

需要注意的是，AC+AP组网需要专门的AC设备和支持集中式管理的AP设备，需要进行相应的投资和部署。同时，在AP的数量较多、覆盖范围较大的情况下，AC+AP组网可能会面临容量瓶颈和信号覆盖不足等问题，需要进行相应的优化和扩展。

以上信息仅供参考，如有需要，建议咨询专业网络技术人员。

胖AP和瘦AP、AC的区别

首先，让我们来了解一下什么是胖AP和瘦AP。简单来说，胖AP就像是一个独立的个体，能够独立完成无线网络的覆盖工作。而瘦AP则需要一个控制器（AC）来进行配合和管理，才能发挥其功能。

接下来，我们来看看它们的区别。在组网规模方面，胖AP适用于较小规模的无线网络建设，比如家庭、小型商户或小型办公类场景。而瘦AP则适用于中大型的无线网络建设，例如商场、超市、景点、酒店、餐饮娱乐、企业办公等需要较多AP数量的场景。

此外，在功能方面，胖AP可以理解为是一个无线路由器，它不需要AC的配合和管理，也能正常工作。而瘦AP则需要AC进行配合和管理，功能相对单一。

在漫游体验方面，胖AP组网无法实现无线漫游。也就是说，当用户从一个胖AP的覆盖区域走到另一个胖AP的覆盖区域时，会重新连接信号强的一个胖AP，并重新进行认证和获取IP地址，这会导致断网现象。而用户从一个瘦AP的覆盖区域走到另一个瘦AP的覆盖区域时，信号会自动切换，且无需重新进行认证和获取IP地址，网络始终保持连接状态，使用起来非常方便。

最后，在成本方面，胖AP由于可以独立工作，一般应用在较少数量即可完整覆盖的小微企业、餐饮门店、家庭场景中，能够节约产品购买成本。而瘦AP适用于需要较多AP数量的中大型覆盖场景中，能够减少产品维护成本。

综上所述，胖AP和瘦AP各有其特点和适用场景。在选择时需要根据具体情况进行判断和决策。如果你需要一个功能强大、使用方便的无线网络解决方案，那么瘦AP可能更适合你；如果你只需要一个简单的无线路由器来覆盖较小的区域，那么胖AP可能是一个更经济实惠的选择。

胖AP、瘦AP和AC是无线局域网（WLAN）中常见的设备类型，它们在组网架构和功能上有明显的区别。

1. 胖AP（Fat AP）：胖AP是一种具备独立控制功能的无线接入点，它集成了WLAN的物理层、数据链路层和网络层的功能，可以独立完成对无线客户端的接入、认证、加密等操作。胖AP通常具有较全面的功能，包括无线接入、路由、交换、防火墙等，可以适用于小规模的无线网络部署，例如家庭、小型办公室等场所。胖AP的优点是功能全面、独立性强，但缺点是不易于集中管理和控制，配置和维护的工作量较大。

2. 瘦AP（Fit AP）：瘦AP是一种需要配合无线控制器（AC）使用的无线接入点，它本身不具备独立控制功能，需要通过AC进行集中管理和控制。瘦AP只负责无线信号的覆盖和接入，而将认证、加密、流量控制等功能交给AC来处理。由于瘦AP需要依赖于AC来工作，因此它通常被用于大规模的无线网络部署，例如企业、学校、医院等场所。瘦AP的优点是易于集中管理和控制，配置和维护的工作量较小，但缺点是需要额外的AC设备，成本较高。

3. AC（Access Controller）：AC是一种无线控制器设备，它负责集中管理和控制多个瘦AP设备，可以实现对无线网络的统一认证、加密、流量控制等功能。AC还可以对无线网络进行智能优化和负载均衡，提高网络的性能和可靠性。AC通常具有强大的硬件和软件性能，可以支持大量的瘦AP设备，并且提供丰富的管理和安全功能。AC的优点是可以实现对无线网络的集中管理和控制，提高网络的安全性和可靠性，但缺点是需要额外的投资来购买AC设备，并且需要进行相应的部署和配置。

综上所述，胖AP、瘦AP和AC在无线局域网中各有其适用的场景和优缺点。在选择设备类型时，需要根据实际需求和预算进行综合考虑，选择最适合自己的方案。

胖AP配置（实验）

调试胖AP：

1.设置无线的SSID 无线终端可以搜到的信号标识符： 例如：xxglx

2.设置无线密码：1234567890

两台pc链接到无线网络：

1.两台PC需要添加无线网卡

2.对无线网卡做基本配置

3.可以ping 通

注意拉到下面点保存----没有用到路由功能

笔记本配置无线网卡

点比本桌面------点击无线---------点链接设置密码

链接成功

台式机的操作参考笔记本基本一致

AC+AP

华为设备简单配置

华为设备配置

native vlan的概念在turnk端口上起作用；

native vlan 是一个作用于仅为本交换机的概念，所有未划分vlan的端口默认自动划分到native vlan中，交换机的默认native vlan 是vlan 1；

锐捷 AC+AP

锐捷Wlan——AC三层组网旁挂实验

AC为AP分配IP地址，核心交换机为STA分配IP地址，采用本地转发

管理Vlan为10，业务Vlan为40

基础配置

AC基础配置

AC的管理Vlan即为AP分配IP地址，也充当Capwap隧道源地址
Vlan 10：管理Vlan     Vlan 20：业务Vlan
创建管理Vlan
Vlan 10
创建地址池为AP分配地址（AC与AP是跨三层的，需要SW1通过DHCP中继使得AC给AP分配IP地址，所以此处的DHCP地址池中的地址网段为SW1上开启DHCP中继的接口的网段----即Vlan 30的网段）
Interface vlan 10
 Ip address 192.168.10.1 24
service dhcp
ip dhcp pool AP
 network 192.168.30.0 255.255.255.0 192.168.30.100 192.168.30.200
 default-router 192.168.30.1
 option 138 ip 192.168.10.1   指定AC的地址为1921.68.10.1
放行Vlan
interface GigabitEthernet 0/2
 switchport mode trunk
 switchport trunk allowed vlan only 10
配置路由
ip route 0.0.0.0 0.0.0.0 192.168.10.2

SW1基础配置

Vlan 10：与AC相连的Vlan
Vlan 20：SW1使用Vlan20为用户分配IP地址
Vlan 30：SW1使用Vlan30做DHCP中继，帮AP向AC获取IP地址
创建Vlan
vlan 10
vlan 20
vlan 30
创建与AC互通地址
interface vlan 10
 ip address 192.168.10.2 24
创建DHCP地址池，为STA分配IP地址
interface vlan 20
 ip address 192.168.20.1 24
service dhcp
ip dhcp pool STA
 network 192.168.20.0 255.255.255.0 192.168.20.100 192.168.20.200
 default-router 192.168.20.1
配置DHCP中继，使得AC分配IP地址给AP
interface vlan 30
 ip address 192.168.30.1 24
 ip helper-address 192.168.10.1
放行Vlan
interface GigabitEthernet 0/1
 switchport mode trunk
 switchport trunk allowed vlan only 10
interface GigabitEthernet 0/2
 switchport mode trunk
 switchport trunk allowed vlan only 20,30

SW2基础配置

创建Vlan

Vlan 20

Vlan 30

放行Vlan

interface GigabitEthernet 0/2

 switchport mode trunk

 switchport trunk allowed vlan only 20,30

interface GigabitEthernet 0/1

 switchport mode trunk

 switchport trunk native vlan 30

 switchport trunk allowed vlan only 20,30

AC的Wlan配置

创建Wlan ID
Wlan ID定义了AP的SSID、转发模式等

wlan-config 1 AP-1

 sta-limit 10        #最大无线用户数为10

 tunnel local        #本地转发

创建AP组（使用默认组）
绑定Wlan ID和业务Vlan

ap-group default

 interface-mapping 1 20 radio 6   #绑定WLAN ID 1 和 业务Vlan 20 以及 信道6

 interface-mapping 1 20 radio 10

向AP组中添加AP设备
如果知道AP的名称，可以通过AP的名称配置

将AP名字为Ruijie-1的设备添加到AP组中

ap-config Ruijie-1

 ap-mac 0011.0022.0033

 ap-group default

如果不知道AP的名称，则可以通过AP的MAC地址配置

将MAC地址为0011.0022.0033的AP加入AP组中，并为其重命名

ap-config 0011.0022.0033

 ap-group 123

 ap-name Ruijie-123

ap-config类似于华为的ap-id

配置CAPWAP隧道

指定管理Vlan

ac-controller

 capwap ctrl-ip 192.168.10.1

 country CN

配置Wlan安全
wlansec 1

 security wpa enable

 security wpa ciphers aes enable

 security wpa akm psk enable

 security wpa akm psk set-key ascii admin@123

当AP和STA的地址都由核心交换机SW1分配时

AC不用创建地址池，地址池都在SW1上创建，配置如下

AC配置
Vlan 10：管理Vlan     Vlan 20：业务Vlan

创建管理、业务Vlan

Vlan 10

Vlan 20

配置管理IP地址

Interface vlan 10

 Ip address 192.168.10.1 24

放行Vlan

interface GigabitEthernet 0/2

 switchport mode trunk

 switchport trunk allowed vlan only 10

配置路由

ip route 0.0.0.0 0.0.0.0 192.168.10.2

AC关于Wlan的相关配置无变化

SW1配置
创建Vlan

vlan 10

vlan 20

vlan 30

创建与AC互通地址

interface vlan 10

 ip address 192.168.10.2 24

创建DHCP地址池，为STA分配IP地址

service dhcp

interface vlan 20

 ip address 192.168.20.1 24

ip dhcp pool STA

 network 192.168.20.0 255.255.255.0 192.168.20.100 192.168.20.200

 default-router 192.168.20.1

interface vlan 30

 ip address 192.168.30.1 24

ip dhcp pool AP

 network 192.168.30.0 255.255.255.0 192.168.30.100 192.168.30.200

 default-router 192.168.30.1

 option 138 ip 192.168.10.1   指定隧道源地址为1921.68.10.1

放行Vlan

interface GigabitEthernet 0/1

 switchport mode trunk

 switchport trunk allowed vlan only 10

interface GigabitEthernet 0/2

 switchport mode trunk

 switchport trunk allowed vlan only 20,30

SW2的配置无变化

直接转发和隧道转发

直接转发配置调整为隧道转发配置（AC旁挂）

如图1-3所示，直接转发方式下，数据报文不需要经过CAPWAP隧道封装到达AC，而是直接通过AP、Switch1、Switch2转发到上层网络。管理报文必须通过CAPWAP隧道转发。

调整为隧道转发后，数据报文需要通过CAPWAP隧道到达AC，途中经过AP、Switch1、Switch2到达AC，在此过程中数据报文会被加上管理VLAN100的Tag；然后由AC将数据报文解CAPWAP封装去掉外层的管理VLAN100，再经过Switch2直接转发给上层网络。管理报文仍然必须通过CAPWAP隧道转发。

离谱，到现在还有人不懂WLAN数据转发方式是啥？

神州数码AC配置（重点）

神州数码无线设备常用配置

神州数码配置命令总结

神州数码交换机路由器防火墙ACAP基本配置

神州数码（DCN）的无线控制器（AC）配置涉及到多个方面，包括基础的网络设置、无线服务设置、安全设置以及远程管理配置等。以下是一个较为完整的神州数码AC配置例子，并对每条命令进行解释：

登录与基础设置

登录

Switch> enable
Password: [输入密码]
Switch#

• enable: 切换到特权执行模式。
• Password:: 输入特权模式的密码。

配置主机名

Switch# config
Switch(Config)# hostname AC-Controller
AC-Controller(Config)#

• config: 进入全局配置模式。
• hostname AC-Controller: 将设备的主机名设置为“AC-Controller”。

网络接口配置

配置VLAN接口IP地址

AC-Controller(Config)# interface vlan 1
AC-Controller(Config-If-Vlan1)# ip address 192.168.1.1 255.255.255.0
AC-Controller(Config-If-Vlan1)# no shutdown

• interface vlan 1: 选择VLAN 1接口。
• ip address 192.168.1.1 255.255.255.0: 配置VLAN 1接口的IP地址和子网掩码。
• no shutdown: 激活接口。

无线服务设置

开启无线功能

AC-Controller(Config)# wireless service enable

• wireless service enable: 启用无线服务。

配置AP发现和加入

AC-Controller(Config)# wireless ap discovery vlan 10
AC-Controller(Config)# wireless ap database add 00:1A:A9:XX:XX:XX vlan 10

• wireless ap discovery vlan 10: 允许AC在VLAN 10上发现AP。
• wireless ap database add 00:1A:A9:XX:XX:XX vlan 10: 添加具有指定MAC地址的AP到数据库中，并分配到VLAN 10。

配置SSID

AC-Controller(Config)# wireless ssid MyNetwork
AC-Controller(Config-Wlan-Ssid)# vlan 10
AC-Controller(Config-Wlan-Ssid)# authentication open
AC-Controller(Config-Wlan-Ssid)# encryption wpa2 aes passphrase MyPassphrase

• wireless ssid MyNetwork: 创建一个名为“MyNetwork”的SSID。
• vlan 10: 将SSID关联到VLAN 10。
• authentication open: 使用开放系统认证。
• encryption wpa2 aes passphrase MyPassphrase: 配置WPA2加密，使用AES算法和指定的密码短语。

安全管理

配置RADIUS服务器（可选）

AC-Controller(Config)# radius server 192.168.1.10 auth-port 1812 acct-port 1813 key MyRadiusKey

• radius server: 配置RADIUS服务器地址、认证端口、计费端口和共享密钥。

应用RADIUS认证和计费到SSID

AC-Controller(Config-Wlan-Ssid)# authentication wpa2 radius
AC-Controller(Config-Wlan-Ssid)# accounting radius

• authentication wpa2 radius: 使用RADIUS服务器进行WPA2认证。
• accounting radius: 使用RADIUS服务器进行计费。

配置CAPWAP隧道

在AC上配置CAPWAP隧道以与AP通信。

AC(config)# wireless ap-group default  
AC(config-ap-group)# capwap central-dhcp enable  
AC(config-ap-group)# capwap source-interface vlan 10  
AC(config-ap-group)# exit
capwap central-dhcp enable: 启用中央DHCP服务器功能，使AP能够从AC获取IP地址。
capwap source-interface vlan 10: 指定CAPWAP隧道使用的源接口VLAN。

神州数码无线产品（AC+AP）配置

神州数码无线产品（AC+AP）配置

第二十周 cisco vss堆叠 神码 vsf堆叠

VSF:是一个虚拟化技术也称为堆叠，可以将多台物理设备变成一个逻辑设备来统一管理、统一转发平面、统一的控制平面。

VSF管理有三个角色：master(主)、standby master(备份主)、slave，但是业务转发是两个设备同时在进行。设备的角色是通过优先级来控制的。

神州数码 VSF(堆叠)配置（重点）不能模拟只能真机操作

建立VSF

清空交换机，确保没有任何配置。

CS6200#set default/清空配置
CS6200#reload/重启交换机

配置VSF的域号、成员号、成员优先级。

CS6200(config)#vsf domain 5 /设置区域号为5（两台设备区域号必须一致）
CS6200(config)#vsf member 1 /设置成员号
CS6200(config)#vsf priority 20 /设置优先级（两台设备谁的优先级越大谁就是主）

配置堆叠口。

CS6200(config)#vsf port-group 1 /设置堆叠口（简单的说就是创建一个组将端口绑定到这个组里）
CS6200(config-vsf-port1)#vsf port-group interface ethernet 1/0/27 /将端口绑定到堆叠口(我这里用的是27口必须是光迁口才可以生成vsf）

配置另一台设备(除了成员号与优先级不一样其他的都一样)

CS6200(config)#vsf domain 5
CS6200(config)#vsf member 2
CS6200(config)#vsf priority 10
CS6200(config)#vsf port-group 1
CS6200(config-vsf-port1)#vsf port-group interface ethernet 1/0/27

要启用VSF自动合并功能

vsf auto-merge enable

此命令在全局配置模式下执行，用于使能VSF组的自动合并功能。当主设备故障时，备份设备会自动升级为主设备，接管网络的控制层面和数据转发任务。

此命令在全局配置模式下执行，用于使能VSF组的自动合并功能。当主设备故障时，备份设备会自动升级为主设备，接管网络的控制层面和数据转发任务。

切换为虚拟交换框架模式(两台设备操作一样)

CS6200(config)#switch convert mode vsf

等待重启就可以了，生成vsf以后只能在主设备上操作，也就是优先级大的设备，优先级小的则是当一台备用机器不可以操作。

删除VSF配置

1、首先在用户模式下查看配置文件

CS6200#show flash/查看文件信息

2、将带走vsf的两个文件删除(千万不要把其它文件也删了，其它的是系统文件，删了以后交换机就得重新装系统了)

CS6200#delete vsf.cfg

CS6200#delete vsf_startup.cfg

3、删除以后直接重启就可以了

CS6200#reload /重启

当你重启第一台的时候第二台也会跟着重启，等第二台重启以后也是同样步骤，删除vsf的配置文件即可

LACPMAD分裂检测功能

在神州数码的网络设备中，LACP MAD（Link Aggregation Control Protocol Mark-And-Disable）分裂检测功能是一种机制，用于监控VSF（Virtual Switch Framework）系统中成员交换机之间的连接状态。当VSF系统发生分裂，即成员交换机之间的链路出现故障导致它们无法通信时，LACP MAD能够快速检测到这种分裂状态，并采取相应措施来防止网络中出现环路。

在集团核心交换机 SW-1 和 SW-2 之间采用 LACP MAD 分裂检测功能，通过集团核心交换机与集团接入交换机互联接口设置 LACP MAD 功能相关配置来实现监控两台核心设备的 VSF 状态并同时每隔 3s 进行快速检测。

SW-Core:
Interface Ethernet1/0/23
 port-group 1 mode active
 lacp timeout short
Interface Ethernet2/0/23
 port-group 1 mode active
 lacp timeout short
Interface Port-Channel1
 vsf mad lacp enable
SW-3:
Interface Ethernet1/0/23
 port-group 1 mode passive
 lacp timeout short
Interface Ethernet1/0/24
 port-group 1 mode passive
 lacp timeout short

神州数码堆叠 命令总结

配置VSRF（堆叠）

switch1#config  
switch1(config)#vsf domain  10 \\配置VSF域
switch1(config)#vsf member 1  \\设置组成员
switch1(config)#vsf port-group 1  \\创建VSF组
switch1(config-vsf-port1)#vsf port-group interface ethernet 1/1   \\将接口划入组
switch1(config)#vsf port-group 2  \\创建VSF组
switch1(config-vsf-port1)#vsf port-group interface ethernet 1/2  \\将接口划入组
switch1(config)#exit 
switch1(config)#switch convert mode vsf  \\将交换机模式改成堆叠模式
对端
switch2#config 
switch1(config)#vsf domain  10 \\配置VSF域
switch1(config)#vsf member 2  \\设置组成员
switch1(config)#vsf priority 32 \\修改优先级
switch1(config)#vsf port-group 1   \\创建组
switch1(config-vsf-port1)#vsf port-group interface ethernet 2/1  \\将接口划入组
switch1(config)#vsf port-group 2  \\创建组
switch1(config-vsf-port1)#vsf port-group interface ethernet 2/2  \\将接口划入组
switch1(config)#exit 
switch1(config)#switch convert mode vsf \\更改交换机为堆叠模式

LACP MAD配置

Switch(config-if-port-channel1)#vsf mad lacp enable \\    启用LACP MAD 接口或者group组启用
(三)在SW-1和SW-2之间采用LACP MAD分裂检测功能，通过集团核心交换机与集团接入交换机(AC作为接入交换机使用)互联接口设置LACP MAD功能相关配置来实现监控两台核心设备的VSF状态并同时每隔3s进行快速检测。
SW-Core:
SW-Core(config)#port-group 2
SW-Core(config)#interface ethernet 1/0/24;2/0/24
SW-Core(config-if-port-range)#port-group 2 mode active 
SW-Core(config-if-port-range)#lacp timeout short
AC:
AC(config)#port-group 2
AC(config)#interface ethernet 1/0/1-2
AC(config-if-port-range)#port-group 2 mode passive 
AC(config-if-port-range)#lacp timeout short 

VSF自动合并

vsf auto-merge enable \\启用VSF自动合并

VSF链路延迟

vsf link delay 2000 \\设置VSF链路down延迟上报时间

VSF分裂保存MAC

vsf mac-address persistent timer \\设置VSF分裂后桥MAC保留时间，默认为6分钟

神州数码DC交换机VSF配置命令介绍

神州数码vsf配置实例_神州数码cs6200

神州数码交换基础配置

cisco vss 堆叠

分配虚拟交换机域和交换机编号

SW1#conf t
Enter configuration commands, one per line. End with CNTL/Z.
SW1(config)#switch virtual domain 10 
Domain ID 10 config will take effect only after the exec command 'switch convert mode virtual' is issued 
SW1(config-vs-domain)#switch 1 
SW1(config-vs-domain)#exit 
SW1(config)#
SW2#conf t
Enter configuration commands, one per line. End with CNTL/Z. 
SW2(config)#switch virtual domain 10 
Domain ID 10 config will take effect only after the exec command 'switch convert mode virtual' is issued 
SW2(config-vs-domain)#switch 2 
SW2(config-vs-domain)#exit 
SW2(config)#

配置VSL Port Channel

SW1(config)#int port-channel 5 
SW1(config-if)#switchport 
SW1(config-if)#switch virtual link 1 
SW1(config-if)#no shut 
SW1(config-if)#exit

SW2(config)#int port-channel 10 
SW2(config-if)#switchport 
SW2(config-if)#switch virtual link 2 
SW2(config-if)#no shut 
SW2(config-if)#exit 

配置VSL端口

SW1(config)#int range ten1/1 - 2 
SW1(config-if-range)#switchport mode trunk 
SW1(config-if-range)#channel-group 5 mode on 
WARNING: Interface tenGigabitEthernet1/1 placed in restricted config mode. All extraneous configs removed! WARNING: Interface tenGigabitEthernet1/2 placed in restricted config mode. All extraneous configs removed! 
SW1(config-if-range)#exit
SW2(config)#int range ten1/1 - 2 
SW2(config-if-range)#switchport mode trunk 
SW2(config-if-range)#channel-group 10 mode on 
WARNING: Interface tenGigabitEthernet1/1 placed in restricted config mode. All extraneous configs removed! WARNING: Interface tenGigabitEthernet1/2 placed in restricted config mode. All extraneous configs removed! 
SW2(config-if-range)#exit

将当前的交换机模式切换为虚拟交换机（VSS）模式

SW1#switch convert mode virtual 
This command will convert all interface names to naming convention "interface-type switch-number/slot/port", save the running config to startup-config and reload the switch. Do you want to proceed? [yes/no]: yes Converting interface names
SW2#switch convert mode virtual 
This command will convert all interface names to naming convention "interface-type switch-number/slot/port", save the running config to startup-config and reload the switch. Do you want to proceed? [yes/no]: yes Converting interface names

第二十一周 VPN VRF

VPN概念

Cisco VPN是一个高度集成化的VPN（虚拟专用网络）解决方案，它结合了业界领先的高速路由技术及全面的高级站点到站点（site to site）VPN服务套件。Cisco VPN路由器为企业提供了安全、可靠的网络连接，保护数据传输的安全性，并支持远程用户访问公司内部网络资源。

Cisco VPN解决方案支持多种加密算法和认证方式，可以为企业提供不同级别的安全保障。通过配置VPN客户端地址池和相关参数，可以方便地管理远程用户的访问权限和网络资源分配。

此外，Cisco VPN还可以与其他安全技术和解决方案集成，如防火墙、入侵检测系统等，提供更为全面的网络安全保护。它可以在有线和无线网络环境中为各种终端设备提供永不中断的保护，确保员工在任何设备、任何地点都可以安全地工作。

需要注意的是，VPN配置涉及多个参数和步骤，需要具备一定的网络知识和经验。因此，在实际应用中，建议由专业的网络管理员或技术人员进行配置和管理。

VPN GRE ipsec 组合解释

VPN（虚拟专用网络）是一种可以在公共网络上建立加密通道的技术，通过这种技术可以使远程用户访问公司内部网络资源时，实现安全的连接和数据传输。VPN通常是通过虚拟隧道来实现的，这些隧道可以通过不同的协议来创建，其中GRE（通用路由封装）和IPsec（Internet协议安全）是两种常用的协议。

GRE是一种隧道协议，用于将一种协议的报文封装在另一种协议中，以便在不同的网络之间传输。在VPN中，GRE可以用来创建虚拟隧道，将私有网络的数据封装在公共网络的报文中进行传输。然而，GRE本身并不提供加密功能，因此传输的数据仍然是明文的，存在一定的安全风险。

为了解决这个问题，可以将IPsec与GRE结合使用。IPsec是一种提供加密和认证功能的网络安全协议，可以保护IP数据报在传输过程中的机密性、完整性和身份认证。通过将IPsec应用于GRE隧道中传输的数据，可以实现数据的加密和认证，从而提高VPN的安全性。

因此，VPN中使用GRE和IPsec的组合可以实现虚拟隧道的创建和数据的安全传输。这种组合可以充分发挥GRE的隧道功能和IPsec的安全功能，为远程用户提供安全、可靠的网络连接。在实际应用中，可以根据具体的需求和网络环境选择适合的协议和配置方式，以实现最佳的VPN解决方案。

GRE over IPSec VPN的配置（实验）

思科路由器 LAN2LAN IPSec VPN 和 GRE over IPSec VPN 的配置方法

Cisco设备上配置GRE+IPSec

GRE over IPSec 指的是受 IPSec 保护的 GRE Tunnel。

GRE over IPSec VPN 相比普通的 LAN-to-LAN IPSec VPN 最大的优势在于它可以提供一个逻辑的 Tunnel 接口。

这个 Tunnel 接口可以看作是一个虚拟的 PPP 接口，它支持传输任意类型的流量，包括组播流量和广播流量。

而支持组播和广播流量意味着可以在两个园区网之间运行各种诸如动态路由选择协议的非单播应用。

普通的 LAN-to-LAN IPSec VPN 由于没有提供这个 Tunnel 接口，所以只能在两个园区网之间传输单播流量，用途大大受限；并且还要专门指定哪些流量走 VPN，管理起来也非常不方便。

配置 NAPT

这里只需要配置普通的 NAPT 就可以了。

R1（A 地）

Router(config)#ip access-list standard nat % 创建一个名为 nat 的标准 ACL 用于 NAPT
Router(config-std-nacl)#permit 192.168.1.0 0.0.0.255 % 允许 A 地内网主机访问公网
Router(config-std-nacl)#exit
Router(config)#int f0/1
Router(config-if)#ip nat outside % 配置公网接口为 NAT 外部接口
Router(config-if)#exit
Router(config)#int f0/0
Router(config-if)#ip nat inside % 配置内网接口为 NAT 内部接口
Router(config-if)#exit
Router(config)#ip nat inside source list nat interface f 0/1 overload  % 将被名为 nat 的 ACL 匹配到且出接口为外网接口的流量进行 NAPT

R3（B 地）

Router(config)#ip access-list standard nat % 创建一个名为 nat 的标准 ACL 用于 NAPT
Router(config-std-nacl)#permit 10.1.1.0 0.0.0.255 % 允许 B 地内网主机访问公网
Router(config-std-nacl)#exit
Router(config)#int f0/0
Router(config-if)#ip nat outside % 配置公网接口为 NAT 外部接口
Router(config-if)#exit
Router(config)#int f0/1
Router(config-if)#ip nat inside % 配置内网接口为 NAT 内部接口
Router(config-if)#exit
Router(config)#ip nat inside source list nat interface f 0/0 overload  % 将被名

配置 IPSec 第一阶段（IKE）

本阶段使用以下安全参数：

R1（A 地）

Router(config)#crypto isakmp key 12345678 address 0.0.0.0 % 配置预共享密钥
Router(config)#crypto isakmp policy 10 % 创建一个优先级为 10 的 ISAKMP 规则
Router(config-isakmp)#authentication pre-share % 使用预共享密钥认证
Router(config-isakmp)#encryption aes 128 % 使用 128 位 AES 作为加密算法
Router(config-isakmp)#hash md5 % 使用 MD5 作为散列算法
Router(config-isakmp)#group 2 % 使用 DH 组 2
Router(config-isakmp)#exit

R3（B 地）

Router(config)#crypto isakmp key 12345678 address 0.0.0.0 % 配置预共享密钥
Router(config)#crypto isakmp policy 10 % 创建一个优先级为 10 的 ISAKMP 规则
Router(config-isakmp)#authentication pre-share % 使用预共享密钥认证
Router(config-isakmp)#encryption aes 128 % 使用 128 位 AES 作为加密算法
Router(config-isakmp)#hash md5 % 使用 MD5 作为散列算法
Router(config-isakmp)#group 2 % 使用 DH 组 2
Router(config-isakmp)#exit

配置 IPSec 第二阶段

由于 GRE 会为内网流量封装一层新的 IP 报头，所以这里没有必要让 IPSec 再给 GRE 流量封装一层新的 IP 报头，使用传输模式即可。

R1（A 地）

Router(config)#crypto ipsec transform-set ipsec esp-aes 128 esp-md5-hmac 
% 创建一个名为 ipsec 的 IPSec 传输集，使用 ESP 封装，加密算法为 128 位 AES，散列算法为 MD5
Router(cfg-crypto-trans)#mode transport  % 指定工作模式为传输模式(本模拟器路由器不支持此条命令)
Router(cfg-crypto-trans)#exit
Router(config)#crypto ipsec profile ipsec % 创建一个名为 ipsec 的 IPSec (本模拟器路由器不支持此条命令)
Router(ipsec-profile)#set transform-set ipsec % 使用名为 ipsec 的 IPSec (本模拟器路由器不支持此条命令)
Router(config-crypto-map)#exit

R3（B 地）

Router(config)#crypto ipsec transform-set ipsec esp-aes 128 esp-md5-hmac 
% 创建一个名为 ipsec 的 IPSec 传输集，使用 ESP 封装，加密算法为 128 位 AES，散列算法为 MD5
Router(cfg-crypto-trans)#mode transport  % (本模拟器路由器不支持此条命令)
Router(cfg-crypto-trans)#exit
Router(config)#crypto ipsec profile ipsec % 创建一个名为 ipsec 的 IPSec (本模拟器路由器不支持此条命令)
Router(ipsec-profile)#set transform-set ipsec % 使用名为 ipsec 的 IPSec (本模拟器路由器不支持此条命令)
Router(config-crypto-map)#exit

配置 Tunnel 接口

R1（A 地）

Router(config)#interface tunnel 0
Router(config-if)#ip address 10.1.1.1 255.255.255.0 % 配置 Tunnel 接口的 IP 地址
Router(config-if)#tunnel source 1.1.1.1 % 指定 Tunnel 接口的源地址为路由器外网接口的地址
(本模拟器路由器不支持此条命令)
Router(config-if)#tunnel source f0/1  用这条
Router(config-if)#tunnel destination 2.2.2.2 % 指定 Tunnel 接口的目的地址为对端路由器外网接口的地址
Router(config-if)#tunnel mode ipsec ipv4 % 设定 Tunnel 接口的模式为 GRE over IPSec
(本模拟器路由器不支持此条命令)
Router(config-if)#tunnel mode gre ip 用词条命令
Router(config-if)#tunnel protection ipsec profile ipsec % 使用刚才创建的 IPSec 配置文件来加密 Tunnel (本模拟器路由器不支持此条命令)
Router(config-if)#exit

R3（B 地）

Router(config)#interface tunnel 0
Router(config-if)#ip address 10.1.1.2 255.255.255.0 % 配置 Tunnel 接口的 IP 地址
Router(config-if)#tunnel source 2.2.2.2 % 指定 Tunnel 接口的源地址为路由器外网接口的地址
(本模拟器路由器不支持此条命令)
Router(config-if)#tunnel source f0/0  用这条
Router(config-if)#tunnel destination 1.1.1.1 % 指定 Tunnel 接口的目的地址为对端路由器外网接口的地址
Router(config-if)#tunnel mode ipsec ipv4 % 设定 Tunnel 接口的模式为 GRE over IPSec
(本模拟器路由器不支持此条命令)
Router(config-if)#tunnel mode gre ip 用词条命令
Router(config-if)#tunnel protection ipsec profile ipsec % 使用刚才创建的 IPSec 配置文件来加密 Tunnel (本模拟器路由器不支持此条命令)
Router(config-if)#exit

配置动态路由选择协议

下面在两个园区网路由器之间使用 OSPF 来相互学习彼此内网的路由条目。

⚠️ 注意 • 千万不要将外网接口宣告进 OSPF 中，否则会导致 Tunnel 接口不停地 Up/Down。

R1(config-if)#router ospf 1 % 开启 OSPF 进程 1
r1(config-router)#network 192.168.1.0 0.0.0.255 area 0
r1(config-router)#net 10.1.1.0 0.0.0.255 area 0

R2(config-if)#router ospf 1 % 开启 OSPF 进程 1
r2(config-router)#network 192.168.2.0 0.0.0.255 area 0
r2(config-router)#net 10.1.1.0 0.0.0.255 area 0

VRF

VRF概念

华为----VRF隔离（生产网和办公网的隔离）

VRF cisco 配置

1. 了解VRF的概念
VRF是一种在单一物理路由平台上创建多个逻辑路由表的技术。每个VRF都有自己的独立的路由表，并且完全隔离于其他VRF。这使得网络管理员能够在同一网络设备上实现逻辑上分离的多个虚拟路由域，为不同的用户或应用提供安全、可靠的互联。理解了VRF的概念后，我们可以开始进行VRF的配置。
2. 创建VRF
首先，我们需要登录到网络设备的命令行界面（CLI）中。根据设备的品牌和型号，CLI可能会有所不同。下面以思科设备为例，演示VRF的创建过程：
a) 进入全局配置模式
输入“enable”命令切换到特权模式，然后输入“configure terminal”命令进入全局配置模式。
b) 创建VRF
在全局配置模式下，输入“ip vrf [VRF名称]”命令，创建一个新的VRF实例。例如，输入“ip vrf VRF1”命令创建名为“VRF1”的VRF。
c) 为VRF分配路由
为VRF分配路由，输入“route-target import [路由ID]”和“route-target export [路由ID]”命令。路由ID是用于标识VRF路由的唯一标识符。通过导入和导出路由，可以使VRF与其他VRF之间进行数据通信。
3. 配置VRF接口
创建了VRF后，我们需要为其配置接口，以便实现数据的输入和输出。下面是配置VRF接口的基本步骤：
a) 进入接口配置模式
输入“interface [接口名称]”命令进入接口配置模式。例如，输入“interface GigabitEthernet0/0/1”命令进入接口“GigabitEthernet0/0/1”的配置模式。
b) 将接口分配给VRF
在接口配置模式下，输入“ip vrf forwarding [VRF名称]”命令，将接口指定给对应的VRF。例如，输入“ip vrf forwarding VRF1”命令，将接口分配给“VRF1”。
c) 配置接口IP地址
配置接口的IP地址，输入“ip address [IP地址] [子网掩码]”命令。例如，输入“ip address  ”命令，为接口配置IP地址为。
4. 配置路由
VRF的配置不仅限于创建和配置VRF实例，还需进行路由的配置，以确保数据能够正确地转发到目的地。下面是配置路由的步骤：
a) 进入VRF配置模式
输入“ip vrf exec [VRF名称]”命令进入特定VRF的配置模式。例如，输入“ip vrf exec VRF1”命令进入“VRF1”的配置模式。
b) 配置路由
在VRF配置模式下，输入“ip route [目的网络] [子网掩码] [下一跳地址]”命令，配置VRF中的路由。例如，输入“ip route   ”命令，配置路由将目的网络为/24的数据转发到下一跳地址。
5. 验证VRF的配置
完成VRF配置后，我们需要验证其是否成功。可以通过以下几种方法来验证VRF的配置是否正确：
a) 显示VRF信息
输入“show ip vrf”命令，可以显示当前设备上的VRF信息，包括VRF名称、路由目标和接口分配等。
b) 检查路由表
输入“show ip route vrf [VRF名称]”命令，可以显示指定VRF的路由表，包括已配置的路由和下一跳信息。
c) 测试连通性
使用ping命令测试与目的设备之间的连通性，例如输入“ping [目的地址] source [源地址] vrf [VRF名称]”命令，测试指定VRF中两个设备的连通性。

第二十二、二十三周 防火墙

防火墙概念

防火墙的原理

华为防火墙配置过程

cisco 防火墙配置

思科防火墙配置

Cisco防火墙基础介绍及配置

1、介绍cisco 防火墙默认三种区域：inside、outside、dmz，默认outside和dmz级别为0，inside安全级别为100。 高安全级别到低安全级别的流量是放行的，但返回的数据根据ASA中会话表是否允许 低安全级别到高安全级别的流量是拒绝的， 允许出站(outside)：高100到低0，可发消息，禁止入站(inside)：低0到高100，不回消息，相同级别，不发也不回

2、ASA5505和ASA5506区别 ASA5505是创建vlan,将端口加入vlan，设置vlan的安全等级，实现安全区域，再通过ACL对vlan进行控制 ASA5506是端口设置安全区域，再通过ACL对端口进行控制

动态nat（一对多）

动态NAT：多对多，定义一个地址池（一段ip） 动态PAT：一对多，所有内网进行网络地址转换，端口地址转换PAT 静态NAT：一对一，一个内网转换一个外网 静态PAT：端口映射，将内网的端口，映射到外网端口

1、配置路由器
# configure terminal
# line vty 0 4
# password 666
# interface GigabitEthernet0/0
# ip address 1.1.1.100 255.255.255.0
# no shutdown
2、防火墙配置
# object network inside                       #定义地址池名称
# subnet 192.168.1.0 255.255.255.0            #地址池ip网段
# nat (inside,outside) dynamic interface      #inside(g1/1端口名)，动态状态nat，端口nat
# show xlate                                  #查看nat状态

3.配置 ACL策略
# access-list 100 extended permit ip any any
# access-group 100 in interface outside

神州数码防火墙基本配置

防火墙定义：
防火墙是一种安全设备，可以保护一个网络区域免受到另一个网络区域的攻击和入侵，通常被应用在网络边界，例如企业互联网，企业内部业务边界，数据中心边界等。

一：将接口放入区域

trust区域        信任区域
untrust区域    非信任区域
dmz        服务器区，中间地带

进入安全域的配置，把接口加入进去
firewall zone trust            防火墙
定义：
防火墙是一种安全设备，可以保护一个网络区域免受到另一个网络区域的攻击和入侵，通常被应用在网络边界，例如企业互联网，企业内部业务边界，数据中心边界等。

一：将接口放入区域

trust区域        信任区域
untrust区域    非信任区域
dmz        服务器区，中间地带

进入安全域的配置，把接口加入进去
int e0/1                //进入e0/1接口 
zone trust             //将e0/1接口加入trust安全域
mang ping            //允许接口执行ping命令和允许接口被ping

二：配置安全策略
安全策略就是，什么样的数据包放行，什么样的数据包禁止通过

policy-global        //进入安全策略配置界面
rule id 1            //设置第一个rule安全策略的配置
src-zone trust        //设置入区域为trust
dst-zone untrust        //设置出区域为untrust
src-addr    any        //设置进入的地址池any(自带的地址池，为所有地址)
dst-addr any        //设置去往的地址池any
service any        //设置所有服务
action permit        //设置防火墙动作为允许（放行）

即命令代表了来自trust区域的所有IP的所有服务的数据包可以访问所有untrust区域的所有IP的所有服务的数据包

第二十四周 QOS 服务质量

QOS概念

QoS（Quality of Service，服务质量）的主要功能包括以下几个方面：

1. 流量分类和标记：根据预先设定的规则和条件，对网络中的流量进行分类，例如根据协议类型、源地址、目的地址、端口号等进行分类。同时，还可以对流量进行标记，以便后续的处理和管理。

2. 流量监管和整形：对网络中的流量进行监管和控制，确保流量符合特定的要求或标准。流量整形则是一种更细粒度的流量控制方法，它可以对网络流量进行平滑处理，以减少网络拥塞和延迟。

3. 拥塞管理和避免：当网络出现拥塞时，QoS可以通过拥塞管理来避免或减轻拥塞的影响。例如，可以采用队列调度算法，对不同类型的流量进行优先处理，以保证关键应用的传输质量。同时，QoS还可以通过拥塞避免机制来预防网络拥塞的发生。

4. 带宽分配和优先级调度：根据网络的实际情况和用户的需求，QoS可以对网络带宽进行动态分配和管理。同时，还可以根据流量的优先级进行调度，以确保高优先级的流量能够优先传输。

综上所述，QoS的主要功能包括流量分类和标记、流量监管和整形、拥塞管理和避免、带宽分配和优先级调度等。这些功能共同作用，可以提高网络的服务质量，保证关键应用的传输质量，提高网络资源的利用率，并为用户提供更好的网络使用体验。

cisco 设备QOS 配置

mls qos                                #启用qos
ip access-list extended 110            #定义要匹配的acl流量
　　　permit ip host 192.100.49  any 
　　　permit ip any host 192.100.49
class-map match-all test110            #定义类test110  
　　　match access-group 110            #绑定acl流量
policy-map RATE-LIMIT                  #定义策略RATE-LIMIT
          class test110                #绑定类
          police 40000000 5000 conform-action transmit  exceed-action drop 
          #限速4M超出流量直接drop
interface GigabitEthernet0/1 
         service-policy input RATE-LIMIT    #接口关联策略RATE-LIMIT
         service-policy output RATE-LIMIT
sh policy-map interface g0/1                #检查生效

注：
每个接口每个方向只支持一个策略;一个策略可以用于多个接口。
策略实例：
Switch(config)# policy-map test 
Switch(config-pmap)# class user-up-down
Switch(config-pmap-c)# trust dscp
Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop  //流量速率为2M

利用policy-map进行限速 在Cisco IOS 系统上作QOS，一般要有以下五步： 1、启用全局qos：#mls qos 查看qos状态：show mls qo 2、设置ACL匹配的流量：#ip access-list extended acl XXX 3、设置一个class-map，来匹配第二步设置的ACL：格式为switch (config)#class-map [match-all|match-any] {map-name} 4、设置一个policy-map匹配class-map，然后再在这里面定义一系列策略：#policy-map map XXX 5、将policy-map应用到相应的接口上：#service-policy input map XXX

限速主要是在带宽不足情况下，为保证特定业务的带宽需求而采取的一些必要措施，下面主要以policy-map实施限速为例子说明

1、生成流控ip的acl列表（主要匹配需要进行限速管理的数据流）

access-list 110 permit ip host 192.100.49  any 
access-list 110 permit ip any host 192.100.49

2、定义class -map

class-map match-all test110（名字，设计成为方便识别的名字）  还可以match-any选项  
   match access-group 110

Match-all——当设定多个match条件时，满足所有条件的数据才是匹配的。

Match-any——当设定多个match条件时，满足一个条件即可。

match-criteria——设定特定的匹配条件. 3、定义policy-map

policy-map RATE-LIMIT（可以设计成其他业务名称，便于识别比如MAIL  OA 等）
      class test110 （匹配class-map）
      police 40000000    5000 conform-action transmit  exceed-action drop
//限速4M，超出流量直接drop
 该模式下有很多限速选项，根据需求选择

4、接口调用policy，才能是policy应用，否则无效

interface GigabitEthernet0/1   //当然某些情况下可以在三层SVI下关联
     service-policy input RATE-LIMIT
     service-policy output RATE-LIMIT

5、检查policy-map是否生效

 R1#sh policy-map interface g0/1

第二十五周 ipv6(待补充)

第二十六、二十七、二十八 BGP（待补充）

第二十九、三十 IS-IS（待补充）

河北省2023年职业院校（中职组）技能大赛“网络搭建与应用”

网络搭建--------答案是我自己做的，神码配置模拟器无法模拟，命令肯定有错的地方----看的同学们和我一起改正

河北省2023年职业院校（中职组）技能大赛“网络搭建与应用”赛项规程.pdf

河北省2023年职业院校（中职组）技能大赛“网络搭建与应用”赛项竞赛样题.pdf

拓扑图

制作线缆

568B：橙白、橙、绿白、蓝、蓝白、绿、棕白、棕

交换机制作与调试

VFS 堆叠

集团两台核心交换机通过 VSF 物理端口连接起来形成一台虚拟的逻辑设备SW-Core。用户对这台虚拟设备进行管理，从而来实现对虚拟设备中所有物理设备的管理。两台设备 VSF 逻辑域为 5；其中 SW-1 的成员编号为 1，SW-2 的成员编号为 2；正常情况下SW-1 负责管理整个 VSF。为确保两台核心交换机 VSF 链路冗余，在两台设备之间建立两个vsf port-group，其编号分别为 1、2，每个 vsf port-group 绑定一个万兆光端口。对逻辑设备 SW-Core 启用 VSF 自动合并功能。

switch1#config  
switch1(config)#vsf domain  10 \\配置VSF域
switch1(config)#vsf member 1  \\设置组成员
switch1(config)#vsf priority 50 \\修改优先级 越大越优先
switch1(config)#vsf port-group 1  \\创建VSF组
switch1(config-vsf-port1)#vsf port-group interface ethernet 1/0/25   \\将接口划入组
switch1(config)# int port-channel  1  \\进入组1
Switch1(config-if-port-channel1)#vsf mad lacp enable \\    启用LACP MAD 接口或者group组启用
switch1(config)#vsf port-group 2  \\创建VSF组
switch1(config-vsf-port1)#vsf port-group interface ethernet 1/0/26  \\将接口划入组
switch1(config)# int port-channel  2  \\进入组2
Switch1(config-if-port-channel1)#vsf mad lacp enable \\    启用LACP MAD 接口或者group组启用
switch1(config)#exit 
switch1(config)#switch convert mode vsf  \\将交换机模式改成堆叠模式

对端

switch2#config 
switch2(config)#vsf domain  10 \\配置VSF域
switch2(config)#vsf member 2  \\设置组成员
switch2(config)#vsf priority 32 \\修改优先级
switch2(config)#vsf port-group 1   \\创建组
switch2(config-vsf-port1)#vsf port-group interface ethernet 1/0/27  \\将接口划入组
switch2(config)# int port-channel 1  \\进入组1
Switch2(config-if-port-channel1)#vsf mad lacp enable \\    启用LACP MAD 
switch2(config)#vsf port-group 2  \\创建组
switch2(config-vsf-port1)#vsf port-group interface ethernet 1/0/28  \\将接口划入组
switch2(config)# int port-channel 2  \\进入组2
Switch2(config-if-port-channel1)#vsf mad lacp enable \\    启用LACP MAD 接口或者group组启用
switch2(config)#exit 
switch2(config)#switch convert mode vsf \\更改交换机为堆叠模式

完成上面的操作以后两台交换机逻辑上合为一台
CS6200-28X-EI(config)#hostname SW-Core 
SW-Core(config)# vsf auto-merge enable \\启用VSF自动合并

LACP MAD 分裂检测功能

在集团核心交换机 SW-1 和 SW-2 之间采用 LACP MAD 分裂检测功能，通过集团核心交换机与集团接入交换机互联接口设置 LACP MAD 功能相关配置来实现监控两台核心设备的 VSF 状态并同时每隔 3s 进行快速检测。

SW-Core:
Interface Ethernet1/0/23
 port-group 1 mode active
 lacp timeout short
Interface Ethernet2/0/23
 port-group 1 mode active
 lacp timeout short
Interface Port-Channel1
 vsf mad lacp enable
SW-3:
Interface Ethernet1/0/1
 port-group 1 mode passive
 lacp timeout short
Interface Ethernet1/0/2
 port-group 1 mode passive
 lacp timeout short

划分VLAN

为了减少广播，需要根据题目要求规划并配置 Vlan。具体要求如下：

1. 配置合理，在下表中交换机互联链路上不允许不必要 Vlan 的数据流通过，包括 Vlan1；

2. 根据下述表格中心系，在相应交换机上完成 Vlan 配置和端口分配；

SW-Core：
Interface Ethernet1/0/23
 switchport mode trunk
 switchport trunk allowed vlan 10;20;30;40;100;200;300 
 switchport trunk native vlan 200
Interface Ethernet2/0/23
 switchport mode trunk
 switchport trunk allowed vlan 10;20;30;40;100;200;300 
 switchport trunk native vlan 200

SW3:
E1/0/5口为连接云平台的设备 为trunk  E1/0/1 E1/0/2为端口聚合的组
Interface Ethernet1/0/5
 switchport mode trunk
 switchport trunk allowed vlan 10;20;30;40;100;300 
 switchport trunk native vlan 100
Interface Ethernet1/0/1
 switchport mode trunk
 switchport trunk allowed vlan 10;20;30;40;100;200;300 
 switchport trunk native vlan 200
Interface Ethernet1/0/2
 switchport mode trunk
 switchport trunk allowed vlan 10;20;30;40;100;200;300 
 switchport trunk native vlan 200

链路聚合

(四)、SW-Core 分别通过 E1/0/24、E2/0/24 与 SW-3 的 E1/0/23、E1/0/24 接口互相连接。把归属于同一设备的接口捆绑成一个逻辑接口，编号为 10，SW-Core 为主动端，SW-3 为被动端，负载均衡模式采用源 IP 地址和目的 IP 地址进行负载分担，将 SW-Core 与 SW-3 的互联接口设置为Trunk 接口。

配置接口绑定
SW-Core (config)#port-group  2   \\创建组
SW-Core (config)#int e1/0/24，2/0/24\\进入进行绑定的接口
SW-Core (config-if-port-range)#port-group 2 mode active  \\配置绑定模式
SW-Core (config)# int port-channel  2  \\进入组2
SW-Core (config-if-port-channel1)#switchport mode  trunk  \\配置为trunk
SW-Core (config-if)# trunk allowed vlan 10;20;30;40;100;200;300 
SW-Core (config)#port-channel load-balance dst-ip  //按照目标主机IP地址数据分发来实现负载平衡

SW-3 (config)#port-group  2   \\创建组
SW-3 (config)#int e1/0/23-24   \\进入进行绑定的接口
SW-3 (config-if-port-range)#port-group 2 mode passive(选择配置设置为被动端)
SW-3 (config)# int port-channel  2  \\进入组2
SW-3 (config-if-port-channel1)#switchport mode  trunk  \\配置为trunk
SW-3 (config-if)# trunk allowed vlan 10;20;30;40;100;200;300 
SW-3 (config)#port-channel load-balance dst-ip  //按照目标主机IP地址数据分发来实现负载平衡

ssh远程登录

SW-Core 和 SW-3 上设置 Vlan 200 为管理 Vlan，地址分别为 192.168.200.1/24 和 192.168.200.2/24。要求设备只能使用 SSH 服务远程管理，远程登录账户仅包含“jnds”， 密码为明文“jnds@123”，采用 SSH 方式登录设备时需要输入enable 密码，密码设置为明文“123@jnds”。要求最多允许 8 个用户同时 SSH登陆设备。

SW-Core:
enable password level 15 0 123@jnds
username jnds privilege 14 password 0 jnds@123
ssh-server enable
ssh-server max-connection 8
int vlan 200
    ip address 192.168.200.1 255.255.255.0
SW3:
enable password level 15 0 123@jnds
username jnds privilege 14 password 0 jnds@123
ssh-server enable
ssh-server max-connection 8
int vlan 200
    ip address 192.168.200.2 255.255.255.0

DHCP 自动获取地址

在 SW-Core 上开启 DHCP 服务，从而使 Vlan 10、20、30、40 网段用户可以通 过 DHCP 方式获取 IP 地址。4 个用户网段对应的 DHCP 地址池名字分别为 Pool-10、Pool-20、 Pool-30、Pool-40，租期为 8 小时，配置默认网关、DNS 地址均为该网段最后一个可用 IP 地址。每个地址池可分配的地址为100-200，并且通过 DHCP 相关功能配置，来防止终端地 址分配冲突。

SW-Core 
service dhcp
interface Vlan10
 ip address 192.168.10.254 255.255.255.0
interface Vlan20
 ip address 192.168.20.254 255.255.255.0
interface Vlan30
 ip address 192.168.30.254 255.255.255.0
interface Vlan40
 ip address 192.168.40.254 255.255.255.0

SW-Core _config#ip dhcp pool Pool-10                                   ！定义地址池
SW-Core _config_dhcp#network 192.168.10.0  255.255.255.0       ！定义网络号
SW-Core _config_dhcp#range 192.168.10.100 192.168.10.200          ！定义地址范围
SW-Core _config_dhcp#default-router                        设置默认网关
SW-Core _config_dhcp#dns-server 192.168.10.200
SW-Core _config_dhcp#lease 0 8                               ！定义租约为8小时
SW-Core _config_dhcp# dhcp excluded-address 192.168.10.254
SW-Core _config_dhcp# dhcp excluded-address 192.168.10.200
SW-Core_config_dhcp#exit
Pool-20、 Pool-30、Pool-40 配置类似就不写了

VRF (找不到完整资料)

SW-1 既作为集团核心交换机，同时又使用相关技术将 SW-1 模拟为 Internet 交换 机，实现集团与广州办事处之间Internet 路由表与集团内部业务路由表隔离，Internet 路由表位于 VPN 实例名称 Internet-1 内。

switch1 
int vlan 4091
ip add  211.11.43.25/30
int vlan 4092
ip add  113.137.53.229/30
ip vrf Internet-1    //创建vrf实例名叫  Internet-1 
 rd 1:1                            //创建vrf实例的rd值
int vlan 4092
      ip vrf forwarding Internet-1 

int vlan 4091
      ip vrf forwarding Internet-1 

路由配置与调试

Mutlilink PPP

尽可能加大集团路由器与分公司路由器之间虚拟专线链路带宽，配置 Mutlilink PPP

捆绑，编号为 5。路由器之间采用 chap 认证，集团路由器帐号名为 JTrouter，密码为 jnds。

分公司路由器帐号名为 FBrouter，密码为 jnds。

RT-1****配置：**
Router_config#hostname RT-1
RT-1_config_l1#int multilink 5
RT-1_config_m10#ip add 10.10.10.1 255.255.255.252
RT-1_config_m10#ppp multilink
RT-1_config_m10#int s0/1
RT-1_config_s1/0#encapsulation ppp
RT-1_config_s1/0#physical-layer speed 64000
RT-1_config_s1/0#no sh
RT-1_config_s1/0#ppp multilink
RT-1_config_s1/0#multilink-group 5
RT-1_config_s1/0#int s0/2
RT-1_config_s1/1#encapsulation ppp
RT-1_config_s1/1#no sh
RT-1_config_s1/1#ppp multilink
RT-1_config_s1/1#multilink-group 5
RT-1_config_s1/1#exi
RT-1_config#username FBrouter password 0 jnds
RT-1_config#aaa authentication ppp default local
RT-1_config#int multilink 5
RT-1_config_s1/0#ppp authentication chap
RT-1_config_s1/0#ppp chap hostname  JTrouter
RT-1_config_s1/0#ppp chap password jnds

Router_config#hostname RT-2
RT-2_config_l1#int multilink 5
RT-2_config_m10#ip add 10.10.10.2 255.255.255.252
RT-2_config_m10#ppp multilink
RT-2_config_m10#int s0/1
RT-2_config_s1/0#encapsulation ppp
RT-2_config_s1/0#physical-layer speed 64000
RT-2_config_s1/0#no sh
RT-2_config_s1/0#ppp multilink
RT-2_config_s1/0#multilink-group 10
RT-2_config_s1/0#int s0/2
RT-2_config_s1/1#encapsulation ppp
RT-2_config_s1/1#no sh
RT-2_config_s1/1#ppp multilink
RT-2_config_s1/1#multilink-group 5
RT-2_config_s1/1#exi
RT-2_config#username JTrouter password 0 jnds
RT-2_config#aaa authentication ppp default local
RT-2_config#int multilink 5
RT-2_config_s1/0#ppp authentication chap
RT-2_config_s1/0#ppp chap hostname FBrouter
RT-2_config_s1/0#ppp chap password jnds
RT-2_config_s1/1#exi

OSPF

规划集团内、集团与分公司之间使用 OSPF 协议组网来实现集团业务互联互通，

OSPF 进程号为：10，具体要求如下：

1. 集团核心交换机与集团出口防火墙之间、集团核心交换机与集团无线集中控制器之间均属于骨干区域，集团核心交换机与集团路由器之前属于普通区域，区域号为 20，集团路由器与分公司路由器之间虚拟专线链路属于普通区域，区域号为 10，采用各自设备 Loopback 地址作为 Router-id。

2. . 集团核心交换机、集团出口防火墙、集团路由器、集团无线集中控制器分别发布自己的环回地址方便日常管理。

   这一步比较简单只做其中一部分

SW-core 核心交换机配置：
SW-core(config-if-vlan10)#int Loopback0
SW-core(config-if-loopback0)#ip add 10.255.255.1 255.255.255.255
SW-core(config)#router ospf 10
SW-core(config-router)#router-id 10.255.255.1
网段很多只宣告了一部分
SW-core(config-router)#network 10.255.255.1 0.0.0.0 area 0
SW-core(config-router)#network 192.168.10.0 0.0.0.255 area 0
SW-core(config-router)#network 10.255.255.8 0.0.0.3 area 20
SW-core(config-router)#network 10.255.255.12 0.0.0.3 area 20
SW-core(config-router)#exit
SW-core#wr

3.针对骨干区域启用区域 MD5 验证，验证密钥为：qywdj@dcn，根据实际情况自行调

整接口的网络类型尽量加快邻居关系收敛。

骨干区域接口之间配置认证

area 0 authentication message-digest　　启动区域的MD5认证
exit　　返回上一级
interface s0/1　　进入端口
ip ospf message-digest-key 1 md5 qywdj@dcn　　设置MD5认证密码

无线配置

链路聚合

为方便集团无线 AP 统一集中管理，把集团无线集中控制器放置在集团总部。集无线集中控制器与集团核心交换机之间通过 Vlan 1004 互联，把归属于同一设备的接口捆绑成一个逻辑接口，编号为 20，SW-Core 为主动端，DCWS 为被动端，负载均衡模式采用源P 地址和目的 IP 地址进行负载分担，两个设备互联接口采用中继模式。

配置接口绑定

SW-Core (config)#int vlan 1004
SW-Core (config-if)#ip add 10.225.225.17 255.255.255.0
SW-Core (config)#port-group  20   \\创建组
SW-Core (config)#int e1/0/1，2/0/1\\进入进行绑定的接口
SW-Core (config-if-port-range)#port-group 20 mode active  \\配置绑定模式 主动
SW-Core (config)# int port-channel  20  \\进入组20
SW-Core (config-if-port-channel1)#switchport mode  trunk  \\配置为trunk
SW-Core (config-if)# trunk allowed vlan 1004
SW-Core (config)#port-channel load-balance dst-ip  //按照目标主机IP地址数据分发来实现负载平衡

DCWS (config)#int vlan 1004
DCWS (config-if)#ip add 10.225.225.18 255.255.255.0
DCWS (config)#port-group  20   \\创建组
DCWS (config)#int e1/0/1-2   \\进入进行绑定的接口
DCWS (config-if-port-range)#port-group 2 mode passive(选择配置设置为被动端)
DCWS (config)# int port-channel  20  \\进入组20
DCWS (config-if-port-channel1)#switchport mode  trunk  \\配置为trunk
DCWS (config-if)# trunk allowed vlan 1004
DCWS (config)#port-channel load-balance dst-ip  //按照目标主机IP地址数据分发来实现负载平衡

AC+AP 设置

集团无线集中控制器使用 Lookback 1 接口地址作为 AC 管理地址，集团内所有 AP都通过手工注册方式实现 AP 上线被管理，AP 的管理地址为 172.16.30.10。

不论使用何种注册方式，AP要成功注册到AC上的前提是：

AC的无线IP地址和AP的IP地址三层可达

即：AP的IP地址和AC的无线地址能够ping通。

AC(config)#wireless
AC(config-wireless)#ena
AC(config-wireless)#no auto-ip-assign       关闭无线ip地址的自动选取功能
AC(config-wireless)#static-ip 10.255.255.6    设置静态的无线IP地址
AC(config-wireless)#discovery ip-list 172.16.30.10   将AP的ip地址加入到三层发现到IP列表

AC(config-wireless)#ap database 00-03-0f-c1-a5-30（AP的MAC地址需要去AP看）

DHCP

在分公司路由器上开启 DCHP 服务，实现分公司无线业务终端可以通过 DHCP 自动获取 IP 地址。分公司无线业务分别为：分公司营销 Vlan 10 与分公司技术 Vlan 20，Vlan网关都在分公司路由器上。2 个用户网段对应的 DHCP 地址池名字分别为 FB-10、FB-20，租期为 4 小时，DNS 地址均 8.8.8.8。

RT_config_g0/0#int g0/5
RT_config_g0/1#ip add 172.16.30.254 255.255.255.0
RT_config_g0/1#no sh
RT_config#int g0/5.1
RT_config_g0/5.1#enc dot1Q 10
RT_config_g0/5.1#ip add 192.168.10.254 255.255.255.0
RT_config_g0/5.1#int g0/5.2
RT_config_g0/5.2#enc dot1Q 20
RT_config_g0/5.2#ip add 192.168.20.254 255.255.255.0
RT_config_g0/5.2#exi

创建地址池

RT_config#ip dhcpd ena
RT_config#ip dhcpd pool ap
RT_config_dhcp#network 172.16.30.0 255.255.255.0
RT_config_dhcp#default-router 172.16.30.254
RT_config_dhcp#exi
RT_config#ip dhcpd pool FB-10 
RT_config_dhcp#network 172.16.10.0 255.255.255.0
RT_config_dhcp#default-router 172.16.10.254
RT_config_dhcp#dns-server 8.8.8.8
RT_config_dhcp#lease 0 4
RT_config_dhcp#exi
RT_config#ip dhcpd pool FB-20
RT_config_dhcp#network 172.16.20.0 255.255.255.0
RT_config_dhcp#default-router 172.16.20.254
RT_config_dhcp#dns-server 8.8.8.8
RT_config_dhcp#lease 0 4
RT_config_dhcp#exi
RT_config#exi
RT#wr

WLAN 配置

神州数码无线产品（AC+AP）配置

DCN网络—搭建与应用-[无线]常用配置资料

AP和AC配置步骤

配置 2 个 SSID，分别为“jnds-2.4”和“jnds-5.8”。“jnds-2.4”对应业务 Vlan 10，使用 network 24, 用户接入无线网络时需要采用基于 WPA-personal 加密方式，其口令为“jnds-2.4”；“jnds-5.8”对应业务 Vlan 20，使用 network 30，用户接入无线网络时需要采用基于 static-wep 加密方式，共享密钥其口令为“WiFi5”。要求无线 AP 通过相关配置来实现“jnds-2.4”的 SSID 只使用倒数第二个可用 VAP 发送 2.4G 信号，“jnds-5.8”的 SSID 使用倒数第一个可用 VAP 发送 5.8G 信号。

AC(config)#wireless
AC(config-wireless)#ena
AC(config-wireless)#network 24
AC(config-network)#vlan 10
AC(config-network) mode wpa-personal
AC(config-network)#wpa key jnds-2.4
AC(config-network)#ssid jnds-2.4

AC(config-network)#exi
AC(config-wireless)#network 30
AC(config-network)#vlan 20
AC(config-network)#ssid jnds-5.8
AC(config-network) mode static-wep 
AC(config-network)#wep authentication share-key //配置WEP为共享密钥认证方式
AC(config-network)#wpa key WiFi5
AC(config-network)#exi


AC(config-wireless)#ap profile 1
AC(config-ap-profile)#hwtype 59  //AP的硬件类型，用SHOW vendor命令可查看AP类型
AC(config-ap-profile)#radio 1   //进入radio1   2.4g模式
AC(config-ap-profile-radio)#vap 14 //vap 范围0-15
AC(config-ap-profile-vap)#network 24
AC(config-ap-profile-vap)#ena
AC(config-ap-profile-vap)#exi
AC(config-ap-profile-radio)#exi
AC(config-ap-profile)#radio 2      //进入radio2  5.8g模式
AC(config-ap-profile-radio)#vap 15  // 倒数第一个
AC(config-ap-profile-vap)#network 30
AC(config-ap-profile-vap)#ena
AC(config-ap-profile-vap)#exi
AC(config-ap-profile-radio)#exi
AC(config-ap-profile)#exi
AC(config-ap)#exi
AC(config-wireless)#ap database 00-03-0f-c1-a5-30
AC(config-wireless)#exi
AC(config)#exi
AC#wr

安全配置

通过配置防止多 AP 和 AC 相连时过多的安全认证连接而消耗 CPU 资源，检测到AP 与 AC 在 10 分钟内建立连接 5 次就不在允许继续连接，两小时后恢复正常。

AC(config-wireless)# wireless ap anti-flood
AC(config-wireless)# wireless ap anti-flood interval 10
AC(config-wireless)# wireless ap anti-flood max-conn-count 5
AC(config-wireless)# wireless ap anti-flood agetime 120

限速设置 QOS （有部分配置查不到命令）

神州交换机和路由器上分别实现QoS

为方便合理使用带宽，要求针对 SSID 为“jnds-2.4”下的用户进行带宽控制。对用户上行速率没有限制，但是针对下行速率要求普通用户的最大速率只能使用 2Mbps，在使用视频会议时候最大带宽可以达到 4Mbps。最终给要求限制用户上行下行速率不能超过8Mbps

Client QoS 功能
Ap client-qos
全局启用Client Qos功能
Client-qos enable
进network，启动network qos功能
AC(config)#wireless
AC(config-wireless)#ena
AC(config-wireless)#network 24
Client-qos bandwidth-limit
配置本网络的最大带宽速率限制
Up配置从客户端到AP方向带宽限制
Down配置从AP到客户端方向的带宽限制限速：
(config-network)#client-qos bandwidth-limit down 16384   下载带宽为8M  1M=2048
(config-network)#client-qos bandwidth-limit up 16384    上传为8M

防火墙

神州防火墙的基本知识

区域划分

集团防火墙与广州办事处防火墙根据题目要求配置相应的安全域，在相关接口下配置命令使其可以通过 ping 命令进行连通测试，可以通过 HTTP、HTTPS 方式进行管理。

进入安全域的配置，把接口加入进去 FW-1

int e0/1                //进入e0/1接口 
zone trust             //将e0/1接口加入trust安全域
mang ping             //允许接口执行ping命令和允许接口被ping
mang HTTP
mang HTTPS 

int e0/2                //进入e0/1接口 
zone trust             //将e0/1接口加入trust安全域
mang ping            //允许接口执行ping命令和允许接口被ping
mang HTTP
mang HTTPS 

int e0/5                //进入e0/1接口 
zone Untrust             //将e0/1接口加入trust安全域

FW-2

int e0/3                //进入e0/1接口 
zone trust             //将e0/1接口加入trust安全域
mang ping            //允许接口执行ping命令和允许接口被ping
mang HTTP
mang HTTPS 


int e0/2                //进入e0/1接口 
zone Untrust             //将e0/1接口加入trust安全域

NAT 默认路由

要求在集团防火墙、广州办事处防火墙上做出接口 NAT 及默认路由，来实现集团总部、分公司所有业务通过集团防火墙访问互联网，广州办事处所有业务通过广州办事处防火墙访问互联网。

FW-1
配置动态NAT/NAPT映射
（1）配置允许进行地址转换的内部私有地址；
Router(config)#access-list 1 permit any
（2）配置动态NAT地址转换使用的外部公有地址的地址池；
Router(config)#ip nat pool pool-1 211.11.43.26 netmask 255.255.255.0
（3）建立内部私有地址与地址池或NAT外部接口的映射关系
Router(config)#ip nat inside source list 1 pool pool-1 overload

config#ip route 0.0.0.0 0.0.0.0 211.11.43.26
FW-1(config)#interface ethernet 0/1
FW-1(config-ethernet0)#ip nat inside
FW-1(config)#interface ethernet 0/2
FW-1(config-ethernet0)#ip nat inside
FW-1(config)#interface ethernet 0/5
FW-1(config-ethernet0)#ip nat outside

FW-2
配置动态NAT/NAPT映射
（1）配置允许进行地址转换的内部私有地址；
Router(config)#access-list 1 permit any
（2）配置动态NAT地址转换使用的外部公有地址的地址池；
Router(config)#ip nat pool pool-1 113.137.53.230 netmask 255.255.255.0
（3）建立内部私有地址与地址池或NAT外部接口的映射关系
Router(config)#ip nat inside source list 1 pool pool-1 overload

config#ip route 0.0.0.0 0.0.0.0 113.137.53.230

FW-2(config)#interface ethernet 0/2
FW-2(config-ethernet0)#ip nat outside
FW-2(config)#interface ethernet 0/5
FW-2(config-ethernet0)#ip nat inside

GRE over IPSec VPN

由于 2020 年疫情原因，新建立的广州办事处人员较少，为确保广州办事处与集团之间办公业务数据的安全可靠性，两地各自防火墙之间使用 Internet 模拟连路之间接口互联地址建立 GRE 隧道，再使用 IPSEC 技术对 GRE 隧道进行保护，使用 IKE 协商自行设置 IPSec安全联盟、交换 IPSec 密钥。限制广州办事处防火墙只允许办公业务可以通过 IPSEC 隧道访问集团服务器的所有业务

神州数码DCN之GRE&IPsec 实验配置

神州数码防火墙和路由器之间的gre over ipsec（保姆级教学）

神州数码路由器之间配置IPSec

FW-1

当然可以，以下是R1设备的配置命令及其解释：

1. 接口配置：

R1_config#int e 0/5
R1_config_g0/1#ip add 211.11.43.26 255.255.255.252

2. 隧道接口配置：

R1_config#interface tunnel 2
R1_config_t1#ip address 10.2.2.1 255.255.255.252

解释：创建一个隧道接口tunnel 2

R1_config_t1#tunnel source 211.11.43.26

解释：指定隧道的源地址为 113.137.53.230

R1_config_t1#tunnel destination 113.137.53.230

解释：指定隧道的目标地址为 113.137.53.230

3. 访问控制列表(ACL)：

R1_config#ip access-list extended 1
R1_config_ext_nacl#permit gre 211.11.43.24  255.255.255.252 113.137.53.288 255.255.255.252

解释：创建一个扩展的访问控制列表(ACL)，编号为1，并允许源地址为 211.11.43.24/30，目标地址也为113.137.53.288/30`的GRE流量。

4. ISAKMP策略：

R1_config#crypto isakmp policy 10

解释：定义一个ISAKMP策略，编号为10。

接下来的命令配置该策略的各个方面，包括认证方式、加密、哈希、Diffie-Hellman组和生命周期。

5. ISAKMP密钥：

R1_config#crypto isakmp key 6 123456 address 10.2.2.2 255.255.255.252 配置IKE预共享钥匙与对端IP

解释：为IP地址10.2.2.2和子网掩码255.255.255.2520设置预共享密钥为123456。密钥长度为6个字符，但实际长度是6个数字，这里可能是个小错误，通常密钥长度不这样指定。

6. IPSec转换集：

R1_config#crypto ipsec transform-set LR esp-3des esp-md5-hmac
R1-transform-set#mode tunnel

解释：创建一个名为LR的IPSec转换集，使用ESP的3DES加密和MD5 HMAC认证，并设置模式为隧道模式。

7. 加密映射：

R1_config#crypto map lirong 10 ipsec-isakmp

解释：创建一个名为lirong的加密映射，序列号为10，使用IPSec和ISAKMP。

接下来的命令配置该映射的各个方面，包括转换集、对等方和匹配的ACL。

8. 应用加密映射到接口：

R1_config#interface e 0/5

R1_config_e0/1#crypto map lirong

解释：在接口e0/5上应用加密映射lirong。

总结：这是一个为R1设备设置GRE隧道和IPSec VPN的配置。通过此配置，R1可以与另一个设备（可能是R2）建立安全的VPN连接。但配置中存在一些小错误，需要修正。

FW-2 配置和FW-1类似这里就不写了

防火墙限速 (找不到相关命令，只有图形化操作)

广州办事处防火墙的出口带宽为 300Mbps，为更加合理使用出口资源，要求出口口带宽在小于 150Mbps 时，办事处业务网段每 IP 上下行最大 5Mbps 带宽。在出口带宽大于270Mbps 时，办事处业务网段每 IP 上下行最大 2Mbps 带宽，同时要求在流量变化期间带宽增长速率为 2 倍。

防火墙配置——IP-QoS /应用 QoS-qos设置

FW2(config)# access-list office-traffic extended permit ip 10.16.10.0 255.255.255.0 any

过滤（只有图形化界面操作，没找到命令行配置）

为防止广州办事处收到垃圾邮件，请在防火墙上配置邮箱过滤，过滤含有“奖品”字样的邮件。

通过 SSL远程接入VPN

集团防火墙上配置 SSL 方式的远程接入 VPN，允许远程办公的用户可以访问对内部服 务 器 资 源 ， 认 证 账 号 user01, 密 码 dcn001 ， 拔 入 的 计 算 机 获 取 的 IP 地 址 段 为172.16.0.40-100。要求在外办公用户拨入通过 8889 端口进行 VPN 认证及数据传输。

神州数码防火墙(DCN)NAT SSL-VPN配置

aaa-server "SSL" type local //设置一个叫 SSL 的本地用户组
user "user01" //创建用户为 user01
password "dcn001” //设置密码为 dcn001
exit
scvpn pool "POOLSSL" //创建一个叫做 POOLSSL 的 SSL 地址池
address 172.16.0.40 172.16.0.100 netmask 255.255.255.0//设置分发的 IP 范围
exit
tunnel scvpn "VPNSSL" //创建 SSL VPN
https-port 8889 //设置网页端口为 8889
ssl-protocol tlsv1.2 //设置 ssl 协议为 1.2
pool "POOLSSL" //引用 POOLSSL 地址池
split-tunnel-route 211.11.43.24/30 //设置路由
aaa-server "SSL" //引用 SSL 用户组
interface ethernet0/5 //设置访问的接口为 e0/5
exit
interface tunnel2
mang https //允许访问接口的 https
zone "VPNHub"
tunnel scvpn "VPNSSL" //将通道接口绑定为 SSL VPN
exit

集团防火墙上要求针对内网每个 IP 限制会话数量为 300。

神码的配置没有找到参考华三的

H3C SecPath F1000-C8102[F1000-ServerBlade] Web配置指导-5W104