lehe99的专栏

Super VLAN，也叫VLAN聚合（VLAN Aggregation）指在一个物理网络内，用多个VLAN（称为Sub-VLAN）隔离广播域，并将这些Sub-VLAN聚合成一个逻辑的VLAN（称为Super-VLAN）。Super VLAN可以配置三层接口，Sub VLAN不能配置三层接口。所有Sub-VLAN共用一个IP网段，要进行三层通信时，将使用Super VLAN三层接口的IP地址作为网关地址，使用同一个缺省网关，并且可以通过Super VLAN的VLANIF接口实现三层互通。

MUX VLAN只适用于二层网络（即同一网段）互通和隔离。实现相同网段终端被划分到不同VLAN后，虽然二层VLAN间通信是隔离的，但还要实现指定VLAN内终端不能通信。与Super VLAN相比，MUX VLAN属于二层交换机功能，Super VLAN属于三层功能，需要三层交换机支持。MUX VLAN对用户间的访问控制灵活性好，但MUX VLAN配置较为复杂。

1. 实验环境以太网静态路由配置使用下一跳跨网段通信正常，而使用出接口无法跨网段通信，以下图网络拓扑为例进行分析说明。

如果R1路由器的路由表有去往PC2所在网段的路由，则R1路由器GE 0/0/1端口用自己的MAC地址代替PC2的MAC地址进行应答，“192.168.1.65在 00:e0:fc:06:24:04”，同时R1路由器GE 0/0/1端口和R2路由器GE 0/0/1端口以中间人的身份替PC1和 PC2进行“传话”通信；配置了代理ARP的R1路由器GE 0/0/1端口接收到PC1的ARP广播，查看自己的路由表是否有去往PC2所在网段的路由？PC1访问PC2，PC1判断PC2的IP地址和自己是同一网段；

当A区域的终端发送ARP广播请求，查找B区域终端的MAC地址时，连接A区域的路由器端口1收到ARP请求时（由于路由器不会转发广播包，因此ARP请求只能到达路由器，不能到达区域B），三层设备会查看ARP请求，发现IP地址属于它连接的另一个网络，因此路由器用端口1的MAC地址代替B区域终端的MAC地址，向A区域终端回复ARP应答。PC1和PC2与交换机SW连接的端口加入隔离组5后，PC1和PC2无法正常通信，现要求在端口隔离的情况下，实现VLAN 10下的PC1和PC2能够通信。

为了实现接口之间的二层隔离，可以将不同的接口加入不同的VLAN，但这样会浪费有限的VLAN资源。端口隔离可以防止未经授权的访问和攻击，将网络流量隔离，限制了攻击者对敏感数据和网络资源访问，减少攻击面，增强网络安全性。接入同一个设备不同接口的多台主机，若某台主机存在安全隐患，往其他主机发送大量的广播报文，可以通过配置接口间的单向隔离来实现其他主机对该主机报文的隔离。同一端口隔离组的接口之间互相隔离，不同端口隔离组的接口之间不隔离。为了实现不同端口隔离组的接口之间的隔离，可以通过配置接口之间的单向隔离来实现。

DHCP-Snooping用在交换机 上，作用是屏蔽接入网络中的非法的 DHCP 服务器。DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址。在交换机SW上配置Snooping信任端口，解决私接路由器后导致办公网部分终端无法上网问题。

源终端没有任何网络配置，ping目标网段IP地址 来自 0.0.0.0 的回复：无法访问目标主机源终端只配置了IP地址，ping目标网段IP地址 来自本机IP地址的回复：无法访问目标主机源终端配置了IP地址和子网掩码，ping目标网段IP地址 来自本机IP地址的回复：无法访问目标主机源终端配置了IP地址、子网掩码和网关，ping目标网段IP地址 来自本机IP地址的回复：无法访问目标主机源终端配置了IP地址、子网掩码和网关，网关端口配置了IP地址，ping目标网段IP地址 请求超时

​IPv6：是英文“Internet Protocol Version 6”（互联网协议第6版）的缩写，是互联网工程任务组（IETF）设计的用于替代IPv4的下一代IP协议，其地址数量号称可以为全世界的每一粒沙子编上一个地址。

MSTP，即Multiple Spanning Tree Protocol，又称多生成树协议。MSTP兼容STP和RSTP，在破除环路的基础上，可以快速收敛；基于实例计算出多棵生成树，实例间实现负载分担；设置VLAN映射表，将一个或多个VLAN映射到一个多生成树（MSTP）实例（instance）上。

为了更好保证RSTP协议在网络不稳定的情况下，尽可能保证流量的正常转发，在标准协议中新增了4种保护功能。BPDU保护 边缘端口 边缘端口收到BPDU后，把边缘端口shutdown。根保护 指定端口 一旦收到更优的BPDU，把端口进入Discarding。环路保护 根端口或预备端口 如果根端口或预备端口长时间收不到来自上游设备的BPDU报文时，端口会进入Discarding状态，角色切换为指定端口，不转发报文，从而不会在网络中形成环路。TC保护 全局 在单位时间内，只处理指定次数的TC BPDU报文。

1.1P/A机制的作用为了使生成树链路上的端口（根端口、指定端口）快速进入转发状态，不用等待30秒延时（2个转发延时）。1.2P/A协商的前提条件 P/A机制的触发前提是DP端口处于Discarding状态，两台交换设备之间链路必须是点对点的全双工模式，一旦P/A协商不成功，指定端口到转发状态就需要等待两个转发延时（30秒），协商过程与STP一样。

启用STP；修改生成树协议模式为RSTP；配置根交换机和次根交换机；设置边缘端口；指定端口切换为备份端口。

RSTP是STP的改进版本，消除环路的基本思想与STP一致，具备STP所有功能，兼容STP。RSTP和STP的不同之处减少了端口状态；增加了端口角色；BPDU格式和发送方式不同；能快速收敛网络拓扑。

STP协议帧采用了 IEEE802.3封装格式，其载荷数据被称为BPDU。BPDU有两种类型:Configuration BPDU和 TCN(Topology Change Notification)BPDU。STP交换机端口状态STP的3种端口角色：根端口、指定端口、备用端口。STP的5种端口状态：根据端口是否能接收和发送STP协议帧，以及端口是否能转发用户数据帧，STP将端口状态分为去能状态、阻塞状态、侦听状态、学习状态、转发状态。

防火墙配置宗旨是人性本恶，进出防火墙的数据都要放行才能出入。是不是“好人”？要经过检查才知道。终端配置IP及网关；防火墙创建区域，区域添加相应端口；防火墙端口配置IP地址、路由；防火墙配置策略： trust-->untrust、trust-->dmz、dmz-->untrust 放行；防火墙配置源转换，实现trust和dmz区域可以访问外网；防火墙配置目标地址转换、配置策略，实现外网可以访问dmz区域服务器。

USG6000V1-zone-trust]add interface GigabitEthernet 1/0/0 //将GigabitEthernet 1/0/0端口添加到信任区域。[USG6000V1-aaa-manager-user-sshuser]service-type ssh web terminal //服务类型为ssh、web、terminal。[USG6000V1-GigabitEthernet0/0/0]service-manage ping permit //启用ping。