hcip复习

她说戴了就不算给

已于 2023-03-25 22:04:25 修改

阅读量325

点赞数

文章标签： linux 网络服务器

于 2023-03-07 15:21:31 首次发布

本文链接：https://blog.csdn.net/m0_69814268/article/details/129349918

版权

osi七层 tcp/ip四层

应用层
表示层	应用层（http，dns，dhcp）数据报文
会话层
传输层	传输层（tcp，udp）端口号数据段
网络层	网络层（ip，icmp，arp）ip 数据包
数据链路层	网络接口层（pop，dhlc）mac 数据帧
物理层	比特流

arp：

正向 ip--mac 180s

反向 mac--ip

免费自己ip1.自我介绍2.检测地址冲突

跨层封装

1.跨四层封装（不需要封装端口号）直连路由之间--ospf

三层的协议可以代替四层的端口号，所以可以跨过四层
协议号：
TCP — 6代表TCP（6是协议号）
UDP — 17 代表UDP
协议号 — 由8位二进制构成 — 0 - 255 ---- 可以用来标定跨层封装的上层协议
OSPF ---- 对应的协议号为 — 89

2.跨三四层封装直连交换设备之间

二层的type字段可以标记四层的字段，代替四层的标记上层应用，从而跨过四层
同时二层还应该可以对数据进行数据分片，完成三层的功能，但是在普通的以太网（Ethernet）二层帧中，二层不能完成对数据分片的功能，IEEE 802.3 帧的二层可以完成对数据进行分片的功能，所以在跨三层、四层中，用到的是IEEE 802.3帧

Preamble—Ethernet和IEEE 802.3的前8个和7个字符都是用来激活对应的程序
SOF — 帧首定界符（标定帧的正式开始）
Length----指后面数据部分（802.2 Header and Data）
的长度
数据链路层分为两个子层：
MAC — 介质访问控制层（对硬件进行访问和控制）
LLC — 逻辑链路控制层 — 提供分片和标定数据类型号的作用

DSAP：标识接收方上层处理数据报文的模块

SSAP：标识发送方上层梳理数据报文的模块

Control：决定我们数据传送方式的模块 1、无连接模式 2、面向连接模式----控制分片、重组、排序

ip地址

ipv4

1.abcde五类地址

2.特殊地址

3.vlsm 可变长子网掩码

4.cidr无类域间路由

ipv6

dhcp

mac与进入接口对应关系存在mac表中 300s

udp s68 d67

sIP0.0.0.0 dip255.255.255.255

smac自己 dmacffffffffffffffff

1.offer报文

2.request报文

3.ack报文

dns

端口号 53

递归查询客户机向dns服务器查地址，会让dns服务器进行下一步查询

迭代查询 dns服务器之间进行，dns2不能响应dns1，会把dns3的地址给他

http

端口号 tcp 80

GET---请求读取一个web页面

POST---附加一个命名资源（web页面）

PUT---请求存储一个web页面

1XX---100---通知信息

2XX----200---成功

3XX----300---重定向

4XX---403---客户错误

5XX---500---服务器错误--503

tcp

确认机制：传输确认，每接收一个数据段，则需要进行一次确认

重传机制：保障可靠性的最优机制，当一个数据段中某一个包丢失，会提醒要求重新传输这个报文排序机制：传输一个数据段，被分为多个报文，从而不同路径传输，最终到达目的地的顺序会被打乱，所以需要重新进行排序。根据TCP数据包中的序号字段。

流控机制：滑动窗口机制----调节窗口大小从而对流量进行控制

mtu：最大传输单元

pmtu：路径mtu发现协议

tcp的三次握手四次挥手

静态路由

1.递归查找出接口（ma)

IP route-static 网段+入接口

2.网段+出接口（需要在下一个路由器的入接口上开启arp）(p2p)

r2-GigabitEthernet0/0/1]arp-proxy enable

3.网段+出接口+入接口

4.网段+下一跳（需要提前铺垫好所有在路由递归查找过程中的所有路由项。）

拓展

1.负载均衡

2.手工汇总

3.路由黑洞

4.缺省路由

5.空接口路由

6.浮动静态路由

BFD

双向转发检测，是一种全网统一的检测机制，用于快速检测、监控网络中链路或者IP路由的转发连通状况

网络类型

hdlc

[r1-Serial4/0/0]link-protocol hdlc //修改网络类型为HDLC

Address：写的unicast，代表没有填写内容，因为点到点网络实际上不需要IP地址就可以通讯，而配置IP地址的原因，仅仅是为了服务上层协议。

Control：原本为了做一些策略，但该字段在现今串线网络当中没有备用到，使用0填充

protocol：表示上层封装协议的类型，跟以太网协议中的类型字段相似

HDLC的接口地址借用

[r1-Serial4/0/0]ip address unnumbered interface LoopBack 0 --借用环回0的IP地址

[r1]ip route-static 12.0.0.0 24 Serial 4/0/0 ----不写下一跳的原因在于，

1、如果用下一跳方式书写，则需要递归路由；

2、因为接口没有IP地址，故无法生成下一跳的直连路由。

在最后需要在双方设备补充上对端设备的静态路由信息，保障数据可以进行查表转发。将环回接口IP地址配置为对端接口IP地址的同网段地址，且掩码为32。

ppp

LCP报文类型

LCP具有三大报文类型链路配置报文----重点

链路终止报文

Terminate-Request：终止请求

Terminate-ACK：终止确认

链路维护报文

echo-request------回波请求

echo-reply----------回波应答

LCP建立

1、MRU值：在PPP数据帧中所允许携带的最大数据单元，单位字节，默认1500

2、认证方式：根据第二阶段认证来判断，若存在认证，则需要协商认证方式；若不存在认证，则不需要协商。

3、魔术字：用来检测链路中是否存在环路，是由本地设备随机生成的字符串（设备序列号、硬件地址

AAA

提供了认证，授权，计费三种功能

认证方式

认证方案用来定义用户认证时所使用的的认证方法以及每种认证方法的生效顺序。认证方案必须应用到域。

1.本地认证

设备作为认证服务器，将用户信息配置在本设备上

，2.不认证

授权方式

授权方案用来定义用户授权时使用的授权方法以及每种授权方法的生效顺序并且，也需要应用到域

1.本地授权

2.不授权

计费方式

计费方案用来定义用户计费时使用的计费方法并且，也需要应用到域

RADIUS计费

HWtacacs计费

只有一种计费方式，所以没有生效方式

配置方式

创建用户

server-aaa]local-user ccip@huawei password cipher 123456----用户名后必须跟域名

[server-aaa]local-user ccip@huawei service-type telnet

AAA方案：

[server-aaa]authorization-scheme huawei ---创建一个授权方案

[server-aaa-author-huawei]authorization-mode local ----设置该方案的授权方法

[server-aaa]authentication-scheme huawei ---创建一个认证方案

[server-aaa-authen-huawei]authentication-mode local ---设置该方案的认证方法

[server-aaa]domain huawei ---创建huawei域

[server-aaa-domain-huawei]authorization-scheme huawei

[server-aaa-domain-huawei]authentication-scheme huawei

GRE MGRE

vpn

指的是依靠ISP或其他网络管理机构在公有网络基础上构建的专用的安全数据通信网络，只不过该网络是逻辑上的而非物理的。

核心技术----封装技术

GRE

点对点隧道

希望的流量走向

192.168.1.1 /24 ----192.168.2.1/24

实际的流量走向

12.0.0.1----23.0.0.3

gre粘合后的流量走向

SIP 12.0.0.1---DIP23.0.0.3真实SIP192.168.1.1---DIP192.168.2.1

配置方式

[r1]interface Tunnel 0/0/0 //创建隧道接口

[r1-Tunnel0/0/0]ip address 192.168.3.1 24

[r1-Tunnel0/0/0]tunnel-protocol gre //定义封装方式

[r1-Tunnel0/0/0]source 12.0.0.1 //定义封装内容，注意是物理接口IP地址

[r1-Tunnel0/0/0]destination 23.0.0.3

双方均需要进行GRE配置

GRE的报文结构

GRE报文的传输过程

Keepalive检测

[r1-Tunnel0/0/0]keepalive period 2 retry-times 5

设置发送周期为2s；重传次数为5次。

如果本端隧道配置了keepalive检测功能，GRE隧道会创建一个计时器，并周期性的发送探测报文，同时进行不可达计数。

每发送一个探测报文，不可达计数+1

如果该计数器到达预先设定的值之前收到回应报文，则表明对端可达。如果计时器值达到预先设定的重传此处，还未收到对端的回应报文，则认为对端不可达。关闭隧道连接。

keepalive是不需要双方均进行配置的，仅配置一端即可进行检查。

MGRE----多点通用路由封装技术

nhrp下一跳地址解析

在私网当中选择一个出口物理IP地址不会变的设备充当NHS服务器。剩下的节点都可以知道中心的隧道IP和物理IP，然后通过NHRP要求所有的分支节点都需要将自己的物理接口 IP和隧道IP发送给该服务器（有变化就发送）。 NHS服务器将会存有所有分支节点的地址映射关系的一个动态记录。发送消息时查询该映射记录表即可

DSVPN----华为

DSVPN专门为了Hub-Spoke架构诞生服务。

通过总部中转流量会导致下述问题

1、总部在中转分支之间的数据流量时，会消耗总部hub设备的cpu和内存资源，造成资源紧张

2、总部需要对分支之间的数据流量进行封装和解封装，造成额外的网络延时

3、IPSec协议不支持广播报文和组播报文。

DSVPN通过NHRP协议动态收集、维护和发布各节点的公网地址等信息，解决了源分支无法获取目的分支的公网IP地址的问题，从而可以在分支和分支之间直接建立一条动态的VPN隧道，实现分支和分支之间的直接通讯，减轻总部的设备负担。 DSVPN借助MGRE技术，使VPN隧道能够传输组播报文和广播报文，并且一个tunnel接口可以跟多个对端建立VPN隧道，减少网络管理员的配置量。并且，在新增分支或者分支地址变化的情况下，能够自动维护总部和分支之间的隧道关系，而不需要调整任何配置。

DSVPN概念

当源spoke需要向目的spoke发送数据报文时，源spoke通过与hub节点的静态mgre隧道交互NHRP协议报文获取目的spoke节点的公网地址，并且与目的Spoke节点建立动态mgre隧道

NHRP映射表建立过程

1. 建立spoke和hub之间的MGRE隧道

2. 分支学习路由

1. shortcut方式----快捷方式

分支路由全部汇聚到总部 spoke节点只需要存放到达hub节点的路由即可一般应用在网络规模较大、分支节点较多的场景。

2. 非shortcut方式----非快捷方式

分支间相互学习路由每一个分支节点都需要学习到所有对端的控制层面的数据。

DSVPN通过NHRP协议动态收集、维护和发布各节点的公网地址等信息，解决了源分支无法获取目的分支的公网IP地址的问题，从而可以在分支和分支之间直接建立一条动态的VPN隧道，实现分支和分支之间的直接通讯，减轻总部的设备负担。

DSVPN借助MGRE技术，使VPN隧道能够传输组播报文和广播报文，并且一个tunnel接口可以跟多个对端建立VPN隧道，减少网络管理员的配置量。

并且，在新增分支或者分支地址变化的情况下，能够自动维护总部和分支之间的隧道关系，而不需要调整任何配置。当源spoke需要向目的spoke发送数据报文时，源spoke通过与hub节点的静态mgre隧道交互NHRP协议报文获取目的spoke节点的公网地址，并且与目的Spoke节点建立动态mgre隧道。一

般应用在网络规模较小，路由信息量少的网络中。

3. 建立spoke和spoke之间的MGRE隧道

shortcut方式

非shortcut方式

配置方式

ospf

OSPFv2和RIPv2对比

相同点

1、两者都是无类别路由协议---传播时携带真实掩码

2、两者的更新方式相同----组播 RIPv2----224.0.0.9 OSPFv2----224.0.0.5\224.0.0.6

3、两者均支持等开销负载均衡

不同点

RIPv2只能应用在小型网络中，OSPFv2可以应用在中大型网络环境的

ospf域

OSPF路由器角色

内部路由器（IR）

所有接口都接入同一个区域的路由器

区域边界路由器（ABR）

骨干路由器（BR）

接入Area0的路由器，包括ABR，但不包括ASBR

ASBR（AS边界路由器）

工作在OSPF自治系统边界的路由器

并不是同时运行多种路由协议的OSPF路由器就一定是ASBR，ASBR一定是将外部路由引入到 OSPF域的设备。

Hello

用来周期发现、建立、保活OSPF邻居关系，通过组播224.0.0.5发送。

10S发送一次来确认邻居的存在

hold-time----四倍的hello时间

Router-ID（RID）全域唯一，标识路由器身份用IP地址形式表示（32bit，点分十进制）

配置方法

手工配置

自动配置

默认最大环回IP地址，若没有最大环回则选择最大物理IP地址（路由器的RID选择）。

[r1]display router id //查看路由器全局ID值无论采用手工配置还是自动选择，一旦OSPF进程启动，RID被确定，则无法变化，必须重启进程才能生效。

reset ospf process 重启所有OSPF进程

注意：启动OSPF进程前，必须要有接口IP地址，若存在IP地址，则在第一次启动OSPF进程时，会选取第一个配置的IP地址为RID。但是，若删除第一个配置的IP地址后，则恢复为上述规则。在华为设备中，若没有接口IP地址，则OSPF启动后，RID为0.0.0.0 在思科设备中，若没有接口IP地址，则OSPF启动失

DBD 数据库描述报文该报文携带的是路径信息的摘要（为了减少更新量，并不会直接给邻居发送TOPO信息，而是将 TOPO信息的目录发送给邻居）

LSR 链路状态请求报文基于未知的LSA（链路状态通告）信息进行查询。

LSU 链路状态更新报文携带真正的LSA信息的数据包

LSAck 链路状态确认报文

OSPF七种状态机

down---关闭状态----一旦启动了OSPF协议，则发出hello包，并进入下一状态

init----初始化状态----收到的hello包中，存在自己的RID值，则进入下一状态

2-way----双向通讯状态-----邻居关系建立的标志。条件匹配：匹配成功则进入下一阶段，不成功则停留在

2-way exstart----预启动状态----使用未携带信息的DBD包进行主从关系选举，RID大的为主 exchange-----准交换状态----使用携带目录信息的DBD报文进行目录共享

loading------加载状态-----邻居间使用LSR/LSU/LSAck三种报文来获取完整的TOPO信息

full----转发状态----修成正果------标志邻接关系的建立。

选举过程

1. DR、BDR的选举是通过Hello报文来实现的，选举过程发生在2-way状态之后

2. 路由器将自己的接口的DR优先级填写hello报文中的“DR优先级”字段

3. 在接口视图下可以修改DR优先级（若DR优先级修改为0，则代表不具备DR和BDR的选举资格） 4. 当路由器接口激活OSPF后，首先检查网络上是否已经存在DR设备，如果存在则接收DR角色。若不存在，则拥有最高DR优先级的设备称为DR（RID）

5. BDR的选举过程和DR选举过程相同，但是是在DR选举成功之后。

OSPF工作状态

1. 启动OSPF进程

[r1]ospf 1 router-id 1.1.1.1 //进程号仅具备本地意义，手工配置RID方法

2. 创建区域

[r1-ospf-1]area 0

3. 宣告 [r1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0 //精准宣告 [r1-ospf-1-area-0.0.0.0]network 12.0.0.0 0.0.0.255 //宣告网段

宣告使用反掩码形式 32位二进制，使用点分十进制表示。连续的0+连续的1；并且0代表不可变；1代表可

华为体系中，优先级为10； OSPF的COST====参考带宽（100Mbps）/实际带宽 [r1-ospf-1]bandwidth-reference 1000 //修改参考带宽-----所有设备均需修改一条OSPF路径的Cost等于从目的地到本地路由器沿途的所有设备的入接口Cost值的总和

版本（Version）

对于OSPFv2而言，该字段值恒为

2 类型（Type）

描述OSPF数据包的类型

Hello------1 DBD-------2 LSR--------3 LSU--------4 LSACK----5

报文长度（Packet Length）

整个OSPF报文的长度-----单位字节

路由器ID 发出该报文的路由器的RID值区域ID 发出该报文的接口所属于的区域的ID值校验和验证OSPF整体数据报文的有效性验证类型指示该报文使用的认证类型

不认证---0；简单认证----1；MD5认证----2；

认证数据用于报文认证所对比的内容若认证类型为不认证，则该字段全部用0填充。

OSPF的认证功能在存在于所有的数据交互过程中，对于任何一种数据报文，都需要进行认证。在认证的过程中，需要对比两个字段，首先对比认证类型字段。若相同，才会对比认证数据字段

所有224.0.0.X格式的组播地址称为本地链路组播，目的IP地址是本地链路组播的数据包中的TTL值被设定为1。所有的本地链路组播都会存在对应的组播MAC地址，01-00-5e-后24位（组播IP地址的后24 位）。

在R2上修改网络掩码后， R2会将与R3的状态立即修改为Down状态。而R3会在40S死亡时间之后进行状态切换。原因在于，R2在修改IP地址的掩码后，会认为之前的连接中断，需要重新建立连接，所以重置状态机。而R3则认为是无法沟通。故会等待死亡时间超时后才切换状态。并且，该情况，在R3等待40S周期内，还是可以向R2转发数据，R2可以接收到该数据包，但无法回复.

Hello时间

[r1-GigabitEthernet0/0/0]ospf timer hello 20

Dead时间

[r1-GigabitEthernet0/0/0]ospf timer dead 120

注意：修改hello时间，则死亡时间随之改变，而仅修改死亡时间，hello间隔时间不变。

OSPF特殊区域标记跟修改掩码效果相同。

认证字段两者均需要等待死亡时间超时，才会从full状态切换到down状态。

DBD包

使用未携带数据的DBD报文进行主从关系选举

使用携带数据的DBD报文进行目录信息共享

使用未携带数据的DBD报文进行确认

接口最大传输单元（接口的MTU）

华为将该值设置为0

华为默认不对MTU值进行检测

[r1-GigabitEthernet0/0/0]ospf mtu-enable

如果两边均开启该功能，则会进行MTU检测，并且进行检测时，若两边不同，则状态卡在 exstart状态。

I位----主从关系选举如果该位置为1，则不会携带LSA头部。

M位----代表后续是否有多个DD报文置为1，则代表后续还有DD报文置为0，则代表该报文为最后一个DD报文

MS位----代表主设备该比特位置为1，则代表Master 在主从关系选举完成之前，各个设备均会认为自己的master。

DD序列号用于确保DD报文传输的有序和可靠性。----DD序列号逐次加1。

DD序列号必须是由Master路由器决定，而从设备只能使用Master设备发送来的DD序列号来发送自己的DD报文。（隐性确认机制）

LSA头部

当路由器使用DD报文来描述自己的LSDB时，LSA的头部信息被包含在内。一个DD报文可以包含一个或多个LSA头部信息

LSR包

基于DBD报文请求本地未知LSA信息。

链路状态类型、链路状态ID、通告路由器-----LSA三原则。---通过三个参数唯一标识一条LSA。

LSU包

lsack包

OSPF的接口网络类型

ospf的不规则区域

1.tunnel隧道

在R2和R3之间构建一条隧道，之后，将这个隧道宣告到Area0，相当于将R3这个非法的ABR设备合法化。使用vpn隧道解决不规则区域的问题 1. 可能产生选路不佳 2. 可能造成重复更新 3. 因为虚拟链路的存在，R2和R3之间也需要建立邻居。导致他们之间维护的周期性数据将穿越 Area1，导致中间区域的资源消耗过大。

2.vlink

1. 因为虚拟链路的存在，R2和R3之间也需要建立邻居。导致他们之间维护的周期性数据将穿越 Area1，导致中间区域的资源消耗过大。

2. 只能穿越一个区域。实际上，vlink不仅仅应用在我们上述两种不规则区域，还可以用来修复一些次优路径或者骨干区域不健壮问题。

3.重发布

把一种路由信息以另一种路由协议的方式发布出去。 [r3-ospf-1]import-route ospf 2 ---将OSPF进程2的路由导入到OSPF进程1 [r3-ospf-2]import-route ospf 1

六类lsa

链路状态老化时间（Link-State Age）

类型 LS ID

通告者作用范围携带信息 Type-1 LSA （Router）

通告者的 RID 区域内所有运行OSPF协议的路由器的RID 单区域本地接口的直连拓扑 16bit，单位S 当该LSA被始发路由器产生时，该值被设置为0，之后随着该LSA在网络中被洪泛，老化时间逐渐累积。

最大老化时间----3600S-----当到达该时间后，该LSA会被本地路由器删除。

在OSPF网络中，只有始发路由器能够提前使该LSA老化，并删除全网该LSA信息。组步调计时器----cisco----240S 可选项内容与hello包相同链路状态类型（Link-State Type）指代该条LSA的类型链路状态ID 用来标识LSA的，不同类型的LSA，对该字段的定义不同。通告路由器产生该LSA的路由器的RID 链路状态序列号 32位bit，逐次加一起始：0X80000001；截止：0X7FFFFFFF

序列号空间

线性序列号空间循环序列号空间棒棒糖序列号空间校验和会参与到LSA的新旧关系对比。

判断LSA的新旧关系

链路状态序列号、老化时间、校验和

1. 具备较高序列号的LSA信息更优 2. 具备相同序列号的LSA，选择拥有较大校验和的LSA 3. 具备相同序列号和校验和，如果某条LSA的老化时间被设置为最大老化时间，则认为该LSA最新。 4. 具备相同序列号和校验和，没有任何一条LSA的老化时间为最大老化时间，会对比两个LSA的老化时间之差。

1. 当差值大于15min（MaxAge Diff：一个LSA实例从始发设备发出，直到被洪泛到整个AS边界所需要的最长时间），会认为两条LSA是不同的，选择较小的LSA 2. 当差值小于等于15min，会认为两条LSA相同，选择随机一