Noel_Xie的博客

动态路由协议按用途分类可以分为内部网关协议（IGP）和外部网关协议（EGP）。一个Internet网可以被分成多个域或多个自治系统，各自治系统通过一个核心路由器连到主干网上，每个自治系统都有自己的路由技术，对不同的自治系统路由技术是不相同的。所谓内部网关协议，就是指用于自治系统内部的路由协议，而外部网关协议，就是指用于自治系统间接口上的单独的协议。动态路由协议按操作可以分为距离矢量路由协议、链路状态路由协议或路径矢量路由协议。

因此，当路由器接收到来自一个网络接口的数据包时，首先根据其中所含的目的地址查询路由表，决定转发路径（转发接口和下一跳地址 ），然后从 ARP缓存中调出下一跳地址的MAC地址， 将路由器自己的MAC地址作为源MAC，下一跳地址的MAC作为目的MAC封装成帧头，同时IP 数据包头的 TTL（Time To Live ）也开始减数 , 最后将数据发送至转发端口，按顺序等待，传送到输出链路上去。指定两个下一跳，通过调整AD值，正常情况下，AD值小的路由加表，AD值大的大的隐藏在后台，

5.3、静态路由与NQA联动特性即为静态路由绑定NQA测试例，利用NQA测试例来检测静态路由所在链路的状态，根据NQA的检测结果，决定静态路由是否活跃，达到避免通信的中断或服务质量降低的目的。如果不配置静态缺省路由，则需要在RouterA上配置到网络3、4、5的静态路由，在RouterB上配置到网络1、5的静态路由，在RouterC上配置到网络1、2、3的静态路由才能实现网络的互通。这样，通过控制静态路由的优先级和前缀长度，使Ping数据包始终通过静态路由转发，就可以检测出链路的有效性。

pc在基于端口的 trunk 配置中，需要指定 trunk 的 ID 号，这个 trunk 中的端口成员有哪些，这个 trunk 的状态是允许还是禁止以及是交换机之间的连接还是交换机和服务器之间的连接。而且每个 trunk只能由前四个或者是后四个端口中的成员组成，比如只能由 1，2，3，4 或是 5，6，7，8 组成， 而不能由 2，3，6 组成一个 trunk。交换机之间的trunk连接和交换机和服务器之间的trunk 连接有一定的不同，应用是可以通过选择交换机选项或者是服务器选项来完成。

这样，就需要提供大量的VLAN来隔离不同用户的不同业务，而汇聚层网络接入设备可以提供的VLAN数量有限，所以需要在园区交换机上完成VLAN的汇聚功能，将由多个VLAN发送的不同用户的相同业务采用同一个VLAN进行发送（N to 1的VLAN Mapping）。1、场景一：两个VLAN相同的二层用户网络通过骨干网络互联，为了实现用户之间的二层互通，以及二层协议（例如MSTP等）的统一部署，需要实现两个用户网络的无缝连接，此时就需要骨干网可以传输来自用户网络的带有VLAN Tag的二层报文。

ID只有12个比特，仅能表示4096个VLAN域，随着网络规模的扩大，4096个VLAN域已无法满足网络扩容的需求，为此，IEEE 802.1ad中在原有的802.1Q报文的基础上增加一层802.1Q Tag（也叫做VLAN Tag或标签），使VLAN数量增加到4094×4094，这种双层Tag的报文就叫做QinQ报文。如下图所示，PC、VOIP、IPTV由于应用场景和需求不同，在企业内部属于不同的VLAN，访问公网时，针对不同的内层VLAN Tag添加不同的外层VLAN Tag。

VLAN中继协议(VTP，Vlan Trunking Protocol)是思科开发的，它的基本目标是，管理交换型互联网络中配置的所有VLAN,确保整个网络的一致性。VTP让你能够添加、删除和重命名VLAN,这种信息随后将传播到VTP域中所有的交换机。

当VLAN ID与PVID不同时，丢弃该数据。1.接收方向：不会进行tag的剥离/弹出（永远不会剥离VLAN Tag）。剥离tag，发送出交换机（一般连接用户PC等不识别VLAN的接口）。当VLAN ID与PVID相同时，接收该数据；打上缺省的VLAN ID，当缺省VLAN ID。打上缺省的VLAN ID，当缺省VLAN ID。打上缺省的VLAN ID，当缺省VLAN ID。打上缺省的VLAN ID，当缺省VLAN ID。当VLAN ID与缺省VLAN ID。当VLAN ID与缺省VLAN ID。

如果企业规模很大，拥有大量的用户，那么就要为不能互相访问的用户都分配VLAN，这不但需要耗费大量的VLAN ID，还增加了网络管理者的工作量同时也增加了维护量。MUX VLAN（Multiplex VLAN，多复用VLAN）提供了一种通过VLAN进行网络资源控制的机制。MUX VLAN分为Principal VLAN和Subordinate VLAN，Subordinate VLAN又分为Separate VLAN和Group VLAN。隔离vlan只能访问主vlan，隔离vlan之间之内不能互通；

需要注意的是，类似的加速VLAN间路由的手法多由各厂商独有的技术所实现，并且该功能的称谓也因厂商而异。随着宽带连接的普及，宽带路由器(或者叫IP共享器)变得较为常见，但是需要注意的是，它们上面虽然带着多个(一般为4个左右)连接LAN一侧的网络接口，但那实际上是路由器内置的交换机，并不能分割广播域。再从A发出广播帧的话，交换机就只会把它转发给同属于一个VLAN的其他端口——也就是同属于红色VLAN的端口2，不会再转发给属于蓝色VLAN的端口。这些被分割的数据，“发送的目标”是完全相同的。

回答当然是否定的，在S3526的三层转发流程中，过程一般都是这样的，第一 个报文硬件无法转发，要进行IP 地址的学习，同时为了保证不丢包，该报文也由软件来进行转发，在学习完成以后，第二，第三个报文以后就一直是由硬件来完成转发了。根据这个地址是源，还 是目的，还可以有源解析，目的未解析等等的组合。收到报文后，判断该报文是二或是三层报文，然后判断其中的源， 目的地址是否已经解析，如果已经解析，则硬件完成该报文的转发，如果是未解析的情况，则产生CPU中断，靠软件来学习该未解析的地址。

IP地址的格式为: IP地址 = 网络地址 + 主机地址 或者 |P地址=主机地址 + 子网地址 +主机地址。（10101）2进制=1*2^(5-1)+0*2^(4-1)+1*2^(3-1)+0*2^(2-1)+1*2^(1-1)1的权重为：2^（2-1）=2^1=2；IP地址表示为32位二进制数，8为一组，则每一组范围为：00000000到11111111（即十进制表示为0到255）。D类地址：只能作为逻辑地址存在，不能配置在设备接口上。例如：二进制数，10，0的权重为：2^（1-1）=2^0=1；

当设备没有VPN实例的时候，或者所有的VPN实力都不接收带有该RT的路由，那么VPNV4也不会保存（节省内存）VPNv4路由——建立BGP VPNv4邻居。自身始发的路由，下一跳都是0.0.0.0！BGP的聚合路由，下一跳是127.0.0.1。undo policy vpn-target //关闭基于RT属性的路由过滤（RR上配置）policy vpn-target //开启基于RT属性的路由过滤；VPNV4路由 经过RT的过滤，导入到VPN实例中。VPN实例路由---> 导入到VPNv4路由。

缺点：不同的VPN用户不能共享相同的地址空间，即使可以共享，则PE与CE之间的地址、tunnel之间的地址一定不能相同，并且必须使用大量的ACL和策略路由。RD（路由区分器，route distinguishers），64bit，64bit的RD + 32bit的IPv4地址就是96bit的VPNv4。（运营商的设备：RTD）隧道建立在PE上，不同的VPN用户不能共享相同的地址空间，并且必须使用大量的ACL和策略等等特点。隧道建立在CE上，不同的VPN用户可以共享相同的地址空间不冲突，需要用户自己维护。

统一模式，IP报文经过MPLS网络时，在入节点，IP TTL减1映射到MPLS TTL字段，此后报文在MPLS网络中按照标准的TTL处理方式处理。管道模式，在入节点，IP TTL值减1，MPLS TTL字段为固定值，此后报文在MPLS网络中按照标准的TTL处理方式处理。标签操作类型包括标签压入（Push）、标签交换（Swap）和标签弹出（Pop），它们是标签转发的基本动作。如果标签值>=16，则用新标签替换MPLS报文中的旧标签，同时处理TTL，然后将替换完标签的MPLS报文发送给下一跳。

2.2 有序标签分配控制方式（Ordered），对于LSR上某个FEC的标签映射，只有当该LSR已经具有次FEC下一跳的标签映射消息，或者该LSR就是此FEC的出节点时，该LSR才可以向上游发送此FEC的标签映射。LDP通过发送标签请求和标签映射消息，在LDP对等体之间通告FEC和标签的绑定关系来建立LSP，而标签的发布和管理有标签发布方式、标签分配控制方式和标签保持方式来决定。3.2、远端LDP会话：Remote LDP Session，建立会话的两个LSR之间可以是直连的，也可以是非直连的。

2.2 、标签转发信息表LFIB：Label Forwarding Information Base，简称标签转发表，由标签分发协议在LSR建立LFIB，负责带MPLS标签报文的转发。2.2 、在MPLS中，标签可以多层，即标签嵌套，主要应用在MPLS VPN、TE FRR（Traffic Engineering Fast ReRouter）中。1.2、 标签分发协议LDP：Label Distribution Protocol，负责标签的分配、标签转发信息表的建立、标签交换路径的建立、拆除等工作。

目前我们已经掌握了设置PIX的六大基本命令，通过这六个命令我们已经可以让PIX为我们的网络服务了。不过让网络运行 还远远不够，我们要有效的利用网络，合理的管理网络，这时候就需要一些高级命令了。

OSPFv2中当Link-type不同的时候，用于描述邻居的方式也不同，比如link-type=P2P时候采用邻居的router-id描述该邻居，当Link-type=transit使用DR接口的IP地址描述伪节点。OSPFv3：前缀三元组：前缀长度，/64、/128，前缀Options，只在描述路由前缀的LSA中存在，路由前缀，2001:12::。9类LSA作用：在OSPFv3中1类2类LSA不在包含叶子信息，为了实现路由计算和拓扑计算分离使用9类LSA，描述区域内的叶子信息。1类：Stubnet；

答：如果AR6上一条路由，那么AR2作为ABR将会把Area 3的路由，传递给Area 1以三类的形式存在，AR2也会通过虚链路传递给AR4，此时对于AR4来说，此时AR4可以通过Area 1中的3类计算出这个路由，将不会把从虚链路邻居AR2接收到的这条三类传递到Area 1，如果传递到Area 1，那么对于AR3来说在选路的时候有可能会走AR4，AR4又走AR3，将产生环路。3、ABR通过虚链路得到的3类LSA和1类LSA，如果在虚链路所经过的区域不存在，则忽略此3类LSA，不会继续泛洪到其他区域。

AR1-bgp]peer 10.0.12.2 default-route-advertise route-policy 11 conditional-route-match-any 0.0.0.0 ，条件产生缺省路由并且改变缺省路由的属性。正则表达式，as-path过滤器，对于BGP的as-path属性实际上可以看成是一个包含空格的字符串。

IP路由表（全局路由信息库，包括所有IP路由信息）、BGP路由表Loc-RIB（BGP路由信息库，包括本地BGP Speaker选择的路由信息）、邻居表（对等体邻居清单列表）、Adj-RIB-In（对等体宣告给本地BGP Speaker的未处理的路由信息库）、Adj-RIB-Out（本地BGP Speaker宣告给指定对等体的路由信息库）OSPF：分为两种撤销方式，区域内：触发更新，产生一个新的LSA，描述最新的链路状态信息，被undo的接口不在进行发送。OSPF，ISIS，BGP如何撤销一条路由？

AR1-bgp]peer 10.0.12.2 route-limit 10 70 {alert-only，idle-forever，idle-timeout}，设备允许从邻居接收的路由数量，且超过百分之70时产生告警。[AR1-bgp]peer 10.0.12.2 valid-ttl-hops 2（2，缺省为255，配置为2时，被检测的报文的TTL有效范围为255-2+1到255之间）[AR1-bgp]as-path-limit 3，当BGP路由器携带的AS号超过3个的时候，将不在接收BGP路由。

若BGP设备接收到BGP路由，发现as-set/as-set-confed携带自身的AS号，将不接收路由。当BGP设备，收到一条路由，若路由携带的起源ID与自身的Router-ID相同，则不接收该路由。当BGP设备从EBGP邻居接收路由时，若路由携带的AS号与自身AS号相同，则不接收该路由。as-set-confed：1、当产生BGP路由聚合之后，使用as-set/as-set-confed携带明细路由的as号。2.2、集群间的防环：当RR反射出去一条路由的时候，将会把自身的簇ID，加入到簇列表中。

基于成员EBGP邻居之间传递路由，当做IBGP等同对待原则：从成员EBPG邻居接收到的路由，传递给其他成员EBGP邻居和IBGP邻居时无法使用next-hop-local修改下一跳属性。从联盟EBGP邻居接收的路由，传递给成员EBGP/IBGP邻居，下一跳不变（可以修改），在bgp进程中配置命令“peer 10.0.23.3 next-hop-local”。将大的AS划分为几个子AS（成员AS），每个子AS内部建立全连接的IBGP邻居，子AS之间建立EBGP邻接关系。

路由反射器——备份RR：两台设备之间建立普通的IBGP邻居关系，设置相同的BGP簇ID，[AR1-bgp]reflector cluster-id，手动配置。由每个路由发射器RR产生，记录反射路由经过的集群。3、当RR设备接收了一条路由之后，如果路由携带的簇列表包含自身的簇ID，将不接收该路由。1、起源ID：当RR反射一条路由时，将会给路由添加一个起源ID，这个起源ID取值产生这的Router-ID。2、当BGP路由器收到一条BGP路由，如果路由携带的起源ID和自身Router ID一致，则不接收该路由。

AR1-isis-1]import-route isis level-1 into level-2 filter-policy route-policy ，执行路由泄露时进行路由过滤。[AR1-isis-1]domain-authentication-mode md5 plain hcie all-send-only，发送报文携带认证，接收报文不进行 认证。附加系统ID（[AR1-isis-1]virtual-system 0000.0000.0006，配置虚拟系统ID，跟系统ID一样需要唯一）。

AR3-isis-1]set-overload，如果在AR3设备的ISIS进程中配置该命令使得AR3产生LSDB的OL置位为1，AR1到AR4不会在AR3进行转发。置位之后的影响：当其他ISIS路由器接收到OL=1的LSP时，将不会计算该LSP的拓扑信息，只会计算该LSP的叶子信息。默认L1/2的路由器，满足存在不同区域的L2的邻居才能够产生ATT置位的L1 LSP（L2 LSP ATT不会置位）。默认L1/2的路由器，会将L1的路由，以叶子的形式放入到L2的LSP中（COST继承）。

发送端主机收到这个arp应答报文后，会吧网关的MAC地址和网关的IP添加进ARP表项中，发送端给目的端主机发送数据，需要先解析目的端主机的MAC地址，发送一个ARP请求报文（源IP和源MAC是发送端主机的，目的IP是目的端主机的IP地址，目的MAC是网关的MAC）数据帧是由源MAC地址和目的MAC地址组成的，如果发送者只知道目的主机的IP地址，不知道目的主机的MAC地址，就不能把这个数据包转化成数据帧发送，ARP协议就是负责地址解析，使用目的主机的IP地址来解析对方的MAC地址。冲突，导致ARP泛洪。

下一跳地址要跟目的站点的公网地址计算出的地址需要一致（1.1.1.1对应的IPv6地址：2002:0101:0101::1）MTU默认最大1500字节，可手动修改，修改后，华为可接受的MTU默认有效时间为10分钟，最小MTU在10分钟之后会刷新。6to4隧道根据目的IPv6地址的16~48bit中，提取出IPv4地址，即封装的目的IPv4地址。2、GRE具有简单的认证方式key，以及keeplive保活机制，可以检测隧道的存活。作用：在整个IPv6报文的转发路径上，探测最小的MTU值，构建报文的大小。

AR3-GigabitEthernet0/0/0]ipv6 nd ra prefix 2001::1 64 10000 1000 no-autoconfig，让该前缀Abit置位为0，不能使用该前缀获取自动配置地址。所有的单播IPv6地址在DAD之前都叫做试验地址。修改路由器发送RA的优先级，客户端收到RA消息，谁的优先级高则选择谁的前缀进行IPv6地址的自动配置。3、如果其他设备配置了使用SLAAC创建本地单播地址，那么将会使用RA消息中的前缀结合EUI-64的方式产生接口ID，形成一个IPv6地址。

根据通信子网的特性，最佳的利用网络资源，为两个端系统的会话层之间，提供建立、维护和取消传输连接的功能，负责端到端的可靠数据传输。提供各种用于应用层数据的编码和转换功能，确保一个系统的应用层发送的数据能被另一个系统的应用层所识别。2、常见的设备：集线器、中继器、调制解调器、网线、双绞线、同轴电缆等。建立了主机端到端的链接，为上层协议提供端到端的可靠和透明的数据传输服务，包括处理差错和流量控制等问题。POP3协议、SMTP协议等。3、该层的主要作用：物理地址寻址、数据的成帧、流量控制、数据检错、重发等。

IPv6组播的MAC地址映射：33-33是专门为IPv6组播预留的MAC地址前缀，MAC地址的后32bit从对应的组播IPv6地址的后32bit拷贝而来。PI法则=3.14，全球路由前缀：3代表三个16位组，即48bit。加入的被请求节点组播地址的：FF02::1:FF00:0/104 前104bit固定，后24bit复制单播地址的后24bit，形成被请求节点组播地址。则该地址范围为：FE80::~FEBF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF，可用地址将最后一个F变为E。

在单播MAC地址中，第1个Byte的第7bit是U/L（Universal / Local，也称为G/L，G表示Global）位，用于表示MAC地址的唯一性。EUI-64：扩展的唯一标识，根据接口的MAC地址，产生IPv6地址后64bit。好处：MAC地址全球唯一，所以根据MAC地址产生的接口ID部分，能够更加有效的防止IPv6地址的冲突。在EUI-64接口ID中，第7bit的含义与MAC地址正好相反，0表示本地管理，1表示全球管理，所以如果U/L=1，则地址是全球唯一，如果如果U/L=0，则为本地唯一。

WLAN技术WLAN：Wireless LAN，无线局域网。注意：只有802.3协议的是以太网，其他不是以太网，比如802.11的Wi-Fi；以太网默认全双工！！！CSMA/CD，载波侦听多路访问/冲突避免。WLNA设备：家用wifi路由器（FAT-AP，胖AP）、无线接入点AP（FIT-AP，瘦AP）、无线接入控制器AC、PoE交换机等。PoE分为16.4W和30W，选设备时一定注意功率瓦数。基本的WLAN组网架构1、FAT AP，胖AP架构；2、AC+FIT AP，瘦AP架构；

SW1-GigabitEthernet0/0/1]dhcp snooping sticky-mac，//开启设备基于DHCP snooping表项粘滞功能的MAC地址表学习机制，默认关闭MAC地址表学习功能，且报文不予转发。[SW1-GigabitEthernet0/0/1]dhcp snooping check dhcp-request enable //开启DHCP请求消息与绑定表匹配查询。如何判断发生了饿死攻击：可以通过检查DHCP服务器地址池分配是否存在异常来判断是否发生了饿死攻击！

ipconfig /release，PC释放自动获取的地址；ipconfig /renew，PC从新获取一下地址。DHCP，属于应用层的协议（使用UDP协议封装，客户端端口：68，服务器端端口：67，中继端的端口：67）1、该PC所处的网段的网关地址在哪里，中继就在哪个接口下配置。DHCP基本工作过程；DHCP Relay基本工作过程；如果是VRRP环境，需要在多个物理接口下配置中继。两种配置方式：1、接口配置；DHCP中继最多可中继16次。区分报文类型和消息类型；

（第一位 1：CSS-ID为1的交换机，第二位 0：槽位号，第三位 0：当前槽位的板卡号，第四位 1：接口编号）华为当中有2种方式分别为：直连检测，代理检测。堆叠是指将多台支持堆叠特性的交换机通过堆叠线缆连接在一起，从逻辑层面变成一台交换机，作为一个整体进行数据转发，公用一个VRP系统。3.1 堆叠卡堆叠：专用的拓展堆叠卡（可拆卸），还有集成的堆叠卡（一体，不可拆卸），需要购买专业的堆叠线缆。在堆叠系统稳定运行后，如果交换机之间的堆叠线缆断开或者故障，那么将会出现2个堆叠系统，这个过程叫做堆叠分裂。

初始状态下所有交换机都会认为自己是根桥，交换机会将自己所有的接口变为DP角色处于discarding状态，发送以自己为根的BPDU，交换机通过比较BPDU选举出根桥，根桥的选举原则是选举BID小的成为根桥。3、ERSPAN——三层远端端口镜像。当根端口选举完成以后，每台非根桥都会计算出一个BPDU参数，并且从DP接口向外发送，同时对自己计算出的BPDU参数和接收到的BPDU参数进行比较。当根桥选举完毕后，在每一台非根桥上选举一个根端口，根端口的选举原则为：非根交换机上接收最优BPDU的接口成为根端口。

port-security protect-action protect（保护模式）/restrict（华为默认该模式，阻断模式-阻断发送的数据包并且告警）/shutdown（端口shutdown模式-将端口shutdown）4、MAC地址表绑定——进入接口视图，port-security mac-address XX.XX.XX.XX，接口的MAC地址静态绑定，不会随着交换机重启而丢失，写在配置文件中。port-security mac-address sticky，基于粘滞的安全静态MAC地址表项。