君逍遥o

随着网络的不断发展，业务流量类型的不断增加，若要实现对不同的业务流量提供差分服务，前提就需要设备能够对这些流量进行分类和识别，然后对不同类型的流量提供相应的差分服务行为。本章主要介绍了设备如何对接收的流量进行分类和标记以及相对应的配置命令实现。

随着网络的不断发展，网络规模及流量类型的不断增加，使得互联网流量激增，产生网络拥塞，增加转发时延，严重时还会产生丢包，导致业务质量下降甚至不可用。所以，要在IP网络上开展这些实时性业务，就必须解决网络拥塞问题，而解决网络拥塞的最直接的办法就是增加网络带宽，但从网络的建设成本考虑，这是不现实的。Qos (Quality of Service)技术就是在这种背景下发展起来的。在带宽有限的情况下，该技术应用一个“有保证”的策略对网络流量进行管理，并实现不同的流量可以获得不同的优先服务。

随着网络新技术快速发展，用户对采用任意终端设备，随时随地接入网络有了强烈诉求，但是传统企业园区网络是以IP为中心的网络，不同的办公地点规划不同的IP地址段，并且根据IP地址范围定义网络的控制策略，限制用户的网络接入权限。用户要随时随地接入网络，会面临严峻挑战。因此，华为公司推出了Agile Controller产品，Agile Controller可以形象的比喻成智慧的园区大脑，在SDN集中化控制思想的指导下，动态调配整个园区的网络与安全资源，让网络更敏捷地为业务服务，解决用户的诉求。

eSight是华为公司研制的面向企业有线/无线园区、企业分支的运维管理系统，实现对企业资源、业务、用户的统一管理以及智能联动。本章将主要介绍eSight的一些基本功能，包括安全管理、资源管理、告警管理以及性能管理;对于eSight的其他功能:如配置文件管理、日志管理、WLAN无线网络监控与配置管理、MPLS VPN网络监控与配置管理以及iPCA、SLA、网络流量分析管理等模块的深入学习，可以参考NMS (Network Management System）官方教材。

随着网络技术的飞速发展，企业网中网络设备的数量成几何级数增长，网络设备的种类也越来越多，这就使得企业网络的管理变得十分复杂。为此，华为推出新一代面向企业网络的运维管理系统eSight，实现对不同种类和厂商的网络设备进行统一管理，网络和业务的快速部署与维护，大大提升了网络的管理效率。那eSight相对其他网管软件都拥有什么优势?它是如何进行安装和部署的?

在网络维护的过程中会遇到需要对报文进行获取和分析的情况，比如怀疑有攻击报文，此时需要在不影响报文转发的情况下，对报文进行获取和分析。镜像技术可以在不影响报文正常处理流程的情况下，将镜像端口的报文复制一份到观察端口，用户利用数据监控设备来分析复制到观察端口的报文，进行网络监控和故障排除。⦁ 镜像的特点：⦁ 在网络维护的过程中会遇到需要对报文进行获取和分析的情况，比如怀疑有攻击报文，此时需要在不影响报文转发的情况下，对报文进行获取和分析。

4.使能根据DHCP Snooping绑定表生成接口的静态MAC表项功能，以防止非DHCP用户攻击。3.使能ARP与DHCPSnooping的联动功能，保证DHCP用户在异常下线时实时更新绑定表。6.配置DHCP报文上送DHCP报文处理单元的最大允许速率，防止DHCP报文泛洪攻击。配置接口的信任状态：将连接DHCP Server的接口状态配置为“Trusted”5.使能对DHCP报文进行绑定表匹配检查的功能，防止仿冒DHCP报文攻击。配置DHCP报文上送DHCP报文处理单元的最大允许速率为10pps。

一个网络如果要正常地运行，则网络中的主机(Host)必需要知道某些重要的网络参数，如lP地址、网络掩码、网关地址、DNS服务器地址、网络打印机地址等等。显然，在每台主机上都采用手工方式来配置这些参数是非常困难的、或是根本不可能的。为此，IETF于1993年发布了动态主机配置协议( DHCP : Dynamic HostConfiguration Protocol)。DHCP的应用，实现了网络参数配置过程的自动化。那么DHCP技术具体是如何实现的呢?面对网络规模的扩大，DHCP又是如何应对的?

PE 路由器为 BGP/MPLS VPN 网络的边缘路由器，用于连接客户的CE 设备，通过需要运行 MP-BGP（Muti-Protocol BGP）、IGP、MPLS 和LDP，并为不同的VPN 客户配置 VPN 实例。传统的 BGP 只能维护单一路由表的路由信息，无法为地址重叠的不同客户直接提供服务，所以在 BGP/MPLS VPN 中使用了 MP-BGP，它可以通过VPNv4 地址族来区分不同客户的网络层地址信息，并使用 VPN 实例区分不同VPN 客户的路由及流量。

LSP 具有单向性，且有静态 LSP 和动态 LSP 之分，静态LSP 需要人工进行固定的标签分配，动态 LSP 需要利用诸如 LDP （Label Distribution Protocol ,标签分发协议）这样的协议进行动态标签分配。配置完成后，在R1 R2 R3 上查看一下，可以看到 R1 已经拥有了去往 R3 的静态 LSP，且在本地的 In标签为 NULL，说明 R1 是该 LSP 的Ingress.测试 MPLS 连通性，可以看到 R1 R3之间可以通过 MPLS 的LSP 进行报文的转发。

随着设备硬件性能不断提升，MPLS在提高数据转发速度上的优势逐渐弱化，但其支持多层标签嵌套和设备内转控分离的特点，使其在VPN、TE等新兴应用中得到广泛应用。传统的VPN存在一些固有缺陷，导致客户组网时很多需求不能满足。MPLS VPN将传统的两种VPN模型整合到一起，推动了VPN的发展。

90年代初，互联网流量快速增长，而由于当时硬件技术的限制，路由器采用最长匹配算法逐跳转发数据包，成为网络数据转发的瓶颈。快速路由技术成为当时研究的一个热点。在各种方案中，IETF确定MPLS协议作为标准的协议。MPLS采用短而定长的标签进行数据转发，大大提高了硬件限制下的转发能力;而且MPLS可以扩展到多种网络协议（如IPv6，IPX等)。⦁ MPLS协议从各种链路层协议（如PPP、ATM、帧中继、以太网等）得到链路层服务，又为网络层提供面向连接的服务。

很明显，R2 学习R3 的环回口，直接从R3学习到的最科学，如果从 R1 学习的，需要从R1 中转一次，不科学。这是因为 RIP v1 中没有next hop 字段，无法记录路由是怎么来的，而RIP v2 则有next hop 字段，可以明确的记录路由的由来。==========

上面是通过在不连续的子网这间的链路上配置相同主网的子网IP 地址，即采用配置从IP 地址的方式来实现子网的连续性，此种做法的优点是 RIPv1 在不做大的拓扑调整的前提下仅靠第二个IP 地址就解决了不连续子网问题，不足之外是需要配置第二个IP 地址，要消耗掉多个子网网段。断掉R3 与S1 之间的链路，模拟器直接删除线，然后查看 R1的路由表，192.168.1.0 仍然存在，这是因为断掉的不是 R1 的直连接口，R1 此时无法直接感知故障的发生，路由条目等 180s 的老化计时器超时后，才会删除。

垃圾收集定时器：老化计时器记录的路由超时，在rip数据库表中metric为16跳的路由，这种路由发给其它路由器只要是为了防止环路，由于rip是不可靠的UDP传输的协议，所以 路由器并不是发送一次就把16跳的路由删除，而是会保持120s（相当于发送4次），120s过后就会从database中删除这条16跳的路由。因此R1 发送的版本1的报文，R2不能正确接收，所以R2 路由表中没有192.168.1.0，而R2发送的版本2的报文，能够被R1 处理接收，所以R1 的路由表中有192.168.2.0。

RIPv1报文结构⦁ RIP每条消息包含两个部分，分别为Header和Route Entries。其中Header包含Command和Version。Route Entries最多包含25个路由条目，每个路由条目包含Address Family Identity、路由可达的IP地址和跳数。⦁ 报文格式各个字段解释如下：Command：取值1或2，当取值为1时表示该消息为请求消息；当取值为2时表示该消息为响应消息。Version：当取值为1时表示该消息为RIPv1消息；

手工创建IPSec策略，每一个IPSec安全策略都使用唯一的名称和序号来标识，IPSec策略中会应用IPSec提议中定义的安全协议、认证算法、加密算法和封装模式，手工创建的IPSec策略还需配置安全联盟（SA）中的参数。创建IPSec提议，并进入IPSec提议视图来指定安全协议。执行proposal 指定IPSEC策略所引用的提议。在物理接口应用IPSec策略，接口将对感兴趣流量进行IPSec加密处理。执行display ipsec policy命令，验证配置结果。

IPSec是IETF定义的一个协议组。通信双方在IP层通过加密、完整性校验、数据源认证等方式，保证了IP数据报文在网络上传输的机密性、完整性和防重放。⦁ 机密性（Confidentiality）指对数据进行加密保护，用密文的形式传送数据。⦁ 完整性（Data integrity）指对接收的数据进行认证，以判定报文是否被篡改。⦁ 防重放（Anti-replay）指防止恶意用户通过重复发送捕获到的数据包所进行的攻击，即接收方会拒绝旧的或重复的数据包。

当路由丢失时，在 EIGRP 重新计算新的 successor之前，它必须获得所有邻居对 query 消息的 reply.默认情况 下，如果某个邻居 在 3 分钟以内没有对 query 消息做出 reply ，那么这条路由将 stuck in active －SIA，并且路由器将重置与这个邻居的邻居关系。当某条路由丢失，并且没有可行后继进 FS，EIGRP 会发送query,丢失的那条路由处于 active 状态query将被发向所有的邻居，除了原生的后继者 successor.

每次转发，路由都增加了一跳的距离。EIGRP的hello包更新时间为5秒，死亡时间为15秒，如果有一个进程的hello时间改成大于了5秒，在5秒内对方没有收到hello包就会认为没有邻居，此时也起不来邻居，但是过了改了的时间后又会给对方一个hello包，对方过5秒就回了hello包，此时邻居又会起来，所以hello时间不同时会出现邻居时而有时而又断了的情况。如果一个报文找不到一条匹配的路由，会被送到路由器CPU，当有大量的这样的路由出现的时候，会导致CPU负载很高，所以这样做可以减轻路由器CPU负荷。

EIGRP的hello包更新时间为5秒，死亡时间为15秒，如果有一个进程的hello时间改成大于了5秒，在5秒内对方没有收到hello包就会认为没有邻居，此时也起不来邻居，但是过了改了的时间后又会给对方一个hello包，对方过5秒就回了hello包，此时邻居又会起来，所以hello时间不同时会出现邻居时而有时而又断了的情况。query：当路由器进行路径计算并且没有可信后继时，它发送质询包到它的邻居，询问他们是否有可行后继到此目的地，质询包通常使用组播但是在特定的情况下可以使用单播进行重新传送。

在启动了环路保护功能后，如果根端口或Alternate端口长时间收不到来自上游的BPDU，则会向网络管理员发送通知信息，如果是根端口则进入Discarding状态，阻塞端口则会一直保持在阻塞状态，不转发报文，从而不会在网络中形成环路。对于启用了根保护功能的端口，其端口角色不能成为根端口，一旦启用根保护功能的指定端口收到了优先级更高的BPDU时，端口将进入Discarding状态，不再转发报文。原先的根端口会转变为指定端口，而原先的阻塞端口会迁移到转发状态，从而造成交换网络中环路的产生。

但是在华为的交换机上，如果运行STP的设备被关机或移走，那MSTP/RSTP交换机的端口无法自动迁移回RSTP/MSTP模式，此时需要在相应的端口上执行Mcheck操作，将端口手动迁移回RSTP/MSTP模式。而与S6相连，运行STP协议的e0/0/2端口，还停留在Discarding状态，需要经历Learning 状态后再到Forwarding状态，所以当运行STP的交换 机加入到RSTP网络中后，会造成生成树网络的收敛时间变慢。S6关闭e0/0/2口，查看S4 S5 的 e0/0/2端口协议。

从包含的范围来看，IST是最小的，仅属于一个MST区域内部，CST次之，则是MST区域间的互联生成树实例，而CIST则最大，包括了IST和CST。在实例1中，SW2 的优先级低于SW4，所以g0/0/1被计算为根端口。g0/0/1和g0/0/2在实例1上都被计算为指定端口。SW3 的g0/0/1 在CIST和实例1中为根端口, SW3 的g0/0/2 在CIST和实例1中都是指定端口。因为SW4 在实例1中优先级为 0 更优，所以g0/0/1 在实例 1 上为指定端口 DP，

Anycast RP采用了一种很新颖的思路来实现多个RP的负载与冗余，它通过在组播网络中将2个或者2个以上的RP配置成相同的RP地址来实现冗余和备份功能，每个RP路由器上都创建一个loopback接口来充当RP，并且该接口地址的掩码必须是/32位的，然后将该地址通过动态路由协议发布到网络中，因为所有RP的这个loopback接口地址全部是一样的，所以能够实现冗余功能，当其中某一台RP出现故障后，流量可以很平滑地被转移到另一台RP上，这都是因为所有RP的地址是同一个地址。

你是公司的网络管理员。公司网络分成两部分，其中R1与S1在公司总部，R2与S2在公司分部，之间通过专线实现互联。随着网络的发展，内网带宽逐渐增大，而专线的带宽一直没有升级，所以网络中出现了比较严重的重要业务反应较慢，或无法正常使用的情况。使用QoS的差分服务，你可以调整相应的QoS特性，保证重要的业务数据能更好的发送给目标。实验中，S3和S4使用NQA相互发送数据，模拟大量数据流的发送。R3、R4与R5模拟客户端和服务器，测试重要应用是否可以正常使用。

你是公司的网络管理员。现在公司的网络中有五台AR G3路由器，其中R1、R2、R3和R4在公司总部，通过以太网互联。R5在公司分部，R3通过专线与公司总部的R3相连。由于网络规模较大，为了控制LSA的洪泛，你设计了多区域的OSPF互联方式。

在IS-IS 网络中，有时需要使用 filter-policy 工具对 IS-IS 路由进行过滤。这里所说的过滤，是指路由器在将自己IS-IS 路由表中的某些 IS-IS 路由纳入进自己的 IP 路由表的过程，一些满足了过滤条件的 IS-IS 路由将被限制纳入 IP 路由表中。

IBGP 通过环回口建立，IGP 协议为 OSPF，EBGP 通过物理接口建立

使用 fake-as 可以将本地真实的 AS 编号隐藏，其他 AS 内的对等体在指定本端对等体所在的AS 编号时，应该设置成这个伪AS 编号。

IS-IS 有两种缺省路由，第一种缺省路由是由 level-1 路由器在特定条件下自动产生的，它的下一跳是离它最近的 （cost 最小）level-1-2路由器。第二种缺省路由是 IS-IS 路由器上使用 default-route-advertise 命令产生并发布的。

在BGP网络中，报文穿越Transit AS时，有可能会被Transit AS中未运行BGP协议的路由收到，由于这样的路由器没有AS间的BGP路由信息，报文有可能会被直接丢弃，然后路由器向报文源IP地址发送ICMP Unreachable消息，然而，由于这样的路由上没有运行BGP协议，很可能导致该路由器上也不存在去往报文的源IP 地址的路由，从而使得ICMP Unreachable消息也无法被发送出去。如此一来，报文就无声无息的消失在这样的路由器上。这种现象被形象地称为BGP路由黑洞。

R1作为局域网和外部网络的网关，通过交换机和汇聚路由器R2、R3互联，R2、R3、R4和R5通过交换机S1连接到一个LAN里，现在希望通过在R2和R3连接S1的接口上启用VRRP v2来实现主机上网的第一跳冗余，R2为master，R3为slave。交换机不做额外的配置，仅透明转发。

默认交换机所有的接口都在 VLAN 1 中,没有划分VLAN之前 5台PC 可以相互ping通，将接口划分到相应的VLANS1:vlan 10int e0/0/1查看，e0/0/1 在VLAN 10 中默认交换机接口为 hybrid 混合接口S1:int e0/0/2vlan 20int e0/0/3S2:vlan 30vlan 40int e0/0/1int e0/0/2。

自动路由聚合是在自然边界路由器上自动执行的，在默认情况下，BGP的自动路由聚合功能是关闭的，并且BGP不会自动聚合BGP邻居发送的路由以及使用network 命令通告的路由。

你是公司的网络管理员。公司的网络采用了OSPF协议作为路由协议。OSPF协议功能强大，但是相应的配置也较为复杂。并且在网络规划中，你使用了OSPF的各种特性，同时也使用了虚链路。在实施过程中，你碰到很多的网络通讯问题。不过庆幸的是，通过使用故障排除的思想和方法，你成功的找到了各种错误，并实现了网络的恢复。

除此之外，互通型从VLAN中的设备只能与本互通型从VLAN中的设备进行通信，不能与其他互通型从VLAN中的设备进行通信，也不能与隔离型从VLAN中的设备进行通信。隔离型从VLAN中的设备不能与互通型从VLAN中的设备进行通信，也不能与其他隔离型从VLAN中以及本隔离型从VLAN中的设备进行通信。交换机上加入 Mux VLAN 的端口只能允许一个 VLAN 的帧通过，允许多个 VLAN 的帧通过的端口是不能被加入到 Mux VLAN 中的。VLAN 10 为主VLAN, VLAN 20 互通型从VLAN。

所有Eth-Trunk 中物理接口的参数必须一致，Eth-Trunk 链路两端要求一致的物理参数有：Eth-Trunk 链路两端相连的物理接口类型、物理接口数量、物理接口的速率、物理接口的双工方式以及物理接口的流控方式。Eth-Trunk 是一种捆绑技术，它将多个物理接口捆绑成一个逻辑接口，这个逻辑接口就称为 Eth-Trunk接口，捆绑在一起的每个物理接口称为成员接口。当链路故障发生时，链路可以进行切换，并且只要物理链路有一条是正常的，Eth-Trunk 接口就不会断开，仍然可以保证数据的转发。

现在假设PC1 发送一个数据帧给PC2，这个数据帧从PC1的网卡送时显然 是一个无标记帧，进入SW1 的g0/0/1 接口被打上tag vlan 10 , 数据帧从g0/0/10 接口发出，由于这个接口为 access类型，而且最重要的是这个接口也加入了 vlan 10 ，因此数据帧的tag 被剥除然后再从该接口发出。SW2 的 g0/0/10 接口上收到这个数据帧，该帧进入交换机后被打上tag vlan 20 ,数据帧从 g0/0/1 口发出，此时数据帧的 tag被剥除。

HCIP-IERS 部署企业级路由交换网络 - HCIP分解实验 - ISIS基本配置