OSPF----开放式最短路径优先协议
RIP缺点 RIP是基于跳数选路的----导致选路不佳
RIP有周期更新---30s---占用过多的链路资源
RIP最大跳数15----RIP仅支持小规模网络
基本概念
IGP(AS内部使用的)
链路状态型协议---LS----传递拓扑
传递真实掩码(无类别的路由协议)
优先级---10
COST===参考带宽/实际带宽(参考带宽默认100M)
OSPFv1、OSPFv2、OSPFv3
SPF
LSA(链路状态通告)
OSPF更新方式
触发更新
周期链路状态刷新--30min
及其消耗路由器资源的协议
通过组播的方式进行数据报文发送,224.0.0.5/224.0.0.6
OSPF是跨层封装
OSPF协议号---89
OSPF区域化结构
OSPF为了适应大型网络环境,进行了结构化部署----区域划分
区域数量不同,单区域OSPF网络/多区域OSPF网络
区域划分特点
区域内部传递拓扑信息,区域之间传递路由信息----经典的链路状态型协议的距离矢量特征。
区域编号----方便管理
由32位二进制组成,点分十进制表示,更多情况用阿拉伯数字表示
区域0---骨干区域
其他区域---非骨干区域
单区域网络-----这个区域必须是骨干区域
多区域网络-----呈星型拓扑,并且所有的非骨干区域必须与骨干区域直接相连
区域划分是基于接口的。
为什么要进行区域划分?
限制LSA的传播范围
减少LSA的数量
ABR:区域边界路由器
一定至少有一个接口属于区域0,有若干个接口属于其他区域
OSPF工作过程:5个数据包、7中状态机、2种关系、3种角色和3种表
OSPF数据包
hello包:用来周期保活、发现、建立OSPF邻居关系
R-ID
全网唯一
32位二进制
手工配置>环回接口IP>物理接口IP
10s发送一次来确认邻居存在
死亡时间===4*hello
DD包:数据库描述报文
包含了本地所有邻居的目录信息
LSR报文:链路状态请求报文
请求获取本地未知的链路信息
LSU报文:链路状态更新报文
真正的包含了LSA信息
LSAck报文:链路状态确认报文
七种状态机---以太网
down:关闭状态-----一旦启动OSPF协议,则发出hello包,进入下一状态
init:初始化状态----收到的hello包中存在本地的RID值,进入下一状态
2-way:双向通讯状态------邻居关系建立的标志
条件匹配:匹配成功进入下一阶段,匹配失败,则永远停留在邻居状态
exstart:预启动状态----使用未携带真实数据的DBD报文进行主从关系选举,RID大为主,优先进入
下一阶段
exchange:转交换状态-----使用携带真实数据的DBD报文进行目录共享
loading:加载状态----邻居之间使用LSR/LSU/LSAck三种报文来获取完整的拓扑信息
full:转发状态----拓扑交换完成后进入该状态,标志着邻接关系的建立
条件匹配
也是一种选举,选择负责人
为什么要有条件匹配
在一个广播域中,若所有设备都建立了邻接关系,则将出现大量的重复更新
条件匹配可以大量减少这些重复更新的数据报文,并且降低邻接关系数量
设备名称
DR---指定路由器
BDR----备份指定路由器
DROther---其他路由器
DR与BDR是邻接关系、DR和DROther也是邻接关系、BDR与DROther是邻接关系、DROther与
DROther之间是邻居关系
OSPF建立邻接关系的条件
点到点网络:直接建立邻接关系,不需要进行条件匹配
MA(以太网)网络:进行条件匹配,40s
选举规则
看接口优先级,0-255;优先级越大越优,默认为1
看RID值,越大越优
选举范围
一个广播域,进行一次选举
一台路由器,即可以是DR,也可以是BDR,更可以是DROther,这取决于从哪个广播域看待
选举模式 非抢占性的:一旦选举成功,不会因为新加入的设备而重新选举
OSPF工作过程
OSPF首先启动,路由器A向本地所有的启动了OSPF协议的直连接口,使用组播地址224.0.0.5发送hello
报文;hello中包含了全网唯一的本地的RID值;之后对端路由器B也将回复一个hello报文,该报文中若
携带了A的RID值,则A与B建立邻居关系,并生成邻居表。
邻居关系建立以后,邻居间会进行条件匹配,匹配失败则停留在邻居关系,匹配成功,则可以开始建立
邻接关系。
邻接之间共享DBD报文,将本地和邻接的DBD报文进行对比,进行主从关系选举,主优先进入下一状
态。
之后共享真正携带数据的DBD报文,将本地与邻接的DBD报文进行对比,查找本地没有的LSA信息,通
过LSR来询问,对端使用LSU来回答具体的LSA信息,之后本地在使用LSAck报文进行确认。该过程完成
之后,生成数据库表(LSDB)。
最后,本地基于数据库表,启用SPF算法,计算到达所有未知网段的最短路径,然后将计算结果加载到
本地的路由表中。此时收敛完成。
收敛完成后,双方设备使用hello报文进行周期保活。并进行30min的周期更新。
结构突变
新增网段
直接使用更新报文告知邻接关系接口
断开网段
直接使用更新报文告知邻接关系接口
无法沟通
超出死亡时间,断开邻接关系,删除路由表,但是不会删除数据库。
OSPF配置
[R1]ospf 1 router-id 1.1.1.1 //启动OSPF协议,进程为1,RID为1.1.1.1
[R1-ospf-1]area 0 //进入区域0
[R1-ospf-1-area-0.0.0.0]network 12.1.1.0 0.0.0.3 //宣告网段,使用的是反掩码(连
续的0+连续的1)
[R1-ospf-1-area-0.0.0.0]network 12.1.1.1 0.0.0.0 //直接宣告接口,推荐使用该方式
宣告的意义:将该宣告地址所属接口划分到相应区域;激活接口,使接口可以收发OSPF报文。
[R2]display ospf peer brief //查询邻居简表
[R2]display ospf peer //查询邻居详表
[R2]display ospf lsdb //查询数据库表
[R2]display ip routing-table protocol ospf //查询OSPF路由表
OSPF扩展配置
修改OSPF开销值
通过修改参考带宽的方式来控制开销值
一台设备进行修改,全OSPF网络设备都需要修改
[Huawei-ospf-1]bandwidth-reference 1000 //修改参考带宽为1000Mbps
修改接口优先级
人工的方式影响DR选举结果
[Huawei-GigabitEthernet0/0/0]ospf dr-priority 10 //修改接口优先级
<Huawei>reset ospf process //重启本机OSPF进程
[Huawei-GigabitEthernet0/0/0]ospf dr-priority 0 //代表该设备接口不参与选举
缺省路由
一般是在边界设备上配置
非强制性下发:配置设备上必须有一条缺省路由
[Huawei-ospf-1]default-route-advertise //下发缺省
强制性下发
[Huawei-ospf-1]default-route-advertise always
静默接口(被动接口)
只接收,但不发送hello报文,一般用于连接用户的接口
[Huawei-ospf-1]silent-interface GigabitEthernet 0/0/0 //静默接口为GE0/0/0
手工认证
认证类型
不认证---0
明文认证---1
密文认证---2
[Huawei-GigabitEthernet0/0/0]ospf authentication-mode md5 1 cipher
123456
如果要选择密文认证方式,两端需要使用相同规定key id
OSPF与RIP的对比
根据区别
OSPF是基于链路状态的协议,RIP是基于距离矢量的协议
交换技术
垃圾流量问题:大量的广播帧会占用带宽资源和计算机处理速度。
安全问题:计算机可以轻易收到不应该收到的数据帧,产生安全隐患。
VLAN---虚拟局域网
LAN----局域网
WAN---广域网
VLAN的基本原理
VLAN数据帧
VLAN的类型
基于端口的VLAN----一层VLAN
是最常用的划分方式
是将VLAN编号映射到交换机的物理接口上,从该交换机进入的数据帧都会被划分到该vlan
基于MAC地址的VLAN----二层VLAN
一般用于PC接入交换的端口会变化时使用
提前配置一个vlan与mac的对应关系,当数据帧进入交换机时,交换机会查询该映射表,根据
不同的源MAC地址来划分不同VLAN
基于协议的VLAN----三层VLAN
端口类型
Access端口
一般在交换机与终端相连的接口
功能
收:若接收的数据包中没有VLAN标签,则向数据包中添加该接口的所属标签。若数据包
中有标签,会丢弃数据包。
发:若将要发出的数据包中VLAN标签值与该接口所属标签相同,则摘掉标签发出数据
包,若标签值不相同,则丢弃。
Trunk端口---干道
一般在交换机与交换机相连的接口
功能
放通多个vlan
配置VLAN
VID:用来标识和区分不同VLAN的,范围是0-4095,但是0和4095作为保留,不能使用
一、创建vlan
[SW1]vlan 2 //创建vlan 2
[SW1]vlan batch 2 to 100 //批量创建vlan2到vlan100
[SW1]vlan batch 2 5 10 20 //批量创建vlan2、vlan5、vlan10、vlan20
二、将接口划入vlan
[SW1]interface GigabitEthernet 0/0/1 //进入接口
[SW1-GigabitEthernet0/0/1]port link-type access //更改接口模式为access接口
[SW1-GigabitEthernet0/0/1]port default vlan 2 //更改端口默认vlan为2,默认vlan原本
为1
[SW1]display vlan //查询vlan详情
[SW1]display vlan summary //查询vlan简表
三、配置Trunk干道
[SW1-GigabitEthernet0/0/5]port link-type trunk //更改接口类型为trunk接口
[SW1-GigabitEthernet0/0/5]port trunk allow-pass vlan 2 3 //为trunk口放行vlan2与
vlan3
VLAN间通讯
多臂路由
下联交换机接口一定要使用access
单臂路由
通过划分多个子接口的方式进行数据转发,子接口的个数由下联vlan数量决定
sub-interface,是路由器基于以太网接口所创建的一种逻辑接口,由物理接口ID+子接口ID组
成
下联交换机必须配置trunk口,放通多个vlan
三层交换机
SVI接口------VLANIF接口----虚拟的逻辑的
作用
配置IP,并可以进行路由转发
具备对VLAN标签的添加、剥离操作----本身具备
具备ARP能力----本身也具备
[R1]interface GigabitEthernet 0/0/0.1 //创建子接口,并进入子接口视图
[R1-GigabitEthernet0/0/0.1]ip address 192.168.2.254 24 //配置子接口IP地址
[R1-GigabitEthernet0/0/0.1]dot1q termination vid 2 //定义该子接口所管理的vlan
[R1-GigabitEthernet0/0/0.1]arp broadcast enable //开启子接口arp广播功能
[Huawei]vlan batch 2 3 //批量创建vlan2和vlan3
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] port link-type trunk
[Huawei-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 to 3
[Huawei]interface GigabitEthernet 0/0/2
[Huawei-GigabitEthernet0/0/2] port link-type trunk
[Huawei-GigabitEthernet0/0/2]port trunk allow-pass vlan 2 to 3
[Core]interface Vlanif 2 //创建vlan2的接口空间;表明对vlan2的标签进行操作
[Core-Vlanif2]ip address 192.168.2.254 24
三层交换机参与下的三层通信流程
网络拓扑
连接逻辑
通信过程
ACL----访问控制列表
是一种策略
ACL原理
配置了ACL的网络设备,会根据事先设置好的报文匹配规则对经过该设备的流量进行匹配,然
后对流量进行预定义的动作处理。
ACL功能
访问控制
在设备上的流入或流出方向上,匹配流量,然后执行动作
允许/拒绝
抓取流量
ACL经常会跟其他协议共同使用,当与其他协议共同使用时,ACL一般仅作流量匹配,对
应动作又其他协议完成
防火墙、路由策略、QoS
ACL的匹配规则
自上而下,逐一匹配;匹配成功,则直接按该条目执行,不继续向下匹配。
若都没有匹配上,则执行默认规则
思科设备ACL访问控制列表末尾隐含条件:拒绝所有流量
华为设备ACL访问控制列表末尾隐含条件:允许所有流量
ACL分类
基本ACL
只能基于IP报文的源IP地址、报文分片和时间段来定义规则
编号:2000-2999(规则编号:用于区分不同的规则列表)
高级ACL
基于IP报文的源IP、目的IP、协议字段、IP报文的优先级、报文长度、传输层的源目端口
号等信息来规定
编号:3000-3999
二层ACL
使用报文的以太网帧信息来定义规则
编号:4000-4999
用户自定义ACL
IP报文、TCP报文、ICMP、端口号、MAC
编号:5000-5999
示例
需求一:
PC1可以访问192.168.2.0/24网段,PC2不行
分析
仅对源有要求,配置基本ACL即可
配置原则
由于基本ACL仅关注源IP地址,故配置时尽量靠近目标,避免对其他地址访问误伤。
配置
一、创建ACL列表
[R2]acl 2000 //创建编号为2000的ACL列表
二、设定规则
[R2-acl-basic-2000]rule deny source 192.168.1.2 0.0.0.0 //设定规
则,拒绝源IP为192.168.1.2的地址通过
三、允许所有
[R2-acl-basic-2000]rule 10 permit source any //在最后允许所有
规则号:华为默认规定步长为5,方便后期维护时增加或删除规则。
四、在接口调用ACL列表
[R2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000 //在该接
口出方向调用
每个接口仅能调用一张ACL列表。但一张表可以在多个接口被调用
方向:出方向、入方向;根据流量流动方向来判断,一个接口即可以是出接口也可以是入接
口。
[R2]display acl all
[R2]display acl 2000
上述命令中0.0.0.0该字符串,是通配符。0代表不可变,1代表可变位。
例1:
rule deny source 192.168.1.2 0.0.0.0 拒绝192.168.1.2通过
192.168.1.2-----11000000.10100100.00000001.00000010
0.0.0.0---------00000000.00000000.00000000.00000000
例2:
拒绝192.168.1.2和192.168.1.3通过
rule deny source 192.168.1.2 0.0.0.1
192.168.1.2-----11000000.10100100.00000001.00000010
0.0.0.1---------00000000.00000000.00000000.00000001
例3:
拒绝192.168.1.0/24网段中的所有单数IP通过
rule deny source 192.168.1.1 0.0.0.254
192.168.1.1-----11000000.10100100.00000001.00000001
0.0.0.254-------00000000.00000000.00000000.11111110
需求二:
PC1可以访问PC3,但是不能访问PC4
分析
对目标有要求,需要使用高级ACL
配置原则
一、创建ACL列表
[R2]acl 2000 //创建编号为2000的ACL列表
二、设定规则
[R2-acl-basic-2000]rule deny source 192.168.1.2 0.0.0.0 //设定规
则,拒绝源IP为192.168.1.2的地址通过
三、允许所有
[R2-acl-basic-2000]rule 10 permit source any //在最后允许所有
规则号:华为默认规定步长为5,方便后期维护时增加或删除规则。
四、在接口调用ACL列表
[R2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000 //在该接
口出方向调用
每个接口仅能调用一张ACL列表。但一张表可以在多个接口被调用
方向:出方向、入方向;根据流量流动方向来判断,一个接口即可以是出接口也可以是入接
口。
[R2]display acl all
[R2]display acl 2000
上述命令中0.0.0.0该字符串,是通配符。0代表不可变,1代表可变位。
例1:
rule deny source 192.168.1.2 0.0.0.0 拒绝192.168.1.2通过
192.168.1.2-----11000000.10100100.00000001.00000010
0.0.0.0---------00000000.00000000.00000000.00000000
例2:
拒绝192.168.1.2和192.168.1.3通过
rule deny source 192.168.1.2 0.0.0.1
192.168.1.2-----11000000.10100100.00000001.00000010
0.0.0.1---------00000000.00000000.00000000.00000001
例3:
拒绝192.168.1.0/24网段中的所有单数IP通过
rule deny source 192.168.1.1 0.0.0.254
192.168.1.1-----11000000.10100100.00000001.00000001
0.0.0.254-------00000000.00000000.00000000.11111110
因为高级ACL对流量进行的是精确匹配,为避免对链路资源的占用,故在最接近源的位
置配置
配置
[R2]acl 3000
[R2-acl-adv-3000]rule deny ip source 192.168.1.1 0.0.0.0 destination
192.168.2.2 0.0.0.0
[R2-acl-adv-3000]rule permit ip source any
需求三:
要求PC1可以ping通R2,但是不能telnet R2
分析
本需求涉及到端口,所以需要使用高级ACL
[R1]acl 3100
[R1-acl-adv-3100]rule deny tcp source 192.168.1.1 0.0.0.0 destination
12.1.1.2 0.0.0.0 destination-port eq 23
NAT----网络地址转换
处于边界的三层设备都会配置NAT技术
NAT分类
静态NAT
一对一
在私网边界路由器上建立并维护一张表(静态地址映射表)。记录了私有地址与公有地址的转
换关系。
工作过程
配置
[Huawei]interface GigabitEthernet 0/0/0 //进入边界设备的对外接口
[Huawei-GigabitEthernet0/0/0]nat static global 10.1.1.1 inside
192.168.2.1 //配置静态地址转换。此公有IP地址不能是本路由器上正在使用的公有
IP地址。
漂浮IP:这个IP必须是从运营商合法买到的公网IP地址,并且要与出接口地址处于同一网
段。
[Huawei]display nat static //查询静态NAT转换表
动态NAT
一对多、多对多
动态NAT,同一时间内,仅允许一个私网IP进行转换。只能等上一个流量回来后,下一个流量
才能转换发出。(排队上网)
配置
一、创建公有地址池塘
[Huawei]nat address-group 1 10.1.1.10 10.1.1.11 //创建一个公有地址
组,组号为1,包括了2个IP地址,分别是10.1.1.10和10.1.1.11;必须是合法购买的公
网IP;公网IP必须连续
二、抓取流量--->匹配
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.2.0 0.0.0.255
三、将ACL与公有地址组绑定并调用
[Huawei-GigabitEthernet0/0/0]nat outbound 2000 address-group 1 nopat
[Huawei]display nat address-group
NAPT
网络地址端口转换技术
目前互联网上使用最广泛的技术
解决了动态NAT需要排队的问题
维护了一张源端口号与私网地址的映射关系表
1-65535
EASY IP
配置
一、抓流量
[Huawei]acl 2100
[Huawei-acl-basic-2100]rule permit source 192.168.2.0 0.0.0.255
二、接口调用
[Huawei-GigabitEthernet0/0/0]nat outbound 2100 //easy ip规定,默认使
用该接口IP作为公有IP通讯
[Huawei]display nat outbound //查看NAT配置信息
多对多NAPT
一、创建公有IP组
[Huawei]nat address-group 2 10.1.1.10 10.1.1.20
二、抓取流量
[Huawei-acl-basic-2200]rule permit source 192.168.2.0 0.0.0.255
三、调用
[Huawei-GigabitEthernet0/0/0]nat outbound 2200 address-group 2
端口映射
[Huawei-GigabitEthernet0/0/0]nat server protocol tcp global currentinterface telnet inside 192.168.2.1 telnet