HCIP第一天作业

HCIA ----华为认证的初级网络工程师

一、网络基础

学习思路：网络变大（网络是什么） - - - -无限距离、无冲突、单播 - - - - 交换机（交换机是什么，工作原理） - - - - MAC地址- - - - 洪泛 - - - 洪泛的范围（洪泛范围变大、网络变卡） - - - - 路由器（路由器是什么，路由器的工作原理） - - - - IP地址 - - - ARP  - - - 广播 - - -（洪泛域）广播域

网络是什么？

由网络连接设备通过传输介质将网络终端设别连接起来进行资源共享、信息传递的平台

云技术---云计算---分布式计算

        云存储---百度网盘

计算机技术

将抽象语言-----电信号

通信技术

1946年

1876年 - - - 贝尔获得电话专利 - - - 公共交换电话网 -- - 1888

对等网

1. 增加网络节点数量
2. 延长传输距离入手

 延长传输距离

RJ-45双绞线 - - - 由八根铜丝组成，分为四组，两两相绞

屏蔽双绞线

非屏蔽双绞线

超五类线 - - - 1000M bps - - - 100米

100/8*0.85=10.625

同轴电缆

光纤 - - -由光导纤维组成，传递的是光信号

电信号 - - - 光信号：发光二极管，注入式激光二极管

光信号- - - 电信号：光电二极管

电模光纤：注入式激光二极管

多模光纤： 发光二极管

网络变大

节点（终端）增加 ---  HUB集线器

距离  ---   中继器（放大器）--- 有限延长

信号衰弱

放大器（中继器） - - - 物理层设备 - - - 5倍的传输距离

增加网络节点数量

网络拓扑

直线型拓扑（总线型）

环形拓扑

星型拓扑

网状拓扑

混合型拓扑 - - -多环型拓扑

性价比最高的结构 - - - 星型拓扑结构

集线器（hub）

地址 - - -1.全球唯一；2.格式统一

MAC地址 - - - 所有芯片在出厂时厂家烧录的串号，由48位2进制构成的。前24位厂商的标识，后24位为厂家分配分配的串号 - - -二层地址

物理地址：201E-88AF-F271

Ipconfig/all - - - 在CMD中查看MAC地址

集线器环境下的问题：

1. 安全  2、延时   3、地址   4、冲突

冲突 - - -冲突域（一个集线器在同一个冲突域中）

 - - - CSMA/CD - - - -载波侦听多路访问/冲突检测 - - - -排队

交换机 - - -二层设备

交换机（Switch）意为“开关”是一种用于电（光）信号转发的网络设备。它可以为接入交换机的任意两个网络节点提供独享的电信号通路。交换机有多个端口，每个端口都具有桥接功能，可以连接一个局域网或一台高性能服务器或工作站。实际上，交换机有时被称为多端口网桥。

交换机工作在介质访问控制层；将电流与二进制间进行识别转换；

交换机的工作过程

数据电流进入交换机后，交换机先将其识别为二层二进制；之后识别数据帧中的源mac地址，记录到本地的MAC地址表中；（MAC表中记录各个MAC对应的接口），之后再关注数据帧中的目标MAC地址，再查询本地MAC表中是否有其记录，若存在记录，仅基于记录的接口唯一转发（单播）；  若没有记录将进行洪泛；

洪泛：除流量的进入接口外，其他所有接口复制转出；

交换机的作用：

1. 提供端口密度（继承了HUB的作用） 
2. 基于数据识别再转发，实现了理论上的无限传输距离
3. 基于数据识别、存储再转发，解决了冲突问题
4. 基于MAC地址识别、记录、查询，实现了单播通讯

泛洪范围

交换机的一个接口可以对应多个 MAC 地址，一个 MAC 地址只能对应一个交换机的接口

MAC 地址表 - - - 老化时间 - - - 300s

MAC 地址泛洪攻击

路由器

路由器（Router）是连接两个或多个网络的硬件设备，在网络间起网关的作用，是读取每一个数据包中的地址然后决定如何传送的专用智能性的网络设备。

路由器的工作原理：

当数据包进入路由器后，先查看目标IP地址；然后查询本地的路由表，若表中存在记录，将无条件按照记录转发；若没有记录，将丢弃该流量；

路由器作用：

1.隔离泛洪范围- - - -路由器的一个接口对应一个泛洪范围

2.、转发

默认1、仅存在直连网段的路由   2、路由器默认以一个网段作为目标

非直连网段为未知网段；获取未知网段的方法：

1. 静态路由 -- 手写     
2. 动态路由 --- 路由器间协商、沟通、计算自动生成

 IP- - - -互联网协议- - - -IPV4:32位二进制构成 - - - 点分十进制

                - - - -IPV6:128位二进制构成 - - - 冒分十六进制

IP地址是由网络位与主机位共同组成；  网络为对应洪泛的范围；主机位标识范围内唯一；

每个ip地址后均携带一个子网掩码，子网掩码的作用在于区分ip地址中网络位与主机位。

网络位：如果网络位相同，则代表在同一个泛洪范围

主机位：在同一个泛洪范围中，通过主机位区分不同的主机

192.168.43.105

11000000.10101000.00101011.01101001

11111111.11111111.00000000.00000000    

 - - - 1代表网络位，0代表主机位 - - - 子网掩码  - - - 一定是又连续的0和连续的1组成

IP 地址分类

A , B , C , D , E

A , B , C  - - - -单播地址 - - - -既可以做源 IP 使用也可以做目标 P 使用

D  - - - -组播地址 - - - -只能作为目标 IP 使用

E  - - - -保留地址

单播 - - - -一对一的通信

组播 - - - -一对多（一个组播组）

广播 - - - -一对所有（一个广播域中的所有）

 A :0XxX XXXX -(0-127)1-126

 B :10XX XXXX - - - -128-191

 C :110x XXXX - - - -192-223

 D :1110 XXXX - - - -224-239

 E :1111 XXXX  - - - -240-255

A :255.0.0.0

B :255.255.0.0

C :255.255.255.0

特殊 IP 地址

1. 1.127.0.0.1-127.255.255.254 - - - -环回地址 - - - 127.0.0.1  本地系统自带，用于测试本地系统的网络组建；

2.32位全1 - - - -255.255.255.255 - - - -受限广播地址 - - - -受路由器的限制 - - - -只能作为目标ip使用

3.主机位全1的 IP 地址 - - - -192.168.1.X/24---192.168.1.255--﹣也不是一个单播地址，不能配置为一个设备的ip地址；直接广播地址--﹣只能作为目标 IP 使用

4.主机位全0的IP 地址- - - -192.168.1.X/24- -192.168.1.0/24-- - -不是一个单播地址，不能配置为一个设备的ip地址；网络号，用于标识一个广播域； 

5.0.0.0.0 - - - -可以在没有地址时作为源 IP 地址使用；2，可以代表任意地址 - - - -缺省

6.169.254.0.0/16- - - 终端在多次广播自动获取ip地址失败后，本地自动生成的临时ip地址，网络169.254；主机位随机产生，可以用临时单广播域通讯；

VLSM - - - -可变长子网掩码- - - -子网划分

通过延长子网掩码的长度，起到从原来的主机位借位到网络位；实现将一个网络号切分为多个；每个新生的子网，主机变少；   增加网络号，减少每个网络号中的用户数量；

切记：将一个网段划分为多个子网后，在网络中该母网将不能配置为可用ip；

192.168.1.0/24

192.168.1.00000000/25…192.168.1.1--192.168.1.126…192.168.1.0/25

192.168.1.10000000/25---192.168.1.129--192.168.1.254---192.168.1.128/25

CIDR  无类域间路由   --  取相同位，去不同位； 将多个网络号逻辑的合成一个；

1. 子网汇总  -- 汇总后，汇总网段的掩码长于主类
2. 超网-- 汇总后，汇总网段的掩码短于主类掩码

 PING  - - - 检测网络连通性的工具。本质是发送一个 ICMP 协议的数据包，对方收到后

需要回包，如果正常接受到回包，则代表网络可达。

ARP 协议- - - - -- 通过对端的一种地址来获取对端的另一种地址

                      通过对端IP地址获取对端的MAC的行为需要用到广播机制；

广播- - - -迫使交换机进行洪泛行为（目标mac全F，该mac在网络中实际不存在）

广播地址- - - -全 F (48位二进制全一的 MAC 地址）

广播域＝＝洪泛范围

 ARP 的转发原理

ARP 发送广播请求包，所有收到 ARP 请求包的设备都将先记灵数据包中源 IP 和源 MAC 的对应关系，记录在本地 ARP 缓存表中，之后再看请求的 IP 地址，如果不是本地的 IP 地址，则直接丢弃数据包；如果是本地的 IP 地址，则将以单播的形式回复 ARP 应答包。之后，如果再发送数据，则先査看本地的 ARP 缓存表，如果表中有记录，则按照记录转发，如果没记录，则将发送 ARP 请求获取。

PC>arp - a - - - -查看设备的 ARP 缓存表

 ARP 缓存表也具有老化时间- - - -180s

正向ARP：已知同一网段其他节点的ip地址，通过二层广播（目标MAC全F）来获取对

方MAC地址；

反向ARP：已知本地的MAC，通过对端来获取本地的IP地址；

无故ARP：在设备刚获取或使用ip地址，将主动向外进行一次正向ARP，被请求的ip地

址，为本地的ip地址；其作用在于检测该网段内使用存在其他节点和本地使用

相同的ip地址（地址冲突检测）

MTU ：最大传输单元  默认1500字节

端口号：0-65535    1-1023 注明端口   1024-65535 动态端口，高端口

高端口用于随机对应终端上的各个进程； 注明端口默认用于固定对应服务器的服务端口；

UDP:用户数据报文协议 -- 非面向连接的不可靠传输协议

仅完成传输的基本工作--- 分段、端口号

TCP：传输控制协议-- 面向连接的可靠传输协议

在完成传输层的基本工作之上，还需要进一步的保障传输的可靠性

面向连接：通过TCP的三次握手建立端到端的虚链路；

可靠传输：4种可靠机制  -- 确认、重传、排序、流控（滑动窗口）

TTL：生存时间   默认255  128  64

封装与解封装

数据从高层向低层加工处理的一个过程；过程中数据包将不断变大；--封装

数据从低层向高层的一个读取、识别过程，过程中数据将不断变小--解封装

PDU  协议数据单元 --- 每层数据的计量单位

上三层--- 报文

传输层--- 段

网络层--- 包

数据链路层-- 帧

物理层 ---  比特流

OSI  开放式系统互联参考模型  --- 7层模型

osI / RM ﹣开放式系统互联参考模型IS0﹣国际标准化组织

oS1参考模型的核心思想﹣——﹣分层——属于同一层面的功能或目的相同或者相似；属于不同层面的功能或目的具有明显的差别。每一层都在下层提供服务的基础上提供增值服务。

分层的作用：

1. 更利于标准化
2. 降低关联性

3，便于学习和理解

物数网传会表应

应用层    抽象语言 键入和输出  抽象语言-->编码 

通过人机交互来实现各种各样的服务

表示层    编码 -->二进制 

编码、解码、加密、解密

会话层     应用程序内部地址，区分程序内的各个会话

发现、建立、维持、终止会话进程

 上三层，应用程序处理数据的层面 --- >上三层统称应用层 

 下四层，负责数据的传递和转发；--->下四层被称为数据流层 

传输层   提供端口号、数据分段（受MTU限制）   TCP/UDP  

通过端口号来区分不同的服务；提供可靠的传输；数据分段

网络层    Internet 协议--IP

编址、录址，根据IP地址来进行逻辑录址

数据链路层 = LLC （逻辑链路控制层）+MAC（介质访问控制层）

物理层 定义电器电压，光学特性，接口规范

二、操作配置

  基本 配置命令：

<Huawei>      Huawei部分为主机名，默认所有设备均为huawei；

              <   > 符号代表了当下所在的模式；

              不同模式具有不同的配置权限；

<Huawei>   第一级别模式；该模式下可以对设备进行所有的查看及测试；

<Huawei>system-view    进入第二级模式

[Huawei]    第二级别模式；设备的管理，改名、设密码......

[Huawei--？？？？？]  第三级 各种专用配置模式  

[Huawei]quit   一层一层的退

注：华为规则中，高层兼容低层配置命令；

帮助系统：

？  查看该模式或该单词后可以配置的命令及注解；

Tab 键  自动补全单词  

快捷键：

Ctrl+z  从第一模式之上快速回到第一模式

Ctrl+a  光标移动到最左侧  

上下键  翻看刚刚配置过命令

Undo +  命令   =  删除该命令

[Huawei]interface g0/0/0   进入某个接口

[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 24        配置ip地址   

[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 255.255.255.0  掩码可以简写

华为的路由器的接口默认开启；

<Huawei>display ip interface brief  查看接口摘要

display  this  查看当前所在位置的所有配置；比如在某个接口上使用，可以看到该接口上所有的配置；

[Huawei]display current-configuration  查看该设备当前所有配置

成为DHCP服务器的条件：

1. 该设备必须拥有接口或网卡连接到所要下放ip地址的广播域内；
2. 该接口或网卡必须已经拥有合法ip地址，且可以正常通讯

[Huawei]dhcp enable  先开启dhcp服务

创建名为wangcai的dhcp池塘，一台设备上可以创建多个池塘，但一个池塘只能服务一个广播域

[Huawei]ip pool wangcai 

[Huawei-ip-pool-wangcai]

[Huawei-ip-pool-wangcai]network 192.168.1.0 mask 255.255.255.0

       关联接口，定义该池塘可分配ip地址的范围；

[Huawei-ip-pool-wangcai]gateway-list 192.168.1.1  该网段网关

[Huawei-ip-pool-wangcai]dns-list 192.168.1.20 114.114.114.114  DNS服务器地址

注：华为设备，还需要在分配ip地址的接口，启动DHCP

[Huawei]interface g0/0/0

[Huawei-GigabitEthernet0/0/0]dhcp select global

Ipconfig PC上查看IP地址获取

[r1]display  ip routing-table   查看路由表

DHCP行为基于UDP的68（客户端）和67（服务器）号端口工作

PC （请求） UDP 源端口68   目标端口67

源ip  0.0.0.0  目标255.255.255.255

源MAC  本地   目标MAC  全F

服务器（提议）  UDP 源端口67    目标端口68

      源ip 路由器本地     目标ip--仅华为 为计划下放的ip

                                 其他厂家 255.255.255.255

      源MAC 路由器本地   目标mac -仅华为  PC的MAC

                              其他厂家  全F

PC （应答）  68        67

         0.0.0.0     255.255.255.255

        Pc 本地     全F

服务器（ack确认） 67    68

        服务器本地    华为 - 计划分配ip

                     其他  -- 255.255.255.255

       服务器本地     华为--pc mac 

                     其他 --- 全F

之后PC需要进行ARP 来判断计划分配ip是否被其他设备使用；

[Huawei-ip-pool-a]lease day 0 hour 1 minute  0  设定租期；

网络部署思路

1. 拓扑设计 -- IP地址规划

1. 实施 

【1】拓扑的搭建

【2】配置

「1」底层--所有节点拥有合法ip地址

「2」路由 -- 全网可达

「3」策略 --  优化 安全  规则

「4」测试

「5」排错

【3】 维护

【4】升级

三  、静态路由

静态路由的写法：

[r1]ip route-static 192.168.3.0 255.255.255.0 192.168.2.2

                      目标网络号          下一跳

下一跳：流量下一个进入接口的ip地址

静态的扩展配置：

1. 负载均衡：当访问相同目标，具有多条开销相似路径时；可以让设备将流量拆分后延多条路径同时传输；起到带宽叠加的作用；
2. 环回接口-- 创建后，可用于路由器测试TCP/IP协议组件是否能够封装与解封装

[r1]interface LoopBack ?

  <0-1023>  LoopBack interface number

[r1]interface LoopBack 0

[r1-LoopBack0]ip address 1.1.1.1 24

同时，可用于实验环境中，模拟连接PC终端的用户接口，来减少实际设备成本需求；

1. 手工汇总

若路由器需要访问多个连续子网，且具有相同的下一跳；可以将这些网段进行汇总计算；之后仅编写到达汇总网段路由即可；---节省路由表条目数量

1. 路由黑洞

汇总地址中包含了，网络内实际不存在的网段时；让将导致流量有去无回；浪费链路资源；

建议合理的ip地址规划（便于无黑洞汇总），尽量精确汇总；

1. 缺省路由 -- 一条不限定目标的路由，代表所有网段；路由器查表时在查询完本地所有的直连、静态、动态路由后若依然没有可达路径，才使用该条目；

[r1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2

1. 空接口

当路由黑洞与缺省路由相遇时，将必然出现环路；

在黑洞路由器上，配置一条到达汇总网段的空接口路由；空接口及丢弃流量；来避免环路的产生；

[r1]ip route-static 1.1.0.0 22 NULL 0

1. 浮动静态

不同方式产生到路由表中条目，其优先级不同；直连=0   静态=60   

优先级取值范围 0-255  越小越好；

[r1]ip route-static 100.100.100.0 24 13.1.1.2 preference ?

  INTEGER<1-255>  Preference value range

[r1]ip route-static 100.100.100.0 24 13.1.1.2 preference 61

访问相同目标，具有多条路径时；将加载优先级最小到表中使用；若优先级相同将同时加表（负载均衡）； 因此修改部分路由的优先级，可以实现静态备份的效果；

静态协议的优缺点：

缺点：1、中大型网络配置量过大

      2、不能基于拓扑的变化而实时的变化

优点：

      1、不会额外暂用物理资源

      2、安全问题

      3、计算路径问题

简单、小型网络建议使用静态路由；中大型较复杂网络，建议使用动态；

四、动态路由协议

路由器间沟通，协商，计算自动生成路由表；在拓扑结构发生变化后，可以实时收敛（重新计算）来适应新的结构；

基于AS进行分类：

AS--自治系统  0-65535 标准编号

IGP  内部网关路由协议   AS内部使用  -- RIP OSPF EIGRP ISIS .....

EGP  外部网关路由协议  AS之间使用  --- BGP  EGP .....

IGP的分类：

【1】基于工作特点进行分类：

DV  距离矢量    RIP   EIGRP   ......

LS  链路状态    OSPF  ISIS    ......

【2】基于更新时是否携带子网掩码 

有类别 --  不携带子网掩码，按主类定义子网掩码

无类别 --  携带子网掩码，基于实际掩码来判断网段

RIP

RIP：路由信息协议   距离矢量协议  

存在V1/V2/NG（下一代IPV6专用）

基于UDP520端口工作；使用跳数作为度量；更新方式：30s周期更新、触发更新

周期更新--保活  取代确认    优先级100；支持等开销负载均衡；

V1和V2的区别：

1. V1有类别协议，不携带子网掩码，不能区分子网划分和汇总；

   V2无类别协议，携带子网掩码，进行VLSM和子网汇总，不支持超网；

1. V1广播更新--255.255.255.255   V2组播更新--224.0.0.9
2. V2支持手工认证

破环机制：

1. 水平分割 -- 从此口进，不从此口出--直线拓扑中防环；最主要的作用是在MA网络中避免重复流量； MA网络--多路访问访问 -- 一个网段的节点数量不限制
2. 触发更新-- 毒性逆转水平分割
3. 最大跳数 --- 15跳     16跳为不可达
4. 抑制计时器；

【1】配置命令：

V1配置：

[r1]rip ?

  INTEGER<1-65535>  Process ID

[r1]rip      启动时可以定义进程号；默认为进程1；  仅具有本地意义

[r1-rip-1]version 1  选择版本1；

宣告：1、激活--被选中接口可以收发rip的信息    2、共享路由--被选中接口的网段可以共享给本地的所有邻居；

[r1-rip-1]network 1.0.0.0

[r1-rip-1]network 12.0.0.0

[r1-rip-1]network 172.16.0.0

[r1-rip-1]network 192.168.1.0

切记：RIP宣告时，只能宣告主类网段；

[r2]display  ip routing-table protocol rip   查看某种协议产生的路由条目

V2的配置：

[r1]rip ?

  INTEGER<1-65535>  Process ID

[r1]rip      启动时可以定义进程号；默认为进程1；  仅具有本地意义

[r1-rip-1]version 2  选择版本2；

宣告：1、激活--被选中接口可以收发rip的信息    2、共享路由--被选中接口的网段可以共享给本地的所有邻居；

[r1-rip-1]network 1.0.0.0

[r1-rip-1]network 12.0.0.0

[r1-rip-1]network 172.16.0.0

[r1-rip-1]network 192.168.1.0

【2】 RIP的扩展配置

1. RIPV2的手工汇总   -- 在更新源路由器上，所有更新发出的接口上配置

[r1]int g0/0/1

[r1-GigabitEthernet0/0/1]rip summary-address 1.1.0.0 255.255.252.0

                                           汇总网段 

1. RIPV2的认证

邻居间收发的RIP消息中进行身份核实口令添加；同时华为在接口开启认证后，所有rip的信息将被加密传输

[r1]interface g0/0/1

[r1-GigabitEthernet0/0/1]rip authentication-mode md5 usual cipher 123456

两两直连的邻居间，认证口令和模式必须完全一致；

1. 沉默接口（被动接口）  -- 仅接收不发送路由协议信息；只能用于连接用户终端的接口；

  不能用于直连路由器邻居的接口，否则邻居间将无法共享路由信息

[r1]rip 1

[r1-rip-1]silent-interface GigabitEthernet 0/0/0

1. 加快收敛

RIP计时器   30s更新    180s失效    180s抑制    300s刷新

适当的修改计时器，可以加快协议的收敛速度；修改时，全网所有运行rip的设备建议一致；维持原有倍数关系；且不易修改的过小；

[r1]rip 1

[r1-rip-1]timers rip 30 180 300   抑制计时器不修改

1. 缺省路由 -- 在边界路由器上定义缺省源头信息后，将向内网发布缺省路由；之后内部路由器将自动生成缺省路由指向边界路由器方向； 边界路由器指向ISP的缺省路由，依然需要手写；

[r3]rip

[r3-rip-1]default-route originate

OSPF

Ospf:开放式最短路径优先协议 

无类别链路状态igp协议；周期更新(30min)+触发更新；链路状态协议的更新量随着网络范围的扩展指数性的上升，因此ospf协议为了在中大型网络中工作，需要结构化的部署-区域划分、合理ip地址规划；组播更新--- 224.0.0.5 224.0.0.6

【1】ospf的5种数据包：

Hello    邻居的发现，关系的建立；周期（10s）的保活   携带rid    

Dbd     数据库描述包；本地数据库目录

Lsr      链路状态请求

Lsu      链路状态更新

Lsack   链路状态确认

Lsa -链路状态，具体一条一条路由信息或拓扑信息；但它不是一个包，是被lsu数据包来携带；

【2】Ospf的7个状态机：

Down ：一旦接收到的hello 包，进入下一个状态机

Init 初始化： 一旦接收到的hello包中，存在本地的rid，进入下一个状态

2way 双向通讯：  邻居关系建立的标志

关注条件：

Exstart 预启动： 使用不携带目录信息的DBD包，进行主从关系的选举；rid大为主，优先进入下一个状态；解决了目录共享时的无序；

Exchange 准交换：使用携带目标信息的dbd包，共享本地数据库目录；

loading加载：查看完邻接的dbd信息后，对比本地，然后基于本地未知的lsa进行查询；

             使用lsr 向对端查询，对端使用lsu来传输这些lsa信息，本地收到后需要

lsack来进去确认；

Full ：邻接关系建立的标志；  意味着邻接间，数据库同步（一致）

【3】ospf的工作过程

启动配置完成后，邻居间开始收发hello包；hello包中将携带本地及本地所有已知邻居的rid；之后生成邻居表；邻居间需要关注是否可以成为邻接的条件；若不能建立为邻接，将保持为邻居关系，仅hello包周期保活即可；

若可以建立邻接关系；将使用DBD进行本地数据库目录的对比；之后基于对比的结果，使用LSR/LSU/LSack来获取本地未知的LSA信息；使邻接关系间数据库（lsdb）完成同步（一致），生成数据库表；

之后本地基于lsdb，使用spf算法，生成有向图—>最短路径树——＞计算本地到达所有未知网段的最短路径，将其加载到本地路由表中；收敛完成；

收敛完成后，邻居和邻接关系间均hello每10s保活；每30min一次邻接关系间周期数据库比对，保障一致；

结构突变：

1. 新增网段
2. 断开网段
3. 无法沟通  ---  dead time 为hello time的4倍；在4次周期内未收到对端的hello包，将断开与其的邻居关系；删除通过该邻居计算所得路由；

lsdb：链路状态数据库 – 所有lsa的集合

【4】基础配置

[r1]ospf 1 router-id 1.1.1.1  启动时可以定义进程号、RID；默认进程1，RID--格式为IPV4地址，全网唯一； 手工--》环回接口最大数值--》物理接口最大数值

[r1-ospf-1]

宣告：1、激活-- 可以收发ospf的信息  2、被选中接口的拓扑信息可以共享给邻接

      3、区域划分

[r1-ospf-1]area  0

[r1-ospf-1-area-0.0.0.0]network  1.1.1.1 0.0.0.0

[r1-ospf-1-area-0.0.0.0]network 12.1.1.0 0.0.0.255

ospf在宣告时，需要使用反掩码，来匹配宣告的地址范围

区域划分规则：

1. 星型结构 --- 编号0骨干区域（中心），大于0为非骨干区域（分支）

                非骨干区域必须直连骨干区域；

2、必须存在ABR --- 区域边界路由器  两个区域间互联的设备

启动配置完成后，邻居间收发hello包；建立邻居关系，生成邻居表：

[r2]display  ospf peer  查看邻居关系

[r2]display  ospf peer  brief   查看邻居简表

邻居关系建立后，关注条件；匹配失败，保持为邻居关系，仅hello包周期保活；匹配成功可以建立为邻接（毗邻）关系；邻接关系间，将使用DBD/LSR/LSU/LSack来获取本地未知的LSA信息；完整本地的LSDB （数据库表）；

[r2]display  ospf lsdb

当数据库同步完成后；本地基于SPF算法，将数据库转换为有向图，再将有向图转换为树型结构；之后基于树形结构，以本地为起到到达所有未知网段的最短路径，加载到路由表中；

<r1>display  ip routing-table protocol  ospf  查看ospf路由

优先级为10；度量为cost值 ； cost值=开销值  

Ospf cost =  参考带宽/接口带宽     默认参考带宽为100M

ospf优选cost值之和最小，为最佳路径；若两条链路cost值之和相同，等开销负载均衡；

若接口带宽大于参考带宽，cost为1；将可能导致选路不佳；建议修改默认的参考带宽：

[r1]ospf 1

[r1-ospf-1]bandwidth-reference ?

  INTEGER<1-2147483648>  The reference bandwidth (Mbits/s)

[r1-ospf-1]bandwidth-reference 1000

切记：若修改参考带宽，全网需修改的一致；

【5】扩展配置

1. DR/BDR选举

邻居成为邻接关系的条件；与网络类型有关；

网络类型：

点到点--在一个网段内只能存在两个节点 -- 串线链路

MA--多路访问-在一个网段内的节点数量不限制；不是当下连接了几个节点；而是该网络类型允许最终连接多个节点；--以太网

点到点网络邻居关系直接成为邻接关系；在MA网络中，将进行DR/BDR选举；在一个网段中仅DR/BDR与其他路由器为邻接关系；非DR/BDR之间为邻居关系；

选举规则：

1. 先比较该网段所有参选设备接口的优先级，越大越优；

 默认优先级为1；取值范围0-255，0标识不参选

1. 若所有参选者优先级相同，比较参选设备的RID，数值大优；

干涉选举：

1. DR优先级最大，BDR次大 -- 切记ospf的选举是非抢占性的；故在修改完优先级后，需要所有路由器重启OSPF进程；

[r2]interface GigabitEthernet 0/0/0

[r2-GigabitEthernet0/0/0]ospf dr-priority  3  修改接口优先级

<r1>reset ospf process   重启ospf进程

Warning: The OSPF process will be reset. Continue? [Y/N]:y

2、DR优先级修改为最大，BDR次大；其他设备修改为0；无需重启进程

1. 区域汇总 --- OSPF协议不支持接口汇总；只能在ABR上将a区域拓扑计算所得路由，共享给B区域时进行汇总；

[r2]ospf 1

[r2-ospf-1]area  0

[r2-ospf-1-area-0.0.0.0]abr-summary 1.1.0.0 255.252.0.0

R2为一台连接区域0和其他区域的ABR；以上操作为，R2将通过区域0学习到的拓扑计算所得的路由，传递给其他区域时进行汇总，汇总网段1.1.0.0/22

1. 被动接口(沉默接口)--仅接收不发送路由协议信息；用于连接用户终端的接口，不得用于连接邻居路由器的接口，否则无法建立邻居关系；

[r2]ospf 1

[r2-ospf-1]silent-interface GigabitEthernet 0/0/0

1. 认证 -- 接口认证  在直连邻居或邻接的接口上配置，保障更新的安全

[r1-GigabitEthernet0/0/1]ospf authentication-mode md5  1 cipher 123456

模式、编号、密码要求邻居间一致

1. 加快收敛

邻居间计时器  10s hello time  40s dead time  

邻居间，修改本端的hello time，本端的dead time自动4被关系匹配；但ospf中邻居间的hello time和dead time必须完全一致，否则无法建立邻居关系；

[r1]interface GigabitEthernet 0/0/0

[r1-GigabitEthernet0/0/0]ospf timer  hello 5

1. 缺省路由 --- 边界路由器上配置后，将自动向内网下放一条缺省路由，之后内网设备将自动生成缺省路由指向边界

[r4]ospf 1

[r4-ospf-1]default-route-advertise always

五、VLAN：虚拟局域网

交换机和路由器协同工作后，将一个广播域逻辑的分割为多个；

配置思路：

1. 交换机上创建vlan
2. 交换机上的各个接口划分到对应的vlan中
3. Trunk（中继）干道  
4. VLAN间的路由 ---   路由器的子接口（单臂路由）    多层交换机的SVI

配置命令： 

1. 交换机上创建     VLAN的编号由12位二进制构成； 0-4095；其中1-4094可用；

默认交换机存在vlan1；且所有接口默认存在vlan1；

[sw1]vlan 2

[sw1-vlan2]q

[sw1]vlan 3

[sw1-vlan3]q

[sw1]vlan batch 4 to 10

[sw1]vlan batch  11 to 20 25 to 30

1. 交换机上的各个接口划分到对应的vlan中

[sw1]interface Ethernet0/0/1     单独将某个接口划分到对应的vlan

[sw1-Ethernet0/0/1]port link-type access   先将该接口修改为接入模式

[sw1-Ethernet0/0/1]port default vlan 2   再将该接口划分到对应的vlan中

批量的将多个接口划分到同一个vlan

[sw1]port-group group-member Ethernet 0/0/3 to Ethernet 0/0/4

[sw1-port-group]port link-type access

[sw1-port-group]port default vlan 3

1. trunk 干道   不属于任何一个vlan，承载所有vlan流量转发；可以标记（封装）识别（解封装）不同vlan的标签；  

VLAN ID压入到数据帧中的标准 --- 802.1q（dot1.q）

[sw1]interface e0/0/5

[sw1-Ethernet0/0/5]port link-type trunk 将接口修改trunk模式

[sw1-Ethernet0/0/5]port trunk allow-pass vlan 2 to 3   

注：默认华为交换机仅允许VLAN1通过；需要定义允许列表

[sw2-Ethernet0/0/3]port trunk allow-pass vlan all  允许所有vlan通过

1. 路由器子接口

[router]interface g0/0/0.1  创建子接口

[router-GigabitEthernet0/0/0.1]dot1q termination vid 2  定义其管理的vlan

[router-GigabitEthernet0/0/0.1]ip address 192.168.1.254 24

[router-GigabitEthernet0/0/0.1]arp broadcast enable   开启子接口ARP功能

[router-GigabitEthernet0/0/0.1]q

[router]interface g0/0/0.2

[router-GigabitEthernet0/0/0.2]dot1q  termination vid 3

[router-GigabitEthernet0/0/0.2]ip address  192.168.2.254 24

[router-GigabitEthernet0/0/0.2]arp broadcast enable

六、ACL访问控制列表

作用：

1. 访问控制 --- 在路由器流量进或出的接口上，匹配流量产生动作---允许、拒绝
2. 定义感兴趣流量 ---  抓取流量，之后给到其他的策略，让其他策略进行工作；

匹配规则：

至上而下逐一匹配，上条匹配按上条执行，不再查看下条；cisco系默认末尾隐含拒绝所有；华为系末尾隐含允许所有；

分类：

1. 标准 ---  仅关注数据包中的源ip地址
2. 扩展 ---  关注数据包中的源、目标ip地址，目标端口号或协议号

配置命令：

【1】标准 --- 由于标准ACL仅关注数据包中的源ip地址；故调用时必须尽量的靠近目标；

避免对其他流量访问的误删；

编号2000-2999 为标准列表编号，一个编号为一张表；

[r2]acl 2000

[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0

[r2-acl-basic-2000]rule deny source  192.168.0.0 0.0.255.255

[r2-acl-basic-2000]rule deny source  any

                    动作         源ip地址

源ip地址需要使用通配符来匹配范围；通配符和反掩码的区别，在于通配符可以0与1穿插书写；

ACL定义完成后，必须在接口上调用方可执行；调用时一定注意方向；一个接口的一个方向上只能调用一张表；

[r2]interface GigabitEthernet 0/0/1

[r2-GigabitEthernet0/0/1]traffic-filter ?  

  inbound   Apply ACL to the inbound direction of the interface

  outbound  Apply ACL to the outbound direction of the interface

[r2-GigabitEthernet0/0/1]traffic-filter outbound acl 2001

【2】扩展列表配置  --由于扩展ACL 源、目ip地址均关注，故调用时尽量靠近源；尽早处理流量；

[r1]acl 3000   扩展列表编号  3000-3999

[r1-acl-adv-3000]rule deny ip source 192.168.1.3 0.0.0.0 destination 192.168.3.2 0.0.0.0

                              源ip地址                     目标ip地址

源、目ip地址位置，使用通配符0标记一个主机，或使用反1标记段，或使用any均可

【3】使用扩展列表，同时关注目标端口号；

目标端口号：服务端使用注明端口来确定具体的服务；

ICMPV4 -- internet控制管理协议 -- ping 

Telnet  -- 远程登录  明文（不加密） 基于tcp，目标端口23；

条件：1、被登录设备与登录设备网络可达

      2、被登录设备进行了telnet服务配置

[r1]aaa

[r1-aaa]local-user panxi privilege level 15 password cipher 123456

[r1-aaa]local-user panxi service-type telnet

创建名为panxi的账号，权限最大，密码123456；该账号仅用于telnet 远程登录

[r1]user-interface vty 0 4

[r1-ui-vty0-4]authentication-mode aaa   在vty线上开启认证

[r1]acl 3001  

[r1-acl-adv-3001]rule deny tcp source 192.168.1.10 0 destination 192.168.1.1 0 destination-port eq 23

         拒绝192.168.1.10 对192.168.1.1 访问时，传输层协议为tcp，且目标端口号为23；

[r1-acl-adv-3002]rule deny icmp source 192.168.1.10 0 destination 192.168.1.1 0

       仅拒绝192.168.1.10 对192.168.1.1的ICMP访问

IPV4地址中，存在私有与公有IP地址的区别：

公有：具有全球唯一性，可以在互联网通讯，需要付费使用

私有：具有本地唯一性，不能在互联网通讯，无需付费使用

私有ip地址：

10.0.0.0/8   172.16.0.0/16-172.31.0.0/16  192.168.0.0/24-192.168.255.0/24

七、NAT网络地址转换

NAT网络地址转换：  边界路由器上--连接外网的公有ip地址所在接口配置

边界路由器上，对进、出的流量进入源或目标ip地址的修改；

一对一  一对多   对多对   端口映射

一对多：多个私有ip地址对应同一个公有ip地址   PAT端口地址转换

先使用ACL定义可以被转换的私有ip地址范围

[r2]acl 2000

[r2-acl-basic-2000]rule permit source 192.168.0.0 0.0.255.255

[r2]int g0/0/2  公网所在接口；acl2000列表中关注的私有ip地址，通过该接口转出时，其源ip地址修改为该接口公有ip

[r2-GigabitEthernet0/0/2]nat outbound 2000

一对一的配置：

连接公网的接口配置

[r2-GigabitEthernet0/0/2]nat static global 12.1.1.3 inside  192.168.1.10

                                   公有               私有

端口映射：

[r2-GigabitEthernet0/0/2]nat server protocol  tcp global  current-interface 80 inside  192.168.1.10 80

Warning:The port 80 is well-known port. If you continue it may cause function failure.

Are you sure to continue?[Y/N]:y

外部访问该接口ip-12.1.1.1且目标端口号为80时，将被修改为192.168.1.10目标端口80；

[r2-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 8888 inside 192.168.1.20 80

外部访问该物理接口ip-12.1.1.1 且目标端口为8888时，将被修改为192.168.1.20 目标端口80；

多对多配置：

[r1]nat address-group 1 12.1.1.3 12.1.1.10  先定义公有ip地址范围

[r1]acl 2000  再定义私有ip地址的范围

[r1-acl-basic-2000]rule  permit source  172.16.0.0 0.0.255.255

最后在连接公网的接口上配置多对多

[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1

                               私有             公有

[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 no-pat  一对一（多个一对一）