#1 ip地址设置
ip add 192.168.1.1 255.255.255.0
ip add 192.168.1.2 255.255.255.0
#2 DHCP
交换机上配置
system-view //进入系统配置
dhcp enable
int g0/0/1 //接入接口管理
dhcp select interface //配置dncp选择接口
#3 DNS域名系统
int g0/0/1
dhcp server dns-list 10.244.1.100 //配置dns服务器
#4 路由交换
display ip routing-table 100.100.100.100 //查看到100.100.100.100的路由表
ip route-static 192.168.3.1 255.255.255.0 192.168.2.10 //正向路由
ip route-static 192.168.1.1 255.255.255.0 192.168.2.1 //回程路由
#4虚拟局域网vlan
交换机的接口模式
access：只需要链接1个vlan，用来连接终端，电脑，打印机
trunk：需要连接多个vlan，用来连接其他交换机
hybird:
display vlan //查看vlan
vlan 10 //创建vlan 10
int g0/0/1
port link-type access //设置0/0/1接口模式
port default vlan 10 //将该接口放进vlan 10
port-group 1 //创建端口组
group-member g0/0/2 g0/0/3 //添加接口成员
port link-type access
port default vlan 20
#4.1 三层交换技术
int g/0/0/3 //与交换机链接的接口
port link-type trunk
port trunk allow-pass vlan all //允许所有vlan通过，可以单独放通 vlan 10，vlan 20
int vlan 20
ip address 192.168.20.254 255.255.255.0 //设置vlan 20 网关地址
#5路由原理
#5.1 OSPF
ospf 1 1.1.1.1//启动ospf
area 0 //创建一个区域0
network 1.1.1.0 0.0.0.255 // 宣告从那些接口发送hello包
network 192.168.2.0 0.0.0.255 //该路由器有两个直连网段，把两个网段都宣告进去
//两个路由器也需要
#5.2 rip
rip 1
version 2 //版本2
network 192.168.2.0
OSPF 和 IS-IS 是计算路由
BGP 是传递路由
路由迭代=多次查表
#6路由引入
用于两边不同的路由协议，例如ospf/rip，公共路由称为ASBR
将公共路由使用引入，如ospf 引入rip 或 rip 引入ospf
eg：在ASBR上分别操作
在ospf引入rip：
[Huawei-ospf-1]import-route rip 1 cost 123
在rip引入ospf：
[Huawei-rip-1]import-route ospf 1 cost 3
#7路由优先级
[Huawei-ospf-1]preference ase 14
#8路由引入
1、动态路由协议之间的路由引入
2、引入直连路由到动态路由协议
[Huawei-ospf-1]import-route direct cost 666
3、引入静态路由到动态路由协议
[Huawei-ospf-1]import-route static cost 666
#9单臂路由
AR 配置
[Huawei]int g0/0/0.20 //新建g0/0/0 的虚拟接口
[Huawei-GigabitEthernet0/0/0.20]dot1q termination vid 20 //虚拟接口指定vlan20
[Huawei-GigabitEthernet0/0/0.20]arp broadcast enable //开启ARP广播
[Huawei-GigabitEthernet0/0/0.20]ip address 2.2.2.254 255.255.255.0 //配置vlan20 的网关地址
#10 ACL 访问控制列表
1、创建一个访问控制规则
2、调用这个规则
基本acl：2000-2999
高级acl：3000-3999
二层acl：4000-4999
用户自定义acl：5000-5999
用户acl：6000-6999
acl 2000 //数字型
acl name test advance //命名型
rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 //通配符掩码
rule permit ip source any destination any
dis this
在数据的必经之路进行调用
int g0/0/1
traffic-filter inbound acl name test
#11 NAT 网络地址转换 (动态)
acl name neiwang basic
rule permit source 192.168.0.0 0.0.255.255 //192.168开头的地址都需要做转换
nat address-group 1 64.1.1.2 64.1.1.6 //做一个NAT地址池
int g/0/01 //进入出接口
nat outbound 2999 address-group 1 //将acl 2999允许的地址转换成，地址池为1 的地址
nat outbound 是内部pc访问互联网的，源地址转换
nat server 是内部地址映射出互联网的，服务器对外发布，目标地址转换
#12 静态NAT 服务器发布
1、AR1 需要有到200.200.200.200 的路由
ip route-static 200.200.200.0 255.255.255.0 119.1.1.2
2、做静态NAT
int g0/0/1
nat server protocol tcp global 119.1.1.123 www inside 172.16.0.1 8080
//将内网服务器172.16.0.1 的80端口映射到共有地址119.1.1.123的8080端口
#13 如何远程管理网络设备
telnet
user-interface vty 0 4 //5个远程管理
authentication-mode aaa //用户名+密码
aaa
local-user testuser password cipher 123456
local-user testuser privilege lecel 15
local-user testuser service-type telnet
telnet server enable
dispaly domain name default_admin
display aaa offline-record all
#综合题
1、网络中有三个不同部门，均可自动获取地址
2、各部门可互相访问，也可访问内部服务器172.16.100.1
3、PC1不允许访问互联网，PC2和PC3可以访问互联网
4、内网服务器对外发布的地址为64.1.1.3,互联网用户可以访问这台服务器
5、内网服务器的域名是www.zhynet.net,各PC可以通过域名访问
1、LSW2不用做配置
2、LSW3，配两个access，一个truck
创建两个vlan
3、LSW1，创建4个vlan
vlan 配置地址（网关）
打开dhcp，配置dns
dhcp enable
int vlan 20
dhcp select interface
dhcp server dns-list 172.16.100.1 //几个接口都需要配置dns
接口配置
4、核心交换和路由之间的地址，配置通就可以
交换机需要先配置vlan100，再配置ip地址
5、路由器AR1：
出去的路由：0.0.0.0 0.0.0.0 64.1.1.10
回来的路由：192.168.0.0 255.255.0.0 10.10.10.2 //包含所有192.168段的ip
服务器的路由：172.16.10.0 255.255.255.0 10.10.10.2
做NAT,先做ACL
acl 2000
rule permit source 192.168.0.0 0.0.255.255
nat address-group 1 64.1.1.5 64.1.1.5 //地址池
到出接口
nat outbound 2000 address-group 1
----缺少了8.8.8.8 的配置部分----
使用acl限制某段vlan访问互联网
acl 2001
rule deny source 192.168.10.0 0.0.0.255
rule permit source any
int g0/0/0
traffic-filter inbound acl 2001
映射出去
nat server global 64.1.1.3 inside 172.16.100.1
---end---
ipv6
int g0/0/0
ipv6 enable
ipv6 add 2000::2 64
ipv6 route-static 2000:: 64 2001::1
ipv6 route-static :增加一条路由信息
2000:: 64 目标网段，增加去往2000段的路由信息
2001::1 下一条，去往2000段的数据包，应交交给谁，交给2001::1
默认网关：功能是邦族不同网段的用户来转发数据，（路由器、三层交换机、防火墙）
子网划分基本过程
在主机号划分一个子网号，所以主机号=子网号+主机号'
192.168.1.0
192.168.1.00000000
1个网络位有 2种形式，可以划分2个子网
2个网络位有 4种形式，可以划分4个子网
3个网络位有 8种形式，可以划分8个子网（第一位是 128 第二位是 64 第三位是 32）
-------000（0）、001（32）、010（64）、011（96）、100（128）、101（160）、110（192）、111（224）
还有4个、5个....
应用1：某主机ip地址是210.33.5.68 子网掩码是255.255.255.128，求他的网络地址
25位网络号
应用2：某A类网络20.0.0.0 的子网掩码为255.224.0.0,请确认可以划分的子网个数，写出每个子网的子网号
8个子网个数 128+64+32= 224
000（0） ---- 20.0.0.0/11 ---- 20.0.0.0-20.31.255.255
001（32） ---- 20.32.0.0/11 ---- 20.32.0.0-20.63.255.255
010（64） ---- 20.64.0.0/11 ---- 20.64.0.0-20.95.255.255
011（96） ---- 20.96.0.0/11 ---- 20.96.0.0-20.127.255.255
100（128） ---- 20.128.0.0/11 ---- 20.128.0.0-20.159.255.255
101（160） ---- 20.160.0.0/11 ---- 20.160.0.0-20.191.255.255
110（192） ---- 20.192.0.0/11 ---- 20.192.0.0-20.223.255.255
111（224） ---- 20.224.0.0/11 ---- 20.240.0.0-20.255.255.255
应用3：将某C网200.161.30.0划分成4个子网，请计算出每个子网的有效的主机ip地址和对应的子网掩码
200.161.30.00 00 0000 24+2=26 （128+64=192） 所以子网掩码 255.255.255.192 去网络号，和广播地址
00(0) 200.161.30.0/26 200.161.30.1-200.161.30.62
01(64) 200.161.30.64/26 200.161.30.65-200.161.30.127
10(128) 200.161.30.128/26 200.161.30.129-200.161.30.191
11(192) 200.161.30.192/26 200.161.30.193-200.161.30.254
应用4：某公司申请到的网络地址为192.3.2.0,现要划分5个子公司，最大的一个子公司有28台计算机，每个子公司在一个子网中，则
（1）子网掩码
（2）5个子公司的网络地址分别是
同应用2类似
1.企业私接小路由器带来的问题？
有时无法正常联通网络，DHCP的问题
通过vlan实现故障隔离
通过DHCP snooping禁止私设服务器的DHCP报文
交换机上设置
dhcp enable
dhcp snooping enable
vlan 1
dhcp snooping enable
dhcp snooping trusted interface g0/0/24 //设置受信任接口
通过ACL访问控制列表，禁止用户区域DHCP服务器报文
dhcp协议，两个端口号，客户端68，服务器67
用ACL，禁止源端口是67的从用户的接口进入网络
acl 3000
rule deny udp source any source-port eq 67
rule pemeit ip
在各个接口上做，可以用批量的方式，进入1口-10口
traffic-filter inbound acl 3000
2.小路由器是怎样是网络出问题的？
由DHCP功能造成
什么叫DHCP：动态主机配置协议
什么作用：集中管理与下发地址
DHCP 的配置
int g0/0/0
ip address 192.168.1.1 255.255.255.0
dhcp enable
ip pool dhcp
network 192.168.1.0 255.255.255.0 配置dhcp下发的地址网段
gateway-list 192.168.1.1
dns-list 8.8.8.8
int g0/0/0
dhcp select global //选择dhcp由全局地址池发布
3.怎么解决
vlan概念：局域网（泛指）
vlan的作用：隔离广播域（常用vlan分割方式：接口、MAC、网络）
vlan常用配置
0.1什么是交换机
0.2什么是二层交换机
0.3什么是三层交换机
1、三层交换机作用
2、三层交换机常用配置
3、环路、私接小路由等常见故障排查（可选）
1、网络会卡顿。主机多，广播包多了，与自己无关的广播也会多，消耗带宽、cpu、内存
2、网络故障频发
三层交换机，配上vlan，vlan是一种隔离技术
1、隔离广播
2、隔离故障
vlan典型做法
1、先用vlan把用户隔离开，隔离的广播，是故障，是不好的包
2、再用网关把他们连通，连通的是正常的通信
把三层交换机配置成用户的网关，三层功能，就是帮助不同网络做数据转发的功能，也叫路由
不同网段之间的通信，如1.1.1.1 ping 2.2.2.2
1、PCa 通过对比网络位，判断PCb 是否同网段，发现PCb不是同网段
2、不是同网段，先把数据包交给网关，查看自己的网关是谁，是1.254
3、用arp 解析出1.254 的mac地址，数据包的目标mac写在网关的mac，能实现数据包交给网关
4、网关收到数据包，查看目标ip，查看路由表，知道应该从g/0/0/1发出，数据包的目标mac改成目标pc的mac
1、防火墙功能和应用实例
2、防火墙工作原理和配置
防火墙的接口类型
1、路由模式（3层口） 物理口可以直接配ip，类似路由器
2、交换模式 物理口不能直接配ip，类似交换机，可以配vlan trunk
1、防火墙的安全策略，没有允许这个pc出去
1.1把接口加入安全域
防火墙有这几个安全区
信任区：我的内网
非信任区：外网
DMZ区：中间区域，服务器区88071
firewall zone trust
add int g1/0/1 //添加信任区域的接口
firewall zone untrust
add int g1/0/2 //添加非信任区域的接口
1.2 做放行策略
从信任区域，访问非信任，允许
Security-policy //进入安全策略
rule name shangwang //新建一个规则
source-zone trust //
destination-zone untrust
action permit
2、内网主机是私网ip，私网ip不能访问外网
用nat，网络地址转换，把私网ip转成公网ip
nat-policy
rule name shangwang
source-zone trust
destination-zone untrust
action source-nat easy-ip 做地址转换，转成成出口ip
回程路由：数据包如何回来
一个防火墙项目的实例
安全域配置
安全域添加接口
firewall zone trust
add interface g1/0/1
firewall zone dmz
add interface g1/0/2
安全策略
security-policy
rule name test1
source-zone dmz
source-zone untrust
action permit
NAT策略
nat-policy
rule name dianxin
source-zone trust
destination-zone untrust
action source-nat easy-ip
开启web管理
web-manger enable
int g0/0/0
ip add 192.168.100.1 24
service-manger ping permit
server-manger enable
server-manger https permit
防火墙侧操作
int g1/0/1
ip address 192.168.1.254 24
--做安全域（trust、untrust、DMZ）
--做安全策略
1、内网主机，访问防火墙本身，能通
security-policy
rule name neiwang-to-fw //创建一个安全规则，名字叫neiwang-to-fw
source-zone trust //来自内网
destination-zone local //去往防火墙本身
action permit //允许
service-manger ping permit //允许ping
2、内网主机，要上网，要访问外网，能通
安全策略：允许数据包从trust（内网）到UNtrust（外网）
NAT：要把私网ip，出去的时候，转成公网ip
路由：让防火墙，拥有去往6.6.6.6的路由表
security-policy
rule name neiwang-to-internet
source-zone trust
destination-zone untrust
action permit
nat-policy
rule name dianxin
source-zone trust
destination-zone untrust
action source-nat easy-ip
ip router-static 0.0.0.0 0 64.1.1.10
默认路由（缺省路由）
故障排查思路
1、分段：通过正常状态下应有的数据流（出、入方向），逐段进行分析，找到异常的点，由近到远
2、分层：从协议最底层开始排查，一直到最高层，由硬到软
3、替换：可替换的有：线缆、接口、插槽、配置、软件、硬件、客户端......
网络故障排查专题--服务器访问异常
1、客户端访问服务器的通信原理
2、常见故障排除实例
客户端访问服务器
1、用dns把oa.test.com解析成了64.1.1.3
2、我把访问的网站的数据包，送到了路由器
3、路由器配了一个端口映射，把64.1.1.3:8060变成了172.16.60.60:80
4、路由器接下来，要把访问网站的数据表送到172.16.60.60 ，查路由表
排查思路
1、熟悉通信原理
2、分段排查，分步骤检查
2.1 dns、端口映射、去往服务器路由、服务器本身服务是否正常、服务器给访客回包、安全策略
网络故障排查专题--环路故障
1、环路故障案例
2、如何判断网络故障是由环路引起
3、如何防范环路故障
1、为什么环路，就会断网
环路，导致网络中产生大量的广播包（每秒几千万个），俗称广播风暴
2、当网络故障的时候，如何判断是不是由于环路引起的
查看mac地址表，是否存在mac地址震荡
mac地址表：交换机上的一个转发表项，记录下每个电脑的mac，和交换机的接口的对应关系
display mac-address //查看mac地址表
mac地址表的信息，是如何产生的？
当交换机的某个接口，比如1口，收到一个数据包，查看这个数据包的源mac地址（不如A）
自动更新mac地址表，记录下来 A----1
一旦发生环路，这个mac地址表就会变的不正常
mac地址震荡 mac地址翻滚 MAC地址漂移
同一个mac地址，在不同接口来回变化。断定环路，只有环路才会出现，同一个数据包，从不同的接口进入交换机
如何判断：
1、小网络，交换机灯
2、大网络，mac地址表，是否有震荡
实际问题，怎么解决
开生成树。生成树是一个防环技术，一旦产生环路，会阻塞到接口
生成树保护功能 bpdu guard
实现，底下用户犯错，连环，自动关闭掉他的端口
1、把连接用户的接口设置为边缘端口
int g0/0/1
stp edged-port enable
2、开启bpdu 保护，实现用户自己连环，交换机直接关端口
stp bpdu-protection
1、缺省路由 0.0.0.0 0.0.0.0 1.1.1.2
所有目标都走1.1.1.2 这个接口
2、路由递归，也称为路由迭代，需要多次查询，，需要避免出现路由递归，增加了维护的技术难度
3、浮动路由，去往一个目标有多条路径，一主一备
ip route-static 20.0.0.0 30 10.1.1.2 //默认是60
ip route-static 20.0.0.0 30 10.1.2.2 preference 70
4、路由汇总
把一条路由所有成员路由放在一起
192.168.1.0/24
192.168.2.0/24
192.168.3.0/24
192.168.0.0/12 汇总起来，用这个路由来代替上面的路由，可以汇总就汇总，可以减低工作量，也可以减少路由器的开销
汇总计算，看网络位部分有多少位是一样的
5、路由汇总会引发什么问题，可能会引起环路
解决：ip route-static 10.1.0.0 16 0 null0 黑洞路由
动态路由
ospf 1 1.1.1.1
选择的流程：掩码、协议优先级（preference）、cost（由带宽决定）、
OSPF的三个步骤
1、建立邻居，收集链路状态信息形成邻接（邻居表）
display ospf peer brief
2、用收集到的lsa表，作为原材料，计算路由（状态链路信息）
display ospf lsdb
3、有路由了（）
display ip routing-table protocol ospf
OSPF网络类型：P2P、BMA（广播式多路访问）、NBMA（非广播式多路访问）、P2MP（点到多点）
DR/BDR
DR的选举规则，通过优先级
display ospf interface g0/0/1
Priority:1
OSPF多区域
ABR 区域边界路由器
ASBR 用作路由引入的
生成树stp
1、选出根桥：每个交换机运行了stp，有一个桥id，桥id最小的交换机为根桥
display valn 1
2、选出根端口：每个非根桥上，选出一个根端口，收到bpdu最优的端口
display stp brief //查看stp 摘要信息，Role 为 ROOT 则为最优的端口
3、选出制定端口：一个接口，发出的bpdu，比收到的bpdu，更优，是指定端口 DP
4、阻塞其他端口
链路聚合
手动
interface eth-trunk 1
int g0/0/1
eth-trunk 1
display eth-truck 1
LACP 动态链路聚合
interface eth-trunk 1
mode lacp
max active-linknumber 2
trunkport g0/0/1 to 0/0/3
port link-type trunk
port trunk allow-pass vlan 10 20
lacp priority 30000 //配置优先级，设置成主动设备