#1 ip地址设置
ip add 192.168.1.1 255.255.255.0
ip add 192.168.1.2 255.255.255.0
#2 DHCP
交换机上配置
system-view //进入系统配置
dhcp enable
int g0/0/1 //接入接口管理
dhcp select interface //配置dncp选择接口
#3 DNS域名系统
int g0/0/1
dhcp server dns-list 10.244.1.100 //配置dns服务器
#4 路由交换
display ip routing-table 100.100.100.100 //查看到100.100.100.100的路由表
ip route-static 192.168.3.1 255.255.255.0 192.168.2.10 //正向路由
ip route-static 192.168.1.1 255.255.255.0 192.168.2.1 //回程路由
#4虚拟局域网vlan
交换机的接口模式
access：只需要链接1个vlan，用来连接终端，电脑，打印机
trunk：需要连接多个vlan，用来连接其他交换机
hybird:
display vlan //查看vlan
vlan 10 //创建vlan 10
int g0/0/1
port link-type access //设置0/0/1接口模式
port default vlan 10 //将该接口放进vlan 10
port-group 1 //创建端口组
group-member g0/0/2 g0/0/3 //添加接口成员
port link-type access
port default vlan 20
#4.1 三层交换技术
int g/0/0/3 //与交换机链接的接口
port link-type trunk
port trunk allow-pass vlan all //允许所有vlan通过，可以单独放通 vlan 10，vlan 20
int vlan 20
ip address 192.168.20.254 255.255.255.0 //设置vlan 20 网关地址
#5路由原理
#5.1 OSPF
ospf 1 1.1.1.1//启动ospf
area 0 //创建一个区域0
network 1.1.1.0 0.0.0.255 // 宣告从那些接口发送hello包
network 192.168.2.0 0.0.0.255 //该路由器有两个直连网段，把两个网段都宣告进去
//两个路由器也需要
#5.2 rip
rip 1
version 2 //版本2
network 192.168.2.0
OSPF 和 IS-IS 是计算路由
BGP 是传递路由
路由迭代=多次查表
#6路由引入
用于两边不同的路由协议，例如ospf/rip，公共路由称为ASBR
将公共路由使用引入，如ospf 引入rip 或 rip 引入ospf
eg：在ASBR上分别操作
在ospf引入rip：
Huawei-ospf-1\]import-route rip 1 cost 123 在rip引入ospf： \[Huawei-rip-1\]import-route ospf 1 cost 3 #7路由优先级 \[Huawei-ospf-1\]preference ase 14 #8路由引入 1、动态路由协议之间的路由引入 2、引入直连路由到动态路由协议 \[Huawei-ospf-1\]import-route direct cost 666 3、引入静态路由到动态路由协议 \[Huawei-ospf-1\]import-route static cost 666 #9单臂路由 AR 配置 \[Huawei\]int g0/0/0.20 //新建g0/0/0 的虚拟接口 \[Huawei-GigabitEthernet0/0/0.20\]dot1q termination vid 20 //虚拟接口指定vlan20 \[Huawei-GigabitEthernet0/0/0.20\]arp broadcast enable //开启ARP广播 \[Huawei-GigabitEthernet0/0/0.20\]ip address 2.2.2.254 255.255.255.0 //配置vlan20 的网关地址 #10 ACL 访问控制列表 1、创建一个访问控制规则 2、调用这个规则 基本acl：2000-2999 高级acl：3000-3999 二层acl：4000-4999 用户自定义acl：5000-5999 用户acl：6000-6999 acl 2000 //数字型 acl name test advance //命名型 rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 //通配符掩码 rule permit ip source any destination any dis this 在数据的必经之路进行调用 int g0/0/1 traffic-filter inbound acl name test #11 NAT 网络地址转换 (动态) acl name neiwang basic rule permit source 192.168.0.0 0.0.255.255 //192.168开头的地址都需要做转换 nat address-group 1 64.1.1.2 64.1.1.6 //做一个NAT地址池 int g/0/01 //进入出接口 nat outbound 2999 address-group 1 //将acl 2999允许的地址转换成，地址池为1 的地址 ------- nat outbound 是内部pc访问互联网的，源地址转换 nat server 是内部地址映射出互联网的，服务器对外发布，目标地址转换 ------- #12 静态NAT 服务器发布 1、AR1 需要有到200.200.200.200 的路由 ip route-static 200.200.200.0 255.255.255.0 119.1.1.2 2、做静态NAT int g0/0/1 nat server protocol tcp global 119.1.1.123 www inside 172.16.0.1 8080 //将内网服务器172.16.0.1 的80端口映射到共有地址119.1.1.123的8080端口 #13 如何远程管理网络设备 telnet user-interface vty 0 4 //5个远程管理 authentication-mode aaa //用户名+密码 aaa local-user testuser password cipher 123456 local-user testuser privilege lecel 15 local-user testuser service-type telnet telnet server enable dispaly domain name default_admin display aaa offline-record all #综合题 1、网络中有三个不同部门，均可自动获取地址 2、各部门可互相访问，也可访问内部服务器172.16.100.1 3、PC1不允许访问互联网，PC2和PC3可以访问互联网 4、内网服务器对外发布的地址为64.1.1.3,互联网用户可以访问这台服务器 5、内网服务器的域名是www.zhynet.net,各PC可以通过域名访问 --------------------------------------------------------------- 1、LSW2不用做配置 2、LSW3，配两个access，一个truck 创建两个vlan 3、LSW1，创建4个vlan vlan 配置地址（网关） 打开dhcp，配置dns dhcp enable int vlan 20 dhcp select interface dhcp server dns-list 172.16.100.1 //几个接口都需要配置dns 接口配置 4、核心交换和路由之间的地址，配置通就可以 交换机需要先配置vlan100，再配置ip地址 5、路由器AR1： 出去的路由：0.0.0.0 0.0.0.0 64.1.1.10 回来的路由：192.168.0.0 255.255.0.0 10.10.10.2 //包含所有192.168段的ip 服务器的路由：172.16.10.0 255.255.255.0 10.10.10.2 做NAT,先做ACL acl 2000 rule permit source 192.168.0.0 0.0.255.255 nat address-group 1 64.1.1.5 64.1.1.5 //地址池 到出接口 nat outbound 2000 address-group 1 ----缺少了8.8.8.8 的配置部分---- 使用acl限制某段vlan访问互联网 acl 2001 rule deny source 192.168.10.0 0.0.0.255 rule permit source any int g0/0/0 traffic-filter inbound acl 2001 映射出去 nat server global 64.1.1.3 inside 172.16.100.1 ---end--- ipv6 int g0/0/0 ipv6 enable ipv6 add 2000::2 64 ipv6 route-static 2000:: 64 2001::1 ipv6 route-static :增加一条路由信息 2000:: 64 目标网段，增加去往2000段的路由信息 2001::1 下一条，去往2000段的数据包，应交交给谁，交给2001::1 默认网关：功能是邦族不同网段的用户来转发数据，（路由器、三层交换机、防火墙） ### 子网划分基本过程 在主机号划分一个子网号，所以主机号=子网号+主机号' 192.168.1.0 192.168.1.00000000 1个网络位有 2种形式，可以划分2个子网 2个网络位有 4种形式，可以划分4个子网 3个网络位有 8种形式，可以划分8个子网（第一位是 128 第二位是 64 第三位是 32） -------000（0）、001（32）、010（64）、011（96）、100（128）、101（160）、110（192）、111（224） 还有4个、5个.... 应用1：某主机ip地址是210.33.5.68 子网掩码是255.255.255.128，求他的网络地址 25位网络号 应用2：某A类网络20.0.0.0 的子网掩码为255.224.0.0,请确认可以划分的子网个数，写出每个子网的子网号 8个子网个数 128+64+32= 224 000（0） ---- 20.0.0.0/11 ---- 20.0.0.0-20.31.255.255 001（32） ---- 20.32.0.0/11 ---- 20.32.0.0-20.63.255.255 010（64） ---- 20.64.0.0/11 ---- 20.64.0.0-20.95.255.255 011（96） ---- 20.96.0.0/11 ---- 20.96.0.0-20.127.255.255 100（128） ---- 20.128.0.0/11 ---- 20.128.0.0-20.159.255.255 101（160） ---- 20.160.0.0/11 ---- 20.160.0.0-20.191.255.255 110（192） ---- 20.192.0.0/11 ---- 20.192.0.0-20.223.255.255 111（224） ---- 20.224.0.0/11 ---- 20.240.0.0-20.255.255.255 应用3：将某C网200.161.30.0划分成4个子网，请计算出每个子网的有效的主机ip地址和对应的子网掩码 200.161.30.00 00 0000 24+2=26 （128+64=192） 所以子网掩码 255.255.255.192 去网络号，和广播地址 00(0) 200.161.30.0/26 200.161.30.1-200.161.30.62 01(64) 200.161.30.64/26 200.161.30.65-200.161.30.127 10(128) 200.161.30.128/26 200.161.30.129-200.161.30.191 11(192) 200.161.30.192/26 200.161.30.193-200.161.30.254 应用4：某公司申请到的网络地址为192.3.2.0,现要划分5个子公司，最大的一个子公司有28台计算机，每个子公司在一个子网中，则 （1）子网掩码 （2）5个子公司的网络地址分别是 同应用2类似 ------------------------------------ 1.企业私接小路由器带来的问题？ 有时无法正常联通网络，DHCP的问题 通过vlan实现故障隔离 通过DHCP snooping禁止私设服务器的DHCP报文 交换机上设置 dhcp enable dhcp snooping enable vlan 1 dhcp snooping enable dhcp snooping trusted interface g0/0/24 //设置受信任接口 通过ACL访问控制列表，禁止用户区域DHCP服务器报文 dhcp协议，两个端口号，客户端68，服务器67 用ACL，禁止源端口是67的从用户的接口进入网络 acl 3000 rule deny udp source any source-port eq 67 rule pemeit ip 在各个接口上做，可以用批量的方式，进入1口-10口 traffic-filter inbound acl 3000 2.小路由器是怎样是网络出问题的？ 由DHCP功能造成 什么叫DHCP：动态主机配置协议 什么作用：集中管理与下发地址 DHCP 的配置 int g0/0/0 ip address 192.168.1.1 255.255.255.0 dhcp enable ip pool dhcp network 192.168.1.0 255.255.255.0 配置dhcp下发的地址网段 gateway-list 192.168.1.1 dns-list 8.8.8.8 int g0/0/0 dhcp select global //选择dhcp由全局地址池发布 3.怎么解决 ------------------------------------ vlan概念：局域网（泛指） vlan的作用：隔离广播域（常用vlan分割方式：接口、MAC、网络） vlan常用配置 ------------------------------------ 0.1什么是交换机 0.2什么是二层交换机 0.3什么是三层交换机 1、三层交换机作用 2、三层交换机常用配置 3、环路、私接小路由等常见故障排查（可选） 1、网络会卡顿。主机多，广播包多了，与自己无关的广播也会多，消耗带宽、cpu、内存 2、网络故障频发 三层交换机，配上vlan，vlan是一种隔离技术 1、隔离广播 2、隔离故障 vlan典型做法 1、先用vlan把用户隔离开，隔离的广播，是故障，是不好的包 2、再用网关把他们连通，连通的是正常的通信 把三层交换机配置成用户的网关，三层功能，就是帮助不同网络做数据转发的功能，也叫路由 ------------------------------------ 不同网段之间的通信，如1.1.1.1 ping 2.2.2.2 1、PCa 通过对比网络位，判断PCb 是否同网段，发现PCb不是同网段 2、不是同网段，先把数据包交给网关，查看自己的网关是谁，是1.254 3、用arp 解析出1.254 的mac地址，数据包的目标mac写在网关的mac，能实现数据包交给网关 4、网关收到数据包，查看目标ip，查看路由表，知道应该从g/0/0/1发出，数据包的目标mac改成目标pc的mac ------------------------------------ 1、防火墙功能和应用实例 2、防火墙工作原理和配置 防火墙的接口类型 1、路由模式（3层口） 物理口可以直接配ip，类似路由器 2、交换模式 物理口不能直接配ip，类似交换机，可以配vlan trunk 1、防火墙的安全策略，没有允许这个pc出去 1.1把接口加入安全域 防火墙有这几个安全区 信任区：我的内网 非信任区：外网 DMZ区：中间区域，服务器区88071 firewall zone trust add int g1/0/1 //添加信任区域的接口 firewall zone untrust add int g1/0/2 //添加非信任区域的接口 1.2 做放行策略 从信任区域，访问非信任，允许 Security-policy //进入安全策略 rule name shangwang //新建一个规则 source-zone trust // destination-zone untrust action permit 2、内网主机是私网ip，私网ip不能访问外网 用nat，网络地址转换，把私网ip转成公网ip nat-policy rule name shangwang source-zone trust destination-zone untrust action source-nat easy-ip 做地址转换，转成成出口ip 回程路由：数据包如何回来 ------------------------------------ 一个防火墙项目的实例 安全域配置 安全域添加接口 firewall zone trust add interface g1/0/1 firewall zone dmz add interface g1/0/2 安全策略 security-policy rule name test1 source-zone dmz source-zone untrust action permit NAT策略 nat-policy rule name dianxin source-zone trust destination-zone untrust action source-nat easy-ip 开启web管理 web-manger enable int g0/0/0 ip add 192.168.100.1 24 service-manger ping permit server-manger enable server-manger https permit ------------------------------------ 防火墙侧操作 int g1/0/1 ip address 192.168.1.254 24 --做安全域（trust、untrust、DMZ） --做安全策略 1、内网主机，访问防火墙本身，能通 security-policy rule name neiwang-to-fw //创建一个安全规则，名字叫neiwang-to-fw source-zone trust //来自内网 destination-zone local //去往防火墙本身 action permit //允许 service-manger ping permit //允许ping 2、内网主机，要上网，要访问外网，能通 安全策略：允许数据包从trust（内网）到UNtrust（外网） NAT：要把私网ip，出去的时候，转成公网ip 路由：让防火墙，拥有去往6.6.6.6的路由表 security-policy rule name neiwang-to-internet source-zone trust destination-zone untrust action permit nat-policy rule name dianxin source-zone trust destination-zone untrust action source-nat easy-ip ip router-static 0.0.0.0 0 64.1.1.10 默认路由（缺省路由） ------------------------------------ 故障排查思路 1、分段：通过正常状态下应有的数据流（出、入方向），逐段进行分析，找到异常的点，由近到远 2、分层：从协议最底层开始排查，一直到最高层，由硬到软 3、替换：可替换的有：线缆、接口、插槽、配置、软件、硬件、客户端...... ------------------------------------ 网络故障排查专题--服务器访问异常 1、客户端访问服务器的通信原理 2、常见故障排除实例 客户端访问服务器 1、用dns把oa.test.com解析成了64.1.1.3 2、我把访问的网站的数据包，送到了路由器 3、路由器配了一个端口映射，把64.1.1.3:8060变成了172.16.60.60:80 4、路由器接下来，要把访问网站的数据表送到172.16.60.60 ，查路由表 排查思路 1、熟悉通信原理 2、分段排查，分步骤检查 2.1 dns、端口映射、去往服务器路由、服务器本身服务是否正常、服务器给访客回包、安全策略 ------------------------------------ 网络故障排查专题--环路故障 1、环路故障案例 2、如何判断网络故障是由环路引起 3、如何防范环路故障 1、为什么环路，就会断网 环路，导致网络中产生大量的广播包（每秒几千万个），俗称广播风暴 2、当网络故障的时候，如何判断是不是由于环路引起的 查看mac地址表，是否存在mac地址震荡 mac地址表：交换机上的一个转发表项，记录下每个电脑的mac，和交换机的接口的对应关系 display mac-address //查看mac地址表 mac地址表的信息，是如何产生的？ 当交换机的某个接口，比如1口，收到一个数据包，查看这个数据包的源mac地址（不如A） 自动更新mac地址表，记录下来 A----1 一旦发生环路，这个mac地址表就会变的不正常 mac地址震荡 mac地址翻滚 MAC地址漂移 同一个mac地址，在不同接口来回变化。断定环路，只有环路才会出现，同一个数据包，从不同的接口进入交换机 如何判断： 1、小网络，交换机灯 2、大网络，mac地址表，是否有震荡 实际问题，怎么解决 开生成树。生成树是一个防环技术，一旦产生环路，会阻塞到接口 生成树保护功能 bpdu guard 实现，底下用户犯错，连环，自动关闭掉他的端口 1、把连接用户的接口设置为边缘端口 int g0/0/1 stp edged-port enable 2、开启bpdu 保护，实现用户自己连环，交换机直接关端口 stp bpdu-protection ------------------------------------ 1、缺省路由 0.0.0.0 0.0.0.0 1.1.1.2 所有目标都走1.1.1.2 这个接口 2、路由递归，也称为路由迭代，需要多次查询，，需要避免出现路由递归，增加了维护的技术难度 3、浮动路由，去往一个目标有多条路径，一主一备 ip route-static 20.0.0.0 30 10.1.1.2 //默认是60 ip route-static 20.0.0.0 30 10.1.2.2 preference 70 4、路由汇总 把一条路由所有成员路由放在一起 192.168.1.0/24 192.168.2.0/24 192.168.3.0/24 192.168.0.0/12 汇总起来，用这个路由来代替上面的路由，可以汇总就汇总，可以减低工作量，也可以减少路由器的开销 汇总计算，看网络位部分有多少位是一样的 5、路由汇总会引发什么问题，可能会引起环路 解决：ip route-static 10.1.0.0 16 0 null0 黑洞路由 ------------------------------------ 动态路由 ospf 1 1.1.1.1 选择的流程：掩码、协议优先级（preference）、cost（由带宽决定）、 OSPF的三个步骤 1、建立邻居，收集链路状态信息形成邻接（邻居表） display ospf peer brief 2、用收集到的lsa表，作为原材料，计算路由（状态链路信息） display ospf lsdb 3、有路由了（） display ip routing-table protocol ospf OSPF网络类型：P2P、BMA（广播式多路访问）、NBMA（非广播式多路访问）、P2MP（点到多点） DR/BDR DR的选举规则，通过优先级 display ospf interface g0/0/1 Priority:1 OSPF多区域 ABR 区域边界路由器 ASBR 用作路由引入的 ------------------------------------ 生成树stp 1、选出根桥：每个交换机运行了stp，有一个桥id，桥id最小的交换机为根桥 display valn 1 2、选出根端口：每个非根桥上，选出一个根端口，收到bpdu最优的端口 display stp brief //查看stp 摘要信息，Role 为 ROOT 则为最优的端口 3、选出制定端口：一个接口，发出的bpdu，比收到的bpdu，更优，是指定端口 DP 4、阻塞其他端口 ------------------------------------ 链路聚合 手动 interface eth-trunk 1 int g0/0/1 eth-trunk 1 display eth-truck 1 LACP 动态链路聚合 interface eth-trunk 1 mode lacp max active-linknumber 2 trunkport g0/0/1 to 0/0/3 port link-type trunk port trunk allow-pass vlan 10 20 lacp priority 30000 //配置优先级，设置成主动设备