HCIA/HCIP基础知识笔记汇总
ICT产业链：
上游：芯片制造、元器件生产、光纤光缆制造
中游：硬件组装、软件开发、网络建设维护
下游：电信服务、互联网服务、终端产品
VLAN端口类型：
access ： 连接主机
trunk : 交换机之间的连接
hybrid : 混合端口
tunnel ： 隧道
链路聚合：
多个物理电路捆绑成一个逻辑电路
LACP模式，端口优先级控制活跃链路协商确定优先级，值越小优先级越高
手工模式，手动配置，所有活动链路都参与数据抓发，负载分担
二层交换机：
没有路由表，只有MAC地址表
无路由功能，不遵循路由算法
三个动作：泛洪，转发，丢弃 ； 执行完动作后需要学习
仿真时：一个二层交换机，连接两个PC机，给两个PC机配置相关地址参数之后，就能实现互通
三层交换机：
每一个VLAN都可以配置IP地址
基于目标IP地址转发，遵循路由算法
使用vlanif 来配置vlan的网关IP地址，可以使用OSPF等路由协议
转发性能高于同价位的路由器
VRRP：虚拟路由冗余协议
作用：使主网关出现故障时，可以顺利地切换到备网关
控制主备网关：给设备的VRRP添加优先级，数值越大优先级越高
VRRP是在Vlanif 的视图下进行配置
网关地址：vrrp vrid xx virtual-ip xx.xx.xx.xx
优先级： vrrp vrid xx priority xxx（默认优先级数值是100）
STP生成树协议：
作用：防止二层网络中出现环路，避免广播风暴、MAC地址漂移、占用网络资源
本质：阻塞链路上的端口，切断环路
设备角色分类：根桥、非根桥
根 桥： 负责统一确定阻塞的具体链路端口
优先级选举根桥，比较的是桥ID，数值越小，优先级越高，修改值必须为4096的倍数
优先级相同，比较MAC地址选举根桥。值越小优先级越高
非根桥： 负责执行指令
端口角色分类：根端口、指定端口、预备端口
根 端口： 负责接收来自根桥方向的STP报文，每一个非根桥上有且只有一个
在一台设备上进行选举：
1，先比较根路径开销，开销最小的端口就是根端口
2，开销相同，比较上行交换机的桥ID，值越小越优先
3，上行设备的桥ID相同，就比较上行接口的PID，值越小越优先
4，上行接口的PID相同，就比较本设备上参与选举端口的PID，值越小越优先
指定端口：转发来自根桥方向的STP报文，每条物理链路上有且仅有一个
在一条链路上，根端口的对端是指定端口，如果链路上没有根端口，两个端口参与指定端口的选举
1，比较两个的本地交换机到根桥的开销，值越小越优先
2，开销相同，比较链路两端交换机的桥ID，值越小越优先
3，桥ID相同，就比较两个端口的PID，值越小越优先
STP协议端口状态：
disable ：端口未打开
blocking ：只接收处理STP报文，不转发STP报文，也不处理业务流量
listening ：接收处理STP报文，不处理业务流量，开始协商STP
learning ： STP协商完成，开始学MAC地址，不处理业务流量
forwarding： 接收并处理业务流量（转发）
STP维护时间：
如果根桥发生故障，维护时间为50秒
与根桥直连链路发生故障，维护时间为30秒
非直连链路有发生故障，对应的AP端口可能需要转变为DP端口，维护时间为50秒
STP协议的不足：
1， 收敛速度慢
2， 接口状态和接口角色区分和其他类型的情况不够细致
3， 对拓扑的稳定性要求比较好，通信不够稳定
RSTP协议：
作用：在STP的基础上进行了优化，收敛速度快，更加稳定
RSTP的优化内容：
1， P/A协商机制，快速收敛机制，收敛速度快
2， 增加了端口角色：根端口，指定端口，预备端口，备份端口
3， 增加了保护机制，更加稳定
根保护：保证根桥不被抢占，应用在指定端口下； 如果指定端口收到更优的RSTP报文，会将端口设置为阻塞状态，不处理该报文
环路保护：保证不会出现临时环路，应用在根端口； 根端口如果长时间没有收到根桥发送的报文，会设置为拥塞端口，避免临时环路
边缘端口保护：应用在边缘端口的设备上，控制参与STP选举的边缘端口的数量，避免占用大量设备资源，保护网络的稳定性
预备端口：也就是Alternate端口，是指学习到其他网桥发来的更优的BPDU报文而阻塞的端口
备份端口：也就是Backup端口， 是指学习到自己发送的BPDU报文而阻塞的端口
MSTP协议：多生成树实例
作用：应用于多个Vlan ， 实现多条路线转发对应的多个vlan ； 实现负载分担，提供线路的利用率
原理：将一个或多个vlan划分到不同的实例，基于实例计算并维护生成树
实例：默认情况下存在实例0 ，一个设备可以有0-48个实例，当实例很多时，管理起来比较复杂，需要域的概念来进行管理
MSTP域：
在同一个MSTP域中
域名相同
修订级别相同
相同的vlan映射表（也就是每个设备都要进行MSTP配置和实例绑定）
对于域配置，一旦信息修改，都需要重新激活域
代码配置：要在所有的交换机上进行配置
stp mode mstp
stp regino- configuration
region-name xxxx
revision-level 1
instance xx vlan xx
active region-configuration
DHCP：动态主机配置
作 用：自动设置IP地址，统一管理IP地址的分配
工作过程：
DHCP Discover：客户端发送广播寻找网络中的DHCP服务器，数据中包含客户端的MAC地址和请求IP地址的信息
DHCP Offer : DHCP服务器收到请求后，单播发送给客户端，消息中包含可以的IP地址等参数信息
DHCP Request ： 客户端从收到的offer中选择一个，并向所有的DHCP广播发送信息，请求确认自己的选择，消息中包含服务器的IP地址和提供的配置参数（声明自己已经使用了该地址）
DHCP Ack ： 被选择的DHCP服务器收到请求后，发送单播消息，确认客户端的租约
优 点：
· 减少了管理员的工作量
避免手动输入地址出现错误的可能
避免IP地址冲突
当更改IP地址网段时，适应性更强
提高了IP地址的利用率
代码配置：
dhcp enable
ip pool (vlan10) #全局需要创建地址池
gateway-list 10.10.10.254 #指定地址池的服务网关地址
network 10.10.10.0 mask 255.255.255.0 #指定地址池的服务网段
ex-ip-add 10.10.10.240 10.10.10.253· #指定地址池不参与DHCP分配的地址
quit
interface vlanif 10 #创建vlanif 10 接口
ip address 10.10.10.251 255.255.255.0 #配置接⼝通信地址
dhcp select global #指定使用全局地址池
(dhcp select interface) #指定使用接口地址池，接口地址自动作为网关
注意：vlanif-id里面的地址或者接口的地址必须属于地址池中宣告的网段，DHCP才能生效，使地址池自动匹配到对应的vlan 网段
防火墙：
安全区域：
防火墙对网络资源的划分，防火墙上的所有通信接口都必须添加到安全区域，才能发送通信报文
在同一安全区域内部发生的数据流动是不存在安全风险的，不需要实施任何安全策略
Local : 本地区域，默认存在，信任值100
Turst : 受信任程度高的区域，默认存在，信任值85
DMZ：受信任程度中等的区域，默认存在，信任值50
Untrust : 受信任程度低的区域，一般接外网网段，默认存在，信任值5
安全策略：
安全策略是由匹配条件（例如五元组、⽤⼾、时间段等）和动作组成的控制规则
防火墙收到流量后，对流量的属性（五元组、⽤⼾、时间段等）进⾏识别，并将流量的属性与安全策略的匹配条件进⾏匹配
如果所有条件都匹配，就会匹配安全策略，一旦匹配成功，就停止匹配
匹配到安全策略之后，就会执行安全策略对应的动作
如果手工创建的安全策略都未匹配，就按照缺省策略匹配，即禁止域间通信的流量
代码配置：
security-policy
rule name [策略名]
source-zone [区域名]
source-address [源地址] [掩码]
destination-zone [区域名]
destination-address [源地址] [掩码] #此条可以不写
service [协议名] #需要放行的协议
action permit #此条策略的执行动作，代表允许放行
会话表：
防火墙的报文控制机制是只对首包或者少量报文进行检测，从而确定一条连接的状态，提高了转发效率
会话表就是为了记录连接的状态。设备在转发TCP、UDP和ICMP报文时都需要查询会话表，来判断报文的状态，执行对应措施
路由基础：
当不同网段之间需要通信时，需要在源设备和目的设备之家你的所有三层设备上添加路由信息
参与通信的设备都是三层设备，包括路由器和终端
三层设备基于IP地址网段建立IP路由表，实现不同网段之间的通信
静态路由：
手动添加的路由，网络拓扑发生变化后，每一台三层设备上都需要修改
包含目的网络，目的网络掩码、下一跳的IP地址、出接口、优先级
备份静态路由：源到目的存在多条通信路径，且都在IP路由表中
浮动静态路由：与备份静态路由有优先级的区别
动态路由：
内部网关路由协议IGP，包括距离矢量路由协议RIP，链路状态路由协议OSPF, IS-IS
外部网关路由协议EGP, 包括高级距离矢量路由协议BGP
直连路由：
两个路由设备直连之后，就会交换各自的路由信息
环 路：指设备收到自己发出的报文
二层环路：在局域⽹中出现的环路，⽐如路径转发错误和⼴播⻛暴，⽤冗余路径解决
三层环路：在路由环路中出现的环路，⼀般是路径转发错误，⽤路由算法和⼈⼯避免方式
OSPF路由协议：
报文类型：
Hello 报文 ：发现并建立维护邻居关系
DD 报文：发送的是数据库中链路信息的摘要信息
LSR 报文：请求完整的链路信息
LSU 报文 : 回复明细信息
LSAck 报文 ： 针对LSU进行确认
路由器之间的关系：
邻居关系，发送Hello报文实现，不同步链路信息
邻接关系，其他类型报文发现，同步链路信息
路由器的类型：
DR， 指定路由器
BDR ， 备份路由器
Other , 其他类型
作用：减少邻接关系建立的数量，节约网络资源，避免链路信息重复传递；除了其他类型的路由器之间只建立邻居关系之外，其他所有路由器之间都建立邻接关系
OSPF区域：
作用：解决设备存放链路信息过多的问题
原理：将不同的OSPF路由器通过区域的概念进行划分，使仅在同一个区域内的路由器相互存放链路信息，降低每一台路由器需要存放发送链路信息的数量
注意：因为不同区域间没有存放相同的链路信息，在区域间通信时只能传递路由信息
链路信息：区域内传递，用该信息基于OSPF算法计算路由
路由信息：区域间传递，设备收到后之间存放于IP路由表中使用
多区域部署：
区域范围是0-2^32 ， 区域0是骨干区域，可以转发路由信息； 其他的是非骨干区域，不能转发路由信息
所有非骨干区域之间想要通信，就要经过骨干区域
OSPF认证：
实现：在OSPF报文的报文头中添加认证字段
接口认证：接口下配置。 本接口启动了认证，对应同一链路上的所有链路接口也都要启动认证
区域认证：区域内配置。 本设备区域启动了认证，网络中所有相同区域都要启动认证
认证模式：
明文认证，发送报文携带的是明文的密钥，相对不安全
密文认证，发送报文携带的是加密后的密钥，更加安全
保持方式：
明文保存，登陆本地设备就能查看
密文保存，将本地收到的密钥加密存放，所有人不可查看
代码配置：
ospf 1 router-id xx.xx.xx.xx
area x.x.x.x
authentication-mode md5 1 cipher XXX #MD5加密模式，cipher密文保存 //如果是在接口下配置：ospf authentication...
network xx.xx.xx.xx （反掩码） #通告网段
WALN网络基础：
网络架构：
FAT-AP独立部署：拥有自我管理能力的无线路由器，适用于大型的WLAN通信环境
AC+FIT-AP部署 ：AP不能自我独立管理，必须配合AC实现集中纳管，适合中大型WLAN通信环境
AC-接入控制器 ： 对FIT-AP进行纳管功能的设备； 独立AC是指专门实现AC功能的网络设备； 随板AC是一台带AC功能的交换机
网络类型：
管理网络：实现AC纳管AP， 需要保证AP、AC之间能够互通
业务网络：实现连接到AP的STA进行网络访问功能
管理网络的建立：
二层组网：
AP与AC通过二层广播的方式通信，两者必须在同一个广播域
1， 将AP划分到管理vlan ，在相关链路上允许vlan数据通过
2， 在AC上创建管理vlan的vlanif接口，配置IP参数
3， 在AC上配置DHCP服务器
4， 指定WLAN管理vlan，也就是在AC上建立Capwap隧道
CAPWAP隧道：是AC纳管AP的专用隧道，必须建立隧道才能进行纳管
三层组网：
AP与AC通过三层路由的方式通信，可以跨网段通信
1， 在连接了AP的交换机上创建管理vlan，并将该端口划分到vlan , 上行接口允许vlan通过
2， 连接AP的交换机与⽹关沿途所有的交换机上都需要创建管理vlan允许管理vlan
3， 在⽹关上针对创建的管理vlan,创建vlanif接⼝,并配置IP地址参数
4， 在⽹关系统视图打开全局DHCP功能,并在管理vlanif接⼝下打开接⼝地址池功能
5， 在网关的DHCP中添加Option43参数，告知AP关于AC的位置（dhcp server option 43 sub-option 2 ip-address xx.xx.xx.xx）
业务网络的建立：
1， 配置AP组
2， SSID模板配置，指定WLAN业务的SSID信息
3， 安全认证模板配置，指定WALN业务接入时，使用的密码认证信息
4， 创建VAP模板，绑定SSID模板， 再绑定安全认证模板，指定业务数据转发方式，最后指定业务vlan
5， 进入AP组，绑定VAP模板并指定射频资源
注意：二层组网在连接AP的端口上，要剥离管理vlan id 的标签
VPN虚拟私有网络：
作用：通过添加外层转发头信息实现业务流量保护； 添加外层转发头以及加密手段实现用户业务流量的保护
原理：在用户原有的流量基础上添加一个外层保护头，实现对用户原有的流量进行保护
类型：
二层VPN：在用户原有的⼆层数据前添加额外的⼆层保护头
三层VPN：在用户原有的⼆层数据前添加额外的三层保护头
应用前提：VPN只是实现流量保护，不提供路由可达，使用VPN需要保证源有目的之间是可达的
VPN-GRE隧道：
通用路由封装协议，将协议报文用GRE封装，基于GRE隧道进行传送，保护流量
隧道的实现：隧道tunnel接口实现，是一种逻辑接口
优点：兼容性好，应用范围广
缺点：只能添加IP头部保护业务流量，不能加密保护业务流量
代码配置：
1， 先创建隧道接口
2， 配置隧道接口的IP地址
3， 指定隧道协议-GRE
4， 配置隧道的起点和终点的IP地址，source和destination
5， 将指定的业务流量引入到隧道转发（目的网络IP地址引入到隧道接口）
VPN-IPSec隧道：
作用：在添加IP头保护的同时还可以提供加密保护
架构：源端和目的端； SA安全联盟
SA安全联盟：
安全提议：提供加密算法、加密协议、隧道封装模式
加密算法：
对称加密：加密密钥域解密密钥相同，安全性较低
非对称加密：加密密钥与解密密钥不同，比如使用公有密码加密，私有密码解密。注意两者都是属于本地的
加密协议：
作用：对用户的数据进行加密
AH： 可以提供防重放，防抵赖，认证功能，不提供加密功能
ESP： 具有加密功能
验证算法：
1， 把即将发送的流量用算法计算出一个摘要值，在发送报文时发送出去
2， 目的端收到完成的流量后，按照同样的算法计算出该流量的摘要值
3， 将两个摘要值进行对比，就可以判断该流量在发送前是否被篡改过
MD5码：摘要值相对较短，比较常用
封装模式：
隧道模式：在原有的IP报文头前再加一层外层IP头
传输模式：使用用户原有的IP报文头
安全策略：
作用：提供隧道起点、隧道终点、隧道密钥
安全密钥：
可以静态指定，也可以动态协商
路由引入：
背景：由于不同的路由协议之间的路由算法、机制、开销值不同，不同的路由协议之间无法直接分享彼此对端路由，此时就需要通过路由引入计算将A路由协议引入到B路由协议中
原则：在执⾏引⼊的路由器上将某⼀个协议的活动路由（存在于路由表中的）引⼊到另外⼀个路由协议中
路由引入场景：
1，涉及到两个不同的路由协议之间需要相互通信
2， 涉及到同一个协议但不同进程之间需要相互通信
3， 如果遇到IS-IS路由协议的话，作为Lever-1非骨干网与Level-2骨干网之间需要基于明细路由通信
流量分类工具：
访问控制列表：主要用于流量分类以及流量过滤 场景
基本ACL：只能基于源地址信息对流量实现简单过滤，利用ACL编号2000-2999识别
高就ACL：可以基于IP五元组信息对流量实现精细过滤，利用ACL编号3000-3999识别
IP五元组：标识一条唯一的数据流，包括源IP、目的IP、源端口、目的端口、协议
注意：默认是按照规则ID大小从小到大的顺序匹配，可以先拒绝再允许、也可以先允许再拒绝
MQC-模块化QOS指令：主要用于流量分类，并基于分类出来的流量指定对应的转发动作，以此达到控制流量的目的。
traffic classifier 专门用来进行流量分类的工具
traffic behavior 专门用来指定流量处理动作的工具
traffic policy 用来绑定流行为与流策略工具的，并将其应用在设备接口上
IP-Prefix：IP前缀列表 ，专门只能用来做流量分类的工具
作用：可以实现像ACL那样针对某个业务流量进行分类，也能实现针对某个IP网段范围实现流量分类
格式：ip ip-prefix xxxx index xxx permit x.x.x.x xx greater-equal xx less-equal xx
1，index编号与ACL中rule-id类似，一个前缀列表中可以添加多个以不同index编号标识的规则
2，规则之间是或的关系
3，掩码长度<=greater-equal<=less-equal
注意：
如果只是单纯的分类没有任何意义，只有针对分类出来的流量指定对应的处理行为或者个性化处理动作，流量分类才有意义
流量过滤工具：
route-policy：路由策略，主要用于配合分类工具实现流量分类以及流量过滤工作，还可以用来修改路由属性用于选路控制
格式：
route-policy xxxxx permit node xxx
if-match xxxx
apply abcd
route-policy xxxxx deny node xxx
if-match xxxx
apply abcd
xxxxx代表的路由策略名称
xxx代表的是节点编号，0-65535
xxxx代表的是分类工具信息
abcd代表的匹配了策略之后的处理工作
filter-policy ，专门配合前缀列表实现路由过滤的，可以针对发送方向以及接收方向的路由过滤