hcna重点笔记数通方向.doc

目录第一章VRP操作基础 1VRP基础24.命令行基础(2)35.VRP文件系统基础46.VRP系统管理(1)57.VRP系统管理(2)6第二章静态路由 8.IP路由原理、静态路由基本配置6第三章RIP7第四章OSPF820.OSPF基本原理及基本配置8第七章訪问控制列表9第八章网络地址转换13第一十一章交换基础、VLAN14第一十三章VLAN间路由、VRRP15第一十四章交换机port技术 63链路聚合(手工模式)16华为HCNA教程（笔记）第一章VRP操作基本1VRP基本MiniUsb串口连接互换机办法2eNSP入门3命令行基本(1)eNSP中路由启动后（记住port）第三方软件连接该路由办法：telnet 127.0.0.1 port顾客视图（文献）系统视图（系统sys）接口视图（接口 interface GigabitEthernet 0/0/0）合同视图（路由）display hotkey 显示功能键display clock 显示时间clock timezone CST add 8 设立时区（先设时区再设时间）clock datetime 设立时间header login information #内容登录前信息header shell information 登录后信息（格式同上）Ctrl+ 可以退出查看该信息顾客权限15 命令权限3为console口配备password：user-interface console 0 。进入到相应口authentication-mode password ；认证模式为passworkset authentication password cipher huawei ;设立password（路由器不须要）为vty（telnet）设立passworduser-interface vty 0 4其她同上user privilege level 3；顾客命令级别3（管理员）PS：console不用dis history-command；显示历史命令为接口配备2个IP地址（限路由）system-viewHuaweiinterface gigabitethernet 0/0/0Huawei-GigabitEthernet0/0/0ip address 10.0.12.1 255.255.255.0Huawei-GigabitEthernet0/0/0interface loopback 0 。环回接口（逻辑接口）Huawei-LoopBack0ip address 1.1.1.1 32管理网口配备：注意：华为互换机有单独管理网口，不占用机器配备表中网口interface MEth0/0/1 /标记有ETH单独RJ45网口ip address 192.168.5.250 24 /设立管理网口ip地址和掩码汇聚互换机管理IP配备网关vlanif已在核心互换机内在汇聚互换机中新加和核心互换机中同样vlanif 。并分派IP（网段同网关）4.命令行基本(2)云配备：udp （入口）1绑定vmware仅主机网卡（出口）2要做port映射12 双向 21 双向display version查看路由器基本信息display interface GigabitEthernet 0/0/0查看接口状态信息display ip interface brief查看所有接口IP简要信息。含IP地址display ip routing-table查看路由表display current-configuration查看当前配备（内存中）display saved-configuration查看保存配备（Flash中）dir flash:查看Flash中文献save保存配备文献reboot重新启动设备telnet实验（參照上面命令）3A认证（不同顾客不同password）user-interface vty 0 4authentication-mode aaa ；差别passworduser privilege level 15aaalocal-user admin password cipher huawei ;建顾客并给passwordlocal-user admin privilege level 15local-user admin service-type telnet ；类型telnet登录后使用dis users 可查看当前登录顾客抓包可以分析出telnetpassword“Follow TCP Stream”5.VRP文献系统基本cd 变化文献夹more 查看文献内容copy 复制 copy flash:/vrpcfg.zip vrpcfg.zip （拷贝根文献夹“需加flash”下配备文献到当前文献夹）move 移动delete 删除rename 改名undelete 恢复回收站文献pwd显示途径mkdir 创立文献夹rmdir 删除文献夹format 格式化fixdisk 修复文献系统save 生成cfg.zipdisplay saved显示保存配备display cur 显示当前配备reset saved 删除保存配备 + reboot 第一次设备复位compare configuration 比較配备文献差别删除/永久删除文献delete /unreserved （dir /all 可查看回收站文献）恢复删除文献undelete彻底删除回收站中文献reset recycle-bin载入不同配备文献dis startup 。查看开机信息，当中有载入配备文献途径startup saved-configuration flash:/a.zip ；更改启动配备文献比較当前配备与下次启动配备compare configuration6.VRP系统管理(1)路由器做为client :ftp (FTPserver地址)get vrp.cc 下载文献到ftpput vrp.zip 上传文献到ftpTFTP有关tftp 10.0.1.184 put（get） vrpcfg.zip7.VRP系统管理(2)第二章静态路由8.IP路由原理、静态路由基本配备路由来源：直连路由：链路层发现路由（direct）管理员手工增长：静态路由 （static）路由器合同学到路由：动态路由 （ospf rip）静态路由特点：优：实现简朴，精准控制，不占资源缺：不合用大型网络，网络变更须要手动改dis ip routing-table ；查看路由表，直连11条ip route-static 192.168.23.0 24 Serial 1/0/0 192.168.12.2目 通过（本路由出口） 下一跳（下一路由入口）9.静态路由进一步分析优先级pre：直连最大0 OSPF静态度量值cost：同一路由下。选取最小开销（多因素）途径以上參数。值越小，优先级越高匹配原则：目地址和路由表掩码做与。再比較路由中“目地址”优先挑掩码大做匹配下一跳写法：点对点：可以省略下一跳；以太网：可以省略出接口；dis fib ；终于採纳路由表递归查询（带R标志）：通过中间多次查询。终于到达目地址缺省路由：0.0.0.0 0.0.0.0 网关 ；目和子网掩码都为0路由，上互联网均有这条10.负载分担、路由备份双线路负载（2条线路同一时候工作）：平时2条静态方向不同路由表，可以达到负载作用；浮动路由（路由备份，平时仅仅有一条线路工作）：通过当中一条设立成低优先级（增长路由时加preference）路由，变成浮动（路由表中看不到），出问题才浮现dis ip routing-table 192.168.4.0 verbose ；查看某一目路由详细信息第三章RIP11.动态路由合同基本常用动态路由合同有：RIP：Routing Information Protocol。路由信息合同。OSPF：Open Shortest Path First。开放式最短途径优先。ISIS： Intermediate System to Intermediate System，中间系统到中间系统。BGP：Border Gateway Protocol，边界网关合同。分类：自治系统内部路由合同 IGP：RIPv1/v2、OSPF、ISIS自治系统之间路由合同 EGP：BGP单播，组播不同路由合同不能直接互相学习，但可以通过路由引入来导入不同合同12.RIP简介及基本配备度量值：跳；最多不可以超过15跳2个路由学习时，更新是一种方向。学回后路由指向是相反方向RIP1.0 ： UDP：520port 工作在应用层RIP 基本配备ripnetwork 10.0.0.0 ;仅仅支持主类网络 10.0.1.254 必要写成10.0.0.0rip 1 ；进入有关进程silent-interface GigabitEthernet0/0/0 。静默（关闭）某接口发送第四章OSPF20.OSPF基本原理及基本配备开放式最短途径优先（OSPF）链路状态路由合同无环路收敛快扩展性好支持认证OSPF报文封装在IP报文中，合同号为89。OSPF工作原理：路由通过LSA泛洪收集到路由数据库（LSDB）通过SPF算法根据自身算出最短路由 （互换不是路由表，而是数据库）hello报文建立邻居关系邻接（同步数据库，full状态）OSPF区域：分区域为了减小数据大小配备办法：ospfarea 0。进入到0区域network 10.1.1.0 0.0.0.255（代表10.1.1.0网段） ;把该路由器上地址为10.1.1.X 网段接口应用ospf,有2个方向就要有2个network同等 10.1.0.0 0.0.255.255 同等 0.0.0.0 255.255.255.255dis ospf peer brief ；查看ospf邻居信息第七章訪问控制列表35.基本ACL简介ACL是用来实现流辨认功能。ACL（Access Control List，訪问控制列表）是定义好一组规则集合，通经常使用于:标记感兴趣网络流量过滤通过路由器数据包分类：基本ACL：2999 报文源IP地址高档ACL：30003999 报文源IP地址、目IP地址、报文优先级、IP承载合同类型及特性等三、四层信息配备ACL过程：事实上就是告诉路由器批准或者回绝某些数据包ACL难点：通配符、语句顺序、方向性单台：rule 10 permit source 10.1.1.1 0.0.0.0批准来自10.1.1.1主机IP数据包通过rule 10 deny source 10.1.1.2 0.0.0.0回绝自10.1.1.2主机IP数据包通过多台：rule 10 permit source 10.0.0.0 0.255.255.255批准来自IP地址为10.（即IP地址第一种字节为10）主机数据包通过。样例：批准来自10.0.0.0/255.255.255.0IP数据包通过rule 5 permit source 10.0.0.0 0.0.0.255 ；掩码位反过来（简朴0和25。复杂）复杂255.224.0.0 写话主是 0.31.255.255 224相应机器数32131特殊通配符掩码0 关怀位 255 不关怀位X1.permit source any= permit source 0.0.0.0 255.255.255.255= permit2.permit source 172.30.16.29 0 某一详细主机= permit source 172.30.16.29 0.0.0.0ACL顺序匹配：一但匹配成功，背面列表将不再检查（比較苛刻放前面）未命中规则（一条都不匹配）：不同模块解决不同样。假设是转发模块。则转发数据包；假设是telnet模块，则不批准;假设是路由过滤，不批准路由通过。禁止192.168.1.1192.168.1.100思路PS：最后一条，96应当是100样例：acl rule.int gi0/0/0 ;进入有关接口traffic-filter inbound acl ；应用到有关接口dis acl 。查看dis traffic-filter applied-record ；查看接口（方向）应用了哪个列表36.基本ACL应用案例禁止telnet ：user-interface vty 0 4 ；进到vtyacl 2999 inbound 。应用到该接口，和物理接口有差别rule primit ；ACL中加这名是由于，ACL匹配未成功后。telnet模块。不批准通过数据包telnet -a 10.2.2.1 192.168.12.1 。a參数。以指定IP源telnet时间控制：time-range work-time 9:0 to 18:00 working-day 6 。定义“work-time” 星期一到六acl rule deny time-range worktime ；上班时间不批准上网rule permit禁止学习某路由表；rip 1 。 进到有关ripfilter-policy（过滤方略） export ;为定义acl 。export 代表向外发布；import代表我要学习自己积极让匹配宽松放前面，苛刻放背面acl 2200 match-order auto37.高档ACLacl number 3000 ;高档rule 5 permit tcp destination 172.2.0.250 0 destination-port eq www；批准所有机器TCP訪问目的机器www 服务rule 10 deny ip destination 172.2.0.250 0 ；回绝所有IP合同（涉及icmp）訪问traffic-filter inbound acl 3000；进入port。并应用ACL放置位置基本ACL尽量接近目高档ACL尽量接近源内可以ping外，外不可以ping内（ping 分析： 去类型为：echo 回类型为：echo-reply）acl number 3000rule 5 deny icmp icmp-type echorule 10 permit iptraffic-filter inbound acl 3000内可以telnet外，外不可以telnet内（tcp三次握手，第一种包不带ack位）rule 8 permit tcp tcp-flag ack ；放行带ackrule 9 deny tcp ；回绝不带ack第八章网络地址转换38.静态NAT、动态NAT静态nat 和外网地址一一相应，nn 不能减少公网地址；环回口配备int lookback 1ip add 192.168.1.1ip route-static 0.0.0.0 0 gi0/0/1 61.0.0.2 。要上网路由需加路由表静态nat配备int gi0/0/1 ；进入外网接口nat static global 61.0.0.11（公网IP，不一定是接口IP） inside 192.168.1.1特点：发包源IP地址转换 收包目IP地址转换dis nat static ;查看静态nat动态nat配备int gi0/0/1 ；进入外网接口acl ;定义acl编号rule permit 192.168.1.0 0.0.0.255 ；地址范畴内网nat address-group 1 61.0.0.11 61.0.0.20 ；外网地址范畴nat outbound address-group 1 no-pat 。先内后外 no-pat 不做port转换特点：100对50 仅仅能节约某些地址dis nat session all ;显示 nat 转换状况39.PAT、NATserverNAPT or PAT （port地址转换）：动态port转换设立同动态NATnat outbound address-group 1 ；先内后外 与动态NAT差别：no-patEasy IP 配备（家庭使用，没有固定IP）nat outbound ；仅仅指定源IPport映射nat server protocol tcp global 202.10.10.1 www inside 192.168.1.1 8080第一十一章互换基本、VLAN50.VLAN原理和配备简朴vlan配备vlan 10 。创立 valndis vlandis port vlan ；接口vlan状态int eth0/0/0port type-link access ；接口类型port default vlan 10 ；配备Accessport在收到数据后会增长VLAN Tag。VLAN ID和portPVID同样。Accessport在转发数据前会移除VLAN Tag。当Trunkport收到帧时，假设该帧不涉及Tag，将打上portPVID；假设该帧涉及Tag，则不变化。当Trunkport发送帧时。该帧VLAN ID在Trunk批准发送列表中：若与portPVID（trunk2端pvid必要同样，默认是1）同样时。则剥离Tag发送；若与portPVID不同一时候，则直接发送。vlan batch 10 20 30 ；批量10 to 30 （10，11。12.30）配备Trunkint gi0/0/1port link-type trunkport trunk allow-pass vlan all ；批准通过vlanport trunk pvid vlan 1 ；变化pvid ,默认是1dis port vlan active ;查看trunk接口与否打标记，T or UPS：取消Trunkundo port trunk allow-pass vlan allport trunk allow-pass vlan 1port link-type access51.Hybrid接口訪port可以连无论什么设备第一十三章VLAN间路由、VRRP58.单臂路由实现VLAN间路由每一种vlan一种物理连接（一条线）互换机与路由2根线（有几种VLAN就有几根线） PS：缺陷互换机端：该端配备和“客户port”同样路由端：仅仅需配IP（网关）单臂路由将互换机和路由器之间链路配备为Trunk链路。并且在路由器上创立子接口以支持VLAN路由。互换机端：配备trunk路由器端：RTAinterface GigabitEthernet0/0/1.1 ；定义子接口RTA-GigabitEthernet0/0/1.1dot1q termination vid 2 。分派VLANRTA-GigabitEthernet0/0/1.1ip address 192.168.2.254 24 ；配备网关RTA-GigabitEthernet0/0/1.1arp broadcast enable 。启动ARP广播59.三层互换实现VLAN间路由2层+路由器 路由配虚拟portvlan 和网关SWAinterface vlanif 2 ； 2同有关VLAN号SWA-Vlanif2ip address 192.168.2.254 24 ；网关PS：该地址不能在其她VLAN网段中浮现复杂模式：三层接二层（带管理）中间设立成trunk，三层也要建和二层有关VLAN。int vlanif放在三层上。第一十四章互换机port技术63链路聚合(手工模式)SWAinterface Eth-Trunk 1SWA-Eth-Trunk1interface GigabitEthernet0/0/1SWA-GigabitEthernet0/0/1eth-trunk 1SWA-GigabitEthernet0/0/1interface GigabitEthernet0/0/2SWA-GigabitEthernet0/0/2eth-trunk 1dis eth-trunk 1 ；查看链路PS：trunkport下做链路聚合办法：先做链路聚合，然后在int eth-trunk 数字下做Trunk72.防火墙技术依照防火墙实现方式。普通把防火墙分为例如如下几类：包过滤防火墙：简朴。每一种包都要检查。缺少灵活性。方略多影响性能代理型防火墙：安全，但不以便，针对性强（http代理）。不通用状态检測防火墙：基于连接状态，结合以上2种防火墙长处仅仅防网络层和传播层。不防应用层（比喻站点漏洞）。防外不防内；防火墙安全区域：Local（100网网）Trust（85外网）DMZ（50WEBserver）高可以訪问低，低不可以訪问高配备思路配备安全区域和安全域间。将接口增长安全区域。配备ACL。在安全域间配备基于ACL包过滤。1.在AR2200上配备安全区域和安全域间system-viewHuawei firewall zone trustHuawei-zone-trust priority 15Huawei-zone-trust quitHuawei firewall zone untrustHuawei-zone-untrust priority 1Huawei-zone-untrust quitHuawei firewall interzone trust untrust 。配备（进入）域间Huawei-interzone-trust-untrust firewall enable 。启动该域间防火墙Huawei-interzone-trust-untrust quit2.在AR2200上将接口增长安全区域int gi0/0/1zone OUTSIDE ；有关接口增长到有关区域（华为防火墙：假设不增长话。与之相连PC不能訪问该port，和路由有差别）PS：以上此外等价办法firewall zone trust ；进入有关区域add int gi0/0/1 。增长有关portPS： dis firewall session all ；查看防火墙所有会话信息3.在AR2200上配备ACL（批准外网可以telnet内网）acl 3001rule permit tcp destination 192.168.1.100 0 destination-port eq 23 ；批准telnetfirewall interzone INSIDE OUTSIDE 。进入有关域间packet-filter 3001 inbound；应用有关aclFTP积极（FTP自身），被动（client）模式内网訪问外网FTP。FTP积极模式（PORT）不能传数据（经常外网FTPserver訪问不了，FTP下载软件要改成被动模式），但被动模式（PASV）可以訪问ASPF配备工作在应用层，检測http、FTP等，可觉得这些合同打开放行通道firewall interzone INSIDE OUTSIDE；进入到有关区域detect aspf all ；启动检測