HCIA知识总结
目录
一、OSI七层网络模型
二、IPV4地址 32位二进制构成，点分十进制标识
三、ENSP的使用
四、网络部署思路
五、DHCP的配置
六、静态路由的配置
七、VLAN的配置
八、动态路由协议—RIP 路由信息协议 距离矢量协议
九、动态路由协议—OSPF 开放式最短路径优先协议
十、ACL访问控制列表
十一、NAT网络地址转换
十二、举例
一、OSI七层网络模型
1.物理层
激活、维持、关闭通信端点之间的机械特性、电气特性、功能特性以及过程特性。该层为上层协议提供了一个传输数据的可靠的物理媒体。简单的说，物理层确保原始的数据可在各种物理媒体上传输。
2.数据链路层
数据链路层在物理层提供的服务的基础上向网络层提供服务，其最基本的服务是将源自网络层来的数据可靠地传输到相邻节点的目标机网络层。基本数据单位为帧；两个重要设备名称：网桥和交换机。
3.网络层
网络层的目的是实现两个端系统之间的数据透明传送，具体功能包括寻址和路由选择、连接的建立、保持和终止等。基本数据单位为IP数据报； 重要的设备：路由器。
-
包含的主要协议：
-
IP协议（Internet Protocol，因特网互联协议）;
-
ICMP协议（Internet Control Message Protocol，因特网控制报文协议）;
-
ARP协议（Address Resolution Protocol，地址解析协议）;
-
RARP协议（Reverse Address Resolution Protocol，逆地址解析协议）。
4.传输层
第一个端到端，即主机到主机的层次。传输层负责将上层数据分段并提供端到端的、可靠的或不可靠的传输。此外，传输层还要处理端到端的差错控制和流量控制问题。 传输层的任务是根据通信子网的特性，最佳的利用网络资源，为两个端系统的会话层之间，提供建立、维护和取消传输连接的功能，负责端到端的可靠数据传输。重要设备：网关。包含的主要协议：TCP协议（Transmission Control Protocol，传输控制协议）、UDP协议（User Datagram Protocol，用户数据报协议）
5.会话层
会话层管理主机之间的会话进程，即负责建立、管理、终止进程之间的会话。会话层还利用在数据中插入校验点来实现数据的同步。
6.表示层
表示层对上层数据或信息进行变换以保证一个主机应用层信息可以被另一个主机的应用程序理解。表示层的数据转换包括数据的加密、压缩、格式转换等。
7.应用层
为操作系统或网络应用程序提供访问网络服务的接口。数据传输基本单位为报文；包含的主要协议：FTP（文件传送协议）、Telnet（远程登录协议）、DNS（域名解析协议）、SMTP（邮件传送协议），POP3协议（邮局协议），HTTP协议（Hyper Text Transfer Protocol）。
名词注解：
交换机的作用：
1.提供端口密度（继承了HUB的作用）。
2.基于数据识别再转发，实现了理论上的无限传输距离。
3.基于数据识别、存储再转发，解决了冲突问题。
4.基于MAC地址识别、记录、查询，实现了单播通讯。
交换机工作在介质访问控制层；将电流与二进制间进行识别转换；
交换机的工作过程：数据电流进入交换机后，交换机先将其识别为二层二进制；之后识别数据帧中的源mac地址，记录到本地的MAC地址表中；（MAC表中记录各个MAC对应的接口），之后再关注数据帧中的目标MAC地址，再查询本地MAC表中是否有其记录，若存在记录，仅基于记录的接口唯一转发（单播）； 若没有记录将进行洪泛；
路由器的作用：
1.不同网络间的互联
2.为它所承载的数据做路径的选择 --- 选路
路由器的工作原理：
当数据包进入路由器后，先查看目标IP地址；然后查询本地的路由表，若表中存在记录，将无条件按照记录转发；若没有记录，将丢弃该流量；
洪泛：除流量的进入接口外，其他所有接口复制转出；
广播：迫使交换机进行洪泛行为（目标mac全F，该mac在网络中实际不存在）
MTU ：最大传输单元 默认1500字节
端口号：0-65535 1-1023 注明端口 1024-65535 动态端口，高端口
高端口用于随机对应终端上的各个进程； 注明端口默认用于固定对应服务器的服务端口；
ARP 地址解析协议 :
正向ARP：已知同一网段其他节点的ip地址，通过二层广播（目标MAC全F)来获取对方MAC地址；
反向ARP：已知本地的MAC，通过对端来获取本地的IP地址；
无故ARP：在设备刚获取或使用ip地址，将主动向外进行一次正向ARP，被请求的ip地址，为本地的ip地址；其作用在于检测该网段内使用存在其他节点和本地使用相同的ip地址（地址冲突检测）
DNS -- 域名解析服务 该服务器记录各个网站ip与对应的域名；用于终端查询和解析；
封装与解封装:
数据从高层向低层加工处理的一个过程；过程中数据包将不断变大；--封装
数据从低层向高层的一个读取、识别过程，过程中数据将不断变小--解封装
UDP:用户数据报文协议 -- 非面向连接的不可靠传输协议
仅完成传输的基本工作--- 分段、端口号
TCP：传输控制协议-- 面向连接的可靠传输协议
在完成传输层的基本工作之上，还需要进一步的保障传输的可靠性
面向连接：通过TCP的三次握手建立端到端的虚链路；
可靠传输：4种可靠机制 -- 确认、重传、排序、流控（滑动窗口）
PDU 协议数据单元 --- 每层数据的计量单位
上三层--- 报文 传输层--- 段 网络层--- 包 数据链路层-- 帧 物理层 --- 比特流
带宽计算： 速率 约等 （带宽/8)*85%
二、IPV4地址 32位二进制构成，点分十进制标识
1.网络地址
IP地址由网络号（包括子网号）和主机号组成，网络地址的主机号为全0，网络地址代表着整个网络。
2.广播地址
广播地址通常称为直接广播地址，是为了区分受限广播地址。
广播地址与网络地址的主机号正好相反，广播地址中，主机号为全1。当向某个网络的广播地址发送消息时，该网络内的所有主机都能收到该广播消息。
3.IPV4地址分类
分为ABCDE 5类
其中ABC为单播地址 D类为组播地址 E类保留，用于科研
A类地址地址范围为：0.0.0.0~127.255.255.255；
B类地址地址范围是：128.0.0.0~191.255.255.255;
C类地址地址范围是：192.0.0.0~223.255.255.255。
D类地址地址范围是224.0.0.0~239.255.255.255，D类地址作为组播地址（一对多的通信）；
E类地址地址范围是240.0.0.0~255.255.255.255，E类地址为保留地址，供以后使用。
注：只有A,B,C有网络号和主机号之分，D类地址和E类地址没有划分网络号和主机号。
ABC三类的区别在于默认子网掩码长度不同：
A 255.0.0.0 B 255.255.0.0 C 255.255.255.0
4.特殊地址
（1）主机位全0
192.168.1.00000000 255.255.255.0 =192.168.1.0 255.255.255.0
不是一个单播地址，不能配置为一个设备的ip地址；网络号，用于标识一个广播域；
192.168.1.0 255.255.255.0 = 192.168.1.x 255.255.255.0
简写：192.168.1.0 255.255.255.0= 192.168.1.0/24
（2）主机位全1
192.168.1.11111111/24 = 192.168.1.255/24
也不是一个单播地址，不能配置为一个设备的ip地址；直接广播地址；
（3）32位全1
255.255.255.255 受限（路由器）广播地址
（4）32位全0
0.0.0.0 1）没有 DHCP时作为无效地址 2)所有-- 缺省路由
（5）127--环回地址 127.0.0.1 本地系统自带，用于测试本地系统的网络组建；
（6）本地链路、自动私有 169.254.0.0/16
终端在多次广播自动获取ip地址失败后，本地自动生成的临时ip地址，网络169.254；主机位随机产生，可以用临时单广播域通讯；
5.子网划分
VLSM 可变长子网掩码 -- 子网划分
通过延长子网掩码的长度，起到从原来的主机位借位到网络位；实现将一个网络号切分为多个；每个新生的子网，主机变少； 增加网络号，减少每个网络号中的用户数量；
切记：将一个网段划分为多个子网后，在网络中该母网将不能配置为可用ip；
CIDR 无类域间路由 -- 取相同位，去不同位； 将多个网络号逻辑的合成一个；
（1）子网汇总 -- 汇总后，汇总网段的掩码长于主类
（2）超网-- 汇总后，汇总网段的掩码短于主类掩码
三、ENSP的使用
配置命令：
不同模式具有不同的配置权限；
[Huawei] 第二级别模式；设备的管理，改名、设密码......
[Huawei--？？？？？] 第三级 各种专用配置模式
[Huawei]quit 一层一层的退
注：华为规则中，高层兼容低层配置命令；
帮助系统：
？ 查看该模式或该单词后可以配置的命令及注解；
Tab 键 自动补全单词
快捷键：
Ctrl+z 从第一模式之上快速回到第一模式
Ctrl+a 光标移动到最左侧
上下键 翻看刚刚配置过命令
Undo + 命令 = 删除该命令
[Huawei]interface g0/0/0 进入某个接口
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 24 配置ip地址
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 255.255.255.0 掩码可以简写
华为的路由器的接口默认开启；
display this 查看当前所在位置的所有配置；比如在某个接口上使用，可以看到该接口上所有的配置；
[Huawei]display current-configuration 查看该设备当前所有配置
四、网络部署思路
1.拓扑设计 -- IP地址规划
2.实施
（1）拓扑的搭建
（2）配置
1）底层--所有节点拥有合法ip地址
2）路由 -- 全网可达
3）策略 -- 优化 安全 规则
4）测试
5）排错
（3） 维护
（4）升级
五、DHCP的配置
DHCP：动态主机配置协议
同一分发管理ip地址； C/S模型 = 客户/服务 Ipconfig PC上查看IP地址获取
DHCP行为基于UDP的68（客户端）和67（服务器）号端口工作
成为DHCP服务器的条件：
1.该设备必须拥有接口或网卡连接到所要下放ip地址的广播域内；
2.该接口或网卡必须已经拥有合法ip地址，且可以正常通讯
[Huawei]dhcp enable 先开启dhcp服务
创建名为wangcai的dhcp池塘，一台设备上可以创建多个池塘，但一个池塘只能服务一个广播域
[Huawei]ip pool wangcai
[Huawei-ip-pool-wangcai]
[Huawei-ip-pool-wangcai]network 192.168.1.0 mask 255.255.255.0
关联接口，定义该池塘可分配ip地址的范围；
[Huawei-ip-pool-wangcai]gateway-list 192.168.1.1 该网段网关
[Huawei-ip-pool-wangcai]dns-list 192.168.1.20 114.114.114.114 DNS服务器地址
注：华为设备，还需要在分配ip地址的接口，启动DHCP
[Huawei]interface g0/0/0
[Huawei-GigabitEthernet0/0/0]dhcp select global
[Huawei-ip-pool-a]lease day 0 hour 1 minute 0 设定租期；
六、静态路由的配置
[r1]display ip routing-table 查看路由表
默认：1、仅存在直连网段的路由 2、路由器默认以一个网段作为目标
非直连网段为未知网段；获取未知网段的方法：
1.静态路由 -- 手写
2.动态路由 --- 路由器间协商、沟通、计算自动生成
静态路由的写法：
[r1]ip route-static 192.168.3.0 255.255.255.0 192.168.2.2
目标网络号 下一跳
下一跳：流量下一个进入接口的ip地址
静态的扩展配置：
1.负载均衡：当访问相同目标，具有多条开销相似路径时；可以让设备将流量拆分后延多条路径同时传输；起到带宽叠加的作用；
2.环回接口-- 创建后，可用于路由器测试TCP/IP协议组件是否能够封装与解封装
[r1]interface LoopBack ?
<0-1023> LoopBack interface number
[r1]interface LoopBack 0
[r1-LoopBack0]ip address 1.1.1.1 24
同时，可用于实验环境中，模拟连接PC终端的用户接口，来减少实际设备成本需求；
3.手工汇总
若路由器需要访问多个连续子网，且具有相同的下一跳；可以将这些网段进行汇总计算；之后仅编写到达汇总网段路由即可；---节省路由表条目数量
4.路由黑洞
汇总地址中包含了，网络内实际不存在的网段时；让将导致流量有去无回；浪费链路资源；
建议合理的ip地址规划（便于无黑洞汇总），尽量精确汇总；
5.缺省路由 -- 一条不限定目标的路由，代表所有网段；路由器查表时在查询完本地所有的直连、静态、动态路由后若依然没有可达路径，才使用该条目；
[r1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2
6.空接口
当路由黑洞与缺省路由相遇时，将必然出现环路；
在黑洞路由器上，配置一条到达汇总网段的空接口路由；空接口及丢弃流量；来避免环路的产生；
[r1]ip route-static 1.1.0.0 22 NULL 0
7.浮动静态
不同方式产生到路由表中条目，其优先级不同；直连=0 静态=60
优先级取值范围 0-255 越小越好；
[r1]ip route-static 100.100.100.0 24 13.1.1.2 preference ?
INTEGER<1-255> Preference value range
[r1]ip route-static 100.100.100.0 24 13.1.1.2 preference 61
访问相同目标，具有多条路径时；将加载优先级最小到表中使用；若优先级相同将同时加表（负载均衡）； 因此修改部分路由的优先级，可以实现静态备份的效果；
七、VLAN的配置
VLAN：虚拟局域网
交换机和路由器协同工作后，将一个广播域逻辑的分割为多个；
配置思路：
１.交换机上创建vlan
２.交换机上的各个接口划分到对应的vlan中
３.Trunk（中继）干道
４.VLAN间的路由 --- 路由器的子接口（单臂路由） 多层交换机的SVI
配置命令：
１.交换机上创建 VLAN的编号由12位二进制构成； 0-4095；其中1-4094可用；
默认交换机存在vlan1；且所有接口默认存在vlan1；
[sw1]vlan 2
[sw1-vlan2]q
[sw1]vlan 3
[sw1-vlan3]q
[sw1]vlan batch 4 to 10
[sw1]vlan batch 11 to 20 25 to 30
２.交换机上的各个接口划分到对应的vlan中
[sw1]interface Ethernet0/0/1 单独将某个接口划分到对应的vlan
[sw1-Ethernet0/0/1]port link-type access 先将该接口修改为接入模式
[sw1-Ethernet0/0/1]port default vlan 2 再将该接口划分到对应的vlan中
批量的将多个接口划分到同一个vlan
[sw1]port-group group-member Ethernet 0/0/3 to Ethernet 0/0/4
[sw1-port-group]port link-type access
[sw1-port-group]port default vlan 3
３.trunk 干道 不属于任何一个vlan，承载所有vlan流量转发；可以标记（封装）识别（解封装）不同vlan的标签；
VLAN ID压入到数据帧中的标准 --- 802.1q（dot1.q）
[sw1]interface e0/0/5
[sw1-Ethernet0/0/5]port link-type trunk 将接口修改trunk模式
[sw1-Ethernet0/0/5]port trunk allow-pass vlan 2 to 3
注：默认华为交换机仅允许VLAN1通过；需要定义允许列表
[sw2-Ethernet0/0/3]port trunk allow-pass vlan all 允许所有vlan通过
４.路由器子接口
[router]interface g0/0/0.1 创建子接口
[router-GigabitEthernet0/0/0.1]dot1q termination vid 2 定义其管理的vlan
[router-GigabitEthernet0/0/0.1]ip address 192.168.1.254 24
[router-GigabitEthernet0/0/0.1]arp broadcast enable 开启子接口ARP功能
[router-GigabitEthernet0/0/0.1]q
[router]interface g0/0/0.2
[router-GigabitEthernet0/0/0.2]dot1q termination vid 3
[router-GigabitEthernet0/0/0.2]ip address 192.168.2.254 24
[router-GigabitEthernet0/0/0.2]arp broadcast enable
八、动态路由协议—RIP 路由信息协议 距离矢量协议
存在V1/V2/NG（下一代IPV6专用）
基于UDP520端口工作；使用跳数作为度量；更新方式：30s周期更新、触发更新
周期更新--保活 取代确认 优先级100；支持等开销负载均衡；
V1和V2的区别：
１.V1有类别协议，不携带子网掩码，不能区分子网划分和汇总；
V2无类别协议，携带子网掩码，进行VLSM和子网汇总，不支持超网；
２.V1广播更新--255.255.255.255 V2组播更新--224.0.0.9
３.V2支持手工认证
破环机制：
１.水平分割 -- 从此口进，不从此口出--直线拓扑中防环；最主要的作用是在MA网络中避免重复流量； MA网络--多路访问访问 -- 一个网段的节点数量不限制
２.触发更新-- 毒性逆转水平分割
３.最大跳数 --- 15跳 16跳为不可达
４.抑制计时器；
配置命令：
V1配置：
[r1]rip ?
INTEGER<1-65535> Process ID
[r1]rip 启动时可以定义进程号；默认为进程1； 仅具有本地意义
[r1-rip-1]version 1 选择版本1；
宣告：1、激活--被选中接口可以收发rip的信息 2、共享路由--被选中接口的网段可以共享给本地的所有邻居；
[r1-rip-1]network 1.0.0.0
[r1-rip-1]network 12.0.0.0
[r1-rip-1]network 172.16.0.0
[r1-rip-1]network 192.168.1.0
切记：RIP宣告时，只能宣告主类网段；
[r2]display ip routing-table protocol rip 查看某种协议产生的路由条目
V2的配置：
[r1]rip ?
INTEGER<1-65535> Process ID
[r1]rip 启动时可以定义进程号；默认为进程1； 仅具有本地意义
[r1-rip-1]version 2 选择版本2；
宣告：1、激活--被选中接口可以收发rip的信息 2、共享路由--被选中接口的网段可以共享给本地的所有邻居；
[r1-rip-1]network 1.0.0.0
[r1-rip-1]network 12.0.0.0
[r1-rip-1]network 172.16.0.0
[r1-rip-1]network 192.168.1.0
RIP的扩展配置
１.RIPV2的手工汇总 -- 在更新源路由器上，所有更新发出的接口上配置
[r1]int g0/0/1
[r1-GigabitEthernet0/0/1]rip summary-address 1.1.0.0 255.255.252.0
汇总网段
２.RIPV2的认证
邻居间收发的RIP消息中进行身份核实口令添加；同时华为在接口开启认证后，所有rip的信息将被加密传输
[r1]interface g0/0/1
[r1-GigabitEthernet0/0/1]rip authentication-mode md5 usual cipher 123456
两两直连的邻居间，认证口令和模式必须完全一致；
３.沉默接口（被动接口） -- 仅接收不发送路由协议信息；只能用于连接用户终端的接口；不能用于直连路由器邻居的接口，否则邻居间将无法共享路由信息
[r1]rip 1
[r1-rip-1]silent-interface GigabitEthernet 0/0/0
４.加快收敛
RIP计时器 30s更新 180s失效 180s抑制 300s刷新
适当的修改计时器，可以加快协议的收敛速度；修改时，全网所有运行rip的设备建议一致；维持原有倍数关系；且不易修改的过小；
[r1]rip 1
[r1-rip-1]timers rip 30 180 300 抑制计时器不修改
５.缺省路由 -- 在边界路由器上定义缺省源头信息后，将向内网发布缺省路由；之后内部路由器将自动生成缺省路由指向边界路由器方向； 边界路由器指向ISP的缺省路由，依然需要手写；
[r3]rip
[r3-rip-1]default-route originate
九、动态路由协议—OSPF 开放式最短路径优先协议
无类别链路状态igp协议；周期更新(30min)+触发更新；链路状态协议的更新量随着网络范围的扩展指数性的上升，因此ospf协议为了在中大型网络中工作，需要结构化的部署-区域划分、合理ip地址规划；组播更新--- 224.0.0.5 224.0.0.6
【1】ospf的5种数据包：
Hello 邻居的发现，关系的建立；周期（10s）的保活 携带rid
Dbd 数据库描述包；本地数据库目录
Lsr 链路状态请求
Lsu 链路状态更新
Lsack 链路状态确认
Lsa -链路状态，具体一条一条路由信息或拓扑信息；但它不是一个包，是被lsu数据包来携带；
【2】Ospf的7个状态机：
Down ：一旦接收到的hello 包，进入下一个状态机
Init 初始化： 一旦接收到的hello包中，存在本地的rid，进入下一个状态
2way 双向通讯： 邻居关系建立的标志
Exstart 预启动： 使用不携带目录信息的DBD包，进行主从关系的选举；rid大为主，优先进入下一个状态；解决了目录共享时的无序；
Exchange 准交换：使用携带目标信息的dbd包，共享本地数据库目录；
loading加载：查看完邻接的dbd信息后，对比本地，然后基于本地未知的lsa进行查询；
使用lsr 向对端查询，对端使用lsu来传输这些lsa信息，本地收到后需要
lsack来进去确认；
Full ：邻接关系建立的标志； 意味着邻接间，数据库同步（一致）
【3】ospf的工作过程
启动配置完成后，邻居间开始收发hello包；hello包中将携带本地及本地所有已知邻居的rid；之后生成邻居表；邻居间需要关注是否可以成为邻接的条件；若不能建立为邻接，将保持为邻居关系，仅hello包周期保活即可；
若可以建立邻接关系；将使用DBD进行本地数据库目录的对比；之后基于对比的结果，使用LSR/LSU/LSack来获取本地未知的LSA信息；使邻接关系间数据库（lsdb）完成同步（一致），生成数据库表；
之后本地基于lsdb，使用spf算法，生成有向图—>最短路径树——＞计算本地到达所有未知网段的最短路径，将其加载到本地路由表中；收敛完成；
收敛完成后，邻居和邻接关系间均hello每10s保活；每30min一次邻接关系间周期数据库比对，保障一致；
结构突变：
１.新增网段
２.断开网段
３.无法沟通 --- dead time 为hello time的4倍；在4次周期内未收到对端的hello包，将断开与其的邻居关系；删除通过该邻居计算所得路由；
lsdb：链路状态数据库 – 所有lsa的集合
【4】基础配置
[r1]ospf 1 router-id 1.1.1.1 启动时可以定义进程号、RID；默认进程1，RID--格式为IPV4地址，全网唯一； 手工--》环回接口最大数值--》物理接口最大数值
[r1-ospf-1]
宣告：1、激活-- 可以收发ospf的信息 2、被选中接口的拓扑信息可以共享给邻接
3、区域划分
[r1-ospf-1]area 0
[r1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0
[r1-ospf-1-area-0.0.0.0]network 12.1.1.0 0.0.0.255
ospf在宣告时，需要使用反掩码，来匹配宣告的地址范围
区域划分规则：
１.星型结构 --- 编号0骨干区域（中心），大于0为非骨干区域（分支）
非骨干区域必须直连骨干区域；
２.必须存在ABR --- 区域边界路由器 两个区域间互联的设备
启动配置完成后，邻居间收发hello包；建立邻居关系，生成邻居表：
[r2]display ospf peer 查看邻居关系
[r2]display ospf peer brief 查看邻居简表
邻居关系建立后，关注条件；匹配失败，保持为邻居关系，仅hello包周期保活；匹配成功可以建立为邻接（毗邻）关系；邻接关系间，将使用DBD/LSR/LSU/LSack来获取本地未知的LSA信息；完整本地的LSDB （数据库表）；
[r2]display ospf lsdb
当数据库同步完成后；本地基于SPF算法，将数据库转换为有向图，再将有向图转换为树型结构；之后基于树形结构，以本地为起到到达所有未知网段的最短路径，加载到路由表中；
优先级为10；度量为cost值 ； cost值=开销值
Ospf cost = 参考带宽/接口带宽 默认参考带宽为100M
ospf优选cost值之和最小，为最佳路径；若两条链路cost值之和相同，等开销负载均衡；
若接口带宽大于参考带宽，cost为1；将可能导致选路不佳；建议修改默认的参考带宽：
[r1]ospf 1
[r1-ospf-1]bandwidth-reference ?
INTEGER<1-2147483648> The reference bandwidth (Mbits/s)
[r1-ospf-1]bandwidth-reference 1000
切记：若修改参考带宽，全网需修改的一致；
【5】扩展配置
１.DR/BDR选举
邻居成为邻接关系的条件；与网络类型有关；
网络类型：
点到点--在一个网段内只能存在两个节点 -- 串线链路
MA--多路访问-在一个网段内的节点数量不限制；不是当下连接了几个节点；而是该网络类型允许最终连接多个节点；--以太网
点到点网络邻居关系直接成为邻接关系；在MA网络中，将进行DR/BDR选举；在一个网段中仅DR/BDR与其他路由器为邻接关系；非DR/BDR之间为邻居关系；
选举规则：
（１）先比较该网段所有参选设备接口的优先级，越大越优；
默认优先级为1；取值范围0-255，0标识不参选
（２）若所有参选者优先级相同，比较参选设备的RID，数值大优；
干涉选举：
（１）DR优先级最大，BDR次大 -- 切记ospf的选举是非抢占性的；故在修改完优先级后，需要所有路由器重启OSPF进程；
[r2]interface GigabitEthernet 0/0/0
[r2-GigabitEthernet0/0/0]ospf dr-priority 3 修改接口优先级
Warning: The OSPF process will be reset. Continue? [Y/N]:y
（２）DR优先级修改为最大，BDR次大；其他设备修改为0；无需重启进程
２.区域汇总 --- OSPF协议不支持接口汇总；只能在ABR上将a区域拓扑计算所得路由，共享给B区域时进行汇总；
[r2]ospf 1
[r2-ospf-1]area 0
[r2-ospf-1-area-0.0.0.0]abr-summary 1.1.0.0 255.252.0.0
R2为一台连接区域0和其他区域的ABR；以上操作为，R2将通过区域0学习到的拓扑计算所得的路由，传递给其他区域时进行汇总，汇总网段1.1.0.0/22
３，被动接口(沉默接口)--仅接收不发送路由协议信息；用于连接用户终端的接口，不得用于连接邻居路由器的接口，否则无法建立邻居关系；
[r2]ospf 1
[r2-ospf-1]silent-interface GigabitEthernet 0/0/0
４.认证 -- 接口认证 在直连邻居或邻接的接口上配置，保障更新的安全
[r1-GigabitEthernet0/0/1]ospf authentication-mode md5 1 cipher 123456
模式、编号、密码要求邻居间一致
５.加快收敛
邻居间计时器 10s hello time 40s dead time
邻居间，修改本端的hello time，本端的dead time自动4被关系匹配；但ospf中邻居间的hello time和dead time必须完全一致，否则无法建立邻居关系；
[r1]interface GigabitEthernet 0/0/0
[r1-GigabitEthernet0/0/0]ospf timer hello 5
６.缺省路由 --- 边界路由器上配置后，将自动向内网下放一条缺省路由，之后内网设备将自动生成缺省路由指向边界
[r4]ospf 1
[r4-ospf-1]default-route-advertise always
十、ACL访问控制列表
作用：
１.访问控制 --- 在路由器流量进或出的接口上，匹配流量产生动作---允许、拒绝
２.定义感兴趣流量 --- 抓取流量，之后给到其他的策略，让其他策略进行工作；
匹配规则：
至上而下逐一匹配，上条匹配按上条执行，不再查看下条；cisco系默认末尾隐含拒绝所有；华为系末尾隐含允许所有；
分类：
１.标准 --- 仅关注数据包中的源ip地址
２.扩展 --- 关注数据包中的源、目标ip地址，目标端口号或协议号
配置命令：
【1】标准 --- 由于标准ACL仅关注数据包中的源ip地址；故调用时必须尽量的靠近目标；
避免对其他流量访问的误删；
编号2000-2999 为标准列表编号，一个编号为一张表；
[r2]acl 2000
[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0
[r2-acl-basic-2000]rule deny source 192.168.0.0 0.0.255.255
[r2-acl-basic-2000]rule deny source any
动作 源ip地址
源ip地址需要使用通配符来匹配范围；通配符和反掩码的区别，在于通配符可以0与1穿插书写；
ACL定义完成后，必须在接口上调用方可执行；调用时一定注意方向；一个接口的一个方向上只能调用一张表；
[r2]interface GigabitEthernet 0/0/1
[r2-GigabitEthernet0/0/1]traffic-filter ?
inbound Apply ACL to the inbound direction of the interface
outbound Apply ACL to the outbound direction of the interface
[r2-GigabitEthernet0/0/1]traffic-filter outbound acl 2001
【2】扩展列表配置 --由于扩展ACL 源、目ip地址均关注，故调用时尽量靠近源；尽早处理流量；
[r1]acl 3000 扩展列表编号 3000-3999
[r1-acl-adv-3000]rule deny ip source 192.168.1.3 0.0.0.0 destination 192.168.3.2 0.0.0.0
源ip地址 目标ip地址
源、目ip地址位置，使用通配符0标记一个主机，或使用反1标记段，或使用any均可
【3】使用扩展列表，同时关注目标端口号；
目标端口号：服务端使用注明端口来确定具体的服务；
ICMPV4 -- internet控制管理协议 -- ping
Telnet -- 远程登录 明文（不加密） 基于tcp，目标端口23；
条件：1、被登录设备与登录设备网络可达
2、被登录设备进行了telnet服务配置
[r1]aaa
[r1-aaa]local-user panxi privilege level 15 password cipher 123456
[r1-aaa]local-user panxi service-type telnet
创建名为panxi的账号，权限最大，密码123456；该账号仅用于telnet 远程登录
[r1]user-interface vty 0 4
[r1-ui-vty0-4]authentication-mode aaa 在vty线上开启认证
[r1]acl 3001
[r1-acl-adv-3001]rule deny tcp source 192.168.1.10 0 destination 192.168.1.1 0 destination-port eq 23
拒绝192.168.1.10 对192.168.1.1 访问时，传输层协议为tcp，且目标端口号为23；
[r1-acl-adv-3002]rule deny icmp source 192.168.1.10 0 destination 192.168.1.1 0
仅拒绝192.168.1.10 对192.168.1.1的ICMP访问
十一、NAT网络地址转换
IPV4地址中，存在私有与公有IP地址的区别：
公有：具有全球唯一性，可以在互联网通讯，需要付费使用
私有：具有本地唯一性，不能在互联网通讯，无需付费使用
私有ip地址：
10.0.0.0/8 172.16.0.0/16-172.31.0.0/16 192.168.0.0/24-192.168.255.0/24
NAT网络地址转换： 边界路由器上--连接外网的公有ip地址所在接口配置
边界路由器上，对进、出的流量进入源或目标ip地址的修改；
一对一 一对多 对多对 端口映射
一对多：多个私有ip地址对应同一个公有ip地址 PAT端口地址转换
先使用ACL定义可以被转换的私有ip地址范围
[r2]acl 2000
[r2-acl-basic-2000]rule permit source 192.168.0.0 0.0.255.255
[r2]int g0/0/2 公网所在接口；acl2000列表中关注的私有ip地址，通过该接口转出时，其源ip地址修改为该接口公有ip
[r2-GigabitEthernet0/0/2]nat outbound 2000
一对一的配置：
连接公网的接口配置
[r2-GigabitEthernet0/0/2]nat static global 12.1.1.3 inside 192.168.1.10
公有 私有
端口映射：
[r2-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 80 inside 192.168.1.10 80
Warning:The port 80 is well-known port. If you continue it may cause function failure.
Are you sure to continue?[Y/N]:y
外部访问该接口ip-12.1.1.1且目标端口号为80时，将被修改为192.168.1.10目标端口80；
[r2-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 8888 inside 192.168.1.20 80
外部访问该物理接口ip-12.1.1.1 且目标端口为8888时，将被修改为192.168.1.20 目标端口80；
多对多配置：
[r1]nat address-group 1 12.1.1.3 12.1.1.10 先定义公有ip地址范围
[r1]acl 2000 再定义私有ip地址的范围
[r1-acl-basic-2000]rule permit source 172.16.0.0 0.0.255.255
最后在连接公网的接口上配置多对多
[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1
私有 公有
[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 no-pat 一对一（多个一对一）
十二、举例
在浏览器中输入 http://www.baidu.com/ 后执行的全部过程。
现在假设如果我们在客户端（客户端）浏览器中输入 http://www.baidu.com， 而 baidu.com 为要访问的服务器（服务器），下面详细分析客户端为了访问服务器而执行的一系列关于协议的操作：
１.客户端浏览器通过DNS解析到www.baidu.com的IP地址220.181.27.48，通过这个IP地址找到客户端到服务器的路径。客户端浏览器发起一个HTTP会话到220.161.27.48，然后通过TCP进行封装数据包，输入到网络层。
２.在客户端的传输层，把HTTP会话请求分成报文段，添加源和目的端口，如服务器使用80端口监听客户端的请求，客户端由系统随机选择一个端口如5000，与服务器进行交换，服务器把相应的请求返回给客户端的5000端口。然后使用IP层的IP地址查找目的端。
３。客户端的网络层不用关系应用层或者传输层的东西，主要做的是通过查找路由表确定如何到达服务器，期间可能经过多个路由器，这些都是由路由器来完成的工作，不作过多的描述，无非就是通过查找路由表决定通过那个路径到达服务器。
４.客户端的链路层，包通过链路层发送到路由器，通过邻居协议查找给定IP地址的MAC地址，然后发送ARP请求查找目的地址，如果得到回应后就可以使用ARP的请求应答交换的IP数据包现在就可以传输了，然后发送IP数据包到达服务器的地址。