zhongyi_yang

路由配置

路由器的递归查找

当一条路由的下一跳地址不是本路由器的直连路由的时候，路由器会将下一跳地址作为目的地址，在自己的路由表中进行第二次查找，寻找是否有路由可以达到该网络，如果有，则路由生效，没有，则路由不生效。

水平分割

路由协议防环的一种手段，从一个接口发出去的路由，不从这个接口再收到。

RIP

典型的距离矢量路由协议，工作在UDP之上，UDP端口号：520，RIP路由协议的工作依赖于IP，只能工作在一个纯粹的IP网络中。RIP采用广播或者组播的方式定时更新自己的路由表，定时周期：默认值为30S，在CISCO设备中，RIP的默认AD值为：120，RIP以跳数（经过的路由器的台数作为度量值），最大支持15跳，16跳代表该网络不可达。
V1,只支持IPV4路由，有类路由协议，会根据IP地址的值，自动将网段归纳为A,B,C类，在发送更新的时候，V1不携带子网掩码，采用广播的方式更新自己的路由表：广播地址：255.255.255.255
V2,只支持IPV4路由，无类路由协议，不会根据IP地址的值，自动将网段归纳为A,B,C类，在发送更新的时候，V2携带子网掩码，采用组播更新的方式更新自己的路由表：组播地址：224.0.0.9
NG,支持IPV6路由

RIP的配置

1.启动RIP进程：
在路由器的配置模式下：
router rip （在一台CISCO设备上只能启动一个RIP进程）
2.选择RIP的版本：
在RIP路由进程下

version 2

3.关闭RIP的自动汇总功能：
在RIP的路由no auto-summary本路由器的直连网段宣告进RIP进程中:（只宣告本路由器的直连网段，非直连网段不用管）

network X.X.X.X(主网段号）

A.被宣告的网段才会参与路由进程。
B.被宣告的网段所在的直连接口才会发送和接收路由协议的路由更新。
5.修改RIP路由协议的AD值：
在RIP进程下：distance #（自定义）（在动态路由协议下，修改AD值，会影响本路由器上由该路由协议生成的所有路由条目的AD值，没有任何工具可以修改某一条动态路由协议下的明细路由）

OSPF

是链路状态路由协议，OSPF组网规模的大小：500台路由器，2万条路由条目，OSPF在CISCO路由器中默认的管理距离为：110，OSPF工作在IP层之上，协议号：89。OSPF采用组播更新的方式更新路由，组播地址：224.0.0.5和224.0.0.6。OSPF的度量值=参考带宽（100M）/实际带宽。OSPF采用触发更新的方式更新路由表:(网络中有链路通断的时候，才会发送相应的更新）

链路状态路由协议都会维护三张表

1.邻居表：（查看OSPF邻居表的命令：show ip ospf neighbor）
邻居表中的内容：
A.neighbor ID：邻居路由器的OSPF RID值。
B.优先级：在广播型链路上（以太网链路）选举DR和BDR时的优先级，在P2P没有该值。
C.邻居状态：本路由器与邻居路由器形成什么样的邻居关系。（OSPF路由器之间必须达到FULL的邻居关系，才证明OSPF配置无误，启动成功）
D.存活时间：两台路由器之间KEEPALIVE的时间。
E.邻居路由器与本路由器建立关系所用的接口的IP地址。
F.本路由器采用哪个端口号与邻居路由器建立邻居关系。

2.OSPF通过建立邻居数据库，从OSPF的邻居路由器学到关于OSPF整网的拓扑图：
查看OSPF数据库的命令

show ip ospf database

OSPF的LSDB详细的纪录了整网的所有网段和网段到本路由器的metric值。

3.OSPF的路由表：查show ip route ospfSPF的路由表是每一台OSPF路由器单独的以自己为根依据本路由器自己的OSPFLSDB表，算出的去往每一个网段的无环路径树，最终形成OSPF的路由表。

OSPF采用划分区域的方式减少区域间网络波动对其他区域造成的影响，以支持更大规模的网络。

OSPF的多区域

1.任意一个OSPF进程中，都必需有区域0，区域0是OSPF的骨干区域。
2.OSPF的区域是一个标准的两层规划，只能与区域0和非0区域，所有的非0区域，必需与区域0相连。
3.OSPF的区域是路由器端口的集合，与路由器本身无任何关联。
4.两台直连路由器的直连端口必须在同一个区域。
5.所有非0区域间的互访必须经过区域0。

OSPF路由器的分类

1.一台路由器的所有端口都属于区域0，这台路由器叫做骨干路由器。
2.一台路由器至少一个端口属于区域0，一个端口属于非0区域，这台路由器叫做区域边界路由器（ABR）
3.一台路由器至少一个端口属于OSPF进程，一个端口属于其他路由进程，这台路由器叫做自治系统边界路由器(ASBR)
4.一台路由器的所有端口都属于非0区域，这台路由器叫做内部路由器。

OSPF的基本配置

1.启动OSPF进程：
在配置模式下：router ospf #（进程号，自定义，在一个AS内，进程号不同的OSPF可以认为是另一种路由协议）
2.设置路由器的RID：
在路由进程下

router-id X.X.X.X

（在一个OSPF进程中，唯一的标示一台路由器的标志，OSPF可以不配置RID,OSPF默认会自动决选出一个RID，决选规则：
1>.优选LOOPBACK接口;
2>.无LOOPBACK接口，在所有允许OSPF的端口上选择最大的IP地址作为RID）
3.宣告网段：
在路由进程下：

network X.X.X.X + 反掩码 area （把相应的网段宣告进相应的OSPF区域中）

OSPF的启动过程

Down->Init->2 way->Exstart->Exchange->Loading->Full
单向hello 双向hello DBD LSR LSU LSACK
FULL代表两台路由器互相学完了对方所有的路由，达到了收敛的状态。

强制下发默认路由

1.所有动态路由都具备的特征。
2.边界路由器上存在一条默认路由。
3.在动态路由协议的路由进程下：
输入命令

default-information originate

4.强制下发默认路由的默认路由会沿着动态路由的路径进行传递，在OSPF路由中，强制下发的默认路由metric值恒为1。在RIP路由中，metric值会随着路由路径的增加而累加。
5.强制下发默认路由只能用在单路由域与外部互通的情况下，如果有多路由域需要互通的情况下，则不要使用该技术。

OSPF中有的时候会存在脱离骨干区域的第三层区域：可以和他的边界路由器达到FULL的邻居关系，但是无法学到OSPF中其他区域的路由，也无法将本区域的路由传递给其他区域。

OSPF有特殊的手段可以解决脱离骨干区域的第三层区域：虚链路。
在第三层区域和区域0之间的中间区域的两台边界路由器上用命令：

area # （中间区域的区域号） virtual-link X.X.X.X （对端路由器的RID）

OSPF区域间的路由汇总

将OSPF非0区域内有规律的路由条目汇总后发给其他的区域，以减少其他区域内的路由条目数。
汇总的动作是在区域边界路由器上完成动作：
命令

area # （区域号，非0区域）X.X.X.X + 子网掩码 （手动汇总后的大网段）

汇总路由

1.在区域边界路由器上仍旧会保留区域内的明细路由，但是会生成一条汇总路由，汇总路由的下一跳指向NULL 0，这种路由叫做黑洞路由。
2.汇总路由，会选择所有明细路由中最小的metric值作为自己的metric。
3.汇总路由存在的条件是至少存在一条被汇总的明细路由。
4.非本区域的其他区域路由器只能学到汇总后的路由，无法学到明细路由。
5.汇总路由一般只针对非0区域使用，不要对0区域使用路由汇总。

ACL

IP访问控制列表：针对IP数据包所做的一种控制手段，是一种三层应用。

ACL只能对穿越本路由器的IP数据包进行过滤和控制，不能对源发自本路由器的数据进行过滤和控制。

ACL的作用

1.过滤和控制流经本路由器的数据包
2.标记出特殊的网段用来和其他的工具联动以实现一些进阶的操作，比如：route-map，traffic-behavior。

ACL条目的三个内容

1.ACL的条目号：access-list # （1-99，标准ACL，100-199，扩展的ACL）
2.动作：deny（拒绝数据包通过本路由器），permit （允许数据包通过本路由器)
3.内容：ACL需要检查的内容（标准ACL和扩展ACL能检查的能容有较大差距）
标准的ACL只检查源地址：会拒绝或允许所有IP包中源地址匹配的数据包。
扩展的ACL检查的内容：1.协议类型（可以是IP，也可以是IP的上层应用，传输层协议，例如：TCP,UDP）
2.源地址（IP包头中的源地址）
3.源地址端口号（但是一般不用）
4.目的地址（IP包头中的目的地址）
5.目的端口（用来标示传输层的上层协议是什么协议，例如：FTP,TELNET等）

一个ACL条目中可以存在多个ACL的RULE，每一个RULE都是单独执行的，不参考其他的RULE。

ACL在路由器上启到过滤IP数据包的作用时，有in和out方向的区别。

in和out方向是针对路由器的端口设定的，要判断ACL使用的方向是in还是out时候，要看从源地址到目的地址，数据流经时经过路由器的端口，是要进入本路由器，还是离开本路由器，进入是in方向，离开是out方向。

ACL在路由器端口下生效的时候，需要用命令

ip access-group # (ACL号）in/out

调用，在一个端口的一个方向只能使用一个ACL，后配置的会覆盖先配置的ACL。

IN方向的ACL：进入本路由器的数据包直接匹配端口下的ACL，匹配完成后再决定是否可以进入本路由器。
OUT方向的ACL：进入路由器的数据包会先匹配路由器的路由表，找到相应的转发接口以后，再匹配转发接口下的ACL，最终决定是否转发该数据包。

在路由器中：ACL采用顺序匹配的方式，按照ACL中RULE的条目编号从小到大进行匹配，如果有冲突的ACL则直接执行先匹配到的。
在一些老的包过滤防火墙中，使用深度匹配的机制：将数据包中的内容与每个RULE进行匹配，最终得出操作结果，如有冲突，执行拒绝优先。

一个ACL的末尾都有一个隐含的deny any的条件，如果不能与任何rule匹配的数据包，则会匹配deny any。
所有的ACL中至少应该有一个rule是permit的。

检查ACL的命令

show access-list

（查看到本路由器上所有的ACL，以及这些ACL被命中的次数）

NAT

由于IPV4公网地址已经枯竭，为了解决多个私网用户复用一个或多个公网IP地址访问Internet的问题，采用NAT技术解决此问题。NAT技术是在一台路由器上完成的路由器内部映射的动作。

NAT术语：
1.内部本地地址：用户本地内网所使用的私网IP地址
2.内部全局地址：用户上外网时所使用的合法的公网IP地址。

静态NAT

1.选出路由器上与用户内网私网地址相连的端口，并在端口模式下，将该端口定义为

ip nat inside

2.选出路由器上与外网相连的公网端口，并在端口模式下：将该端口定义为

ip nat outside

3.在路由器上配置默认路由去往Internet。
4.形成静态的NAT映射关系：

ip nat inside source static X.X.X.X （用户内网的私网地址） Y.Y.Y.Y（公网地址，一定与IP NAT OUTSIDE 端口在同一个网段）

动态NAT