Justin知识库 - 数通
type: channel
link: https://just1n.cn/tag/Datacom/
items: HCIA：综合实验（附配置文件）
items: ACL 基础
items: 链路聚合
items: VLAN 基础
items: OSPF 基础配置
items: OSPF 基本原理
items: 静态路由：ip route-static
items: 远程管理命令：telnet
items: STP 生成树协议

HCIA：综合实验（附配置文件）
type: item
date: 2023-08-28T15:08:00+08:00
description: 该实验来自某站UP主：暴风网络-155和150 相关配置文件 若以下没有该设备文件即表示未作任何配置。 其中涉及MAC地址部分均采用模拟器提供的MAC（如绑定AP），需要自行更改！ Server、Clinet以及STA根据相关需求配置。 企业区域 AR1： # sysname R1 header shell information "SUCESS : There will be a price for your actions!" header login information "WARNING : Please proceed with caution!" # snmp-agent local-engineid 800007DB03000000000000 snmp-agent sys-info version v3 snmp-agent group v3 USER_GROUP privacy snmp-agent target-host trap-hostname NMS address 10.1.20.10 udp-port 162 trap-p aramsname R1 snmp-agent usm-user v3 USER USER_GROUP authentication-mode md5 4DE14BB77015FFE8 95A65FDE05B8F6E9 privacy-mode des56 4DE14BB77015FFE895A65FDE05B8F6E9 snmp-agent trap enable feature-name IFNET trap-name linkDown snmp-agent trap enable feature-name IFNET trap-name linkUp snmp-agent # acl number 2000 rule 5 permit source 10.1.10.0 0.0.0.255 # acl number 3000 rule 5 deny icmp icmp-type echo rule 10 deny udp destination-port gt 33433 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user user password cipher %$%$mq2aEX3+x"S0Nl,/<SeK]@gr%$%$ local-user user privilege level 15 local-user user service-type ssh local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$ local-user admin service-type http # nat address-group 1 155.1.12.11 155.1.12.20 # interface Eth-Trunk1 undo portswitch ip address 10.1.17.1 255.255.255.0 ospf enable 1 area 0.0.0.0 mode lacp-static # interface GigabitEthernet0/0/0 ip address 155.1.12.1 255.255.255.0 traffic-filter inbound acl 3000 nat server protocol tcp global 155.1.12.10 10080 inside 10.1.20.10 www nat outbound 2000 address-group 1 # interface GigabitEthernet0/0/1 eth-trunk 1 # interface GigabitEthernet0/0/2 eth-trunk 1 # ospf 1 default-route-advertise area 0.0.0.0 # stelnet server enable # ip route-static 0.0.0.0 0.0.0.0 155.1.12.2 # user-interface con 0 authentication-mode password user-interface vty 0 4 acl 2000 inbound authentication-mode aaa idle-timeout 15 0 …

ACL 基础
type: item
date: 2023-07-28T16:49:00+08:00
description: 访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。 ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。 ACL 基本原理 此处均转自华为官网中AR系列配置指南——ACL 配置，点击此处查看完整内容。 ACL 的组成 ACL由一系列规则组成，通过将报文与ACL规则进行匹配，设备可以过滤出特定的报文。ACL的结构组成，如下图所示： ACL编号：使用数字或者名称来标识ACL 使用数字标识ACL：不同的类型的ACL使用不同的数字进行标识。 使用名称标识ACL：可以使用字符来标识ACL，就像用域名代替IP地址一样，更加方便记忆。 规则：即描述匹配条件的判断语句 规则编号：用于标识ACL规则，所有规则均按照规则编号从小到大进行排序 动作：包括permit/deny两种动作，表示设备对所匹配的数据包接受或者丢弃。 匹配项：ACL定义了极其丰富的匹配项。包括生效时间段、IP协议（ICMP、TCP、UDP等）、源/目的地址以及相应的端口号（21、23、80等）。 ACL 分类 基于ACL规则定义方式的划分如下。 随着ACL技术的发展，其种类越来越丰富，根据其不同的规则和使用场景，常用的可分为以下几类： 基本ACL 高级ACL 二层ACL 用户ACL ACL 匹配机制 配置示例 该示例中只涉及高级ACL。点击了解更多相关配置命令及配置举例，这里不一一赘述。 如下图，该网络可以正常互相通信，PC和Client可达任意网段。图中橙色部分是我们要去实现的功能，提前完成的配置如下： PC1和Client1各属VLAN10和VLAN20下。 借助AR1实现单臂路由，使PC1和Client1互相访问。 蓝色框区域采用OSPF，同属区域area0。 检查相关配置 (1) PC1 访问各网段设备 (2) Client1 访问 PC1 配置相应的 ACL 规则 为ACL设置相关规则的时候，需要了解流量数据的出口和入口，若我们假设配置的单臂路由那一块为我们的内部网络，那么访问外网时R2的g0/0/0就相当流量的入接口（inbound），其余两个接口就是出接口（outbound）。为了方便实验，我们将在 R2 的 g0/0/0 接口下进行ACL配置。 查看要求我们知道此时需要匹配两条规则且基本ACL是无法满足第二条规则，于是我们采用高级ACL，值得注意的是一个接口下只能运行一个ACL列表，不能同时运行多个。所以我们将这两条匹配规则写在一个ACL列表下。 <R2>system view [R2]acl 3999 [R2-acl-adv-3999]rule deny 1 source 192.168.2.100 0 destination 192.168.4.100 0 [R2-acl-adv-3999]rule deny ip source 192.168.1.100 0 destination any [R2-acl-adv-3999]int g0/0/0 [R2-GigabitEthernet0/0/0]traffic-filter inbound acl 3999 查看当前接口下的配置，我们刚刚写的ACL已经在当前接口下生效。 随便查看下我们写的ACL列表，确认无误。 配置验证 1. PC1 无法进行跨网段访问，只可访问Client1 当前可直接去ping线路上的R2的g0/0/0，只要它不通即可。 为验证ACL是否匹配，还额外ping了R1的g0/0/0，当然也可以通过display acl all 查看当前ACL命中次数。 2. Client1 无法访问 server ICMP服务，但可以访问其它服务 使用ping可以向网络主机发送 ICMP 回显请求。它用来检查网络是否通畅或者网络连接速度快慢，从而判断网络是否正常。 这里很明显可以看到我们设置ACL已经匹配规则，无法ping通该地址。当然也可以选择别的地址进行“ping测试”，这里就不再进行演示… 现在我们再去访问该地址上的服务。首先服务器上启动某个服务（我选择的是HTTP服务，文件根目录随便选），随后请求该服务，看到弹出的界面——访问成功！ 配置文件 SW1： # sysname SW1 # vlan batch 10 20 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 2 to 4094 # interface GigabitEthernet0/0/2…

链路聚合
type: item
date: 2023-07-27T17:17:00+08:00
description: 以太网链路聚合Eth-Trunk简称链路聚合，它通过将多条以太网物理链路捆绑在一起成为一条逻辑链路，从而实现增加链路带宽的目的。同时，这些捆绑在一起的链路通过相互间的动态备份，可以有效地提高链路的可靠性。 随着网络规模不断扩大，用户对骨干链路的带宽和可靠性提出越来越高的要求。在传统技术中，常用更换高速率的接口板或更换支持高速率接口板的设备的方式来增加带宽，但这种方案需要付出高额的费用，而且不够灵活。 采用链路聚合技术可以在不进行硬件升级的条件下，通过将多个物理接口捆绑为一个逻辑接口，达到增加链路带宽的目的。在实现增大带宽目的的同时，链路聚合采用备份链路的机制，可以有效的提高设备之间链路的可靠性。 链路聚合技术主要有以下优势： 增加带宽：链路聚合接口的最大带宽可以达到各成员接口带宽之和。 提高可靠性：当某条活动链路出现故障时，流量可以切换到其他可用的成员链路上，从而提高链路聚合接口的可靠性。 负载分担：在一个链路聚合组内，可以实现在各成员活动链路上的负载分担。 应用简单：Eth-trunk的作用域仅在相邻设备之间，和整个网络结构无关，应用更简单。 链路聚合模式比较 Eth-trunk的模式分为手工模式和LACP模式，具体请参见官方手册中手工模式和LACP模式链路聚合。 简单概括： 手工负载分担模式下所有活动接口都参与数据的转发，分担负载流量 LACP模式支持链路备份 需要注意的是Eth-Trunk链路两端相连的物理接口的数量、速率、双工方式、流控方式必须一致。 应用示例 不建议链路聚合时，两端设备不一致，且下面示例中不涉及LACP模式。 链路聚合（交换机直连）配置 SW1和SW2之间希望能够提供较大的链路带宽来互相通信。同时也希望能够提供一定的冗余度，保证数据传输和链路的可靠性。 配置思路 采用如下的思路配置负载分担链路聚合： 创建Eth-Trunk接口并加入成员接口，实现增加链路带宽 配置负载分担方式，实现流量在Eth-Trunk各成员接口间的负载分担，增加可靠性。 操作步骤 以下均以SW1为例，SW2配置与之类似，不再赘述。 (1) 在SW1和SW2上创建Eth-Trunk接口并加入成员接口 华为交换机默认为手工配置模式（mode manual load-balance）。 <Huawei>system-view [Huawei]sysname SW1 [SW1]interface Eth-Trunk 1 [SW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/2 [SW1-Eth-Trunk1]quit 此时检查当前 Eth-Trunk 1 的配置： [SW1]display eth-trunk 1 也可以查看详细参数： [SW1]display interface Eth-Trunk 1 如果使用 display interface Eth-Trunk 1 可以查看当前带宽（BW）。这里以display eth-trunk 1为例，可以看到当前状态已经开启且现在链路聚合中有 2 个接口，成员接口的状态都为“Up”。 (2) 配置Eth-Trunk1的负载分担方式。 方式有好几种，具体参考官方文档如何配置链路聚合的负载分担。 以下是基于源MAC地址和目的MAC地址的负载分担方式。 [SW1]interface Eth-Trunk 1 [SW1-Eth-Trunk1]load-balance src-dst-mac [SW1-Eth-Trunk1]quit 三层链路聚合配置 R1和R2之间创建Eth-Trunk接口，将两个三层接口捆绑到该接口下，可以增加带宽和提高可靠性。 配置思路 采用如下的思路配置链路聚合： 创建三层Eth-Trunk接口并配置IP地址。 把三层接口加入Eth-Trunk接口。 操作步骤 以下均以R1为例，R2配置与之类似，不再赘述。 (1) 配置R1：创建三层Eth-Trunk接口，并配置IP地址。 我们进入Eth-Trunk接口后首先就要undo portswitch将以太网接口从二层模式切换到三层模式，设备的以太网接口默认工作在二层。 <Huawei>system-view [Huawei]sysname R1 [R1]interface Eth-Trunk 1 [R1-Eth-Trunk1]undo portswitch [R1-Eth-Trunk1]ip address 1.1.1.1 24 [R1-Eth-Trunk1]quit 此时检查当前接口地址的配置，发现Eth-Trunk接口及地址配置完成，但是物理和协议状态全为“down”（不具备转发能力）。 [R1]display ip interface brief 结果如下图： (2) 将三…

VLAN 基础
type: item
date: 2023-07-25T18:30:00+08:00
description: VLAN（Virtual Local Area Network）即虚拟局域网，是将一个物理的LAN在逻辑上划分成多个广播域的通信技术。每个VLAN是一个广播域，VLAN内的主机间通信就和在一个LAN内一样，而VLAN间则不能直接互通，这样，广播报文就被限制在一个VLAN内。 如图1所示，两台交换机放置在不同的地点，比如写字楼的不同楼层，每台交换机分别连接两台属于不同企业用户的计算机，此时就可以将两台计算机划分到不同的VLAN，实现对不同企业用户的隔离。 图1：VLAN示意图 VLAN Tag 和 VLAN ID 要使交换机能够分辨不同VLAN的报文，如图2所示，需要在报文中添加标识VLAN信息的字段。IEEE 802.1Q协议规定，在以太网数据帧中加入4个字节的VLAN标签（又称VLAN Tag，简称Tag），用以标识VLAN信息。 图2：VLAN数据帧格式 IEEE 802.1Q封装的VLAN数据帧格式 数据帧中的VID字段标识了该数据帧所属的VLAN，数据帧只能在其所属VLAN内进行传输。VID字段代表VLAN ID，VLAN ID取值范围是0～4095。由于0和4095为协议保留取值，所以VLAN ID的有效取值范围是1～4094。 交换机内部处理的数据帧都带有VLAN标签。而交换机连接的部分设备（如用户主机、服务器）只会收发不带VLAN tag的传统以太网数据帧。因此，要与这些设备交互，就需要交换机的接口能够识别传统以太网数据帧，并在收发时给帧添加、剥除VLAN标签。添加什么VLAN标签，由接口上的缺省VLAN（Port Default VLAN ID，PVID）决定。 VLAN的接口类型 这里不涉及QinQ（Dot1q-tunnel接口）。 Access接口：一般用于和不能识别Tag的用户终端（如用户主机、服务器等）相连，或者不需要区分不同VLAN成员时使用。Access接口大部分情况只能收发Untagged帧，且只能为Untagged帧添加唯一的VLAN Tag。 Trunk接口：一般用于连接交换机、路由器、AP以及可同时收发Tagged帧和Untagged帧的语音终端。它可以允许多个VLAN的帧带Tag通过，但只允许一个VLAN的帧从该类接口上发出时不带Tag（即剥除Tag）。 Hybrid接口：既可以用于连接不能识别Tag的用户终端（如用户主机、服务器等）和网络设备（如Hub、傻瓜交换机），也可以用于连接交换机、路由器以及可同时收发Tagged帧和Untagged帧的语音终端、AP。它可以允许多个VLAN的帧带Tag通过，且允许从该类接口发出的帧根据需要配置某些VLAN的帧带Tag（即不剥除Tag）、某些VLAN的帧不带Tag（即剥除Tag）。 VLAN的划分方法有多种，根据不同的场景，可以采用基于接口、MAC地址、子网、网络层协议、匹配策略方式来划分VLAN。 VLAN的使用场景 VLAN的常见使用场景包括：VLAN间用户的二层隔离，VLAN间用户的三层互访。具体可参考华为官网文档中心的园区交换机配置指南中以太网交换的VLAN引用场景。 VLAN 示例 下列实验中，命令已简写且PC相关地址默认已提前配置完成，详细示例点击这里。 练习 1：同一台交换机上相同VLAN间通信 我们填好PC地址后，可以直接启动设备然后使用PC1来直接ping通PC2。 现在将连接PC1和PC3的接口划分到VLAN 10，把连接PC2的接口划分到VLAN 20，使PC1和PC2、PC2和PC3不能直接进行通信，PC1和PC3可以直接互相通信。 <Huawei>sy [Huawei]sy SW1 [SW1]vlan ba 10 20 [SW1]int g0/0/1 [SW1-GigabitEthernet0/0/1]p l a [SW1-GigabitEthernet0/0/1]p d v 10 [SW1-GigabitEthernet0/0/1]int g0/0/2 [SW1-GigabitEthernet0/0/2]p l a [SW1-GigabitEthernet0/0/2]p d v 20 [SW1-GigabitEthernet0/0/2]int g0/0/3 [SW1-GigabitEthernet0/0/3]p l a [SW1-GigabitEthernet0/0/3]p d v 10 验证配置结果： 练习 2：不同台交换机上相同VLAN间通信 要求：PC4和PC6在VLAN 10 下相互通信，PC5和PC7在VLAN 20 下相互通信。 需要将交换机之间通过Trunk链路类型连接，交换机和用户终端之间通过Access链路类型连接，并加入对应VLAN。 <Huawei>sy [Huawei]sy SW1 [SW1]vl…

OSPF 基础配置
type: item
date: 2023-07-24T17:12:00+08:00
description: 开放式最短路径优先 OSPF（Open Shortest Path First）是 IETF 组织开发的一个基于链路状态的内部网关协议（Interior Gateway Protocol）。 在OSPF出现前，网络上广泛使用 RIP（Routing Information Protocol）作为内部网关协议。由于 RIP 是基于距离矢量算法的路由协议，存在着收敛慢、路由环路、可扩展性差等问题，所以逐渐被 OSPF 取代。OSPF 作为基于链路状态的协议，能够解决RIP所面临的诸多问题。此外，OSPF 还有以下优点： OSPF 采用组播形式收发报文，这样可以减少对其它不运行OSPF路由器的影响。 OSPF 支持无类型域间选路（CIDR）。 OSPF 支持对等价路由进行负载分担。 OSPF 支持报文加密。 由于 OSPF 具有以上优势，使得 OSPF 作为优秀的内部网关协议被快速接收并广泛使用。 OSPF 基本原理 OSPF 协议路由的计算过程可简单描述如下： (1) 建立邻接关系，过程如下： 1. 本端设备通过接口向外发送Hello报文与对端设备建立邻居关系。 2. 两端设备进行主/从关系协商和DD报文交换。 3. 两端设备通过更新LSA完成链路数据库LSDB的同步。 此时，邻接关系建立成功。 (2) 路由计算 OSPF 采用 SPF（Shortest Path First）算法计算路由，可以达到路由快速收敛的目的。 命令功能 ospf 命令用来创建并运行OSPF进程。 undo ospf 命令用来关闭OSPF进程。 缺省情况下，系统不运行OSPF协议，即不运行OSPF进程。 命令格式 ospf [ process-id | router-id router-id | vpn-instance vpn-instance-name ] undo ospf process-id [ flush-waiting-timer time ] 参数说明 使用指南 使用场景 创建OSPF进程是配置与OSPF协议有关参数的首要步骤。 OSPF支持多进程，在同一台设备上可以运行多个不同的OSPF进程，它们之间互不影响，彼此独立。不同OSPF进程之间的路由交互相当于不同路由协议之间的路由交互。 设备的ID可以手工配置，如果没有通过命令指定ID号，系统会从当前接口的IP地址中自动选取一个作为设备的ID号。其选择顺序是：Loopback口的IP地址从大到小排序，然后非Loopback接口IP地址从大到小排序，按照排序后的ID选择第二大的ip作为ID。当设备出现router id冲突时，会将该IP从以上排序中剔除。以下3种情况会进行Router ID的重新选取： 通过本命令重新配置OSPF的Router ID，然后重启OSPF进程 重新配置系统的Router ID，并且重新启动OSPF进程 原来被选举为系统的Router ID的IP地址被删除并且重新启动OSPF进程 配置影响 使用undo ospf命令关闭OSPF进程后，接收端会一直保留这个OSPF进程早先产生的已无效的LSA，占用了系统内存，只有这些LSA超时（即LSA中的age字段达到3600秒）才会被删除。使用undo ospf process-id flush-waiting-timer time命令关闭OSPF进程后，设备会在设定的时间内再次产生自己的LSA，并将其age字段置为3600。其他设备收到age字段为3600的LSA后，会立刻删除保留在本机的此条LSA。若本机没有在设定的时间发送完所有的LSA，则其他设备仍会继续保留着一部分已无效的LSA。 当LSA头部中LS字段（老化时间）达到3600秒时，这条LSA会被删除。 注意事项 设备的一个接口只能属于某一个OSPF进程。如果指定了VPN实例，那么OSPF进程属于此实例，否则属于全局实例。进程实例不可更改，只能在第一次使能该进程时指定。 每个OSPF进程的Router ID要保证全网唯一，否则会导致邻居不能正常建立、路由信息不正确的问题。建议在OSPF设备上单独为每个OSPF进程配置全网唯一的Router ID。 使用实例 <Huawei> system-view [Huawei] ospf 100 router-id 1.1.1.1 简单示例 如下图所示，所有的路由器都运行OSPF，其中粉色区域都在同一网段（可观察期间主从关系的现象），蓝色区域不在同一网段。要求 AR1 能够 ping 通 7.7.7.7，且 4.4.4.4 访问 7.7.7.7 时，去走 AR6，回走 AR5。 配置思路 配置各路由器的接口IP。 使各路由器上运行OSPF（都在area0区域）。 按照要求方便实验，配置AR4和AR7上的环回地址。 在AR4和AR7上分…

OSPF 基本原理
type: item
date: 2023-07-24T14:15:00+08:00
description: OSPF 是一种基于链路状态的路由协议（LS）（根据链路状态做参考），它从设计上就保证了无路由环路。OSPF 支持区域的划分，区域内部的路由器使用 SPF 最短路径算法保证了区域内部的无环路。OSPF 还利用区域间的连接规则保证了区域之间无路由环路。 OSPF 支持触发更新，能够快速检测并通告自治系统内的拓扑变化。 OSPF 可以解决网络扩容带来的问题。当网络上路由器越来越多，路由信息流量急剧增长的时候，OSPF 可以将每个自治系统划分为多个区域，并限制每个区域的范围。OSPF 这种分区域的特点，使得 OSPF 特别适用于大中型网络。OSPF 可以提供认证功能。OSPF 路由器之间的报文可以配置成必须经过认证才能进行交换。 OSPF 协议路由的计算过程可简单描述如下： (1) 建立邻接关系，过程如下： 本端设备通过接口向外发送 Hello 报文与对端设备建立邻居关系。 两端设备进行主/从关系协商和 DD 报文交换。 两端设备通过更新 LSA 完成链路数据库 LSDB 的同步。 此时，邻接关系建立成功。 (2) 路由计算 OSPF 采用 SPF（Shortest Path First）算法计算路由，可以达到路由快速收敛的目的。 建立邻接关系 在上述邻居状态机的变化中，有两处决定是否建立邻接关系： 当与邻居的双向通讯初次建立时。 当网段中的 DR 和 BDR 发生变化时。 OSPF 在不同网络类型中，OSPF 邻接关系建立的过程不同，分为广播网络，NBMA 网络，点到点/点到多点网络。 在广播网络中建立 OSPF 邻接关系 广播链路邻接关系建立过程如图1所示，在广播网络中，DR、BDR 和网段内的每一台路由器都形成邻接关系，但 DR other 之间只形成邻居关系。 图1：在广播网络中建立 OSPF 邻接关系 如图1所示，在广播网络中建立OSPF邻接关系的过程如下： (1) 建立邻居关系 RouterA 的一个连接到广播类型网络的接口上激活了 OSPF 协议，并发送了一个 Hello 报文（使用组播地址 224.0.0.5）。此时，RouterA 认为自己是 DR 路由器（DR=1.1.1.1），但不确定邻居是哪台路由器（Neighbors Seen=0）。 RouterB 收到 RouterA 发送的 Hello 报文后，发送一个 Hello 报文回应给 RouterA，并且在报文中的 Neighbors Seen 字段中填入 RouterA 的 Router ID（Neighbors Seen=1.1.1.1），表示已收到 RouterA 的 Hello 报文，并且宣告 DR 路由器是 RouterB（DR=2.2.2.2），然后 RouterB 的邻居状态机置为 Init。 RouterA 收到 RouterB 回应的 Hello 报文后，将邻居状态机置为 2-way 状态，下一步双方开始发送各自的链路状态数据库。 @font-face { font-family: 'iconfont'; /* Project id 4126433 */ src: url('https://at.alicdn.com/t/c/font_4126433_zdrdm4lzl3q.woff2?t=1690171880267') format('woff2'), url('https://at.alicdn.com/t/c/font_4126433_zdrdm4lzl3q.woff?t=1690171880267') format('woff'), url('https://at.alicdn.com/t/c/font_4126433_zdrdm4lzl3q.ttf?t=1690171880267') format('truetype'); } .iconfont{ font-family:"iconfont" !important; font-size:25px;font-style:normal; -webkit-font-smoothing: antialiased; -webkit-text-stroke-width: 0.2px; -moz-osx-font-smoothing: grayscale; }  说明 在广播网络中，两个接口状态是 DR Other 的路由器之间将停留在此步骤。 (2) 主/从关系协商、DD 报文交换 RouterA首先发送一个 DD 报文，宣称自己是 Master（MS=1），并规定序列号 Seq=X。I=1 表示这是第一个 DD 报文，报文中并不包含 LSA 的摘要，只是为了协商主从关系。M=1 说明这不是最后一个报文。为了提高发送的效率，RouterA 和RouterB 首先了解对端数据库中哪些 LSA…

静态路由：ip route-static
type: item
date: 2023-07-23T18:36:00+08:00
description: 静态路由是一种需要管理员手工配置的特殊路由，使数据包按照预定的路径传送到指定的目的网络。当不能通过动态路由协议学到某些目标网络的路由时，配置静态路由就会显得十分重要。当然，在不同网络环境中它有不同的目的： 当网络结构比较简单时，只需配置静态路由就可以使网络正常工作。 在复杂网络环境中，配置静态路由可以改进网络的性能，并可为重要的应用保证带宽。 静态路由可在VPN实例中使用，主要用于VPN路由的管理。 静态路由比动态路由使用更少的带宽，并且不占用CPU资源来计算和分析路由更新。但是当网络发生故障或者拓扑发生变化后，静态路由不会自动更新，必须手动重新配置。静态路由有5个主要的参数：目的地址和掩码、出接口和下一跳、优先级。 静态路由优先级 静态路由如果不配置优先级，默认优先级为 60。对于不同的静态路由，可以为它们配置不同的优先级，优先级数字越小优先级越高。配置到达相同目的地的多条静态路由，如果指定相同优先级，则可实现负载分担；如果指定不同优先级，则可实现路由备份。 命令功能 ip route-static：命令用来配置单播静态路由。 undo ip route-static：命令用来删除配置的单播静态路由。 缺省情况下，系统没有配置任何单播静态路由。 示例 格式：目的IP 掩码或掩码长度 下一跳地址（不建议使用出接口） <Huawei> system-view [Huawei] ip route-static 202.3.7.23 24 111.222.121.212 应用场景 当网络结构比较简单时，只需配置静态路由就可以使网络正常工作。当路由器不能使用动态路由协议或者不能建立到达目的网络的路由时，也可以使用静态路由。静态路由只有获取了正确的下一跳才能指导转发，如果获取不到，静态路由无效。 简单示例 不同网段的路由器相连，不配置动态路由协议，使 PC4 可达 LT 和 YD。若假设 LT 和 YD 都可达某个网站（112.3.31.147），要求 LT 为首选，YD 为备选。 配置思路 配置各路由器接口的 IP 地址，实现直连路由。 各台路由器上配置 IP 静态路由及缺省路由，实现不配置动态路由协议，使 PC4 可达 LT 和 YD。 为方便实验，LT 和 YD 设置 LoopBack 地址为 112.3.31.147/24 。 在 GW 上设置通往 YD 的默认路由优先级为 62，使 LT 作为主路径。 示例图（各接口 IP 以提前配置完成）如下： (1) 配置LT和YD的静态路由 LT： [LT]ip route-static 192.168.1.0 255.255.255.0 56.1.1.6 YD： [YD]ip route-static 192.168.1.0 255.255.255.0 67.1.1.6 (2) 配置路由器的环回地址（LoopBack） LT 和 YD 配置命令一样（这里以 LT 为例，命令已简写） <LT>sy Enter system view, return user view with Ctrl+Z. [LT]int lo 0 [LT-LoopBack0]ip add 112.3.31.147 24 [LT-LoopBack0]q [LT]dis ip int br .... Interface IP Address/Mask Physical Protocol GigabitEthernet0/0/0 56.1.1.5/25 up up GigabitEthernet0/0/1 unassigned down down GigabitEthernet0/0/2 unassigned down down LoopBack0 112.3.31.147/24 up up(s) NULL0 unassigned up up(s) (3) 配置 GW 的两条（主、备）默认路由并设置优先级 [GW]ip route-static 0.0.0.0 0 56.1.1.5 [GW]ip route-static 0.0.0.0 0 67.1.1.5 preference 62 示例验证 在 GW 上使用 tracert 跟踪 可以很清楚的发现路由现在优先选择 56.1.1.5 这条路径。我们继续在 GW 上查看目前的路由表，看到优先级为默认的 60，可以更加确定目前的路由选择的是主路径。 在 LT 上关闭 g0/0/0 接口 为使结果更加明显，我们直接在 PC4 上进行实验： PC>ping 112.3.31.147 -t 接着我们进入 LT 的 g0/0/0 关闭此接口： [LT]int g0/0/0 [LT-GigabitEthernet0/0/0]shutdown 通过反馈的日志，此时端口已经被关闭，然后…

远程管理命令：telnet
type: item
date: 2023-07-21T19:09:00+08:00
description: 使用 Telnet 方式，网络管理员可以简单方便的去远程管理设备。配置通过 Telnet 登录设备前，需要确保终端设备和设备之间路由可达。 命令功能 telnet 命令用来从当前设备使用Telnet协议登录到其它设备。 命令格式 基于IPv4通过Telnet协议登录到其它设备。 telnet [vpn-instance vpn-instance-name] [-a source-ip-address] host-ip [port-number] 基于IPv6通过Telnet协议登录到其它设备。 telnet ipv6 [-a source-ip-address] [vpn6-instance vpn6-instance-name] host-ipv6 [-oi interface-type interface-number] [port-number] 参数说明 使用指南 应用场景 如果网络中有一台或多台设备需要配置和管理，用户无需为每一台设备连接用户终端进行本地维护。如果已知待登录设备的IP地址，用户可以通过本命令从用户终端登录需要管理的设备，对设备进行远程配置。用户可以通过此方式在一台用户终端上维护网络中的多台设备，极大地方便了用户的操作。 在连接的过程中，可以使用“Ctrl_]”停止本端设备与远端设备的连接。 注意事项 使用telnet命令连接Telnet服务器之前，Telnet客户端和Telnet服务器之间需要在网络层互通，且Telnet服务器端的Telnet服务必须使能。 Telnet缺少安全的认证方式，而且传输过程采用TCP进行明文传输，存在安全隐患。对于安全性较高的网络，建议采用STelnet方式。 使用实例 与远端设备建立 Telnet 连接。<Huawei> telnet 192.168.1.13 使用IPv6地址与远端设备建立Telnet连接。<Huawei> telnet ipv6 ff00:2023::721 简单示例 路由器本身是三层设备，可在路由器接口上直接配置IP地址，保证同一网段即可。采用密码方式认证并启用telnet登录。 配置思路： 保证同一网段下且远程目标IP为192.168.1.1，掩码为24位 为目标路由器AR1配置密码认证（密码设为 Huawei123，连接方式为 telnet） 在AR2上操作，使用自带的 telnet 命令连接目标路由器 AR1 如下为示例图（接口IP已提前配置完成）： (1) 开启AR1上的远程管理功能 [R1]user-interface vty 0 4 [R1-ui-vty0-4]authentication-mode password Please configure the login password (maximum length 16):Huawei123 [R1-ui-vty0-4]user privilege level 3 注意： vty：Virtual Teletype Terminal，虚拟终端链路。 0 4：0是初始值， 4是结束值。表示可同时打开5个会话。 user privilege level：数字约高，级别越高，所能操作的命令也越多。 用户等级 命令等级 名称 0 0 访问级 1 0 and 1 监控级 2 0,1 and 2 配置级 3~15 0,1,2 and 3 管理级 默认为0级，管理级为3级，至于4~15是我们想让登录用户不能使用原来等级为3的命令而设置的。 (2) 在AR2上通过telnet远程登录修改AR1设备名 AR2： AR1： 回到AR1中可发现，原本R1已被改为R1-tel。 问题解决 未配置命令等级，导致远程登录后无法进行相关相应操作。 [R1]user-interface vty 0 4 [R1-ui-vty0-4]authentication-mode password Please configure the login password (maximum length 16):Huawei123 在AR1中输入上述命令后就直接在AR2中开始进行远程登录，然后无法进入系统视图，甚至连tab补全都无法实现。 回到AR1上发现未设置等级权限，导致默认命令等级为0（访问级） 于是修改命令等级为 3，再通过AR2远程登录便可实现相关操作。 相关配置 AR1： # interface GigabitEthernet0/0/0 ip address 192.168.1.1 255.255.255.0 # user-interface con 0 authentication-mode password user-interface vty 0 4 authentication-mode password use…

STP 生成树协议
type: item
date: 2023-05-09T13:22:00+08:00
description: 生成树技术背景 以太网交换网络上为了进行链路备份，通常会使用冗余链路，但是使用冗余链路会在交换网络上形成环路，并导致广播风暴以及 MAC 地址表不稳定等故障现象，从而导致用户通信质量较差，甚至通信中断。生成树协议（STP）运行以太网交换机上，为解决网络中的环路问题再网络上修剪出一颗无环的树，并在主链路出现故障后自动启用备份链路，使网络工作正常。最新的 STP 标准由 1998 年发布的 IEEE802.1D 标准文档定义。 简单来说有以下几点： 交换机单链路上行，存在单点故障，线路和设备都不具备冗余性。 任何一条链路或者设备故障，网络将面临断网。 二层环路 冗余拓扑能够解决单点故障问题。但是冗余拓扑带来了二层环路问题。实际网络环境中，经常产生二层环路从而引发网络故障。 如果为了保证网络运行的稳定性，在以太网交换网络上使用冗余链路进行了链路备份，如下图： 在使用了冗余链路后，出现了二成交换网络的环路，引发了广播风暴、MAC 地址表不稳定等问题。 1. 广播风暴 网络中若存在二层环路，一旦出现广播数据帧，这些数据帧将被交换机不断泛洪，造成广播风暴。 广播风暴对网络危害非常大，将严重消耗设备CPU资源及网络带宽，需要格外注意。 广播风暴现象：网络慢、所有指示灯高速闪烁、CPU使用率高、CLI卡顿。 2. MAC 地址表不稳定 PC 发送数据帧给 Server SW3没有目的MAC表项，于是将数据帧进行泛洪 SW1 和 SW2 都收到这个帧并学习源 MAC，同时将数据帧进一步泛洪 SW3 将从 GE0/0/1 和 GE0/0/2 都收到这个帧并学习源 MAC，更新 MAC 地址表 STP 基本概念 STP 主要用于在存在环路结构的二层网络中构建一个无环的树形的二层拓扑，协议由 IEEE802.1D 定义。 采用生成树（Spanning-tree）技术，能够在网络中存在二层环路时，通过逻辑阻塞（Block）特定端口，从而打破环路，并且在网络出现拓扑变更时及时收敛，保障网络冗余性。 防止环路 保证网络冗余性 基本术语 1. 网桥 ID（Bridge ID） 桥 ID 一共 8 个字节，由 2 个字节优先级和 6 个字节的 MAC 地址构成。 桥优先级默认为 32768，可以手工修改。 MAC 地址为交换机背板 MAC。 2. 根桥（Root Bridge） 根桥是桥 ID 最小的交换机，可以认为是树形二层拓扑的根。对于 STP 来说，网络中所有的交换机选举出一个根交换机，然后其他交换机角色和端口角色的选举，都会参考根桥的判断来进行选择。除了根桥外，网络中其余所有的交换机都称为非根交换机（Nonroot Bridge）。 3. 端口开销（Port Cost） 端口开销表示数据从该端口发送时的开销值，也即出端口的开销。STP 认为从一个端口接收数据是没有开销的。交换机的每个端口都有一个端口开销值。端口的开销和端口的带宽有关，带宽越高，开销越小。华为平台中，百兆端口的开销值为 200。 4. 路径开销（Path Cost） 路径的开销，即为该路径经过的所有端口的开销总和。 路径开销是一个端口量，是 STP/RSTP 协议用于选择链路的参考值 端口路径开销的默认值及取值范围由选定的路径开销算法决定，路径开销与端口带宽成反比。 华为设备路径开销标准有：802.1d-1998、802.1t 及私有的 legacy，默认为 802.1t 标准。 5. 根端口（Root Port） 根端口是指从一个非根交换机到根交换机总开销最小的路径所经过的本地端口。这个最小的总开销值也称为交换机的根路径开销（Root Path Cost）。 6. 端口 ID（Port Identifier） 端口 ID 是用于区分描述交换机上不同端口的，PID 只在某些情况下对选择指定端口有作用。它的定义方法有很多种。 常见的两种定义： 高 4 位是端口优先，低 12 位是端口号 高 8 位是端口编号，端口优先级默认取值为 128 7. 指定端口（Designated Port） STP 为每个网段选出一个指定端口，指定端口为每个网段转发发往根交换机方向的数据，并且转发由根交换机方向发往该网段的数据。 8. 预备端口（Alternate Potr） 既不是根端口也不是指定端口的交换机称为预备端口。预备端口不转发数据，处于阻塞状态。但被阻塞的端口仍会监听 STP 帧，以便链路出现故障后快速恢复被阻塞端口，将流量引导到保护路径上。 9. 网桥协议数据单元（BPDU） 在 STP 计算中，交换机之间需要交换信息，并利用这些信息进行 STP 的根交换机、根端口等选举。承载 STP 信息交换的报文被称为网桥协议数据单元（Bridge Protocol Data Unit，BPDU）报文。 ST…