一、网络模型分类

OSI七层模型:

面向用户应用：（上三层）应用层，表示层，会话层。

面向数据传输（下四层）：传输层，网络层，数据链路层，物理层。

数据链路层、网络层、传输层传输协议的单元分别是：帧，包，段。

二层的封装报头为：源Mac 目的Mac

三层的封装报头为：源IP 目的IP

四层的封装报头为：源端口目的端口。

MAC地址占48bit，ip地址占32bit，端口占16bit

TCP/IP四层模型：

应用层：

应用层是开放系统的最高层,是直接为应用进程提供服务的。

传输层：使用TCP与UDP两种协议。

TCP是可靠的传输机制，依靠确认重传机制提高可靠性；滑动窗口机制提高效率。

TCP利用三次握手，可以使用拒绝服务攻击。

UDP是不可靠的传输机制，视频和语音都是基于UDP

Internet层：

实现两个端系统之间的数据透明传送，具体功能包括寻址和路由选择、连接的建立、保持和终止等。

网络接入层：

网络中直接面向用户连接或访问的部分，接入层目的是允许终端用户连接到网络。

Cisco三层模型：

核心层，汇聚层，接入层。

二、IP和子网

IP（Internet Protocol），互联网协议。分为IPv4和IPv6

IP是逻辑地址，可以变化，IPv4占32bit；IPv6占128bit。

IPv4地址分为A、B、C、D、E五类，其中A、B、C是常用地址，D类为组播地址。

A类：1.0.0.1-216.255.255.254（0.x.x.x保留作为科研使用，127.x.x.x保留，作为自身回环地址使用）

B类：128.0.0.1-191.255.255.254

C类：192.0.0.1-223.255.255.253

D类：224.0.0.1-239.255.255.254

E类：240.0.0.1-255.255.255.254

其中一部分作为私网地址：

A：10.0.0.1 - 10.255.255.254

B：172.16.0.1 - 172.31.255.254

C：192.168.0.1 - 192.168.255.254

IP地址=网络位+主机位（网络位相同，主机位不同就叫做同网段）

子网掩码mask：表示网络位的长度。

主机位全0为网络地址，主机位全1为广播地址；其余为可用主机地址。

主机位的变化范围：网络地址+可用主机地址+广播地址。

VLSM，可变长子网掩码，针对IPv4。

VLSM的作用就是在有类的IP地址的基础上，从他们的主机号部分借出一定的位数来做网络号，也就是增加网络号的位数。

例如：

神州数码公司是一家新成立的公司。一共有5个部门。其中每个部门各有30台电脑。现在公司申请了一个新的网段192.168.0.0/24，请将该网段分配给每个部门，并且写出每个部门的具体网段范围。

5个部门，2^2<5<2^3

因此需要借3位，子网数有8个：

192.168.0.0/27；192.168.32.0/27；192.168.64.0/27；192.168.96.0/27

192.168.128.0/27；192.168.160.0/27；192.168.192.0/27；192.168.224.0/27

选出其中的5个作为5个部门的网段

第一部门：192.168.0.0~192.168.0.31

第二部门：192.168.32.0~192.168.32.31

第三部门：192.168.64.0~192.168.64.31

第四部门：192.168.96.0~192.168.96.31

第五部门：192.168.128.0~192.168.128.31

三、路由

路由器：连接不同网段的设备，使用路由表查询方式。工作在网络层，每个接口都是一个广播域和一个冲突域。

通信路径来回是否需要一致：路由器不需一致；防火墙需要一致。

路由是一种PHB行为（per-hop-behavior 每跳行为）

路由条目：目标网段+本地出接口/下一跳路由IP。

路由跟踪：tracert x.x.x.x PC机 traceroute x.x.x.x 路由器

路由协议的分类：

1、根据作用范围分类：

IGP（内部网关路由协议）：除BGP以外所有路由协议

EGP（外部网关路由协议）：BGP协议

2、根据工作原理分类：

静态路由协议

动态路由协议：

i）：距离矢量路由协议：RIP、EIGRP、BGP 交互路由条目

ii）：链路状态路由协议：OSPF、IS－IS 交互链路状态

静态路由：默认AD值为１

手动添加，安全，配置简单；不能适应变化。

配置：ip route 目标网段地址目标网段掩码下一跳地址/出接口

默认路由：特殊的静态路由，用于网络末梢或单出口网络环境

ip route 0.0.0.0 0.0.0.0 下一跳地址/出接口

浮动静态路由：静态路由备份技术（平时查看路由表不可见，当原有链路断时生效）

ip route 目标网段地址 目标网段掩码 下一跳地址/出接口 AD值

黑洞路由：

ip route 目标网段地址 目标网段掩码 null0 该命令会将去往目标网段的流量全部丢包。

动态路由：

路由协议研究：手动配置，自动维护

1、管理距离 AD

静态 1

RIP 120

EIGRP 90和170

OSPF 110

IS-IS 115

BGP 20和200

2、度量值metric：衡量路径好坏的值，一般使用跳数或带宽

3、算法

RIP：routing information protocol 路由信息协议

RIP基于UDP 520端口

RIPv1 有类路由协议，不支持VLSM

RIPv2 无类，使用224.0.0.9组播更新，自动汇总要关闭后支持VLSM。

RIPng 支持IPv6

最大支持15跳，不支持大网络

自动汇总

汇总：将无类路由转化成有类路由的过程

被动接口技术，只收不发的接口

定时器，每三十秒更新一次

配置：

conf t

router rip //启用rip协议

version 2 //版本2

no auto-summary //关闭自动汇总

network x.x.x.x //宣告网络

exit

EIGRP：增强内部网关路由线路协议

高级距离矢量路由协议

EIGRP由于存在距离矢量特征，也会出现自动汇总

自动汇总要关闭后支持VLSM

DUAL算法弥散更新算法

支持快速收敛

建立邻居表，生成拓扑表，通过DUAL算法算出路由表

收敛：从变化到稳定的过程

EIGRP支持带掩码的发布

最大条数225跳（极限跳数）

支持等价和不等价负载均衡

名词解释：

FD : 可行性距离，源到目标网络的距离，FD最小的作为最佳路径。

可行性距离FD=通告距离AD+带宽延迟

AD：通告距离，下一跳路由器到达目标网络距离。

FS：可行继任者，备用路径的下一跳路由器。

S：继任者， 最佳路径的下一跳路由器。

FC：可行性条件，作用是为了保证EIGRP协议100%无环。

配置：

conf t

router eigrp x

no auto-summary

network x.x.x.x（网段） x.x.x.x（反掩码）

exi

查看命令：

show ip eigrp neighbors 查看eigrp邻居表

show ip eigrp topology 查看eigrp拓扑表

show ip route eigrp 查看eigrp路由表

OSPF：开放最短路径优先协议

使用hello包建立和维护邻居

以组播方式发hello包建立，以单播方式维护邻居

邻居关系：不能交互链路信息

邻接关系：能交互链路信息

建立邻居表，生成链路状态数据库，通过SPF算法算出路由表

分层网络，分区域，骨干，非骨干区域

Cost值=参考带宽/当前接口带宽（参考带宽默认为100）

每台OSPF路由器都存在router-id，手动指定或者自动选举，RID的ip不需要真实存在

自动选举RID原则：

1、是否存在lookback接口，选举lookback接口IP最大的

2、如果没有lookback，选择物理接口IP最大的

DR选举原则：有比较接口优先级（默认为1），再选举RID最大者

修改接口优先级命令：接口视图下ip ospf priority（默认为1，范围1~255，越大越好，0表示不参与选举）

点对点类型的网络不需要选举DR/BDR，非广播多路访问类型的网络需要手动建立邻居。

名词解释：

DR：指定路由器

BDR：备份指定路由器

DRother：非DR与BDR

配置：

Conf t

Router ospf x

Router-id x.x.x.x //手动选定RID

Network x.x.x.x（网段） x.x.x.x（反掩码） area x //在区域x宣告网段

Exit

查看：

Show ip ospf neighbors 查看ospf邻居表

Show ip ospf database 查看ospf链路状态数据库

Show ip route ospf 查看ospf路由表

DHCP功能：提供IP 掩码 网关 DNS

DHCP过程：

DHCP客户端发出DHCP广播请求

DHCP服务器端回应DHCP数据包

部署分类：

同网段部署

跨网段部署，DHCP中继请求，网关把广播转换成单播，发送给DHCP服务器

配置：

同网段：

conf t

service dhcp（默认开启）

ip dhcp pool xxx

network 10.1.10.0 /24

default-router 10.1.10.254

dns-server 8.8.8.8

exit

DHCP地址排除命令：ip dhcp excluded-address x.x.x.x（起始地址）x.x.x.x（结束地址）

跨网段：

在网关配置ip helper-address x.x.x.x（DHCP服务器的地址）

防范私自搭建DHCP服务器的方法：交换机端口安全功能：MAC学习限制或指定MAC

四、交换

交换机：

工作原理：学习MAC地址，形成CAM表，记录MAC和端口的对应关系，单播依据

交换机是一个广播域（不划分VLAN情况下），每个端口都是一个冲突域。

VLAN：虚拟局域网

VLAN可以实现广播域的隔离，广播域数量变多，变安全，可管理性提高

VLAN ID范围： 0-4095（可用的是1-4094）封装中占12bit

思科的1002~1005保留给非以太网

默认所有端口都属于VLAN 1

VLAN配置在show run看不见

VLAN数据库不存在在running-config和starup-config

VLAN数据存放在flash里面，flash：vlan.dat

配置与查看：

模拟器中：

Vlan database

Vlan x

Exi

Show vlan-switch brief

真机中：

Conf t

Vlan x

Show vlan brief

链路：

Trunk链路：交换机互连，或者连接路由器，传递多个VLAN信息

Access链路：接PC或服务器

配置：

switchport mode trunk

或switchport mode access

Switchport access vlan x //划分该端口给vlan x

单臂路由： 实现VLAN间通信

1、int fx/x.x //进入子接口

2、encapsulattion dot1q vlan-id //将vlan x绑定该子接口

3、配置子接口IP

多层交换：2层交换+路由引擎

交换虚拟接口： switch virtual interface SVI

三层交换：routed port路由模式（no switchport）

L3端口 思科私有，可在交换机物理接口上配置IP

switchport 交换模式

L2端口

链路捆绑（EC Ethernet channel 以太网通道）：多个端口聚合成多个端口（配置时先把端口shutdown）

作用：提高带宽同时提供备份

实现协议：

PAGP端口聚合协议，思科私有

LAGP链路聚合协议，公有

EC有两种：2层EC和3层EC

2层配置：

Int rang fx/x –x //进入x/x –x等接口配置

Shutdown //将端口手动down

switchport trunk encapsulation dotlq //将trunk链路协议改为802.1q

channel-group x mode on //将端口绑定入EC x 模式on

no shutdown

3层配置：

Int rang fx/x –x //进入x/x –x等接口配置

Shutdown //将端口手动down

No switchport //开启端口路由功能

channel-group x mode on //将端口绑定入EC x 模式on

int port-channel x //进入绑定端口x

ip address x.x.x.x x.x.x.x //绑定端口配置IP

no shutdown

exit

Int rang fx/x –x //进入x/x –x等接口配置

No shutdown

五、生成树（spanning-tree）作用：环路避免功能，提供备份链路

最终目标：找到一个不能转发数据的端口Block端口，其他端口都是属于转发Forward端口

1、根交换机 root bridge RB 根桥

根桥选举原则：先比较桥优先级最小的，在比较mac地址最小的

默认优先级32768，最小是0，4096的倍数

bridge-id 桥ID=桥优先级+桥MAC

2、干：非根桥选举接收根桥信息的端口，根端口 root port RP

根端口选举原则：cost值，自动计算和手动指定两种

手动指定对端端口cost值

3、找到block 比较发送者的bridge-id

BPDU包=桥协议数据单元，每两秒发一次

切换状态和时间

阻塞block 20s

监听listening 15s

学习learning 15s

转发forward

生成树协议：

标准生成树： 802.1D 只有一颗生成树，没有流量负载分担效果

快速生成树： 802.1W 只有一颗生成树，没有流量负载分担效果

多实例生成树： 802.1S 将多个VLAN映射到同一个实例IST

每VLAN生成树： PVST+ 思科私有

快速每VLAN生成树： RPVST+ 思科私有

GNS3只支持PVST+，Cisco默认开启STP

六、ACL/NAT

ACL：访问控制列表

数据包结构（五元组）：源IP 目的IP 源端口 目的端口 DATA数据

访问控制即读取数据包结构的前四个要素，进行控制

控制包括允许和拒绝两种

源端口比较少用

接口下进行，有方向性，进in 出out

1-99 标准访问控制只能控制源IP

100-199 扩展访问控制控制五元组

配置和调用：

1-99：access-list permit/deny x.x.x.x （反掩码x.x.x.x）

100-199：access permit/deny ip/tcp/ udp/icmp/ospf/eigrp源IP 反掩码 目的IP反掩码eq 端口号

默认会添加access-list x deny ip any any

调用：ip access-group x in/out

举例：

R1路由器只允许被pc机10.1.1.1 telnet

line vty 0 4

access-class 2 in

exit

access-list 2 permit 10.1.1.1

end

只允许访问TCP23号端口，其他都拒绝

access-list 100 permit tcp any any eq 23

禁ping操作：

ip access-group 100 in

access-list 100 deny icmp any any

access-list 100 permit ip any any

命名ACL：

ip access-list stand/extended name

num permit/deny 内容

num permit/deny 内容

exit

int f0/0

ip access-group name in/out

exit

NAT：把私网地址转换成公网地址，带动内网上网

网络地址转换：只有路由器和防火墙可以实现，多层交换机不行

设备划分区域：inside outside

NAT是把inside的私网IP转换inside的公网IP访问外网

配置：

1、指定inside和outside端

2、NAT主命令配置

内网端口：ip nat inside（单臂路由，inside端要写在子接口上）

外网端口：ip nat outside

端口复用NAT-PAT：

ip nat inside source list 1 interface f1/0 overload

access-list 1 permit any

overload：端口复用，实现多台PC一起上网

地址池NAT，动态NAT：

ip nat inside source list 1 pool ccna overload

ip nat pool ccna x.x.x.x x.x.x.x prefix -length 掩码位数

access-list 1 permit any

静态NAT应用场合：内网服务需要被外网访问到

1、静态IP NAT

ip nat inside source static 内网IP 公网IP

2、静态端口映射NAT

ip nat inside source static tcp/udp 内网ip 内网端口公网IP 外网端口

七、广域网WAN：

三种封装：HDLC、PPP、FR

PPP=LCP+NCP

LCP 链路控制协议验证明文验证pap+密文验证chap

NCP 网络控制协议获取IP

客户端:

ppp pap sent-username 123456 password 123456

服务器端：

int s0/0

ppp authentication pap

exit

username 123456 password 123456

查看PPP认证过程 debug ppp authentication

PAP只需要认证一次

八、冗余网关：

HSRP：热备份路由协议 思科私有

GLBP网关负载均衡协议 思科私有 同一个网段中实现负载均衡

VRRP：拟路由器路由协议 公有

切换时间默认10s，hello时间3s

出口跟踪功能，出口故障后，惩罚优先级

稳定性原则，抢占功能，实时比较，变化后直接抢占

活动网关选举原则：

（1）选举优先级高的。默认100，范围1-155

（2）选举物理接口IP地址比较大的。

配置：

HSRP配置：

int vlan 10

ip add x.x.x.x x.x.x.x

standy 10 ip x.x.x.x //虚拟网关的ip地址

standby 10 priority xx //设置优先级，不要设置太大，一般设置110或120

standby 10 preemt //开启实时抢占功能

standby 10 trace fx/x xx //惩罚优先级，当fx/x端口断掉之后，将此优先级降下xx

VRRP配置：

int vlan 10

ip add x.x.x.x x.x.x.x

vrrp 10 ip x.x.x.x //虚拟网关的ip地址

vrrp 10 priority xx //配置优先级

exit

GLBP配置：

int vlan xx

ip add x.x.x.x x.x.x.x

glbp xx ip x.x.x.x //虚拟虚拟网关

glbp xx priority xx //配置优先级