【正文】 華為認(rèn)證系列教程HCDPIENP提升企業(yè)級(jí)網(wǎng)絡(luò)性能實(shí)驗(yàn)指導(dǎo)書(shū)華為技術(shù)有限公司版權(quán)聲明版權(quán)所有 169。 華為技術(shù)有限公司 2010。 保留一切權(quán)利。本書(shū)所有內(nèi)容受版權(quán)法保護(hù)，華為擁有所有版權(quán)，但注明引用其他方的內(nèi)容除外。未經(jīng)華為技術(shù)有限公司事先書(shū)面許可，任何人、任何組織不得將本書(shū)的任何內(nèi)容以任何方式進(jìn)行復(fù)制、經(jīng)銷、翻印、存儲(chǔ)于信息檢索系統(tǒng)或使用于任何其他任何商業(yè)目的。版權(quán)所有 侵權(quán)必究。商標(biāo)聲明和其他華為商標(biāo)均為華為技術(shù)有限公司的商標(biāo)。本文檔提及的其他所有商標(biāo)或注冊(cè)商標(biāo)，由各自的所有人擁有。華為認(rèn)證系列教程HCDPIENP提升企業(yè)級(jí)網(wǎng)絡(luò)性能實(shí)驗(yàn)指導(dǎo)書(shū) 141 / 152華為認(rèn)證體系介紹依托華為公司雄厚的技術(shù)實(shí)力和專業(yè)的培訓(xùn)體系，華為認(rèn)證考慮到不同客戶對(duì)ICT技術(shù)不同層次的需求，致力于為客戶提供實(shí)戰(zhàn)性、專業(yè)化的技術(shù)認(rèn)證。根據(jù)ICT技術(shù)的特點(diǎn)和客戶不同層次的需求，華為認(rèn)證為客戶提供面向十三個(gè)方向的四級(jí)認(rèn)證體系。HCDA（Huawei Certified Data Associate，華為認(rèn)證數(shù)據(jù)通信工程師）主要面向IP網(wǎng)絡(luò)維護(hù)工程師，以及其他希望學(xué)習(xí)IP網(wǎng)絡(luò)知識(shí)的人士。HCDA認(rèn)證在內(nèi)容上涵蓋TCP/IP基礎(chǔ)、路由、交換等IP網(wǎng)絡(luò)通用基礎(chǔ)知識(shí)以及華為數(shù)據(jù)通信產(chǎn)品、通用路由平臺(tái)VRP特點(diǎn)和基本維護(hù)。HCDPEnterprise (Huawei Certified Data ProfessionalEnterprise，華為認(rèn)證數(shù)據(jù)通信資深工程師企業(yè)級(jí))主要面向企業(yè)級(jí)網(wǎng)絡(luò)維護(hù)工程師、網(wǎng)絡(luò)設(shè)計(jì)工程師以及希望系統(tǒng)深入地掌握路由、交換、網(wǎng)絡(luò)調(diào)整及優(yōu)化技術(shù)的人士。HCDPEnterprise包括IESN（Implement Enterprise Switching Network，部署企業(yè)級(jí)交換網(wǎng)絡(luò)）、IERN（Implement Enterprise Routing Network，部署企業(yè)級(jí)路由網(wǎng)絡(luò)）、IENP（Improving Enterprise Network Performance，提升企業(yè)級(jí)網(wǎng)絡(luò)性能）三個(gè)部分。內(nèi)容上涵蓋IPv4路由技術(shù)原理深入以及在VRP中的實(shí)現(xiàn)；交換技術(shù)原理深入以及在VRP中的實(shí)現(xiàn)；網(wǎng)絡(luò)安全技術(shù)、高可靠性技術(shù)和Qos技術(shù)等高級(jí)IP網(wǎng)絡(luò)技術(shù)以及在華為產(chǎn)品中的實(shí)現(xiàn)。HCIEEnterprise（Huawei Certified Internetwork ExpertEnterprise，華為認(rèn)證互聯(lián)網(wǎng)絡(luò)專家）旨在培養(yǎng)能夠熟練掌握各種IP網(wǎng)絡(luò)技術(shù)；精通華為產(chǎn)品的維護(hù)、診斷和故障排除；具備大型IP網(wǎng)絡(luò)規(guī)劃、設(shè)計(jì)和優(yōu)化的IP網(wǎng)絡(luò)大師。華為認(rèn)證協(xié)助您打開(kāi)行業(yè)之窗，開(kāi)啟改變之門，屹立在ICT世界的潮頭浪尖！ 前言簡(jiǎn)介本書(shū)為HCDPIENP認(rèn)證培訓(xùn)教程，適用于準(zhǔn)備參加HCDPIENP考試的學(xué)員或者希望系統(tǒng)掌握華為安全產(chǎn)品與技術(shù)、可靠性HA技術(shù)、QoS原理以及在華為通用路由平臺(tái)VRP上的實(shí)現(xiàn)的讀者。內(nèi)容描述本書(shū)共包含三個(gè)Module，系統(tǒng)地介紹了華為安全產(chǎn)品與技術(shù)、可靠性HA技術(shù)和QoS原理以及在VRP上的配置與實(shí)現(xiàn)。Module1 詳細(xì)介紹了華為Eudemon防火墻產(chǎn)品功能特性和業(yè)務(wù)特性，使讀者對(duì)華為安全產(chǎn)品及網(wǎng)絡(luò)安全有一個(gè)較為深入的了解。Module 2 詳細(xì)介紹了可靠性HA技術(shù)，幫助讀者深入了解各種HA技術(shù)原理和運(yùn)用。Module 3 詳細(xì)介紹了IP QoS技術(shù)，幫助讀者深入了解QoS原理，掌握QoS在華為VRP中的配置。本書(shū)引導(dǎo)讀者循序漸進(jìn)地掌握華為安全產(chǎn)品與技術(shù)、可靠性HA技術(shù)和QoS技術(shù)原理以及在華為產(chǎn)品中的實(shí)現(xiàn)，讀者也可以根據(jù)自身情況選擇感興趣的章節(jié)閱讀。讀者知識(shí)背景為了更好地掌握本書(shū)內(nèi)容，閱讀本書(shū)的讀者應(yīng)首先具備以下基本條件之一：1) 參加過(guò)HCDA培訓(xùn)2) 通過(guò)HCDA考試3) 熟悉TCP/IP協(xié)議，具有一定的網(wǎng)絡(luò)基礎(chǔ)知識(shí)4) 熟悉多種路由協(xié)議如OSPF、ISIS和BGP本書(shū)常用圖標(biāo)路由器三層交換機(jī)二層交換機(jī)防火墻網(wǎng)云以太網(wǎng)線纜串行線纜實(shí)驗(yàn)環(huán)境說(shuō)明組網(wǎng)介紹本實(shí)驗(yàn)環(huán)境面向準(zhǔn)備HCDPIENP考試的網(wǎng)絡(luò)工程師，實(shí)驗(yàn)設(shè)備包括路由器5臺(tái)，交換機(jī)4臺(tái)，防火墻2臺(tái)。每套實(shí)驗(yàn)環(huán)境適用于2名學(xué)員同時(shí)上機(jī)操作。設(shè)備介紹為了滿足HCDPIENP實(shí)驗(yàn)需要，建議每套實(shí)驗(yàn)環(huán)境采用以下配置：設(shè)備名稱、型號(hào)與版本的對(duì)應(yīng)關(guān)系如下：設(shè)備名稱設(shè)備型號(hào)軟件版本R1AR 2220Version ( V200R001C01SPC300)R2AR 2220Version ( V200R001C01SPC300)R3AR 2220Version ( V200R001C01SPC300)R4AR 1220Version ( V200R001C01SPC300)R5AR 1220Version ( V200R001C01SPC300)S1S570028CEI24SVersion (V100R006C00SPC800)S2S570028CEI24SVersion (V100R006C00SPC800)S3S370028TPEIACVersion (V100R006C00SPC800)S4S370028TPEIACVersion (V100R006C00SPC800)FW1Eudemon 200EX2Version (V100R005C00SPC100)FW2Eudemon 200EX2Version (V100R005C00SPC100)目錄第一章 防火墻特性功能 1實(shí)驗(yàn) 11 Eudemon防火墻安全區(qū)域及其他基本功能配置 1實(shí)驗(yàn) 12 Eudemon防火墻IPSec VPN配置 21實(shí)驗(yàn) 13 防火墻攻擊防范配置 42實(shí)驗(yàn) 14 Eudemon防火墻NAT配置 56實(shí)驗(yàn) 15 Eudemon防火墻雙機(jī)熱備份 71第二章 服務(wù)質(zhì)量與流量控制 99實(shí)驗(yàn) 21 QoS基礎(chǔ) 99實(shí)驗(yàn) 22 使用流策略實(shí)現(xiàn)流行為控制 119第三章 綜合實(shí)驗(yàn) 135實(shí)驗(yàn) 31 綜合實(shí)驗(yàn)1（選做） 135實(shí)驗(yàn) 32 綜合實(shí)驗(yàn)2（選做） 140第一章 防火墻特性功能實(shí)驗(yàn) 11 Eudemon防火墻安全區(qū)域及其他基本功能配置學(xué)習(xí)目的 掌握防火墻安全區(qū)域的配置方法 掌握域間包過(guò)濾的配置方法 掌握在靜態(tài)與動(dòng)態(tài)配置黑名單的方法 掌握黑名單的配置方法 掌握應(yīng)用層包過(guò)濾的配置方法拓?fù)鋱D圖11 Eudemon防火墻區(qū)域配置場(chǎng)景你是你們公司的網(wǎng)絡(luò)管理員。公司總部的網(wǎng)絡(luò)分成了三個(gè)區(qū)域，包括內(nèi)部區(qū)域（Trust）、外部區(qū)域（Untrust）和服務(wù)器區(qū)域（DMZ）。你設(shè)計(jì)通過(guò)防火墻來(lái)實(shí)現(xiàn)對(duì)數(shù)據(jù)的控制，添加黑名單來(lái)防范網(wǎng)絡(luò)攻擊，確保公司內(nèi)部網(wǎng)絡(luò)安全。學(xué)習(xí)任務(wù)步驟一. 基本配置與IP編址給三個(gè)路由器配置地址信息。Huaweisystemview Enter system view, return user view with Ctrl+Z.[Huawei]sysname R1[R1]interface GigabitEthernet 0/0/1[R1GigabitEthernet0/0/1]ip address 24[R1GigabitEthernet0/0/1]interface loopback 0[R1LoopBack0]ip address 24Huaweisystemview Enter system view, return user view with Ctrl+Z.[Huawei]sysname R2[R2]interface GigabitEthernet0/0/1[R2GigabitEthernet0/0/1]ip address 24[R2GigabitEthernet0/0/1]interface loopback 0[R2LoopBack0]ip address 24HuaweisystemviewEnter system view, return user view with Ctrl+Z.[Huawei]sysname R3[R3]interface GigabitEthernet 0/0/1[R3GigabitEthernet0/0/1]ip address 24[R3GigabitEthernet0/0/1]interface loopback 0 [R3LoopBack0]ip address 24給防火墻配置地址時(shí)，需要注意Ethernet1/0/0接口為二層交換機(jī)接口，無(wú)法配置IP地址。實(shí)驗(yàn)中我們?cè)诜阑饓ι吓渲肰LAN12，定義Vlanif12，配置IP地址作為Inside區(qū)域的網(wǎng)關(guān)。由于默認(rèn)情況下，防火墻會(huì)給它的Vlanif1配置地址，實(shí)驗(yàn)中為避免干擾，刪除該配置。Eudemon 200Esystemview Enter system view, return user view with Ctrl+Z.[Eudemon 200E]sysname FW[FW]vlan 12[FWvlan12]quit[FW]interface vlanif 12[FWVlanif12]ip address 24[FWVlanif12]interface Ethernet 1/0/0[FWEthernet1/0/0]port access vlan 12[FWEthernet1/0/0]interface Ethernet 0/0/0[FWEthernet0/0/0]ip address 24[FWEthernet0/0/0]interface ethernet 2/0/0[FWEthernet2/0/0]ip address 24[FWEthernet2/0/0]quit[FW]undo interface Vlanif 1交換機(jī)上需要按照需求定義VLAN。[Quidway]sysname S1[S1]vlan batch 11 to 13[S1]interface GigabitEthernet 0/0/1[S1GigabitEthernet0/0/1]port linktype access[S1GigabitEthernet0/0/1]port default vlan 11[S1GigabitEthernet0/0/1]interface GigabitEthernet 0/0/2[S1GigabitEthernet0/0/2]port linktype access[S1GigabitEthernet0/0/2]port default vlan 12[S1GigabitEthernet0/0/2]interface GigabitEthernet 0/0/3[S1GigabitEthernet0/0/3]port linktype access[S1GigabitEthernet0/0/3]port default vlan 13[S1GigabitEthernet0/0/3]interface GigabitEthernet 0/0/21[S1GigabitEthernet0/0/21]port linktype access[S1GigabitEthernet0/0/21]port default vlan 11[S1GigabitEthernet0/0/21]interface GigabitEthernet 0/0/22[S1GigabitEthernet0/0/22]port linktype access[S1GigabitEthernet0/0/22]port default vlan 12[S1GigabitEthernet0/0/22]interface GigabitEthernet 0/0/23[S1GigabitEthernet0/0/23]port linktype access[S1GigabitEthernet0/0/23]port default vlan 13配置完成后在FW設(shè)備上測(cè)試相同區(qū)域的連通性。[FW]ping PING : 56 data bytes, press CTRL_C to break Request time out Reply from : bytes=56 Sequence=2 ttl=255 time=1 ms Reply from : bytes=56 Sequence=3 ttl=255 time=1 ms Reply from : bytes=56 Sequence=4 ttl=255 time=1 ms Reply from : bytes=56 Sequence=5 ttl=255 time=1 ms ping statistics 5 packet(s) transmitted 4 packet(s) received % packet loss roundtrip min/avg/max = 1/1/1 ms[FW]ping PING : 56 data