【正文】 DMZ區(qū)。防火墻的區(qū)域：local區(qū)域，優(yōu)先級為100。 當使用端到端的加密時，防火墻不能對加密的隧道進行處理。防火墻的局限性：防外不防內(nèi) 不能防御全部的安全威脅，特別是新產(chǎn)生的危險。按形態(tài)分類：硬件防火墻 軟件防火墻按保護對象分類：單機防火墻 網(wǎng)絡(luò)防火墻按防火墻實現(xiàn)方式，分三類：包過濾防火墻 代理型防火墻 狀態(tài)監(jiān)測防火墻包過濾防火墻：只監(jiān)測數(shù)據(jù)報頭缺點：無法關(guān)聯(lián)數(shù)據(jù)包之間的關(guān)系 無法適應(yīng)多通道協(xié)議 通常不監(jiān)測應(yīng)用層的數(shù)據(jù)代理型防火墻：缺點：所有的數(shù)據(jù)包都要經(jīng)過防火墻才能訪問到server，訪問速度很慢。CHAP認證（單向認證）驗證方配置：[R1Serial1/0/0]ppp authenticationmode chap[R1]aaa[R1aaa]localuser whh password cipher 1011[R1aaa]localuser whh servicetype ppp被驗證方配置：[SR2Serial1/0/0]ppp chap user whh [SR2Serial1/0/0]ppp chap password cipher 1011網(wǎng)絡(luò)控制協(xié)議NCP 如果網(wǎng)絡(luò)層協(xié)議是IP，那么網(wǎng)絡(luò)控制協(xié)議為IPCP IPIPCP IPXIPXCP 協(xié)商IP地址靜態(tài)配置[R1Serial1/0/0]ip add 24[R2Serial1/0/0]ip add 24動態(tài)配置：[R1Serial1/0/0]ip add 24[R1Serial1/0/0]remote address [R2Serial1/0/0]ip add pppnegotiate PPP支持不同網(wǎng)段建立鄰居的關(guān)系！4—9至12 FR的原理和配置什么是幀中繼 FR使用DLCI號來標識一條PVC（永久虛鏈路）幀中繼的基本配置 各接口IP地址配完后需更改接口封裝的協(xié)議[R1Serial1/0/0]linkprotocol fr[R2Serial1/0/0]linkprotocol fr[R3Serial1/0/0]linkprotocol fr幀中繼交換機的配置：在幀中繼，數(shù)據(jù)民的走向，是要查看映射表R1dis fr mapinfo 查看FR的映射表invers ARP 反向ARPLMI只具有本地意義R2想去ping R3則需要手動添加靜態(tài)映射[R2Serial1/0/0]fr map ip 201 broadcast[R3Serial1/0/0]fr map ip 301 broadcastBroadcast讓其支持廣播關(guān)閉RRR3的自動匯總[R1rip1]undo summary[R2rip1]undo summary[R3rip1]undo summary FR上的點到點子接口和點到多點子接口點到多點的配置：路由器R1的配置：[R1Serial1/0/0]linkprotocol fr[R1Serial1/0/0]int s1/0/ p2p[R1Serial1/0/]ip add 24[R1Serial1/0/]fr dlci 103[R1frdlciSerial1/0/]q[R1Serial1/0/][R1]int s1/0/ p2mp[R1Serial1/0/]ip add 24[R1Serial1/0/]fr dlci 104[R1Serial1/0/]fr dlci 105路由器R2的配置：[R2Serial1/0/0]linkprotocol fr[R2Serial1/0/0]ip add 24[R2Serial1/0/0]fr dlci 301[R2frdlciSerial1/0/0301]q[R2Serial1/0/0]路由器R3的配置：[R3Serial1/0/0]linkprotocol fr[R3Serial1/0/0]ip add 24[R3Serial1/0/]fr dlci 401路由器R4的配置：[R4Serial1/0/0]linkprotocol fr[R4Serial1/0/0]ip add 24[R4Serial1/0/]fr dlci 501網(wǎng)絡(luò)類型：P2PR1R1R2R1R2R1封裝HDLC/PPPMABMAFRFRSW封裝E2NMBAP2PR2R2P2MP第五章： 網(wǎng)絡(luò)安全基礎(chǔ)5—1 防火墻實驗拓撲的搭建5—2至6 防火墻基礎(chǔ)防火墻通常是位于兩個信任程度不同的網(wǎng)絡(luò)間的（企業(yè)內(nèi)部和internet之間），他可以對兩個網(wǎng)絡(luò)之間的通信進行控制，從而保護內(nèi)部網(wǎng)絡(luò)的安全特征：邏輯區(qū)域過濾器 使用NAT技術(shù)可以隱藏內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)自身安全保障可以主動防御攻擊組成：硬件+軟件+控制策略 按控制策略分為兩種：寬松的控制策略除非明確禁止，否則就允許。 configuration reject：configuration request報文中的參數(shù)本地不能只別。認證參數(shù)。PPP的三個組件： 數(shù)據(jù)的封裝方式 LCPlink control protocol鏈路控制協(xié)議 NCPnetwork control protocol 網(wǎng)絡(luò)層控制協(xié)議鏈路控制協(xié)議LCP LCP有四種報文類型： configuration request 包含發(fā)送者試圖和對端建立連接時，所用的參數(shù)。 每過三秒中，PPP鏈路會發(fā)送一個echo request，對方收到后，使用echo reply進行答復(fù)。什么是HDLC（Highlevel data link control） 原先是個國際標準（先在不怎么用了），不能支持多種網(wǎng)絡(luò)層協(xié)議（上層協(xié)議只能是IP協(xié)議） 思科加了一些字段，可以支持多種網(wǎng)絡(luò)層協(xié)議，也因此HDLC就變成的思科私有的，任何廠商都可以使用它。配置多個VRRP 配置多個VRRP可以主從路由器的冗余和負載均衡！路由器R2的配置：[R2GigabitEthernet0/0/2]vrrp vrid 2 virtualip [R2GigabitEthernet0/0/2]vrrp vrid 2 priority 105[R2GigabitEthernet0/0/2]vrrp vrid 2 track interface g0/0/1路由器R1的配置：[R1GigabitEthernet0/0/2]vrrp vrid 2 virtualip 第四章： 廣域網(wǎng)基本原理和主要配置41至3 HDLC的原理和配置廣域網(wǎng)的二層協(xié)議：HDLC、PPP、FRE2幀頭：只有在LAN局域網(wǎng)中使用。有可能影響公司內(nèi)部網(wǎng)絡(luò)癱瘓50秒，從而會發(fā)生嚴重的問題！ 怎么解決這個問題？需運行STP的RSTP模式（快速生成樹協(xié)議）！317至21 VRRP的原理和配置為什么需要VRRP（Virtual Router Redundancy Protocol） 。 比較鏈路兩端的BID，小的將成為DP。 指定（指派）端口（DP） 一條鏈路上，有且僅有一個DP。 當發(fā)送者的BID相同的情況下，比較發(fā)送者的PID=端口優(yōu)先級（默認都是128）+端口號（PID小的為根端口）。 非根交換機上到根交換機花費最小的端口就是根端口。 MAC地址不同，BID肯定也不同，因為相同型號的交換機的優(yōu)先級肯定是相同的，所以MAC地址小的將成為根交換機。 BID（是BPDU中的一個字段）：由兩個部分組成，優(yōu)先級（華為大多數(shù)交換機是32768）+MAC地址。作用：防止廣播風(fēng)暴和路由環(huán)路的產(chǎn)生 原理：通過阻塞某一個端口來起到防環(huán)的作用。 Trunk： 允許所有的vlan數(shù)據(jù)包通過，默認只允許vlan 1通過，如果想讓其余的vlan通過，那么就需要放行。 二層交換機：MAC地址表為空廣播，根據(jù)源MAC 地址進行學(xué)習(xí) MAC地址表不為空根據(jù)目的MAC地址進行轉(zhuǎn)發(fā) 三層交換機的工作原理 可以理解為多個接口的路由器以太網(wǎng)接口的雙工模式以及速率 單工：只接收數(shù)據(jù)不發(fā)送數(shù)據(jù)電視機 半雙工：在接收數(shù)據(jù)的時候不能同時發(fā)送數(shù)據(jù)對講機 全雙工：接收數(shù)據(jù)的同時可以發(fā)送數(shù)據(jù)手機 修改端口雙工模式：[HuaweiGigabitEthernet0/0/1]duplex ? full FullDuplex mode half HalfDuplex mode 端口速率 GigabitEthernet網(wǎng)口速度可達到1000M FastEthernet網(wǎng)口速度可達100M Ethernet網(wǎng)口速度可達10M 修改端口速率[HuaweiGigabitEthernet0/0/1]speed ? 10 10M port speed mode 100 100M port speed mode 1000 1000M port speed mode autonegotiation Auto negotiation以太網(wǎng)端口聚合 什么是端口聚合 端口聚合也稱為端口的捆綁，或叫鏈路的聚合 作用：將多個端口聚合在一起形成一個聚合組，從而可以負載分擔，一個匯聚組就是一個邏輯接口。ASBR：同時運行兩種路由協(xié)議的路由器稱為ASBR，連接兩個自動系統(tǒng)的路由器。ABR：連接兩個或兩個區(qū)域以上的路由器。單區(qū)域和多區(qū)域的OSPF配置和概念 為什么要劃分區(qū)域呢？ 目的就是為減少網(wǎng)絡(luò)中的LSA泛洪，網(wǎng)絡(luò)運行時候LSA只會在本區(qū)域內(nèi)泛洪。 比較routeid，routeid大的將成為DR，次的將成為BDR。 鄰接：如果兩臺路由器的狀態(tài)達到了full，我們就說這兩臺路由器的關(guān)系是鄰接。 根據(jù)自已的數(shù)據(jù)庫，以自己為根（定點，節(jié)點），使用SPF算法計算至目標的最短路徑，并且把這條最短的路徑放入到路由表中。OSPF有六種鄰居狀態(tài)機制：inittwowayexstartexchangeloadingfull OSPF是相互發(fā)送Hello包來建立鄰居關(guān)系的。二進制1，表示一個范圍，即可以是0，也可以是1。宣告直連網(wǎng)絡(luò)進區(qū)域0：[]network []network OSPF的區(qū)域表示格式：[R1ospf1]area 0 可以用十進制表示一個區(qū)域，也可以用點分十進制格式來表示一個區(qū)域，無論是用十進制來寫，還是點分十進制格式來寫，路由器中放的肯定是點分十進制格式。如：，192口為routerid。如果沒有手動指定，那么就選擇最大已經(jīng)激活的環(huán)回口的地址。注意：如果一開始啟動了OSPF進程，沒有配置routerid那么OSPF路由器會自動選舉routerid,當他自已選定以后，該routerid就會生效，這個時候我在去手動指定的話，需要重啟OSPF進程，那么我手動指定的routerid才會生效。 routerid:用來標識一臺OSPF路由器，并且該標識使用點分十進制格式來表示。[R3rip1]importroute direct 引用直連路由到RIP附加度量值 [R1rip1]preference 30 修改本地RIP路由協(xié)議的默認優(yōu)先級 [R1GigabitEthernet0/0/0]rip metricout 5 用度量值為5發(fā)出去 [R1