CCNP学习笔记

CCNP学习笔记

目录

基础知识 (2)

VLAN&TRUNK (3)

路由器存储硬件 (4)

CDP (5)

交换机安全 (5)

STP：802.1d (8)

RSTP：802.1w (10)

MST：802.1s (10)

链路聚合 (10)

多层交换 (11)

VTP (12)

HSRP/VRRP/GLBP (14)

路由技术 (14)

访问控制列表 (15)

NA T (16)

广域网 (16)

IPv6 (17)

VPN (18)

WLAN (18)

EIGRP (21)

OSPF (23)

IS-IS (24)

路由重发布 (26)

BGP (26)

组播 (27)

QoS（BCMSN） (28)

DSL (29)

PPPoE (29)

MPLS (30)

VPN (32)

IPsec (32)

GRE (33)

Easy VPN (34)

路由器安全 (34)

Firewall (36)

V oIP (37)

QoS（ONT） (38)

基础知识

ctrl+C由setup模式退出到CLI模式,在CLI特权模式用setup命令进入setup模式

由配置模式退到用户模式用disable,exit等同于logout注销

交换机system红色或琥珀色灯闪烁：操作系统丢失，红色或琥珀色常亮，设备无法工作

RPS灯绿色意为连接了冗余电源且冗余电源在工作，不亮意为没连接冗余电源

STA T/UTL/FDUP灯用MODE按钮切换，与端口状态指示灯结合查看，端口状态灯为桔色为阻塞状态，红色为接口坏

UTL用于查看设备背板的利用率，基本不用

FDUP用于查看接口的双工模式，绿色为全双工，无色为半双工

以太网：802.3

快速以太网：802.3u

千兆以太网：802.3z (光缆/屏蔽双绞线)、802.3ab (非屏蔽双绞线)

交换机槽位顺序：从右向左，从下向上，从1开始（固化的接口其槽位为0，路由器从0开始，固化接口不用写槽位号，如e0、s0）

接口顺序：从左向右，同样，交换机从1开始，路由器从0开始

交换机MAC地址池，最小的分配给主板，其次按接口从小到大顺序分配给每个接口

show version可以看到主板的MAC

2960交换机可在接口上配置二三层访问列表，目前的二层交换机在部分功能上已达到了三层甚至四层。

SONA：面向服务（业务）的网络架构（保证服务与安全性）

IIN：智能信息网，一般称智能网，以SONA为基础

设置历史命令条目的缓存：

history size 永久，存在NVRAM中

terminal history size 临时，存于RAM中

write保存命令考试中不承认，要用copy run start

massage-of-the-day banner（登录提示）：banner motd $ aaaaaaaaaaaaaaaaaaaaa $

(以同样的特殊字符开头和结尾)

进入传输数据的接口用interface，进入控制接口用line（console/vty）。在line接口下先配置口令然后用命令login，否则口令不会生效。

空闲超时配置后需注销才能生效，而取消此功能则立刻生效

T1=1.544M

E1=2.048M

ssh配置：

1.配置域

2.配置本地密钥

3.配置SSH登录

网桥的转发靠CPU处理，速度较低，端口数目有限，已渐渐被淘汰

交换机ASIC芯片硬件转发，速度快，支持堆叠和级联，端口多

交换机转发方式：直通/存储转发/免碎片

免碎片方式检测帧的前64个字节，避免婴儿帧。目前所用的都是存储转发。

CISCO认为免碎片是直通的升级，因而对CISCO而言，交换机只有两种转发方式：直通和存储转发。

ARPA：以太二层帧，length/type字段中

以太网帧长度64-1518字节

show users 看谁登录到我show sessions 看我登录了谁

x 挂起会话

clear line 清除登录者

CAM：内容可访问存储区，又称MAC地址表

对于二层交换机，收到广播和多播数据帧时做泛洪处理，因为它认为源地址不可能是广播或组播地址，所以不对广播或组播地址进行学习。

防火墙主要工作在5层以下，而IPS工作在5-7层。

VLAN&TRUNK

交换机上配置trunk端口时建议先将端口shutdown，配置完毕后再no shutdown。

ISL：思科私有，VLAN范围小，对QoS支持不好，没有native VLAN的概念，新版的CISCO IOS已经不支持ISL，而使用IEEE802.1q。

802.1Q在以太网帧中插入4字节的TAG字段并重新计算CRC值，而ISL不改变以太网帧结构，而采用封装方式，在以太网帧前封装26字节的ISL头部，后面加上4字节的CRC校验。

TRUNK链路双方端口的Native vlan一定要一致，否则以太网帧经过TRUNK链路时VLAN会“跳变”。DTP：Dynamic Trunking Protocol（cisco-only）

PVLAN端口类型：

?Isolated: Communicate with only promiscuous ports

?Promiscuous: Communicate with all other ports

?Community: Communicate with other members of community and all promiscuous ports

A PVLAN uses VLANs in three ways:

?As a primary VLAN: Carries traffic from promiscuous ports to isolated, community, and other promiscuous ports in the same primary VLAN.

?As an isolated VLAN: Carries traffic from isolated ports to a promiscuous port.

?As a community VLAN: Carries traffic between community ports and to promiscuous ports. You can configure multiple community VLANs in a PVLAN.

Isolated and community VLANs are called secondary VLANs.

路由器存储硬件

RAM：随机访问存储器，类似PC的内存

NVRAM：非易失性随机访问存储器，类似PC的硬盘，但容量较小。配置注册号存储于此，决定路由器启动时装载操作系统和配置文件的过程

flash：存放设备的操作系统，操作系统大概在16-17M，无法存放在NVRAM中

ROM：存储一个备份的操作系统（Mini IOS）,与正常系统的关系类似于PC的正常系统和安全模式。还有一个区域存储监控系统ROM Monitor（最底层的操作系统），类似于PC的DOS。有的路由器中可能没有Mini IOS.

config-register 0x2102:正常从flash启动，最后一位指明启动值

设为0x0，即0x2100:直接进入ROM Monitor mode

设为0x1,即0x2101:直接进入boot模式

设为0x2-0xF，正常启动顺序

此处修改的是NVRAM中的信息，无需保存，reload重启即会生效

第三位代表查找和装载配置文件的过程

跳密码：

启动，ctrl+break进入rommon模式，confreg 0x2142，第三位的4意为启动时跳过NVRAM，直接从RAM启动，然后reset或i重启没有口令可进入特权模式，show start可查看NVRAM配置文件，copy start run将配置文件拷贝到RAM，即可修改删除密码，保存新的配置到NVRAM，再config-register 0x2102改回正常启动过程。

用TFPT上传下载配置文件

TFTP对大文件(大于17M)的上传下载会丢包;

copy flash tftp将flash中的操作系统文件拷贝到TFTP SERVER，最好不要改文件名

反之类似，需注意文件大小，因为flash容量很小

上面是路由器的方法，对于交换机，下载操作一样，上传不同。

RAM到NVRAM、RAM到TFTP拷贝时是完全覆盖，相反方向则是添加合并的过程。如果想保证上传到RAM的文件是干净的，要先清空RAM。

CDP

思科发现协议，每60秒给直连邻居发送信息,180秒收不到邻居发来的信息则认为邻居失效，从本地删除其CDP信息

在网络中，一定要把不必要的端口关闭CDP

在配置模式下no cdp run全局关闭CDP，在接口下no cdp enable关闭该接口的CDP

show cdp entry * 查看详细CDP信息，包含邻居接口的IP地址和软件版本

交换机安全

MAC Flooding Attack：

向交换机发送大量无效的MAC地址，占满其CAM表，致使正常的MAC无法学习而导致流量泛洪。防护：设置MAC地址数限制、指定允许的MAC地址、定义违规行为（protect/restrict/shutdown）

Switchport port-security 启用端口安全，缺省这个端口只支持一个MAC地址（可以静态指定，可以动态学习）

Switchport port-security maximum 指定端口最多可以学习的MAC地址个数（V oIP端口至少要把这个值设为2，以支持一个IP电话和一台PC）

Switchport port-security aging 学到的地址缺省不过期，这命令指定地址过期时间

Switchport port-security violation {shutdown|protect|restrict}

三种方式下，当违规时端口都将变为err-disable状态，LED灯灭。Protect和restrict方式下当违规消除后端口又变为可用状态，而shutdown方式需管理员手工no shut。Protect方式不会记录违规行为，restrict和shutdown会发送SNMP Trap或syslog给LOG服务器，并把违规计数器加1.

端口安全不能配置在trunk端口，因为地址会频繁变化

802.1x：基于端口的认证

IEEE 802.1X认证成功之前，交换机端口为桔色指示灯，客户连接的端口在LAN上只允许传递可扩展的认证协议（EAPOL：EAP over LAN），CDP和生成树的STP。只有认证成功后才可以传递正常的流量。

基于EAP-MD5的802.1x认证流程：

(1) 客户端向接入设备发送一个EAPoL-Start报文，开始802.1x认证接入；

(2) 接入设备向客户端发送EAP-Request/Identity报文，要求客户端将用户名送上来；

(3) 客户端回应一个EAP-Response/Identity给接入设备的请求，其中包括用户名；

(4) 接入设备将EAP-Response/Identity报文封装到RADIUS Access-Request报文中，发送给认证服务

器；

(5) 认证服务器产生一个Challenge，通过接入设备将RADIUS Access-Challenge报文发送给客户端，其中包含有EAP-Request/MD5-Challenge；

(6) 接入设备通过EAP-Request/MD5-Challenge发送给客户端，要求客户端进行认证；

(7) 客户端收到EAP-Request/MD5-Challenge报文后，将密码和Challenge做MD5算法后的Challenged-Pass-word，在EAP-Response/MD5-Challenge回应给接入设备；

(8) 接入设备将Challenge，Challenged Password和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证；

(9) RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功/失败报文到接入设备。如果成功，携带协商参数，以及用户的相关业务属性给用户授权。如果认证失败，则流程到此结束；

(10) 如果认证通过，用户通过标准的DHCP协议(可以是DHCP Relay)，通过接入设备获取规划的IP 地址；

(11) 如果认证通过，接入设备发起计费开始请求给RADIUS用户认证服务器；

(12) RADIUS用户认证服务器回应计费开始请求报文。用户上线完毕。

在接口下，通过命令dot1x port-control来指定端口的授权状态，参数意义如下：

dot1x port-control force-authorized: Disables 802.1x port-based authentication and causes the port to transition to the authorized state without any authentication exchange required. The port transmits and receives normal traffic without 802.1x-based authentication of the client. This is the default setting.

dot1x port-control force-unauthorized:Causes the port to remain in the unauthorized state, ignoring all attempts by the client to authenticate. The switch cannot provide authentication services to the client through the interface.

dot1x port-control auto: Enables 802.1x port-based authentication and causes the port to begin in the unauthorized state, allowing only EAPOL frames to be sent and received through the port.

VLAN Attack：

攻击者接入交换机后先设法将链路协商为trunk，继而对其它VLAN实施攻击

解决方法：PVLAN（private VLAN）：Primary VLAN，secondary VLAN（isolated vlan and community vlan）从VLAN分两种，隔离VLAN和团体VLAN，属于隔离VLAN的端口称隔离端口，属于团体VLAN 的端口称团体端口，属于主VLAN的端口称混杂端口。

混杂端口可跟所有端口通信，隔离端口只能跟混杂端口通信，团体端口可以跟混杂端口通信，还可以跟相同VLAN的团体端口通信。

DHCP spoof attack：

欺骗者响应DHCP客户机的请求，并给其分配一虚假IP。—“man in the middle”

解决方法：交换机启用DHCP Snooping，所有端口都变成非信任状态，收到的DHCP响应包都丢弃。把接入层交换机的上行端口设置为信任状态。

ARP Spoofing：

同样是“man in the middle”，欺骗者冒充网关，主机会将ARP表项中网关的MAC改为欺骗者的MAC，导致无法正常上网。

解决方法：动态ARP检查（DAI），需要与DHCP Snooping配合

STP攻击：

攻击主机向所连接的交换机发送BPDU导致生成树重新计算

解决方法：将接主机的端口上启用BPDU Guard。

另外为避免接入层设备成为根，可在相应接口上启用根防护，spanning-tree guard root，意为这个端口不可能成为根口，因而与这个端口相连的设备不可能成为根。

还有一种情况，就是物理链路单向失效，导致单方向上BPDU传递失败，就会导致环路。解决方法是UDLD：单向失效链路检测。为了确保blocking端口收到BPDU，如果blocking端口收不到BPDU就会变成转发状态。早期使用loop guard，配置在所有非指定接口上，现在已经淘汰不用。

全局下启用UDLD enable，对所有光口生效。可以在非光口接口模式下启用UDLD。

不同类型的端口收到BPDU时：

1.Portfast端口：取消Portfast，正常处理BPDU；

2.BPDU guard端口：转入err-disable状态；

3.BPDU filter端口：全局配置情况下，端口取消portfast和BPDU filter，同正常端口一样收发BPDU；

在接口配置情况下，会忽略收到的BPDU，而且从不发送BPDU；

4.Root guard端口：转入root-inconsistent状态，忽略收到的BPDU；

另外：Loop guard端口如果没有收到BPDU，则进入loop-inconsistent状态，在此状态下如果收到BPDU 则会转入正常状态，无需人为干预。

STP：802.1d

cisco交换机缺省STP是打开的，华为交换机缺省是关闭的。

运行STP的交换机在其活跃端口与对端每2秒种交换BPDU包。

BPDU包中bridge id最小者优先，bridge id由优先级（缺省32768）和主板MAC地址组成，bridge id 小者为根桥。根桥上的端口称指定端口，指定端口处于转发状态。非根桥交换机从自身端口中选择一个到达根桥具有最小路径开销的端口，称为根口，根口处于转发状态。路径开销与带宽成反比。路径开销相同时，端口的port ID小者优先，port id由端口优先级（缺省128）和端口值（端口号加上一些参数，一般可理解为端口号）组成，port id小者被选为根口，其它端口被逻辑阻塞。

STP中，BPDU包中的protocol id和version都为0，消息类型和标记用于通告网络状态，依次比较关键的4个参数：root id,cost of path,bridge id,port id. 开始启动时，root id=bridge id，都认为自己是根桥，路径开销为0.后续的四个参数总称为计时器，message age,指BPDU包在网络中能传多远，类似于TTL，最多经过7台交换机（含发送者自己）；maximum time,指定多长时间内没收到BPDU包，就认为网络状态发生了变化（20秒）；hello time为BPDU的更新时间（2秒）；forward delay，15秒，当网络变化时，变化的设备向根桥报告，从得知发生变化到做出反应要两倍于这个时间（一去一回）。

每个广播网络只能有一个根桥（root）。

每个非根桥只能有一个根端口。

每个二层网段（冲突域）必须有一个指定端口。

非指定端口和非根端口将被阻塞。

选出根桥和非根桥后，非根桥不再发送BPDU，只接收根桥发来的BPDU，所有交换机的端口上都会

缓存BPDU包，用于比较选择指定端口和根口。

BPDU包在接收时会累加所经过路径的开销，而在发送时不做处理。

BPDU包是在指定端口被发送和转发的，所以每个网段（冲突域）都要存在一个指定端口。

STP下端口状态：阻塞blocking(max age:20s)/监听learning(forwarding delay:15s)/学习studying(forwarding delay:15s)/转发forwording/关闭disabled(不参与STP，不转发数据帧)

RSTP下端口状态：discarding / learning / forwarding

当一个端口成为指定端口之后，必须经过监听和学习阶段（两倍的forwarding delay，30秒）才能进入转发状态。

当非根桥发现网络变化时，被阻塞的端口由block转为listening状态，并从其活跃端口向根桥发送TCN BPDU（拓扑改变通知），根桥收到后回应TCA BPDU（拓扑改变确认）。收到TCN BPDU的交换机，把自己的ARP超时时间由300秒降低为15秒，超时后会删除所有MAC地址表项，重新学习。

1.CST（公共生成树）：

802.1Q对于VLAN和生成树的解决方案，永远运行于VLAN1，并且untagged。

2.每VLAN生成树PVST（CISCO-ONL Y）：

原来STP中的bridge ID由优先级和MAC组成，在每VLAN生成树中，将优先级改为优先级+系统ID，系统ID就是VLAN号，这样就可避免每个VLAN的根桥都是同一个设备，即实现负载均衡。每VLAN生成树只有CISCO支持，需要ISL封装进行工作。

3.PVST+（增强PVST）：

也是思科私有协议，提供与PVST一样的功能，使用802.1Q中继技术而不是ISL。PVST+是一个对802.1Q规范的增强但不支持非思科设备。

桥优先级只能是4096的倍数（与十六进制数0-F对应），最小为0（十六进制0），最大61440（十六进制F），缺省为32768（十六进制8），配置时注意。

强制某设备成为根桥：spanning-tree vlan 1 root primary

强制某设备成为备份根桥：spanning-tree vlan 1 root secondary

在所有交换机都为缺省优先级情况下，强制为根桥的交换机优先级为24576，强制为备份根桥的交换机优先级为28672.

三种情况下RootID=bridgeID：

1.初始化时

2.自己是根桥

3.非根桥的根口失效时

COST（新版）：10M-100，100M-19，1G-4，10G-2

PortFast：快速端口

快速端口由blocking状态直接转入forwarding状态，跳过listening和learning，只适用于access模式的端口。

接口模式下：Spanning-tree portfast，指定该端口为快速端口

全局模式下：spanning-tree portfast default，指定所有非trunk端口为快速端口

RSTP：802.1w

根据不同情况，STP要30-50秒才能完成收敛，RSTP解决了STP收敛慢的问题。

RSTP适用于全双工网络，在半双工情况下不能达到快速收敛。

增加两种端口状态：

Alternate port：对根口的备份（可能有问题，参考PPT3-37，应该是对本网段上指定端口的备份）Backup port：指定交换机上的另一个端口，是对指定接口的备份

不参与生成树的端口称edge ports，等同于设置为portfast的端口，配置时指定为portfast即可。如果edge port上收到BPDU则立刻转为nonedge port并参与生成树算法。

RSTP链路类型：

1.point-to-point：端口工作在全双工模式，它假定链路对端是另一台交换机

2.shared：端口工作在半双工模式，它假定链路对端是“shared media where multiple switched might

exist”

当链路类型为point-to-point时，指定端口才会快速转换到转发状态。根口以及alternate and backup端口不参考链路类型。

RSTP是link-by-link通过proposal和agreement实现快速收敛，而不是STP那样等待forwarding relay 时间耗尽。

RSTP中，只有nonedge port变为转发状态时才产生TC（拓扑改变），而且TC会直接向整个网络泛洪。MST：802.1s

PVST（每VLAN生成树）目的是为了负载均衡，但在VLAN特别多的网络里用PVST配置起来比较复杂。解决方法就是MSTP。

在交换机上建实例，每个实例可包含多个VLAN。再对每个实例指定根桥和备份根桥。

类似于PVST，MSTP的bridgeID是根优先级+实例号。

缺省存在实例0，包含所有VLAN，创建实例并指定VLAN范围后，实例0中会去除其它实例指定的VLAN。

STP/RSTP是基于端口的，PVST/PVST+是基于VLAN的，而MST是基于实例的，所谓实例就是多个VLAN的集合。

链路聚合

PAgP：端口聚合协议（CISCO-ONL Y），模式包括auto/desirable/on

LACP：802.3ad，链路聚合控制协议，模式包括passive/active/on

两端不能同时使用auto或passive

三层聚合只支持PAgP的三种模式

负载分担可配置为基于源MAC或基于目的MAC。

PAgP包每30秒以组播MAC地址0100-0CCC-CCCC发送。

在LACP动态汇聚组中，端口可能处于两种状态：selected或standby。selected端口和standby端口都能收发lacp协议，但standby端口不能转发用户报文。

由于设备所能支持的汇聚组中的最大端口数有限制，如果当前的成员端口数量超过了最大端口数的限制，则本端系统和对端系统会进行协商，根据设备id优的一端的端口id的大小，来决定端口的状态。具体协商步骤如下：

比较设备id（系统优先级+系统mac地址）。先比较系统优先级，如果相同再比较系统mac地址。设备id小的一端被认为优。

比较端口id（端口优先级+端口号）。对于设备id优的一端的各个端口，首先比较端口优先级，如果优先级相同再比较端口号。端口id小的端口为selected端口，剩余端口为standby端口。

在一个汇聚组中，处于selected状态且端口号最小的端口为汇聚组的主端口，其他处于selected 状态的端口为汇聚组的成员端口。

SVI：交换虚接口（多层交换机上的三层接口）

多层交换

NBAR可以通过应用层特征来区分数据，比如能够识别BT流量，识别文件扩展名等。因此我们称多层交换机，称三层交换机只是强调其三层功能。

三层交换机包含控制平台和数据平台。路由协议运行在控制平台，数据平台用于数据分组的转发。基于流的转发：一次路由，多次交换

基于拓扑的转发：提前生成转发表FIB和邻接表，这种方式即CEF（Cisco express forwarding）

基于CEF的多层交换机：

控制平台通过软件生成数据平台的FIB表和邻接表，数据平台通过硬件转发IP单播流量。

FIB表来源于路由表，缓存的是路由信息；邻接表来源于ARP表（CAM表），缓存的是FIB表项的二层下一跳地址。

集中式CEF：FIB表和邻接表存在于路由处理器中，由路由处理器进行快速转发；

分布式CEF：线路板卡中保存着FIB表和邻接表的拷贝，可独立进行快速转发，通过IPC（interprocess communications）机制来保证板卡和路由处理器的FIB表及邻接表的同步。

转发过程：

https://www.360docs.net/doc/115076083.html,yer 3 packets initiate TCAM(FIB) lookup;

2.the longest match returns adjacency with rewrite information;

3.the packet is rewritten per adjacency information and forwarded.

三种查找路由表过程比较：

1.Process switching：

从头查到尾，查找到一个最精确的匹配，如果所对应的是下一跳地址的话，还要经过一个递归查找的过程，直到查到逃出接口

2.Fast switching：

一次路由多次交换，建立一张基于流量控制的缓存表，表内一个ip地址对应一个逃出接口，查表时直接查询缓存表

3.CEF（Cisco express forwarding）switching：

把路由信息缓存到FIB（Forawding information base）表中，此表基于拓扑变化，并以TCAM的形式保存下来，查表时直接查询FIB表。

Fast switching改进处：

1.缓存表内的条目是32位的，转发数据包时直接查缓存，查到匹配的即可转发，无需从头查到尾

2.由于缓存表内是一个目的地址对应一个接口，不需要经历一个递归的查表过程。

Fast switching不足处：

1.由于是基于流量控制的不能及时反应网络拓扑变化或路由表的变化，当网络拓扑发生改变时，缓存表就全部刷新，然后基于流量转发重新建立缓存表，这样的方式无法即时反映网络拓扑变化。

2.由于基于流量控制，会导致每个目的地都会记录至缓存表内，如：1.1.1.1和1.1.1.2 最终路由表会溢出！

CEF switching改进处：

1.FIB表是TCAM的形式，所以最详细的数据位于表的最上方。TCAM表结果有0，1，X。能够匹配重要位置就可以。另外ARP cache不再参与转发，只是协助生成ADJ表。

2.FIB表是基于拓扑变化的，所以能时时反应网络拓扑变化。

三种转发技术的负载均衡：

1 Process switching，可以基于源地址，目的地址，源端口，目的端口进行负载均衡。

2 Fast switching：由于缓存表的建立是基于流的，所以只能基于目的地址负载均衡。

3 CEF：CEF可以根据源地址，目的地址，源端口，目的端口进行负载均衡。FIB表是根据路由表映射生成的，如果有一个目的网络对应多个逃出接口，在FIB表里同样生成一个条目对应多个逃出接口，而每个逃出接口都会有个指针，这个指针对应邻接表里每个接口。当转发数据包时，多层交换机把每个数据包的目的地址通过与运算跟FIB表上的条目进行匹配，然后通过hash算法算出一串唯一码与ADJ表hash出来的唯一码进行匹配,如果到达的目的地址有多个逃出接口，那么根据ADJ表里的接口所对应的MAC地址进行数据帧的重封装，整个负载均衡会以轮循的方式按照指针所对应的端口的信息进行二层地址的封装。

VTP

VTP：CISCO私有，用于在一个区域内同步VLAN信息的协议，仅在Trunk链路上运行。仅对1-1005范围内的VLAN进行同步。域名区分大小写。

三种模式：

SERVER：创建/修改/删除VLAN，发送/转发信息通告，同步，存贮于NVRAM

CLIENT：转发信息通告，同步，不会存贮于NVRAM

TRANSPARENT：创建/修改/删除VLAN，转发信息通告（对于自身的VLAN信息不会转发），不同步（不理会server发来的信息通告，只是转发出去），存贮于NVRAM。（不会与server同步，也不希望别人与我同步）

透明模式一般用于测试环境，或者用于VLAN号超出同步范围（1-1005）的环境。

VTP消息的通告以多播的方式进行，地址为0100-0ccc-cccc

VTP通告在无变化时每5分钟发出或者有变化时从trunk端口发出；都同步最新版本的通告；新旧依赖于通告中的VTP配置修订号；

VTP通告子协议：

●汇总通告(Summary Advertisement)：server的目录信息，vlan信息变化时触发，版本加1

●通告请求(Advertisement Requests from Clients)：client收到新版本的目录信息后，向server请求自

身没有的vlan信息

●子集通告(Subset Advertisement)：server收到client的请求后，发送详细的vlan信息

VTP修剪：减少不必要的泛洪流量

只在一台server上启用即可，一旦启用修剪，会使下游交换机通过VTP加入消息进行上告，使上游设备知道下游的VLAN情况，达到修剪的目的。

VLAN1总是pruning-ineligible（修剪不合格，意思是不可修剪）。只有pruning-eligible的VLAN才可以被修剪。

在一个域中新加一台交换机时要设为client，如果要设为server，一定要初始其修订号，方法有三：重启、改域名再改回来、清空VLAN数据库（delete flash:vlan.dat，重启生效）

VTP常规配置：域名、模式、密钥。

可在全局下配置，也可在vlan database模式下配置。

不指定模式时缺省是server。

在vlan database中配置之后一定要exit，这里意为生效并退出。绝不能用end或ctrl+z！

Vlan数据库中vlan号范围1-1005，在vlan数据库中创建此范围的vlan则会存于flash:vlan.dat，超出这个范围的VLAN会存于flash:config.text（这个是保存配置生成的文件，交换机中没有NVRAM，配置文件也存于flash中）。

老版本交换机trunk端口缺省的封装协议为ISL，需手工指定为dot1q。新版本的交换机不支持ISL，缺省就是dot1q。

VLAN 0用于承载语音业务，称802.1p

1：默认VLAN/管理VLAN

2-1001：标准VLAN（ISL、VTP、802.1q都支持）

1002-1005：令牌环/FDDI

1006-4094：扩展VLAN

Show vlan命令可以看到交换机接口与VLAN的从属，没有显示出来的接口可能是trunk，或者是接口被划到某个VLAN而这个VLAN又被删除了。

HSRP/VRRP/GLBP

HSRP由RFC2281定义；

VRRP由RFC2338定义；

IRDP由RFC1256定义；（Internet Router Discovery Protocol）

HSRP主备每3秒向组播地址224.0.0.2发送hello包，10秒超时。

HSRP备份路由器转换为主用时发送Coup消息，主用路由器失效或者收到了更高优先级的Hello时，发送Resign消息。

HSRP虚MAC地址总是包含07.ac，例如：0000-0c07-ac0a

HSRP状态机：Disabled→Init→Listen→Speak→Standby→Active

VRRP也支持跟踪端口，但要在全局下先为被跟踪端口定义：Track 6 interface s1/0 line-protoccol，然后在接口下：vrrp 1 track 6 decrement 30。（而NP题库里有道题却说VRRP不支持端口跟踪，是否跟IOS版本有关？）

VRRP缺省为抢占模式。

VRRP组的虚地址可以是主用路由器的真实地址。

VRRP使用组播地址224.0.0.18，UDP端口号112。

HSRP主备状态为Active/Backup，VRRP主备状态为Master/Backup

GLBP的hello时间也是3秒，发送的组播地址为224.0.0.102，UDP端口号3222。

GLBP的负载分担：per host basis using a round-robin scheme

GLBP支持端口跟踪。

GLBP缺省优先级为100，如果优先级相同，真实IP地址大者会选为AVG。

A VG选举使用priority，weight用于负载分担，因为不同的路由器性能不同，各路由器负担的流量和weight成正比；同时可设置upper和lower，当所track的端口down掉以后，就减少weight值，当weight 低于lower时路由器停止转发数据，当weight高于upper是恢复转发数据。

注意：可同时track多个端口，各个端口down掉后减少的weight值可以设置城不一样的，当weight 最大值减掉所有down的端口weight低于lower时，路由器停止转发数据，当端口恢复，权重值加起来高于upper时路由器又开始恢复转发数据。

路由技术

RIPv2和EIGRP缺省会自动将路由汇总，需要手工将其关闭，使其工作在纯无类的状态。

高版本的IOS在配置缺省路由后，ip classless会自动生成。

度量值（metric）

1.跳数

2.带宽：指从源到目的链路上的最小带宽

3.延时：指从源到目的的所有延时

4.可靠性：基本都认为是最可靠（255/255）

5.负载：指带宽使用率，也是以255分之多少表示，最小为1/255

6.MTU

7.开销

RIP：1

IGRP：234

EIGRP：23456

ISIS/OSPF：7

RIPv1和IGRP通过广播发送路由更新。

EIGRP使用组播地址：224.0.0.10

Clear ip route * 清除动态学到的路由

EIGRP采用思科独有的DUAL（弥散修正算法）：计算从自己到达目的的两条路由都存入拓扑表，把最优路由（successor route）放入路由表。当最优路由失效，直接从拓扑表中取次优路由（feasible successor route）用来转发，所以收敛速度非常快。

EIGRP的验证是基于接口的，只支持密文。

OSPF支持的最大等价路由为6条；

RIPv1/v2通告网络时要写主类网络号。但如果两个接口有相同的主类网络号，而只想其中一个接口参与路由协议，可以通告主类网络后，再将其它接口指定为passive-interface。

ACL:访问控制列表

标准访问列表：1-99（延伸：1300-1999）

扩展访问列表：100-199（延伸：2000-2699）

标准访问列表只支持源IP；扩展访问列表支持源IP、目的IP、协议及端口号。

端口号功能：在第四层上标识上层服务。

源端口号是随机的，用于标识一次会话；目的端口号也称为众所周知的端口号，1-1023。

SSH：TCP 22

CISCO访问列表最后缺省为deny any。

标准访问控制列表一般配置在离目的较近的端口的出方向上，扩展访问控制列表一般配置在离源较近的端口的入方向上。

FTP 21端口用于控制连接，20用于数据传输。配置访问列表禁止FTP时只需封掉21端口即可。

按奇偶数匹配，例：

Access-list 1 permit 10.1.1.0 0.0.0.254 表示允许以10.1.1开头最后一位是偶数的IP

Access-list 2 permit 10.1.1.1 0.0.0.254 表示允许以10.1.1开头最后一位是奇数的IP

NAT

静态NA T：一对一

动态NA T：多对多，配置公有地址池，随机选取，实际上仍是一对一的关系，地址池地址没有空闲时，私有地址主机只能等待。

PAT：多对一，最大65536对一。由于路由器需维护转换的信息，支持的私网主机数视路由器性能而定。

配置NA T的路由器中会生成NAT Table，为私有地址和公有地址的对应关系，inside local ip address 为私有地址，inside global ip address为公有地址。

实际中常用的是静态NA T和PA T。

PA T配置：

1.配置内网的访问列表；

2.ip nat inside source list 列表号interface 公有地址接口overload

注意必须配置overload参数，否则只能一对一转换。也可将公有地址指定为一个地址池，即动态PAT。清除NA T中所有动态转换：clear ip nat translations *

广域网

CSU/DSU：信道服务单元/数字服务单元，将信号进行转换，如光电转换器、光端机等。可统称为CPE （用户前端设备）。

思科广域网接口缺省的传输协议是CISCO HDLC，思科独有。

PPP通过NCP提供对多种网络协议的支持，实现对上层协议进行封装和交互。IPCP、CDPCP……两台路由器相连，如果接口封装PPP，则两端接口的IP地址可以不在一个网段上。IP地址会被封装在NCP中通过二层传到对端，对端解封装后认为该IP就是直连网段，会放入路由表。

LCP用来协商控制选项的使用，建立二层PPP连接。控制选项包括：验证、多链路捆绑、压缩等。

DLCI：数据链路连接标识，本地有效。

帧中继网络中，通过一对DLCI来标识两个DTE之间的通信链路，这条链路称永久虚链路PVC。

帧中继路由器中除了路由表，还有一张帧中继映射表，保存着下一跳设备的接口的IP地址和本地DLCI 的映射关系。映射表的来源同路由表一样，静态配置和动态学习。

逆向ARP：通过本地DLCI获得对端接口的IP地址。

LMI：本地管理接口，用来判断PVC链路的状态（active[本地到远端都正常]、inactive[本地帧中继路由器到帧中继交换机PVC正常，远程PVC失败]、delete[本地PVC异常]）

帧中继路由器配置广播更新的路由协议时，由于帧中继网络不支持广播，路由器将广播转换成单播由

每个虚链路上传送出去。

静态配置映射表（物理接口或多点子接口下）：

Frame-relay map ip 10.0.0.2[对端IP] 110[本地DLCI] broadcast[让广播能够转发]

动态配置（点到点子接口下）：

Frame-relay interace-dlci 110

点到点子接口存在一个网段，一条PVC；多点子接口存在一个网段，多条PVC。

Show frame-relay map显示为dynamic意为此DLCI是从inverse ARP动态学来的。

Clear frame-relay-inarp 清除映射表中动态学来的信息

No frame-relay inverse-arp 如果静态配置映射表，则关闭动态学习功能

IPv6

多宿主（multihoming）：一个路由器接口上可配置多个IPv6地址

自动配置：

主机通过DHCP服务器获得网络位，用MAC地址计算出自己的IPv6地址。

主机先向路由器发出RS（router solicitation）消息，路由器回应主机RA（router advertisement），RA 中包含网络位和网络位的有效时间。

IPv4的IP报文头20字节，去掉源和目的IP的8字节为12字节，而IPv6的IP头部共40字节，去掉源和目的IP之后共8个字节，而且可以硬件转发。

3FFE开头类似于IPv4的E类地址，用于实验室使用（6 bone）；

FF开头表示组播地址。

与IPv4一样，有单播和多播，但去掉了广播，因为地址空间太大导致广播范围太大，增加了泛播（anycast）。

本地链路地址（link local）：FE80::/10，用于直连接口之间通信

路由器接口上配置IPv6地址之后，会自动生成一个本地链路地址，通信时靠本地链路地址而不是接口地址。这样两端接口地址可以不在同一网段，也可以随时修改而不影响通信。

静态指定IPv6地址：

1.手工配置：手工指定网络位主机位

2.EUI-64：只指定网络位，主机位根据MAC地址自动计算，要求网络位必须是64位。

64位主机地址的生成，在48位MAC地址的中间插入FFFE。U/L位：主机地址的左数第7位，1代表全球唯一，0代表本地有效。在计算时会自动更改为1。

多播地址：FF02::1:FF+MAC的后24位

配置路由时使用本地链路地址，而不是接口地址

IPv6跨越IPv4通信：

1.双栈：在边界路由器上同时配置IPv4和IPv6，这种方法不现实。

2.隧道：在一种协议上传递另一种协议称隧道。

IPv6继承了IPv4的DHCP自动配置服务，并将其称为全状态自动配置（stateful autoconfiguration）。此外，IPv6还采用了一种被称为无状态自动配置（stateless autoconfiguration）的自动配置服务。在无状态自动配置过程中，主机首先通过将它的网卡MAC地址附加在link-local地址前缀FE80（1111111010）之后，产生一个link-local单点广播地址（IEEE已经将网卡MAC地址由48位改为了64位。如果主机采用的网卡的MAC地址依然是48位，那么IPv6网卡驱动程序会根据 IEEE的一个公式将48位MAC地址转换为64位MAC地址）。接着主机向该地址发出一个被称为邻居探测（neighbor discovery）的请求，以验证地址的唯一性。如果请求没有得到响应，则表明主机自我设置的link-local单点广播地址是唯一的。否则，主机将使用一个随机产生的接口ID组成一个新的link-local单点广播地址。然后，以该地址为源地址，主机向本地链接中所有路由器多点广播一个被称为路由器请求（router solicitation）的配置信息请求，路由器以一个包含一个可聚合全局单点广播地址前缀和其它相关配置信息的路由器公告响应该请求。主机用它从路由器得到的全局地址前缀加上自己的64位MAC 地址（接口ID），自动配置为全局地址。

VPN

远程访问VPN分两类：起源于NAS（公司之间）、起源于主机（easy VPN：员工到公司）

二层隧道协议：

PPTP：能建立隧道并能对数据进行加密。加密算法为微软独有，只有微软的操作系统才可识别

L2TP：能建立隧道但不能对数据进行加密，只支持IP。

三层隧道协议：

IPsec：框架协议，能建立隧道并能对数据进行加密。但隧道中只允许IP单播流传递。

GRE：通用路由封装协议，只能建立隧道，不能对数据加密。允许所有流量在隧道中传递。

GRE和IPsec结合使用，可用GRE来建立隧道，用IPsec对数据进行安全性保护。

IPsec三大功能：

Confidentiality 加密（对称式/非对称式）

Data integrity 数据完整性

Authentication 验证

WLAN

802.11，最高速率2M，传输距离小。工作在2.4～2.4835GHz频段

802.11b，取代了802.11，最大速率11M，传输距离50-159英尺。spread spectrum technology：DSSS。工作在2.4～2.4835GHz频段

802.11a，数据传输速率达54Mbps/72Mbps(Turbo)，传输距离10-100米。设计的初衷是想取代802.11b,但由于所用频段需要执照，一些公司不支持。工作在5.15-8.825GHz频段

802.11g，802.11a和802.11b的混合标准，拥有802.11a的传输速率，安全性较802.11b好。

802.11i，结合IEEE802.1x中的用户端口身份验证和设备验证，定义了严格的加密格式和鉴权机制，增强了WLAN的安全性。

ISM频段：900MHz、2.4GHz（802.11b、802.11g）

UNII频段：5GHz（802.11a）

AP相当于HUB，共享，半双工，WLAN中采用CSMA/CA机制避免冲突。

SSID：服务集标识符，AP的服务集名称，AP缺省会把它主动广播出来。

思科的AP不会主动发送SSID，最多可配16个SSID，每个SSID对应一个VLAN。

无线漫游时，多个AP的SSID必须相同。AP信号所覆盖的范围称BSS，多个相同SSID的AP覆盖范围的合集称ESS。ESS中重叠范围要求10-15%，对于无线语音网络要求重叠范围15-20%，如果AP作中继时，要求重叠范围最小50%。

WLAN拓扑类型

client access：mobile user connectivity

bridging：LAN-to-LAN connectivity

mesh networking：combination of bridging and user connectivity

ad hoc模式（Peer-to-Peer，称IBSS）支持4-8台PC互连

infrastructure模式，分为BSS和ESS两种

在一个ESS内的不同AP间（同一IP子网）漫游称二层漫游，在不同ESS间（不同IP子网）漫游称三层漫游；

二层漫游在AP之间使用IAPP协议（Inter-Access Point Protocol），传统的三层漫游使用Mobile IP来实现，后来been replaced by the advanced feature set of lightweight access point in combination with WLAN controllers.

BCMSN V2 P6-27写无间断漫游需要所有AP配置相同的SSID、VLAN和IP子网，可三层漫游就是在不同子网间的漫游啊！

频率越高则速率越快而传输距离越小，功率越强传输距离越大。

非重叠信道：802.11b/g为3个，802.11a可达23个

DSSS：直接序列扩展频率

OFDM：正交频分复用

802.11b：DSSS，3个非重叠信道，速率为1M、2M、5.5M、11M

802.11a：OFDM，美国使用23个非重叠信道，欧洲使用19个非重叠信道，速率为6、9、12、18、24、36、48、54M

802.11g：DSSS/OFDM，3个非重叠信道

DFS：动态频率选择

WEP：无线等效安全

WPA2所用的封装类型为AES-CCMP。

网络安全：进不来/拿不走/看不懂/改不了/跑不掉

WPA：由于WEP业已证明的不安全性，在802.11i协议完善前，采用WPA为用户提供一个临时性的解决方案。该标准的数据加密采用TKIP协议(Temporary Key Integrity Protocol)，认证有两种模式可供选择，一种是使用802.1x协议进行认证；一种是称为预先共享密钥PSK(Pre-Shared Key)模式。

AP上行到交换机的链路配置Trunk时只支持802.1Q，思科AP也不再支持ISL。

无线全互连网络：

RAP（Roottop AP）：根AP，通过有线上连

MAP（mesh AP）：互连AP，通过AWP（adaptive wireless path）协议建立到RAP的最优路径

Lightweight Access Point Protocol（LWAPP）：

●Real-time frame exchange and certain real-time portions of MAC management are accomplished within

the access point.

●Authentication, security management, and mobility are handled by WLAN controllers.

●Data and control messages are exchanged between the access point and the WLAN controller using

LWAPP.

●Control messages are encrypted.

●All client data traffic is sent via the WLAN controller.

●LWAPP control traffic uses source port 1024 or greater and destination port 12223, and LWAPP data

traffic uses source port 1024 or greater and destination port 12222.