网工基础知识
1、网络设备和OSI七层模型
主要包括交换机和路由器
交换机：它的作用是连接网络设备（交换机、路由器、防火墙、无线AP等）和终端设备（计算机、服务器、摄像头、打印机等）
路由器：实现局域网与局域网的互联
防火墙：内部网络与内部网络之间
总结：交换机负责连接设备，路由器负责连接网络，防火墙负责网络访问限制。
OSI七层模型：
从底层到最上层依次是：物理层、数据链路层、网络层n、传输层t、会话层s、表示层、应用层
各自的含义：
应用层：提供应用给客户使用
表示层：表示表示，就是数据的编码方式，以哪种编码方式展示
会话层：程序之间的接口，接口访问，比如美团支付跳转到微信支付。
传输层：建立TCP或UDP连接，并给数据报文打上端口号
网络层：给数据包打上ip地址，用于路由转发
数据链路层：给数据包打上mac地址，控制网络层和物理层的通信各层常见协议：
应用层：
http:超文本传输协议，提供浏览网页服务
telnet：远程登录协议，提供远程管理服务
ftp：文本传输协议，提供互联网文件资源共享服务
smtp：简单邮件传输协议，提供互联网电子邮件服务
tftp：简单文件传输协议，提供简单的文件传输服务传输层：
tcp：为通信提供高可靠性
udp：提供无连接通信
tcp三次握手：
seq:tcp头部序列号；ack：确认号；fin：关闭请求号
1、主机a向主机b发起请求:seq=x,ack=y;
2、主机b收到请求，向主机a发送确认收到的请求:seq=z;ack=x+1
3、主机a向主机b发送数据
tcp四次挥手：
1、主机a向主机b发起断开连接，fin=x，ack=y
2、主机b向主机a发送接收到断开请求，
3、主机b向主机a发起断开连接请求，fin=x，ack=y
4、主机a收到请求，断开连接网络层：
ip：将传输层的数据封装成数据包，将数据从源地址转发到目的地址
icmp：基于ip协议在网络中发送控制消息，提供可能发生在通信环境中的各种问题反馈，通过不同的故障代码告诉管理员故障的原因；重定向报文，选择最优路径。
igmp：用于ip的组播协议，什么是组播，组播就是数据发送给组内指定主机，比如给100人发消息，只能让指定10人看到数据链路层：
ethernet：以太网协议。多路访问广播，最广泛的局域网协议
ppp：点对点协议，常用于广域网
pppoe：常用于家庭宽度拨号上网数据通信过程：
数据打包过程：
打上tcp头部-->打上ip头部-->打上以太网头部
分别的作用是：用什么协议传输，传输的ip地址，mac地址。总之数据打包，头部信息就包含协议、源目ip，源目mac。
2、IP
IP由 网络位 和 主机位 组成
如何区分网络位：
网络位的区分主要是根据子网掩码区分的。比如说192.168.1.1 255.255.255.0，那么网络位就是前3位，也就确认ip所在网段。
如果是192.168.1.1 255.255.0.0，那么网络位就是前2位。
ip地址类型：
分为网络地址、广播地址、可用地址
一个网段的可用地址数量：2^n-2（n是主机位个数）
网络地址：主机位全0，用来标识一个网络。
广播地址：主机位全1，用来向网络中所有主机发送数据的特殊地址
可用地址：可用分配给网络中节点或设备的地址。子网划分：
向主机位借位，形成子网，从左往右依次借位。
可用x台设备地址：2^n-2>=x （n为主机位，x为x台设备）
举例：现在有192.168.1.0/24，给10台地址计算子网
2^n-2>=10;
n>=4
所以借4位，网络位就成28，最终划分的子网就是192.168.1.240/28ARP协议：
通过目标设备的ip地址，来查询目标设备的mac地址，以保证正常的通信。
arp-a：可以查看主机中的mac信息
ICMP协议：
用于在主机和路由器之间传递控制信息，控制信息指：网络通不通、主机是否可达、路由是否可用等网络本身的消息。主要用来诊断网络问题
icmp的分类：
1.icmp差错控制报文，即通知出错原因的错误消息。
报文类型：
3：目标不可达：路由器无法将数据包发送给目的地址时，会给发送端返回目标不可达的消息
4：源点抑制
5：重定向或改变路由：走了次优路径，数据包到达此路由器后，发送一个路由重定向报文，通知主机去往目的主机的最优路径
9：路由器公告 10路由器请求
11超时：减到0时该IP包会被丢弃
2.icmp询问报文，即用于诊断的查询消息
常见如ping
用于进行通信的主机或路由器之间，用于测试路由器和目的主机的可达性
netstat -t 命令用于显示各种网络相关信息，如网络连接，路由表，接口状态
3、DHCP
Dynamic Host Configuration Protocol 也叫动态主机配置协议
DHCP的优点：
统一管理：有地址池，统一分配，可以看到ip地址的使用情况
地址租期：有效提高地址利用率。告诉服务器地址是否续租，然后服务器对地址是否进行回收
DHCP的工作过程：
分为4步，工作在二层广播域中
1、客户端在局域网内发起一个DHCP discover包，目的是想发现能够给它提供ip的DHCP server。
2、可用的DHCP server接收到discover包之后，通过发送DHCP offer包给客户端响应。意义在于告诉客户端它可以提供ip。
3、客户端收到offer包之后，发送dhcp request包，请求分配ip。
4、dhcp server发送dhcp ack数据包，确认信息。
4种数据包：
discover广播、offer单播、request广播、ack单播DHCP租期更新：
默认情况是24小时。
当地址使用租期到50%时，客户端如果还想续租，就会向服务器发送request单播；然后服务器向客户端发送ack单播，刷新延长租期。
DHCP重绑定：如果在50%租期时没有得到原来服务器端的回应，则客户端在87.5%租期时，会发送request广播，任意一台DHCP服务器都可以回应。
DHCP Relay：中继
背景：
真实的网络环境中，不同的用户可能分布在不同的网段，一台DHCP服务器无法满足多个网段的地址分配需求。如果还需要通过DHCP服务器分配IP地址，则需要跨网段发送DHCP报文。此时引入DHCP Relay，将二层广播转换为单播发送给服务器，回复的单播再转换为二层广播发送给pc。
如何配置DHCP
方式有两种，基于接口和基于pool。都是基于vlanif接口配置的
1、基于接口：
前提路由器已经配置好ip和掩码
#1 先进入路由器 sys ---该命令进入管理配置模式
#2 输入 dhcp enable ---启动dhcp服务
#3 进入需要启动dhcp的端口 输入int g0/0/0 ---进入需要配置dhcp的接口
#4 输入 dhcp select interface ---表示该端口启动了dhcp，该端口下面连接的所有设备都可以动态分配ip配置接口地址池不参与自动分配的ip范围：
进入接口 dhcp server excluded-ip-address 起始ip 终点ip2、基于pool：
---创建地址池
[Huawei]ip pool 地址池名
---配置网段
[Huawei-ip-pool-地址池名]network xx网段 mask xx掩码
---配置网关
[Huawei-ip-pool-地址池名]gateway-list 网关ip地址
--配置dns
[Huawei-ip-pool-地址池名]dns-list x.x.x.x
--配置域名
[Huawei-ip-pool-地址池名]domain-name 域名
---使用全局地址池
[Huawei-某接口]dhcp select global ---接口是vlanif
---ap找ac
[Huawei-ip-pool-地址池名]option 43 sub-option 2 ip-address xxip
option 43：告诉ap，谁是ac；
sub-option 2：ip的第二种写法格式4、DNS
域名解析器
DNS的解析过程：
涉及到3个域名服务器：根域名->顶级域名->权威域名
1.当输入某个域名时，本机会检查本地host文件或浏览器缓存是否有对应的ip地址映射，如果有就直接使用
2.如果没有的话，本机就会向本地dns服务器发起请求，请求该域名所对应的ip地址
3.本地dns服务器先看缓存记录，如果有对应的域名，直接返回ip地址；如果没有就会向根域名服务器发送请求，比如.com的顶级服务器的ip是多少
4.根域名服务器会告诉本地dns服务器，顶级域名服务器的ip是多少；然后本地dns去找到顶级域名服务器，并请求对应的权威域名服务器的ip是多少。比如baidu.com
5.顶级域名服务器告诉本地dns服务器，权威域名服务器的ip是多少；然后本地dns去找权威域名服务器，并请求对应的域名，如www.baidu.com的ip是多少，最终找到后，返回给本地dns服务器，再返回到客户端如何配置DNS
前提路由器和DNS服务器的ip已经配置了
#1 进入服务器，将某个域名的设置好ip
#2 进入路由器，进入到需要配置DNS的端口，启动DNS服务器
启动命令 dhcp server dns-list xxxip
---现在每个设备都有DNS的ip了，也就可以通过域名访问对应的ip注意：客户端访问目标服务器的时候，也可以不需要dns的。比如qq中内置了腾讯的ip，所以尽管dns地址是错误的，也可以访问。但是访问网页就不行，原因是网站首先要解析域名，如果dns不对就无法解析。
5、网关的作用和路由器的原理
网关的作用：就是作为桥梁，把不同网段进行连通。
路由器的原理：就是将不同网段控制数据通信路线。
查看路由表命令：
display ip routing-table ---查看路由表，转发路线信息
display ip routing-table xxxip ---查看路由表中某一个ip的转发路线。因为实际中路由表会有上千条转发路线。6、路由
作用：将多个路由器之间不同网段进行连接互通
比如：
此处有3个不同网段，如果pc去ping str会ping不通，原因是pc只能到2.1这个地方
如果要ping通，就需要在第一台路由器中配置一条去往目标网段的静态路由，让数据转发到指定的ip端口。相关代码：
下一跳是正常掩码
在路径的路由器中配置，需要配置两趟，去和回两趟。
ip routing-static 目标网段 目标掩码 当前路由下一跳的端口ip
RA去：
ip routing-static 192.168.3.0 255.255.255.0 192.168.2.10
RB回：
ip routing-static 192.168.1.0 255.255.255.0 192.168.2.1路由分类：
按协议分为3种：
直连（direct）、静态（static）、动态（ospf、rip、isis）
路由表：
查看路由表：
display ip routing-table [某个地址]路由表参数：
destination：目标地址
mask：目标掩码
proto：协议
pre：优先级，数字越小，优先级越大。可能到达一个目的地有多条路由，但是优先级的存在让他们先选择优先级高的路由进行利用。
cost：路由开销，数字越小，优先级越大。当到达一个目的地的多个路由优先级相同时，路由开销最小的将成为最优路由。
flag：路由迭代，D不迭代，RD迭代
nexthop：下一跳地址，就是该数据包下一个出口地址
interface：通过那个接口出数据，说明IP包将从该路由器哪个接口转发。缺省路由：
目的是为了去往所有网段地址，配置为ip routing-static 0.0.0.0 0.0.0.0 8个0
浮动路由：
就是一主一备路由。当有多条路由都是往同一个地址走的时候，如果最优路由坏了，就选择走备用路由，也叫浮动路由。
配置需要设置为：iprouting-static xxx网段 xxx掩码 xxx下一跳 preference 数字
这里的preference 数字，如果不写，默认是60
如果需要设置浮动路由，那么数字应该大于60汇总路由：
当有多个网段，并且掩码相同，就可以汇总路由。
比如192.168.1.0、2.0、3.0、4.0这种，就可以汇总为192.168.0.0/16
但是汇总后，会出现路由环路问题，造成的原因就是配置缺省路由时，可能会导致。
如何解决此类环路问题，只需要在下一跳地址后面加上 null0即可。
要计算路由器的汇总路由，需判断这些地址最左边的多少位相同的。计算汇总路由的步骤如下：
第一步：将地址转换为二进制格式，并将它们对齐
第二步：找到所有地址中都相同的最后一位。在它后面划一条竖线可能会有所帮助。
第三步：计算有多少位是相同的。（汇总路由为第1个IP地址加上斜线可能会有所帮助）
172.16.12.0/24 = 172. 16. 000011 00.00000000
172.16.13.0/24 = 172. 16. 000011 01.00000000
172.16.14.0/24 = 172. 16. 000011 10.00000000
172.16.15.0/24 = 172. 16. 000011 11.00000000
......................
172.16.15.255/24 = 172. 16. 000011 11.11111111
IP地址172.16.12.0---172.16.15.255的前22位相同，因此最佳的汇总路由为172.16.12.0/22。动态路由ospf：
ospf的5种报文：
ospf报文直接采用ip封装，在报文ip头部中，协议号为89
报文名称 | 作用 |
Hello | 周期性发送，用来发现和维护ospf邻居关系 |
Database Description | 描述本地LSDB（链路状态数据库）的摘要信息，用于两台设备进行数据库同步 |
LInk State Request | 用于请求对方所需要的LSA（链路状态通告）。设备只有在ospf邻居双方成功交换DD报文后，才会向对方发出LSR报文 |
Link State Update | 用于向对方发送其所需要的LSA |
Link State ACK | 用来对收到的LAS进行确认 |
ospf的3张表：
ospf的工作过程分为3个大步骤，分别是形成邻居关系，形成邻接关系，计算路由。
1、ospf建立邻居，收集LSA（链路状态通告/信息），收集完成形成邻接。
2、用收集到的LSA作为源材料，计算路由开销
3、完成路由
完成这3个大步骤，就分别形成3张表，是ospf邻居表、LSDB表、ospf路由表。
邻居表：
查看命令：
display ospf peer brief ---peer对等体，也就是邻居的意思，brief摘要
参数如下：
Area id：邻居区域号
interface：与邻居相连的端口号
Neighbor id：邻居的router-id
state：Full表示已经完成邻接LSDB表：
查看命令：
display ospf lsdbospf路由表：
display ospf routingospf的网络类型：
一般情况下，链路两端的ospf接口网络类型必须一致，否则双方无法建立邻居关系。
ospf网络类型可以在接口下通过命令手动修改以适应不同网络场景，例如将BMA修改为P2P
p2p：在一段链路上只能连接两台网络设备的环境。
bma：一个允许多台设备接入的、支持广播的环境。
DR与BDR的背景：
什么是DR：
就是为了解决动态路由中，路由学习，并非一个个路由的学，而是到一个收集所有链路的路由上学习，这个路由就是DR而BDR就是DR的备份，当DR故障时，就会启用BDR充当DR的角色。
ospf区域：
为什么ospf要分区域？
因为如果是单区域，在一个网络链路中，有成百上千台路由的话，路由计算开销的成本就很大。当划分为多区域时，每个区域的路由只需要计算各自区域的路由开销即可，也可以收集到其他区域已经计算好的开销，达到网络优化的目的。ospf路由器类型：
区域内路由器：LR
区域边界路由器：ABR
骨干路由器：区域0的就是骨干区域，里面所有路由器都是骨干路由器BR
ASBR：路由引入，用来链接不同的协议
创建ospf命令：
1.首先创建ospf
ospf + 进程号（1-65535）+ router-id +（ip格式）
例如ospf 1 router-id 1.1.1.1
2、添加区域号
area x
3、宣告该路由器所直连的所有网段
network ip网段 反码
[Huawei]ospf 1 router-id 1.1.1.1
[Huawei-ospf-1]area 0
[Huawei-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255其他命令：
配置ospf接口开销：
进入接口输入ospf cost xxx数值
配置ospf带宽参考值：
带宽计算规则是10^8/接口带宽 10^8/1000m=1
进入ospf后输入bandwidth-reference xxx带宽值 默认是100m
配置接口在选DR的优先级：
进入接口处输入：ospf dr-priority xxx
数值越大，优先级越高7、TCP和UDP
TCP：可靠性高，因为要保障每个数据包都能得到回复，但是延迟就会高。所以一般使用场景出现在文件传输中。
UDP：传输速度快，因为他不用保障数据包是否能通信，只要能发送就行，可靠性就低。所以一般使用在游戏中。
拓展：cdn（用于缓解访问压力，比如双11）
CDN的全称是Content Delivery Network，即内容分发网络。CDN是构建在现有网络基础之上的智能虚拟网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率。
8、以太网基础
广播域：广播报文所送达的范围就是广播域，广播域内所有主机都能收到报文。
以太网帧格式：
两个标准：
Ethernet_II（常见）和IEEE 802.3
单播帧：
目的mac地址为单播mac地址的帧，第一段16进制，变成2进制时，最后一位为0，即为单播mac
广播帧：
目的mac地址为广播mac地址的帧，全F就是广播包，发给所有广播域内的设备
组播帧：
目的mac地址为组播mac地址的帧，第一段最后一位换成二进制时为1，即为组播，只发给一组设备，并不是发所有设备
mac地址：
一个mac地址有48bit，6byte。采用16进制和-表示
如00-1E-10-DD-DD-02或 001E-10DD-DD02
交换机mac处理：
交换机中存有mac地址表，其中的数据是所有关于交换机所直连的mac地址，并且交换机可以自动学习mac地址并匹配，当某个设备数据包需要通过交换机时，交换机就记录源mac地址和进入的那条端口匹配。
终端设备有arp表，存的是ip和mac地址的关系，地址解析协议ARP：即可实现将IP地址解析为MAC地址
交换机对于传输介质进入某端口的帧有三种处理行为：
1、泛洪：当交换机中mac表没有目的mac时，就会向除入接口外，所有接口发出
2、转发：有匹配目的mac，就是转发对应设备去。
3、丢弃：当入接口和出接口是同一个，就会丢掉数据包。---集线器收到的数据包都要泛洪
数据封装过程：
数据包构成：
以太网头部+ip头部+tcp头部+用户数据+以太网尾部
以太网头部：封装源mac和目的mac地址
ip头部：封装源ip和目的ip地址
tcp头部：封装源端口和目标端口
以太网尾部：为了保证数据包足够46字节/数据校验9、Vlan和Acl控制网络安全访问
Vlan：虚拟局域网，用来划分不同的虚拟局域网，来达到不同虚拟局域网的隔离。减少广播数据垃圾，网络流量
创建vlan：
在交换机上配置，vlan 编号。比如，vlan 10
vlan batch 编号 :创建多个vlan交换机的接口模式：
access：Access端口只属于1个VLAN
一般用于连接计算机端口，用来连接终端，比如电脑，打印机...
trunk：是端口汇聚的意思,trunk类型的端口可用于多VLAN通信。
用来连接其他的交换机。当设置为trunk时，数据包携带vlan标签，其他交换机就知道某个数据包来自哪个vlan
vlan标签就是802.1q协议标签，这个标签包含了TPID（标签协议标识符）、PRI（优先级）、CFI（标准格式指示符）、Vlan ID(vlan标识符)。这一串vlan标签放在源mac地址后，PRI由Qos决定，Qos为不同数据包做优先级区分。access和trunk的区别：
1.trunk一般用于多vlan通信，vlan端口汇聚。access为交换机与vlan域中某台主机相连
2.trunk一般是打tag标签的，一般只允许打了该tag标签的vlan通过，该端口可以允许多个打tag标签的vlan通过。
而access一般是不打标签的端口，而且access端口只允许一个access1的vlan通过vlan的不同端口下的收发过程：
pvid：基于端口的vlanid。一个端口可以有多个vlan，但只能有一个pvid。收到一个不带tag头的数据包时，会打上pvid所表示的vlan号，视同该vlan的数据包处理。
access口：
收：没有vid标签的，打上pvid，接收；有vid标签的，则丢弃
发：拆掉vid标签，发出
trunk口：
收：没有vid标签，打上pvid，接收；有vid标签的，在vid允许范围列表中，接收，否则丢弃。
发：vid标签=pvid，拆掉vid标签，发出；vid标签！=pvid，直接发出划分vlan：
#1 先进入需要设置的交换机中的那个接口，设置接口模式为access或者trunk。
int g0/0/1 ---进入直连终端的端口
port link-type access ---设置接口模式为access
#2 划分vlan
port default vlan 编号设置允许通过的vlan：
进入路由器，交换机之间的接口，配置以下命令
port trunk allow-pass vlan all ---允许所有vlan通过 或者指定编号的vlan10、三层交换和单臂路由
用三次交换或单臂路由的目的：
在vlan中，即要隔离故障，又要让不同vlan之间进行通信，此时就要用到三层交换技术(常见)/单臂路由
三层交换技术，就是在另一台交换机上，配置vlan的ip。
演示：
1# 首先在此台交换机上创建与之前所创建的vlan各个编号。
2# 将交换机互连的接口设置为trunk模式。两台交换机互连的接口都必须设置。
3# 进入需要转发数据包的那台交换机，进入vlan编号，配置ip
vlan 10
vlan 20
进入交换机直接端口 port link-type trunk
port trunk allow-pass vlan all
int vlanif 10 ---进入vlan接口
ip add ip地址 掩码
vlan20也是一样的。
此时就完成了三层交换的配置单臂路由：
单臂路由就是在路由器以太网接口下配置若干个子接口，每个子接口对应一个VLAN，这样当路由器的以太网口连接到一个划分VLAN的二层交换机时，可以通过路由器的以太网口，实现二层交换机上多个VLAN之间的互通。
需要用到交换机和路由器，路由器需要创建子接口
1# 在创建好vlan，配置好交换机已使用端口的接口模式
2# 进入路由器，进入交换机与路由器直连的端口的子接口
比如：int g0/0/0.1
3# 配置单臂路由，关联哪个xx vlan通信
dot1q temination vid xx
4# 开启arp广播
arp broadcast enable ---arp协议：通信时解析某个ip所对应的mac
5# 给子接口配ip，也就是网关
其他vlan照上面一样配置即可实现不同vlan之间设备通信11、ACL访问控制列表
访问控制列表的工作原理（不仅要定义规则而且要将规则应用到接口上）:
ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
通配符和正常掩码规则：
正常掩码：前面必须是连续1，后面为连续0，不能中间有0,要换算成二进制之后匹配
比如192.168.1.1 255.255.255.0 前3段都是二进制1
通配符掩码：不要求1或0连续，但0代表必须匹配，1代表可以不匹配。
比如192.168.1.1 0.0.0.255 就表示第四段可以不匹配，像192.168.1.2 .3都可以
还比如192.168.1.1 0.0.255.0 就表示第三段可以不匹配，像192.168.2.1 3.1都可以
如果有这个过滤条件1.1.0.0 0.0.255.255。当有1.1.1.1/32 1.1.1.0/24 1.1.0.0/16 1.0.0.0/8的数据包过来时，此时会按前两位匹配，就会过滤3个网段的包，只有1.0.0.0/8的能正常传输。
这个时候就有缺陷，当只想让一条网段不能通，就无法做到，解决的办法就是前缀列表ip_perfix访问控制列表在接口应用的方向：
-出：已经过路由器的处理，正离开路由器接口的数据包
-入：已经到达路由器接口的数据包，将被路由器处理acl分类：
常用就两种分类
高级acl：advance acl，检查源地址和目标地址
基础acl：basic acl，只会看源地址，不会检查目标地址
基于acl标识方法的分类：
1.数字acl：传统的acl标识方法，创建acl时，指定一个唯一的数字标识 比如在配置视图下 acl 2000
2.命名acl：通过名称代替编号来标识acl 比如在配置视图下 acl name xiaoshou {basic/advance...}
高级acl：（一句命令）
rule + deny/permit 协议 source 源地址网段 源地址反码 destination 目标网段 目标反码
rule deny [ip] source 192.168.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255
---这句命令意思是，acl规则是用ip来拒绝源地址端是192.168.1.0的设备，到192.168.3.0的设备之间的通信。
rule permit ip source any：运行其他所有的以ip规则访问acl的基础配置命令：
1、创建acl
[Huawei]acl acl-number ---使用数字型方法创建acl
[Huawei]acl name acl-name{basic/advance} ---使用命名型方法创建acl2、配置acl规则
[Huawei-acl-basic-2000]rule {deny/permit} 协议 source 源地址网段 源地址反码 destination 目标网段 目标反码acl的配置过程：
1、创建acl规则：
acl 编号（2000-2999基本acl，3000-3999高级acl）
rule + deny/permit 协议 source 源地址网段 源地址反码 destination 目标网段 目标反码
2、将规则用到某个接口上，当做数据传输出入口
traffic-filter [out/in]bound acl 3000
完毕12、NAT网络地址转换（私转公）
私网地址转换为公网地址，保证正常通信，NAT要搭配ACL来配置。
为什么要用NAT？
由于私网地址访问公网地址时，不会访问成功，原因就在于两者不在同一网段中，路由不知道如何转发。
比如说手机，pc一般都是用私网地址，当去访问某个平台时，就是去访问的公网地址，数据包就回不来，就无法通信访问。
私网地址一般是192.168.x.x
172.16.x.x-172.31.x.x
10.x.x.x都属于私网地址。动态NAT（不用）：
是在出口路由器上做了一个地址池，内网PC访问外网时会从地址池内获取一个公网IP。
静态NAT（不用）：
就是公网地址访问私网地址时，需要用到静态NAT，就好比校园网，在学校可以直接用校园网上，但是不用校园网时就需要用到静态NAT。
动态NAT的使用步骤和代码：
1、哪些地址要被设置为地址转换。---用acl规则来控制，用基本acl
代码：
---acl 编号2000-2999
---rule permit source 需要做地址转换的网段 反码
2、创建nat地址池，目的为了转为xx地址
代码：
--- nat address-group 编号 需要转为公网的地址段 ---创建编号为x的地址池
比如 nat address·-group 1 30.1.1.5 30.1.1.10 ：创建nat编号为1的地址池，公网地址范围是5-10
3、将规则用于接口处，
nat outbound acl编号 address-group nat地址池编号
比如 [Huawei-GigabitEthernet0/0/1]nat outbound 2000 address-group 1动态案例：
此时pc1访问60.1.1.2，是无法访问的。原因就是不同网段，路由不知道如何转发，此时用NAT转换为相同网段即可。
代码：
R3：
配置端口ip
<Huawei>sys
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[Huawei-GigabitEthernet0/0/1]ip add 60.1.1.1 24
[Huawei-GigabitEthernet0/0/1]q
创建acl规则
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
[Huawei-acl-basic-2000]q
创建动态NAT地址池，公网ip范围
[Huawei]nat address-group 1 60.1.1.3 60.1.1.6
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]nat outbound 2000 address-group 1
R2：
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 60.1.1.2 24静态案例：
代码：
省略配置ip
R1：
---需要转发数据包，所以需要设置静态路由
[Huawei]ip route-static 163.1.1.0 255.255.255.0 150.1.1.2
---进入出口，配置私网供公网访问的静态NAT配置
[Huawei]int g0/0/1
--- nat server私网服务器， global x.x.x.x：对外访问的ip， inside x.x.x.x：私网服务原本的ip
[Huawei-GigabitEthernet0/0/1]nat server global 172.1.1.1 inside 192.168.1.1NAPT（常用）：
NAPT（network address and port translation）：网络地址端口转换
多台设备需要使用公网时，静态动态NAT只能选择一个不是正在使用的公网ip用来通信。
NAPT就解决了这个问题，一个公网ip可以提供给多个私网设备使用。
NAPT原理：
就是不管多少台私网设备访问公网都是使用1个ip发出去，数据包回来的时候，根据每个设备端口号的不同，就知道数据包是发往哪台私网设备的。
NAPT的使用：
创建acl规则
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
创建nat地址池，ip设置为1个
[Huawei]nat address-group 1 60.1.1.3 60.1.1.3
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]nat outbound 2000 address-group 1Easy IP（常用）：
Easy IP原理：
原理和NAPT相同，区别在于Easy IP没有地址池这个概念，直接将端口ip转换为公网地址
适用于公网ip不固定的场景：如DHCP、PPPoE拨号获取地址。
Easy IP的使用：
创建acl规则
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
进入接口，使用nat外出规则
[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]nat outbound 2000NAT Server：
指定【公有地址：端口】和【私有地址：端口】的一对一映射关系
在公网端口处配置
13、远程管理路由器：telnet/ssh
主机和路由器处于同一网段，就可以在主机上用telnet操作路由器。
telnet所对应的用户界面类型为vty（虚拟类型终端）
前提：首先路由器要设置允许进行telnet，添加用户，设置权限，才可以在本地主机进行通过这个用户操作路由器
命令：
1、创建用户
[Huawei]user-interface vty 0 4 ---表示可以有5个客户端可以操作路由器，user-interface：用户接口，vty：远程连接。
[Huawei-ui-vty-0-4]authentication-mode aaa/password ---选择进入路由器的验证模式，aaa：输入用户名和密码校验；password：输入密码即可。
2、设置密码
[Huawei]aaa
[Huawei-aaa]local-user [String username] password cipher 密码
username：用户名；cipher：隐藏密码***；
3、设置权限
[Huawei-aaa]local-user [username] privilege level [1-15]
privilege：权限 level1-15：等级越高，权限越大
4、设置用户的类型作用
[Huawei-aaa]local-user [username] service-type telnet
5、开启telnet服务
[Huawei]telnet server enableaaa基本概念：
Authentication认证、Authorization授权、Accounting费用，三种安全功能
包含步骤：
1、身份识别
通过账号，密码等标识用户身份
2、认证
识别和认证试图访问资源的用户，有不认证、本地认证（NAS）、远端认证（AAA）
3、授权
确定访问是否获得授权，有不授权、本地授权（internet）、远端授权
4、计费
检测和记录访问情况aaa常见架构：
用户、NAS（network access server）、aaa服务器
NAS：用来接收用户认证信息的设备。两种决策，一是自己存的有认证信息，就自行认证；二是没有存，就需要请求到aaa服务器上请求认证
aaa服务器：存储用户认证信息、授权、计费的设备。
常用的客户端和NAS之间的通信协议：
802.1x
web
pppoeNAS和radius服务器的通信协议：radius
aaa配置命令：
1、进入aaa视图
[Huawei]aaa2、创建认证方案
[Huawei-aaa]authentication-scheme 认证方案名称 ---创建认证方案并进入相应认证方案视图
[Huawei-aaa-authentication-scheme-认证方案名称]authentication-mode {hwtacacs/local/radius}
配置认证方式，local为本地认证，默认情况下就是本地认证3、创建domain并绑定认证方案
[Huawei-aaa]domain 名称 ---创建domain并进入相应的domain视图
[Huawei-aaa-domain-name]authentication-scheme 认证方案名称 ---在domain视图下绑定认证方案4、创建用户
[Huawei-aaa]local-user 用户名 password cipher 密码5、用户服务类型
[Huawei-aaa]local-user 用户名 service-type{terminal/telnet/ftp/ssh/snmp/http}
设置本地用户服务类型，默认情况下，本地用户关闭所有的服务类型6、配置用户级别
[Huawei-aaa]local-user 用户名 privilege level 等级（0-15）14、STP生成树
生成树的出现就是为了解决二层网络环路问题。
环路的经典问题：
1、广播风暴：广播太多，跟风暴一样猛
就是交换机收到BUM帧（广播、未知单播、组播）将其进行泛洪，交换机路线形成环路，就会导致更多泛洪，导致网络资源耗尽。
泛洪：（往所有端口发送）
2、mac地址漂移
就是交换机中对应的mac一直在变动匹配的接口STP基本概念：
1、桥ID（Bridge id）：
由桥优先级和桥mac地址组成
桥优先级为4096的倍数，在STP网络中，首先比较优先级，优先级越小，则该设备为根桥。若优先级相同，则比较mac地址大小，按16进制比较，越小的设备为根桥。
桥mac是交换机的vlan的mac。使用dis int vlan就可以看到。
想人为控制根桥，只需要修改桥优先级。华为设备默认开启了stp服务，自动选择一个根桥
2、开销（Cost）：
每个激活了stp的接口都维护着一个cost值，cost主要用于计算根路径开销，就是到达根的开销。
接口的缺省cost与带宽、工作模式、cost计算方法有关
接口带宽越大，cost值越小
3、根路桥开销（Root Path Cost）：
交换机某个接口到根路桥的成本，就是RPC。RPC是沿途方向所有接口的cost累加。
4、接口id（PID）：
PID，就是运行stp的交换机的每个接口标识。
由优先级和接口编号组成
5、BPDU 网桥协议数据单元
生成树之间传输信息就是BPDU，BPDU是stp的协议报文，分为两种类型。
配置BPDU：就是根桥发出的，交换机转发出去，周期性发送
TCN（拓扑改变通知） BPDU：发给根桥的，比如拓扑发生变化，需要更新mac地址表，发给根桥让其他交换机重写转发。
STP选举过程：
1、选出根桥root：每个交换机运行了stp，就有一个桥id，桥id最小的交换机为根桥
2、选出根端口rp：每个非根桥上，选出1个根端口，就是收到bdpu最优的端口。与根桥直连的端口都是rp
3、选出指定端口dp：一个接口发的bdpu比收到的bpdu更优，就是指定端口。根桥出去的端口都是dp
4、阻塞其他端口：
STP的接口状态：
名称 | 描述 |
禁用DIsable | 该接口不能收发bpdu |
阻塞Blocking | 该接口被STP阻塞，不能发送bpdu，但是可以继续侦听bpdu，不会进行mac地址学习 |
侦听Listening | STP初步认定该接口为根接口或指定接口，可以收发bpdu，但不能学习 |
学习Learning | 收到数据时，进行mac学习 |
转发Forwarding | 正常收发数据，进行bpdu处理 |
阻塞到转发需要经过30s
STP基础配置命令：
1、配置生成树工作模式
stp mode [stp | rstp | mstp]
默认在mstp2、配置接口路径开销算法
stp pathcost-standard [dot2d-1998 | dot1t | legacy]
通用计算算法dot1t，不同厂家设备情况下使用这个。华为默认legacy15、链路聚合：Eth-trunk
什么是链路聚合：
将多个物理端口汇聚在一起，形成一个逻辑端口，以实现出/入流量吞吐量在各成员端口的负荷分担
交换机根据用户配置的端口负荷分担策略决定网络封包从哪个成员端口发送到对端的交换机。链路聚合的作用：
增加链路带宽、提高链路可靠性、实现负载均衡。基本概念：
聚合组 LAG：多条链路聚合成一条逻辑链路。每个聚合组对应一个逻辑接口，也就是链路聚合接口
成员接口和成员链路：组成Eth-trunk接口的各个物理接口叫成员接口，成员接口对应的链路叫成员链路。
活动/非活动接口和活动/非活动链路：活动/非活动接口是参与数据转发/不转发的成员接口。其对应的链路就叫活动链路/非活动链路。
LACP：链路聚合控制协议
聚合模式：根据是否开启LACP，链路聚合可以分为手工模式和LACP模式
手工模式的缺陷：不协商协议，数据包直接转发，所有接口都是活动接口，无法控制哪个口不转发。
必须保证两端的接口属于同一设备，加入同一链路聚合接口，不能让某一个接口连到其他设备上
LACP模式：设备间通过LACPDU报文进行交互，协议协商确保对端是同一设备、同一聚合接口的成员接口
LACPDU报文中包含设备优先级、mac地址、接口优先级、接口号等链路聚合的工作原理：
逻辑链路的带宽增加了大约(n-1)倍，这里，n为聚合的路数。另外，聚合后，可靠性大大提高，因为，n条链路中只要有一条可以正常工作，则这个链路就可以工作。除此之外，链路聚合可以实现负载均衡。因为，通过链路聚合连接在一起的两个(或多个)交换机(或其他网络设备)，通过内部控制，也可以合理地将数据分配在被聚合连接的设备上，实现负载分担。一般不采用手动配置，采用自动配置LACP模式（实现链路动态聚合与解聚合的协议）
链路聚合的使用场景：
1、交换机之间
2、交换机与服务器之间
3、交换机与堆叠系统（堆叠就是多台交换机成为逻辑上的一台）配置命令：
1、创建链路聚合组
interface eth-trunk xx ---xx为trunk-id，表示创建eth-trunk接口，进入接口视图2、配置链路聚合模式
moede {lacp/manual load-balance} ---mode lacp为lacp自动模式，后一个是手动模式，需保持两端链路聚合模式一致3、将接口加入链路聚合组中
eth-trunk xx --xx为trunk-id，在接口模式下，把该接口加入eth-trunk组中，（以太网接口视图）
trunkport interface-type{interface-number} （eth-trunk视图）
比如：trunkport g0/0/1 to 0/0/34、配置系统LACP优先级，
lacp priority xx 4096的倍数，数值越小，优先级越高5、配置接口LACP优先级
进入接口后，lacp priority xx6、最大最小活动接口数（eth-trunk视图下）
max/least active-linknumber{number}
--最小活动接口数，若实际活动接口数小于最小活动接口数，直接down，数据不能转发16、FTP
FTP文件传输协议，是基于TCP协议的。
FTP的传输过程：
有主动模式和被动模式，但真实场景中，都使用的被动模式。也就是客户端主动请求服务器端，服务器端被动建立连接通信。
过程：
1、客户端向FTP服务器端的TCP port21发起三次握手，建立控制连接。
2、用户登录认证
3、客户端发送PASV命令（就是说需要服务器端给我发送数据）
4、服务器端通过Enter PASV命令告知客户端自己的随机开放端口号N（大于1024）
5、客户端向服务器端TCP port N发起三次握手，建立传输连接
6、可以开始文件传输
FTP配置命令：
1、开启FTP服务端功能
[Huawei]ftp server enable2、配置ftp本地用户
[Huawei]aaa
[Huawei-aaa]local-user 用户名 password cipher 密码 ---创建用户
[Huawei-aaa]local-user 用户名 privilege level 等级（0-15） ---给用户授权
[Huawei-aaa]local-user 用户名 service-type ftp ---指定服务类型
[Huawei-aaa]local-user 用户名 ftp-directory [flash:] ---指定服务器的目录演示：
服务器端：ip192.168.1.1 24
[Huawei]aaa
[Huawei-aaa]local-user test password cipher 12345
[Huawei-aaa]local-user test privilege level 15
[Huawei-aaa]local-user test service-type ftp
[Huawei-aaa]local-user test ftp-directory flash:
客户端：
<Huawei>ftp 192.168.1.1
输入用户名和密码即可。
进入ftp视图下，get为下载文件，put为上传TFTP：
简单的FTP，基于UDP协议，TFTP无需登录，直接输入服务器端IP即可操作
<Huawei>tftp [TFTP_Server-IP-address] get/put [filename] ---下载/上传文件
VBR设备只支持作为TFTP客户端17、WLAN
基本的WLAN网络架构：
STA： 终端设备
FAT/FIT AP：无线信号接收设备
（胖AP：小型网络适用；瘦AP：AP+AC大型网络，需要搭配POE交换机（通电））
AC：管理AP的设备
AC和AP通信的协议：CAPWAP协议，控制报文
无线侧组网概念：
BSS：基本服务集，一个AP所覆盖的范围
BSSID：AP的mac地址
SSID：便于用户辨识不同的AP，用SSID代替BSSID
VAP：一个物理AP创建出多个虚拟AP，每个VAP对应一个BSS，就可以提供多个BSS，可以再为这些BSS设置不同的SSID
ESS：多个BSSID相同的设备组成的范围就是ESS，比如校园网
WLAN常用命令：
1、创建ssid模板
创建ssid模板名为xxx，并且设置用户扫描到的ssid名为xx
[AC6605]wlan
[AC6605-wlan-view]ssid-profile name xxx ---创建模板名
[AC6605-wlan-ssid-prof-ssid-xxx]ssid xx ---创建ssid2、创建安全模板
创建安全模板名为xxx，并且设置用户身份验证方式wpa-wpa2(主流) ，数据加密算法aes
[AC6605]wlan
[AC6605-wlan-view]security-profile name xxx ---创建安全模板名
[AC6605-wlan-sec-prof-sec-xxx]security wpa-wpa2 psk pass-phrase 密码 aes ---验证方式和密码加密3、创建vap
配置用户连接ssid后，会加入哪个vlan，以及关联哪个安全策略
[AC6605-wlan-view]vap-profile name vap-test
[AC6605-wlan-vap-prof-vap-test]forward-mode tunnel ---隧道模式 tunnel：就是给数据包加头部（源ip，目的ip）
[AC6605-wlan-vap-prof-vap-test]service-vlan vlan-id xx ---关联用户设备vlan
[AC6605-wlan-vap-prof-vap-test]ssid-profile xx(xx为ssid名) ---关联ssid
[AC6605-wlan-vap-prof-vap-test]security-profile 安全模板名 ---关联安全模板4、创建ap组、关联vap
[AC6605]wlan
[AC6605-wlan-view]ap-group name group-test ---创建ap组
[AC6605-wlan-ap-group-group-test]vap-profile vap-test wlan 1 radio all ---将vap-test关联
--- radio all 放2.4g和5g信号5、ac上添加ap
[AC6605-wlan-view]ap auth-mode mac-auth
[AC6605-wlan-view]ap-id 0 ap-mac ap的mac地址 ---添加ap的mac
[AC6605-wlan-ap-0]ap-name ap-test ---创建ap
[AC6605-wlan-ap-0]ap-group group-test6、指定ac对ap回包的接口
[AC6605]capwap source interface vlanif xxxWLAN通信过程：
通过这个图来介绍：
1、STA发起802.11协议的无线广播报文，被AP接收
2、AP接收后传输到交换机中，但是交换机不能识别802.11的数据包，所以AP端会给这个数据包打上AC报头（源ip，目的ip；也就是ap-ac）
3、交换机根据报头找到指定AC
4、AC将数据包转换为802.3格式的转出到路由器，路由器转出到外网。
WLAN工作流程：
1、首先AP获取ip并发送广播发现AC，与AC建立连接，AP上线
2、AC将业务配置下发给所有AP
3、STA搜索到AP发射的SSID并连接，上线，接入网络
4、wlan网络开始转发数据如上图实验：
要求
部署AC+AP的FIP AP架构
采用隧道模式，AC集中进行无线数据转发
用户可以扫描到ssid为test的wlan，密码为test12345
STA的vlan为172，地址段172.16.10.x/24
AP的vlan为192，地址段192.168.10.x/24
AC的管理地址100.100.100.100 配置在vlanif100里配置思路：
1、实现AC和AP的连通性
2、在AC上配置WLAN相关的各项参数，比如ssid-profile，security-profile，vap-profile
3、将AP加入AP组18、动态路由协议
RIB路由表、FIB转发表
发送组播报文，有两个组播报文地址224.0.0.5/.6。只会在本链路上生效，不会泛洪到其他链路
动态路由协议根据作用范围不同
1、内部网关协议IGP：在一个内部系统中运行，负责路由的计算。常见的IGP协议有ospf、IS-IS
2、外部网关协议EGP：运行在不同自治系统之间，负责路由的传递。BGP是目前最常用的EGP协议。
路由表分类
协议路由表：存放该协议发现的路由信息
本地核心路由表：对各个协议路由表中最优的路由选出来得到的表
路由优选原则：
1、掩码最长匹配。比如，能匹配32位就不会匹配24位
2、pre。根据协议不同优先级也会不同。
3、cost路由引入
概念：路由信息从一种路由协议发布到另一种路由协议上
需要在中间设备（ASBR）上配置，双向引入。比如进入某个协议后，import-route xx协议。这个命令就是在引入其他协议
学习后的路由表Proto字段，（出现协议_ASE）就是学习其他不同协议的路由
路由引入场景：
动态路由协议之间的路由引入
直连路由引入到动态路由
静态路由引入到动态路由OSPF深入学习：
开放最短路径优先（Open Shortest Path First），基于链路状态的内部网关路由协议
ospf的优点：
基于SPF算法，以累计链路开销作为选路参考值
采用组播形式收发部分协议报文
支持区域划分
支持对等价路由进行负载分担
支持报文认证Router ID：
自治系统中唯一标识一台运行ospf的路由器，占32位。
router id选举规则：
手动配置ospf路由器的router id
如果没有手动配，则路由器选择loopback接口中最大ip地址作为router id
如果没有配loopback接口，则使用路由器物理接口最大的ip地址作为router id度量值：
cost=108/接口带宽，最小为1。1M=106
hello报文：
自动发现邻居路由器，完成hello报文中参数协商，建立邻居关系，通过周期性发送和接收，检测邻居运行状态。
字段解释
options：
E：是否支持外部路由
N/P：是否为NSSA区域5种数据包：
1、HELLO：发现邻居，建立邻居关系，检测邻居运行状
2、DBD：数据库描述，包含数据库目录信息
当一个路由器首次连入网络，或者刚刚从故障中恢复时，它需要完整的“链路状态数据库”信息。
3、LSR：链路状态请求；
当一个路由器与邻居交换了数据库描述分组后，如果发现它的链路状态数据库缺少某些条目或某些条目已过期，就使用LSR分组来取得邻居链路状态数据库中较新的部分。
4、LSU：链路状态更新--携带各种LSA（链路状态通告）；在网络运行过程中，只要一个路由器的链路状态发生变化，该路由器就要使用LSU，用洪泛法向全网更新链路状态。
5、LSACK：链路状态确认ospf通信过程：
1、在配置好ospf后，本地收发hello包，建立邻居关系，生成邻居表。
2、在进行条件匹配，匹配成功建立邻接关系，此时需要DBD共享数据库目录，通告LSR/LSU/LSAck来获取未知的LSA信息，当收集完网络中所有的LSA后，形成LSDB
3、LSDB建立完成后，本地基于OSPF选路规则SPF，计算本地到达所有未知网段的最短路径，然后将其加载到路由表中，完成收敛。
4、收敛完成后--hello包周期保活--30分钟周期的DBD比对，若不一致将会使用LSR/LSU/LSack重新获取LSA概述：
什么是las：就是用来装载和传输链路状态信息。
ASBR：两个不同协议的中间设备，比如ospf和rip，路由引入的设备
ABR：ASBR旁边那个设备，用来告知其他设备，要转发经过ASBR的包就先到ABR
lsa类型：
类型 | 作用 |
1（Router LSA） | 每台设备都会产生，描述自身链路状态信息，在区域内传播。 |
2 （Network LSA） | 由 DR 产生，描述本网段的链路信息以及伪节点所连接的设备，在区域内传播（有多少DR就有多少条2类LSA）。 |
3（Network Summary LSA） | 由 ABR 产生，描述区域间路由信息，区域间传播（有多少条网段就会产生多少条3类LSA |
4（ASBR Summary LSA） | 由 ABR 产生，描述ASBR的位置信息，通告给除 ASBR 所在区域的其他区域（特殊区域除外）。 |
5（Autonomous System External LSA） | 由 ASBR 产生，描述AS 外部的路由信息，通告到所有的区域（特殊区域除外stub、nssa）。 |
Link Type | Link ID | Link Data |
p2p：描述一个从本路由器到邻居路由器之间点到点链路，属于拓扑信息 | 邻居路由器的Router id | 宣告该router LSA的路由器接口的ip地址 |
TransNet：一个从本路由器到一个Transit网段。广域网。 | DR的接口ip地址 | 宣告该router LSA的路由器接口的ip地址 |
StubNet：一个从本路由器到一个Stub网段。直连网段 | 宣告该router LSA的路由器接口的网络ip地址 | 该Stub网络的网络掩码 |
区域建路由防环机制：
1、星型拓扑防环设计
每个普通区域之间不能直接连接，都必须各自连接骨干区域（area0），普通区域内部采用SPF树形选路防环。
2、ABR不会将描述到达某个区域内网段路由的3类LSA再注入回该区域。
ABR是区域边界路由器，两个区域之间需要转换LSA，所以就变成3类LSA，这个3类LSA路线不可逆。比如说区域1发到区域0，这个数据就不能再回区域1了
3、ABR从非骨干区域收到的3类LSA不能用于区域间路由传递
路由汇总：
ABR：
进入ospf区域，输入以下命令
abr-summary 汇总网段 汇总掩码安全加固：
1、Silent-Interface静默接口
不会接收和发送hello包，直连的路由任然可以发送出去，只是针对于终端设备的欺骗
2、ospf报文认证
接口认证、区域认证。当两种认证都存在，优先使用接口认证。
要保证正常建立ospf邻居关系，相邻路由器也需要完成相关配置
接口认证：
进入接口，输入以下命令
ospf authentication-mode md5 1 cipher 密码区域认证：
进入区域
authentication-mode simple cipher 密码19、ISIS
中间系统到中间系统，isis主要使用在运营商。中间系统就叫路由器
isis的技术特点：
1、拓展性强。
isis支持各种协议，通过tlv，Tag(Type)—Length—Value方式拓展，在数据包中
2、路由承载能力强
3、收敛速度快，部分重新计算。后续手动lsp更新，如果是部分拓扑变化，执行ispf计算，如果只是路由信息变化，执行的是prc计算（prc就是拓扑不变，只路由信息更新）
isis关键概念：
isis和ospf一样，必须有routerid和区域号，只不过isis是systemid
网络实体名称：
ospf需要多条命令，isis一条命令就完成配置
isis的网络实体名称由area id.system id.sel（网络类型协议）,其中systemid是48位16进制，类似mac地址
比如：10.0000.0000.0001.00，这一串就代表，区域是10，systemid是0000.0000.0001，00协议是ip
常规配置：
[Huawei]isis 1 1代表进程号
[Huawei-isis-1]network-entity 10.0000.0000.0001.00
[Huawei]int g0/0/0 进入某个接口，启动isis服务
[Huawei-g0/0/0]isis enable 1isis和ospf的区别：
1、路由器角色命名不同，作用相同
ospf | isis |
IR | L1 |
ABR | L1/2 |
ASBR | L2 |
2、ospf的ABR必须是两个区域，isis是同一区域
3、ospf的骨干区域必须是区域0，isis任意
4、ospf的lsr用来请求lsa，lsack表示收到。isis请求用psnp，确认也用psnp
isis工作原理和报文类型：
前提相关概念：
dis：相当于ospf中的dr，收集所有链路的路由。
lsp：相当于ospf中的lsa，用于交换链路状态信息，比如ip，接口
csnp：相当于dbd，用于同步lsp的信息，有哪些lsp信息
psnp：用于请求和确认lsp，相当于ospf的lsr和lsack，psnp的ispid序列号是0，就是请求，非0是确认。
邻居建立过程：
点到点：
两次握手：
只要收到邻居发来的iih，直接形成邻居关系。可能由于单向网络故障导致邻居错误建立
三次握手：
和ospf一样，收到iih，并且邻居表中有自己才形成邻居关系广播型：
三次握手，建立邻居，选举dislsdb同步：
点到点：
1、先发csnp，发出的csnp必须收到对面的psnp回应，否则重传
2、根据csnp中的lsp描述，通过psnp请求缺少的lsp，请求就必须得到lsp回应，否则再请求
3、通过lsp更新，收到lsp报文，使用psnp进行确认，必须得到确认，否则lsp重传广播型：
1、首先向dis发送lsp，dis收集所有的lsp
2、dis周期发送csnp，各个设备可以通过csnp判断自己缺少的lsp，并请求psnp，直到同步区域间路由：
L1的路由器，默认不学习L2的明细路由，用默认路由走。
也就是说，L1区域要访问L2区域时，ATT会置位为1，同时通过一条默认路由，到达L2对面。
L2的路由器，默认学习L1的明细路由。
也就是说，L2去往L1时，需要学习去往L1的路由信息
路由渗透：
某些情况下，需要L1学习L2的路由明细，比如有一个区域多个ABR接入L2时，就需要学习路由明细，选择最优路径。
需要在ABR路由器上写以下命令：
进入isis的进程
import-route isis levle-2 into level-1路由聚合：
也是在ABR下写以下命令
进入isis进程
summary 聚合后的网段 聚合后的掩码 去往的levellsdb解读：
lspid：0000.0000.0001代表发送lsp的设备。.00 .01表示分片
20、BGP
什么是BGP？
就是外部网关协议，用来传递路由的信息，不暴露拓扑信息，跨不同协议路由，传递路由开销的。
还可以跨跳传递（基于TCP）
AS：
as就是在同一组织管理下，选用同一选路策略设备的集合。也叫自治系统
BGP的特点：
1、使用TCP作为传输层协议（端口号为179），使用触发式路由更新，而不是周期性更新路由
2、能够承载大批量的路由信息，支持大规模网络
3、提供丰富的路由策略，能够灵活进行路由选路，并能知道对等体按策略发布路由
4、支持MPLS/VPN的应用，传递客户VPN路由
5、提供路由聚合、路由衰减功能用于防止路由震荡
BGP连接关系建立：
1、首先TCP三次握手
2、三次握手后，设备间发送和回应open包，open包里包含了自身AS号，关系存活时间，自身routerid
My Autonomous System、Hold Time、BGP Identifier
3、设备间发送回应Keepalive包，检查关系是否还在维持
在建立关系的时候，最好使用loopback接口，不使用物理接口。因为loopback接口可以保证在当物理接口有很多的时候出现线路故障时，也能保证连接，正常通信。
BGP报文类型：
报文名称 | 作用 | 发生时刻 |
Open | 协商BGP对等体参数，建立连接 | BGP的TCP连接成功后 |
Update | 发送BGP路由更新 | BGP关系建立之后，有路由更新时发送 |
Notification | 报告错误信息，中止对等体关系 | BGP运行中发现错误时 |
Keepalive | 维持对等体关系 | 建立连接之后 |
Route-refresh | 在改变路由策略后，请求路由重新发送路由信息 | 路由策略改变时 |
报文格式：Route-refresh
AFI：地址族协议，比如ipv4
Res：保留，8bit必须置0
SAFI：子地址族标识，比如ipv4下的单播、组播、vpn这种
BGP的状态类型：
idle、connect、active、opensent、openconfirm、established
最主要最常见的是idle、connect、established
1.idle：初始状态。还没有发tcp包
2.connect：正在建立TCP三次握手。还没有得到回应
2.1bgp启动重传定时器，并等待TCP建立连接
2.2如果tcp建立成功，此时开始发送open报文协商参数，并进入opensent状态
2.3如果tcp建立失败，此时进入active状态。失败的原因可能是发起方的ip，和对方配置的对等体ip不一致
2.4如果重传定时器超时，bgp没有收到bgp对等体的回应，会尝试和其他对等体建立邻居，停留在connect状态
3.active：尝试重新建立tcp连接，建立成功转到connect状态，定时器超时进入connect状态
4.opensent：bgp等待对等体的open报文开始协商参数（版本号，as号，认证信息等）
4.1如果协商成功，发送keepalive报文，转到openconfirm状态
4.2如果协商识别，发送notification报文，转到idle状态
5.openconfirm：bgp等待对等体的keepalive报文
5.1如果收到keepalive，进入established状态
5.2如果收到notification，进入idle
6.established：开始和对等体交互keepalive、update、notification、route-refresh报文。如果收到update或keepalive报文，则发送notification通知对方，并进入idle状态。
BGP路由引入：
有两种方式：Network、import-route
network：
进入bgp区域
network 网段 掩码import-route：
进入bgp区域
import-route 协议 ---比如直连 direct查看bgp路由表时，根据orgin属性可以识别是哪种方式引入。incomplete为import，igp为network
BGP聚合路由：
进入bgp视图下，使用aggregate命令执行bgp路由手工聚合
aggregate 聚合后的网段 聚合后的掩码 detail-suppressedBGP通告原则：
1、只发布最优有效路由 *表示有效，>表示最优
2、从EBGP对等体获取的路由，会发布给所有对等体
3、从IBGP对等体获取的路由，不会发送给IBGP对等体（防环设计）
配置命令：
1、启动BGP
<Huawei>bgp as编号
[Huawei-bgp]router-id ip地址（loopback的地址）
启动BGP，指定本地AS编号。建议使用loopback接口作为routerid2、配置BGP对等体
[Huawei-bgp]peer 对等体的ip地址 as 对等体的编号
如peer 10.10.10.5 as 1003、配置建立对等体使用的源地址、EBGP对等体最大跳数
[Huawei-bgp]peer ip地址 connect-interface 接口
[Huawei-bgp]peer ip地址 ebgp-max-hop 跳数量刷新：refresh bgp all import，在<>视图下
BGP的常见属性：
AS_Path：
表示前往目标网络的路由经过的AS号列表
作用是保证EBGP对等体之间传递无环，因为EBGP之间传递，不会回灌，就是发出的，不再接收
该属性，会影响路由优选：根据经过的AS区域数量来选择经过最少的那条路作为最优路径。
Next_Hop：
表示指定到达目标网络的下一跳。
规则：
1、路由器将BGP路由通告给自己的EBGP对等体时，将该路由的Next_Hop设置为自己的源ip地址
就是说，BGP过来的路由，传给EBGP那边的时候，下一跳的地址是我连接到EBGP的那个出口地址，而不是像ibg那样，下一跳是对面路由器的接收端口的地址。
2、路由器在收到EBGP对等体所通告的BGP路由后（也就是规则1），在将路由传递给IBGP时，下一跳地址不变修改下一跳属性：
使用peer 自身ip出口当下一跳地址 next-hop-local可以在设置项IBGP对等体通告路由时，把下一跳地址设置为自身的出接口ip地址
如：peer 10.10.10.23 next-hop-local，就代表这个下一跳地址修改，不使用原来的
Local_Preference：
表示路由选路的参考值，只能在IBGP对等体间传递，默认值为100
注意事项：
可以在AS边界路由器上使用import方向的策略来修改该属性值。
比如as100和as200交界的路由器，当as200给as100发数据时，对于as100入方向可以修改该属性值
Community：
团体属性，是一种路由标记，用于简化路由策略的执行
可以将某些路由分配给一个特定的Community属性值，之后就可以基于这个值，而不是网络前缀/掩码信息或acl来匹配路由，并执行相应的策略
属性格式：
as号：自定义标记数 =》团体属性号
MED：
多出口鉴别器，一种度量值，用于向外部对等体指出进入AS的首选路径
就是进入本AS的入口有多个时，AS可以使用MED来控制其他AS进入的路径，属性值越小越优
注意事项：
如果该BGP路由是本地始发（本地通过network或import-route命令引入）的，则缺省携带MED属性发送给EBGP对等体。
如果该BGP路由为从BGP对等体学习到的，那么该路由传递到EBGP对等体时，不会携带MED
路由选路规则：
为什么要做路由优选？
为了网络通信速度快，减少路径中的开销，或者在相同开销下，需要选择一条作为主路。
丢弃路由下一跳不可达：
路由前缀匹配规则：
ip ip-prefix 规则名称 [index 10] permit 去往的网段 掩码
路由策略（搭配路由前缀使用）：
route-policy 策略名称 permit node 10 --创建路由策略，策略编号为10
if-match ip-prefix 前缀规则名
apply 前缀规则名 xxx规则（各种路由优选条件）
route-policy 策略名称 permit node 20 ---运行其他操作，无关的路由正常运行
21、路由策略
ip前缀列表：
将路由条目的网络地址、掩码长度作为匹配条件的过滤器
匹配规则：
[Huawei]ip ip-prefix 前缀列表名称 index 序号 permit/deny ip网段 掩码 greater-equal xx less-equal xx ---xx-》xx表示掩码范围route-policy：
一个route-policy由一个或多个节点组成，每个节点包括多个if-match和apply子句
格式：
route-policy route-policy名称 permit/deny node 节点号
if-match 过滤规则
apply 执行操作
比如：route-policy test permit node 10双点双向重发布：
就是两个不同协议之间有相同的路径可以互相传递数据到达对面，但这个情况会产生环路和路由优选问题
路由优选问题主要是因为协议之间的优先级不同，就可能会造成该问题
次优路径解决办法：
1、添加acl规则，不让路由学习次优路径路由
[R3]acl 2001
[R3-acl-basic-2001]rule 5 deny source 10.1.1.0 0.0.0.255
[R3-acl-basic-2001]rule 10 permit any
[R3]isis
[R3-isis-1]filter-policy 2001 import2、添加route-policy，修改优先级大小
[R3]acl 2000
[R3-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255
[R3]route-policy pre permit node 10
[R3-route-policy]if-match acl 2000
[R3-route-policy]apply preference 14
[R3]ospf 1
[R3-ospf-1]preference ase route-policy pre注意：双点双向，各台ASBR都需要配置相同命令
路由环路解决办法：
1、添加acl规则，在引入路由时，过滤掉该路由信息
[R1]acl 2000
[R1-acl-basic-2000]rule 5 deny source 10.1.1.0 0.0.0.255
[R1-acl-basic-2000]rule 10 permit any
[R1]route-policy RP permit node 10
[R1-route-policy]if-match acl 2001
[R1]ospf
[R1-ospf-1]import-route isis 1 route-policy RP2、使用tag来实现路由选择性引入
[R2]acl 2000
[R2-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255
[R2]route-policy tag permit node 10
[R2-route-policy]if-match acl 2000
[R2-route-policy]apply tag 200
[R2]isis 1
[R2-isis-1]import-route ospf route-policy tag
[R3]route-policy tag deny node 10
[R3-route-policy]if-match tag 200
[R3]ospf 1
[R3-ospf-1]import-route isis route-policy tag注意：
isis想打标签，需要修改开销类型。
进入isis进程，输入cost-style wide，即可
22、策略路由PBR
背景：
常规的路由，都是基于目标ip地址访问，可能会走相同路线到达目标。
而现在需要源ip地址到目标地址走不同的路径，这个就需要用到策略路由
命令举例：
[Huawei]policy-based-route PBR名称 permit node 10 --创建PBR
[Huawei-policy-based-route-PBR-10]if-match acl 2000 ---设置ip报文匹配条件
[Huawei-policy-based-route-PBR-10]apply ip-address next-hop ip地址 --设置报文指导动作
[Huawei]ip local policy-based-route PBR名称 ---全局调用
[某个接口]ip policy-based-route PBR名称 ---接口调用PBR分类：
接口PBR：
对收到的数据包，在接口PBR的调用下，选择某条路径进行转发。
本地PBR：
本地始发的数据包进行选路策略
PBR的应用场景：
1、防火墙
数据包过来的时候，不能让他直接到达目标地址，而先转发经过防火墙，然后再转发给目标地址
2、不同网段设备访问不同的外网
MQC：
模块化qos命令行：通过将具有共同特征的数据流划分为一类，并给同一类数据流提供相同的服务
流分类：
匹配感兴趣数据流，可以基于vlan tag、dscp、acl规则分类
流行为：
将感兴趣流报文进行重定向，也就是设置下一跳
流策略：
就是分类加行为。最终要应用到入接口上
配置命令：
1、创建流分类
[Huawei]traffic classifier 流分类名称 operator[and/or]
默认情况下，流分类各规则之间关系为or2、创建流行为
[Huawei]traffic behavior 流行为名称
根据实际情况定义流行为动作，只要各动作不冲突，都可以在同一流行为中配置
[Huawei-behavior-流行为名称]redirect ip-nexthop ip地址 --设置下一跳地址3、创建流策略，并绑定流分类和流行为
[Huawei]traffic policy 策略名称
[Huawei-trafficpolicy-policyname]classifier 流分类名 behavior 流行为名4、调用流策略
在某接口视图下
[]traffic-policy 流策略名 inbound流量过滤：
背景：丢弃不信任报文、限制部门间相互通信
23、RSTP
背景：
STP的收敛速度太慢，达不到现在网络环境的需求，所以出现了RSTP来解决这些问题
对比和问题解决：
1、初始化到收敛
STP从初始状态到完全收敛需要经过30s时间，把该阻塞的端口阻塞，就防止了环路问题。
但是收敛时间过长，RSTP只需要小于1s的时间，即可完成收敛，用到了P/A机制
2、根端口故障，有BP口情况
STP中，根端口故障了，要启动bp（阻塞）端口，需要30s时间。
但RSTP中，用Alrernate Port作为rp(根端口)的代替端口，可以立即进入转发状态。
3、根端口故障，无BP扣情况
切换转发状态需要50s
原因是：RP口故障，收不到根桥的bpdu，自身切换为根桥，开始发送根桥id为自己的bpdu，相邻设备收到次优bpdu不做处理，等待max age才开始重新收敛。
解决方案：认为收到次优bpdu，就是发生链路故障，立即发生更优的bpdu，使用P/A机制完成收敛。
4、终端正常开关机，导致不必要生成树震荡
原因：终端开关机，对应的接口就是开关状态，导致生成树更新拓扑，认为拓扑变化了
解决方案：引入边缘端口，是连接终端的接口，up/down只是正常操作，不需要生成树相关工作，且终端开机立马进入转发状态。
bpdu保护，应用在连接pc的端口，先把该端口配成边缘端口，就不会认为这个是拓扑变化了。
全局下：stp bpdu-protection 自动把所有边缘端口都开启bpdu保护。
5、STP只有根桥才能发送TC置位配置
原因：STP只能让根桥处理TC置位，也就是说拓扑结构发生变化时，其他交换机需要向根桥bpdu通知拓扑结构变化了，根桥收到后，再把更新的bpdu转发给其他交换机
解决方案：所有交换机都可以直接发送TC置位配置BPDU
6、端口状态多余
STP有5个状态，RSTP只需要3个，因为把前3个状态都合并了，前3个都不用转发和学习mac
P/A机制：
p是请求，a是同意打开端口。
P/A机制就是说请求得到同意之后才会打开端口，就不会造成环路。
工作原理：
一开始所有交换机都会认为自己是根桥，所有都会往外面所有端口发p置位的bpdu，自身也收到其他交换机的bpdu。当对比后有某个接口过来的bpdu优先级比其他接口都还高，就回复a置位的agreement，并打开端口，
其他端口则保持不动。然后再比较其他端口的bpdu是否比自身大，如果大，则该端口变成ap。
最终选出根桥，根端口，指定端口，ap（被对方交换机发出更优的bpdu所阻塞的端口），bp（被本机其他接口发的更优的bpdu阻塞的端口）
24、防火墙
没有专门的放行，一律禁止传输。
安全设备默认禁ping，可以手动开启，先进入要ping的接口，service-manage ping permit
1.安全域：
设置哪个接口连的是信任网络（一般是内网）
哪个接口连的是非信任网络（外网），半信任（DMZ）
firewall zone trust --设置防火墙信任网络
[xxx-zone-trust]add int g0/0/1 ---添加信任接口(内网接口 )
[xxx-zone-trust]firewall zone untrust --设置非信任网络
[xxx-zone-untrust]add int g1/0/1 --添加非信任接口（外网接口）2、安全策略：
设置哪些数据包允许通过，哪些拦截
security-policy --安全策略
[xxx-policy-security]rule name xx安全策略名
[xxx-policy-security-rule-xx安全策略名]source-zone trust --设置安全策略的区域是由信任网络而来
[xxx-policy-security-rule-xx安全策略名]destination-zone local --设置去往目标为local（防火墙本身）
[xxx-policy-security-rule-xx安全策略名]action permit --动作为permit防火墙配完ip，怎么能ping通？
1、配置安全域，也就是配置好内网信任区
2、配置安全策略，也就是去往的目标，从信任区里选
3、开启防火墙对应接口运行ping25、VPN
虚拟专用网络Virtual Private Network
26、MPLS
more protocol label switch：多协议标签交换。
不管是否有ip数据包，只要携带了mpls标签，路由器就知道怎么转发
传统ip转发的特点：
首先ip转发得需要有ip路由表，是根据目的地址转发的，并且是逐跳的转发。（PBR根据源）
在BGP中，可以跨设备进行BGP互连，但是中间设备没有BGP，那么在两端的设备想通信时，就不可达MPLS标签报文帧 格式：
在二层报头和三层报头之间，可以插入多个MPLS头部
如：二层报头+mpls1+mpls2+mpls3+ip报头+数据
挨着二层报头的mpls报头，叫外层（顶层）标签，一般作为转发时的依据
挨着ip报头的mpls报头，叫底层（内层）标签，只有该标签的s位置为1，其余的标签为0
mpls：
label（20b）+exp（3b）+s（1b）+TTL（8b）：共32个bit
label：标签集
exp：作qos用
s：栈几位
ttl：防环跳数
MPLS网络模型：
分为ip域和mpls域。
LER：label edge router 标签区域路由器，也就是ip域和mpls域的边界路由器。
LSR：label switch router 标签交换路由器，就是mpls域中的路由器。类型是transient
LSP：label switch path 标签交换路径，就是数据包经过mpls域的路径，一定是单向路径
MPLS结构：
由控制平面和数据平面组成。
控制平面：就是协议做的事情，生成路由表
数据平面：就是根据形成的表，对数据转发的过程。（数据平面包括FIB表，LFIB表；FIB表示ip报文的转发表，LFIB表示携带标签的转发表）
当一个ip报文发送经过mpls域时，查看FIB表后，转发出去可能是ip报文，也可以是带标签报文。
当收到一个带标签的报文，查看LFIB表，转发出去可能是ip报文，也可以是带标签报文。
参与了mpls的路由器，FIB表中实际上也有标签信息的。
MPLS转发-ingress LER
查看FIB表命令：
display mpls lsp include xxxip 掩码 verbosefec：转发等价类
由以下这3个组成NHLFE：下一跳标签转发表项
nexthop：下一跳
out-interface：出接口
label operation：标签动作
动作类型：
push：当ip报文进入mpls域时，mpls边界设备会在二层和ip头部之间插入一个新标签或mpls中间设备标签嵌套会添加新标签。
swap：当报文在mpls域内转发时，根据标签转发表，用下一跳分配的标签，替换mpls报文的栈顶标签
pop：当报文离开mpls域，将mpls报文的标签去掉查找过程：
ip->mpls：查FIB表
display fib ip地址 verbose
然后看下一跳，出接口 标签mpls之间：查lsp，也可以查LFIB
display mpls lsp
可以查看到前缀和标签，ip和出接口mpls->ip：也是lsp，也可以查LFIB表
问题：
mpls转发是根据什么完成数据转发的？
标签mpls常见应用有哪些？
mpls vpn ,mpls te ,mpls qos ,ATOMmpls封装有哪些方式，各自应用范围是什么？
帧模式、信元模式。
帧模式应用在以太网中、ppp链路LDP：标签分发协议
label distribution protocol
LDP是用来在LSR之间建立LDP Session并交换Label/FEC映射信息的协议。相当于ospf要学习其他路由信息的协议
每两个LSR之间形成一个LDP peer。
lsr-id必须手动配置（一般为ip地址），ospf中的router-id可以不用手动配
LDP消息类型：
discovery message：宣告和维护网络中一个LSR的存在
hello报文，用于发现邻居
session message：建立、维护和终止LDP peers之间的LDP session
initialzation：在LDP session建立过程中协商参数
keepalive：监控LDP session的TCP连接完整性
advertisement message：生成、改变和删除FEC的标签映射
label mapping：宣告FEC/Label映射信息
notification message：宣告告警和错误信息。
notification：通知LDP peer错误信息LDP基本发现机制：
就是两台设备之间直连的。用组播
LSR周期性发送hello包。这个消息是封装在udp报文中，目的端口号为646。组播地址为224.0.0.2
当发现邻居后，会建立TCP连接，由ip地址大的一端发起。transport address大的发起，作用就是用来创建TCP连接。
LDP扩展发现机制：
就是跨设备之间连接的。用单播，需要手动配
其余机制与基本发现机制相同
LDP会话建立过程：
1、发送Hello报文以组播方式，目的IP地址为224.0.0.2
2、发现邻居之后，ip大的一方发起TCP连接。
3、TCP建立成功后，拥有最大传输地址的一方将主动发送一个Initialization（初始化）报文给被动方，初始化报文里的信息包括LDP协议版本号、保活时间、标签通告方式、LSR ID及标签空间等。
被动方收到后会对这些参数进行检查，如果认可这些参数，则会给主动方发送自己的初始化报文，同时发送一个Keeplive报文给主动方用以确认。
主动方收到这两个报文后，会检查被动方初始化报文中的相关参数，如果主动方认可这些参数，会给被动方发送一个Keeplive报文用以确认，这时LDP对等体关系已经建立起来了。
简单描述：
主发送initialization报文
被发送initialization和keepalive
主发送keepalive
LDP的状态：
五种状态
1、non existent：LDP会话的最初状态。
在此状态下，双方互相发送 Hello 消息，选举主动方，当收到 TCP连接建立成功事件后状态变为 initialized。
2、initialized：该状态下分为主动方和被动方两种情况。
主动方发送 Initialization消息，转向 OPENsent 状态，等待对方回应Initialization消息。
被动方等待主动方发给自己的 Initialization 消息。如果收到 Initialization消息，且相关的参数可以接受，则发送 Initialization 消息和 Keepalive 消息，转向OPENREC 状态。
3、opensent：主动方发送 Initialization 消息后的状态，在此状态等待被动方回应Initialization消息和 Keepalive 消息。
4、openrec：在此状态无论是主动方和被动方都是发送 Keepalive 消息后的状态，在等待对方回应 Keepalive 消息。
5、OPERATIONAL：此状态表明 LDP会话已经建立。27、VRRP
虚拟路由器冗余协议。也就是网关冗余
基本概念：
VRRP路由器：运行VRRP协议的路由器，VRRP是配置在路由器接口上的，且也是基于接口工作的。
VRID：一个VRRP组由多台协同工作的路由器的接口组成，使用相同的VRID进行标识。然后虚拟出一台路由器，并且一个VRRP组中只能出现一台master路由器
虚拟路由器：多台设备虚拟成的一台路由器，对外会有一个自己手动设置的ip地址（网关），虚拟mac地址是自动生成的，一般为0000-5e00-01xx，xx为VRID
Master路由器：一个VRRP组中承担报文转发任务的路由器。只能是Master路由器才会响应针对虚拟ip地址的ARP请求；Master路由器会以一定时间间隔周期性发送VRRP报文，以便通过同一个VRRP组中的Backup路由器关于自己的存活情况。
Backup路由器：备份路由器，他实时监听Master路由器发来的VRRP报文，准备随时接替Master的工作
Priority：作为选举主从路由器的依据，取值范围是0-255，值越大越优先，相等时比较接口ip地址大小，大的优先。
VRRP负载分担：
通过创建多个虚拟路由器，每个物理路由器在不同的VRRP组中扮演不同的角色，不同虚拟路由器的虚拟ip作为不同内网的网关地址，可以实现流量转发负载分担
常用配置：
创建VRRP备份组并给备份组配置虚拟ip地址
接口视图下
vrrp vrid 虚拟路由器id号 virtual-ip 虚拟ip地址
如vrrp vrid 1 virtual-ip 192.168.1.254配置路由器备份组中优先级
接口视图下
vrrp vrid 虚拟路由器id号 priority xx值
如vrrp vrid 1 priority 200配置备份组中设备的抢占延迟时间
vrrp vrid 虚拟路由器id号 preempt-mode timer delay (delay-value)配置VRRP备份组中设备采用非抢占模式
vrrp vrid 虚拟路由器id号 preempt-mode disable
默认情况下，抢占模式是激活的配置VRRP备份组监视接口
vrrp vrid 虚拟路由器id号 track interface 接口类型 接口号---不完整
