华为HCNA教程(笔记)

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了华为HCNA教程(笔记)相关的知识,希望对你有一定的参考价值。

第一章 VRP操作基础
1VRP基础

MiniUsb串口连接交换机的方法

2eNSP入门

3命令行基础(1)
eNSP中路由开启后(记住port)---第三方软件连接该路由方法:telnet 127.0.0.1 port

用户视图(文件)—–系统视图(系统sys)——接口视图(接口 interface GigabitEthernet 0/0/0)——协议视图(路由)

display hotkey 显示功能键
display clock 显示时间
clock timezone CST add 8 设置时区(先设时区再设时间)
clock datetime 设置时间

header login information #
内容

登录前信息

header shell information 登录后信息(格式同上)Ctrl+] 能够退出查看该信息

用户权限15 命令权限3
为console口配置password:
user-interface console 0 ;进入到相应口
authentication-mode password ;认证模式为passwork
set authentication password cipher huawei ;设置password(路由器不须要)

为vty(telnet)设置password
user-interface vty 0 4
其他同上
user privilege level 3;用户命令等级3(管理员)PS:console不用

dis history-command;显示历史命令

为接口配置2个IP地址(限路由)
system-view
[Huawei]interface gigabitethernet 0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.0.12.1 255.255.255.0
[Huawei-GigabitEthernet0/0/0]interface loopback 0 ;环回接口(逻辑接口)
[Huawei-LoopBack0]ip address 1.1.1.1 32

管理网口配置:
注意:华为交换机有单独的管理网口,不占用机器配置表中的网口
interface MEth0/0/1 //标识有ETH的单独的RJ45网口
ip address 192.168.5.250 24 //设置管理网口的ip地址和掩码

汇聚交换机管理IP配置网关vlanif已在核心交换机内

在汇聚交换机中新加和核心交换机中同样vlanif 。并分配IP(网段同网关)

4.命令行基础(2)

云配置:udp (入口)1---绑定vmware仅主机网卡(出口)2
要做port映射
1-2 双向 2-1 双向

display version
查看路由器基本信息
display interface GigabitEthernet 0/0/0
查看接口状态信息
display ip interface brief
查看全部接口的IP简要信息,含IP地址
display ip routing-table
查看路由表
display current-configuration
查看当前的配置(内存中)
display saved-configuration
查看保存的配置(Flash中)
dir flash:
查看Flash中的文件
save
保存配置文件
reboot
重新启动设备

telnet实验(參照上面命令)
3A认证(不同用户不同password)
user-interface vty 0 4
authentication-mode aaa ;差别password
user privilege level 15
aaa
local-user admin password cipher huawei ;建用户并给password
local-user admin privilege level 15
local-user admin service-type telnet ;类型

telnet登录后使用dis users 可查看当前登录用户

抓包能够分析出telnet的password“Follow TCP Stream”

5.VRP文件系统基础

cd 改变文件夹

more 查看文件内容

copy 复制 copy flash:/vrpcfg.zip vrpcfg.zip (拷贝根文件夹“需加flash”下的配置文件到当前文件夹)

move 移动

delete 删除

rename 改名

undelete 恢复回收站的文件

pwd显示路径

mkdir 创建文件夹

rmdir 删除文件夹

format 格式化

fixdisk 修复文件系统

save 生成cfg.zip

display saved显示保存配置

display cur 显示当前配置

reset saved 删除保存配置 + reboot 第一次N   ==========  设备复位

compare configuration 比較配置文件差别

删除/永久删除文件
delete /unreserved (dir /all 可查看回收站的文件)
恢复删除的文件
undelete
彻底删除回收站中的文件
reset recycle-bin

载入不同的配置文件
dis startup ;查看开机信息。当中有载入配置文件的路径
startup saved-configuration flash:/a.zip ;更改启动配置文件

比較当前配置与下次启动的配置
compare configuration

6.VRP系统管理(1)

路由器做为client :

ftp (FTPserver地址)

get vrp.cc 下载文件到ftp
put vrp.zip 上传文件到ftp

TFTP相关
tftp 10.0.1.184 put(get) vrpcfg.zip

7.VRP系统管理(2)

第二章 静态路由
8.IP路由原理、静态路由基本配置

路由的来源:
直连路由:链路层发现的路由(direct)
管理员手工增加:静态路由 (static)
路由器协议学到的路由:动态路由 (ospf rip)

静态路由特点:
优:实现简单。精确控制。不占资源
缺:不适用大型网络,网络变更须要手动改

dis ip routing-table ;查看路由表,直连11条

ip route-static 192.168.23.0 24 Serial 1/0/0 192.168.12.2
目的 经过(本路由出口) 下一跳(下一路由入口)

9.静态路由深入分析
优先级pre:直连最大0 ----OSPF---静态
度量值cost:同一路由下,选择最小开销(多因素)的路径

以上參数,值越小。优先级越高

匹配原则:目的地址和路由表的掩码做与,再比較路由中的“目的地址”---优先挑掩码大的做匹配

下一跳写法:
点对点:能够省略下一跳;
以太网:能够省略出接口;

dis fib 。终于採纳的路由表

递归查询(带R标志):经过中间多次查询,终于到达目的地址

缺省路由:0.0.0.0 0.0.0.0 网关 ;目的和子网掩码都为0的路由,上互联网都有这条

10.负载分担、路由备份
双线路负载(2条线路同一时候工作):平时2条静态方向不同的路由表,能够达到负载的作用。

浮动路由(路由备份,平时仅仅有一条线路工作):通过当中一条设置成低优先级(增加路由时加preference)的路由,变成浮动(路由表中看不到)。出问题才出现

dis ip routing-table 192.168.4.0 verbose 。查看某一目的路由的具体信息

第三章 RIP

11.动态路由协议基础

常见的动态路由协议有:
RIP:Routing Information Protocol,路由信息协议。
OSPF:Open Shortest Path First,开放式最短路径优先。


ISIS: Intermediate System to Intermediate System,中间系统到中间系统。
BGP:Border Gateway Protocol,边界网关协议。

分类:
自治系统内部的路由协议—— IGP:RIPv1/v2、OSPF、ISIS
自治系统之间的路由协议 —— EGP:BGP

单播,组播

不同路由协议不能直接互相学习。但能够通过路由引入来导入不同的协议

12.RIP简介及基本配置

度量值:跳。最多不能够超过15跳

2个路由学习时,更新是一个方向,学回后的路由指向是相反方向

RIP1.0 : UDP:520port 工作在应用层

RIP 基本配置
rip
network 10.0.0.0 ;仅仅支持主类网络 10.0.1.254 必须写成10.0.0.0

技术分享

rip 1 ;进入相关进程
silent-interface GigabitEthernet0/0/0 ;静默(关闭)某接口发送

第四章 OSPF

20.OSPF基本原理及基本配置

开放式最短路径优先(OSPF)
链路状态路由协议
无环路
收敛快
扩展性好
支持认证

OSPF报文封装在IP报文中,协议号为89。

OSPF工作原理:路由通过LSA泛洪---收集到路由数据库(LSDB)---通过SPF算法---依据自身算出最短路由 (交换的不是路由表,而是数据库)

hello报文建立邻居关系---邻接(同步数据库。full状态)

OSPF区域:分区域为了减小数据大小

配置方法:
ospf
area 0;进入到0区域
network 10.1.1.0 0.0.0.255(代表10.1.1.0网段) ;把该路由器上地址为10.1.1.X 网段的接口应用ospf,有2个方向就要有2个network

同等 10.1.0.0 0.0.255.255 同等 0.0.0.0 255.255.255.255

dis ospf peer brief 。查看ospf邻居信息

第七章 訪问控制列表

35.基本ACL介绍
ACL是用来实现流识别功能的。


ACL(Access Control List。訪问控制列表)是定义好的一组规则的集合,通经常使用于:
标识感兴趣网络流量
过滤经过路由器的数据包

分类:
基本ACL:2000~2999 报文的源IP地址
高级ACL:3000~3999 报文的源IP地址、目的IP地址、报文优先级、IP承载的协议类型及特性等三、四层信息

配置ACL的过程:实际上就是告诉路由器同意或者拒绝某些数据包

ACL难点:通配符、语句顺序、方向性

单台:
rule 10 permit source 10.1.1.1 0.0.0.0
同意来自10.1.1.1主机的IP数据包通过
rule 10 deny source 10.1.1.2 0.0.0.0
拒绝自10.1.1.2主机的IP数据包通过

多台:
rule 10 permit source 10.0.0.0 0.255.255.255
同意来自IP地址为10.×.×.×(即IP地址的第一个字节为10)的主机的数据包通过。

样例:

同意来自10.0.0.0/255.255.255.0的IP数据包通过
rule 5 permit source 10.0.0.0 0.0.0.255 ;掩码位反过来(简单的0和25。复杂)
复杂255.224.0.0 写的话主是 0.31.255.255 224相应机器数32-1=31

特殊的通配符掩码 0 关心位 255 不关心位X
1.permit source any
= permit source 0.0.0.0 255.255.255.255
= permit
2.permit source 172.30.16.29 0 某一具体主机
= permit source 172.30.16.29 0.0.0.0

ACL顺序匹配:一但匹配成功。后面的列表将不再检查(比較苛刻的放前面)
未命中规则(一条都不匹配):不同模块处理不一样。假设是转发模块。则转发数据包;假设是telnet模块,则不同意;假设是路由过滤,不同意路由通过。

禁止192.168.1.1-192.168.1.100思路

技术分享
PS:最后一条,96应该是100

样例:
acl 2000
rule………………..
int gi0/0/0 ;进入相关接口
traffic-filter inbound acl 2000 ;应用到相关接口

dis acl 2000 。查看
dis traffic-filter applied-record ;查看接口(方向)应用了哪个列表

36.基本ACL应用案例

禁止telnet :
user-interface vty 0 4 ;进到vty
acl 2999 inbound 。应用到该接口,和物理接口有差别

rule primit ; ACL中加这名是由于,ACL匹配未成功后,telnet模块,不同意通过数据包

telnet -a 10.2.2.1 192.168.12.1 。-a參数,以指定IP源telnet

时间控制:
time-range work-time 9:0 to 18:00 working-day 6 。定义“work-time” 星期一到六
acl 2001
rule deny time-range worktime ;上班时间不同意上网
rule permit

禁止学习某路由表;
rip 1 。 进到相关rip
filter-policy(过滤策略) 2000 export ;2000为定义的acl ,export 代表向外公布。import代表我要学习

自己主动让匹配宽松的放前面,苛刻的放后面
acl 2200 match-order auto

37.高级ACL
acl number 3000 ;高级
rule 5 permit tcp destination 172.2.0.250 0 destination-port eq www
。同意全部机器TCP訪问目标机器的www 服务
rule 10 deny ip destination 172.2.0.250 0 ;拒绝全部的IP协议(包括icmp)訪问

traffic-filter inbound acl 3000;进入port。并应用

ACL放置位置

基本ACL尽可能靠近目的
高级ACL尽可能靠近源

内能够ping外,外不能够ping内(ping 分析: 去类型为:echo 回类型为:echo-reply)
acl number 3000
rule 5 deny icmp icmp-type echo
rule 10 permit ip
traffic-filter inbound acl 3000

内能够telnet外。外不能够telnet内(tcp三次握手。第一个包不带ack位)
rule 8 permit tcp tcp-flag ack ;放行带ack的
rule 9 deny tcp 。拒绝不带ack的

第八章 网络地址转换

38.静态NAT、动态NAT

静态nat 和外网地址一一相应,n–n 不能降低公网地址;

环回口配置
int lookback 1
ip add 192.168.1.1

ip route-static 0.0.0.0 0 gi0/0/1 61.0.0.2 ;要上网的路由需加的路由表

静态nat配置
int gi0/0/1 。进入外网接口
nat static global 61.0.0.11(公网IP。不一定是接口IP) inside 192.168.1.1
特点:发包源IP地址转换 收包目的IP地址转换
dis nat static ;查看静态nat

动态nat配置
int gi0/0/1 ;进入外网接口
acl 2000 ;定义acl编号
rule permit 192.168.1.0 0.0.0.255 。地址范围内网
nat address-group 1 61.0.0.11 61.0.0.20 ;外网地址范围
nat outbound 2000 address-group 1 no-pat ;先内后外 no-pat 不做port转换
特点:100对50 仅仅能节省部分地址
dis nat session all ;显示 nat 转换情况

39.PAT、NATserver

NAPT or PAT (port地址转换) :动态port转换
设置同动态NAT
nat outbound 2000 address-group 1 ;先内后外 与动态NAT差别:no-pat

Easy IP 配置 (家庭使用,没有固定IP)
nat outbound 2000 ;仅仅指定源IP

port映射
nat server protocol tcp global 202.10.10.1 www inside 192.168.1.1 8080

第一十一章 交换基础、VLAN

50.VLAN原理和配置
简单vlan配置
vlan 10 ;创建 valn
dis vlan
dis port vlan ;接口vlan状态
int eth0/0/0
port type-link access ;接口类型
port default vlan 10 ;配置

Accessport在收到数据后会增加VLAN Tag,VLAN ID和port的PVID同样。
Accessport在转发数据前会移除VLAN Tag。

当Trunkport收到帧时,假设该帧不包括Tag。将打上port的PVID;假设该帧包括Tag,则不改变。
当Trunkport发送帧时,该帧的VLAN ID在Trunk的同意发送列表中:若与port的PVID(trunk2端pvid必须同样。默认是1)同样时,则剥离Tag发送;若与port的PVID不同一时候,则直接发送。

vlan batch 10 20 30 ; 批量10 to 30 (10,11,12.…………30)

配置Trunk
int gi0/0/1
port link-type trunk
port trunk allow-pass vlan all ;同意通过的vlan
port trunk pvid vlan 1 ;改变pvid ,默认是1

dis port vlan active ;查看trunk接口是否打标记,T or U

技术分享

PS:取消Trunk
undo port trunk allow-pass vlan all
port trunk allow-pass vlan 1
port link-type access

51.Hybrid接口

訪port能够连不论什么设备

第一十三章 VLAN间路由、VRRP

58.单臂路由实现VLAN间路由

每一个vlan一个物理连接(一条线)
交换机与路由2根线(有几个VLAN就有几根线) PS:缺点
交换机端:该端配置和“客户port”同样
路由端:仅仅需配IP(网关)

单臂路由

将交换机和路由器之间的链路配置为Trunk链路,而且在路由器上创建子接口以支持VLAN路由。

交换机端:配置trunk
路由器端:
[RTA]interface GigabitEthernet0/0/1.1 。定义子接口
[RTA-GigabitEthernet0/0/1.1]dot1q termination vid 2 。分配VLAN
[RTA-GigabitEthernet0/0/1.1]ip address 192.168.2.254 24 。配置网关
[RTA-GigabitEthernet0/0/1.1]arp broadcast enable 。开启ARP广播

59.三层交换实现VLAN间路由

2层+路由器 路由配虚拟portvlan 和网关
[SWA]interface vlanif 2 ; 2同相关VLAN号
[SWA-Vlanif2]ip address 192.168.2.254 24 ;网关PS:该地址不能在其他VLAN网段中出现

复杂模式:三层接二层(带管理)
中间设置成trunk,三层也要建和二层相关VLAN,int vlanif放在三层上。

第一十四章 交换机port技术
63链路聚合(手工模式)

[SWA]interface Eth-Trunk 1
[SWA-Eth-Trunk1]interface GigabitEthernet0/0/1
[SWA-GigabitEthernet0/0/1]eth-trunk 1
[SWA-GigabitEthernet0/0/1]interface GigabitEthernet0/0/2
[SWA-GigabitEthernet0/0/2]eth-trunk 1

dis eth-trunk 1 ;查看链路

PS: trunkport下做链路聚合方法:先做链路聚合,然后在int eth-trunk 数字下做Trunk

72.防火墙技术

依照防火墙实现的方式,一般把防火墙分为例如以下几类:
包过滤防火墙:简单,每一个包都要检查。缺乏灵活性,策略多影响性能
代理型防火墙:安全,但不方便,针对性强(http代理),不通用
状态检測防火墙:基于连接状态。结合以上2种防火墙的长处

仅仅防网络层和传输层。不防应用层(比方站点漏洞)。
防外不防内;

防火墙的安全区域:

Local(100网网)----Trust(85外网)
-----DMZ(50WEBserver)
高能够訪问低,低不能够訪问高

配置思路
配置安全区域和安全域间。
将接口增加安全区域。


配置ACL。


在安全域间配置基于ACL的包过滤。

1.在AR2200上配置安全区域和安全域间
system-view
[Huawei] firewall zone trust
[Huawei-zone-trust] priority 15
[Huawei-zone-trust] quit
[Huawei] firewall zone untrust
[Huawei-zone-untrust] priority 1
[Huawei-zone-untrust] quit
[Huawei] firewall interzone trust untrust 。配置(进入)域间
[Huawei-interzone-trust-untrust] firewall enable 。开启该域间的防火墙
[Huawei-interzone-trust-untrust] quit

2.在AR2200上将接口增加安全区域
int gi0/0/1
zone OUTSIDE ;相关接口增加到相关区域(华为防火墙:假设不增加的话,与之相连的PC不能訪问该port。和路由有差别)

PS:以上另外等价方法
firewall zone trust ;进入相关区域
add int gi0/0/1 ;增加相关port

PS: dis firewall session all ;查看防火墙的全部会话信息

3.在AR2200上配置ACL (同意外网能够telnet内网)
acl 3001
rule permit tcp destination 192.168.1.100 0 destination-port eq 23 ;同意telnet
firewall interzone INSIDE OUTSIDE 。进入相关域间
packet-filter 3001 inbound;应用相关acl

FTP的主动(FTP本身),被动(client)模式

内网訪问外网FTP。FTP主动模式(PORT)不能传数据(经常外网FTPserver訪问不了。FTP下载软件要改成被动模式),但被动模式(PASV)能够訪问

ASPF配置工作在应用层,检測http、FTP等,能够为这些协议打开放行通道
firewall interzone INSIDE OUTSIDE;进入到相关区域
detect aspf all ;开启检測





















































































































































































































以上是关于华为HCNA教程(笔记)的主要内容,如果未能解决你的问题,请参考以下文章

HCNA-VRP基础

HCNA Routing&Switching之vrp基础

华为HCNA-初级网络基础

华为路由交换配置

HCNA Routing&Switching之vrp远程管理

Hans韩Sir华为安全HCNA V2.5培训视频教程