今天我终于解决了这个问题，通过自建本地 Meting API 并配合 NeteaseCloudMusicApi 和 内网穿透，完美实现了 VIP 歌曲的播放。

这里复盘一下这次 Debug 的过程，并整理成教程指导后人。

可以看见这里的播放时长只有45s，这其实就是网易云会员音乐的试播时长

问题复盘

Aplayer 配合 MetingJS 的工作原理是：前端网页向 Meting API 发送请求（如 GET /api?server=netease&type=url&id=xxx），API 返回歌曲的真实 MP3 链接。

公共 API 失效的原因通常有两点：

1. IP 限制：API 服务器的 IP 被网易云拉黑。
2. Cookie 缺失：没有 VIP 账号的 Cookie，无法调用获取 VIP 歌曲链接的接口。

解决方案非常直观：自己跑一个 API。并在 API 请求中带上自己的 VIP Cookie，然后让 Hexo 博客去请求这个私有 API。

解决方案

我的方案架构如下：

1. 本地后端：在本地运行一个 Node.js 服务，使用 NeteaseCloudMusicApi 库转发请求。
2. 内网穿透：通过 FRP 或 Cloudflare Tunnel 将本地服务暴露到公网（如 api.wenmozhu.de5.net）。
3. 前端配置：修改 Hexo 的 _config.yml，将 meting_api 指向我们自己的域名。

第一步：编写后端代码

在博客根目录下创建一个 local-meting 文件夹，这就是我们的 API 服务端。

1. 初始化项目并安装依赖

1
2
3

cd local-meting
npm init -y
npm install express cors NeteaseCloudMusicApi dotenv

2. 编写 app.js

这是核心代码，负责处理请求并注入 VIP Cookie。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75

/* local-meting/app.js */
const express = require('express');
require('dotenv').config(); // 引入 dotenv
const { song_url, lyric, playlist_track_all, song_detail, playlist_detail } = require('NeteaseCloudMusicApi');
const cors = require('cors');
const app = express();
const port = 3000;

// ====== 配置区域 ======
// 从环境变量读取网易云 Cookie
const MY_COOKIE = process.env.METING_COOKIE || ''; 
// ====================

app.use(cors());

// 辅助函数：格式化返回结果，适配 MetingJS 格式
const createMetingResponse = (req, list) => {
    const { headers } = req;
    // 自动获取当前访问的域名（兼容穿透域名）
    const host = headers.host; 
    const baseUrl = `https://${host}/`;

    return list.map(item => {
        return {
            title: item.name,
            author: item.ar ? item.ar.map(a => a.name).join('/') : 'Unknown',
            // 构造递归链接，让前端再次请求本 API 获取具体资源
            url: `${baseUrl}?server=netease&type=url&id=${item.id}`,
            pic: `${baseUrl}?server=netease&type=pic&id=${item.id}`,
            lrc: `${baseUrl}?server=netease&type=lrc&id=${item.id}`
        };
    });
};

// 路由处理
const handleRequest = async (req, res) => {
    const { server, type, id } = req.query;

    if (server !== 'netease') return res.json({ error: 'Only netease is supported locally' });

    try {
        const commonConfig = { cookie: MY_COOKIE, realIP: '116.25.146.177' }; // 伪造国内 IP

        // 1. 获取歌单
        if (type === 'playlist') {
            const data = await playlist_detail({ id, ...commonConfig });
            // 处理歌单可能只返回 ID 的情况，需要进一步获取详情...
            // (略: 完整逻辑见源码，这里主要是获取 tracks 并调用 createMetingResponse)
             const list = data.body.playlist.tracks || [];
             return res.json(createMetingResponse(req, list));
        }

        // 2. 获取歌曲链接 (VIP 关键点)
        if (type === 'url') {
            const data = await song_url({ id, ...commonConfig });
            if (data.body.data && data.body.data[0].url) {
                return res.redirect(data.body.data[0].url); // 重定向到真实 MP3
            } else {
                return res.status(404).send('Not found');
            }
        }
        
        // ... 处理 pic 和 lrc
    } catch (err) {
        console.error(err);
        res.status(500).json({ error: err.message });
    }
};

app.get('/', handleRequest);
app.get('/api', handleRequest);

app.listen(port, () => {
    console.log(`Local Meting API running at http://localhost:${port}`);
});

第二步：配置环境变量与安全措施

为了保护你的 Cookie 不被泄露（尤其是如果你打算将代码提交到 GitHub），我们需要将敏感信息放入 .env 文件。

1. 创建 .env 文件

在 local-meting 目录下创建 .env：

1

METING_COOKIE="你的完整网易云 Cookie"

2. 配置 .gitignore

在博客根目录的 .gitignore 中加入以下内容，防止敏感文件被上传：

1
2
3

# Meting API Security
local-meting/node_modules/
local-meting/.env

第三步：配置内网穿透

这里我使用的是 Cloudflare Tunnel（或者 FRP），将本地的 localhost:3000 映射到了公网域名 https://api.wenmozhu.de5.net。

这一步保证了无论访客在何处访问博客，都能通过这个公网域名请求到我本地运行的 API。

第三步：修改 Hexo 配置

打开站点配置文件 _config.yml，找到 aplayer 配置项，启用自定义 API：

1
2
3
4
5
6

# _config.yml
aplayer:
  meting: true
  # 填入你穿透后的 API 地址
  meting_api: 'https://api.wenmozhu.de5.net/api?server=:server&type=:type&id=:id&r=:r'
  asset_inject: false

第四步：静默启动脚本

为了方便，我写了一个 VBS 脚本 start_meting_hidden.vbs，可以后台静默启动 API 服务，看不到黑框框：

1
2
3

Set WshShell = CreateObject("WScript.Shell") 
WshShell.Run "cmd /c cd local-meting && node app.js", 0
Set WshShell = Nothing 

将该脚本放入启动文件夹或每次开机运行即可。

效果展示

配置完成后，重新部署 Hexo (hexo clean && hexo g && hexo d)。

现在打开博客，原本灰色的 VIP 歌曲已经可以流畅播放了！因为请求实际上是经过你的本地服务，带着你的 VIP Cookie 去向网易云要数据的。

注意：

1.请妥善保管你的cookie！不要上传到github等网站！

2.这样处理主要是因为我的vps在海外，网易云把我的地址屏蔽了，如果你有一个在国内的vps，那么完全可以在上面跑。

3.只要你有cookie，替换掉app.js的cookie即可使用

day1

实验主题：理论学习与 Python 基础语法实践

上午时段

1. 额外事项处理：接触消防安全相关事宜，占用部分上午时间，后续需协调好理论学习与这类事务的时间分配。
2. 理论学习：学习模型黑箱机制相关内容，了解到模型黑箱是指算法模型在运行过程中，其内部的决策逻辑、特征权重等细节难以被人类解释和理解的特性，该特性在部分复杂机器学习模型中表现尤为明显，后续可结合具体案例深入探究其可解释性优化方案。

下午时段

1. 环境准备：完成 Python 实验环境的安装与配置，确保编程环境可正常运行，为后续语法学习和题目训练奠定基础。

2. Python 基础语法学习

   • 系统学习 Python 基础语法规则，包括变量定义、数据类型等核心内容。
   • 重点掌握字符串拼接操作，熟悉+运算符拼接、join()方法拼接等多种实现方式及各自适用场景。
   • 深入学习列表相关操作，涵盖列表元素的修改（通过索引直接修改、切片修改）、查找（index()方法）、统计（count()方法）等核心功能。
   • 学习函数相关知识，包括函数的定义（def关键字）、封装思想（将功能代码整合为函数，提高复用性），以及外部库的调用方法（import语句导入）。

3. 实操训练：完成两道 Python 基础训练题目，将所学语法知识应用到实际编程中，检验学习效果，提升代码编写和调试能力。

4. 特殊事项：参与神秘开班仪式，具体内容待后续进一步明确。

5. 额外事项处理：涉及百度云相关事宜，增加了当日任务量，后续需梳理相关流程，提高事务处理效率。

问题与反思

1. 当日需处理消防安全、百度云等额外事务，导致学习和实验时间被分割，后续需制定更合理的时间规划表。
2. 模型黑箱机制的理论内容较为抽象，需结合具体的机器学习模型案例进行深入学习，才能更好地理解其原理和应用局限。
3. Python 语法学习中，对于列表的复杂操作和外部库的灵活调用仍需加强练习，通过更多实操题目巩固知识点。

后续计划

1. 协调好理论学习、编程实操与额外事务的时间分配，确保学习进度不受影响。
2. 查找模型黑箱机制的相关案例和文献，加深对理论知识的理解。
3. 增加 Python 编程练习量，重点练习列表高级操作和第三方库的调用。
4. 梳理百度云相关事宜的处理流程，提高事务处理效率。

day2

（一）上午：算法模型代码练习

聚焦机器学习与深度学习核心算法，完成多类模型的代码实现与训练验证，具体包括：

1. 线性回归模型：基于 PyTorch 构建简单线性回归网络，以x_data=[[1.0],[2.0],[3.0]]、y_data=[[2.2],[3.3],[4.4]]为训练数据，定义LinearModel类封装线性层，使用均方误差损失（MSELoss）和随机梯度下降（SGD）优化器完成 100 轮训练，验证模型对输入4.0的预测能力，输出权重w和偏置b的迭代结果。
2. K-Means 聚类：利用sklearn生成含 3 个聚类中心的模拟数据（centers=[[1, 1], [-1, -1], [1, -1]]），实现 K-Means 聚类算法（初始化方式为k-means++），对比原始数据分布与聚类结果，可视化聚类中心与样本分类，并统计训练耗时。
3. RNN 序列建模：基于 PyTorch 实现简单 RNN 模型，针对自定义字典（dict=['e','h','l','o']）的序列数据（x_data=[1,0,2,2,3]、y_data=[3,1,2,3,2]），通过 Embedding 层将离散索引转为向量，结合 RNN 层与全连接层完成序列分类任务，使用交叉熵损失（CrossEntropyLoss）和 Adam 优化器训练 15 轮，输出每轮损失值与模型预测的字符序列。

（二）下午：进阶模型练习 + 实验记录撰写

1. BP 神经网络回归：基于 PyTorch 构建多层全连接神经网络（3 层隐藏层 + Sigmoid 激活），读取number_list.xlsx数据并标准化处理，以均方误差为损失函数、Adam 为优化器，按批次（batch_size=2）训练 300 轮，记录每 10 轮的平均损失值，绘制损失曲线，并将训练完成的模型保存为BP.pt。
2. 实验记录整理：梳理上午 + 下午所有代码练习的核心逻辑、参数设置、训练过程与结果，规范记录各模型的实现细节、关键参数（如学习率、迭代次数、隐藏层维度）及可视化结果，形成完整实验文档。

三、实验总结

1. 技术层面：熟练掌握 PyTorch 构建神经网络的核心流程（模型定义、损失函数 / 优化器选择、训练循环、反向传播），理解线性回归、聚类、RNN、BP 神经网络的核心原理与代码实现差异；
2. 实践层面：掌握数据预处理（标准化、张量转换）、模型保存与加载、结果可视化（Matplotlib 绘图）等工程化技巧；
3. 待优化点：可进一步增加模型评估指标（如聚类准确率、回归 R² 值），对比不同优化器 / 超参数对模型性能的影响。

day3

上午

人工智能体：角色，目标，规则，限制

关键是写提示词：1.上下文前置规则2.反思机制3.trae内置优化

栗子：1. 股票分析智能体

目标：构建一个能智能回答股票证券知识并快速生成网站的智能体。

步骤：

1. 创建智能体，命名为”股票智能分析达人王”

2. 添加所需MCP工具：sequential-thinking、Puppeteer、Notion API

3. 编写提示词，定义智能体角色和工作流程

4. 测试智能体功能，输入指令如”帮我分析当前股市行情并生成分析网页”

效果：智能体自动搜索股票数据，生成包含K线图、趋势分析和预测的网页。

下午

机器学习和数据处理

爬虫收集数据，数据不干净，有缺失值，中位数补充

机器学习十大经典算法：这里最好找一下

数据集分成三部分：1.训练部分2.没有训练的数据放进训练好的模型进行验证—交叉验证（训练集80，测试集20）3.验证集

继续ppt介绍机器学习：1.监督学习（给标签，标注）2.无监督（聚类，分类）3.半监督，强化练习（输入立刻给相应的调整）

时间管理app

day4

飞机，飞，有代码不管他

你这段代码的核心功能是使用 PyTorch 实现一个简单的 RNN（循环神经网络）模型，来学习并预测三维空间中的轨迹数据，本质上是一个时间序列预测任务。生成一组带轻微噪声的三维轨迹数据（x 轴线性增长，y 轴固定值 + 噪声，z 轴固定值），然后用 RNN 模型学习这组轨迹的规律，最终基于已知轨迹片段预测后续的轨迹点，并通过可视化对比原始轨迹和预测轨迹。

深度学习基础（PyTorch）

• 自定义模型：继承nn.Module类，实现__init__（定义层）和forward（定义前向传播）；

• 参数初始化：用nn.init.normal_初始化 RNN 参数，避免初始值异常导致训练不稳定；

• 损失函数与优化器

  ：

  • nn.MSELoss()：回归任务核心损失（分类任务常用nn.CrossEntropyLoss）；
  • optim.Adam()：工业界常用的优化器（比 SGD 收敛更快，自带自适应学习率）；

• 梯度管理

  ：

  • optimizer.zero_grad()：清空梯度，避免梯度累加；
  • detach()：分离张量，切断梯度回传（此处用于隐藏状态，避免跨迭代梯度干扰）。

循环神经网络（RNN）核心

• 序列数据处理：RNN 的核心优势是处理时序 / 序列数据（如轨迹、文本、时间序列），通过隐藏状态保存历史信息；
• 输入输出形状：batch_first=True时，输入形状为[batch_size, seq_len, input_size]（此处 batch_size=1，seq_len=15，input_size=3）；
• 隐藏状态：RNN 的隐藏层输出（out）是每个时间步的结果，hidden_prev是最后一个时间步的隐藏状态（可用于后续预测的初始状态）。

数据处理与可视化

• numpy 与 torch 张量转换：torch.Tensor()将 numpy 数组转为张量，detach().numpy()将张量转回 numpy（预测后需分离梯度才能转）；
• 形状调整：view()（等价于reshape）调整张量形状，适配模型输入要求；
• 3D 可视化：用mpl_toolkits.mplot3d.Axes3D绘制 3D 散点图，展示三维轨迹；
• 中文字体配置：解决 matplotlib 中文乱码和负号显示问题。

时间序列预测任务

• 序列回归：预测连续值（三维坐标），区别于分类任务（预测离散标签）；
• 训练数据构造：用 “历史序列” 预测 “未来序列”（此处是输入后移 5 步的序列作为目标）；
• 随机采样训练：训练时随机选取起始点，避免模型过拟合固定序列。

day5

在报告厅疯狂玩手机，说是参观什么实验室

day6

写代码

day7

上午：深度神经网络

sudo bash reinstall.sh ubuntu 22.04 –password 357159

bash reinstall.sh ubuntu 22.04

第一天

没有车票没回来

第二天

做实验-玩弄虚拟机

虚拟机安装和使用

1.先要有VMWareNet16

2.资源下载

3.解压

4.打开方式用vMware打开22biqdata01.vmx等三台机器
5.开启虚拟机并点击“已移动此虚拟机“
6.登录 root 123456
7.在开启的桌面点击右键打开console
8.修改对应ip 编辑->虚拟网络编辑器->NAT设置->修改成对应网段即可
9.cd /etc/sysconfig/network-scripts
vi ifcfg-ens33

IPADDR= 192. 168. 198.112

GATEWAY=192.168.198.2

10.重启网卡service network restart

11.改主机的映射

vi etc/hosts

192.168.198.111 bigdata01

12.启动yarn前置（data111启动）：start-dfs.sh 启动hdfs start-yarn.sh启动yarn

13.mysql在112机器上systemtcl start mysqld

14.启动hive在113 hive –service metastore & hive –service hiveserver2 & beeline —> 等待20秒 !connect jdbc:hive2://bigdata03:10000

15.zkServer.sh start 启动 zkServer.sh status状态

16. 启动kafka(信息垃圾站，还能互相沟通)

    cd /usr/software/kafka/kafka_bin/config

17. 执行kafka-server-start.sh -daemon ./server.properties

18. 执行producer和consumer之间的通信验证

     kafka-console-producer.sh --broker-list bigdata01:9092 --topic test01

1

kafka-console-consumer.sh --bootstrap-server bigdata01:9092 --topic test01

19. 停止kafka通信：kafka-server-stop.sh

一些行话

机器学习

• 有监督学习：有一些初始的历史数据用于拟合模型
• 无监督学习：对要处理的数据进行一个大致的分类
• 半监督学习=有监督加无监督
• 强化学习：为了未来，付出现在（画饼流）

分类算法

构造分类函数和分类器的方法把数据项映射到大致类别中

回归

等价于函数拟合：使用一条函数曲线，使其很好的拟合已知函数

偏差（数据训练）/方差（数据测试）

值越小拟合的越好

过拟合/欠拟合

过拟合：吸收了噪声（高方低偏）

欠拟合：没有突出到特征（高偏低方）

logistic分布

sigmoid函数

损失函数

优化方法-极大似然法

逻辑回归的优缺点

• 优点：实现简单，广泛的应用于工业上，用l2正则化解决多重共线性
• 缺点：拟合不是很好

一些算法

分类算法-knn最近邻

k个最近的邻居的意思，即每个样本都可以用它最接近的k个邻居来代表

距离度量和分类规则

朴素贝叶斯分类算法

认为数据之间独立并且同分布

决策树

• 特征选择：从数据中选择一个特征作为分类的标准
• 决策树生成
• 剪枝：防止过拟合，缩小树的结构和规模

信息熵

概率越平均熵越大，信息越少，反之熵小信息量大

ID3

大多数情况下不会提供多少有价值的信息

C4.5

改进了id3的依靠信息增益来选择属性，改用信息增益率

集成学习

多个弱学习器合成为强学习器

• bagging：并行—随机森林（很多决策树）

• boosting：串行—每一个决策树都会对上一个决策树进行修正

• stacking：栈算法

• voting：投票算法

关联算法

apriori算法（找出现次数大的，删次数小的）

“A时间发生，B也有可能发生”

FP-growth算法（链表）

是apriori的升级版，采用了更加先进的数据结构，减少了i/o次数，减少扫描次数

• 比apriori快一点
• 实现困难
• 只适用于离散型数据

prefixSpan算法（递归）

推荐算法

协同过滤

基于用户推荐

已知A推荐物品D，看他们之前购物重合度大不大，如果相同则推荐

基于项目推荐

基于内容推荐

基于知识推荐

混合推荐

第三天（大数据）

数据治理

• 数据元
• 元数据
• 主题数据
• 数据仓库（hive）
• 数据湖：存储结构化的数据

价值

• 改善数据质量
• 控制数据风险
• 增强数据安全
• 赋能管理决策

挑战

• 对数据治理的业务价值认识不足
• 领导不重视
• 数据标准不统一，数据整合困难
• 业务人员认为这是it部门的事情
• 缺乏数据治理组织和专业人才

框架

• DAMA-DMBOK
• DCMM
• DGI

​管理面、业务面、样本面、存储面

大数据模型L0-L2

数据治理统一的数据语言L1-l5

人工智能汽车L0-L5

DataArts

DataArts LakeFormation+DataArts Studio

功能：数据集成、架构、开发、质量、资产管理、数据服务、数据安全

计算机视觉-图像识别

1. 图像数字化：包含两个过程：采样和量化（将连续色调的图片转换为计算机可以识别的图像）

​采样：将连续的图像变化为离散的点

​量化：一副8位的图像表示每个采样点有2^8^ =256级

2. 灰度图表示

   

​在数学上用一个矩阵进行图像存储，坐标在左上角

3. RGB三色图
4. HSV比RGB色彩更加丰富

​

5. 其他颜色空间

6. 灰度化计算

​

呼叫强大的python库

7. 像素关系：每个像素上下左右叫4-邻域，对角线上的4个点为D-邻域，加一起叫8邻域

8. 灰度计算：反转：黑变白，白变黑 对比度增强：把数值放大 对比度压缩：把数值减小 伽马矫正：背公式，指数变化

CNN卷积神经网络

输入层–卷积层–池化层–全连接层–输出层

DNN深度神经网络

RNN循环神经网络

语音处理

约定大于规范，规范大于编程

在语音识别中最常见的语音特征是MFCC

语音识别

最伟大的发明

EM算法

boosting（自助算法-穿靴子要自己穿）

长短期记忆网络

GRU

将lstm的遗忘门和输入门合成为一个更新门，属于简化

第四天（好像已经学过了）

云计算优势

1. 按需自助
2. 广泛的网络接入
3. 资源池化，屏蔽底层硬件的差异性
4. 快速弹性伸缩，按需增加或者减少服务器的数量
5. 可计量服务，计量不等于收费

芯片

web界面

nx30 pro已经刷入了immortalWrt的系统，我们将路由器的wan口用双绞线和电脑相连，进入浏览器输入192.168.6.1即可打开web界面

进入之后发现有系统概况、防火墙、路由表、负载均衡等功能，非常直观就能配置而省去了输入命令的麻烦

除此之外openwrt还能支持多种插件服务，比如说clash来对流量进行代理

系统安装

有usb口

1. 利用写盘工具将固件烧录到我们的u盘中变成启动盘
2. 将u盘插入路由器并且连接显示器、鼠标键盘后开机
3. 进行系统安装

无usb口

1. 利用putty工具登录到路由器
2. 开启ssh
3. 刷写uboot（系统引导加载程序）
4. 路由器插电脑上，电脑更改静态ip为192.168.1.2 网关设置为192.168.1.1，浏览器输入192.168.1.1进入uboot的web界面，再选择并且刷入固件
5. 等待路由器重启，将路由器的wan口用双绞线和电脑相连，进入浏览器输入192.168.6.1即可打开web界面

入门课

路由器硬件构成

usb总线速度有点慢，跑802.ac不够

板子

• wifi芯片2.4g，5g一般是外挂的（7621，2.4g，5g）

• 电平：ttl和cmos

• ram：DD2/DDR3

• rom：常见8-32M，一般是spi和nand（nor不用了），spi（串型）是工业用总线，容量不能太大；nand比spi好使，家用型

openwrt-第二周

openwrt暑假期

我们的问题就是第三点，因为我们的芯片崭新出厂

方案：使用官方的或者主线kernel，把openwrt当rootfs使用，需要适配kernel、u-boot、configs、脚本、patch、makefile等

大致过程？

云计算侧重怎么搭建平台和管理

云服务侧重如何使用公有云平台

核心是在公有云使用云服务

云服务是将资源以服务的形式提供，用户仅仅需要在公有云上申请服务就好了

华为云一个账号下可以有很多用户

华为云在注册账号时，会按照账号名自动创建一个用户，这个用户为超级管理员

为了保证后续对系统维护时权限的详细管理，华为云支持iam的管理员创建

云服务地区

• 成本
• 不同区域的云服务可能存在硬件上的差别等等
• 要选择靠近你业务的区域，可减少延迟，提高访问速度

1.单个vpc：计算类服务实践

1. 创建vpc，这个是最大的整体，一个vpc下可以有多台ecs
2. 创建ecs，这是我们的虚拟机，也是我们的服务器，这个ecs之后可以进行镜像的保存（dew）
3. AS的使用，as本质上就是一个服务器的增加和删除的过程，可以设计不同的策略比如说每天0点增加实例，内存使用超过30减少实例等。
4. 不用的资源记得关掉，不然经费顶不住

2.多个vpc之间：网络的实践

一些名称解释：

虚拟私有云（Virtual Private Cloud，以下简称VPC），为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。

安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当云服务器加入该安全组后，即受到这些访问规则的保护。

弹性公网IP（Elastic IP，简称EIP）提供独立的公网IP资源，包括公网IP地址与公网出口带宽服务，以与弹性云服务器、裸金属服务器、虚拟IP、弹性负载均衡、NAT网关等资源灵活地绑定及解绑。

弹性负载均衡

（Elastic Load Balance，简称ELB）是将访问流量根据分配策略分发到后端多台服务器的流量分发控制服务。弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力，同时通过消除单点故障提升应用系统的可用性。

分配策略类型：

1.加权轮询算法

2.加权最少连接

3.源 ip 算法

配置过程：

$\mathbf{1}.$购买弹性负载均衡.

2.配置弹性负载均衡(重新创建/或使用已有).

3.配置监听器

4.配置后端服务器组(添加后端服务器，配置端口/权

重),

5.配置安全组，

6.测试(弹性负载均衡公网 ip:端口号)

对等连接是指两个VPC之间的网络连接。用户可以使用私有IP地址在两个VPC之间进行通信，就像两个VPC在同一个网络中一样。同一区域内，用户可以在自己的VPC之间创建对等连接，也可以在自己的VPC与其他帐户的VPC之间创建对等连接。不同区域间的VPC之间不能创建对等连接。

虚拟专用网络（Virtual Private Network，以下简称VPN），用于在远端用户和虚拟私有云（Virtual Private Cloud，以下简称VPC）之间建立一条安全加密的公网通信隧道。当用户作为远端用户需要访问VPC的业务资源时，可以通过VPN连通VPC。

本实验介绍网络类服务的使用，包括：同一个VPC内两台ECS默认互通、不同VPC间可以利用VPC对等连接互通，不同区域间的VPC通过VPN互通、验证可以利用安全组控制通信、ECS绑定EIP后可以访问公网、ELB进行流量分发等任务。

实验配置要求

• 在上海一区域创建2个VPC，在北京四区域创建1个VPC，体验VPC的使用。
• l 在上海一区域的同一VPC下验证安全组的控制。
• l 在上海一区域下验证EIP的功能。
• l 在上海一区域的不同VPC下验证VPC对等连接的功能。
• l 在上海一区域和北京四区域间验证VPN的功能。
• l 资源释放

实验步骤：

1. 创建网络环境，*如图所示在A区（上海）创建两个VPC1、VPC2，vpc1中包含两个ecs，进行一个elb负载均衡，eip给到一个公网ip，B区（北京创建一个vpc3包含一个ecs）
2. 创建服务器的过程在之前已经实现了，详细看手册，注意的是vpc2和vpc1的网络号不能相同
3. 同一个vpc下ecs互通：默认情况下是可以正常通信的，但是如果将安全组的策略全关闭的话就会ping失败，因为ping的动作被拒绝了，重新放行即可ping通
4. 绑定eip弹性公网地址，在未绑定时还可以使用dns服务找到baidu。com的地址，但是没有公网地址不能通信，在申请并且绑定地址后可以正常通信

为了确保安全登录设备，可采取密钥对的登录方式，需要使用到putty和puttygen等工具，详细参考手册

5. Elb进行流量分发：在ecs上启动http服务，购买配置elb，访问web页面，详细参考手册，需要注意的是出现告警大部分情况下要在安全组中放行某个网段的流量，还有ecs没开机也会报警。（访问elb的公网地址：8881可以看见web界面，刷新界面可以看到不同的server文件，说明有负载分担）

6. 不同vpc之间的ecs之间进行通信—-对等连接（其实我感觉和数通差不多，就是配个路由指过去），注意！！vpc1和vpc2的网段不能相同！！！ 如果在已经创建好的对等连接中，继续向本段vpc扩展子网且和目标网段一样，此时不仅对等连接失效，新添加的子网和原来的在同一个vpc也无法通信，但是删除对等连接后又好了

7. vpn配置挺贵的。。。 第一步购买vpn网关，其实就是买一个或者两个公网地址用来和对方建立ipsec连接，这点和ensp中的配置类似嘛 第二步就是指明对端网关开始对接 第三步就是建立ipsec连接，注意指明对方的子网，越详细越好

云的计费模式

• 包年/月

预付费模式，拉长周期增加优惠

• 按需计费

后付费模式，按实际使用云服务器的时间进行付费

• 竞价计费

按市场价格进行计费，也是后付费模式，以更低的折扣按实际使用时长计费

可用区

可用区是在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离

一个区域内可有多个可用区，一个可用区发生故障后不会影响同一区域内下的其他可用区

随机分配

随机丢到不同的可用区域

镜像

• 公共镜像

云平台提供的标准的操作系统镜像，正版

• 私有镜像

基于云服务器或者外部镜像文件等方式创建的个人镜像，仅用户自己可见。包含了操作系统、预装的公共应用以及用户的私有应用

• 共享镜像

你可以接收其他用户共享的私有镜像

• 市场镜像

提供预装操作系统、应用环境和各类软件的优质化第三方镜像，无需配置，可一键部署，满足建站、应用开发、可视化管理的个性化需求

3.存储类服务实践

呜呜呜说是不考喵

云硬盘evs

顾名思义就是在云上面跑的硬盘呗

我们要学会：

• 购买硬盘
• 挂载硬盘
• 初始化硬盘
• 使用快照

我们需要先在ecs-mp的服务器上挂载-初始化硬盘然后创建一些文件，之后取消挂载再挂载到ecs-test的服务器上面，结果是这个文件不会消失，除非你再次初始化硬盘

1. 购买硬盘：参考书很详细，和前面的购买操作类似‘
2. 初始化硬盘：这个更简单，就和你实体机的操作一样，例如windows就直接在磁盘管理中就可以完成这个操作了
3. 挂载：而linux相对复杂，你需要1.fdisk -l看看有哪些可以初始化，2.再对其进行fdisk /dev/vdb进行分盘，3.输入n进行分区，4.输入p查看信息，5.输入w以保存；6.输入partprobe将新的分区表变更同步到操作系统，7.输入mkfs -t ext4 /dev/vdb1更改格式8.mkdir /mnt/sdc创建挂载点9.mount /dev/vdb1 /mnt/sdc来进行挂载10.输入df -TH查看挂载情况
4. 自动挂载：改系统配置文件/etc/fstab，替换对应的uuid（blkid /dev/vdb1以查看设备的uuid）
5. 快照：这个很有意思，你先在硬盘下乱创建一些文件，然后来到网页控制台创建快照，之后呢只要你用这个快照去创建evs再挂载到ecs上你就能发现这个硬盘里面有东西哦，还和之前那个一模一样哦（相当于给硬盘拍了一张照片）

对象存储服务OBS

如果说evs时是只能给服务器使用的存储服务，那么OBS就是专门给用户进行使用的存储服务，你可以将你windows下的文件夹整个上传到桶里面，等需要的时候再把它拿出来即可

配置过程

1. 获取访问密钥AK和SK，在我的凭证下可以进行创建，下载得到一个excel文件里面就放着我们的AK和SK
2. 下载OBS Browsers+工具，使用AK方式进行登录
3. 创建桶，上传文件或者文件夹
4. 需要下载文件时选择下载即可
5. 多版本控制：开启这个服务后，上传同名文件会同时保留，唯一不同的区别就是修改时间，就很像游戏版本这样

弹性文件服务SFS

就是说一个NFS文件系统同时给多个服务器进行使用

配置步骤

1. 创建虚拟云vpc
2. 创建一个windows的服务器，一个linux服务器，都绑定一个公网ip
3. 创建单个文件系统NFV
4. 在linux挂载该文件系统，并且在该文件系统下创建一个文件
5. 然后再在windows下绑定该文件系统，我的服务器不知道为什么没有NFS的客户端角色导致绑定失败，绑定成功后可以在文件管理中看见我们在linux下创建的文件

存储类型总结

自主学习任务

1. 快照回滚：就是将磁盘的状态保存到某一时间点，当磁盘发生故障或者丢失重要数据的时候就可以使用快照回滚功能将磁盘恢复到之前的状态
2. obs定时上传：之前那个软件里面有定时上传功能，例子：每天0点把更新的数据发到obs桶中
3. 云备份CBR和快照回滚很像，是“面向服务器的快照”

公网带宽

• 按带宽计费：指定公网出方向的带宽大小。按带宽计费适用于访问流量大、访问量稳定的场景
• 按流量计费：；流量值得深思服务网使用过程中产生的出网流量。按流量计费适用于访问流量低、访问量波动较大的场景，带宽不同计费不变
• 加入共享带宽：多ip聚合计费，适用于多业务流量高峰分布于不同的时段，需节约公网成本的场景

流量分配策略

• 加权轮询算法：根据组内后端服务器设置的权重，依次将请求分发给不同的服务器（转圈圈）
• 加权最少连接：将请求分发给比值最小的后端服务器进行处理（找弱鸡—连接数/加权值）
• 一致性哈希算法：源ip算法—对请求的特定字段进行一致性哈希计算，并根据计算的哈希值将请求均匀地分配到后端服务器中。相同哈希值的请求，将会被分发到相同的后端服务器，及时后端服务器个数在发生变化。 源ip算法：根据请求的源ip地址进行哈希计算，源ip相同的请求会被分配到同一台后端服务器（找ip）

会话保持：在一定时间内用户请求服务响应的服务器不发生变化，即是你刷新页面不会发生另外一台服务器来提供服务的情况

四层协议支持源ip

七层协议支持cookie

如果需要从专线、vpn访问时请选择源ip负载均衡

4.运维服务实践

• CTS：云审计：有一个追踪器，可以监控我们的obs桶，还可以配置关键操作通知，创建主题并且用手机订阅–得到华为云的短信轰炸（操作审计，用来约束和管理人为操作是否合理—支持对用户的操作进行全栈式追踪，支持转存和订阅）

• CES：云监控：需要给服务器安装一个插件，详细看手册或者网站指导，安装之后就可以在控制台看见主机的运行状态和性能参数 创建告警：和自动增加减少实例那个例子很像，根据不同的策略来产生告警短信通知你（服务器监控，记录·设备的工作状态—自动监控硬件的情况，自动预警，支持订阅）

• LTS：云日志：就是云上的日志，用来记录系统的一些信息（系统日志，记录了系统的工作状态—自动收集系统日志，支持快速查阅，支持转存）

            1. 创建弹性云服务器日志组和日志流          2. 安装IC agent，网站有教你怎么做，关键点就是AK和SK一定不能搞错，{}这个符号不保留          3. 之后加入到主机组即可，等待一段时间就可以看见日志信息了

5.综合实践-企业网部署到云上

这里我们就不去做云审计了，没钱钱了/////好怪，好多任务都做不完，没做出来，没有感想

核心思想：积极提问，积极甩锅

开课知识科普：

osi七层结结构

osi中的网络层可能会用，更详细，排错会使用osi分层排错，从底层往上层逐级修bug

物理层：

定义电压，接口，网线长度等

数据链路层：

承上启下，承担翻译官的功能，不同线路对数据包装，分为MAC层和LLC层，主要协议是PPP

MAC层：

怎么找非法主机的MAC地址——ARP协议

1.先广播发送一个ARP请求

2.目标收到ARP协议后再发送一个ARP回应报文

缺点：安全性较差，可以欺骗路由器说我是他的用户，这样所有信息就跑别的地方了

二级交换机可以配ip，但它的本质工作不是这个，现在二层和三层的界限和模糊

网络层：

osi的网络编址不是ip（NSAP）

子网号是网络地址的一部分

网络地址是小区，主机地址是你家门牌号

abc类地址分类

已经变得不太重要了，主要还是看子网掩码

首部：0-10-110-1110

子网掩码是多少就写多少个一再补0，再将点的中间按下面转换

子网划分：

公式：2的n次方-2>=需求

n为主机位

网络位=32-主机位

例子：

30位的一个IP给终端，一个IP给网关

一般使用的子网划分地址为172.16.和10.

特殊IP地址：

广播分为在一个网络广播和对所有主机广播

私有地址：

B类16的0到31的255

地址聚合：

就是将二进制相同的部分当做主机位

代理ARP

会产生ARP欺骗的类似效果

Gratuitous ARP

即请求自己的IP地址的MAC地址。

作用:1.验证IP是否冲突

2.更换物理网卡

RARP

RARP使只知道自己硬件地址的主机能够知道其IP地址。ARP是知道IP求MAC，RARP是知道MAC求IP

IP

版本：不是4就是6

首部长度和总长度配合来算载荷

服务类型：TOS包括共8位，包括3 bit的优先权字段（取值可以从000-111所有值），4 bit的TOS子字段和1 bit未用位但必须置0。

标识符：数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报片的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原数据

标志：标志字段中的最低位为MF（More Fragment）。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。

标志字段中间的一位记为DF（Don’t Fragment），意思是“不能分片”。只有当DF=0时才允许分片。

片偏移：片偏移指的是较长的分组在分片后，某片在原分组中的相对位置

生存时间： 每经过一个路由器减一

协议：嗯记，每个协议有特定的数字，例如TCP（6），UDP（17）

传输层：

经典——TCP/UDP，除此之外还有很多其他的协议，如OSPF

tcp首部格式

三次握手：

这里是显式确认

用户希望a，对方回应确认a+1，希望得b，用户回应确认b+1

//后来补充，每个步骤相对应的状态机

客户端发出syn请求（a），进入syn_sent状态，对方接收到后回复a+1的ack,进入到SYN—RCVD状态，并且要求对方回复b，客户端接收到后回复b+1，进入到establish状态，对方接收到后也成为establish状态

四次挥手

tcp是建立在IP不可靠上的，tcp用三次握手和四次挥手来保证可靠传输

建立连接后大家都是establish状态，接着客户端发起结束请求，进入FIN-WAIT1状态，发送u，对方接收到后进入到CLOSE-WAIT状态，并且回复u+1，对方接收到后进入FIN-WAIT2状态，接着服务端再发送最后确认信号seq=w，进入LAST—ACK状态，对方接收到后进入TIME-WAIT状态，发送w+1，等待一段时间后进入CLOSED状态，对方服务器接收到回复后进入到CLOSED状态

UDP的首部格式

与TCP对比

机房：

列头柜不要摸，380v高压！！！

接口：FC，SC，LC，ST

光纤：靠颜色区分，黄色是单模（SM）光纤（1310nm），多模光纤（850nm）：om1，2（橘黄色）om3（蓝色），om4（紫色）

设备配置

1.console配置–实地配置

2.telent配置–远程配置

配置方式：1.仅靠密码控制

1
2
3
4
5
6
7
8
9
10
11
12

<Quidway>system-view -----进入配置模式
[Quidway]interface vlan 1 -----进入管理vlan
[Quidway-Vlanif1]ip address 192.168.28.49 255.255.255.0 -----配置管理ip地址
[Quidway-Vlanif1]quit -----退出
[Quidway]telnet server enable -----打开telnet服务 （一般默认开启）
[Quidway]user-interface vty 0 4 -----用户指定虚拟用户终端接口
[Quidway-ui-vty0-4]authentication-mode password -----配置用户终端接口认证方式 密码验证
[Quidway-ui-vty0-4]set authentication password cipher huawei123 -----设置接口验证密码,密码为huawei123
[Quidway-ui-vty0-4]user privilege level 15 -----设置用户优先级 （可选）
[Quidway-ui-vty0-4]idle-timeout 1 -----设置登陆超时为一分钟 （可选）
[Quidway-ui-vty0-4]return -----返回用户视图
<Quidway>save -----保存

2.用户名加密码控制（aaa）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

<Quidway>system-view -----进入配置模式
[Quidway]interface vlan 1 -----进入管理vlan
[Quidway-Vlanif1]ip address 192.168.28.49 255.255.255.0 -----配置管理ip地址
[Quidway-Vlanif1]quit -----退出
[Quidway]telnet server enable -----打开telnet服务 （一般默认开启）
[Quidway]user-interface vty 0 4 -----用户指定虚拟用户终端接口
[Quidway-ui-vty0-4]authentication-mode aaa -----配置用户终端接口认证方式 aaa验证
[Quidway-ui-vty0-4]user privilege level 15 -----设置用户优先级
[Quidway-ui-vty0-4]idle-timeout 1 -----设置登陆超时为一分钟
[Quidway-ui-vty0-4]quit -----退出
[Quidway]aaa -----进入aaa
[Quidway-aaa]local-user huawei password cipher huawei123 -----创建用户名huawei 密码huawei123
[Quidway-aaa]local-user huawei privilege level 15 -----设置用户优先级
[Quidway-aaa]local-user huawei service-type telnet -----授权用户使用telnet
[Quidway-ui-vty0-4]return -----返回用户视图
<Quidway>save -----保存

实验远程连接成功：

3.ssh,类telnet，但是更加安全

配置方式：1.账号密码方式（与telnet差不多，略）

2.密钥控制:

1. 服务器端生成本地密钥对
   ecc local-key-pair create
2. 配置VTY用户界面

user-interface vty 0 4

authentication-mode aaa

user privilege level 3

protocol inbound ssh

3. 创建SSH用户Client001，ecc认证（自己取名字）

SSH Server:
ssh user client001
ssh user client001 authentication-type password

4. 客户端先生成一个本地密钥对

SSH Server:
sysname client002
ecc local-key-pair create

5. 查看密钥信息

display ecc local-key-pair public

6. 想办法将密钥复制发送到服务器端，再输入保存在服务器里

1
2
3
4
5
6
7
8
9
10

SSH Server:
ecc peer-public-key 1.1.1.1//
 public-key-code begin//
  0400CB04 85C462A2 2169E6B4 CD089C0D 4E27A587 C7D8AAE3 A3FD2714 A7414857
  747BC1F8 E4797A8E CBA0FCE6 475260FE BB5F3C5B 219594DF D7A59B3C 1C5CEEA2
  6ADD5400 B10DF3F1 DDC7A255 38A27469 2BD67DBD AE0A0B40 C3B9C7DC 6D7C83DD
  5FBB3E84 CC057512 1B6D652B 1E722161 3915932B 003C2B7E CC591551 4A4F31E1
  5D5E140E F9（这段就是密钥）
 public-key-code end//
 peer-public-key end//

7. 服务端为这个密钥起名字并与用户绑定,打开stelnet服务
   ssh user client002 assign ecc-key ecckey001

    stelnet server enable

8. 首次认证并连接
   ssh client first-time enable

    stelnet 1.1.1.1

（rsa与ecc配置命令类似）

问题：

asl，qs，mpo是啥？

代理ARP？

代理ARP是 ARP协议 的一个变种。 对于没有配置缺省网关的计算机要和其他网络中的计算机实现通信，网关收到源计算机的 ARP 请求会使用自己的 MAC 地址与目标计算机的 IP地址对源计算机进行应答。 代理ARP就是将一个主机作为对另一个主机ARP进行应答—-度娘

数据通信2

[TOC]

ICMP（互联网控制信息协议）

介绍

ping以及traceroute工作基于icmp，icmp是网络层协议，如果某个包丢失了，那么icmp报文就要把丢失原因告知

ping使用icmp的流程

1. 源服务器向目的服务器发送ICMP回显请求消息数据包
2. 目的服务器发送回显应答
3. 源服务器显示相关数据

traceroute命令

1. 首先 traceroute 会将 IP 包的 TTL 设置 为 1，然后发送 UDP 包，他会填入一个端口号（不可达）作为 UDP 目标端口号（默认是：33434-33534）

2. 当目的主机收到 UDP 包后，会返回 ICMP 差错报文消息（类型 3，代码 3）。参照上面的表，该错报文类型是端口不可达，说明发送方发出的 UDP 包到达了目的主机（该报文中含有IP地址）

3. *有的路由器禁用 ICMP ，那么他就根本不会返回这个 ICMP 差错报文，所以是看不到中间经过的路由IP的。

4. traceroute 在类 Unix/Linux 系统中默认使用的是 UDP 协议，也可以通过参数修改为使用 ICMP 协议；Windows 操作系统中只使用 ICMP 协议

*有时候ApingB可以通，但是反过来就不行了，可能是B的防火墙把ICMP过滤掉了，但是把ICMP封装到UDP或者TCP就可以了

协议类型

ICMP有type码和code码

FTP-Client

路由器启动会从硬盘读取一个镜像然后启动操作系统（.bin） 更换系统就是把它的这个镜像文件替换就好了

换镜像操作：

1. 搭建FTP服务器（网络上有很多这种视频帮助搭建，例如windows的 IIS）

2. 配置和镜像都要备份（FTP加自己的IP地址）

3. put（上传）加路径就能把配置上传到你的云上

4. 从服务器下载镜像文件更换

文件管理FTP

1. 配置路由器Ip
2. 服务器端配置ftp的用户名和密码
3. 服务器开启ftp服务
4. 客户端登陆ftp服务器，dir查看路径，get下载

DHCP（UDP）

本质：配IP

简介：

特点：

ipv6时代DHCP更加不可或缺

DHCP租期不易过长，不然会有大量IP被占用（占着茅坑不拉屎）–两小时推荐

DHCP系统组成

DHCP的地址分配方式

IP地址的动态获取过程

1. discover–能不能给我分配一个ip地址？
2. offer–给它一个IP地址
3. request–我能不能用这个IP？
4. ack（允许）–nak（不允许）

DHCP实验

基于端口

*进入端口，配置pool，打开服务

1. 首先最关键的就是将路由器的端口ip配置

2. 打开dhcp服务

3. 配置地址池，也就是网段，主机会被分配到这些ip地址中的其中一个（元素：网段，网关，dns地址，租约时间）

4. 排除不需要的地址

5. 主机启动dhcp模式，输入ipconfig查看获取的ip地址

   

全局DHCP

*配置pool，进入端口，打开全局

*图片案例同上

1. 还是先为端口配置ip地址
2. 接着创建地址池（IP pool 1）
3. 为这个地址池配置元素（网段，网关，dns服务器，租约）

4. 排除不分配的地址
5. 为接口启动全局dhcp服务##
6. pc机输入ipconfig查看分配的ip地址

中继DHCP

*配置服务器端口pool，声明下一跳，网关路由连上服务器端口

分为了服务端路由器和网关路由（中继）

服务器

1. 端口配置ip
2. 关键：告知路由器要到达某一网段的下一跳在哪（静态路由：ip route-static 192.168.1.0 255.255.255.0 10.0.0.2）
3. 接着就是配置pool池的元素（网段，网关，dns服务器，排除ip，租期时间）

1
2
3
4
5
6
7

ip pool vlan100//pool池创建
 gateway-list 192.168.100.254 //网关
 network 192.168.100.0 mask 255.255.255.0 //地址段
 excluded-ip-address 192.168.100.99 //保留地址
 lease day 0 hour 3 minute 0 //设置租期
 dns-list 114.114.114.114 //dns
#

4. 为端口打开全局DHCP服务（很容易忘记）

dhcp select global

网关路由

1. 接口配置ip
2. 在端口做代理，指明（绑定）dhcp服务器的端口

华为设备密码破解

*user-interface 是管理接口

背景

*如果进入端口后启动aaa模式然后一直quit，就会登不上设备（用户名和密码都没有设置）

实验

ensp做不了

1. 交换机断电重启，按ctrl+b（华为设备一般账号名admin，密码为admin@huawei，忘记了就打咨询电话）
2. 在bootrom 中选择清除console密码

3. 确认后选择模式1启动，设置新的密码

LLDP

通过打开协议将不清晰的网络架构生成出来

display lldp neighbor brief—-查看一个设备所有接口的连接情况

display lldp neighbor interface g0/0/0—-查看某一具体接口连接情况

步骤：

1. 远程控制其中的一台设备
2. display lldp neighbor brief查看一个设备所有接口的连接情况

3. 画大致的拓扑图，再进入具体接口看IP：display lldp neighbor interface g0/0/0—-查看某一具体接口连接情况

4. 重复前三点，直到拓扑完善

*注意：有些线路可能无法显示，解决方法是？

VLAN技术

1. 创建vlan （vlan 2或者 vlan batch 2 3）
2. 进入端口
3. 切换模式为access
4. 划分vlan（port default vlan 2）

逻辑上将一个大的交换机划分成两个以上，两个不同的vlan间无法正常通信

hybrid端口

拥有两个列表——TAG和UNTAG，在TAG列表中的编号的数据打上标签进行转发，在UNTAG列表中的编号的数据剥夺标签转发

VLAN标签

802.1q或者串口封装为vlan打上标签

vlan数量1-4094

本征vlan不打标签（一般将用不到的vlan设置成本征镜像vlan）

arp会从非接收端先广播发送给相同vlan的部分再发送到trunk口

*两个交换机的本征vlan必需相同，不然很可能丢包（port trunk vid 2）

数据通信3

VLAN路由

不同vlan不能通信，划分成了不同的广播域和网段（虚拟）

创建vlan相当于创建了一个网段，但是还缺少了网关，而vlanif接口就解决了这个问题，就相当于vlan网络的网关，这样交换机就能将不同vlan的信息进行转发（拥有他们的ip地址）

*同网段可以通信，跨网段不能通信，可能是pc的网关没配

如果右边的pc3想pingpc4是无法直接通过sw2转发，因为没有配置vlanif接口，这个时候就要依靠左边的sw1（此时扮演的就是vlan路由）pc3通过sw2转发到sw1，sw1发现是转发给vlan2的，把标签改变再转发

VLAN-单臂路由

配置一个不用的vlan id 是很重要的！！！

单臂路由一条线路怎么加两个以上的vlan呢？

在一个物理端口上添加虚拟端口int g0/0/0.1,dot1q terminal vid ？连上vlan，配置ip作为网关，打开arp broadcast enable

以太网端口技术

自协商

带宽很大而主机不需要这么带宽是时，路由器可以根据主机的带宽进行自协商分配带宽（auto negotiation）

以太网的接口模式

流量控制

老师省略了，查资料发现根本看不明白：)

链路聚合

将物理线路逻辑上聚合为一条线路

配置一致（速度一样） 最多八根

*带宽做加法

1. 全局创建eth-trunk 1
2. 端口输入eth-trunk
3. 例子

优点：增大容错率，其中一个线路寄了网络不会寄；带宽增加

注意 逻辑上两个物理变成逻辑接口了，vlan配置都基于这个逻辑接口

手动模式

指LAG不启用任何链路聚合协议，Eth-Trunk的建立、成员接口的加入由手工配置。

（手敲代码）

LACP模式

定义

指LAG启用LACP链路聚合协议，Eth-Trunk的建立、成员接口的加入基于LACP协议协商完成。

优点

由LACP确定聚合组中的活动和非活动链路，又称为M:N模式，即M条活动链路与N条备份链路的模式。这种模式提供了更高的链路可靠性，并且可以在M条链路中实现不同方式的负载均衡。（M里面哪条链路寄了就从N条中选择一条替换）

实验配置

1. 交换机创建eth-trunk接口
2. 模式确认为lacp模式

3. 将端口加入到eth-trunk中，设置优先级（就是确认谁是M谁是N）

3. 设置活动接口数量（M有多少个）

   

实验结果

跨交换机的链路聚合

以后教

端口镜像

把某一个接口的数据复制到你指定的端口，相当于多播

1. 先将你要添加的端口作为observe-port

2. 再将监听的端口mirror添加到observe-port（模式，in/out/both）

STP的原理及配置

*一些叫法：802.1D，802.1W，802.1S（3个版本）

802.1D衍生：华为设备：STP 思科设备：PVST—>PVST+

802.1W衍生：华为设备：R（快速）STP 思科设备：PVRST

802.1S衍生：华为：MSTP

*本质上就是防止闭环

*主要是进行调优，理论知识更重要

交换机的转发流程

1. 先将信息来源的mac地址登记
2. 查看转发表进行转发
3. 找不到，泛洪

环路问题

PC机占用率拉满

在E0/3和E0/4之间反复横跳

原理

消除环路

阻塞某一端口（无关端口）–block（仅能接收一种报文BPDU）

根交换机

一个广播域选一个根交换机（判读依据：BID=桥ID=网桥优先级（32768）+MAC地址），比小不比大，优先级可以更改。（增量4096）

根端口

一个非根桥交换机上选一个根端口

1. 开始都会发送SPDU报文进行第一次选举（比较根桥id大小）

2. 然后比较到达根桥累计路径开销（1G-20000，小的优先）

3. 第二点相同时，比较发送者桥ID（中继桥id小优先）

4. 第三点相同时，比较发送者端口（发送端口小的相连的为根端口）：端口=端口优先级（128）+端口号（只能改优先级，增量16）

5. 比较自己的端口号

指定端口

一个冲突域内选一个指定端口（一般是一个网段）

先找出根交换机（root），再找出根端口（Root port），再找出指定端口（Designed port），最后生成无关端口（NP）

端口状态描述

头脑风暴了哥们,这里的重启时间是真的搞不明白

从断链到重启大约需要50s

stp配置

*理论很烧脑，实验很简单

特殊：stp root primary/secondary（降低优先级）

一般：stp mode stp 和stp priority 4096（设置交换机的优先级）

要改变b的根端口，修改a的端口优先级（int g0/0/0 stp port priority 32）或者改b的端口开销（int g0/0/0 stp cost 2000）

RSTP（快！）

1. 状态只有三个了

2. 端口角色变成4个

3. BPDU格式变化

拓扑变更

每两秒发送的bdpu（hello）是configuration报文

*TCN：topo change notification

收到TC老化时间会从300s减少到15s

这些叫flag信息

课后作业

故障排查

要求

问题来源：

1. pc的网关就ping不通,发现是vlanif地址没有配置
2. 部分pc的地址错误
3. 有些接口被shutdown了
4. 交换机3的两个接口没有配置
5. 交换机2的vlan 100 和200没有创建（马虎了没有发现导致卡了很久）
6. 同一网段接口pvid不同

mstp(多生成树)

1. 实例–基于实例来生成二叉树
2. 每个实例包含一个或者多个VLAN
3. vlan会按照所在的生成树结构转发数据

单实例

1
2
3
4
5
6
7
8
9
10

[Huawei]stp region-configuration   //进入设备的MST域视图，针对MST域的相关配置需在该视图下进行。
[Huawei-mst-region]region-name HCNP  //修改MST域名称
[Huawei-mst-region]revision-level 1  //将MST域的修订级别修改为1，缺省为0
[Huawei-mst-region]active region-configuration   //激活上述配置
Info: This operation may take a few seconds. Please wait for a moment...done.
[Huawei-mst-region]q
[Huawei]stp mode mstp 
[Huawei]stp root primary   //指定主根桥(或者打：stp priority 0，数字越小优先级越高)，备份桥stp secondary
[Huawei]stp enable 
[Huawei]

多实例

1
2
3
4
5
6
7
8
9
10
11
12
13

[Huawei]stp region-configuration 
[Huawei-mst-region]region-name ##
[Huawei-mst-region]instance 1 vlan 2 to 10
[Huawei-mst-region]instance 2 vlan 11 to 20
[Huawei-mst-region]active region-configuration 
Info: This operation may take a few seconds. Please wait for a moment...done.
[Huawei-mst-region]q
[Huawei]stp mode mstp 
[Huawei]stp instance 0 root primary //按照实际设计要求设置，不同交换机主要更改这个
[Huawei]stp instance 1 root primary 
[Huawei]stp instance 2 root secondary 
[Huawei]stp enable 
//mstp配置模式-》命名，vlan添加到实例-》交换机在实例中优先级设置-》启动

综合实验

主要考察vlan划分，链路聚合和dhcp配置的知识点# 数据通信3

[TOC]

MSTP的原理与配置

MSTP的基本概念

问题：单个生成树的弊端—一部分VLAN路径不通/路径可能过长

stp判断向量：根交换机-路径开销–桥ID–端口ID–自己的端口id（有STP就要考虑优化问题）

多生成树实例

vlan2的3700和5700-B断开

vlan3的3700和5700-A断开

*每根线都得到了利用，且能够避免环路

*默认的实例为instance 0

MSTP配置

1. 将vlan划分到不同的实例
2. 设置交换机的优先级（dis stp可以查看桥ID和路径开销），配置优先级要突出在哪一个实例下（stp instance 1 priority 0）
3. 注意：交换机可能会出bug，需要配置一个备份交换机（stp instance 1 priority 4096）

MSTP区域

将多个交换机划分不同的区域，一个区域可以看成一个交换机，这个根桥叫域根

端口角色

根端口在非根桥上，离根桥最近的端口是本交换设备的根端口。根交换设备没有根端口。根端口负责向树根方向转发数据。

指定端口对一台交换设备而言，它的指定端口是向下游交换设备转发BPDU报文的端口。

Alternate端口从配置BPDU报文发送角度来看，Alternate端口就是由于学习到其它网桥发送的配置BPDU报文而阻塞的端口。 从用户流量角度来看，Alternate端口提供了从指定桥到根的另一条可切换路径，作为根端口的备份端口。

Backup端口从配置BPDU报文发送角度来看，Backup端口就是由于学习到自己发送的配置BPDU报文而阻塞的端口。 从用户流量角度来看，Backup端口作为指定端口的备份，提供了另外一条从根节点到叶节点的备份通路。

新鲜的知识点啊

Master端口1、 Master端口是MST域和总根相连的所有路径中最短路径上的端口，它是交换设备上连接MST域到总根的端口。 2、 Master端口是域中的报文去往总根的必经之路。 3、 Master端口是特殊域边缘端口，Master端口在CIST上的角色是Root Port，在其它各实例上的角色都是Master端口。（在多个实例中有一个最好的路径，那么这个实例这个端口叫根端口，在其他实例之中叫master端口）

域边缘端口域边缘端口是指位于MST域的边缘并连接其它MST域或SST的端口。

边缘端口1、如果指定端口位于整个域的边缘，不再与任何交换设备连接，这种端口叫做边缘端口。2、 边缘端口一般与用户终端设备直接连接。 3、 端口使能MSTP功能后，会默认启用边缘端口自动探测功能，当端口在（2 × Hello Timer + 1）秒的时间内收不到BPDU报文，自动将端口设置为边缘端口，否则设置为非边缘端口。

alternate端口是根端口的备份，backup是指定端口的备份

边缘端口

*stp edged-port设置为边缘端口后tcn报文根本发不出来

P（提议：我要成为指定端口）

先将非边缘端口down掉，再发送提议确定新的指定端口，再恢复其他端口（？）

实验配置

1. stp region-configuration
2. region-name mstp（改名）
3. revision-level 1（版本）
4. instance 10 vlan 100（vlan 绑定实例）
5. instance 20 vlan 200
6. active regionconfiguration（激活配置

优先级（根桥）设置

vlan 100通过sw1/sw2-sw3-sw5
vlan 200通过sw1/sw2-sw4-sw5

对比两条线路发现不同点就在sw3和sw4，所以它们分别就作为实例10的根桥和实例20的根桥

这样vlan100的数据只会由sw3转发

vlan100只会由sw4转发

路由

路由基于路由表进行数据转发

问题：AR1没有PC2网段

路由来源

1. 静态路由(static)

pc1连pc2

IP route-static 192.168.2.0 24(目标)12.1.1.2(下一跳)

IP route-static 192.168.2.0 24(目标)23.1.1.3(下一跳)

pc2连pc1（去的地址打了，回来的还没打）

IP route-static 192.168.1.0 24(目标)23.1.1.2(下一跳)

IP route-static 192.168.1.0 24(目标)12.1.1.1(下一跳)

本地出接口模式：下一跳可以写g0/0/0

（不是点到点网络不能用，最好别用）

下一跳的ip地址（你要把数据给谁就写谁的ip地址）

2. 动态路由(具体协议名)

   

3. 直连路由(Direct)

每个交换机接口连接的网段是可以直接记录在路由表的

• 配置完成后pc1和pc2可以互通，但这不代表pc1可以ping通AR3（本质上就是看设备中路由表有没有目的地址的路由，而并不是类似于水管管道处处通畅）

• 实际上路由表正确也可能出错:crying_cat_face:

• 静态路由可以根据优先级和NQA可以做浮动路由，很方便

现实抓包

debug命令—debugging IP icmp verbose（可以选择参数）

ACL可以优化debug体验

terminal debugging

路由协议分类

1. 道听途说，基于跳数
2. 会将不同线路进行对比选择，线路已知，基于开销

路由表

不同协议之间对比优先级（开销参考不同），相同协议比较开销（地位同等才有对比的意义）

优先级

等价路由：ECMP

开销相同的时候会有多个下一跳

最长匹配原则

新的地址进入路由表，会优先与子网掩码大的网段先匹配

（0.0.0.0/0为默认路由-指向外网，在路由表里面兜底）

路由环路

默认路由配置不当容易产生路由环路

浮动路由

静态路由可以配置相同的目标网段但不同的下一跳，优先级设置不同即为浮动路由

动态路由协议

协议概述

路由泛洪

伟大的互联网分享精神：每个路由器会和自己的直连路由器分享自己的路由表，路由器将自己没有的路由添加（30s更新一次）

更新原则：

1. 覆盖：相同路径，选取跳数小的进行覆盖

2. 删除：180s后没有更新认为为无效路由，进行删除—线路断掉，发送路由更新，跳数为16跳，16跳不可达，删除！

路由环路

解决环路方法–最大跳数16

180s才能删除，可是30s就更新一次，导致应该删除的路径跳数一直增加，一直存在

解决方法：跳数为16时即认为不可达，直接删除

解决环路方法–水平分割

*我给你发的消息，你就不要再发给我了（燕子你不要走啊~）

解决环路方法–路由抑制

就是某一个路由器的路由down掉后会立刻向周边路由器“投毒”，发送带16跳的路由更新

RIP

RIPv1基本上用不上了

协议概述

水平分割、毒性逆转、最大跳数和触发更新

V1和V2区别

v2是主播地址：224.0.0.9

v1是广播地址：255.255.255.255

无类：ip地址不按A,B,C类地址进行设置，不超范围就随便打，抓包有掩码

有类：按主类地址进行设置，不用写掩码，抓包也没有掩码

配置

建议：加上undo summary防止多个地址合并例如10.1.1.0变成10.0.0.0

*network不仅宣告了网段，还启动了接口的rip接收和发送功能，相反的，想要手动关闭功能就用silent-interface 接口/all

RIP接口密码登录模式

rip authentication-mode simple ciper 357159

rip authentication-mode md5 nonstandard ciper alex357159 1

两边的key值要一样，认证不匹配路由表不存在

数据通信4

[TOC]

思维导图

这里的DD报文打错了，其实是DBD报文

OSPF路由协议基础

dis ospf peer(full算建立完成)

dis ospf lsdb

ospf router-id xxxx

ospf的协议字段为89

是内部网关协议的一种，基于链路状态算法

基本特点

1. CIDR（无类域间路由）是一种用于对互联网IP地址进行聚合和分配的技术。它通过改变IP地址的分配方式，有效地解决了IPv4地址空间不足的问题。
2. 无路由自环
3. 收敛速度快
4. 使用IP组播收发协议数据224.0.0.5（村民）和 224.0.0.6（村长）（rip v1是224.0.0.9）
5. 支持多条等值路由
6. 协议报文认证(rip v2 的那种认证)

链路状态算法的路由计算过程

1. 建立邻接关系（物理和逻辑上很亲密），不等同邻居关系
2. 泛洪LSA（类似于rip的泛洪），将收到的信息放进LSDB数据库里面
3. 通过SPF算法计算最短路径树
4. 计算路由并且存入IP路由表中

OSPF的基本概念

自治系统AS

在互联网中，一个或多个实体管辖下的所有IP网络和路由器的组合，它们对互联网执行共同的路由策略

Router ID

很多ospf的服务需要id，来源：

1. 手动分配 2.通过活动环回口接口的最大IP 3.通过物理环回口接口的最大IP

（没有邻接关系随便改，否则要重启）

划分区域

area 0：骨干区域，有且只有一个，其他区域必须和骨干区域直连

路由器分类

BR（略）: 所有接口都在area0

ABR（区域边界路由器）：一个在area0 其他的在其他区域

IR（略）：全部接口在其他区域

ASBR（自治系统边界路由器）：使用BGP连接另外一个AS

OSPF的五个报文

1. Hello报文
2. DD报文
3. LSR报文
4. LSU报文
5. LSACK报文

OSPF的七个邻居状态

1. Down
2. Init
3. Two way
4. Exstart
5. Exchange
6. Loading
7. Full

实验基本配置

1. ospf 进程
2. area X进入区域配置
3. network宣告网段
4. （如果需要）设置stub区域或者nssa区域

进阶知识

邻居和邻接

当线路中出现多余的信息转发，就需要DR（村长）和BDR（副村长）

224.0.0.5—其他路由器给DR发信息

224.0.0.6—DR给其他路由器发信息

DR和BDR的选举过程

其他路由器只会和DR建立邻接关系

1. 一开始是先选举BDR，如果发现区域没有DR就成为DR

2. DR寄了之后BDR成为新的DR，然后再将id大的改为BDR

OSPF支持的网络类型

点对点通信，广播通信，多播，NBMA

（p2p和p2mp不进行DR和BDR的选举–两个人还选什么村长）

（广播和NBMA进行DR和BDR的选举）

那么我们怎么更改类型呢？

1. 进入接口

2. ospf network-type xxx

两个接口不一致时只可以建立邻接关系，但是不能交换路由条目

邻居建立

邻居状态

1. down
2. attempt（nbma里面会出现）
3. int：向外发送hello包（空包，没有地址，有自己的router-id），对方收到hello包再回复它的router-id，进入到2-way
4. 2-way（选DR，BDR）：能进入2-way的条件是收到的hello中有自己的router-id
5. exstart(选master和servant)：2-way进start条件：1. 选完BDR（第一个BDR会立刻成为DR）2. 等待40s 3. 不选DR和BDR的链路跳过2-way进入exstart

显示确认：ack发1回2，发2回3

隐式确认：发送序列号为1，回复的数据包也得是1

DBD：类似书本的目录，进行master的选举，servant的序列号改为master的序列号

6. exchange交换DBD包（有内容）

7. loading：我给你发request，你给我回update

邻居关系建立

1. router-id不能相同
2. 区域必须相同
3. 认证类型必须相同，密码也要相同
4. 直连接口掩码必须相同
5. hello包，死亡时间必须设置一样
6. 直连路由器接口不能同时设置接口优先级为0
7. 相同区域的路由器的LSDB必须保持一致（几类LSA相同）
8. 两端mtu的值应该设置成一样

LSA（6种常见）

不是一种报文类型，全部放在LS update报文中

Router-LSA（1）

Router-LSA是一种最基本的LSA，即Type1 LSA。

OSPF网络里的每一台路由设备都会发布Type1 LSA。这种类型的LSA用于描述设备的链路状态和开销，在路由器所属的区域内传播。

Network-LSA（2）

Network-LSA，也就是Type2 LSA，由DR（Designated Router）产生，描述本网段的链路状态，在所属的区域内传播。如图所示，R3向R2发送一条Network-LSA，列出了所有与DR形成完全邻接关系的路由器的Router ID。

Network-summary-LSA（3）

Network-summary-LSA，也叫Type3 LSA，由ABR发布，用来描述区域间的路由信息。ABR将Network-summary-LSA发布到一个区域，通告该区域到其他区域的目的地址。实际上，ABR是将区域内部的Type1和Type2的信息收集起来并汇总之后扩散出去，这就是Summary的含义。如图所示，R2作为ABR，将Area 0和Area 1中的路由信息分别发布对方区域。

ASBR-Summary-LSA（4）

ASBR-summary-LSA，也叫Type4 LSA，由ABR发布，描述到ASBR的路由信息，并通告给除ASBR所在区域的其他相关区域。如图所示，R3作为ABR通告ASBR-summary-LSA到Area 0中。

AS-external-LSA（5）

AS-external-LSA，也叫Type5 LSA，由ASBR产生，描述到AS外部的路由，通告到除Stub区域和NSSA区域以外所有的区域。如图所示，R4作为ASBR发布了一条OSPF AS到外部目的网络的路由信息。

NSSA LSA（7）

除了上述几种LSA之外，还有一种比较特殊的LSA，NSSA LSA，也叫Type7 LSA。NSSA LSA由ASBR产生，描述到AS外部的路由，仅在NSSA区域内传播。NSSA区域的ABR收到NSSA LSA时，会有选择地将其转化为Type5 LSA，以便将外部路由信息通告到OSPF网络的其它区域。

实验配置

虚连接的配置

区域2没有和区域0相连，区域0和1就无法获取到区域2的路由信息，需要配置虚拟连接以获得area2的路由信息

area2要经过area1和area0连接，所以在area1中设置

在AR2中指向Ar3（v-link peer #router-id）

AR3中指向AR2（v-link peer #router-id）

vlink和回环路由？？？

OSPF特殊区域

末梢路由就是只与一个路由器连接

stub：不接受4类，5类，7类LSA

totally stub：不接受3，4，5，7类LSA

NSSA（Not-So-Stubby Area）：不接受4，5 LSA类

与nssa区域连接的abr在收到七类的lsa会转成5类

totally NSSA 区域：不接受3，4，5

实验配置

stub

就在区域的两台路由器里面打个stub就好了

进入区域，输入stub

nssa

就在区域的两台路由器里面打个nssa就好了

进入区域，输入nssa

ospf下放默认路由

手动配置

在路由器的ospf进程下下放默认路由

1
2

ospf
default-route-advertise

特殊区域配置

基于上面的特殊区域的后stub和nssa会自动下发默认路由（注意协议优先级，若已经有了优先级更高的协议产生的默认路由则不会显示）

stub路由表

NSSA路由表

ospf认证

区域认证：

1. simple认证：authentication-mode simple plain huawei1
2. md5认证：authentication-mode md5 1 huawei3
3. key chain 认证：authentication-mode md5 1 huawei3 key 1

进入区域进行相关的配置

区域内设置必须完全一致

链路认证：

1. simple认证（同上）
2. md5认证（同上）
3. key chain 认证（同上）

进入接口进行相关的配置

接口内的设置必须完全一致

ospf路由聚合（？）

看不懂喵，等待教学：

原理

1. 与Rip不同，OSPF不支持自动路由聚合，仅支持手动路由聚合。

2. OSPF聚合路由分为区域间路由聚合和外部路由聚合
   1）区域间路由聚合必须配置在ABR路由器上，指的是ABR在把与自己直接相连区域中的Type-1和Type-2LSA转换成Type-3LSA时，对生成的Type-3LSA进行聚合。
   2）外部路由聚合必须配置在ASBR路由器上，值得时ASBR对Type-5LSA进行聚合

3. 区域间路由聚合是ABR对自己直接相连区域内的路由进行聚合，从而减少传播至与自己直接相连的其他区域的Type-3LSA的数量。
   强调：区域间路由只能聚合由Type-1LSA或Type-2LSA产生的路由；如果路由是由外部或其他区域传到本区域的，则这样的ABR路由不进行聚合。

4. 外部路由聚合是指在ASBR路由器上针对引入OSPF网络的外部路由进行聚合，目的是减少在OSPF网络中的Type-5LSA的数量。外部路由聚合必须在外部路由进入OSPF网络的ASBR上进行；外部路由进入OSPF网络后，在ABR上是无法对相应的Type-5LSA进行聚合的。

5. 对于NSSA区域，当该区域的ABR将Type-7LSA转换为Type-5LSA时，该ABR也可以充当ASBR的角色，并对Type－５LSA进行聚合。

6. 注意：当NSSA区域存在多台ABR时，必须由Router－ID最大的ABR进行Type－７LSA到Type－５LSA转换的操作。NSSA区域的外部路由聚合有两种方式，一种是在NSSA区域的ASBR上直接对外部路由进行聚合，另一种是在NSSA区域中Router－ID最大的，负责将Type－７LSA转成Type－５LSA的ABR进行聚合。

注：
外部路由聚合，如本区域有多个ABR，必须在router-id最大的ABR上完成
需先添加vlan和配置每个路由器的接口IP，以及路由协议，没给代码，要自己完成
交换机端口还要配access模式，不要忘记
OSPF路由区域间路由聚合（可在本区域ABR上完成）
外部路由聚合（可在ASBR上完成，也可在本区域ABR上完成）

命令配置

区域内部聚合

进入到要配置的设备中的ospf进程>>>area X，输入命令abr-summary 20.0.0.0 255.255.252.0

外部链路聚合

进入到要配置的设备中的ospf进程，输入命令：abr-summary 20.0.0.0 255.255.252.0

ospf多进程

不同的进程号就是不同的进程，一台设备可以在不同的进程下，但是一个接口只能在一个接口下

ACL：第一代防火墙

规则

基本ACL：（根据）源IP地址（过滤）

高级ACL：整个网段、某个IP、协议

二层ACL：mac地址、802.1q、二层协议类型

用户自定义ACL:？

用户ACL:？

组成

1. 标识
2. 规则{1. 编号-从小到大 2. 动作：permit/deny 3. 匹配项}

匹配机制

1. 检查是否开启了ACL服务（是，进行下一步）
2. 检查是否设置了规则（是，进行下一步）
3. 检查设置规则的编号，从小到大检索
4. 检查规则是否执行（permit/deny）
5. 规则如果是permit，执行后停止匹配，继续检索下一个规则

ospf故障排查

1. 首先查看接口ip是否配置

2. 我看每台交换机都有配置一个换回接口，除了telnet登录使用，还有什么作用？（路由器环回接口(loopback)详解-CSDN博客）

3. 查看路由表里有没有其他的协议已经配置导致ospf邻居建立失败

4. ospf区域宣告直连网段就是将路由器所在的接口的网段进行宣告（环回接口要接到哪个区域呢？还是不用接？）

5. 正常stub区域设置，注意stub区域不能使用telnet

6. vlink虚链路建立注意点：1. 除了router-id和优先级设置不同其他配置都要一样（hello包配置一样）2. vlink指向的是router-id而不是ip地址，注意不要配错！！！

7. 抓包抓的是ip地址！！！被这个坑惨了

数据通信5

[TOC]

访问控制列表实现包过滤（acl）

两大作用：过滤and分类

概述

实现数据包识别功能

ACL包过滤技术

ACL如果想过滤，肯定要在数据流必经之路：接口上配置

工作流程

规则：找谁 动作：做啥

越详细的规则越优先

所有规则都没匹配，匹配默认规则：都可以通过

（默认规则最好也自己配）

*通配符掩码

0表示匹配，1代表忽略

192.168.1.0-127

192.168.1.0

0.0.0.127

——————

192.168.1.10000000

192.168.1.128

0.0.0.127

——————

10.1.1.0/24（匹配奇数）

10.1.1.255

0.0.0.254

——————

10.1.1.0/24（匹配偶数）

10.1.1.254

0.0.0.254

ACL的标识

1. 利用数字序号标识访问控制列表

2000和3000可以选择的参数不同，3000的是高级acl，可以使用的参数更多，更高级（源ip目标ip，源端口目标端口，协议）

2000看作一个进程，里面会有多条规则

2. 命名型ACL：通过名称代替编号来标识ACL

ACL的分类（按规则定义方式）

应用方面

生效时间（儿童锁）

配置要求：某公司要求，在上班时间只允许员工浏览与工作相关的几个网站，下班或周末时间才可以访问其他互联网网站；再如，在每天20:00～22:00的网络流量的高峰期，为防止P2P、下载类业务占用大量带宽对其他数据业务的正常使用造成影响，需要对P2P、下载类业务的带宽进行限制。

解决方法：基于时间的ACL过滤

第一种模式——周期时间段

以星期为参数来定义时间范围，表示规则以一周为周期（如每周一的8至12点）循环生效。

格式：time-range time-name start-time to end-time { days } &<1-7>

栗子： time-range test 8:00 to 18:00 working-day

• time-name：时间段名称，以英文字母开头的字符串。

• start-time to end-time：开始时间和结束时间。格式为[小时:分钟] to [小时:分钟]。

• days

  ：有多种表达方式。

  • Mon、Tue、Wed、Thu、Fri、Sat、Sun中的一个或者几个的组合，也可以用数字表达，0表示星期日，1表示星期一，……6表示星期六。
  • working-day：从星期一到星期五，五天。
  • daily：包括一周七天。
  • off-day：包括星期六和星期日，两天。

第二种模式——绝对时间段

从某年某月某日的某一时间开始，到某年某月某日的某一时间结束，表示规则在这段时间范围内生效。

栗子：time-range test from 00:00 2014/01/01 to 23:59 2014/12/31

• time-name：时间段名称，以英文字母开头的字符串。
• time1/time2：格式为[小时:分钟]。
• date1/date2：格式为[YYYY/MM/DD]，表示年/月/日。

实验配置

任务一：pc1不能和pc2进行通信，使用的是基本acl，但是pc1可以和别pc通信，就是在ar1上进行acl设置拒绝pc1的地址

1
2
3
4
5
6
7
8
9

1.在ar1上创建acl2000
2.写规则：
acl number 2000  
rule 5 deny source 10.1.2.254 0 
rule 10 permit
3.进入端口绑定acl2000：
traffic-filter outbound acl 2000
ospf enable 1 area 0.0.0.1
//需要分析是接入还是流出，本体在g0/0/0的出接口使得pc2不能进入pc1但是可以进如192，168.1.0网段

任务二：仅允许10.1.2.0/24中Clent1通过http访问server1

分析可得涉及协议要使用高级acl

1
2
3
4
5
6

  acl 3000
  rule permit tcp source 10.1.2.250 0 destination 192.168.1.250 0 destination-po
rt eq 80
  rule deny tcp source any destination 192.168.1.250 0 destination-port eq 80
    int g0/0/0
      traffic-filter outbound acl 3000

这里in或者out没影响

结果：

普通acl（2000-2999）

栗子

rule permit/deny source 10.1.1.250 0.0.0.0

没有目的地址，没有协议

高级acl（3000-3999）

rule permit/deny tcp source 10.1.2.250 0 destination 192.168.1.250 0 destination-port eq 80

有目的地址，有协议

高级acl尽量靠近源，普通acl尽量靠近目标

NAT组网

Basic NAT

Basic NAT只转化IP，不映射端口。

NAPT

NAPT除了转化IP，还做端口映射，可以用于多个内部地址映射到少量（甚至一个）外部地址。

解决basic nat抢地址的问题

端口NAT：

[R2]acl 2000

[R2-acl-basic-2000]rule permit

[R2]inter g0/0/0

[R2-GigabitEthernet0/0/0]nat outbound 2000

端口映射（转发）：

[R1-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 8003 inside 10.1.3.250 80（访问0/0/2的ip地址的8083端口会转发到10.1.3.250的80端口） 、

Easy IP

用于拨号上网中

动态NAT

在外部网络中定义了一个或多个合法地址，采用动态分配的方法映射到内部网络。

栗子：
步骤一：使用分类那些主机进行NAT转换
[R1]acl 2000
[R1-acl-basic-2000]rule deny source 10.1.1.0 0.0.0.255
[R1-acl-basic-2000]rule permit source any
[R1-acl-basic-2000]quit
步骤二：定义公网地址池范围
[R1]nat address-group 0 192.168.1.66 192.168.1.67
步骤三：出接口上配置NAT
[R1-GigabitEthernet0/0/2]nat outbound 2000 address-group 0

静态NAT

将内部网络中的每个主机都永久映射成外部网络中的某个合法的地址，多用于服务器(需要单独的一个公网地址)

栗子:

[R1-GigabitEthernet0/0/2]nat static global 192.168.1.68 inside 10.1.1.254

PPP协议

帧格式

链路建立过程

在Link Dead阶段，PPP链路进行初始化，当物理层接口联通后，状态自动进入到Link Establishment阶段。

进入到Link Establishment阶段，通信双方互相发送LCP报文，进行参数协商，如果参数协商失败，则会回退到Link Dead阶段。如果参数协商成功，并且双方需要认证，则进入到authentication阶段，如果不需要认证，则会直接进入到Network Layer Protocol阶段。

在Authentication阶段，通信双方会进行认证。
在Network Layer Protocol阶段，双方会再次进行协商，这次协商主要协商网络层参数，比如发送自己的IP地址、子网掩码等信息，看是否存在IP地址冲突或者不属于一个网段等情况。如果参数协商一致，那么此时就可以进行正常的数据包传送了。

在Link Termination阶段，代表PPP链接终止，除了Link Dead阶段之外，任何协商过程失败都会进入这一阶段，而如果处于Network Layer Protocol阶段，管理员手动关闭了链路，也会进入这一状态。

协议组成

PPP地址协商

服务器：

1. 创建地址池
   ip pool aa
   gateway-list 12.1.1.2
   network 12.1.1.0 mask 255.255.255.0

2. 指定给对端分配的ip地址池
   remote address pool aa

客户端：

1. interface Serial4/0/0
   link-protocol ppp
2. #通过PPP协商机制自动获取ip地址
   ip address ppp-negotiate

PAP验证

明文，被验证方先发

认证方

1
2
3
4

[Huawei-Serial4/0/0]ppp authentication-mode pap                 开启pap认证
aaa                                                             进入aaa认证
local-user 用户 password cipher 密码                             配置用户账号和密码
local-user 用户 service-type ppp                                服务用于ppp验证

被认证方

1
2
3
4

[Huawei-Serial4/0/0]link-protocol ppp

ppp pap local-user 用户 password cipher 密码

CHAP验证

密文，验证方先发

认证方

1
2
3
4

interface Serial4/0/0                               进入接口
ppp authentication-mode chap                        开启chap认证
local-user admin password cipher 密码                配置账户密码   
local-user admin service-type ppp                   将账户密码用于ppp服务

被认证方

1
2
3

interface Serial4/0/0                    进入接口
ppp chap user admin                      认证用户
ppp chap password cipher 密码            认证密码

预习

预习：

地址前缀列表

定义

地址前缀列表是一种包含一组路由信息过滤规则的过滤器，用户可以在规则中定义前缀和掩码范围，用于匹配路由。

匹配依据

地址前缀列表进行匹配的依据有两个：掩码长度和掩码范围。

掩码长度：地址前缀列表匹配的对象是IP地址前缀，前缀由IP地址和掩码长度共同定义。例如，10.1.1.1/16这条路由，掩码长度是16，这个地址的有效前缀为16位，即10.1.0.0。

掩码范围（？）：对于前缀相同，掩码不同的路由，可以指定待匹配的前缀掩码长度范围来实现精确匹配或者在一定掩码长度范围内匹配。10.1.128.1/24和10.1.128.1/25
匹配顺序

顺序匹配

按索引号从小到大顺序进行匹配。
唯一匹配：待过滤路由只要与一个表项匹配，就不会再去尝试匹配其他表项。
默认拒绝：默认所有未与任何一个表项匹配的路由都视为未通过地址前缀列表的过滤。因此在一个地址前缀列表中创建了一个或多个deny模式的表项后，需要创建一个表项来允许所有其他路由通过。（和acl很像啊）

和acl的区别

栗子：

匹配以下地址

192.168.200.0/30
192.168.200.4/30
192.168.206.96/30
192.168.206.100/30
192.168.206.108/30
192.168.206.112/30

acl：rule 5 permit source 192.168.0.0 0.0.255.255（全通）

ip-prefix：ip ip-prefix test0721 index 10 permit 192.168.0.0 16（不通过）

修改为： ip ip-prefix test0721 permit 192.168.0.0 16 greater-equal 30 less-equal 32 后和acl等价

路由策略（？）

定义

路由策略（Routing Policy）的作用是当路由器在发布、接收和引入路由信息时，可根据实际组网需要实施一些策略，以便对路由信息进行过滤或改变路由信息的属性

应用方式

1. 可利用Filter-Policy工具对RTA向OSPF引入的路由和RTC写入路由表的路由进行过滤
2. 可利用Route-Policy工具，在RTA引入直连路由时对路由进行过滤

策略路由（？）

传统的路由策略没有负载分担，策略路由有负载分担，提高带宽使用率，策略路由PBR分为三种：

1. 本地策略路由
2. 智能策略路由
3. 接口策略路由

和路由策略的区别

路由引入（？）

看不懂史密达

概念

由于不同路由协议之间的路由算法、机制、开销等不同，不同的路由协议之间无法直接分享彼此的路由；此时就需要通过路由引入技术将某个路由协议的路由引入到另一个路由协议中也可以相同路由协议之间引入

方式

1. 单点双向
2. 单点单向
3. 多点双向路由# 数据通信6

[TOC]

需要地址前缀匹配的原因是acl不能对子网掩码进行过滤，无能为力

IP ip-prefix ben deny 23.1.1.0/24（不打就代表24）

路由选择工具

使用ACL过滤路由

先进行路由分类，再用filter-policy过滤

1. 配置相关地址
2. rip配置
3. acl进行配置（2000）
4. 使用filter-policy 2000 import(入方向)/export（出方向）

acl默认拒绝，针对的是数据包，不能对网络号相同但是子网掩码不同进行过滤

栗子：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

AR1
//ip地址的配置
   int g0/0/0
    ip ad 12.1.1.1 255.255.255.0
   int loop 0//配置环回口地址
    ip ad 192.168.1.1 255.255.255.128
       int loop 1//配置环回口地址
    ip ad 192.168.1.129 255.255.255.192
       int loop 2//配置环回口地址
    ip ad 192.168.1.220 255.255.255.240
    //宣告网段
    rip相关配置省略
  
    
AR2
    //配置端口ip地址
    int g0/0/0
    ip ad 12.1.1.1 255.255.255.0
    //配置acl的分类
    acl num 2000
    rule deny source 192，168.1.128 0
    rule 10 permit（默认是禁止所以要允许全部）
    //rip配置：宣告网段，开启rip，调用acl
    rip 1
    ver 2
    network 12.0.0.0
    filter-policy 2000 import（路由引入时进行路由过滤）

前缀过滤路由

定义

地址前缀列表是一种包含一组路由信息过滤规则的过滤器，用户可以在规则中定义前缀和掩码范围，用于匹配路由。

匹配依据

地址前缀列表进行匹配的依据有两个：掩码长度和掩码范围。

掩码长度：地址前缀列表匹配的对象是IP地址前缀，前缀由IP地址和掩码长度共同定义。例如，10.1.1.1/16这条路由，掩码长度是16，这个地址的有效前缀为16位，即10.1.0.0。

掩码范围（？）：对于前缀相同，掩码不同的路由，可以指定待匹配的前缀掩码长度范围来实现精确匹配或者在一定掩码长度范围内匹配。（greater-equal 30 less-equal 32 —–30到32的长度）

顺序匹配

按索引号从小到大顺序进行匹配。
唯一匹配：待过滤路由只要与一个表项匹配，就不会再去尝试匹配其他表项。
默认拒绝：默认所有未与任何一个表项匹配的路由都视为未通过地址前缀列表的过滤。因此在一个地址前缀列表中创建了一个或多个deny模式的表项后，需要创建一个表项来允许所有其他路由通过。（和acl很像啊）

基于BGP的部分工具

自治系统路径信息访问列表（ as-path-filter）

• 仅用于BGP协议，匹配BGP路由信息的自治系统路径域

团体属性列表（ community-filter）

• 仅用于BGP协议，匹配BGP路由信息的自治系统团体域

路由策略

路由引入

rip/ospf引入

配置相关基本rip和ospf区域地址

rip引入：在ABR——R1上配置import-route rip1

ospf引入：在ABR——R1上配置import-route ospf 1 cost 3

路由过滤

acl过滤路由

要求：在R3配置rip路由过滤，将4.4.4.4路由过滤掉

1
2
3
4
5

acl num 1145
rule 5 deny source 4.4.4.4 0 
rule 10 permit 
rip 1
filter-policy 2000 import

IP前缀列表过滤

要求：过滤R3的192.168.1.0/24 的路由条目

1
2
3
4

ip-prefix alex deny 192.168.1.0 24 greater-equal 25 less-equal 25
ip-prefix alex permit
rip 
filter-policy ip-prefix alex import 

使用OSPF过滤路由

只能在in方向，永远不要在ospf的出方向做过滤

**路由表中虽然没有路由但是过滤器的数据库里面还存在，但是rip是直接删除

要求：在R4上过滤3.3.3.0

1
2
3
4
5
6
7
8
9
10
11

//基本属性配置
ospf 1
import-route rip 1
int loop 0 
ip ad 3.3.3.3 24 
network 3.0.0.0
//实验配置
ip-prefix alex deny 3.3.3.0 24 
ip-prefix alex permit
ospf
filter-policy ip-prefix alex import 

路由引入时过滤路由

• 路由引入的作用是让不同路由协议域之间进行路由共享

• 路由引入时记得带一个开销值，不同设备默认值不同（参考带宽/接口带宽—往上取整）

• 输入display IP ip-routing table xxxx verbose以查看某条路由的详细信息

• type（1）开销可以改变|type（2）开销一直不变（cost =100M/接口带宽）

要求：rip在引入ospf域的路由时不将3.3.3.0引入

1
2
3
4
5
6

ip-prefix alex deny 3.3.3.0 24 
ip-prefix alex permit
route-policy cw permit node 10 
if-match ip-prefix alex
ospf 
import-route rip //route-policy cw

路由引入导致次优路径

问题：数据包会从100的rip和15的isisi中选择15的isis的路进行转发而绕远路耗费更多的资源

改协议的优先级/接口的优先级只能解决一时的问题，而不能完美解决次优路径

对此我们需要对某一个具体的路由进行优先级配置：

1. 基于前缀列表匹配地址后在优先级设置中使用route-policy（先前缀列表设置ip ip-prefix test0721 permit 192.168.0.0 16 greater-equal 30 less-equal 32
2. 再设置route-policy
3. 再if-match test0721
4. 再apply preference 160

防止路由环路

问题：我发的数据包到头又还给了我自己（老师把知识给我我再还回去:smile:）

解决方法：

将数据打上标签（类似vlan）

在ABR1上禁止标签10，再打上20的标签（rip-ospf方向）

在ABR2上禁止标签20，再打上10的标签（ospf-rip方向）

这样相当于一个rip域上只有20标签的数据，ospf上只有10的标签的数据

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

r1
route-policy r1 deny node 10 
if-match tag 10
route-policy r1 deny node 20 
apply tag 20
rip
import-route ospf 1 route-policy r1

r2
route-policy r2 deny node 10 
if-match tag 20
route-policy r1 deny node 20 
apply tag 10
rip
import-route ospf 1 route-policy r2

策略路由

定义

*策略路由简称PBR（Policy-Based Routing），是针对某种数据包，直接制定的选路策略*

流程

数据通信7

[TOC]

策略路由

策略路由的作用

策略路由和路由策略的区别

路由策略基于控制平面，策略路由基于转发平面

接口策略路由

概述

*策略路由简称PBR是针对某种数据包，直接制定的选路策略。*

*策略路由的做法是，首先用ACL来定义一种特别的数据包（比如源地址为张三的包），然后再针对这个ACL定义的包，配置一个选路策略（走线路1）*

配置步骤

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

//第一步：定义感兴趣流，也就是策略路由要针对什么样的数据包做动作 如：用acl 3000来定义1.0访问3.0的数据包。

acl 3000

rule 5 permit ip source 10.1.1.0 0.0.0.255 dest 10.1.3.0 0.0.0.255

//第二步：定义流分类，流分类是关联ACL的。如：用名字为huawei-control1的流分类，来关联acl 3000

traffic classifier huawei-control1

if-match acl 3000

//第三步：定义流行为，流行为是配置选路规则的，如：用名字为huuawei-control1的流行为，做一个选路策略，选路的规则，是下一跳12.1.1.2

traffic behavior huawei-control1

redirect ip-nexthop 12.1.1.2

//第四步：定义流策略，流策略是将前面配好的流分类和流行为进行关联

traffic policy huawei-control1

classifier huawei-control1 behavior huawei-control1

//第五步：在路由器的入接口调用流策略

int g0/0/2

traffic-policy huawei-control1 inbound

IPV6

IPV6协议概述

IPV6和IPV4

v4的局限：

1. 地址空间不足且分配不均匀
2. 达瓦

v6的优势

1. 128位非常多

2. 层次化的路由设计

3. 效率高，扩展灵活

4. 即插即用

5. 更安全

6. 引入了流标签的概念

   IPv6地址没有了ARP（NDP（Neighbor Discovery Protocol）是ICMPv6的子协议，由于在IPv6中没有ARP协议，所以在IPv6上层定义了NDP协议实现ARP的地址解析，冲突地址检测等功能以及IPV6的邻居发现功能。）

IPv6地址分类

IPv6地址结构

一个IPv6地址可以分为如下两部分：

• 网络前缀：n比特，相当于IPv4地址中的网络ID
• 接口标识：128-n比特，相当于IPv4地址中的主机ID

IPv6单播地址

链路本地地址（fe80::/10—-1111111010）

不用自己配，爽

*mac地址是48位

唯一本地地址

全球单播地址

IPv6任播地址

仁波就是特殊的单播，谁近找谁

IPv6组播地址

ipv6没有广播地址，广播就是组播的一个特列

特殊地址：0：0：0：0：0：0：0：1环回地址

（在v4中127.后面的都是环回地址）

IPV6的数据包封装

《下头》

可以用这个next header 无线拓展报文长度

IPv6地址的表示方式

1. 用16进制表示，4位为一个hexo数，我们叫冒号16进制

2. 简化表达：两个冒号之间开头的0可以省略，全0写个0

3. 连续的0可以用::代替（双冒号只能出现一次）

4. 网络位和主机位（/x确认网络号）

IPv6地址的配置

1
2
3
4
5

R1 ipv6 
R1 int g0/0/0
ipv6 en//关键
ipv6 add 2001::1/64
//ping ipv6 地址

IPv6的静态路由引入

和IPv4很像，把IP改为IPv6就行了

ipv6 route-static XXXXX

栗子：

1
2
3
4

ipv6 route 2001:ab1:0:3::/64 2001:ab1:0:2::1
ipv6 route 2001:ab1:0:4::/64 2001:ab1:0:2::1
//IPv6的静态路由配置与IPv4类似。
//具体解释是：到达2001:ab1:0:3::/64的网络，其下一跳为2001:ab1:0:2::1

IPv6的OSPFv3

• 新增两种LSA
  • Link LSA：用于路由器宣告各个链路上对应的链路本地地址及其所配置的IPv6全局地址，仅在链路内洪泛。
  • Intra Area Prefix LSA：用于向其他路由器宣告本路由器或本网络（广播网及NBMA）的IPv6全局地址信息，在区域内洪泛。

栗子：

1
2
3
4
5
6
7
8

[R1]ospfv3 2
[R1-ospfv3-2]router-id 10.10.10.10//但是建立连接的时候router-id还是ipv4的，所以我们建立不了邻居关系，要自己输入id（要在ospfv3里面输入id）
[R1-ospfv3-2]quit

**[R1]interface GigabitEthernet 0/0/1**//太方便了，连地址都不用宣告了，它直接将接口接入到了区域里
[R1-GigabitEthernet0/0/1]ospfv3 2 area 0
[R1-GigabitEthernet0/0/1]quit

IPv6的rip

原理概述
RIPng (RIP next generation，下一代RIP协议）是IPv4中 RIPv2协议在IPv6网络上的扩展。

UDP端口号:使用UDP的521端口(RIP使用520端口)发送和接收路由信息;组播地址:使用FF02::9作为链路本地范围内的RIPng路由器组播地址;

目的地址和下一跳地址:使用128 bit的IPv6地址，并使用前缀长度来代替子网掩码。

RIPng 协议路由算法和RIPv2一样，同样支持水平分割、毒性逆转和触发更新功能，用来防止环路。默认情况下，启用水平分割功能和触发更新，不启用毒性逆转功能。

也很简单，就在接口下ripng+进程号+enable

1
2
3

int g0/0/0
ripng 1 enable

预习：

1. BGP

   动态路由协议可以按照工作范围分为IGP以及EGP。

   IGP工作在同一个AS内，主要用来发现和计算路由，为AS内提供路由信息的交换；

   而EGP工作在AS与AS之间，在AS间提供无环路的路由信息交换，BGP则是EGP的一种。

   BGP是一种增强的路径矢量路由协议，同时BGP是拥有丰富的策略控制技术的外部网关协议。多运行于AS与AS之间。

2. IS-IS

IS-IS和OSPF有很多相同和不同的地方

IS-IS有些术语和OSPF有所不同
1.一台路由器就是一个中间系统（Intermediate System，IS）
2.一台主机就是一个端系统（End System，ES）
因此，主机和路由器之间的通信的协议被称为ES-IS协议
被路由器用来进行彼此通告路由的协议称为IS-IS协议

数据通信8

[TOC]

概述

介绍

• bgp的前身叫egp

• 自治系统内部ibgp，外部ebgp

• 可以将一个自治系统看成运营商，运营商的内部用什么协议无所谓，之间必须用bgp统一沟通方法

ibgp和ebgp对比

• ibgp作用于区域内部，engp作用于区域之间
• 使用的bgp的属性不同
• 避免环路的措施不同：i—不转发学习到的路由前缀 e—as_path里有自己就会丢弃，as短越优先

bgp特征

是一种增强的距离矢量路由协议

特点

• 设计避免了路由环路

• 路由附加信息多

• 路由过滤和路由策略多

• 可靠的路由更新机制

• 丰富的Metric度量方法

• 从设计上避免了环路的发生

• 支持CIDR（无类别域间选路）

• 每一个设备只能有一个as

BGP五条5报文

• open：建立邻居关系（打开心扉）

• KeepAlive：字面意思，维持邻居关系

• Update：更新路由的报文

• Notification：翻译为注意，相当于一个告警,当你配错了会指出你的问题

• route-refresh:用于在改变路由策略后请求对等体重新发送路由信息（请求更新）

BGP的状态机

connect：tcp的连接（三次握手）

open-sent：tcp连接成功后发送open报文

open-confirm：准备接收对方报文（keep alive？notici？）

active：connet的tcp连接失败进入active不断尝试tcp建立

established：建立完成后的状态

idle：出现错误之后的状态

可能的active原因（待补充）

• 过滤了本设备IP流量或者TCP流量或者TCP-179端口数据
• 本BGP设备配置错误的对等体地址

工作过程

连接过程

1. 先进入到connect进行tcp三次握手tcp连接（失败后进入alive不断进行tcp连接，成功后发送open-sent ）
2. 之后发送open报文
3. 进入到openconfirm 后等待对方发送报文（接收到keep alive 进入established ，收到noticification进入到idle）
4. 之后在established之间发update报文更新新加入路由，发keep alive维持邻居关系（ospf 是hello）
5. idle是bgp的初始状态，任何状态出错都会回到idle

可靠路由更新

BGP也会利用IGP

• 协议：tcp 端口：179

• 无周期（路由）更新

• 更新增加的路由

• 周期发keepalive报文检测tcp连通

实验配置

1. 先宣告as：bgp 1（as 1）

2. 宣告相连as：peer xxxx（目的地址）asnumber xxxx（双向奔赴）

3. 如果要使用环回口进行bgp连接不能直接加目的地址，还要加上自己的发送环回口：（1）peer 4.4.4.4 asnumer 16（2）peer 4.4.4.4 connect-interface loop 0（注意：bgp建立邻居关系不能使用默认路由 ）

4. nexthop：ibgp得到的路由信息只是简单的copy，但是中间的路由器下一跳路由表里面没有，增加一个下一跳行为（方式一：添加静态路由 方式二：next-hop-local—–[R2-bgp]peer 4.4.4.4 next-hop-local ）(?)

5. ebgp的一个特性是ttl值默认为1，那么在两个路由器之间跳数大于1时tcp就连接不了（双向修改ttl—peer 6.6.6.6 ebgp-max-hop 255）

6. 路由黑洞：中间的路由器缺少路由丢包

    解决方法：

• 直接写一个静态路由（缺点有些路由器空间可能不够）

• 配置MPLS，用MPLS的标签交换数据包（?）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

[R2]route recursive-lookup tunnel 
[R2]mpls lsr-id 2.2.2.2
[R2]mpls 
[R2]mpls ldp 
[R2]inter g0/0/1
[R2-GigabitEthernet0/0/1]mpls 
[R2-GigabitEthernet0/0/1]mpls ldp 

[R2]display  mpls lsp #查看标签转发规则

[R3]route recursive-lookup tunnel 
[R3]mpls lsr-id 3.3.3.3 
[R3]mpls 
[R3]mpls ldp 
[R3]inter g0/0/0
[R3-GigabitEthernet0/0/0]mpls
[R3-GigabitEthernet0/0/0]mpls ldp 
[R3]inter g0/0/1
[R3-GigabitEthernet0/0/1]mpls 
[R3-GigabitEthernet0/0/1]mpls ldp

[R4]route recursive-lookup tunnel 
[R4]mpls lsr-id 4.4.4.4
[R4]mpls 
[R4]mpls ldp 
[R4]inter g0/0/0
[R4-GigabitEthernet0/0/0]mpls 
[R4-GigabitEthernet0/0/0]mpls ldp 

解释：在进入到mpls区域里面之前不打标签（r2的0接口），进入到mpls之后启动mpls ldp的接口会为数据打上标签，按照标签表进行转发（可以打dis mpls lsp 查看标签表），出mpls的出接口不做配置，会自己将标签解除。

• 使用路由联盟和路由反射
• bgp同步
• 路由引入

7. bgp认证：bgp 1 然后peer 4.4.4.4 password cipher 123456

8. bgp中使用路由策略：1.acl 2000 2.rule x deny/permit 3.peer 4.4.4.4 as-num 16 filter-policy 2000 export/import

9. 路由聚合：

方式1(自动)：

1
2
3

1. bgp 1
2. import-route direct
3. summary automatic（只能聚合路由引入的路由）

方式2（静态）：

太暴力了，能不能自定义聚合的长度呢？

有！

1
2
3
4
5
6

[R1]bgp 1
[R1-bgp]network 10.1.0.0 24
[R1-bgp]network 10.1.1.0 24
[R1-bgp]network 10.1.2.0 24
[R1-bgp]network 10.1.3.0 24
[R1-bgp]ip route-static 10.1.0.0 22 null 0

用引入路由聚合会直接聚合范围太大了，可以用引入静态路由的方法，优点是既可以自定义掩码长度，又可以防止成环（一个路由down了就跑到10.10.0.0 22 ，又因为是null 0直接就丢弃了，不会再去请求路由了）

方式3（手动）：

1
2
3
4
5
6
7
8

[R1]bgp 1
[R1-bgp]network 10.1.0.0 24
[R1-bgp]network 10.1.1.0 24
[R1-bgp]network 10.1.2.0 24
[R1-bgp]network 10.1.3.0 24

[R1-bgp]aggregate 10.1.0.0 22   使用此命令会使明细路由和汇总路由同时被宣告
[R1-bgp]aggregate 10.1.0.0 22 detail-suppressed   只宣告汇总路由

10. peer group

    就是为了方便打命令，类似于ctrl + v

1
2
3
4

[R2-bgp]group benben 
[R2-bgp]peer benben as-number 16 
[R2-bgp]peer 3.3.3.3 group benben

​

BGP管理距离（优先级）

ibgp：200

ebgp：255

bgp表的分析

1. path用来防环操作
2. ogn表示用什么学习到路由，i代表igp，e代表bgp，？代表其他
3. *>奇怪的命名，bgp和ibgp的这个符号不同(i)

1
2
3
4

 Status codes: * - valid, > - best, d - damped,
               h - history,  i - internal, s - suppressed, S - Stale
                   
Origin : i - IGP, e - EGP, ? - incomplete（引入路由）

BGP属性和路径选择处理

BGP的属性

属性分类

BGP的路径选择

1. WEIGHT/Prefval属性

• 多条路径weight/prefval值高就先选哪一个

• 本地有效

• 路由策略永远都是import

  方式一：

1

[r4-bgp]peer 3.3.3.3 preferred-value 100

方式二：

1
2
3
4
5
6
7
8
9
10
11

1，抓取流量
[r4]ip ip-prefix PV permit 10.0.0.0 24
2，做路由策略
[r4]route-policy PV permit node 10
[r4-route-policy]if-match ip-prefix pv
[r4-route-policy]apply preferred-value 100
[r4]route-policy PV permit node 20 --- 注意，必须要配置空表放通剩余所有流量
3，在BGP中调用路由策略
[r4-bgp]peer 3.3.3.3 route-policy PV import

2. local preference

• Local preference是被用作去通告IBGP邻居怎样去离开他们的AS
• Local preference被仅仅被发送给IBGP邻居的，（即仅同一AS内，是AS内部最常用的选路属性）
• 默认值是100

方式一（全局）：

1

[r3-bgp]default local-preference 200 --- R3之后发给IBGP对等体的路由的LP属性都将被改为200

方式二（精细）

1
2
3
4
5
6
7
8
9
10
11

在R3的出方向做
1，抓取流量
[r3]ip ip-prefix lp permit 10.0.0.0 24
2，做路由策略
[r3]route-policy lp permit node 10
[r3-route-policy]if-match ip-prefix lp
[r3-route-policy]apply local-preference 300
[r3]route-policy lp permit node 20
3，在BGP进程中调用
[r3-bgp]peer 4.4.4.4 route-policy lp export

3. 路由起源于本地优先于从其他bgp邻居中学习到

手工聚合 > 自动聚合 > network > import

4. ASPath越短越优先

• **仅在EBGP中有效**

• AS_PATH属性在进行选路时，仅关注AS号的长短，不关注内容。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

方法一：在R1的出方向修改AS_PATH属性。
1，抓取流量
[r1]ip ip-prefix as permit 10.0.0.0 24
2，配置路由策略
[r1]route-policy as permit node 10
[r1-route-policy]if-match ip-prefix as
[r1-route-policy]apply as-path 11 22 33 ?
/*additive*/ Append to original As Number ---- 在原有AS_PATH属性的基础上添加配置的AS号
/*overwrite*/ Overwrite original As Number ---- 直接覆盖原有的AS_PATH属性值
  
[r1-route-policy]apply as-path 11 22 33 additive --- 建议使用添加，因为AS_path属性主要任务用来防止环路，将原有属性覆盖可能导致路由回传，造成环路产生。
[r1]route-policy as permit node 20//放行其他
3，在BGP中调用策略
[r1-bgp]peer 12.0.0.2 route-policy as export

5. 路由起源属性

•     **全局有效**

• I — 代表该路由信息起源于IGP协议
• E — 代表该路由信息起源于EGP协议 — EGP指的是BGP之前使用的外部网关协议
• ？ — 通过除了以上两种方式学习到的路由 -– 重发布导入的路由起源码都是？

1
2
3
4
5
6
7
8
9
10
11

控制选路的方法：
1，抓流量
[r2]ip ip-prefix ogn permit 10.0.0.0 24
2，配置路由策略
[r2]route-policy ogn permit node 10
[r2-route-policy]if-match ip-prefix ogn
[r2-route-policy]apply origin incomplete
[r2]route-policy ogn permit node 20
3，在BGP中进行调用
[r2-bgp]peer 12.0.0.1 route-policy ogn import

6. MED：

   • 只能用于EGBP
   • 路由引入的cost值引入到bgp里面不变，存到med中，开销小优先（多路选择）

   1 2 3 4 5 6 7 8 9 10 11 12

   在R2上配置，影响R1的选路 1，抓取流量 [r2]ip ip-prefix med permit 4.4.4.0 24 2，配置路由策略 [r2]route-policy med permit node 10 [r2-route-policy]if-match ip-prefix med [r2-route-policy]apply cost 10 [r2]route-policy med permit node 20 3，在BGP进程中调用 [r2-bgp]peer 12.0.0.1 route-policy med export 注意：MED值影响的是别的AS的流量通过多个出口进入到本AS内部，如果流入的不是同一个AS，即收到的路由条目中AS_PATH属性最左边的AS号不同，则将不比较第六条，直接比较第7条。

7. 

    剩下的省略...

总结（？）：

1. 一个路由器有多个出口时一般用weight/pv来控制选路
2. 一个AS内有多个出口时一般用Local_pref
3. 影响其他人选路用MED out方向，影响自己选路用MED in方向
4. 影响多个AS选路用AS-path
5. origin next-hop一般不用，有时会影响BGP的正常选路

路由反射

• 水平分割不允许ibgp转发从ibgp学习到的路由，但是你把它升级成路由反射器再配置相应的客户机就可以进行路由转发了

• 当RR从客户机收到一个路由更新时，会将它发送给客户机和非客户机。

• 当RR从非客户机收到一个路由更新时，只发送给客户机路由器，而不发送给其他非客户机路由器

• 当RR从EBGP收到一个路由更新时，会将它发送给客户机和非客户机。

  省流：非非不传，其他全传

在图中的ar2和3建立一个连接，ar3和4建立一个连接（r3做rr，r2和r4做客户端）

配置

1
2
3

[r3]bgp 16
[r3-bgp]peer 23.1.1.2  reflect-client 
[r3-bgp]peer 34.1.1.4  reflect-client

路由反射问题解决：

• 反射簇解决路由环路
• Originator ID属性解决再次学习问题

路由联盟

在大的as中分割出更小的as

在这个图中r1发送给r2，r2可以再把数据给r3，一般的r3不能发给r4，但是我们做了两个小的as，那么逻辑上r2和r3就成为了ebgp，可以进行路由转发

配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43

/*在R1上配置：*/
bgp 1
peer 12.0.0.2 as-number 2

/*R2上关键配置：*/
bgp 65512 //本机AS为成员AS号（小as）
confederation id 2//联盟ID，外部路由器看来，连接AS仍然为2
confederation peer-as 65512 //说明本机连接了其他哪些成员AS，都是小区域（as3）

peer 23.0.0.3 as-number 65512 //和成员建立EBGP邻居关系
    
peer 12.0.0.1 as-number 1 //和非成员建立IBGP邻居关系

/*R3上关键配置：*/
bgp 65512 //本机AS为成员AS号（小as）
confederation id 2//联盟ID，外部路由器看来，连接AS仍然为2
confederation peer-as 65512 //说明本机连接了其他哪些成员AS（as3）
confederation peer-as 65513 //说明本机连接了其他哪些成员AS（as3）

peer 23.0.0.2 as-number 65512 //和成员建立EBGP邻居关系
    
peer 34.0.0.4 as-number 63513//和非成员建立IBGP邻居关系

 
/*R4上关键配置：*/
bgp 65513 //本机AS为成员AS号（小as）
confederation id 2//联盟ID，外部路由器看来，连接AS仍然为2
confederation peer-as 65512 //说明本机连接了其他哪些成员AS（as3）
confederation peer-as 65513 //说明本机连接了其他哪些成员AS（as3）

peer 45.0.0.5 as-number 65513 //和成员建立EBGP邻居关系
    
peer 34.0.0.3 as-number 63512//和非成员建立IBGP邻居关系
    
/*R5上关键配置：*/
bgp 65513 //本机AS为成员AS号（小as）
confederation id 2//联盟ID，外部路由器看来，连接AS仍然为2
    
confederation peer-as 65513 //说明本机连接了其他哪些成员AS（as3）

peer 45.0.0.4 as-number 65513 //和成员建立EBGP邻居关系
    

数据通信9

[TOC]

smart-link（断了选路）

概述

实现两根线的备份，和生成树类似，但是不用计算

设置一个master和slave，主挂了次就顶上来

特点

1. 两根上行链路只走一条，打破回路
2. 主链路故障后流量会立刻切换到备用的链路上
3. 配置简单
4. 没有协议交互报文，大大提升收敛速度

实验配置

samrt-link的功能与生成树冲突，因此要先关闭stp

1
2
3
4
5
6
7
8
9

int g0/0/0
stp disable
int g0/0/2
stp disable
smart-link group 1
port g0/0/0 master 
port g0/0/2 slave
restore enable//回切功能打开
time wtr 30//等待回切时间

monitor-link（一起断）

概述

为了解决smart-link的的缺点

实验配置

将交换机LSW2 1和2端口配置monitor link，将2号口设置为uplink，1号口设置为downink

将交换机LSW3 1和2端口配置monitor link，将2号口设置为uplink，1号口设置为downink

R1

1
2
3
4
5
6
7
8

int g0/0/1
stp disable
int g0/0/2
stp disable
smart-link enable
port g0/0/1 master
port g0/0/2 slave
flush send contorl-vlan 1

R2

1
2
3
4
5
6
7
8
9
10
11

int g0/0/1
stp disable
smart-link flush receive control-vlan 1
int g0/0/2
stp disable
smart-link flush receive control-vlan 1
smart-link enable
monitor-link group 1
port g0/0/1 uplink
port g0/0/2 downlink 1

R3

1
2
3
4
5
6
7
8
9
10
11

int g0/0/1
stp disable
smart-link flush receive control-vlan 1
int g0/0/2
stp disable
smart-link flush receive control-vlan 1
smart-link enable
monitor-link group 1
port g0/0/1 uplink
port g0/0/2 downlink 1

VRRP（备份-一个断了另一个补上）

概述

• 虚拟路由器备份协议，用于一个pc有多个链路选择但是仅有一个网关（网关备份）

• 先在多个路由器里面选一个主机（master），其他的作为备份机（back-up）

• pc在找自己的网关的时候会发送arp请求报文，只有master会回应arp请求

实验配置

1
2

vrrp vrid 1
vrrp vrid 1 virtual-ip 10.234.0.1//不存在的ip地址

虚拟mac地址00:00:5e:00:01:xx(16进制)

？那么master是怎么选举出来的呢？

1. 比较优先级，默认100（具备抢占性，可以自己关）
2. 比较ip地址（不具备抢占性，一开始配置的就是master，如果需要更换，把接口关了再开，就会切换了）

链路状态监测

基于端口

下行链路做的vrrp，那么向上的链路down了怎么办呢？

我们可以做一个vrrp跟踪来监控特定端口，如果端口出现异常使得优先级降低，这样就可以切换master了

1

vrrp vrid 1 track int g0/0/1 reduced 10 

基于nqa

但是这样也有问题，线路没断就不会切换，要使用nqa来解决（判断标准更多）

1
2
3
4
5
6
7
8

[RouterA] nqa test-instance user test
[RouterA-user-test] test-type icmp
[RouterA-user-test] destination-address ipv4 20.1.1.2
[RouterA-user-test] frequency 20
[RouterA-user-test] probe-count 5
[RouterA-user-test] fail-percent 80
[RouterA-user-test] start now
[RouterA-user-test] quit

MUX-VLAN（分隔vlan）

访问规则

• 在隔离域内部的主机既不能和本域主机通信，也不可以和外部通信
• 在一个组里面的主机可以互相通信
• 主vlan可以和所有的主机通信

实验配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

- vlan batch 100 200 300 400

- vlan 100
- mux-vlan  

- subordinate separate 400（该vlan内pc谁都联系不了）

- subordinate group 200 300（该vlan200内pc可以互相通信，但是200和300不可以）

- 其他就和之前学的vlan划分类似：

- interface GigabitEthernet0/0/1
  port link-type access
  port default vlan 100
  **port mux-vlan enable**//但是多了句

VLAN聚合（SUPER VLAN）

概述

定义Super-VLAN和Sub-VLAN

实现所有Sub-VLAN共用一个网关与外部网络通信，并用ARP Proxy实现Sub-VLAN间的三层通信，从而在实现普通VLAN的隔离广播域的同时，达到节省IP地址的目的。

实验配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

lsw2
vlan 10
int g0/0/2

port link-type access
port default vlan 10  

int g0/0/1
port link-type access
port default vlan 10

lsw3
vlan 20
int g0/0/2

port link-type access
port default vlan 20  

int g0/0/1
port link-type access
port default vlan 20


lsw4
vlan 30
int g0/0/2

port link-type access
port default vlan 30  

int g0/0/1
port link-type access
port default vlan 30
    
    
lsw1 
vlan batch 10 20 30 100 200
vlan 100 
aggregate-vlan// 打开vlan聚合
access-vlan 10 20 30//聚合对象是10 20 30

int g0/0/1
port link-type access
port default vlan 200

int g0/0/2
port link-type trunk
port trunk allow-pass vlan 10 20 30

int g0/0/3
port link-type trunk
port trunk allow-pass vlan 10 20 30

VLAN-QinQ（vlan的嵌套映射增加）

QinQ是指在802.1Q VLAN的基础上增加一层802.1Q VLAN标签，从而拓展VLAN的使用空间。在公网的传输过程中，设备只根据外层VLAN Tag转发报文，并根据报文的外层VLAN Tag进行MAC地址学习，而用户的私网VLAN Tag将被当作报文的数据部分进行传输。

实验配置

1. LSW1和LSW2的gi0/0/1上配置QinQ。外层VLAN是100或300。
2. PC的IP地址是192.168.10.x/24，X是PC编号。

简单qinq(多vlan映射一个vlan)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

lsw1
    vlan batch 100//创建vlan
    //配置qinq端口//
    int g0/0/1
    port link-type dolt1q-tunnel//关键就是这句命令
    port default vlan 100
    q
    
    //配置trunk口，在g0/0/2开启trunk模式并且允许vlan100
  int g0/0/2
  port link-type trunk
  port trunk allow-pass vlan 100
    
    
lsw3
  int g0/0/1
  port link-type trunk
  port trunk allow-pass vlan 10 30

  int g0/0/2
  port link-type access
  port default vlan 10
    
  int g0/0/3
  port link-type access
  port default vlan 30
  
    
   

灵活qinq（单个vlan映射单个vlan）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

lsw1
    vlan batch 100 300//创建vlan
    //配置qinq端口//
    int g0/0/1
    //port link-type hybrid
    //port hybrid untag 100 300
  //port vlan translation enable
    //port vlan-stacking vlan 10 stack 100
    //port vlan-stacking vlan 30 stack 300
    
    //配置trunk口，在g0/0/2开启trunk模式并且允许vlan100
  int g0/0/2
  port link-type trunk
  port trunk allow-pass vlan 100 300
    
    
lsw3
vlan batch 10 30
  int g0/0/1
  port link-type trunk
  port trunk allow-pass vlan 10 30

  int g0/0/2
  port link-type access
  port default vlan 10
    
  int g0/0/3
  port link-type access
  port default vlan 30
  

VLAN-MAPPING

不同于QINQ的在原来的tag头部前再添加一个头部进行映射，mapping直接将一个vlan转换成另一个vlan

实验配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

lsw1/lsw4
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 20
#
    
    
lsw2/lsw3   
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 100 200
#
interface GigabitEthernet0/0/2
 qinq vlan-translation enable
 //开启vlan转换功能
 port link-type trunk
 port trunk allow-pass vlan 100 200
 port vlan-mapping vlan 10 map-vlan 100//最重要的一步，类似于灵活qinq的配置模式
  //配置VLAN10映射为VLAN100
 port vlan-mapping vlan 20 map-vlan 200
#

数据通信10

从计网入门到网络黑客大成

[TOC]

MAC地址表项配置

配置静态mac表项

1

mac-address static mac-address interface-type inter-number vlan XX

配置mac黑洞MAC表项

1

mac-address blackhole mac-address 【vlan xx】

配置动态MAC表项的老化时间

1

mac-address aging-time ading-time

MAC地址表安全配置举例

防止其他人的mac地址表攻击：发送大量的假的mac地址占据交换机的mac地址表，然后接收它的泛洪信息以破解命令(kali的macof)

端口安全技术

1
2
3
4
5
6
7
8
9

port-security enable
int g0/0/0
port-security mac-address sticky//开启粘性mac模式
port-security max-mac-num xx//前xx个加入的pc的mac地址会记录，只有这些可以上网
port-security protect-action { protect | restrict | shutdown }//配置端口安全保护动作
/*protect：当学习到的MAC地址数达到接口限制数时，接口丢弃源地址在MAC表以外的报文。
restrict：当学习到的MAC地址数超过接口限制数时，接口丢弃源地址在MAC表以外的报文，同时发出告警。
shutdown：当学习到的MAC地址数超过接口限制数时，将接口Error-Down，同时发出告警。*/

DHCP snooping（窥探）

出现背景

一种攻击方式是打掉原来局域网的dhcp服务器然后再自己当上dhcp，为其他主机写ip地址，并且将相关的网关设置成自己，以此来”引流”

dos dhcp discover 不断广播discover报文把原来的服务器搞崩，然后自己再假冒dhcp服务器分发ip

实验配置

先全部设置为不信任端口（这时候收不到一点offer），再手动设置信任端口，信任端口可以通过offer包，不信任端口不通过offer包

1
2
3
4
5

dhcp snooping enable//全局
int g0/0/0//进入接口或者vlan
dhcp snooping enable

dhcp snooping trusted//配置信任端口

IPSG

IP源防攻击

出现原因：一些攻击者通过伪造合法用户的IP地址获取网络访问权限，非法访问网络

实验配置

基于dhcp snooping功能

1

IP source check user-bind enable

如果说有人在一个路由器上接线并且伪造了原网络的一个设备的ip的话，路由器查ipsg的绑定表发现不对后会堵塞掉新接入的那个端口

VXLAN：虚拟拓展局域网–隧道技术

简介

将三层的设备两两相连，在逻辑上构成一个二层交换机，实现l2封装在l4上并且在l3中传输

采用mac in udp 封装，将以太报文封装在ip报文上

相关概念

bdif

BDIF接口的功能与VLANIF接口类似，是基于BD创建的三层逻辑接口，用以实现不同子网之间的通信，或VXLAN网络与非VXLAN网络之间的通信。

VAP

虚拟接入点VAP，即VXLAN业务接入点，可以是二层子接口或VLAN

当接入节点是二层子接口时，通过在二层子接口上配置流封装类型（那4种）实现不同的接口接入不同的数据报文，将二层子接口关联广播域BD后，可实现数据报文通过BD转发。当业务接入点是VLAN时，需要将VLAN绑定到广播域BD，也可以实现数据报文通过BD转发。

spine-leaf

vxlan配置在leaf（交换机）之间，完成vxlan的封装和解封装，spine节点（路由器）只进行路由转发，类似于之前学习到的ibgp之间进行配置，而中间那个路由器就不管了

NVE

网络虚拟边缘节点NVE，实现网络虚拟化功能的网络实体。报文经过NVE封装转换后，NVE间就可基于三层基础网络建立二层虚拟化网络。（设备和服务器上的虚拟交换机VSwitch都可以作为NVE）

• 硬件模式：所有的NVE都部署在支持NVE的设备上，所有的VXLAN报文封装与解封装都在设备上进行。

• 软件模式：所有的NVE都部署在vSwitch（开放的虚拟交换机）上，所有的VXLAN报文封装与解封装都在vSwitch上进行。

• 混合模式：部分NVE部署在vSwitch上，部分NVE部署在支持NVE的设备上，在vSwitch和设备上都有可能会进行VXLAN报文封装与解封装。

vxlan出现的原因

1. 虚拟机的动态迁移需要无障碍接入
2. 租户过多，传统的valn技术不再适用，需要隔离海量的租户

服务器虚拟化技术

将物理服务器分成多个虚拟服务器，这些服务器通过虚拟交换机（vswitch）与外界相连

虚拟化的问题：

1. vlan个数不够
2. mac地址表过大

服务器动态迁移

原服务器正常运行的同时，将系统从一个物理服务器迁移到另一个物理服务器上，这要求服务器的tcp会话状态不变（ip不改变），所以只能在二层之中进行迁移，但是大型网络都会有三层结构，服务器迁移就需要vxlan技术将三层设备抽象成二层交换机

vxlan的报文格式

VTEP

VXLAN Tunnel Endpoints，VXLAN隧道端点

就是之前的leaf节点，完成vxlan的封装和解封装

VTEP既可以是一台独立的网络设备（比如华为的CloudEngine系列交换机），也可以是在服务器中的虚拟交换机（vswitch）

VNI

VXLAN Network Identifier，VXLAN 网络标识符

解决掉vlan id 不足的问题，功能类似，一个vni代表一个租户（虚拟机）

二层/三层vni？

vxlan报文

• vxlan header :24比特的vni字段用来定义不同的租户，类似于vlan id。还有vxlan flags（0000 1000），两个保留字段

• udp header：vxlan头部和原始数据帧组成udp数据。源udp端口通过哈希算法得到，源端口固定为4789

• 外部 IP 头部：源ip—源端vtep的ip地址 目的ip—目的端vtep的ip地址

• 外部mac头部：源mac—源端vtep的mac地址 目的mac—目的端vtep的mac地址

哪些vtep建立隧道连接

大二层网络

两两互连

同一大二层域BD

类似于之前的vlan区域，但是vxlan这里叫BD（bridge-domain）

创建配置

1
2
3

bride-domain 10//创建bd 10
vxlan vni 5000//bd 10下与之关联的是vni 500
//感觉像进入端口配置模式acess再default的感觉

一个vni对应一个bd，一个bd下可以有多个vni

哪些报文会走vxlan隧道

传统派

传统vlan技术中定义了三种不同类型的接口：Access、Trunk、Hybrid。这三种类型的接口虽然应用场景不同，但它们的最终目的是一样的：一是根据配置来检查哪些报文是允许通过的；二是判断对检查通过的报文做怎样的处理。

维新派

VXLAN网络中，VTEP上的“二层子接口”的逻辑接口也承担着类似的任务。二层子接口主要做两件事：一是根据配置来检查哪些报文需要进入VXLAN隧道；二是判断对检查通过的报文做怎样的处理。支持的流封装类型有dot1q、untag、qinq和default四种类型：

• dot1q：对于带有一层VLAN Tag的报文，该类型接口只接收与指定VLAN Tag匹配的报文；对于带有两层VLAN
  Tag的报文，该类型接口只接收外层VLAN Tag与指定VLAN Tag匹配的报文。（1层对应，两层对vni）
• untag：该类型接口只接收不带VLAN Tag的报文。（0）
• qinq：该类型接口只接收带有指定两层VLAN Tag的报文。（两层都对）
• default：允许接口接收所有报文，不区分报文中是否带VLAN Tag。该类型接口都不会对原始报文进行任何VLAN Tag处理，包括添加、替换或剥离。（1）

类型三变四，任务类似

将二层子接口加入到指定的BD，再根据二层子接口上的配置，设备就可以确定报文属于哪个BD了

栗子

1. 分别在VTEP的物理接口10GE 1/0/1上，分别针对VM1和VM2封装不同的二层子接口1/0/1.1

2. 在VTEP的接入口上创建两个二层子接口，分别配置为dot1q和untag的封装类型，并将其分别加入不同的BD

3. vSwitch的上行口配置成Trunk模式，这样vSwitch发给VTEP的报文中，既有带tag的VM1流量，又有untag的VM2流量（pvid是20，truck口出去的时候会把vlan 20的标签删掉）

标签复习一下：

1
2
3
4
5
6
7
8

int 10GE1/0/1.1 mode l2//创建二层接口
encapsulation dolt1q vid 10//只允许vlan tag 10的报文进入vxlan隧道
bride-domain 10//绑定bd 10

    
int 10GE1/0/1.2 mode l2//创建二层接口
encapsulation untag//只允许vlan tag 20的报文进入vxlan隧道
bride-domain 20//绑定bd 20

本质上还是靠标签进行确认

VXLAN隧道的建立

手动

用户手动指定VXLAN隧道的源IP为本端VTEP的IP、目的IP为对端VTEP的IP

1
2
3
4

int Nve 1//创建逻辑接口Nve 1
source 1.1.1.1 //源ip
vni 5000 head-end peer-list 2.2.2.2//对端ip（1）
vni 5000 head-end peer-list 2.2.2.3//对端ip（2）

头端复制列表

感觉上类似于转发表，Peer List指明同一个bd下的vtep有哪些

，bum指Broadcast&Unknown-unicast&Multicast，广播&未知单播&组播报文，一个vtep收到bum时会发给其他的对端vtep

自动

evpn学

VXLAN隧道的选择

VXLAN网关

不同的vni之间的主机不能相互通信，为此出现了vxlan网关

• VXLAN二层网关：用于终端接入VXLAN网络，也可用于同一VXLAN网络的子网通信。
• VXLAN三层网关：用于VXLAN网络中跨子网通信以及访问外部网络。