----------------第一天 vlan trunk dhcp----------------
一、 什么是VLAN
虚拟局域网
二、 VLAN的优势
广播控制
安全性
带宽利用
延迟
三、 vlan的种类
1、静态VLAN
基于端口划分静态VLAN
2、 动态VLAN
基于MAC地址划分动态VLAN
四、Vlan的配置
创建VLAN有两种方法
1、 全局配置模式创建vlan
全局：vlan 2创建vlan2
Name 名字（给vlan2命名）
2、 VLAN数据库配置模式
特权：vlan database
Vlan 2 name caiwu(创建vlan2并命名为caiwu)

3、删除vlan
进入vlan数据库或全局模式：no vlan 2
4、接口加入vlan
1）进入将要加入vlan的接口然后输入
switchport access vlan 3
2）、同时将多个接口加入vlan
全局： interface range f0/1 – 10
switchport access vlan 2将1-10口同时加入vlan2
5、查看vlan信息
特权：show vlan brief
6、description 添加vlan描述信息
no description删除vlan描述信息
五、trunk中继链接
1、作用：实现跨交换机之间的同vlan通信
2、链路类型：
1）接入链路:
2）中继链路：可以承载多个 vlan
3、vlan的标识
1）ISL(cisco私有的标记方法)
ISL外部封装头部26个字节，尾部4个字节共30字节
2）IEEE 802.1q(公有的标记方法)
内部封装在标准以太网帧内插入了4个字节，其中12位vlan标识。
4、ISL和802.1Q 的异同
相同点:都是显示了VLAN的信息
不同点:
IEEE 802.1Q是公有的标记方式，ISL是Cisco私有的
ISL采用外部标记的方法，802.1Q采用内部标记的方法
ISL标记的长度为30字节，802.1Q标记的长度为4字节

5、Trunk的模式和协商
1）trunk模式：
接入（Access）
干道（Trunk）
动态企望（desirable）主动
动态自动（auto ） 被动
2）trunk模式协商结果
SW1端口模式 SW2端口模式 结果
trunk auto trunk
trunk desirable trunk
auto auto access
auto desirable trunk
desirable desirable trunk
6、trunk的配置
接口模式：switchport mode trunk(直接配置为trunk) 前面添加no 为取消trunk接口
dynamic desirable (配置为动态企望)
dynamic auto（动态自动）
access（配置为接入链路）
7、在trunk链路上移除某vlan
进入trunk接口：switchport trunk allowed vlan remove 3中继链路不允许传送vlan 3的数据
8、在trunk链路上 添加某vlan
进入trunk接口：switchport trunk allowed vlan add 3
9、查看接口模式
特权：show interface f0/5 switchport
六、EthernetChannel（以太网通道）
1、功能：多条线路负载均衡，带宽提高
容错，当一条线路失效时，其他线路通信，不会丢包
2、以太网通道的配置：
全局：interface range f0/6 – 8
switchport mode trunk
channel-group 1 mode on
3、 查看以太网通道的配置：
特权：show etherchannel summary

4、 以太网道必须遵循以下一些规则：
1）参与捆绑的端口必须属于同一个vlan,如果是在中继模式下，要求所有参加捆绑的端口配置成相同的中继模式。
2）所有参与捆绑的端口的物理参数设置必须相同，应该有同样的速度和全/半双工模式设置。
七、在路由器上配置DHCP服务
1、全局ip dhcp pool 名字（定义地址池）
2、network 192.168.1.0 255.255.255.0（动态分配IP地址段）
3、default-router 192.168.1.254（动态分配的网关地址）
4、dns-server 202.106.0.20（动态分配的DNS服务器地址）此命令后可以跟多个备用的DNS地址。
5、全局：ip dhcp excluded-address 192.168.1.1（预留已静态分配的IP地址）

----------------第二天 三层交换 动态路由----------------------------------------
一、三层交换技术 一个路由无法给多个vlan配置网关 使用三层交换
1、作用
使用三层交换技术实现VLAN间通信
三层交换=二层交换+三层转发
2、基于CEF 的快速转发
主要包含两个转发用的信息表：

1）转发信息库（FIB）：FIB类似于路由表，包含路由表中转发信息的镜像。当网络的拓扑发生变化时，路由表将被更新，而FIB也将随之变化
2）邻接关系表：每个FIB条目，邻接关系表中都包含相应的第2层地址。
3、虚拟接口（SVI）
三层交换机上配置的VLAN接口为虚接口
4、三层交换机的配置
1）、在三层交换机启用路由功能
全局：ip routing
2）、配置虚拟接口的IP 地址
全局：interface vlan 2
ip address 192.168.2.254 255.255.255.0
no shutdown
3）在三层交换机上配置Trunk并指定接口封装为802.1q
接口模式：switchport trunk encapsulation（包装） dot1q
Switchport mode trunk
4）、配置路由接口
进入接口：no switchport

二、动态路由
1、动态路由特点
减少了管理任务
占用了网络带宽
三、路由协议分类
1、按应用范围的不同，路由协议可分为两类：
1）在一个AS内的路由协议称为内部网关协议（interior gateway protocol），正在使用的内部网关路由协议有以下几种：RIP-1，RIP-2，IGRP，EIGRP，IS-IS和OSPF。
2）AS之间的路由协议称为外部网关协议（exterior gateway protocol）。
外部网关协议（External Gateway Protocol，EGP，也叫域 间路由协议）。域间路由协议有两种：外部网关协议（EGP）和边界网关协议（BGP）

注：AS自治系统（Autonomous System，指一个互连网络，就是把整个Internet划分为许多较小的网络单位，这些小的网络有权自主地决定在本系统中应采用何种路由协议）

3）以情况下，需要使用BGP：
· 当你需要从一个AS发送流量到另一个AS时；
· 当流出网络的数据流必须手工维护时；
· 当你连接两个或多个ISP、NAP（网络访问点）和交换点时。

2、按照路由执行的算法动态路由协议的分类
1）距离矢量路由协议
依据从源网络到目标网络所经过的路由器的个数选择路由
RIP、IGRP
2） 链路状态路由协议
综合考虑从源网络到目标网络的各条路径的情况选择路由
OSPF、IS-IS
四、RIP路由协议
RIP是距离-矢量路由选择协议
RIP度量值为跳数，最大跳数为15跳，16跳为不可达
RIP更新时间，每隔30s发送路由更新消息，UDP 520端口
RIP路由更新消息，发送整个路由表信息

2、RIP V1与RIPv2的区别
show ip route
RIP v1 RIP v2
有类路由协议 无类路由协议 不
属于任何一类的ip 无类
广播更新 (255.255.255.255) 组播更新（224.0.0.9）
不支持VLSM 支持VLSM 支持子网划分
自动路由汇总，不可关闭 自动汇总可关闭，可手工 汇
总 （会将划分的子网汇总到一起）
更新的过程中不携带子网信息
更新的过程中携带子网信息

3、RIP v2的配置
全局：router rip
version 2
no auto-summary（总结摘要）(关闭路由汇总)
network 主网络ID

---------第三天 hsrp stp---三-------------------------------------------
一、热备份路由选择协议（HSRP）
1、 作用：Cisco私有协议，确保了当网络边缘设备或接入链路出现故障时，用户通信能迅速并透明地恢复，以此为IP网络提供冗余性。通过使用同一个虚拟IP地址和虚拟MAC地址，LAN网段上的两台或者多台路由器可以作为一台虚拟路由器对外提供服务。HSRP使组内的cisco路由器能互相监视对方的运行状态。（Cisco私有协议）
2、 200（-10 190）《 195
2、HSRP组成员
活跃路由器、备份路由器、虚拟路由器（即该lan上的网关）、其他路由器
3、HSRP虚拟MAC地址格式
0000.0c07.ac2f
厂商编码
HSRP虚拟MAC 地址，HSRP编码总是07.ac
HSRP组号
4、HSRP消息
HSRP中的所有路由器都发送或接收HSRP消息
使用用户数据报协议（UDP）端口号1985
使用组播发送HSRP消息，组播地址224.0.0.2
生存时间TTL=1
5、HSRP状态
1）初始状态
2）学习状态：
3)监听状态
4）发言状态：
5）备份状态：
6）活跃状态：
6、HSRP计时器 备份路由
Hello间隔（默认3s）
保持时间（默认10s）
五、HSRP的配置
1、配置为HSRP的成员
进入路由器的网关接口:standby 2（组号） ip 虚拟网关IP 同一个组的设置同一个虚拟ip

2、配置HSRP的优先级 优先级越大 就是主路由
Standby（备用） 2 priority（优先级） 优先级(优先级范围0-255，默认为100)
sta
3、查看HSRP摘要信息
特权： show standby brief（摘要）

4、HSRP端口跟踪: standby 2 track（追踪 轨道） f0/1（出去的端口） 进网关端口配置 跟踪此路由出去的端口
5、HSRP占先权 : standby 2 preempt （先占先取） 在备份的路由上设置占先权
这条命令也在活跃上配置 保证在故障恢复到

二、STP(生成树协议)
1、STP简介

STP － Spanning Tree Protocol(生成树协议)
逻辑上断开环路，防止广播风暴的产生
当线路故障，阻塞接口被激活，恢复通信，起备份线路的作用
2、、生成树的算法
每个广播域一个根网桥（root bridge）跟交换机
每个非根网桥一个根端口(root ports)
每个网段上一个指定端口(designated ports)
非指定端口，非根端口被阻塞
3、生成树算法分为3个步骤：
1）、选择根网桥
选择交换网络中网桥ID最小的交换机成为根网桥，网桥ID是一个八字的字段，前两个字节十进制数为网桥优先级，后六个字是网桥的MAC地址，优先级小的被选择为根网桥，如优先级相同则MAC地址小的为根网桥。
网桥优先级的取值范围0-65535默认值为32768

2）、选择根端口(root ports)
在非根网桥上选择根端口，每个非根桥只能选择一个根端口。
依据：
a） 到根网桥最低的根路径成本。
带宽越大，传输数据的成本也就越低。
带宽与路径成本的关系：
链路带宽（Mbps） 路径成本
10 100
16 62
45 39
100 19
155 14
622 6
1000 4
10000 2
b）直连的网桥ID最小
当路径成本相同时候，比较连接的交换机的网桥ID值，选择网桥ID值小的作为根端口
c）端口ID最小
当网桥ID相同的时候，比较端口ID值（比较的是对端的端口ID值）选择较小的作为根端口。
3)、选择指定端口(Designated ports)
根桥上的端口全是指定端口
在每个网段上，选择1个指定端口
非根桥上的指定端口，选择顺序：
a) 根路径成本较低
b) 所在的交换机的网桥ID的值较小=优先级+mac
c) 端口ID的值较小（与选择根端口不同的是在比较端口ID值时，比较的是自身的端口ID值）

4、BPDU（桥协议数据单元）
1）使用组播发送BPDU
2）2种类型：配置BPDU 生成树选举的时候的类型
拓扑变更通告BPDU 选举出来之后的类型
3）BPDU报文字段
主要关键字段：根网桥ID：
根路径成本：
发送网桥ID：
端口ID：

5、STP的收敛
交换机端口的5种STP状态：
状　　态 用　　途
转发（Forwarding） 发送/接收用户数据
学习（Learning） 构建网桥表
侦听（Listening） 构建“活动”拓扑
阻塞（Blocking） 只接收BPDU
禁用（Disabled） 强制关闭

侦听 学习 转发
6、STP的3种计时器
Hello时间：网桥发送配置BPDU报文之间的时间间隔，默认2秒。
转发延迟：一个端口在侦听到学习状态所花费的时间间隔，默认15秒
最大老化时间：交换机在丢弃BPDU报文之前储存它的最大时间，默认20秒。

每一个交换端口都保存一份它所侦听到的最好的BPDU备份，如果源BPDU失去了与交换机端口的联系，交换机则在最大老化时间之后通知网络已经发生了拓扑结构方面的变化。

三、VLAN与STP（生成树）之间的关系：
PVST+（增强的每vlan生成树）
PVST+配置的意义
配置 网络中比较稳定 （人为的去配置控制 选择比较稳定的） 的交换机为根网桥
利用PVST+实现网络的负载分担 互为主备
四、PVST+的配置命令
1、启用生成树命令
全局：spanning-tree（最大生成树） vlan 2
2、指定根网桥
1）改优先级
全局：spanning-tree vlan 1 priority 优先级的值
注意：优先级的值是4096的倍数；
3、查看生成树的配置
特权：show spanning-tree vlan 1
4、直接指定
全局：spanning-tree vlan 2 root primary
Root secondary

注：如果优先级的值都为默认值，配置primary，优先级是24576
配置secondary，优先级是28672 ，如果已手动修改优先级的值则配置primary优先级会根据整体环境调整。

4、速端口 适用于接入链路
使连接终端的端口 快速进入到转达发状态
，该端口不经过侦听和学习状态，直接进入转发状态，节省30秒的转发延迟。速端口只能配置在连接终端的接口上。
配置速端口
接口模式：spanning-tree portfast
6、查看某个VLAN的生成树详细信息
特权：show spanning-tree vlan 2 detail

------- -------第四天 ACL 访问控制 -----------------------------------
一、 访问控制列表概述
1、访问控制列表（ACL）：
读取第三层、第四层包头信息
根据预先定义好的规则对包进行过滤
2、 访问控制列表的处理过程
如果匹配第一条规则，则不再往下检查，路由器将决定该数据包允许通过或拒绝通过。
如果不匹配第一条规则，则依次往下检查，直到有任何一条规则匹配。
如果最后没有任何一条规则匹配，则路由器根据默认的规则将丢弃该数据包。
3、访问控制列表的类型：
1） 标准访问控制列表
基于源IP地址过滤数据包
列表号是1～99
2） 扩展访问控制列表
基于源IP地址、目的IP地址、指定协议、端口等来过滤数据包
列表号是100～199
3） 命名访问控制列表
命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号
二、标准访问控制列表
1、标准访问控制列表的创建
全局：access-list 1 deny（否认） 192.168.1.1 0.0.0.0
全局：access-list 1 permit（允许）192.168.1.0 0.0.0.255
通配符掩码：也叫做反码。用二进制数0和1表示，如果某位为1，表明这一位不需要进行匹配操作，如果为0表明需要严格匹配。
例：192.168.1.0/24子网掩码是255.255.255.0,其反码可以通过255.255.255.255减去255.255.255.0得到0.0.0.255
隐含拒绝语句：
access-list 1 deny 0.0.0.0 255.255.255.255
2、 将ACL应用于接口
接口模式：ip access-group 列表号 in或out
Access-list 1 ip access-goup

注：access-list 1 deny 192.168.1.1 0.0.0.0 或写为 access-list 1 deny host 192.168.1.1
access-list 1 deny 0.0.0.0 255.255.255.255 或写为 access-list 1 deny any
3、 删除已建立的访问控制列表
全局：no access-list 列表号
4、 接口上取消ACL
接口模式：no ip access-group 列表号in 或out
5、 查看访问控制列表
特权：show access-lists

三、扩展访问控制列表
1、作用
可以根据源IP地址，目的IP地址，指定协议，端口等过滤数据包。
2.扩展访问控制列表号:100-199
3、 eq等于、lt小于、gt大于、neq不等于
4、扩展访问控制列表案例：
例1：全局： access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
（允许192.168.1.0网络访问192.168.2.0网络的所有服务）
全局： access-list 101 deny ip any any
（拒绝所有）
例2：全局： access-list 101 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21
（拒绝192.168.1.0网段访问192.168.2.2的TCP的21端口）
全局：access-list 101 permit ip any any（允许访问所有）
例3全局： access-list 101 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.2 echo
（拒绝192.168.1.0 ping 192.168.2.2）

5、删除扩展ACL
全局：no access-list 列表号
注：扩展与标准ACL不能删除单条ACL语句，只能删除整个ACL。

6、扩展ACL应该应用在离源地址最近的路由器上。
四、命名访问控制列表、
1、命名访问控制列表可以配置标准命名也可配置扩展命名。
2、命名访问控列表的ACL语句默第一条为10,第二条为20,依此类推。
3、命名ACL可以删除单条ACL语句,而不必删除整个ACL。并且命名ACL语句可以有选择的插入到列表中的某个位置，使得ACL配置更加方便灵活。

4、标准命名ACL的配置
1）全局:ip access-list standard（标准） 名字
Permit host 192.168.1.1
deny any
2)命名ACL应用于接口
接口模式：ip access-group 名字 in或out
5、扩展命名ACL的配置
全局：ip access-list extended（扩充） 名字
deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 80拒绝1.0网段访问2.2的web服务。
Permit ip any any
把某一条语句添加到某条之前
Access-list standard extended deny
--------------第五天 NAT（网络地址转换）--------------
一、 NAT（网络地址转换）
1、 作用：通过将内部网络的私有IP地址翻译成全球唯一的公网IP地址，使内部网络可以连接到互联网等外部网络上。
2、 优点：
节省公有合法IP地址
处理地址重叠
增强灵活性
安全性
3、NAT的缺点
延迟增大
配置和维护的复杂性
不支持某些应用，可以通过静态NAT映射来避免
4、NAT实现方式
1） 静态转换
IP地址的对应关系是一对一，而且是不变的，借助静态转换，能实现外部网络对内部网络中某些特设定服务器的访问。
静态NAT配置：
配置接口IP及路由
全局：（指定）Ip nat inside（内部）source（源） static 192.168.1.1 61.159.62.131（购买可用外部地址,不能和现有的重复）
在内外接口上启用NAT：
进入出口配置：ip 　nat 　outside 出口配置
进入入口配置：ip 　nat 　inside(内部) 进口配置
Ip nat inside outside ip natinside source static
端口映射：
ip nat inside source static tcp 192.168.1.6 80 61.159.62.133 80

2） 动态转换
IP地址的对应关系是不确定的，而是随机的，所有被授权访问互联网的私有地址可随机转换为任何指定的合法的外部IP地址。（内部网络同时访问Internet的主机数少于配置的合法地址中的IP个数时适用）
动态NAT的配置：
全局：access-list 1 permit 192.168.1.0 0.0.0.255 创建一个列表范围
全局：ip nat pool nsd 61.159.62.131 61.159.62.132 netmask 255.255.255.248（定义地址池名称为nsd,地址池IP范围61.159.62.131 到61.159.62.132）创建可用地址池pool 定义可以转换的公网地址 nsd
全局：ip nat inside source list 1 pool nsd

3） 端口多路复用（PAT）
通过改变外出数据包的源IP地址和源端口并进行端口转换，内部网络的所有主机均可共享一个合法IP地址实现互联网的访问，节约IP。
PAT的配置：
全局：ip nat inside source list 1 interface f0/1 overload（负载）

5、NAT三种实现方式的区别：
静态转换的对应关系一对一且不变，并且没有节约公用IP，只隐藏了主机的真实地址。
动态转换虽然在一定情况下节约了公用IP，但当内部网络同时访问Internet的主机数大于合法地址池中的IP数量时就不适用了。
端口多路复用可以使所有内部网络主机共享一个合法的外部IP地址，从而最大限度地节约IP地址资源。
二、 查看NAT转换条目
特权：show ip nat translations（翻译）显示当前存在的转换
三、 除NAT转换条目
1、特权： clear ip nat translation * 清除NAT转换条目中的所有所条目
注：静态NAT条目不会被清除
四、 NAT常见问题
ACL阻止转换后的流量
进行地址转换的ACL不全
overload参数漏配
不对称路由问题
动态地址池IP地址范围配置错误
动态地址池与静态转换地址重叠
Inside和outside接口配置错误
五、 显示每个转换的数据包
特权：debug ip nat
S表示源地址
D表示目的地址
192.168.1.2->61.159.62.130表示将192.168.1.2转换为61.159.62.130

当路由器连接外网 可以将出去的默认路由宣告给内部三层交换，在路由上宣告，三层交换通脱通过rip协议学习到。命令为：defuault-information originate