H3C网络技术课程学习笔记

H3C网络技术课程学习笔记H3C网络技术课程学习笔记/NUMPAGES52H3C网络技术课程学习笔记H3C网络技术课程学习笔记H3CNE网络技术课程学习笔记计算机网络概述一、计算机网络的演化计算机网络至今共经历4个时期：第一代：以单个计算机为中心的远程联机系统（FED前端机）第二代：以多个主机通过通信线路互联（IMP接口报文处理机）第三代：在OSI标准的基础上，具有统一网络体系结构（OSI）第四代：将多个具有独立工作能力的计算机系统通过通信设备、线路、路由功能完善的网络软件实现网络资源共享和数据通信的系统（Internet）下一代：因特网、移动网、固话网的融合（IPv6）二、计算机网络的类型按地理覆盖范围：lan、man、wan、Intenet按网络拓扑结构：星状、环状、总线、混合状、网状按管理模式：对等、C/S三、衡量计算机网络的性能指标带宽：数字信道上能够传送的最高数据传输速率时延：传播时延+发送时延+处理时延传播时延带宽积：传播时延*带宽四、网络标准化组织美国国际标准化组织（ANSI）电气电子工程师协会（IEEE）国际通信联盟（ITU）国际标准化组织（ISO）电子工业联合会（EIA）通信工业联合会（TIA）Internet工程任务组（IETF）OSI参考模型与TCPIP模型分层的有点：1、促进标准化工作，允许供应商开发2、各层间独立，把网络操作划分成复杂性低的单元3、灵活好用，某一层变化不会影响到其他层，设计者可专心开发模块功能4、各层间通过一个接口在上下层间通信一、了解OSI参考模型和TCP/IP模型的产生背景OSI（开放式系统互连参考模型）是ISO（国际标准化组织）于1978年所定义的开放式系统模型，它描述了网络层次结构，保证了各种类型网络技术的兼容性、互操作性。各网络设备厂商按照此模型的标准来开发网络产品，实现彼此的兼容。TCP/IP协议起源于20世纪60年代，由IEEE提出，是目前应用最广、功能最强大的一个协议，已成为计算机相互通信的标准。二、理解OSI参考模型和TCP/IP模型的层次结构及相关概念OSITCP/IP提供应用程序间通信7应用层应用层处理数据格式、加密等6表示层建立、维护和管理会话5会话层提供端到端连接4传输层传输层寻址和路由3网络层网际层提供介质访问、链路管理2数据链路层网络接口层比特流传输1物理层三、理解OSI参考模型和TCP/IP模型各层的功能1、物理层：定义电压、接口、线缆、传输距离传输介质：同轴电缆、双绞线、光纤、无线（wlan）常见标准：10Base-T、100base-TX\FX、1000baseLX\SX2、数据链路层：编帧和识别帧、数据链路建立、维护和拆除、流量控制、传输资源控制、寻址、差错验证、标识上层数据。局域网数据链路层分为LLC子层和MAC子层。网络层：编址、路由、拥塞控制、异种网络互连传输层：分段上层数据、端到端的连接、透明可靠传输、流量控制主要的协议：TCPUDP局域网基本原理及广域网基本原理局域网主要完成工作站、服务器、终端等较小范围内的互联；完成局部资源共享。广域网可以将相距遥远的局域网互联，实现数据、音频、视频传输，实现大范围资源共享。1、了解局域网类型1、以太网2、令牌环网3、FDDI环网2、掌握主要以太网类型及其主要特性1、10Base-T10Mbps双绞线100m2、100Base-TX100Mbps超五类双绞线100m3、100Base-FX100Mbps光纤多模550m，单模3000m4、1000Base-LX1000Mbps多模、单模光纤均可长波长5、1000Base-SX1000Mbps仅适用于多模光纤短波长6、1000Base-CX1000Mbps特殊屏蔽同轴电缆25m7、1000Base-T1000Mbps超五类双绞线100m双绞线与RJ45接头连接：EIA/TIA568A、EIA/TIA568B一头A一头B为交叉线：用于同类设备两头B为直通线：用于不同类型设备3、掌握CSMA/CD工作原理侦听到载波，则不发送数据侦听不到载波，则线路空闲、任意主机都可抢占线路检测到冲突，即两台主机同时发送数据，则所有主机停止发送数据，等待一个退避时间，退避期满的主机首先开始发送数据。MAC地址：48位二进制数，通常用12位16进制数表示4、了解以太网传输介质中双绞线和光纤知识光纤：多模（通常为橙色）较粗的纤芯、衰耗大、传输距离短、成本低单模（通常为黄色）较细的纤芯、距离长、成本高ST：圆形卡接头FC：圆形螺纹接头LC：矩形接头SC：mini光纤接头双绞线：UTP非屏蔽性双绞线STP屏蔽性双绞线5、了解WLAN技术基本原理广域网基本概念WLAN:802.11为代表的无线局域网WLAN传输介质：无线电波（主要）红外线802.11协议标准：802.11b2.4GHz100M802.11a5.0GHz50M802.11g2.4GHz100M蜂窝式覆盖：相邻区域使用交叉式频道，如1,6,11适当减小功率，避免跨区域同频干扰6、点到点广域网技术介绍7、分组交换广域网技术介绍IP基本原理IP协议是网络层协议，规定了数据的封装方式、网络节点的标识方法。1、掌握IP地址的格式、分类和子网掩码作用：用唯一的IP地址标识每个节点用唯一的IP网络号标识每个链路确定节点所在位置IP路由器，通过选择适当路径将IP包传输到目的节点结构：IP网络分为不同网段，每个网段代表一个链路；路由器将各网段连接，适配数据链路协议，将数据在不同网段间转发。格式：IP地址为32位二进制，网络号+主机号；网络号用于区分不同的IP网络，主机号用来标识网络内的一个IP节点。分类：A类（1~126）/8B类（128~191）/16C类（192~223）/24D类（224~239）组播E类（240~255）保留IP包发送：若目标地址在同一网段，则封装目标地址MAC若目标地址不在同一网段，则封装网关地址MACIP包接收：目标地址等于本机地址目标地址为广播地址目标地址为组播地址，且本机某服务属于此组播组否则丢弃此IP包2、掌握路由的基本概念和相关路由协议简介2.1、路由和路由表路由器提供了异构网的互联机制，将数据包从一个网络发送至另一个网络，路由就是IP数据包传输的路径信息。路由表获取的方式：静态路由通过管理员手动输入；动态路由协议获得路由信息。2.2、静态路由Iproute[network][mask][ip-address]实施静态路由三步骤第一步：为互联的每个数据链路确定网络地址第二步：为每个路由器标识非直连的数据链路第三步：为每个路由器写出关于每个非直连的数据链路的路由说明默认路由：默认路由是指路由表中未直接列出目标网络的选择项，它用在不明确的情况下数据帧下一跳的方向Iproute浮动静态路由：浮动静态路由不能永久存在于路由表中，仅仅在一种情况下会出现，即在一条首选路由发生失败的时候。浮动静态路由主要考虑到链路的冗余性能。负载均衡：等价：将流量均衡到度量值相同的路径上。非等价：2.3、动态路由通过提供共享路由选择消息机制来支持被动路由协议；路由选择消息在路由器间传递。管理距离：用于衡量其作为路由信息源的可信度；管理距离越低，路由选择协议可信度越高。路由选择协议Routeprotcol管理距离AD直连0Static1EIGRP90IGRP100OSPF110RIP120距离矢量：RIP、BGP链路状态：OSPF、IS-IS2.4、静态路由和动态路由协议区别静态路由：适用于简单的网络环境；无需占用带宽；安全性高；资源消耗低；维护不便动态路由：适用于复杂的网络环境；维护方便；开销大。3、掌握网络层协议ARP和RARP的工作原理3.1、网络层的功能：将数据帧分解成数据包，为传输层服务。将数据从源端传输到目的端。根据路由信息完成数据报文的转发。3.2、地址解析协议（ARP）：将IP地址转化为MAC地址。首先判定是否为同一网段，然后查看ARP高速缓存中有无目标IP地址，若无则发送广播来寻求该IP地址目的站，目的站以MAC地址回应。源站将此存入ARP高速缓存。ARP表中每个表项的潜在周期为10分钟，若一个新加表项2分钟内未被使用则被删除，若一直在使用中则达10分钟后删除。Arp-a显示arp表项Arp-s添加静态arp表项Arp-d删除3.3、逆地址解析协议（RARP）：将MAC地址转化为IP地址。根据MAC地址请求RARP服务器分配一个未被使用的IP地址，现已被DHCP协议代替，因为DHCP可获得多项信息，如：默认网关、DNS服务器。3.4、网际控制报文协议（ICMP）：可达性探测，例如ping命令发送icmp的echo包。4、掌握IP寻址的基本原理4.1、IP地址唯一地标识一台网络设备；由32位二进制数，通常以十进制数表示；一个IP地址分为两个部分：网络号+主机号，可通过子网掩码识别。4.2、子网掩码可分为自然子网掩码和可变长子网掩码。4.3、主机将IP地址和子网掩码进行“与”运算，来判定目标地址是否在同一网段，若是，则直接封装目标MAC地址，若否，则封装网关MAC地址。路由器、交换机及其操作系统介绍1、了解路由器、交换机的基本概念1.1、路由器：主要工作在物理层、数据链路层、网络层；也具有传输层、应用层的一些功能；根据网络层信息进行路由转发；支持多种路由协议。路由器作用：连接不同介质的链路连接网络或子网，隔离广播域对数据包进行寻路和转发对路由信息进行交换和维护1.2、交换机：主要工作在物理层和数据链路层；提供以太网间的透明桥接和交换；利用MAC地址信息将数据帧在各端口间转发交换机作用：连接多个以太网物理段，隔离冲突域对数据站进行高速而透明的转发对MAC地址信息进行学习和维护1.3、未来趋势：交换机和路由器间的融合；多业务功能的融合。2、初步了解H3C路由器和交换机的组成2.1、路由器的硬件组成：CPU处理器ROM只读存储器：存储引导文件、IOS备份RAM随即存储器（内存）：路由表配置信息NVRAM非易失性随即存储器（闪存）：存放启动配置文件FLASH是可擦写的ROM：用于存储、升级IOS接口：Console、AUX、Interface3、掌握H3C网络设备操作系统3.1、H3C网络设备操作系统Commare：H3C的核心软件平台对硬件设备与底层操作系统进行屏蔽与封装集成了丰富的链路层协议、以太网交换、IP路由及转发、安全功能模块制定的软硬件接口规范、对第三方厂商提供开放平台接口支持IPv4及IPv6对协议支持多CPU路由和交换融合高可靠性和弹性扩展灵活的裁剪和定制功能命令行基本操作及设备文件管理1、掌握配置网络设备的基本方法1.1、本地配置：Console端口1.2、远程配置：Telnet、Web2、掌握分级命令行的使用方法Cisco:2.1、route>用户模式2.2、route#特权模式2.3、route(config)#全局模式2.4、route(config-if)#接口模式H3C:<h3c>用户模式[H3C]系统模式[h3c-interface0/1]接口模式3、掌握网络设备的常用配置命令交换机工作原理及生成树协议1、了解共享式以太网和交换式以太网的区别1.1、共享式以太网：共享同一冲突域、广播域及带宽；常用设备为集线器（HUB）局域网中，数据都是以帧的形式发送，集线器无法识别帧，且共享以太网是基于广播的形式发送数据的；因此集线器在接收到数据帧后，会将数据帧转发到除源端口外的所有端口，这样网络上的所有主机都能接收到数据帧。共享以太网中的网络设备必须保持同样的传输速率，否则一台设备发送的信息，另一台无法收到。特点：带宽共享、带宽竞争、冲突检测\避免机制、不能支持多种速率1.2、交换式以太网是以数据帧为传输单位，允许多节点同时通信，每个节点可以独占带宽，从根本上解决了共享以太网的问题。交换机能够识别数据帧，根据帧的目的地址，将数据发送到某一端口，而不是广播到所有端口；交换机有一张表，记录着所有端口对应主机的MAC地址信息，根据此表将数据帧转发到正确的端口上。交换机的冲突域仅限在一个端口上，以太网交换机主要功能有MAC地址学习、帧转发及过滤、避免回路。2、掌握交换机中MAC地址表的学习过程MAC地址表主要由主机MAC地址和交换机端口组成。最初MAC地址表为空，将数据帧发送到每个端口，当交换机收到一个数据帧时，就会将数据帧的源地址和输入端口记录在MAC地址表中，每个MAC地址表项都有一个时间标记，并开启老化定时器，若在定时器时间内始终没有收到该表项MAC地址报文，则自动删除该表项，默认老化时间为300秒。MAC地址表项可以静态配置，静态配置后就不再动态学习此主机的MAC地址表项。系统视图下配置静态MAC地址表项：mac-address000f-002e-ed2finterfaceE0/1vlan2接口视图下配置静态MAC地址表项：mac-addressstatic000f-002e-ed2fvlan2系统视图下配置表项老化时间：mac-addresstimeraging500/no-aging系统视图下恢复表项默认老化时间：undomac-addresstimer接口模式/VLAN模式下设置MAC地址学习最大数：mac-addressmax-mac-count5003、掌握交换机的过滤、转发原理交换机根据目标地址对照MAC地址表，将数据从对应的端口发送出去，不在其他端口上发送；会把广播、组播和未知单播帧从其他所有端口发送出去。4、掌握广播域的概念路由器或三层交换机的三层接口处于一个独立广播域，终端机发出的广播帧在三层接口被终止。5、了解STP产生的背景冗余拓扑是为了消除单点故障产生的网络不通的现象，却带来了广播风暴、重复帧和MAC地址表的不稳定。STP（SpaningTreeProtocl生成树协议）是一种二层管理协议，它通过选择性的阻塞网络中的冗余链路来消除二层环路；同时还具备链路备份的功能。6、掌握STP基本工作原理STP由IEEE定制的802.1D标准；用于消除局域网数据链路层物理回路的协议。运行该协议的设备通过彼此交互信息发现网络中的环路。并有选择的对某些端口进行阻塞，最终将网络修剪成一个无环路的树型网络结构。从而防止报文在环路网络中增生、循环。避免设备重复处理报文，导致处理能力下降。7、掌握RSTP和MSTP基本原理7.1、RSTP（快速生成树协议）有IEEE定制的802.1w标准，它在STP基础上作了改进，实现了网络拓扑的快速收敛。缺陷：局域网内所有网桥共享一颗生成树，不能按vlan阻塞冗余链路，所有vlan报文都沿着一颗生成树转发7.2、MSTP（多生成树协议）由IEEE定制的802.1s标准，允许用户将一个或多个vlan映射到MSTI上，使指定vlan的报文只在建立的映射关系实例内发送，以节省通信开销和资源利用。既能快速收敛、又能使不同vlan流量沿各自的路径转发，从而为冗余链路提供更好的负载分担机制。8、掌握生成树协议的配置8.1、<H3C>system-view[H3C]stpregion-configuration配置stp[H3C-mst-region]region-nameexampleMST域名为example[H3C-mst-region]instance1vlan10将vlan10映射到实例1[H3C-mst-region]instance2vlan20将vlan20映射到实例2[H3C-mst-region]revision-level0配置MSTP修订级别为0[H3C-mst-region]activeregion-configuration激活MST的配置[H3C]stpinstance1rootprimary设置本设备为实例1的根桥[H3C]stpenable使能stp配置VLAN，端口安全，链路聚合1、了解VLAN技术产生的背景1.1、VLAN即虚拟局域网，是指在交换局域网下，采用管理软件构建的可跨越不同网段，不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许不同地理位置的网络用户加入到一个逻辑子网中。1.2、功能：改善网络性能：隔绝广播域加强网络安全性：不同VLAN之间不能直接通信，需要建立ACL访问列表网络部署方便：逻辑网络，覆盖多台设备。2、掌握VLAN的类型及其相关配置2.1、静态VLAN：基于端口的VLAN2.2、动态VLAN：基于MAC地址的VLAN基于IP地址的VLAN基于用户的VLAN2.3、汇聚链路（TrunkLink）：汇聚链路承载了多个VLAN信息，当通过汇聚链路时，交换机在数据帧上添加一个VLAN标识（VID），在接入链路上拿掉VLAN标识。3、掌握IEEE802.1Q的帧格式3.1、IEEE802.1Q标准中所附加VLAN标识信息（VID）在数据帧中位于“源MAC地址”与“类型”之间，共占用4byte的容量。共有两种标记方法：isl（思科特有）和dot1q（默认）4、掌握交换机端口的链路类型及其相关配置4.1、接入链路access：只属于一个VLAN，一般用于连接计算机4.2、汇聚链路trunk：允许多个VLAN通过，用于交换机之间的连接。单臂路由4.3、hybird5、了解链路聚合的作用5.1、链路聚合又称端口聚合，是指将交换机上的多个特性相同端口捆绑起来，形成一个逻辑端口，将多条链路聚合成一条逻辑链路，从而提高链路带宽、提供冗余链路，其中一条链路断开不会影响其他链路的数据转发。端口聚合遵循IEEE802.3ad协议的标准6、掌握链路聚合的分类静态聚合和动态聚合6.1、二层聚合InterfaceFastEthernet0/23port-group1InterfaceFastEthernet0/24port-group16.2、三层聚合Interfaceaggretegateport1NoswitchportI注意：只有同类型的端口才能加入AG，且速率、双工须一样所有端口必须属于同一vlan一个AG最多支持8个端口AP不能启用安全功能一个端口加入AP后不能进行任何配置，直至退出APAP可以根据特征值把流量分配到各个端口链路上7、掌握链路聚合的基本配置[switch]Interfacebridge-aggregation1[switchEthernet1/0/1]portlink-aggregationgroup1[switchEthernet1/0/3]portlink-aggregationgroup18、掌握802.1X基本原理及其配置认证方式：本地认证：远程集中认证端口接入控制方式：基于端口的认证基于MAC地址的认证配置方式：[switch]dot1x[switch]dot1xinterfaceEthernet1/0/1[switch]local-uesrlocaluser[switch-1user-localuser]passwordsimplehello[switch-1user-localuser]service-typelan-access9、掌握端口隔离技术及其配置端口隔离用于在VLAN内隔离以太网端口隔离组内的端口数量没有限制隔离组内与隔离组外的同vlan的端口双向互通，隔离组内的端口不能互通一个端口只能属于一个隔离组[switch]port-isolategroup1*创建隔离组1*[switch]interfaceEthernet1/0/1[switch-Ethernet1/0/1]port-isolateenable*将端口加入到隔离组*[switch-Ethernet1/0/2]port-isolateuplink-port*将端口加入到隔离组中，并成为上行端口*10、掌握端口绑定技术通过“MAC+IP+端口”的绑定，可以实现设备对转发报文的过滤控制，提高了安全性。[switch]interfaceEthernet1/0/1[switch-Ethernet1/0/1]user-bindip-address.1mac-address0001-0201-1021IPV6基础1、了解IPv6的特点2、了解IPv6地址的表示方式、构成和分类，了解IEEEEUI-64格式转换原理3、了解邻居发现协议的作用及地址解析、地址自动配置的工作原理4、掌握IPv6地址的配置IP路由及静态路由1、路由器负责将数据报文在逻辑网段间进行转发1.1、路由器根据所收到报文的目的地址选择一条合适的路由，把报文传送给下一个路由器；路由器在网络间提供物理连接，并根据路由表在网络层转发数据包。2、路由是指导路由器如何进行数据报文发送的路径信息2.1、路由器转发数据包主要依靠路由表，每台路由器中都会保存一张路由信息表，每条路由表项都指明了要到达某个子网或主机要从路由器的哪个物理接口发送出去；网络层是负责引导数据正确的通过网络、找到最优的网络路径3、每台路由器都有路由表，路由存储在路由表中3.1、根据来源不同，路由表中的路由通常可分为三类：A、链路层发现的路由（也称为接口路由或者直连路由）B、静态路由，由管理员手工配置的路由C、动态路由协议发现的路由3.2、路由表包含了以下关键项：目的地址：标识数据报的目的地址或目的网络子网掩码：与目的地址“逻辑与”找出目的主机或者路由器所在网段出接口：指明数据报该从路由器哪个接口发送下一跳IP地址：更接近目标网络的下一个路由器的IP地址。或者为出接口地址本条路由加入路由表的优先级：对于同一目标网络可能存在不同的路由，可能由不同路由协议发现的，或者手工配置的；此时优先级高（数值小）的路由作为最优路由3.3、根据目的地的不同可分为：子网路由：目的地为子网主机路由：目的地为主机3.4、根据目的地是否与路由器直连可分为：直连路由：目的主机或网络与该路由器直连间接路由：目的主机或网络与该路由器非直连4、配置直连路由和静态路由4.1、配置准备：配置相关接口的物理参数配置相关接口的链路层属性配置相关接口的IP地址、确保相邻节点网络层可达4.2、配置静态路由：[H3C4.3、直连路由：开销小，配置简单、无需人工维护，只能能发现本接口所属网络段的路由。无需任何路由配置，路由器即可获得其直连网段的路由4.4、直连路由的建立：为路由器接口配置IP地址，该接口物理层和链路层状态UP，则该接口所属网段的直连路由进入路由表。5、用静态路由实现路由备份及负载分担5.1、配置静态路由快速重路由功能：指定备份下一跳，当网络中某条链路或者路由器发生故障中断时，使用预先指定好的备份下一跳替换失效下一跳。RIP路由协议1、描述RIP路由协议的特点1.1、路由信息协议（routeinformationprotocol）是一种内部网关协议（IGP）主要用于规模较小的网络，配置和维护较为简单。它是基于距离矢量算法的路由协议，通过UDP报文进行路由信息的交换，使用的端口号为520；RIP用跳数来衡量目的网络的距离，跳数成为度量值；度量值取值范围0~15，16标为不可达，因此限制了RIP在大型网络中的应用。2、掌握RIP路由信息的生成和维护2.1、RIP的路由数据库：每个运行RIP的路由器都管理者一个路由数据库，该数据库包含了可达目的地址的路由项，路由项主要有：目的地址：目标主机或目标网段下一跳地址：为了到达目的地，需要通过相邻路由器的接口地址出接口：本路由器发送数据的接口度量值：从本路由器到达目的地所经过的路由器个数路由时间：从路由项最后一次更新到现在的时间，每次路由项更新，路由时间重置为0路由标记：用于标识外部路由，在路由策略中可根据路由标记灵活控制路由信息2.2、路由定时器：Updata定时器：定义了路由更新时间间隔Timeout定时器：Suppress定时器：Garbage-Collect定时器：3、掌握路由环路避免的方法3.1、计数无穷：当发生路由环路时，某条路由的度量值将增长到16。该路由被认为不可达。3.2、水平分割：RIP从某个接口学到的路由，不会再从这个接口发送回去，防止环路。3.3、毒性逆转：RIP从接口学到路由，度量值达到16，从原接口发回邻居路由器，可清除无用路由。3.4、触发更新：某条路由的度量值发生变化时，立刻向邻居发送更新报文，无须等待周期时间。4、掌握RIPv2的改进4.1、支持路由标记4.2、报文中携带掩码信息，支持无类域间路由和路由聚合4.3、支持指定下一跳4.4、支持组播方式发送更新报文4.5、支持对协议报文验证，有明文验证和MD5验证5、RIP配置[H3C]rip[H3C-rip-1]network.0[H3C-rip-1]version2[H3C-rip-1]undosummaryOSPF路由协议1、掌握OSPF路由协议基本原理1.1、OSPF（openshortestpathfirst开放最短路径优先）是IETF开发的基于链路状态的内部网关路由协议，目前针对IPv4协议使用的是Version2.1.2、OSPF路由协议适应范围广，最多可支持几百台路由器；快速收敛，网络变化后立即发送更新报文；无自环，采用最短路径树算法计算路由，从算法上避免的路由环路；区域划分，允许自治系统内划分区域，区域间传送路由信息抽象化；等价路由，允许同一目的地的多条等价路由；路由分级，使用4类不同路由，按优先顺序：区域内、区域间、第一类外部、第二外部；支持协议验证，支持基于接口的报文验证；组播发送，在某些类型的链路上采用组播地址发送协议报文。1.3、自治系统：一组采用相同路由协议交换路由信息的路由器，缩写为AS。2、熟练配置单区域OSPF2.1、[H3C]ospf[H3C-ospf-1]area0[H3C-ospf-1-area-3、掌握OSPF常见问题定位手段3.1、displayospfpeer查看ospf邻居状态3.2、displayospfinterface查看ospf接口状态信息3.3、displaycurrent-configurationconfigurationospf查看区域配置是否正确访控及NAT转换1、了解ACL定义及应用1.1、访问控制列表是一系列允许或拒绝数据包的指令的集合；1.2、是网络安全的一部分，通过ACL可以让路由器成为一个包过滤防火墙；2、掌握ACL包过滤工作原理2.1.、数据包是被允许或拒绝主要由源地址、目的地址、源端口、目的端口、协议等指定条件决定；3、掌握ACL的分类及应用3.1、标准ACL：只检查源地址；序号范围2000~29993.2、扩展ACL：检查源地址、目的地址、源端口、目的端口、协议等；序号范围3000~39993.3、二层ACL：根据源MAC地址、目的MAC地址、VLAN优先级、二层协议等；序号范围4000~49993.4、用户自定义ACL：以数据包报头为基准，指定从第几字节开始匹配；序号范围5000-59993.5、ACL可以与QoS、NAT结合使用3.6.、基于时间段的ACL可以使用户区分不同时间段实现ACL控制4、掌握ACL包过滤的配置4.1、两个步骤：一是配置好ACL语句二是把ACL应用到接口上4.2、时间配置：(1)周期时间段：比如每周的周几配置：[H3C]system-view<H3C>time-rangetest8:00to17:30working-day周一至周五的8点到17点30<H3C>displaytime-rangetest查看名为test的时间段信息(2)绝对时间段：从起始时间到终止时间配置：[H3C]system-view<H3C>time-rangetestfrom2:004/6/2012to7:304/6/20132012年6月4号到2013年6月4号<H3C>displaytime-rangetest查看名为test的时间段信息配置步骤命令说明进入系统视图system-view-创建一个时间段time-rangetime-name{start-timetoend-timedays-of-the-week[fromstart-timestart-date][toend-timeend-date]|fromstart-timestart-date[toend-timeend-date]|toend-timeend-date}必选注意：同种时间段之间是或的关系，不同种时间段之间是与的关系4.3、标准ACL配置：配置步骤命令说明进入系统视图system-view-创建或进入基本ACL视图aclnumberacl-number[match-order{config|auto}]缺省情况下匹配顺序为config定义ACL规则rule[rule-id]{permit|deny}[fragment|source{sour-addrsour-wildcard|any}|time-rangetime-name]*必选定义ACL的描述信息descriptiontext可选配置：[H3C]system-view<H3C>aclnumber2001定义ACL编号[H3C-acl-basic-2001]ruledenysource.104.4、扩展ACL：配置步骤命令说明进入系统视图system-view-创建或进入高级ACL视图aclnumberacl-number[match-order{config|auto}]缺省情况下匹配顺序为config定义ACL规则rule[rule-id]{permit|deny}rule-string必选定义ACL规则的注释字符串rulerule-idcommenttext可选定义ACL的描述信息descriptiontext可选rule-string：ACL规则信息参数类别作用说明protocol协议类型IP承载的协议类型用数字表示时取值范围为1～255用名字表示时，可以选取GRE、ICMP、IGMP、IP、IPinIP、OSPF、TCP、UDPsource{sour-addrsour-wildcard|any}源地址信息指定ACL规则的源地址信息sour-addrsour-wildcard用来确定数据包的源地址，点分十进制表示；sour-wildcard可以为0，表示主机地址any代表任意源地址destination{dest-addrdest-wildcard|any}目的地址信息指定ACL规则的目的地址信息dest-addrdest-wildcard用来确定数据包的目的地址，点分十进制表示；dest-wildcard可以为0，表示主机地址any代表任意目的地址precedenceprecedence报文优先级IP优先级取值范围0～7tostos报文优先级ToS优先级取值范围0～15dscpdscp报文优先级DSCP优先级取值范围0～63fragment分片信息定义规则仅对非首片分片报文有效-time-rangetime-name时间段信息指定规则生效的时间段-配置：[H3C]system-view<H3C>aclnumber3001定义ACL编号[H3C-acl-adv-3001]rulepermittcpsource允许源地址为4.5、二层ACL配置步骤命令说明进入系统视图system-view-创建或进入二层ACL视图aclnumberacl-number必选定义ACL规则rule[rule-id]{permit|deny}rule-string必选定义ACL规则的注释字符串rulerule-idcommenttext可选定义ACL的描述信息descriptiontext可选rule-string：ACL规则信息参数类别作用说明format-type链路层封装类型定义规则中的链路层封装类型format-type：取值可以为802.3/802.2、802.3、ether_ii、snaplsaplsap-codelsap-wildcardlsap字段定义规则中的lsap字段lsap-code：数据帧的封装格式，16比特的十六进制数lsap-wildcard：Lsap值的掩码，16比特的十六进制数，用于指定屏蔽位source{source-addrsource-mask|vlan-id}*源MAC信息定义规则的源MAC地址范围source-addr：源MAC地址，格式为H-H-Hsource-mask：源MAC地址的掩码，格式为H-H-Hvlan-id：源VLANID，取值范围1～4094destdest-addrdest-mask目的MAC信息定义规则的目的MAC地址范围dest-addr：目的MAC地址，格式为H-H-Hdest-mask：目的MAC地址的掩码，格式为H-H-Hcosvlan-pri优先级定义规则的802.1p优先级vlan-pri：取值范围为0～7time-rangetime-name时间段信息指定规则生效的时间段time-name：指定规则生效的时间段名称，字符串格式，长度为1～32typeprotocol-typeprotocol-mask以太网帧的协议类型定义以太网帧的协议类型protocol-type：协议类型protocol-mask：协议类型掩码

配置：[H3C]system-view<H3C>aclnumber4001定义ACL编号[H3C-acl-ethernetframe-4001]rulepermitsource2056-1a4c4.6、在端口上应用ACL组合方式acl-rule的形式单独应用一个IP型ACL中所有规则ip-group

acl-number单独应用一个IP型ACL中一条规则ip-groupacl-numberrulerule-id单独应用一个Link型ACL中所有规则link-groupacl-number单独应用一个Link型ACL中一条规则link-groupacl-numberrulerule-id单独应用一个用户自定义ACL中所有规则user-groupacl-number单独应用一个用户自定义ACL中一条规则user-groupacl-numberrulerule-id同时应用IP型ACL中一条规则和一个Link型ACL的一条规则ip-groupacl-numberrulerule-idlink-groupacl-numberrulerule-id配置：<H3C>system-view[H3C]interfaceGi0/1[H3C-GigabitEthernet0/1]packet-fifterinboundip-group2001rule1link-group4001rule1time-rangetest注意：1、编辑的规则不能和已存在的规则内容完全相同，否则系统会提示该规则已存在2、当匹配顺序为config时，指定规则编号已存在时将编辑该规则，没有编辑的部分将保持原样；当匹配顺序为auto时，用户不能编辑任何已存在的规则。3、如果指定编号的规则不存在，则系统默认创建一个新的规则。4、如果不指定规则编号，系统会自动分配一个编号。5、掌握ACL包过滤的配置应用注意事项5.1、每个接口可在in和out两个方向上分别应用一个ACL。5.2、每个ACL最后都隐藏了一个“denyanyany”的语句。5.3、语句的次序，范围小、特殊的的尽量放前面5.4、用户可以指定一条A