一、網絡模型分類
OSI七層模型:
面向用戶應用：（上三層）應用層，表示層，會話層。
面向數據傳輸（下四層）：傳輸層，網絡層，數據鏈路層，物理層。
數據鏈路層、網絡層、傳輸層傳輸協議的單元分別是：幀，包，段。
二層的封裝報頭爲：源Mac 目的Mac
三層的封裝報頭爲：源IP 目的IP
四層的封裝報頭爲：源端口目的端口。
MAC地址佔48bit，ip地址佔32bit，端口占16bitTCP/IP四層模型：
應用層：
應用層是開放系統的最高層,是直接爲應用進程提供服務的。
傳輸層：使用TCP與UDP兩種協議。
TCP是可靠的傳輸機制，依靠確認重傳機制提高可靠性；滑動窗口機制提高效率。
TCP利用三次握手，可以使用拒絕服務***。
UDP是不可靠的傳輸機制，視頻和語音都是基於UDP
Internet層：
實現兩個端系統之間的數據透明傳送，具體功能包括尋址和路由選擇、連接的建立、保持和終止等。
網絡接入層：
網絡中直接面向用戶連接或訪問的部分，接入層目的是允許終端用戶連接到網絡。Cisco三層模型：
核心層，匯聚層，接入層。二、IP和子網
IP（Internet Protocol），互聯網協議。分爲IPv4和IPv6
IP是邏輯地址，可以變化，IPv4佔32bit；IPv6佔128bit。
IPv4地址分爲A、B、C、D、E五類，其中A、B、C是常用地址，D類爲組播地址。
A類：1.0.0.1-216.255.255.254（0.x.x.x保留作爲科研使用，127.x.x.x保留，作爲自身迴環地址使用）
B類：128.0.0.1-191.255.255.254
C類：192.0.0.1-223.255.255.253
D類：224.0.0.1-239.255.255.254
E類：240.0.0.1-255.255.255.254
其中一部分作爲私網地址：
A：10.0.0.1 - 10.255.255.254
B：172.16.0.1 - 172.31.255.254
C：192.168.0.1 - 192.168.255.254
IP地址=網絡位+主機位（網絡位相同，主機位不同就叫做同網段）
子網掩碼mask：表示網絡位的長度。
主機位全0爲網絡地址，主機位全1爲廣播地址；其餘爲可用主機地址。
主機位的變化範圍：網絡地址+可用主機地址+廣播地址。
VLSM，可變長子網掩碼，針對IPv4。
VLSM的作用就是在有類的IP地址的基礎上，從他們的主機號部分借出一定的位數來做網絡號，也就是增加網絡號的位數。
例如：
神州數碼公司是一家新成立的公司。一共有5個部門。其中每個部門各有30臺電腦。現在公司申請了一個新的網段192.168.0.0/24，請將該網段分配給每個部門，並且寫出每個部門的具體網段範圍。
5個部門，2^2<5<2^3
因此需要借3位，子網數有8個：
192.168.0.0/27；192.168.32.0/27；192.168.64.0/27；192.168.96.0/27
192.168.128.0/27；192.168.160.0/27；192.168.192.0/27；192.168.224.0/27
選出其中的5個作爲5個部門的網段
第一部門：192.168.0.0~192.168.0.31
第二部門：192.168.32.0~192.168.32.31
第三部門：192.168.64.0~192.168.64.31
第四部門：192.168.96.0~192.168.96.31
第五部門：192.168.128.0~192.168.128.31三、路由
路由器：連接不同網段的設備，使用路由表查詢方式。工作在網絡層，每個接口都是一個廣播域和一個衝突域。
通信路徑來回是否需要一致：路由器不需一致；防火牆需要一致。
路由是一種PHB行爲（per-hop-behavior 每跳行爲）
路由條目：目標網段+本地出接口/下一跳路由IP。
路由跟蹤：tracert x.x.x.x PC機 traceroute x.x.x.x 路由器
路由協議的分類：
1、根據作用範圍分類：
IGP（內部網關路由協議）：除BGP以外所有路由協議
EGP（外部網關路由協議）：BGP協議
2、根據工作原理分類：
靜態路由協議
動態路由協議：
i）：距離矢量路由協議：RIP、EIGRP、BGP 交互路由條目
ii）：鏈路狀態路由協議：OSPF、IS－IS 交互鏈路狀態
靜態路由：默認AD值爲１
手動添加，安全，配置簡單；不能適應變化。
配置：ip route 目標網段地址目標網段掩碼下一跳地址/出接口
默認路由：特殊的靜態路由，用於網絡末梢或單出口網絡環境
ip route 0.0.0.0 0.0.0.0 下一跳地址/出接口浮動靜態路由：靜態路由備份技術（平時查看路由表不可見，當原有鏈路斷時生效）
ip route 目標網段地址 目標網段掩碼 下一跳地址/出接口 AD值黑洞路由：
ip route 目標網段地址 目標網段掩碼 null0 該命令會將去往目標網段的流量全部丟包。動態路由：
路由協議研究：手動配置，自動維護
1、管理距離 AD
靜態 1
RIP 120
EIGRP 90和170
OSPF 110
IS-IS 115
BGP 20和200
2、度量值metric：衡量路徑好壞的值，一般使用跳數或帶寬
3、算法
RIP：routing information protocol 路由信息協議RIP基於UDP 520端口
RIPv1 有類路由協議，不支持VLSMRIPv2 無類，使用224.0.0.9組播更新，自動彙總要關閉後支持VLSM。
RIPng 支持IPv6
最大支持15跳，不支持大網絡
自動彙總
彙總：將無類路由轉化成有類路由的過程
被動接口技術，只收不發的接口
定時器，每三十秒更新一次
配置：
conf t
router rip //啓用rip協議
version 2 //版本2
no auto-summary //關閉自動彙總
network x.x.x.x //宣告網絡
exit
EIGRP：增強內部網關路由線路協議
高級距離矢量路由協議
EIGRP由於存在距離矢量特徵，也會出現自動彙總自動彙總要關閉後支持VLSM
DUAL算法彌散更新算法
支持快速收斂
建立鄰居表，生成拓撲表，通過DUAL算法算出路由表
收斂：從變化到穩定的過程
EIGRP支持帶掩碼的發佈
最大條數225跳（極限跳數）
支持等價和不等價負載均衡
名詞解釋：
FD : 可行性距離，源到目標網絡的距離，FD最小的作爲最佳路徑。
可行性距離FD=通告距離AD+帶寬延遲AD：通告距離，下一跳路由器到達目標網絡距離。
FS：可行繼任者，備用路徑的下一跳路由器。
S：繼任者， 最佳路徑的下一跳路由器。
FC：可行性條件，作用是爲了保證EIGRP協議100%無環。
配置：conf t
router eigrp x
no auto-summary
network x.x.x.x（網段） x.x.x.x（反掩碼）
exi
查看命令：
show ip eigrp neighbors 查看eigrp鄰居表
show ip eigrp topology 查看eigrp拓撲表
show ip route eigrp 查看eigrp路由表
OSPF：開放最短路徑優先協議
使用hello包建立和維護鄰居
以組播方式發hello包建立，以單播方式維護鄰居鄰居關係：不能交互鏈路信息
鄰接關係：能交互鏈路信息
建立鄰居表，生成鏈路狀態數據庫，通過SPF算法算出路由表
分層網絡，分區域，骨幹，非骨幹區域
Cost值=參考帶寬/當前接口帶寬（參考帶寬默認爲100）
每臺OSPF路由器都存在router-id，手動指定或者自動選舉，RID的ip不需要真實存在
自動選舉RID原則：
1、是否存在lookback接口，選舉lookback接口IP最大的
2、如果沒有lookback，選擇物理接口IP最大的
DR選舉原則：有比較接口優先級（默認爲1），再選舉RID最大者
修改接口優先級命令：接口視圖下ip ospf priority（默認爲1，範圍1~255，越大越好，0表示不參與選舉）
點對點類型的網絡不需要選舉DR/BDR，非廣播多路訪問類型的網絡需要手動建立鄰居。
名詞解釋：
DR：指定路由器BDR：備份指定路由器
DRother：非DR與BDR
配置：
Conf t
Router ospf x
Router-id x.x.x.x //手動選定RID
Network x.x.x.x（網段） x.x.x.x（反掩碼） area x //在區域x宣告網段
Exit
查看：
Show ip ospf neighbors 查看ospf鄰居表
Show ip ospf database 查看ospf鏈路狀態數據庫
Show ip route ospf 查看ospf路由表
DHCP功能：提供IP 掩碼 網關 DNSDHCP過程：
DHCP客戶端發出DHCP廣播請求
DHCP服務器端迴應DHCP數據包
部署分類：
同網段部署
跨網段部署，DHCP中繼請求，網關把廣播轉換成單播，發送給DHCP服務器
配置：
同網段：conf t
service dhcp（默認開啓）
ip dhcp pool xxx
network 10.1.10.0 /24
default-router 10.1.10.254
dns-server 8.8.8.8
exit
DHCP地址排除命令：ip dhcp excluded-address x.x.x.x（起始地址）x.x.x.x（結束地址）
跨網段：
在網關配置ip helper-address x.x.x.x（DHCP服務器的地址）
防範私自搭建DHCP服務器的方法：交換機端口安全功能：MAC學習限制或指定MAC四、交換
交換機：
工作原理：學習MAC地址，形成CAM表，記錄MAC和端口的對應關係，單播依據
交換機是一個廣播域（不劃分VLAN情況下），每個端口都是一個衝突域。
VLAN：虛擬局域網
VLAN可以實現廣播域的隔離，廣播域數量變多，變安全，可管理性提高VLAN ID範圍： 0-4095（可用的是1-4094）封裝中佔12bit
思科的1002~1005保留給非以太網
默認所有端口都屬於VLAN 1
VLAN配置在show run看不見
VLAN數據庫不存在在running-config和starup-config
VLAN數據存放在flash裏面，flash：vlan.dat
配置與查看：
模擬器中：
Vlan database
Vlan x
Exi
Show vlan-switch brief
真機中：
Conf t
Vlan x
Show vlan brief
鏈路：
Trunk鏈路：交換機互連，或者連接路由器，傳遞多個VLAN信息Access鏈路：接PC或服務器
配置：
switchport mode trunk
或switchport mode access
Switchport access vlan x //劃分該端口給vlan x
單臂路由： 實現VLAN間通信1、int fx/x.x //進入子接口
2、encapsulattion dot1q vlan-id //將vlan x綁定該子接口
3、配置子接口IP
多層交換：2層交換+路由引擎
交換虛擬接口： switch virtual interface SVI
三層交換：routed port路由模式（no switchport）
L3端口 思科私有，可在交換機物理接口上配置IP
switchport 交換模式 L2端口
鏈路捆綁（EC Ethernet channel 以太網通道）：多個端口聚合成多個端口（配置時先把端口shutdown）作用：提高帶寬同時提供備份
實現協議：
PAGP端口聚合協議，思科私有
LAGP鏈路聚合協議，公有
EC有兩種：2層EC和3層EC
2層配置：
Int rang fx/x –x //進入x/x –x等接口配置
Shutdown //將端口手動down
switchport trunk encapsulation dotlq //將trunk鏈路協議改爲802.1q
channel-group x mode on //將端口綁定入EC x 模式on
no shutdown
3層配置：
Int rang fx/x –x //進入x/x –x等接口配置
Shutdown //將端口手動down
No switchport //開啓端口路由功能
channel-group x mode on //將端口綁定入EC x 模式on
int port-channel x //進入綁定端口x
ip address x.x.x.x x.x.x.x //綁定端口配置IP
no shutdown
exit
Int rang fx/x –x //進入x/x –x等接口配置
No shutdown五、生成樹（spanning-tree）作用：環路避免功能，提供備份鏈路
最終目標：找到一個不能轉發數據的端口Block端口，其他端口都是屬於轉發Forward端口
1、根交換機 root bridge RB 根橋
根橋選舉原則：先比較橋優先級最小的，在比較mac地址最小的
默認優先級32768，最小是0，4096的倍數
bridge-id 橋ID=橋優先級+橋MAC
2、幹：非根橋選舉接收根橋信息的端口，根端口 root port RP
根端口選舉原則：cost值，自動計算和手動指定兩種
手動指定對端端口cost值
3、找到block 比較發送者的bridge-id
BPDU包=橋協議數據單元，每兩秒發一次
切換狀態和時間
阻塞block 20s
監聽listening 15s
學習learning 15s
轉發forward
生成樹協議：
標準生成樹： 802.1D 只有一顆生成樹，沒有流量負載分擔效果
快速生成樹： 802.1W 只有一顆生成樹，沒有流量負載分擔效果
多實例生成樹： 802.1S 將多個VLAN映射到同一個實例IST
每VLAN生成樹： PVST+ 思科私有
快速每VLAN生成樹： RPVST+ 思科私有
GNS3只支持PVST+，Cisco默認開啓STP
六、ACL/NAT
ACL：訪問控制列表
數據包結構（五元組）：源IP 目的IP 源端口 目的端口 DATA數據訪問控制即讀取數據包結構的前四個要素，進行控制
控制包括允許和拒絕兩種
源端口比較少用
接口下進行，有方向性，進in 出out
1-99 標準訪問控制只能控制源IP
100-199 擴展訪問控制控制五元組
配置和調用：
1-99：access-list permit/deny x.x.x.x （反掩碼x.x.x.x）
100-199：access permit/deny ip/tcp/ udp/icmp/ospf/eigrp源IP 反掩碼 目的IP反掩碼eq 端口號
默認會添加access-list x deny ip any any
調用：ip access-group x in/out
舉例：
R1路由器只允許被pc機10.1.1.1 telnet
line vty 0 4
access-class 2 in
exitaccess-list 2 permit 10.1.1.1
end
只允許訪問TCP23號端口，其他都拒絕
access-list 100 permit tcp any any eq 23
禁ping操作：
ip access-group 100 in
access-list 100 deny icmp any any
access-list 100 permit ip any any
命名ACL：
ip access-list stand/extended namenum permit/deny 內容
num permit/deny 內容
exit
int f0/0
ip access-group name in/out
exit
NAT：把私網地址轉換成公網地址，帶動內網上網
網絡地址轉換：只有路由器和防火牆可以實現，多層交換機不行
設備劃分區域：inside outside
NAT是把inside的私網IP轉換inside的公網IP訪問外網
配置：
1、指定inside和outside端
2、NAT主命令配置
內網端口：ip nat inside（單臂路由，inside端要寫在子接口上）
外網端口：ip nat outside
端口複用NAT-PAT：
ip nat inside source list 1 interface f1/0 overload
access-list 1 permit any
overload：端口複用，實現多臺PC一起上網
地址池NAT，動態NAT：
ip nat inside source list 1 pool ccna overload
ip nat pool ccna x.x.x.x x.x.x.x prefix -length 掩碼位數
access-list 1 permit any
靜態NAT應用場合：內網服務需要被外網訪問到
1、靜態IP NAT
ip nat inside source static 內網IP 公網IP
2、靜態端口映射NAT
ip nat inside source static tcp/udp 內網ip 內網端口公網IP 外網端口
七、廣域網WAN：
三種封裝：HDLC、PPP、FR
PPP=LCP+NCPLCP 鏈路控制協議驗證明文驗證pap+密文驗證chap
NCP 網絡控制協議獲取IP
客戶端:ppp pap sent-username 123456 password 123456
服務器端：
int s0/0
ppp authentication pap
exitusername 123456 password 123456
查看PPP認證過程 debug ppp authentication
PAP只需要認證一次
八、冗餘網關：
HSRP：熱備份路由協議 思科私有
GLBP網關負載均衡協議 思科私有 同一個網段中實現負載均衡
VRRP：擬路由器路由協議 公有
切換時間默認10s，hello時間3s
出口跟蹤功能，出口故障後，懲罰優先級
穩定性原則，搶佔功能，實時比較，變化後直接搶佔
活動網關選舉原則：
（1）選舉優先級高的。默認100，範圍1-155
（2）選舉物理接口IP地址比較大的。
配置：HSRP配置：
int vlan 10
ip add x.x.x.x x.x.x.x
standy 10 ip x.x.x.x //虛擬網關的ip地址
standby 10 priority xx //設置優先級，不要設置太大，一般設置110或120
standby 10 preemt //開啓實時搶佔功能
standby 10 trace fx/x xx //懲罰優先級，當fx/x端口斷掉之後，將此優先級降下xx
VRRP配置：
int vlan 10
ip add x.x.x.x x.x.x.x
vrrp 10 ip x.x.x.x //虛擬網關的ip地址
vrrp 10 priority xx //配置優先級
exit
GLBP配置：
int vlan xx
ip add x.x.x.x x.x.x.x
glbp xx ip x.x.x.x //虛擬虛擬網關
glbp xx priority xx //配置優先級