华三380课堂重点笔记

1、第一部分 OSPF一、OSPF基本概况，记住4点。1.由IETF制定。2.L-S类型。3.是一种IGP。4.目前使用version2（version3针对ipv6）二、OSPF8个特点。1.适用各种网络规模，最多支持几百台路由。2.收敛快（原因采用了触发更新机制）。3.无环（原因采用了SPF算法，报文携带routerID）.4.引入区域机制（L-S路由算法共性，提高OSPF工作效率）。5.等价路由（好处是实现负载均衡）。6.路由分级（共四级，具有不同优先级，intra和inter是优先级10和extra1和extra2优先级150）。7.支持验证（增强了路由协议本身的安全性）。8.协议报文用组

2、播发送。三、OSPF6个重要概念。1.自治系统：用AS表示，是一组使用相同路由协议交换路由信息的路由器集合。2.OSPF的路由计算过程：step交互LSA每台路由器生成LSDB（LSA-LSDB）step将LSDB转换成带权有向图step(LSDB-带权有向图)根据SPF算法计算出路由。（SPF计算-路由表）（注意：此过程中每台路由器的LSDB是相同的，每台路由器计算出的路由是不同的。）3.routerID：作用是在AS中唯一标识一台路由器本身是一个32bits无符号整数。4.OSPF5种协议报文： hello报文（用来建立邻居关系，选举DR/BDR） DD报文（将自己LSDB描述给邻居） L

3、SR报文（向邻居请求自己需要的LS） LSU报文(向邻居发送对方需要的LS) LSAck报文(对收到的LS进行确认)五、OSPF的9中LSA类型1.type1：每个路由器产生，在本area内传播2.type2：DR产生，在本area内传播3.type3：ABR产生，通告给其他的area4.type4：ABR产生，通告给相关area（到ASBR的路由）5.type5：ASBR产生，通告给除了STUB area（到AS外部的路由）6.type7：NSSA的ASBR产生，仅在NSSA area传播（到AS外部的路由）六、邻居和邻接1.在OSPF中路由器与路由器之间有两种关系分别是邻居和邻接。2.收到

4、hello报文的路由器检查报文中的参数，如果双方一致就形成邻居关系。3.当双方成功交换DD报文，交换LSA达到LSDB同步后，建立邻接关系。七、OSPF的area概念1.area产生原因：路由器数量多导致每台LSDB变大，使路由器需要很到内存和很强CPU运算能力大规模网络中网络容易震荡且收敛很慢。2.引入area后OSPF网络中的路由器有4种：area内路由器区域边界路由器ABR骨干路由器自治系统边界路由器ASBR。3.area划分原则：常规area和骨干area物理直连，否则用vlink解决。4.vlink的另一作用：提供冗余链路（物理直连down，逻辑连接可使用）5.STUB area：该

5、area不允许注入type5LSA，故路由表大大减小。6.NSSA area：是STUB area的改进。7.OSPF网络中路由的类型：intra-inter-type1 external-type2 external八、OSPF支持的网络类型1.broadcast：用组播224.0.0.5 224.0.0.6发送协议报文，选举DR/BDR。2.NBMA：用单播发送协议报文，选举DR/BDR，手工指定邻居3.P2P：组播224.0.0.5发送协议报文4.P2MP:组播224.0.0.6发送协议报文九、OSPF中DR/BDR的概念1.DRother只与DR/BDR建立邻接关系2.broadcas

6、t和NBMA类型接口才会选举DR/BDR。3.路由器优先级大于0才可被选举为DR/BDR，优先级相同时，routerID大的选为DR/BDR.4.DR是针对网段而言的，故以接口来区分。第二部分 BGP一、BGP概述：1.是唯一的EGP2.现在使用的是version43.广泛应用于ISP或大型企业网。二、BGP的8个特点1.BGP的作用控制路由传播和选择最佳路由（IGP是发现和计算路由）2.BGP的协议报文用TCP封装，端口号是1793.支持CIDR4.增量更新路由5.无环路（通告路由时携带ASN）6.具有丰富路由策略7.易于扩展三、BGP的3个小概念1.BGP Speaker2.peer3.g

7、roup4.IBGP和EBGP四、BGP的协议报文总结1.BGP有5中协议报文，它们有相同报文头。2.open报文：TCP连接建立后发送的第一个报文，用于建立BGP peer间的邻居关系3.update报文：用于在peer间交换路由信息。4.notification报文：BGP检测到错误状态时，向peer发送该报文，之后BGP连接中断5.keepalive报文：周期性向peer发送，保持连接有效性（该报文只有报文头）6.route-refresh报文：用来要求peer重新发送指定地址的路由信息。五、BGP路由属性总结（这是BGP最具特色的地方，也是最重要的地方）1.路由属性是一组参数，对特定路

8、由进行描述，让BGP对路由过滤和选择2.BGP的路由属性分为4类：必遵可选过渡非过渡3.最常用的几个BGP路由属性列举： origin属性：该属性定义了路由信息的来源，共3个属性值IGPBGPINCOMPLETE as-path属性：该属性按次序记录了某条路由从本地到目的地址所经过的所有AS编号，BGP将一条路由通告到其它AS时，便把本地ASN加在as-path列表的最前面。（通常BGP不会接受as-path列表中包含本地ASN的路由，从而避免了环路） next-hop属性：BGP把产生的路由发送给所有邻居时，将路由信息的下一跳属性设置为自己与对端连接的接口地址；BGP把接收到的路由发送给EB

9、GP邻居时，将该路由信息的下一跳属性设置为本地与对端连接的接口地址；BGP把从EBGP邻居得到的路由发送给IBGP邻居时，不改变下一跳属性，如果配置了负载分担，路由被发给IBGP邻居时则会修改。 MED属性：BGP路由器通过不同EBGP邻居得到相同目的地的路由时，其它条件相同时，有限选择MED值小的作为最佳路由。 local-pref属性：该属性仅在IBGP邻居间交换，不通告给其他AS；当BGP路由器通过不同IBGP邻居得到相同目的地但下一跳不同的多条路由时，优先选择local-pref值较高的路由。 community属性：该属性简化路由策略的应用和降低维护管理的难度。六、BGP的选路策略，

10、共3中情况情况1：接收路由的策略（首先丢弃下一跳（NEXT_HOP）不可达的路由；优选Preferred-value值最大的路由；优选本地优先级（LOCAL_PREF）最高的路由；优选聚合路由；优选AS路径（AS_PATH）最短的路由；依次选择ORIGIN类型为IGP、EGP、Incomplete的路由；优选MED值最低的路由；依次选择从EBGP、联盟、IBGP学来的路由；优选下一跳Cost值最低的路由；优选CLUSTER_LIST长度最短的路由；优选ORIGINATOR_ID最小的路由；优选Router ID最小的路由器发布的路由；优选地址最小的对等体发布的路由。）情况2：发布路由的策略（

11、存在多条有效路由时，BGP发言者只将最优路由发布给对等体；BGP发言者只把自己使用的路由发布给对等体；BGP发言者从EBGP获得的路由会向它所有BGP对等体发布（包括EBGP对等体和IBGP对等体）；BGP发言者从IBGP获得的路由不向它的IBGP对等体发布；BGP发言者从IBGP获得的路由发布给它的EBGP对等体（关闭BGP与IGP同步的情况下，IBGP路由被直接发布；开启BGP与IGP同步的情况下，该IBGP路由只有在IGP也发布了这条路由时才会被同步并发布给EBGP对等体）；连接一旦建立，BGP发言者将把自己所有的BGP路由发布给新对等体。）情况3：应用了负载分担后时的选路七、BGP和I

12、GP的同步问题1.IBGP路由加入路由表前并发布给EBGP邻居前，会先检查IGP路由表，只有IGP叶有改目的路由是，认为是同步的，才会发布路由给EBGP邻居。否则是不同步，不加入不发布。八、大规模BGP网络面临的问题1.路由聚合：支持自动聚合和手动聚合，手动聚合可以控制聚合路由属性，以及决定是否发布具体路由。2.路由衰减3.路由反射器4.联盟第三部分 路由策略一、路由策略概述，共3点1.作用：为了改变流量的路径而修改路由信息2.应用场合：路由发布时路由接收时路由引入时3.实现方法：step定义匹配规则 step将匹配规则应用到需要的场合二、路由策略实现用到的过滤器（1.2.6是通用的，3.4.

13、5是BGP专用的）1.ACL2.地址前缀3.as-path访问列表4.团体属性列表5.扩展团体属性列表6.route-policy第四部分 AAA和radius一、AAA知识点，4点1.AAA=authentication、authorization、accounting（认证、授权、计费）：认证是确认远端访问用户的身份是否合法授权是对不同用户赋予不同权限，限制用户可以使用的服务计费是记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，不仅是计费手段，也对网络安全起监视作用。2.AAA是C/S架构，一般radius或hwtacacs规定NAS与server如何传递用户信

14、息。3.3个A可以搭配使用。二、radius概述1.radius=remote authentication dial-in user service（远程认证拨号用户服务）2.radius是分布式、C/S架构的信息交互协议3.radius基于UDP，1812为认证端口、1813为计费端口4.radius最早用于拨号接入，后来用于以太网接入、ADSL接入三、radius服务器通常维护3个数据库1.users：用户名、口令、协议、ip地址2.clients：共享密钥、ip地址3.dictionary：属性和属性值四、radius客户端和服务器端交互机制，共3点1.radius客户端和服务器之间认

15、证消息的交互通过共享密钥保证安全，网络不传输共享密钥。用户密码在网络上加密传输。2.radius服务器支持多种方法认证用户（如基于PPP的PAPCHAP）3.radius服务器可以为其它类型认证服务器提供代理五、radius消息交互流程，共9步Step用户发起连接请求，向RADIUS客户端发送用户名和密码。StepRADIUS客户端根据获取的用户名和密码，向RADIUS服务器发送认证请求包（Access-Request），其中的密码在共享密钥的参与下由MD5算法进行加密处理。StepRADIUS服务器对用户名和密码进行认证。如果认证成功，RADIUS服务器向RADIUS客户端发送认证接受包（A

16、ccess-Accept）；如果认证失败，则返回认证拒绝包（Access-Reject）。由于RADIUS协议合并了认证和授权的过程，因此认证接受包中也包含了用户的授权信息。StepRADIUS客户端根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则RADIUS客户端向RADIUS服务器发送计费开始请求包（Accounting-Request）。StepRADIUS服务器返回计费开始响应包（Accounting-Response），并开始计费。Step用户开始访问网络资源。Step用户请求断开连接，RADIUS客户端向RADIUS服务器发送计费停止请求包（Accounting-Reque

17、st）。StepRADIUS服务器返回计费结束响应包（Accounting-Response），并停止计费。Step用户结束访问网络资源。第五部分 VPN一、VPN特点，共3点1.VPN是利用现有公共网络，通过资源配置形成的逻辑上的网络。2.VPN为特定企业或用户群专用。3.VPN不是简单的高层业务。二、VPN的优势，共5点1.为用户建立可靠的安全连接2.提高网络资源利用率3.VPN应用灵活4.满足移动业务需求5.MPLS-VPN能构建具有QoS的VPN三、VPN网络结构描述，共3点1.若干site组成VPN2.所有site属于一个企业是intranet VPN3.所有site分属不同企业是E

18、xtranet VPN四、VPN如何来组建逻辑网络，共2点1.呼叫连接过程由ISP得NAS与VPN服务器共同完成。2.POP=point of presence服务器（位于ISP得边缘，直接接用户）五、VPN的本质，共4点1.VPN=隧道+加密2.隧道分为二层隧道和三层隧道3.二层隧道一般终止在用户侧设备，三层隧道一般终止在ISP网关；三层隧道比二层隧道更安全更容易扩展更可靠4.二层隧道和三层隧道可独立使用，也可配置使用，这样更更全更佳的性能六、VPDN总结，共2点1.VPDN=virtual private dial network虚拟私有拨号网：指利用公共网络（ISDN或PSTN）的拨号功

19、能及接入网来实现VPN2.VPDN有两种实现方式：NAS通过隧道协议，与VPDN网关建立通道客户机直接与VPDN网关建立隧道七、L2TP总结1.协议背景：PPP协议定义了一种封装技术，可在二层点到点链路传输多种协议数据包，用户与NAS间运行PPP协议，二层链路端点与PPP会话点驻留在相同硬件设备上；L2TP提供了对PPP链路层数据包的通道（tunnel）传输支持，允许二层链路端点和PPP会话点驻留在不同设备上，且采用包交换进行信息交互，扩展了PPP模型。2.术语：LAC=L2TP accessconnectrator（具有PPP端系统和L2TP协议处理能力的设备） LNS=L2TP netwo

20、rk server（PPP端系统处理L2TP协议服务器端的设备）3.PPP帧和控制通道及数据通道间的关系：PPP帧在不可靠的L2TP数据通道上传输，控制消息在可靠的L2TP控制通道内传输。4.tunnel和session：tunnel连接定义了一个LNS和LAC对；session连接复用在tunnel之上，用于表示承载在tunnel连接中的每个PPPsession过程；同一对LAC和LNS间可建立多个L2TP tunnel，tunnel由一个控制连接和一个或多个session组成；session连接必须在tunnel建立成功后进行，每个session对应于LAC和LNS间的一个PPP数据流；控

21、制消息和PPP数据报文都在tunnel上传输。5.控制消息和数据消息：控制消息用于隧道和会话的建立、维护、传输控制；数据消息用于封装PPP帧在隧道上传输；控制消息和数据消息共享相同的报文头。6.L2TP的两种tunnel模式：远程拨号用户发起直接由LAC客户发起。7.L2TP隧道和会话建立过程：（用户端PC发起呼叫连接请求PC和LAC进行PPP LCP协商LAC对PC提供的用户信息进行PAP或CHAP认证LAC将热证信息（用户名、密码）发送给radius服务器进行认证radius服务器认证该用户；如果认证通过则返回该用户对应的LNS地址等相关信息且LAC准备发起tunnel连接请求LAC向指定

22、LNS发起tunnel连接请求LAC向指定LNS发送CHAP challenge信息，LNS会送该challenge响应消息CHAP response并发送LNS侧的CHAP challenge,LAC返回该challenge的响应消息CHAP response隧道验证通过LAC将用户CHAPresponse、response identifier和PPP协商参数传送给LNSLNS将介入请求信息发送给radius服务器进行认证（11）radius服务器认证该请求信息，如果认证通过则返回响应信息（12）若用户在LNS配置强制本端CHAP认证，则LNS对用户进行认证，发送CHAP challeng

23、e，用户侧回应CHAP response（13）LNS再次将接入请求信息发送给radius服务器进行认证（14）radius服务器认证该请求信息，如果认证通过则返回响应信息；验证通过，用户访问企业内部资源。八、GRE总结，共6点。1.GRE=generic routing encapsulation（通用路由封装）：是对某些网络层协议（如ip和IPX）的数据报文进行封装，使被封装的数据报文能在另一网络层协议（如ip）中传输。2.GRE是VPN的三层隧道协议。3.tunnel是一个虚拟点到点连接，可以看成仅支持点到点连接的虚拟接口。4.报文在tunnel中传输，必须经历2个处理过程：encaps

24、ulationde-encapsulation5.GRE的使用：多协议的本地网通过单一协议骨干网传输扩大步跳数受限协议（如IPX）的网络工作范围将不连续子网连接用于组建VPN与IPsec结合使用。6.GRE的配置：必须先创建tunnel虚拟接口，然后在tunnel接口上配置其它功能特性（删除tunnel接口同时接口所有配置也被删除）目前comware不支持GRE对IPX的封装。九、IPsec总结1.IPsec概述：由IETF制定IPsec是特定通信方在ip层通过加密与数据源验证等来保证数据传输的私有性、完整性、真实性和放重放IPsec通过AH和ESP实现安全，通过IKE自动协商交换密钥、建立和

25、维护SAAH提供数据源验证、数据完整性校验、报文放重放功能ESP提供AH所有功能外，还提供对ip报文加密。AH和ESP可单独使用也可搭配使用更安全。2.安全联盟SA：IPsec在对等体间提供安全通信通过SA，IPsec能对不同数据流提供不同安全级别，专业说法叫“控制对等体间安全服务的粒度”SA是IPsec对等体间对某些要素的约定SA是单向的（两个对等体间双向通信，至少需要两个SA）SA由三元组来标识（SPI目的ip地址安全协议号AH或ESP）SA有生存周期，计算方式有两种（时间和流量）。3.IPsec的操作模式有2种：传输模式（AH或ESP被插入到ip头之后所有传输层协议之前或所有其他IPse

26、c协议之前）隧道模式（AH或ESP插入在原始ip头之前，另外生成一个新头放在AH或ESP之前）隧道模式的安全性优于传输模式但性能不及传输模式。4.验证算法和加密算法：验证算法（有两种MD5和SHA-1；用于完整性验证判断报文在传输过程中是否被篡改；验证算法通过杂凑函数接受任意长的消息输入，产生固定长度输出的算法，输出信息称为消息摘要；MD5输入任意长度产生128bits摘要，SHA-A输入小于2的64次方bits产生160bits摘要）加密算法（DES=data encryption standard使用56bits的密钥对64bits明文加密；3DES=Triple DES使用3个56bit

27、s密钥对明文加密；AES=advanced encryption standard -comware实现了128bits/192bits/256bits密钥长度的AES算法）。5.IPsec的2种协商方式：手工方式（manual）IKE自动协商手工方式配置复杂且IPsec一些高级特性（如定时更新密钥）不被支持；IKE只需配置好IKE协商安全策略信息由IKE自动协商来创建和维护SA对等体设备数量少或小型静态环境使用手工配置SA；大中型动态网络环境中使用IKE协商建立SA。6.加密卡：加密/解密、认证算法一般比较复杂，占用大量CPU资源，影响路由器整体处理效率模块化路由可以使用加密卡，以硬件方式完

28、成IPsec运算；提高了路由器工作效率也提高了IPsec处理效率。第六部分 QoS一、QoS概述，共5点1.QoS是网络转发分组的服务能力2.传统ip网络QoS是FIFO（best-effort）3.现今的ip网络要承载新业务（视频语音等业务），对带宽和延迟、抖动要求较高4.延迟、抖动主要是拥塞引起的5.流量管理的5种技术：流分类流量监管流量整形拥塞管理拥塞避免二、流分类总结，共6点1.流分类是对流量进行分类，是实现QoS的基础2.流分类可使用TOS或根据源地址、目的地址、MAC地址、ip协议或端口号灯信息对流进行分类3.一般的分类依据都局限在封装报文的头部信息，使用报文内容作为分类标准比较少

29、见。4.一般在网络边界对报文分类，同时设置报文ip头TOS字段的优先级位。这样在网络内部直接使用ip优先级作为分类标准，队列技术也可使用这个优先级对报文进行不同的处理。下游网络可选择接受上游网络的分类结果，也可按自己的标准重新进行分类。5.当报文进入网络时依据承诺速率进行监管，流出结点前进行整形，拥塞时的队列调度管理，拥塞加剧时采取拥塞避免6.TOS和DSCP:TOS有8bits，前3bits是ip优先级，取值范围是0-7；后3-6bits是TOS优先级，取值范围是0-15。重新定义TOS域，称为DS域。DSCP优先级使用前6bits，取值范围0-64，后2bits保留。三、令牌桶1.令牌桶是

30、流量评估机制，或者说是评估流量是否超标的手段2.令牌桶是存放一定数量令牌的容器。系统按设定的速度向桶中放置令牌，当桶中令牌满时，多出的令牌溢出，桶中令牌不再增加。3.通常一个令牌关联一个比特的转发权限。4.简单评估（CIRCBS）:CIR承诺信息速率；CBS承诺突发尺寸，设置的突发尺寸必须大于最大报文长度。5.复杂评估（c桶和e桶，CIRCBSPIREBS） IR峰值信息速率；EBS超出突发尺寸。四、流量监管总结，共4点1.流量监管是监督进入网络某一流量规格，将流量限制在合理范围。2.如果发现某个链接流量超标，流量监管可选择丢弃报文，或重新设置报文的优先级。3.流量监管广泛用于监管进入Inte

31、rnet ISP的网络流量。4.监管动作：转发（比如对评估结果“符合”的报文继续转发）丢弃（比如对评估结果为“不符合”的报文进行丢弃）改变优先级并转发（比如对评估结果为“符合”的报文将之标记为其它的优先级后再进行转发）改变优先级进入下一级监管（比如对评估结果为“符合”的报文将之标记为其它的优先级后在进入下一级监管）进入下一级监管（流量监管可以逐级堆叠，每级关注和监管更具体的目标）五、流量整形总结，共3点1.流量整形是主动调整流量输出速率的措施。典型应用时基于下游网络结点的TP指标来控制本地流量的输出。2.整形和监管的区别是整形对监管中需要丢弃的报文进行缓存，当令牌桶中有足够令牌，均匀向外发送这

32、些报文。另外，整形会增加延迟，而监管几乎不引入额外的延迟。3.举例：RA向RB发送报文，RB要对RA发送来的报文进行监管，对超出的流量直接丢弃。为了减少报文无谓丢失，可在RA的出口对报文进行整形处理，将超出的流量缓存起来，当可以继续发送时再发送。六、拥塞管理总结，共3点1.分组到达速度大于接口发送分组的速度就产生拥塞；如果没有足够空间存储这些分组，就会丢失，丢失的分组会导致 发送该分组的设备因超时而重传，这样讲导致恶性循环。2.拥塞管理的本质是党拥塞发生时指定资源调度策略决定报文转发次序的机制。主要靠各种队列机制完成。3.QP=fair queuing公平队列：不同队列获得公平调度机会，从总体

33、上均衡各个流的延迟短报文和长报文获得公平的调度，如果不同队列间同时存在多个长报文和短报文等待发送，应当估计短报文的利益，让短报文优先获得调度，从而总体上减少各个流的包文件的抖动。4.WFQ加权公平队列：WFQ计算报文调度次序时增加了优先权的考虑，高优先权的报文获得调度的机会多于低优先级的报文。在出队时，WFQ按流的优先权分配每个流占有出口带宽。优先权的数值越小，所得带宽越小。七、拥塞避免总结，共5点1.拥塞避免（congestion avoidance）是一种流控机制，通过监视网络资源（如队列或内存缓冲区）的使用情况，在拥塞有加剧的趋势时，主动丢弃报文，通过调整网络流量解除网络过载。2.传统丢

34、包策略是tail-drop（尾部丢弃），当队列的长度达到最大值后，所有新来的报文都被丢弃。将引发TCP全局同步现象。3.TCP全局同步：当队列同时丢弃多个TCP连接的报文时，将造成多个TCP连接同时进入拥塞避免和慢启动状态以降低并调整流量，而后又同时出现流量高峰，如此反复，使网络流量不停震荡。4.RED（random Early detection）随机早期检测：每个队列都有上下限队列长度小于下限不丢弃报文队列长度超过上限，丢弃所有来到的报文队列长度介于上下限之间，开始随机丢弃到来的报文，队列越长丢弃概率越高，但有一个最大丢弃概率。5.WRED（weigted random Early det

35、ection）加权随机早期检测：生成的随机数是基于优先权的，它引入ip优先权区别丢弃策略，考虑高优先权报文利益，使其被丢弃的概率相对较小。第七部分 IPV6一、ipv6概述1.ipv6是网络层第二代标准协议。2.由IETF制定。3.ipv6与ipv4最显著的变化时地址长度增加到128bits，报文格式也有较大变化。二、ipv6的特点，共8点1.简化的报文头：ipv6基本报文头固定40字节，是ipv4不含可选字段报文头的2倍（ipv6将ipv4报文头某些字段裁剪或移到扩展报头部分，提高了转发效率）。2.充足的地址空间：超过3.4乘10的38次方个地址。3.层次化地址结构：有利于路由快速查找和路由汇聚。4.地址自动配置：无状态地址自动配置（还有有状态地址自动配置DHCPV6和手工配置）。5.内置安全性：ipv6直接将IPsec作为扩展报头，提供端到端的安全。6.支持QoS:基本报头的flow label字段允许设备对某一流中报文进行识别并提供特殊处理。7.增强的邻居发现机制：ipv6没有了ARP，通过ICMPv6实现同样功能。8.灵活的扩展报头：提高处理效率增强灵活性增强扩展性三、ipv6的地址表示1.用“冒号十六进制”表示法。2.每组前导0可省略。3.连续多组全0用:代替，但每个地址只能出现一次。4.ipv6地址=前缀+接口标识四、ipv6地址分类（ipv6地址种类用