华为HCNA实验典型实例

1、实用标准fi一、 静态路由的配置实例：实验目的：将拓扑图网络设备和节点，实现网络互通。1、 规划pc和路由器各接口ip地址；2、 配置路由器和pc的ip地址，并测试直连路由是否通过：r1-gigabitethernet0/0/0ip address 54 24 /ip地址设置 r1display ip routing-table /查询r1的路由表 蓝色表示 辅助指令r1display ip interface brief /查询路由器接口ip设置是否正确 注： 其他接口同理！3、 静态路由的配置（给路由器添加路由）：r2ip route-static 192.168.1

2、.0 24 /静态默认路由配置：在r2路由添加网络，出接口是 （r2的下一跳）r2undo ip route-static 24 /删除指令r1ip route-static 24 r3ip route-static 24 r3ip route-static 24 r3interface loopback 0 /进入环回接口 环回接口：模拟路由器上的其他网络号r3-loopback0ip

3、address 24 /设置环回接口ip地址4、 默认路由的配置：默认路由：不知道往哪里去的数据包 都交给默认路由。（不安全、应用在边界路由 即连接外网的路由器）实际环境中会有很多环回接口，若是都使用静态路由的话，那么配置的工作量会非常大，因此引用 默认路由 解决该问题。 r1ip route-static /或 0r2ip route-static 0 .0.0.0 问题：1、 为什么要在边界路由器上默认路由?答：因为企业员工要上网，运行默认路由的这台路由器，都会

4、把不知道往哪里的数据包往互联网上扔！<r2>save /保存路由器配置 the current configuration will be written to the device. are you sure to continue? (y/n)n:y it will take several minutes to save configuration file, please wait. configuration file had been saved successfully note: the configuration file will take effect aft

5、er being activated静态路由的负载分担 如图：静态路由负载分担拓扑图配置地址后，使用静态路由到达网络号 /24 。达到自由选路功能r5ip route-static 24 r5ip route-static 24 r5ip route-static 24 二、 rip动态路由实例实验目的：通过rip动态路由协议配置，使下图设备全网互通r1rip / 启动rip进程r1-rip-1r1-rip-1network /宣告直连的主类网络（因为是a

6、类地址）r1-rip-1network r2ripr2-rip-1r2-rip-1network r2-rip-1network r2-rip-1network r3ripr3-rip-1r3-rip-1network r3-rip-1network 修改成版本ripv2的方法：r3-rip-1version 2 /注意要将网络中的所有运行rip路由器改成统一版本工作原理：运行rip的路由器 ，每过30秒 会把自己完整的路由表发送给邻居（相邻的路由器），并且发出去的时候以跳数加+1发出去。 （收到邻居发

7、来的路由表以后，先检查自己的路由表 如果有就学习，没有就丢弃） rip路由协议通常使用在中小型网络， 路由器限制15台以内.问题： 解决路由环路的办法？1、 触发更新，用来避免环路2、 限制跳数3、 水平分割4、 路由中毒/毒性翻转 /路由毒化5、 rip计时器 （以上方法都是rip路由协议默认启用的）虽然更改成版本2ripv2可以解决不连续子网问题，但是会使路由表变大。为了提高路由器性能 需要进行路由手动汇总！r1-gigabitethernet0/0/0rip summary-address （掩码需要进行换算）前提是r1路由器有以下环回接

8、口： 将这三个ip地址换算出 子网掩码 rip支持接口 明文验证 和 密文验证明文：密码123 密文：nonstandard 国际标准 加密算法。 usual 华为私有加密算法。三、ospf动态路由协议r1ospf 1 /启动ospf进程，进程号为1， 进程号只具有本地意义（即 只区别当前r1路由器的进程号） r1-ospf-1r1ospf 1 router-id /在ospf进程后 可以加router-id的参数<r1>reset ospf process /重启ospf进程，（手动指定ospf的ro

9、uter-id参数后，需要重启router-id）r1-ospf-1area 0 /进入区域0，也叫主干区域r1-ospf-1-area-r1-ospf-1-area-network /宣告直连网络（地址）进区域0 r1-ospf-1-area-network 55 /宣告直连网络进区域0, 55是反掩码（匹配ip地址的范围）r2路由器同理router-id:用来标识一台运行ospf协议的路由器，并且该标识使用点分十进制来表示，且几乎所有的ospf报文中都会携带router-

10、id.注意：如果一开始启动ospf进程，没有配置router-id，那么ospf路由器会自己选举router-id.区域只针对接口四、 端口聚合技术实例sw1interface eth-trunk 1 /创建一个汇聚组sw1-eth-trunk1sw1-gigabitethernet0/0/1eth-trunk 1 /将端口ge0/0/1 添加进汇聚组eth-trunk 1 sw1-gigabitethernet0/0/2eth-trunk 1 /将端口ge0/0/2 添加进汇聚组eth-trunk 1 sw1-gigabitethernet0/0/3eth-trunk 1 /将端口ge0/0

11、/3 添加进汇聚组eth-trunk 1 sw2交换机配置同理sw2-gigabitethernet0/0/3display current-configuration /任意模式下检查配置是否成功修改交换机接口速率五、 vlan实验配置实例1、单一vlansw1vlan 10 sw1vlan 20 /创建vlan10 和vlan 20sw1-gigabitethernet0/0/2port link-type access /设定该接口类型为accesssw1-gigabitethernet0/0/2port default vlan 10 /设定该接口只能通过vlan 10标签的数据包sw

12、1-gigabitethernet0/0/3port link-type access /设定该接口类型为accesssw1-gigabitethernet0/0/3port default vlan 20 /设定该接口只能通过vlan 20标签的数据包sw1-gigabitethernet0/0/1port link-type trunk /设定该接口类型为trunk sw1-gigabitethernet0/0/1port trunk allow-pass vlan ? / integer<1-4094> vlan id / 同行的vlan 标签号 all all / all表

13、示 所有的vlan标签 sw1-gigabitethernet0/0/1port trunk allow-pass vlan all /该接口所有的vlan数据包都通行sw2交换机配置同理2、vlan间路由配置实例 （ 单臂路由）sw1vlan 10sw1vlan 20sw1-gigabitethernet0/0/2port link-type access sw1-gigabitethernet0/0/2port default vlan 10sw1-gigabitethernet0/0/3port link-type access sw1-gigabitethernet0/0/3port

14、default vlan 20sw1-gigabitethernet0/0/1port link-type trunk /该接口类型为trunksw1-gigabitethernet0/0/1port trunk allow-pass vlan all /允许所有vlan数据包通过r1interface gigabitethernet 0/0/0.? /查询可以设置的子接口编号 <1-4096> gigabitethernet interface subinterface numberr1interface gigabitethernet 0/0/0.1 /进入路由器子接口r1-g

15、igabitethernet0/0/0.1dot1q termination vid 10 /该接口用来识别vlan 10r1-gigabitethernet0/0/0.1arp broadcast enable / 打开arp广播r1-gigabitethernet0/0/0.1ip address 54 24 /设置子接口ip地址r1-gigabitethernet0/0/0.2dot1q termination vid 20r1-gigabitethernet0/0/0.2arp broadcast enabler1-gigabitethernet0/0/0.2ip

16、 address 54 242、 vlan间路由配置实例 (三层交换机的vlan间路由)sw1vlan 10 sw1vlan 20 /创建vlan10 和vlan 20sw1-gigabitethernet0/0/1port link-type access /设定该接口类型为accesssw1-gigabitethernet0/0/1port default vlan 10 /设定该接口只能通过vlan 10标签的数据包sw1-gigabitethernet0/0/2port link-type access /设定该接口类型为accesssw1-gigabitethe

17、rnet0/0/2port default vlan 20 /设定该接口只能通过vlan 20标签的数据包sw1interface vlanif 10 /进入sw1交换机的vlan 10接口sw1-vlanif10ip address 54 24 /设定该vlan接口ip地址sw1interface vlanif 20 /进入sw1交换机的vlan 10接口sw1-vlanif10ip address 54 24 /设定该vlan接口ip地址六、vrrp虚拟路由冗余协议（公有协议）配置ip地址和执行ospf路由协议之后：r2-gigabitether

18、net0/0/1vrrp vrid 1 virtual-ip 00 /虚拟网关r2-gigabitethernet0/0/1vrrp vrid 1 priority 105 /设置r2路由器该接口的的优先级为 105（使该路由器成为主路由，r3如果优先级低于r2.那么r3则成为 从路由）,vrrp路由器默认优先级为100 。r3-gigabitethernet0/0/1vrrp vrid 1 virtual-ip 00 /配置虚拟网关1 的地址r2display vrrp /查询vrrp虚拟路由情况r2-gigabitethernet0/0/1shu

19、tdown /关闭路由器接口r2-gigabitethernet0/0/1undo shutdown /打开路由器接口r2-gigabitethernet0/0/1vrrp vrid 1 track interface gigabitethernet 0/0/0 /上行链路跟踪，一旦接口ge0/0/0出现故障，则路由器优先级会降低 10 即150-10=95 ，这样r3就会变成主路由*由于以上配置在正常情况下，会照成从路由器r3的资源浪费。 因此要配置出两个虚拟网关：r3-gigabitethernet0/0/1vrrp vrid 2 virtual-ip 00 /配置虚

20、拟网关2 的地址r3-gigabitethernet0/0/1vrrp vrid 2 priority 105 /设置优先级为 105r3-gigabitethernet0/0/1vrrp vrid 2 track interface gigabitethernet 0/0/0 /上行链路跟踪r2-gigabitethernet0/0/1vrrp vrid 2 virtual-ip 00 /在r2接口设置虚拟网关2地址。 默认优先级为100 使r2成为从路由六、网络安全管理-防火墙的基本配置<huawei>display current-configurati

21、on 查询路由器、交换机或防火墙的设备配置信息<fw1>display firewall packet-filter default all 查询防火墙的区域间规则fw1display firewall session table 查看防火墙的会话表项 （临时会话表项）fw1firewall zone trust 进入trust区域（路由器信任区域）fw1-zone-trustadd interface gigabitethernet 0/0/2 将ge0/0/2接口加入trust区域fw1firewall zone dmz fw1-zone-dmzadd interface gi

22、gabitethernet 0/0/3 将ge0/0/3接口加入 dmz 区域fw1firewall zone untrust fw1-zone-untrustadd interface gigabitethernet 0/0/1 将ge0/0/1接口加入untrust区域*需求一：允许用户区域可以访问企业服务器区域，而服务器区域不能访问用户区域：fw1firewall packet-filter default permit interzone dmz trust direction outbound /更改dmz与trust之间在outbound数据流中 为permit /outbound

23、：优先级高访问优先级低的数据流， permit：允许*需求二：使用ar1路由器telnet到防火墙(由于模拟器的pc不支持telnet功能，因此使用路由器代替)fw1firewall packet-filter default permit interzone local untrust direction inbound /更改local与trust之间在inbound 数据流中 为permitfw1user-interface vty 0 4 /开启telnet功能，并同时允许5个用户telnet到该防火墙中fw1-ui-vty0-4authentication-mode ? aaa au

24、thentication use aaa /aaa认证登录 password authentication use password of user terminal interface /自定义输入密码来登录 fw1-ui-vty0-4authentication-mode aaa /使用aaa认证登录， 默认账户和密码：admin admin123 按照以上方法已经可以通过路由器telnet到防火墙中,但企业中不提倡使用超级用户，现在需要设定一个特定账户和密码进行telnetfw1-ui-vty0-4aaafw1-aaalocal-user lewis ? access-limit acc

25、ess limit acl-number configure acl number ftp-directory set user ftp directory permitted idle-cut configure idle cut l2tp-ip configure binding ip of l2tp for user level configure user privilege password string of plain-text password service-type service types for authorized users state activate/bloc

26、k the user(s) valid-period indicate user valid period vpn-instance specify a vpn-instance fw1-aaalocal-user lewis password cipher 123 /配置特定telnet账户和密码：lewis 123域内互访过滤策略要求：不允许财务部和技术部门之间的pc互访域内访问过滤策略fw1policy zone trust /进入trust区域fw1-policy-zone-trustpolicy 1 /创建第一个策略fw1-policy-zone-trust-1policy sour

27、ce /源地址source / 55 控制网络之间的访问fw1-policy-zone-trust-1policy destination /目的地址 destination / 55 控制网络之间的访问 fw1-policy-zone-trust-1action deny /该动作策略 不允许 源地址（或网络）和目的地址（或网络）无法访问fw1-policy-zone-trust-1action permit /该动作策略 允许源地址和目的地

28、址互访 web管理登录账户和密码：admin/admin123 域间互访过滤策略要求： 互联网上的用户client1 访问到企业服务器client1非法理论解决思路：1、通过防火墙配置 允许untrust区域访问dmz企业服务器； 2、因为ar1路由器没有/24网络的的路由表，因此需要在ar1设置默认路由； 3、因为防火墙fw1没有/24网络的的路由表，因此需要在fw1设置默认路由；实际： 不现实！ 因为ar1是互联网上的路由器，无法配置，另外现实当中不可能把untrust到dmz之间的流量全部放开；正确的解决办法是：放开untrust到dmz中

29、的 icmp www ftp协议包要求： 互联网上的用户client1 访问到企业服务器client1第一步：创建服务集，并放入服务类型；fw1ip service-set luyuedeserver type object /创建名为luyuedeserver的服务集fw1-object-service-set-luyuedeserverservice 0 protocol icmp /将第一个服务放入服务集中，服务为：icmpfw1-object-service-set-luyuedeserverservice 1 protocol tcp destination-port 80 /将第二

30、个服务放入服务集中，服务为www 即：tcp协议的80端口fw1-object-service-set-luyuedeserverservice 2 protocol tcp destination-port 21 /将第三个服务放入服务集中，服务为ftp 即：tcp协议的21端口第二步：开启策略fw1policy interzone untrust dmz inbound /针对untrust和dmz的 inbound 数据流区域 fw1-policy-interzone-dmz-untrust-inboundpolicy 10 /编写防火墙编号为10的策略fw1-policy-interzone-dmz-untrust-inbound-10policy service service-set luyuedeserver/将该luyuedeserver服务集放入该区域中（untrust和dmz的 inbound 数据流区域 ）fw1-policy-interzone-dmz-untrust-inbound-10policy destination /指定访问的网络号或主机地址， 这里通过反掩码进行精确ip地址匹配.只允许访问这台serve