网络技术基础篇

网络技术基础篇熊炜目标网络传输介质二层交换技术路由技术三层交换技术安全技术园区网络搭建方案课程议题网络传输介质

网络传输介质-双绞线线序标准：568A白绿、绿、白橙、兰、白兰、橙、白棕、棕568B白橙、橙、白绿、兰、白兰、绿、白棕、棕线缆种类交叉线相同设备类型接口使用交叉线直连线不同设备类型接口使用直连线有效线缆长度100米智能MDI/MDIX不需要知道电缆另一端为MDI还是MDIX设备两种电缆（普通、交叉）都可连接交换机、集线器或NIC设备。消除由于电缆配错引起的连接错误简化10/100M网络安装维护，降低开销。光纤中心是光传播的玻璃芯芯外面包围着一层折射率比芯低的玻璃封套，以使光纤保持在芯内。再外面的是一层薄的塑料外套，用来保护封套。光纤分为单模光纤和多模光纤光柱保护层核心线缆保护层光线结构示意图网络传输介质-光纤网络传输介质-光纤FC－PC型光尾纤接头外形图SC－PC型光尾纤接头外形图ST-PC型光尾纤接头外形图FC/PC－SC/PC型光尾纤外形图网络传输介质续常见介质型号型号代表的传输介质10Base2细同轴电缆10Base5粗同轴电缆10BaseT双绞线100BaseTX5类以上双绞线100BaseFX单模、多模光纤1000BaseTX超5类以上双绞线1000BaseSX短波多模光纤1000BaseLX长波单、多模光纤课程议题物理层互联设备

共享式以太网工作机制CSMA/CD：载波侦听、多路访问、冲突检测听当PCA要发一个数据包给PCD的时候,首先PCA要先听HUB的链路上是否有数据在跑,如果有那么PCA等待,如果没有那么PCA将数据包发出.这样的做法是由于HUB上的链路是共享的,所以采用了发数据包之前先进行冲突检测的方法,那么我们称为CSMA/CD.PCAPCBPCCPCD空闲数据听数据现在的情况是PCA和PCC都要发数据,但是两人刚才都检测到HUB上是空闲的.那么两人都发.结果发生了冲突.两人都同时启动BACKOFF动作.随机的生成一个秒数,再发数据包.如果再与其他PC发送的数据包冲突.那么再次BACKOFF,BACKOFF一共可进行15次.PCAPCBPCCPCD冲突听数据随机秒数物理层设备—集线器冲突域功能负责在两个节点的物理层上按比特传递信息，完成信号的整形、放大和复制功能，以此来延长网络的长度。特点：所有用户共享10M带宽任何用户发送数据时，所有用户都可以接收到在某一时刻只允许一个用户传输数据物理层设备-集线器课程议题网络技术基本原理

以太网交换机（二层交换技术）特点以太网交换机是一种具有简化、低价、高性能和高端口密集特点的网络产品。 二层交换机属数据链路层设备，可以识别数据包中的MAC地址信息，根据MAC地址进行转发，并将这些MAC地址与对应的端口记录在自己内部的一个地址表中。交换机MAC地址表学习（一）MAC地址表0260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444F0/1F0/3F0/2F0/4ACBD交换机初始化时MAC地址表是空的。交换机MAC地址表学习（二）MAC地址表0260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444F0/1:0260.8c01.1111F0/1F0/3F0/2F0/4ACBD主机之间互相发送数据，交换机会学习数据帧的源MAC地址。交换机帧转发原理（一）已知单播帧过滤操作FilteringF0/1:0260.8c01.1111F0/2:0260.8c01.2222F0/3:0260.8c01.3333F0/4:0260.8c01.44440260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444XXMAC地址表F0/1F0/3F0/2F0/4ACBD交换机帧转发原理（二）未知单播帧，广播帧：执行广播操作Flooding(泛洪)0260.8c01.11110260.8c01.22220260.8c01.33330260.8c01.4444F0/1F0/3F0/2F0/4F0/1:0260.8c01.1111F0/2:0260.8c01.2222F0/3:0260.8c01.3333F0/4:0260.8c01.4444MAC地址表ACBD冲突域与广播域1234四个冲突域、一个广播域交换机互连方式级联：交换机之间利用以太网接口连接起来扩展网络范围单链路带宽瓶颈延时大堆叠:通过堆叠线缆将交换机的背板连接起来，扩大级联带宽堆叠线缆短（1米）解决带宽瓶颈（单链路1G或更大）延时小统一管理堆叠－菊花链链路带宽1G锐捷交换机支持最多8台交换机堆叠堆叠-主从式链路带宽2.66G课程议题路由技术

什么是路由选择一个将数据包发往某个目标网段或主机的路径就是路由的过程。路由器的功能作用实现不同IP网段主机间的相互访问实现不同通信协议网段主机间的相互访问不转发广播数据包功能基于IP地址的寻径和转发不同通信协议的转换特定IP数据包的分片和重组路由器转发数据过程1、路由器从接口收到数据包，读取数据包里的目的IP地址2、根据目的IP地址信息查找路由表进行匹配3、匹配成功后，按照路由表中转发信息进行转发4、匹配失败，将数据包丢弃，并向源发送方反回错误信息报文Packet路由表目的网段转发方式从F1口发出从F2口发出交给B路由表的产生方式----直连路由路由器会自动生成本路由器激活端口所在网段的路由条目路由表的产生方式----静态路由在简单拓扑结构的网络里，网络管理员手动输入路由条目。路由表产生的方式----动态路由动态路由协议学习到的路由在大型网络环境下，依靠路由协议比如OSPF、RIP路由协议学习课程议题路由器的管理方式路由器的管理方式带外管理通过带外对路由器进行管理(PC与路由器直接相连)带内管理通过Telnet对路由器进行远程管理通过Web对路由器进行远程管理通过SNMP工作站对路由器进行远程管理Console口及配置线缆RJ45-DB9转换器＋反转线缆DB9-RJ45线缆Console口(RJ45)AUX口（连接拨号网络）带外路由器配置连线利用配置线将主机的COM口和路由器的console口相连打开超级终端从开始-〉程序-〉附件-〉通讯-〉超级终端打开超级终端程序配置超级终端为连接命名选择合适的COM口配置正确的参数TELNET管理路由器在主机DOS命令行下输入：telnetipaddress（路由器管理IP）TELNET管理路由器续输入telnet密码和特权密码即可进入到路由器的配置界面基于WEB的管理

在web页面中输入路由器的管理IP可以进入路由器的web管理页面基于WEB的管理

在web页面下对路由器进行管理课程议题路由器的基本配置路由器配置模式配置模式提示符进入命令用户模式Router>特权模式Router#enable全局模式Router(config)#configureterminal线路配置模式Router(config-line)#vty04路由配置模式Router(config-router)#routerrip接口配置模式Router(config-if)#Interfacef1/1路由器上配置telnet第一步:配置端口地址RouterA#configureterminal！进入全局配置模式RouterA(config)#interfacefastethernet1/0！进入路由器接口配置模式RouterA(config-if)#ipaddress！配置路由器管理接口IP地址RouterA(config-if)#noshutdown！开启路由器f1/0接口路由器上配置telnet第二步：配置远程登录密码RouterA(config)#linevty04！进入路由器线路配置模式RouterA(config-line)#login！配置远程登录RouterA(config-line)#passwordstar！设置路由器远程登录密码为“star”RouterA(config-line)#end第三步：配置路由器特权模式密码RouterA(config)#enablesecretstar！设置路由器特权模式密码为“star”

或者

RouterA(config)#enablepasswordstar路由器配置文件的管理查看配置文件showversion！查看版本及引导信息showrunning-config！查看运行配置showstartup-config！查看用户保存在NVRAM中的配置文件保存配置文件Router#copyrunning-configstartup-configRouter#writememoryRouter#write删除配置文件Router#deleteflash:config.text！删除初始配置文件课程议题路由原理路由信息 路由信息源,可到达路径,最佳路径F1/0S1/2信息源目的网络转发接口直连F1/0学习获得S1/2路由信息查看路由信息router#showiprouteCodes:C-connected，S–static，R–RIP，O-OSPFIA-OSPFinterarea，E1-OSPFexternaltype1E2-OSPFexternaltype2，*-candidatedefaultGatewayoflastresortistonetwork /24issubnetted,1subnetsC isdirectlyconnected,serial1/2OE2/16[110/20]via,01:03:01,Serial1/2S*/0[1/0]via路由信息O --路由信息的来源(OSPF) --目标网络（或子网）[110 --管理距离(路由的可信度)/20] --度量值(路由的可到达性)via --下一跳地址(下个路由器)00:00:23 --路由的存活的时间(时分秒)Serial1/2 --出站接口O [110/20]via,00:00:23,Serial1/2管理距离(可信度)管理距离可以用来选择采用哪个IP路由协议管理距离值越低，学到的路由越可信静态配置路由优先于动态协议学到的路由采用复杂量度的路由协议优先于简单量度的路由协议Connectedinterface0Staticrouteoutaninterface 0Staticroutetoanexthop 1ExternalBGP 20OSPF 110IS-IS 115RIPv1,v2 120InternalBGP 200Unknown 255路由源缺省管理距离路由决策原则最长匹配例：/8和/16根据路由的管理距离：管理距离越小，路由越优先例：S/8和R/8管理距离一样，就比较路由的度量值(metric)，越小越优先例：S/8[1/20]和S/8[1/40]课程议题直连路由直连路由定义路由器能够自动产生激活端口IP所在网段的直连路由信息路由器的每个接口都必须单独占用一个网段F1/0F1/1S1/2目标网段出口CFastethernet1/0CSerial1/2CFastethernet1/1课程议题静态路由静态路由静态路由概述静态路由是指由网络管理员手工配置的路由信息静态路由除了具有简单、高效、可靠的优点外，它的另一个好处是网络安全保密性高静态路由是手动添加路由信息要去往某网段该如何走静态路由

S1/2BABS1/2F1/0F1/0RACF1/0CS1/2RBCF1/0CS1/2RA去往？手工添加告诉路由器去往走S1/2接口这条路SS1/2RB去往？手工添加告诉路由器去往走S1/2接口这条路SS1/2配置静态路由步骤静态路由的一般配置步骤1.为路由器每个接口配置IP地址2.确定本路由器有哪些直连网段的路由信息3.确定网络中有哪些属于本路由器的非直连网段4.添加本路由器的非直连网段相关的路由信息静态路由配置静态路由配置命令配置静态路由用命令iprouterouter(config)#iproute[网络编号][子网掩码][转发路由器的IP地址/本地接口]例：iprouteserial1/2例：iproute静态路由描述转发路径的方式有两种指向本地接口（即从本地某接口发出）指向下一跳路由器直连接口的IP地址（即将数据包交给X.X.X.X）静态路由配置实例routerA(config)#iproute

或

routerA(config)#iprouteserial1/2S1/2网络BAB默认路由默认路由概述/0可以匹配所有的IP地址，属于最不精确的匹配默认路由可以看作是静态路由的一种特殊情况当所有已知路由信息都查不到数据包如何转发时，按缺省路由的信息进行转发配置默认路由：router(config)#iproute[转发路由器的IP地址/本地接口]缺省路由routerB(config)#iprouteInternet上大约99.99%的路由器上都存在一条缺省路由!SOB互联网AB课程议题三层交换机技术

三层交换概念VLAN的默认设置是VLAN之间不允许通讯的，要想实现VLAN间的通讯，必须使用路由器，但是路由器是三层设备，不仅仅涉及到硬件设计还有其中的软件设计，因此价格昂贵，而且路由器要把每一个数据包的目的地址与自己的路由表项对比来决定数据包的去向，处理速度十分缓慢（相对于LAN的速度来说），要在大型的网络核心里使用路由器来进行VLAN的数据交换会使整个网络的效率大打折扣，于是人们将交换机的快速交换能力和路由器的路由寻址能力能力起来，出现的三层交换的概念三层交换概念简单地说，三层交换技术就是：二层交换技术＋三层转发技术。它解决了局域网中网段划分之后，网段中子网必须依赖路由器进行管理的局面，解决了传统路由器低速、复杂所造成的网络瓶颈问题。三层交换概念三层交换（也称多层交换技术，或IP交换技术）是相对于传统交换概念而提出的。众所周知，传统的交换技术是在OSI网络标准模型中的第二层――数据链路层进行操作的，而三层交换技术是在网络模型中的第三层实现了数据包的高速转发。三层交换原理一个具有三层交换功能的设备，是一个带有第三层路由功能的交换机，是交换和路由原理的的有机结合，并不是简单地把路由器设备的硬件及软件叠加在局域网交换机上。三层交换原理假设两个使用IP协议的主机A、B通过第三层交换机进行通信，发送主机A在开始发送时，把自己的IP地址与B主机的IP地址比较，判断B主机是否与自己在同一子网内。若B与A在同一子网内，则进行二层的转发。三层交换概念若两个主机不在同一子网内，如A要与目的主机B通信，发送主机A要向“缺省网关”发出ARP(地址解析)封包，而“缺省网关”的IP地址其实是三层交换机的三层交换模块。当发送主机A对“缺省网关”的IP地址广播出一个ARP请求时，网关将自己的MAC地址发给A，然后A将数据发给网关，网关根据数据包的目的地址进行路由，之后转发给B。三层交换原理经过第一次路由，交换机会学习到A和B的ip地址和MAC地址写入自己的ip主机列表和MAC地址表，当A继续给B发送数据时，交换机对数据进行读取之后根据ip主机列表进行转发。三层交换分类三层交换机可以根据其处理数据的不同而分为纯硬件和纯软件两大类。三层交换分类纯硬件的三层技术相对来说技术复杂，成本高，但是速度快，性能好，负载能力强。其原理是，采用ASIC芯片，采用硬件的方式进行路由表的查找和刷新。三层交换分类基于软件的三层交换机技术较简单，但速度较慢，不适合作为主干。其原理是，采用CPU用软件的方式查找路由表。三层交换机总结在逻辑上三层交换和路由是等同的，三层交换的过程就是IP报文选路的过程。三层交换机与路由器在转发操作上的主要区别在于其实现的方式：三层交换机通过硬件实现查找和转发传统路由器通过微处理器上运行的软件实现查找和转发三层交换机的转发路由表与路由器一样，需要软件通过路由协议来建立和维护课程议题NAT技术

什么时候使用NAT局域网与Internet互联时，需要使用NAT技术代理服务器proxy、ISA、ICS、wingate、sysgate等NAT/NAPT(网络地址转换/网络地址端口转换)路由器、防火墙、核心交换机、服务器常见实现方式NAT/NAPT带来的好处解决地址空间不足的问题；IPv4的空间已经严重不足私有IP地址网络与公网互联；/8，/12，/16非注册IP地址网络与公网互联；建网时分配了全局IP地址－但没注册网络改造中，避免更改地址带来的风险什么是NAT/NAPT概念：NAT就是将网络地址从一个地址空间转换到另外一个地址空间的一个行为NAT的类型NAT（NetworkAddressTranslation）转换后，一个本地IP地址对应一个全局IP地址NAPT（NetworkAddressPortTranslation）转换后，多个本地地址对应一个全局IP地址NAT/NAPT的术语NAT中用到的接口类型：内部网络－Inside外部网络－OutsideNAT中常见的术语：内部本地地址－InsideLocalAddress内部全局地址－InsideGlobalAddress外部本地地址－OutsideLocalAddress外部全局地址－OutsideGlobalAddress互联网OutsideInside企业内部网外部网NAT工作原理/24/24内部本地地址内部全局地址源IP:目的IP:源IP:目的IP:源IP:目的IP:源IP:目的IP:源IP:目的IP:源IP:目的IP:NAPT工作原理/24源IP::1024目的IP::80内部本地地址：端口内部全局地址:端口外部全局地址:端口:1024:1024：80:1136:1136：80源IP::1024目的IP::80源IP::80目的IP::1024源IP::80目的IP::1024Web服务源IP::1024目的IP::80源IP::80目的IP::1024使用NAPT的情况在以下几种情况下，需要使用NAPT技术：缺乏全局IP地址,甚至没有专门申请的全局IP地址，只有一个连接ISP的全局IP地址内部网要求上网的主机数很多提高内网的安全性NAT/NAPT的配置NAT/NAPT的配置有两种静态NAT/NAPT动态NAT/NAPT静态NAT/NAPT需要向外网络提供信息服务的主机永久的一对一IP地址映射关系动态NAT/NAPT只访问外网服务，不提供信息服务的主机内部主机数可以大于全局IP地址数最多访问外网主机数决定于全局IP地址数临时的一对一IP地址映射关系静态NAT配置步骤1、定义内网接口和外网接口Router(config)#interfacefastethernet1/0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1/1Router(config-if)#ipnatinside2、建立静态的映射关系Router(config)#ipnatinsidesourcestatic静态NAPT1、定义内网接口和外网接口Router(config)#interfacefastethernet0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1Router(config-if)#ipnatinside2、建立静态的映射关系Router(config)#ipnatinsidesourcestatictcp10241024Router(config)#ipnatinsidesourcestaticudp10241024动态NAT配置1、定义内网接口和外网接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside2、定义内部本地地址范围Router(config)#access-list10permit553、定义内部全局地址池Router(config)#ipnatpoolabc0netmask4、建立映射关系Router(config)#ipnatinsidesourcelist10poolabc动态NAPT配置1、定义内网接口和外网接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside2、定义内部本地地址范围Router(config)#access-list10permit553、定义内部全局地址池Router(config)#ipnatpoolabcnetmask4、建立映射关系Router(config)#ipnatinsidesourcelist10poolabcoverload课程议题安全技术

VPN虚拟专用网防火墙包过滤防病毒入侵检测交换机端口安全利用交换机的端口安全功能实现防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等。交换机端口安全的基本功能限制交换机端口的最大连接数端口的安全地址绑定交换机端口安全安全违例产生于以下情况：如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数如果该端口收到一个源地址不属于端口上的安全地址的包当安全违例产生时，你可以选择多种方式来处理违例：Protect：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包Restrict：当违例产生时，将发送一个Trap通知Shutdown：当违例产生时，将关闭端口并发送一个Trap通知配置安全端口

端口安全最大连接数配置switchportport-security ！打开该接口的端口安全功能switchportport-securitymaximumvalue ！设置接口上安全地址的最大个数，范围是1－128，缺省值为128switchportport-securityviolation{protect|restrict|shutdown} ！设置处理违例的方式注意：1、端口安全功能只能在access端口上进行配置。2、当端口因为违例而被关闭后，在全局配置模式下使用命令errdisablerecovery来将接口从错误状态中恢复过来。配置安全端口端口的安全地址绑定switchportport-security！打开该接口的端口安全功能switchportport-securitymac-addressmac-addressip-addressip-address ！手工配置接口上的安全地址注意：1、端口安全功能只能在access端口上进行配置2、端口的安全地址绑定方式有:单MAC、单IP、MAC+IP案例（一）下面的例子是配置接口gigabitethernet1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protectSwitch#configureterminalSwitch(config)#interfacegigabitethernet1/3Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum8Switch(config-if)#switchportport-securityviolationprotectSwitch(config-if)#end案例（二）下面的例子是配置接口fastethernet0/3上的端口安全功能，配置端口绑定地址，主机MAC为00d0.f800.073c，IP为02Switch#configureterminalSwitch(config)#interfacefastethernet0/3Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymac-address00d0.f800.073cip-address02Switch(config-if)#end查看配置信息查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等

Switch#showport-security

SecurePortMaxSecureAddr

CurrentAddrSecurityAction------------------------------------------------Gi1/381Protect查看安全地址信息Switch#showport-securityaddress

VlanMacAddressIPAddressTypePortRemainingAge(mins)-------------------------------------------------100d0.f800.073c02ConfiguredFa0/381课程议题IP访问控制列表什么是访问列表IPAccess-list：IP访问列表或访问控制列表，简称IPACLACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤ISP√为什么要使用访问列表内网安全运行访问外网的安全控制访问列表访问控制列表的作用：内网布署安全策略，保证内网安全权限的资源访问内网访问外网时，进行安全的数据过滤防止常见病毒、木马、攻击对用户的破坏访问列表的组成定义访问列表的步骤第一步，定义规则（哪些数据允许通过，哪些数据不允许通过）第二步，将规则应用在路由器（或交换机）的接口上访问控制列表规则的分类：1、标准访问控制列表2、扩展访问控制列表访问列表规则的应用路由器应用访问列表对流经接口的数据包进行控制1.入栈应用（in）经某接口进入设备内部的数据包进行安全规则过滤2.出栈应用（out）设备从某接口向外发送数据时进行安全规则过滤一个接口在一个方向只能应用一组访问控制列表F1/0F1/1INOUT访问列表的入栈应用NY是否允许

?Y是否应用

访问列表

?N查找路由表进行选路转发以ICMP信息通知源发送方以ICMP信息通知源发送方NY选择出口

S0

路由表中是否存在记录

?NY查看访问列表

的陈述是否允许

?Y是否应用

访问列表

?NS0S0访问列表的出栈应用IPACL的基本准则一切未被允许的就是禁止的定义访问控制列表规则时，最终的缺省规则是拒绝所有数据包通过按规则链来进行匹配使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配规则匹配原则从头到尾，至顶向下的匹配方式匹配成功马上停止立刻使用该规则的“允许/拒绝……”Y拒绝Y是否匹配

规则条件1?允许N拒绝允许是否匹配

规则条件2?拒绝是否匹配

最后一个

条件

?YYNYY允许隐含拒绝N一个访问列表多条过滤规则访问列表规则的定义标准访问列表根据数据包源IP地址进行规则定义扩展访问列表根据数据包中源IP、目的IP、源端口、目的端口、协议进行规则定义源地址TCP/UDP数据IP

eg.HDLC1-99号列表IP标准访问列表目的地址源地址协议端口号IP扩展访问列表TCP/UDP数据IP

eg.HDLC100-199号列表

0表示检查相应的地址比特1表示不检查相应的地址比特001111111286432168421000000000000111111111111反掩码（通配符）IP标准访问列表的配置1.定义标准ACL编号的标准访问列表

Router(config)#access-list<1-99>{permit|deny}源地址[反掩码]命名的标准访问列表switch(config)#ipaccess-liststandard<name>switch(config-std-nacl)#{permit|deny}源地址[反掩码]2.应用ACL到接口Router(config-if)#ipaccess-group<1-99>{in|out}F1/0S1/2F1/1IP标准访问列表配置实例(一)配置：access-list1permit55(access-list1denyany)interfaceserial1/2ipaccess-group1out标准访问列表配置实例(二)需求：你是某校园网管，领导要你对网络的数据流量进行控制,要求校长可以访问财务的主机，但教师机不可以访问。配置：ipaccess-listextendedabcpermithostdeny55财务教师F0/1F0/2F0/5F0/6F0/8F0/9F0/10校长IP扩展访问列表配置实例(一)如何创建一条扩展ACL该ACL有一条ACE，用于允许指定网络（192.168.x..x）的所有主机以HTTP访问服务器，但拒绝其它所有主机使用网络Router(config)#access-list103permittcp55hosteqwwwRouter#showaccess-lists103访问列表的验证显示全部的访问列表