2015年7月13日 星期一

網路工程班的冒險 week 4

好險有個颱風假可以讓節奏減緩一些...
CCNA的課真的太快了..
一堆理論沒有搞清楚就一直上下去
下禮拜課程就會結束

準備報告跟考式
加油阿~~



以下是筆記!!


OSPF故障檢測

用show ip route檢查
#sh ip int s 0/0
可以看cost
用bnadwidth可以更便cost的結果

直接更改cost結果

#ip ospf cost ?
#auto-cost reference-bandwidth ?
計算公式改變
建議所有R的計算公式要一致

指令整理
1. sh ip osp neighbor: ospf功能介面
2. show ip ospf interface: ospf在int的相關資訊
3. show ip protocols 確認ospf行程ID，R是否開啟OSPF
4. show ip route: 確認路徑表，並顯示OSPF注入之路徑
5. show ip ospf database: 列出LSA


EIGRP
DV的第一個時做事RIP--演變出IGRP
IGRP特色
  1. Metric:
    1. 頻寬
    2. 延遲
    3. 負載
    4. 可靠
    5. MTU
    6. 稱為複合式的Metric
  2. R增加為100台
  3. 更新時間: 從30到90秒
  4. 觸發式更新
  5. 依然有LOOP(ㄧ樣是DV，所以傳送路徑表)
  6. 無subnet

IGRP後來發展出OSPF，對抗OSPF發展出EIGRP





EIGRP功能
  1. 透過相依模組(protocol-dependent module，PDM)支援IP與IPv6或其他的協定，支援多重L3協定
  2. 無級別: IP可以做分割
  3. 支援VLSM(subnet)
  4. 支援非路徑總結與非連續的網路(手動)
  5. 有效的發現鄰居
  6. 透過"可靠傳輸協定"(reliable transport protocol，RTP)通訊。不用UDP、TCP
  7. 限制性更新(bounded update)
  8. 擴散更新演算法(DUAL)
    1. 只更新異動DATA
    2. 只更新受影響的鄰居
  9. 沒有廣播

發現鄰居: 建立緊鄰關係，交換路徑資訊
三個條件
  1. 收到hello
    1. 跟OSPF差不多，這三個都要相同才能say hello
  2. AS號碼相符(自治系統號碼)
  3. 相同的衡量指標(K)(K1、3=1，K2、4、5=0)


EIGRP的(預設)hello設定5秒

可行距離(FD)
到達目的地的總成本
最佳路徑衡量指標，端點到端點的最低真實成本

報告的距離(RD)
出發點的下一個R到目的地的距離

鄰居表:
neighbor table
每部R都會保存緊鄰的狀態

拓樸表
DUAL產生

successor(S):
最佳路徑，存放在路徑表中

feasible successor(FS):
"FS'RD(小的)<S'FD(大的)"
稱為"可行性條件"，有合乎條件的被稱為FS
(避免迴圈才能滿足成為FS)
RIP
  1. 只能傳eigrp: only use in cisco device
  2. 傳IP L4 協定
  3. 224.0.0.10(多點傳播時使用)
  4. 同時具有UDP、TCP
    1. mulitcast: 224.0.0.10 鄰居溝通，不用ACK(UDP)
    2. 超過死亡週期，確認到底有沒有人(20sec)，使用unicast，被詢問的必須要回ACK(TCP)
RIP步驟:
  1. Hello
  2. update: 用可靠多點傳輸，只有一台會用單點
  3. Query(查詢): 向鄰居請求查詢\
  4. Rely(回應): 包含查詢到的路徑跟未知的路徑
  5. ACK(用單點傳播來回應更新，不使用可靠傳輸，否則會要靠另一個ACK，吃資源)

ospf vs eigrp
　
OSPF
　
EIGRP
　
1
hello
　
hello
　
2
neighbor
　
RTP
使用"update"成
neighbor table
3
LSA
　
router table
鄰居表互送，蒐集而成
4
拓樸表(LSDB)
蒐集LSA產生
router table input DUAL
5
router table
topology t送至SPF演算法產生
output "topology table"(含 S、FS )
更新時步驟
2-4-5-6=15sec
5-6=2sec
(要有備援路徑)

LSDP:更新，產生新版本
RIP(EIGRP): 更新，(直接改數據)不產生新版本

eigrp特色
  • 找出FS
  • VLSM
  • 執行動態路徑復原
  • 向鄰居找替代路徑
  • 送出FS的查詢



啟動EIGRP
  1. #router eigrp [as/程序IP] 這邊設20
  2. 指定網段。#network [classful] [wildcard](有分割的才用wildcard)
這邊不分割
#network 192.168.1.0
#network 192.168.2.0
  1. #show ip route看結果

eigrp 故障檢測
  1. show ip eigrp neighbors: 顯示所有EIGRP鄰居
  2. show ip eigrp int: 顯示所有開啟EIGRP的INT
  3. show ip eigrp topology: 拓樸表中的EIGRP項目
  4. show ip eigrp traffic: 列出傳送跟接收的EIGRP封包數
  5. show ip protocols: 列出協定中的會談資訊

19-32-34-36看form

#no auto-summary
沒有連續的網路要做no auto-summary，中間的R才不會出錯

#router eigrp 20
#no auto-summary

如果有部連續的網路，又想要有效率又不想出錯
可以使用supernet setting(NID、HID分界向左)

看筆記P84

#show running 可以看所有歷史紀錄(bandwidth的數值)

#passive-int f0/0 可以把hello的接收關掉(取消緊鄰)，應用在別的事情上面



負載平衡:
  1. 相同成本: 相同metric、round-robin(輪詢)
所有設備支援
  1. 不等成本: EIGRP專用(cisco專用)

variance變異量(1-128)

"負載平衡路徑FD 大於等於 最佳路近FD* variance"

可以得出不相同的負載平衡


第二層交換
SW使用內容可定址記憶體CAM來過濾表格

L2SW的優點
  • 硬體式橋接(ASIC): (bridge用軟體)硬體判讀學習0延遲=速度超快
  • 連線速度(超快)
  • 低延遲
  • 低成本(SW便宜)

L2SW的功能
  • 位置學習
  • 轉送或過濾: (有前兩個功能就是L2SW了)
  • 避免迴圈: 選擇性功能

L2SW位置學習

  1. 學習: SA
  2. 轉送與過濾: DA比對MAC table
    1. 有紀錄:
看到紀錄port，其他port就不會傳送了
  1. 無紀錄:
發生flooding(氾洪): 除來源port之外，所有port都傳送一遍
L2SW找不到紀錄(broadcast)就是會全送，所有檔不住廣播

R: 沒在表上就不送--R是管理員設定傳送方式
SW: 沒在表上就全送--SW自學MAC位置

port-security方式
  1. 設定port學習MAC數量
  2. 設定port學習MAC方式
    1. dynamic
    2. static
    3. sticky
  3. 違規的處理方式:
    1. shutdown
    2. protect
    3. restric

setting

#int f 0/0
#switchport mode access(限制模式)
#switchprot port-security(開啟port-s)

開啟後的預設:
數量: 1
方式: 浮動
違規: shutdown
#switch port-security mac-address aabb.ccdd.eeff
#switch port-security mac-address stick
(馬上要ping一個來記住位置)

#switch port-security violation [shutdown、protect、restric]

  • shutdown: 自動關閉介面，要手動開
  • protect: 不會關port，但會限制流量
  • restric: 不會關閉pory，但會回傳snmp trap
檢視:
#show port-security [address]
#show running

可以先進int shutdown在打開

vlan:
一顆SW可以當很多台用(port夠多就好)
SW不能擋廣播，一個廣播區域；一個IP 子網路遮罩

識別vlan
2的12次方
  1. vlan1: default vlan--不能刪除修改，必定存在(出廠就有)，與不支援vlan的裝置連結
  2. vlan1: management vlan(2p)
  3. native vlan(跨SW不加TAG)




rommon1> 模式
boot 繼續開機
reset重新開機

還沒開基的時候案ctrl+break進入rommon模式

#show version 可以看到confreg的狀態(預設0x2102)


1> confreg 0x2142(忽略NVRAM內容)
1> confreg 0x2102(還原這個操作)

#config-register 0x214

復原密碼步驟:

  1. ctrl+break
  2. confreg 0x2142
  3. no
  4. copy(or 6.)(#copy start run)
  5. password(en/console/vty)
  6. config-register 0x2102
  7. copy



建立TFTP server就可以backup IOS
#copy flash tftp
[source ios name]
[tftp server ip]
[file name]

#delet flash [ios file name]
可以刪除ios
沒有開機程式直接進入ROMMON

還原IOS
TFTP只能接在R的第一個PORT(F 0/0)，不用接SW

還原步驟(要有備份過喔!!)
rommon1> tftpdnld
IP_Address=192.168.1.1
IP_SUBNET_MASK=255.255.255.0
DEFAULT_GATEWAY=192.168.1.3
TFTP_SERVER=192.168.1.3
TFTP_FILE=[ios file name]
SW還原密碼
(只能拔電源)

flash_init(startup flash)
load_helper(select option)

switch: rename flash:config.text flash:config.old(不要載入config.text)
switch: boot
Switch>en Switch#
Switch#rename flash:config.old flash:config.text(把它改回來)

大LAB1
  1. 拉線: Pannal A to S，Pannal B to USB in PC
  2. R: hostname/password(3 kinds)/int fa 0/0 address
  3. SW: hostname/password(3 kinds)/vlan1 address
  4. set pc ip : in IPv4
  5. SSH in P6-25
  6. backup IOS
    1. TFTP server in PC
    2. copy flash tftp
    3. firewall plz turn off

LAB2
  1. password need username and password
  2. int vty 0 4 login locol



cisco三層式模型

底層: access layer存取層
1. 必定存在
2. 定義使用者類型、數量
3.與上層配合(協定要設定搭配)(工作群與分送層)
4.分群(建立獨立網域、網路分割)
5.延續分送層的制度跟控制

中間: distribution分送層
  1. routing
  2. packet 過濾
  3. WAN遠端連線
  4. 網路安全
  5. Vlan
  6. broadcast and multicast

頂: core核心
0. 網路的核心，就是要快、簡單、不能出錯
1. 速度就是一切
2 .容錯
3. 升級比擴充好

大型公司重視core、中公司重視分送，小公司重視存取

vlan基本原理

因為SW會廣播，所以算是一個平面

  1. 一個邏輯SW
  2. 一個廣播網域
  3. 一個IP子網段

#show vlan [數字]
-#name [名字]

1006-1094不能用，盡量不要去用

流量:
DATA:
VOICE: 特別的vlan特別支援，語音跑IP封包(可以跟電腦用同一條線)(IP BOX)





access port:
一次只能屬於一個vlan，大多連接PC等單一裝置。

trunk port:
同時間可以屬於多個port，大多連結另一台SW，使SW能跨多SW互通

vlan:

A. 數量:1-1094
1-1005一般型
1006-1094特殊型(延伸型)

1002-1005特殊型，為了以前的協定保留，現在也不能用

B. 成員
1. static vlan(port base vlan)
手動指定，關係永久存在

2.dynamic vlan:(mac base vlan)
考VMPS(vlan managemente policy sever)
MAC---vlan---問VMPS---指定SW
(SW的高階功能)

vlan的分割:
#int f 0/0
#switchport mode ?(都是L2sw的功能)
#switchport access vlan 3
#show vlan
trunk port 差不多一樣

訊匡加標
傳送再SW之間的訊框要tag才能解讀(容量會變大)



交換器的鏈路(ISL):
cisco專用，但後來sw越來越多，發展出IEEE就能給大家用了

IEEE802.1Q

3位元: 802.1p:控制流量
12位元: 802.1q: 訊框加標
兩個一起使用



設定trunk 線、port
#int range f 0/15-18
-#swithcport encapsulation dot1q(指定ISL)(練習不用設定)
-#switchport mode trunk
#show mode trunk(看~)


DTP-port mode(動態主幹通訊協定)
兩個裝置之間的同訊協定，兩個不同的封裝類型要怎麼配合

access: 強制轉移，不接受同步
Trunk: 強制trunk，發出DTP同步
dynamic desirable(主動): 預設access(發出同步，接受同步)
dynamic auto(被動): 預設access(不發同步，接受同步)
nonegotiate: 不接受同步，連接非cisco設備


A/B
Access
Trunk
Desirable
Auto
Access
A
X
A
A
Trunk
X
T
T
T
Desirable
A
T
T
T
Auto
A
T
T
A

設定允許vlan
#show int turnk
#int [trunk port]
-#switchport trunk allowed  vlan 4, 6, 12,(允許這些vlan)(“remove” and “add”也可以)


vlan route
  1. 傳統的路由: 有幾個vlan就接在R上，太浪費port跟線材。(功率相對的好)
  2. ROAS(router on a stick)"單臂路由": 建立邏輯子介面(SVI)

#int f 0/0
-#encapsulation dot1Q [vlan number]




避免迴圈
收到重複frame
MAC位置表變得不穩定(廣播不斷更新不同來源位置)

廣播風暴:
  1. 各個點一直flooding
  2. 收到重複一樣的frame
  3. Mac port對交換器而言會一直更換來源


STP
802.1d=STP:
有多重現路時解決迴圈問題(有多重線路就有迴圈)
L2 loop=bridge loop or S loop
L3 loop=R loop

STP功能
  1. 找出所有重複路徑
  2. 關閉剩下唯一路徑(關閉的路徑監控，可以變成備用路徑)

角色:
  1. Root bridge
  2. non root bridge

port mode
  1. root port
  2. designated port(委任port)
  3. non designated port

流程
  1. 選舉RB:
最佳橋接器ID(BID)，也就是值最小的，預設32798，可以更變成為最小的，手動變成RB
  1. 選局RP，NRB到RB最近的port
  2. DP: 每個collision domain到RB成本最低(有多個)
  3. NDP: 非RP、DP剩下的

#show spanning-tree








收斂速度(約30秒)
port的狀態

blocking: 1.剛開機 2.port turn on 3.NDP to DP/RP
listening
learning : 聽+學= foward delay=15秒(很久)
fowarding

　
BPDU
PACKET
　
收
發
收
發
BLOCK
V
　
　
　
LISTEN
V
V
　
　
LEARN
V
V
V
　
FORWARD
V
V
V
V


802.1d 改良了

效率
  1. backbone fast
  2. uplink fast(1+2 預選備用port)
  3. port fast (略過聽+學)

安全
RB--OSPF--in R--對每台裝置作優化
  1. dpdu filter: 收到DPDU就丟掉
  2. BPDU guard: 收到DPDU就停用prot
  3. guard root: 有影響root就拒收，沒有就收

#int f0/5
#spanning-tree bpduguard enable

指定RB
#spanning-tree vlan ? priority ?(合法數字4096)

STP有兩種
802.1d: 慢，一般性擴展樹(CST)
PVST+: per-vlan spanning-tree
原本的PVST式ISL(cisco device only)，802.1q(every device)


802.1w
使用RSTP(快速)

#spanning-tree mode rapid

Etherchannel
port channeling
將2-8個Fa或2個Ga變成一個聚合邏輯鏈路，取得更多的頻寬跟彈性

PAgp: 建立、管理etherchannel，建立群組(思科專屬協定)
LACP(802.3ad): 跟上面一樣，但是非思科專屬

PAgp: desirable 可以接auto,auto 不能接auto
LACP: active可以接pasitive，pasitve不能接pasitve

LAB1:設定兩個Vlan的RB
  1. 3個SW設vlan 2，(vlan1本來就有，直接打vlan2就會產生)
  2. 電腦IP
  3. 三個SW設trunk
#int range g 0/1-2
  1. 中間兩顆SW設PC到vlan2(vlan預設在vlan1，所以不用動)
#int f0/2
#swtichport  mode access
#switchport access vlan 2
  1. 設定vlan不同的RB
#spanning-tree vlan 2 pirority 4096
  1. show spainng-tree

LAB2:設定ethernetchannel
  1. #int range
  2. #channel-group 1 [組別號碼] mode [PAgp  or LACP設定，共四種]
  3. trunk(用range一起設定)
  4. 用#show run 可以看出來


CH12 安全規劃

對外或對內網路的防火牆或外圍R使用access control list(ACL)

條件清單
符合條件--處理方式





A. 條件式
  1. 正面表列法(預設): 有符合就通過(白名單)
  2. 負面表列法(非預設): 有符合就不通過(黑名單)

B. 分類
過濾能力
  1. stander access list(只看來源port)
  2. extend access list(DIP, SIP, packet catagory, Dport, Sport)
  3. Name access list
    1. 數字式:
    2. 名稱式

建立access list

#access-list [number] [處理方式] [條件式] [來源IP] [wildcard]

處理方式: deny(放)，permit(拒絕)，remark(註解)

算wildcard



























張貼者： 於
標籤：

沒有留言:

張貼留言

訂閱： 張貼留言 (Atom)