HCNA-RS笔记-20171126-day08
时钟频率：决定数据发送速度，由DCE点提供
在串口链路上两台设备互联时必须有一端为DCE提供时钟频率
DTE：用户数据端
DCE：归ISP管理
异步传输：基于字节的传输，传输效率低
同步传输：基于数据帧传输，传输效率高，必须要有DCE端提供
时钟频率
HDLC：高级数据链路控制协议
分为Cisco标准和共有HDLC
cisco DHCL：支持多协议
共有HDLC：支持ip，不支持多协议，大部分厂商都采用cisco
标准
数据帧：信息帧、监控帧、无编号帧
地址借用：将一个接口上IP地址引用过来使用可以完成正常通信
注意：只能在串口上借用地址
PPP：点到点链路协议，公有协议华为设备默认封装格式
PPP由LCP和NCP构成
LCP：用于二层链路协商控制
NCP：用于网络参数协商控制
LCP：config-request 用于携带协商参数
config-ack：完全同意对方参数则回复
config-nak：部分同意对方参数则回复继续进行协商
config-reject：不能识别参数则回复，断开链路
协商参数
1，MRU值：最大接收单元
2，Magic number：魔术字用于防止环路
3，认证：PAP chap
PAP：密码认证协议
认证过程
1，在LCP协商中说明自己采用PAP认证和确认认证端和被认证端
2，被认证端向认证端明文直接发送用户名和密码
3，认证在接收到用户名和密码后则在AAA视图中找对应用户明和
密码，核对是否匹配，如果匹配则回复认证成功，链路up状态
反之认证失败，链路down状态
CHAP:挑战握手的协议认证协议
认证过程
1，在LCP协商中说明自己采用CHAP认证和确认认证端和被认证端
2，认证端口发送challenge数据包（携带：Id、随机码）
3，被认证端在收后将ID+随机码+password放入hash池计算出MD5
值，回复Response消息（携带：原始challenge数据包中ID、
用户名、MD5值）
4，认证端在收到response消息后，根据ID找到随机码，根据
用户名找到password，将ID+随机码+password放入hash池计算出MD5
值，对比MD5值与response消息中的MD5值是否一致，如果
一致则回复成功，反之认证失败
NCP层协商网络参数
静态地址协商
1，双方将自己接口上IP地址通过IPCP告知对方，默认对方
自动生成主机路由
2，如果自己的IP地址与对端不冲突则回复ack确认
PPP动态地址协商
1，接口启用PPP动态获取IP地址，IPCP消息 config-request
说明自己没有IP地址希望对方可以提供IP地址
2，对端如果可以提供IP地址，则使用config-Nak消息提供
IP地址
3，使用config-request消息向对方要改IP地址
4，使用config-ack进行IP地址确认
命令：接口上配置
1，ip add ppp-negotiate通过PPP获取IP地址
2，remote address 12.0.0.1 为对端分配IP一个IP地址
3，remote address pool test从地址池抽取一个IP地址给对端
PPPoE：PPP over Ethernet，在以太网上运行PPP
PPPoE会话建立
1，client使用PADI（PPPoE发现消息，广播消息用于发现网络
中可以提供PPPoE的服务器、session为0000）
2，网络中的PPPoE server在收到后，回复PADO（PPPoE offer
消息，单播、Session为0000，只是简单的承若提供PPPoE服务
没有分配任何session资源）
3，Client使用PADR向反应速度最快的Server请求建立Session
（单播）
4，Server只用PADS提供Session-ID，完成Server与client之间
PPPoE session建立，后续所有的数据包都通过该
session发送
在完成PPPoE 会话建立后，使用PPP协商其他参数
client端配置
interface Dialer99
link-protocol ppp
ppp chap user huawei //认证用户名
ppp chap password cipher %$%$F`XJ*[{jL1Lf+SUmF@XN,%TR%$%$
ip address ppp-negotiate
dialer user hcna //该接口用户名
dialer bundle 200 //该接口与物理接口绑定时所所使用的编号
dialer-group 100//与拨号规则绑定
定义拨号规则
dialer-rule
dialer-rule 100 ip permit //标示提供IP拨号服务
interface Virtual-Template100//定义逻辑接口PPP
ppp authentication-mode chap
remote address 123.0.0.11
ip address 123.0.0.200 255.255.255.0
interface GigabitEthernet0/0/0
pppoe-server bind Virtual-Template 100//将逻辑接口和物理
接口绑定到一起
帧中继:在串行链路上为客户提供二层专线服务，基本已淘汰
PVC：永久性虚链路，在没有任何数据之前就已经由ISP建立
完成，必须手动删除
DLCI：PVC本地标示，本地有意义
LMI：本地管理接口用于维护链路和PVC状态
逆向ARP：生成DLCI与IP地址映射关系
原理
1，接口在获取本端的DLCI后，则向该DLCI发送消息（ARP）
表明自己IP地址
2，对端在收到消息后，根据消息所来自的DLCI，生成
该DLCI与IP地址映射，同时回复ARP，以便告知
对方本端已经获取到映射关系同时说明双方是双向连通
二层（源MAC地址、目的MAC地址、type）
三层（源IP地址，目的IP地址、protocol）
四层（源端口、目的端口）
访问控制列表：由条件+动作构成，对数据进行匹配过滤操作
动作：permit和deny
规则执行顺序
1，按编号执行：优先级执行编号小的，如果条件匹配立即执行动作不在查看后续规则。如果没有匹配则匹配下一跳规则。最后
没有任何规则匹配该数据包华为默认放行所有
2，深度优先：优先执行条件详细（精确），非常用规则
无华为还是Cisco都不执行该规则
基本ACL（匹配源IP地址）
高级ACL（源IP地址、目的IP地址、源端口、目的端口）
NAT：网络地址翻译（转换）用于内网和公网边间
负责将内网地址与公网地址转化，实现网络正常通信
静态NAT：手动配置一个内网IP地址与公网IP地址绑定关系
缺点：没有节省IP地址资源
优点：外网可以直接根据NAT公网地址访问内部主机
注意：在配置静态NAT时必须开启接口静态NAT功能
nat static enable
动态NAT：自动将一个内网IP地址映射到一个公网IP地址
在主机数据通信时保留映射关系，在通信完成后主机
不在使用时则释放该映射关系
PAT：使用一个公网地址+端口标示内部一台主机
nat address-group 2 202.14.0.200 202.14.0.201 //定义
地址池
nat outbound 2001 address-group 2 //配置PAT
nat outbound 2001 address-group 2 no-pat 动态NAT
AAA:认证、授权、审计
认证：你是谁
授权：你可以干什么
审计：你都干了什么
