网络路由交换技术现场考核试题（A题） 一、任务 某企业计划实现数字化办公。其中一是搭建企业内部局域网，实现企业内部网络互连、资源共享，二是实现企业内部的行政、生产、财务、销售部门网络分离，防止企业内部信息泄露。并且对企业内网的有计算机访问外网的WEB 服务器进行控制. 1、在全网所有设备上按照要求配置正确的IP 地址； 2、在交换机上配置VLAN10、VLAN20、VLAN30、VLAN40，并且RG-S3760- A 接口4~10在VLAN10、11~16 在VLAN20 ，RG-S3760- B 接口4~10 在 VLAN30、11~16 在VLAN40。 3、配置动态路由协议RIP 和静态路由实现全网互通，并且配置NAT，使用内网可以访问互联网，而电信只给了一个IP 地址为119.1.1.1/30。 4、在两台RG-3760 的端口23 和端口24 上配置链路聚合。 5、在路由器上使用ACL，禁止10.1.2.0 网去访问外网的WEB 服务器。 二、网络拓扑图
三、评分标准 表1 系统管理评分标准 五、器材、软件及工具清单 1、考点提供的主要设备及耗材清单 2、考点提供的主要软件清单
网络路由交换技术现场考核试题（B题） 一、任务 某企业计划实现数字化办公。其中一是搭建企业内部局域网，实现企业内部网络互连、资源共享，二是实现企业内部的行政、生产、财务、销售部门网络分离，防止企业内部信息泄露。请按要求完成相关网络设备的连接及安装与配置。 1、在交换机S2026/2126上创建VLAN10，端口F0/1~5在VLAN10；在S3760B上创建VLAN20、VLAN30，端口F0/1~5在VLAN20、端口F0/6~10在VLAN30；（15 %） 2、配置S2026/2126与S3760A之间的两条交换机间链路；（5 %） 3、为了增强带宽并提供链路冗余备份，在S3760A与S3760B之间使用链路聚合技术；（5 %） 4、在S2026/2126与S3760A之间的冗余链路中使用STP技术防止桥接环路的产生，并通过手工配置使S3760A成为STP的根。（10 %） 5、在交换机S3760A上为所有的VLAN创建对应的网关，并配置RSR20的接口地址；（10 %） 6、在S3760A上使用具有三层特性的物理端口实现与RSR20的互联。（10 %） 7、在S3760A上实现各VLAN间的通信。并在S3750A与RSR20上使用静态路由，实现全网的互通。（15 %） 8、在RSR20上配置ACL实现只有上班时间（周一至周五的9:00-18:00）才可以允许访问互联网；（15 %） 9、配置地址转换，使内网主机可以访问外网的PC1；（15 %） 二、网络拓扑图
Vlan： Vlan是一种通过将局域网内的设备逻辑的划分成多个互不相干的子网络 可以防止网络风暴的发生对整个网络造成危害，就是分隔广播域，分隔广播域有两种方法。 1）物理分隔，使用能隔离广播的路由设备将不同的网络连接起来实现通信 2）逻辑分隔，使用Vlan技术把网络从逻辑上分成若干个广播域 但是使用物理分隔有很多缺点，缺乏灵活性，不能将连接在不同交换机上的用户划分到一个网络中。 而通过Vlan可以弥补这一缺陷，因为在每个Vlan中的所有用户同属一个广播域，而且还可以跨交换机实现。 Vlan具有灵活性和可扩展性等特点，Vlan的优势有以下几点： 1）控制广播： 每个Vlan都是一个独立的广播域，可以减少广播对网络带宽的占用，提高传输速率，防止网络风暴对整个网络造成危害。 2）增强网络安全性： 不同的Vlan之间不可能直接访问，因此可以限制个别主机访问服务器等资源，从而提高网络安全。 3）简化网络管理： 如果对某些用户重新进行网段分配时，不需要在物理结构上重新进行调整，通过Vlan可以把不同地理位置上的用户划分到一个逻辑网络中，不用改动物理网络，从而减轻网络管理和维护工作的负担。 Vlan的种类： 根据Vlan的使用和管理的不同，可以把Vlan分为两种，静态Vlan和动态Vlan。 1）静态Vlan： 目前最常见的Vlan实现方式，针对端口的，需要手工把端口加入到Vlan中，当主机连接到该端口时，就被分配到了相应的Vlan中，静态Vlan只对本地生效，交换机不共享这一信息。 2）动态Vlan： 实现动态Vlan有多种方法，普遍的是基于MAC地址的动态Vlan，优点是当用户从一台交换机移动到另一交换机时，Vlan不用重新进行配置，缺点就是初始化时所有的用户都必须重新进行配置，不适用于大型网络。 静态Vlan的配置： 1)Vlan范围： 0、4095为保留，仅限系统使用，不能查看和使用 1 为正常，默认的VLAN，能使用，但不能删除 2 ~ 1001为正常，用于以太网的VLAN，可以创建、使用和删除 1002~1005正常，用于FDDI和令牌环的Cisco默认VLAN，不能删除2）Vlan的基本配置步骤： 创建Vlan。 将交换机的商品加入到相应的Vlan中。 验证Vlan。
H3C网络工程师学习笔记
IP基本原理 1、IP相关协议号：TCP协议号为6，UDP协议号为17，工作于传输层。 2、ICMP、IGMP、ARP、RARP工作于网络层。 3、网络接口层：以太网、令牌环、FDDI、HDLC、PPP、X.25、帧中继、PSTN、ISDN等 4、用唯一的IP地址标识每一个节点 5、用唯一的IP网络号标识每一个链路 6、IP路由器选择适当的路径将IP包转发到目的节点 7、IP网络由多个网段构成，每个网段对应一个链路 8、路由器负责将网段连接起来，适配链路层协议，在网络之间转发数据包 9、网络号用于区分不同的IP网络 10、主机号用于标识该网络内的一个IP节点 11、网络号和主机号全为0时，代表所有网络，常见于指定默认路由。 12、网络号和主机号全为1时，代表全网广播地址，代表所有节点。 13、若目的地址所处网络号与本机所处网络号相同，则目的处于直连网段 14、路由器经过查找路由信息判断下一跳路由器地址 15、ICMP消息可分为ICMP差错消息和ICMP查询消息
16、32位IP地址分为网络号和主机号两部分，用以标识网络和主机 17、主机将跨网段IP包交给默认网关，路由器负责跨网段转发数据包 18、ARP协议用于把已知的IP地址解析为MAC地址 19、RARP用于在数据链路层地址已知时解析IP地址 20、ICMP定义了网络层控制和传递消息的功能 21、TCP/IP协议族的传输层协议主要包括TCP和UDP 22、TCP是面向连接的可靠的传输层协议。它支持在并不可靠的网络上实现面向连接的可靠的数据传输 23、UDP是无连接的传输协议，主要用于支持在较可靠的链路上的数据传输，或用于对延迟较敏感的应用 24、传输层的作用：提供面向连接或无连接的服务、维护连接状态、对应用层数据进行分段和封装、实现多路复用、可靠地传输数据、执行流量控制。 25、TCP/UDP端口号：Telnet(23)、FTP（20/21）、Http(80)、SMTP（25）、DNS（53）、TFtp(69)、SNMP（161）、BootP(67、68)。 26、TCP协议号为6 ，UDP协议号为17。 27、TCP连接的建立 28、TCP和UDP经过端口号标识上层应用和服务 29、TCP经过三次握手建立可靠连接
交换机工作在OSI 模型的第二层（数据链路层） 作用：可以将原有的网络划分成多个段，能够扩展网络的传输距离并支持更多的网络节点。划分网络段有效隔离广播，减少冲突。 交换机的每个端口是独立的冲突域中，所有的端口都是在同一个广播域中 关于交换机的一点配置笔记（cisco） 交换机的功能 地址学习：最开始交换机的MAC表是空的，它是通过学习源地址来得到每个连接端口连接的设备的MAC地址。当它收到一个帧时，它学习到这个帧的源MAC 地址，并保存到MAC表中，然后查看MAC表，如果MAC表中没有目的MAC时，它就洪泛（洪泛就是向每个端口发送这个帧）如果有就发到对应的端口。 转发过滤：收到一个帧时，会查看MAC地址表，决定把帧转发到那个端口。 消除循环：当网络中有冗余回路时，会用生成树阻止冗作路径中传输相同帧。 进入交换机时有如下三种选择 键入M 进入菜单模式 键入K进入命令行模式 键入I进入IP配置模式 我们要进入的是命令行。 其于IOS的交换机：有三种模式，“>”用户模式，“#”特权模式，“（CONFIG）#”全局模式。 在用户模式输入enable进入特权模式，在特权模式下输入disable回到用户模式。 在特权模式下输入configure terminal进入全局模式。在特权模式下输入DISABLE回到特权模式下 show version 查看系统硬件的配置，软件版本号等。 Show running-config 查看当前正在运行的配置信息 show interfaces Ethernet 0/1 查看E0/1口的信息 show ip 查看交换机的IP地址 设置交换机名：hostname[交换机名]如：hostname switch1 设置交换机的IP地址：ip address [ip address ][netmask] 如ip address 设置交换机的缺省网关：ip default-gatway [ip address] 如：ip default-gatway 设置密码enable password level [1-15] [passwork] 1-15 表示级别，1表示设置登录时的密码，15设置进入全局模式的密码。 如：设置登录是的密码为123456 ，进入全局的密码是1234567 enable password level 1 123456 enable password level 15 1234567 破解交换机密码：启动交换机时，长按MODE键。 Show interface 查看所有端口的配置信息 Show interface e0/1 查看e0/1端口的配置信息。 设置端口全双工/半双工 interface e0/1进入e0/1端口 duplex [auto（自动）,full（全双工）,half（半双工）]设置端口是全双工/半双工 生成树 当网络中有回路时会发生：广播风暴，多帧复制（多次收到相同帧），MAC地址不稳定。可以使用生成树来消除回路。 生成树协议：STP（spanning tree protocol）目的是维持一个无回路的网络，如果设备在拓扑中发现了一个回路它将阴塞一个或多个冗余的端口， 生成树的工作原理：三个规则 一：首先选择一个根桥，且每个网络只能有一个根桥，根桥上的每个端口都是指定端口，根桥的选择方法，先比较交换机的优先级（priority）,优先级低的做根桥，如果优先级一样，就比较交换机的MAC地址，MAC地址小的做根桥， 改变交换机的优先级命令：spantree-template [1-4] priority [0-65535] 1-4 表示模式板，0-65535 表示优先级。 二：选择根端口，每一个回路只有一个根端口，根端口是在非根桥上的，根端口是到达极桥的路径代价最低的（cost值），根端口的选择方法：比较端口对根桥来说路径代价（cost值）最低的那个做根端口，如果路径代价（cost值）一样就比较端口的MAC地址，MAC小的做根端口。 改变COST值命令：先进入端口，spantree cost [1---65335] 1--65535表示COST 值。 三：指定端口，根桥上的端口都是指定端口， 非指定端口是处于被阻塞状态的， 生成树的交换机与其它交换机通过网桥协议数据单元（BPDU）的数据包定期交换信息。生成树的端口状态：阻塞（blocking）--监听（listening）--学习（learning）--转发（forwarding） 交换机帧的转发方法：有三种
企业网络与信息安全管理组织构架 公司成立信息安全领导小组，是信息安全的最高决策机构，下设负责信息安全领导小组的日常事务。 二、信息安全领导小组负责研究重大事件，落实方针政策和制定总体策略等。职责主要包括： 1.根据国家和行业有关信息安全的政策、法律和法规； 2.批准公司信息安全总体策略规划、管理规范和技术标准； 3.确定公司信息安全有关部门工作职责，指导、监督信息安全工作。 二、信息安全领导小组下设两个工作组： 1.信息安全工作组于海峰负责、 2.应急处理工作组张会负责。 3.组长均由公司负责人郑建国担任。 三、信息安全工作组的主要职责包括： 1.贯彻执行公司信息安全领导小组的决议，协调和规范公司信息安全工作； 2.根据信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实； 3.组织对重大的信息安全工作制度和技术操作策略进行审查，拟订信息安全总体策略规划，并监督执行； 4.负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行； 5.组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防范对策； 6.负责接受各单位的紧急信息安全事件报告，组织进行事件调查，分析原因、涉及范围，并评估安全事件的严重程度，提出信息安全事件防范措施； 7.及时向信息安全工作领导小组和上级有关部门、单位报告信息安全事件。 8.跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。 四、应急处理工作组的主要职责包括： 1.审定公司网络与信息系统的安全应急策略及应急预案；
2.决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统； 3.每年组织对信息安全应急策略和应急预案进行测试和演练。 五、公司指定分管信息的领导负责本单位信息安全管理，并配备信息安全相关人员对公司信息安全领导小组和工作小组负责，落实本单位信息安全工作和应急处理工作。
实验二 虚拟局域网VLAN 【实验名称】 虚拟局域网VLAN 【实验目的】 掌握Port Vlan的配置 掌握跨交换机之间VLAN的配置 【技术原理】 VLAN（Virtual Local Area Network，虚拟局域网）是指在一个物理网段内，进行逻辑的划分，划分成若干个虚拟局域网。VLAN最大的特性是不受物理位置的限制，可以进行灵活的划分。VLAN具备了一个物理网段所具备的特性。相同VLAN内的主机可以互相直接访问，不同VLAN间的主机之间不能互相直接访问（访问必须经由路由设备进行转发）。广播数据包只可以在本VLAN内进行传播，不能传输到其他VLAN中。 Port Vlan是实现VLAN的方式之一，Port Vlan是利用交换机的端口进行VLAN的划分，一个端口只能属于一个VLAN。 Tag Vlan是基于交换机端口的另外一种类型，主要用于实现跨交换机的相同VLAN内主机之间可以直接访问，同时对于不同VLAN的主机进行隔离。Tag Vlan遵循了IEEE802.1q协议的标准。在利用配置了Tag vlan的接口进行数据传输时，需要在数据帧内添加4个字节的802.1q标签信息，用于标识该数据帧属于哪个VLAN，以便于对端交换机接收到数据帧后进行准确的过滤。 【实验设备】 交换机（2台）（s3760一台，s2328一台。每实验台两组，分别使用不同的交换机） 计算机（3台） 【实验拓扑】
【实验步骤】 1. 按照第一个拓扑图进行网络的连接，注意主机号和所选交换机 号及其连接的端口（配线架上与计算机号相同的端口用直连线 连接到交换机）。连接交换机的两台计算机作为测试计算机， 另外一台计算机作为配置计算机。(将两台计算机各自测试连接 的IP记录到拓扑图上) 2. 在未划VLAN前两台PC互相ping通。由于没有划分VLAN，或者说 交换机默认情况下所有端口都属于一个默认的VLAN，所以两台 计算机应该能够ping通。如不通需检查原因。预先查看计算机 测试连接的网络地址。 例：第五组第六号计算机ping第四号计算机： Ping 192.168.5.4 3. 创建VLAN。在配置计算机上打开浏览器，通过RCMS选择进入 本组实验所选设备，输入如下命令进行配置。输入命令时注意 交换机的模式。 1) 创建VLAN： switch#configure terminal! 进入交换机全局配置模式 switch(config)# vlan 10! 创建vlan 10 switch(config-vlan)# name test10 ! 将Vlan 10命名为test10 switch(config)# vlan 20! 创建vlan 20 switch(config-vlan)# name test20 ! 将Vlan 20命名为test20 2) 验证： switch#show vlan !查看已配置的VLAN信息 VLAN Name Status Ports ------------------------------------------------------------------- 1 default static Fa0/1 ,Fa0/ 2 ,Fa0/3 Fa0/4 ,Fa0/5 ,Fa0/6 Fa0/22,Fa0/23,Fa0/24 !默认情况下所有接口都属于VLAN1 10 test10 static !创建的VLAN10，没有端口属于VLAN10
1、什么是以太网。 ?以太网是以C S M A / C D作为M A C算法的一类L A N。 ●CS：载波侦听。 在发送数据之前进行监听，以确保线路空闲，减少冲突的机会。 ●MA：多址访问。 每个站点发送的数据，可以同时被多个站点接收。 ●CD：冲突检测。 边发送边检测，发现冲突就停止发送，然后延迟一个随机时间之后继续发送。 2、以太网的MAC地址 ●M A C地址有4 8位，但它通常被表示为12位的点分十六进制数，例如： 00e0.fc39.8034。 ●M A C地址全球唯一，由I E EE对这些地址进行管理和分配。每个地址由两 部分组成，分别是供应商代码和序列号。其中前2 4位二进制代表该供应商代 码。剩下的24位由厂商自己分配。 ●如果48位全是1，则表明该地址是广播地址。 ●如果第8位是1，则表示该地址是组播地址。 3、以太网的帧结构 ●以太网帧结构有5种：Ethernet V1（1980）、Ethernet V2(ARPA，1982)、RAW 802.3 （Novell,1983）、IEEE802.3/802.2 LLC（1985）、IEEE802.3/802.2 SNAP（1985）。目 前比较常见的为Ethernet V2和IEEE802.3。 ●区分两种帧：根据源地址段后的前两个字节的类型不同。如果值大于1500 （0x05DC），说明是以太网类型字段，EthernetII帧格式。值小于等于1500，说明 是长度字段，IEEE802.3 帧格式。因为类型字段值最小的是0x0600。而长度最大 为1500。 4、以太网通信的原则： ●同一时刻只能有一台主机在发送，但可以有多台主机同时接收——广播；如果一个 以太网报文被完全发送出去则在链路上肯定不会发生冲突，即理论上不再需要发送 第二次。 5、共享式以太网的缺点 ●在共享式以太网中，所有的主机都以平等的地位连接到同轴电缆上，但如果以太网 中主机数目较多，则存在以下严重问题：介质可靠性差、冲突严重、广播泛滥、无 任何安全性 6、传统以太网连接设备HUB ●所有的HUB都是半双工的，HUB仅仅改变了以太网的物理拓扑 ●HUB仅仅是物理上的连接设备。
网络与信息安全管理组织机构设置及工作职责网络与信息安全责任人：1.网络与信息安全第一责任人：企业法定代表人姓名；工作职责为：对机构内的信息安全工作负有领导责任；联系方式：电话及邮箱。（联系电话应为本人常用、真实有效的手机号码，可抽测。） 网络与信息安全责任人：分管信息安全工作的负责人姓名；工作职责为：对企业内信息安全工作负有直接领导责任。联系方式：电话及邮箱。（联系电话应为本人常用、真实有效的手机号码，可抽测。）（上述两项请全部填写） 二、网络与信息安全管理组织机构设置及工作职责 1.企业需设置或指定网络与信息安全主管部门（如信息安全领导小组、信息安全工作组、信息安全部等），负责本企业网络与信息安全相关工作；企业网络与信息安全管理组织架构：包括主管部门、相关配合部门； 网络与信息安全管理机构职责（包括但不限于下述内容，要对公司实际制度建立和管理情况进行简述）：（1）建立健全网络与信息安全规章制度，以及各项规章制度执行情况监督检查；（2）开展网络与信息安全风险监测预警和评估控制、隐患排查整改工作；（3）建立健全网络与信息安全事件应急处置和上报制度，以及组织开展应急演练；（4）建立健全从业人员网络与信息安全教育培训以及考核制度；（5）违法有害信息监测处置制度和技术手段建设；（6）建立健全用户信息保护制度。 对于申请IDC/ISP(开展网站接入业务的）企业，在许可证申请完成后，开展业务前，企业的IDC/ISP信息安全管理系统需与我局IDC/ISP信息安全管理系统进行对接，并且按照《工业和信息化部办公厅关于印发《互联网信息安全管理系统使用及运行维护管理办法（试行）》（工信厅网安（2016）135号）要求，制定本企业IDC/ISP信息安全管理系统的运行维护管理办法。 网络与信息安全管理人员配备情况及相应资质网络与信息安全管理人员配备情况及相应资质请按照下表内容在系统上填写相关文字信息： 网络与信息安全管理人员配备情况表 责任人 姓名身份 证号 联系 方式 （手 机） 归属 部门 工作 内容 全职/ 兼职 资质 情况 第一责 任人 (公司 法人/ 总经 理） 信息安 全负责 人 网络安 全负责 人 7×24小时 传真
VLAN，是英文Virtual Local Area Network的缩写，中文名为 "虚拟局域网” VLAN是一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。 VLAN这一新兴技术主要应用于交换机和路由器中，但目前主流应用还是在交换机之中。不过不是所有交换机都具有此功能，只有三层以上交换机才具有此功能，这一点可以查 看相应交换机的说明书即可得知。VLAN的好处主要有三个：(1)端口的分隔。即便在同一个交换机上，处于不同VLAN的端口也是不能通信的。这样一个物理的交换机可以当作多个逻辑的交换机使用。 (2)网络的安全。不同VLAN不能直接通信，杜绝了广播信息的不安全性。 (3)灵活的管理。更改用户所属的网络不必换端口和连线，只更改软件配置就可以了。VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物
理范围中，即这些工作站可以在不同物理LAN网段，由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN除了能将网络划 分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。 VLAN在交换机上的实现方法，可以大致划分为六类: 1. 基于端口的VLAN 这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多协议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能，从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的
第1章故障处理方法 一、网络的复杂性 一般网络包括路由、拨号、交换、视频、WAN（ISDN、帧中继、ATM、…）、LAN、VLAN、… 二、故障处理模型 1、界定问题（Define the Problem） 详细而精确地描述故障的症状和潜在的原因 2、收集详细信息（Gather Facts）R>信息来源：关键用户、网络管理系统、路由器/交换机 1）识别症状： 2）重现故障：校验故障依然存在 3）调查故障频率： 4）确定故障的范围：有三种方法建立故障范围 ? 由外到内故障处理（Outside-In Troubleshooting）：通常适用于有多个主机不能连接到一台服务器或服务器集 ? 由内到外故障处理（Inside-Out Troubleshooting）： ? 半分故障处理（Divide-by-Half Troubleshooting） 3、考虑可能情形（Consider Possibilities）考虑引起故障的可能原因 4、建立一份行动计划（Create the Action Plan） 5、部署行动计划（Implement the Action Plan） 用于纠正网络故障原因。从最象故障源处，想出处理方法每完成
一个步骤，检查故障是否解决 6、观察行动计划执行结果（Observe Results） 7、如有行动计划不能解决问题，重复上述过程（Iterate as Needed） 三、记录所做修改 在通过行动计划解决问题后，建议把记录作为故障处理的一部分，记录所有的配置修改。 第2章网络文档 一、网络基线 解决网络问题的最简单途径是把当前配置和以前的配置相比较。基线文档由不同的网络和系统文档组成，它包括： ? 网络配置表 ? 网络拓扑图 ? ES网络配置表 ? ES网络拓扑图 创建网络的注意事项： 1）确定文档覆盖的范围； 2）保持一致：收集网络中所有设备的相同信息； 3）明确目标：了解文档的用途； 4）文档易于使用和访问； 5）及时维护更新文档。 二、网络配置表
CISCO路由器虚拟局域网（VLAN）路由实例 3.1. 例一： 设备选用Catalyst5500交换机1台，安装WS-X5530-E3管理引擎，多块 WS-X5225R及WS-X5302路由交换模块,WS-X5302被直接插入交换机，通过二个通道与系统背板上的VLAN 相连，从用户角度看认为它是1个1接口的模块，此接口支持ISL。在交换机内划有3个虚拟网，分别名为default、qbw、rgw，通过WS-X5302实现虚拟网间路由。 以下加重下横线部分，如set system name 5500C为需设置的命令。 设置如下： Catalyst 5500配置： begin set password $1$FMFQ$HfZR5DUszVHIRhrz4h6V70 set enablepass $1$FMFQ$HfZR5DUszVHIRhrz4h6V70 set prompt Console> set length 24 default set logout 20 set banner motd ^C^C
! #system set system baud 9600 set system modem disable set system name 5500C set system location set system contact ! #ip set interface sc0 1 10.230.4.240 255.255.255.0 10.230.4.255 set interface sc0 up set interface sl0 0.0.0.0 0.0.0.0 set interface sl0 up set arp agingtime 1200 set ip redirect enable set ip unreachable enable set ip fragmentation enable set ip route 0.0.0.0 10.230.4.15 1 set ip alias default 0.0.0.0 ! #Command alias ! #vtp set vtp domain hne
交换学习笔记=++=实验四配置primary VLAN和secondary VLAN 2010-04-20 09:03:58 标签：VLAN secondary primary实验笔记 版权声明：原创作品，谢绝转载！否则将追究法律责任。 实验四配置primary VLAN和secondary VLAN 主附vlan一般用于一个网络段的情况，主vlan和子vlan间可以访问，而子vlan之间 是不能访问的。 PVLAN 简介：PVLAN（Primary vlan）是华为公司系列以太网交换机的一个新特性，它的功 能是在小区接入中，通过将用户划入不同的VLAN，实现用户之间二层报文的隔离。PVLAN 采用二层VLAN的结构，在一台以太网交换机上存在Primary vlan和Secondary vlan。一 个Primary vlan和多个Secondary vlan对应，Primary vlan包含所对应的所有Secondary vlaN中包含的端口和上行端口，这样对上层交换机来说，只须识别下层交换机中的Primary vlan，而不必关心Primary vlan中包含的Secondary vlaN，简化了配置，节省了VLAN资源。用户可以采用PVLAN实现二层报文的隔离，为每个用户分配一个Secondary VLAN，每
个vlan中只包含该用户连接的端口和上行端口；如果希望实现用户之间二层报文的互通，可以将用户连接的端口划入同一个Secondary VLAN中。 https://www.doczj.com/doc/462770189.html,/869751/269756 PVLAN 先在四个PC机分别设置好IP，NETMASK，GW等： 在交换机A上设置： [SwitchA]vlan 2 [SwitchA-vlan2]port ethernet 0/5 to ethernet 0/6 ;e0/5到e0/6设为VLAN 2 [SwitchA]vlan 3 [SwitchA-vlan3]port ethernet 0/7 to ethernet 0/8 ;e0/7到e0/8设为VLAN 3 [SwitchA]vlan 5 [SwitchA-vlan5]port ethernet 0/1 to ethernet 0/4 ;e0/1到e0/4设为VLAN 5 [SwitchA-vlan5]isolate-user-vlan enable ;vlan5是主vlan（这里是本实验的重点） [SwitchA-vlan5]quit [SwitchA]isolate-user-vlan 5 secondary 2,3 ;vlan2,3是子vlan（这里也是本实验的重点） 在交换机B上设置：；设置同上交换机A
V L A N"虚拟局域网"和子网划分的区别这个理解，比如同一个交换机下的两种不同状态： 1、划分VLAN??，同一个交换机下分成两个VLAN，那么这两段之间通信必须要通过三层或路由，这两段之间的广播风暴是不通的。可视为两个单独的交换机。 2、划分子网，同一个交换机下划分了两个子网，所以两子网之间通信也要通过路由，但是由于这两个子网接在同一个交换机上，所以当出现广播时，所以的端口都要接收。因为广播风暴是工作在第二层。广播是以MAC地址为依据的，所以同一个交换机上所有的端口都要接收广播。。 3、子网划分是通过路由器才能形成的，没有路由器来分隔子网是没法进行子网划分的，VLAN是在交换机上划分多个VLAN，从而划分多个广播域，这有利于阻隔广播风暴的发生！！而且不同vlan间必须通过三层设备才能相互通信！！而使用划分子网，必须增加路由器，这样就增加了组网的成本！！使用vlan来可以节约成本！！ 4、从某种意义上来说，划分VLAN是一个更好的方法。 如果你只靠子网来划分，你就会发现你的交换机端口上各个子网的数据在到处跑。。。。交换机上灯闪个不停。。 而划了VLAN，如果不属于这个VLAN的数据是不是乱发的，广播包是过来的， 这是硬件上做了处理。。 只靠子网来划分，你的电脑网卡还是会收到其他子网的数据，只是会在你的电脑上被拒绝，虽然被拒绝可是对你的电脑性能是有影响的。。 VLAN和IP子网是局域网里的两个法宝一定要掌握。。。这样你才能得心应用的管理你的管理。规划。。 一、VLAN VLAN（VirtualLocalAreaNetwork）的中文名为"虚拟局域网"。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。 VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。? VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLANID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
1、h3c交换机的vlan配置 创建vlan 10并把端口加入vlan sys-view vlan 10 port GigabitEthernet +端口号 创建多个vlan [H3C]vlan 10 to 50 查看vlan [H3C]display vlan brief [H3C]display vlan +vlan号 将interface GigabitEthernet1/0/1加入vlan 10中[H3C]interface GigabitEthernet 1/0/1 [H3C-GigabitEthernet1/0/1]port access vlan 10 创建vlan接口 Interface vlan-interface +vlan ID 显示vlan接口信息 display interface vlan-interface +接口 删除vlan [H3C]undo vlan 11 to 50 加端口进vlan [H3C-vlan10]port GigabitEthernet 1/0/1 配置端口的模式，进入端口
[H3C-GigabitEthernet1/0/1]port link-type +模式（access /hybrid/trunk） 使用mac-address?static命令，来完成MAC地址与端口之间的绑定。例如：?? [SwitchA]mac-address?static?00e0-fc22-f8d3?interface?Ethern et?0/1?vlan?1 [SwitchA]mac-address?max-mac-count?0 2、通过ip来配置vlan间路由通信 （1）创建VLAN 3和VLAN 4，并把GigabitEthernet1/0/1、GigabitEthernet1/0/2加入到VLAN 3中，把GigabitEthernet1/0/3、GigabitEthernet1/0/4加入到VLAN 4中。 ? 1.
信息安全整体架构设计 信息安全目标 信息安全涉及到信息的保密性(Confidentiality) 、完整性(Integrity) 、可用性(Availability) 。 基于以上的需求分析，我们认为网络系统可以实现以下安全目 标： 保护网络系统的可用性 保护网络系统服务的连续性 防范网络资源的非法访问及非授权访问 防范入侵者的恶意攻击与破坏 保护信息通过网上传输过程中的机密性、完整性 防范病毒的侵害 实现网络的安全管理 信息安全保障体系 信息安全保障体系基本框架 通过人、管理和技术手段三大要素，构成动态的信息与网络安全保障体系框架WPDR模型，实现系统的安全保障。WPDR是指： 预警(Warning )、保护(Protection )、检测(Detection )、反应(Reaction )、恢复(Recovery)，五个环节具有时间关系和动态闭环反馈关系。
安全保障是综合的、相互关联的，不仅仅是技术问题，而是人、 管理和技术三大要素的结合。 支持系统安全的技术也不是单一的技术，它包括多个方面的内容。在整体的安全策略的控制和指导下，综合运用防护工具（如: 防火墙、VPN加密等手段），利用检测工具（如：安全评估、入侵检测等系统）了解和评估系统的安全状态，通过适当的反应将系统调整到“最高安全”和“最低风险”的状态，并通过备份容 错手段来保证系统在受到破坏后的迅速恢复，通过监控系统来实 现对非法网络使用的追查。 信息安全体系基本框架示意图 预警：利用远程安全评估系统提供的模拟攻击技术来检查系 统存在的、可能被利用的脆弱环节，收集和测试网络与信息的安全风险所在，并以直观的方式进行报告，提供解决方案的建议，在经过分析后，了解网络的风险变化趋势和严重风险点，从而有 效降低网络的总体风险，保护关键业务和数据。 保护：保护通常是通过采用成熟的信息安全技术及方法来实现网络与
VLAN即虚拟局域网（Virtual Local Area Network的缩写），是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。VLAN是为解决以太网的广播问题和安全性而提出的，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。 VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域即VLAN，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，即使是两台计算机有着同样的网段，但是它们却没有相同的VLAN号，它们各自的广播流也不会相互转发,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 1.根据端口来划分VLAN 许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。 第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。 以交换机端口来划分网络成员，其配置过程简单明了。因此，从目前来看，这种根据端口来划分VLAN的方式仍然是最常用的一种方式。 2.根据MAC地址划分VLAN 这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC 地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停地配置。 3.根据网络层划分VLAN 这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。 这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。 这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。 4.根据IP组播划分VLAN IP 组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路