2024年1月2日发(作者：)

蓝狐网络复习资料2012年交换部分：1、TCP/IP和ISO的层次是什么？各层都有哪些设备？TCP/IP四层模型：应用层、传输层、网络层、网络接口层OSI七层模型：应用层、表示层,会话层,传输层、网络层、数据链路层,物理层.1.物理层功能：物理层涉及网络接口和传输介质的机械、电气、功能和规程方面的特性。具体包括接口和介质的物理特性。（光纤介质、铜介质、微波..）2.数据链路层的主要功能是管理连接在同一介质类型上的两台连网设备如何相互通信,定义的是物理寻址（数据链路层主要的协议：以太网、PPP/HDLC、FR）3.网络层定义用于第3层的逻辑地址，基于逻辑地址的网络号寻找到达目的设备的路径，将不同的数据链路类型连接到一起，诸如以太网、FDDI、串行和令牌环（网络层主要的协议：IP、IPX及IP的辅助协议：ARP、ICMP、IGMP）4.传输层提供端到端的通信,定义的是进程寻址（传输层主要的协议：UDP和TCP）5.会话层负责网络会话的控制。具体功能包括会话的建立、维护和交互过程中的同步。6.表示层负责信息的表示和转换。具体功能包括数据的加密/解密、压缩/解压缩、与标准格式间的转换等7.应用层负责向用户提供访问网络资源的界面。应用层包括一些常用的应用程序和服务，如电子邮件、文件传输、网络虚拟终端、WWW服务、目录服务等2、具体说明一下交换和路由技术。交换技术主要针对OSI模型的数据链路层，主要处理数据帧的同步方式，流量控制以及差错控制。交换技术最经常应用到的设备有2层交换机，它负责对2层的数据帧进行存储，转发，处理等。一个数据包到达2层交换机，它会现查目的MAC是否在交换机的缓冲表中有对应条目，如果有的话则按对应条目的端口转发，没有的话则在除了接收端口之外的所有端口泛洪。交换技术使用的协议包括以太网（802.3），帧中继，PPP，HDLC等。路由技术主要针对OSI模型的网络层，主要用来处理IP数据包的路径转发，寻址和应用。路由技术最常用到的设备有路由器，三层交换机以及防火墙等。一个数据包到达路由器，它会检查目的ip在路由表中是否有对应条目（无类地址，按照最长匹配原则，有类的话先匹配主类，在匹配子类）有匹配的条目则转发，没有则丢弃。路由技术的核心是对路由的选择和控制，目前主要是通过直连路由，静态路由或者动态路由协议完成路由寻址。常见的动态路由协议分为内部网关协议和外部网关协议，内部网关协议有RIPv1/v2，IGRP,EIGRP,IS-IS,OSPF，外部网关协议主要是BGP。3、IP地址是如何划分的。IP地址是由32位的二进制数组成，8个位为一个字节，用点分十进制表示。分为A,B,C,D,E五类。A类：第一个字节的第一位为0，网络号为前8位，主机号为后24位。B类：第一个字节的前两位为10，网络号为前16位，主机号为后16位。C类：第一个字节的前三位为110，网络号前24位，主机号为后8位。D类：第一个字节的前四位为1110，为组播地址，用于标识一组主机。E类：第一个字节的前四位为1111，作为保留地址用于研究使用。另外，IP地址分为公网地址和私网地址。公网地址需要专门的机构分配才能获得并internet上使用，私网地址则无需申请，可以自行分配。A10.0.0.0----10.255.255.2551

蓝狐网络复习资料2012年BCD172.16.0.0—172.31.255.255192.168.0.0-192.168.255.255239.0.0.0---239.255.255.255（组播的私有地址）4、请解释下什么是vlan？成VLAN又称虚拟局域网，是指一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）一个个网段（或者说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。（VirtualLocalAreaNetwork）的中文名为"虚拟局域网"。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术2.通过划分VLAN可以起到分割广播域，减少网络广播影响，以及实现二层业务隔离的作用。3.一个VLAN就是一个单独广播域，一个VLAN就是一个子网同一个VLAN可以直接通过二层访问，不同的VLAN间必须通过三层实现访问，因此说VLAN实现了二层业务的隔离。VLAN的好处：(1)端口的分隔。即便在同一个交换机上，处于不同VLAN的端口也是不能通信的。这样一个物理的交换机可以当作多个逻辑的交换机使用。(2)网络的安全。不同VLAN不能直接通信，杜绝了广播信息的不安全性。(3)灵活的管理。更改用户所属的网络不必换端口和连线，只更改软件配置就可以了。5、请说明下STP、RSTP、MSTP区别首先这三种都是通过生成树算法，相互交换BPDU来实现交换网络快速收敛的协议。但是它们的实现标准、收敛机制、实现方式都不相同。STP国际标准是802.1d，它的收敛通过两种BPDU。一种是配置BPDU只能由根网桥发送的，用于通知其他交换机拓扑已经发生变更；另一种是TCNBPDU是由发现拓扑变更的交换机发送的，用来通知根网桥拓扑发生变更。而且根网桥在收到TCNBPDU后才会通知其他交换机拓扑发生变化需要重新收敛，收敛速度慢。叫做SpanningTree,生成树协议；（为什么需要STP技术，查资料补充）产生的背景：主要的作用：在一个原本物理成环的二层网络上，通过运行树状算法，计算出一个或者多个逻辑阻塞端口进行阻塞，打破了物理环路，计算出一个无环的物理结构，从而避免了二层广播风暴和MAC地址抖动的问题端口角色的选举：选择根网桥、选择根端口、选择指定端口、选择阻塞端口5.根网桥选举：选择根网桥的依据是网桥ID，网桥ID由网桥优先级和网桥MAC地址组成。网桥的默认优先级是32768，网桥ID值小的为根网桥，当优先级相同时，MAC地址小的为根网桥（选择根网桥主要是用于其他选择其他端口角色的参照物）6.根端口的选举：每个非根交换机选择一个根端口。选择顺序为：到根网桥最低的根路径成本，如果根路径开销一样，则选择发送网桥ID，越小越优先。如果网桥ID一样，则选择最小的发送端口ID7.指定端口的选举：在每一段链路上都要选出一个指定端口，用于向下游交换机转发BPDU。选举原则为：在端口比较发送的BPDU与接收的BPDU，如果发送的BPDU优于接受的BPDU，则该端口为指定端口，反之为阻塞端口。2

蓝狐网络复习资料2012年RSTP国家标准是802.1w，是STP的改进协议，改进后可以缩短生成树的收敛时间STP与RSTP向下兼容，只能单生成树的实例，在stp的基础上主要做了四点改进：（1）当旧的根端口进入阻塞状态时，以前的替代端口（阻塞端口）在新拓扑中成为根端口后可以立即进入转发状态；（2）备份端口(BackupPort)：指定端口的备份，当一个网桥有两个端口都连在一个LAN上，那么高优先级的端口为DesignatedPort，低优先级的端口为BackupPort，当指定端口出现故障之后，备份端口立即变为指定端口，处于转发状态；（3）P/A机制：指定端口可以通过与相连的网桥进行一次握手，快速进入转发状态a、当一个网桥的指定端口处于丢弃或学习状态时，由这个端口发送的BPDU报文的Proposal位被置位；（接受的端口如果是阻塞端口和边缘端口不处理b、当对端网桥收到Proposal位被置位的BPDU时，此BPDU）如果是根端口的话，此根端口产生同步（将此网桥的其它指定端口阻塞，将此根端口立即变为转发状态）；c、此网桥发送agreement置位的BPDU，上游网桥收到此BPDU之后立即将自己的指定端口变为转发状态。（4）网络边缘的端口，即直接与终端相连，而不是和其他网桥相连的端口可以直接进入转发状态，不需要任何等待时延。MSTP是一种支持多实例的生成树协议，用于交换网络的快速收敛。MSTP可以将具有相同转发路径的VLAN映射到一个生成树中，这样可以多个vlan对应一个生成树，无需每个VLAN一个生成树,通过vlan与实例的不同映射来实现vlan之间的负载均衡。利用RSTP算法为每个生成树提供快速收敛.基叫做多实例生成树；它是允许将多个VLAN映射到同一个实例，每个实例是一棵生成树，于实例来实现负载；2.每个实例一棵生成树，减少了BPDU对网络资源的占用；3.每个实例是一棵RSTP，通过RSTP的机制实现快速收敛；6、讲讲stp中的bpdu的一些特性?STP开始工作时，每个网桥都声称自己是根网桥，向外发送STP消息。STP使用这些消息与其他交换机交换信息，这些信息就是网桥协议数据单元(BPDU)，每个网桥发送的BPDU都包含了一下的信息：根网桥的网桥ID；根路径开销；指定网桥ID、端口ID、MessageAge、MaxAge各网桥会根据BPDU中的字段选举出根网桥。选举原则：最小的根网桥ID（网桥优先级＋背板MAC地址）；默认的优先级为32768，最大为65535最小路径开销cost；最小的发送网桥ID；最小的端口ID；默认为128最大为256；7、交换机有哪几种端口，其作用是什么?access、trunk、类型的端口只能属于1个VLAN，一般用于连接计算机的端口；Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许NativeVLAN的报文发送时不打标签。3

蓝狐网络复习资料2012年8、以太网通道的作用和好处，它以什么来达到负载均衡；以太网通道是什么？以太通道即：端口聚合，主要用于交换机之间连接，使用以太通道，交换机会把一组物理端口联合起来，做为一个逻辑的通道，也就是channel－group，这样交换机会认为这个逻辑通道为一个端口。作用：1.带宽增加，带宽相当于组成组的端口的带宽总和。2.增加冗余，只要组内不是所有的端口都down掉，两个交换机之间仍然可以继续通信。3.负载均衡，可以在组内的端口上配置，使流量可以在这些端口上自动进行负载均衡。9、VTP是什么？VLAN中继协议是CISCO专用协议，大多数交换机都支持该协议．VTP负责在VTP域内同步VLAN信息，这样就不必在每个交换上配置相同的VLAN信息使用VTP最重要的两个原因是：1、VTP修剪2、VTP使VLAN配置更容易，更灵活VTP的同步原则：VTP域名、版本、口令都必须相同（域名默认为空，版本默认为1，口令为空）VTP最重要的是“配置修订号”,修订号高的同步配置修订号低的VTP只在Trunk链路上承载，只同步Vlan信息，不同步Vlan与接口的绑定信息10、讲讲什么是HSRP和VRRP？有什么特点？备份路由器是怎么知道主路由器失效的？HSRP：，是思科私有的一种提供网关冗余，提叫做热备份路由协议（HotStandbyRouterProtocol）高网关可靠性的协议；2.工作原理：HSRP通过建立一个HSRP组，每个组里有多个HSRP设备角色：虚拟路由器、活跃路由器、备份路由器；负责转发数据包的路由器称之为主动路由器（ActiveRouter）。一旦主动路由器出现故障，HSRP将激活备份路由器（StandbyRouters）取代主动路由器协议提供了一种决定使用主动路由器还是备份路由器的机制，并指定一个虚拟的IP地址作为网络系统的缺省网关地址。如果主动路由器出现故障，备份路由器（StandbyRouters）承接主动路由器的所有任务，并且不会导致主机连通中断现象。HSRP的失效检测机制：周期性的发送HELLO包，每3S发送一次；在3个hello时间内没有收到对方的Hello则判定对方失效，进行角色的切换。VRRP：a、VRRP-虚拟路由器冗余协议，是一种国际标准，多厂商设备均支持的网关冗余协议。b、工作原理：通过对一组边界路由设备进行选举，选出主路由设备和备份路由设备，同时生产一个虚拟路由器，并提供一个虚拟的ip地址和虚拟mac，由这个虚拟ip作为用户终端的网关接受客户端发起的到外网的数据，而真正转发数据的是被选为主设备的路由。当主路由出现故障后，有备份路由接替主路由设备的工作。c、VRRP的作用：虚拟路由器冗余协议（VRRP）是一种选择协议，它可以把一个虚拟路由器的责任动态分配到局域网上的VRRP路由器中的一台。它用来解决当某台路由器坏掉时而造成内部网络和外部网络不能通信的问题,是一个容错协议.VRRP和HSRP的比较：网关冗余热备份协议hsrp（cisco私有）VRRP（国际公有标准）通过是否收到hello消息来确定主路由器的存活，（保持时间10s）HSRP（Hello时间3s）4

蓝狐网络复习资料2012年（保持时间3s）缺省抢占具有认证机制VRRP（Hello时间1s）端口跟踪来发现主路由器的失效快速检测到端口状态从而进行主备路由器的切换；HSRP使用UDP作为传输层协议，发消息的目的地址：224.0.0.2UDP端口：1985VRRP使用ip报文作为传输协议（协议号112）组播地址224.0.0.18发送协议报文。（接口的优先级设为255）VRRP的虚拟路由器可以由物理路由器来充当此路由器被称为ip地址的拥有者11、WAN（广域网）的连接类型有哪几种？链路的组件有哪些？、T1（1.544M）、POS1、专线连接：DDN专线、E1（2.048M）2、电路交换：PSTN、ISDM3、分组交换：x.25、FrameRelay、ATM4、VPN技术5、PPPOEDTE：DataTerminalEquipment；数据终端设备为广域网链路提供数据发送与接收的设备，典型代表：路由器、PC终端、NASDCE：DataCommunicationEquipment；数据通信设备为同步串行接口提供时钟、数据格式转换功能典型代表：调制解调器、基带猫、光端机、光纤收发器、协议转发器12、交换机的转发方式以及交换机的工作原理。转发方式：存储转发、直通交换、无碎片交换工作原理：1.交换机具有最基本的学习和转发功能；2.学习功能：当交换机从一个端口收到以太网数据帧，会首先产看该数据帧的源MAC地址，将该MAC与对应的端口编号放进MAC地址表中；如果MAC地址表中已经存在该MAC条目，则更新计时器（MAC地址老化时间为300S）3.转发功能：当交换机从一个端口收到以太网数据帧，查看该数据帧的目的MAC，根据MAC中所对应的MAC地址条目，从相应的接口转发出去；如果MAC地址表中没有该MAC地址的条目，则从除接受端口外的所有端口洪泛出去。13、讲讲PPP以及它的LCP前的一个阶段，和整个ppp的一个阶段。PPP的特点：支持IP地址的自动协商；身份验证；多链路捆绑；数据压缩；回拨功能；（1）PPP协议包含链路控制协议LCP；网络控制协议NCP；认证协议，（最常用的包括口令验证协议PAP和挑战握手验证协议CHAP）；5

蓝狐网络复习资料2012年（2）PPP链路建立过程分为三个阶段：创建阶段、认证阶段和网络协商阶段阶段1：创建PPP链路LCP负责创建链路。在这个阶段，链路两端设备通过LCP向对方发送配置信息报文，一旦一个配置成功信息包被发送且被接收，就完成了交换，进入了LCP开启状态。在链路创建阶段，只是对验证协议进行选择，用户验证将在第2阶段实现。阶段2：用户验证在这个阶段，客户端会将自己的身份发送给远端的接入服务器。该阶段使用一种安全验证方式避免第三方窃取数据或冒充远程客户接管与客户端的连接。在认证完成之前，禁止从认证阶段前进到网络层协议阶段。如果认证失败，认证者应该跃迁到链路终止阶段。在这一阶段里，只有链路控制协议、认证协议，和链路质量监视协议的packets是被允许的。在该阶段里接收到的其他的packets必须被静静的丢弃。最常用的认证协议有口令验证协议（PAP）和挑战握手验证协议（CHAP）。认证方式介绍在第三部分中介绍。阶段3：调用网络层协议认证阶段完成之后，PPP将调用在链路创建阶段（阶段1）选定的各种网络控制协议（NCP）。选定的NCP解决PPP链路之上的高层协议问题，例如，在该阶段IP控制协议（IPCP）可以向拨入用户分配动态地址。14、什么是PVLAN?PVLAN即私有VLAN（PrivateVLAN），PVLAN采用两层VLAN隔离技术，只有上层VLAN全局可见，下层VLAN相互隔离。用来防止连接到某些接口或接口组的网络设备之间的pVLAN通常用于企业内部网，相互通信，但却允许与默认网关进行通信.15、交换机总结（1）交换机任何时候都不关心IP地址，因为交换机是二层设备，（三层交换机除外，三层交换机就当路由器来对待了）。（2）交换机中的ARP缓存是端口号到MAC地址的映射，与IP地址无关。（3）交换机中的ARP缓存表是通过在转发数据包时读取源端口和源MAC时记录下来的，而不是通过ARP6

蓝狐网络复习资料2012年广播去询问的。（4）当交换机的缓存表不能反应出目标MAC和端口的映射时，就会向除源端口外的每个端口发一份（泛洪），以保证真正的目标主机能够收到数据。（5）因为ARP缓存中找不到端口号和MAC地址的映射时，就会泛洪，所以人工地绑定端口和MAC地址只是解决泛洪，让交换机不要因为找不到目标MAC地址而向每个端口都复制数据，这种方法与解决ARP欺骗没有任何关系！16、一个数据包过来，三层交换机怎么去判断对它做二层交换还是三层转发？检查目标MAC，如果目标MAC是交换机虚接口的MAC，那么进行三层转发，否则进行二层转发17、边缘端口是怎么回事？它收、发BPDU吗？一般指与终端相连的端口，它不收也不发BPDU18、配成portfast的端口为什么不直接禁掉STP？如果portfast端口确定不会产生环路，可以关掉STP19、你对组播了解多少？组播就是一种单点对多点的技术，组播源把数据包发送到特定组播组，而只有属于该组播组的地址才能接收到数据包。组播可以大大的节省网络带宽，因为无论有多少个目标地址，在整个网络的任何一条链路上只传送单一的数据包。它提高了数据传送效率。减少了主干网出现拥塞的可能性。组播组中的主机可以是在同一个物理网络，也可以来自不同的物理网络（如果有组播路由器的支持）。所用到的协议有：IGMP（互联网组播管理协议）、MLD（组播侦听者发现协议）、PIM（协议无关组播）、MSDP（组播源发现协议）；组播地址为D类地址：224.0.0.0---239.255.255.255了解一些协议使用组播像：HSRP（224.0.0.2）RIPV2（224.0.0.9）EIGRP（224.0.0.10）VRRP（224.0.0.18）OSPF.（224.0.0.5/224.0.0.6）20、组播的MAC地址是怎么来的？MAC地址的第8位为0时，为单播地址，为1时，为组播地址。通过将MAC地址的前25位强行规定位0100.5e，而后23位对应IP地址的后23位21、请说一下反向路径查找。URPF防止源ip欺骗的攻击，URPF通过获取包的源地址和入接口，以源地址为目的地址，在转发表中查找源地址对应的接口是否与入接口匹配，如果不匹配，认为源地址是伪装的，丢弃该包。22、怎么理解抢占？什么情况下用到抢占？主设备出现故障，备份设备启用后一段时间主设备又恢复正常，这时就要通过抢占机制，让主设备重新担任起处理数据的工作，HSRP/VRRP、防火墙的A/A里面；23、DNS是那一层的？查询方式？应用层DNS（DomainNameSystem）1.递归查询：也就是DNS客户端送出查询要求后，如果DNS服务器内没有需要的数据，则DNS服务器会代替客户端向其他的DNS服务顺查询。2.循环查询：一般DNS服务器与DNS服务器之间的查询属于这种查询方式。当第一台DNS服务器在向第2台DNS服务器提出查询要求后，如果第2台DNS服务器内没有所需要的数据，则它会提供第3台DNS服务器的IP地址给第1台3．反向查询：可以让DNS客户端利用IP地址查询其主机名称7

蓝狐网络复习资料2012年24.说下HUB、交换机、路由器的异同？HUB/集线器采用的式共享带宽的工作方式，而交换机是独享带宽。（1）工作层次不同（1、2、3）（2）数据转发所依据的对象不同（3）传统的交换机只能分割冲突域，不能分割广播域；而路由器可以分割广播域（4）路由器提供了防火墙的服务25、说下什么是冲突域，什么是广播域？冲突域：是基于物理层的，连接在同一导线上的所有工作站的集合，或者说是同一物理网段上所有节点的集合或以太网上竞争同一带宽的节点集合广播域：是基于数据链路层，是一个逻辑上的计算机组，该组内的所有计算机都会收到同样的广播信息。广播包所能覆盖的范围。26、说一下什么是端口镜像？端口镜像就是把交换机上的一个或多个端口的流量镜像到另一个连接了网络捕获工具的接口上的技术。27、双绞线568B线序和A类的线序？EIA/TIA568B标准------橙白----橙---绿白---蓝---蓝白--绿---棕白---棕EIA/TIA568A标准------绿白----绿---橙白---蓝---蓝白---橙---棕白---棕28、Trunk链路的两种封装格式？它们的区别？叫做中继链路，它主要的作用就是能在同一个物理链路上同时承载多个VLAN的流量主要的封装模式有：ISL和802.1Q协议它是思科私有的TRUNK协议，封装的以太网数据添加了26字节的头部叫做内部交换机链路，和4字节的CRC字段，因此数据帧开销大所有厂商都支持，它是在源MAC和type之间插入4字节的Tag帧；4.802.1Q协议是IEEE公有标准，ISL支持的vlan数为0---1024；dot1q支持的vlan数为0----40968

蓝狐网络复习资料2012年路由部分1、IP的报文格式和TCP的报文格式IPV6头部9

蓝狐网络复习资料2012年2、什么是网络地址转换NAT将专用网络地址（如企业内部网Intranet）转换为公用地址（如互联网Internet），从而对外隐藏了内部管理的IP地址NAT的分类：静态NAT、动态NAT、端口NAT（PAT）NAT的四种地址：内部局部地址：在内部网络中分配给主机的私有IP地址；内部全局地址：一个合法的IP地址，它对外代表一个或多个内部局部地址；外部局部地址：外部主机表现在内部网络中的ip地址；外部全局地址：由其所有者给外部网络上的主机分配的地址；3、在2层环路中，是如何解决循环问题，3层环路下，又是如何解决循环问题的？2层中，使用STP、RSTP等协议防止环路的产生；、水平分割、毒性逆3层中，若使用的是距离矢量路由选择协议，可以使用最大跳数（RIP为15跳）转、触发更新、计时器等机制；若使用的链路状态路由选择协议，如OSPF，由于是链路状态协议，区域内部不会产生路由环路；区域间，通过合理规划，将非骨干区域连接到骨干区域，也可以防止产生路由环路。4、假如到目标有2条路由，第1条是细化路由，第2条是超网路由，但是第1条路由的开销比第2条路由要大，请问路由器会选举哪条作为最佳路由？应该是细化路由，路由条目进入路由表是根据最长匹配原则来进行选择的；5、常见路由协议的管理距离直连路由和指定下一条为自己端口的静态路由静态路由1RIP120IGRP100EIGRP90EIGRPOSPFBGPIS-IS未知汇总路由—5；外部EIGRP---170；1100200（从IBGP邻居收到的路由）外部BGP—20（从EBGP邻居收到的路由）1502556、常见路由协议的封装和路由更新方式路由协议RIPv1RIPv2IGRPEIGRPOSPF封装UDP（源目端口：520）UDP（源目端口：520）Ip层的协议号9IP层的协议号88Ip层的协议号8910更新类型广播组播广播组播更新地址255.255.255.255224.0.0.9255.255.255.255224.0.0.10点对点网224.0.0.5络（组播）

蓝狐网络复习资料2012年多路访问DROTHER发送给DR和BDR的组播：224.0.0.6DR发给DROTHER的组播：224.0.0.57、常见协议协议号：协议名称ICMPIGMPTCPUDPGREESPAHEIGRPOSPFVRRPL2TPSTPISISOVERIPV4常见的协议端口：应用FTP-DataFTPSSHTelnetSMTPTacacs+HTTPPOP3文件共享TCP端口号20110139、445应用BGPHTTPSRTSPSOLServerOracleH323PPTPMMS远程桌面TCP端口号3315211729编号8124应用WINSUDP端口号42应用NetBIOSUDP端口号137、138、13911

蓝狐网络复习资料2012年DNSDHCP(bootps)DHCP(bootpc)TFTPNTPSNMP53676869123161、162IPSecNAT-TSyslogRIPL2TPRadiusRadiuscisco500、451812、18131645、16468、常见协议的多播地址：224.0.0.1————本子网中的所有系统224.0.0.2————本子网中的所有路由器224.0.0.5————OSPFDROther224.0.0.6————OSPFDR224.0.0.9————RIPv2路由器224.0.0.10————EIGRP路由器224.0.0.12————DHCPServer/中继代理224.0.0.13————所有PIM路由器224.0.0.22————IGMP224.0.0.25————RoutertoSwitch（Suchas:RGMP-路由器端口组管理协议）9、你熟悉RIP和OSPF吗？它们的区别你能说一下吗？非常RIP是一种距离矢量路由选择协议，通过上游邻居向下游路由器传递自己知道的全部路由信息，依赖邻居，使用跳数作为度量值，最大有效跳数是15跳。RIPv1是有类路由选择协议，存在不连续子网、路由环路等问题。RIPv2为无类别的路由选择协议，解决了不连续子网的问题，支持VLSM、无类别路由查询、认证等。OSPF是一种链路状态协议，通过邻居得到的是链路状态信息，形成链路状态数据库，然后以自己为根通过SPF算法计算最优路径形成路由表，收敛速度快；使用SPF计算最佳到达目的地的最佳路由，并且是公开的协议；使用区域的概念，有利于减轻对路由器内存和CPU等资源的消耗，也可减少网络上的协议流量。支持无类别的路由表查询；支持等价负载均衡；支持路由选择认证。10、Eigrp和OSPF的区别？Eigrp是思科私用的；IP协议值为88；管理距离是90，使用DUAL算法执行一个分布式的最短路径的选择，支持非等价负载均衡；OSPF是开放的；IP协议值为89；管理距离是110，使用SPF算法计算最佳路径；不支持非等价负载均衡。11、ARP欺骗（如何预防）、IP欺骗原理？叫做地址解析协议，主要用于三层IP地址到二层MAC地址的解析工作原理：在同一广播域内，当设备知道目标设备的IP，当不知道目标设备的MAC地址时，该设备发送一个ARP广播，本广播域内的所有设备均会收到。但只有目标设备收到该ARP请求广播，得知是需要请求自己的MAC地址时，才会向源设备发送一个ARP的回应。告之源设备自己12

蓝狐网络复习资料2012年所对应的MAC地址欺骗主要是利用IP与MAC的绑定关系通信的原理，伪造绑定关系，从而达到欺骗的目的，主机欺骗及网关欺骗，主机欺骗主要是伪造局域网的某台主机的绑定关系，ARP的欺骗分为两种，从而截取数据，而网关欺骗则是伪造网关的绑定关系，将所有的数据导向欺骗者，还有一种欺骗为双向欺骗欺骗解决方案有：ARP静态绑定，安装ARP防火墙，启用交换机的动态ARP审查功能等以便冒充其他系统或保护发件人的身分。欺IP地址欺骗是指行动产生的IP数据包伪造的源IP地址，骗也可以是指伪造或使用伪造的标题就以电子邮件或网络新闻-再次-保护发件人的身分和误导接收器或网络，以原产地和有效性发送数据。12、RIP、OSPF、BGP、EIGRP的防环机制？，水平分割、毒化路由、毒性逆转、触发更新、计时器等来防止环路；RIP：通过设置最大跳数（15）OSPF：通过划分骨干区域和普通区域，普通区域都和骨干区域相连；运行SPF(最短路径优先)算法从我一个IBGPBGP：AS-PATH不接受路径列表中包含其自身AS号的路由更新；IBGP邻居的水平分割，邻居学到的路由不会传给IBGP邻居；（存我EBGP邻居学到的路由会传给我的另一个EBGP邻居）EIGRP：在主网络边界将自动汇总，同时在路由器上将产生一条指向null0的路由；水平分割；13、TCP/IP三次握手过程第一次握手：建立连接时，客户端发送syn包(syn=j)到服务器，并进入SYN_SEND状态，等待服务器确认；第二次握手：服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；第三次握手：客户端收到服务器的SYN＋ACK包，向服务器发送确认包ACK(ack=k+1)，此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。13

蓝狐网络复习资料2012年14、什么叫AS？一组被统一管理的路由器，它们使用相同的内部网关协议和统一的度量值来决定如何在AS内部路由分组，并使用AS间路由器选择协议来决定如何分组路由到其他自治系统。15、IGP的路由策略有哪些？1、路由过滤（通过分发列表和前缀列表来实现）2、route-map做过滤；3、路由协议的迁移通过修改管理距离来完成；4、通过Tag（路由标记）的方式来简化路由控制；16负载均衡的方式？CEF交换；基于目的的快速交换；基于包的进程交换；17RIPV1和V2的区别与联系？叫做路由信息协议（RoutingInformationProtocol）2.典型的距离适量算法协议，因此RIP的路由完全依赖于邻居的传递，是一种传闻式路由；路由计算精准度不高，容易产生路由环路，因此RIP协议设计了6中防环机制；因为存在16跳的限制，因此RIP协议主要定位在小型网络的路由学习管理；协议基于UDP作为底层，端口520；的版本分为RIPv1和RIPv2V1和V2的区别：路由更新时不携带子网掩码。采用接口掩码为网络默认掩码。因此1属于有类路由协议，不支持不连续的子网14

蓝狐网络复习资料2012年2属于无类路由协议，路由更新时携带子网掩码。支持不连续的子网掩码、RIPv2组播更新（224.0.0.9）3.路由通告更新的方式：RIPv1广播更新（255.255.255.255）2支持触发更新,RIPv1在IOS12.2以前不支持；2支持认证，而RIPv1不支持；6.v1、v2分组中最多只能包含25个路由信息，v1、v2默认都开启了自动汇总；18、简述RIP的计时器有哪些？作用是什么？RIP有更新计时器，失效计时器，抑制计时器和刷新计时器。更新计时器是指路由器每经过固定时间发送一次自己的路由条目给邻居路由器。默认为30秒失效计时器是指路由器如果在30秒内没收到邻居路由器的某条路由条目，则开启失效计时器，默认时间为180秒。如果180秒内又收到了该路由条目的更新消息则抑制计时器时间更新为0，如果180秒过后仍然未收到该路由条目的更新消息则将该路由条目定义为失效路由。抑制计时器是指路由器如果在30秒内没收到邻居路由器的某条路由条目，但是收到其他路由器发来的更差的路由条目，路由器开启抑制计时器，默认时间为180秒。在180秒内，如果该路由器有重新收到该路由条目的更新消息则关闭抑制计时器。如果180秒后仍然没有收到该路由条目的更新消息则接受新的较差的路由条目。刷新计时器是指路由器经过180秒后失效后如果到240秒都没收到某条路由条目的更新消息，则将该路由条目删除路由表。19路由协议中的各种时间参数？保持时间---180s；抑制时间---180s；刷新时间-----240sRIP：更新时间—30s;OSPF：在NBMA网络中的hello时间----30s死亡时间-----120s在点对点和广播网络中hello时间---10s死亡时间----40sLSA的刷新时间-----180s（3min）；无效计时器-----270s；刷新计时器----630sIGRP：更新时间---90s（20%的抖动72-90s）EIGRP：大部分网络中的hello时间----5s；抑制时间----15s在x.25或帧中继、ATM接口上的hello时间---60s；抑制时间-----180s20路由策略和策略路由的区别？针对的对象是IP数据报文；它是通过用户自定义策略规则直接影响数1.策略路由工作在转发层面，据如何进行转发；针对的对象是路由条目；它是通过策略直接影响路由表中的路由条目，2.路由策略工作在控制层面，从而可以间接的影响数据转发；21Rip路由协议的收发规则？Rip的发送规则：15

蓝狐网络复习资料2012年广播的网络或者子网是否与源接口处于同一主网络否是网络与源接口是否有相同的子网掩码否丢弃该网络，除非它是主机的路由，并且路由器支持主机路由是路由器广播该网络在主网络边界自动汇总，并广播该网络Rip的接收规则：从更新接收的子网与接收端口是否处于同一主网络是路由器使用接收接口的掩码，如果Rip更新设置来拷主机位，接收路由器使用主机掩码否该主网络的任意子网是否在路由表中，并且是从令一个接口学习到的路由是路由器忽略此更新否使用有类掩码，如果更新的网络子网部分被设置，接收路由器使用主机掩码22ARP是什么？它的工作过程？ARP（AddressResolutionProtocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。具体说来就是将网络层地址解析为数据连接层的MAC地址。ARP原理：主机A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则A会发送ARP广播的请求报文（携带主机A的IP地址和物理地址），请求主机B的IP地址对应的物理地址。局域网内所有主机包括B都会收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。23CDMA是什么？CDMA是“码分多址”数字无线通信技术。它是在数字技术上的分支—扩频通信技术上发展起来的一种新的无线通信技术。CDMA技术的原理是基于扩频技术，即将需传送的具有一定信号带宽信息数据，用一个带宽远大于信号带宽的高速伪随机码进16

蓝狐网络复习资料2012年行调制，使原数据信号的带宽被扩展，再经载波调制并发送出去。接收端使用完全相同的伪随机码，与接收的带宽信号作相关处理，把宽带信号换成原信息数据的窄带信号即解扩，以实现数据传输。24默认路由什么？默认路由是一种特殊的静态路由,就是当路由表中没有与数据包目的地址匹配的表项时路由器能够做出的选择.如果没有默认路由器,那么目的地址在路由表中没有匹配表项的数据包将被丢弃.默认路由在某些时候非常有效,当存在末梢网络时,默认路由会大大简化路由器的配置,减轻管理员的工作负担,提高网络性能.不过默认路由的执行顺序是在所有的路由项之后。25二层交换和三层交换的区别？A、工作层次不同：一个是在数据链路层，一个是在网络层；B、工作方式不同：二层交换是按数据包的MAC地址在内部地址表中对应的端口进行转发，将本数据包MAC地址与对应端口记录在内部地址表中，MAC地址不在表内的就进行广播等待回应；三层交换是利用IP包包头信息对后续数据流进行标记，进行帧头重组，将具有同一标记的数据流的报文交换到数据链路层，即提供一条目标地址与源地址之间的一条数据通道；C、因而二层交换机对MAC地址具有学习功能，对于网络层或高层协议来说是透明的，数据交换靠专用处理数据包转发的ASIC（应用专用集成芯片组）实现速度很快。但它不能处理三层及三层以上的协议，不能处理不同IP子网间的数据交换。C、因此，三层交换机不必拆包便可判断路由，从而将数据包直接转发，进行数据交换。从而可以实现不同子网IP包交换。另外三层路由模块不是简单的二层交换机与路由器的简单叠加，它是由三层路由模块叠加二层交换高速背板总线速率可达Gbit/s，其中大部分必需的需路由软件处理的数据转发为三层转发外，其余均为二层高速转发。25、OSPF部分：1、说说你对OSPF的理解？叫做开放最短路由优先（Openshortestpathfirst）是一种典型的链路状态路由协议；因此路由计算精确，不会产生路由环路；并且路由收敛速度很快2.主要定位于中大型网络路由学习管理，属于IGP路由协议；3.支持区域的划分，由以前传统平面式网络变成立体层次化网络；划分骨干区域和非骨干区域；4.支持区域间汇总、自治系统外部路由汇总及特殊区域；因此能对OSPF网络的路由进行进一步的优化；5.无类路由协议，支持可变长子网掩码VLSM；的工作原理：在一个区域内，每个路由器都会产生一个LSA信息由于描述自身的链路状态信息，每个LSA都会在本区域内进行洪泛，最终达到LSDB数据库的同步；然后每个路由器会运行SPF算法，以自己为根，计算出最佳路由；2、OSPF的网络类型：网络类型有：点对点网络、广播型网络、NBMA型网络、点对多点或虚链路_TO_POINT：特点：无DR和BDR，HELLO时间间隔为10S；AST：特点：多路访问型网络，需要选取DR和BDR，HELLO时间为10s由_BROADCAST（NBMA):特点：多路访问型网络，需要选取DR和BDR，HELLO时间为30S，于底层不支持广播能力，因此需要通过neigbor命令手动指定邻居，采用单播建立邻居;_TO_MULTIPOINT：特点：需手动更改网络类型，无DR和BDR的选举;HELLO时间间隔为30S17

蓝狐网络复习资料2012年3、OSPF的路由器类型：内部路由器；区域边界路由器ABR；骨干路由器；自治系统边界路由器ASBR；4、OSPF的划分区域划分区域的背景：a)在同一个区域内OSPF需要实现LSDB数据库的同步，因此如果一个区域内设备过多，则收到的LSA信息将会过多，导致LSDB和路由表过于庞大，因此需要消耗大量的设备内存，b)同一个区域的路由器出现故障时，会影响到所有的路由器，因此影响范围过大；划分区域的意义：可以实现区域间路由汇总；每个区域的一类LSA只会在本区域内进行洪泛，a)通过划分多区域，也只要在本区域内实现LSDB数据库的同步；因此极大的减少了LSA和路由条目的数量；可以将一个区域的故障限制在本区域，而不会去影响到其他的b)通过进行区域间的路由汇总，区域，提高网络性能的稳定性；为什么要设置特殊区域，有哪些特殊区域，分别有什么特点【1】设置特殊区域的意义：通过将非骨干区域设置为特殊区域，可以过滤某些特定类型的LSA信息，减少路由条目的数量，优化路由表；【2】特殊区域的类型：STUB区域、完全STUB区域、NSSA区域、完全NSSA区域；【3】STUB区域的特点：过滤了4类、5类LSA，即过滤了AS外部路由；STUB区域不允许存在ASBR，及不允许本区域引入外部路由；由ABR下发一条3类的默认路由实现到AS外部的访问；【4】完全STUB区域的特点：在STUB区域的基础上，进一步过滤了3类LSA，即过滤了AS外部由和区域间路由；【5】NSSA区域的特点：在ABR上过滤了4类和5类的LSA，即过滤了AS外部的路由；NSSA允许存在ASBR，即本区域允许引入外部路由，但是以7类LSA的形式存在；ABR不会自动下发默认路由，需手工通过default-information下发默认路由；在NSSA区域允许出现两次汇总，即可以在ASBR和ABR上汇总；【6】完全NSSA区域的特点：在NSSA区域的基础上，进一步过滤了3类LSA，即过滤了AS外部路由和区域间路由；但完全NSSA的ABR会自动下发3类的默认路由，实现通过ABR去访问其他的AS；18

蓝狐网络复习资料2012年5、OSPF邻接关系的建立过程6、路由器建立邻居期间故障分析：OSPF邻居停滞在INIT状态：1.访问列表在某一边阻塞了OSPFHello分组；2.组播功能在某一边被破坏了（6500交换机问题）3.验证只在一边可用（虚链路例子）4.在某一边的fame-relaymap/dialermap语句中缺少broadcadt关键字分组在某一边第二层丢失了OSPF邻居停滞在2-Way状态：a、如果一个多路访问网络中没有一个路由器能够选举成为DR和BDR时，即优先级为0.网络的邻居状态会卡在Two—Way状态；b、如果两个路由器的routeID重叠时也会卡在Two—Way状态；C、在有DR/BDR选举的网络中，两个DROther之间处于2-Way是正常的；OSPF邻居停滞在EXSTART/EXCHANGE状态：1、不匹配接口的MTU2、在邻居上有重复的路由器ID3、不能用超过一定大小的MTU去ping通4、由于下列原因单播连接损坏A、在帧中继/ATM交换机中错误VC/DLCI映射B、访问列表阻止单播C、对单播进行了NAT转换5、在PRI和BRI拨号接口之间的网络类型为点对点网络OSPF邻居停滞在LOADING状态：1、不匹配的MTU2、损坏的链路状态请求分组19

蓝狐网络复习资料2012年OSPF邻居停滞在ATTEMPT状态：这个问题仅在定义了neighbor语句的NMBA中有效1、错误配置了neighbor语句2、在NMBA中单播中断了OSPF邻居表为空的原因：1、在接口上没有启动OSPF2、网络的物理层或链路层出现故障3、接口配置为被动的4、访问列表阻止OSPFHELLO报文通过5、在一条广播链路上存在一对子网/掩码不匹配6、HEELO间隔/死亡时间间隔不匹配7、验证类型不匹配8、一个验证密钥不匹配9、一个区域ID不匹配10、端/中继/NSSA区域选项不匹配7、什么时候路由器会处于Two—Way状态？当路由器收到的hello包中发现了自己的routeID的时候，这台路由器就进入Two—Way状态。8、先有DR，还是先有BDR；DR和BDR是通过什么数据包进行协商的；什么情况下选举DR和BDR,其作用是什么？一卷上的说法是先有BDR，再有DR，大家可以自己思考，只要能自圆其说即可。通过Hello数据包进行DR和BDR的协商，通常在多路访问类型的网络中需要选举DR和BDR，选举DR和BDR可以减少网络中路由器所需建立邻接关系，减少网络中不必要的协议流量，减轻路由器的负担。9、在一个以太网环境中，请描述下DR与其他路由器的路由信息的传递DR发送网络LSA，其中列出了该多路访问网络中的路由器信息和DR路由器的信息，将其发送给多路访问网络中的其他路由器（目的地址为组播地址224.0.0.5）；其他路由器发送路由器LSA，其中列出本路由器的链路或接口，它们的状态以及沿该链路的出站代价，将其发送给DR（目的地址是224.0.0.6）。10、OSPF的状态机是哪些？失效状态（Down），尝试状态（Attempt仅适用于NBMA网络），初始状态（Init），信息交换初始状态（ExStart），信息交换状态（ExChange），加载状态（Loading），完全邻接状态（Full）11、OSPF怎么样划分区域，为什么不提倡使用虚链路？当划分多个区域的时候，必须有一个骨干区域，区域ID为0，其他的非骨干区域连接在骨干区域上；各区域根据设备的能力、业务的大小的进行划分。虚链路的存在增加了互联网络的复杂程度，而且使故障的排除更加困难。12、请说明下OSPF的邻居和邻接的关系？共享一条公共数据链路，并且能够相互的成功协商各自Hello报文所知道的参数的两台路由器即可建立邻居关系。建立邻居关系是为了建立邻接关系，邻接关系是否建立取决于路由器所连接的网络类型。13、骨干区域的路由表与非骨干区域的路由表是否是一样的？不一样；通常骨干区域的路由表是其他区域网络的汇总，不会出现具体的路由条目。而非骨干区域中存在自己的详细路由并且只有骨干区域的汇总路由；20

蓝狐网络复习资料2012年14、应用OSPF设计网络时的注意方面：一个自治域中的路由器数量最少20平均510单个区域内的数量最少20平均160一个管理域中的数量最少1平均23最多1000最多350最多60假如路由器ID相同的话，OSPF根据什么来选举DR；15、OSPF中DR和BDR的选举是根据什么来商定的，先比较路由器的优先级，优先级最大的成为DR，次大的成为BDR，优先级为0的不参与DR和BDR的选举；若优先级相等，比较路由器ID，RouterID最大的成为DR，次大的成为BDR。若路由器ID相同，选举出来的BDR成为DR。16、OSPF的STUB区域里有哪些LSA？OSPF有哪几种稳定状态？LSA类型1，2，32-way状态和Full状态17、OSPF为什么要划分多区域？OSPF为什么要划分区域及划分区域要注意些什么？通过划分多区域，可以减轻OSPF协议对路由器内存和CPU等资源的消耗，减少网络上的协议流量；将非骨干区域和骨干区域相连，可以避免路由环路。划分区域时，应根据设备的能力，合理选择区域的大小，同时合理规划IP地址，做好路由汇总，并且要避免出现虚链路。18、一个OSPF的网络，连接着非OSPF的网络，假如我们需要阻止一部分非OSPF的网络发送过来的路由，可以用什么方法实现？应用路由策略，例如：route-map、分发列表、前缀列表，阻止这些路由条目进入OSPF区域。19、OSPF区域如何减少路由表条目？将区域定义为末梢区域、完全末梢区域或非完全末梢区域；路由汇总。20、OSPF有多少种LSA，分别说明下其作用；共有11中LSA。比较熟悉的是类型1、2、3、4、5、71、路由器LSA描述了路由器物理接口所连接的链路或接口,指明了链路的状态,代价等.每个OSPF区域内的路由器均会产生一类LSA.它让路由器彼此认识彼此的链路接口等.只在产生的区域内泛洪.2、网络LSANetworkLSA是由DR始发的,它描述了一个多路访问网络和这个网络相连的所有路由器,只在产生的区域内泛洪.3、网络汇总LSANnetworksummaryLSA是由ABR发出的,ABR路由器将发生三类LAS到一个区域，用来通告该区域外部的目的地址。（它将某个区域的汇总路由告知其他区域,也就是通知其他区域路由器要到这些网络就找我.这里就有点距离矢量路由协议的味道,依靠下一跳路由器来路由.）4、ASBR汇总LSAASBRSummaryLSA,它也是由ABR发出的,ASBR汇总的LSA除了所通告的目的地是一台ASBR路由器而不是一个网络外，其他的和三类LSA一样。（描述了ASBR的RID，它是告诉其他区域路由器到某个非OSPFAS外的网络要找通告里告诉的那个ASBR.）5、自治系统外部LSAASexternalLSA它是由ASBR产生的,用来通告自治系统外部的目的地址或OSPF外部的缺省路由的LSA,它在整个OSPF自治系统内泛洪。所以管理员应该尽量在ASBR上进行路由汇总(summary-address外部汇总网络号汇总掩码)21

蓝狐网络复习资料2012年7、NSSA外部LSA是指在非纯末梢区域内(not-so-stubbyarea)由ASBR发出的通告外部AS的LSA.仅仅在这个非纯末梢区域内泛洪.不能在整个自治系统内泛洪.NSSA网络中的ABR会将这个7类LSA转换为5类LSA告诉主干区域.21、讲讲OSPFSTUB区域？并说明STUB区域是隔离类型几的LSA；STUB区域的主要作用是减少区域内的路由条目数目，隔离类型5的LSA22、LAS1是怎么产生的？LAS3是怎么产生的？作用是什么？TYPE-1:路由器LSA,由每台路由器始发，描述自身的链路状态；TYPE-3:网络汇总（域间）LSA,由ABR始发，用于描述区域间的路由。23、OSPFNSSA区域的原理与作用基于链路状态算法的OSPF协议算法本身也有很多固有的缺陷：（1）耗费更多内存资源：每台路由器都必须保存整个网络的拓扑结构（以LSDB的形态）（2）耗费更多CPU资源：该协议的路由计算使用SPF算法，较D-V的算法要复杂的。（3）计算更为频繁：只要网络中有任何一台路由器的拓扑方生变化，会导致该网络中所有的路由器进行SPF计算，而且每台路由器都是将SPF算法重新执行一遍，以便找出变化的路由。为了彻底解决上述问题，OSPF提出了区域的概念（AREA）。区域是将所有运行OSPF的路由器人为的分成不同的组，以区域id来标示。在区域内路由计算的方法不变，由于划分区域之后，每个区域内的路由器不会很多，所有上述缺陷表现得并不严重，带来的后果可以忽略不计。而在区域之间计算路由时采用D-V算法，这样三个缺点就被成功的规避了。BGP部分1、你对BGP路由协议有什么了解？（BGP的概念、BGP的特点、BGP的工作原理）叫做边界网关路由协议，它是唯一的EGP路由协议；主要定位于超大型网络和因特网路由学习和管理，具有大规模路由管理的能力；并且BGP有非常丰富的路由属性，支持复杂的路由策略；因此即使网络规模不是特别大，但是所要求的路由策略非常复杂时，同样可以应用BGP协议来解决；是典型的距离适量路由协议，它是基于AS为单位进行适量路由传递；因此BGP路由协议容易产生路由环路，需要设计相关的防环机制；为了便于路由的管理，可以将网络化整为零，划分出多个AS；基于底层TCP协议，端口179；由于TCP是一个可靠面向连接的协议，因此BGP将繁琐的可靠机制交由底层提供；6.无类路由协议，支持无类域间路由；2、BGP的几种属性BGP的属性分为周知强制属性，周知非强制属性，可选传递性属性，可选非传递性属性。周知强制属性有as路径、下一跳和源头；周知非强制属性有本地优先级和原子聚合；可选传递性属性有聚合站和共同体；可选非传递性属性有多出口鉴别器（MED）.簇ID和源头ID3、BGP的同步？同步规则的定义:学习来自IBGP邻居的路由在进入IGP路由表或被宣告给BGP对等体之前，必须首先通过IGP来知晓该路由；或者说BGP同步指的是IBGP路由与IGP路由的同步，即从IBGP邻居处学习到的路由必须也要通22

蓝狐网络复习资料2012年过IGP路由协议学到，否则不会将该BGP路由放进全局路由表，也不会将该路由发送出去；当一条路由如果通过BGP和IGP都学到了，此时称之为BGP达到了同步；同步规则的目的:防止AS内部出现路由黑洞。路由黑洞的解决方案：非同步状态下：AS内部实行IBGP全互联同步状态下：BGP重发布进IGP4、BGP路由选择的原则（严格按照顺利进行）（1）丢弃下一跳不可达的路由;（2）同步状态下,丢弃没有同步的路由;（3）选择weight最高的路由;（4）选择LocalPreference最大的路由;（5）选择本地始发的的路由;（6）选择ASPath最短的路由;（7）选择Origin源头最小的路由（8）选择MED最小的路由;（9）EBGP路由优先于IBGP路由;（10）选择下一跳IGP开销最小的路由;（11）选择RouterID最小的BGP对等体通告的路由;5、BGP中的路由反射簇的通告原则：1.从客户端收到的路由反射给它的客户端和非客户端。（RRC、IBGP和EBGP邻居）但是不向发送它的那个RRC公布2.从非客户端收到的路由只反射给它的客户端3.在进行路由反射之前，RR会进行路由选择，RR只把最优的路由反射出去进行路由反射时，不会改变路由的属性（包括下一跳、LP、MED等）来自EBGP邻居，则将它公布给所有邻居（IBGP、EBGP、RRC）6、BGP路由的通告原则：（1）多条路径时，BGP只选最优的给自己使用（2）BGP只把最优的路由通告给它的邻居（3）从EBGP学到的路由会通告给它所有的BGP邻居（4）从IBGP学到的路由不通告给其它的IBGP邻居（IBGP水平分割）（5）从IBGP学到的路由是否通告给它的EBGP邻居视同步情况而定。（非同步状态下会将从IBGP学到的路由通告给它的EBGP邻居；同步状态下，只将达到同步的路由通告给它的EBGP邻居）（6）BGP是距离矢量路由协议，遵从水平分割原则：包括基于邻居的水平分割、基于AS_Path的水平分割。（基于邻居的水平分割：从BGP邻居学到的路由不通告给该BGP邻居；基于AS_Path的水平分割：向EBGP邻居通告路由时，在AS_Path属性中附加上自己的AS号；接收BGP邻居通告过来的路由时，丢弃AS_Path属性中含有自己AS号的路由）（7）BGP邻居一建立，就将自己所有的最优路由通告给它的邻居。7、权重属性：a)Cisco私有属性，用于路径选择23

蓝狐网络复习资料2012年它被本地化配置在路由器上，并针对每个不同的邻居权重属性仅在本地有意义，不会被宣告给任何BGP邻居权重的值可以从0－65535；由本路由器始发的缺省权重值为32768，其他路径的缺省权重值为0.e)到同一目的地存在多条路由时，有高权重值的路由被优选为8、本地优先属性：f)本地优先属于周知自选属性；g)本地优先属性实际上是给路由设置优先级，越大越优先；h)默认的本地优先值为：100i)本地优先影响的范围：在一个自治系统内有效，即可以在IBGP邻居之间传递；9、MED属性j)MED叫做多出口鉴别器，属性可选非传递属性；k)MED就是BGP的度量值（Metric）,越小越优先。l)MED只允许在一个AS内进行传递，即IBGP邻居之间。不允许将收到的路由MED属性传递给其他的AS；m)默认情况下，从其他BGP对等体接受的路由，MED为零；从IGP重发布进BGP的路由，会默认继承IGP路由数值；b)c)d)安全部分1、IpsecVPN的ISAKMP/IKE阶段1和阶段2分别协商些什么阶段一协商管理连接的密钥，三个主要的任务是：。1.安全关联建立和安全参数协商（加密算法，HASH算法，DH组，身份认证）算法（密钥交换）3.对等体认证（pre-shared,rsa-sig,加密随机数）积极模式=2次交换+3个状态+3个包+5个KEY24

蓝狐网络复习资料2012年主模式=3次交换+4个状态+5个KEY+6个包阶段二协商数据连接的密钥，主要有两个任务：1.协商安全参数来保护数据连接。2.周期性的对数据连接更新密钥信息快速模式视图2、安全协议的介绍：一、AH：认证头部协议号（51）；3个主要的安全功能：数据完整性服务通过完整性校验和的值（ICV)来提供；1数据验证通过MD5散列提供；2保护数据回放攻击。通过序列号提供；3AH和NAT或者PAT不能联合工作，原因是：1PAT需要改变一个TCP或者UDP的外部头，而AH是一个第3层的协议。2NAT改变了源和目标的IP地址，但是AH在建立ICV的值时，使用了这些字段。二、ESP：封装安全有效载荷协议号（51）：在AH功能的基础上增加的功能：提供对用户数据的加密；2ESP的数据验证和完整性服务只包括ESP的头和有效载荷——不包括外部的IP头部。25

蓝狐网络复习资料2012年3、请说明下SSLVPNSSLVPN是以HTTPS为基础的VPN技术，它利用SSL协议提供安全机制保护远程访问的信息，提供机密性（对称密钥），完整性（散列函数），身份认证（数字证书），工作在传输层与应用层之间，使用的端口为TCP443号。为远程用户访问公司内部网络提供了安全保证a、利用ssl协议提供强大的安全机制用来保护远程访问用户的信息安全；b、利用对称密钥提供数据的机密性（des、3des、aes）c、利用哈希散列函数（MD5）提供消息的完整性；d、利用数字证书提供身份认证；SSLVPN的连接建立由4步组成：1.协商安全性能力；2.验证；3.密钥交换；4.密钥导出。4、比较下ipsecvpn（easyvpn）与sslvpnIpsecvpn（easyvpn）的特点是：a、cisco私有，；b、要部署vpn客户端（需要具有管理员权限）c、登陆及其访问的公司的信息遗留在客户机上有安全隐患；d、无法检查客户端主机的安全性；e、访问的控制粒度不够细，由于ipsec是在网络层实现的，对ip报文的内容无法识别，不能控制高层应用的访问攻击；f、在复杂的组网环境中，ipsec在有NAT设备时，需要支持NAT穿越技术；sslvpn的特点：a、支持各种应用协议；b、支持多种软件平台；(只要是支持SSL协议的浏览器都可以部署SSLVPN)c、支持自动安装和卸载客户端软件；d、支持对客户端主机的安全检查；e、支持动态授权；对NAT设备来说是透明的，只需要放通tcp的443号端口即可；f、sslvpn部署不影响现有的网络，5、VPN的类型：（1）GRE:通用路由封装。CISCO将GRE作为一种封装方法开发，使得一个协议的数据包可以封装进IP数据包，并且将封装后的数据通过IP骨干传输。（2）IPSec：它只支持TCP/IP协议，只支持单播，但它能处理下面3种主要问题：数据机密性，数据完整性，数据验证。（3）PPTP：点对点隧道协议（PPTP）原先是由微软开发的，可以支持所有的VPN连接类型，主要用于远程访问协议。（4）L2TP：第2层隧道协议（L2TP）是CiscoL2F和微软的PPTP的组合，它能在混合厂商网络的环境中运行。（5）MPLS：多协议标签交换（MPLS)指定了数据包是如何通过一种有效的方式送到一个目的地的，类似于在帧中继和ATM网络中流量是如何管理。（6）SSL：安全套接层（SSL)是一种现有的技术，可以用来加密通过WEB流量器连接发送的数据。6、比较ipsec、ssl、l2tp、pptp的优缺点？IPsec的优点：1、提供强大的安全机制，通过对称密钥加密用户数据，非对称密钥加密对称密钥，通过哈希散列实现完整性检测，通过预共享密钥和数字证书提供设备认证。26

蓝狐网络复习资料2012年缺点：1、只支持TCP/IP协议，只支持单播；2、在远程访问时不支持客户端主机的安全性检测；3、客户信息遗留在客户机上存在安全隐患，访问控制粒度不够细，对ip报文内容无法识别，不能控制应用层的访问请求。4、在复杂的组网环境中ipsec在有NAT设备时，需要支持NAT的穿越技术；SSLVPN的优点是：1、SSL协议提供了数据私密性、端点验证、信息完整性等特性。2、工作在传输层与应用层之间，控制粒度更细，使用的端口为TCP443号。3、SSLVPN支持各种应用协议，支持多种软件平台，为多厂商所使用。4、它提供自动安装和卸载客户端软件，5、支持对客户端主机进行安全检测，支持动态授权，6、SSLVPN的部署不会影响现有的网络，对NAT技术透明。缺点：1、在要自动安装客户端软件的主机上要有管理员权限；2、需要一定得带宽支持（以便下载插件）PPTP的特点：1、只支持IP网络；2、只能在两端点间建立单一隧道3、不支持隧道验证L2TP的优点：结合了PPTP协议以及第二层转发L2F协议的优点1、能以隧道方式使PPP包通过各种网络协议2、支持在两端点间使用多隧道3、可以提供包头压缩、提供隧道验证7、防火墙的流量定义：Inboundsessionisasessionfromalesssecuretoamoresecureinterface（进站流量是从低安全级别到高安全级别）Outboundsessionisasessionfromamoresecuretoalesssecureinterface（出站流量是从高安全级别到底安全级别）8、比较身份NAT，静态身份NAT和NAT豁免（1）身份NAT：自己转换成自己；动态的存在转换表项；单向通信。（2）静态身份NAT：自己转换成自己；存在永久的转换表项；双向通信。（3）NAT豁免：自己转换成自己；没有（隐藏）转换表项；双向通信。9、虚拟防火墙的特点：1、独立的安全策略；2、独立的配置文件；；3、每一个虚拟防火墙就是一个安全环境（securitycontext）4、不支持动态路由协议，VPN；5、系统防火墙除了配置failover外，不能做其他配置；6、区分数据包通过：唯一的端口、唯一的MAC、NAT；10、简单谈谈透明防火墙：1、依赖MAC地址进行数据包的转发；27

蓝狐网络复习资料2012年2、不能配置接口IP，只能配置一个管理IP和两端路由器在同一网段；（属于桥接模式）3、只能同时使用两个接口；4、不用更改已存在的网络规划（相当于一个二层的安全设备）5、对于非IP流量用以太ACL应用在两个接口上；6、三层流量要明确允许；7、ARP流量默认在两个接口上都被允许了可以通过arp-inspection（ARP审查）来控制；；8、不支持DHCP中继、IPV6、Qos、多播、VPN、动态路由协议（但允许路由协议穿越）11、防火墙的Failover（1）Failover方式：基于Cable、基于LAN；（2）Failover工作模式：A/S主备、A/A负载均衡;12、防火墙的分类：一、包过滤防火墙：控制ISO的三、四层，一般是通过ACL来匹配数据包内容以决定哪些包被允许和那些包被拒绝优点：1.能以很快的速度处理数据包2.易于匹配绝大多数的3、4层报头信息，在实施时很灵活；缺点：过多配置复杂2.不能阻止应用层的攻击3.不支持用户的连接认证4包过滤防火墙不能检测和阻止某些类型的TCP/IP攻击，比如TCPSYN洪水和IP欺骗。二、状态防火墙：控制ISO的三、四、五层，保持对连接状态的跟踪：内部始发的数据包在经过状态防火墙时会建立一个状态表项，允许流量的反馈，对于无状态的连接通过空闲计时器来解决。优点：1、弥补包过滤防火墙不能解决单向访问的问题；状态防火墙知道连接的状态；通常建立一个状态表，并使用该状态表只允许属于状态表中列出的当前连接的返回流量；2.状态防火墙不要求放通很大范围的端口号以允许返回的流量：状态表被用来确定是不是返回的流量，相反，过滤表用来过滤这些流量缺点：可能复杂难配置，不能阻止应用层攻击，不能提供连接认证，不是所有的协议都有状态；在维护状态表时会涉及到其他开销三、应用网关防火墙（AGF）控制ISO的三、四、五、七层，能截获用户的初始化连接请求并发送给用户一个认证信息的请求1.认证个人，而不是设备；2.黑客几乎没有时间来进行欺骗和实施DOS攻击；3.能监控和过滤应用层数据；4.能提供详细的日志连接网关防火墙（CGF）认证通过后，对每个用户数据都执行应用层检测，非常安全但处慢直通代理防火墙（CTP）认证通过后，对连接控制不感兴趣，只作3、4层过滤处理13、防火墙技术硬件架构种类？IntelX86架构、ASIC硬件加速技术、NP加速技术、ASIC+NP14、DMVPN的特点？1、能够根据已经存在的总部和分支的ipsec关系，在分支之间动态的建立VPN,具有很高的可扩展性;2、DMVPN应用MGRE能够端接多个分部；3、DMVPN应用NHRP（下一跳解析协议）通过NHRP的注册创建邻接数据库（隧道ip和物理ip的映射）；28

蓝狐网络复习资料2012年4、ipsec的实力化，根据分部通过向总部的NHRP查询得到对端分部的ip地址，进行自动ipsec协商，从而提供安全保护；15、防火墙的failover的健康检测？一、单元检测：检测failoverlink1、当一个单元在三次hello时间没有在failoverlink上收到消息，防火墙将会在所有的接口上发送ARP请求；（包括FailoverLink链路）2、当在failover接口上收到ARP响应，则failover不会失败；3、如果防火墙在failoverlink上没有收到ARP响应，但在其他接口上收到了响应，failoverlink标记失败，但不会切换，提示管理员尽快恢复failoverlink；4、如果在所有的接口都没有收到ARP响应，则执行failover切换；二、接口检测：产生网络流量，测试那个防火墙出现故障；1、链路/接口的up、down测试；2、网络活跃信息的测试；3、ARP检测；4、广播ping的检测；16、AAA的相关知识？、审计(accounting)组成；1、AAA是由认证(authentication)、授权（authorization）2、AAA的安全协议有：Radius，Tacacs+Radius：是远程身份验证拨入用户服务，承载于UDP；认证、授权端口为1645、1812（RFC）审计端口为（1646、1813）只加密口令信息、只支持单向认证（cisco私有）承载于TCP的49号端口；Tacacs+：终端访问控制器访问控制系统，加密的是整个AAA消息；17、GREOVERIPSEC和IPSECOVERGRE分别用在什么地方？GREOVERIPSEC用在所有数据都要加密保护，但里面既有ip数据，又有非ip数据，也有多播数据时，用GRE封装所有的数据，用ipsec封装GRE数据起到加密保护作用；IPSECOVERGRE用在只有一些敏感的数据需要加密，其他的多播数据等不用加密，可以通过IPSEC加密敏感数据，用GRE封装多播多协议数据。18、讲一下802.1X体系结构以及认证协议？1、802.1x体系结构包括三个部分，客户端、认证系统和认证服务器系统2、802.1x是一种基于端口的认证协议，结合EAP（扩展认证协议）来完成认证。19、802.1x中RADUIS和EAP有什么联系？EAP强制要求用户进行认证，但具体的认证过程是通过将认证消息发给RADUIS服务器来完成的。20．说说ping和traceroute的作用和工作原理？Ping命令用来测试网络的连通性，traceroute用类跟踪网络数据的流动过程。ping的原理就是从源端向目的端发出一定数量的网络包，然后从目的端返回这些包的响应，如果在一定的时间内收到响应，则程序返回包发出到收到的时间间隔，这样根据时间间隔就可以统计网络的延迟。如果网络包的响应在一定时间间隔内没有收到，则程序认为包丢失，结果显示为请求超时traceroute是把端到端的线路按线路所经过的路由器分成多段，然后以每段返回响应与延迟。如果端到端不通，则用该工具可以检查到哪个路由器之前都能正常响应，到哪个路由器就不能响应了，这样就很容易知道如果线路出现故障，则故障源可能出在哪里。另一方面，如果在线路中某个路由器的路由配置不当，导致路由循环，用traceroute工具可以方便地发现问题。即traceroute一端到另一端时，发现到某一路由器之后，出现的下一个路由器正是上一个路由器，结果出现循环，两个路由器返回的结果中29

蓝狐网络复习资料2012年间来回交替出现，这时往往是那个路由器的路由配置指向了前一个路由器导致路由循环了。21.简述二层交换机的数据包转发过程？（1）在数据准备封装时如果不知道目的端的mac地址，则二层上发ARP广播，交换机某个端口收到该ARP，它先读取数据中的源MAC地址，交换机学习并将mac地址与相应端口绑定（2）封转好目的端mac地址之后的数据包进入交换机某端口，交换机读取包头中的目的MAC地址，并在mac地址表中查找相应的端口；（3）如表中有与这目的MAC地址对应的端口，把数据包转发到该端口；（4）如表中找不到相应的端口则把数据包泛洪到除进端口外的所有其他端口上，当目的端对源做出回应时，交换机又可以学习一次目的MAC地址与哪个端口对应，在下次传送数据时就不再需要对所有端口进行广播了。交换机不断的循环这个过程，对于全网的MAC地址信息都可以学习到，二层交换机就是这样建立和维护它自己的地址表。22.请介绍一下vlan技术产生的原因，vlan的工作特性以及这些特性所带来的vlan的作用，有哪些vlan的划分方法？Vlan技术产生的原因：没有vlan技术以前二层交换机不能阻隔广播域，而vlan技术产生就实现局域网业务隔离，将广播流量限制在仅需要该广播的区域内。这样就避免了大规模的网络中不必要广播对不需要该广播的网络设备的危害。路由器可以阻隔广播，但是路由器相对交换机的快速转发有性能上的瓶颈，转发效率慢。大量的未知单播流量和无意组播流量对网络设备的危害没有vlan技术，给各业务端带来安全隐患难以管理和维护各业务段Vlan的工作特性：Vlan是一种逻辑广播域，可以跨越多个物理lan网段广播不会在vlan之间转发，而是限制在各自的vlan中Vlan之间需要三层设备才能互相通信Vlan的作用：可以限制广播可以分组设备，不同vlan之间的设备相互不可见Vlan划分方法：基于端口划分vlan基于mac地址划分vlan基于网络层协议划分vlan根据ip组播划分vlan根据子网划分vlan根据用户认证授权划分vlan请解释一下什么是三层交换机？它相对于路由器而言有什么优点？三层交换机可不可以取代路由器，23．为什么？30

蓝狐网络复习资料2012年三层交换机就是集成了二层交换功能和三层路由功能的交换机，相对于路由器而言，三层交换机利用一次路由、多次交换的工作原理，拥有更高的转发效率，而单臂路由每次都要经过路由而且是单一一条物理链路传输数据，当数据量大时单臂路由就会转发缓慢、延迟，三层交换是基于硬件转发机制，而单臂路由是基于软件转发数据，所以三层交换机拥有更高的转发效率，另外三层交换机拥有更多的端口可以扩展更多的子网，三层交换机在价格上更便宜，性价比更高。尽管三层交换机拥有这么多明显的优势，但是三层交换机在某些功能上是不及路由器健全，不及路由器强大的。比如说连接广域网的时候路由器的NAT等功能，三层交换机是不具备的。所以就有三层交换机是局域网设备，路由器是广域网设备的说法。24．简述DHCP的四个过程？1．客户端以广播的方式发DHCPDiscover发现DHCP服务器2．DHCP服务器收到pc发来的DHCPDiscover，查找ip地址池，以单播的方式发送一个DHCPOffer提供一个可租用的ip地址3．客户端收到服务器发来的DHCPoffer后，以广播的方式向服务器发送一个DHCPrequest请求，另外一通告其他DHCP服务器（如果有的话）已经准备采用该ip地址。4．服务器收到客户端发来的DHCPrequest请求后，以单播的方式向客户端发送一个DHCPAck确认。并建立一个ARP条目记录该ip地址与客户端mac地址匹配。客户端收到DHCPAck后，用DHCP服务器提供的ip地址在广播域内发arp请求，如果没有回应的话就采用该ip地址。25．简述DHCP中继的过程？DHCP中继过程就是DHCP中继设备将客户端发来的广播以单播的方式转发给DHCP服务器，并将DHCP发来的单播以广播的方式转发给客户端26．详细说明三层交换转发数据包的过程？三层交换机如何判断对它做二层转发还是三层转发？三层交换技术包含传统的MLS技术和基于拓扑的思科的CEF技术传统的MLS技术：路由器将进入路由器的数据流的第一个数据包转到三层交换机中的路由模块进行路由，拆掉二层的帧头，重写二层帧头。三层交换机的asic获悉二层重写信息，并形成一张mls条目存入mls表中，该数据流的后续数据包则直接根据目的ip地址段查找mls条目进行二层重写以及数据转发。思科的CEF技术：思科快速转发技术是三层交换机的路由模块将整个拓扑网中的所有路由信息下发到三层转发模块，形成一个FIB表和一个邻接关系表，FIB表是路由表的一个镜像。当数据包进入三层交换机的时候，直接查看FIB表和临界关系表进行二层重写以及数据转发三层交换机根据进入交换机的数据帧的目的mac地址判断做二层转发还是三层转发，如果目的mac地址是该交换机则做三层转发，如果不是该交换机的mac地址则进行二层转发。31