TCP/IP协议基础知识#

这一部分要求掌握TCP、UDP、ARP、IP、NAT、Telnet、FTP 和 DHCP 的技术原理和配置。

1. TCP（Transmission Control Protocol）和UDP（User Datagram Protocol） ：

   • TCP：可靠的、面向连接的协议，确保数据的可靠传输，提供错误检测和重传机制。
   • UDP：无连接的协议，传输速度快，但不保证数据的可靠性，用于实时通信和流媒体等场景。

2. ARP（Address Resolution Protocol） ：

   • 用于将IP地址映射到MAC地址，使得在局域网中设备可以通过IP地址找到对应的物理硬件地址。

3. IP（Internet Protocol） ：

   • 负责在网络中传输数据包，将数据包从源地址路由到目标地址。IPv4和IPv6是两种常见的IP版本，用于定义数据包如何在网络中传输和寻址。

4. NAT（Network Address Translation） ：

   • 允许多个设备共享单个公共IP地址的技术，将私有网络中的IP地址映射到公共IP地址，提高了网络安全性和IP地址利用率。

5. Telnet ：

   • 一种远程登录协议，允许用户通过网络远程访问和控制远程主机。传输的数据不加密，安全性较差，因此现在较少使用。

6. FTP（File Transfer Protocol） ：

   • 用于在网络上传输文件的标准协议，允许用户在客户端和服务器之间传输文件。

7. DHCP（Dynamic Host Configuration Protocol） ：

   • 自动分配网络设备IP地址、子网掩码、默认网关等网络配置信息的协议，简化了网络管理，使得设备可以自动获取所需的网络配置信息。

其中，DHCP的工作原理如下：

客户端会先进行广播，找到服务器端后，服务器端会单播回复分配IP地址，之后进行确认询问。

VLAN#

生成树STP#

生成树(Spanning Tree) 是解决冗余网络的环路问题的一种方法，通过选取一个指定的根和端口，其他端口阻塞的方式来解决环路问题。

1. 桥ID与根桥 ：每个交换机都有唯一的桥ID，通过比较优先级和MAC地址选取根桥。
2. 开销 ：每个接口维护开销值，用于计算到达根桥的路径开销。
3. BPDU ：用于交换配置信息，包括BID、Cost和端口ID等参数。
4. STP过程 ：包括根桥选取、根端口选取、指定端口选取和非指定端口的阻塞。其中：
   • 根桥： BID最小的交换机。
   • 根端口： 离根桥最近的端口。可以有多个。
   • 指定端口： 根桥所有参与生成树选举的端口。
5. 端口状态 ：包括禁用、阻塞、侦听、学习和转发状态，用于控制数据流向。

例如如下的网络拓扑中。

1. 选择根桥，找到BID最小的。它们优先级都一样的情况下，SW1的MAC地址最小，所以SW1为根桥。
2. 选择根端口，即其他交换机中与根桥距离最近的端口。如图中与SW1相连的SW2的GE 0/0/1端口和SW3的GE 0/0/1端口为根端口。
3. 找到指定端口，首先根桥上的所有端口都是指定端口。故SW1的GE 0/0/0和GE 0/0/1均为指定端口。接下来计算其他端口收到的BPDU最优结果。SW2的GE 0/0/2端口接收到 SW3 的配置 BPDU，比较它们的BID，发现SW2的BID更小，同理在SW3中比较SW2和SW3，得到SW2的GE 0/0/2端口为指定端口。
4. 最终确定非根非指定端口，非指定端口的SW3的GE 0/0/2端口为预备端口。

以太网链路聚合与交换机堆叠、集群#

设备之间存在多条链路时，由于 STP 的存在，实际只会有一条链路转发流量，设备间链路带宽无法得到提升。而使用 以太网链路聚合Eth-Trunk (链路聚合)，通过将多个物理接口捆绑成为一个逻辑接口可以在不进行硬件升级的条件下，达到增加链路带宽的目的。

总的来说， 链路聚合技术是一种将多条物理链路捆绑成一条逻辑链路的技术，可以提高网络的带宽、可靠性和负载均衡。 链路聚合技术有两种模式：手工模式和LACP模式。

• 手工模式是指不使用任何协议来建立和维护链路聚合，而是由人工配置。手工模式的优点是简单易用，不需要设备支持LACP协议，缺点是不能及时检测到链路故障、错连等问题，也不能实现跨设备的链路聚合。
• LACP模式是指使用链路聚合控制协议（LACP）来自动协商和管理链路聚合。它可以通过发送和接收LACPDU报文来交换设备的信息，如系统优先级、MAC地址、接口优先级、接口号等，从而确定哪些接口可以加入到同一个聚合组中，以及哪些接口是活动的或备份的。LACP模式的优点是能够动态地调整和恢复链路聚合，提高网络的稳定性和可靠性，也能够支持跨设备的链路聚合，缺点是需要设备支持LACP协议，以及配置更加复杂。

对于堆叠和集群：

• 堆叠( iStack )是一种将多台支持堆叠特性的 盒式交换机 通过堆叠线缆连接在一起，从逻辑上虚拟成一台交换设备的技术。
• 集群(Cluster Switch System， CSS )是一种将两台支持集群特性的 柜式交换机 通过集群线缆连接在一起，从逻辑上虚拟成一台交换设备的技术。

iStack和CSS的区别主要在于适用的交换机类型、合并的数量、连接的方式和实现的细节。

ACL技术#

ACL（Access Control List）是一种访问控制列表，是由一条或多条规则组成的集合，用于对网络中的报文流进行精确识别和控制。ACL可以实现以下功能：

• 提供安全访问：使用ACL可以指定用户访问特定的服务器、网络与服务，从而避免随意访问的情况。
• 防止网络攻击：使用ACL可以封堵高危端口，从而阻止外部网络的恶意流量入侵1。
• 提高网络带宽利用率：使用ACL实现对网络流量的精确识别和控制，限制部分网络流量从而保障主要业务的质量。

广域网技术#

广域网是指连接不同地区局域网的网络，通常所覆盖的范围从几十公里到几千公里。它能连接多个地区、城市和国家，或横跨几个洲提供远距离通信，形成国际性的远程网络。

PPP(Point to Point Protocol) 是一种广域网数据链路层协议，主要用于在全双工(full-duplex)的链路上进行 点到点 的数据传输封装。PPP提供了安全认证协议族PAP(密码验证协议)和CHAP(挑战握手认证协议)，以及各种网络控制协议，如IPCP等。

PPPoE(PPP over Ethernet) 是一种在 以太网上建立广域网连接的协议 ，它把PPP帧封装到以太网帧中，使以太网网络中的多台主机连接到远端的宽带接入服务器。PPPoE集中了PPP和以太网两个技术的优点，既有以太网的组网灵活优势，又可以利用PPP协议实现认证、计费等功能。PPPoE会话的建立过程有发现阶段、提供阶段、会话建立阶段、认证过程、会话阶段和会话终止阶段。

VPN技术#

VPN （Virtual Private Network） 是一种虚拟专用网络，它可以在公共网络上建立安全的隧道，实现不同地点的用户或网络之间的私密通信。 VPN的主要功能有：

• 提供数据加密和认证，保护数据的机密性和完整性。
• 提供网络地址转换，解决地址空间重叠和地址不足的问题。
• 提供网络拓扑隐藏，防止网络结构和资源被暴露。
• 提供网络优化和负载均衡，提高网络性能和可用性。

MPLS VPN（Multiprotocol Label Switching Virtual Private Network）是一种基于MPLS技术的VPN，它利用标签交换机制，在MPLS网络中建立虚拟专用网。

GRE（Generic Routing Encapsulation）是一种通用路由封装协议，它可以将一种协议的报文封装在另一种协议的报文中，实现异种网络的互通。

网络安全技术#

AAA是Authentication（认证）、Authorization（授权）和Accounting（计费） 的简称，是网络安全的一种管理机制和管理框架，提供了认证、授权、计费三种安全功能。

它提供了授权部分用户访问指定资源和记录这些用户操作行为的安全机制。因其具有良好的可扩展性，并且容易实现用户信息的集中管理而被广泛使用。在实际应用中，最常使用RADIUS（Remote Authentication Dial-In User Service）协议。

AAA支持的授权方式有：不授权，本地授权，远端授权。

1. 不授权 （no authorization）：该授权方式不对用户进行任何权限验证，因此用户可以访问所有资源和执行所有操作。这种授权方式通常用于测试环境或者开放的公共资源，不适用于安全性要求较高的系统。
2. 本地授权 （local authorization）：该授权方式通过在本地维护用户的权限信息来验证用户是否有权限访问某个资源或执行某个操作。本地授权通常在设备或者服务器上进行，是一种简单、快速、易于管理的授权方式。但是，由于权限信息存储在本地，因此安全性较低。
3. 远端授权 （remote authorization）：该授权方式通过与远程授权服务器进行通信来验证用户是否有权限访问某个资源或执行某个操作。远程授权通常使用标准的协议（如RADIUS、TACACS+等）进行通信，可以实现跨网络、跨设备的授权功能。远程授权的优点是安全性高、可扩展性好，但是需要维护授权服务器和网络连接等环境。