1、SN交換機ACL及簡單路由操作（網(wǎng)關(guān)+靜態(tài)路由）TCP/IP協(xié)議概述OSI七層協(xié)議與TCP/IP的對應(yīng)ApplicationTelnet FTP, e-mail. etc.Nehvork IPJCMP.IGMPTransportjTCP.UDPLink device dnver and interlace cardRgwt 1.1 The four layers of the TCP IP protocol suite.TCP/IP的鏈路層包含了 OSI的物理層和數(shù)據(jù)鏈路層，應(yīng)用層包含了 OSI 的會話層、表示層及應(yīng)用層。網(wǎng)絡(luò)協(xié)議分為層（layer），每層實現(xiàn)不同的功能。TCP/IP協(xié)議棧不僅

2、僅包含TCP和IP，它包含一系列協(xié)議，TCP、IP只是 其中兩個最主要的協(xié)議。網(wǎng)絡(luò)層也稱為互連網(wǎng)層、三層或IP層，處理數(shù)據(jù)包在網(wǎng)絡(luò)間的轉(zhuǎn)發(fā)，數(shù) 據(jù)單位為數(shù)據(jù)包（packet），路由器及L3交換機處于此層；包括的協(xié)議有IP， ICMP，IGMP 協(xié)議等。IP詳解IP地址分類IP地址也叫Internet address，由32位二進制數(shù)組成，分為兩部分：網(wǎng)絡(luò)標(biāo) 識+主機標(biāo)識，由網(wǎng)（Net）或子網(wǎng)（Subnet）掩碼（MASK）來定位網(wǎng)絡(luò)標(biāo)識和主 機標(biāo)識，共分為五類：A 類：0 xxxxxxx yyyyyyyy yyyyyyyy yyyyyyyy，MASK是8位，網(wǎng)絡(luò)標(biāo)識從1-127開始B 類 10

3、 xxxxxx xxxxxxxx yyyyyyyy yyyyyyyyMASK是16位，網(wǎng)絡(luò)標(biāo)識從128-191開始C 類：110 xxxxx xxxxxxx xxxxxxxx yyyyyyyyMASK是24位，網(wǎng)絡(luò)標(biāo)識從192-223開始D 類：1110yyyy yyyyyyyy yyyyyyyy yyyyyyyyMASK是4位，網(wǎng)絡(luò)標(biāo)識從224-239開始-組播網(wǎng)段E 類：11110yyy yyyyyyyy yyyyyyyy yyyyyyyyMASK是4位，網(wǎng)絡(luò)標(biāo)識從240-247開始-暫未用ClassRangeA0.000 to 127.255255.255B to 55C to 55D

4、to 55E24000.0 to 247.255.255255Figure 1.6 Ranges for different ckisses of IP addresses.私有網(wǎng)段(Private Network) (RFC 1918)即不能到公網(wǎng)上去進行路由(non-routable)，因為公網(wǎng)上的路由器、防火 墻的基本原則是對私有網(wǎng)絡(luò)進行過濾，即對IP頭在包含私有網(wǎng)段IP地址的 包采用丟棄的原則。55 (A 類地址)55 (B 類地址，但 MASK 為 12位)55 (C 類地址，但 MASK 為 16位)鏈路本地地址(Link-local)(RFC3330)當(dāng)一個主機通過DHCP獲取I

5、P地址時，如果找不到DHCP服務(wù)器，那么會 自動配置一個地址，其地址段為：/16，對此地址的限制比私有 網(wǎng)絡(luò)地更加嚴(yán)格，絕對不能讓其通過一個路由器。超網(wǎng)(Supernet)和子網(wǎng)(Subnet)CIDR(Classless Inter-Domain Routing)機制可合并網(wǎng)絡(luò)， 如 /16。Subnet Mask子網(wǎng)掩碼機制把主機位變?yōu)樽泳W(wǎng)位使網(wǎng)絡(luò)細分，如IP頭解析IP首部IP數(shù)據(jù)報的格式如圖31所示 普通的IP首部長為？。個字節(jié)，除非含有選項字段.015 16311，4位首部版本 任度睡:服務(wù)兆型CTOSJM位.官長盛，字節(jié)放1J Lm字節(jié)JL.區(qū)位標(biāo)識%13位片陶誓tT-齒 |R位生存

6、肘間(TTL)R位協(xié)議部使首鄙欄琶和史位源P地址32也目由P地址7選項Eu果有),圖對據(jù)報梏式及百部中的務(wù)字段IPV4包頭抓包分析:L EtherreL IT. Src： cc：00：13：18：00i00 (cc：00：13 iis00：OO)s Dst: CC：01：13：DC：00：00 Cc C 01：15：OC：00 i 00) ffi Destination: cc:01:13-:0c:00:00 (cc:01:13:0c:0000)+ source： CC100：13 118:0000 (Ct ;00 M3 1 LB J OOi 00)Type: IP (OxOSOO)i二 in

7、ternet protocolsrc: osr i 1.1.1-2 (1-l.lu 2)Version: 4length： 2S byres；ti Differentiated Services Field: 0 x40 (IDSCP 0 x10 class Selector 2; ECN： 0 x00Total Lengthy 100Identification,: OxOGOf (15)田 Flags； 0 x00Fragmer offsets 0T-i m-e to live: 255Protocol:工o俾(0 x01)田 Header checksum:0 x253c correct

8、source: 1-1.1.1 ()Destination: 1,1.1B2 (lrl.1,2)曰 apt 1 orijs: (5 byres)日 Strict source route (7 bytes)po1 nicer :2 - (current)EQL+ internet CantrQl message Protocol版本號共4位，IPV4或 IPV6；頭長度如果沒有選項，長度為20個字節(jié)，最大60個字節(jié);TOS共8位，前3位為優(yōu)先級，接著4位為TOS，現(xiàn)已基本不用，只是有時用于動態(tài) 路由協(xié)議OSPF和IS-IS的路由選擇之用；取而代之的這個字段被改為DSCP，以下是DSCP值，其中

9、仍然包括了 TOS的優(yōu)先級(CS1-CS7,DF):1751-uutl (config cmap):matchip dscp ?9 s Src: 1.1.1-1 (1.1- 1-1J , tssr:2 (1.1-1. 2) :0 Ccc:01 11:7c:GO：:00)Type: IPv6 (oxeedd)Internet PrqtOEol Version 6. Sry; 007 : ibc : def :12 ;ceDl :18f f :f e?cOQ07 : def :13 : ceOl:f e?c: D) Rffi CMDOO OOOO .J + . a P p a . = Traffi

10、c class: 0 x00000000MOOOUOO G000 0000 0000 - Flowlabel : 0 x00000000pay! oad lerngch: 60Next he&der: icmpv6 (58)Hop lifflil: &4Source: 3007: abc : def :12 ceOl :16f f :f e7c :O (3007: abc: def : 12: ceOl :16f f:f e7c : D)Source SA me： cc;01:16:7c:00:00 (cc:01:16:7c:00:00)esqtfnac 1 an: 3007:abcsdef；

11、i2：CE00：ff：fei8:0 C3007:abc：def：i2ic&oo：9fffeis:o)Destination SA mac： cc;00：09：18:00:00 Ccc00:09：18:00:00jjSource GeatP5： unknownOestinat ion GeoIP: Unknown internet Control Message Protocol v62.7單播、廣播和組播由數(shù)據(jù)報文中日的地址決定。單播(Unicast)報文中日的地址主機標(biāo)識不為全1,如0/24廣播(Broadcast)報文中日的地址主機標(biāo)識為全1，如55/24 TOC o 1-5 h z 受限

12、廣播：55/0網(wǎng)段廣播：55/8子網(wǎng)廣播：55/16所有子網(wǎng)廣播：55/16組播(Multicast)報文中日的地址為 D 類 1110yyyy yyyyyyyy yyyyyyyy yyyyyyyyIP首字段為224239,有關(guān)組播詳細解析另見IBM交換機與組播IGMP。路由3.1概述能夠進行網(wǎng)絡(luò)間數(shù)據(jù)包傳遞的設(shè)備叫網(wǎng)關(guān)、路由器或三層設(shè)備，具有路由 功能的交換機稱為L3交換機；路由器與主機都有路由表，但不同的是，主機中的路由表是用于本身發(fā)送 包文的，而路由器是用于轉(zhuǎn)發(fā)包文的。路由表條目主要包括目的主機地址或目的網(wǎng)段地址，以及下一跳地址(或 叫網(wǎng)關(guān)地址一gataway)。路由器對路由的選擇是逐跳

13、進行的，即hop-by-hop basis，路由表匹配 的優(yōu)先順序為明細優(yōu)先：主機地址B）網(wǎng)絡(luò)段地址缺省網(wǎng)關(guān)(default gateway，即選擇路由 / )3.2路由的分類按ASIGP(Interior Gateway Protocol)RIP V1/V2OSPF V2/V3IGRP/EIGRPIS-IS;EGP(Exterior Gateway Protocol)EGPBGP: IBGP/EBGP按動態(tài)和靜態(tài)A)直連(connected)B）靜態(tài)（static）C）動態(tài)（dynamic）a）矢量路由（vector）： RIP.b）鏈路狀態(tài)（Link state） : OSPF, ISIS

14、按有類無類A）無類（classless）:RIP V2, OSPF.B）有類（classful） :RIP V1, IGRP3.3路由協(xié)議的管理距離 每種路由協(xié)議都有一個AD (Administrative Distance)值，越小越優(yōu)先。ProtocokAdministrative DistancesConnected8-Static Routes14EIGRP summary RoutesExternal BGP20-internal EIGRP9%1GB1103OSPF11霽REP12眼:EGP140:ODR168External EiGRP178、.nternal BGP200Unk

15、nowns2553.4靜態(tài)路由靜態(tài)路由也是路由的一種，只有三層交換機才能夠支持，靜態(tài)路由的管理距離是1,除直連路由外，它缺省優(yōu)先于其它動態(tài)路由。IBM交換機上的靜態(tài)路由 配置靜態(tài)路由命令G8052(config)#ip route ?A. B. C. D Destination IP addressecrnphash healthcheck interval retriesECMP Hash roechanisinEnable static route healthcheckECMP roulE health check ping intervalNumber of retries for E

16、CMP health checkG8052(config)#ip route 20. 20. 20. 0 255. 255. 255. 0 10.10. 10. 254注：靜態(tài)路由下一跳地址（gateway）的網(wǎng)段一定要在交換機的路由表中出現(xiàn)（一般為直連的網(wǎng)段）。檢查靜態(tài)路由G8052Cconfig)#sh ip route staticCurr已nt static rout已m：Destination MaskGatewayIf ECMF20. 20. 20. 0 WSR W5R W5R 010.10.10. 254ECMP health-ch已c：k ping interval: 1ECM

17、F health-ch已ck r已tri已m number: 3ECMP Hash Mechanism： dipsipGateway h已althcheck： disabled靜態(tài)路由健康檢測（healthcheck）缺省時靜態(tài)路由healthcheck關(guān)閉，打開后，系統(tǒng)會對靜態(tài)路由的gateway地址進行ping測試，當(dāng)gateway不可達時，該靜態(tài)路由不會進入路由表。啟用靜態(tài)路由健康檢測：G8052(config)#ip route healthcheck wait .G8052(canfig)#Aug 5 14J24：28 G8052 NOTICE system： Static rout

18、e gateway 10.10.10；254 is downCurrent static routes:Best inat ionMaskGat ewayIf ECMP20. 20. 20, 025S. 255. 255, 010. 10. 1CI. 254ECMP health-check ping interval: 1ECMP health-check retries number: 3ECMP Hash Mechanism： dipsip|Gat已w日v h己位IthchEck: Enabled靜態(tài)路由/24沒有進入路由表:GS0K(configirtsh ip routeSt atu

19、s code： + - bestLes：inationMaskGat ewayTypeTagMetric If*0. 0. 0, 00.0, 0.0indirectstalic127申W. 10.10. 0255. 255. 255. 010.10. W.ldirectfi xed210.10.10,1255. 255. 255. 2&510.10.10,1localaddr210,10.10.255255. 255. 2SS. 25555braadcastbroadcast2*127. 0.0. 0255.企 0. 00. 0, 0. 0martianmartian 路由跟蹤G8052(co

20、nfig)#traceroute 192. 168. 50. 52host 192. 168. 50. 52, max-hops 32, delay 2048 ms 已 c：1 192.16S. 50. 521 msTrace host responded.配置等價靜態(tài)路由的負載均衡算法IBM交換機支持靜態(tài)等價路由ECMP，最多為5條，負載均衡ECMP Hash算法缺省為源日IP (dipsip),用下面命令修改:G8052(config)#ip route ecmphash ? dipsip ECMP Hash based on dipsip sipECMP Hash based on si

21、p3.4.2在Cisco路由器及PC服務(wù)器上靜態(tài)路由的配置 在Cisco路由器上Rl(config)#ip route 192. 168. 2. 0 255. 255. 255. 0 10.10. 10. 2 在PC機上配置：Route ADD MASK 查看：Route print注：靜態(tài)路由在路由器和交換機上實現(xiàn)ECMP，但在PC上不能。3.5缺省路由3.5.1概念缺省路由(default gateway)是當(dāng)三層網(wǎng)絡(luò)設(shè)備收到數(shù)據(jù)后，在路由表 中沒有該數(shù)據(jù)目的地址的明確路由時，就用缺省路由對該數(shù)據(jù)進行路由轉(zhuǎn)發(fā)。缺省路由可以是用手工配置 的靜態(tài)路由，也可通過路由協(xié)議從其它三層網(wǎng)絡(luò) 設(shè)備學(xué)習(xí)得

22、到。一般情況下缺省路由不能進行ECMP負載均衡，只是當(dāng)激活的 缺省路由失效后，備用的缺省路由進 行浮現(xiàn)。IBM交換機的缺省路由 IBM交換機缺省路由介紹IBM 交換機支持4條缺省路由(default gateway 1-default gateway 4)， 系統(tǒng)提供缺省路由跟蹤檢測功能，當(dāng)缺省路由的下一跳地址不可達時，缺省 路由不生效。缺省路由作用在用戶數(shù)據(jù)或管理數(shù)據(jù)，根據(jù)不同的交換機類型，其缺省路 由作用不同。對于作用于用戶數(shù)據(jù)的缺省路由，第一條缺省路由優(yōu)先，當(dāng)?shù)?一條缺省路由失效后，第二條浮現(xiàn)取而代之。以下是IBM不同類型交換機的 缺省路由分配。G8052：G8052 Cconfig)#

23、ip gat eway ? IP data gat eway indie已mG8124:G8124E(config)#ip gateway ? IP data gat已way indices IP marLagement gateway登 IP manag已iDEiit gat 已點善G8264:G8264-1(config)#ip gateway ? IP data gateway indices IP managam已nt gateway.EN2092Default gateway 1-3： IP data gateway indicesDefault gateway 4: IP inte

24、rnal management gateway(IP 128 MGT1).EN4093Default gateway 1-2： IP data gateway indicesDefault gateway 3： IP external management gateway(IP 127 EXTM)Default gateway 4： IP internal management gateway(IP 128 MGT1)IBM交換機缺省路由配置命令. 第一種系統(tǒng)專門建缺省路由的命令：ip gat etvay 1 address 172. 16. 15. 1 ip gat eway 1 enabl

25、eG8052(config)f*ship routeSt atus code:本-bestDestinationMaskGatewayTypeTagMetric If* 10,10,10,0255.255. 255.0 W, 10, U，1direct fixed2+ 255,255.255.255 localaddr2* W. 10.10. 25525B, 255. 255, 255 1G, 10,10. 255 broadcast broadcast2注：用此命令建立缺省網(wǎng)關(guān)，系統(tǒng)建康檢查不能關(guān)掉，即當(dāng)下一跳地址不可 達時，缺省路由不進入路由表。第二種用系統(tǒng)一般建靜態(tài)路由命令G8264-1

26、 Cconfig)#ip route 0. 0. 0. 0 0. 0. 0. 0 192. 168. 5.渤注：用此命令建立缺省網(wǎng)關(guān)，系統(tǒng)建康檢查可以關(guān)掉，此時當(dāng)下一跳地址不 可達時，缺省路由仍可進入路由表。另外注意兩種配置方法不能同時使用。G8052 (config)#ip route 0, 0. 0, 0 0. 0. 0. 0 10. 10. 10. 254Error: Cannot configure both static default route and default gateway.VRRP4.1基本作用：VRRPVirtual Router Redundancy Protoc

27、ol，是 IETF 的公有協(xié)議，而HSRP是Cisco的私有協(xié)議，它在一個LAN中提供路由器的冗余，即當(dāng)一個網(wǎng)絡(luò)中有兩個或多個網(wǎng)關(guān)路由器 時，通過VRRP或HSRP建立一個虛擬的網(wǎng)關(guān)路由器。VRRP路由器和虛擬路由器VRRP路由器是指運行VRRP的路由器，是物理實體，虛擬路由器是指VRRP 協(xié)議創(chuàng)建的，是邏輯概念。一組VRRP路由器協(xié)同工作，共同構(gòu)成一臺虛擬路 由器。該虛擬路由器對外表現(xiàn)為一個具有唯一固定IP地址和MAC地址的邏輯 路由器。4.3路由器的兩種角色處于同一個VRRP組中的路由器具有兩種互斥的角色：主控路由器(Master) 和備份 路由器(Backup)，一個VRRP組中有且只有

28、一臺處于主控角色的路由 器，主控路由器負責(zé)對ARP請求用該MAC地址做應(yīng)答?？梢杂幸粋€或者多個 處于 備份角色的路由器。在Cisco的HSRP中的角色為Active和Standby。4.4選擇策略VRRP協(xié)議使用選擇策略從路由器組中選出一臺作為主控，負責(zé)ARP響應(yīng) 和轉(zhuǎn)發(fā)IP數(shù)據(jù)包，組中的其它路由器作為備份的角色處于待命狀態(tài)。當(dāng)由于 某種原因主控路由器發(fā)生故障時，備份路由器能在幾秒鐘的時延后升級為主 路由器。由于此切換非常迅速而且 不用改變IP地址和MAC地址，故對終端 使用者系統(tǒng)是透明的。VRRP的選擇策略是先比較優(yōu)先級，其優(yōu)先級范圍為(0-255)缺省值為100；如果相 同再比較接口的IP

29、，大則優(yōu)先。VRRP的報文VRRP控制報文只有一種：VRRP通告(advertisement)。它使用IP多播數(shù) 據(jù)包進行封裝，組地址為8，發(fā)布范圍只限于同一局域網(wǎng)內(nèi)。這保 證了 VRID在不同網(wǎng)絡(luò)中可以重復(fù)使用。為了減少網(wǎng)絡(luò)帶寬消耗只有主控路由 器才可以周期性的發(fā)送VRRP通告報文。備份路由器在連續(xù)三 個通告間隔內(nèi) 收不到VRRP或收到優(yōu)先級為0的通告后啟動新的一輪VRRP選舉。以下是一個 IP所有者發(fā)出的VRRP報文：Ethernet llr src Ietf-vrrp-virtual -rauxer-vrzd_01 OT :00:5e: DO:G1:01) s Dst: lP4:as_0

30、0：00:12 (01 ：00 ： 3e:00:00:12)T Internet Protocol P 5rc;(10rl.lrl)r Dst：;0.16 (22-i.0.0.18)version 4Header 】枳ngihi: 2D byresA Differentiated Services Field; OxcO (DSCP 0 x30； Class Seiector 6; ECN： 0 x00JTotal L電40idenrificarion: QxMOO (0)Flags: OkOGf且gm電nc offsets 0Time ro live 255PratocDlr RRP (隊和

31、)回 Header checksum: Oxcf91 fcwrectjsource: J.Orlrl.1 (10.1.1/1)Destination: 224.0.03 (2240.0.ISJA Virtual Router Redundlancy Protocol-vertlon packx xype 1 (Advtr-dseni：)Virrual Rtr 皿 1Priority: 2S5 (This VRRP router owns the virtual routerBs IP addressees) count ip Addrsi 1Atirh Type: Nq AtirhenTica

32、riwi (0)Adver Int: 1Checksum ： OxcMf9 LtOrreCtif Address J.CLMJ.,1 (10,1,. 1.1)從以上抓取的報文看到，VRRP是基于IP上的協(xié)議，其IP協(xié)議號為0 x70, 其組播地址是8。VRRP虛擬路由器的標(biāo)識和地址一個VRRP路由器有唯一的標(biāo)識：VRID，范圍為0255。這里的VRID等價 于一個HSRP的組標(biāo)識符。虛擬路由器對外表現(xiàn)為唯一的虛擬MAC地址，地址的格式為 00-00-5E-00-01-VRID。IP地址可以取本網(wǎng)段內(nèi)的一個空閑地址，也可用一個物理路由器的地址 （HSRP不能），這個物理路由器被稱為IP所有者，它

33、也自動成為主控路由器-Master，因為IP所有者的優(yōu)先級自動被置為最大值255。主控路由器Master負責(zé)對ARP請求用該MAC地址做應(yīng)答。這樣，無論如 何切換，保證給終端設(shè)備的是唯一一致的IP和MAC地址，減少了切換對終端設(shè)備的影響。IBM交換機VRRP配置rout er vrrpenableivi r t ual -r out er -i d 1 interface 13 priority 101 address 10. 1. 13. 254 next-hop 10.1.13. 253 enable track interfac已svirtual-router 1 virtual-rou

34、ter 1 virtual-router 1 virtual-router 1 virtual-router 1 virtual-router 1 virtualr outer 1配置好的日志：Aug 6 10:57:16 G8N64T WTICE vrrp： virtual routerIS. L 13354 is now BACKUP,G8264-2(canfigvTrp)#Aug 6 10:57:20 G8264-2 NOTICE virp： virtual router10. 1.13. 254 is now MASTER.G8264-2(canfig)#sh ip vrrpCurre

35、nt VRRP settings: OMCurrent VRRP hal d off t iine: 0ICurrEnt YKRP Tracking settings:I vrs 2, ifs 2, portm 2, nhopm 2Current VRRP Virtual Router Group:vrid 1, if 1, prlo 100adver 1, disabledpreem enabled, predelay 0, fast -advertisement disabled track nothingCurrent VRRF virtual router settings:1 ：| vrid 1, 10.1.13. 25虹 if 13, prio 101J adver enabled preem enabled predelay (j* fast-advertisement disabled track ifs next hop ad dr 10. 1, 13. 253, method icmp, int erval 2, retry 3082642(config)# sh i