目录
扩展
<Huawei>save一保存配置
<Huawei>reset ospf process
Warning: The OSPF process will be reset. Continue? [Y/N]: 重启设备，重置OSPF
<R2>ping -a 1.1.1.1 192.168.3.1 指定源和目标
原IP 目标IP
[Huawei-GigabitEthernet0/0/1]display ip interface brief 查看接口配置信息
[Huawei]display this：查看该位置配置的一些指令
[Huawei]display current-configuration 查看设别所做的所有配置
[R1]display ip routing-table protocol static -查看路由表中通过静态写的路由
[r2]display ospf peer 查看邻居表
[r2]display ospf peer brief 查看邻居简表
[r3-ospf-1-area-0.0.0.1]display ospf lsdb 查看目录 （LSA）
[r3-ospf-1-area-0.0.0.1]display ospf lsdb router 2.2.2.2 查看某一个路由器的LSA信息
[r3-ospf-1]display ip routing-table protocol ospf 查看过滤路由器通过OSPF学到的路由
[r1-GigabitEthernet0/0/0]display acl 2000 查找创建ACL
<r2>display nataddress-group 查看那些地址可以被使用
交换机
1.创建VLAN
[SW1]vlan ?
INTEGER<1-4094> VLAN ID
batch Batch process batch 批量创建（batch 6 to 100 创建6~100）
[SW1]undo vlan batch 6 to 100 批量删除VLAN
查看VLAN：[SW1]display vlan
2.接口分配链路类型
[SW1-GigabitEthernet0/0/1]port link-type access 一规定Acess类型的链路传递的是不携带标签的流量
交换机和PC相连的接口类型都是Access
[SW1-GigabitEthernet0/0/2]port link-type ?
access Access port 不携带标签的流量
dot1q-tunnel QinQ port
hybrid Hybrid port
trunk Trunk port 从该接口出去 的流量携带标签
3.接口划分VLAN
[SW1-GigabitEthernet0/0/1]port default vlan 2
4.跨网段的通讯
配置命令使交换机之间的链路（交换机一与二的公共链路，或者是交换机与路由器单线连接）可以让VLAN1和VLAN2 的命令通过
[SW1-GigabitEthernet0/0/5]port link-type trunk
[SW1-GigabitEthernet0/0/5]port trunk allow-pass vlan 2 3
跨网段的通讯：需要借助路由
交换机和路由器之间的链路类型配置Trunk（若这条链路承载多个VLAN的流量）
[r1]interface GigabitEthernet /0/0/0.1
因为一个物理接口不能同时服务多个广播域，所以设计了一个虚拟接口一子接口
[Huawei-GigabitEthernet0/0/0.1]dot1q termination vid 2 让路由器的子接口服务某个VLAN
[r1-GigabitEthernet0/0/0.1]arp broadcast enable 一开启ARP广播功能
路由器
路由器网关配置
配置IP地址：为所有需要配置IP地址的节点配置IP Tab 自动补全 ？相当于help查看接下来可以输入的命令
<Huawei>system-view 进入系统（全局）视图
[Huawei]interface GigabitEthernet0/0/0 进入端口0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 24（255.255.255.0） 给端口配置IP
[Huawei-GigabitEthernet0/0/0]quit (q)退回上一级
[Huawei]int g0/0/1 进入端口0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.2.1 24 给端口配置IP
[Huawei-GigabitEthernet0/0/1]display ip interface brief 查看接口配置信息
[Huawei]display this：查看该位置配置的一些指令
[Huawei-GigabitEthernet0/0/0]undo （想要删除的命令） 在原配置之前加一个undo可以删除该配置
[Huawei-GigabitEthernet0/0/0]undo ip address 删除IP地址
[Huawei]sysname 更改用户名
DHCP服务器
[R1]dhcp enable 启动DHCP服务
[R1lip pool aaa （池塘名字例如aaa） 创建名为aaa的DHCP池塘，
一台设备可以创建多个池塘，但一个池塘只能服务一个广播域
[R1-ip-pool-aaa]network 192.168.1.0 mask 24 绑定接口，可分配地址范围
[R1-ip-pool-aaa]gateway-list 192.168.1.1-下发网关
[R1-ip-pool-aaa]dns-list 8.8.8.8 114.114.114.114-下发DNS服务器信息
切记：路由器上各个DHCP工作接口也必须开启DHCP服务
[R1-GigabitEthernet0/0/0]dhcp select global-对应接口激活全局池塘的配置
[R1-GigabitEthernet0/0/0] quit 退出0/0/0接口
[R1lip pool bbb 创建名为bbb的DHCP池塘，
[R1-ip-pool-bbb]network 192.168.2.0 mask 24 绑定接口，可分配地址范围
[R1-ip-pool-bbb]gateway-list 192.168.2.1 下发网关
[R1-ip-pool-bbb]dns-list 8.8.8.8 114.114.114.114 下发DNS服务器信息
[R1-GigabitEthernet0/0/1]dhcp select global-对应接口激活全局池塘的配置
Telnet ：远程登录协议
对第二台路由器进行配置使之成为，Telnet客户端，命令如下：
[Huawei]sysname R2 更改名字为
[R2]aaa一华为设备存储账号和密码的空间
[R2-aaa]local-user huaei password cipher 123456 创建登录账号和密码，华为默认密文存储
[R2-aaa]local-user huawei service-type telnet 让这个账号用作telnet (远程登录)
[R2-aaa]local-user huawei privilege level 15 设置登录权限，数值越大权限越高
[R2]user-interface vty 0 4 创建用于登录的接口，注意这里的接口是虚拟接口并不真实存在
[R2-ui-vty0-4]authentication-mode aaa 绑定aaa空间的账号和密码
最后使用R2远程登录R1并使其ping广播域内任何一台设备，命令如下：
<R2>telnet 192.168.3.1 访问与R1连接的接口192.168.3.1
Username:huawei 输入用户名：huawei
Password:123456 输入密码：123456(密码不会显示)
<R1>ping 192.168.1.2 ping路由器所连接的一个广播域内的设备进行验证
静态路由配置
配置
[R1]ip route-static 192.168.3.0 24 192.168.2.2
静态路由 目标路由网段 下一跳
（Destination/Mask） （NextHop）
[R1]display ip routing-table protocol static -查看路由表中通过静态写的路由
1.环回接口：
[R1]interface LoopBack ? （接口 环回）
<0-1023> LoopBackinterface number
配置接口：[R1]interface LoopBack 0 （接口号范围0~1023）
2.手工汇总：
当路由器去访问多个连续的子网，并且这些子网具备相同的下一跳，那么就可以进行汇
[R2]ip route-static 192.168.0.0 22 12.0.0.1
4.缺省路由
缺省和黑洞相遇必定成环
[R1]ip route-static 0.0.0.0 0 12.0.0.2
因为此时没有网络位，主机位全零 因此代表所有IP，相当于访问互联网
5.空接口
黑洞路由器
[R1]ip route-static 192.168.0.0 22 NULL 0 做法：在黑洞路由器上配置一条去往汇总网段的路由指向空接口 并且遵循 最长掩码匹配原则——路由表最优先的规则（若存在多条路由，只会匹配子网掩码最长的路由）
<R2>ping -a 1.1.1.1 192.168.3.1 指定源和目标
原IP 目标IP
6.浮动静态路由
pre：优先级
ip route-static 0.0.0.0 0 192.168.1.22 preference 61 更改路由优先级（数值范围0~255）
优先级数值越大，优先级的级别反而越大
undo shutdown 打开接口
shutdown 关闭接口
动态路由
OSPF
1.启动OSPF进程，配置RID
[r1]ospf ?
INTEGER<1-65535> ProcessID 配置进程ID
[r1]ospf 1 router-id 1.1.1.1 尽量手工指定
2.创建区域
[r1-ospf-1]area 0
3.宣告
[r1-ospf-1-area-0.0.0.0]network 1.1.1.0 0.0.0.255 范围宣告（相当于宣告了一个网段）
0.0.0.255：(反掩码)
0代表不可变1代表可变
32位二进制构成，连续的0或连续的1 构成，掩码唯一的部分是网络位，相当于不可变
[r1-ospf-1-area-0.0.0.0]network 12.0.0.1 0.0.0.0 精准宣告，相当于只宣告一个IP
扩展：
[r2]display ospf peer 查看邻居表
[r2]display ospf peer brief 查看邻居简表
[r3-ospf-1-area-0.0.0.1]display ospf lsdb 查看目录 （LSA）
[r3-ospf-1-area-0.0.0.1]display ospf lsdb router 2.2.2.2 查看某一个路由器的LSA信息
[r3-ospf-1]display ip routing-table protocol ospf 查看过滤路由器通过OSPF学到的路由
[r3-ospf-1]bandwidth-reference 10000-修改带宽
优先级改变
Priority:1 DR的优先级 数值大的成为DR
[r1-GigabitEthernet0/0/0]ospf dr-priority ?
INTEGER<0-255> Router priority value
干涉DR和BDR的选举，0代表不参选 [r1-GigabitEthernet0/0/0]ospf dr-priority 0
接口认证：
[R4-GigabitEthernet0/0/0]ospf authentication-mode md5 1 plain 123456
1：认证编号（锁的编号，一个设备可以同时拥有多把锁，增加安全性）
区域认证：本质依然是接口认证
[Huawei-ospf-1-area-0.0.0.0]authentication-mode md5 1 plain 123456
2.手工汇总
区域汇总：ABR上进行配置
[r4-ospf-1area 0 进入对应的区域(宣告在那个区域就在那个区域汇总)
[r4-ospf-1-area-0.0.0.0]abr-summary 172.16.0.0 255.254.0.0 汇总(掩码只能写点分十制)
3.沉默接口：
[r5-ospf-1]silent-interface GigabitEthernet 0/0/1 不给某接口下发OSPF，配置在某位置
4.加快收敛
[r4-GigabitEthernet0/0/1]ospf timer hello 5-只需要接口改变hello时间
死亡时间默认会根据4倍的关系，自动修改（或者[R4-GigabitEthernet0/0/0]ospf timer dead 20）
结论：所有接口都需要修改
5.缺省路由
[r5-ospf-1]default-route-advertise-配置位置，ospf进程中
必须给自身存在一条缺省，才能给其他设备下发缺省 [r5]ip route-static 0.0.0.0 0 NULL 0
[r5-ospf-1]default-route-advertise always -强制下发缺省
RIP
RIP基础配置：
[r1]rip ?
INTEGER<1-65535> Process ID 进程ID，不同的进程号，相当于不同的协议
[r1]rip 1 启动RIP进程
[r1-rip-1]version 2 选择版本
[r1-rip-1]network 1.0.0.0 宣告（只需要宣告自身直连网段）
RIP扩展：
1RIP的手工认证-RIPV2
[r1-GigabitEthernet0/0/0]rip authentication-mode simple cipher123456一 接口认证 采用simple转发过程中以明文的方式
[r2-GigabitEthernet0/0/0]rip authentication-mode md5 usual cipher 123456 采用MD5的方式进行加密 转发过程中以密文的方式 认证
simple：发送RIP的数据包中密码以明文方式进行转发 认证算法必须一致：Simple MD5（俩种）
cipher：本地密文的方式存储 cipher 与 plain（本地谁都可见） （俩种，不强求一致）
2.RIP的手工汇总
[r1-GigabitEthernet0/0/0]rip summary-address 192.168.0.0 255.255.252.0
配置位置RIP数据包发出接口，并且掩码只能写点分十进制，不能直接写数字
3.沉默接口
这个接口将只接收数据包，但不会发送RIP数据包
[r1-rip-1]silent-interface GigabitEthernet 0/0/1 配置位置RIP进程 silent-interface 沉默接口
4.RIP的加快收敛
更改RIP计时器
[r1-rip-1]timers rip 10 60 40
10 60 40
发送周期 生存时间 删除周期
5.RIP缺省路由
[r2-rip-1]default-route originate
NAT—网络地址转换
静态NAT
在边界路由器上的出接口，手工建立维护一张静态的NAT映射表（公网IP地址和私网IP地址之间的 对应关系并且这种关系是一 一对应的）
[r2-GigabitEthernet0/0/2]nat static global 23.0.0.1 inside 192.168.1.2
Error: The address conflicts with interface or ARP IP. global公网 inside 私网
[r2-GigabitEthernet0/0/2]nat static global 23.0.0.3 inside 192.168.1.2
23.0.0.3—漂浮地址（合法）——目前来说必须在公网网段范围内 （且没被设备使用）
[r2]display nat static—查看静态NAT的配置
动态NAT
动态NAT：多对多的NAT
1.创建公网地址组—这些公网地址必须连续。
[r2]nat address-group 0 23.0.0.3 23.0.0.5
开始地址 ~~结束地址 （公网地址必须连续。）
2.抓取流量 (抓取感兴趣流)
[r2]acl 2000
[r2-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
允许 感兴趣的网段
3.接口调用NAT
[r2-GigabitEthernet0/0/2]nat outbound 2000 address-group 0 no-pat 不按照端口转换的 原则执行
<r2>display nataddress-group 查看那些地址可以被使用
NAPT—easy IP
数据包还会附加端口号
1.抓取流量
[r2]display acl 2000
[r2-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255 （已经配置过）
[r2-acl-basic-2000]rule permit source 192.168.3.0 0.0.0.255
Basic ACL 2000, 2 rules
Acl's step is 5
rule 5 permit source 192.168.1.0 0.0.0.255
rule 10 permit source 192.168.3.0 0.0.0.255
2.接口配置NAT
[r2-GigabitEthernet0/0/2]nat outbound 2000
多对多的NAPT
动态NAT：多对多的NAT
1.创建公网地址组—这些公网地址必须连续。
[r2]nat address-group 0 23.0.0.3 23.0.0.5
2.抓取流量
[r2-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
3.接口调用NAT
[r2-GigabitEthernet0/0/2]nat outbound 2000 address-group 0
端口映射—高级用法
[r2-GigabitEthernet0/0/2]nat server protocol tcp global 23.0.0.1 80 inside 192. 168.1.100 80
Error: The address conflicts with interface or ARP IP.
[r2-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 80 inside 192.168.1.100 80
current-interface—直接使用该接口（使用这个接口的IP地址）
ACL—访问控制列表
ACL的分类：
[r1]acl ?
INTEGER<2000-2999> Basic access-list(add to current using rules)
INTEGER<3000-3999> Advanced access-list(add to current using rules)
INTEGER<4000-4999> Specify a L2 acl group
基础的ACL：仅关注数据包中的源IP地址 2000-2999高级ACL：除了关注数据包中的源IP地址之外，还会关注数据包中的目标IP，端口号等等。 3000-3999
用户自定义的ACL：
配置
ACL的调用：路由器的接口，并且ACL的调用需要区分流量的流向（流入或者流出）
配置基础ACL ：
例一：
1.创建
ACL [r1]acl 2000
2.给ACL列表写规则
[r1-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0—相当于拒绝192.168.1.3这一个IP
0.0.0.0—通配符（32位二进制构成）：0代表不可变，1代表可变
192.168.1.3 0.255.0.255
192.X.1.X[r1-acl-basic-2000]rule ?
INTEGER<0-4294967294> ID of ACL rule
deny （拒绝） Specify matched packet deny
permit （允许） Specify matched packet permit
3.接口调用规则：
[r1-GigabitEthernet0/0/0]traffic-filter ? 需要注意流量的流向，IN—流入 OUT—— 流出
inbound （流入） Apply ACL to the inbound direction of the interface
outbound（流出） Apply ACL to the outbound direction of the interfa
[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 2000 接口调用ACL列表
[r1-GigabitEthernet0/0/0]display acl 2000 查找创建ACL
Basic ACL 2000, 1 rule
Acl's step is 5
rule 5 deny source 192.168.1.3 0
例二：
注意：基础ACL的配置位置，尽量靠近目标 尽量避免误伤
1.创建ACL
[r2]acl 2000
2.给ACL列表写规则
[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0
3.接口调用—注意调用位置
[r2GigabitEthernet0/0/0]traffic-filter outbound acl 2000
<r1>display acl 2000
Basic ACL 2000, 1 rule
Acl's step is 5
rule 5 deny source 192.168.1.3 0
5—步长值（ACL列表默认步长为5）
另一方面，为了便于规则之间插入一些规则
ACL访问控制列表的匹配原则:自上而下（步长由小到大，由上而下排列），逐一匹配，
一旦匹配上则不在向下匹配
删除规则 ： [r2-acl-basic-2000]undo rule 10
配置高级ACL ：
例一：
高级ACL的调用位置尽量靠近源，避免资源的浪费（同时因为高级ACL，即关注源也关注目标，所以 不会造成误伤）
[R1-acl-adv-3000]rule deny tcp source 192.168.1.3 0 destination 192.168.3.2 0.0. 0.0
- 拒绝源1.3 访问3.2所以的TCP相关的服务 ping传输层使用的为TCP协议
- destination 目标 source 源
配置：
1.创建
[R1]acl 3000
2.写规则
[R1-acl-adv-3000]rule 10 deny icmp source 192.168.1.3 0 destination 192.168.3.2 0
拒绝源192.168.1.3ping目标 192.168.3.2的流量 更加准确 ping 使用的为协议icmp
3.接口调用规则
[r1-GigabitEthernet0/0/1]traffic-filter inbound acl 3000
interface GigabitEthernet0/0/1
ip address 192.168.1.1 255.255.255.0
traffic-filter inbound acl 3000 注意一个接口的一个方向实际只能调用一张列表
[r2-GigabitEthernet0/0/1]undo traffic-filter outbound ---删除接口的调用
例二：
配置
1.创建
[R2]acl 3001
2.写规则
[R2-acl-adv-3001] rule 5 deny tcp source 192.168.2.1 0 destination 192.168.2.2 0 destination-port eq 23 （代表服务为Telent）
—拒绝源为192.168.2.1 目标为192.168.2.2 并且访问服务为Telent服务的流量
Telent使用的为tcp协议（访问目标端口 号为23的流量）
3.在接口调用规则
[r2-GigabitEthernet0/0/0]traffic-filter inbound acl 3001
