#  作用：

​    ARP（Address Resolution Protocol，地址解析协议）是一种网络层协议，用于在局域网（LAN）中将网络层地址（如IPv4地址）解析为链路层地址（如以太网MAC地址）。ARP协议是IPv4网络中的一部分，它允许设备在只知道目标设备的IP地址时，能够找到该设备在局域网中的物理地址（MAC地址），从而能够发送数据帧。

​    在以太网中，数据传输所依赖的是MAC地址，而非IP地址。



# 传输过程：

场景：在同一网络下，主机A需要向主机B传输数据

> **请求过程：**
>
> ​    主机A会先检查自身的ARP缓存表，查看是否拥有目的主机B的MAC地址。如果有，则直接使用该MAC地址进行数据帧的封装。如果没有，主机A则会向局域网中的所有主机发送一个ARP请求包（这个ARP请求会询问：“谁拥有这个IP地址？”）
>
> **响应过程：**
>
> ​    局域网中所有设备都会收到这个ARP请求，但只有目标设备（主机B）会响应。同时主机B会将主机A的IP地址和MAC地址存储到自身的ARP缓存表，然后发送一个ARP响应给主机A，告诉它自己的MAC地址。
>
> **数据发送：**
>
> ​    最后主机A收到主机B返回的ARP响应包后，会将主机B的IP地址和MAC地址存储到自身的ARP缓存表上，然后使用这个MAC地址来封装数据帧，并通过局域网发送给主机B。



# ARP报文格式

![](/static/img/网路层ARP协议详解/1ed7d9b68dbd4ba98a1470c2204d80bb.png)


## ARP请求报文

![](/static/img/网路层ARP协议详解/ef948b8213c5488e99ad4f5c51ae0229.png)



## ARP响应报文

![](/static/img/网路层ARP协议详解/93d86f700c404c45ad4392ef6ef1da37.png)


# 

# ARP表(ARP缓存)

​    为了减少网络中的ARP请求数量，大多数操作系统都会维护一个ARP缓存表。这个表存储了最近解析的IP地址到MAC地址的映射。当设备想要发送数据给另一个设备时，它首先会检查ARP缓存表中是否已经有该设备的映射。如果有，就直接使用缓存中的MAC地址；如果没有，才发送ARP请求。

![](/static/img/网路层ARP协议详解/352b7c9573fb4a888a3f22f26f4f6222.png)



## 动态ARP表

​    动态ARP表是通过ARP协议**自动学习和构建**的。当网络设备需要知道某个IP地址对应的MAC地址时，它会发送一个ARP请求广播到网络上。网络上知道该IP地址的设备（或者拥有该IP地址的设备本身）会回应一个ARP应答，其中**包含该IP地址对应的MAC地址**。请求设备接收到应答后，就会将这个IP到MAC的映射关系存储在它的ARP表中。**动态ARP表会随时间而更新**，当长时间没有通信或接收到新的ARP应答时，旧的条目可能会被删除或覆盖。

## 静态ARP表

​    静态ARP表是管理员**手动配置**的，通常用于固定IP地址的环境或特殊网络配置中。在静态ARP表中，管理员直接指定IP地址和MAC地址的映射关系，并且这些映射关系**不会被ARP协议自动更改或删除**。静态ARP表对于控制网络流量、确保网络安全性以及减少ARP欺骗等攻击的风险特别有用。例如，在网络设备的配置文件中明确指定特定IP地址应该使用哪个MAC地址，可以确保即使**收到ARP欺骗信息**，设备也**不会更改其ARP表中的条目**。



# 免费ARP

​    免费ARP（Gratuitous ARP），也被称为无故ARP，是ARP（地址解析协议）的一种特殊形式。与普通ARP请求报文不同，免费ARP的请求报文中的“目的IP地址”是其自己的IP地址，而不是其他机器的IP地址。

## 免费ARP的作用

> 1. 检测IP地址冲突
>
>    ： 	
>
>    - 当一台主机发送了免费ARP请求报文后，如果收到了ARP响应报文，则说明网络内已经存在使用该IP地址的主机，从而可以及时发现并解决IP地址冲突问题。
>
> 2. 宣告和确认IP地址
>
>    ： 
>
>    - 在设备（如计算机、服务器等）的网卡地址加载阶段，它们通常会发送免费ARP报文来宣告自己的IP地址和MAC地址，以确认该IP地址在广播域内是否已被其他设备使用。
>
> 3. 更新ARP缓存表
>
>    ： 
>
>    - 在某些场景下，如网关设备双机热备时，当主设备切换到备用设备时，备用设备会发送免费ARP请求报文，以更新其他设备ARP缓存表中的网关MAC地址信息，确保网络通信的连续性。

## 

## 免费ARP的报文格式

​    免费ARP报文的封装格式与普通ARP报文类似，但**关键区别在于“目的IP地址”字段**。在免费ARP报文中，该字段被设置为发送者自己的IP地址。此外，接收者的MAC地址在免费ARP应答中通常被设置为全F（即广播MAC地址），表示该ARP应答是广播发送的。

## 

## 免费ARP隐患

​    由于免费ARP报文是广播发送的，且**不需要进行身份验证**，因此存在一定的安全隐患。例如，攻击者可以**构造虚假的免费ARP报文**来欺骗网络中的其他设备，导致**ARP缓存表被错误更新**，进而引发**数据泄露或通信中断**等安全问题。为了防范此类攻击，可以采取设置MAC地址和IP地址绑定、将交换机上某些端口设置为信任端口等措施来增强网络的安全性。



# 代理ARP

​    代理ARP主要用于解决**跨网段通信时ARP请求无法直接到达目标设备**的问题。当两个主机分别位于不同的物理网络（如不同的子网或VLAN）且需要通信时，如果它们之间**没有直接的路由或网关配置**，那么可以通过**启用代理ARP**的路由器或交换机来间接实现通信。

​    当主机A需要知道主机B的MAC地址时，如果它们不在同一广播域内，主机A会发送ARP请求。此时，如果网络中有**启用代理ARP**的设备，该设备会**代替主机B应答ARP请求**，**使用自己的MAC地址作为响应**，从而实现主机A到主机B的数据传输。

> **优点**：
>
> - 可以在不改变路由表的情况下添加新的路由。
> - 使得子网对主机来说变得更透明化。
> - 在某些情况下，可以简化网络配置和管理。

> **缺点**：
>
> - 增加了网络中的ARP流量，可能导致网络拥塞。
> - 存在一定的安全风险，代理ARP其实是一种ARP欺骗。
> - 无法对网络拓扑进行准确的网络概括。



# ARP攻击

​    ARP攻击的原理在于利用ARP协议设计时**缺乏安全验证**的漏洞，通过**伪造ARP数据包**来窃取合法用户的通信数据或造成网络故障。攻击者会持续不断地发出伪造的ARP响应包，**更改目标主机ARP缓存**中的IP-MAC条目，使得目标主机在发送数据时错误地将数据包发送给攻击者，从而实现中间人攻击或导致网络中断。

​    ARP攻击的主要方式包括**路由欺骗**和**网关欺骗**。路由欺骗是指攻击者**伪造路由信息**，使得目标主机将数据包发送给错误的路由路径；网关欺骗则是指攻击者**伪造网关的MAC地址**，使得目标主机在发送数据包时错误地将数据包发送给攻击者控制的设备。

网路层ARP协议详解

#  简介：

​     VRP是Versatile Routing Platform的简称，它是华为公司数据通信产品的通用网络操 作系统。目前，在全球各地的网络通信系统中，华为设备几乎无处不在，因此，学习了 解VRP的相关知识对于网络通信技术人员来说就显得尤为重要。

​    VRP系统提供了丰富的命令行视图，包括用户视图、系统视图、接口视图等，用户可以通过相应的命令进入不同的视图进行配置和管理。例如，`system-view`命令可以进入系统视图，`interface`命令可以进入接口视图

![](/static/img/华为VRP系统基本操作/8a092d99ea0f4dad957c86cf8df9c0b2.png)



# 1、通过Console方式登录Router

![](/static/img/华为VRP系统基本操作/e1d5061a15c74725bdba379ca50d0315.png)


# 2、查看设备基本信息

```
<Huawei>display version    //查看设备基本信息
Huawei Versatile Routing Platform Software
VRP (R) software, Version 5.110 (eNSP V100R001C00)
Copyright (c) 2000-2011 HUAWEI TECH CO., LTD
```


# 3、完成基本配置

## 3.1、修改设备名称

```
<Huawei>sys	     //TAB键补全
<Huawei>system-view   //进入系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname R1    //将设备命名为R1
[R1]
```


## 3.2、进入接口配置IP地址

```
[R1]interface Serial 0/0/0
[R1-Serial0/0/0]ip address 12.11.10.1 255.255.255.0
[R1-Serial0/0/0]display this  //使用display this可以查看当前视图的运行配置
#
interface Serial0/0/0
 link-protocol ppp
 ip address 12.11.10.1 255.255.255.0
#
return
[R1-Serial0/0/0]
```


***使用display this可以查看当前视图的运行配置***



若是忘记命令的作用和用法等等，可以通过 “ 关键字 + ？” 来查看信息

```
[R1-Serial0/0/0]ip ?
  address             Set the IP address of an interface
  binding             Enable binding of an interface with a VPN instance
  forward-broadcast   Specify IP directed broadcast information
  netstream           Netstream feature
  policy-based-route  Enable policy based routing on the interface
  tcp                 Specify TCP(Transmission Control Protocol) configuration
                      information
  topology            The name of topology
  verify              IP verify
```


## 3.3、当接口的IP地址配置错误时

​    需要先删除当前接口的错误IP地址配置，再重新在其他接口进行配置IP地址，否则会出现地址冲突无法配置。

```
[R1]interface Serial 0/0/0
[R1-Serial0/0/0]undo ip address
[R1-Serial0/0/0]display this
#
interface Serial0/0/0
 link-protocol ppp
#
return
[R1-Serial0/0/0]
```


# 4、查看设备当前配置

```
[R1]display current-configuration 
#
sysname R1
#
undo info-center enable
#
aaa
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default
 domain default_admin
 local-user admin password cipher OOCM4m($F4ajUn1vMEIBNUw#
 local-user admin service-type http
#
firewall zone Local
 priority 16
#
interface Ethernet0/0/0
#
interface Ethernet0/0/1
#
interface Serial0/0/0
 link-protocol ppp
#
  ---- More ----
```


当执行命令时，显示的信息超过一定数量时，系统会自动暂停输出信息，以方便用户查看。如上图中的---- More ----的字样，此时可通过：

> 1. <Ctrl + C>或<Ctrl + Z>，停止或命令执行
> 2. 空格键，继续显示下一屏信息
> 3. 回车键，继续显示下一行信息



# 5、保存设备当前配置

```
[R1]quit       //返回上一视图
<R1>

[R1]return     //在任何视图中，返回用户视图
<R1>

[R1]           //ctrl+z  在任何视图中，返回用户视图
<R1>
```


保存命令

```
<R1>save
The current configuration will be written to the device.
Are you sure to continue?[Y/N]y      //需要输入y来确认继续
Info: Please input the file name ( *.cfg, *.zip ) [vrpcfg.zip]:
Now saving the current configuration to the slot 17.
Save the configuration successfully.
<R1>
```


# 6、操作设备的文件系统

```
<R1>dir 
Directory of flash:/

  Idx  Attr     Size(Byte)  Date        Time       FileName 
    0  drw-              -  Aug 07 2015 13:51:14   src
    1  drw-              -  Sep 11 2024 11:36:01   pmdata
    2  drw-              -  Sep 11 2024 11:36:04   dhcp
    3  -rw-            603  Sep 11 2024 12:55:06   private-data.txt
    4  drw-              -  Sep 11 2024 11:56:30   mplstpoam
    5  -rw-            435  Sep 11 2024 12:55:05   vrpcfg.zip

32,004 KB total (31,993 KB free)

<R1>
```

配置文件：vrpcfg.zip。其中配置文件以“.cfg”或“.zip”作为扩展名



## 6.1、将当前配置文件保存并命名为zzz.cfg

```
<R1>save zzz.cfg
Are you sure to save the configuration to flash:/zzz.cfg?[Y/N]:y
Now saving the current configuration to the slot 17.
Save the configuration successfully.
<R1>dir
Directory of flash:/

  Idx  Attr     Size(Byte)  Date        Time       FileName 
    0  drw-              -  Aug 07 2015 13:51:14   src
    1  drw-              -  Sep 11 2024 11:36:01   pmdata
    2  drw-              -  Sep 11 2024 11:36:04   dhcp
    3  -rw-            603  Sep 11 2024 12:55:06   private-data.txt
    4  drw-              -  Sep 11 2024 11:56:30   mplstpoam
    5  -rw-            435  Sep 11 2024 12:55:05   vrpcfg.zip
    6  -rw-            816  Sep 11 2024 13:01:39   zzz.cfg

32,004 KB total (31,991 KB free)

<R1>
```



## 6.2、把该文件设置为设备下一次启动所使用的配置文件

```
<R1>startup saved-configuration zzz.cfg  //设置
Info: Succeeded in setting the configuration for booting system.
<R1>
<R1>display startup        //查看下一次启动的配置文件
MainBoard: 
  Configured startup system software:        NULL
  Startup system software:                   NULL
  Next startup system software:              NULL
  Startup saved-configuration file:          NULL
  Next startup saved-configuration file:     flash:/zzz.cfg
  Startup paf file:                          NULL
  Next startup paf file:                     NULL
  Startup license file:                      NULL
  Next startup license file:                 NULL
  Startup patch package:                     NULL
  Next startup patch package:                NULL
<R1>
```


## 6.3、清空配置文件

```
<R1>reset saved-configuration 
Warning: The action will delete the saved configuration in the device.
The configuration will be erased to reconfigure. Continue? [Y/N]:y     //需要输入y来确认继续
Warning: Now clearing the configuration in the device.
Info: Succeeded in clearing the configuration in the device.
<R1>
```


# 7、重启设备

```
<R1>reboot
Info: The system is now comparing the configuration, please wait.
Warning: All the configuration will be saved to the configuration file for the n
ext startup:, Continue?[Y/N]:y
flash:/vrpcfg.zip exists, overwrite?[Y/N]:y
Now saving the current configuration to the slot 17.
Save the configuration successfully.
Info: If want to reboot with saving diagnostic information, input 'N' and then e
xecute 'reboot save diagnostic-information'.
System will reboot! Continue?[Y/N]:y
<R1>
```


# 8、基础常用命令

| **查看当前配置**         | display current-configuration      |
| ------------------------ | ---------------------------------- |
| **保存配置**             | save                               |
| **查看保存的配置**       | display saved-configuration        |
| **重置保存的配置**       | `reset saved-configuration`        |
| **设置系统启动配置文件** | `startup saved-configuration`      |
| **重启设备**             | reboot                             |
| **配置设备名称**         | `sysname`                          |
| **配置IP地址**           | `ip address` IP 掩码               |
| **关闭接口**             | `shutdown`                         |
| **查看接口状态**         | `display interface brief`          |
| **配置时区和时间**       | clock datetime 20:45:00 2019-07-30 |
| **配置用户登录信息**     | header login information           |
| **配置命令行等级**       | user privilege level               |

华为VRP系统基本操作

一个基础项目的搭建

# 一、项目简介

​    这个项目主要就是最基础的一个局域网，模拟现实企业的网络架构，确保网络的安全性，通过VLAN划分实现不同部门或用户组的隔离等。

​    下图是我们这次要搭建的局域网拓扑图。（左边为财务部门，右边为研发部门）

![](/static/img/搭建核心架构网络项目（局域网）/265701f625b64413928915019939cc5a.png)

# 二、搭建步骤

## 2.1、配置接入层的vlan

财务部门

```
//进入系统配置模式并创建vlan
system-view
vlan batch 10 20 30

//分别配置三个vlan关联接口
int g0/0/2
port link-type access
port default vlan 10
quit

int g0/0/3
port link-type access
port default vlan 20
quit

int g0/0/4
port link-type access
port default vlan 30
quit

//配置trunk端口允许VLAN 10、20和30的数据通过
int g0/0/1
port link-type trunk
port trunnk allow-pass vlan 10 20 30
quit
```


研发部门

```
//进入系统配置模式并创建vlan
system-view
vlan batch 40 50

//分别配置两个个vlan关联接口
int g0/0/2
port link-type access
port default vlan 40
quit

int g0/0/3
port link-type access
port default vlan 50
quit

//配置trunk端口允许VLAN 40、50的数据通过
int g0/0/1
port link-type trunk
port trunnk allow-pass vlan 40 50
quit
```



## 2.2、配置汇聚层以支持VLAN间的互连，为每个VLAN分配静态IP地址，并为这些VLAN提供DHCP服务

```
system-view
vlan batch 10 20 30

int g0/0/2
port link-type trunk
port trunk allow-pass 10 20 30
quit

//为vlan10配置IP地址和掩码，并开启DHCP服务
int vlan 10
ip address 192.168.10.1 255.255.255.0
quit
dhcp enable
ip pool for10
network 192.168.10.0 mask 255.255.255.0
gateway-list 192.168.10.1
dns-list 223.5.5.5
int vlan 10
dhcp select global
quit

//重复上述步骤为VLAN 20和VLAN 30创建DHCP地址池并应用
int vlan 20
ip address 192.168.20.1 255.255.255.0
quit
ip pool for20
network 192.168.20.0 mask 255.255.255.0
gateway-list 192.168.20.1
dns-list 223.5.5.5
int vlan 20
dhcp select global
quit

int vlan 30 
ip address 192.168.30.1 255.255.255.0
quit
ip pool for30
network 192.168.30.0 mask 255.255.255.0
gateway-list 192.168.30.1
dns-list 223.5.5.5
int vlan 30
dhcp select global
quit
```


![](/static/img/搭建核心架构网络项目（局域网）/faef474af10049769922e78cd081297c.png)


然后在PC机的命令行中使用ipconfif命令查看是否获取自动IP地址

![](/static/img/搭建核心架构网络项目（局域网）/71094f1c95b440e3b577602ece713b8f.png)


现在这个就是能够获取自动分配的ip地址



## 2.3、给汇聚层和核心层配置ip地址

![](/static/img/搭建核心架构网络项目（局域网）/2e591e63820d419eb8452ebce21fd7fd.png)


​    当你在汇聚和这个端口的时候尝试把这个IP地址配进去，会报错。

![](/static/img/搭建核心架构网络项目（局域网）/a8503015f5be4c3c8bdef9c82f9d814b.png)


​    这是因为三层交换机的物理接口他会默认是不能直接配ip地址的。咱们可以换个角度把这个IP地址配到一个Vlan上，然后将这个接口关联到这个Vlan上。这就相当于这个IP地址配置在物理接口上。

```
//汇聚层
system-view
vlan batch 35
int vlan 35
ip address 10.1.1.1 255.255.255.0
quit
int g0/0/1
port link-type access
port default vlan 35
```


```
//接入层
system-view
vlan batch 351
int vlan 351
ip address 10.1.1.2 255.255.255.0
quit
int g0/0/1
port link-type access
port default vlan 351
```


注：这里只展示了左边部门的IP配置，请自行配置右边部门的IP



## 2.4、使用静态路由实现两个部门之间的互通

​    左右两个部门之间要实现沟通交流的话，需要进行路由配置，我这里使用的静态路由

左边汇聚层

```
ip route-static 192.168.40.0 255.255.255.0 10.1.1.2
ip route-static 192.168.50.0 255.255.255.0 10.1.1.2
```


核心层

```
ip route-static 192.168.40.0 255.255.255.0 10.2.1.1
ip route-static 192.168.50.0 255.255.255.0 10.2.1.1
ip route-static 192.168.10.0 255.255.255.0 10.1.1.1
ip route-static 192.168.20.0 255.255.255.0 10.1.1.1
ip route-static 192.168.30.0 255.255.255.0 10.1.1.1
```


右边汇聚层

```
ip route-static 192.168.10.0 255.255.255.0 10.2.1.2
ip route-static 192.168.20.0 255.255.255.0 10.2.1.2
ip route-static 192.168.30.0 255.255.255.0 10.2.1.2
```

![](/static/img/搭建核心架构网络项目（局域网）/47f0c5f50b4f48b8b8ab58016d8aa8db.png)



## 2.5、通过ACL访问控制列表实现安全加强

![](/static/img/搭建核心架构网络项目（局域网）/eda7b3ec8f624918bcbf4607c3375e62.png)


​    访问控制列表（Access Control List，简称ACL）是一种基于规则的访问控制机制，用于在网络设备上根据特定条件允许或拒绝数据包的通过。

​    这里实现只能vlan10、50的pc机可以访问vlan40的pc机，其它的vlan20、30均不可以访问vlan40

在核心层

```
acl 3000
rule rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.40.0 0.0.0.255
rule rule deny ip source 192.168.30.0 0.0.0.255 destination 192.168.40.0 0.0.0.255
quit

//在接口处进行流量过滤，过滤规则为acl3000
int g0/0/1
traffic-filter inbound acl 3000

//注：华为和思科的产品特性不同，华为的acl是默认放行的，所以这里我们需要的是标注需要拒绝访问的ip
```


## 2.6、连接互联网（路由配置）

```
//路由电信公司
int g0/0/1
ip address 182.61.200.1 255.255.255.0
quit
int g0/0/0 23.1.1.2 255.255.255.0

//核心层交换机
vlan batch 243 
int vlan 243
ip address 10.3.1.1 255.255.255.0
int g0/0/3
port link-type access 
port default vlan 243

//NAT路由
int g0/0/1
ip address 10.3.1.2 255.255.255.0
int g0/0/0
ip address 23.1.1.1 255.255.255.0

//配置吓一跳地址
//汇聚层
ip route-static 0.0.0.0 0.0.0.0 10.1.1.2
//核心层
ip route-static 0.0.0.0 0.0.0.0 10.3.1.2
//NAT
ip route-static 0.0.0.0 0.0.0.0 23.1.1.2
ip route-static 192.168.0.0 255.255.0.0 10.3.1.1
```


## 2.7、连接互联网（NAT配置）

```
acl 2000
rule permit source 192.168.0.0 0.0.255.255
int g0/0/0
nat outbound 2000
```


到这里就可以完成ping通外网了



一个比较完善的中小型网络架构，完！

搭建核心架构网络项目（局域网）

#  ACL访问控制列表

​    访问控制列表是一种基于规则的网络安全机制，用于控制对网络资源的访问。ACL可以应用于路由器、交换机、防火墙等网络设备上，以决定哪些数据包可以进入或离开网络。

### 

### 分类：

1. **基本ACL**（2000-2999）：只能匹配源IP地址，配置相对简单，适用于基于源地址的访问控制 
2. **高级ACL**（3000-3999）：可以匹配源IP、目的IP、源端口、目的端口等，提供更细粒度的控制 
3. **二层ACL**（4000-4999）：根据数据包的源MAC地址、目的MAC地址等二层信息制定规则 



### ACL应用原则：

- 基本ACL尽量用在靠近目的网络的设备上
- 高级ACL尽量用在靠近源网络的设备上，以保护带宽和其他资源 



### ACL应用方向：

- 入方向（Inbound）：数据包到达接口，即将被路由器处理
- 出方向（Outbound）：数据包已经过路由器处理，正准备离开接口



### 注：

- 一个接口的同一个方向只能调用一个ACL
- ACL规则按编号顺序执行，一旦匹配规则，不再继续向下匹配
- 删除ACL或规则时，请确认没有业务正在引用，以免造成业务中断
- 不同产品有不同特性。默认情况下，思科产品：如果未明确允许，则拒绝访问；华为产品则是要根据具体产品来确定是否放行或拒绝访问。 



# ACL华为命令配置：

#### 基本配置：

```
[Huawei] system-view
[Huawei] acl number 2001  // 创建ACL，编号2001
[Huawei-acl-basic-2001] rule permit source 172.16.105.0 0.0.0.255  // 允许172.16.105.0/24网段
[Huawei-acl-basic-2001] rule deny source any  // 拒绝其他网段
[Huawei-acl-basic-2001] quit
```


#### 高级配置：

```
[Huawei] system-view
[Huawei] acl 3002  // 创建高级ACL
[Huawei-acl-adv-3002] rule deny ip source 10.164.2.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 time-range satime  // 在指定时间范围内禁止访问
[Huawei-acl-adv-3002] quit
```


#### 出站和入站：

```
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 3002  // 入站流量应用ACL 3002
[Huawei-GigabitEthernet0/0/1] quit
```

#### 配置时间范围的ACL示例：

如果ACL需要在特定时间生效，可以配置时间范围。

```
[Huawei] time-range work_hours 08:00 to 17:00 working-day  // 定义工作时间为工作日的08:00至17:00
[Huawei] acl number 3000
[Huawei-acl-adv-3000] rule permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 time-range work_hours  // 允许工作时间的TCP流量
[Huawei-acl-adv-3000] quit
```

#### 删除ACL规则

```
//删除某个ACL中的某条规则
[Huawei] acl 3001
[Huawei-acl-adv-3001] undo rule 5
[Huawei-acl-adv-3001] quit

//删除整个ACL
[Huawei] acl 2001
[Huawei-acl-basic-2001] undo acl
[Huawei-acl-basic-2001] quit
```


# 例子1：使用基本ACL过滤数据流量

**配置需求：**

​    在Router上部署基本ACL后，ACL将试图穿越Router的源地址为192.168.1.0/24网段的数据报过滤掉，并放行其他流量，从而禁止192.168.1.0/24网段的用户访问Router右侧的服务器网络。

![](/static/img/ACL访问控制列表/6934549c40d549c9bb7fc0be390fc9d5.png)


**步骤一：Router完成IP地址和路由的相关配置**



**步骤二：在Router上创建基本ACL，禁止１９２.１６８.１.０／２４网段访问服务器网络**

```
[Router] acl 2000
[Router-acl-basic-2000] rile deny source 192.168.1.0 0.0.0.255
[Router-acl-basic-2000] rule permit source any
```


**步骤三：由于从接口GE0/0/1进入Router，所以在接口GE0/0/2的入方向配置流量过滤**

```
[Router] interfacce GigbitEthernet 0/0/1
[Router-GigbitEthernet0/0/1] traffic-filter inbound acl 2000
[Router-GigbitEthernet0/0/1] quit
```


# 例子2：使用高级ACL限制不同网段的用户互访

**配置需求：**

​    公司通过Router实现各部门之间的互连。为方便管理网络，管理员为公司的研发部和市场部规划了两个网段的IP地址。现在要求Router能够限制两个网段之间互访，防止公司机密泄露。

![](/static/img/ACL访问控制列表/0679db83c15144478c3494527ceb1738.png)


**步骤一：Router完成IP地址和路由的相关配置**



**步骤二：创建高级ACL 3001并配置ACL规则，拒绝研发部访问市场部**

```
[Router] acl 3001
[Router-acl-adv-3001]rule deny ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
[Router-acl-adv-3001]quit
```


**步骤三：创建高级ACL 3002并配置ACL规则，拒绝市场部访问研发部**

```
[Router] acl 3002
[Router-acl-adv-3002]rule deny ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
[Router-acl-adv-3002]quit
```


**步骤四：由于研发部和市场部互放的流量分别从接口GE0/0/1和GE0/0/2进入Router，所以在接口GE0/0/1和GE0/0/2的入方向配置流量过滤**

```
[Router]interface GigabitEthernet0/0/1
[Router-GigabitEthernet0/0/1]traffic-filter inbound acl 3001
[Router-GigabitEthernet0/0/1]quit

[Router]interface GigabitEthernet0/0/2
[Router-GigabitEthernet0/0/2]traffic-filter inbound acl 3002
[Router-GigabitEthernet0/0/2]quit
```

ACL访问控制列表

​	虽然在学校学了计算机网络，但还是有些东西要自己去了解。所以这篇博客也算是学校课程和我在网上查找资料总结的一些关于局域网基础技术知识。



# 一、傻瓜式交换机

​    一种即插即用、未管理的交换机，不需人工配置的低端交换机。只提供基本的网络连接功能，没有复杂的配置和管理。

​    仅仅只适用于简单的网络环境，如家庭、小型办公室或工作组等实现基本的网络连接和数据传输。

​    同时，最傻的一点就是，它只能通过同网段的设备访问（掩码相同），如下图：

![](/static/img/局域网基础技术详解/0423a89620c24e6d848ad4a88e354356.png)


​    在上面的拓扑图，就可以看出，PC1和PC2是同一个网络，而PC3却是另一个网段。所以在这个简单的网络拓扑图中，PC1可以访问PC2，却访问不了PC3，如下图的PC1命令行访问结果：

![](/static/img/局域网基础技术详解/b30064edd57a4bb4b97a6f3e17c51339.png)


# 二、vlan技术

​    在企业、公司里面的设备是复杂的，这种场景当然不能就是用傻瓜式交换机或者是通过改掩码的方式来增加设备数量，使更多的设备可以互相访问。这种情况下，就需要引用vlan技术。

​    VLAN（虚拟局域网）技术是一种在交换机上创建多个虚拟网络的方法，可以有效地隔离不同网络流量，提高网络的安全性和管理的灵活性。通过VLAN技术，可以将一个物理网络划分成多个逻辑上的子网络，每个子网络可以有自己的IP地址范围和广播域，从而实现故障隔离和流量管理。

​    主要的拓扑图：

![](/static/img/局域网基础技术详解/e541ef1ec848405b84615d823b09a0ed.png)

# 三、vlan技术中的故障隔离和access、trunk接口

​    VLAN技术中，故障隔离和接口模式（Access和Trunk）是两个重要的概念。

> 1. **故障隔离**： 故障隔离是指在网络中将故障限制在特定的vlan内，防止其扩散到整个网络。这是通过在交换机上配置vlan来实现的。每个vlan都是一个独立的广播域，广播的信号并不会跨越vlan边界。如果一个vlan内部发生故障，比如广播风暴，它不会影响到其他vlan的正常运行。
> 2. **Access接口**： Access接口是连接到终端设备（如工作站、打印机等）的交换机端口。在Access模式下，端口**只允许一个vlan的流量**通过，即该端口配置的vlan ID。Access端口不处理任何标记（Tag）信息，因为它们是直接连接到最终用户设备。
> 3. **Trunk接口**： Trunk接口是连接交换机与交换机之间或者交换机与路由器之间的端口。在Trunk模式下，端口可以携带**多个vlan的流量**。Trunk端口使用IEEE 802.1Q标准来标记经过的数据帧，这样数据帧就可以携带vlan信息，允许一个物理链路传输多个vlan的流量。

故障隔离和Access/Trunk接口之间的关系：

- 当交换机端口配置为Access模式时，它们只能属于一个VLAN，有助于简化网络设计并实现故障隔离。
- Trunk端口由于可以传输多个VLAN的流量，需要正确配置以防止未授权的VLAN流量穿越，这可能需要使用VLAN访问控制列表（VLAN ACLs）或其他安全措施来进一步隔离故障。



## 设置故障隔离的命令：

```
vlan batch 10 20         //创建两个vlan
//接口一
int g0/0/1
port link-type access    //设置交换机的接口类型

port default vlan 10     //设置各个接口对应的vlan

//接口二
int g0/0/2
port link-type access    //设置交换机的接口类型

port default vlan 20     //设置各个接口对应的vlan
```

基本上如下图，就是成功设置故障隔离了

![](/static/img/局域网基础技术详解/42c9d3978dfa417e8ba277fea9b27475.png)


# 四、跨交换机的trunk链路配置

​    其实，trunk链路配置跟access的配置、命令是大致相同的。只是为了更好的区分access和trunk之间的区别，所以这里再强调一遍：access是只允许一个vlan的流量；而trunk则是允许多个vlan流量通过。

```
//确定接口
int g0/0/3

//设置接口类型
port link-type trunk

//设置trunk接口通过vlan的类型
port trunk allow-pass vlan 10 20
```


# 五、利用三层交换机或单臂路由实现vlan间互连

## 5.1、三层交换机实现vlan路由互连

​    利用三层交换机实现vlan路由互连的原理都是利用网关。将网关充当中间人，在不同的 vlan交流之间，作为中间人，进行信息筛选，过滤故障等信息，转发正常数据。

```
//进入到指定的vlan
ing vlan 10

//配置相应的网关和对应的掩码
ip add 192.168.1.254 255.255.255.0
```


## 5.2、单臂路由实现vlan路由互连

​    单臂路由（router-on-a-stick）是一种网络技术，它允许通过单个物理路由器接口连接多个虚拟局域网（VLAN）。这种方式通过在路由器的物理接口上配置多个**逻辑子接口**（或称为“逻辑接口”）来实现不同VLAN之间的通信。每个子接口都与一个特定的VLAN关联，并作为该VLAN的网关 1。

​    在单臂路由配置中，交换机连接路由器的端口通常被配置为Trunk链路，允许多个VLAN的数据帧通过。而路由器上的物理接口则被划分为多个子接口，每个子接口都配置有对应的VLAN标签（例如802.1Q标签）。这样，当数据包从一个VLAN到达另一个VLAN时，路由器可以识别VLAN标签，并将数据包路由到正确的目的地。

​    如下图，一个简单的网络：

![](/static/img/局域网基础技术详解/1b36021760b342618f7e2f610431e083.png)


```
//使路由器的一个接口划分为多个子接口
//.10子接口
int g0/0/0.10
//将此接口关联vlan 10网络
dot1q termination vid 10

//.20子接口
int g0/0/0.20
//将此接口关联vlan 20网络
dot1q termination vid 20
```


​    需要注意的是，如果你完成上述步骤还不行的话，那应该是华为产品特性的问题，需要在接口打开arp功能

```
arp brodcast enable
```


# 六、交换机使用DHCP功能，分配IP地址

​    为了减少管理员一个一个的去配置ip地址，最好就是使用DHCP功能（一般在公司企业里面，都是在汇聚层，即充当网关处进行配置DHCP功能）

```
dhcp enable            //启用DHCP服务

ip pool for10         创建一个叫"for10"的IP地址池

network 192.168.10.0 mask 255.255.255.0        //为IP地址池设置了可用的IP地址范围，即网络地址为192.168.10.0，子网掩码为255.255.255.0

gateway-list 192.168.10.1        //为IP地址池指定了默认网关

dns-list 223.5.5.5        //为IP地址池指定了DNS服务器地址

int vlan 10        //进入VLAN 10的接口配置

decp select global        //选择全局的DHCP设置
```


# VLAN常用基础命令

## **1、创建VLAN**

单一VLAN创建

```
[huawwei]vlan <vlan-id>
```

批量VLAN创建

```
[huawwei]vlan batch {vlan-id1 [to vlan-id2] | vlan-id1 vlan-id2 ...}
```


批量创建VLAN 10到VLAN 20：`vlan batch 10 20` 或 `vlan batch 10 to 20`。

## **2、删除VLAN**

```
[huawei]undo vlan <vlan-id>
```


删除VLAN 20：`undo vlan 20`。



## **3、端口加入VLAN**

### Access Port

```
[huawei-GigbitEthernet0/0/1]port link-type access
[huawei-GigbitEthernet0/0/1]port default vlan <vlan-id>
```


将GigabitEthernet0/0/1端口加入VLAN 10：`port default vlan 10`。



### Trunk Port

```
[huawei-GigbitEthernet0/0/1]port link-type trunk
[huawei-GigbitEthernet0/0/1]port trunk allow-pass vlan all     //允许所有VLAN通过：
[huawei-GigbitEthernet0/0/1]port trunk allow-pass vlan <vlan-id1> [to <vlan-id2>]    //允许特定VLAN通过
```



### Hubird Port

```
[huawei-GigbitEthernet0/0/1]port link-type hybrid
[huawei-GigbitEthernet0/0/1]port hybrid untagged vlan {{ vlan-id1 [ to vlan-id2 ]} |all}
[huawei-GigbitEthernet0/0/1]port hybird tagged vlan {{ vlan-id1 {to vlan-id2]} | all}
[huawei-GigbitEthernet0/0/1]port hybird pvid vlan vlan-id
```