一、验证性实验
1.ipconfig
实作一：在命令行窗口输入命令ipconfig /all查看当前网络配置信息
实作二：使用 ipconfig/all 查看旁边计算机的网络配置，看看有什么异同。
异同：发现ip地址不同，但网关和子网掩码相同
问题：你的计算机和旁边的计算机是否处于同一子网，为什么？
处于同一子网，将ip地址与子网掩码进行相与运算，发现子网都是192.168.0.0，两个计算机处于同一子网。
2.ping
实作一：测试到某计算机如重庆交通大学Web服务器的连通性
TTL：TTL是 Time To Live的缩写，该字段指定IP包被路由器丢弃之前允许通过的最大网段数量,经过一个节点减1
时间：时间为到达时间，单位为ms
实作二：使用 ping/? 命令了解该命令的各种选项并实际使用。
问题1：假设你不能 ping 通某计算机或 IP，但你确定该计算机和你之间的网络是连通的，那么可能的原因是什么？该如何处理能保证 ping 通？
答：可采用由近及远的连通性测试来确定问题所在，依次测试自己计算机的状态，失败则说明问题在本机，检查本机 TCP/IP 配置即网卡状态等；测试到旁边计算机的连通性，失败则说明问题在本机网络出口到交换机之间，检查本机网卡到交换机的连线等；测试到网关的连通性，失败说明问题在网关；测试到百度的连通性，失败说明问题在网关以外。问题2：假设在秘籍中进行的网络排查中，ping 百度的 IP 即 ping 14.215.177.39 没问题，但 ping 百度的域名即 ping www.baidu.com 不行，那么可能的原因是什么？如何进行验证和解决？
答：DNS服务器解析出错造成，点击开始->运行->输入CMD”后回车，输入“nslookup”回车，再输入你的域名，如果出现DNS request timed out，timeout was 2
seconds的提示信息，则说明DNS确实出问题了，如果DNS解析正常的话，会反馈回正确的IP地址。可通过清除DNS缓存信息或更改本地DNS解决。
3.tracert
实作一:要了解到某计算机如 www.baidu.com 中间经过了哪些节点（路由器）及其它状态，可使用 tracert www.baidu.com 命令，查看反馈的信息，了解节点的个数。
可通过网站 http://ip.cn 查看这些节点位于何处，是哪个公司的，大致清楚本机到百度服务器之间的路径。
实作二：ping.pe 这个网站可以探测从全球主要的 ISP 到某站点如 https://qige.io 的线路状态，当然也包括各线路到该主机的路由情况。请使用浏览器访问 http://ping.pe/qige.io 进行了解。
✎ 问题1：tracert 能告诉我们路径上的节点以及大致的延迟等信息，那么它背后的原理是什么？
答：tracert发出TTL值为1的ICMP数据包（一般发3个），当到达路径上第一个路由器时，路由器会将TTL值减1，此时TTL值为0，该路由器将此数据包丢弃，向源地址返回一个ICMP超时通知，当tracert收到该数据包，获得了这个路径上的第一个路由器的地址。tracert再发送另一个TTL为2的数据包，第一个路由器会将此数据包转发给第二个路由器，当TTL=0，第二个路由器返回一个超时通知，tracert得到第二个路由器地址。Tracert每次发出数据报时便会将TTL加1，发现下一个路由器，这个动作一直重复，直到到达目的地或者确定目标主机不可到达为止。
✎ 问题2：在以上两个实作中，如果你留意路径中的节点，你会发现无论是访问百度还是棋歌教学网，路径中的第一跳都是相同的，甚至你应该发现似乎前几个节点都是相同的，你的解释是什么？
答：因为在进行网络传输过程中，需要先到达局域网网关，通过网关后再通过通信子网访问其它服务器。
✎ 问题3：在追踪过程中，你可能会看到路径中某些节点显示为 * 号，这是发生了什么？
答：某些路由器不会为其 TTL 值已过期的数据包返回“已超时”消息，而且这些路由器对于 tracert 命令不可见。在这种情况下，将为该跃点显示一行星号 (*)。
4.ARP
实作一：运行 arp -a 命令查看当前的 arp 缓存， 请留意缓存了些什么。
然后 ping 一下你旁边的计算机 IP（注意，需保证该计算机的 IP 没有出现在 arp 缓存中，或者使用 arp -d * 先删除全部缓存），再次查看缓存，你会发现一些改变，请作出解释。
发现ARP缓存中多了一项。这是因为A主机想要与B主机通信，会先在自己的本地ARP缓存中检查主机B的匹配MAC地址。如果主机A在ARP缓存中没有找到映射，它将ARP请求帧广播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址匹配。如果主机发现请求的IP地址与自己的IP地址不匹配，它将丢弃ARP请求。主机B确定ARP请求中的IP地址与自己的IP地址匹配，则将主机A的IP地址和MAC地址映射添加到本地ARP缓存中。
实作二:请使用 arp /? 命令了解该命令的各种选项。
实作三:一般而言，arp 缓存里常常会有网关的缓存，并且是动态类型的。假设当前网关的 IP 地址是 192.168.0.1，MAC 地址是 5c-d9-98-f1-89-64，请使用 arp -s 192.168.0.1 5c-d9-98-f1-89-64 命令设置其为静态类型的。
添加成功
问题1：
答： 1、netsh i i show in找到指定Idx 2、netsh -c “i i” add neighbors 【Idx】 【IP地址】【mac地址】修改指定IP的mac问题2：在实作三中，为何缓存中常常有网关的信息？我们将网关或其它计算机的 arp 信息设置为静态有什么优缺点？
答：因为访问其他地址需要经过网关，因此缓存中会将网关信息记录下来。优点：静态分配IP地址是指给每一台计算机都分配一个固定的IP地址，便于管理；缺点：合法用户分配的地址可能被非法盗用，对网络的正常使用造成影响，也容易给合法用户带来安全隐患。
5.DHCP
实作一：一般地，我们自动获取的网络配置信息包括：IP 地址、子网掩码、网关 IP 以及 DNS 服务器 IP 等。使用 ipconfig/release 命令释放自动获取的网络配置，并用 ipconfig/renew 命令重新获取，了解 DHCP 工作过程和原理。
ipconfig /release
ipconfig /renew
问题1：
答：可能没有开启DHCP客户端服务；解决方法：在 “ 运行 ” 中输入 “ sc config DHCP start= AUTO ” 重启后就完成了。
问题2：在Windows系统下，如果由于某种原因计算机不能获取 DHCP 服务器的配置数据，那么Windows将会根据某种算法自动配置为 169.254.x.x 这样的 IP 地址。显然，这样的 IP
以及相关的配置信息是不能让我们真正接入 Internet 的，为什么？既然不能接入
Internet，那么Winodws系统采用这样的方案有什么意义？
答：此地址不是合法的地址，因此无法获取的网关的mac地址，无法实现上网等操作。意义在于此时就算由于某种原因计算机不能获取 DHCP 服务器的配置数据时，他们还通过保留地址还可以互相通讯。
6.netstat
实作一：Windows 系统将一些常用的端口与服务记录在 C:\WINDOWS\system32\drivers\etc\services 文件中，请查看该文件了解常用的端口号分配。
实作二：使用 netstat -an 命令，查看计算机当前的网络连接状况。更多的 netstat 命令选项，可参考上面链接 4 和 5 。
7.DNS
实作一：Windows 系统将一些固定的/静态的 DNS 信息记录在 C:\WINDOWS\system32\drivers\etc\hosts 文件中，如我们常用的 localhost 就对应 127.0.0.1 。请查看该文件看看有什么记录在该文件中。
实作二：解析过的 DNS 记录将会被缓存，以利于加快解析速度。请使用 ipconfig /displaydns 命令查看。我们也可以使用 ipconfig /flushdns 命令来清除所有的 DNS 缓存。
实作三：使用 nslookup qige.io 命令，将使用默认的 DNS 服务器查询该域名。当然你也可以指定使用 CloudFlare（1.1.1.1）或 Google（8.8.8.8） 的全球 DNS 服务器来解析，如：nslookup qige.io 8.8.8.8，当然，由于你懂的原因，这不一定会得到正确的答案。
问题：上面秘籍中我们提到了使用插件或自己修改 hosts 文件来屏蔽广告，思考一下这种方式为何能过滤广告？如果某些广告拦截失效，那么是什么原因？你应该怎样进行分析从而能够成功屏蔽它？
答：一般而言，我们访问的网页中是含有广告链接的，当我们解析完网站域名，加载渲染该网页的过程中就会产生对广告链接的请求，然后DNS服务器进行解析，进而弹出广告页面。所以我们在hosts文件添加该广告链接域名并指定一个ip地址，由于hosts文件优先级比DNS服务器高，所以解析广告时就会跳到我们指定的ip地址从而达到屏蔽广告的效果。失效可能是广告内容是嵌入到网页中的。
8.cache
实作一：打开 Chrome 或 Firefox 浏览器，访问 https://qige.io ，接下来敲 F12 键 或 Ctrl + Shift + I 组合键打开开发者工具，选择 Network 面板后刷新页面，你会在开发者工具底部看到加载该页面花费的时间。请进一步查看哪些文件被 cache了，哪些没有。
实作二：接下来仍在 Network 面板，选择 Disable cache 选项框，表明当前不使用 cache，页面数据全部来自于 Internet，刷新页面，再次在开发者工具底部查看加载该页面花费的时间。你可比对与有 cache 时的加载速度差异。
使用cache加载页面花费时间为204ms，不使用cache为376ms，显然前者更快。
二、Wireshark 实验
1.数据链路层
实作一 ：熟悉 Ethernet 帧结构
在上述捕获到的网络包中可以看到，目的MAC地址是f4:ee:14:29:1b:06，源MAC地址是b0:25:aa:3a:7d:fe。
类型为IPv4。Ethernet 帧结构主要包括前导码（Preamble）、目标地址和源地址（Destination Address & Source Address）、类型（Type）或长度（Length）、数据（Data）、帧校验序列（FSC）。
✎ 问题：你会发现 Wireshark 展现给我们的帧中没有校验字段，请了解一下原因。
答：在物理层上网卡要先去掉前导同步码和帧开始定界符，然后对帧进行CRC检验，如果帧校验和错，就丢弃此帧。如果校验和正确，就判断帧的目
的硬件地址是否符合自己的接收条件，如果符合，就将帧交“设备驱动程序”做进一步处
理。这时我们的抓包软件才能抓到数据，因此，抓包软件抓到的是去掉前导同步码、帧开始分界符、FCS之外的数据。
实作二：了解子网内/外通信时的 MAC 地址
1.ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可使用 icmp 关键字进行过滤以利于分析），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？
2.然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？
发出目的 MAC 地址以及返回帧的源 MAC 地址是：
3.再次 ping www.cqjtu.edu.cn （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少？这个 MAC 地址又是谁的？
发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是：
✎ 问题 通过以上的实验，你会发现：
1.访问本子网的计算机时，目的 MAC 就是该主机的
2.访问非本子网的计算机时，目的 MAC 是网关的 请问原因是什么？ 答：访问本子网的计算机时，是在同一局域网不需要经过网关到达其它子网，在该子网发送广播询问子网内的所有机器，若有回复则得到对方MAC地址，所以目的MAC就是该主机的；访问非本子网的计算机时，一定需要经过网关，对方返回时也要经过网关，所有目的MAC是网关的。
实作三：掌握 ARP 解析过程
1.为防止干扰，先使用 arp -d * 命令清空 arp 缓存
2.ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可 arp 过滤），查看 ARP 请求的格式以及请求的内容，注意观察该请求的目的 MAC 地址是什么。再查看一下该请求的回应，注意观察该回应的源 MAC 和目的 MAC 地址是什么。
3.再次使用 arp -d * 命令清空 arp 缓存
4.然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 arp 过滤）。查看这次 ARP 请求的是什么，注意观察该请求是谁在回应。
✎ 问题：通过以上的实验，你应该会发现，ARP 请求都是使用广播方式发送的 如果访问的是本子网的 IP，那么 ARP 解析将直接得到该 IP
对应的 MAC；如果访问的非本子网的 IP， 那么 ARP 解析将得到网关的 MAC。
请问为什么？当A主机想要与B主机通信，如果主机A在ARP缓存中没有找到映射，它将ARP请求帧广播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址匹配。主机B确定ARP请求中的IP地址与自己的IP地址匹配，则将主机A的IP地址和MAC地址映射添加到本地ARP缓存中。访问非本子网的计算机时，一定需要经过网关，对方返回时也要经过网关，所有目的MAC是网关。
2.网络层
实作一 ：熟悉 IP 包结构
✎ 问题：为提高效率，我们应该让 IP 的头部尽可能的精简。但在如此珍贵的 IP 头部你会发现既有头部长度字段，也有总长度字段。请问为什么？
头部长度表示ip包头部的总长度，而总长度字段表示了整个ip包的长度，有了这两个，接收方就能确定数据部分从什么地方开始。
实作二：IP 包的分段与重组
根据规定，一个 IP 包最大可以有 64K 字节。但由于 Ethernet 帧的限制，当 IP 包的数据超过 1500 字节时就会被发送方的数据链路层分段，然后在接收方的网络层重组。缺省的，ping 命令只会向对方发送 32 个字节的数据。我们可以使用 ping 202.202.240.16 -l 2000 命令指定要发送的数据长度。此时使用 Wireshark 抓包（用 ip.addr == 202.202.240.16 进行过滤），了解 IP 包如何进行分段，如：分段标志、偏移量以及每个包的大小等
✎ 问题 分段与重组是一个耗费资源的操作，特别是当分段由传送路径上的节点即路由器来完成的时候，所以 IPv6 已经不允许分段了。那么
IPv6 中，如果路由器遇到了一个大数据包该怎么办？ 转发或者直接丢弃该数据包
实作三:考察 TTL 事件
在 IP 包头中有一个 TTL 字段用来限定该包可以在 Internet上传输多少跳（hops），一般该值设置为 64、128等。在验证性实验部分我们使用了 tracert 命令进行路由追踪。其原理是主动设置 IP 包的 TTL 值，从 1 开始逐渐增加，直至到达最终目的主机。请使用 tracert www.baidu.com 命令进行追踪，此时使用 Wireshark 抓包（用 icmp 过滤），分析每个发送包的 TTL 是如何进行改变的，从而理解路由追踪原理。
tracert发出TTL值为1的ICMP数据包，当到达路径上第一个路由器时，路由器会将TTL值减1，此时TTL值为0，该路由器将此数据包丢弃，向源地址返回一个ICMP超时通知，当tracert收到该数据包，获得了这个路径上的第一个路由器的地址。tracert再发送另一个TTL为2的数据包，第一个路由器会将此数据包转发给第二个路由器，当TTL=0，第二个路由器返回一个超时通知，tracert得到第二个路由器地址。Tracert每次发出数据报时便会将TTL加1，发现下一个路由器，这个动作一直重复，直到到达目的地或者确定目标主机不可到达为止。在上述追踪过程中，TTL最大到达了11，说明经过了11个路由器。
✎ 问题 在 IPv4 中，TTL 虽然定义为生命期即 Time To Live，但现实中我们都以跳数/节点数进行设置。如果你收到一个包，其TTL 的值为 50，那么可以推断这个包从源点到你之间有多少跳？
由上述说明可知，TTL一般设置为2^n，如果该值为64则跳了64-50=14次，如果为128则跳了128-50=78，以此类推。
3.传输层
实作一：熟悉 TCP 和 UDP 段结构
用 Wireshark 任意抓包（可用 tcp 过滤），熟悉 TCP 段的结构，如：源端口、目的端口、序列号、确认号、各种标志位等字段。
用 Wireshark 任意抓包（可用 udp 过滤），熟悉 UDP 段的结构，如：源端口、目的端口、长度等。
✎ 问题 由上大家可以看到 UDP 的头部比 TCP 简单得多，但两者都有源和目的端口号。请问源和目的端口号用来干什么？
实现端到端即进程到进程之间的通信。
实作二 分析 TCP 建立和释放连接
打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用 tcp 过滤后再使用加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间使得能够捕获释放连接的包。
请在你捕获的包中找到三次握手建立连接的包，并说明为何它们是用于建立连接的，有什么特征。
第一次握手：客户端发送一个SYN=1，ACK=0标志的数据包给服务端，请求进行连接；
第二次握手：服务端收到请求并且允许连接的话，就会发送一个SYN=1，ACK=1标志的数据包给发送端，告诉它，可以通讯了，并且让客户端发送一个确认数据包；
第三次握手：服务端发送一个SYN=0，ACK=1的数据包给客户端端，告诉它连接已被确认，这就是第三次握手。TCP连接建立，开始通讯。
请在你捕获的包中找到四次挥手释放连接的包，并说明为何它们是用于释放连接的，有什么特征。
访问 www.baidu.com，然后捕获四次挥手
第一次挥手：主机1（可以使客户端，也可以是服务器端），设置Sequence Number和Acknowledgment Number，向主机2发送一个FIN报文段；
第二次挥手：主机2收到了主机1发送的FIN报文段，向主机1回一个ACK报文段，Acknowledgment Number为Sequence Number加1；
第三次挥手：主机2向主机1发送FIN报文段，请求关闭连接，同时主机2进入LAST_ACK状态；
第四次挥手：主机1收到主机2发送的FIN报文段，向主机2发送ACK报文段，然后主机1进入TIME_WAIT状态；主机2收到主机1的ACK报文段以后，就关闭连接；此时，主机1等待2MSL后依然没有收到回复，则证明Server端已正常关闭，主机1也可以关闭连接了。
✎ 问题一 去掉 Follow TCP Stream，即不跟踪一个 TCP 流，你可能会看到访问 qige.io
时我们建立的连接有多个。请思考为什么会有多个连接？作用是什么？
页面资源请求时，浏览器会同时和服务器建立多个TCP连接，在同一个TCP连接上顺序处理多个HTTP请求。所以浏览器的并发性就体现在可以建立多个TCP连接，来支持多个http同时请求。✎ 问题二 我们上面提到了释放连接需要四次挥手，有时你可能会抓到只有三次挥手。原因是什么？
当主机1收到主机2发送的FIN报文时，说明关闭了主机1到主机2的连接，但不影响主机2到主机1的连接，此时如果主机2没有数据发送给主机1的话，就会将第二次和三次挥手合并，最终只有三次挥手。这也说明了TCP是双工通信的。
4.应用层
实作一：了解DNS解析
1.先使用 ipconfig /flushdns 命令清除缓存，再使用 nslookup qige.io 命令进行解析，同时用 Wireshark 任意抓包（可用 dns 过滤）。
2.你应该可以看到当前计算机使用 UDP，向默认的 DNS 服务器的 53 号端口发出了查询请求，而 DNS 服务器的 53 号端口返回了结果。
3.可了解一下 DNS 查询和应答的相关字段的含义
DNS是一套分布式的域名服务系统。每个DNS服务器上都存放着大量的机器名和IP地址的映射，并且是动态更新的。众多网络客户端程序都使用DNS协议来向DNS服务器查询目标主机的IP地址。
DNS 分为查询请求和查询响应，请求和响应的报文结构基本相同。其中，事务 ID、标志、问题计数、回答资源记录数、权威名称服务器计数、附加资源记录数这 6 个字段是DNS的报文首部，共 12 个字节。整个 DNS 格式主要分为 3 部分内容，即基础结构部分、问题部分、资源记录部分。下面将详细地介绍每部分的内容及含义。
✎ 问题 你可能会发现对同一个站点，我们发出的 DNS 解析请求不止一个，思考一下是什么原因？
因为DNS解析过程是有顺序的，首先会向浏览器自带的DNS缓存发送解析请求，若没有再查询操作系统缓存和hosts本地文件，没有继续查询路由器缓存->递归解析服务器缓存->查询根域名服务器->查询顶级域名服务器->查询权威域名服务器，不断向上直到查询到结果。
实作二：了解 HTTP 的请求和应答
1.打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用http 过滤再加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间以将释放连接的包捕获。
2.请在你捕获的包中找到 HTTP 请求包，查看请求使用的什么命令，如：GET, POST。并仔细了解请求的头部有哪些字段及其意义。
Host ：请求的资源在哪个主机的端口上
Connection：该请求支持长连接（heep_alive）
Content-Length：正文内容长度
Content-Type：数据类型
User-Agent：声明用户的操作系统和浏览器版本信息
Accent：发起了请求
Referer：当前页面是从哪个页面跳转过来的
Accept-Encoding：接受的编码
Accept-Language：接受的语言类型
Cookie：用于在客户端存储少量信息，通常用于实现会话（session）功能
3.请在你捕获的包中找到 HTTP 应答包，查看应答的代码是什么，如：200, 304, 404 等。并仔细了解应答的头部有哪些字段及其意义。
Allow 服务器支持哪些请求方法（如GET、POST等）。
Cache-Control 告诉所有的缓存机制是否可以缓存及缓存类型 Cache-Control: no-cache
Content-Encoding Web 服务器支持的返回内容压缩类型 Content-Encoding: gzip
Content-Language 响应体的语言 Content-Language: en,zh
Content-Length 响应体的长度 Content-Length: 348
Content-Location 可替代请求资源的另一个备用地址 Content-Location: /index.htm
Content-MD5 返回资源的 MD5 校验值
Content-Type 返回内容的 MIME 类型
Date 服务器做出响应的时间 Date: Tue, 15 Nov 2010 08:12:31 GMT
…
✎ 问题 刷新一次 qige.io 网站的页面同时进行抓包，你会发现不少的 304
代码的应答，这是所请求的对象没有更改的意思，让浏览器使用本地缓存的内容即可。那么服务器为什么会回答 304 应答而不是常见的 200 应答？
服务器在响应第一次请求后，浏览器有了缓存，当浏览器第二次发送请求时，如果服务器端的资源没有变化，则自动返回 HTTP 304 （Not Changed.）状态码，内容为空，否则重新发起请求，这样就节省了传输数据量。
三、Cisco Packet Tracer 实验
预备知识
-
VLSM(可变长子网掩码) 是为了有效的使用无类别域间路由（CIDR）和路由汇聚(route summary)来控制路由表的大小，它是网络管理员常用的IP寻址技术，VLSM就是其中的常用方式，可以对子网进行层次化编址，以便最有效的利用现有的地址空间。
-
CIDR一般指无类别域间路由。 无类别域间路由（Classless Inter-Domain Routing、CIDR）是一个用于给用户分配IP地址以及在互联网上有效地路由IP数据包的对IP地址进行归类的方法。
-
RIP(Routing Information Protocol,路由信息协议）是使用最久的协议之一。RIP是一种分布式的基于距离向量的路由选择协议。
-
OSPF一般指组播扩展OSPF。 OSPF(Open Shortest Path First开放式最短路径优先）是一个内部网关协议(Interior Gateway Protocol，简称IGP），用于在单一自治系统（autonomous system,AS）内决策路由。
-
VLAN一般指虚拟局域网。 VLAN（Virtual Local Area Network）的中文名为"虚拟局域网"。虚拟局域网（VLAN）是一组逻辑上的设备和用户，这些设备和用户并不受物理位置的限制。
-
STP（Spanning Tree Protocol）是生成树协议的英文缩写，可应用于计算机网络中树形拓扑结构建立，主要作用是防止网桥网络中的冗余链路形成环路工作。
-
NAT（Network Address Translation），是指网络地址转换，1994年提出的。当在专用网内部的一些主机本来已经分配到了本地IP地址（即仅在本专用网内使用的专用地址），但又想和因特网上的主机通信（并不需要加密）时，可使用NAT方法。
-
DHCP（动态主机配置协议）是一个局域网的网络协议。指的是由服务器控制一段IP地址范围，客户机登录服务器时就可以自动获得服务器分配的IP地址和子网掩码。
1.直接连接两台 PC 构建 LAN
将两台 PC 直接连接构成一个网络。注意：直接连接需使用交叉线。
进行两台 PC 的基本网络配置，只需要配置 IP 地址即可，然后相互 ping 通即成功。
配置PC1的静态IP
配置PC2的静态IP
互ping
2.用交换机构建 LAN
构建如下拓扑结构的局域网
各PC的基本网络配置如下表：
| 机器名 | IP | 子网掩码 |
|---|---|---|
| PC0 | 192.168.1.1 | 255.255.255.0 |
| PC1 | 192.168.1.2 | 255.255.255.0 |
| PC2 | 192.168.2.1 | 255.255.255.0 |
| PC3 | 192.168.2.2 | 255.255.255.0 |
✎ 问题
1.PC0 能否 ping 通 PC1、PC2、PC3 ？
2.PC3 能否 ping 通 PC0、PC1、PC2 ？为什么？
PC2和PC3的子网都是192.168.2.0，而PC0和PC1的子网是192.168.1.0，所以PC3能ping通PC2，但ping不通PC0和PC1。通过1,2问题可知，在同一子网内可以互通，而不在同一子网则不能互相通信。
3.将 4 台 PC 的掩码都改为 255.255.0.0 ，它们相互能 ping 通吗？为什么？
可以，它们的子网此时都为192.168.0.0，处于同一网段。
4.使用二层交换机连接的网络需要配置网关吗？为什么？
需要配置网关，二层交换机没有路由的功能，所以需要配置一个网关来实现不同子网之间进行通信。
试一试：集线器 Hub 是工作在物理层的多接口设备，它与交换机的区别是什么？
通过CTP的simulation模式中可以看到，HUB的一个端口发送数据时是以广播形式向每一个端口都发出信息，使用SWITCH连接不同子网，如果主机1与主机2在同一子网，双方发送的信息将不会通过SWITCH进入另一子网。
3.交换机接口地址列表
二层交换机是一种即插即用的多接口设备，它对于收到的帧有 3 种处理方式：广播、转发和丢弃（请弄清楚何时进行何种操作）。那么，要转发成功，则交换机中必须要有接口地址列表即 MAC 表，该表是交换机通过学习自动得到的！
仍然构建上图的拓扑结构，并配置各计算机的 IP 在同一个一个子网，使用工具栏中的放大镜点击某交换机如左边的 Switch3，选择 MAC Table，可以看到最初交换机的 MAC 表是空的，也即它不知道该怎样转发帧（那么它将如何处理？），用 PC0 访问（ping）PC1 后，再查看该交换机的 MAC 表，现在有相应的记录，请思考如何得来。随着网络通信的增加，各交换机都将生成自己完整的 MAC 表，此时交换机的交换速度就是最快的！
查看最初Switch0的MAC表
PC0去pingPC2
再次查看Switch0的MAC地址表，发现添加了新的记录，是PC0和PC2的MAC地址
4.生成树协议（Spanning Tree Protocol）
交换机在目的地址未知或接收到广播帧时是要进行广播的。如果交换机之间存在回路/环路，那么就会产生广播循环风暴，从而严重影响网络性能。
而交换机中运行的 STP 协议能避免交换机之间发生广播循环风暴。
只使用交换机，构建如下拓扑：
这是初始时的状态。我们可以看到交换机之间有回路，这会造成广播帧循环传送即形成广播风暴，严重影响网络性能。
随后，交换机将自动通过生成树协议（STP）对多余的线路进行自动阻塞（Blocking），以形成一棵以 Switch4 为根（具体哪个是根交换机有相关的策略）的具有唯一路径树即生成树！经过一段时间，随着 STP 协议成功构建了生成树后，Switch5 的两个接口当前物理上是连接的，但逻辑上是不通的，处于Blocking状态（桔色）如下图所示：
在网络运行期间，假设某个时候 Switch4 与 Switch5 之间的物理连接出现问题（将 Switch4 与 Switch5 的连线剪掉），则该生成树将自动发生变化。Switch5 上方先前 Blocking 的那个接口现在活动了（绿色），但下方那个接口仍处于 Blocking 状态（桔色）。如下图所示：
5.路由器配置初步
首先构建拓扑图：
1.模拟重庆交通大学和重庆大学两个网络
左边路由器router0是交通大学的，其下使用交换机连接交通大学的网络，分配网络号 192.168.1.0/24，该路由器接口也是交通大学网络的网关，分配 IP 为 192.168.1.1
右边路由器router1是重庆大学的，其下使用交换机连接重庆大学的网络，分配网络号 192.168.3.0/24，该路由器接口也是重庆大学网络的网关，分配 IP 为 192.168.3.1
两个路由器之间使用广域网接口相连，也是一个子网，分配网络号 192.168.2.0/24
2.我们选用的路由器默认没有广域网模块（名称为 WIC-1T 等），需要关闭路由器后添加，然后再开机启动。
router0
router1
3.在模拟的广域网连接中需注意 DCE 和 DTE 端（连线时线路上有提示，带一个时钟标志的是 DCE 端。有关 DCE 和 DTE 的概念请查阅相关资料。），在 DCE 端需配置时钟频率 64000
设置router0为DCE端
4.在现实中，对新的路由器，显然不能远程进行配置，我们必须在现场通过笔记本的串口与路由器的 console 接口连接并进行初次的配置（注意设置比特率为9600）后，才能通过网络远程进行配置。这也是上图左上画出笔记本连接的用意。
5.配置IP
拓扑图中路由器各接口配置数据如下：
| 接口名 | IP | 子网掩码 |
|---|---|---|
| Router0 以太网口 | 192.168.1.1 | 255.255.255.0 |
| Router0 广域网口 | 192.168.2.1 | 255.255.255.0 |
| Router1 以太网口 | 192.168.3.1 | 255.255.255.0 |
| Router1 广域网口 | 192.168.2.2 | 255.255.255.0 |
拓扑图中各 PC 配置数据如下：
| 接口名 | IP | 子网掩码 | 网关 |
|---|---|---|---|
| PC0 | 192.168.1.2 | 255.255.255.0 | 192.168.1.1 |
| PC1 | 192.168.1.3 | 255.255.255.0 | 192.168.1.1 |
| PC2 | 192.168.3.2 | 255.255.255.0 | 192.168.3.1 |
| PC3 | 192.168.3.3 | 255.255.255.0 | 192.168.3.1 |
按上述配置完毕后，拓扑结构如下
现在交通大学内的各 PC 及网关相互能 ping 通，重庆大学也类似。
✎ 问题 现在交通大学内的各 PC 及网关相互能 ping 通，重庆大学也类似。但不能从交大的 PC ping 通重大的
PC，反之亦然，也即不能跨子网。为什么？ 不能，查看router0的路由表发现是没有到router1的下一跳地址，所以不能跨子网。
6.静态路由
静态路由是非自适应性路由协议，是由网络管理人员手动配置的，不能够根据网络拓扑的变化而改变。 因此，静态路由简单高效，适用于结构非常简单的网络。在当前这个简单的拓扑结构中我们可以使用静态路由，即直接告诉路由器到某网络该怎么走即可。
在前述路由器基本配置成功的情况下使用以下命令进行静态路由协议的配置：
对router0配置
对router1配置
查看路由表你可看到标记为 S 的一条路由，S 表示 Static 。至此，这些 PC 能全部相互 ping 通！
让PC2pingPC0试一试能否互ping通，如下图，可以ping通！
7.动态路由
动态路由协议采用自适应路由算法，能够根据网络拓扑的变化而重新计算机最佳路由。
因为我们模拟的网络非常简单，因此不能同时使用静态和动态路由，否则看不出效果，所以我们需要把刚才配置的静态路由先清除掉。
1.清除静态路由配置：
清除router0
清除router1
2.设置RIP路由
至此，这些 PC 也能全部相互 ping 通！
让PC0ping一下PC2，可以ping同
8.动态路由 OSPF
OSPF（Open Shortest Path First 开放式最短路径优先）是一个内部网关协议（Interior Gateway Protocol，简称 IGP）， 用于在单一自治系统（Autonomous System，AS）内决策路由。OSPF 性能优于 RIP，是当前域内路由广泛使用的路由协议。
1.清除 RIP 路由配置：
使用 no 命令清除 RIP 路由。在全局配置模式下，各路由器都使用：no router rip 命令进行清除
对router1和router0进行OSPF路由配置
至此，这些 PC 能全部相互 ping 通！
试一下PC1pingPC3，如下图，可以ping通。
9.基于端口的网络地址翻译 PAT
网络地址转换（NAT，Network Address Translation）被各个 Internet 服务商即 ISP 广泛应用于它们的网络中，也包括 WiFi 网络。 原因很简单，NAT 不仅完美地解决了 lP 地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。
NAT 的实现方式一般有三种：
- 静态转换： Static NAT
- 动态转换： Dynamic NAT
- 端口多路复用： OverLoad
端口多路复用使用最多也最灵活。OverLoad 是指不仅改变发向 Internet 数据包的源 IP 地址，同时还改变其源端口，即进行了端口地址转换（PAT，Port Address Translation）。
采用端口多路复用方式，内部网络的所有主机均可共享一个合法外部 IP 地址实现对 Internet 的访问，从而可以最大限度地节约IP地址资源。 同时，又可隐藏网络内部的所有主机，有效避免来自 Internet 的攻击。因此，目前网络中应用最多的就是端口多路复用方式。
我们仍然使用重庆交通大学和重庆大学两个学校的拓扑进行 PAT 实验。
1.拓扑图中各 PC 配置数据如下：
| 接口名 | IP | 子网掩码 | 网关 |
|---|---|---|---|
| PC0 | 192.168.1.2 | 255.255.255.0 | 192.168.1.1 |
| PC1 | 192.168.1.3 | 255.255.255.0 | 192.168.1.1 |
| PC2 | 8.8.8.2 | 255.255.255.0 | 8.8.8.1 |
| PC3 | 8.8.8.3 | 255.255.255.0 | 8.8.8.1 |
2.拓扑图中路由器各接口配置数据如下：
| 接口名 | IP | 子网掩码 |
|---|---|---|
| router0 以太网口 | 192.168.1.1 | 255.255.255.0 |
| router0 广域网口 | 202.202.240.1 | 255.255.255.0 |
| router1 以太网口 | 8.8.8.1 | 255.255.255.0 |
| router1 广域网口 | 202.202.240.2 | 255.255.255.0 |
配置成功后，如下图
此时，这些 PC 能全部相互 ping 通！
使用 PC0（192.168.1.2）来 ping PC2（8.8.8.2），成功
3.重庆大学路由器（router1）丢包的配置
此时，再使用 PC0（192.168.1.2）来 ping PC2（8.8.8.2）就不成功了，会显示目的主机不可到达（Destination host unreachable）信息。
4.下面开始实施 PAT。即：我们将会在交通大学路由器的出口上将内部/私有 IP 地址转换为外部/公开 IP，从而包的源 IP 发生了改变，就不会被重庆大学路由器丢弃，因此网络连通。
router0 PAT 配置：
现在，再次使用 PC0（192.168.1.2）来 ping PC2（8.8.8.2）则OK。
10.虚拟局域网VLAN
VLAN（Virtual Local Area Network）即虚拟局域网。通过划分 VLAN，我们可以把一个物理网络划分为多个逻辑网段即多个子网。划分 VLAN 后可以杜绝网络广播风暴，增强网络的安全性，便于进行统一管理等。
在 CPT 中构建如下图所示拓扑：
1.交换机 VLAN 配置：
将接口分组规划到不用子网中
各 VLAN 下 PC 的网络配置及连接的交换机接口如下表：
| 机器名 | 连接的接口 | 所属VLAN | IP | 子网掩码 | 网关 |
|---|---|---|---|---|---|
| PC0 | F0/1 | VLAN 10 | 192.168.0.2 | 255.255.255.0 | 192.168.0.1 |
| PC1 | F0/2 | VLAN 10 | 192.168.0.3 | 255.255.255.0 | 192.168.0.1 |
| PC2 | F0/17 | VLAN 30 | 192.168.2.2 | 255.255.255.0 | 192.168.2.1 |
| PC3 | F0/9 | VLAN 20 | 192.168.1.2 | 255.255.255.0 | 192.168.1.1 |
| PC4 | F0/10 | VLAN 20 | 192.168.1.3 | 255.255.255.0 | 192.168.1.1 |
| PC5 | F0/18 | VLAN 30 | 192.168.2.3 | 255.255.255.0 | 192.168.2.1 |
| PC6 | F0/19 | VLAN 30 | 192.168.2.4 | 255.255.255.0 | 192.168.2.1 |
此时可以使用 ping 命令进行测试，你会发现只有在同一 VLAN 中的 PC 才能通信，且广播也局限于该 VLAN。
思考：分析一下当前为何不同 VLAN 中的 PC 不能通信？网关在此起什么作用？我们的网关又在何处？如何发起广播测试？
主机被限制在不同的VLAN中，被隔在不同的广播域中，如果没有引入三层设备的话是无法通信的。网关限制当前VLAN的广播范围。网关为同一子网下与交换机连接的端口。若要发起广播测试，需要引入三层设备。
11.虚拟局域网管理 VTP
前一个实验我们在交换机上进行了 VLAN 的规划和划分。但在实际应用中，我们绝不允许在这些支持VLAN的交换机上进行随意的 VLAN 划分，如此将造成管理混乱！VLAN的划分必须得到统一的规划和管理，这就需要 VTP 协议。
VTP（VLAN Trunk Protocol）即 VLAN 中继协议。VTP 通过 ISL 帧或 Cisco 私有 DTP 帧（可查阅相关资料了解）保持 VLAN 配置统一性，也被称为虚拟局域网干道协议，它是思科私有协议。 VTP 统一管理、增加、删除、调整VLAN，自动地将信息向网络中其它的交换机广播。
此外，VTP 减小了那些可能导致安全问题的配置，只要在 VTP Server 做相应设置，VTP Client 会自动学习 VTP Server 上的 VLAN 信息。
为演示 VTP，重新构建如下拓扑结构：
目前该网络都属于 VLAN 1，也即这些 PC 是可以相互通信的。前面说过，无论对于性能、管理还是安全等而言，现实中我们必须进行 VLAN 划分。
现在我们的要求是：新建两个 VLAN，然后让 PC0 和 PC1 属于 VLAN 2，PC1 和 PC3 属于 VLAN 3。
我们将在核心交换机 3560上进行如下工作：
1.设置为 server 模式，VTP 域为 cqjtu
2.新建 VLAN 2，网络号 192.168.1.0/24，网关 192.168.1.1
3.新建 VLAN 3，网络号 192.168.2.0/24，网关 192.168.2.1
3560 VTP Server 配置：
我们将在左边交换机 2960A 上进行如下工作：
1.加入名为 cqjtu 的 VTP 域
2.配置与核心交换机 3560 连接的千兆接口 g0/1 为 trunk 模式
3.将接口 f0/1 划分到 VLAN 2 中
4.将接口 f0/2 划分到 VLAN 3 中
2960A（左边） VTP Client 配置：
我们将在右边交换机 2960B 上进行同样的工作：
1.加入名为 cqjtu VTP 域
2.配置与核心交换机 3560 连接的千兆接口 g0/1 为 trunk 模式
3.将接口 f0/1 划分到 VLAN 2 中
4.将接口 f0/2 划分到 VLAN 3 中
2960B（右边） VTP Client 配置：
各 PC 连接的交换机和接口以及网络配置如下：
| 机器名 | 连接的交换机和接口 | 所属VLAN | IP | 子网掩码 | 网关 |
|---|---|---|---|---|---|
| PC0 | 2960A-F0/1 | VLAN 2 | 192.168.1.2 | 255.255.255.0 | 192.168.1.1 |
| PC1 | 2960A-F0/2 | VLAN 3 | 192.168.2.2 | 255.255.255.0 | 192.168.2.1 |
| PC2 | 2960B-F0/1 | VLAN 2 | 192.168.1.3 | 255.255.255.0 | 192.168.1.1 |
| PC3 | 2960B-F0/2 | VLAN 3 | 192.168.2.3 | 255.255.255.0 | 192.168.2.1 |
至此，VTP 配置完成。同 VLAN 可以 ping 通，而不同 VLAN 不行（即使在同一交换机下，如从 PC0 到 PC1），且能够方便的统一规划和管理。
✎ 试一试 使用 PC0（192.168.1.2） ping PC1（192.168.2.2） 的结果如何？使用 PC0 ping PC2的结果如何？想想为什么？
因为PC0和PC2被划分在一个VLAN，而PC1和PC3则在另一个VLAN，即在不同的网段中。
12.VLAN 间的通信
VTP 只是给我们划分和管理 VLAN 提供了方便，由上面的测试得知，目前我们仍然不能在 VLAN 间通信。
因为默认的，VLAN 间是不允许进行通信，此时我们需要所谓的独臂路由器在 VLAN 间为其进行转发！
我们使用的核心交换机 3560 是个 3 层交换机，可工作在网络层，也称路由交换机，即具有路由功能，能进行这种转发操作。
3560 交换机配置：
✎ 试一试 现在再使用 PC0（192.168.1.2） ping PC1（192.168.2.2） 的结果如何？使用 PC0 ping PC2 的结果如何？
13.DHCP、DNS及Web服务器简单配置
动态主机配置 DHCP、域名解析 DNS 以及 Web 服务在日常应用中作用巨大，我们构建如下简单的拓扑来进行练习。
该拓扑中，服务器及客户机都连在同一交换机上。为简单起见，服务器 Server-PT 同时作为 DHCP、DNS 以及 Web 服务器，各客户机无需配置，将自动获取网络配置。
点击 CPT 拓扑图中的 Server 图标，设置其静态 IP 地址为 19.89.6.4/24，然后选择 Service 进行如下相关配置：
✎ 试一试
1.查看PC机是否自动配置，如下图，自动配置成功
2.因为我们在 DNS 服务器中把谷歌和百度的 IP 都设为了 19.89.6.4，即 Server-PT，所以，如果打开 PC0 的浏览器，输入 www.google.com 或者 www.baidu.com，我们都应该看到默认的 Server-PT 这个 Web 服务器的主页（你也可进行编辑）
14.WLAN初步配置
WLAN 即 WiFi 当前也是广泛的应用在各种场景。
我们通过构建如下拓扑的一个家庭 WLAN 来练习一下其相关的配置：
1.笔记本及台式机默认只有有线网卡，在关机状态下删除有线网卡，添加无线网卡，然后再开机。
装上无线网卡后，启动DHCP自动获取ip/子网掩码/网关/DNS
2.给PC0装上无线网卡
构建的网络拓扑如下：
扫一扫
796
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
