下一篇：网工面试题（安全）
TCP/IP
介绍TCP/IP四层、五层模型作用及每层包含的协议
TCP/IP四层模型
应用层：提供人机交互的接口，为应用程序提供网络服务
传输层：建立维护管理端到端的连接，定义一种传输形式
网络层：对数据包进行IP寻址和路由探测
网络接口层（数据链路层+物理层）：负责封装成帧、错误检测、访问媒介以及物理寻址
TCP/IP五层模型
应用层：同上
传输层：同上
网络层：同上
**数据链路层：**将数据包封装成帧，进行物理寻址和差错校验
**物理层：**将数据转化为比特流在传输介质上进行传输
包含的协议
数据通信中(浏览网页)，数据包的传输过程
1、浏览器输入网址。在浏览网页时，浏览器会使用DNS协议查找他的IP地址。
2、查询到ip地址后，就会进行数据封装的过程，由应用层封装完毕（http:80)以后，交给传输层，传输层有两种协议TCP/UDP，浏览网页时选择TCP协议封装，传输层封装后，浏览器将数据包交给系统的网络层。（操作系统根据目标地址ip判定查找路径，本地还是网络，内网还是外网，国内还是国外），浏览器根据目标ip判定若非本地，使用ARP协议找到网关。网络层封装完后操作系统将ip数据包给数据链路层，网卡将数据包发出。
3、到达NAT设备时，会将私网地址转换成公网地址，继续转发
4、网关接收数据包，取出目标ip，根据路由协议（OSPF，BGP），获取下一个网关MAC地址，直到获取到最后一个网关（网关内用MAC地址通讯）,数据到达最后网关，查找目标ip，获取目标ip的MAC地址。封装数据包后发送到目标ip。
5、目标服务器收到后，对比数据包中MAC地址，将数据包交给服务器的网络层，对比ip，取下ip头，ip头里写上一层封装的TCP协议，将数据包交给应用层。
6、应答包同样和请求包一样，经过多个路由器的路由寻址和转发，到达目的网段。随后客户端主机对应答报文进行解封装。随后回复一个应答包，应答包同样和请求包一样，经过多个路由器的路由寻址和转发，到达目的网段。随后客户端主机对应答报文进行解封装。
介绍TCP/UDP的常见端口号
清楚TCP的三次握手/四次挥手
TCP的三次握手
TCP的四次挥手
TCP与UDP有什么区别？
特性 TCP UDP 连接类型 面向连接 无连接 可靠性 可靠传输 不可靠传输 数据完整性 通过校验和、重传控制、序号标识等确保数据无差错、不丢失、不重复、按序到达 不保证数据的可靠性，无重传机制，无顺序控制 效率 较低（由于需要建立连接、维护连接状态、进行拥塞控制等） 较高（无需建立连接、无需等待应答、无拥塞控制） 头部开销 较大（通常20字节） 较小（通常8字节） 拥塞控制 支持拥塞控制，通过算法调整数据传输速率以避免网络拥塞 不支持拥塞控制，可能导致网络拥堵 流量控制 支持流量控制，确保接收方能够及时处理接收到的数据 不支持流量控制 通信方式 点到点 支持一对一、一对多、多对一、多对多通信 适用场景 需要高可靠性的数据传输，如网页浏览、电子邮件、文件传输等 实时性要求高，但对数据可靠性要求不高的场景，如在
TCP与UDP的包头结构
TCP编码位有哪些？
FIN： 结束标志；为1时，请求断开连接。
SYN：同步标志；为1时，请求建立连接。
RST：复位标志；为1时，请求重新建立TCP连接。
PSH：通知接收端立即将数据交给用户进程，不要停留在缓存中 ，等待更多的数据。
ACK：确认标志；确认号有效位，表明该数据包包含确认信息。
URG：紧急标志；紧急指针有效位，与16位紧急指针配合使用
TCP可靠性怎么体现
1、序列号、确认应答、超时重传
2、窗口控制与快速重传（重复确认应答）
3、拥塞机制
介绍FTP
FTP为文件传输协议，默认使用20、21端口，分为主动模式和被动模式
主动模式：
FTP客户端通过向FTP服务器发送PORT命令，告诉服务器该客户端用于传输数据的临时端口号，当需要传送数据时，服务器通过TCP端口号20与客户端的临时端口建立数据传输通道，完成数据传输
在建立数据连接的过程中，由服务器主动发起连接，因此被称为主动方式
被动模式：
FTP客户端通过向FTP服务器发送PASV命令，告诉服务器进入被动方式。服务器选择临时端口号并告知客户端，当需要传送数据时，客户端主动与服务器的临时端口号建立数据传输通道，完成数据传输
在整个过程中，由于服务器总是被动接收客户端的数据连接，因此被称为被动方式。
ICMP报文
DNS 域名解析过程
- 浏览器缓存：检查本地是否已缓存域名对应的 IP 地址，若找到且未过期则直接使用
- 操作系统缓存：若浏览器无缓存，则查询操作系统的 DNS 缓存
- 本地 DNS 解析器：若系统缓存无结果，请求发送至本地 DNS 服务器
- 迭代查询：
- 本地 DNS 服务器依次向 根域名服务器 查询顶级域名服务器地址
- 向 顶级域名服务器 查询权威域名服务器地址
- 向 权威域名服务器 查询域名对应的 IP 地址
- 返回结果：权威域名服务器返回 IP 地址，本地 DNS 服务器缓存结果并返回给浏览器
- 建立连接：浏览器使用 IP 地址与目标服务器建立 TCP/HTTPS 连接，加载网页
DNS的两种查询方式及运用场景
递归查询：客户端向DNS服务器发起查询请求，DNS服务器负责直接返回查询结果或递归地查询其他DNS服务器，直到找到结果并返回给客户端。适用于客户端到本地DNS服务器的查询，以及企业内部DNS系统的解析。UDP
迭代查询：DNS服务器向客户端提供其他DNS服务器的地址，客户端继续向这些服务器发起查询，直到找到结果。适用于根域名服务器到权威DNS服务器的查询过程，以及验证公网域名解析逻辑的场景。TCP
ARP工作过程、分类？代理ARP/无故ARP/的作用
ARP的工作过程可以简化为以下几个步骤：
ARP协议的分类及其作用：
代理ARP（Proxy ARP）：
- ARP广播报文只在本子网内传播，代理ARP允许三层设备扮演代理的角色。代理设备将自己的MAC地址提供给源设备。这样，源设备就可以将数据包发送给代理设备，代理设备再将数据包转发给目的设备，从而实现间接的通信。
无故ARP（Gratuitous ARP）：目的IP和源IP都是自己
- 请求型无故ARP：请求自己IP的MAC地址，用于检测自己的IP地址是否已存在（冲突），目的MAC全为0
- 应答型无故ARP：自己的IP地址发生改变，用于刷新其他主机或设备的ARP表。目的MAC全为1
现在上网会用到代理ARP吗？为什么代理ARP不常用？
代理ARP在现代网络中使用较少，主要因为它可能导致性能问题和安全风险，现代网络更倾向于使用更安全和有效的替代方案，如VLAN和路由器间的三层通信。
ARP封装与报文格式？
ARP欺骗解决方法
1 .DHCP snooping 技术
2 .静态绑定MAC地址和IP地址
3 .使用下一代防火墙，IPS
arp表和mac表的区别
特性 ARP表 MAC表 定义 存储IP地址到MAC地址的映射关系 存储MAC地址与交换机接口（及VLAN信息）的对应关系 作用 辅助三层设备（如路由器、主机）将IP地址解析为MAC地址，以便进行网络通信 辅助二层设备（如交换机）进行报文的快速转发 存储内容 IP地址到MAC地址的映射 MAC地址、接口、VLAN等信息的对应关系 应用场景 主要应用于三层网络通信，特别是IP网络环境 主要应用于二层网络通信，特别是以太网环境 表项来源 动态（通过ARP协议自动获取）或静态（手动配置） 动态（通过接口学习得到）或静态（手动配置） 位置 通常存在于三层设备（如路由器、主机）中 存在于二层设备（如交换机）中 影响 影响三层设备间的通信，如果ARP表不正确或缺失，可能导致通信失败 影响二层设备内的报文转发效率，如果MAC表不正确或缺失，可能导致广播风暴或通信延迟
内网PC上不了网有哪些原因及思路分析
检查网络连接：首先确保网络连接稳定，包括网线、网卡等硬件设备。
检查网络设置：检查IP地址、子网掩码、默认网关等网络设置是否正确。
检查防火墙和安全软件：确保防火墙和安全软件没有阻止必要的网络访问。
检查路由器和交换机：检查路由器和交换机的状态和设置是否正确。
检查网络权限：确保您的电脑有相应的网络访问权限。
排查ARP攻击或欺骗：如果怀疑存在ARP攻击或欺骗，尝试清理和重新绑定ARP信息，并检查路由器ARP绑定设置。
检查其他可能的问题：如中毒、IP冲突、ISP线路问题等。
交换机
二层交换机工作过程(含数据转发依据，mac地址表学习、更新、老化，广播及泛洪等)
一、数据转发依据
- 二层交换机转发数据主要依据的是数据帧中的目的MAC地址。
二、MAC地址表的学习与更新
- 交换机通过接收到的数据帧中的源MAC地址来学习并更新其内部的MAC地址表。当交换机再次接收到目的MAC地址与表中记录相匹配的数据帧时，就能够迅速将其转发到相应的端口。
三、MAC地址表的老化
- MAC地址表老化时间（默认为300秒）。在老化时间内，交换机没有再次收到源地址为该MAC地址的数据帧，那么该MAC地址将从地址表中删除。避免过时或无效的MAC地址占用表项资源。
四、广播与泛洪
- 当交换机接收到一个目的MAC地址不在其MAC地址表中的数据帧时，它会泛洪。泛洪是指将数据帧从除接收端口的所有端口转发出去，以便让网络中的其他设备能够接收到该数据帧并学习其源MAC地址。
- 广播是一种特殊类型的泛洪，它针对的是广播地址（FFFF.FFFF.FFFF）。当交换机接收到广播数据帧时，它会将该帧转发到所有端口，以便让网络中的所有设备都能接收到。
交换机的MAC地址表被占满，如何继续学习？
**交换机：**通过老化机制删除长时间未使用的MAC地址条目来为新条目腾出空间。同时，可能会限制进一步的学习操作（限制哪些类型的帧或哪些端口上的帧不学习）
**管理员：**可以清除表项、启用端口安全、升级硬件或优化网络设计
一个箱式交换机，由哪些部分组成？
交换引擎（Switching Fabric）：处理和转发数据包的核心组件。
端口：连接其他设备的数据进出口，可以是以太网、光纤等接口。
管理模块：提供GUI或CLI界面，用于配置和监控交换机。
电源和风扇：提供电力和散热，保证设备稳定运行。
背板（Backplane）：连接各组件的内部结构，支持高速数据传输。
给客户推荐交换机时，从哪些方面进行选型考虑
端口类型和数量：根据客户的设备类型和规模选择合适的端口类型和数量。
传输速率：根据网络带宽需求选择合适的传输速率（如千兆、万兆以太网）。
管理和安全功能：确认交换机支持的管理功能（如VLAN、QoS）和安全特性（如访问控制）。
可靠性和成本效益：考虑交换机的可靠性特性和成本效益，选择适合的硬件质量和价格。
未来扩展性和兼容性：评估交换机是否支持未来的网络扩展计划和技术标准。
厂商支持和服务：考虑厂商提供的技术支持和售后服务质量。
MTBF是什么?MTTR是什么?
MTBF (Mean Time Between Failures)：
MTBF指的是平均无故障时间，是指设备在正常操作期间平均运行的时间间隔，即设备在没有发生故障时的预期使用时间。通常以小时为单位，高MTBF值表示设备在运行中更加可靠。
MTTR (Mean Time To Repair)：
MTTR指的是平均修复时间，是设备在发生故障后从发现故障到修复完成的平均时间。通常以小时为单位，较短的MTTR意味着设备在发生故障后可以更快地恢复正常运行状态，减少停机时间和生产损失。
三层交换机是如何判断是二层转发还是三层转发？
二层转发（Layer 2 Switching）：如果目标MAC地址在交换机的MAC地址表中，交换机直接进行二层转发，将数据帧发送到对应的物理接口
三层转发（Layer 3 Routing）：如果目标MAC地址未知或者目标IP地址需要跨越子网进行通信，交换机会根据路由表找到正确的下一跳地址，执行三层转发，将数据帧路由到目标网络或主机
路由器
三层交换机与路由器相同点及不同点、应用场景
相同点：
- 数据转发：两者都可以用来转发数据包，使其从一个网络接口传输到另一个网络接口
- 网络连接：两者都可以用于连接不同的网络，如局域网（LAN）和广域网（WAN）
不同点：
特征 三层交换机 路由器 工作层次 数据链路层（第二层）和网络层（第三层） 网络层（第三层） 转发方式 基于MAC地址（第二层）和IP地址（第三层） 基于IP地址（第三层） 转发速度 非常快，通常和交换机相似 速度较慢，因为需要进行路由表查找和决策 路由能力 有限，通常支持少数静态路由 高，支持复杂的动态路由和策略控制 路由表 较小，处理相对简单的网络拓扑 大，可以处理复杂的网络拓扑和多路径选择 跨网段通信 支持，但通常在同一子网内转发更快 支持，可以跨越多个子网进行通信 ACL或NAT 通常不支持，因为主要关注局域网内部交换 支持，可以进行地址转换和安全控制 适用场景 局域网内部交换，提供快速数据转发 连接不同网络，提供网络间路由和互联 成本和复杂性 低成本和低复杂性，适合中小型网络 高成本和复杂性，适合大型企业网络和互联网
路由器的工作原理
接收数据包：接收到来自其他设备的数据包时，提取数据包中的目标IP地址。
路由查找：在路由表中查找到与目标IP地址匹配的记录。它记录了数据包应该被转发到的下一个路由器或目标设备的IP地址。
转发决策：
- 如果路由器在路由表中找到了匹配的目标网络地址，它会确定数据包应该通过哪个出口接口进行转发。
- 如果没有找到匹配的目标网络地址，路由器会查看是否有默认路由。如果有，数据包被转发到的默认出口。
- 如果既没有找到匹配项也没有默认路由，路由器会给源IP地址发送一个ICMP数据包，表明无法传递该数据包。
转发数据包：一旦路由器做出了转发决策，它会将数据包从入口转发到正确的出接口。在转发过程中，路由器可能会修改数据包的某些头部信息，如TTL（Time to Live）值。
反向路径：当目标设备响应时，路由器将根据目标设备的地址和已知的网络路径将响应数据包发送回源设备。
一条路由包含哪些信息
目标网络地址（Destination Network Address）：指示数据包应该被路由到的目标网络地址。
子网掩码（Subnet Mask）：用于确定目标网络地址的范围。
下一跳（Next Hop）：指示数据包应该经过哪个路由器或者出接口才能到达目标网络。
接口（Interface）：数据包应该从哪个物理或逻辑接口发送出去，以便到达目标网络。
度量（Metric）：衡量到达目标网络路径的优先级或距离。
标志（Flags）：用于指示路由的状态或条件，例如是否是静态路由、是否是默认路由等。
时效性（Validity）：指示路由条目的有效期或生存时间，以便在适当的时候更新路由表。
路由表查找匹配原则
最长掩码匹配原则：当数据包在路由表中匹配到多条掩码长度不同的路由时，路由器会优先选择掩码最长的路由条目进行转发。例如，如果目的IP可以匹配到路由192.168.1.0/30、192.168.1.0/29、192.168.1.0/28和192.168.1.0/24，那么路由器会优先选择192.168.1.0/30的路由进行转发。
管理距离（AD）或路由优先级原则：当存在多条掩码长度相同的路由时，路由器会根据管理距离（AD）或路由优先级进行选择。AD值越小，表示该路由的优先级越高。不同的路由协议有不同的AD值，例如静态路由的AD值通常为1，而OSPF的AD值为110。
度量值（Metric）原则：当存在多条掩码长度相同且管理距离（AD）也相同的路由时，路由器会根据度量值（Metric）进行选择。度量值（Metric）表示路径的开销或距离，度量值越小，表示该路径的开销越小或距离越近。
直连路由、静态路由、RIP、OSPF的路由优先级从高到低排列?
| 路由类型 | 优先级/管理距离 | 备注 |
|---|---|---|
| 直连路由（Direct） | 0 | 最高优先级，表示路由器直接连接到的网络 |
| 静态路由（Static） | 60 | 次于直连路由，由网络管理员设置 |
| OSPF内部路由 | 逻辑上较高 | 基于链路状态算法，默认管理距离通常为10 |
| OSPF外部路由 | 110 | 相对于内部路由优先级较低，但可调整 |
| RIP | 100 | 优先级较低，通常用于小型到中型网络，默认管理距离为100 |
链路聚合
常见网络可靠技术有哪些
冗余配置：使用冗余路径和设备来保证网络在部分故障时仍能正常运行。
负载均衡：分散流量到多个服务器或设备，避免单点故障影响整体性能。
故障转移：在主设备或路径故障时自动切换到备用设备或路径，以确保服务连续性。
QoS管理：优化网络资源分配，确保关键应用和服务的高优先级。
备份和恢复策略：定期备份重要数据和配置，以便在需要时快速恢复正常运行。
安全措施：实施防火墙、IDS、VPN等安全措施，保护网络免受恶意攻击和数据泄露。
链路聚合/端口聚合的作用是什么，用在哪里?
一、作用：
**增加带宽和吞吐量：**将多个物理链路捆绑成一个逻辑链路，实现带宽的累加
**提高冗余和可靠性：**如果一个物理链路发生故障，流量可以自动切换到其他正常链路上
**实现负载均衡：**在多个物理链路之间均衡分配数据包，避免某一条链路负载过重
**简化网络管理：**管理员只需配置和监控一个逻辑接口，而不是多个单独的物理接口
二、应用场景：
通常用于数据中心、企业网络和服务提供商网络，以提升网络性能、可靠性和管理效率
静态聚合与动态聚合的区别
静态聚合 动态聚合 配置方式 手动配置聚合组号和端口成员，将多个物理端口直接加入聚合组 自动进行，依赖于网络设备之间的协商和协议（如LACP） 协议支持 不运行LACP协议 运行基于IEEE 802.3ad的LACP协议 灵活性 配置相对固定，不随网络条件变化而自动调整 可以根据网络条件的变化自动调整聚合组成员，提供更高的灵活性 可靠性 如果一个端口故障，可能需要手动干预来恢复服务 协议可以检测到链路故障并自动切换到备用链路，提高了可靠性 适用场景 适用于配置相对固定、不需要频繁变动的场景，如小型企业网络或家庭网络 适用于需要高灵活性和自动管理的场景，尤其是在大型网络环境中
VLAN
VLAN定义、应用场景、作用
VLAN的定义：
VLAN即虚拟局域网，是将一个物理的LAN（局域网）在逻辑上划分成多个广播域的通信技术。VLAN内的主机间可以直接通信，而VLAN间则不能直接通信，从而将广播报文限制在一个VLAN内，降低了网络拥堵和广播风暴的发生。
VLAN的作用：
- 提高网络安全性：通过逻辑分割网络，限制不同VLAN间的直接通信，从而增强网络的安全性。
- 优化网络性能：减少广播域的范围，降低广播包对网络带宽的消耗，提高网络性能。
- 简化网络管理：通过逻辑划分网络，可以更方便地应用访问控制列表（ACL）、质量服务（QoS）等网络服务，并简化对网络设备的配置和维护工作。
- 提升网络灵活性：VLAN的划分不受物理位置的限制，可以根据用户需求进行灵活的网络分段和资源配置。
Access端口与Trunk端口区别？
特性 Access端口 Trunk端口 VLAN处理 只属于一个VLAN，传输属于该VLAN的数据 属于多个VLAN，可以传输多个VLAN的数据 VLAN标签 不携带VLAN标签 携带VLAN标签以区分不同VLAN的数据 连接设备 主要连接终端设备（如电脑、打印机、服务器） 主要连接交换机之间或交换机与路由器之间 用途 为终端设备提供接入点，确保数据在特定VLAN内传输 用于交换机间多VLAN数据传输，提高带宽利用率
Truck端口和Hybrid端口的区别?
特性 Trunk口 Hybrid口 VLAN处理 允许多个VLAN通过 允许多个VLAN通过 标签发送 非缺省VLAN需打标签 可配置多个VLAN不打标签 应用场景 主要用于交换机间连接 交换机间连接及连接用户设备
802.1和802.3有什么区别？
IEEE 802.1
802.1d：生成树协议（STP）
802.1s：多生成树协议（MSTP）
802.1w：快速生成树协议（RSTP）
802.1p：优先级队列，数据包流量控制
802.1q：虚拟局域网协议（VLAN）
802.1x：基于端口的网络访问控制（PBNAC）
IEEE 802.3
物理层标准：定义了以太网的物理连接规范，如10Base-T、100Base-TX、1000Base-T等。
数据链路层（MAC）：负责数据封装、编址、差错检测，并通过CSMA/CD控制信道访问。
扩展和增强：支持更高传输速率（如快速以太网、千兆以太网）和更复杂的网络拓扑。
WAN
广域网应用场景是什么，包含哪些常见协议，连接介质有哪些
广域网的应用场景
广域网则是由运营商组建（企业付费租借），完成远距离数据传输。按照长途通信网的不同，WAN线路可分为专线、分组交换、电路交换、虚拟专用网四种类型
广域网常见的协议
TCP/IP：是互联网的基础协议，提供了数据在网络中传输的标准
PPP：用于在串行链路上建立数据链路连接。用于拨号连接和通过调制解调器连接到互联网
HDLC：是数据链路层的一个协议，常见于WAN中的数据链路连接。
Frame Relay：一种面向连接的数据链路协议，用于在WAN中传输数据
广域网的连接介质
传输网：电信运营商建设的长途通信网
本地环路：从电信运营商传输机房至用户机房的线路及设备
CPE：光电转换器，运营商放在用户机房的设备，是本地环路的最后一个设备
路由器：用户的广域网互连设备
介绍PPP协议，和HDLC的区别？
特征 PPP协议 HDLC协议 定义与用途 点对点协议，数据链路层通信 高级数据链路控制，数据链路层通信 多点连接支持 支持多种连接类型，如同步和异步连接 主要支持点对点连接 认证支持 支持多种认证方式，如PAP和CHAP 通常需要通过其他协议实现认证 握手协议 有建立连接和断开连接的握手协议 通常需要通过其他协议实现握手 灵活性 更加灵活，适用于多种网络环境和需求 相对较为固定，适用于特定的数据链路需求
PPP会话建立过程
PAP认证流程
CHAP认证流程
介绍PPPoE认证
PPPoE基于以太网的点对点协议，将PPP协议封装在以太网框架的一种网络隧道协议
工作过程
STP
二层环路的危害是什么
广播风暴：一个广播帧可能会在环路中不断循环，导致网络上充斥着大量的重复广播帧，使得网络带宽被无效占用。现象：交换机指示灯以相同频率快速闪烁
MAC地址表不稳定：交换机在学习MAC地址时，可能会因为环路的存在而学习到错误的MAC地址信息或者频繁地更新MAC地址表，导致MAC地址表的不稳定。
网络性能下降：由于广播风暴和多帧复制，网络的整体性能会大幅下降，用户可能会遇到网络延迟、丢包、服务不可用等问题。
STP解决环路的原理，选举规则
STP解决环路的原理
- 交换机之间通过发送BPDU（Bridge Protocol Data Unit，2秒/次）消息来发现网络中的其他交换机，并收集网络拓扑信息。
- 每个交换机根据收集到的网络拓扑信息，通过算法计算出网络的生成树。在这个过程中，交换机需要选举出根桥、根端口和指定端口。
- 非根桥交换机上的非指定端口被置于阻塞状态，不参与数据的转发，从而消除环路。
STP的选举规则
选举根网桥，比较网桥ID，根网桥上的所有端口都是指定端口
选择根端口，依次比较根路径开销、发送方网桥ID、发送方端口ID
选择指定端口，依次比较根路径开销、发送方网桥ID、发送方端口ID
STP端口状态
STP收敛机制
TCN有什么作用 ，它的传播过程是怎么样的？
作用：
在网络拓扑发生变化时，快速通知网络中的设备关于这一变更的信息，以促进网络的快速收敛和稳定性。
过程：
检测变更：交换机检测到拓扑变化
发送TCN：向根桥发送拓扑变更通知（TCN BPDU）
逐级转发：TCN BPDU沿树向上传递到根桥
广播TC：根桥广播拓扑变更BPDU（TC BPDU）给所有交换机
更新与收敛：当收到TC置位的BPDU时，改mac表老化时间300s为15s
STP中出现了两个根网桥，可能存在的问题
链路故障：传输STP BPDU报文的链路故障，BPDU报文无法正常传输
故障恢复：根网桥故障后，新的根网桥选举过程可能导致暂时存在双根
设备不兼容：不同厂商，不同版本的网络设备运行STP可能存在不兼容
RSTP
RSTP相比STP改进了哪些?
简化端口状态
新增端口角色
BPDU的优化
除TC以及TCA标志位，还包含P/A标志位、端口状态标志位以及端口角色标志位
BPDU的处理
- 网桥自行从指定端口发送RST BPDU，不需要等待来自根桥的RST BPDU触发。发送周期为1倍Hello Time（2s）
- RST BPDU老化时间为3倍Hello Time（6s，STP:10倍20s）
- 阻塞状态的端口可以立即对收到的低优先级的RST BPDU做出回应
RSTP有哪些收敛机制?
边缘（快速）端口机制
边缘端口可以直接进入转发状态，不需要延时，并且不会触 发拓扑改变
边缘端口收到BPDU后，会转变为非边缘端口（可用端口保护让它不转变）
根端口快速切换机制
在无环路风险情形下，新选举出的根端口快速进入转发状态
指定端口快速切换机制（P/A机制）
指定端口可以通过与相连的网桥进行一次握手，快速进入转发状态（必须在点到点链路）
– 握手请求报文：Proposal，flag字段第一位
– 握手回应报文：Agreement，flag字段第六位
拓扑改变处理机制（TC机制）
不再使用TCN，收敛更快速（触发条件：非边缘端口转变为Forwarding状态时）
– 在两倍Hello时间内向所有其它指定端口和根端口发送TC置位BPDU报文
– 清除除接收到TC报文的端口之外的所有指定端口和根端口学习的MAC地址
介绍P/A机制
PA机制的作用
减少等待时间：在STP中，端口从阻塞状态转变为转发状态需要等待两个转发延迟时间（通常为30秒）。而在RSTP中，通过PA机制，这个等待时间可以大大缩短，甚至可能只需要几秒钟。
PA机制的工作流程
P置位BPDU的发送：当上游设备（指定端口DP）希望快速进入转发状态时，它会发送一个包含 P 置位的RST BPDU给下游设备（根端口RP或阻塞端口AP）
状态改变与同步：下游设备接收到 P 置位BPDU后，会将其对应的端口状态更改为转发状态，并启用同步机制来阻塞其他不必要的端口
Agreement报文的发送：下游设备随后向上游设备发送一个包含 A 置位的RST BPDU，表示已经接受并完成了状态的改变
上游设备状态更新：上游设备接收到 A 报文后，会立即将其对应的端口状态更新为转发状态。至此，PA协商完成，两端口均进入转发状态
MSTP
MSTP的特点是什么?区分MSTP域的条件有哪些?
MSTP的特点
多实例支持：允许配置多个独立的Spanning Tree实例，每个实例可以映射到不同的VLAN
减少控制消息：使用单一的配置消息，减少了网络中的CPU处理负载和带宽占用
快速收敛：类似于RSTP，具有快速的拓扑变化响应和收敛能力
兼容性：与RSTP、STP兼容，便于现有网络设备的升级和集成。
区分MSTP域的条件
MST配置名称：每个域内的设备必须配置相同的MST配置名称。
MST配置版本号：每个域内的设备必须使用相同的MST配置版本号。
VLAN到实例映射：每个域内必须定义相同的VLAN到MST实例的映射关系。
唯一的Bridge ID优先级：每个设备在域内必须具有唯一的Bridge ID优先级。
STP的保护机制
BPDU保护：
为了保护边缘端口，因为当一个边缘端口收到一个BPDU时，会状变为非边缘端口，会参与生成树的计算，如果频繁的UP/DOWN，就使网络一直处于生成树的计算。解决方法：在交换机的端口开启BPDU保护，当设置为BPDU保护的端口收到BPDU时，系统会将该端口变为down状态。
根桥保护：当网络中出现优先级更高的网桥时，根网桥可能会发生变化，导致闭塞端口发生变化，导致网络流量路径的转变，高速链路状变为低速链路。解决办法，在端口下开启根桥保护，该端口收到一个优先级更高的BPDU时，该端口马上将变为侦听（Listening）状态，不在收发数据报文，如果在此期间，没有收到更高的BPDU时，则会恢复原来的转发状态。
环路保护：当由于网络拥塞，导致下游交换机收不到上游交换机的配置BPDU，在规定时间内，下游交换机没有收到，则会开启闭塞端口，选定端口角色，可能会导致临时环路。解决办法：环路保护，如果在规定周期内，没有收到上游交换机的BPDU则会闭塞上游端口。
TC保护：设置设备在收到TC BPDU报文后的10s内（可自行设置），进行地址表删除操作的最多次数
监控在该时间段内收到的TC BPDU报文数是否大于门限值
VRRP
VRRP的作用?VRRP应用在哪里?过程?
虚拟路由冗余协议
**主要作用：**冗余路由器和虚拟IP地址管理，主路由器故障时能快速切换到备用路由器
**应用场景：**应用于需要保证网络设备高可用性的场景，如企业网络、数据中心、ISP网络
工作过程：
- 多个路由器组成虚拟路由器组，选举主路由器。
- 主路由器管理一个虚拟IP地址，备用路由器监控主路由器状态。
- 如主路由器故障，备用路由器接管虚拟IP地址。
- 主路由器恢复后可能重新成为主路由器（抢占机制）
**组播地址：**224.0.0.18
VRRP主路由器如何选举？
- 若存在 IP 地址与虚拟 IP 地址相同的路由器，其自动具有最高优先级 255，直接成为主路由器
- 若不存在 IP 地址与虚拟 IP 地址相同的路由器，比较路由器优先级，最高的成为主路由器
- 若优先级相同，比较接口 IP，IP地址最大的成为主路由器
VRRP心跳线的作用？
监控状态：通过定期（默认1s）发送VRRP协议报文（心跳包），主路由器能够向备用路由器报告其正常运行的状态。
故障检测：如果备用路由器在一定时间内（三个通告周期 3s）没有收到主路由器的心跳包，它将认为主路由器可能已经发生故障或网络连接出现问题。
触发切换：一旦检测到主路由器故障，备用路由器将启动故障恢复机制，并可能接管成为新的主路由器，负责转发网络流量。
避免冲突：防止在网络中出现“双主”状态，即两个路由器都错误地认为自己是主路由器并尝试同时转发数据。
MSTP+VRRP组网有哪些不足？有哪些替代方法？
不足
MSTP需为每个VLAN单独配置实例，VRRP需与MSTP映射相同VLAN
MSTP支持基于VLAN的负载分担，VRRP无法分担流量，主网关易过载
VRRP虚拟MAC地址易被伪造，MSTP配置错误可能导致环路
VRRP切换（1-5秒）+ MSTP收敛（几秒到几十秒），故障恢复慢替代
**SDN：**将网络控制平面与数据转发平面解耦，通过集中式控制器实现网络流量智能调度与自动化管理，如同用“网络大脑”统一指挥各设备高效协作
**EVPN：**通过BGP（边界网关协议）统一分发二层MAC地址与三层IP路由信息，实现跨数据中心或广域网的虚拟化网络无缝互通，如同为分布式系统搭建“高速、安全的虚拟以太网公路”
堆叠（Stacking）：将多台物理交换机虚拟为一台逻辑交换机，实现跨设备的统一管理、高带宽链路聚合及毫秒级故障切换
M-LAG：通过将两台接入交换机以同一个状态和用户侧设备或服务器进行跨设备的链路聚合，把链路的可靠性从单板级提升到设备级。同时，由于M-LAG设备可以单独升级，保证了业务流量的稳定性
在一个VRRP组中，出现两个master，如何排查
① 参与VRRP组的设备配置的虚拟IP地址不完全相同
② 传输VRRP通告报文的链路（心跳线）故障，VRRP通告报文无法正常传输
③ 网络中存在环路（STP配置出错），VRRP通告报文被错误地复制和广播
④ VRRP组中存在不同版本的VRRP，版本间不兼容
⑤ 设备故障或软件bug可能导致VRRP协议无法正常运行
⑥ 如果VRRP组配置了认证，但认证方式或认证字不一致
DHCP
DHCP的定义、作用、应用场景、过程
定义
DHCP（动态主机配置协议）是一种网络层协议，为计算机自动分配TCP/IP参数。这些参数包括IP地址、子网掩码、默认网关和DNS服务器地址等。基于UDP，端口号67(Ser)/68(Cli)
作用
网络管理方便：DHCP允许网络管理员集中管理IP地址和其他网络配置信息，无需手动为每个客户端设备配置。
避免IP地址冲突：DHCP可以确保每个设备都获得唯一的IP地址，从而避免手动配置时可能出现的地址冲突。
提高网络使用率：DHCP可以自动回收不再使用的IP地址，从而避免IP地址的浪费。
过程
报文
报文类型 发送者 作用 发送方式 DHCP Discover Client 客户端请求IP地址 广播 DHCP Offer Server 服务器提供IP地址和其他配置信息 单播或广播（根据配置） DHCP Request Client 客户端确认选择的服务器和IP地址 首次为广播，续租为单播 DHCP ACK Server 服务器确认IP地址分配 单播 DHCP NAK Server 服务器拒绝分配IP地址 单播 DHCP Release Client 客户端释放不再需要的IP地址 单播 DHCP Decline Client 客户端拒绝已分配的IP地址（因冲突） 单播 DHCP Inform Client 客户端请求更详细的配置信息 广播或单播（根据请求）
DHCP的三种地址分配方式
discover包里面的flag字段？
在DHCP协议中，
discover包里的flag字段用于指示客户端期望的响应方式
- flag = 0：客户端希望服务器以单播形式发送响应给它
- flag = 1：客户端希望服务器以广播形式发送响应，这样网络中的所有设备都能收到
DHCP获取不到IP有哪些原因
- DHCP服务器故障或未启动。
- 网络连接问题，如物理连接或交换机配置错误。
- DHCP服务器配置错误，比如IP地址池设置问题。
- IP地址池已用尽。
- 客户端未正确配置DHCP或配置了静态IP。
- 跨子网访问问题，DHCP服务器未覆盖的子网无法获取IP。
- 防火墙或安全策略阻止DHCP消息。
- 网络路由或ACL问题导致DHCP消息未到达服务器。
DHCP客户部分主机有IP地址，部分没有，是什么原因?
DHCP服务器配置问题：DHCP服务器的地址池配置不足或设置错误
网络问题：可能存在网络连接问题或者DHCP中继设置不正确
IP地址冲突：在网络上可能存在IP地址冲突，即两台或多台设备试图使用相同的IP地址
客户端配置问题：客户端可能由于配置问题或者设置不正确而无法正确执行DHCP协议
DHCP为什么要用到中继
跨子网分配：允许从一个集中的DHCP服务器为多个子网上的设备分配IP地址
减少服务器数量：集中管理几台DHCP服务器，而不必在每个子网上都部署一个
优化网络流量：避免不必要的广播，只在需要时转发DHCP消息，减少网络负载
RIP
介绍RIP
RIP（路由信息协议）是一种基于距离矢量算法的内部网关协议，主要用于局域网和小规模网际网络中的路由选择。
基本特点
- RIP使用跳数作为度量路由开销的标准，即到达目的地所需经过的路由器个数
- RIP主要有两个版本，RIPv1是有类路由协议，不支持VLSM（可变长子网掩码）和CIDR（无类别域间路由），而RIPv2是无类路由协议，支持VLSM和CIDR
- RIP使用UDP数据报传送，端口号为520。RIPv1使用广播地址（255.255.255.255）发送报文，而RIPv2则使用组播地址（224.0.0.9）发送报文
工作原理
- 设备启动RIP后，会向相邻设备发送Request请求报文，请求对方的路由表中的全部路由信息。相邻设备收到请求后，会返回一个Response响应报文，报文中携带自己的所有路由信息。设备收到响应报文后，根据报文中的路由信息更新自己的路由表。
- RIP路由器会周期性地向邻居发送更新报文，默认时间间隔为30秒。为了避免大量路由器同时发送路由表而造成网络拥塞，发送前会附加一段随机延迟（0到5秒）。
- RIP遵循度量值越小则越优的路由选取原则。当发现新的网络或路由更新时，路由器会重新计算路由表，并选择最优路径。
计时器
- 更新计时器：定期路由更新的时间间隔，默认30秒
- 失效计时器：失效计时器内未收到更新，路由失效，默认180秒
- 清除计时器：清除计时器内未收到更新，路由清除，默认240秒
RIP会产生环路吗？RIP是如何避免环路的？
产生
当网络拓扑变化时，路由更新可能未能及时反映（30s发送一次路由更新包），导致路由器间相互通告错误或滞后的路由信息，从而形成环路
避免
最大跳数：RIP无穷大计数为16跳，任何大于等于16跳的路由都视为无效
水平分割：从该接口上学到的路由不再从该接口发送出去
路由毒化：链路断开或路由失效，向外通告16跳无效路由以通知周边路由器
毒性逆转：从该接口上学到的路由以无效路由通告出去
抑制计时器：收到下一跳的跳数增大的路由，启动抑制计时器进行失效抑制（180s）
触发更新：在路由重要变化时，不必等待更新周期，马上进行路由通告
距离矢量路由协议和链路状态路由协议的代表?
距离矢量路由协议：
路由信息协议（RIP）、内部网关协议（IGP）等。这类协议采用距离向量算法来决定报文交换的路径，路由器需要周期性与相邻的路由器交换更新通告，以动态建立路由表。
链路状态路由协议：
开放最短路径优先（OSPF）、中间系统到中间系统（IS-IS）等。这类协议基于每个路由器收集的网络拓扑信息，利用算法计算出从本地路由器到其他路由器的最佳路径，并将该信息传播给整个网络。每个路由器都会维护一个本地的拓扑数据库，并使用它来计算最短路径。
介绍一下动态路由和静态路由的区别或各自有什么优缺点？
| 动态路由 | 静态路由 | |
|---|---|---|
| 配置方式 | 自动学习路由信息，无需手动干预 | 手动配置路由条目 |
| 适应网络变化 | 能够自动感知并适应网络拓扑的变化 | 需要手动更新路由表以应对网络变化 |
| 管理复杂度 | 配置相对复杂，但维护简单 | 配置简单，但维护可能繁琐（尤其是在大型网络中） |
| 资源占用 | 占用一定的系统资源（CPU、内存、带宽） | 不产生额外的路由更新流量，资源占用较低 |
| 负载均衡与容错 | 可以根据网络状态自动进行负载均衡和容错处理 | 需要手动配置冗余路径以实现容错 |
| 安全性 | 可能因自动学习引入安全风险（需配合安全策略） | 手动配置减少了自动学习引入的安全风险 |
| 适用场景 | 大型、复杂、拓扑结构经常变化的网络 | 小型、简单、拓扑结构相对固定的网络 |
OSPF
OSPF基于UDP还是TCP，端口号是多少?
OSPF（开放最短路径优先协议）协议是直接基于IP层进行通信的，它不直接使用UDP或TCP端口号。OSPF协议信息被封装在IP数据报中，并使用IP协议类型值89来标识
RouterID的作用及生成方式？
作用
一台路由器如果要运行OSPF协议，则必须存在唯一的RouterID(RID)，用于在一个自治系统中唯一标识一台路由器。
生成
RID可以手工配置，也可以自动生成。如果没有通过命令指定RID，将按照如下顺序生成
1.如果当前设备配置了Loopback接口，选取所有Loopback接口上数值最大的IP地址作为RID
2.如果当前设备没有配置Loopback接口，选取它所有已经配置IP地址且链路UP的接口上数值最大的IP地址作为RID
OSPF的5种报文是哪些?
OSPF的工作过程（工作原理）?
OSPF为什么要选举DR/BDR，怎么选？
原因
广播多路访问，采用DR/BDR建立邻接关系，可以降低需要维护的邻接关系数量
过程
比较Hello报文中携带的端口优先级：优先级最高的被选举为DR，优先级次高的被选举为BDR ，优先级为0的不参与选举
优先级一致的情况下，比较Router ID：Router ID越大越优先
保持稳定原则：当DR/BDR已经选举完毕，就算一台具有更高优先级的路由器变为有效，也不会替换该网段中已经选举的DR/BDR（非抢占机制）
OSPF七种状态
状态 描述 特点 Down 初始状态，无连接或连接中断，未交换路由信息 路由器间无连接，无法交换路由信息 Init 收到Hello报文，但Hello中未包含自己的Router ID 单向通信建立，尚未确认双向连接 2-Way 双向通信建立，Hello报文中包含对方Router ID 邻居关系建立，可以开始进一步的邻接关系建立过程，结束后立即选举DR/BDR ExStart 协商Master/Slave角色（空DD报文），准备交换数据库描述信息 确定Master/Slave角色，为后续有序的信息交换做准备 Exchange 交换数据库描述报文（DD报文），描述LSDB内容 交换LSDB的头部信息，了解对方LSDB的概况 Loading 根据DD报文请求并交换缺失的链路状态信息（LSR/LSU报文） 请求和交换缺失的链路状态信息，以同步LSDB Full LSDB完全同步，开始全面路由信息交换和最短路径计算 邻接关系建立，LSDB同步完成，可以进行高效的路由信息交换和计算
OSPF关系建立不起来的原因有哪些?
邻居关系建立失败
网络层配置错误： 错误的区域号、错误的网络地址、子网掩码或路由器ID设置冲突
Hello消息不匹配： Hello间隔时间、网络类型、认证等不匹配
区域不匹配： 相邻的路由器必须在同一个区域中
邻居验证失败： 如果OSPF配置了邻居认证，但未正确配置或认证信息不匹配
连接问题： 物理层面的问题，如连接断开、介质故障或物理端口配置错误
邻居关系建立成功，邻接关系建立失败
网络类型不匹配： 两台路由器配置了不同的网络类型（点对点、点到点、广播等）
DR/BDR选举问题： 在多点链路（如广播网络）上，DR和BDR选举过程中存在问题
MTU不匹配： 两端路由器的MTU（最大传输单元）大小不一致
区域边界路由器（ABR）配置错误： ABR的配置不正确可能导致区域间的邻接关系建立失败
OSPF为什么会卡在INIT/2-way状态
可能是设备之间出现单向链路故障的情况OSPF为什么会卡在e-start状态
OSPF发送的DD报文，两端的MTU不一样
OSPF状态处于full，学不到路由的原因
LSDB同步问题：链路状态数据库（LSDB）不一致，导致路由信息无法正确同步
网络类型不匹配：邻居间OSPF网络类型配置不一致（P2P，Broadcast）
资源限制：设备CPU或内存资源不足，无法处理OSPF的路由计算
安全策略阻止：防火墙或安全策略阻止了OSPF报文的传输
路由过滤：路由汇总或过滤规则配置不当，导致某些路由被错误地排除
OSPF为什么没有环路产生
原始的网络拓扑信息
发起 LSA 的路由器将其直连拓扑信息描述在 LSA 中，其他路由器只负责洪泛，区域内的所有路由器都能拿到完整的始发网络拓扑信息。
无环路的 SPF 算法
使用 SPF 算法计算路由，计算结果是一棵树，路由在树的叶子节点上，从根节点到叶子节点
是单向不可回复的路径。
无环的多区域拓扑结构
非骨干区域必须和骨干区域相连，非骨干区域之间的路由交换必须通过骨干区域，从而使 OSPF多区域网络成为一个以 Area 0 为根的树结构，保证区域间无路由自环。
OSPF的LSA种类及作用?
OSPF的区域种类包括哪些？
骨干区域（Area 0）：核心区域，ID为0，所有其他区域必须与之相连
标准区域：非骨干区域，通过骨干区域交换路由信息
末梢区域（Stub）：不接受外部路由信息，使用默认路由转发外部流量
完全末梢区域（Totally Stubby）：进一步限制，不接受外部和区域间汇总路由，只使用默认路由
非纯末梢区域（NSSA）：介于标准和末梢之间，可接受特定外部路由，但不完全开放
完全非纯末梢区域（Totally NSSA ）：进一步限制，不接受外部和区域间路由信息，仅通过特定机制引入外部路由
不同区域允许通告的LSA
OSPF多区域比单区域优势在哪里
每个区域独立存储LSDB，减小了LSDB内存和SPF计算开销
LSA洪泛被限制在区域内，有效控制了拓扑变化的影响范围
区域边界可以做路由汇总，减小了路由表
RIP与OSPF的对比?
RIP OSPF 是距离矢量路由协议 是链路状态路由协议 将路由表周期地发给相邻路由器使用距离矢量算法计算路由 使用 Hello 来发现和维护邻居关系，使用 LSA 发起和洪泛来传播拓扑信息，使用SPF 算法计算路由 路由度量值基于跳数 路由度量值基于带宽 有 16 跳限制 没有跳数限制 可能存在路由环 是一种无路由自环的协议 使用计时器收敛路由，收敛速度慢 使用 LSA 洪泛收敛，收敛速度快 用于小网络 能划分多区域，且能做区域路由汇总，能用于大规模网络 组播地址：
OSPF：DR/BDR目的地址：224.0.0.6，其他设备目的地址：224.0.0.5（广播型网段）
RIPv2：224.0.0.9
VRRP：224.0.0.18
NAT
NAT可以解决什么问题
1.NAT解决IP地址不足的问题
2.静态NAT：
- 应用场景：需要将一个内部私有IP地址映射到一个固定的外部公共IP地址的情况。
- 特点：静态NAT实现了一对一的地址映射关系，映射关系是固定的。
3.动态NAT：
- 应用场景：需要将多个内部私有IP地址映射到少数几个外部公共IP地址的情况。
- 特点：动态NAT实现了一对多的地址映射关系，映射关系是动态变化的。
NAT的传输过程？
私网数据包到达边界设备，先查路由表，转发至出接口，当出接口为NAT outside接口时，匹配NAT ACL，匹配上permit条目的执行NAT，匹配上deny条目的不执行NAT（NAT ACL不过滤数据包）
第一个包会触发NAT表项的形成，后续数据包查NAT表转换。转换后的数据包发送至公网
解释SNAT和DNAT
SNAT（源网络地址转换）
将内部网络（私有IP）的源地址转换为外部网络（公共IP）上的地址，以便内部设备能够安全地访问外部网络。它隐藏了内部网络的结构，同时节省了公共IP地址。
DNAT（目的网络地址转换）
将外部网络（公共IP）的目标地址转换为内部网络中的私有IP地址，使得外部用户能够访问内部网络中的服务或资源。它常用于实现服务器的对外暴露和负载均衡。
NAT转换前后数据发生了哪些变化？
源IP地址变为公共IP地址（出站数据包）
目标IP地址变为内部主机的私有IP地址（入站数据包）
端口映射（可选）：TCP或UDP端口可能会被修改以支持多个内部主机共享一个公共IP
校验和可能会重新计算，以确保数据的完整性
NAT地址转换的方式，及应用场景
静态NAT（Static NAT）：
一个公网IP地址固定地映射到一个私有IP地址，适用于需要固定公网IP地址的场景，如服务器对外提供服务。
动态NAT（Dynamic NAT）：
多个私有IP地址可以动态地映射到一个公网IP地址池中的公网IP地址，适用于私有网络中有多台主机需要访问外部网络，但公网IP地址有限的场景。
网络地址端口转换（NAPT/PAT）：
允许多个私有IP地址和端口号组合映射到同一个公网IP地址的不同端口号上，适用于私有网络中有多台主机需要同时访问外部网络的场景。
PAT可以让多个内部用户使用一个公网地址同时上网，原理是什么？
IP地址与端口号的组合：
- 除了将内部私有IP地址映射到公共IP地址外，PAT还使用端口号来唯一标识每个内部连接。这样，多个内部设备可以共享同一个公网IP地址，因为它们连接在PAT设备上通过不同的端口号进行区分。
唯一标识性：
- PAT通过修改数据包的源IP地址和端口号，使得所有出站数据包看起来都是来自同一个公共IP地址。在响应返回时，PAT设备根据传入的端口号将响应数据包路由回对应的内部设备。
端口号管理：
- PAT设备维护一个端口号池，用于分配给内部设备的出站连接。当内部设备启动一个新的连接时，PAT设备会为该连接分配一个未被使用的端口号，并在转发时使用该端口号。这样可以确保每个内部连接都具有唯一的标识符，即使它们共享同一个公网IP地址。
增强安全性：
- 外部网络无法直接访问内部设备，而是通过PAT设备进行转发。这种方式隐藏了内部网络的真实结构，增加了网络的安全性。
ACL
ACL作用，分类
**ACL的作用：**访问控制列表（ACL）是一种网络安全工具，用于管理和控制数据包在网络设备（如路由器或防火墙）上的流动。
ACL的分类：
序号ACL
对任意一条ACL规则条目的删除、修改、插入都需要先删 除整个ACL，然后重新配置
命名ACL
按序号顺序匹配，可按序号增加、删除、修改、插入规则条目
ACL五元组？
IP数据包中的各个字段都可进行匹配
常用的匹配五元组：源IP、目标IP、协议类型、源端口、目标端口
ACL工作原理
每个接口的每个方向（入/出）只能绑定一条ACL，两个方向都可以绑定
基于二层的ACL作用
防止未授权的MAC地址接入网络，增强网络的安全性
防御MAC地址欺骗攻击，限制合法的MAC地址来减少潜在的安全威胁
优化网络带宽使用，通过限制特定MAC地址的流量来避免网络拥堵
NAT中为什么要使用ACL?
安全性增强：ACL可以允许哪些内部IP地址可以被映射到外部IP地址，以及哪些外部流量可以进入内部网络，从而防止未授权的访问和攻击。
控制NAT操作：ACL可以限制哪些内部主机可以访问外部网络，并控制哪些外部主机可以访问内部资源，从而提供更精细的流量控制。
优化IP地址使用：ACL可以有选择地映射内部私有IP地址到有限的公网IP地址上，节约公网IP地址的使用并防止资源浪费。
更多学习资料
这两年，IT行业面临经济周期波动与AI产业结构调整的双重压力，确实有很多运维与网络工程师因企业缩编或技术迭代而暂时失业。
很多人都在提运维网工失业后就只能去跑滴滴送外卖了，但我想分享的是，对于运维人员来说，即便失业以后仍然有很多副业可以尝试。
网工/运维副业方向
运维网工，千万不要再错过这些副业机会！
第一个是知识付费类副业：输出经验打造个人IP
在线教育平台讲师
操作路径：在慕课网、极客时间等平台开设《CCNA实战》《Linux运维从入门到精通》等课程，或与培训机构合作录制专题课。
收益模式：课程销售分成、企业内训。
技术博客与公众号运营
操作路径：撰写网络协议解析、故障排查案例、设备评测等深度文章，通过公众号广告、付费专栏及企业合作变现。
收益关键：每周更新2-3篇原创，结合SEO优化与社群运营。
第二个是技术类副业：深耕专业领域变现
企业网络设备配置与优化服务
操作路径：为中小型企业提供路由器、交换机、防火墙等设备的配置调试、性能优化及故障排查服务。可通过本地IT服务公司合作或自建线上接单平台获客。
收益模式：按项目收费或签订年度维护合同。
远程IT基础设施代维
操作路径：通过承接服务器监控、日志分析、备份恢复等远程代维任务。适合熟悉Zabbix、ELK等技术栈的工程师。
收益模式：按工时计费或包月服务。
网络安全顾问与渗透测试
操作路径：利用OWASP Top 10漏洞分析、Nmap/BurpSuite等工具，为企业提供漏洞扫描、渗透测试及安全加固方案。需考取CISP等认证提升资质。
收益模式：单次渗透测试报告收费；长期安全顾问年费。
比如不久前跟我一起聊天的一个粉丝，他自己之前是大四实习的时候做的运维，发现运维7*24小时待命受不了，就准备转网安，学了差不多2个月，然后开始挖漏洞，光是补天的漏洞奖励也有个四五千，他说自己每个月的房租和饭钱就够了。
为什么我会推荐你网安是运维和网工人员的绝佳副业&转型方向?
1.你的经验是巨大优势: 你比任何人都懂系统、网络和架构。漏洞挖掘、内网渗透、应急响应，这些核心安全能力本质上是“攻击视角下的运维”。你的运维背景不是从零开始，而是降维打击。
2.越老越吃香，规避年龄危机: 安全行业极度依赖经验。你的排查思路、风险意识和对复杂系统的理解能力，会随着项目积累而愈发珍贵，真正做到“姜还是老的辣”。
3.职业选择极其灵活: 你可以加入企业成为安全专家，可以兼职“挖洞“获取丰厚奖金，甚至可以成为自由顾问。这种多样性为你提供了前所未有的抗风险能力。
4.市场需求爆发，前景广阔: 在国家级政策的推动下，从一线城市到二三线地区，安全人才缺口正在急剧扩大。现在布局，正是抢占未来先机的黄金时刻。
网工运维转行学习网络安全路线
（一）第一阶段：网络安全筑基
1. 阶段目标
你已经有运维经验了，所以操作系统、网络协议这些你不是零基础。但要学安全，得重新过一遍——只不过这次我们是带着“安全视角”去学。
2. 学习内容
**操作系统强化：**你需要重点学习 Windows、Linux 操作系统安全配置，对比运维工作中常规配置与安全配置的差异，深化系统安全认知（比如说日志审计配置，为应急响应日志分析打基础）。
**网络协议深化：**结合过往网络协议应用经验，聚焦 TCP/IP 协议簇中的安全漏洞及防护机制，如 ARP 欺骗、TCP 三次握手漏洞等（为 SRC 漏扫中协议层漏洞识别铺垫）。
**Web 与数据库基础：**补充 Web 架构、HTTP 协议及 MySQL、SQL Server 等数据库安全相关知识，了解 Web 应用与数据库在网安中的作用。
**编程语言入门：**学习 Python 基础语法，掌握简单脚本编写，为后续 SRC 漏扫自动化脚本开发及应急响应工具使用打基础。
**工具实战：**集中训练抓包工具（Wireshark）、渗透测试工具（Nmap）、漏洞扫描工具（Nessus 基础版）的使用，结合模拟场景练习工具应用（掌握基础扫描逻辑，为 SRC 漏扫工具进阶做准备）。
（二）第二阶段：漏洞挖掘与 SRC 漏扫实战
1. 阶段目标
这阶段是真正开始“动手”了。信息收集、漏洞分析、工具联动，一样不能少。
熟练运用漏洞挖掘及 SRC 漏扫工具，具备独立挖掘常见漏洞及 SRC 平台漏扫实战能力，尝试通过 SRC 挖洞搞钱，不管是低危漏洞还是高危漏洞，先挖到一个。
2. 学习内容
信息收集实战：结合运维中对网络拓扑、设备信息的了解，强化基本信息收集、网络空间搜索引擎（Shodan、ZoomEye）、域名及端口信息收集技巧，针对企业级网络场景开展信息收集练习（为 SRC 漏扫目标筛选提供支撑）。
漏洞原理与分析：深入学习 SQL 注入、CSRF、文件上传等常见漏洞的原理、危害及利用方法，结合运维工作中遇到的类似问题进行关联分析（明确 SRC 漏扫重点漏洞类型）。
工具进阶与 SRC 漏扫应用：
-
系统学习 SQLMap、BurpSuite、AWVS 等工具的高级功能，开展工具联用实战训练；
-
专项学习 SRC 漏扫流程：包括 SRC 平台规则解读（如漏洞提交规范、奖励机制）、漏扫目标范围界定、漏扫策略制定（全量扫描 vs 定向扫描）、漏扫结果验证与复现；
-
实战训练：使用 AWVS+BurpSuite 组合开展 SRC 平台目标漏扫，练习 “扫描 - 验证 - 漏洞报告撰写 - 平台提交” 全流程。
SRC 实战演练：选择合适的 SRC 平台（如补天、CNVD）进行漏洞挖掘与漏扫实战，积累实战经验，尝试获取挖洞收益。
恭喜你，如果学到这里，你基本可以下班搞搞副业创收了，并且具备渗透测试工程师必备的「渗透技巧」、「溯源能力」，让你在黑客盛行的年代别背锅，工作实现升职加薪的同时也能开创副业创收！
如果你想要入坑黑客&网络安全，笔者给大家准备了一份：全网最全的网络安全资料包需要保存下方图片，微信扫码即可前往获取!
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享
（三）第三阶段：渗透测试技能学习
1. 阶段目标
全面掌握渗透测试理论与实战技能，能够独立完成渗透测试项目，编写规范的渗透测试报告，具备渗透测试工程师岗位能力，为护网红蓝对抗及应急响应提供技术支撑。
2. 学习内容
渗透测试核心理论：系统学习渗透测试流程、方法论及法律法规知识，明确渗透测试边界与规范（与红蓝对抗攻击边界要求一致）。
实战技能训练：开展漏洞扫描、漏洞利用、电商系统渗透测试、内网渗透、权限提升（Windows、Linux）、代码审计等实战训练，结合运维中熟悉的系统环境设计测试场景（强化红蓝对抗攻击端技术能力）。
工具开发实践：基于 Python 编程基础，学习渗透测试工具开发技巧，开发简单的自动化测试脚本（可拓展用于 SRC 漏扫自动化及应急响应辅助工具）。
报告编写指导：学习渗透测试报告的结构与编写规范，完成多个不同场景的渗透测试报告撰写练习（与 SRC 漏洞报告、应急响应报告撰写逻辑互通）。
（四）第四阶段：企业级安全攻防（含红蓝对抗）、应急响应
1. 阶段目标
掌握企业级安全攻防、护网红蓝对抗及应急响应核心技能，考取网安行业相关证书。
2. 学习内容
护网红蓝对抗专项：
-
红蓝对抗基础：学习护网行动背景、红蓝对抗规则（攻击范围、禁止行为）、红蓝双方角色职责（红队：模拟攻击；蓝队：防御检测与应急处置）；
-
红队实战技能：强化内网渗透、横向移动、权限维持、免杀攻击等高级技巧，模拟护网中常见攻击场景；
-
蓝队实战技能：学习安全设备（防火墙、IDS/IPS、WAF）联动防御配置、安全监控平台（SOC）使用、攻击行为研判与溯源方法；
-
模拟护网演练：参与团队式红蓝对抗演练，完整体验 “攻击 - 检测 - 防御 - 处置” 全流程。
应急响应专项： -
应急响应流程：学习应急响应 6 步流程（准备 - 检测 - 遏制 - 根除 - 恢复 - 总结），掌握各环节核心任务；
-
实战技能：开展操作系统入侵响应（如病毒木马清除、异常进程终止）、数据泄露应急处置、漏洞应急修补等实战训练；
-
工具应用：学习应急响应工具（如 Autoruns、Process Monitor、病毒分析工具）的使用，提升处置效率；
-
案例复盘：分析真实网络安全事件应急响应案例（如勒索病毒事件），总结处置经验。
其他企业级攻防技能：学习社工与钓鱼、CTF 夺旗赛解析等内容，结合运维中企业安全防护需求深化理解。
证书备考：针对网安行业相关证书考试内容（含红蓝对抗、应急响应考点）进行专项复习，参加模拟考试，查漏补缺。
运维网工转行网络攻防知识库分享
网络安全这行，不是会几个工具就能搞定的。你得有体系，懂原理，能实战。尤其是从运维转过来的，别浪费你原来的经验——你比纯新人强多了。
但也要沉得住气，别学了两天Web安全就觉得自己是黑客了。内网、域渗透、代码审计、应急响应，要学的还多着呢。
如果你真的想转，按这个路子一步步走，没问题。如果你只是好奇，我劝你再想想——这行要持续学习，挺累的，但也是真有意思。
关于如何学习网络安全，笔者也给大家整理好了全套网络安全知识库，需要的可以扫码获取！
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享
1、网络安全意识
2、Linux操作系统
3、WEB架构基础与HTTP协议
4、Web渗透测试
5、渗透测试案例分享
6、渗透测试实战技巧
7、攻防对战实战
8、CTF之MISC实战讲解
关于如何学习网络安全，笔者也给大家整理好了全套网络安全知识库，需要的可以扫码获取！
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
