HCIP第一天

网络变大：

1.节点（终端）增加--HUB（集线器）->多接口放大器          （物理层）
2.传输距离延长---中继器（放大器）外接独立供电（纯物理层）---不能无限延长
波形失真
对于所有存在的问题急需解决地址和冲突的问题。

1.解决地址问题。
地址要满足长度一样，号码不一样。最早我们用的是MAC地址，MAC地址就是没个网卡芯片出厂时烧录的、全球唯一的串号，该串号由48位二进制构成，为了方便采用16进制显示。
2.解决冲突问题。
解决冲突的办法就是排队，CSMA/CD这台机子可以做到。这台机子的作用是载波侦听多路访问以及检测冲突。

网络变大->无线距离、无冲突、单播->交换机->MAC地址->洪泛->洪泛的范围->路由器（三层设备）->IP地址->ARP->广播（逼交换机洪泛）->广播域

OSI七层模型：

核心：分层
应用层       抽象语言的输入和输出                  抽象语言变成编码
表示层     （表示层之下都是二进制）            编码变成二进制
会话层       由应用程序内部提供的内部区分地址
上三层均为应用程序处理加工数据---上三层被统称为应用流层

下四层负责数据的传输，统称为数据流层
传输层       给软件提供端口号，分段（受MTU限制）TCP/UDP
网络层       internet协议（IP）
数据链路层（介质访问控制层）---MAC   控制物理硬件（控制CPU、控制程序）
物理层（一个东西）

IP地址：

IP地址的网络使用标记广播域。IPV4(互联网协议第4版本)地址是由32位二进制构成，点分十进制标识。

ARP：

ARP是地址解析协议，它是通过对端的一个地址来获取对端的另一种地址。ARP分为正向ARP、反向ARP、无故ARP。正向ARP是已知对端的IP地址，通过广播查询对端的MAC地址。反向ARP是已知本地或对端MAC地址，通过MAC查询IP地址。无故ARP是在使用IP地址的过程中，向外进行正向ARP，但查询的目标IP地址为本地IP，无故ARP的作用是地址冲突检测。

MTU：

最大传输单元，默认为1500字节（在第二层）

端口号：

 0-65535        1-1023 注明端口（静态端口） 固定给服务器的服务端口
                      1024-65535 高端口（动态端口） 随机分配给终端对应各个进程

网络的连接拓扑：

直线形---总线
环形
星型---中心到站点 轴辐状   （路由器）
网状---多环   全连网状 、部分网状

PDU :

协议数据单元，对各层数据的单位。

上三层：数据报文

传输层：数据段

网络层：数据包

数据链路层：数据帧

物理层：比特流

TCP和UDP：

TCP：传输控制协议---可靠的传输协议---面向连接，速度慢，可靠传输，20字节头---文件类，追求完整传输的信息类               TCP三次握手，四次分手
UDP：用户数据报文协议---不可靠的传输协议---无连接，速度快，不可靠传输，8字节头---语音类，实时传输类（视频、游戏）
微信和qq的聊天数据用的是UDP
TCP更适用于效率要求相对较低，但准确性要求较高的场景（如文件邮件等）
UDP更适合于效率要求相对较高，但准确性要求较低的场景（即时类通讯等）

主类划分---看数字辩网段

我们通过前8位也就是第一组8位二进制来区分这五类。
A类:前8位二进制为0XXxxXXXx，转换成10进制就是0 - 127
他的网络位是前8位。因为0和 127是特殊地址，所以A类的范围是1 - 126
B类:前8位二进制为10XXXXXX 128 - 191 网络位是前16位
C类:前8位二进制为110XXXXX 192 - 223 网络位是前24位
D类:前8位二进制为1110XXXX  224 - 239组播地址，不分主机位和网络位
E类:前8位二进制为1111XXXX 240 - 255保留地址，为美国军方所有

特殊IP地址

1.127.0.0.1-127.255.255.255---环回地址（自己给自己用）
2.255.255.255.255---受限广播地址---受路由器的限制---只能作为目标IP使用（所有目标）
3.主机位全1---192.168.2.X/24---192.168.2.255---直接广播地址---只能作为目标IP使用
4.主机位全0---192.168.2.X/24---192.168.2.0---网段---网络号
5.0.0.0.0---1，代表没有IP（当主机用）。2，代表任意IP（当端用）
6.169.254.0.0/16---自动私有地址

TCP/IP对等模型分层---应用层，传输层，网络层，数据链路层，物理层

VLSM与CIDR

无类地址：不在通过数字来辨别网段而是使用子网掩码来辨别，规则是网络位的地址子网掩码置1
VLSM：可变长子网掩码---子网划分
核心思路：通过延长子网掩码（将主机位借到网络位）来实现网段的划分

CIDR---无类域间路由---汇总
操作方法：汇总地址展开为二进制，取相同去不同
可变长子网掩码---取相同去不同

带宽计算公式：

速率≈（带宽/8）*85%
网线：RJ-45双绞线（主流）：数字信号--二进制   非屏蔽线   最佳距离---100m   民用1000m/s   商用100000m/s
          光纤：光信号         （想配置带宽超过万兆一般选择光纤）
          RJ-11双绞线（电话线）：模拟信号
          同轴电缆：数字信号

路由器:

1.作用：划分广播域、连接不同的网络、路由---选路
2．工作原理
相同洪泛范围和不同洪泛范围设备间通信方式不同。此时需满足设备在访问其他设备前先确定目标和本地是否在一个范围，在一个范围可以通过洪泛来寻找目标，若不在一个范围需要将流量传输给路由器转发的要求
3.服务器
服务器就是一台配置较高的电脑
4.常见的服务
HTTP:超文本传输协议
HTTPS:安全的超文本传输协议
DNS:域名解析服务
FTP:文件传输协议

1.静态路由---手写
2.动态路由---路由器间协商、沟通、计算自动生成

VLAN：虚拟局域网

交换机和路由器协同工作后，将一个广播域逻辑的分割为多个

配置思路：
1.交换机上创建VLAN
2.交换机上的各个接口划分到对应的VLAN中
3.trunk（中继）干道
4.VLAN间路由---路由器的子接口（单臂路由）     多层交换机的SVI

配置命令：
1.交换机上创建：   VLAN的编号由12位二进制构成，0-4095，其中10-4094可用
默认交换存在VLAN1，且所有接口默认存在VLAN1
[sw1]vlan batch 2 to 10

2.交换机上的各个接口划分到对应的VLAN中
[sw1]interface ethernet0/0/1      单独将某接口划分到对应的VLAN
[sw1-enthernet0/0/1]port link-type access    先将该接口修改为接口模式
[sw1-enthernet0/0/1]port default vlan 2
同时配置多个接口
[sw1]port-group group-member ethernet0/0/3 to ehternet0/0/4
[sw1-port-gourp]port link-type access
[sw1-port-gourp]port default vlan 3

3.trunk干道   不属于任何一个vlan，承载所有vlan流量转发，可以标记（封装）识别（解封装）不同vlan的标签
VLAN ID 压入到数据帧中的标准---802.1q（dot1.q）
[sw1]interface e0/0/5
[sw1-ethernet0/0/5]port link-type trunk
[sw1-ethernet0/0/5]port trunk allow-pass vlan all    允许所有vlan通过

4.VLAN间路由---路由器的子接口
[ar1]interface g0/0/0.1
[ar1-gigabitethernet0/0/0.1]dot1q termination vid 2          定义其管理的vlan
[ar1-gigabitethernet0/0/0.1]ip address 192.168.1.254 24
[ar1-gigabitethernet0/0/0.1]arp broadcast enable      开启子接口  arp功能

静态路由：

静态路由的写法：ip route-static 192.168.3.0 255.255.255.0（24） 192.168.2.2
                                                        目标网络号                                     下一跳
下一跳;流量下一个进入接口的IP地址
（到下一跳后数据就不受发送的路由器管理）

最短选路：
1.减小延时，加快传输速度。
2.只有当大家都选择最短路线时才能最大的避免网络环路

静态的扩展配置：
1.负载均衡：当访问相同目标，具有多条开销相似路径时，可以让设备将流量拆分后延多条路径同时传输，
起到带宽叠加的作用

2.环回接口：创建后，可用于路由器测试TCP/IP协议组件是否能够封装与解封装
同时可用于实验环境中，模拟连接PC终端的用户接口，来减少实际设备成本需求
[r1]interface LoopBack
<0-1023>LoopBack interface number
[r1]interface LoopBack 0
[r1-LoopBack0]ip address 1.1.1.1 24

3.手工汇总:若路由器需要访问多个连续子网，且具有相同的下一跳，可以将这些网段进行汇总计算，
之后仅编写到达汇总网段路由即可---节省路由表条目数量

4.路由黑洞：汇总地址中包含了网络内实际不存在的网段时，将导致流量有去无回，浪费链路资源
建议合理的IP地址规划（便于无黑洞汇总），尽量精确汇总

5.缺省路由：一条不限定目标的路由，代表所有网段，路由器查表时在查询完本地所有的直连、静态、动态路由后
若依然没有可达路径，才使用该条目
[r1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2

6.空接口:当路由黑洞与缺省路由相遇时，将必然出现环路，
解决方法：在黑洞路由器上配置一条到达汇总网段的空接口路由，空接口及丢弃流量，来避免环路的产生
[r1]ip route-static 1.1.0.0 22 NULL 0

7.浮动静态：不同方式产生到路由表中的条目，其优先级不同，直连=0，静态=60
优先级取值范围：0-255 越小越好
[r1]ip route-static 100.100.100.0 24 13.1.1.2 preference ?
INTEGER<1-255> Preference value range
[r1]ip route-static 100.100.100.0 24 13.1.1.2 preference 61

静态协议的优缺点：

缺点：1.中大型网络配置量过大
          2.不能基于拓扑的变化而实时的变化
优点：1.不会额外占用物理资源
          2.安全问题
          3.计算路径问题
简单、小型网络建议使用静态路由，中大型较复杂网络建议使用动态

动态路由：

动态路由协议：路由器间沟通、协商、计算自动生成路由表，在拓扑结构发生变化后，
可以实时收敛（重新计算）来适应新的结构

基于AS进行分类：
AS--自治系统   0-65535  标准编号
IGP   内部网关路由协议    AS内部使用  ---RIP OSPF EIGRP ISIS ……
EGP  外部网关路由协议    AS之间使用  ---BGP EGP ……

IGP的分类
1.基于工作特点进行分类：
DV 距离矢量（共享路由表）     RIP  EIGRP*  ……
LS  链路状态（自己算路由）     OSPF  ISIS   ……

2.基于更新时是否携带子网掩码：
有类别--不携带子网掩码，按主类定义子网掩码
无类别--携带子网掩码，基于实际掩码来判断网段

RIP---路由信息协议    （距离矢量协议）

存在V1/V2/NG （下一代IPV6专用）
基于UDP520端口工作，使用跳数作为度量（以跳数作为选择条件）
更新方式：30s周期更新、触发更新
周期更新--保活，取代确认（不知道收不收得到，就一直发保证会到）

V1和V2的区别：
1.V1是有类别协议，不携带子网掩码，不能区分子网划分和汇总
   V2是无类别协议，携带子网掩码，进行VLSM（可变长子网掩码）和子网汇总，不支持超网
2.V1广播更新--255.255.255.255   V2组播更新--224.0.0.9
3.V2支持手工认证

破环机制：
1.水平分割--从此口进，不从此口出--直线拓扑中防环，最主要的作用是在MA网络中避免重复流量，
MA网络--多路访问访问--一个网段的节点数量不限制
2.触发更新--毒性逆转水平分割
3.最大跳数--15跳  16跳为不可达
4.抑制计时器

rip配置命令：
v1配置：
[r1]rip ?
[r1]rip       启动时可以定义进程号，默认为1
[r1-rip-1]version 1   选择版本
宣告：1.激活--被选择接口可以收发rip的信息   2.共享路由--被选中接口的网段可以共享给本地的所有邻居
[r1-rip-1]network 1.0.0.0
[r1-rip-1]network 12.0.0.0
注释：rip宣告时，只能宣告主类网段

<r2>display ip routing-table protocol rip     查看某种协议产生的路由

v2配置：
[r1]rip ?
  INTEGER<1-65535>  Process ID
[r1]rip      启动时可以定义进程号；默认为进程1；  仅具有本地意义
[r1-rip-1]version 2  选择版本2；
宣告：1、激活--被选中接口可以收发rip的信息    2、共享路由--被选中接口的网段可以共享给本地的所有邻居；
[r1-rip-1]network 1.0.0.0
[r1-rip-1]network 12.0.0.0
[r1-rip-1]network 172.16.0.0
[r1-rip-1]network 192.168.1.0

rip的扩展配置：
1.ripv2的手工汇总--在更新源路由器上，更新发出的接口上配置
[r1]int g0/0/1
[r1-GigabitEthernet0/0/1]rip summary-address 1.1.0.0 255.255.252.0
                                                                                    汇总网段 
2.ripv2的认证---邻居间收发的rip消息中进行身份核实口令添加，
同时华为在接口开启认证后，所有rip的信息将被加密传输
[r1]interface g0/0/1
[r1-GigabitEthernet0/0/1]rip authentication-mode md5 usual cipher 123456
两两直连的邻居间，认证口令和模式必须完全一致

3.沉默接口（被动接口）--仅接收不发送路由协议信息；只能用于连接用户终端的接口；
  不能用于直连路由器邻居的接口，否则邻居间将无法共享路由信息
[r1]rip 1 
[r1-rip-1]silent-interface GigabitEthernet 0/0/0

4.加快收敛
RIP计时器 30s更新   180s失效   180s抑制   300s刷新
适当的修改计时器，可以加快协议的收敛速度，
修改时，全网所有运行rip的设备建议一致；维持原有倍数关系；且不易修改的过小；
[r1]rip 1 
[r1-rip-1]timers rip 30 180 300   抑制计时器不修改

5.缺省路由---在边界路由器上定义缺省源头信息后，将向内网发布缺省路由，
之后内部路由器将自动生成缺省路由指向边界路由器方向，
边界路由器指向ISP的缺省路由，依然需要手写
[r3]rip 
[r3-rip-1]default-route originate 

OSPF：开放式最短路径优先协议 

无类别链路状态igp协议；周期更新(30min)+触发更新；
链路状态协议的更新量随着网络范围的扩展指数性的上升，
因此ospf协议为了在中大型网络中工作，需要结构化的部署-区域划分、合理ip地址规划；
组播更新--- 224.0.0.5 224.0.0.6

【1】ospf的5种数据包：
Hello    邻居的发现，关系的建立；周期（10s）的保活   携带rid    
Dbd     数据库描述包；本地数据库目录
Lsr      链路状态请求
Lsu      链路状态更新
Lsack   链路状态确认

Lsa -链路状态通告，具体一条一条路由信息或拓扑信息；但它不是一个包，是被lsu数据包来携带；
（lsa是具体的货物，lsu是车负责拉---lsu个包，lsa是包里的东西）

【2】Ospf的7个状态机：
Down ：一旦接收到的hello 包，进入下一个状态机
Init 初始化： 一旦接收到的hello包中，存在本地的rid，进入下一个状态
2way 双向通讯：  邻居关系建立的标志
关注条件：
Exstart 预启动： 使用不携带目录信息的DBD包，进行主从关系的选举；
                          rid大为主，优先进入下一个状态；解决了目录共享时的无序；
Exchange 准交换：使用携带目标信息的dbd包，共享本地数据库目录；
loading加载：查看完邻接的dbd信息后，对比本地，然后基于本地未知的lsa进行查询；
             使用lsr 向对端查询，对端使用lsu来传输这些lsa信息，本地收到后需要lsack来进行确认
Full ：邻接关系建立的标志；  意味着邻接间，数据库同步（一致）

【3】ospf的工作过程
启动配置完成后，邻居间开始收发hello包；hello包中将携带本地及本地所有已知邻居的rid；
之后生成邻居表；邻居间需要关注是否可以成为邻接的条件；
若不能建立为邻接，将保持为邻居关系，仅hello包周期保活即可；
若可以建立邻接关系；将使用DBD进行本地数据库目录的对比；
之后基于对比的结果，使用LSR/LSU/LSack来获取本地未知的LSA信息；使邻接关系间数据库（lsdb）完成同步（一致），生成数据库表；
之后本地基于lsdb，使用spf算法:
生成有向图-->最短路径树--＞计算本地到达所有未知网段的最短路径，将其加载到本地路由表中；收敛完成；
收敛完成后，邻居和邻接关系间均hello每10s保活；每30min一次邻接关系间周期数据库比对，保障一致；
结构突变：
1.新增网段
2.断开网段
3.无法沟通  ---  dead time 为hello time的4倍；
在4次周期内未收到对端的hello包，将断开与其的邻居关系；删除通过该邻居计算所得路由；

lsdb：链路状态数据库 – 所有lsa的集合

【4】基础配置
[r1]ospf 1 router-id 1.1.1.1  启动时可以定义进程号、RID；
默认进程1，RID--格式为IPV4地址，全网唯一； 手工--》环回接口最大数值--》物理接口最大数值
[r1-ospf-1]
宣告：1、激活-- 可以收发ospf的信息  
          2、被选中接口的拓扑信息可以共享给邻接
          3、区域划分
[r1-ospf-1]area  0
[r1-ospf-1-area-0.0.0.0]network  1.1.1.1 0.0.0.0
[r1-ospf-1-area-0.0.0.0]network 12.1.1.0 0.0.0.255
ospf在宣告时，需要使用反掩码，来匹配宣告的地址范围

区域划分规则：
1、星型结构 --- 编号0骨干区域（中心），大于0为非骨干区域（分支）
                非骨干区域必须直连骨干区域；
2、必须存在ABR --- 区域边界路由器  两个区域间互联的设备

启动配置完成后，邻居间收发hello包；建立邻居关系，生成邻居表：
[r2]display  ospf peer  查看邻居关系
[r2]display  ospf peer  brief   查看邻居简表

邻居关系建立后，关注条件；匹配失败，保持为邻居关系，仅hello包周期保活；
匹配成功可以建立为邻接（毗邻）关系；
邻接关系间，将使用DBD/LSR/LSU/LSack来获取本地未知的LSA信息；完整本地的LSDB （数据库表）；
[r2]display  ospf lsdb

当数据库同步完成后；本地基于SPF算法，将数据库转换为有向图，再将有向图转换为树型结构；
之后基于树形结构，以本地为起到到达所有未知网段的最短路径，加载到路由表中；
<r1>display  ip routing-table protocol  ospf  查看ospf路由
优先级为10；度量为cost值 ； cost值=开销值  

Ospf cost =  参考带宽/接口带宽     默认参考带宽为100M
ospf优选cost值之和最小，为最佳路径；若两条链路cost值之和相同，等开销负载均衡；
若接口带宽大于参考带宽，cost为1；将可能导致选路不佳；建议修改默认的参考带宽：
[r1]ospf 1 
[r1-ospf-1]bandwidth-reference ?
  INTEGER<1-2147483648>  The reference bandwidth (Mbits/s)
[r1-ospf-1]bandwidth-reference 1000
切记：若修改参考带宽，全网需修改的一致；

【5】扩展配置
1）DR/BDR选举
邻居成为邻接关系的条件；与网络类型有关；
网络类型：
点到点--在一个网段内只能存在两个节点 -- 串线链路
MA--多路访问-在一个网段内的节点数量不限制；
不是当下连接了几个节点；而是该网络类型允许最终连接多个节点；--以太网

点到点网络邻居关系直接成为邻接关系；
在MA网络中，将进行DR/BDR选举；在一个网段中仅DR/BDR与其他路由器为邻接关系；非DR/BDR之间为邻居关系；
选举规则：
1、先比较该网段所有参选设备接口的优先级，越大越优；
 默认优先级为1；取值范围0-255，0标识不参选
2、若所有参选者优先级相同，比较参选设备的RID，数值大优；

干涉选举：
1、DR优先级最大，BDR次大 -- 切记ospf的选举是非抢占性的；故在修改完优先级后，需要所有路由器重启OSPF进程；
[r2]interface GigabitEthernet 0/0/0
[r2-GigabitEthernet0/0/0]ospf dr-priority  3  修改接口优先级

<r1>reset ospf process   重启ospf进程
Warning: The OSPF process will be reset. Continue? [Y/N]:y

2、DR优先级修改为最大，BDR次大；其他设备修改为0；无需重启进程

2）区域汇总 --- OSPF协议不支持接口汇总；只能在ABR上将a区域拓扑计算所得路由，共享给B区域时进行汇总；
[r2]ospf 1 
[r2-ospf-1]area  0
[r2-ospf-1-area-0.0.0.0]abr-summary 1.1.0.0 255.252.0.0
R2为一台连接区域0和其他区域的ABR；
以上操作为，R2将通过区域0学习到的拓扑计算所得的路由，传递给其他区域时进行汇总，汇总网段1.1.0.0/22

3）被动接口(沉默接口)--仅接收不发送路由协议信息；
用于连接用户终端的接口，不得用于连接邻居路由器的接口，否则无法建立邻居关系；
[r2]ospf 1 
[r2-ospf-1]silent-interface GigabitEthernet 0/0/0

4）认证 -- 接口认证  在直连邻居或邻接的接口上配置，保障更新的安全
[r1-GigabitEthernet0/0/1]ospf authentication-mode md5  1 cipher 123456
模式、编号、密码要求邻居间一致

5）加快收敛
邻居间计时器  10s hello time  40s dead time  
邻居间，修改本端的hello time，本端的dead time自动4被关系匹配；但ospf中邻居间的hello time和dead time必须完全一致，否则无法建立邻居关系；
[r1]interface GigabitEthernet 0/0/0
[r1-GigabitEthernet0/0/0]ospf timer  hello 5

6）缺省路由 --- 边界路由器上配置后，将自动向内网下放一条缺省路由，之后内网设备将自动生成缺省路由指向边界
[r4]ospf 1 
[r4-ospf-1]default-route-advertise always 

ACL访问控制列表：

底层   路由   策略--规划   优化   安全
作用：
1、访问控制 --- 在路由器流量进或出的接口上，匹配流量产生动作---允许、拒绝
2、定义感兴趣流量 ---  抓取流量，之后给到其他的策略，让其他策略进行工作；

匹配规则：
至上而下逐一匹配，上条匹配按上条执行，不再查看下条；
cisco系默认末尾隐含拒绝所有；华为系末尾隐含允许所有；
（ACL只能放在路由器的接口处）

分类：
1、标准 ---  仅关注数据包中的源ip地址
2、扩展 ---  关注数据包中的源、目标ip地址，目标端口号或协议号

配置命令：
【1】标准 --- 由于标准ACL仅关注数据包中的源ip地址；故调用时必须尽量的靠近目标；
避免对其他流量访问的误删；
编号2000-2999 为标准列表编号，一个编号为一张表；3000-3999为扩展列表编号
[r2]acl 2000 
[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0
[r2-acl-basic-2000]rule deny source  192.168.0.0 0.0.255.255
[r2-acl-basic-2000]rule deny source  any
                                        动作               源IP地址        
源ip地址需要使用通配符来匹配范围；通配符和反掩码的区别，在于通配符可以0与1穿插书写                   

ACL定义完成后，必须在接口上调用方可执行；
调用时一定注意方向；一个接口的一个方向上只能调用一张表
[r2]interface GigabitEthernet 0/0/1
[r2-GigabitEthernet0/0/1]traffic-filter ?  
  inbound   Apply ACL to the inbound direction of the interface 
  outbound  Apply ACL to the outbound direction of the interface 
[r2-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

【2】扩展列表配置  --由于扩展ACL 源、目ip地址均关注，故调用时尽量靠近源；尽早处理流量；
[r1]acl 3000   扩展列表编号  3000-3999
[r1-acl-adv-3000]rule deny ip source 192.168.1.3 0.0.0.0 destination 192.168.3.2 0.0.0.0
                                                                源ip地址                                  目标ip地址
源、目ip地址位置，使用通配符0标记一个主机，或使用反1标记段（范围），或使用any均可

【3】使用扩展列表，同时关注目标端口号
目标端口号：服务端使用注明端口来确定具体的服务；

ICMPV4 -- internet控制管理协议 -- ping 

Telnet  -- 远程登录  明文（不加密） 基于tcp，目标端口23；（ssh端口号22，加密的远程登录）
条件：1、被登录设备与登录设备网络可达
          2、被登录设备进行了telnet服务配置

[r1]aaa
[r1-aaa]local-user panxi privilege level 15 password cipher 123456
[r1-aaa]local-user panxi service-type telnet
创建名为panxi的账号，权限最大，密码123456；该账号仅用于telnet 远程登录
[r1]user-interface vty 0 4 
[r1-ui-vty0-4]authentication-mode aaa   在vty线上开启认证

[r1]acl 3001  
[r1-acl-adv-3001]rule deny tcp source 192.168.1.10 0 destination 192.168.1.1 0 destination-port eq 23
         拒绝192.168.1.10 对192.168.1.1 访问时，传输层协议为tcp，且目标端口号为23；
[r1-acl-adv-3002]rule deny icmp source 192.168.1.10 0 destination 192.168.1.1 0
         仅拒绝192.168.1.10 对192.168.1.1的ICMP访问（ping）

IPV4地址中，存在私有与公有IP地址的区别：
公有：具有全球唯一性，可以在互联网通讯，需要付费使用
私有：具有本地唯一性，不能在互联网通讯，无需付费

私有IP地址：
10.0.0.0/8     172.16.0.0/16-172.31.0.0/16     192.168.0.0/24-192.168.255.0/24

NAT网络地址转换：

边界路由器上，对进、出的流量进入源或目标IP地址的修改
一对一，一对多，多对多，端口映射
一对多：多个私有IP地址对应同一个公有IP地址     PAT端口地址转换
先使用ACL定义可以被转换的私有ip地址范围
[r2]acl 2000
[r2-acl-basic-2000]rule permit source 192.168.0.0 0.0.255.255

[r2]int g0/0/2  公网所在接口；acl2000列表中关注的私有ip地址，通过该接口转出时，其源ip地址修改为该接口公有ip
[r2-GigabitEthernet0/0/2]nat outbound 2000

一对一的配置：
连接公网的接口配置
[r2-GigabitEthernet0/0/2]nat static global 12.1.1.3 inside  192.168.1.10
                                                                      公有               私有

端口映射：
[r2-GigabitEthernet0/0/2]nat server protocol  tcp global  current-interface 80 inside  192.168.1.10 80
Warning:The port 80 is well-known port. If you continue it may cause function failure.
Are you sure to continue?[Y/N]:y
外部访问该接口ip-12.1.1.1且目标端口号为80时，将被修改为192.168.1.10目标端口80；
[r2-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 8888 inside 192.168.1.20 80
外部访问该物理接口ip-12.1.1.1 且目标端口为8888时，将被修改为192.168.1.20 目标端口80；

多对多配置：
[r1]nat address-group 1 12.1.1.3 12.1.1.10  先定义公有ip地址范围
[r1]acl 2000  再定义私有ip地址的范围
[r1-acl-basic-2000]rule  permit source  172.16.0.0 0.0.255.255
最后在连接公网的接口上配置多对多
[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 

[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 no-pat  一对一（多个一对一）