1、訪(fǎng)問(wèn)控制列表的概念
訪(fǎng)問(wèn)控制列表（Access Control List，ACL) 是路由器接口的指令列表，用來(lái)控制端口進(jìn)出的數據包。訪(fǎng)問(wèn)列表（access-list）就是一系列允許和拒絕條件的集合，通過(guò)訪(fǎng)問(wèn)列表可以過(guò)濾發(fā)進(jìn)和發(fā)出的信息包的請求，實(shí)現對路由器和網(wǎng)絡(luò )的安全控制。路由器一個(gè)一個(gè)地檢測包與訪(fǎng)問(wèn)列表的條件，在滿(mǎn)足第一個(gè)匹配條件后，就可以決定路由器接收或拒收該包。
2、ACL的作用
1）ACL可以限制網(wǎng)絡(luò )流量、提高網(wǎng)絡(luò )性能。
2）ACL提供對通信流量的控制手段。
3）ACL是提供網(wǎng)絡(luò )安全訪(fǎng)問(wèn)的基本手段。
4）ACL可以在路由器端口處決定哪種類(lèi)型的通信流量被轉發(fā)或被阻塞。
3、ACL的分類(lèi)
ACL包括兩種類(lèi)型:
1)標準訪(fǎng)問(wèn)列表：只檢查包的源地址。
2)擴展訪(fǎng)問(wèn)列表：既檢查包的源地址，也檢查包的目的地址，也可以檢查特殊的協(xié)議類(lèi)型、端口以及其他參數，具有更大的自由度。
4、ACL的執行過(guò)程
一個(gè)端口執行哪條ACL，這需要按照列表中的條件語(yǔ)句執行順序來(lái)判斷。如果一個(gè)數據包的報頭跟表中某個(gè)條件判斷語(yǔ)句相匹配，那么后面的語(yǔ)句就將被忽略，不再進(jìn)行檢查。
數據包只有在跟第一個(gè)判斷條件不匹配時(shí)，它才被交給ACL中的下一個(gè)條件判斷語(yǔ)句進(jìn)行比較。如果匹配（假設為允許發(fā)送），則不管是第一條還是最后一條語(yǔ)句，數據都會(huì )立即發(fā)送到目的接口。如果所有的ACL判斷語(yǔ)句都檢測完畢，仍沒(méi)有匹配的語(yǔ)句出口，則該數據包將視為被拒絕而被丟棄。
5、ACL的取值范圍
在路由器配置中，標準ACL和擴展ACL的區別是由ACL的表號來(lái)體現的，下表指出了每種協(xié)議所允許的合法表號的取值范圍。
6、正確放置ACL
ACL通過(guò)過(guò)濾數據包并且丟棄不希望抵達目的地的數據包來(lái)控制通信流量。然而，網(wǎng)絡(luò )能否有效地減少不必要的通信流量，這還要取決于網(wǎng)絡(luò )管理員把ACL放置在哪個(gè)地方。
1）標準ACL要盡量靠近目的端。
2）擴展ACL要盡量靠近源端。
7、ACL的配置
ACL的配置分為兩個(gè)步驟：
1）第一步:在全局配置模式下，使用下列命令創(chuàng )建ACL：
Router (config)# access-list access-list-number {permit | deny } {test-conditions}
其中，access-list-number為ACL的表號。人們使用較頻繁的表號是標準的IP ACL（1—99）和擴展的IP ACL（100－199）。
在路由器中，如果使用ACL的表號進(jìn)行配置，則列表不能插入或刪除行。如果列表要插入或刪除一行，必須先去掉所有ACL，然后重新配置。
2）第二步：在接口配置模式下，使用access-group命令ACL應用到某一接口上：
Router (config-if)# {protocol} access-group access-list-number {in | out }
其中，in和out參數可以控制接口中不同方向的數據包，如果不配置該參數，缺省為out。
ACL在一個(gè)接口可以進(jìn)行雙向控制，即配置兩條命令，一條為in，一條為out，兩條命令執行的ACL表號可以相同，也可以不同。但是，在一個(gè)接口的一個(gè)方向上，只能有一個(gè)ACL控制。
值得注意的是，在進(jìn)行ACL配置時(shí)，網(wǎng)管員一定要先在全局狀態(tài)配置ACL表，再在具體接口上進(jìn)行配置，否則會(huì )造成網(wǎng)絡(luò )的安全隱患。
7、實(shí)例說(shuō)明
---- 例如：僅允許內部IP地址為11.66.129.1和 11.66.129.2的主機訪(fǎng)問(wèn)外部,禁止外部訪(fǎng)問(wèn)內部網(wǎng)主機的telnet和ftp端口。
router(config)#ip access-list 1 permit
11.66.129.1 0.0.0.0
router(config)#ip access-list 1 permit
11.66.129.2 0.0.0.0
router(config)#ip access-list 101 deny
tcp any any eq 23
router(config)#ip access-list 101 deny
tcp any any eq 21
router(config)#ip access-list 101 deny
tcp any any eq 20
（其中20、21為FTP的端口，23為T(mén)ELNET端口）
router(config)#ip access-list 101 permit ip any any
router(config)#int e0
router(config-if)#ip access-group 1 out
router(config-if)#ip access-group 101 in
router(config-if)#exit
二、IOS升級
1、Cisco路由器的存儲器
路由器與計算機有相似點(diǎn)是，它也有內存、操作系統、配置和用戶(hù)界面，Cisco路由器中，操作系統叫做互連網(wǎng)操作系統（Internetwork Operating System）或IOS。下面主要介紹路由器的存儲器。
ROM：只讀存儲器包含路由器正在使用的IOS的一份副本；
RAM：IOS將隨機訪(fǎng)問(wèn)存儲器分成共享和主存。主要用來(lái)存儲運行中的路由器配置和與路由協(xié)議有關(guān)的IOS數據結構；
閃存(FLASH)：用來(lái)存儲IOS軟件映像文件，閃存是可以擦除內存，它能夠用IOS的新版本覆寫(xiě)，IOS升級主要是閃存中的IOS映像文件進(jìn)行更換。
NVRAM：非易失性隨機訪(fǎng)問(wèn)存儲器，用來(lái)存儲系統的配置文件。
2、路由器IOS升級過(guò)程
1）安裝TFTP服務(wù)器軟件。
此類(lèi)軟件有TFTPServer等（http://cisco-net.myrice.com網(wǎng)站上有該軟件）。
2）路由器IOS升級及配置文件的保存
Cisco把它的系統軟件存放在Flash memory里，每次啟動(dòng)路由器時(shí)，從Flash memory里調出系統并執行它。開(kāi)機后進(jìn)入初始化配置或用"configer"，"setup"作配置后,所作的配置要保存起來(lái)以便下一次啟動(dòng)直接運行，這就是配置文件了。配置文件存在非易失的NVRAM中。配置文件分成start-up configer和running configer兩種。Start-up configer是開(kāi)機時(shí)啟動(dòng)NVRAM配置。
A、備份系統映象和配置文件
把系統文件和配置文件保存在網(wǎng)中的服務(wù)器上是一個(gè)很好的做法，幫助你在系統或配置文件丟失時(shí),盡快恢復系統正常運行。
拷貝系統映象到網(wǎng)絡(luò )服務(wù)器，首先顯示IOS文件的文件名： show flash ，拷貝系統文件到TFTP Server：copy flash tftp。
拷貝配置文件到網(wǎng)絡(luò )服務(wù)器，把配置文件保存在TFTP Server中 copy running-config tftp 或copy startup-config tftp 。
B、升級系統映象和配置文件
當系統出現故障，系統升級，配置文件拷貝，我們需要把服務(wù)器里軟件拷貝到路由器里。把系統映象從網(wǎng)絡(luò )服務(wù)器拷貝到Flash Memory。網(wǎng)絡(luò )上要有臺計算機作TFTP Server，用TFTP把系統文件拷貝到路由器的Flash memeory中。
拷貝系統文件到Flash memory：
copy tftp flash
copy tftp file-id (Cisco 7000,7200和7500系列)
把配置文件從網(wǎng)絡(luò )服務(wù)器拷貝到路由器NVRAM。
copy tftp running-config
copy tftp startup-config 。
升級過(guò)程還需注意以下幾點(diǎn)：
1）配置路由器的計算機最好能使用串口接到路由器的CONSOL口上，TFTP服務(wù)器軟件安裝在該計算機上，以利于將IOS文件可靠的傳送。TFTP服務(wù)器的IP的地址要和路由器的以太網(wǎng)口在一個(gè)網(wǎng)段上。
2）在升級IOS時(shí)要注意，升級新版本IOS文件如果大于FLASH內存容量時(shí)，應增加FLASH容量。
3）在做升級時(shí)一定要慎重，以免丟失操作系統文件，不能啟動(dòng)系統。
三、口令設置和密碼恢復
1、路由器口令類(lèi)別
● 有效加密口令（enabled secret password）：安全級別最高的加密口令，在路由器的配置表中以密碼的形式出現；
● 有效口令（enabled password）：安全級別高的非加密口令，當沒(méi)有設置有效加密口令時(shí)，使用該口令;
● 終端口令（console password）：用于防止非法或未授權用戶(hù)修改路由器配置的口令，在用戶(hù)通過(guò)主控終端對路由器進(jìn)行設置時(shí)，使用該口令。
● 遠程配置口令（telnet password）：用于防止非法或未授權用戶(hù)通過(guò)網(wǎng)絡(luò )遠程修改路由器配置的口令，在用戶(hù)通過(guò)telnet方式對路由器進(jìn)行設置時(shí)，使用該口令。
2、路由器口令的設置
1）有效加密口令和有效口令用于用戶(hù)進(jìn)入路由器的特權配置模式。
router(config) #enable secret zheng
router(config) #enable password zheng
2）控制臺口令防止非授權用戶(hù)從控制口對路由器進(jìn)行配置。
router#line console 0對控制端口設置口令
router(config-line)#login
router(config-line)#password cisco
3）遠程配置口令防止非授權用戶(hù)從網(wǎng)絡(luò )上用TELNET方式對路由器進(jìn)行配置。
router#line vty 0 4
router(config-line)#login
router(config-line)#password cisco
如果在顯示配置信息時(shí)，口令以明文方式存放，無(wú)關(guān)人員在一旁就能觀(guān)察到密碼，這樣很不安全，通過(guò)對口令字的加密可使所設置的口令以密文形式存放。這樣在顯示配置文件時(shí)旁人無(wú)法辨認，可進(jìn)一步保護系統安全。命令格式為EXEC狀態(tài)下輸入service password-encryption。這樣利用write terminal 和show configuration命令時(shí)將無(wú)法獲得用戶(hù)的口令字。需要注意的是，口令對字母的大小寫(xiě)敏感。
3、口令恢復原理
Cisco 路由器可以保存幾種不同的配置參數，并存放在不同的內存模塊中。以Cisco 2500系列為例，其內存包括：ROM、閃存（Flash Memory）、不可變RAM（NVRAM）、RAM和動(dòng)態(tài)內存（DRAM）五種。一般地，路由器啟動(dòng)時(shí)，首先運行ROM中的程序，進(jìn)行系統自檢及引導，然后運行閃存中的IOS，并在NVRAM中尋找路由器配置，并裝入DRAM中。
口令恢復的關(guān)鍵在于對配置登記碼（Configuration Register Value）進(jìn)行修改，從而讓路由器從不同的內存中調用不同的參數表進(jìn)行啟動(dòng)。有效口令存放在NVRAM 中，因此修改口令的實(shí)質(zhì)是將登記碼進(jìn)行修改，從而讓路由器跳過(guò)NVRAM 中的配置表，直接進(jìn)入ROM 模式，然后對有效口令和終端口令進(jìn)行修改或者重新設置有效加密口令( 因為有效加密口令為加密亂碼，無(wú)法進(jìn)行恢復，只可以刪掉或改寫(xiě))，完成后再將登記碼恢復。
4、口令恢復步驟
1）將路由器Console端口連接到PC機的串口（如COM1或COM2）上。
2）啟動(dòng)超級終端，把配置設為9600波特率、8 個(gè)數據位、無(wú)奇偶校驗、1 個(gè)停止位。
3）在“>”提示符下，用Show Version 命令查看登記碼（一般為0x2102或0x102），記住此登記碼，在第9步要將此登記碼還原。
4）查看登記碼，如果中斷屏蔽（即登記碼的第4位為1），則重啟路由器，并在開(kāi)機后30秒鐘內按Ctrl+Break鍵；如果中斷未屏蔽，則發(fā)送中斷(Cisco公司提供的技術(shù)手冊注明要在開(kāi)機后60秒內按Break鍵)。
5）根據路由器系列不同，分別進(jìn)行如下配置：
● 如路由器是2000、2500、3000、680x0 based 4000、7000系列，IOS版本為10.0以下或出現“>”提示符:
> o/r 0x42
> i
● 如路由器是1003、1004、3600、4500、4700、72xx、75xx系列或出現 “ROMMON>” 提示符:
ROMMON> confreg 0x42
ROMMON> reset
6）當提示是否進(jìn)入配置對話(huà)框時(shí)（Would you like to enter the initial configuration dialog? [yes]:），回答“NO”。在出現“Press RETURN to get started!”提示時(shí)，按回車(chē)鍵，進(jìn)入ROM 模式“ Router > ”。
7）鍵入enable命令進(jìn)入EXEC狀態(tài), 鍵入Router#show config查看原路由器配置和未加密口令，建議此時(shí)立刻做一個(gè)文本備份文件，以免誤操作將原路由器配置丟失; 再鍵入Router#configuration memory,將NVRAM模式中的參數表裝入內存。
8）鍵入Router#configure terminal 命令進(jìn)行配置，從配置表中找出（或改寫(xiě)）忘記的有效口令；更改完畢后一定要寫(xiě)入NVRAM中。
9）將第3步查到的登記碼還原，一般為0x2102（即從閃存正常啟動(dòng)，并屏蔽中斷），并激活所有端口（系統會(huì )將所有端口自動(dòng)關(guān)閉）：
Router#config-register 0x2102
Router(config)#interface xx
Router(config-if)#no shutdown
Router#Ctrl-Z
10）重新啟動(dòng)路由器：Router# reload
經(jīng)過(guò)以上步驟，即可以在不丟失原有路由器配置的情況下，找到或更改口令。
CCNA筆記
第一章， 網(wǎng)際互連
把一個(gè)大的網(wǎng)絡(luò )劃分為一些小的網(wǎng)絡(luò )就稱(chēng)為網(wǎng)絡(luò )分段，這些工作由路由器，交換機和網(wǎng)橋來(lái)按成。
引起LAN通信量出現足賽的可能原因如下:
1． 在一個(gè)廣播域中有太多的主機
2． 廣播風(fēng)暴
3． 組播
4． 低的帶寬
路由器被用來(lái)連接各種網(wǎng)絡(luò )，并將數據包從一個(gè)網(wǎng)絡(luò )路由到另一個(gè)網(wǎng)絡(luò )。
默認時(shí)，路由器用來(lái)分隔廣播域，所謂廣播域，是指王端上所有設備的集合，這些設備收聽(tīng)送往那個(gè)王端的所有廣播。盡管路由器用來(lái)分隔廣播域，但重要的是要記住，路由器也用來(lái)分隔沖突域。
在網(wǎng)絡(luò )中使用路由器有兩個(gè)好處：
1． 默認時(shí)路由器不會(huì )轉發(fā)廣播。
2． 路由器可以根據第三層（網(wǎng)絡(luò )層）信息對網(wǎng)絡(luò )進(jìn)行過(guò)濾。
默認時(shí)，交換機分隔沖突域。這是一個(gè)以太網(wǎng)術(shù)語(yǔ)，用來(lái)描述：某個(gè)特定設備在網(wǎng)段上發(fā)送一個(gè)數據包，迫使同一個(gè)網(wǎng)段上的其他設備都必須主要道這一點(diǎn)。在同一時(shí)刻，如果兩個(gè)不同的設備試圖發(fā)送數據包，就會(huì )產(chǎn)生沖突域，此后，兩個(gè)設備都必須重新發(fā)送數據包。
網(wǎng)際互連模型
當網(wǎng)絡(luò )剛開(kāi)始出現時(shí)，典型情況下，只能在同一制造商的計算機產(chǎn)品之間進(jìn)行通信。在20世紀70年代后期，國際標準化組織創(chuàng )建了開(kāi)放系統互聯(lián)參考模型，也就是OSI七層模型。
OSI模型時(shí)為網(wǎng)絡(luò )而構建的最基本的層次結構模型。下面是分層的方法，以及怎樣采用分層的方法來(lái)排除互聯(lián)網(wǎng)絡(luò )中的故障。
分層的方法
參考模型時(shí)一種概念上的藍圖，描述了通信是怎樣進(jìn)行的。他解決了實(shí)現有效通信所需要的所有過(guò)程，并將這些過(guò)程劃分為邏輯上的組，稱(chēng)為層。
參考模型的優(yōu)點(diǎn)
OSI模型時(shí)層次化的，任何分層的模型都有同樣的好處和優(yōu)勢。
采用OSI層次模型的優(yōu)點(diǎn)如下，當然不僅僅是這些：
1． 通過(guò)網(wǎng)絡(luò )組件的標準化，允許多個(gè)提供商進(jìn)行開(kāi)發(fā)。
2． 允許各種類(lèi)型網(wǎng)絡(luò )硬件和軟件相互通信。
3． 防止對某一層所作的改動(dòng)影響到其他的層，這樣就有利于開(kāi)發(fā)。
OSI參考模型
OSI模型規范重要的功能之一，是幫助不能類(lèi)型的主機實(shí)現相互之間的數據傳輸。
OSI模型有7個(gè)不同的層，分為兩個(gè)組。上面三層定義了中斷系統中的應用程序將被彼此通信，以及如何與用戶(hù)通信。下面4層定義了三怎樣進(jìn)行端到端的數據傳輸。
下面4層定義了怎樣通過(guò)物力電纜或者通過(guò)交換機和路由器進(jìn)行數據傳輸。
傳輸層:
1． 提供可靠或不可靠的傳輸
2． 在重傳之前執行錯誤糾正
網(wǎng)絡(luò )層:
1. 提供邏輯尋址,以便進(jìn)行路由選擇.
數據鏈路層:
1. 將數據包組合為字節,字節組合為幀
2. 使用MAC地址提供對介質(zhì)的訪(fǎng)問(wèn)
3. 執行錯誤檢測，但不糾正
物理層:
1. 在設備之間傳輸比特流
2. 制定電壓大小、線(xiàn)路速率和電纜的引腳數
工作在OSI模型的所有7層的網(wǎng)絡(luò )設備包括:
1. 網(wǎng)絡(luò )管理系統(NMS)
2. WEB和應用程序服務(wù)器
3. 網(wǎng)關(guān)(非默認網(wǎng)關(guān))
4. 網(wǎng)絡(luò )主機
OSI參考模型的7層和各層的功能
1. Application layer 文件、打印、消息、數據庫和應用程序
2. Presentation layer 數據加密、壓縮和轉換服務(wù)
3. Session layer 會(huì )話(huà)控制
4. Transport layer 端到端連接
5. Network layer 路由選擇
6. Data Link layer 數據組合成幀
7. Physical layer 物理拓撲
應用層：OSI模型的應用層是用戶(hù)與計算機進(jìn)行實(shí)際通信的地方。
表示層：表示層因它的用途而得名：它為應用層提供數據，并負責數據轉換和代碼的格式化。
會(huì )話(huà)層：會(huì )話(huà)層負責建立、管理和終止表示層實(shí)體之間的會(huì )話(huà)連接。
傳輸層：傳輸層將數據分段并重組為數據流。
網(wǎng)絡(luò )層：網(wǎng)絡(luò )層負責設備的尋址，跟蹤網(wǎng)絡(luò )中設備的位置，并決定傳送數據的最佳路徑，這意味著(zhù)網(wǎng)絡(luò )層必須在位于不同地區的互聯(lián)設備之間傳輸數據流。
數據鏈路層：數據鏈路層提供數據的物理傳輸，并處理出錯通知、網(wǎng)絡(luò )拓撲和流量控制。
物理層：物理層是最低層，物理層的功能有兩個(gè)：發(fā)送和接收位流。
以太網(wǎng)（ETHERNET）組網(wǎng)
以太網(wǎng)采用競爭型的介質(zhì)訪(fǎng)問(wèn)方法，允許網(wǎng)絡(luò )上的所有主機共享同一條鏈路的帶寬。
以太網(wǎng)采用帶沖突檢測的載波監聽(tīng)多路訪(fǎng)問(wèn)（CSMA/CD）技術(shù)。
采用CSMA/CD協(xié)議的網(wǎng)絡(luò )將承受巨大的沖突壓力，包括：
1． 延遲
2． 低的吞吐量
3． 擁塞
半雙工和全雙工以太網(wǎng)
半雙工以太網(wǎng)在原始的802.3以太網(wǎng)中定義，它只適用一對線(xiàn)纜，數字信號在線(xiàn)路上是雙向傳輸的。
半雙工以太網(wǎng)也采用CSMA/CD協(xié)議，以防止產(chǎn)生沖突，如果產(chǎn)生了沖突，就允許重傳。
全雙工以太網(wǎng)是用兩對電纜線(xiàn)，而不失向半雙工方式那樣是用一對電纜線(xiàn)。
全雙工以太網(wǎng)可以用于下列3種情況：
1． 交換機到主機的連接
2． 交換機到交換機的連接
3． 使用交叉電纜的從主機到主機的連接
以太網(wǎng)的數據鏈路層
以太網(wǎng)的數據鏈路層負責以太網(wǎng)尋址，通常成其為硬件尋址或MAC尋址。
有四種不同類(lèi)型的以太網(wǎng)幀可用：
1． Ethernet_II
2． IEEE 802.3
3． IEEE 802.2
4． SNAP
Ethernet尋址
它采用截至訪(fǎng)問(wèn)控制（Media Access Control, MAC）地址進(jìn)行尋址，MAC地址被燒入每個(gè)以太網(wǎng)網(wǎng)卡中。MAC地址也叫硬件地址，它采用48位（6個(gè)字節）的十六進(jìn)制格式。
Ethernet幀
數據鏈路層負責將位組合成字節，并將字節組合成幀。
802.3幀的格式:
前導(Preambl)
幀起始定界符/同步（Start Frame Delimiter,SFD）/Synch
目的地址（Destination Address,DA）
源地址（Source Address,SA）
長(cháng)度（Length）或類(lèi)型（Type）字段
數據（Data）
幀效驗序列（Frame Check Sequence,FCS）
Ethernet物理層
Ethernet最早由DIX實(shí)現。這是一種傳輸速率為10Mb/s的網(wǎng)絡(luò )，其物理介質(zhì)可以是同軸電纜、雙絞線(xiàn)和光纖。
下面是原始的IEEE 802.3標準：
10Base2
10Base5
10BaseT
下面是擴展的IEEE 802.3標準：
100BaseTX
100BaseFX
1000BaseCX
1000BaseT
1000BaseSX
1000BaseLX
Ethernet電纜的連接
可用的Ethernet電纜類(lèi)型有：
1． 直通電纜
2． 交叉電纜
3． 反轉電纜
直通電纜：
1． 主機到交換機或集線(xiàn)器
2． 路由器到交換機或集線(xiàn)器
交叉電纜：
1． 交換機到交換機
2． 集線(xiàn)器到集線(xiàn)器
3． 主機到主機
4． 集線(xiàn)器到交換機
5． 路由器直連到主機
反轉電纜：
這種類(lèi)型的電纜不是用來(lái)將各種Ethernet部件連接起來(lái)，而是反轉的Ethernet電纜來(lái)實(shí)現從主機到路由器控制臺串行通信（com）端口的連接。
無(wú)線(xiàn)聯(lián)網(wǎng)（Wireless Networking）
下面是各種類(lèi)型的無(wú)線(xiàn)網(wǎng)絡(luò )
1． 窄帶無(wú)線(xiàn)（Narrowband Wireless LAN）
2． 個(gè)人通信服務(wù)（PCS）
3． 窄帶PCS
4． 寬帶PCS
5． 衛星
6． 紅外無(wú)線(xiàn)LAN
7． 擴頻無(wú)線(xiàn)LAN
數據封裝
當主機向其他的設備跨網(wǎng)絡(luò )傳輸數據時(shí)，數據就要進(jìn)行封裝，就是在OSI模型的每一層加上協(xié)議信息。每一層只與接收設備上相應的對等層進(jìn)行通信。
Cisco的3層（層次）模型
Cisco的層次模型可以用來(lái)幫助設計，實(shí)現核維護可擴展的、可靠的、性能價(jià)格比高的層次化的互聯(lián)網(wǎng)絡(luò )。
Cisco定義了3個(gè)層次，下面是3個(gè)層次和他們的典型功能：
1． 核心層：骨干
核心層就是網(wǎng)絡(luò )的中心。他位于頂層，負責可靠而迅速的傳輸大量的數據流。網(wǎng)絡(luò )核心層的唯一意圖是，盡可能快的交換數據流。
2． 分配層：路由
分配層有時(shí)也稱(chēng)為工作組層，它是接入層和核心層之間的通信點(diǎn)。分配層主要功能是提供路由、過(guò)濾和WAN接入，如果需要的話(huà)，他還決定數據報可以怎樣對核心層進(jìn)行訪(fǎng)問(wèn)。
3． 接入層：交換
接入層控制用戶(hù)和工作組對互聯(lián)網(wǎng)絡(luò )資源的訪(fǎng)問(wèn)。接入層也稱(chēng)桌面層。大多數用戶(hù)所需要的網(wǎng)絡(luò )資源將在本地獲得，分配層處理遠程服務(wù)的數據流。
CCNA筆記2
第二章， 因特網(wǎng)協(xié)議
TCP/IP和DoD模型
DoD模型是OSI模型的一個(gè)基本的、濃縮的版本，他只有四個(gè)層次，而不是七個(gè)：
1． 過(guò)程/應用層
2． 主機到主機層
3． 因特網(wǎng)層
4． 網(wǎng)絡(luò )接入層
在DoD模型的過(guò)程/應用層中包含了大量的協(xié)議它集成了各種應用和功能來(lái)省城一個(gè)可以和OSI模型中三個(gè)高層（應用層、表示層和會(huì )話(huà)層）相對應的集合。
過(guò)程/應用層協(xié)議
1． Telnet
它允許一個(gè)用戶(hù)在一個(gè)遠程的客戶(hù)機上，訪(fǎng)問(wèn)另一臺機器上的資源。
2． FTP
文件傳輸協(xié)議實(shí)際上就是傳輸文件的協(xié)議，它可以應用在任意兩個(gè)主機之間。
3． TFTP
簡(jiǎn)單文件傳輸協(xié)議是FTP的簡(jiǎn)化版本，只有在你確切地知道想到得到的文件名及他的準確位置時(shí)，才可有選擇的使用TFTP。
4． NFS
網(wǎng)絡(luò )文件系統在文件共享中是一個(gè)特殊的協(xié)議珍寶。他允許兩個(gè)不同類(lèi)型的文件系統實(shí)現互操作。
5． SMTP
簡(jiǎn)單又見(jiàn)傳輸協(xié)議，是對應于我們普遍使用的被稱(chēng)為E-mail的應用，他描述了郵件投遞中的假脫機、排列及方法。
6． LPD
行式打印機守護進(jìn)程協(xié)議，使被設計用于實(shí)現打印機共享的。
7． X Window
為客戶(hù)-服務(wù)器業(yè)務(wù)而設計，X Window定義了一個(gè)編寫(xiě)基于圖形化用戶(hù)界面（GUI）的客戶(hù)-服務(wù)器應用程序的協(xié)議
8． SNMP
簡(jiǎn)單網(wǎng)絡(luò )管理協(xié)議采集并使用一些有價(jià)值的網(wǎng)絡(luò )信息。
9． DNS
域名服務(wù)可以解析主機名，特別是Internet名。
10． DHCP/BootP
動(dòng)態(tài)主機配置協(xié)議可以為主機分配IP地址。
主機到主機層協(xié)議
主機到主機層的主要目的，是將上層的應用從網(wǎng)絡(luò )傳輸的復雜性中屏蔽出來(lái)。
在這里將描述著(zhù)一層上的兩個(gè)協(xié)議：
1． 傳輸控制協(xié)議（TCP）
2． 用戶(hù)數據報協(xié)議（UDP）
傳輸控制協(xié)議
傳輸控制協(xié)議通常是從應用程序中得到大段的信息數據，然后將它分割成若干個(gè)數據段。
TCP的數據段格式
TCP報頭是一個(gè)20字節長(cháng)的段，在帶有選項時(shí)可以達到24個(gè)字節。
在TCP數據段中包含如下字段：
1． 源端口
2． 目的端口
3． 序列號
4． 確認應答號
5． 偏移量
6． 保留
7． 代碼位
8． 窗口
9． 效驗和
10． 緊急指針
11． 選項
12． 數據
用戶(hù)數據報協(xié)議
如果將用戶(hù)數據報協(xié)議（UDP）與TCP座一個(gè)比較，UDP基本是一個(gè)縮小規模的經(jīng)濟化模式，有時(shí)也被稱(chēng)為瘦協(xié)議。
UDP數據段的格式
在UDP數據段中包含了下列字段：
1． 源端口
2． 目的端口
3． 數據段長(cháng)度
4． CRC
5． 數據
主機到主機層的重要概念
TCP和UDP的重要功能
TCP UDP
排序 無(wú)序
可靠 不可靠
面向連接 無(wú)連接
虛電路 低開(kāi)銷(xiāo)
確認 無(wú)確認
窗口流量確認 沒(méi)有窗口或流量控制
端口號
TCP和UDP都必須使用端口號來(lái)與上層進(jìn)行通信，因為他們需要跟蹤同時(shí)使用網(wǎng)絡(luò )進(jìn)行的不同的會(huì )話(huà)過(guò)程。不使用帶有眾所周知的端口號的應用程序的虛電路時(shí)從一個(gè)指定的范圍中隨機地指定端口號。
下面解釋了可以使用的不同的端口號：
1． 低于1024的端口號被稱(chēng)為眾所周知的端口號，他們是由RFC 3232所定義。
2． 大于1024及1024的端口號被上層用來(lái)建立與其他主機的會(huì )話(huà)，并且在TCP數據段中被TCP用來(lái)作為源方和目的方的地址。
因特網(wǎng)層協(xié)議
在DoD的模型中，設置因特網(wǎng)層有兩個(gè)主要的理由：路由及為上層提供一個(gè)簡(jiǎn)單的網(wǎng)絡(luò )接口。
沒(méi)有任何一個(gè)其他的高層或低層協(xié)議會(huì )涉及到任何有關(guān)路由的功能，這個(gè)復雜和重要的任務(wù)是完全屬于因特網(wǎng)層。
因特網(wǎng)層協(xié)議：
1． 因特網(wǎng)協(xié)議（IP）
2． 因特網(wǎng)控制報文協(xié)議（ICMP）
3． 地址解析協(xié)議（ARP）
4． 逆向地址解析協(xié)議（RARP）
因特網(wǎng)協(xié)議（IP）
因特網(wǎng)協(xié)議其實(shí)質(zhì)就是因特網(wǎng)層。其他的協(xié)議僅僅是建在離其基礎上用于支持IP協(xié)議的。
IP是從主機到主機層處接受數據段的，在需要時(shí)再將他們組合成數據報（數據包），然后接收方的IP再重新組合數據報為數據段。每個(gè)數據報都被指定了發(fā)送者和接收者的IP地址。每個(gè)接收了數據報的路由器都是基于數據包的目的IP地址來(lái)決定路由的。
構成IP報頭的字段如下：
1． 版本 4
2． 報頭長(cháng)度（HLEN） 4
3． IP優(yōu)先位或ToS 8
4． 總長(cháng)度 16
5． 標識 16
6． 標志 3
7． 分段偏移 13
8． TTL(存活期) 8
9． 協(xié)議 8
10． 報頭和效驗和 16
11． 源IP地址 32
12． IP選項 0或32
13． 數據 可變
注：后面的數字表示長(cháng)度
在IP報頭的協(xié)議字段中可能發(fā)現的協(xié)議
協(xié)議 協(xié)議號
ICMP 1
IGRP 9
EIGRSP 88
OSPF 89
IPv6 41
GRE 47
IPX in IP 111
Layer-2 tunnel(L2TP) 115
因特網(wǎng)控制報文協(xié)議
因特網(wǎng)控制報文協(xié)議（ICMP）工作在網(wǎng)絡(luò )層，它被IP用于提供許多不同的服務(wù)。ICMP是一個(gè)管理性協(xié)議，并且也是一個(gè)IP信息服務(wù)的提供者。他的信息是被作為IP數據報來(lái)傳送的。
下面是與ICMP相關(guān)的一些常見(jiàn)的事件和信息：
1． 目的不可達 如果路由器不能再向前發(fā)送某個(gè)IP數據報，這是路由器會(huì )使用ICMP來(lái)傳送一個(gè)信息返回給發(fā)送端，來(lái)通告這一情況。
2． 緩沖區滿(mǎn) 如果路由器用于接收輸入數據的內存緩沖區已經(jīng)滿(mǎn)了，他將會(huì )使用ICMP向外發(fā)送這個(gè)信息直道擁塞解除。
3． 跳 每個(gè)ip數據報都被分配了一個(gè)所允許經(jīng)過(guò)路由器個(gè)數的數值，被稱(chēng)為跳（hop）。
4． Ping Ping（即數據包的因特網(wǎng)探測）使用ICMP回應信息在互聯(lián)網(wǎng)絡(luò )上檢查計算機間物理連接的連通性。
5． Traceroute Traceroute是通過(guò)使用ICMP的超時(shí)機制，來(lái)發(fā)現一個(gè)數據報在穿越互聯(lián)網(wǎng)絡(luò )時(shí)它所經(jīng)歷的路徑。
地址解析協(xié)議（ARP）
地址解析協(xié)議（ARP）可以由已知主機的IP地址，在網(wǎng)絡(luò )上查找到他的硬件地址。
逆向地址解析協(xié)議（RARP）
當一臺誤判計算機被用做IP主機時(shí)，它沒(méi)有辦法在其初始化時(shí)了解自己的IP地址。但是他可以知道自己的MAC地址。逆向地址解析協(xié)議（RARP）可以通過(guò)發(fā)送一個(gè)包含有無(wú)盤(pán)主機MAC地址的數據包，來(lái)詢(xún)問(wèn)與此MAC地址相對應的IP地址。
二進(jìn)制、十進(jìn)制和十六進(jìn)制的轉換
二進(jìn)制到十進(jìn)制的記憶表
二進(jìn)制取值 十進(jìn)制取值
10000000 128
11000000 192
11100000 224
11110000 240
11111000 248
11111100 252
11111110 254
11111111 255
十六進(jìn)制到二進(jìn)制到十進(jìn)制表
十六進(jìn)制值 二進(jìn)制值 十進(jìn)制值
0 0000 0
1 0001 1
2 0010 2
3 0011 3
4 0100 4
5 0101 5
6 0110 6
7 0111 7
8 1000 8
9 1001 9
A 1010 10
B 1011 11
C 1100 12
D 1101 13
E 1110 14
F 1111 15
IP尋址
IP地址是IP網(wǎng)絡(luò )上每個(gè)計算機的數字化標識符。它指明了在此網(wǎng)絡(luò )上某個(gè)設備的位置。
IP地址是一個(gè)軟件地址，而不是硬件地址，后者是被硬燒錄到網(wǎng)卡（NIC）中的并且主要是用于在本地網(wǎng)絡(luò )上定位主機的。
IP術(shù)語(yǔ)
位 一位就是一個(gè)數字，要么是1，要么是0
字節 一個(gè)字節可以是7位或8位
八位位組 就是8位，一個(gè)最基本的8位二進(jìn)制數
網(wǎng)絡(luò )地址 它是用來(lái)指定數據包所要傳送的遠程網(wǎng)絡(luò )
廣播地址 被應用程序或主機用來(lái)將信息發(fā)送給網(wǎng)絡(luò )上所有節點(diǎn)的地址，我們稱(chēng)之為廣播地址。
分層的IP尋址方案
一個(gè)IP地址包含有32位的信息。這些位通常被分割為四個(gè)部分，被稱(chēng)為八位位組或字節，每一部分包含一個(gè)字節（8個(gè)位）。
可以使用下面3種不同的方式來(lái)描述一個(gè)IP地址：
1． 點(diǎn)分十進(jìn)制，如172.16.30.56
2． 二進(jìn)制，10101100.00010000.00011110.00111000
3． 十六進(jìn)制，AC.10.1E.38
所有例子表示的都是同一個(gè)IP地址
網(wǎng)絡(luò )尋址
網(wǎng)絡(luò )地址唯一地制定了每個(gè)網(wǎng)絡(luò )。在同一網(wǎng)絡(luò )中的美態(tài)計算機都共享相同的網(wǎng)絡(luò )地址，并用它來(lái)作為自己IP地址的一部分。
節點(diǎn)地址是在一個(gè)網(wǎng)絡(luò )中用來(lái)標識每臺計算機的，它是一個(gè)唯一的標識符。這個(gè)地址的節點(diǎn)部分必須是唯一的，因為相對于網(wǎng)絡(luò )而言它是用來(lái)獨立的標識指定計算機的。
因特網(wǎng)的設計者決定根據網(wǎng)絡(luò )的大小來(lái)創(chuàng )建網(wǎng)絡(luò )的類(lèi)別。
三個(gè)網(wǎng)絡(luò )類(lèi)別的總結
8位 8位 8位 8位
類(lèi)A 網(wǎng)絡(luò ) 主機 主機 主機
類(lèi)B 網(wǎng)絡(luò ) 網(wǎng)絡(luò ) 主機 主機
類(lèi)C 網(wǎng)絡(luò ) 網(wǎng)絡(luò ) 網(wǎng)絡(luò ) 主機
類(lèi)D 組播
類(lèi)E 研究
網(wǎng)絡(luò )地址范圍：A類(lèi)
00000000=0
01111111=127
網(wǎng)絡(luò )地址范圍：B類(lèi)
10000000=128
10111111=191
網(wǎng)絡(luò )地址范圍：C類(lèi)
11000000=192
11011111=223
網(wǎng)絡(luò )地址范圍：C類(lèi)和E類(lèi)
介于224和255之間的地址是被保留用作D類(lèi)和E類(lèi)網(wǎng)絡(luò )的。D類(lèi)是用于組播的地址（224到239），而E類(lèi)（240到255）是被用于科學(xué)實(shí)驗用途的。
網(wǎng)絡(luò )地址：用于特殊目的
有些IP地址是被保留用于某些特殊目的的，網(wǎng)絡(luò )管理員不能將這些地址分配給節點(diǎn)。
一些特殊的IP地址:
1.IP地址127.0.0.1:本地回環(huán)(loopback)測試地址
2.廣播地址:255.255.255.255
3.IP地址0.0.0.0:代表任何網(wǎng)絡(luò )
4.網(wǎng)絡(luò )號全為0:代表本網(wǎng)絡(luò )或本網(wǎng)段
5.網(wǎng)絡(luò )號全為1:代表所有的網(wǎng)絡(luò )
6.節點(diǎn)號全為0:代表某個(gè)網(wǎng)段的任何主機地址
7.節點(diǎn)號全為1:代表該網(wǎng)段的所有主機
一些私有地址的范圍:
1.A類(lèi)地址中:10.0.0.0到10.255.255.255.255
2.B類(lèi)地址中:172.16.0.0到172.31.255.255
3.C類(lèi)地址中:192.168.0.0到192.168.255.255
廣播地址:
1.層2廣播:FF.FF.FF.FF.FF.FF,發(fā)送給LAN內所有節點(diǎn)
2.層3廣播:發(fā)送給網(wǎng)絡(luò )上所有節點(diǎn)
3.單播(unicast):發(fā)送給單獨某個(gè)目標主機
4.多播:由1臺主機發(fā)出,發(fā)送給不同網(wǎng)絡(luò )的許多節點(diǎn)
