HCL (H3C)

HCL 中 FW,SW,RS 等设备用户配置
【H3C] ftp server enable //系统视图下开启ftp 服务
[H3C] local -user xusheng //创建一个名为xuesheng的本地用户，并进入xuesheng的本地用户配置视图
[H3C-luser-manage-xuesheng] password simple Rr998896 //给xuesheng用户配置密码
[H3C-luser-manage-xuesheng]authorization-attribute user-role level-15 //赋予xuesheng 用户管理员权限
[H3C-luser-manage-xuesheng] service-type ftp //在ftp服务中添加这个账号
[H3C-luser—manage-xuesheng] servicce-type ssh //在ssh 服务中添加这个账号
[H3C-luser-manage-xuesheng] service-type telnet //在telnet 服务中添加这个账号
[H3C-luser-manage-xuesheng] service-type http //在http 服务中添加这个账号
TCP 和UDP对比

维护连接状态 tcp维持端到端的连接状态 ，udp 不维护连接状态
对应用层数据的封装 tcp和udp相同，对应用层数据进行分段和封装，用端口号标识应用层程序
数据传输 tcp 通过序列号和应答机制确保可靠传输 ，udp 不确保可靠传输
流量控制 tcp 使用滑动窗口机制控制流量， udp 无流量控制机制
ssh 由传输协议，验证协议和连接协议三部分组成，使用端口22
display history - command 查看历史命令记录
display version 查看版本信息
display current - configuration 查看当前配置
display interface 显示接口信息
display ip interface brief 显示接口状态与配置信息
display diagnostic- information 显示系统运行统计信息
vlan 的类型
1. 基于端口的vlan 2.基于mac 地址的vlan 3.基于协议的vlan 4.基于子网的vlan
vlan的基本配置
[Switch] vlan -id 创建vlan并进入vlan视图
[Switch-vlan 10 port interface-list 将指定端口加入到当前的vlan 中
配置trunk端口
[Switch - Ethernet/0/1] port link-mode trunk 配置端口的链路类型为trunk类型
[Switch- Ethernet/0/1] port trunk permit vlan { vlan -id-list | all} 允许指定的vlan 通过当前的trunk端口
[Switch-Ethernet /0/1] port trunk pvid vlan vlan -id 设置trunk端口的缺省vlan
静态聚合配置
[Switch] interface bridge-aggregation interface-number 创建聚合端口
[Switch- Ethernet/0/1] port link-aggregation group number 将以太网端口加入到聚合组
DHCP基本概念
DHCP服务器 提供DHCP功能的服务器或者具有DHCP功能的网络设备
DHCP中继 一般为路由器或者三层交换机等网络设备
DHCP客户端 需要动态获得IP地址的主机
DHCP分配方式 1.手工分配 2.自动分配 3.动态分配
DHCP分配IP地址四个阶段
DHCP Discover 发现阶段
DHCP Offer 提供阶段
DHCP Request 选择阶段
DHCP ACK 获取租约
DHCP在中继上的配置
[ Router] dhcp enable 启用dhcp
[ Router] dhcp server ip -pool -name 创建地址池
[ Router -dhcp -ip -pool- 1] network network -address [mask -length |mask mask]
[ Router- dhcp -ip -pool-1] gateway -list ip- address 配置分配时客户端的网关
[ Router -dhcp -ip -pool -1] dns-list ip-address 配置分配的DNS
[ Router ] dhcp server forbidden -ip low-ip-address [ high -ip -address] 配置保留地址
[ Router - dhcp-pool —0] expired {day day [hour hour [minute minute] ] |unlimited} 设置租约时间
ACL 的配置
[SW] acl number [acl-number] 配置基本acl,并指定acl 序号
[SW-acl-ipv4 -adv- 3000] rule [rule -id] {deny | permit} [fragment | logging | source
{sour -adder sour -wildcard | any} | time -range time -name 定义规则，指定定义的地址范围和动作
[ SW- acl -ipv4 -adv —3000] quit 退出策略组
[ SW] int port name 进入接口
[SW- Gigabitethernet 1/0/1] firewall pack- filter { acl -number | name acl -name }
{inbound | outbound } 应用策略到接口
路由的种类
直连路由 开销小，配置简单，无需人工维护
手工配置静态路由 无开销， 配置简单， 需要人工维护
通过协议发现的路由或者动态路由 开销大， 配置复杂，无需人工维护
影响路由度量值的因素 线路延迟， 带宽， 线路使用率 ， 线路可信度， 跳数， 最大传输单元
路由的优先级
度量值越小，优先级越高
相同度量值的情况下，依据路由表的顺序，至上而下执行
网络原则：同一台设备的任意两个接口，不能是相同网段
直连路由无需手工配置
静态路由的基本配置
ip route static 目的地址 子网掩码 下一跳地址
H3C防火墙安全域的划分
DMZ区域 (非军事化区域) 提供对外部服务的区域
Trust区域 通常用来定义内部用户所在的网络，也可以理解为应该是防护最严密的地区
Untrust 区域 通常用来定义 interner 等不安全的网络，用于网络入口线的接入
Local 区域 local就是防火墙本身的区域
Management 区域 运维管理区域，提供给运维人员和运维工具 使用
安全域的配置
security- zone name zone-name 创建安全域并进入安全域视图
import interface layer 3 -interface-type layer3 -interface -number 向安全域中添加三层接口成员
import interface layer2 -interface -type layer2 -interface - number vlan vlan -list
向安全域中添加二层接口和 vlan成员
acl advancde 3000 rule permit ip 配置全通的Acl
zone-pair security { source-zone-name | any} destination {destination -zone -name | any } 创建安全域间实例，并进入安全域间实例视图
permit 动作 packet -filter 3000 配置同一安全域内接口间报文处理的缺省动作
display security-zone [ name zone -name] 显示安全域信息，包括预定义的和自定义的安全域信息
display zone -pair security 显示已创建的所有安全域间实例的信息
NAT 实现的三种方式
静态地址转换，动态地址转换，和 端口地址转换PAT
根据转换方式来区分NAT
SNAT ( 源地址转换) 使局域网共享同一个公网IP 接入 Internet
DNAT ( 目的地址转换) 使企业可以对互联网映射端口或者IP
HCL中SNAT 的配置
nat outbound 3000 { 命令主体+ acl 编号}
HCL中 DNAT的配置
nat server protocol tcp global 200.5.5.2 80 inside 172.16.1.2 80 ** { 命令主体+协议+固定搭配+外部地址+端口+固定搭配+内部地址+端口}
网络流量中的信息
从网络流量中，主要能获取以下几种信息

1. 源/ 目的IP地址 2. 源/ 目的 mac 地址 3. 源/ 目的端口号 4.协议类型和报文

镜像分为端口镜像( Port Mirroring) 和 流镜像 ( Flow Mirroring )
交换机端口镜像
被监视的端口称为 镜像源端口 监视的端口称为镜像的目的端口
H3C端口镜像命令
mirroring- group 1 local // 配置本地镜像组，组名为1
mirroring -group 1 mirroring -port Gigabitethernet 1/0/1 to Gigabitethernet 1/0/4 both // 配置镜像源端口
mirroring - group 1 monitor -port Gigabitethernet 1/0/5 //配置镜像目的端口
常见的协议表

<br />**   **