华为认证HCDP实验指导书HCDPIENPv16.docx
- 文档编号:4971294
- 上传时间:2022-12-12
- 格式:DOCX
- 页数:166
- 大小:885.15KB
华为认证HCDP实验指导书HCDPIENPv16.docx
《华为认证HCDP实验指导书HCDPIENPv16.docx》由会员分享,可在线阅读,更多相关《华为认证HCDP实验指导书HCDPIENPv16.docx(166页珍藏版)》请在冰豆网上搜索。
华为认证HCDP实验指导书HCDPIENPv16
华为认证系列教程
HCDP-IENP
提升企业级网络性能
实验指导书
华为技术有限公司
版权声明
版权所有©华为技术有限公司2010。
保留一切权利。
本书所有内容受版权法保护,华为拥有所有版权,但注明引用其他方的内容除外。
未经华为技术有限公司事先书面许可,任何人、任何组织不得将本书的任何内容以任何方式进行复制、经销、翻印、存储于信息检索系统或使用于任何其他任何商业目的。
版权所有XX。
商标声明
和其他华为商标均为华为技术有限公司的商标。
本文档提及的其他所有商标或注册商标,由各自的所有人拥有。
华为认证系列教程
HCDP-IENP提升企业级网络性能
实验指导书
第1.6版本
华为认证体系介绍
依托华为公司雄厚的技术实力和专业的培训体系,华为认证考虑到不同客户对ICT技术不同层次的需求,致力于为客户提供实战性、专业化的技术认证。
根据ICT技术的特点和客户不同层次的需求,华为认证为客户提供面向十三个方向的四级认证体系。
HCDA(HuaweiCertifiedDatacomAssociate,华为认证数据通信工程师)主要面向IP网络维护工程师,以及其他希望学习IP网络知识的人士。
HCDA认证在内容上涵盖TCP/IP基础、路由、交换等IP网络通用基础知识以及华为数据通信产品、通用路由平台VRP特点和基本维护。
HCDP-Enterprise(HuaweiCertifiedDatacomProfessional-Enterprise,华为认证数据通信资深工程师-企业级)主要面向企业级网络维护工程师、网络设计工程师以及希望系统深入地掌握路由、交换、网络调整及优化技术的人士。
HCDP-Enterprise包括IESN(ImplementEnterpriseSwitchingNetwork,部署企业级交换网络)、IERN(ImplementEnterpriseRoutingNetwork,部署企业级路由网络)、IENP(ImprovingEnterpriseNetworkPerformance,提升企业级网络性能)三个部分。
内容上涵盖IPv4路由技术原理深入以及在VRP中的实现;交换技术原理深入以及在VRP中的实现;网络安全技术、高可靠性技术和Qos技术等高级IP网络技术以及在华为产品中的实现。
HCIE-Enterprise(HuaweiCertifiedInternetworkExpert-Enterprise,华为认证互联网络专家)旨在培养能够熟练掌握各种IP网络技术;精通华为产品的维护、诊断和故障排除;具备大型IP网络规划、设计和优化的IP网络大师。
华为认证协助您打开行业之窗,开启改变之门,屹立在ICT世界的潮头浪尖!
前言
简介
本书为HCDP-IENP认证培训教程,适用于准备参加HCDP-IENP考试的学员或者希望系统掌握华为安全产品与技术、可靠性HA技术、QoS原理以及在华为通用路由平台VRP上的实现的读者。
内容描述
本书共包含三个Module,系统地介绍了华为安全产品与技术、可靠性HA技术和QoS原理以及在VRP上的配置与实现。
Module1详细介绍了华为Eudemon防火墙产品功能特性和业务特性,使读者对华为安全产品及网络安全有一个较为深入的了解。
Module2详细介绍了可靠性HA技术,帮助读者深入了解各种HA技术原理和运用。
Module3详细介绍了IPQoS技术,帮助读者深入了解QoS原理,掌握QoS在华为VRP中的配置。
本书引导读者循序渐进地掌握华为安全产品与技术、可靠性HA技术和QoS技术原理以及在华为产品中的实现,读者也可以根据自身情况选择感兴趣的章节阅读。
读者知识背景
为了更好地掌握本书内容,阅读本书的读者应首先具备以下基本条件之一:
1)参加过HCDA培训
2)通过HCDA考试
3)熟悉TCP/IP协议,具有一定的网络基础知识
4)熟悉多种路由协议如OSPF、IS-IS和BGP
本书常用图标
实验环境说明
组网介绍
本实验环境面向准备HCDP-IENP考试的网络工程师,实验设备包括路由器5台,交换机4台,防火墙2台。
每套实验环境适用于2名学员同时上机操作。
设备介绍
为了满足HCDP-IENP实验需要,建议每套实验环境采用以下配置:
设备名称、型号与版本的对应关系如下:
设备名称
设备型号
软件版本
R1
AR2220
Version5.90(V200R001C01SPC300)
R2
AR2220
Version5.90(V200R001C01SPC300)
R3
AR2220
Version5.90(V200R001C01SPC300)
R4
AR1220
Version5.90(V200R001C01SPC300)
R5
AR1220
Version5.90(V200R001C01SPC300)
S1
S5700-28C-EI-24S
Version5.70(V100R006C00SPC800)
S2
S5700-28C-EI-24S
Version5.70(V100R006C00SPC800)
S3
S3700-28TP-EI-AC
Version5.70(V100R006C00SPC800)
S4
S3700-28TP-EI-AC
Version5.70(V100R006C00SPC800)
FW1
Eudemon200E-X2
Version5.30(V100R005C00SPC100)
FW2
Eudemon200E-X2
Version5.30(V100R005C00SPC100)
第一章防火墙特性功能
实验1-1Eudemon防火墙安全区域及其他基本功能配置
学习目的
∙掌握防火墙安全区域的配置方法
∙掌握域间包过滤的配置方法
∙掌握在静态与动态配置黑名单的方法
∙掌握黑名单的配置方法
∙掌握应用层包过滤的配置方法
拓扑图
图1-1Eudemon防火墙区域配置
场景
你是你们公司的网络管理员。
公司总部的网络分成了三个区域,包括内部区域(Trust)、外部区域(Untrust)和服务器区域(DMZ)。
你设计通过防火墙来实现对数据的控制,添加黑名单来防范网络攻击,确保公司内部网络安全。
学习任务
步骤一.基本配置与IP编址
给三个路由器配置地址信息。
Entersystemview,returnuserviewwithCtrl+Z.
[Huawei]sysnameR1
[R1]interfaceGigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]ipaddress10.0.10.124
[R1-GigabitEthernet0/0/1]interfaceloopback0
[R1-LoopBack0]ipaddress10.0.1.124
Entersystemview,returnuserviewwithCtrl+Z.
[Huawei]sysnameR2
[R2]interfaceGigabitEthernet0/0/1
[R2-GigabitEthernet0/0/1]ipaddress10.0.20.124
[R2-GigabitEthernet0/0/1]interfaceloopback0
[R2-LoopBack0]ipaddress10.0.2.224
Entersystemview,returnuserviewwithCtrl+Z.
[Huawei]sysnameR3
[R3]interfaceGigabitEthernet0/0/1
[R3-GigabitEthernet0/0/1]ipaddress10.0.30.124
[R3-GigabitEthernet0/0/1]interfaceloopback0
[R3-LoopBack0]ipaddress10.0.3.324
给防火墙配置地址时,需要注意Ethernet1/0/0接口为二层交换机接口,无法配置IP地址。
实验中我们在防火墙上配置VLAN12,定义Vlanif12,配置IP地址作为Inside区域的网关。
由于默认情况下,防火墙会给它的Vlanif1配置地址,实验中为避免干扰,删除该配置。
Entersystemview,returnuserviewwithCtrl+Z.
[Eudemon200E]sysnameFW
[FW]vlan12
[FW-vlan-12]quit
[FW]interfacevlanif12
[FW-Vlanif12]ipaddress10.0.20.25424
[FW-Vlanif12]interfaceEthernet1/0/0
[FW-Ethernet1/0/0]portaccessvlan12
[FW-Ethernet1/0/0]interfaceEthernet0/0/0
[FW-Ethernet0/0/0]ipaddress10.0.10.25424
[FW-Ethernet0/0/0]interfaceethernet2/0/0
[FW-Ethernet2/0/0]ipaddress10.0.30.25424
[FW-Ethernet2/0/0]quit
[FW]undointerfaceVlanif1
交换机上需要按照需求定义VLAN。
[Quidway]sysnameS1
[S1]vlanbatch11to13
[S1]interfaceGigabitEthernet0/0/1
[S1-GigabitEthernet0/0/1]portlink-typeaccess
[S1-GigabitEthernet0/0/1]portdefaultvlan11
[S1-GigabitEthernet0/0/1]interfaceGigabitEthernet0/0/2
[S1-GigabitEthernet0/0/2]portlink-typeaccess
[S1-GigabitEthernet0/0/2]portdefaultvlan12
[S1-GigabitEthernet0/0/2]interfaceGigabitEthernet0/0/3
[S1-GigabitEthernet0/0/3]portlink-typeaccess
[S1-GigabitEthernet0/0/3]portdefaultvlan13
[S1-GigabitEthernet0/0/3]interfaceGigabitEthernet0/0/21
[S1-GigabitEthernet0/0/21]portlink-typeaccess
[S1-GigabitEthernet0/0/21]portdefaultvlan11
[S1-GigabitEthernet0/0/21]interfaceGigabitEthernet0/0/22
[S1-GigabitEthernet0/0/22]portlink-typeaccess
[S1-GigabitEthernet0/0/22]portdefaultvlan12
[S1-GigabitEthernet0/0/22]interfaceGigabitEthernet0/0/23
[S1-GigabitEthernet0/0/23]portlink-typeaccess
[S1-GigabitEthernet0/0/23]portdefaultvlan13
配置完成后在FW设备上测试相同区域的连通性。
[FW]ping10.0.10.1
PING10.0.10.1:
56databytes,pressCTRL_Ctobreak
Requesttimeout
Replyfrom10.0.10.1:
bytes=56Sequence=2ttl=255time=1ms
Replyfrom10.0.10.1:
bytes=56Sequence=3ttl=255time=1ms
Replyfrom10.0.10.1:
bytes=56Sequence=4ttl=255time=1ms
Replyfrom10.0.10.1:
bytes=56Sequence=5ttl=255time=1ms
---10.0.10.1pingstatistics---
5packet(s)transmitted
4packet(s)received
20.00%packetloss
round-tripmin/avg/max=1/1/1ms
[FW]ping10.0.20.1
PING10.0.20.1:
56databytes,pressCTRL_Ctobreak
Requesttimeout
Replyfrom10.0.20.1:
bytes=56Sequence=2ttl=255time=1ms
Replyfrom10.0.20.1:
bytes=56Sequence=3ttl=255time=1ms
Replyfrom10.0.20.1:
bytes=56Sequence=4ttl=255time=1ms
Replyfrom10.0.20.1:
bytes=56Sequence=5ttl=255time=1ms
---10.0.20.1pingstatistics---
5packet(s)transmitted
4packet(s)received
20.00%packetloss
round-tripmin/avg/max=1/1/1ms
[FW]ping10.0.30.1
PING10.0.30.1:
56databytes,pressCTRL_Ctobreak
Requesttimeout
Replyfrom10.0.30.1:
bytes=56Sequence=2ttl=255time=1ms
Replyfrom10.0.30.1:
bytes=56Sequence=3ttl=255time=1ms
Replyfrom10.0.30.1:
bytes=56Sequence=4ttl=255time=1ms
Replyfrom10.0.30.1:
bytes=56Sequence=5ttl=255time=1ms
---10.0.30.1pingstatistics---
5packet(s)transmitted
4packet(s)received
20.00%packetloss
round-tripmin/avg/max=1/1/1ms
在R1、R2和R3上配置缺省路由,在FW上配置明确的静态路由,实现三个Loopback0接口连接的网段之间的互通。
[R1]iproute-static0.0.0.0010.0.10.254
[R2]iproute-static0.0.0.0010.0.20.254
[R3]iproute-static0.0.0.0010.0.30.254
[FW]iproute-static10.0.1.02410.0.10.1
[FW]iproute-static10.0.2.02410.0.20.1
[FW]iproute-static10.0.3.02410.0.30.1
配置完成后,测试各路由器Loopback0接口连接的网段之间的通讯情况。
[R1]ping-a10.0.1.110.0.2.2
PING10.0.2.2:
56databytes,pressCTRL_Ctobreak
Replyfrom10.0.2.2:
bytes=56Sequence=1ttl=254time=3ms
Replyfrom10.0.2.2:
bytes=56Sequence=2ttl=254time=3ms
Replyfrom10.0.2.2:
bytes=56Sequence=3ttl=254time=4ms
Replyfrom10.0.2.2:
bytes=56Sequence=4ttl=254time=2ms
Replyfrom10.0.2.2:
bytes=56Sequence=5ttl=254time=3ms
---10.0.2.2pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=2/3/4ms
[R1]ping-a10.0.1.110.0.3.3
PING10.0.3.3:
56databytes,pressCTRL_Ctobreak
Replyfrom10.0.3.3:
bytes=56Sequence=1ttl=254time=4ms
Replyfrom10.0.3.3:
bytes=56Sequence=2ttl=254time=4ms
Replyfrom10.0.3.3:
bytes=56Sequence=3ttl=254time=3ms
Replyfrom10.0.3.3:
bytes=56Sequence=4ttl=254time=4ms
Replyfrom10.0.3.3:
bytes=56Sequence=5ttl=254time=4ms
---10.0.3.3pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=3/3/4ms
防火墙上默认有四个区域,分别是“local“、”trust“、”untrust“、”dmz“。
实验中我们使用到“trust“、”untrust“和”dmz“三个区域,分别将对应接口加入各安全区域。
[FW]firewallzonedmz
[FW-zone-dmz]addinterfaceEthernet2/0/0
[FW-zone-dmz]firewallzonetrust
[FW-zone-trust]addinterfaceVlanif12
[FW-zone-trust]firewallzoneuntrust
[FW-zone-untrust]addinterfaceEthernet0/0/0
默认情况下,所有区域之间可以正常通讯,不被检查。
[FW]disfirewallpacket-filterdefaultall
10:
28:
182011/12/24
Firewalldefaultpacket-filteractionis:
packet-filterinpublic:
local->trust:
inbound:
default:
permit;||IPv6-acl:
null
outbound:
default:
permit;||IPv6-acl:
null
local->untrust:
inbound:
default:
permit;||IPv6-acl:
null
outbound:
default:
permit;||IPv6-acl:
null
local->dmz:
inbound:
default:
permit;||IPv6-acl:
null
outbound:
default:
permit;||IPv6-acl:
null
trust->untrust:
inbound:
default:
permit;||IPv6-acl:
null
outbound:
default:
permit;||IPv6-acl:
null
trust->dmz:
inbound:
default:
permit;||IPv6-acl:
null
outbound:
default:
permit;||IPv6-acl:
null
dmz->untrust:
inbound:
default:
permit;||IPv6-acl:
null
outbound:
default:
permit;||IPv6-acl:
null
packet-filterbetweenVFW:
由以上显示的内容看出,缺省情况下,所有安全区域间的所有方向都允许报文通过。
检查区域之间的连通性。
Untrust区域到Trust区域。
PING10.0.2.2:
56databytes,pressCTRL_Ctobreak
Replyfrom10.0.2.2:
bytes=56Sequence=1ttl=254time=3ms
Replyfrom10.0.2.2:
bytes=56Sequence=2ttl=254time=3ms
Replyfrom10.0.2.2:
bytes=56Sequence=3ttl=254time=3ms
Replyfrom10.0.2.2:
bytes=56Sequence=4ttl=254time=3ms
Replyfrom10.0.2.2:
bytes=56Sequence=5ttl=254time=3ms
---10.0.2.2pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=3/3/3ms
Untrust区域到DMZ区域。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 华为 认证 HCDP 实验 指导书 HCDPIENPv16