展現您的尖端技術技能
「技術專家」認證能夠讓專業人員將目標放在特定的技術上，並且透過在他們工作中會使用的技術中，展示他們深度的知識及獨特的專長，來突顯出自己的能力。微軟技術專員所具備的能力，就是能夠一致地實作、建置、疑難排解及偵錯特定的 Microsoft 技術。
目前有 19 種微軟認證技術專家 (MCTS) 認證，包括最新即將舉辦的 Office Project 2007 認證系列。隨著新技術的誕生，也將會有新的認證提供。19 種認證包括：
博客
-
CCNP消息：關於CCNP折扣號項目說明
CCNP消息：關於CCNP折扣號項目說明
在此公佈一個好消息，思科網絡技術學院現在給通過CCNP Final Exam (75分)的學生提供Discount Voucher，請已經開設CCNP課程的老師鼓勵學生申請CCNP折扣號。
申請資格要求：
1.完成新版CCNP課程(CCNP 5.0)
2.首次Final Exam成績高於75分申請流程：
完整的填寫以下資料,並Email至Netacd-ccnp-discount-voucher@cisco.com
●Academy Connection user ID
● First and Last Name/Full Name
●Class ID
●Email Address
●Country
●Passing mark of first attempt and CCNP Exam applying* （填寫首次Final Exam的成績）
●Pearson VUE ID* （填寫CSCO ID）
●Academy Name
●Instructor Name
●Instructor ID
●Instructor Email注意：
1. Voucher是無法轉讓的(綁定姓名)，也無法用來參加composite exam。
2. Voucher只能用來參加下列CCNP認證考試:
● 642-901 BSCI
● 642-812 BCMSN
● 642-825 ISCW
● 642-845 ONT
3.學生每學完一門課程即可申請一個該課程對應考試的折扣號，每位學生針對上述的每個考試只能申請1次，最多申請上面列出的4個折扣號針對以上4項考試。
4.每次提交的申請只能申請一個折扣號，不能同時申請多個。
5.本次CCNP折扣號項目將在2009年7月31日或所有折扣號發放結束即截止。
6.如果學生在申請折扣號60天內沒有參加認證考試，該學生將失去申請其他折扣號的資格。
7.申請可以隨時提出，但是發放折扣號是按月進行的
8.不一定所有的申請都會拿到折扣號，我們每月拿到的折扣號數量是有限的。
9.所有的折扣號將在每月開始的5個工作日得到回复 -
思科公司強化CCIE、CCDE專家級認證人才發展項目
CCIE新型培訓模塊進一步開放移動測試設施並增加就業機會，從而提升全球網絡性能
Marketwire 2008年10月14日印度班加羅爾和加利福尼亞州聖何塞消息――為繼續加強人才發展，Cisco公司（Cisco）（納斯達克股票代碼：CSCO）今天宣布拓展並修訂其已獲獎的專家級認證項目，包括針對Cisco認證網絡專家（CCIE（R））路由和交換類開放全新的Cisco360學習項目。項目改進內容包括實施Cisco認證網絡專家路由和交換移動實驗室計劃、通過Cisco學習網絡增加就業機會、開放Cisco認證設計專家（CCDE TM)實用考試以及修訂Cisco認證網絡專家安全實驗室考試。
Learning@Cisco總經理Jeanne Beliveau-Dunn說：“十多年來，Cisco網絡專家認證一直圍繞全球最複雜的網絡解決方案的實施開展工作。在Cisco認證網絡專家項目隨著行業的發展期間，我們的專家教育服務一直關注當前較為複雜的可升級技術，以及相關職位內部的新應用和映射能力，從而為客戶和合作商帶來成功。”
Beliveau-Dunn補充說：“我們還對測試方法進行升級，並引入綜合的學習系統，以確保一如既往的項目質量、關聯性和價值。Cisco網絡專家認證對擁有最高級專業技術的互聯網專家進行確認，認證專家能處理其領域內最棘手的任務難題。隨著經驗培訓和測試設施的日益開放，我們可加快專家們在全球範圍內開發強大網絡性能的能力，從而滿足持續走高的專家需求。”
針對Cisco認證網絡專家路由和交換類推出的Cisco360學習項目
針對Cisco認證網絡專家路由和交換類推出的Cisco360學習項目旨在儲備擁有巨大潛力的網絡專業人員，以解決如何掌握精深專業技術這一難題。有了專業技術，專家就可以管理複雜的網絡，並在Cisco認證網絡專家考試和工作中解決所碰到的配置和故障檢修困難。 Cisco360學習項目是為期六個月的綜合學習過程，涵蓋高級技能評估、目標學習模塊、實戰練習實驗室，對實際工作情景進行了重現，旨在提高專家級技能。 Cisco360學習項目可通過選擇Cisco授權的學習合作夥伴獲得，項目包括預評估以及六門在線課程，課程涉及IPv6、QoS、幀中繼、邊界網有關協議和交換、高度推薦的教師引導式討論班、實習實驗室和輔導。
認證培訓經理Melanie Comyn說：“針對Cisco認證網絡專家路由和交換類推出的Cisco360學習項目使我們能以綜合嵌套的方式實施人才發展。通過該新項目，我們可對希望獲得認證的候選人進行全面的了解。我們還可設置輔導功能，使公司中經驗更為豐富的網絡專家與Cisco認證網絡專家候選人結成教學對子，以幫助候選人克服難題，通過認證。”
移動測試設施09年1月起CCIE實驗增加上海等部分移動考場:
為滿足新興市場上對認證網絡專家的需要，以及向那些正努力通過Cisco網絡專家認證的人員提供更便利的測試，Cisco正加強力量，推出Cisco認證網絡專家路由和交換類實驗室考試。通過Cisco認證網絡專家移動實驗室計劃，Cisco將讓更多的候選人可以在國內參加考試，讓考試變得更加方便，並避免那些在其他國家參加考試導致的等待時間和費用。該計劃將與Cisco認證網絡專家路由和交換類考試同時啟動，以後還將進行拓展，將其他認證考試納入其中。
獲得就業機會
目前，Cisco學習網的註冊會員無須離開Cisco站點即可搜索CareerBuilder大規模職位數據庫中的所有公佈職位。除了可以使用“CCIE”或“CCNA”等Cisco認證關鍵字進行快速搜索外，門戶網站還支持分類關鍵字搜索，可指定工作地點和職位類型。在Cisco學習網您可以獲得全新的發展前途。
Cisco認證設計專家實習考試的開放情況
Cisco認證設計專家項目於2008年1月宣布推出，該項目承認網絡是信息時代的商業平台。可與Cisco網絡專家認證相媲美的Cisco認證設計專家項目承認網絡專家的數目在日益增長，這些網絡專家有著精深的專業知識，可對網絡業務需求進行評估，並將需求轉換成有效的網絡設計。要獲得Cisco認證設計專家證書，必須經過兩部分考試。 Cisco公司今天宣布，通過Pearson VUE授權測試中心可以獲得基於實際工作情景的八小時考試部分。要針對考試進行時間安排，請訪問網站：http://www.vue.com/cisco。
Learning@Cisco全球認證經理Erik Ullanderson說：“該測試不同於其他的認證考試。它將測試候選人的網絡商業需求評估能力以及將需求轉換成有效網絡設計的能力。該實用考試有助於對信息經濟時代中網絡職位的高級概念知識進行量化。”
Cisco認證網絡專家安全實驗室考試的更新情況
Cisco公司已修訂了其Cisco認證網絡專家安全實驗室考試，以對高級安全網絡專業人員在工作中所需的技能進行確認。最近由3500多位IT經理完成的一項投票（1）顯示，安全是全球IT經理最看中的技能。為滿足這一需求，Cisco公司通過其最新的Cisco設備和軟件對Cisco認證網絡專家安全實驗室考試進行了更新，以真實地反映安全技術人員所需的職位知識和技能。同時，對故障檢修的關注度也繼續加強，以確定IT部門所面臨的運營難題以及新型結構的配置難題。
目前通過www.ciscolearningnetwork.com可獲得Cisco認證網絡專家安全考試計劃，新型考試預計將於2009年4月推出。
2009年4月起,CCIE安全Lab考查知識點：http://www.net130.com/CMS/Pub/cert1/cert_ccie1/cert_ccie_dt/2008_11_03_8508.htm
欲了解Cisco職業認證項目的詳情，請訪問網站：www.cisco.com/go/learnnetspace 。
-
路由器(Router)VPN和IPv6技術分析
路由器綜述
路由器是互聯網的主要節點設備。路由器通過路由決定數據的轉發。轉發策略稱為路由選擇(routing)，這也是路由器名稱的由來(router，轉發者)。路由器通常用於節點眾多的大型網絡環境，它處於ISO/OSI模型的網絡層。與交換機和網橋相比，在實現骨幹網的互聯方面，路由器、特別是高端路由器有著明顯的優勢。路由器高度的智能化，對各種路由協議、網絡協議和網絡接口的廣泛支持，還有其獨具的安全性和訪問控制等功能和特點是網橋和交換機等其他互聯設備所不具備的。路由器的中低端產品可以用於連接骨幹網設備和小規模端點的接入，高端產品可以用於骨幹網之間的互聯以及骨幹網與互聯網的連接。特別是對於骨幹網的互聯和骨幹網與互聯網的互聯互通，不但技術複雜，涉及通信協議、路由協議和眾多接口，信息傳輸速度要求高，而且對網絡安全性的要求也比其他場合高得多。因此採用高端路由器作為互聯設備，有著其他互聯設備不可比擬的優勢。
路由器的作用
路由器的一個作用是連通不同的網絡，另一個作用是選擇信息傳送的線路。選擇通暢快捷的近路，能大大提高通信速度，減輕網絡系統通信負荷，節約網絡系統資源，提高網絡系統暢通率，從而讓網絡系統發揮出更大的效益來。
從過濾網絡流量的角度來看，路由器的作用與交換機和網橋非常相似。但是與工作在網絡物理層，從物理上劃分網段的交換機不同，路由器使用專門的軟件協議從邏輯上對整個網絡進行劃分。例如，一台支持IP協議的路由器可以把網絡劃分成多個子網段，只有指向特殊IP地址的網絡流量才可以通過路由器。對於每一個接收到的數據包，路由器都會重新計算其校驗值，並寫入新的物理地址。因此，使用路由器轉發和過濾數據的速度往往要比只查看數據包物理地址的交換機慢。但是，對於那些結構複雜的網絡，使用路由器可以提高網絡的整體效率。路由器的另外一個明顯優勢就是可以自動過濾網絡廣播。從總體上說，在網絡中添加路由器的整個安裝過程要比即插即用的交換機複雜很多。
路由器的類型及特點
互聯網各種級別的網絡中隨處都可見到路由器。接入網絡使得家庭和小型企業可以連接到某個互聯網服務提供商;企業網中的路由器連接一個校園或企業內成千上萬的計算機;骨幹網上的路由器終端系統通常是不能直接訪問的，它們連接長距離骨幹網上的ISP和企業網絡。互聯網的快速發展無論是對骨幹網、企業網還是接入網都帶來了不同的挑戰。骨幹網要求路由器能對少數鏈路進行高速路由轉發。企業級路由器不但要求端口數目多、價格低廉，而且要求配置起來簡單方便，並提供QoS。
1.接入路由器
接入路由器連接家庭或ISP內的小型企業客戶。接入路由器已經開始不只是提供SLIP或PPP連接，還支持諸如PPTP和IPSec等虛擬私有網絡協議。這些協議要能在每個端口上運行。諸如ADSL等技術將很快提高各家庭的可用帶寬，這將進一步增加接入路由器的負擔。由於這些趨勢，接入路由器將來會支持許多異構和高速端口，並在各個端口能夠運行多種協議，同時還要避開電話交換網。
2.企業級路由器
企業或校園級路由器連接許多終端系統，其主要目標是以盡量便宜的方法實現盡可能多的端點互連，並且進一步要求支持不同的服務質量。許多現有的企業網絡都是由Hub或網橋連接起來的以太網段。儘管這些設備價格便宜、易於安裝、無需配置，但是它們不支持服務等級。相反，有路由器參與的網絡能夠將機器分成多個碰撞域，並因此能夠控制一個網絡的大小。此外，路由器還支持一定的服務等級，至少允許分成多個優先級別。但是路由器的每端口造價要貴些，並且在能夠使用之前要進行大量的配置工作。因此，企業路由器的成敗就在於是否提供大量端口且每端口的造價很低，是否容易配置，是否支持QoS。另外還要求企業級路由器有效地支持廣播和組播。企業網絡還要處理歷史遺留的各種LAN技術，支持多種協議，包括IP、IPX和Vine。它們還要支持防火牆、包過濾以及大量的管理和安全策略以及VLAN。
3.骨幹級路由器
骨幹級路由器實現企業級網絡的互聯。對它的要求是速度和可靠性，而代價則處於次要地位。硬件可靠性可以採用電話交換網中使用的技術，如熱備份、雙電源、雙數據通路等來獲得。這些技術對所有骨幹路由器而言差不多是標準的。骨幹IP路由器的主要性能瓶頸是在轉發表中查找某個路由所耗的時間。當收到一個包時，輸入端口在轉發表中查找該包的目的地址以確定其目的端口，當包越短或者當包要發往許多目的端口時，勢必增加路由查找的代價。因此，將一些常訪問的目的端口放到緩存中能夠提高路由查找的效率。不管是輸入緩衝還是輸出緩衝路由器，都存在路由查找的瓶頸問題。除了性能瓶頸問題，路由器的穩定性也是一個常被忽視的問題。
4.太比特路由器
在未來核心互聯網使用的三種主要技術中，光纖和DWDM都已經是很成熟的並且是現成的。如果沒有與現有的光纖技術和DWDM技術提供的原始帶寬對應的路由器，新的網絡基礎設施將無法從根本上得到性能的改善，因此開發高性能的骨幹交換/路由器(太比特路由器)已經成為一項迫切的要求。太比特路由器技術現在還主要處於開發實驗階段。
路由器技術
路由器的體系結構
從體系結構上看，路由器可以分為第一代單總線單CPU結構路由器、第二代單總線主從CPU結構路由器、第三代單總線對稱式多CPU結構路由器;第四代多總線多CPU結構路由器、第五代共享內存式結構路由器、第六代交叉開關體系結構路由器和基於機群系統的路由器等多類。
路由器的構成
路由器具有四個要素：輸入端口、輸出端口、交換開關和路由處理器。
輸入端口是物理鏈路和輸入包的進口處。端口通常由線卡提供，一塊線卡一般支持4、8或16個端口，一個輸入端口具有許多功能。第一個功能是進行數據鏈路層的封裝和解封裝。第二個功能是在轉發表中查找輸入包目的地址從而決定目的端口(稱為路由查找)，路由查找可以使用一般的硬件來實現，或者通過在每塊線卡上嵌入一個微處理器來完成。第三，為了提供QoS(服務質量)，端口要對收到的包分成幾個預定義的服務級別。第四，端口可能需要運行諸如SLIP(串行線網際協議)和PPP(點對點協議)這樣的數據鏈路級協議或者諸如PPTP(點對點隧道協議)這樣的網絡級協議。一旦路由查找完成，必須用交換開關將包送到其輸出端口。如果路由器是輸入端加隊列的，則有幾個輸入端共享同一個交換開關。這樣輸入端口的最後一項功能是參加對公共資源(如交換開關)的仲裁協議。
交換開關可以使用多種不同的技術來實現。迄今為止使用最多的交換開關技術是總線、交叉開關和共享存貯器。最簡單的開關使用一條總線來連接所有輸入和輸出端口，總線開關的缺點是其交換容量受限於總線的容量以及為共享總線仲裁所帶來的額外開銷。交叉開關通過開關提供多條數據通路，具有N×N個交叉點的交叉開關可以被認為具有2N條總線。如果一個交叉是閉合，輸入總線上的數據在輸出總線上可用，否則不可用。交叉點的閉合與打開由調度器來控制，因此，調度器限制了交換開關的速度。在共享存貯器路由器中，進來的包被存貯在共享存貯器中，所交換的僅是包的指針，這提高了交換容量，但是，開關的速度受限於存貯器的存取速度。儘管存貯器容量每18個月能夠翻一番，但存貯器的存取時間每年僅降低5%，這是共享存貯器交換開關的一個固有限制。
輸出端口在包被發送到輸出鏈路之前對包存貯，可以實現複雜的調度算法以支持優先級等要求。與輸入端口一樣，輸出端口同樣要能支持數據鏈路層的封裝和解封裝，以及許多較高級協議。
路由處理器計算轉發表實現路由協議，並運行對路由器進行配置和管理的軟件。同時，它還處理那些目的地址不在線卡轉發表中的包。
VPN
VPN(Virtual Private Network-虛擬專用網)解決方案是路由器具有的重要功能之一。其解決方案大致如下：1.訪問控制
一般分為PAP(口令認證協議)和CHAP(高級口令認證協議)兩種協議。 PAP要求登錄者向目標路由器提供用戶名和口令，與其訪問列表(Access List)中的信息相符才允許其登錄。它雖然提供了一定的安全保障，但用戶登錄信息在網上無加密傳遞，易被人竊取。 CHAP便應運而生，它把一隨機初始值與用戶原始登錄信息(用戶名和口令)經Hash算法翻譯後形成新的登錄信息。這樣在網上傳遞的用戶登錄信息對黑客來說是不透明的，且由於隨機初始值每次不同，用戶每次的最終登錄信息也會不同，即使某一次用戶登錄信息被竊取，黑客也不能重複使用。需要注意的是，由於各廠商採取各自不同的Hash算法，所以CHAP無互*作性可言。要建立VPN需要VPN兩端放置相同品牌路由器。
2.數據加密
在加密過程中加密位數是一個很重要的參數，它直接關係到解密的難易程度，其中Intel 9000系列路由器表現最為優異，為一百多位加密。
3.NAT(Network Address Translation-網絡地址轉換協議)
如同用戶登錄信息一樣，IP和MAC地址在網上無加密傳遞也很不安全。 NAT可把合法IP地址和MAC地址翻譯成非法IP地址和MAC地址在網上傳遞，到達目標路由器後反翻譯成合法IP與MAC地址，這一過程有點像CHAP，翻譯算法廠商各自有不同標準，不能實現互*作。
QoS
QoS(Quality of Service-服務質量)本來是ATM(Asynchronous Transmit Mode)中的專用術語，在IP上原來是不談QoS的，但利用IP傳VOD等多媒體信息的應用越來越多，IP作為一個打包的協議顯得有點力不從心：延遲長且不為定值，丟包造成信號不連續且失真大。為解決這些問題，廠商提供了若干解決方案：第一種方案是基於不同對象的優先級，某些設備(多為多媒體應用)發送的數據包可以後到先傳。第二種方案基於協議的優先級，用戶可定義哪種協議優先級高，可後到先傳，Intel和Cisco都支持。第三種方案是做鏈路整合MLPPP(Multi Link Point to Point Protocol)，Cisco支持可通過將連接兩點的多條線路做帶寬匯聚，從而提高帶寬。第四種方案是做資源預留RSVP(Resource Reservation Protocol)，它將一部分帶寬固定的分給多媒體信號，其它協議無論如何擁擠，也不得佔用這部分帶寬。這幾種解決方案都能有效的提高傳輸質量。
RIP、OSPF和BGP協議
互聯網上現在大量運行的路由協議有RIP(Routing Information Protocol-路由信息協議)、OSPF(Open Shortest Path First–開放式最短路優先)和BGP(Border Gateway Protocol—邊界網關協議)。 RIP、OSPF是內部網關協議，適用於單個ISP的統一路由協議的運行，由一個ISP運營的網絡稱為一個自治系統。 BGP是自治系統間的路由協議，是一種外部網關協議。
RIP是推出時間最長的路由協議，也是最簡單的路由協議。它主要傳遞路由信息(路由表)來廣播路由。每隔30秒，廣播一次路由表，維護相鄰路由器的關係，同時根據收到的路由表計算自己的路由表。 RIP運行簡單，適用於小型網絡，互聯網上還在部分使用著RIP。
OSPF協議是“開放式最短路優先”的縮寫。 “開放”是針對當時某些廠家的“私有”路由協議而言，而正是因為協議開放性，才使得OSPF具有強大的生命力和廣泛的用途。它通過傳遞鏈路狀態(連接信息)來得到網絡信息，維護一張網絡有向拓撲圖，利用最小生成樹算法得到路由表。 OSPF是一種相對複雜的路由協議。
總的來說，OSPF、RIP都是自治系統內部的路由協議，適合於單一的ISP(自治系統)使用。一般說來，整個互聯網並不適合跑單一的路由協議，因為各ISP有自己的利益，不願意提供自身網絡詳細的路由信息。為了保證各ISP利益，標準化組織製定了ISP間的路由協議BGP。
BGP處理各ISP之間的路由傳遞。其特點是有豐富的路由策略，這是RIP、OSPF等協議無法做到的，因為它們需要全局的信息計算路由表。 BGP通過ISP邊界的路由器加上一定的策略，選擇過濾路由，把RIP、OSPF、BGP等的路由發送到對方。全局範圍的、廣泛的互聯網是BGP處理多個ISP間的路由的實例。 BGP的出現，引起了互聯網的重大變革，它把多個ISP有機的連接起來，真正成為全球範圍內的網絡。帶來的副作用是互聯網的路由爆炸，現在互聯網的路由大概是60000條，這還是經過“聚合”後的數字。配置BGP需要對用戶需求、網絡現狀和BGP協議非常了解，還需要非常小心，BGP運行在相對核心的地位，一旦出錯，其造成的損失可能會很大!
IPv6技術
迅速發展中的互聯網將不再是僅僅連接計算機的網絡，它將發展成能同電話網、有線電視網類似的信息通信基礎設施。因此，正在使用的IP(互聯網協議)已經難以勝任，人們迫切希望下一代IP即IPv6的出現。
IPv6是IP的一種版本，在互聯網通信協議TCP/IP中，是OSI模型第3層(網絡層)的傳輸協議。它同目前廣泛使用的、1974年便提出的IPv4相比，地址由32位擴充到128位。從理論上說，地址的數量由原先的4.3×109個增加到4.3×1038個。之所以必須從現行的IPv4改用IPv6，主要有二個原因。
1.由於互聯網迅速發展，地址數量已經不夠用，這使得網絡管理花費的精力和費用令人難以承受。地址的枯竭是促使向擁有128位地址空間過渡的首要原因。
2.隨著主機數目的增加，決定數據傳輸路由的路由表在不斷加大。路由器的處理性能跟不上這種迅速增長。長此以往，互聯網連接將難以提供穩定的服務。經由IPv6，路由數可以減少一個數量級。
為了使互聯網連接許多東西變得簡單，而且使用容易，必須採用IPv6。 IPv6所以能做到這一點，是因為它使用了四種技術:地址空間的擴充、可使路由表減小的地址構造、自動設定地址以及提高安全保密性。
IPv6在路由技術上繼承了IPv4的有利方面，代表未來路由技術的發展方向，許多路由器廠商目前已經投入很大力量以生產支持IPv6的路由器。當然IPv6也有一些值得注意和效率不高的地方，IPv4/NAT和IPv6將會共存相當長的一段時間。
-
微軟認證：Windows Server 2008, Server Administrator
如今MCSE認證家族越來越龐大，首先是根據操作系統不同分為2個大類：Windows 2000和Windows Server 2003，然後又根據其專業化方向不同，又有基本類、信息類、安全類的區別。 MCSE認證體系:MCSE on Windows 2000微軟認證系統工程師（間稱 MCSE2000）；MCSE on Windows Server 2003微軟認證系統工程師（間稱 MCSE2003）； MCSE: Messaging on Windows 2000微軟認證信息系統工程師（MCSE2000: Messaging）；MCSE: Messaging on Windows Server 2003微軟認證信息系統工程師（MCSE2003:Messaging）；MCSE: Security on Windows 2000微軟認證系統安全工程師（MCSE2000: Security）；MCSE: Security on Windows Server 2003微軟認證系統安全工程師 （MCSE2003: Security）。
MCTS認證包含70-646這壹項考試科目，70-646：Windows Server 2008, Server Administrator。MCTS 70-646題庫涵蓋了108道真題，2008年9月1日進行最新更新，題庫真題的更新是因考綱內容的變化而進行這時更新，其目的是為了保證慘加70-646考試的考生100%通過70-646考試。MCTS 70-646考試題庫由KillTest認證題庫網資深IT認證講師和MCTS產品專家結合PROMETRIC或VUE的真實70-646考試環境最新原題傾心打造。
由於微軟中國網站上關於微軟認證的內容更新實在太慢，英文的內容也沒有太多的人去看，所以照成了國內很多學員學習和交流上的困難，所以我們特地組織了這壹系列的微軟認證專題供大家慘考，從認證、考試、培訓、資料四個方面對MCSE認證做全方位的介紹。微軟認證體系中等級最高的壹個認證，所以它要求的考試科目也最多（共7科，更提供了30余門選考科目），劃分為WIN2000 和WIN2003兩個版本的認證，又在這2個操作系統上衍生出了共計6個專業方向。
-
微軟認證：MCTS認證簡介
MCTS認證翻譯過來就是微軟認證技術專家，是微軟認證體系中最基礎的證書，其證書的等級相當於以前的MCP認證，並做為MCP認證的後繼證書，持有MCTS代表對微軟某個技術或某個產品具有充份的技術能力，可以執行搭建和管理(針對網管或系統管理人員) 或程序撰寫能力(針對開發人員)。
MCTS認證更有針對性的在每個證書多了其技術方向的說明，MCTS認證據IT認證考試資源網介紹MCTS認證側重於某項的微軟產品或技術的資格的鑒定，MCTS認證是以產品和技術為認證的標的，與前壹代的MCP認證不同，每壹個MCTS認證均只有壹科考試科目，只要通過該科考試，即可取得MCTS資格，但開發技術的MCTS要求考生必須要先通過70-536:TS: Microsoft .NET Framework Application Development Foundation，才可以擁有以通過壹科考試的方式取得開發技術的MCTS認證的資格。
-
華為認證：HCNE筆記（一）
6．1學習目標
廣域網協議概述、HDLC協議原理及配置、PPP、MP協議原理、配置及維護
X． 25協議原理、配置及維護、幀中繼協議原理及維護6．2廣域網協議概述
l廣域網簡稱WAN （wide area network），是在一個廣泛範圍內建立的計算機通信網
l廣域網是一種跨地區的數據通訊網絡，使用電信運營商提供的設備作為信息傳輸平台
l廣域網主要用來將距離較遠的局域網彼此連接起來
對於OSI參考模型，廣域網技術主要位於底層的3個層次，分別是物理層、數據鏈路層和網絡層。
OSI參考模型WAN技術
Network Layer(網絡層) X.25
Data link layer(數據鏈路層) LAPB、Frame Relay、HDLC、PPP、SDLC
Physical Layer (物理層) x.21bits、EIA/TIA-232、EIT/TIE-449、v.24、v.35、EIA-530
廣域網連接方式：
一、點到點連接：主要形式有撥號電話線路、ISDN撥號線路、DDN專線、E1線路等。鏈路層上的封裝協議有兩種：PPP和HDLC、PPP協議是華為路由器上的確省封裝。
二、分組交換方式：多個網絡設備在傳輸數據時共享一個點到點的連接，也就是說這條連接不是被某個設備獨占，而是由多個設備共享使用。網絡在進行數據傳輸時使用“虛電路VC”來提供端到端的連接。通常這種連接要經過分作交換網絡，而這種網絡一般都由電信運營商來提供。常見的廣域網分組形式有X.25、幀中繼（Frame Relay）、ATM等。
分組交換設備將用戶信息封裝在分組或數據幀中進行傳輸，在分組頭或幀頭中包含用於路由選擇、差錯控制和流量控制的信息。
6．3HDLC協議原理及配置
6．3．1 HDLC協議原理
標誌地址控制信息幀校驗標誌
l面向比特
l透明傳輸—–零比特填充法
l運行於同步串行線路
高級數據鏈路控制HDLC是一種面向比特的鏈路層協議，其最大的特點是不需要數據必須是規定的字符集，對任何一種比特流，均可以實現透明的傳輸。只要數據流中不存在同標誌的字段F相同的數據就不至於引起幀邊界的錯誤判斷。萬一出現同邊界標誌字段F相同的數據，即數據流中出現六個連1的情況，可以用零比特填充法解決。
標準HDLC協議族中的協議都是運行於同步串行線路之上，如：DDN
HDLC的地址字段是8個比特，在平衡方式是時總是寫入應答站的地址。
控制子段8比特，用來實現HDLC協議的各種控制信息，並標誌本幀的類型。
在標準HDLC協議格式中我們可以看到，他沒有包含標識所承載的上層協議信息的字段，所以在鏈路層封裝標準HDLC協議的單一鏈路上只能承載單一的網絡層協議。
6．3 6．3．2 HDLC協議配置
l在接口上封裝HDLC協議
link-protocol hdlc
l設置存活時間以探尋鏈路及對端路由器的工作狀況
timer hold
VRP支持HDLC協議封裝，可與市場流行設備的HDLC協議互通。
在同步接口配置模式下進行下列配置。
*作命令
配置接口封裝HDLC Link-protocol hdlc
缺省情況下，接口封裝的鏈路層協議為PPP.
需要注意的是：
（1）只有當接口工作在同步方式下時，才能封裝HDLC.
（2）當接口封裝了SLIP時，接口的物理屬性不能被修改為同步模式。此時，必須先將接口的鏈路層封裝改為PPP後，才能將接口的屬性改為同步模式。
HDLC協議中的keepalive時延，用於設定狀態*詢定時器的*詢時間間隔。
在同步接口配置模式下進行下列配置。
*作命令
設置keepalive時延Timer hold [seconds]
缺省情況下，keepalive時延為10秒，屈指範圍為0～32767秒。
注意：鏈路兩端設備設置的keepalive時延值必須相同。
6．4 6．4 PPP、MP協議原理及配置
6．4．1 PPP協議簡介l PPP協議是在SLIP的基礎上發展起來的。
l PPP協議是數據鏈路層協議，位於第二層
l物理層可以是同步電路或一部電路
PPP （Point-to-Point）協議是在SLIP的基礎上發展起來的，由於SLIP只支持異步傳輸方式，無協商過程，它逐漸被PPP協議所替代。 PPP協議作為一種提供在點到點鏈路上的封裝、傳輸網絡層數據包的數據鏈路層協議，處於OSI參考模型的第二層，主要被設計用來在支持全雙工的異步鏈路上進行點到點之間的數據傳輸。
PPP由於能夠提供驗證，易擴充，支持同異步而獲得較廣泛的應用。
PPP協議特點：
PPP協議是數據鏈路層協議；
支持點到點的連接（不同於X.25，Frame Relay等數據鏈路層協議）；
物理層可以是同步電路或異步電路（如Frame Relay必須為同步電路）；
具有各種NCP協議，如IPCP、IPXCP更好的支持了網絡層協議；
具有驗證協議PAP/CHAP，更好的保證了網絡的安全性。
6．4．2 PPP的組成部分
l PPP協議主要由鏈路控制協議（LCP），網絡控制協議族（NCPs）和用於網絡安全方面的驗證協議族(PAP和CHAP)組成
LCP主要用於建立，拆除和監控PPP數據鏈路，NCPs主要用於協商在數據鏈路上所傳輸的數據包的格式與類型。同時，PPP還提供了用於網絡安全方面的驗證協議族(PAP和CHAP)。
鏈路控制協議（LCP）：建立、配置、測試PPP數據鏈路連接；
網絡控制協議族（NCPS）：協商在該鏈路上所傳輸的數據包的格式與類型，建立、配置不同網絡層協議；
PPP擴展協議族：提供對PPP功能的進一步支持。
6．4．3 PPP協議棧
PPP是一個分層結構。在底層，它能使用同步媒體（如ISDN或同步DDN專線），也能使用異步媒介（如基於modem撥號的PSTN網絡）。
在數據鏈路層，PPP在鏈路方面提供了豐富的服務，這些服務以LCP協商選項的形式提供。
在上層，PPP通過NCPs提供對多種網絡層協議的支持。 PPP對於每一種網絡層協議都有一種封裝格式來區別他們的報文。
6．4．4 PPP協商流程
PPP協商分為幾個階段：Dead階段、Establish階段、Authenticate階段、Network階段和Terminate階段，在不同的階段進行不同協議的協商。只有前面的協議協商出結果後，才能轉入下一個階段，進行下一個協議的協商。
1)當物理層不可用時，PPP鏈路處於Dead階段，鏈路必須從這個階段開始和結束。當物理層可用時，PPP在建立鏈路之前先進行LCP協商，協商內容包括工作方式是SP還是MP、驗證方式和最大傳輸單元等。
2) LCP協商過後就進入Establish階段，此時LCP狀態為Opened，表示鏈路已經建立。
3)如果配置了驗證（遠端驗證本地或本地驗證遠端）就進入Authenticate階段，開始CHAP或PAP驗證。
4)如果驗證失敗進入Terminate階段，拆除鏈路，LCP狀態轉為Down，如果驗證成功就進入Network協商階段（NCP），此時LCP狀態仍為Opened，而IPCP狀態從Initial轉到Request。
5) NCP協商支持IPCP協商，IPCP協商主要包括雙方的IP地址。通過NCP協商來選擇和配置一個網絡層協議。當選中的網絡層協議配置成功後，該網絡層協議就可以通過這條鏈路發送報文了。
6) PPP鏈路將一直保持通信，直至有明確的LCP或NCP幀關閉這條鏈路，或發生了某些外部事件（如用戶的干預）。
6．4．5 PAP/CHAP驗證
l PAP是兩次握手驗證協議，口令以明文傳送，被驗證方首先發起驗證請求
驗證過程如下：
被驗證方發送用戶名和口令到驗證方：
驗證方根據用戶配置信息查看是否有此用戶己口令是否正確，然後返回不同的響應（Acknowledge or Not Acknowledge）。
如正確則會給對端發送ACK報文，通告對端已被允許進入下一階段協商；否則發送NCK報文，通高對端驗證失敗。此時，並不會直接將鏈路關閉。只有當驗證不通過次數達到一定值（缺省為4）時，才會關閉鏈路，來防止因誤傳、網絡干擾等造成不必要的LCP重新協商過程。
PAP的特點是在網絡上以文明的方式傳遞用戶名及口令，如在傳輸過程中被截獲，便有可能對網絡安全造成極大的威脅。因此，它適用於對網絡安全要求相對較低的環境。
l CHAP是三次握手驗證協議，不發送口令，主驗證方首先發起驗證請求，安全性比PAP高
CHAP驗證為三次握手驗證，口令為密文（密匙），CHAP驗證過程：
l驗證方向被驗證方發送一些隨機產生的報文，並同時將本端的主機名附帶上一起發送給被驗證方；
l被驗證方得到對端對本端的驗證請求（Challenge）時，便根據此報文中驗證方的主機名和本端的用戶表查找用戶口令，如找到用戶表中與驗證方主機名相同的用戶，便利用接受到的隨機報文、此用戶的密匙用Md5算法生成應答（Response），隨後將應答和自己的主機名送回；
l驗證方接到此應答後，利用對端的用戶名在本端的用戶表中查找本方保留的口令字，用本方保留的口令字（密匙）和隨機報文用Md5算法得出結果，與被驗證方應答比較，根據比較結果返回相應的結果（ACK or NAK）。
它的特點是只在網絡上傳輸用戶名，而並不傳輸用戶口令，因此它的安全性要比PAP高。
6．4．6 PPP協議配置命令
l封裝PPP link-protocol ppp
l設置驗證類型ppp authentication-mode{pap|chap}
l設置用戶名、口令local-user username password {simple|cipher} password
link-protocol ppp命令是接口配置命令，它指定一個廣域網的接口封裝類型為PPP。缺省情況下，封裝的鏈路層協議即為PPP.
ppp authentication-mode命令是接口配置命令，它指定驗證方式，可選的驗證方式為PAP和CHAP。需注意的是：驗證是單項的，配置這條命令的一方作為驗證方來驗證對方。如果通訊的雙方都要驗證對方，則雙方都應配置PPP authentication-mode命令。
Local-user命令是全局配置命令，他配置驗證所需的用戶名和口令。命令字password後的可選參數中，simple表示以明文的方式顯示後面的口令，cipher表示以加密的方式顯示後面的口令。
PAP配置命令
l驗證方配置
配置驗證方式ppp authentication-mode pap
配置用戶列表local-user username password{simple|cipher} password
l被驗證方配置
配置PAP用戶名ppp pap local-user username password {simple|cipher} password
驗證方配置
*作命令
配置本地驗證對端（方式為PAP） ppp authentication-mode pap [call-in] [scheme {default|name-list}]
將對端用戶名和密碼加入本地用戶列表Local-user username password {simple|cipher} password
被驗證方配置
*作命令
配置本地被對端以PAP方式驗證時本地發送的PAP用戶名和口令ppp pap local-user username password {simple|cipher} password
被驗證方通過ppp pap local-user username password {simple|cipher} password將用戶名和密碼送給驗證方，驗證方通過查找本地用戶列表（user列表）檢查被驗證方送來的用戶名和密碼是否完成正確，根據結果通過驗證或拒絕對方。
CHAP配置命令
l主驗證方配置
*作命令
配置本地驗證對端ppp authentication-mode chap
配置本地名稱Ppp chap host hostname
將對端用戶名和密碼加入本地用戶列表Local-user username password {simple|cipher} password
l被驗證方配置
*作命令
配置本地名稱Ppp chap user username
將對端用戶名和口令加入本地用戶列表Local-user username password {simple|cipher} password
6．4．7 PPP典型配置舉例
l PAP驗證舉例
1．配置需求
路由器Quidway1和Quidway2之間用接口Serial0互連，要求路由器Quidway1用PAP方式驗證路由器Quidway2。
2．配置步驟
配置路由器Quidway1：
[Quidway]local-user quidway2 password simple quidway
[Quidway-Serial0]interface serial 0
[Quidway-Serial0]ppp authentication-mode pap
配置路由器Quidway2
[Quidway] interface serial 0
[Quidway-Serial0]ppp pap loacal-user quidway2 password simple quidway
l CHAP驗證舉例
1．配置需求
要求路由器Quidway1用CHAP方式驗證路由器Quidway2。
2．配置步驟
配置路由器Quidway1：
[Quidway]local-user quidway2 password simple simple hello
[Quidway]interface serial 0
[Quidway-Serial0]ppp chap user quidway1
[Quidway-Serial0]ppp authentication-mode chap
配置路由器Quidway2
[Quidway]local-user quidway1 password simple simple hello
[Quidway] interface serial 0
[Quidway-Serial0]ppp chap user quidway2
6.4.8 MP協議簡介
MP是Multilink PPP的簡寫，是人們出於增加帶寬的考慮，將多個PPP鏈路捆綁使用產生的，簡稱MP，Multilink PPP允許將報文分片，分片將從多個點對點鏈路上送到同一個目的地。
l MP方式下鏈路協商過程
1）首先和對端進行LCP協商，協商過程中，除了協商一般的LCP參數外，還驗證對端接口是否也工作在MP方式下。如果對端不工作在MP方式下，則在LCP協商成功後，進行一般的NCP協商步驟，不進行MP捆綁。
2）然後對PPP進行驗證，得到對方的用戶名。如果在LCP驗證中得知對端也工作在MP方式下，則根據用戶名找到為該用戶指定的虛擬接口模板，並以該虛擬模板的各項NCP參數（如IP地址等）為參數進行NCP協商，物理接口配置的NCP參數不起作用NCP協商通過後，即可建立MP鏈路，用更大的寬帶傳輸數據。
一個PPP通道如果在LCP中協商瞭如下參數，則它能被綁定為MP的一個子通道：
l MRRU（Maximum Received Reconstructed Unit）：最大接受重組單元，與普通PPP中的MRU參數類似。
l SSNHF（Short Sequence Number Header Format）：短序列號MP報文頭。這是可選參數。
l終端描述符（Endpoint Discriminator）：唯一標誌一個網路實體（路由器、主機等）的字符串。只有終端描述符相同的PPP通道可以綁定到同一個MP。如PPP配置了用戶驗證功能，則MP子通道在驗證通過後，就要把自己綁定到一個MP上。用於綁定的標誌有兩個：用戶名和終端描述符。
6．4．9 MP協議配置命令
在配置MP之前，需要先完成虛擬接口模板的配置，關於虛擬接口的具體配置方法，請參考虛擬接口配置部分，被幫定在虛擬接口模板下的接口首先還必須配置和對端進行雙向驗證（ CHAP或PAP），配置步驟見PPP基本配置任務。
MP的基本配置任務
l配置封裝PPP的接口工作在MP方式
在接口模式，執行以下命令
*作命令
配置封裝PPP的接口工作在MP方式ppp mp
l建立虛擬接口模板與MP用戶的聯繫
在全局模式下，執行以下命令
*作命令
建立虛擬接口模板與MP用戶的聯繫ppp mp user user-name bind virtual-template number
完成以上配置後，MP基本配置已經完成。用戶可以根據自己的需要，進行其他針對MP的可選參數配置，如配置MP最大幫定鏈路數。 MP的高級配置任務
l配置MP的最大綁定鏈路數
在全局模式下，執行以下命令
*作命令
配置MP最大綁定鏈路數ppp mp max-bind binds
Binds取值範圍為1到100在實際配置基本參數時，應考慮實際的需求情況，因為綁定的鏈路過多會guo’duo的佔用系統資源，降低系統性能。
6．4．10 MP典型配置舉例
1、配置需求
路由器router-a的E1口有兩個B信道綁定到路由器router-b的B信道上，另外兩個B信道綁定到路由器router-c上，假定路由器router- a上的四個B信道為：serial0、serial1、serial2、serial3，路由器router-b上的兩個B信道為： serial0、serial1，路由器router-c上的兩個B信道為：serial0 、serial1。
2、配置步驟
配置路由器router-a：
！增加兩個用戶router-b和router-c。
[Quidway]local-user router-b password simple router-b
[Quidway]local-user router-c password simple router-c
!為這兩個用戶指定虛擬接口模板，將使用該模板的NCP信息進行PPP協商。
[Quidway]ppp mp user router-b bind virtual-template 1
[Quidway]ppp mp user router-c bind virtual-template 2
！配置虛擬接口模板
[Quidway]interface virtual-template 1
[Quidway-Virtual-Template1]ip address 202.38.166.1 255.255.255.0
[Quidway]interface virtual-template 2
[Quidway-Virtual-Template2]ip address 202.38.168.1 255.255.255.0
！將接口serial0、serial1、serial2、serial3加入MP通道，以serial0為例，其他接口作同樣配置
[Quidway]interface serial0
[Quidway-serial0]link-protocol ppp
[Quidway-serial0]ppp mp
[Quidway-serial0]ppp authentication-mode pap
[Quidway-serial0]ppp pap local-user router-a password simple router-a
配置路由器router-b：
！增加一個用戶router-a。
[Quidway]local-user router-a password simple router-a
!為這個用戶指定虛擬接口模板，將使用該模板的NCP信息進行PPP協商。
[Quidway]ppp mp user router-b bind virtual-template 1
！配置虛擬接口模板的工作參數
[Quidway]interface virtual-template 1
[Quidway-Virtual-Template1]ip address 202.38.166.2 255.255.255.0
！將接口serial0、serial1加入MP通道，以serial0為例，其他接口作同樣配置
[Quidway]interface serial0
[Quidway-serial0]link-protocol ppp
[Quidway-serial0]ppp mp
[Quidway-serial0]ppp authentication-mode pap
[Quidway-serial0]ppp pap local-user router-b password simple router-b
配置路由器router-c：
！增加一個用戶router-a。
[Quidway]local-user router-a password simple router-a
!為這個用戶指定虛擬接口模板，將使用該模板的NCP信息進行PPP協商。
[Quidway]ppp mp user router-b bind virtual-template 1
！配置虛擬接口模板的工作參數
[Quidway]interface virtual-template 1
[Quidway-Virtual-Template1]ip address 202.38.168.2 255.255.255.0
！將接口serial0、serial1加入MP通道，以serial0為例，其他接口作同樣配置
[Quidway]interface serial0
[Quidway-serial0]link-protocol ppp
[Quidway-serial0]ppp mp
[Quidway-serial0]ppp authentication-mode pap
[Quidway-serial0]ppp pap local-user router-b password simple router-b
6．4．11 PPP的監控與維護
*作命令
顯示PPP驗證的本地用戶Display user
顯示接口的ppp配置和運行狀態Display interface interface-name
其中命令display interface serial 0用來顯示接口的PPP配置和運行狀態，例如：
[Quidway]display interface serial 0
………………
6．4．12 PPP故障的診斷與排除
1．故障一：鏈路始終不能為UP狀態。
故障排除：可能是由於PPP驗證參數配置不正確，導致PPP驗證失敗。
打開PPP的調試開關，會看到LCP協商成功並轉為UP狀態後進行PAP或CHAP協商，然後LCP轉為Down狀態。
2．故障二：物理鏈路不能轉為UP狀態。
故障排除：可以執行display interface serial number命令來查看接口當前狀態。
接口有五種狀態：
serial number is administratively down，line protocol is down
表示該接口被shutdown
serial number is down , line protocol is down
表示該接口沒有被激活或物理層沒有轉為UP狀態。
Serial number is up，line protocol is up(spoofing)
表示該接口是撥號口，沒有呼通。
Serial number is up，line protocol is up
表示該接口已可以進行數據傳輸。
Serial number is up，line protocol is down
表示該接口已激活，但鏈路協商仍沒有通過。
6．5 X.25協議原理及配置
6.5.1 X.25概述
X.25協議是數據終端設備（DTE）和數據電路終接設備(DCE)之間接口規程，起主要功能是描述如何在DTE和DCE之間建立虛電路、傳輸分組、建立鏈路、傳輸數據、拆除鏈路、拆數虛電路，同時進行差錯控制、流量控制、情況統計等，並且為用戶提供了一些可選的業務功能和配置功能。
X.25協議是CCIT在70年代製定的，以後又進行了多次修改。
X.25可以通過虛電路傳送多種上層協議（如IP、IPX等）數據
注意：這裡所說的DTE和DCE與物理接口的DTE和DCE不是一個服務。這裡的DTE通常是指路由器等用戶設備，DCE是指交換機等設備。路由器也可以作為DCE。
6．5.2 X.25網絡模型
X.25使得兩台數據終端設備DTE可以通過現有的分組交換網絡進行通信。為了進行一次通信，通信的一端必須首先呼叫另一端，請求在他們之間建立一個會話連接；被呼叫的一端可以可以根據自己的情況接收或拒絕這個連接請求。一旦這個連接建立，兩端的設備可以全雙工地進行信息傳輸，並且任何一端在任何的時候均有權拆除這個連接。
X.25是DTE與DCE進行點到點交互的規程。 DTE通常指的是用戶側的主機或終端等，DCE則常指同步調製解調器等設備；DTE與DCE直接連接，DCE連接至分組交換機的某個端口，分組交換機之間建立若干連接，這樣，便形成了DTE與DCE之間的通路。在一個X.25網絡中，各實體之間關係如圖所示。
6.5.3 X.25協議分層結構
X.25協議分為分組層、數據鏈路層、物理層三層，與OSI參考模型的下三層一一對應。對等層之間的通信通過對等層間的規程實現。
物理層定義了DTE和DCE之間的電氣接口，以及建立物理的信息傳輸通道的過程。
數據鏈路層採用平衡型鏈路訪問規程LAPB、LAPB定義了DTE-DCE鏈路之間的幀交換的過程及幀格式。鏈路層進行幀的檢錯和恢復。
分組層則定義了分組的格式和在分組層實體之間交換分組的過程，同時也定義瞭如何進行流控、差錯處理等規程。鏈路層和分組層都有分組機制，保證了信息傳輸的正確性並有效地進行流量控制。 X.25協議制定時由於技術條件的限制，終端和網絡節點沒有很強的智能，數據線路速率低、誤碼率高，因此X.25協議必須執行很繁重的任務處理。隨著低誤碼率的光線網和高智能終端的出現，產生了幀中繼等新的技術，將檢錯、恢復和流量控制等任務交給上層協議和智能終端處理，為用戶提供高速的傳輸。
6.5.4 IP包通過X.25網絡傳送
IP包傳輸到路由器後，路由器分析下一跳地址，決定通過某接口發送出去，這個接口封裝了X.25協議。在路由器中IP包先傳到分組層，分組層將IP包放在一個分組的數據區，在它前面加上分組頭，然後傳給鏈路層。鏈路層看到的只是一個分組。鏈路層將分組當作幀的信息字段，加上幀頭和幀尾封裝成一個幀，而最終在物理鏈路上傳送的是二進制的比特流。
數據通過X.25網絡傳到對端的路由器，路由器的各層協議將自己的結構層層剝離，將數據發送給上層協議處理。
6.5.5 X.25的虛電路
統計時分複用
SVC（交換虛電路）和PVC（永久虛電路）
一個接口最多可以配置4095條虛電路
6.5.6 X.25的鏈路層協議LAPB
鏈路層的主要功能
l在DTE和DCE之間有效的傳輸數據
l確保接收器和發送器之間信息的同步
l檢測和糾正傳輸中產生的差錯
l識別並向高層協議報告規程性錯誤
l向分組層通知鏈路層的狀態
6.5.7 X.25的配置
只在兩台路由器之間進行數據傳輸，只需選用LAPB串行接口封裝；路由器要通過X.25公共網進行數據傳輸，選用X.25協議進行串口封裝，並且按照網絡接入服務商提供的參數來配置X.25協議。
第2頁
1．配置X.25工作模式
Link-protocol x25 [[dte|dce]|[nonstandardietf]]
Quidway系列路由器所支持的X.25可以工作在DTE和DCE模式，同時還可以指定數據報封裝的格式，可選用的封裝格式有BFE、Cisco兼容、DDN、IETF四種格式。
注意：一般，X.25公共分組網均要求路由器作為DTE側接入，且要求IETF封裝格式。所以，在此時應該選擇X.25在DTE工作模式下的IETF封裝。如果只是簡單的將兩台路由器的一對串口背靠背直聯進行數據傳輸，此時只要保證傳輸的兩端分別為DTE和DCE，並且封裝格式一致即可。
缺省下，工作模式為DTE，封裝格式為IETF。
2．配置接口的X.121地址
x25 x121-address x.121-address
使用Quidway系列路由器目的是為了X.25交換，可忽略此任務；如果將Quidway系列路由器接入X.25公共分組交換網，那麼必須為接入的X.25接口按照接入服務提供商的要求來設置一個地址。但當路由器的某X.25接口工作於BFE或DDN封裝格式時，這個接口的X.121地址是根據其IP地址動態轉換得到的，不用手工配置；而且，這時的X.121地址也是不允許改動的。一般，用戶只需按照IETF格式及Cisco兼容格式封裝的X.25接口指定X.121地址。
3．創建協議地址到X.121地址的映射
x25 map protocol-address x121-address x.121-address [option]
對於一個X.25接口，它擁有自己的X.121地址和自己的網絡協議。當X.25通過這個接口發起呼叫時，它在呼叫請求分組中攜帶的源地址就是這個接口的X.121地址。
說明：命令行中的protocol-address和x.121-address指的是目的地的協議地址和x.121地址，而非本地的。
4.創建永久虛電路
x25 pvc-number protocol protocol-address x121-address x.121-address [option]
X． 25的分組層參數配置
1.配置X.25虛電路範圍
x25 vc-range {in-channel hic lic | bi-channel htc ltc | out-channel hoc loc}
配置分組大小
x25 packet-size in-packets （缺省值為128）
x25 packet-size out-packets （缺省值為128）
配置窗口大小
x25 window-size in-packets (缺省值為2)
x25 window-size in-packets (缺省值為2)
配置編號方式
x25 modulo {8| 128} (缺省值為8)
配置X.25子接口
l子接口是一個虛擬接口，它有自己的協議地址和虛電路
l在一個物理接口上可以創建多個子接口
l子接口有兩種類型：點到點和點到多點
*作命令
進入主接口Interface serial number
封裝x25協議Link-protocol x25
創建X.25子接口Interface serial number subinterface-number [multipoint|point-to-point]
配置地址映射X25 map protocol protocol-address x121-address x.121-address [option]
配置永久虛電路x25 pvc-number protocol protocol-address x121-address x.121-address [option]
當接口封裝成LAPB、HDLC或者PPP時不能創建子接口。
6.5.8 X.25典型配置舉例
1.組網需求
如只將兩台路由器簡單的背靠背連接，直連串口之間封裝X.25協議並承載IP數據報進行傳輸，只需配置兩台路由器即可。
2.配置步驟
（1）配置Router A
!選定接口
[Quidway]interface serial 0
!為該接口指定IP地址
[Quidway-serial0]ip address 202.38.160.1 255.255.255.0
!將該接口封裝為X.25接口，並指定其工作方式在DTE方式
[Quidway-serial0]link-protocol x25 dte
！指定該接口的X.121地址
[Quidway-serial0]x25 x121-address 20112451
！指定到對端的地址映射
[Quidway-serial0]x25 map ip 202.38.160.2 x121-address 20112452
!因為直連，可以將流量控制參數設置稍大一些
[Quidway-serial0]x25 packet-size 1024 1024
[Quidway-serial0]x25 window-size 5 5
（2）配置Router B
!選定接口
[Quidway]interface serial 0
!為該接口指定IP地址
[Quidway-serial0]ip address 202.38.160.2 255.255.255.0
!將該接口封裝為X.25接口，並指定其工作方式在DCE方式
[Quidway-serial0]link-protocol x25 dce
！指定該接口的X.121地址
[Quidway-serial0]x25 x121-address 20112452
！指定到對端的地址映射
[Quidway-serial0]x25 map ip 202.38.160.1 x121-address 20112451
!因為直連，可以將流量控制參數設置稍大一些
[Quidway-serial0]x25 packet-size 1024 1024
[Quidway-serial0]x25 window-size 5 5
6.5.9X.25的監控與維護
*作命令
查看接口信息Display interface [type number]
查看X.25別名表Display x25 alias-police
查看X.25地址映射表Display x25 map
查看X.25交換路由表Display x25 switch-vc-teble svc
查看X.25交換虛電路表Display x25 switch-vc-table pvc
查看X.25虛電路Display x25 vc lci-number
打開所有x25報文的調試開關Debug x25 all [interface type number]
打開x25的調試開關Debug x25 event [interface type number]
打開x25報文調試開關Debug x25 packet [interface type number]
6.5.10 X.25故障的診斷與排除
l LAPB已經出於連接狀態，但X.25協議不能UP
故障排除：可能是本地的工作方式配置錯誤，檢查DCE/DTE配置是否正確
l X.25協議已經UP，但是卻無法建立虛電路，即無法Ping通
故障排除：1。未配置本地X.121地址2。未配置到對端的地址映射3。未配置對端X.121地址3。未配置對端到本地的地址映射4。信道範圍不正確5。攜帶了網絡不允許的設施選項（4、5原因應向網絡管理部門諮詢正確的信道範圍和允許的設施選項）
l可以建立虛電路，但是在數據傳輸的過程中卻頻繁的複位或消除。
故障排除：流量參數設置是否正確（如果接入到公網內，應向網絡管理部門諮詢正確地流量參數）
l設置永久虛電路的請求被拒絕
故障排除：開啟永久虛電路信道區間
6.6幀中繼協議原理及配置
6.6.1幀中繼協議簡介
l幀中繼協議是在X.25分組交換技術的基礎上發展起來得一種快速分組交換技術，是改進了的X.25協議。
l幀中繼是基於虛電路的。
DLCI（數據鏈路連接標識）用於標識每一個PVC。通過幀中繼幀中的地址字段的DLCI，可以分出該幀屬於哪一條虛電路。
LMI（本地管理接口）協議用於建立和維護路由器和交換機之間的連接。 LMI協議還用於維護虛電路，包括虛電路的建立、刪除和狀態改變。
6.6.2幀中繼協議棧
幀中繼的核心對應OSI參考模型的下兩層。採用現代的物理設施。與傳統的廣域網報文交換有相同之處，不同之處在於幀中繼提供相對快速的服務。
6.6.3幀中繼的特點
1.幀中繼技術主要用於傳遞數據業務，將數據信息以幀的形式進行傳送。
2.幀中繼傳送數據使用的傳輸鏈路是邏輯連接，而不是物理連接，在一個物理連接上可以復用多個邏輯連接，可以實現帶寬的複用和動態分配。
3.幀中繼協議簡化了X.25的第三層功能，使網絡節點的處理大大簡化，提高了網絡對信息的處理效率。採用物理層和鏈路層的兩級結構，在鏈路層也只保留了核心子集部分。
4.在鏈路層完成統計復用、幀透明傳輸和錯誤檢測，但不提供發現錯誤後的重傳*作。省去了幀編號、流量控制、應答和監視等機制，大大節省了交換機的開銷，提高了網絡吞吐量、降低了通信時延。一般幀中繼用戶的接入速率在64kbps-2Mbps。
5.交換單元――幀的信息長度比X.25分組長度要長，預約的最大幀長度至少要達到1600字節/幀，適合封裝局域網的數據單元。
6.提供一套合理的帶寬管理和防止擁塞的機制，用戶有效的利用預約的寬帶，即承諾的信息速率（CIR），還允許用戶的突發數據佔用未預定的帶寬，以提高網絡資源的利用率。
7.與分組交換一樣，幀中繼採用面向連接的交換技術，可以提供SVC和PVC業務，但目前已應用的幀中繼網絡中，一般只採用PVC業務。
6.6.4幀中繼術語
幀中繼網絡中的每一個連接都使用DLCI（Data Link Connection Identifier）來標識。
幀中繼是統計復用協議，實現動態分配。
幀中繼網絡為每個幀中繼用戶分配三個寬帶控制參數：BC、Be和CIR。同時，每隔Tc時間間隔對虛電路上的數據流量進行監視和控制。 CIR是網絡與用戶約定的用戶信息傳送速率，即承諾信息速率。如果用戶以小於等於CTR的速率傳送信息，應保證這部分信息的傳送。 BC是網絡允許用戶以CIR速率在Tc時間間隔傳送的數據量，即Tc=Bc/CIR。 Bc是網絡允許用戶在Tc時間間隔內傳送的超過Bc的數據量。
網絡對每條虛電路進行帶寬控制，採用如下策略：
在Tc內：
當用戶數據傳送量<=Bc時，繼續傳送收到的幀；
當用戶數據傳送量>Bc但<=Bc+Be時，將Be範圍內傳送的幀DE比特置“1”，若網絡未發生嚴重擁塞，則繼續傳送，否則將這些幀丟棄；
當Tc內用戶數據傳送量>Bc+Be時，將超過範圍的幀丟棄。
舉例：約定一條PVC的CIR=128Kbit/s，Bc=128kbit,Be=64kbit,則Tc=Bc/CIR=1s。在這一段時間內，用戶可以傳送的突發數據量可以達到Bc+Be=192kbit，傳送數據的平均速率為192kbit/s，其中，正常情況下，Bc範圍內的128kbit的幀在擁塞情況下，這些幀也會被送達終點用戶，若發生了嚴重擁塞，這些幀會被丟棄。
Be範圍內的64kbit的幀的DE比特被置為“1”，在無擁塞情況下，這些幀會被送達終點用戶，如發生擁塞，則這些幀會被丟棄。
當轉發隊列中的報文長度超過一個閥值，可以認為發生了擁塞。當擁塞發生，在該隊列中的報文的FECN位將被置位。如果擁塞持續下去，相反方向的報文的BECN位將被置位。6.6.5幀中繼DLCI的分配和地址映射幀中繼是一種統計復用協議，每條虛電路用數據鏈路連接標識DLCI來標識。通過幀中繼中的地址字段的DLCI，可區分出該幀屬於哪一條虛電路。 DLCI只在本地接口和與之直接相連的對端接口有效，不具有全局有效性，即在幀中繼網絡中，不同物理接口上相同的電路，其中用戶可用的DLCI範圍是16~1007。由於幀中繼虛電路是面向連接的，本地不同的DLCI連接到不同對端設備，所以可認為本地DLCI就是對端設備的“幀中繼地址”。
幀中繼地址映射是把對端設備的協議地址與對端設備的幀中繼地址（本地的DLCI）關聯起來以便高層協議能通過對端設備的協議地址尋址到對端設備。幀中繼主要用來承載IP協議，在發送IP報文時，由於路由表只知道報文的下一跳地址，所以發送前必須由該地址確定它對應的DLCI。這個過程可以通過查找幀中繼地址映射表來完成，因為地址映射表存放的是對端IP地址和下一跳的DLCI的映射關係。地址映射表可以由手工配置，也可以由Inverse ARP協議動態維護。
6.6.6用於網絡發現的Inverse ARP協議
逆向地址解析（Inverse ARP）主要功能是求解每條虛電路連接的對端設備的協議地址，包括IP地址和IPX地址等。
基本過程：發現一條虛電路時（前提本地接口已配置了協議地址），Inverse ARP就在該虛電路上發送Inverse ARP請求報文給對端，該請求報文包含有本地的協議地址，對端設備收到該請求時，可以獲得本地的協議地址，從而生成地址映射，並發送Inverse ARP響應報文進行響應，這樣本地同樣生成地址映射。
只有在沒有MAP的情況下才會向對端發送Inverse ARP請求報文。
如果在Inverse ARP請求報文的接收端發現對端的協議地址與本地配置的MAP中的協議地址相同，則不會生成該動態MAP。
6.6.7 Quidway支持的LMI
本地管理接口LMI（Local Management Interface）協議就是用來建立與維護路由器和交換機之間的連接。 LMI協議還用於維護虛電路，包括虛電路的建立、刪除和狀態改變。
VRP支持三種LMI協議：遵從ITU-T Q.933建議附錄A的LMI協議、遵從ANSIT1.617建議附錄D的LMI協議以及與CISCO“Gang of Four”標準兼容的LMI協議。它們的基本工作方式是：DTE設備每隔一定的時間間隔發送以一個狀態請求報文（Status Enquiry報文）去查詢虛電路的狀態，DCE設備收到狀態請求報文後，立即用狀態報文（Status報文）通知DTE當前接口上所有虛電路的狀態。
對於DTE側設備，永久虛電路的狀態完全由DCE側設備決定。對於DCE側設備，永久虛電路的狀態由網絡來決定。在兩台網絡設備直接連接的情況下，DCE側設備的虛電路狀態由設備管理員來設置的。在VRP中，虛電路的個數和狀態既可以在設置地址映射（fr map命令）的同時設置，也可以用配置幀中繼本地虛電路命令（fr dlci命令）：或用幀中繼接口虛電路命令（fr dlci命令）來配置。
6.6.8幀中繼子接口
l幀中繼網絡拓撲結構
幀中繼網絡可以將分散在不同地點的網絡連接起來，可能的網絡結構有星型結構、部分網狀相連（Partial-meshed）和全網狀相連（Full-meshed）。
l水平分割與幀中繼
為減少路由器環路的產生，水平分割不允許路由器把從一個接口進來的更新信息再從該接口發送出去。如圖所示，路由器B告訴路由器A一條路由信息，由於水平分割機制，路由器A不能通過接收此路由信息的S0將這條信息告訴路由器C和D。解決的方法：一個是使用多個物理接口連接多個相鄰節點，這需要路由器具備多個物理接口，增加了用戶的成本；另外一個方法是使用子接口，也就是再一個物理接口上配置多個邏輯接口，每個子接口都有自己的網絡地址，就好像一個物理接口一樣；或者是關閉水平分割，當然這需要路由協議的支持，另外關閉水平分割增加了產生路由環路的機率。
l幀中繼子接口
子接口可以解決水平分割問題
可以在串口線路上定義這些邏輯子接口。每一個子接口使用一個或多個DLCI連接到對端的路由器。在子接口上配置了DLCI後，還需要建立目的端協議地址和該DLCI的映射。
一個物理接口可以包含多個邏輯子接口
雖然在路由器A上僅擁有一個物理串口S0，但是在物理串口S0上現在定義了S0.1子接口上的DLCI到路由器B，S0.2子接口上的DLCI到路由器C，和S0.3子接口上的DLCI到路由器D。
路由器之間需要經過幀中繼的網絡相連
在物理接口上定義了邏輯子接口後，幀中繼的連接就可以成為部分網狀連接。
通過配置子接口，路由器可以實現相互連接，並能轉發更新信息。這樣在路由器的一個物理接口上就可以避免水平分割帶來的影響。
6.6.9幀中繼的配置
1.封裝幀中繼協議
link-protocol frame-relay [MFR|nonstandard|ietf]
當接口封裝的鏈路層協議為幀中繼時，缺省的封裝格式為ietf。
注意：（1）只有當接口工作在同步方式下，才能封裝幀中繼。
（2）當接口封裝了SLIP時，接口的物理屬性不能被修改為同步模式。此時，必須先將接口的鏈路層封裝改為PPP後，才能將接口的屬性改為同步模式。
（3）接口封裝幀中繼後，上層仍能承載IP和IPX協議。
2.配置幀中繼接口的終端類型
fr interface-type {dce | dte | nni}
在幀中繼中，通信雙方被區分為用戶側和網絡側。用戶側稱為DTE，網絡側被稱為DCE。接口需要根據自己在網絡中的位置配置為DTE或DCE格式；在幀中繼網絡中，幀中繼交換機之間為NNI接口，相應接口採用NNI格式。
缺省情況下，幀中繼接口類型為DTE。
注意：若幀中繼接口的中斷類型改為DCE或NNI，必須先要在全局配置模式?蔥惺鼓苤≈屑探換唬╢r switching）。
3.選擇LMI類型
fr lmi type {ansi | cisco-compation | q933a}
LMI協議用於維護當前幀中繼鏈路狀況和幀中繼協議的PVC表，包括：增加PVC記錄、刪除已斷掉的PVC記錄、監控PVC狀態的變更、鏈路完整性驗證。 VRP支持三種標準LMI協議類型：ITU-T的Q.933附錄A、ANSI的T1.617附錄D、CISCO標準。
當幀中繼接口類型為DCE或NNI時，接口缺省的LMI協議類型為q933a；當幀中繼接口類型為DTE時，本命令將設置接口和對端協商LMI協議類型。
幀中繼地址映射
幀中繼地址映射是建立對端協議地址與本地DLCI的映射關係，該地址映射可靜態配置，也可動態建立。
1.手工配置靜態映射：
fr map {ip | ipx} protocol-address dlci [broadcast]
配置幀中繼靜態地址映射就是手工建立對端協議地址與本地DLCI的映射關係，一般適用於對端主機較少或者缺省路由的情況。
當對端路由器不支持逆向動態地址解析協議時，必須配置幀中繼的靜態地址映射。
缺省情況下，所有接口使能逆向動態地址解析協議。當幀中繼靜態地址映射後，在指定的DLCI上，動態地址映射功能將自動被禁用。
2.動態建立：使能動態逆向地址解析協議
fr inarp [ip | ipx] [dlci]
運行了逆向地址解析協議（Inverse ARP）後，就能動態建立對端協議地址與本地DLCI的映射關係。
缺省情況下，接口使能動態逆向地址解析協議。
配置幀中繼本地虛電路
為主接口分配一條虛電路號
fr dlci dlci
注意：（1）命令fr dlci dlci可為主接口和子接口分配虛電路號。
（2）虛電路號是本地有效地，也就是說，鏈路兩端的虛電路號是可以相同的。也可為多個接口指定相同的虛電路號。但在一個物理接口上，虛電路號必須是唯一的。
（3）當接口類型為DCE或NNI時，必須為接口（不論主接口還是子接口）配置虛電路號。當接口類型為DTE時，若為主接口，系統可根據對端設備自動確定本端的虛電路號；若為子接口，也必須手動為子接口配置虛電路號。
配置幀中繼子接口
幀中繼接口屬於NBMA（Non-Broadcast Multi-Access）類型接口，支持接口的概念。有兩種類型接口：主接口和子接口。其中子接口是一個邏輯結構，可以配置協議地址和虛電路PVC等，一個物理接口可以有多個子接口。
子接口有兩種類型：點到點和點到多點。點到點接口用於連接單個對端，點到多點子接口用於連接同一個網段的多個對端。
創建幀中繼子接口，進入子接口配置模式
interface type number.subinterface-number [multipoint | point-to-point]
配置幀中繼子接口的虛電路號
fr dlci dlci
建立地址映射的命令和物理接口相同，可以使用靜態或動態地址映射。地址映射只有在點到多點的情況下才需配置。
幀中繼的子接口之間的地址映射關係可用於手工配置，或利用逆向地址解析協議來動態建立。對於點到點的子接口，因為只有一個對端設備，只要在該子接口上配置一條PVC就可以了，而不用配置靜態地址映射就可唯一的確定對端設備。
缺省情況下，所有子接口使能動態逆向地址解析協議。
配置幀中繼交換
允許幀中繼進行PVC交換
fr switching
設置幀中繼接口類型
fr interface-type {dce |dte |nni}
配置幀中繼PVC交換的路由
fr dlci-switch pvc in-dlci interface serial number outer-dlci
注意：如果使用幀中繼交換，接口類型必須為dce或nni
除“允許/禁止幀中繼PVC交換”在全局配置模式下進行以外，其它命令請在同步接口配置模式下進行。
缺省情況下，禁止幀中繼PVC交換。
注意：（1）只有接口類型為NNI或DCE時，配置的PVC交換才會起作用。
（2）必須在用於幀中繼交換路由器的兩個或兩個以上接口上都進行了配置，PVC交換才會棄作用。
（3）在配置了允許幀中繼DCE或NNI接口進行PVC交換之後，還要配置一條PVC交換的路由。
6.6.10幀中繼典型配置舉例
通過專線互連局域網
1.組網需求
兩台Quidway路由器通過串口直連，Router A工作在幀中繼的DCE方式，Router B工作在幀中繼的DTE方式。
2.配置步驟
（1）配置Router A
!在全局配置模式下配置幀中繼交換。
[Quidway]fr switching
!配置接口IP地址
[Quidway]interface serial 1
[Quidway-serial1] ip address 202.38.163.251 255.255.255.0
!配置接口封裝為幀中繼
[Quidway-serial1]link-protocol fr
[Quidway-serial1]fr interface-type dce
!配置本地虛電路
[Quidway-serial1]fr dlci 100
!如果對端路由器支持逆向地址解析功能，則配置動態地址映射
[Quidway-serial1]fr inarp
!否則配置靜態地址映射
[Quidway-serial1]fr map ip 202.38.163.252 dlci 100
（2）配置Router B
!配置接口IP地址
[Quidway]interface serial 1
[Quidway-serial1] ip address 202.38.163.252 255.255.255.0
!配置接口封裝為幀中繼
[Quidway-serial1]link-protocol fr
[Quidway-serial1]fr interface-type dte
!如果對端路由器支持逆向地址解析功能，則配置動態地址映射
[Quidway-serial1]fr inarp
!否則配置靜態地址映射
[Quidway-serial1]fr map ip 202.38.163.251 dlci 100
通過幀中繼網絡互連局域網
1.組網需求：通過公用幀中繼網絡互連局域網，在這種方式下，路由器只能作為用戶設備工作在幀中繼DTE方式。
2.配置步驟
（1）配置Router A
!在全局配置模式下配置幀中繼交換
[Quidway]fr switching
!配置接口IP地址
[Quidway]interface serial 1
[Quidway-serial1] ip address 202.38.163.251 255.255.255.0
!配置接口封裝為幀中繼
[Quidway-serial1]link-protocol fr
[Quidway-serial1]fr interface-type dte
!如果對端路由器支持逆向地址解析功能，則配置動態地址映射
[Quidway-serial1]fr inarp
!否則配置靜態地址映射
[Quidway-serial1]fr map ip 202.38.163.252 dlci 50
[Quidway-serial1]fr map ip 202.38.163.253 dlci 60
（2）配置Router B
!配置接口IP地址
[Quidway]interface serial 1
[Quidway-serial1] ip address 202.38.163.252 255.255.255.0
!配置接口封裝為幀中繼
[Quidway-serial1]link-protocol fr
[Quidway-serial1]fr interface-type dte
!如果對端路由器支持逆向地址解析功能，則配置動態地址映射
[Quidway-serial1]fr inarp
!否則配置靜態地址映射
[Quidway-serial1]fr map ip 202.38.163.251 dlci 70
（3）配置Router C
!配置接口IP地址
[Quidway]interface serial 1
[Quidway-serial1] ip address 202.38.163.252 255.255.255.0
!配置接口封裝為幀中繼
[Quidway-serial1]link-protocol fr
[Quidway-serial1]fr interface-type dte
!如果對端路由器支持逆向地址解析功能，則配置動態地址映射
[Quidway-serial1]fr inarp
!否則配置靜態地址映射
[Quidway-serial1]fr map ip 202.38.163.251 dlci 80
6.6.11幀中繼的監控與維護
*作命令
顯示幀中繼LMI類型報文的收發統計Display fr lmi-info [interface type number]
顯示協議地址與幀中繼地址映射表Display fr map-info
顯示幀中繼PVC統計信息Display fr pvc-info [serial interface-number] [dlci dlci-number]
顯示幀中繼PVC路由表Display fr dlci-switch
顯示各種接口的幀中繼協議狀態Display fr interface
清除所有動態建立的幀中繼地址映射Reset fr inarp-info
打開幀中繼的所有報文調試開關Debugging fr all [interface type number]
打開幀中繼ARP報文信息調試開關Debugging fr arp [interface type number]
打開幀中繼事件信息調試開關Debugging fr event [interface type number]
打開幀中繼LMI協議信息調試開關Debugging fr lmi [interface type number]
6.6.12幀中繼故障診斷與排除
故障之一：物理層DOWN
l檢查物理線路是否正常
l檢查對端設備是否正常
故障之二：物理層UP，但鏈路層DOWN
l檢查封裝
l DTE/DCE是否對應
l監控LMI消息收發情況
故障之三：鏈路層協議出於UP，但不能PING通對方
l檢查兩端設備的鏈路層協議是否UP
l檢查地址映射是否正確
l檢查路由表，是否有到達對端的路由。
6.7小結
l使用本地DLCI作為到達目的端的幀中繼PVC的標識
l Quidway支持三種LMI類型：
ANSI（Annex D）
CCITT（Annex A）
CISCO兼容
l定義靜態的幀中繼MAP
l定義子接口來避免路由更新的水平分割問題
l缺省情況下，Inverse ARP協議可以為本地DLCI自動的發現遠端的協議地址
l用display和debugging命令來監視幀中繼第7章路由協議原理及配置7.2路由及路由表
路由是指導IP報文發送的路徑信息。
根據路由的目的地不同，可劃分為：子網路由：目的地為子網；主機路由：目的地為主機。
根據目的地是否與該路由器直接相連。可劃分：直接路由：目的地所在網絡與路由器直接相連；
間接路由：目的地所在網絡與路由器不直接相連。
路由器轉發數據包的關鍵是路由表。每個路由器都包存一張路由表。
路由表包含：目的地址（Destination）：用來標識IP包的目的地址或目的網絡。
網絡掩碼（mask）：與目的地址一起來標識目的主機或路由器所在的網段的地址。將目的地址和網絡掩碼“邏輯與”後可得到目的主機或路由器所在網段的地址。
輸出接口（Interface）說明IP包將從該路由器哪個接口轉發。
下一跳IP地址（Nexthop）：說明IP包所經由的下一個路由器的接口地址。
在路由表中有一個Protocol字段：指明了路由的來源，即路由是如何生成的。路由的來源有三種：
l鏈路層協議發現的路由（Direct）
開銷小，配置簡單，無需人工維護，只能發現本接口所屬網段拓撲的路由。
l手工配置的靜態路由（Static）
無開銷，配置簡單，需人工維護，適合簡單拓撲結構的網絡。
l動態路由協議發現的路由
開銷大，配置複雜，無需人工維護，適合複雜拓撲結構的網絡。
7.3靜態路由及配置
7.3.1靜態路由配置
[Quidway]ip router-static ip-address {mask |masklen} {interface-type interface-name | nexthop-address} [preference value] [reject | blackhole]
注意：只有下一跳所屬的接口是點對點（PPP、HDLC）的接口時，才可以填寫interface-name，否則必須填寫nexthop-address。
靜態路由還有一下屬性：（1）可達路由（2）目的地不可達的路由（3）目的地為黑洞的路由
7.3.2靜態路由配置示例
在路由器QuidwayA上配置一條目的網段129.1.0.0/16的靜態路由，下一跳地址為路由器QuidwayB的S0接口的IP地址10.0.0.2。如果鏈路的封裝是PPP或HDLC，也可一指定本路由器的轉發地址。
靜態路由配置命令：
[Quidway]ip route 129.1.0.0 16 serial 0或
[Quidway]ip route 129.1.0.0 16 10.0.0.2或
[Quidway]ip route 129.1.0.0 255.255.0.0 10.0.0.2。
7.3.3缺省路由配置
[Quidway]ip route-static 0.0.0.0. 0.0.0.0 10.0.0.2
7.3.4路由自環
“路由自環”是指某個報文從一台路由器發出，經過幾次轉發後又回到初始的路由器。原因是其中部分路由器的路由表出現錯誤。產生的原因可能是配置靜態路由有誤，或者是動態路由協議錯誤的計算路由。當產生路由自環時，報文會在幾個路由器之間循環轉發，直至TTL＝0時才被丟棄，極大的浪費了網絡資源，因此應該盡量避免“路由自環”的產生。
7.4動態路由協議概述
OSPF將協議報文直接封裝在IP報文中，協議號89。
BGP使用TCP作為傳輸協議，提高了協議的可靠性，TCP的端口號是179。
RIP使用UDP作為傳輸協議，端口號520。
按照工作區域，路由協議可分為IGP和EGP：
IPG（Interior Gateway Protocols）內部網關協議
在同一個自治系統內交換路由信息，RIP、ODPF和IS－IS都屬於IGP。 IGP的主要目的是發現和計算自治域內的路由信息。
EGP（Exterior Gateway Protocols）外部網關協議
用於連接不同的自治系統，在不同的自治系統之間交換路由信息，主要使用路由策略和路由過濾等控制路由信息在自治域間的傳播，應用的一個實例是BGP。按照路由的尋徑算法和交換路由信息的方式，路由協議可分為距離矢量的協議（distant-vector）和鏈路狀態協議。距離矢量狀態協議包括RIP和BGP，鏈路狀態協議包括OSPF、IS-IS。
7.5距離矢量路由協議概述
距離矢量（Distance－Vector簡稱DV）算法（也稱Bellman-Ford算法）週期性地將路由表信息的拷貝在路由器之間傳送。當網絡拓撲變化時，也會將更新信息及時傳送給路由器。每一個路由器只能接收到網絡中相鄰路由器的路由表。
距離矢量算法的數學模型：
我們用D（i，j）來表示從實體i到j的最佳路由的metric，i，j可以是系統中的任意一對實體，用d（i，j）來表示單個跳數的花費，也就是從i直接到j的花費，如果i與j不是直接相鄰的，則d(i，j)為無窮大。這樣任意兩個實體間的最佳metric可以表示如下：
D（i，j）=0對所有的i
D（i，j）=min [d（i，j）+ D（k，j）] i不等於k時
K
由於我們把非相鄰的兩實體間的d（i，k）定義為無窮大，當表達式中k不是i的相鄰主機或路由器時，D（i，j）永遠不可能為最小，故我們也可以把k限定為與i相鄰。由此我們得出算法：實體i接收它的鄰居們k發送給它的到目標主機j的距離評價D（k，j）並加上d（i，k）在這裡d（i，k）是通過i，k之間網絡所需的cost值，接下來i比較來自所需鄰居的信息，並選擇其中最小的。可以證明，在拓撲結構不變的情況下該算法在有限時間內收斂於正確的D（i， j）。
7.6環路路由問題
產生：由於網絡故障可能會引起路徑與實際網絡拓撲結構不一致而導致網絡不能快速收斂，
避免方案：1.水平分割2.路由中毒和抑制時間3.觸發更新
7.7RIP路由協議
7.7.1 RIP協議概述
RIP是Routing Information Protocol（路由信息協議）的簡稱。是一種基於D－V算法的路由協議，通過UDP交換路由信息，每隔30秒向外發送一次更新報文。
RIP使用跳數（HOP Count）來衡量到達的網絡的距離，稱為路由權（Routing Metric）。在RIP中，路由器到與它直接相連網絡的跳數為0，通過一個路由器可達的網絡跳數為1。 RIP規定metric取值0－15之間的整數，大於或者等於16的跳數被定義為無窮大，即目的主機或網絡不可達。
為提高性能，防止產生路由環路，RIP支持水平分割（Split Horizon）與路由中毒（Poison Reverse），並在路由中毒時採用觸發更新（Triggered Update）。
RIP包括RIP-1和RIP-2兩個版本，RIP-1不支持變長子網掩碼（VLSM），RIP-2支持變長子網掩碼（VLSM），同時RIP-2支持明文認證和MD5密文認證。 RIP-1使用廣播發送報文，RIP-2有兩種傳送方式：廣播方式和組播方式，缺省將採用組播發送報文，RIP-2的組播地址為224.0.0.9。組播好處是在同一網絡中那些沒有運行RIP的網段可以避免接收RIP的廣播報文；另外，組播發送報文還可以使運行RIP-1的網段避免錯誤的接收和處理RIP-2中帶有子網掩碼的路由。
RIP協議處於UDP協議的上層，RIP所接收的路由信息都封裝在UDP的數據報文中，RIP在520號端口上接收來自遠程路由器的路由修改信息，並對本地的路由表做相應的修改，同時通知其它路由。以達到全局路由的同步。
7.7.2路由協議的實現
RIP啟動時，初始路由表僅包含路由器的一些直聯接口路由。
RIP協議啟動後向各個接口廣播一個Request報文。
鄰居路由器的RIP協議從某個接口收到Request報文後，根據自己的路由表，形成Reponse報文向該接口對應的網絡廣播。
RIP接收鄰居路由器回复的包含鄰居路由器路由表reponse報文，形成自己的路由表。
RIP根據DV算法，將協議的參加者分為主動機和被動機。
Rip路由表更新原則：
對本路由表已有的路由項，當發送報文的網關相同時，不論度量值增大或是減少，都更新該路由項（度量值相同時只將其老化定時器消零） ；
對本路由表已有的路由項，當發送報文的網關相同時，只在度量值減少時，更新該路由項；
對本路由表不存在的路由項，在度量值小於不可達（16）時，在路由表中增加該路由項；
路由表中的每一路由項都對應一老化定時器，當路由項在180秒內沒有任何更新時，定時器超時，該路由的度量值變為不可達（16）。
某路由項的度量值變為不可達後，以該度量值在Response報文中發布四次（120秒），之後從路由表中清除。
7.7.3 RIP協議配置命令
在各項配置任務中，必須先啟動RIP、使能RIP網絡後，才能配置其它的功能特性。
在全局模式下，用Rip命令啟動rip協議並進入rip協議配置模式。
啟動rip協議，進入rip協議配置視圖[Quidway]rip
在指定網絡上使能rip [Quidway-rip]network {network-number | all}
配置報文的定點傳送（不支持廣播時） [Quidway-rip]peer ip-address
指定接口版本（接口模式下） rip version 1 rip version 2 [broadcast | multicast]
rip任務啟動後還必須指定其工作網段，rip只在指定網段上的接口工作；對於不在指定網段上的接口，rip既不在它上面接收和發送路由，也不將他的接口路由轉發出去，就像這個接口不存在一樣。
Rip是一個廣播發送報文的協議，為與非廣播網絡交換路由信息，就必須採用定點傳送的方式peer。通常我們不建議使用該命令，因為對端並不需要一次收到兩份相同的報文。需注意的是：peer在發送報文時也要受rip work、rip output、rip input和network等的限制。
可指定接口所處理rip報文的版本。
當接口運行rip－1時只接收與發送rip－1與rip－2廣播報文，不接收rip－2多播報文；當接口運行在rip－2廣播方式下，只接收與發送rip－ 1和rip－2廣播報文，不接收rip－2多播報文；當接口運行在rip－2多播方式下，只接收與發送rip－2多播報文，不接收rip－1和rip－2多播報文。
缺省情況下，接口運行rip－1報文，即只能接收與發送rip－1報文。
指定接口的工作模式（接口模式） rip work rip input rip output
配置rip－2路由聚合summary
配置rip－2報文的認證（接口模式下）
rip authentication－mode simple password
rip authentication－mode md5 key－string string
rip authentication－mode md5 type [nonstandard-compatible | usual]
undo rip work與undo network相同點：接口都不再收發rip路由。不同點：undo rip work下，其它接口對使用該命令的路由仍然轉發，而在undo network下，其他接口對使用該命令的接口的路由不再轉發，見到的效果就像少了一個端口。
另外：rip work從功能上等價於rip input與rip output兩個命令。
路由聚合是指：同一自然網段內的不同子網的路由在向外（其它網段）發送時聚合成一條自然掩碼的路由發送。路由聚合減少了路由表中的路由信息量，也減少了路由交換的信息量。
Rip1－只發送自然掩碼的路由，即總是以路由聚合形式向外發送路由，關閉路由聚合對rip－1將不起做用。 Rip－2支持無類別路由，當需要將子網的路由廣播出去時，可關閉rip－2的路由聚合功能。
缺省情況下，允許rip－2進行路由聚合。
Rip－1不支持報文認證，但當接口運行rip－2時，可以進行報文的認證。
Rip －2支持兩種認證方式：明文認證siimple和MD5密文認證。 MD5密文認證的報文格式有兩種：一種遵循RFC1723（rip version 2 carrying additional information）規定；另一種遵循RFC2083（rip-2 MD5 authentication）規定。
nonstandard-compatible：指定MD5認證報文使用RFC2082標準的報文格式。
Usual：指定MD5認證報文使用RFC1723標準的報文格式，此報文格式是業界多數路由器通用的。
缺省情況下，接口不對報文進行認證。若配置了MD5認證模式，缺省情況下，採用使用nonstandard-compatible的報文格式。
7.7.4RIP協議配置舉例
RTA和RTB之間鏈路層封裝PPP協議，RTB與RTC之間鏈路層封裝FR協議，所有路由器啟動RIP路由協議。 RTA和RTB之間做MD5驗證。
配置如下：
RTA：
[RTA]rip
[RTA-rip]network all
[RTA-ethernet0]ip address 11.1.1.1 255.255.255.0
[RTA-ethernet0]rip version 2 broadcast
[RTA-serial0]link-protocol ppp
[RTA-serial0]ip address 1.1.1.1 255.255.255.0
[RTA-serial0]rip version 2 broadcast
[RTA-serial0]rip authentication-mode md5 key-string quidway //MD5
RTB：
[RTB]rip
[RTB-rip]network all
[RTB-rip]peer 2.1.1.1 //配置報文指定發送
[RTB-ethernet0]ip address 12.1.1.1 255.255.255.0
[RTB-ethernet0]rip version 2 broadcast
[RTB-serial0]link-protocol ppp
[RTB-serial0]ip address 12.1.1.2 255.255.255.0
[RTB-serial0]rip version 2 broadcast
[RTB-serial0]rip authentication-mode md5 key-string quidway //MD5
[RTB-serial1]link-protocol fr
[RTB-serial1]ip address 2.1.1.2 255.255.255.0
[RTB-serial1]rip version 2 broadcast
RTC：
[RTC]fr switching //使能幀中繼交換
[RTC]rip
[RTC-rip]network all
[RTC-rip]peer 2.1.1.2
[RTC-ethernet0]ip address 13.1.1.1 255.255.255.0
[RTC-ethernet0]rip version 2 broadcast
[RTC-serial0]link-protocol fr
[RTC-serial0]fr interface-type DCE //封裝幀中繼接口類型
[RTC-serial0]fr dlci 20 //分配DLCI
[RTC-serial0]ip address 2.1.1.1 255.255.255.0
[RTA-serial0]rip version 2 broadcast
7.7.5顯示RIP協議配置信息
[Quidway]display rip
7.7.6RIP協議的debug信息
第一步：設置debug信息輸出到console口
[Quidway]info-center console debugging
第二步：打開RIP的調試開關
[Quidway]debugging rip packet
實際顯示的rip信息
rip:receiv response from 120.0.0.2
packet:vers 1,cmd response,length 24
dest 110.0.0.0, metric 1
rip:send 20.0.0.1 to 255.255.255.255
packet:vers 1,cmd respons,length 44
dest 110.0.0.0, metric 2
dest 120.0.0.0 metric 1
7.8OSPF簡介
OSPF是Open Shortest Path First(開放最短路由優先協議)，具有以下特點：
1.適應範圍：支持多種規模網絡，最多可支持幾百台路由器。
2.快速收斂： 3.無自環4.子網掩碼： 5.區域劃分： 6.等值路由
7.路由分級：按優先順序為區域內路由、區域間路由、第一類外部路由、第二類外部路由。
8.支持驗證9.組播發送。
7.8.2基本概念
一台路由器要運行OSPF協議，必須存在Router ID，可以使用[Quidway]router id 1.2.3.4手工配置。
如果沒有配置，則係統會優先選擇Lookback接口的ip地址作為ID（Lookback接口總是處於UP狀態），如果沒有配置Lookback接口，OSPF會從當前接口的IP地址中自動選擇一個IP地址作為ID。
如果一台路由器的Router ID在運行中改變，必須重啟OSPF協議或者重啟路由器才能使新的Router ID生效。
查看路由器的Router ID，執行命令display ospf。
協議號：OSPF協議用IP報文直接封裝協議報文，協議號是89。
7.8.3鏈路狀態
OSPF將不同的網絡拓撲抽象為以下四種類型：
該接口所連的網段中只有本路由自己。 （sub network）
該接口通過點到點的網絡與一台路由相連。 （point－to－point）
該接口通過廣播或NBMA的網絡與多台路由器相連。 （broadcast or NBMA networks）
該接口通過點到多點的網絡與多台路由器相連。 （point-to-multipoint）
NBMA與點到多點的區別：在OSPF協議中NBMA和點到多點都是指非廣播多點可達的網絡，但NBMA網絡必須滿足全連同（full meshed）的要求。急任意兩點都可以不經轉發而使報文直達對端。否則，我們稱該網絡是點到多點網絡。
7.8.4計算路由
OSPF協議計算出路由主要有以下三個主要步驟：
描述本路由器周邊的網絡拓撲結構，並生成LSA。
將自己生成LSA在自治系統中傳播。並同時收集所有的其它路由器生成的LSA。
根據收集的所有的LSA計算路由。
7.8.5OSPF協議報文
OSPF協議報文有五種：
HELLO報文（hello packet）：最常用的一種，週期性的發送給本路由器的鄰居。內容包括一些定時器的數值，DR，BDR，以及自己已知的鄰居。
DD報文（database description packet）：兩台路由器的數據庫同步時，用DD報文來描述自己的LSDB，內容包括LSDB中每一條LSA的摘要（摘要是指LSA的HEAD，通過該HEAD可以唯一的標識一條LSA）。
LSR報文（link state request packet）：兩台路由器相互交換過DD報文後，知道對端的路由器有哪些LSA是本地的LSDB所缺少的或是對端更新的LSA，這時需要發送LSR報文向對方請求所需的LSA。內容包括所需要的LSA的摘要。
LSU報文（link state updata packet）：用來向對端路由器發送所需的LSA，內容是多條LSA的集合。
LSAck報文（link state acknowledgment packet）：用來對接收到的LSU報文進行確認。內容是需要確認的LSA的HEAD（一個報文可對多個LSA進行確認）。
7.8.6區域劃分。
網絡中多個路由器都運行OSPF協議時，出現以下問題：
l每個路由器都保存著整個網絡中其它所有路由器生成的LSA，這些LSA集合組成LSDB，路由器數量的增多會導致LSDB非常龐大，會佔用大量的存儲空間。
l LSDB的龐大會增加運行SPF算法的複雜度，導致CPU負擔很重。
l網絡規模增大，拓撲結構發生變化的概率也增大，為同步這種變化，網絡中會有大量的OSPF報文在傳遞，降低了網絡帶寬利用率。每一次變化都會導致網絡中所有路由器重新進行路由計算。
解決方法：減少LSA的數量；屏蔽網絡變化波及的範圍。
OSPF通過自治系統劃分不同區域來解決上述問題。
l每個網段必須屬於一個區域，或者說每個運行OSPF協議的接口必須指明屬於某一個特定的區域，區域用區域號來標識。區域號是一個從0開始的32為整數。
l不同的區域之間通過ABR來傳遞路由信息。
7.8.7骨幹區域與虛連接
骨幹區域：OSPF劃分區域後，區域號為0的，稱為骨幹區域。
劃分區域後，區域之間是通過ABR將一個區域那的已計算出的路由封裝成type3類的LSA發送到另一個區域之中來傳遞路由信息。此時LSA所包含的不再是鏈路狀態信息，而是純粹的路由信息。這樣涉及到一個問題：路由自環。
解決方法：所有的ABR將本區域內的路由信息封裝成LSA後，統一的發送給一個特定的區域，再由該區域將這些信息發送給其他區域。在這個特定的區域內，每一條LSA都確切的知道生成者信息。在其他區域內所有的到區域外的路由都會發送到這個特定區域中，所以就不會產生路由自環。特定區域就是骨幹區域。每一個ABR連接區域中至少有一個骨幹區域，且骨幹區域自身也必須是連同的。
虛連接：在兩台ACR之間，穿過一個非骨幹區域，建立的一條邏輯上的連接通道。 “邏輯通道”指兩台ABR之間的多台運行OSPF的路由器只是起到一個轉發報文的作用。
注意：如果自治系統北劃分為一個以上的區域，則必須有一個區域是骨幹區域，並且保證其他區域與骨幹區域直接相連或者邏輯上相連，且骨幹區域自身也必須是連通的。
7.8.8OSPF協議的基本配置
l配置路由器的Router ID
[Quidway]router id A.B.C.D
l啟動OSPF協議：必須在全局模式下
[Quidway]ospf enabled
l配置OSPF區域：必須為每一個OSPF協議的接口制定一個區域
[Quidway]ospf enable area area_id （在接口模式下）
7.9小結
l路由和路由表
l靜態路由的配置
l動態路由協議的概述
l距離矢量路由協議的概述
l路由環路的產生和解決措施
l RIP路由協議的原理、配置和調試
l OSPF路由協議簡介
第八章訪問控制列表及地址轉換
8.1培訓目標
訪問控制列表的基本原理標準和擴展訪問控制列表的配置方法地址轉換的基本原理和配置方法
8.2訪問控制列表概述
8.2.1IP包過濾技術介紹
對路由器需要轉發的數據包，先獲取包頭信息（包括IP層所承載的上層協議的協議號，數據包的源地址、目的地址、源端口號和目的端口號等）然後和設定的規則進行比較，根據比較的結果對數據包進行轉發或者丟棄。實現包過濾的核心技術是訪問控制列表。
8.2.2訪問控制列表的作用
訪問控制列表具有區分數據包的功能。
訪問控制列表可以用於防火牆；
訪問控制列表可以用於Qos（Quality of Service）,對數據流量進行控制；
在DCC（撥號控制中心）中，訪問控制列表還可以用來規定觸發撥號的條件；
訪問控制列表還可以用於地址轉換；
在配置路由策略時，可以利用訪問控制列表來作路由信息的過濾。
8.2.3訪問控制列表原理
路由器將在使能訪問控制列表的接口上對所有的數據包進行規則的匹配檢查。
IP數據包具有一定的特徵，所承載的上層協議為TCP/UDP。 IP數據包包括（IP報頭（協議號、源地址、目的地址）、TCP/UDP報頭（源端口、目的端口）、數據）。
例如，我們可以定義以下規則：
l允許202.38.0.0、16網段主機使用協議HTTP訪問129.10.10.1
acl 101
rule permit tcp source 202.38.0.0. 0.0.255.255 destination 192.10.10.1 0.0.0.0 destination-port equal www
l禁止從202.110.0.0、16網段發出的所有訪問
acl 1
rule deny source 202.110.0.0 0.0.255.255
l不讓任何主機使用Telnet登錄
acl 101
rule deny tcp source any destination any destination-port equal telnet
l某台主機10.0.0.1、16能通過SMTP把郵件發給我們，但沒有其他主機能這樣做
acl 101
rule permit tcp source 10.0.0.1 0.255.255.255 destination any destination-port equal smtp
rule deny tcp source any destination any destination-port equal smtp
8.2.4訪問控制列表的分類
l利用數字標識訪問控制列表
l利用數字範圍標識訪問控制列表的種類
列表種類數字標識範圍
IP standard list 1—99
IP extended list 100–199
例如：
acl 1
rule permit ip source 202.110.10.0 0.0.0.255
表示序號為1的訪問控制列表，它是標準訪問列表。
acl 100
rule deny tcp source any destination any destination-port equal smtp
表示序號為100的訪問控制列表，它是擴展訪問列表。
8.3標準訪問控制列表
8.3.1標準訪問控制列表概況
標準訪問控制列表隻隻是根據數據包的源地址對數據包進行區分，表明允許還是拒絕。
如：允許202.110.10.0網段的數據包通過，拒絕192.100.10.0網段的數據通過，則可以用標準訪問控制列表表示：
第5頁
acl 1
rule permit ip source 202.110.10.0 0.0.0.255
rule deny ip source 192.110.10.0 0.0.0.255
8.3.2標準訪問控制列表的配置命令
acl acl-number [match-order auto | config]
rule {normal | special} {permit | deny} [source source-addr source-wildcard | any]
8.3.3反掩碼簡介
反掩碼也稱通配符，作用和子網掩碼相似。在反掩碼中相應位為1的地址中的位在比較中被忽略，為0的必須被檢查。
對於任何地址（255.255.255.255）可以用通配符any來代替。
8.4擴展訪問控制列表
8.4.1擴展訪問控制列表概況
擴展訪問控制列表使用除源地址外更多的信息描述數據包，表明允許還是拒絕。
對於使用TCP、UDP協議傳輸的數據包還可以同時使用端口號來對數據包做出區分。
8.4.2擴展訪問控制列表的配置
l配置TCP/UDP協議的擴展訪問列表
rule {normal | special } {permit | deny} {tcp |udp} [source source-addr source-wildcard |any] [source-port operator port1 [port2]] [destination dest-addr dest-wildcard |any] [destination -port operator port1 [port2] ][logging]
l配置ICMP協議的擴展訪問列表
rule {normal | special } {permit | deny} icmp [source source-addr source-wildcard |any] [destination dest-addr dest-wildcard |any] [icmp-type icmp-type icmp-code] [logging]
l配置其它協議的擴展訪問列表
rule {normal | special } {permit | deny} {ip | ospf |igmp |gre} [source source-addr source-wildcard |any] [destination dest-addr dest-wildcard |any] [logging]
8.4.3擴展訪問控制列表的*作符operator定義
*作符及語法意義
Equal portnumber等於端口號portnumber
Greater-than portnumber大於端口號portnumber
Less-than portnumber小於端口號portnumber
Not-equal portnumber不等於端口號portnumber
Rang portnumber1 portnumber2介於端口號portnumber1和portnumber2間
8.4.4擴展訪問控制列表的舉例
l rule deny icmp source 10.1.0.0. 0.0.255.255 destination any icmp-type host-redirect
l rule deny tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255 destination-port equal www logging
8.5如何使用訪問控制列表8.5.1訪問控制列表的配置
l啟用防火牆
l定義訪問控制列表
l將訪問控制列表應用在接口上
實際應用中可能用到以下擴展應用：
1.設置防火牆的缺省過濾模式2.允許或禁止時間段3.設定時間段4.允許日誌主機
5.指定日誌主機6.顯示配置狀況
其中，2和4均在配置訪問控制列表中設置，1、3、5和6由專門的命令完成。
8.5.2防火牆的屬性配置命令
l打開或者關閉防火牆firewall {enable | disable}
l設置防火牆的缺省過濾模式firewall default {permit | deny}
l顯示防火牆的狀態信息display firewall
8.5.3在接口上應用訪問控制列表
l將訪問控制列表應用到接口上
l指明在接口上是OUT還是IN方向
l在接口視圖下配置： firewall packet-filter acl-number [inbound | outbound]
8.5.4時間包過濾
l timerange命令timerange {enable | disable }允許|禁止時間段
l settr命令settr begin-time end-time [begin-time end-time ……]設置特殊時間段
undo settr
l顯示isintr命令display isintr顯示當前時間是否在特殊時間段內
l顯示timerange命令display timerange顯示配置的時間段
8.5.5.日誌功能
日誌功能是允許在特定的主機上記錄下來防火牆的*作
開啟系統日誌[Quidway]info-center enable
配置日誌主機地址等相關屬性info-center loghost loghost-number ip-address port….
如將10.110.12.119作為日誌主機[Quidway]info-center loghost 0 10.110.12.119 514
顯示日誌配置信息display debugging
8.5.6訪問控制列表的組合
一條訪問列表可以由多條規則組成，對於這些規則，有兩種順序：auto和config。 Auto表示採用深度優先原則對訪問控制列表進行自動排序； config則表示一句用戶輸入的配置順序進行匹配，現配置的訪問規則一定會先匹配。可以用下列命令來配置訪問控制列表的匹配順序：
acl acl-number match-order [auto | config]
如果有兩條規則衝突，若匹配順序為auto（深度優先），描述的地址範圍越小的規則，將會優先考慮。
Rule deny 202.38.0.0 0.0.255.255
Rule permit 202.38.160.0 0.0.0.255
兩條規則結合則表示禁止一個大網段（202.38.0.0）上的主機但允許其中的一小部分主機（202.38.160.0）的訪問。
規則衝突時，訪問列表的匹配順序為config，這時現配置的訪問列表會被優先考慮。
8.6地址轉換簡介
8.6.1私有地址和公有地址
私有地址：10.0.0.0－10.255.255.255 172.16.0.0－172.31.255.255 192.168.0.0－192.168.255.255
8.6.2地址轉換的原理
局域網利用一個公網的IP進行上網，即做了NAT。
8.6.3地址轉換的方式
利用acl控制地址轉換
8.6.4地址轉換的配置步驟
l定義一個訪問控制列表，規定什麼樣的主機可以訪問internet
l採用EASY IP或地址池方式提供公有地址
l根據選擇的方式（地址池方式還是EASY IP方式），在連接internet接口上允許地址轉換
l根據局域網的協議，定義合適的內部服務器
8.6.5EASY IP特性
在路由器上配置地址轉換通常有兩種方法：一種時配置訪問控制列表和接口的關聯，它是指地址轉換的直接使用接口的IP地址作為轉換後的源地址，適用於兩種情況：
1.在撥號方式下，用戶希望由協商方式得到的接口IP地址作為地址轉換後的源地址。
2.另一種情況時接口的IP地址固定，而用戶希望就使用接口本身的IP地址作為地址轉換的源地址。
配置訪問控制列表和接口的關聯（又稱EASY IP特性）的命令如下：在接口視圖下
nat outbound acl-number interface
缺省情況下，訪問控制列表不與任何接口關聯。
8.6.6使用地址池進行地址轉換
利用地址池進行地址轉換地址池用來動態、透明的為內部網絡的用戶分配地址。它是一些連續的IP地址集合，利用不超過32字節的字符串標識。
地址池可以支持更多的局域網用戶同時上internet
配置命令：
l定義一個地址池（在全局模式下進行）
nat address-group start-addr end-addr pool-name
l在接口上使用地址池方式進行地址轉換
nat outbound acl-number pool-name
每個地址池中的地址必須是連續的，每個地址池內最多可定義64個地址。
注意：當某個地址池已經和某個訪問控制列表相關聯進行地址轉換，是不允許刪除這個地址的。
8.6.7內部服務器應用
內部服務器地址轉換配置命令：
nat server global global-addr {global-port |any |domain |ftp |pop2 |pop3 |smtp |telnet |www } inside inside-addr {inside-port |any |domain |ftp |pop2 |pop3 |smtp |telnet | www} {protocol-number |ip |icmp |tcp |udp}
注意：1.inside-port是必須的，可為0或取值在1-65535之間的整數
2.若未定義global-port，global-port的值就等於inside-port的值。
8.6.8地址轉換的監控和維護
缺省情況下：TCP地址轉換有效時間為240秒；UDP地址轉換有效時間為40秒；ICMP地址轉換有效時間為20秒。
l顯示地址轉換配置
display nat
l設置地址轉換連接有效時間
nat aging-time {tcp |udp |icmp} seconds
nat aging-time default
l清除地址轉換連接
nat reset
8.6.9地址轉換的缺點
l地址轉換對於報文內容中含有有用的地址信息的情況很難處理
l地址轉換不能處理IP報頭加密的情況
l地址轉換由於隱藏了內部主機地址，有時候會使網絡調試變得複雜。
8.7訪問列表和地址轉換的綜合應用舉例
8.7.1組網圖
路由器Quidway2501通過接口serial0訪問internet，公司內部對外提供WWW、ftp、telnet服務，內部子網為129.38.1.0，對外的IP202.38.160.1。在路由器上配置了地址轉換，這樣（129.38.1.4）可以訪問internet，外部可以訪問內部服務器。通過防火牆配置，實現：
外部網絡只有特定主機（202.39.2.3）可以訪內部服務器。
內部網絡只有特定主機（129.38.1.4）可以訪問外部網絡。
8.7.2配置示例
步驟：1.允許防火牆2.定義擴展的訪問列表3.在接口上應用訪問控制列表
4.在接口上利用訪問控制列表定義地址轉換5.配置內部服務器的地址映射關係
配置：
!允許防火牆
[Quidway]firewall enable
!設置防火牆缺省的過濾方式為允許包通過
[Quidway]firewall default permit
!配置訪問規則禁止所有包通過
[Quidway]acl 101
[Quidway-acl-101]rule deny ip source any destination any
!配置規則允許特定的主機訪問外部網，允許內部服務器訪問外部網
[Quidway-acl-101]rule permit ip source 129.38.1.1 0 destination any
[Quidway-acl-101]rule permit ip source 129.38.1.2 0 destination any
[Quidway-acl-101]rule permit ip source 129.38.1.3 0 destination any
[Quidway-acl-101]rule permit ip source 129.38.1.4 0 destination any
!配置規則允許特定的用戶從外部網訪問內部服務器
[Quidway-acl-101]acl 102
[Quidway-acl-102]rule deny ip source any destination any
[Quidway-acl-102]rule permit tcp source 202.39.2.3 0 destination 202.38.160.1 0
!配置規則允許特定用戶從外部網取得數據（只允許端口大於1024的包）
[Quidway-acl-102]rule permit tcp source any destination 202.38.160.1 0 destination-port greater-than 1024
!將規則101作用於從接口Ethernet0進入的包
[Quidway-ethernet0]firwall packet-filter 101 inbound
!將規則102作用於從接口serial0進入的包
[Quidway-serial0]firwall packet-filter 102 inbound
!在接口serial0上使用訪問控制列表101作地址轉換條件（Easy IP）：
[Quidway-serial0]nat outbound 101 interface
!設置內部FTP服務器
[Quidway-serial0]nat server global 202.38.160.1 inside 129.38.1.1 ftp tcp
!設置內部Telnet服務器
[Quidway-serial0]nat server global 202.38.160.1 inside 129.38.1.2 telnet tcp
!設置內部WWW服務器
[Quidway-serial0]nat server global 202.38.160.1 inside 129.38.1.3 www tcp
其它內容如各端口IP地址，封裝協議等不再贅述。
8.8小結
l包過濾技術的基本規則和原理
l標準和擴展訪問控制列表的配置方法
l訪問控制列表用於防火牆
l地址轉換的基本概念和規則
l地址轉換的配置方法
第九章DCC、ISDN原理及配置
9.1培訓目標
理解DCC的基本功能及概念掌握DCC的基本配置方法
理解ISDN技術的一些基本概念掌握ISDN接口和協議的配置方法
9.2DCC概述
DCC是指路由器之間通過公用分組交換網進行互連時所採用的路由技術。適用於PSTN（公用電話交換網）和ISDN（綜合業務數據網）。
DCC不是協議，也沒有相應的國際標準。
9.2.1DCC相關名詞
物理接口：物理上實際存在的接口，如serial0或bri0。
Dialer接口：為了配置DCC設置的邏輯接口，具體的物理接口可通過捆綁到Dialer接口上而使能DCC。
撥號接口：對於撥號連接的泛指。
撥號串：即PSTN電話號碼或ISDN電話號碼。
Dialer-rule：配置能夠觸發撥號的條件，可以與訪問控制列表關聯使用。
*循DCC：相對於“共享DCC”而言的一種DCC配置方式。
共享DCC：為滿足多種不同撥號配置需靈活使用一些共同的物理接口而提出的。9.2.2DCC在系統中的位置
DCC模塊在整個路由器軟件模塊中，與鏈路層模塊和CC/模擬撥號模塊互相提供服務。 DCC模塊與網絡層協議無關。
9.2.3DCC支持的網絡拓撲
點到點、點到多點、多點到多點
9.2.4DCC的功能
l承載IP、IPX網絡層協議：可以單獨承載，也可同時承載
l設定數據包觸發撥號的條件
l支持端口的優先級配置
l提供自動撥號功能
l提供流量控制
l支持回呼功能：基於PPP的CALLBACK；基於ISDN主叫識別的CALLBACK
l端口的緩衝隊列的設定
l對接如請求進行識別
l對空閒鏈路的時間設定
9.2.5DCC的應用
金融系統中常用DCC作備份線路、POS終端利用DCC遠程接入
9.3DCC配置準備
l網絡中哪些路由器使用DCC（哪些接口、何種傳輸介質、何種拓撲結構、接口是呼叫、接收還是既接收又呼叫）
l確定使用的接口類型（異步串口或ISDN BRI/PRI接口等）
l確定使用的接口封裝（PPP等）
l確定使用的網絡協議（IP或IPX）
l確定需要在DCC接口使用的動態路由協議（RIP等）
l選擇使用*循DCC或共享DCC兩種配置之一來配置
l配置DCC
9.4*循DCC
9.4.1*循DCC概述
一個物理接口可以直接配置成撥號接口，也可以配置成屬於唯一一個邏輯接口dialer口從而繼承該邏輯接口的DCC屬性。
配置：1.根據組網方式決定配置的端口是要單點還是多點呼叫、是要接收單點還是多點呼叫或者既要接受呼叫又要發出呼叫
2.配置開始撥號的觸發條件：Dialer-rule
3.配置DCC接口發出或者接受呼叫（包括Dialer口的配置）
4.配置DCC相關參數
在*循DCC方式中，有兩種方式配置：已是直接在物理接口上使能DCC，另外一種是配置邏輯DCC口：dialer口，並且使物理接口與dialer口綁定在一起。
9.4.2dialer口介紹
Dialer interface是一個邏輯接口，其中包含一組物理接口。
9.4.3配置Dialer-rule
Dialer-rule的作用是區分數據包是需要通過DCC傳送的包。配置Dialer-rule要在全局配置模式下。
Dialer-rule：觸發撥號連接的條件
配置Dialer-rule：
dialer-rule dialer-group protocol-name {permit | deny}
配置方法：
[Quidway]acl 101
[Quidway-acl-101]rule deny ip source 129.38.1.4 0 destination any
[Quidway-acl-101]rule permit ip source any destination any
[Quidway]dialer-rule 1 acl 101
如果這樣配置，主機129.38.1.4將不能觸發撥號。
配置相應的撥號接口使用哪個Dialer-rule
dialer-group group-number
DCC對發送報文處理的情況：
1.對於不是interesting的報文，若當前沒有可發送該報文的撥號鏈路建立，則DCC將丟棄該報文；
2.對於interesting報文，若當前沒有可發送該報文的撥號鏈路，則DCC將進行撥號，病患存該報文。
3.若當前已有發送該報文的撥號鏈路，則無論該報文是否為interesting，DCC都將從此撥號鏈路上發送該報文。
Dialer-rule有兩種配置方式（不能同時使用）：
l直接配置到protocol；
l通過access-list來配置
9.4.4配置接口發出呼叫
l在接口上使能DCC通過異步串口進行呼叫，需使用dialer enable-circular命令；對於ISDN接口，系統會自動加載。 dialer enable-circular命令是*循DCC中使能DCC的命令。
l對於點到點的撥號連接，可以使用dialer number或者dialer router命令來定義撥號串口：
當通過該接口只呼叫一個目的地址時，使用
dialer number dial-number [:isdnsubaddress]
對多點進行呼叫時，使用
dialer router protocol next-hop-address [user hostname] [broadcast] [dial-number [:isdnsubaddress]] [autodial] [logic-channel logic-channel-number]
l對於點到多點的撥號連接，只能使用dialer route
如果需要配置驗證（PAP/CHAP）,按照PAP/CHAP配置方式配置
以上命令在接口模式下使用，接口包括物理接口和Dialer口。
9.4.5配置接口接收呼叫
接收單點呼叫，使用Dialer enable-circular命令使能DCC，對於ISDN接口不需配置
從多點接收呼叫：
系統試圖下配置用戶列表： local-user user [password {simple | cipher} password]
在接口上使能DCC： dialer enable-circular
封裝PPP協議以及選擇驗證方式： link-protocol ppp pppauthentication-mode {chap |pap}
設置遠端用戶名與協議地址對應關係： dialer route protocol next-hop-address user hostname
9.4.6配置接口發起和接受呼叫
從多點發出和接受呼叫
l在系統試圖下配置用戶列表
local-user user [password {simple | cipher } password]
l在接口上使能DCC dialer enable-circular
l如要進行驗證，選擇驗證方式及配置相應的驗證參數
l配置遠端接口協議地址與用戶名及撥號串對應關係
dialer route protocol next-hop-address user hostname dial-number [:/isdnsubaddress]
9.4.7*循DCC配置舉例
模擬銀行備份示例。 Router A模擬銀行的營業網點側，Router B模擬銀行的地市行主機網絡。 Router A的同/異步串口serial0與Router B的同/異步串口serial0通過電?苯幼魑饗唄罰琑outer A的serial0口IP地址由Router B分配。 Router A的同/異步串口serial1通過modem接入電話網，serial1 IP地址由對端分配，電話號碼時6688001，Router B的同/異步串口serial1通過modem接入電話網，電話號碼時6688002。
配置：
（1）配置路由器A：
[Quidway]dialer-rule 1 ip permit （設定撥號觸發條件）
[Quidway]interface serial 0
[Quidway-serial0]ip address ppp-negotiate （允許接口進行IP地址協商）
[Quidway-serial0]standby interface serial 1 (為主接口指定serial1接口作為備份接口)
[Quidway-serial0]standby timer enable-delay 10 （從主接口切換到備份接口為10秒）
[Quidway-serial0]standby timer disable-delay 10 （從備份接口切換到主接口為10秒）
[Quidway-serial0]interface serial 1
[Quidway-serial1]physical-mode async （設置同步物理接口工作模式為異步方式）
[Quidway-serial1]modem （modem [in | out]允許modem呼入和呼出）
[Quidway-serial1]dialer enable-circular
[Quidway-serial1]dialer-group 1
[Quidway-serial1]dialer number 6688002
[Quidway-serial1]ppp pap local-user quidwaya password simple quidwaya
[Quidway-serial1]ip address ppp-negotiate
（2）配置路由器B：
[Quidway]dialer-rule 1 ip permit
[Quidway]interface serial 0
[Quidway-serial0]ip address 1.0.0.2 255.0.0.0
[Quidway-serial0]remote address 1.0.0.1 （remote address {ip-address |pool [pool-name]}配置為對端接口分配的IP地址）
[Quidway-serial0]interface serial 1
[Quidway-serial1]physical-mode async
[Quidway-serial1]modem
[Quidway-serial1]dialer enable-circular
[Quidway-serial1]dialer-group 1
[Quidway-serial1]ppp authentication pap
[Quidway-serial1]ip address 2.0.0.2 255.0.0.0
[Quidway-serial1]remote address 2.0.0.1
9.5共享DCC
9.5.1共享DCC簡介
l為滿足不同用戶定義不同的呼叫服務的需求而提出的
l將物理接口的配置和呼叫的邏輯配置分離開。
9.5.2共享DCC各元素及其之間的關係
一個dialer profiles包括：
l一個dialer interface的配置，是一個邏輯端口的配置，包括一個IP網絡地址，用以表明該接口所建立呼叫的目的網段；和一個dialer number，供撥號使用用於到達一個目的的網絡。
l dialer interface得屬性，如idle-timeout，enable-timeout等
l一個dialer bundle，是物理端口的集合，並且有優先級，由dialer interface使用。
在一個dialer profiles中，dialer interface、dialer bundle和物理端口之間的關係：去往同一個目的的網絡的所有呼叫使用同一個dialer profiles。
每個dialer interface使用一個dialer bundle，一個dialer bundle中的每一個物理端口都具有不同的優先級。一個物理端口可以屬於不同的dialer bundle。
一個dialer interface只能使用同一個dialer bundle，一個物理接口可以是幾個dialer bundle的成員，一個dialer bundle可以包含一個或多個物理端口。
9.5.3共享DCC配置
設置DCC端口的撥號觸發條件：Dialer-rule。
創建一個dialer interface，為其指定IP地址，撥號串，dialer bundle等參數。
定制dialer interface的DCC特性。
配置物理接口，使它成為dialer bundle的成員。
DCC斷口的撥號觸發條件的配置與*循DCC一致。
9.5.4配置dialer interface
l創建一個dialer interface interface dialer number
l設置PPP封裝以及選擇驗證方式link-protocol ppp CHAP or PAP
l使能共享DCC以及設置撥號串dialer user username dialer number dialer-number
由於ISDN接口（BRI口和PRI口），由於缺省配置為使能*循DCC：dialer enable-circular，所以首先要取消使能*循DCC的設置：undo dialer enable-circular；然後才能共享DCC 。
l設置相應的dialer bundle號dialer bundle number
l設置dialer interface屬於一個dialer bundle dialer circular group number
9.5.5為dialer口配置DCC特性
l設置鏈路空閒時間dialer timer idle seconds
l設置忙端口的鏈路空閒時間dialer timer compete seconds
l設置鏈路斷開後重新撥號的時間dialer timer enable seconds
l設置端口數據發送的最大等待時間dialer timer wait-carrier seconds
9.5.6配置物理接口
l進入物理接口配置模式interface interface-type interface-number
l封裝PPP link-protocol ppp
l設置PPP驗證ppp authentication-mode chap | ppp
l指定接口屬於哪個dialer bundle dialer circular-group number
如果在此物理接口上要接收呼叫，必須配置PPP驗證。
9.5.7共享DCC對MP的支持
l dialer口配置流控dialer threshold traffic-percentage [in-out | in | out] (配置流控閥值)
l物理接口上配置MP ppp mp
l系統試圖下配置流量檢測週期flow-interval minutes
9.5.8共享DCC配置舉例
應用共享DCC，我們可以配置一個串口，使其既可用來撥號訪問internet，又可用來撥號連接遠端的路由器。如上圖，微機A可通過路由器A訪問internet或與遠端路由器B撥號相連，在其中我們假定用戶通過163特服號訪問internet，其註冊的用戶名為163，口令為163。在本例中我們可以配置路由器C來模擬接入服務。
配置：
（1）配置路由器A
[Quidway]acl 1
[Quidway-acl-1]rule deny source any
[Quidway-acl-1]rule permit source 20.0.0.0 0.0.0.255
[Quidway]dialer-rule 1 ip permit
[Quidway]local-user userb password simple passb
[Quidway]local-user userc password simple passc
[Quidway]interface Ethernet 0
[Quidway-ethernet0]ip address 20.0.0.1 255.0.0.0
[Quidway-ethernet0]interface dialer 0
[Quidway-dialer0]ip address 1.0.0.1 255.0.0.0
[Quidway-dialer0]dialer bundle 1
[Quidway-dialer0]dialer user userb
[Quidway-dialer0]dialer-group 1
[Quidway-dialer0]ppp authertication pap
[Quidway-dialer0]ppp pap local uaera password simple passa
[Quidway-dialer0]dialer number 8810048
[Quidway-dialer0]interface dialer 1
[Quidway-dialer1]ip address ppp-negotiate
[Quidway-dialer1]nat outbound 1 interface
[Quidway-dialer1]ppp authentication pap
[Quidway-dialer1]dialer bundle 2
[Quidway-dialer1]dialer user userc
[Quidway-dialer1]dialer-group 1
[Quidway-dialer1]ppp pap local-user 163 password simple 163
[Quidway-dialer1]dialer number 163
[Quidway-dialer1]interface serial 0
[Quidway-serial0]physical-mode async
[Quidway-serial0]modem
[Quidway-serial0]dialer bundle-member 1
[Quidway-serial0]dialer bundle-number 2
[Quidway-serial0]link-protocol ppp
[Quidway-serial0]ppp authentication pap
（2）配置路由器B
[Quidway]dialer-rule 1 ip permit
[Quidway]local-user usera password simple passa
[Quidway]ip route 20.0.0.0 255.0.0.0
[Quidway]interface dialer 0
[Quidway-dialer0]ip address 1.0.0.2 255.0.0.0
[Quidway-dialer0]dialer bundle 1
[Quidway-dialer0]dialer user usera
[Quidway-dialer0]dialer number 8810052
[Quidway-dialer0]dialer-group 1
[Quidway-dialer0]ppp authentication pap
[Quidway-dialer0]ppp pap loacal-user userb password simple passb
[Quidway-dialer0]interface serial 0
[Quidway-serial0]physical-mode async
[Quidway-serial0]modem
[Quidway-serial0]dialer bundle-member 1
[Quidway-serial0]link-protocol ppp
[Quidway-serial0]ppp authtication pap
（3）配置路由器C （模擬接入服務，用*循DCC配置）
[Quidway]dialer-rule 1 ip permit
[Quidway]local-user 163 password simple 163
[Quidway]ip pool 12.0.0.1 255.0.0.0
[Quidway]interface dialer 0
[Quidway-dialer0]ip address 2.0.0.2 255.0.0.0
[Quidway-dialer0]remote address pool 1
[Quidway-dialer0]dialer enable-circular
[Quidway-dialer0]dialer-group 1
[Quidway-dialer0]link-protocol ppp
[Quidway-dialer0]ppp authentication pap
[Quidway-dialer0]ppp pap local-user userc password simple passc
[Quidway-dialer0]interface serial0
[Quidway-serial0]physical-mode async
[Quidway-serial0]modem
[Quidway-serial0]dialer circular-group 0
配置關鍵點：
在路由器A上配置邏輯連接口dialer0對應到路由器B的撥號連接，配置邏輯接口dialer1用於撥號上網（對應路由器C）。兩個邏輯接口都使用物理接口serial0，但分別對應於不同的網絡，而且可以配置不同的特性參數。
1. local-user userb password simple passb （local-user user [password {simple |cipher} password]）設置用戶口令驗證密碼，userb為對端路由器B發送過來的認證名。
2. dialer user userb （dialer user username）該命令使能共享DCC，並且設置對端用戶名一邊接收呼叫時能驗證請求。
3. ppp authentication pap，設置ppp對對端路由器的驗證方式為PAP；ppp pap local-user usera password simple passa （ppp pap local-user username password {simple |cipher} password），該命令配置本地路由器作為pap方式驗證的被驗證端時發送的用戶名和口令。
4. dialer bundle 1 （dialer bundle number）在共享DCC的配置中，設置一個dialer接口使用的撥號池。
5. dialer bundle-member 1、dialer bundle-member 2 （dialer bundle-member number [priority priority]），在共享一個物理接口屬於拿一個dialer bundle，priority為物理接口在這個dialer bundle中的優先級此命令只用於物理接口。
9.6DCC的監控與維護
顯示DCC端口的信息
display dialer interface [interface-type interface-number]
顯示DCC的調試信息
debugging dialer event （顯示DCC呼叫建立信息）
debugging dialer packet （顯示DCC數據包發送信息）
9.7.DCC配置注意事項
1.必須配置dialer-group 2.同/異步串口應用DCC時的配置3.網絡層地址的配置
4.共享DCC配置方式,接收入呼叫時PPP的配置5.*循DCC配置方式下,接收入呼叫時PPP的配置
9.8ISDN技術
9.8.1概述
綜合業務數字網（integrated services digital network），提供端到端的數字連接，ITU-T的ISN協議模型，ISDN的用戶－網絡接口規範。
ISDN提供多種安全措施：1.呼叫鏈路識別：此功能由服務商提供； 2.PAP：明文傳送的密碼驗證
4. CHAP：密文傳送的密碼驗證4.RADIUS：工業標準的Client/server結構安全訪問協議。
ISDN的兩種信道：1.B信道（64kbps） 2.D信道（16或64kbps）
ISDN用戶接口類型：1.基本速率接口（BRI）：2B+D（144kbpd，D信道16kbps）單一物理連接、兩條邏輯連接、客戶端適用
2.基群速率接口（PRI）：30B+D（2048kbps，D信道64kbps）單一物理連接、30條邏輯連接、中心點適用
9.8.2ITU-T的ISDN協議模型
由三個平面組成，對應著三種不同類型的信息：
1.控制平面C：關於控制信令的協議，分七層，覆蓋了所有對呼叫和對網絡性能的控制
2.用戶平面U：用戶信息的協議。分七層，覆蓋了在用戶信息傳送的信道上實行數據交換的全部規則
3.管理平面M：不分層，關於終端或ISDN節點內部*作功能的規則。
一般來說，C平面和U平面都可以通過原語和管理平面M進行通信，由M平面中的管理實體來協調C和U之間的動作。 C和U之間不直接通信。
9.8.3ISDN的用戶－網絡接口規範
功能群分為：
l網絡終端1（NT1）：實現OSI第一層的功能，包含用戶線傳輸功能、環路測試和D信道競爭等。
l網絡終端2（NT2）：又稱智能網絡終端，包含了OSI的1－3層
l 1類終端設備（TE1）：又稱ISDN標準終端，符合ISDN接口標準的用戶設備
l 2類終端設備（TE2）：又稱非ISDN標準終端，不符合ISDN接口標準的用戶設備
l終端適配器（TA）：完成適配功能，使TE2接入ISDN標準接口
參考點包括：
l R參考點：位於非ISDN設備和TA之間
l S參考點：位於用戶終端和NT2之間
l T參考點：位於NT1和NT2之間
l U參考點：位於NT1設備和線路終端設備之間
9.8.4ISDN終端設備的功能
網絡終端（NT）：是用戶傳輸線路的終端裝置，是實現在普通電話線上進行數字信號轉送和接收的關鍵設備，是電話局程控交換機和用戶的終端設備之間的接口設備。改設備安裝於用戶處，是實現N-ISDN功能的必備終端。
l一類網絡終端（NT1）：一頭接ISDN電話線，另一頭接數字電話、ISDN適配卡等。只能接標準的ISDN設備，模擬電話機等不能接入。
l智能網絡終端（NT2）：一頭接ISDN電話線，可以接入數字電話等標準ISDN設備，也可接入模擬電話、傳真機、modem等模擬設備。
ISDN用戶終端：
l ISDN適配卡：內置式插卡，接在NT1或NT1+的S/T口上。用於台式機。
l ISDN適配器（TA）：提供RS232接口或USB接口
l ISDN數字電話：標準的ISDN終端，接在NT1或NT1+的S/T口上。
l ISDN可視電話：
若通過ISDN一邊上網，一邊打電話，可採用NT1+以及ISDN適配卡或適配器，電話接在NT1+的模擬口上，通過ISDN適配卡或適配器上網。
9.8.5配置ISDN BRI接口
l配置在ISDN BRI接口上運行IP網絡協議
l配置在ISDN BRI接口上運行IPX網絡協議
l配置通過ISDN BRI接口訪問internet
ISDN BRI接口包含2B+D三個通信信道。 B信道是用戶信道，64kbps；D信道是控制信道，16kbps。
ISDN BRI接口缺省的封裝鏈路層協議為：PPP，支持IP和IPX等網絡層協議。
9.8.6ISDN BRI接口上運行IP協議
l配置ISDN協議工作參數
l配置ISDN BRI接口的IP地址
l配置呼出到目的地的dialer router
l配置封裝鏈路層協議ppp及其驗證
l配置激活呼叫的dialer group和dialer rule
l配置DCC工作參數
l配置相關的IP路由
配置舉例：
Remote Site路由器的BRI口Bri0接入ISDN網，Bri0的IP地址是10.110.0.1。 Central Site路由器的BRI口的IP地址是10.110.0.2，使用號碼是8810124。
配置：
[Quidway]dialer-rule 1 ip permit設置觸發撥號條件
[Quidway]interface bri 0
[Quidway-bri0]ip address 10.110.0.1 255.255.255.0配置ISDN BRI接口IP地址
[Quidway-bri0]dialer toute ip 10.110.0.2 8810124配置到中心路由器的呼出dialer route
[Quidway-bri0]link-protocol ppp在BRI口上封裝鏈路層協議PPP
[Quidway-bri0]dialer-group 1指定dialer group，即指定接口所採用的出發撥號的條件
[Quidway-bri0]undo shutdown重新啟動
[Quidway-bri0]ip route 0.0.0.0 0.0.0.0 10.110.0.2配置到中心路由器的靜態路由
9.8.7配置ISDN協議
l設置數字入呼叫時需檢查的被叫號碼或子地址
[undo] isdn check-called number [called-party] [:subaddress]
l配置ISDN DoV
配置接口發起連接的呼叫方式[undo] dialer data2voice
配置接口對呼叫的處理方式[undo] isdn voice2data
9.8.8ISDN協議的監控和維護
l顯示當前激活的呼叫信息
[Quidway]display isdn active-channel interface bri 0
l顯示ISDN接口當前的狀態
[Quidway]display isdn call-info
l顯示ISDN定時器的值
l ISDN的調試信息
Debugging isdn {cc | q921 |q931 | qsig {alarm | all | call-state |error | information | message}} [interface type number]
以上為打開ISDN的調試開關。
9.8.9ISDN應用配置的舉例
路由器A的一個BRI口通過ISDN連接遠端的接入服務器。要求根據流量實時控制訪問帶寬。假設ROUTER A的連接的局域網網段地址是10.110.10.0/24。本例用共享DCC實現。
（1）配置路由器A
[Quidway]acl 1
[Quidway-acl-1]rule permit source 10.110.10.0 0.0.0.255
[Quidway]dialer-rule 1 ip permit
[Quidway]flow-interval 1 flow-interval minites統計接口流量時間間隔，單位分鐘
[Quidway]interface dialer 0
[Quidway-dialer0]ip address ppp-negotiate
[Quidway-dialer0]nat outbound 1 interface
[Quidway-dialer0]dialer bundle 1
[Quidway-dialer0]dialer user server
[Quidway-dialer0]dialer-group 1
[Quidway-dialer0]ppp pap local-user 163 password simple 163
[Quisway-dialer0]dialer number 8801048
[Quidway-dialer0]ppp mp封裝PPP的接口工作在MP方式
[Quidway-dialer0]dialer threshold 80 dialer threshold traffic-percentage [in-out | in | out]負載閥值
[Quidway-dialer0]interface bri 0
[Quidway-bri0]undo dialer enable-circular取消使能*循DCC
[Quidway-bri0]dialer bundle-member 1
[Quidway-bri0]ip route 0.0.0.0 0.0.0.0 dialer 0
9.9本?氐?br /> l了解DCC的用途及功能
l掌握DCC的基本配置
l了解ISDN技術
l掌握ISDN的基本配置
9.10附錄
9.10.1DCC撥號建立連接的過程
1.鏈路層調用DCC_Routing要求DCC提供二次路由；
2.DCC向CC/模擬撥號模塊發送原語ISDN_CONN_REQ；
3.CC/模擬撥號模塊與遠端通訊；
4.與遠端建立連接後，CC/模擬撥號模塊向DCC發送原語ISDN_CONN_CFM；
5.DCC調用Link_DCC_loCtl，通知鏈路層DCC_Call_Up；
6.鏈路層與遠端進行協商；
7.鏈路層將協商的結果告知DCC
8DCC判斷對端的地址、名稱等信息，確定是否緝拿裡本次連接。並告之鍊路層；
9.若連接建立，鏈路層與遠端通信。
9.10.2回呼（Callback）
回呼：1.增加安全性2.改變話費承擔方
Callback分類：1.ISDN主叫識別回呼2.基於PPP的回呼
Callback的步驟： 1.呼叫端發起呼叫2.接收端接收呼叫，並確定是否回呼3.接收端回呼發起呼叫端
ISDN主叫識別回呼的配置
l進入指定撥號接口的配置模式（系統視圖下使用）
interface interface-type interface-number
l對於與remote-number相匹配的呼入進行回呼或接入（撥號視圖下使用）
dialer call-in remote-number callback
l設置回呼前的延遲時間
dialer timer enable seconds
A．對於一個入呼叫，根據呼入號碼與本端所配置的dialer call-in的匹配情況，分三種不同的處理方式
拒絕該呼入——當設置了dialer call-in，且呼入號碼沒有相匹配的dialer call-in。
接收該呼入——沒有配置dialer call-in，或呼入號碼與一無“callbak”關鍵字的dialer caller相匹配。
回呼——呼入號碼與一含“callback”關鍵字的dialer call-in相匹配。
B．呼入號碼與dialer caller的匹配採用“右端匹配”，用“*”來對應任意字符。
PPP回呼的配置
l設置本端為回呼server/client端
ppp callback {client | server}
l配置根據對端的用戶名查找匹配的dialer route進行回呼
dialer callback-center user
l或配置根據回呼撥號串進行回呼
dialer callback-center dial-number
l如果配置了dialer callback-center dialer-number，需要配置回呼撥號串
local-user name callback-number telephone-number
第十章備份中心原理及配置
10.1培訓目標
1.掌握備份中心的基本功能2.能夠在華為路由器上配置備份中心的功能
10.2什麼是備份中心
10.2.1什麼是備份中心
備份中心是VRP中管理備份功能的模塊，它為路由器的接口提供備份。
10.2.2備份中心的功能
l主接口1.被其他接口備份2.除dialer口外的其他接口
l備份接口1.備份其他接口32.除以太口外的其他接口
l任何接口物理接口，子接口，邏輯接口
10.3備份中心配置任務
10.3.1備份中心配置任務列表
l進入將備份得主接口視圖
l指定主接口使用的備用接口及其優先級
l設置主備接口切換的時延
l配置邏輯通道狀態的判斷條件
l配置備份負載分擔
10.3.2進入主接口配置模式
l主接口是一物理接口
interface interface-type interface-number
l主接口是一邏輯通道
x25 map protocol address x121-address x.121-add [logic-channel logic-channel-num]
fr map protocol address dlci dlci [logic-channel logic-channel-num]
dialer route protocol next-hop dialer-string [logic-channel logic-channel-num]
logic-channel logic-channel-number
10.3.3設定主接口使用的備份接口及優先級
l若備份接口是物理接口，在主接口視圖?付ū阜萁湧?br /> standby interface interface-type interface-num [priority]
l若備份接口是邏輯接口
在主接口視圖下，指定備份邏輯通道號
standby logical-channel number [priority]
在備份接口視圖下，建立邏輯通道與虛電路或dialer route的對應關係
x25 map protocol address x121-address x.121-add [logic-channel logic-channel-num]
fr map protocol address dlci dlci [logic-channel logic-channel-num]
dialer route protocol next-hop dialer-string [logic-channel logic-channel-num]
10.3.4配置主備份接口切換條件
l設置從主接口切換到備用接口的延時
standby timer enable-dlay seconds
l設置從備用接口切換到主接口的時延
standby timer disable-delay seconds
10.3.5設定判斷主接口邏輯通道down和up的條件
若主接口是邏輯通道，還需設置邏輯通道狀態的判斷條件，在主接口試圖下配置
設置主邏輯通道狀態為down條件：若呼叫times次仍未成功，則認為邏輯通道的狀態為down，
standby state-down times
檢測主邏輯通道是否up：為了判定邏輯通道的狀態是否恢復為up，設置時間間隔以定時檢查
standby state-up interval-seconds
10.3.6配置備份負載分擔
負載分擔：當流量超過一定限度時啟動備份接口。
在主視圖下配置：
standby threshold enable-threshold disable-threshold
其中：enable-threshold,流量上限百分比（0－99），超過此上限時啟動備份接口
disable-threshold流量下限百分比（0－99），低於此上限時關閉備份接口
10.4配置舉例
10.4.1配置舉例（一）
1.組網需求：
Router 1的ethernet 0口IP地址為：130.1.1.1，Router 2的ethernet 0口IP地址為131.1.1.1
本配置中，serial0接口配置為PPP封裝，作為主接口。 Serial1接口配置成撥號口，作為備份口。主接口down掉後備份接口自動開始撥號建立連接，主接口恢復後從備份接口切換回主接口。
2.配置步驟：
配置Router 1：
[Quidway]interface Ethernet 0
[Quidway-ethernet0]ip address 130.1.1.1 255.255.255.0
[Quidway-ethernet0]interface serial 0
[Quidway-serial0]ip address 129.102.0.1 255.255.0.0
[Quidway-serial0]standby interface serial 1
[Quidway-serial0]interface serial 1
[Quidway-serial1]physical-mode async
[Quidway-serial1]modem
[Quidway-serial1]ip address 10.110.0.1 255.255.0.0
[Quidway-serial1]dialer enable-legacy
[Quidway-serial1]dialer-group 1
[Quidway-serial1]dialer route ip 10.110.0.2 8810026
[Quidway-serial1]quit
[Quidway]dialer-rule 1 ip permit
[Quidway]ip route-static 131.1.1.0 255.255.255.0 129.102.0.2
[Quidway]ip route-static 131.1.1.0 255.255.255.0 10.110.0.2
配置Router 2：
[Quidway]interface Ethernet 0
[Quidway-ethernet0]ip address 130.1.1.1 255.255.255.0
[Quidway-ethernet0]interface serial 0
[Quidway-serial0]ip address 129.102.0.2 255.255.0.0
[Quidway-serial0]interface serial 1
[Quidway-serial1]physical-mode async
[Quidway-serial1]modem
[Quidway-serial1]ip address 10.110.0.2 255.255.0.0
[Quidway-serial1]dialer enable-legacy
[Quidway-serial1]dialer-group 1
[Quidway-serial1]dialer route ip 10.110.0.1 8810025
[Quidway-serial1]quit
[Quidway]dialer-rule 1 ip permit
[Quidway]ip route-static 130.1.1.0 255.255.255.0 129.102.0.1
[Quidway]ip route-static 130.1.1.0 255.255.255.0 10.110.0.1
10.4.2配置舉例（二）
使用PPP連接備份X.25邏輯通道的配置實例，serial 1被配置為serial 0上的邏輯通道10的備份接口。
1.組網需求
在serial 0上定義了邏輯通道10，作為主接口。 Serial 1接口配置成PPP封裝，並設置當主邏輯通道down掉後，每隔10秒檢查是否恢復up。
2.配置步驟：
配置Router 1：
[Quidway]interface Ethernet 0
[Quidway-ethernet0]ip address 130.1.1.1 255.255.255.0
[Quidway-ethernet0]interface serial 0
[Quidway-serial0]link-protocol x25 dce
[Quidway-serial0] ip address 129.102.0.1 255.255.0.0
[Quidway-serial0]x25 x121-address 1000
[Quidway-serial0]x25 map ip 129.102.0.2 x121-address 2000 logic-channel 10
[Quidway-serial0]quit
[Quidway]logic-channel 10
[Quidway-logic-channel10]standby interface serial 1
[Quidway-logic-channel10]standby state-up 10
[Quidway-logic-channel10]quit
[Quidway]interface serial 1
[Quidway-serial1]ip address 10.110.0.1 255.0.0.0
[Quidway]ip route-static 131.1.1.0 255.255.255.0 129.102.0.2
[Quidway]ip route-static 131.1.1.0 255.255.255.0 10.110.0.2
配置Router 2：
[Quidway]interface Ethernet 0
[Quidway-ethernet0]ip address 131.1.1.1 255.255.255.0
[Quidway-ethernet0]interface serial 0
[Quidway-serial0]link-protocol x25 dte
[Quidway-serial0] ip address 129.102.0.2 255.255.0.0
[Quidway-serial0]x25 x121-address 2000
[Quidway-serial0]x25 map ip 129.102.0.1 x121-address 1000
[Quidway-serial0]quit
[Quidway]interface serial 1
[Quidway-serial1]ip address 10.110.0.2 255.0.0.0
[Quidway]ip route-static 130.1.1.0 255.255.255.0 129.102.0.1
[Quidway]ip route-static 130.1.1.0 255.255.255.0 10.110.0.1 -
數據庫考試簡介——Oracle認證粗略
總的來說，IT業對專家的要求很高，職業競爭壓力很大。無論是新進入這個行業的人，還是此行業中的老手，都需要知道他們的那些技術背景能真正吸引到雇主的眼光。
一、 Oracle，僅次於微軟的世界第二大軟件公司
Oracle雖然規模很大，但名聲不像微軟、IBM那樣顯赫，很多非計算機專業的在校學生不知道Oracle是何物。但是如果你是一位想在畢業後進入IT行業的學生，那麼，你必須知道什麼是Oracle.
首先，Oracle是一家軟件公司。這家1977成立於加利福尼亞的軟件公司是世界上第一個推出關係型數據管理系統（RDBMS）的公司。現在，他們的RDBMS被廣泛應用於各種操作環境：Windows NT、基於UNIX系統的小型機、IBM大型機以及一些專用硬件操作系統平台。事實上，Oracle已經成為世界上最大的RDBMS供應商，並且是世界上最主要的信息處理軟件供應商。現在，Oracle是僅次於微軟公司的世界第二大軟件公司，2000年的銷售額為101億美元。現在Oracle在世界範圍內大約聘用了4萬3千多名專業技術人員，在美國本土有2萬1千名。有趣的是，即使在美國本土，Oracle的技術人員（主要是程序員）中有40％是印度人，中國人是第二多的，其次才是美國人。
然後，Oracle是一個龐大的品牌系統。如前所述，Oracle不僅在全球最先推出了RDBMS，並且事實上掌握著這個市場的大部分份額，由於Oracle公司的RDBMS都以Oracle為名，所以，在某種程度上Oracle己經成為了RDBMS的代名詞。而近幾年來，Oracle不斷積極地擴展自己的業務，成功地開發了許多橫向和縱向的產品，譬如Oracle自己設計生產的Oracle服務器，面對商業客戶的商業交易系統（Oracle Exchange），Oracle數據中心等等。同時，Oracle還成功開發出了很多面對程序員的開發工具，譬如著名的Designer／2000計算機輔助系統工程（CASE）工具和Developer／2000開發包，這些工具作為“設計器”和“開發器” ，有力地幫助了程序員的開發工作，也有力地提高了Oracle的聲譽。此外，Oracle還開發了一系列面對不同對象的應用軟件，它們被統稱為Oracle應用軟件。這些軟件使得Oracle被廣泛應用到各個領域，同時也為Oracle帶來滾滾財源。比較常見的Oracle軟件產品包括：
。 Oracle財務軟件（Oracle Financial）。 Oracle製造業軟件（Oracle Manufacturing）。 Oracle人力資源軟件（Oracle Human Resources）。 Oracle自動控制軟件（Oracle Automotive）。 Oracle商業交易系統（Oracle Exchange）
以及其他的應用軟件。這些軟件連同OracleRDBMS使得Oracle成為一個龐大的品牌系統，深入到了人們生產和生活的各個領域。
由於Oracle擁有多年在各種行業下的多種解決方案，擁有基於不同客戶環境的Oracle RDMBS服務器工具及規模巨大的應用軟件系統，而且，這個龐大的系統正在不同程度、不同層次地為各行各業所廣泛應用。因此，能夠熟練掌握這個系統的某些方面及適應這個系統的不斷更新的專業工程師必然是各界急需的人才，有著良好的就業前景。事實上，Oracle公司也認識到了這一點，這就是Oracle認證專家——OCP（Oracle Certified Professional）的由來。
二、Oracle認證種類介紹
Oracle認證專家——OCP，是由Oracle公司授權國際考試認證中心對考生進行的資格認證。考生按考試標準要求參加幾門課程的考試（一般為3—5門），在通過全部考試後，便可獲得OCP的專家認證。
目前OCP認證考試分為：
Database Administrator：數據庫管理員考試認證，簡稱DBA.數據庫管理員負責對數據庫進行日常的管理、備份及數據庫崩潰後的恢復問題。
Database Operator：數據庫操作員認證考試，簡稱DBO.數據庫操作員主要是基於Windows NT的Oracle 8數據庫管理，能夠熟練應用OEM等工具完成對數據庫的操作及日常的管理工作。
Database Developer：數據庫開發員認證考試，簡稱DEV.數據庫開發員應能熟練掌握用Developer/2000的工具建立各種Forms應用程序，建立各種標準的以及自定義的報表。
Java Developer：Java開發人員考試。
Application Consultant： Oracle產品應用諮詢顧問。
其中，Oracle DBA是最吃香，但也是最難考的一個認證。在Oracle的官方網站上，對DBA有以下說明：
Oracle DBA專家可以跟上如今日趨複雜的系統環境要求。最好的DBA們都在幕後工作，他們小心地維護著系統，使得系統可以每天都平穩地運轉，並且防止意外災難的發生，譬如數據庫崩潰或者成小時地宕機。這項艱鉅的任務需要對Oracle數據庫的結構和運行方式有著廣泛泛深入的了解，並且有豐富的實戰經驗。最好的DBA可以在取得最佳運行狀態及防止他們公司停止運行的突發事件中找到平衡。 Oracle DBA認證考試就是提供一個證明該人可以勝任Oracle DBA這一職務的認證。本認證考試設計了5門獨立的考試，使你可以利用良好的知識獲得一個專家認證。
三、如何參加考試？
OCP認證的所有考試也是通過Prometric公司組織的，具體的考試事宜請訪問它的官方網站：www.prometric.com.cn
目前OCP每門考試的費用為125美元。
四、如何準備考試？
1、Oracle公司推薦的官方准備途徑
一般來講，Oracle的考試內容比較多，並且考題也很細，對動手能力要求很強。因此，為了有足夠的把握，一定要提前充分準備，而且一定要注重動手實踐。在Oracle官方網站上推薦的通過認證的途徑如下，可以進行參考。
Oracle大學：Oracle大學提供的教師引導及基於技術的訓練（Instructor-led training and technology- based training）是準備OCP認證的最好方式，這些課程將為你打下需要通過OCP認證的知識基礎。你可以查閱一下課程表來選擇理想的準備方式，你當地的Oracle大學可以在這方面給你一些最好的建議。你可以訪問Oracle的網站http://education.oracle.com，獲得更多的信息。
自己準備：實戰經驗是加深你對Oracle考試內容理解的最好方式。 Oracle建議你將理論學習拓展，在實際工作或是練習中使用新學到的技巧和知識來自學。
考試內容檢查表：使用考試內容檢查表（Test Content Checklist）來確定你必須準備的所有題目。 Oracle會不斷地更新考試內容檢查表，所以請訪問Oracle網站httP://www.oracle.com/education/certification，下載最新的考試指南。
其它考試工具：模擬考試題及自我測試軟件可以幫助你更好地準備OCP認證考試。 Oracle和自我測試軟件公司（Self Test Software）聯合出品了一些高質量的考試軟件以幫助考生更好地準備OCP認證考試，這些軟件可以通過Oracle網站http://www.oracle.com/education/certification定購。
事實上，絕大部分的大陸同學都是通過參加培訓班來準備考試的，它們不僅輔導通過考試的知識，而且其他信息包括如何報名，考場上如何應考，都可以得到輔導。以上Oracle官方的介紹只是一般地對你進行一下有關備考的初級教育，事實上，正像我們前面說過的，作為一個龐大的數據庫系統，要想掌握好Oracle（更不要說完全掌握了——我甚至懷疑是否有人真正完全掌握過Oracle），從任何角度而言都不是一件易事。除非你有足夠的決心和耐心，準備將Oracle當作你的職業之路並致力於數據庫技術的研究，你才有可能真正了解這個龐雜系統的精髓。以下的一些論述將有助於你對Oracle有一個初步的了解。
2、Oracle數據庫技術基本知識
（1）Oracle數據庫涵蓋了數據庫技術的方方面面。
儘管關係型數據庫從原理上來講並不是很難，有一些數據庫知識的人掌握這些原理並不會花很大的氣力，而且，一般的關係型數據庫軟件，譬如SQL Server，用起來並不復雜，但Oracle絕對與眾不同。作為有史以來最成功的關係型數據庫軟件，Oracle的實現方式和管理維護手段非常豐富，它涉及到很多方面的細節技術。單從任何一個側面來理解它，是難觀其全貌的。要想真的精通它，沒有兩三年功夫是不行的。單是Oracle的技術文檔，就足夠淹沒你的！具體說來，Oracle技術包括以下幾個主要方面：Oracle系統結構和原理、Oracle數據庫的安裝和配置、Oracle數據庫的管理、Oracle的數據備份與恢復技術、Oracle的性能調整、Oracle的新產品特性（ Java支持、應用服務器、時間空間系列、文本服務等）、Oracle的並行服務器技術、Oracle的數據倉庫技術、Oracle的對像類型和對像一關係模型等技術……
毫不誇張地說，以上任何一個部分單獨拿出來都是很大的題目！
（2）Oracle技術發展快，技術的關聯性大。
儘管Oracle只是一個數據庫系統，但在實際應用中，你不可能只面對數據庫本身。譬如，你在做Oracle數據庫的網絡管理，你將不可避免地遇到如何與網絡通訊、防火牆的技術兼容的問題。同理，你在做其它方面的工作，也肯定有方方面面的技術關聯問題需要解決。而且更要命的是，這些技術（包括Oracle本身）發展速度都非常快，這就使得跟上它們的發展成為一件十分費勁的事情。
不過幸運的是，我們並不需要同時了解Oracle的所有方面，Oracle提供了很多應用方向，我們可以按照偏好，選擇其中的一個方向，集中時間和精力，努力在這個方向做到有所成就還不是一件很難的事情。由於Oracle目前已是世界上最主要的數據庫供應商和第二大軟件公司，Oracle的數據庫技術已經被廣泛應用於各個領域，因而市場上對Oracle人才的需求量是相當之大，獲得OCP認證不愁找不到工作。而以後我們可以在工作中學以致用，再努力地鑽研Oracle數據庫及相關技術。
3、入門者如何起步？
說了這麼多，想必您可能已經有些心動，那麼，面對Oracle這樣一個龐然大物，你也許會覺得無從下手。為此，我們有一些建議：
（1）找一本有關數據庫原理的書，掌握關係數據庫的基本原理——如果你沒有學過這樣的課程的話。
（2）閱讀參考書並結合上機操作，掌握SQL的一般原理及基本用法。
（3）至少買一本Oracle入門級的參考書，並找到一台安裝了Oracle的某個版本（Oracle7.3以上，最好是Oracle 8）計算機，建立起上機學習環境。
其中第三點尤其重要，因為沒有實踐經驗，想通過Oracle認證只是癡人說夢。或者如果你的預算比較充分，你可以選擇參加培訓。在選擇培訓班的時候一定要選擇Oracle授權的培訓班，這樣培訓的質量才有保證，同時，在報名考試的時候還可以享受一定的折扣。
與其他很多考試不同，OCP並沒有真正意義上的參考書，你要做的就是在上機中不斷熟悉Oracle的各種應用，書只是用來查閱和參考的。因為從根本上來講，Oracle數據庫是一門實踐性很強的技術，而Oracle認證主要考的是動手能力。因此，沒有實踐經驗，而只靠背學習資料是根本無法通過Oracle認證考試的。以下是市面上常見的一些書，在此列出，希望能對大家有一些幫助。
初級的：《輕鬆掌握SQL結構化查詢語言》，《輕鬆掌握Oracle數據庫開發》，《Oracle開髮指南》，《Oracle初學者指南》，《Oracle8 PL／SQL程序設計》。
高級的；《Oracle服務器技術精粹》，《Oracle8／8i開發使用手冊》，《Oracle8份與恢復手冊》，《Oracle8性能優化與管理手冊》。
五、獲得OCP認證的好處
在Oracle的官方同站上，Oracle公司詳細列舉了獲得OCP認證的種種好處，雖然有自賣自誇之嫌，但總的來說還是很有道理的。大家不妨跟我們一起看看。
總的來說，IT業對專家的要求很高，職業競爭壓力很大。無論是新進入這個行業的人，還是此行業中的老手，都需要知道他們的那些技術背景能真正吸引到雇主的眼光。同時，雇主們也需要一個標準幫助他們挑選出那些技術上真正過硬的僱員。 OCP認證就能夠幫助IT業界建立起面向特定職位的選擇標準。 OCP認證是一個有價值的、業界承認的標準，這個標準可以證明持證者的知識和能力水平。
Oracle認證對技術專家的好處：OCP認證可以給你一個鮮明的優勢。 OCP認證可以表明你對某一職位及相關的Oracle產品有著深刻的理解。成為一個OCP認證專家可以幫助你被更多的雇主注意到，並且增加你獲得IT業最具挑戰性機遇的機會。 OCP認證專家們證實了OCP認證的價值：97％的OCP認為他們獲益於OCP認證；89％的OCP認為獲得認證後，他們在Oracle專家的職位上更具信心；96％的OCP認為他們會建議職業學校（professional College，普遍存在於美國的一種職業教育方式）開相應的課程。
Oracle認證對IT雇主的好處：OCP認證同時可以幫助IT業的人事經理在應聘者中挑選出符合挑戰性職位的員工。對於那些每年把員工送去培訓的公司，認證可以保證他們在培訓上的錢沒有白花——他們的員工獲得了對於深入理解和必要的知識。公司也可以把認證和員工的職業發展聯合起來，這樣可以增強員工的忠誠度及他們在職業崗位上的表現。同時，僱用獲得認證的專家可以直接提高公司的實力，國際數據公司（International Data Corporation）的一項研究顯示了這一點。這項研究指出獲得認證的專家比那些沒有通過認證的平均每人每天多處理40％的支持電話；僱用認證專家的公司比那些沒有僱用的公司宕機的時間少49％；對大多數公司的調查顯示，在不到9個月內，認證專家為他們節約的費用就超過了他們送專家去培訓並獲得認證的費用。