华为认证HCDP实验指导书HCDPIENPv16Word格式文档下载.docx
《华为认证HCDP实验指导书HCDPIENPv16Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《华为认证HCDP实验指导书HCDPIENPv16Word格式文档下载.docx（166页珍藏版）》请在冰豆网上搜索。
HCDA认证在内容上涵盖TCP/IP基础、路由、交换等IP网络通用基础知识以及华为数据通信产品、通用路由平台VRP特点和基本维护。
HCDP-Enterprise（HuaweiCertifiedDatacomProfessional-Enterprise，华为认证数据通信资深工程师-企业级）主要面向企业级网络维护工程师、网络设计工程师以及希望系统深入地掌握路由、交换、网络调整及优化技术的人士。
HCDP-Enterprise包括IESN（ImplementEnterpriseSwitchingNetwork，部署企业级交换网络）、IERN（ImplementEnterpriseRoutingNetwork，部署企业级路由网络）、IENP（ImprovingEnterpriseNetworkPerformance，提升企业级网络性能）三个部分。
内容上涵盖IPv4路由技术原理深入以及在VRP中的实现；
交换技术原理深入以及在VRP中的实现；
网络安全技术、高可靠性技术和Qos技术等高级IP网络技术以及在华为产品中的实现。
HCIE-Enterprise（HuaweiCertifiedInternetworkExpert-Enterprise，华为认证互联网络专家）旨在培养能够熟练掌握各种IP网络技术；
精通华为产品的维护、诊断和故障排除；
具备大型IP网络规划、设计和优化的IP网络大师。
华为认证协助您打开行业之窗，开启改变之门，屹立在ICT世界的潮头浪尖！
前言
简介
本书为HCDP-IENP认证培训教程，适用于准备参加HCDP-IENP考试的学员或者希望系统掌握华为安全产品与技术、可靠性HA技术、QoS原理以及在华为通用路由平台VRP上的实现的读者。
内容描述
本书共包含三个Module，系统地介绍了华为安全产品与技术、可靠性HA技术和QoS原理以及在VRP上的配置与实现。
Module1详细介绍了华为Eudemon防火墙产品功能特性和业务特性，使读者对华为安全产品及网络安全有一个较为深入的了解。
Module2详细介绍了可靠性HA技术，帮助读者深入了解各种HA技术原理和运用。
Module3详细介绍了IPQoS技术，帮助读者深入了解QoS原理，掌握QoS在华为VRP中的配置。
本书引导读者循序渐进地掌握华为安全产品与技术、可靠性HA技术和QoS技术原理以及在华为产品中的实现，读者也可以根据自身情况选择感兴趣的章节阅读。
读者知识背景
为了更好地掌握本书内容，阅读本书的读者应首先具备以下基本条件之一：
1）参加过HCDA培训
2）通过HCDA考试
3）熟悉TCP/IP协议，具有一定的网络基础知识
4）熟悉多种路由协议如OSPF、IS-IS和BGP
本书常用图标
实验环境说明
组网介绍
本实验环境面向准备HCDP-IENP考试的网络工程师，实验设备包括路由器5台，交换机4台，防火墙2台。
每套实验环境适用于2名学员同时上机操作。
设备介绍
为了满足HCDP-IENP实验需要，建议每套实验环境采用以下配置：
设备名称、型号与版本的对应关系如下：
设备名称
设备型号
软件版本
R1
AR2220
Version5.90（V200R001C01SPC300）
R2
R3
R4
AR1220
R5
S1
S5700-28C-EI-24S
Version5.70（V100R006C00SPC800）
S2
S3
S3700-28TP-EI-AC
S4
FW1
Eudemon200E-X2
Version5.30（V100R005C00SPC100）
FW2
第一章防火墙特性功能
实验1-1Eudemon防火墙安全区域及其他基本功能配置
学习目的
∙掌握防火墙安全区域的配置方法
∙掌握域间包过滤的配置方法
∙掌握在静态与动态配置黑名单的方法
∙掌握黑名单的配置方法
∙掌握应用层包过滤的配置方法
拓扑图
图1-1Eudemon防火墙区域配置
场景
你是你们公司的网络管理员。
公司总部的网络分成了三个区域，包括内部区域（Trust）、外部区域（Untrust）和服务器区域（DMZ）。
你设计通过防火墙来实现对数据的控制，添加黑名单来防范网络攻击，确保公司内部网络安全。
学习任务
步骤一.基本配置与IP编址
给三个路由器配置地址信息。
<
Huawei>
system-view
Entersystemview,returnuserviewwithCtrl+Z.
[Huawei]sysnameR1
[R1]interfaceGigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]ipaddress10.0.10.124
[R1-GigabitEthernet0/0/1]interfaceloopback0
[R1-LoopBack0]ipaddress10.0.1.124
[Huawei]sysnameR2
[R2]interfaceGigabitEthernet0/0/1
[R2-GigabitEthernet0/0/1]ipaddress10.0.20.124
[R2-GigabitEthernet0/0/1]interfaceloopback0
[R2-LoopBack0]ipaddress10.0.2.224
system-view
[Huawei]sysnameR3
[R3]interfaceGigabitEthernet0/0/1
[R3-GigabitEthernet0/0/1]ipaddress10.0.30.124
[R3-GigabitEthernet0/0/1]interfaceloopback0
[R3-LoopBack0]ipaddress10.0.3.324
给防火墙配置地址时，需要注意Ethernet1/0/0接口为二层交换机接口，无法配置IP地址。
实验中我们在防火墙上配置VLAN12，定义Vlanif12，配置IP地址作为Inside区域的网关。
由于默认情况下，防火墙会给它的Vlanif1配置地址，实验中为避免干扰，删除该配置。
Eudemon200E>
[Eudemon200E]sysnameFW
[FW]vlan12
[FW-vlan-12]quit
[FW]interfacevlanif12
[FW-Vlanif12]ipaddress10.0.20.25424
[FW-Vlanif12]interfaceEthernet1/0/0
[FW-Ethernet1/0/0]portaccessvlan12
[FW-Ethernet1/0/0]interfaceEthernet0/0/0
[FW-Ethernet0/0/0]ipaddress10.0.10.25424
[FW-Ethernet0/0/0]interfaceethernet2/0/0
[FW-Ethernet2/0/0]ipaddress10.0.30.25424
[FW-Ethernet2/0/0]quit
[FW]undointerfaceVlanif1
交换机上需要按照需求定义VLAN。
[Quidway]sysnameS1
[S1]vlanbatch11to13
[S1]interfaceGigabitEthernet0/0/1
[S1-GigabitEthernet0/0/1]portlink-typeaccess
[S1-GigabitEthernet0/0/1]portdefaultvlan11
[S1-GigabitEthernet0/0/1]interfaceGigabitEthernet0/0/2
[S1-GigabitEthernet0/0/2]portlink-typeaccess
[S1-GigabitEthernet0/0/2]portdefaultvlan12
[S1-GigabitEthernet0/0/2]interfaceGigabitEthernet0/0/3
[S1-GigabitEthernet0/0/3]portlink-typeaccess
[S1-GigabitEthernet0/0/3]portdefaultvlan13
[S1-GigabitEthernet0/0/3]interfaceGigabitEthernet0/0/21
[S1-GigabitEthernet0/0/21]portlink-typeaccess
[S1-GigabitEthernet0/0/21]portdefaultvlan11
[S1-GigabitEthernet0/0/21]interfaceGigabitEthernet0/0/22
[S1-GigabitEthernet0/0/22]portlink-typeaccess
[S1-GigabitEthernet0/0/22]portdefaultvlan12
[S1-GigabitEthernet0/0/22]interfaceGigabitEthernet0/0/23
[S1-GigabitEthernet0/0/23]portlink-typeaccess
[S1-GigabitEthernet0/0/23]portdefaultvlan13
配置完成后在FW设备上测试相同区域的连通性。
[FW]ping10.0.10.1
PING10.0.10.1:
56databytes,pressCTRL_Ctobreak
Requesttimeout
Replyfrom10.0.10.1:
bytes=56Sequence=2ttl=255time=1ms
bytes=56Sequence=3ttl=255time=1ms
bytes=56Sequence=4ttl=255time=1ms
bytes=56Sequence=5ttl=255time=1ms
---10.0.10.1pingstatistics---
5packet（s）transmitted
4packet（s）received
20.00%packetloss
round-tripmin/avg/max=1/1/1ms
[FW]ping10.0.20.1
PING10.0.20.1:
Replyfrom10.0.20.1:
---10.0.20.1pingstatistics---
[FW]ping10.0.30.1
PING10.0.30.1:
Replyfrom10.0.30.1:
---10.0.30.1pingstatistics---
在R1、R2和R3上配置缺省路由，在FW上配置明确的静态路由，实现三个Loopback0接口连接的网段之间的互通。
[R1]iproute-static0.0.0.0010.0.10.254
[R2]iproute-static0.0.0.0010.0.20.254
[R3]iproute-static0.0.0.0010.0.30.254
[FW]iproute-static10.0.1.02410.0.10.1
[FW]iproute-static10.0.2.02410.0.20.1
[FW]iproute-static10.0.3.02410.0.30.1
配置完成后，测试各路由器Loopback0接口连接的网段之间的通讯情况。
[R1]ping-a10.0.1.110.0.2.2
PING10.0.2.2:
Replyfrom10.0.2.2:
bytes=56Sequence=1ttl=254time=3ms
bytes=56Sequence=2ttl=254time=3ms
bytes=56Sequence=3ttl=254time=4ms
bytes=56Sequence=4ttl=254time=2ms
bytes=56Sequence=5ttl=254time=3ms
---10.0.2.2pingstatistics---
5packet（s）received
0.00%packetloss
round-tripmin/avg/max=2/3/4ms
[R1]ping-a10.0.1.110.0.3.3
PING10.0.3.3:
Replyfrom10.0.3.3:
bytes=56Sequence=1ttl=254time=4ms
bytes=56Sequence=2ttl=254time=4ms
bytes=56Sequence=3ttl=254time=3ms
bytes=56Sequence=4ttl=254time=4ms
bytes=56Sequence=5ttl=254time=4ms
---10.0.3.3pingstatistics---
round-tripmin/avg/max=3/3/4ms
防火墙上默认有四个区域，分别是“local“、”trust“、”untrust“、”dmz“。
实验中我们使用到“trust“、”untrust“和”dmz“三个区域，分别将对应接口加入各安全区域。
[FW]firewallzonedmz
[FW-zone-dmz]addinterfaceEthernet2/0/0
[FW-zone-dmz]firewallzonetrust
[FW-zone-trust]addinterfaceVlanif12
[FW-zone-trust]firewallzoneuntrust
[FW-zone-untrust]addinterfaceEthernet0/0/0
默认情况下，所有区域之间可以正常通讯，不被检查。
[FW]disfirewallpacket-filterdefaultall
10:
28:
182011/12/24
Firewalldefaultpacket-filteractionis:
packet-filterinpublic:
local->
trust:
inbound:
default:
permit;
||IPv6-acl:
null
outbound:
untrust:
dmz:
trust->
dmz->
packet-filterbetweenVFW:
由以上显示的内容看出，缺省情况下，所有安全区域间的所有方向都允许报文通过。
检查区域之间的连通性。
Untrust区域到Trust区域。
R1>
ping-a10.0.1.110.0.2.2
bytes=56Sequence=4ttl=254time=3ms
round-tripmin/avg/max=3/3/3ms
Untrust区域到DMZ区域。
ping-a10.0.1.1
升级会员 