从一次访问，
理解整张网络。

内容安排

阅读建议

初学者可按章节顺序阅读。学习交换与路由时，应结合拓扑追踪报文的源地址、目的地址、下一跳和出接口；完成练习后，再核对参考答案。第 11、14、15 章涉及较多扩展内容，可在掌握基本交换与 OSPF 后学习。

协议行为以相应标准和设备手册为准。书中配置采用常见 VRP 语法，使用前须核对设备型号、软件版本和接口名称。资料范围与实验说明见“参考资料”。

1. 网络通信过程

网络通信需要完成寻址、传输和接收。以一台访问远端服务器的主机为例：主机地址为 192.168.10.10/24，默认网关为 192.168.10.1，服务器地址为 198.51.100.10。

1.1　确定目的地址与下一跳

应用使用域名时，主机通过 DNS 查询或本地缓存获取目的 IP 地址。DNS 查询本身也依赖网络通信；已有缓存时，可以省略查询。

主机查询路由表，确定出接口和下一跳。目的地址位于本地直连子网时，主机直接解析目的主机的 MAC 地址；通过网关访问远端时，解析下一跳网关的 MAC 地址。本例中，第一跳以太网帧的目的 MAC 为网关 MAC，IP 包的目的地址仍为服务器地址。

1.2　逐跳转发

二层交换机依据 MAC 地址表转发帧，路由器依据三层转发表选择下一跳。报文经过路由器后，会重新封装当前链路的二层头部；若经过 NAT，相关 IP 地址或端口还会被转换。隧道则可能在原报文之外增加新的封装。

1.3　传输连接与返回路径

应用根据需要建立传输连接和安全会话。常见 HTTPS 使用 TCP 与 TLS，HTTP/3 使用基于 UDP 的 QUIC。IP 可达、传输连接建立、TLS 协商成功和应用授权通过分别属于不同阶段。

服务器回复还需要有效的返回路径。回程路由、防火墙会话和 NAT 映射都会影响通信。一次 ping 成功表明相应 ICMP 探测得到响应，应用端口仍需单独验证。

1.4　练习

2. 网络分层与传输协议

网络分层将应用处理、端到端传输、跨网寻址和链路交付分别实现。各层通过接口使用下层服务，并向上层提供服务。

2.1　参考模型与封装

OSI 模型分为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。TCP/IP 模型通常按四层描述；教学中也常将链路层拆为物理层和数据链路层，形成五层模型。

发送方逐层封装：应用数据成为 TCP 段或 UDP 数据报的负载，再封装为 IP 包和链路层帧。接收方按相反顺序解封装。IP 头中的协议字段标识上层协议，TCP/UDP 端口标识应用端点。

2.2　TCP 与 UDP

TCP 提供可靠、有序的字节流。序列号、确认和重传用于处理丢失与重排；流量控制限制发送速度以适应接收能力；拥塞控制调节网络负载。TCP 不保留应用写入的消息边界，应用需要自行定义消息格式。

TCP 建立连接通常经过 SYN → SYN+ACK → ACK 三次握手，用于同步初始序列号并确认双向通信能力。两个传输方向分别关闭，因此常用“四次挥手”描述正常关闭；实际报文可以合并，也可能异常终止。

UDP 保留数据报边界，协议本身不提供连接建立、重传和有序交付。这些机制可由上层协议实现，例如 QUIC。具体性能取决于协议设计、网络条件和应用负载。

2.3　网络性能

带宽表示链路容量，吞吐量表示实际传输速率，时延表示传输耗时，抖动表示时延变化。传播、发送、处理和排队都会产生时延。提高带宽只能改善其中部分因素。

2.4　练习

3. 以太网交换

以太网使用 MAC 地址标识链路层接口。常见 MAC 地址长 48 位，如 02:00:00:00:00:11。二层交换机维护 MAC 地址表，记录 VLAN、MAC 地址与端口之间的对应关系。

3.1　地址学习与帧转发

交换机根据收到帧的源 MAC、入端口和所属 VLAN 学习表项，再根据目的 MAC 查表转发。已知单播从对应端口发送；未知单播在所属 VLAN 内泛洪；广播也限制在相应广播域。若出口与入端口相同，通常过滤该帧。

设 A、B 分别接在 GE1、GE2，交换机初始表项为空。A 向 B 发送时，交换机学习 A → GE1，并泛洪目的未知的帧。B 从 GE2 回复后，交换机学习 B → GE2，后续已知单播即可定向转发。动态表项会老化，也会随接口位置变化而更新。

MAC 表描述帧的转发出口；ARP 表记录 IPv4 与 MAC 的映射。三层交换机同时承担交换和路由，因此可以同时维护这两类表。

3.2　帧格式与链路工作方式

以太网帧包含目的 MAC、源 MAC、类型或长度字段、负载和 FCS。FCS 用于检错。常见未打标签帧为 64～1518 字节，包含 FCS，不包含前导码和帧间隙；802.1Q 标签增加 4 字节。更大的帧需检查设备支持情况。

现代交换式全双工以太网支持同时收发，不采用传统共享半双工链路的冲突处理方式。CSMA/CD 与无线网络常用的 CSMA/CA 分属不同介质访问机制。

3.3　练习

4. IPv4 地址与 ARP

IPv4 地址长 32 位，由网络前缀和主机部分组成。地址 192.168.1.1/28 的前缀长 28 位，主机部分长 4 位，对应掩码为 255.255.255.240。

4.1　子网划分

地址与掩码按位与运算可得网络地址。普通单接口主机判断目的是否在本地子网时，使用同一个本机接口掩码计算：

本机 IP AND 本机掩码 ＝ 目的 IP AND 本机掩码

相等表示按该掩码判断为本地子网。实际出口与下一跳仍由路由表决定，多接口或配置了更具体路由时尤其如此。

对常规 IPv4 广播子网，设前缀长为 p，主机位数为 n＝32−p，地址总数为 2ⁿ，扣除网络地址和广播地址后，可用数量为 2ⁿ−2。/31 点到点链路和 /32 主机路由应分别处理。

4.2　计算示例

192.168.1.1/28 的末字节块大小为 256−240＝16，所属区间为 0～15。网络地址为 192.168.1.0，广播地址为 192.168.1.15，常规可分配范围为 .1～.14，共 14 个地址。若 .1 已被占用，剩余 13 个；网关等其他占用也应扣除。

VLSM 根据不同规模的需求使用不同前缀长度。分配时通常先安排较大的地址块，再依次分配较小块，并检查边界和重叠。

4.3　ARP 与下一跳

ARP 在本链路内将 IPv4 地址解析为 MAC 地址。缓存无相应表项时，发送方通常广播 ARP Request，目标发送 ARP Reply。

访问远端网络时，主机解析所选下一跳的 MAC；通过默认路由发送时，该地址就是默认网关。原始 ARP 广播不会由路由器持续转发到远端服务器。

4.4　练习

5. VRP 基本操作

VRP 提供网络设备的配置与管理接口。命令的作用范围由当前视图决定。用户视图常显示为 <HUAWEI>，系统视图为 [HUAWEI]，接口视图则包含接口名称。

5.1　命令视图

5.2　配置三层接口

<HUAWEI> system-view
[HUAWEI] sysname R1
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0] ip address 10.0.12.1 255.255.255.252
[R1-GigabitEthernet0/0/0] undo shutdown
[R1-GigabitEthernet0/0/0] return
<R1> display ip interface brief
<R1> display ip routing-table

以上配置为路由器三层接口设置 /30 地址并启用接口。二层交换端口通常通过 VLANIF 提供三层接口；部分设备也支持切换端口工作模式。

5.3　状态检查与保存

常用检查命令包括 display interface、display arp、display mac-address、display vlan 和 display ospf peer，分别用于检查接口、邻居映射、二层表项、VLAN 和 OSPF 邻居。

常见 VRP 语法中，ping -a 指定源 IP，ping -i 指定相应出接口；具体参数以设备帮助为准。源地址会影响对端返回路径和安全策略。

验证配置后，可在用户视图使用 save 保存启动配置。部分平台还采用 commit 提交机制，需区分候选配置、运行配置和启动配置。

5.4　练习

6. VLAN 与 VLAN 间路由

VLAN 将一个物理交换网络划分为多个逻辑广播域。同一 VLAN 可以跨越多台交换机，不同 VLAN 的二层广播相互隔离。常规 VLAN ID 为 1～4094，802.1Q 标签中的 ID 字段长 12 位。

6.1　端口类型与标签处理

PVID 决定无标签入帧的 VLAN 归属，允许列表决定哪些 VLAN 可以通过。二者需分别配置。Trunk 两端 PVID 不一致时，无标签流量可能被归入不同 VLAN。

例如，两台交换机上的终端均属于 VLAN 10，中间 Trunk 放行 VLAN 10，且终端地址正确，即可完成同 VLAN 通信。若终端分属 VLAN 10 和 VLAN 20，则需要三层转发。

6.2　VLAN 间路由

三层交换机可使用 VLANIF，路由器可使用子接口实现 VLAN 间路由。设 VLAN 10 的网关为 192.168.10.1/24，VLAN 20 的网关为 192.168.20.1/24。终端将跨子网报文交给本 VLAN 网关，三层设备依据路由表转发。

在不同 VLAN 中配置相同 IP 子网，并不会自动建立互通。VLAN 隔离也不等于完整的访问控制：启用三层路由后，仍需按需求配置安全策略。

6.3　练习

7. 生成树协议

二层冗余拓扑可能形成转发环路。普通以太网帧没有逐跳递减的 TTL，广播和未知单播可能循环复制，导致广播风暴与 MAC 表震荡。生成树协议通过阻塞部分冗余端口，建立无环的逻辑拓扑。

7.1　STP 计算过程

STP 首先选举根桥，BID 较小者优先。BID 的比较涉及桥优先级与 MAC 等字段。非根桥选择到根桥的最佳根端口，各网段选出指定端口，其余冗余端口保持不转发状态。路径开销及相应 BID、PID 用于选择与平局处理。

三台交换机构成三角形时，生成树阻塞一条冗余边上的相应端口。链路仍然存在，当前逻辑转发拓扑则无环；拓扑变化后重新计算或切换路径。

7.2　状态与角色

Learning 状态学习 MAC，但不转发用户数据；Forwarding 状态正常学习并转发。RSTP 的 Root、Designated、Alternate 和 Backup 是端口角色，与上述状态属于不同维度。Discarding 仍可处理相关协议报文。

7.3　保护机制

边缘端口用于终端接入，可快速进入转发状态。BPDU 保护针对边缘端口收到 BPDU 等异常情况；根保护限制根桥位置变化；环路保护防止特定异常下错误进入转发状态。保护机制应与端口角色及组网条件对应。

7.4　练习

8. 链路聚合与设备冗余

链路聚合将多条物理链路组成一个逻辑接口。华为设备常称为 Eth-Trunk。聚合可提高多流总容量，并在成员链路故障时继续使用其他成员。

8.1　聚合与负载分担

手工聚合依赖人工保持两端配置一致；LACP 通过协议协商成员关系和活动链路。成员端口的速率、双工、VLAN 等属性需满足设备要求。

常见实现根据 MAC、IP、端口等字段计算哈希，将一个流量映射到某条成员链路，减少乱序。因此，两条 1 Gbit/s 链路的聚合可以提高多流总吞吐，但单条流通常仍受单成员速率限制。

8.2　堆叠与 M-LAG

堆叠或集群使多台物理设备形成一个逻辑系统，便于统一管理与跨设备聚合。iStack、CSS 等名称对应不同产品系列与实现。

M-LAG 允许接入设备向两台协作设备建立跨设备聚合，两台设备通常保留各自控制平面。对等链路、故障检测和双活处理是其可靠性设计的一部分。

服务器双网卡连接两台独立 Leaf 时，不能直接按单设备聚合配置；需要堆叠、M-LAG 或相应多归方案提供跨设备协调。

8.3　练习

9. IP 路由与网关冗余

路由用于不同 IP 网络之间的通信。路由表记录目的前缀、路由来源、优先级、代价、下一跳和出接口。控制平面选择路由，数据平面依据已安装的转发表转发。

9.1　路由来源与选优

直连路由来自有效的接口与地址配置；静态路由由管理员指定；动态路由由路由协议交换信息并计算。默认路由 0.0.0.0/0 在缺少更具体匹配时使用。

同一前缀存在多个候选路由时，华为设备通常优先选择较小的 preference。常见教学默认值为：直连 0、OSPF 内部 10、静态 60、RIP 100、OSPF 外部 150、BGP 255。数值可配置，实际规则以平台和路由类型为准。不同协议的 metric 不宜直接比较。

9.2　最长前缀匹配

转发查表时，优先使用有效条目中前缀最长的匹配。以目的 10.1.2.9 为例：

路由选优与转发查表作用于不同阶段。上例中的 /24 不会因 preference 大于 /8 就失去最长匹配优先权。

9.3　VRRP 与 BFD

VRRP 将多台网关组合为一个虚拟网关。终端以虚拟 IP 为默认网关，由活动设备转发，故障时由备份设备接替。传统资料使用 Master/Backup 描述角色。VRRP 提供网关冗余，防火墙会话备份仍需相应状态同步机制。

BFD 提供快速故障检测，可与路由、VRRP 等联动。检测之后仍需完成路径切换和转发表更新。浮动静态路由通过较差的 preference 提供备用路径，其生效还依赖主路径故障能够被检测。

9.4　练习

10. OSPF

OSPF 是链路状态内部网关协议。路由器交换链路状态信息，建立链路状态数据库（LSDB），并运行 SPF 算法计算路径。本章主要讨论 OSPFv2。

10.1　邻居、区域与数据库

Router ID 是 32 位标识，通常写为 IPv4 样式，需在相应域内保持唯一。Area 限定链路状态传播与计算范围；常规多区域设计围绕骨干 Area 0 组织。ABR 连接区域，ASBR 引入外部路由。

路由器通过 Hello 发现邻居，随后按网络类型和角色建立邻接、同步数据库。常见状态包括 Down、Init、2-Way、ExStart、Exchange、Loading 和 Full；Attempt 用于特定场景。

10.2　五类报文

LSA 是链路状态通告，LSU 是运载通告的报文。OSPFv2 直接封装在 IP 中，协议号为 89。常见组播地址为 224.0.0.5 与 224.0.0.6。

10.3　DR、BDR 与网络类型

Broadcast、NBMA 等多路访问网段选举 DR/BDR；P2P、P2MP 不选举。选举作用于相应网段，通常先比较接口 DR 优先级，再比较 Router ID。优先级 0 不参选，已有 DR 的选举通常不抢占。

广播网络中的 DROther 通常与 DR、BDR 建立 Full 邻接，DROther 之间保持 2-Way 可以是正常状态。以太网广播网络常见 Hello/Dead 为 10/40 秒，具体取决于配置与网络类型。

10.4　邻接与路由检查

邻接失败时，检查接口连通、Area、定时器、认证、网络类型和 Router ID；ExStart 或 Exchange 长期停留时还需检查 MTU。邻接 Full 后无目标路由，则继续检查接口宣告、LSDB、过滤策略与路由选优。

10.5　练习

11. 其他路由协议与路由策略

路由协议采用不同的信息交换与选路方式。RIP、OSPF 和 IS-IS 主要用于域内路由，BGP 同时强调路径信息与策略控制。

11.1　RIP、IS-IS 与 BGP

RIPv2 支持无类别前缀；水平分割、毒性逆转和触发更新用于缓解环路及收敛问题。IS-IS 与 OSPF 均运行 SPF，但报文封装、区域组织和扩展方式不同；IS-IS 自身邻接不以预先建立 IP 连通为通用前提。

BGP 区分 EBGP 和 IBGP。LOCAL_PREF 在适用范围内通常越大越优，AS_PATH 通常偏短，MED 在可比较条件下通常越小越优。完整选路顺序还受平台、配置和属性比较条件影响。

IBGP 学到的路由默认不再通告其他 IBGP 邻居，因此需要全互联、路由反射等机制；NEXT_HOP 可达性则影响路由是否有效。

11.2　路由策略与引入

路由策略控制路由的接收、发布与属性；流量过滤决定报文是否允许通过；策略路由按源地址等条件改变转发选择。三者的作用对象不同。

路由引入使一个协议接收其他来源的路由。双向引入可能产生回灌、环路和次优路径，通常结合前缀过滤、Tag 与策略控制。

11.3　练习

12. DHCP、DNS 与 NAT

DHCP 分配主机网络参数，DNS 解析名称，NAT 转换地址。这些服务经常共同部署，但分别处理地址配置、名字解析与出口转换。

12.1　DHCP 与 DNS

DHCPv4 首次获取地址常用 Discover、Offer、Request、ACK 四步，简称 DORA。服务器和客户端的常见 UDP 端口为 67、68。续租流程可以不同；跨广播域获取地址通常需要 DHCP Relay。

客户端应检查地址、掩码、网关、DNS 和租期。DHCP Snooping 可限制非可信端口上的伪造服务器报文，并建立相应绑定信息。

DNS 的 A 记录指向 IPv4，AAAA 指向 IPv6，CNAME 表示别名，MX 用于邮件服务。缓存受 TTL 控制。传统 DNS 使用 UDP 或 TCP 53，加密 DNS 使用相应安全传输方式。

12.2　地址转换与端口复用

基本 NAT 转换 IP 地址；NAPT 还利用端口复用公网地址。例如：

192.168.10.10:50000 → 203.0.113.2:30001
192.168.10.11:50000 → 203.0.113.2:30002

转换设备依据映射关系将回复交回原主机。ICMP 等非 TCP/UDP 协议使用相应会话标识，不能一概按传输端口处理。

SNAT 常用于内部用户访问外部网络；DNAT 或 NAT Server 常用于发布内部服务。Easy IP 使用出接口地址进行相应源转换。NAT、路由和安全策略分别配置，地址转换不会自动建立路由或放行规则。

书中的 192.0.2.0/24、198.51.100.0/24 和 203.0.113.0/24 为文档示例网段。

12.3　练习

13. IPv6

IPv6 地址长 128 位，写为八组十六进制数。每组可省略前导零，连续零组可用一次 :: 压缩。2001:db8::1 为文档示例地址。

13.1　地址类型与报文

IPv6 基本头长 40 字节，使用 Hop Limit 限制逐跳传播，不含 IPv4 式头部校验和。扩展功能通过扩展头表达。路由器不沿途分片，源端依据路径 MTU 等信息处理发送大小。

13.2　邻居发现与自动配置

NDP 基于 ICMPv6。NS/NA 用于邻居解析等操作，RS/RA 用于路由器发现等功能。IPv6 不使用 IPv4 ARP，也没有广播地址。

SLAAC 利用 RA 等信息形成地址；DHCPv6 可以提供地址和配置参数。默认路由器通常由 RA 发现。屏蔽全部 ICMPv6 会影响邻居发现或路径 MTU 发现等正常功能。

普通局域网常使用 /64，以支持常见 SLAAC 等机制；点到点链路等场景可以采用其他前缀。FE80::/10 描述链路本地地址类别，其经典格式还对后续零位和接口标识作出约定。

13.3　双栈与安全

双栈同时维护 IPv4 和 IPv6 的地址、邻居和路由。IPv6 地址充足并不消除访问控制需求，安全策略仍须覆盖 IPv6 流量。

13.4　练习

14. 广域网与标签转发

广域网连接不同地理位置的网络。运营商专线和互联网等提供承载，PPP、MPLS、隧道等机制分别处理接入、转发或逻辑连接。

14.1　PPP 与 PPPoE

PPP 用于点到点链路。LCP 协商链路参数，按需进行认证后，由相应 NCP 协商网络层参数。PAP 采用简单凭据交换，CHAP 采用挑战响应。认证机制本身不加密用户负载。

PPPoE 在以太网上承载 PPP。发现阶段经过 PADI、PADO、PADR、PADS，确定接入集中器和会话标识，然后进入 PPP 会话阶段。故障可分别出现在发现、认证或网络层参数协商阶段。

14.2　MPLS 与 L3VPN

MPLS 在入口压入标签，中间节点依据标签交换，出口弹出相应标签。标签通常具有本地意义。一个标签栈条目长 32 位，包含 20 位 Label、TC、栈底标志 S 和 TTL。

MPLS L3VPN 中，CE 为客户侧设备，PE 为运营商边缘设备，P 为骨干设备。VRF 分离客户路由表；RD 区分可能重叠的前缀；RT 控制路由导入和导出。这些机制提供逻辑隔离，不直接提供密码学加密。

14.3　Segment Routing

Segment Routing（SR）将路径要求表达为一系列 Segment，引导流量经过指定的功能或节点。SR-MPLS 与 SRv6 使用不同数据平面，分别适配相应转发体系。

14.4　练习

15. QoS 与组播

QoS 在资源受限时区分业务并分配转发资源。组播则面向一组接收者传送相同内容，减少公共路径上的重复发送。

15.1　分类、标记与拥塞处理

QoS 首先按地址、协议、端口或应用等条件分类，再使用 DSCP、以太网优先级等字段标记。边界设备根据策略决定是否信任或重写已有标记。

严格优先调度可降低高优先级业务时延，但配置不当会使其他队列长期得不到服务。加权调度用于平衡不同业务。QoS 不增加物理容量，端到端效果还取决于沿途设备的策略。

15.2　组播成员与转发树

IPv4 组播地址范围为 224.0.0.0/4，其中各子范围具有不同用途。IGMP 管理主机与本地组播路由器间的成员关系；IGMP Snooping 使交换机学习接收端口，减少泛洪；PIM 用于路由器间构建组播转发树。

RPF 根据到源或相应根节点的反向路径信息检查报文入接口，帮助防止组播转发环路。组成员管理与跨网路径构建分别由不同机制完成。

15.3　练习

16. 无线通信基础

无线局域网共享无线介质，其性能同时受到信号强度、噪声、干扰、终端能力和空口竞争影响。覆盖范围与并发容量需分别设计。

16.1　标准、频段与信道

频段、信道中心频率和信道宽度是不同参数。2.4 GHz 为频段，1、6、11 为常见信道编号，20 MHz 为一种信道宽度。DSSS 题目中常见约 22 MHz，OFDM 常按 20 MHz 描述，应结合题目所指标准判断。可用频段与信道受地区规则、硬件和版本限制。

更宽的信道占用更多频谱，可能提高单次传输容量，但高密场景还需权衡同信道竞争和频率复用。发射功率过高也可能加重干扰或形成上下行不对称。

16.2　功率、增益与信噪比

dBm 表示绝对功率，计算式为：

P(dBm) ＝ 10 log₁₀ P(mW)

0、10、20 dBm 分别对应 1、10、100 mW；增加约 3 dB 表示功率约翻倍。dB 表示比值，dBi 表示相对理想各向同性天线的增益。

定向天线改变能量的空间分布。半功率波瓣宽度通常取峰值下降 3 dB 的两个方向间夹角。RSSI 表示接收信号强度，SNR 同时考虑噪声；较高 RSSI 下仍可能因干扰、竞争或重传而出现低吞吐。

16.3　菲涅耳区

视距链路还需考虑传播路径周围的空间净空。第一菲涅耳区在某截面的半径近似为：

r ＝ √[λd₁d₂ / (d₁＋d₂)]

λ 为波长，d₁、d₂ 为截面到两端的距离，长度统一使用米。5 GHz 链路波长约 0.06 m，总距离 1 km，中点处 d₁＝d₂＝500 m，得到 r≈√15≈3.87 m。该半径描述传播路径周围的区域，与无线覆盖半径不同。

16.4　练习

17. WLAN 组网与 CAPWAP

STA 为无线终端，AP 提供无线接入，AC 集中管理 AP。Fat AP 可独立完成较多功能，Fit AP 通常由 AC 控制；云管理架构通过管理平台组织设备，业务流量路径由具体方案决定。

17.1　无线服务标识

SSID 是网络名称，BSSID 标识基本服务集，VAP 是 AP 上的逻辑无线服务。一个物理 AP 可提供多个 VAP。BSS 描述一个基本服务集，ESS 将多个相关 BSS 组成扩展服务集合。

17.2　AP 上线

典型 Fit AP 上线过程包括获取管理 IP、发现 AC、建立控制关系，以及必要的认证、版本检查和配置下发。版本一致时可以省略软件下载。

DHCP Option 43 是华为 AP 获取 AC 地址的一种方法，静态配置和同网段发现等也可用于相应场景。管理 VLAN 承载 AP 管理通信，业务 VLAN 承载用户业务，两者可以不同。

17.3　CAPWAP 与转发模式

5246、5247 是 AC 侧的知名端口，报文源端口需按实际实现判断。AP 与 AC 的管理连通不能替代用户业务连通检查。

WLAN 业务配置通常包括 SSID、安全策略、业务 VLAN、转发方式和 VAP 绑定，再应用到 AP 组或射频。验证时分别检查 AP 在线状态、用户关联、认证、地址获取和业务访问。

17.4　练习

18. 无线认证与漫游

无线终端接入涉及发现、关联、身份认证、地址配置与业务访问。身份校验和链路加密提供不同服务，应分别检查。

18.1　接入认证与加密

WEP 使用 RC4，已不适合现代安全部署。WPA、WPA2、WPA3 是安全机制套件；WPA2 常与 AES-CCMP 配合，WPA3 个人模式引入 SAE。具体套件需与设备及终端能力匹配。

PSK 使用共享密钥。802.1X 是端口访问控制框架，通常包括终端 Supplicant、接入设备 Authenticator 和认证服务器。EAP 承载具体认证方法，设备与认证服务器间常使用 RADIUS。

Portal 通过网页等方式完成访问认证。认证前需放行 DHCP、DNS、Portal 服务等必要通信。Portal 本身不等于空口加密；空口安全由相应 WLAN 配置决定。

LDAP 用于目录访问，DN 在目录层次中标识条目，常由 CN、OU、DC 等组成。资料中的控制器与认证平台名称需结合对应产品版本理解。

18.2　漫游

漫游是终端在不同 AP 间重新关联并维持业务的过程。终端参与 AP 选择，网络提供测量、引导和快速切换等支持。相同 SSID 之外，还需考虑安全上下文、IP 地址保持、转发位置和覆盖重叠。

802.11k、802.11v、802.11r 分别与无线测量、网络管理引导和快速 BSS 切换等相关。二层和三层漫游还涉及子网边界与业务锚点安排。

18.3　练习

19. 网络安全与密码学

网络安全的基本目标包括机密性、完整性和可用性。认证验证身份，授权决定访问权限，审计记录活动。不同机制针对不同属性，通常需要组合使用。

19.1　密码机制

TLS 常使用证书认证对端，通过协商建立会话密钥，再使用对称密码保护数据。证书验证包括信任链、有效期、名称和相应撤销状态。普通无密钥 Hash 不能单独认证发送者；数字签名也不自动隐藏消息内容。

19.2　密钥长度

DES 的有效密钥为 56 位，常见 64 位表示还包含 8 位奇偶校验。三独立密钥的 3DES 包含 168 位密钥材料，含校验位的表示为 192 位，通用安全强度约为 112 位。两密钥变体需另行区分。

密钥表示长度、实际材料长度和安全强度是不同概念。上述旧算法用于理解历史机制与题目，现代部署应采用适用的安全算法。

19.3　威胁与响应

ARP 欺骗影响本地邻居映射，DNS 欺骗影响名称解析，凭据攻击针对身份认证。DoS/DDoS 通过消耗带宽、连接状态或计算资源影响可用性，防护策略需与消耗的资源和攻击特征对应。

事件处理包括保留日志和时间线、控制影响、分析原因、恢复与复盘。涉及证据可采性、预警等级或法律条款时，应查阅考试采用的正式版本。

19.4　练习

20. 访问控制与防火墙

访问控制根据身份、地址、服务和会话等条件限制通信。ACL、AAA 与防火墙分别提供匹配规则、身份管理和相应流量控制能力。

20.1　ACL

ACL 由匹配条件与动作组成，可被包过滤、NAT、QoS 和路由策略等模块引用。permit、deny 的实际处理结果由调用模块决定。例如 NAT 引用 ACL 时，未匹配转换条件的报文不一定被丢弃。

华为教学中常见基本 ACL 为 2000～2999，主要匹配源 IPv4 地址；高级 ACL 为 3000～3999，可匹配协议、源/目的地址和端口等。通配符掩码中 0 表示需匹配，1 表示忽略，192.168.10.0 0.0.0.255 对应一个 /24 地址块。

规则的顺序影响结果，未命中的默认行为应结合调用功能判断。

20.2　AAA 与安全策略

AAA 分别指 Authentication、Authorization、Accounting。RADIUS 常用于集中接入认证，TACACS+ 等用于相应管理认证。认证通过后，访问权限仍由授权规则决定。

状态防火墙维护会话信息，并按安全策略处理流量。常见安全区包括 Trust、Untrust、DMZ 和 Local，Local 涉及设备自身。策略通常包含源/目的区域、地址、服务、用户或应用及动作。

区域名称不能代替具体放行规则。路由、NAT、策略与会话需共同满足；NAT 前后在哪一步匹配地址，应查阅该平台的报文处理流程。

20.3　入侵检测与防御

IDS 主要检测和告警，IPS 在相应部署下可阻断流量。签名检测与异常检测各有误报、漏报条件；加密流量的内容可见性还取决于解密策略与产品能力。

20.4　练习

21. VPN 与双机热备

VPN 在共享承载网络上建立逻辑连接。GRE 提供隧道封装，IPsec 提供 IP 层安全机制，通常称 SSL VPN 的远程接入方案使用相应 TLS 等安全通道。

21.1　IPsec 与安全关联

IPsec 根据策略或路由等条件确定保护流量，使用安全关联（SA）记录算法、密钥和相关参数。IKE 负责身份认证与密钥协商；ESP 按所选算法提供机密性、完整性、来源认证和抗重放等服务；AH 不提供机密性。

ESP、AH 和 GRE 的协议号与 TCP/UDP 端口是不同字段。GRE 本身不加密用户数据。

21.2　传输模式与隧道模式

传输模式保留原 IP 头并保护相应上层负载；隧道模式封装完整原始 IP 包，再增加外层 IP 头。启用非 NULL 加密时，ESP 隧道加密覆盖内层 IP 头、内层负载与 ESP Trailer，不覆盖外层 IP 头、ESP Header 和 ICV。加密范围与完整性保护范围应分别判断。

IPsec 排障依次检查端点连通、IKE 参数与身份、业务 SA、保护网段、加解密计数、回程、NAT 处理与 MTU。IKE SA 建立后仍需验证业务 SA 和实际流量。

21.3　状态备份与切换

VRRP 提供虚拟网关机制；华为相关热备方案中，VGMP 协调相应 VRRP 组的整体状态，HRP 备份相应配置和状态。整体切换与会话同步分别承担不同任务。

会话或 NAT 状态缺失可能使已有连接在切换后中断。业务恢复时间还受故障检测、路由收敛和应用重连影响。

21.4　练习

22. 数据中心网络

数据中心需要连接大量服务器和虚拟机，并提供多租户隔离与灵活迁移。服务器间流量称为东西向流量，进出数据中心的流量称为南北向流量。

22.1　Spine-Leaf 与底层承载

典型 Spine-Leaf 结构中，服务器连接 Leaf，各 Leaf 连接多个 Spine，通过三层等价多路径（ECMP）利用冗余路径。边界和服务节点可承担外部连接与相应业务功能。

Underlay 是提供 IP 可达性的承载网络，Overlay 是其上建立的逻辑网络。VTEP 间底层连通、路由和 MTU 是 VXLAN 业务运行的基础。

22.2　VXLAN 与 EVPN

VXLAN 将以太网帧封装在 UDP/IP 中，隧道端点称为 VTEP。24 位 VNI 标识相应虚拟网络，理论标识空间约为 1600 万，实际规模受设备能力限制。常用 UDP 目的端口为 4789，源端口可参与底层负载分担。

EVPN 可使用 MP-BGP 分发 MAC、IP 与相应可达性信息，作为 VXLAN 的控制平面；VXLAN 承担数据封装。EVPN 也可配合其他数据平面。

22.3　网关与隔离

同子网通信需定位目标 VTEP，跨子网通信还需三层网关。集中网关统一处理相应跨网段流量；分布式网关将功能部署在 Leaf 等边缘节点，可缩短部分转发路径。

接入口 VLAN、VNI、BD、VRF 和路由导入策略需要正确对应。Underlay 可达但映射或控制信息错误时，租户业务仍可能失败。PFC、ECN 等机制用于相应拥塞控制，其效果取决于端到端设计和设备配置。

22.4　练习

23. 网络管理与自动化

数据平面转发报文，控制平面生成路径与转发表等信息，管理平面完成配置、监控和运维。三者是功能划分，不必对应独立物理设备。

23.1　SDN 与 NFV

SDN 强调控制与转发解耦，并通过可编程方式管理网络。控制逻辑可以集中组织、分布实现，实际业务流量通常仍按设备转发表转发。

NFV 将相应网络功能软件化，运行在计算资源上。它与 SDN 可以配合，但分别侧重功能实现方式与网络控制方式。

23.2　管理协议与数据模型

SNMP Trap 的 162 是通知接收端的知名目的端口，源端口取决于实现或配置。SNMPv2c 使用 Community，SNMPv3 提供相应认证与隐私机制。

YANG 定义数据模型；NETCONF、RESTCONF 定义操作或访问方式；XML、JSON 是编码格式。SSH、HTTPS 等提供相应通信通道。

23.3　采集与配置自动化

Telemetry 在设备与数据源支持时可实现高频采集。采样周期、数据源更新周期、发送周期和采集器接收间隔应分别考虑，请求 100 ms 并不保证每次都获得全新数据。

配置自动化通常包括读取现状、生成差异、校验、应用和事后核对，并预先确定回滚条件。脚本正常退出后仍需验证设备状态与业务结果。

23.4　练习

24. 网络故障排除

故障定位以现象、影响范围和近期变化为起点，再按可验证的条件缩小范围。每次改变一个关键参数，记录修改前后的证据。

24.1　分层检查

24.2　典型现象

同 VLAN 通、网关不通时，优先检查 VLANIF、终端网关、Trunk 与 ARP。远端 IP 可达而域名访问失败时，检查 DNS，再检查依赖域名的 TLS 与应用配置。

AP 在线但终端无法取得地址时，检查用户业务 VLAN、VAP、认证与 DHCP。小包可通而大包或隧道业务异常时，检查 MTU、封装开销、分片及路径 MTU 发现。

OSPF 邻接 Full 而目标网络不通时，依次检查接口宣告、LSDB、路由选优、转发表、下一跳、回程和安全策略。

24.3　定位记录

记录应区分观察与假设。例如“只有 VLAN 20 获取地址失败”是观察，“Trunk 未放行 VLAN 20”是假设；查看端口配置或抓包后才能确定。修复后需重复原始测试，并检查相关业务。

24.4　练习

25. 基础实验

本章包含地址规划、二层交换、三层路由和源 NAT 实验。配置采用常见 VRP 语法，接口名称需与拓扑一致。示例未经实机验证，预期结果依据协议与配置推导。

25.1　VLSM 地址规划

将 192.168.50.0/24 分配为三个广播子网，分别至少容纳 100、50、20 个地址，需求已包含网关。写出各子网的网络地址、广播地址和可用范围。

25.2　VLAN 与 Trunk

连接 SW1 GE0/0/24 与 SW2 GE0/0/24。两台交换机均在 GE0/0/1 接入 VLAN 10 终端，在 GE0/0/2 接入 VLAN 20 终端。终端地址如下，暂不配置网关。

SW1 配置如下。SW2 使用相同端口和 VLAN 配置，设备名改为 SW2。

system-view
sysname SW1
vlan batch 10 20
interface GigabitEthernet 0/0/1
 port link-type access
 port default vlan 10
 quit
interface GigabitEthernet 0/0/2
 port link-type access
 port default vlan 20
 quit
interface GigabitEthernet 0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20
 quit
return
display vlan
display port vlan
display mac-address

预期同 VLAN 终端互通，不同子网暂不能互通。通信后检查 MAC 表；失败时核对端口状态、VLAN 归属、Trunk 放行和终端地址。

25.3　VLAN 间路由

在上一实验中，使用支持三层功能的 SW1 配置 VLANIF：

system-view
interface Vlanif 10
 ip address 192.168.10.1 255.255.255.0
 quit
interface Vlanif 20
 ip address 192.168.20.1 255.255.255.0
 quit
return
display ip interface brief
display ip routing-table
display arp

VLAN 10、20 终端的网关分别设为 192.168.10.1 和 192.168.20.1。确认 VLANIF 为 UP、直连路由存在，然后测试跨 VLAN 通信。

将一个终端的网关改错，分别测试同 VLAN 与跨 VLAN 通信，记录差异后恢复。

25.4　OSPF 单区域

建立独立拓扑：R1 GE0/0/0 连接 R2 GE0/0/0，R2 GE0/0/1 连接 R3 GE0/0/0。两条链路分别使用 10.0.12.0/30 与 10.0.23.0/30，R1、R3 各配置一个 Loopback。

25.4.1　R1

system-view
sysname R1
interface GigabitEthernet 0/0/0
 ip address 10.0.12.1 255.255.255.252
 undo shutdown
 quit
interface LoopBack 0
 ip address 10.1.1.1 255.255.255.255
 quit
ospf 1 router-id 1.1.1.1
 area 0
  network 10.0.12.0 0.0.0.3
  network 10.1.1.1 0.0.0.0
  quit
 quit
return
display ospf peer
display ip routing-table protocol ospf

25.4.2　R2

system-view
sysname R2
interface GigabitEthernet 0/0/0
 ip address 10.0.12.2 255.255.255.252
 undo shutdown
 quit
interface GigabitEthernet 0/0/1
 ip address 10.0.23.1 255.255.255.252
 undo shutdown
 quit
ospf 1 router-id 2.2.2.2
 area 0
  network 10.0.12.0 0.0.0.3
  network 10.0.23.0 0.0.0.3
  quit
 quit
return
display ospf peer
display ip routing-table protocol ospf

25.4.3　R3

system-view
sysname R3
interface GigabitEthernet 0/0/0
 ip address 10.0.23.2 255.255.255.252
 undo shutdown
 quit
interface LoopBack 0
 ip address 10.3.3.3 255.255.255.255
 quit
ospf 1 router-id 3.3.3.3
 area 0
  network 10.0.23.0 0.0.0.3
  network 10.3.3.3 0.0.0.0
  quit
 quit
return
display ospf peer
display ip routing-table protocol ospf

先测试相邻接口，再查看 OSPF 邻居。R1 应学到 10.3.3.3/32，R3 应学到 10.1.1.1/32。在 R1 执行 ping -a 10.1.1.1 10.3.3.3，验证两端 Loopback 的去回程。

network 命令匹配本机接口以启用 OSPF。暂时关闭 R2 的右侧接口，观察邻居与路由变化后恢复。该拓扑没有备用路径，断链期间两端应失去连通。

25.5　DHCP 与源 NAT

建立独立拓扑：PC 连接 R1 GE0/0/0；R1 GE0/0/1 连接 ISP GE0/0/0。ISP 是实验设备名称，不连接互联网，本实验不部署 DNS。

25.5.1　R1

system-view
sysname R1
dhcp enable
interface GigabitEthernet 0/0/0
 ip address 192.168.10.1 255.255.255.0
 undo shutdown
 dhcp select interface
 quit
acl number 2000
 rule 5 permit source 192.168.10.0 0.0.0.255
 quit
interface GigabitEthernet 0/0/1
 ip address 203.0.113.2 255.255.255.252
 undo shutdown
 nat outbound 2000
 quit
ip route-static 0.0.0.0 0.0.0.0 203.0.113.1
return
display ip interface brief
display ip routing-table
display nat session all

25.5.2　ISP

system-view
sysname ISP
interface GigabitEthernet 0/0/0
 ip address 203.0.113.1 255.255.255.252
 undo shutdown
 quit
interface LoopBack 0
 ip address 198.51.100.10 255.255.255.255
 quit
return
display ip routing-table

PC 使用 DHCP 获取地址，检查地址、掩码与网关，依次 ping 网关和 198.51.100.10，通信时查看 NAT 会话。接口地址池的网关、保留地址和排除范围按实际平台核对。

ISP 不配置内网回程路由。临时在 R1 外网接口撤销 nat outbound 2000，重新测试；未转换报文的回复缺少回程。随后恢复 NAT 并验证。会话可能较快过期，查看时需结合实时探测。

25.6　故障定位记录

在已成功的拓扑中修改一个参数，如 Trunk 允许列表、主机网关或 OSPF Area。记录故障前结果、改动、影响范围、候选原因、验证证据和恢复结果。WLAN 可分别画出 AP 管理与用户业务路径；DCN 可分别检查 Underlay 与 Overlay。

26. 综合练习

本章汇总跨章节问题。题目为独立编写，公开题库预览仅用于确定相关主题。

26.1　主题索引

26.2　练习

26.3　复习方法

复习应覆盖定义、工作过程与条件判断。错题记录保留原题条件、错误原因和对应原理；涉及默认值或旧产品时，补充设备与版本。题库答案与标准不一致时，先核对完整题干和适用范围。

参考资料

技术内容核对于 2026 年 10 月 31 日，文字与版式修订于 2026 年 11 月 1 日。本文为独立学习资料，未取得本届完整官方初赛大纲；配置示例未经真实华为设备或 eNSP 验证。题库仅查阅公开预览，不据此认证其“真题”身份。

题库与资料目录

1. 网络赛道往年试题文档预览。
2. 2024—2025 网络赛道题库预览。
3. 2024—2025 网络赛道题库预览（二）。
4. 希赛华为认证资料目录。

华为认证课程可用于基础学习，认证考纲与 ICT 竞赛考纲应分别核对。课程与竞赛资料可查阅华为人才在线，协议说明可查阅华为 IP 知识百科。

技术文献

1. 华为：VLAN 与端口处理规则
2. 华为：ARP 工作原理
3. 华为：IP 路由、优先级与最长匹配
4. 华为：STP 工作原理
5. RFC 2328：OSPFv2
6. 华为：OSPF 原理与网络类型
7. 华为：BGP 工作原理
8. RFC 9293：TCP
9. RFC 1918：私有 IPv4 地址
10. RFC 1122：主机路由与本地/远端判断
11. RFC 2131：DHCPv4
12. 华为：NAT 分类与处理
13. RFC 8200：IPv6
14. RFC 4861：IPv6 邻居发现
15. RFC 4291：IPv6 地址架构
16. 华为：VRRP
17. 华为：QoS
18. 华为：WLAN 基本元素与组网
19. RFC 5415：CAPWAP
20. 华为：AP/AC 连通性、Option 43 与转发模式
21. RFC 5218 附录 A.6：WEP 与 RC4
22. RFC 4772：DES 安全性与密钥
23. RFC 4253 §6.3：3DES 密钥材料与强度
24. RFC 4303：ESP 加密与完整性范围
25. 华为：IPsec、IKE、AH、ESP
26. 华为：GRE
27. 华为：VXLAN、VTEP、VNI 与网关
28. RFC 7432：BGP EVPN 基础
29. 华为：M-LAG
30. 华为：Telemetry 与 SNMP
31. RFC 3417 §3.2：SNMP UDP 端口
32. RFC 6241：NETCONF
33. RFC 8641：YANG-Push 订阅及容量限制
34. RFC 2516：PPPoE 发现与会话
35. 华为：Wi-Fi 标准与技术演进
36. Intel：不同 Wi-Fi 协议与频段
37. NIST IR 7761r1：无线链路与菲涅耳区
38. 华为云：双机热备及 VGMP 监控示例
39. 华为：终端认证故障检查
40. RFC 8040：RESTCONF
41. RFC 7348：VXLAN 封装

术语索引