一、ICMP 协议核心应用ping连通性测试、tracert路径追踪Type 字段Type 8请求echo requestType 0回复echo reply二、数据封装与解封装分层模型封装过程发送方从上到下表格层级数据单位做了什么应用层数据产生原始数据传输层数据段Segment加 TCP/UDP 头部端口号网络层数据包Packet加 IP 头部源目 IP数据链路层数据帧Frame加 MAC 头部 FCS 校验物理层比特流转成电信号发出去解封装过程接收方从下到上逐层剥离头部像剥洋葱一样最终还原出应用层数据。生活化比喻封装 发货打包网购玻璃杯杯子→泡沫盒→快递盒→贴快递单解封装 收件拆包一层层拆开最后取出杯子三、交换机二层设备工作层级第 2 层数据链路层转发数据帧转发依据MAC 地址表三种转发行为泛洪、转发、丢弃初始状态MAC 地址表为空先发数据才能学习到地址四、路由器三层设备工作层级第 3 层网络层转发数据包交换机 二层转发帧路由器 三层转发包五、路由选路三大原则优先级从高到低1️⃣ 最长前缀匹配掩码长度掩码越长越优先路由越精细、越具体先匹配例30 位掩码路由优先于 24 位掩码路由比喻找人越具体越好找2️⃣ 协议优先级不同协议之间比优先级数值越小越优例OSPF 优先级优于 RIP不是看跳数多少常见优先级直连 OSPF 静态 RIP3️⃣ 路由开销同协议之间比同一种协议学到的两条路由开销Cost越小越优先记忆顺序先看掩码 → 再看优先级 → 最后看开销六、防火墙基础核心定位路由器 / 交换机 转发负责把数据送到目的地防火墙 控制负责判断数据能不能过防御攻击防火墙通信必须满足两个条件路由通 安全策略放行防火墙技术演进表格类型检测层级核心机制状态包过滤防火墙到第 4 层传输层基于五元组过滤类似路由器 ACL最原始代理防火墙应用层代理转发开发部署难已淘汰状态检测防火墙到第 4 层增加连接状态跟踪主流过渡NGFW 下一代防火墙到第 7 层应用层内置DPI 深度包检测能识别应用内容当前主流五元组包过滤核心源 IP 地址目的 IP 地址源端口号目的端口号传输层协议TCP/UDP/ICMP华为防火墙安全区域Zone核心知识点 拓扑对应配置一、四大默认安全区域优先级越大越可信区域名称优先级用途trust85信任区域内网终端、办公 PC接入本图左侧 PC1、Client1 属于 trust 域untrust5非信任区域互联网、外网接入本图右侧 PC2、Server1 属于 untrust 域local100防火墙设备自身防火墙本机接口、管理地址默认属于 local优先级最高dmz50非军事区/隔离区放置对外发布的服务器官网、业务服务隔离内网与外网优先级逻辑优先级local(100) trust(85) dmz(50) untrust(5)防火墙默认高优先级区域→低优先级区域需要放行安全策略反向默认直接拒绝必须手动写安全策略放行。安全区域的核心逻辑:不同安全区域之间流量默认拦截必须配置安全策略放行;同区域互通不受策略限制。二、5 条硬性核心规则防火墙与接口的关系防火墙不能创建优先级完全相同的自定义安全区域一个接口只能加入 1 个安全区域不能重复加入多个 zone多个接口可以加入同一个安全区域接口未绑定任何安全区域时无法和已加入区域的接口互通同一安全区域内的多个接口互访不受安全策略控制默认直接通行。三、本拓扑接口划入区域对应关系1. 内网侧 FW1-GE1/0/0 → 划入 trust 区域# 进入trust安全区域 firewall zone trust # 将接口加入trust域 add interface GigabitEthernet 1/0/0 # 移除接口命令 undo add interface GigabitEthernet 1/0/0 # 查看所有安全区域配置 display zonedisplay zone是查看所有安全区域的命令。敲完会显示所有安全区域的名字trust /untrust/dmz /local 你自建的每个区域的安全级别优先级每个区域里加入了哪些接口内网网段192.168.1.0/24PC1192.168.1.1Client1192.168.1.100 FW 该接口 IP192.168.1.254作为内网网关。2. 外网侧 FW1-GE1/0/1 → 划入 untrust 区域firewall zone untrust add interface GigabitEthernet 1/0/1外网网段1.1.1.0/24PC21.1.1.2Server11.1.1.100 FW 该接口 IP1.1.1.254作为外网网关。四、区域间默认访问权限必考点trust → untrust默认阻断必须手动配置安全策略放行内网访问外网untrust → trust默认完全拒绝外网无法主动访问内网trust ↔ local、untrust ↔ local、dmz ↔ 其他域全部默认不通需策略放行同 zone 内设备互通比如 trust 里两个接口、untrust 里两个接口无需安全策略。五、常用基础查询命令display zone # 查看所有安全区域及绑定接口 display zone trust # 单独查看trust区域详情 display security-policy # 查看安全策略表六、补充易混点Local 区域不能手动添加接口防火墙本机所有 IP、管理流量天然属于 local自定义安全区域必须指定唯一优先级不能和 4 个默认域重复接口加入 zone 前建议先配置接口 IP否则无法正常转发路由流量。行业约定俗成习惯网段最后一个可用 IP.254固定用来当网关方便记忆区分网关x.x.x.254出口设备防火墙 / 路由器电脑终端从1、2、100这类靠前数字开始分配 比如你拓扑里 内网网关192.168.1.254电脑用192.168.1.1、192.168.1.100外网网关1.1.1.254外网设备用1.1.1.2、1.1.1.100