夜夜笙歌

一、H3C交换机的基本配置

我们先来了解下h3c的配置命令与功能，都是常用的，基本上大部分网络配置都少不了这些命令。

1、基本配置

<H3C>           //用户直行模式提示符,用户视图 

<H3C>system-view        //进入配置视图 
[H3C] sysname xxx     //设置主机名成为xxx这里使用修改特权用户密码

2、用户配置

<H3C>system-view

[H3C]super passwordH3C         //设置用户分级密码

[H3C]undo superpassword         //删除用户分级密码

[H3C]localuser bigheap 1234561         //Web网管用户设置,1为管理级用户

[H3C]undo localuser bigheap        //删除Web网管用户

[H3C]user-interface aux 0         //只支持0

[H3C-Aux]idle-timeout 250         //设置超时为2分50秒,若为0则表示不超时,默认为5分钟

[H3C-Aux]undoidle-timeout         //恢复默认值

[H3C]user-interface vty 0         //只支持0和1

[H3C-vty]idle-timeout 250         //设置超时为2分50秒,若为0则表示不超时,默认为5分钟

[H3C-vty]undoidle-timeout         //恢复默认值

[H3C-vty]set authentication password123456         //设置telnet密码,必须设置

[H3C-vty]undo set authenticationpassword      //取消密码

[H3C]displayusers         //显示用户

[H3C]displayuser-interface         //用户界面状态

3、vlan配置

[H3C]vlan 2                //创建VLAN2

[H3C]undo vlanall         //删除除缺省VLAN外的所有VLAN,缺省VLAN不能被删除

[H3C-vlan2]port Ethernet 0/4 to Ethernet0/7         //将4到7号端口加入到VLAN2中,此命令只能用来加access端口,不能用来增加trunk或者hybrid端口

[H3C-vlan2]port-isolate enable       //打开VLAN内端口隔离特性，不能二层转发,默认不启用该功能

[H3C-Ethernet0/4]port-isolate uplink-portvlan 2       //设置4为VLAN2的隔离上行端口，用于转发二层数据,只能配置一个上行端口,若为trunk,则建议允许所有VLAN通过,隔离不能与汇聚同时配置

[H3C]display vlan all         //显示所有VLAN的详细信息

[H3C]user-group 20         //创建user-group 20，默认只存在user-group 1

[H3C-UserGroup20]port Ethernet 0/4 toEthernet 0/7         //将4到7号端口加入到VLAN20中，初始时都属于user-group 1中

[H3C]display user-group 20         //显示user-group 20的相关信息

四、交换机ip配置

[H3C]vlan 20                //创建vlan

[H3C]management-vlan 20          //管理vlan

[H3C]interface vlan-interface 20         //进入并管理vlan20

[H3C]undo interface vlan-interface 20         //删除管理VLAN端口

[H3C-Vlan-interface20]ip address192.168.1.2 255.255.255.0      //配置管理VLAN接口静态IP地址

[H3C-Vlan-interface20]undo ipaddress         //删除IP地址

[H3C-Vlan-interface20]ip gateway 192.168.1.1         //指定缺省网关(默认无网关地址)

[H3C-Vlan-interface20]undo ip gateway

[H3C-Vlan-interface20]shutdown        //关闭接口

[H3C-Vlan-interface20]undo shutdown         //开启

[H3C]display ip         //显示管理VLAN接口IP的相关信息

[H3C]display interface vlan-interface20         //查看管理VLAN的接口信息

<H3C>debugging ip         //开启IP调试功能

<H3C>undo debugging ip

5、DHCP客户端配置

[H3C-Vlan-interface20]ip address dhcp-alloc        // 管理VLAN接口通过DHCP方式获取IP地址

[H3C-Vlan-interface20]undo ip address dhcp-alloc        // 取消

[H3C]display dhcp        //显示DHCP客户信息

<H3C>debugging dhcp-alloc         //开启DHCP调试功能

<H3C>undo debugging dhcp-alloc

6、端口配置

[H3C]interface Ethernet0/3             //进入端口

[H3C-Ethernet0/3]shutdown           //关闭端口

[H3C-Ethernet0/3]speed 100         //速率可为10,100,1000和auto(缺省)

[H3C-Ethernet0/3]duplexfull         //双工,可为half,full和auto，光口和汇聚后不能配置

[H3C-Ethernet0/3]flow-control        //开启流控，默认为关闭

[H3C-Ethernet0/3]broadcast-suppression 20         //设置抑制广播百分比为20%,可取5,10,20,100,缺省为100,同时组播和未知单播也受此影响

[H3C-Ethernet0/3]loopback internal         //内环测试

[H3C-Ethernet0/3]port link-type trunk         //设置链路的类型为trunk

[H3C-Ethernet0/3]port trunk pvid vlan 20         //设置20为该trunk的缺省VLAN，默认为1(trunk线路两端的PVID必须一致)

[H3C-Ethernet0/3]port access vlan 20         //将当前access端口加入指定的VLAN

[H3C-Ethernet0/3]port trunk permit vlanall         //允许所有的VLAN通过当前的trunk端口,可多次使用该命令

[H3C-Ethernet0/3]mdiauto         //设置以太端口为自动监测,normal为直通线,across为交叉线

[H3C]link-aggregation Ethernet 0/1 toEthernet 0/4         //将1-4口加入汇聚组,1为主端口,两端需要同时配置,设置了端口镜像以及端口隔离的端口无法汇聚

[H3C]undo link-aggregation Ethernet 0/1     //删除该汇聚组

[H3C]link-aggregation mode egress         //配置端口汇聚模式为根据目的MAC地址进行负荷分担,可选为  ingress,egress和both,缺省为both

[H3C]monitor-port Ethernet 0/2         //将该端口设置为镜像端口,必须先设置镜像端口,删除时必须先删除被镜像端口,而且它们不能同在一个端口,该端口不能在汇聚组中,设置新镜像端口时,新取代旧,被镜像不变

[H3C]mirroring-port Ethernet 0/3 toEthernet 0/4 both         //将端口3和4设置为被镜像端口,both为同时监控接收和发送的报文,inbound表示仅监控接收的报文,outbound表示仅监控发送的报文

[H3C]display mirror

[H3C]display interface Ethernet 0/3

<H3C>resetcounters         //清除所有端口的统计信息

[H3C]display link-aggregation Ethernet0/3         //显示端口汇聚信息

[H3C-Ethernet0/3]virtual-cable-test        //诊断该端口的电路状况

7、qos优先级配置

  QoS配置步骤：设置端口的优先级,设置交换机信任报文的优先级方式,队列调度,端口限速

[H3C-Ethernet0/3]priority 7         //设置端口优先级为7，默认为0

[H3C]priority-trustcos         //设置交换机信任报文的优先级方式为cos(802.1p优先级,缺省值),还可以设为dscp方式

[H3C]queue-scheduler hq-wrr 2 4 6 8         //设置队列调度算法为HQ-WRR(默认为WRR),权重为2,4,6,8

[H3C-Ethernet0/3]line-rate inbound 29      //将端口进口速率限制为2Mbps,取1-28时,速率为rate*8*1024/125,即64,128,192…1.792M；

29-127时,速率为(rate-27)*1024,即2M,3M,4M…100M。

[H3C]displayqueue-scheduler         //显示队列调度模式及参数

[H3C]displaypriority-trust         //显示优先级信任模式

二、H3C交换机常用配置命令

1、配置主机名
[H3C]systemname H3C

2、配置console口密码
#进入系统视图。
<H3C> system-view
#进入AUX用户界面视图。
[H3C] user-interface aux 0
#设置通过Console口登录交换机的用户进行Password认证。
[H3C-ui-aux0] authentication-mode password
#设置用户的认证口令为加密方式，口令为123456。
[H3C-ui-aux0] set authentication passwordcipher 123456
#设置从AUX用户界面登录后可以访问的命令级别为2级。
[H3C-ui-aux0] user privilege level 2

3、配置Telnet
#进入系统视图。
<H3C> system-view
#进入VTY0用户界面视图。
[H3C] user-interface vty 0
#设置通过VTY0口登录交换机的用户进行Password认证。
[H3C-ui-vty0] authentication-mode password
#设置用户的认证口令为密码方式，口令为123456。
[H3C-ui-vty0] set authentication passwordcipher 123456
#设置从VTY0用户界面登录后可以访问的命令级别为2级。
[H3C-ui-vty0] user privilege level 2
#设置VTY0用户界面支持Telnet协议。
[H3C-ui-vty0] protocol inbound telnet

4、配置交换机VLAN 1管理地址
<H3C> system-view
[H3C] interface vlan-interface 1
[H3C-VLAN-interface1] ip address192.168.0.129 255.255.255.0

5、配置交换机网关地址
[H3C]ip route-static 0.0.0.00.0.0.0 192.168.0.1

6、配置HTTP服务
[H3C] local-user admin     #创建http用户
[H3C-luser-admin] service-type telnet
[H3C-luser-admin] authorization-attributelevel 3
[H3C-luser-admin] password cipheradmin  #设置http用户密码,并加密显示

7、配置SNMP
[H3C]snmp-agent
[H3C]snmp-agent community read123456  #设置snmp团体名称，权限为只读
[H3C]snmp-agent sys-info version v1 v2c   #设置snmp版本v1和v2

8、Qos端口限速
[H3C] interface gigabitethernet 1/0/1
#配置限速参数，端口进/出速率限制为5120kbps。
[H3C-GigabitEthernet1/0/1] qos lr inboundcir 5120
[H3C-GigabitEthernet1/0/1] qos lr outboundcir 5120

9、创建VLAN
[H3C] vlan 100

10、删除VLAN
[H3C] undo vlan 100

11、将端口加入vlan 100
[H3C] interface GigabitEthernet 1/0/24
[H3C] port access vlan 100

12、查看VLAN
[H3C]display vlan all

12、查看端口状态
[H3C]display interface GigabitEthernet1/0/24

14、启用端口
[H3C]interface GigabitEthernet 1/0/24
[H3C]undo shutdown

15、关闭端口
[H3C]interface GigabitEthernet 1/0/24
[H3C]shutdown

16、查看MAC地址列表
[H3C]display mac-address

17、查看arp信息
[H3C]display arp

18、查看current配置
[H3C]display current-configuration

19、查看saved配置
[H3C]display saved-configuration
注:current配置是保存在交换机内存里面，当交换机重启时，不会生效
要交换机重启时生效，必须保存在saved-configureation配置里

20、保存交换机配置
[H3C]save

当然如果你对H3C的交换机配置仍然有诸多不了解，这里面弱电行业网分享一份关于《H3C交换机最详细配置实例手册》，有需要的朋友可以去下载下。

三、H3C交换机vlan配置案例

 为了避免广播报文泛滥和通信的安全性，某公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100，部门B使用VLAN 200。

部门A的终端用户使用192.168.1.0/24 IP网段，各终端用户配置的网关地址为192.168.1.1；

部门B的终端用户使用192.168.2.0/24 IP网段，各终端用户配置的网关地址为192.168.2.1；

现要求通过配置基于端口的VLAN和VLAN接口实现下面应用需求：

1 同一VLAN内的主机能够二层互通，不同VLAN内的主机不能二层互通，能够三层互通。

2、通过配置使Device A作为部门A中用户的网关，Device B作为部门B中用户的网关。

组网拓扑图如下:

 配置步骤

1、配置Device A

# 创建VLAN 100，并将GigabitEthernet 1/0/1加入VLAN 100。

<DeviceA> system-view

[DeviceA] vlan 100

[DeviceA-vlan100] port gigabitethernet 1/0/1

[DeviceA-vlan100] quit

# 创建Vlan-interface 100，并配置其IP地址为192.168.1.1/24。

[DeviceA] interface Vlan-interface 100

[DeviceA-Vlan-interface100] ip address 192.168.1.1 24

[DeviceA-Vlan-interface100] quit

# 创建VLAN 200，并将GigabitEthernet 1/0/2加入VLAN 200。

[DeviceA] vlan 200

[DeviceA-vlan200] port gigabitethernet 1/0/2

[DeviceA-vlan200] quit

# 创建Vlan-interface 200，并配置其IP地址为192.168.2.2/24。

[DeviceA] interface Vlan-interface 200

[DeviceA-Vlan-interface200] ip address 192.168.2.2 24

[DeviceA-Vlan-interface200] quit

# 为了使Device A上VLAN 100和VLAN 200的报文能发送给Device B，将GigabitEthernet 1/0/3的链路类型配置为Trunk，并允许VLAN 100和VLAN 200的报文通过，取消允许VLAN 1通过。

[DeviceA] interface gigabitethernet 1/0/3

[DeviceA-GigabitEthernet1/0/3] port link-type trunk

[DeviceA-GigabitEthernet1/0/3] port trunk permit vlan 100 200

[DeviceA-GigabitEthernet1/0/3] undo port trunk permit vlan 1

[DeviceA-GigabitEthernet1/0/3] quit

2、配置Device B

# 创建VLAN 100，并将GigabitEthernet 1/0/1加入VLAN 100。

<DeviceB> system-view

[DeviceB] vlan 100

[DeviceB-vlan100] port gigabitethernet 1/0/1

[DeviceB-vlan100] quit

# 创建Vlan-interface 100，并配置其IP地址为192.168.1.2/24。

[DeviceB] interface Vlan-interface 100

[DeviceB-Vlan-interface100] ip address 192.168.1.2 24

[DeviceB-Vlan-interface100] quit

# 创建VLAN 200，并将GigabitEthernet 1/0/2加入VLAN 200。

[DeviceB] vlan 200

[DeviceB-vlan200] port gigabitethernet 1/0/2

[DeviceB-vlan200] quit

# 创建Vlan-interface 200，并配置其IP地址为192.168.2.1/24。

[DeviceB] interface Vlan-interface 200

[DeviceB-Vlan-interface200] ip address 192.168.2.1 24

[DeviceB-Vlan-interface200] quit

# 为了使Device A上VLAN 100和VLAN 200的报文能发送给Device B，将GigabitEthernet 1/0/3的链路类型配置为Trunk，并允许VLAN 100和VLAN 200的报文通过，取消允许VLAN 1通过。

[DeviceB] interface gigabitethernet 1/0/3

[DeviceB-GigabitEthernet1/0/3] port link-type trunk

[DeviceB-GigabitEthernet1/0/3] port trunk permit vlan 100 200

[DeviceB-GigabitEthernet1/0/3] undo port trunk permit vlan 1

[DeviceB-GigabitEthernet1/0/3] quit

 

这里面弱电君补充下：

对于一些名字，大家可以了解下它的意义。

1、静态IP：ISP提供给您固定的IP地址、子网掩码、默认网关、DNS。

2、动态IP：电脑的TCP/IP属性设置为“自动获取IP地址”，每次启动电脑即可。

3、WEB认证：每次上网之前，打开IE浏览器，会自动跳到ISP指定的主页，填入ISP提供的用户名密码，通过认证以后才可以进行其他得上网操作。

4、DHCP功能：开启后，可以自动分配IP，主要是用来给网络客户机分配动态的IP地址，不需要手动设置ip，一般路由器和三层交换机有DHCP功能，二层交换机不能提供DHCP服务，但可以提供dhcp代理/中继功能。

DISM：是Deployment Imaging and Management（部署映像服务和管理）的缩写。常使用的命令如下（均以管理员方式运行cmd）： 

1、查看映像版本/当前版本：Dism /online /Get-CurrentEdition

2、查看当前系统是否可升级，以及可升级版本：Dism /online /Get-TargetEditions

检查映像是否可修复。扫描全部系统文件，并扫描计算机中系统映像文件与官方系统文件不一致的情况：

Dism /Online /Cleanup-Image /ScanHealth查看映像文件损坏的程度。如果映像文件损坏且不可修复时，则必须放弃该映像文件，并重新安装系统映像文件；

如果映像文件可以修复，则使用“/RestoreHealth“参数来修复系统映像文件：Dism /Online /Cleanup-Image /CheckHealth修复系统映像文件：DISM /Online /Cleanup-image /RestoreHealth

1、首先，重启电脑是必须的；
2、对C盘做磁盘清理，并删除Temp文件夹里的临时文件；
3、以管理员模式运行cmd，输入sfc /scannow回车等待100%，看一下是否有损坏的系统文件；
4、以管理员模式运行cmd，输入DISM.exe /Online /Cleanup-image /Scanhealth ，扫描系统文件并和官方系统文件对比；
5、接着上一步，插入系统盘，cmd下运行DISM.exe /Online /Cleanup-image /Restorehealth ，把不同的系统文件还原成系统官方源文件（注意这步可能会提示找不到文件来源而失败，不管它）；
6、运行Win8.1的高级启动，重启到“带网络提示符的安全模式”下，管理员模式运行cmd，再输入DISM /Online /Cleanup-Image /StartComponentCleanup /ResetBase ，这下应该就成功了。

一、如何显示局域网内ip地址与mac地址

arp -a ，当你需要显示当前ip地址对应的mac地址时使用

在命令提示符中输入“arp -a”并回车；自动在缓存中，读取局域网IP地址和mac地址的对应关系表：

局域网内的ip地址与mac地址就直接显示出来。

二、显示局域网内能ping通的ip地址

有的时候，我们不止要显示局域网ip地址，且需要以文档的形式保存出来，而此时，就可以使用这个命令：

for /l %i in (1,1,255) do ping 10.168.1.%i -w 1 -n 1 | find “回复” >> .\Desktop\ping.log

其中10.168.1.x：是你局域网地址的ip段。你修改成自己的就行了。

\Desktop\ping.log：是你保存文档的地址，这里是直接保存到桌面了。

输入命令，然后逐个进行ping。

将能ping通的保存到桌面的ping.log文件中。

显示已ping的ip地址。

第二个命令，直接复制命令，然后修改ip地址就行了。

这两种方法在不同的需求中都有相关用途，当然也有朋友直接使用相关软件也可以查到。

最近做的多媒体功能插座，含有VGA、HDMI、网口、音频输入等接口，由于穿线时没有穿成品线缆，VGA和HDMI接头需要焊接，那么怎么焊接呢？

VGA接口15根针，其对应接口定义如下，其下图：

1	2	3	4	5	6	7	8	9	10
红基色	绿基色	蓝基色	地址码	自测试	红地	绿地	蓝地	保留	数字地
11	12	13	14	15
地址码	地址码	行同步	场同步	地址码

一般在VGA接头上，会1，5，6，10，11，15等标明每个接口编号。如果没有，如上图所示编号如下图：

注意，公母头焊接时，须注意将方向平行反过来焊接。

普通VGA线焊接方法如下（D15焊接法）：

红线的芯线	脚1
红线的屏蔽线	脚6
绿线的芯线	脚2
绿线的屏蔽线	脚7
蓝线的芯线	脚3
蓝线的屏蔽线	脚8
黑线	脚10
棕线	脚11
黄线	脚13
白线	脚14
外层屏蔽	D15端壳

如果上表中存在没有标出的接口和线，一律留空，仅焊接以上标出接口和线色。还有一种非常适用的焊接方法：最简原则是保留基本引脚，保证能传输红绿蓝三基色信号和行场同步信号，就是6、7、8脚焊接在一起做公共地，红、绿、蓝的屏蔽线绞在一起接到公共地上； 1 、 2 、 3 脚接红、绿、蓝的芯线；13 接黄线；14 接白线；外层屏蔽接到 D15 端壳。

2、VGA 常见线规

VGA 线分“3+2，3+4，3+6，3+8”等多种规格，“3”表示三根同轴线（粗）：红色、绿色、蓝色，“6”指六根绝缘导线（细）：棕色、橙色、黑色、白色、黄色、灰色（或红色、绿色、黑色、白色、黄色、灰色）等。

“3+2 接法”纯平显示器适用，不适用大屏液晶、电视和投影；

“3+4 接法”多数液晶适用，但不适合定位屏幕数据的类型液晶等显示设备，不适用投影；

“3+6 接法”适用绝大多数显示设备，适用投影。

注意:

要把 5 和 10 针脚用短接线连在一起和 VGA 线屏蔽网同时焊在 VGA 金属头上。

注：没有标明的针脚不用焊线。

E、5 芯 3+2VGA 线简易焊接方法（用于老型号机器上）：

就是在D15 两端的 5-10 脚焊接在一起做公共地，红、绿、蓝的屏蔽线绞在一起接到公共地上；1 、 2 、 3 脚分别接红、绿、蓝的粗芯线；13 脚 接黄线；14 脚接白线；外层屏蔽压接到 D15 端壳。

相信大家遇到过这种问题，有时候一台显示器要挂在墙上，但是VGA线没那么长，又不想去买，VGA线不够长时可用网线代替吗？

这里给大家详细介绍下，用网线做VGA的步骤。

15针VGA各针脚的定义：

按照VGA接头（15HD）的标准，共各引脚的定义如下：（PIN表示“脚”的意思）

1PIN ——Red——模拟信号的“红”

2PIN ——Green——模拟信号的“绿”

3PIN ——Blue——模拟信号的“蓝”

4PIN ——ID Bit

5PIN ——N/C

6PIN ——R.GND——模拟信号的“红”的接地端

7PIN ——G.GND——模拟信号的“绿”的接地端

8PIN ——B.GND ——模拟信号的“蓝”的接地端

9PIN ——No.Pin 、（备用）

10PIN——GND ——数子信号的的接地端

11PIN——ID Bit——屏幕与主机之间的控制或地址码

12PIN——ID Bit ——屏幕与主机之间的控制或地址码（用于一个主机多个显示屏）

13PIN——H Sync—— 数字的水平行场信号

14PIN——V Sync ——数字的垂直行场信号

15PIN——N/C——接地端

首先要剥开网线外皮，整理好8条线芯，给8条线芯剥开一厘米的绝缘批皮。接下来就是焊接了，对照下面的连接图将网线和VGA头焊接好。

焊接图示（用网线中的8芯焊接）：

VLAN（虚拟局域网）技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个 VLAN 都包含一组有着相同需求的计算机工作站，与物理上形成的 LAN有着相同的属性。

由于它是从逻辑上划分，而不是从物理上划分，所以同一个 VLAN 内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理 LAN网段。

由 VLAN的特点可知，一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN 中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。

Vlan 的划分方式及其优缺点：

1. 基于端口划分：

这种方法明确指定各端口属于哪个VLAN。

优点：操作简单。

缺点：主机较多时，重复工作量大；主机端口变动的时候，需要同时改变该端口所属的VLAN。

2. 基于 MAC地址的划分：

根据主机网卡的 MAC地址进行划分（每个网卡都有世界上唯一的 MAC地址）。通过检查并记录端口所连接的网卡的 MAC地址来决定端口所属的 VALN。

优点：当用户主机物理地址改变的时候，不需要重新配置VLAN。

缺点：初始化的时候需要对所有用户进行配置，当主机数很大时工作量较大；由于交换机每个端口可能需要保存多个主机的 MAC地址，从而降低了交换机的执行效率。

3. 基于网络协议的划分：

基于所用的网络层协议划分 VLAN，可以划分为 IP/IPX/DECnet/AppleTalk/Banyan等 VLAN网络。这种按照网络层协议划分的方式可以使广播域跨越多个交换机，对希望针对应用和服务来组织用户的网络管理员具有很大的吸引力。

优点：用户主机物理位置改变后，不需要重新配置所属的 VLAN 网络；适用于需要针对不同应用和服务来组织用户的场景。

缺点：检查每一个数据包的网络层地址需要消耗处理时间，效率较低。

4. 基于 IP地址划分：

将任何属于同一IP广播组的主机认为属于同一 VLAN。

优点：良好的灵活性和可扩展性，可以方便的通过路由器扩展网络。

缺点：不适合局域网，效率不高。

5. 基于策略的划分：

一种根据不同的情况，将多种（上面提到的）划分 VLAN 的技术按照一定的安全策略进行综合运用的划分技术。

优点：这种方式具有自动配置的能力，自动化程度高；可以非常方便的扩展网络规模。

缺点：对设备要求较高

1、什么是防火墙？

我们知道，原是指古代人们房屋之间修建的那道墙，这道墙可以防止火灾发生的时候蔓延到别的房屋。

而这里所说的防火墙当然不是指物理上的防火墙，而是指隔离在本地网络与外界网络之间的一道防御系统，其实原理是一样的，也就是防止灾难扩散。

应该说，在互联网上防火墙是一种非常有效的网络安全模型，通过它可以隔离风险区域(即Internet或有一定风险的网络)与安全区域(局域网)的连接，同时不会妨碍人们对风险区域的访问。所以它一般连接在核心交换机与外网之间。

如下图，它的连接就可以看出，它基本上在内部网络与外网之间，起到一个把关的作用。

2、防火墙的工作原理？

防火墙可以监控进出网络的通信量，从而完成看似不可能的任务，仅让安全、核准了的信息进入，同时又抵制对企业构成威胁的数据，说白了，它就像一个守城队，这个城处于紧张状态，只能让外界的良民进城，对城里的坏人进行盘点，不放走一个坏人。

随着安全性问题上的失误和缺陷越来越普遍，对网络的入侵不仅来自高超的攻击手段，也有可能来自配置上的低级错误或不合适的口令选择。

入城盘点：入侵者想要进入一座城，它有多种方式，打扮成各种方式入城，例如，假口令、假令牌，伪装等。所以守城队是防上这种可疑的人员入城的，另外对于城内百姓，也是禁止百姓靠近城内的主要防御设施。

出城监视：同时为了更好保护城内百姓，守城队当然还需要打探城外的动向，了解到那些地方安全，那些地方有危险，然后规定普通百姓想要出城，有一些地方能去，有些地方有危险不能去。

因此，防火墙的作用是防止不希望的、未授权的通信进出被保护的网络，迫使单位强化自己的网络安全政策。一般的防火墙都可以达到以下目的：

• 一是：可以限制他人进入内部网络，过滤掉不安全服务和非法用户；
• 二是：防止入侵者接近你的防御设施；
• 三是：限定用户访问特殊站点。
• 四是：为监视Internet安全提供方便。

三、防火墙的架构与工作方式？

　　防火墙可以使用户的网络划规划更加清晰明了，全面防止跨越权限的数据访问，如果没有防火墙的话，你可能会接到许许多多类似的报告，比如单位内部的财政报告刚刚被数万个Email邮件炸烂。

一套完整的防火墙系统通常是由屏蔽路由器和代理服务器组成。

1、屏蔽路由器：

是一个多端口的IP路由器，它通过对每一个到来的IP包依据组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息，例如协议号、收发报文的IP地址和端口号、连接标志以至另外一些IP选项，对IP包进行过滤。

这里面举个例子：

一堆人来到一个快要开盘楼盘售楼部买房，售楼小姐先需要对你们进行大概的登记和了解，你是否有正规工作，是否是本市户口，是否能正常贷款，首付多少…当进行这一系列的问题后，售楼小姐会对来买房的人员进行一个过滤。

2、代理服务器：

是防火墙中的一个服务器进程，它能够代替网络用户完成特定的TCP/TP功能。一个代理服务器本质上是一个应用层的网关，网关我们前天讲到过，它就是一个关口。

一个为特定网络应用而连接两个网络的网关。用户就一项TCP/TP应用，比如Telnet或者FTP，同代理服务器打交道，代理服务器要求用户提供其要访问的远程主机名。

当用户答复并提供了正确的用户身份及认证信息后，代理服务器连通远程主机，为两个通信点充当中继。整个过程可以对用户完全透明。用户提供的用户身份及认证信息可用于用户级的认证。

还来讲买房：

当你已经符合买房的条件了，你要买到房，关键的环节就是贷款，这时售楼顾问就是网关，你提供完整的贷款资料（工资证明，收入明细等）给售楼顾问，售楼顾问会审核下，各条件都符合了，没有问题的话，他就提交给银行，贷款批下来了，房子就可以顺利的买到了。

四、防火墙的功能？

局域网内部，不连接互联网外网的一般是不需要防火墙，监控单独一个网络的时候才需要，一般都接在局域网内，通过路由器处的防火墙，而大型网络连接外网的，是需要防火墙的。

一、为什么使用防火墙 

　　防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

二、防火墙的五大基础的作用：

• 1.过滤进出网络的数据
• 2.管理进出访问网络的行为
• 3.封堵某些禁止业务
• 4.记录通过防火墙信息内容和活动
• 5.对网络攻击检测和告警

监控出现网络比较卡、监控有几路画面不显示、网络时正常，时不正常等问题的解决方法，其中这些故障在很多情况下是跟网络丢包有关，今天我们来看下，网络丢包怎么办，常见故障分析及处理方式。

当网络有问题，首先我们会进行ping命令，所谓网络丢包是我们在使用ping命令（检测某个系统能否正常运行）对目的站进行询问时，数据包由于各种原因在信道中丢失的现象。

测试是否丢包，可以使用命令：ping -t 192.168.16.1或者ping 192.168.16.1

网络丢包是网络中常见的故障之一，它会引起网速降低甚至造成网络中断。发生网络故障在所难免，但是如何快速隔离和排除故障是网络管理人员应该具备的基本素质。

一、网络数据包发送时通时断

故障现象：

通常故障发生时，该方向网络出现震荡性中断。使用Ping命令测试，发现在一段时间内数据包发送延时比正常值略高，间隔一小段时间数据包又全部丢失，丢包率超过50%，丢包曲线成规则状，网络服务基本不可用。

故障分析：

在局域网中引起网络发生振荡性时断时通，一般可能是由于互连的交换机中的某两个交换机间出现了环路，或者某个交换机的两个端口直接相连。

这样就会造成局域网的生成树协议构建失败，不断重复检查并试图构建新的生成树网络，从而导致网络振荡性通断，同时伴随着交换机间不断重复地发送广播包，就会形成“广播风暴”，使交换机负担过重，网络传输通道严重被堵塞，无法正常的处理通信数据。

环路虽然可能出现在某个接入交换机上，但会影响整个以三层交换机为核心的局域网的稳定运行。

故障处理：

当发现网络数据包发送时通时断，丢包严重，特别是整个单位或整个楼层出现振荡性中断现象时，则可以判定应该是该单位的某个交换机上出现了环路所致。

作为网络管理人员应首先查看各接入交换机的指示灯闪烁状态，通常出现环路状况会指示灯会急速闪烁，次数每秒4次以上，相连的交换机更为突出。

逐个拨出交换机级联接入网线，同时实时监控交换机状态，在拨下某端口网线后，交换机指示灯恢复正常状态，再进一步查找，会发现该连接线的末端有线路形成环路，清理该网线后，网络恢复畅通。

二、数据发送超时现象严重

故障现象：

ping的时候返回时间比较长，网络突然出现严重堵塞，打开网页速度缓慢，有时会因超时而中断。未发现网络设备有任何问题，该网络中有几台计算机速度明显变慢或者掉线，在禁用网卡或者中断网络后恢复正常。

故障分析：

首先，在一台用户终端上ping网关测试，结果可以ping通网关，但是数据包发送超时现象严重，丢包率30%左右，丢包不规律。

其次，登陆用户交换机，运行arp -a命令，发现网关IP和网关MAC地址指向正确。

通过上面的测试基本排除网络设置错误以及ARP欺骗，先看带宽，如果带宽充足，仍然有丢包的情况，这个问题可能是路由器/交换机/防火墙无法处理大流量，你已经达到了你硬件所能提供的最大的流量了。

故障处理：

这个一般是设备性能在该项目中没有选用正确，达到了上限了，主要是路由器、交换机在当下的网络中选用不合适，或者网线距离过长等问题，升级相应的设备，或减少项目中的接入量可以找到原因。

 

三、数据包发送有严重延时

故障现象：

在一个大的网络中，大部分使用正常，只有一部分网络存在延时，使用Ping命令发现到某个方向网络时延特别大，甚至有少量丢包现象。

故障分析：

一般远程登陆到该方向的交换机，以华为系列交换机为例，输入下列命令：

#Display cpu-usage 查看交换机CPU利用率

#Display memory 查看内存利用率

如果发现两者都非常高，再通过输入命令 #Display interface端口号，可以不断的检查各端口下的数据流。（ctrl+c终止）。

若发现其中的两个端口数据流量特别大，远高于正常使用的网络流量。对其数据流进行抓包分析，为避免影响整个网络的畅通，对所接入交换机进行处理。

故障处理：

进入该端口配置界面下，输入Shutdown命令，强制关闭该端口使其断网，联系该终端使用人员，令其终止下载进程后，再恢复其网络。

一、各颜色硬盘的区别

绿盘：侧重于节能，性能相对一般，但适用于长期保存文件。噪音低，适合家用，作为下载盘，优点是发热量更低、更安静、更环保。转速会在5400-7200间自动调整。优势是安静、价格低；缺点是性能差，延迟高。

 

黑盘：侧重于高性能，性能佳，适用于电脑服务器以及对性能特殊要求的行业,大缓存，速度快。主要适用于企业，吞吐量大的服务器，高性能计算应用，诸如多媒体视频和相片编辑，高性能游戏机。

蓝盘：是介于绿盘和黑盘之间，通常用的就是蓝盘，性能适中。

紫盘：是为监控硬盘录像设备专门设计的，适合365天×24小时不间断的运行。

红盘：则是为NAS专用数据网络存储设计的。

选择一款性价比高的硬盘就会省去很大的后期维护成本，那么专用监控硬盘和普通硬盘区别体现在哪些方面呢？包括硬盘的工作时间、电源管理、散热环境、寻道时间等方面。

二、监控存储的紫盘与普通硬盘有何不同

我们今天就来看看专业监控存储的紫盘究竟与普通硬盘有什么不同之处？

1、硬盘工作时间：

监控往往需要硬盘持续不断连续运转，在这一点上，普通硬盘和监控硬盘差别很大。普通硬盘设计为5*8小时的连续工作时间，也就是说5个工作日，每个工作日硬盘工作8小时。从这个数据来看，普通硬盘并不适合长时间连续读写，如果长时间不间断读写的话，势必会不堪重负出现问题；

而监控级硬盘可以实现7*24全年无休的持续工作。紫盘支持相当于普通硬盘3倍的工作负载评级，可以更好地满足视频监控系统的超高需求。因此在稳定性和可靠性方面，监控硬盘无疑胜出一筹。

2、硬盘电源管理：

监控往往需要同时安装多个硬盘，如果没有良好的电源管理，功耗和安全性都会存在隐患。普通硬盘启动的瞬间电流会达到2.5安，甚至更高。而监控硬盘启动时的电流会控制在2安，可以使用低功率电源，避免瞬间电流过高而被烧毁。此外，监控硬盘还有电源优化功能，可在硬盘闲置时自己转换到低功耗模式，节省电源。

3、硬盘散热环境：

监控对硬盘数量需求不同，但往往都有几块甚至很多块硬盘，在这背景下，对散热环境就有更高要求。普通硬盘的功耗在14.5W左右，如果是一个主机里装一块硬盘基本没什么问题，但对于监控这样需要多块硬盘的极端环境来说，这个功耗带来的散热问题就不容忽视。而监控硬盘功耗很低，2TB工作功耗<5W，散热量自然很低，安装多块硬盘不会有太高的功耗，保证一个相对良好的散热环境。

4、硬盘寻道时间：

监控的最大特点是要求硬盘长时间持续写入，反而对数据读取没有太高要求。这一点普通硬盘从设计上就根本不能符合要求。普通硬盘在家用环境下往往是随机小文件读写追求寻道速度快，而监控硬盘则适合连续大文件持续写入，具备良好的稳定性。

对于工程商而言，安装监控硬盘稳定了，后期维护服务成本降低，同时客户对你口碑也会提升，让客户放心，利润自然增加。对于客户而言，用紫盘故障少了，数据丢失风险就小，数据安全性提高，让监控起到应有的防护作用，一举两得！