防火墙配置宗旨是人性本恶，进出防火墙的数据都要放行才能出入。是不是“好人”？要经过检查才知道。终端配置IP及网关；防火墙创建区域，区域添加相应端口；防火墙端口配置IP地址、路由；防火墙配置策略： trust-->untrust、trust-->dmz、dmz-->untrust 放行；防火墙配置源转换，实现trust和dmz区域可以访问外网；防火墙配置目标地址转换、配置策略，实现外网可以访问dmz

MSTP，即Multiple Spanning Tree Protocol，又称多生成树协议。MSTP兼容STP和RSTP，在破除环路的基础上，可以快速收敛；基于实例计算出多棵生成树，实例间实现负载分担；设置VLAN映射表，将一个或多个VLAN映射到一个多生成树（MSTP）实例（instance）上。

PPP是Point-to-Point Protocol的简称，中文翻译为点到点协议。与以太网协议一样,PPP也是一个数据链路层协议。以太网协议定义了以太帧的格式，PPP协议也定义了自己的帧格式，这种格式的帧称为PPP帧。

上图所示配置，只要配置的VLANIF网络畅通，不管用那个VLANIF的地址都可以远程telnet登录配置交换机。目前登录当前设备的总共有4个用户，通过telnet或SSH协议登录的用户有3个，通过网页登录用户有1个。http服务没开启，https服务已开启。要使用设备图形化界面，必须开启http或https协议。华为路由器初始用户名为admin，初始密码为Admin@huawei。

STP（Spanning Tree Protocol）是一种由交换机运行的、用来解决交换网络中环路问题的数据链路层协议。为提高网络可靠性，交换网络中通常会使用冗余链路，但是冗余链路会给交换网络带来环路风险，导致广播风暴以及MAC地址表不稳定等问题，影响用户通信质量。生成树协议STP可以在提高可靠性的同时又能避免环路带来的各种问题。

DHCP-Snooping用在交换机 上，作用是屏蔽接入网络中的非法的 DHCP 服务器。DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址。在交换机SW上配置

为了更好保证RSTP协议在网络不稳定的情况下，尽可能保证流量的正常转发，在标准协议中新增了4种保护功能。BPDU保护边缘端口边缘端口收到BPDU后，把边缘端口shutdown。根保护指定端口一旦收到更优的BPDU，把端口进入Discarding。环路保护根端口或预备端口如果根端口或预备端口长时间收不到来自上游设备的BPDU报文时，端口会进入Discarding状态，角色切换为指定端口，不转发报文，

源终端没有任何网络配置，ping目标网段IP地址来自 0.0.0.0 的回复：无法访问目标主机源终端只配置了IP地址，ping目标网段IP地址来自本机IP地址的回复：无法访问目标主机源终端配置了IP地址和子网掩码，ping目标网段IP地址来自本机IP地址的回复：无法访问目标主机源终端配置了IP地址、子网掩码和网关，ping目标网段IP地址来自本机IP地址的回复：无法访问目标主机源终端配置了IP地址

Super VLAN，也叫VLAN聚合（VLAN Aggregation）指在一个物理网络内，用多个VLAN（称为Sub-VLAN）隔离广播域，并将这些Sub-VLAN聚合成一个逻辑的VLAN（称为Super-VLAN）。Super VLAN可以配置三层接口，Sub VLAN不能配置三层接口。所有Sub-VLAN共用一个IP网段，要进行三层通信时，将使用Super VLAN三层接口的IP地址作为网

1.1P/A机制的作用为了使生成树链路上的端口（根端口、指定端口）快速进入转发状态，不用等待30秒延时（2个转发延时）。1.2P/A协商的前提条件P/A机制的触发前提是DP端口处于Discarding状态，两台交换设备之间链路必须是点对点的全双工模式，一旦P/A协商不成功，指定端口到转发状态就需要等待两个转发延时（30秒），协商过程与STP一样。