HK 223 Package

前言

备战接近4个月，TS、DIAG、CFG每一套考试前基本都烂熟于心，其中版本

H3、H1+花了最多的时间，H3练进了2个半小时，H1+练进了2个小时（这里推

荐卡神的懒人包，群里有得下载，CFG拼得就是速度，后面可以有更多的时间检

查错误）。TS有熟练的排错思路，1个小时内能排查全部错点。DIAG熟悉辨别每

一套，懂得怎么抓包，怎么辨别攻击者和服务器。

本次香港考试抽到的套餐是：223

TS2:

上来就秒错点，群里的TS错题库非常稳定，30分钟内解决，1个小时交卷。

考场中有些题目有明确多少个错点的，…………………

Q1：SW400/401no10，no30

R40dhcp租期lease020，no掉

user4pingR40时断时续，SW400:nopassvlan2000

Q2:SW111e1/2口cost值是9，no掉即可。

之前有战报说e2/0口有设置比10大的cost值，都是同样道理，R12上show

ipbgp0.0.0.0可以看到去往R14的metric值大，SW110/111上showipospfintbri

一目了然。

这里SW111有个地址租期lease040，我看到时间够用就没no掉。

Q3:R23把lo0口的ospf进程号改为1

R22奇数路由起源属性=imcomplete偶数路由起源属性=igp

R23奇数路由起源属性=igp偶数路由起源属性=imcomplete

这里同时也有设置metric值，考虑起源属性选路级别更高，改起源属性。

Q4:R20/21调用route-mapLP

在neiDC2out方向做策略

Q5:R60tunnel口IP地址掩码改成24位

Q6:………………..

…………..

DIAGH2

按照题库进行选择,跟思博解法一致。

CFGH3

交卷的标准：大现象全部做出来，每题的小现象都吻合，showrun硬查都没

查出问题。能做到这一点，都不过的话，建议下次不用再来考了（我交卷那一刻

的心里就是这样想的）。

配置跟思博提供的一致，不再赘述，这里详细讲一下配完后的检查思路以及

H3中的各种坑。

一、大现象、小现象+showrun硬查

1、先查session3

（1）3.1（只建立vpnv4，没有ipv4）

r3：………………..

r4：……………….

r5：……………….

r6：……………….

这里的现象要跟需求完全一致，包括路由负载、下一跳、as-path…………….

（2）3.2+DMVPN互访

r14:DMVPN这里就是找茬，51跟60的tunnel0接口除了地址，其他都是一

样的，………………….

====================附一下DMVPN没起来的解决方式====================

a.……………….

b.……………….

c.……………….

d.……………….

e.……………….

（3）3.3

S……………….

（4）3.4

User7能ping通8.8.8.8。

R71这里的配置除了cryptomap部分，其他……………….Cryptomap部分的配置

跟思博的一致。

2、再查session2

（1）2.1

……………….

（2）2.2

R14/SW100:showiprouteospf只能看到loopback口的路由。

该区域ospf预配基本都有，我补充了：SW100/101的lo1口、SW110/111

的vlan2000/2001口……………….

（3）2.3

……………….

（4）2.4

R13:showipbgpsum。9个带*的邻居，其中收到110/111/100各1条路由条

目。

100这里我将e0/2口的路由顺便宣告了进来……………….

（5）2.5

R13/SW110：showipbgp看一下路由条目有没有打上mia

SW100:tracer10.3.100.254。注意这里是敲trace，然后再一步步敲dstsournum

这些，直接tracer不带源lo0口是不会负载的。

（6）2.6

R10/20:showiproutebgp|s10.*/16检查条目是否齐全，下一跳是否正确。

特别是R20的10.4路由，下一跳必须是R4。如果是R21，肯定是route-map配

置错误……………….

（7）2.7

……………….

（8）2.8

65004/65005区域只能通告本地路由，所以可以检查：AS10000区域，是否

有GLOABALSP#2的直连路由；SW600，是否有AS10000区域的直连路由。

……………….

（9）2.9（建议跟4.1ipv6的安全、5.3ipv6dhcp一起做，可以直接用server1去

测现象了）

（10）2.10和2.11

R31/R13:shippimrpmap

RP和MA（个人觉得是最稳妥的配置方式）

SW100配置：

ippimsend-rp-anlo1scoep255gr1

ippimsend-rp-di……………….

……………….----这一步必须得配，否则R31上showipmroute，会看不到

（10.1.113.1，224.0.0.39）组播路由条目，这也是R13ping239.250.1.1收不到

65003区域回应的原因。

SW101配置：

ippimsend-rp-anlo1scoep255gr1

ippimsend-rp-dilo1sco255

做完第一题后，紧接着四台设备做过滤，再做第二题的组播。可实现免清rp，一次出

现象。rp清理的命令是cleippimrp。

另外预配中我看了，lo1口没有地址，不用管。r14和r15没一个接口加入sparse模

式，其他设备的接口都加入的，连外口r10，r11，r12的e0/0口都加入了。考场的需求和

思博提供的需求一模一样，R14/R15的接口均激活Pim，加入组播。

3、最后测session1/4/5

（1）session1

18台交换机：showspansum/showerrre……………….

（2）session4

……………….

（3）session5

……………….

二、检查二层和各种漏掉的配置

1、二层vlan&生成树……………….

……………….

……………….

……………….

最后讲几句

1、所有的设备都end到最后，再write。Dowrite有时会不生效，举个例子：H3eem那

里，我dowrite，重启后会发现eem的配置全没了。end到最后再write后恢复正常。

2、CFG要做到：大现象全出，每题的小现象全部吻合，还有showrun硬查一遍。

3、新人入手建议先做TS部分，建立一套自己的排错思路，再去敲版本。还有1个原因是

TS练熟了，你考场上可以提前交卷，这样省下来的时间可以用在CFG上。

4、每次敲完版本后，记得用文本对比软件对比一下标配，详细记录自己每一次敲错的地方。

我感觉思科也是用这种方法+人工审核（我下午4点半交的卷，4点40分就出成绩了），而

且为啥群里的大佬大现象都出了，但最后还是挂了呢？个人认为是少敲了一些命令或者敲多

了一些没用的命令，所以多用文本对比软件对比是很有好处的。

5、多跟老师和群里的大佬交流，配完CFG后，找老师、找大佬帮你加错点。我印象比较深

刻的是，我H3敲完，找了好多人帮我加错点，学了好多的排错思路。印象最深刻的是，陈

老师的20连tr，最后我还是有2处错点没排出来，用文本对比软件才发现的。

6、最后要感谢太多的人。包括家里人、同事、领导的鼓励，思博（特别是陈老师、群里的

卡神、君好几位大神）的帮助，几个月没日没夜的备战，沉迷版本日渐消瘦，除了工作，基

本跟外界失去联系了，这次考完得好好放松一下。