游氏网|游姓网|游氏论坛|华夏游氏网|游氏宗亲网|游氏家谱网|游氏寻根网

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 30楼发表于: 2010-02-24

VPN基础知识 K"2|[5

虚拟专用网络(VPN)是一门新型的网络技术，它为我们提供了一种通过公用网络(如最大的公用因特网)安全地对企业内部专用网络进行远程访问的连接方式。我们知道一个网络连接通常由三个部分组成:客户机、传输介质和服务器。VPN网络同样也需要这三部分，不同的是VPN连接不是采用物理的传输介质，而是使用一种称之为“隧道”的东西来作为传输介质的，这个隧道是建立在公共网络或专用网络基础之上的，如因特网或专用Intranet等。同时要实现VPN连接，企业内部网络中必须配置有一台基于Windows NT或Windows2000 Server(目前Windows系统是最为普及，也是对VPN技术支持最为全面的一种操作系统)的VPN服务器，VPN服务器一方面连接企业内部专用网络(LAN)，另一方面要连接到因特网或其它专用网络，这就要VPN服务器必须拥有一个公用的IP地址，也就是说企业必须先拥有一个合法的Internet或专用网域名。当客户机通过VPN连接与专用网络中的计算机进行通信时，先由NSP(网络服务提供商)将所有的数据传送到VPN服务器，然后再由VPN服务器将所有的数据传送到目标计算机。因为在VPN隧道中通信能确保通信通道的专用性，并且传输的数据是经过压缩、加密的，所以VPN通信同样具有专用网络的通信安全性。整个VPN通信过程可以简化为以下4个通用步骤:

　　(1)客户机向VPN服务器发出请求;

　　(2) VPN服务器响应请求并向客户机发出身份质询，客户机将加密的用户身份验证响应信息发送到VPN服务器;

　　(3) VPN服务器根据用户数据库检查该响应，如果账户有效，VPN服务器将检查该用户是否具有远程访问权限;如果该用户拥有远程访问的权限，VPN服务器接受此连接;

　　(4)最后VPN服务器将在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密，然后通过VPN隧道技术进行封装、加密、传输到目的内部网络。

　　1. VPN的优势

　　VPN网络给用户所带来的好处主要表现在以下几个方面:

　　(1)节约成本

　　这是VPN网络技术的最为重要的一个优势，也是它取胜传统的专线网络的关键所在。据行业调查公司的研究报告显示拥有VPN的企业相比起采用传统租用专线的远程接入服务器或Modem池和拨号线路的企业能够节省30%到70%的开销。开销的降低发生在4个领域之中:

　　移动通讯费用的节省:这主要是针对于有许多职工需要移动办公的企业来说的，因为这样对于出差在外地的移动用户来说只需要接入本地的ISP就可以与公司内部的网络进行互连，大大减少了长途通信费。企业可以从他们的移动办公用户的电话费用上看到立竿见影的好处。

　　专线费用的节省:采用VPN的费用比起租用专线来要低40～60%，而无论是在性能、可管理性和可控性方面两者都没有太大的差别。通过向虚拟专线中加入语音或多媒体流量，企业还可以进一步获得成本的节约。这一点对于过去有过租用象DDN之类的专线的企业用户就会有更深刻的感受了，租用DDN一个小小的64k就得每月花费几千上万元费用，采用VPN后不仅这方面的费用会大大减少(但通常不能全免，因为在企业与NSP之间这一段还得租用NSP的专用线路，但这已是相当短的了)，而且还可能会在带宽上有更大的优势，因为现在的VPN技术可以支持宽带技术了。

　　设备投资的节省:VPN允许将一个单一的广域网接口用作多种用途，从分支机构的互联到合作伙伴通过外联网(Extranet)的接入。因此，原先需要流经不同设备的流量可以统一地流经同一设备。由此带来的好处便是企业不再像原先那样需要大量的广域网接口了，也不必再像以前那样频繁地进行周期性的硬件升级了，这样就可大大减少了企业固定设备的投资，这对于是、小型企业来说是非常之重要的。此外，VPN还使企业得以继续对其关键业务型的旧有系统进行有效利用，从而达到保护软硬件投资的目的。

　　支持费用的节省:通过减少Modem池的数量，企业自身支持费用可以被降至最低。原先用来对远程用户进行支持的、经常超负荷工作的企业支持热线(通常还需由专人负责)被NSP帮助桌面系统所取代。而且，由于NSP帮助桌面系统可以完全实现从总部中心端进行管理，因此VPN可以极大地降低对远程网络的安装和配置成本。在降低费用方面主要表现为:远程用户可以只通过向当地的ISP申请账户登录到因特网，以因特网作为隧道与远程企业内部专用网络相连。这样采用拨号方式的远程用户则不需要采用长途拨号，企业总部也可只支付ISP本地网络使用费，在长途通信费用方面就会大幅度降低，据专业分析机构调查显示，采用VPN与传统的拨号方式相比可以节约通讯成本可达50%-80%。与租用专线方式相比更具有明显的费用优势，一般VPN每条连接的费用成本只相当于租用专线的40%到60%;VPN还允许一个单一的WAN接口服务多种用途，因此用户端只需要极少的WAN接口和设备。而且由于VPN是可以完全管理，并且能够从中央网站进行基于策略的控制，因此可以大幅度地减少在安装配置远端网络接口所需的设备上的开销。另外，由于VPN独立于初始的协议，这就使得远端的接入用户可以继续使用传统的设备，保护了用户在现有硬件和软件系统上的投资。

　　(2)增强的安全性

　　目前VPN主要采用四项技术来保证数据通信安全，这四项技术分别是隧道技术(Tunneling)、加解密技术(Encryption & Decryption)、密钥管理技术(Key Management)、身份认证技术(Authentication)。

　　在用户身份验证安全技术方面，VPN是通过使用点到点协议(PPP)用户级身份验证的方法来进行验证，这些验证方法包括:密码身份验证协议(PAP)、质询握手身份验证协议(CHAP)、Shiva密码身份验证协议(SPAP)、Microsoft质询握手身份验证协议(MS-CHAP)和可选的可扩展身份验证协议(EAP);

　　在数据加密和密钥管理方面VPN采用微软的点对点加密算法(MPPE)和网际协议安全(IPSec)机制对数据进行加密，并采用公、私密钥对的方法对密钥进行管理。MPPE使Windows 95、98和NT 4.0终端可以从全球任何地方进行安全的通信。MPPE加密确保了数据的安全传输，并具有最小的公共密钥开销。以上的身份验证和加密手段由远程VPN服务器强制执行。对于采用拨号方式建立VPN连接的情况下，VPN连接可以实现双重数据加密，使网络数据传输更安全。

　　还有，对于敏感的数据，可以使用VPN连接通过VPN服务器将高度敏感的数据服务器物理地进行分隔，只有企业Intranet上拥有适当权限的用户才能通过远程访问建立与VPN服务器的VPN连接，并且可以访问敏感部门网络中受到保护的资源。

　　(3)网络协议支持

　　VPN支持最常用的网络协议，这样基于IP、IPX和NetBEUI协议网络中的客户机都可以很容易地使用VPN。这意味着通过VPN连接可以远程运行依赖于特殊网络协议的应用程序。新的VPN技术可以全面支持如AppleTalk、DECNet、SNA等几乎所有的局域网协议，应用更加全面。

　　(4)容易扩展

　　如果企业想扩大VPN的容量和覆盖范围，企业需做的事情很少，而且能及时实现，因为这些工作都可以交由专业的NSP来负责，从而可以保证工程的质量，更可以省去一大堆麻烦。企业只需与新的NSP签约，建立账户;或者与原有的NSP重签合约，扩大服务范围。VPN路由器还能对工作站自动进行配置。

　　(5)可随意与合作伙伴联网

　　在过去，企业如果想与合作伙伴连网，双方的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路。这样相当麻烦，不便于企业自身的发展，也就是租用的专线在灵活性方面是非常不够。有了VPN之后，这种协商也毫无必要，真正达到了要连就连，要断就断，可以实现灵活自如的扩展和延伸。

　　(6)完全控制主动权

　　借助VPN，企业可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。比方说，企业可以把拨号访问交给ISP去做，由自己负责用户的查验、访问权、网络地址、安全性和网络变化管理等重要工作。

　　(7)安全的IP地址

　　因为VPN是加密的，VPN数据包在因特网中传输时，因特网上的用户只看到公用的IP地址，看不到数据包内包含的专有网络地址。因此远程专用网络上指定的地址是受到保护的。IP地址的不安全性也是在早期的VPN没有被充分重视的根本原因之一。

　　(8)支持新兴应用

　　许多专用网对许多新兴应用准备不足，如那些要求高带宽的多媒体和协作交互式应用。VPN则可以支持各种高级的应用，如IP语音，IP传真，还有各种协议，如RSIP、IPv6、MPLS、SNMPv3等，而且随着网络接入技术的发展，新型的VPN技术可以支持诸如ADSL、Cable Modem之类的宽带技术。

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 31楼发表于: 2010-02-24

上面介绍了VPN的主要优势，那么哪些用户适合采用VPN网络连接呢?综合VPN技术的特点，可以得出主要有以下四类用户适合采用VPN进行网络连接:

　　a.网络接入位置众多，特别是单个用户和远程办公室站点多，例如多分支机构企业用户、远程教育用户;

　　b.用户/站点分布范围广，彼此之间的距离远，遍布全球各地，需通过长途电信，甚至国际长途手段联系的用户，如一些跨国公司;

　　c.带宽和时延要求相对适中，如一些提供IDG服务的ISP;

　　d.对线路保密性和可用性有一定要求的用户，如大企业用户和政府网。

　　根据VPN的应用平台可分为:软件平台、专用硬件平台及辅助硬件平台三类。

　　(1)软件平台VPN

　　当对数据连接速率较低要求不高，对性能和安全性要求不强时，可以利用一些软件公司所提供的完全基于软件的VPN产品来实现简单的VPN的功能，如checkpoint software和Aventail Corp等公司的产品。甚至可以不需要另外购置软件，仅依靠微软的Windows操作系统，特别是自Windows 2000版本以后的系统就可实现纯软件平台的VPN连接。

　　这类VPN网络一般性能较差，数据传输速率较低，同时在安全性方面也比较低，一般仅适用于连接用户较少的小型企业。
(2)专用硬件平台VPN

　　使用专用硬件平台的VPN设备可以满足企业和个人用户对高数据安全及通信性能的需求，尤其是从加密及数据乱码等对CPU处理能力需求很高的功能。提供这些平台的硬件厂商比较多，比较有名的如国外的:Nortel、Cisco、3Com等，国内的如华为、联想等。

　　这类VPN平台虽然投资了大量的硬件设备，但是它具有先天的不足，就是成本太高，对于中、小型企业很难承受。并且由于全是由硬件来构成的平台，因此在管理的灵活性方面和可管理性方面就显得不如人意。通常是对于专业的VPN网络服务提供商来说选择这一平台较为合适，因为它们都有这方面的人才和资金优势。不过现在的主流VPN硬件设备制造商都能提供相应的管理软件来支持，如Cisco、3COM公司等，这在后面章节中将具体介绍它们的VPN解决方案。

　　(3)辅助硬件平台VPN

　　这类VPN的平台介于软件平台和指定硬件平台的之间，辅助硬件平台的VPN主要是指以现有网络设备为基础，再增添适当的VPN软件以实现VPN的功能。这是一种最为常见的VPN平台，性能也是最好的一种。但是通常这种平台中的硬件也不能完全由原来的网络硬件来完成，必要时还得添加专业的VPN设备，如VPN交换机、VPN网关或路由器等，对于一个完善的、高性能的VPN网络这些设备在一定程度上来说是非常必要的。

　　这种平台是最为通用的一种方式，它既具备了硬件平台的高性能、高安全性，同时也具有了软件平台的灵活性，并且可以利用绝大多数现有硬件设备，节省了总体投资。目前绝大多数企业VPN方案选用。

　　2.主要VPN协议

　　通过前面的介绍知道VPN隧道协议主要有三种:PPTP、L2TP和IPSec，PPTP和L2TP协议是工作在OSI/RM开放模型中的第二层，所以又称之为第二层隧道协议。其实在第二层隧道协议中还有一种不是很主流的协议，那就是Cisco公司的L2F(Layer 2 Forwarding)协议。在VPN网络中最常见的第三层隧道协议是IPSec，但另一种GRE(Generic Routing Encapsulation，通用路由封装协议，在RFC 1701中早有描述)也是属于一个第三隧道协议。

　　第二层隧道和第三层隧道的本质区别在于用户的数据包是被封装在哪一层的数据包隧道里传输的。第二层隧道协议和第三层隧道协议一般来说分别使用，但合理的运用两层协议，将具有更好的安全性。例如:L2TP与IPSec协议的配合使用，可以分别形成L2TP VPN、IPSec VPN网络，也可混合使用L2TP、IPSec协议形成性能更强的L2TP VPN网络，且这一VPN网络形式是目前性能最好、应用最广的一种，因为它能提供更加安全的数据通信，解决了用户的后顾之忧。

　　3. VPN的部署模式

　　VPN的部署模式从本质上描述了VPN通道的起始点和终止点，不同的VPN模式适用于不同的应用环境，满足不同的用户需求，总的来说有3种VPN部署模式:

　　(1)端到端(End-to-End)模式;

　　该模式是自建VPN的客户所采用的典型模式，也是最为彻底的VPN网络。在这种模式中企业具有完全的自主控制权，但是要建立这种模式的VPN网络需要企业自身具备足够的资金和人才实力，这种模式在总体投金上是最多的。最常见的隧道协议是IPSec和PPTP。这种模式一般只有大型企业才有条件采用，这种模式最大的好处，也是最大的不足之处就是整个VPN网络的维护权都是由企业自身完成，需花巨资购买成套昂贵的VPN设备，配备专业技术人员，同时整个网络都是在加密的隧道中完成通信的，非常安全，不像外包方式中存在由企业到NSP之间的透明段。

　　(2)供应商―企业(Provider-Enterprise)模式;

　　这是一种外包方式，也是目前一种主流的VPN部署方式，适合广大的中、小型企业组建VPN网络。在该模式中，客户不需要购买专门的隧道设备、软件，由VPN服务提供商(NSP)提供设备来建立通道并验证。然而，客户仍然可以通过加密数据实现端到端的全面安全性。在该模式中，最常见的隧道协议有L2TP、L2F和PPTP。

　　(3)内部供应商(Intra-Provider)模式。

　　这也是一种外包方式，与上一种方式最大的不同就在于用户对NSP的授权级别不同，这种模式非常适合小型企业用户，因为这类企业一般没有这方面的专业人员，自身维护起来比较困难，可以全权交给NSP来维护。这是很受电信公司欢迎的模式，因为在该模式中，VPN服务提供商保持了对整个VPN设施的控制。在该模式实现中，通道的建立和终止都是在NSP的网络设施中实现的。对客户来说，该模式的最大优点是他们不需要做任何实现VPN的工作，客户不需要增加任何设备或软件投资，整个网络都由VPN服务提供商维护。最大的足也就是用户自身自主权不足，存在一定的不安全因素。

　　4. VPN的服务类型

　　根据VPN应用的类型来分，VPN的应用业务大致可分为3类:IntranetVPN、Access VPN与Extranet VPN，但更多情况下是需要同时用到这三种VPN网络类型，特别是对于大型企业。

　　(1)Access VPN

　　Access VPN又称为拨号VPN(即VPDN)，是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。如果企业的内部人员移动或有远程办公需要，或者商家要提供B2C的安全访问服务，就可以考虑使用AccessVPN。

　　Access VPN通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。AccessVPN能使用户随时、随地以其所需的方式访问企业资源。Access VPN包括能随时使用如模拟拨号Modem、ISDN、数字用户线路(xDSL)、无线上网和有线电视电缆等拨号技术，安全地连接移动用户、远

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 32楼发表于: 2010-02-24

程工作者或分支机构。这种方式相对传统的拨号访问具有明显的费用优势，对于需要移动办公的企业来说不失为一种经济安全、灵活自由的好方式，所以这种方式通常也是许多大、中型企业所必需的。当然它也可以独自存在，如一些小型商务企业。

　　(2) Intranet VPN

　　Intranet VPN即企业的总部与分支机构间通过VPN虚拟网进行网络连接。随着企业的跨地区、国际化经营，这是绝大多数大、中型企业所必需的。如果要进行企业内部各分支机构的互联，使用Intranet VPN是很好的方式。这种VPN是通过公用因特网或者第三方专用网进行连接的，有条件的企业可以采用光纤作为传输介质。它的特点就是容易建立连接、连接速度快，最大特点就是它为各分支机构提供了整个网络的访问权限。

　　越来越多的企业需要在全国乃至世界范围内建立各种办事机构、分公司、研究所等，各个分公司之间传统的网络连接方式一般是租用专线。显然，在分公司增多、业务开展越来越广泛时，网络结构趋于复杂，费用昂贵。利用VPN特性可以在因特网上组建世界范围内的IntranetVPN。利用因特网的线路保证网络的互联性，而利用隧道、加密等VPN特性可以保证信息在整个IntranetVPN上安全传输。IntranetVPN通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。

　　(3) Extranet VPN

　　Extranet VPN即企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网。如果是需要提供B2B电子商务之间的安全访问服务，则可以考虑选用Extranet VPN。

　　随着信息时代的到来，各个企业越来越重视各种信息的处理。希望可以提供给客户最快捷方便的信息服务，通过各种方式了解客户的需要，同时各个企业之间的合作关系也越来越多，信息交换日益频繁。因特网为这样的一种发展趋势提供了良好的基础，而如何利用因特网进行有效的信息管理，是企业发展中不可避免的一个关键问题。利用VPN技术可以组建安全的Extranet，既可以向客户、合作伙伴提供有效的信息服务，又可以保证自身的内部网络的安全。

　　Extranet VPN通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量(QoS)、可管理性和可靠性。

　　Extranet VPN对用户的吸引力在于:能容易地对外部网进行部署和管理，外部网的连接可以使用与部署内部网和远端访问VPN相同的架构和协议进行部署。主要的不同是接入许可，外部网的用户被许可只有一次机会连接到其合作人的网络，并且只拥有部分网络资源访问权限，这要求企业用户对各外部用户进行相应访问权限的设定。

　　以上三种VPN模式，其实在后面将要介绍的Windows 2000系统中的VPN网络中都统归于两种模式，即:远程访问VPN和路由器到路由器VPN，“远程访问VPN”对应于本节所介绍的Access VPN(VPDN)模式，而“Extranet VPN”和“Intranet VPN”则可统归“路由器到路由器VPN”模式。但是又不能完全这么划分，因为不同系统中对VPN模式的分类标准和前提不太一样，本节所介绍的这三种VPN模式是基于整个VPN网络来划分的，而在Windows 2000系统中的这种VPN模式划分的前提是在纯软件方式下进行的。

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 33楼发表于: 2010-02-24

Cisco 路由配置语句汇总 vO"E4s

//启动接口，分配IP地址：
router>
router> enable
router#
router# configure terminal
router(config)#
router(config)# interface Type Port
router(config-if)# no shutdown
router(config-if)# ip address IP-Address Subnet-Mask
router(config-if)# ＾z

//配置RIP路由协议：30秒更新一次
router(config)# router rip
router(config-if)# network Network-Number //通告标准A,B,C类网
router(config-if)# ＾z

//配置IGRP路由协议：90秒更新一次
router(config)# router igrp AS-Number //AS-Number范围1～65535
router(config-if)# network Network-Number //通告标准A,B,C类网
router(config-if)# ＾z

//配置Novell IPX路由协议：Novell RIP 60秒更新一次
router(config)# ipx routing [node address]
router(config)# ipx maximum-paths Paths //设置负载平衡，范围1～512
router(config)# interface Type Port
router(config-if)# ipx network Network-Number [encapsulation encapsulation-type] [secondary] //通告标准A,B,C类网
router(config-if)# ＾z

//配置DDN：
router(config)# dialer-list Group-Number protocol
Protocol-Type permit [list ACL-Number]
router(config)# interface bri 0
router(config-if)# dialer-group Group-Number
router(config-if)# dialer map Protocol-Type
Next-Hop-Address name Hostname Telphone-Number
router(config-if)# ＾z

//配置ISDN：
router(config)# isdn swith-type Swith-Type //配置ISDN交换机类型，中国使用basic-net3
router(config-if)# ＾z

//配置Frame Relay：
router(config-if)# encapsulation frame-relay [cisco | ietf ]
router(config-if)# frame-relay lmi-type [ansi | cisco | q933a ]
router(config-if)# bandwidth kilobits
router(config-if)# frame-relay invers-arp [ Protocol ] [dlci ]
router(config-if)# ＾z

//配置标准ACL：
router(config)# access-list Access-List-Number [ permit | deny ] source [ source-mask ] //Access-List-Number 范围：1～99标准ACL；100～199扩展ACL；800～899标准IPX ACL；//900～999扩展IPX ACL；1000~1099 IPX SAP ACL；600～699Apple Talk ACL
router(config)# interface Type Port
router(config-if)# ip access-group Access-List-Number [in | out ]
router(config-if)# ＾z

//配置扩展ACL：
router(config)# access-list Access-List-Number [permit | deny] [Protocol | Protocol-Number] source source-wildcard [ Source-Port ] destination destination-wildcard [Destination-Port] [ established ]
router(config)# interface Type Port
router(config-if)# ip access-group Access-List-Number [ in | out ]
router(config-if)# ＾z

//配置命名ACL：
router(config)# ip access-list [ standard | extended ] ACL-Name
router(config [ std- | ext- ] nacl)# [ permit | deny ] [ IP-Access-List-Test-Conditions ]
router(config [ std- | ext- ] nacl)# no [ permit | deny ] [ IP-Access-List-Test-Conditions ]
router(config [ std- | ext- ] nacl)# ＾z
router(config)# interface Type Port
router(config-if)# ip access-group [ACL-Name | 1~199 ] [ in | out ]
router(config-if)# ＾z

//配置DCE时钟：
router# show controllers Type Port //确定DCE接口
router(confin-if)# clock rate 64000 //进入DCE接口设置时钟速率
router(config-if)# ＾z

//配置PPP协议：
router(config)# username Name password Set-Password-Here //验证方建立数据库
router(config)# interface Type Port
router(config-if)# encapsulation ppp //启动PPP协议
router(config-if)# ppp outhentication [ chap | chap pap | pap chap | pap ] //选择PPP认证
router(config-if)# ppp pap sent-username Name password Password //发送验证信息
router(config-if)# ＾z
//PAP单向认证配置实例：
//验证方：

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 34楼发表于: 2010-02-24

//验证方：
router-server(config)# username Client password 12345 //验证方建立数据库
router-server(config)# interface serial 0
router-server(config-if)# encapsulation ppp
router-server(config-if)# ppp authentication pap //选择使用PAP实现PPP认证
router-server(config-if)# ＾z
//被验证方：
router-client(config-if)# encapsulation ppp
router-client(config-if)# ppp pap sent-username Client password 12345 //发送验证信息
router-client(config-if)# ＾z

//PAP双向认证配置实例：
//路由器 A：
routerA(config)# username B password 12345
routerA(config)# interface serial 0
routerA(config-if)# encapsulation ppp
routerA(config-if)# ppp authentication pap
routerA(config-if)# ppp pap sent-username A password 54321
routerA(config-if)# ＾z
//路由器 B：
routerB(config)# username A password 54321
routerB(config)# interface serial 1
routerB(config-if)# encapsulation ppp
routerB(config-if)# ppp authentication pap
routerB(config-if)# ppp pap sent-username B password 12345
routerB(config-if)# ＾z

//CHAP单向认证配置实例：
//验证方：
router-server(config)# username router-client password 12345
router-server(config)# interface serial 0
router-server(config-if)# encapsulation ppp
router-server(config-if)# ppp authentication chap
router-server(config-if)# ＾z
//被验证方：
router-client(config-if)# encapsulation ppp
router-client(config-if)# ppp authentication chap
router-client(config-if)# ppp chap hostname router-client
router-client(config-if)# ppp chap password 12345
router-client(config-if)# ＾z

//CHAP双向认证配置实例：
//路由器 A：
routerA(config)# username routerB password 12345
routerA(config)# interface serial 0
routerA(config-if)# encapsulation ppp
routerA(config-if)# ppp authentication chap
routerA(config-if)# ppp chap hostname routerA
routerA(config-if)# ppp chap password 54321
routerA(config-if)# ＾z
//路由器 B：
routerB(config)# username routerA password 54321
routerB(config)# interface serial 1
routerB(config-if)# encapsulation ppp
routerB(config-if)# ppp authentication chap
routerB(config-if)# ppp chap hostname routerB
routerB(config-if)# ppp chap password 12345
routerB(config-if)# ＾z

//Telnet使用：
routerA# terminal monitor //可以传回在远端主机执行Debug命令的结果
routerA# telnet IP-Address [ Router-Name ] //Telnet到指定的地址或名字的主机
routerB# [ exit | logout ] ///退出Telnet
routerA# show sessions //显示当前所有Telnet的信息，包括Connect-Number
routerA# Connect-Number //返回指定的Telnet连接
routerA# disconnect IP-Address [ Router-Name ] //断开指定地址或名字的主机的连接
routerA# show user //显示Telnet到本机的连接信息
routerA# clear line [ 0 | 1 | 2 | 3 | 4 ] //断开指定Telnet到本机的连接

//禁止任何Telnet到本路由器：
router(config)# line vty 0 4
router(config-line)# access-class ACL-Number //通过ACL禁止任何Telnet到该路由器
router(config)# ＾z

//设置主机名：
router(config)# hostname Set-Hostname
router(config)# ＾z

//设置用户模式密码：
router(config)# line console 0
router(config-line)# login
router(config-line)# password Set-Password
router(config-line)# ＾z

//设置Telnet密码：
router(config)# line vty 0 4
router(config-line)# login
router(config-line)# password Set-Password
router(config-line)# ＾z

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 35楼发表于: 2010-02-24

router(config-line)# ＾z

//设置特权模式密码：
router(config)# enable password Set-Password //不加密的密码，明码
router(config)# enable secret Set-Password //经过加密的密码
router(config)# ＾z

//给所有密码加密：
router(config)# service password-ancryption
router(config)# no service password-ancryption //取消加密
router(config)# ＾z

//设置登录Banner：
router(config)# banner motd 分隔符 Set-Banner-InFORMation-Here 分隔符 //前后分隔符一定要一致

//设置接口的描述信息：
router(config-if)# description Set-Port-InFORMation-Here
router(config)# ＾z

//CDP的控制：
router(config-if)# cdp enable //在指定端口启用CDP，缺省
router(config-if)# no cdp enable //在指定端口关闭CDP
router(config)# cdp run //使所有端口启用CDP
router(config)# no cdp run //使所有端口关闭CDP

//Ping的使用：
router# ping IP-Address
router# ping //扩展Ping命令
Protocol [ip]：[ Protocol-Type ] //选择协议类型
Target IP address：IP-Address //输入测试地址
Repeat count [5]： //选择发送的ICMP包数量
Datagram size [100]： //选择每个包的大小
Timeout in seconds [2]： //设置每个包的超时时间
Extended commands [n]：y //使用扩展Ping命令
Sweep range of sizes [n]：

//Trace的使用：
router# trace IP-Address [ Host-Name ]

//为Cisco 4000路由器指定媒体类型：
router(config-if)# media-type 10baset //使AUI（默认）失效，改为使用RJ-45
router(config-if)# ＾z
//更改路由器启动顺序：
router(config)# boot system flash IOS-FileName
router(config)# boot system tftp IOS-FileName TFTP-IP-Address
router(config)# boot system rom
router(config)# ＾z

//修改寄存器数值：
router(config)# config-register value
//Cisco出厂默认value＝0x2102，value范围：0x2100（进入ROM监视器），0x2101（使//系统从ROM启动），0x2102～0x210F（使系统从NVRAM启动）。0x1＝0x2101，从
//最小位开始改变

//在ROM监视器中更改寄存器数值：
> o/r value

//路由器密码的恢复：
冷关机，然后再开机并在60秒内按< Ctrl>+进入ROM监视器模式
> o/r 0x2142 //25xx型路由器
或 > confreg 0x2142 //26xx型路由器
router> I
router> n
router> enable
router# copy startup-config running-config //备份路由器的配置文件
router# configure terminal
router(config)# enable secret New-Password
router(config)# config-register 0x2102
router(config)# ＾z
router# copy running-config startup-config
router# reload

//配置名称－主机入口：
router(config)# ip host Set-Name [ TCP-Port-Number ] IP-Address [ IP-Address 2 ]．．．
router(config)# ＾z

//定义DNS主机：
router(config)# ip name-server Server-Address [ Server-Address 2 ]．．．
router(config)# ＾z

//禁用DNS：
router(config)# no ip domain-lookup
router(config)# ＾z

//配置水平分割：
router(config-if)# ip split-horizon
router(config-if)# no ip split-horizon
router(config-if)# ＾z

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 36楼发表于: 2010-02-24

//配置静态路由：
router(config)# ip route IP-Address Subnet-Mask [ Next-Hop-Address | Local-Out-Port ] [Distace ] //Distance范围：1～255，相当于优先权，越小越好。RIP=120；DSPF=110；IGRP=100；//EIGRP=90
router(config)# ＾z

//配置缺省路由：
router(config)# ip defoult-network IP-Address //动态缺省路由
router(config)# ip route 0.0.0.0 0.0.0.0 [ Next-Hop-Address | Local-Out-Port ] [Distace ] //静态缺省路由
router(config)# ＾z

//其它命令：
router# show version
router# show running-config
router# show startup-config
router# show flash
router# show interface [ Type Port ]
router# show buffers
router# show protocol
router# show mem
router# show stacks
router# show processes
router# show cdp entry [ Device-Name ] //显示指定邻居三层信息
router# show cdp neighbors
router# show cdp neighbors detail //显示所有邻居三层信息
router# show ip router
router# show ipx router
router# show host
router# show ip protocol
router# show ip interface Type Port
router# show ipx interface Type Port
router# show ipx servers
router# show ipx traffic
router# show access-lists [ ACL-Number ]
router# show isdn status
router# show dialer //查看ISDN拨号信息
router# show isdn active
router# show frame-relay pvc
router# show frame-relay map
router# show frame-relay lmi
router# erase startup-config
router# reload
router# setup
router# copy running-config startup-config
router# copy startup-config running-config
router# copy tftp running-config
router# copy running-config tftp
router# debug ipx routing activity
router# debug ipx sap
router# debug isdn q921
router# debug isdn q931
router# debug dialer
router# debug ip rip
router# clear interface bri

用5种方式来设置路由器 Bp*K]3_

分类:日常学习分享

2007.5.17 15:35 作者：crazybye | 评论：0 | 阅读：446

一、基本设置方式
一般来说，可以用5种方式来设置路由器：

1．Console口接终端或运行终端仿真软件的微机；
2．AUX口接MODEM，通过电话线与远方的终端或运行终端仿真软件的微机相连；
3．通过Ethernet上的TFTP服务器；
4．通过Ethernet上的TELNET程序；
5．通过Ethernet上的SNMP网管工作站。
但路由器的第一次设置必须通过第一种方式进行,此时终端的硬件设置如下:
波特率：9600
数据位：8
停止位：1
奇偶校验: 无

二、命令状态
1. router>
路由器处于用户命令状态，这时用户可以看路由器的连接状态，访问其它网络和主机，但不能看到和更改路由器

的设置内容。
2. router#
在router>提示符下键入enable,路由器进入特权命令状态router#，这时不但可以执行所有的用户命令，还可以

看到和更改路由器的设置内容。
3. router(config)#

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 37楼发表于: 2010-02-24

在router#提示符下键入configure terminal,出现提示符router(config)#，此时路由器处于全局设置状态，这

时可以设置路由器的全局参数。
4. router(config-if)#; router(config-line)#; router(config-router)#;…
路由器处于局部设置状态，这时可以设置路由器某个局部的参数。
5. >
路由器处于RXBOOT状态，在开机后60秒内按ctrl-break可进入此状态，这时路由器不能完成正常的功能，只能进

行软件升级和手工引导。
6. 设置对话状态
这是一台新路由器开机时自动进入的状态，在特权命令状态使用SETUP命令也可进入此状态，这时可通过对话方

式对路由器进行设置。
　

三、设置对话过程
1. 显示提示信息
2. 全局参数的设置
3. 接口参数的设置
4. 显示结果
利用设置对话过程可以避免手工输入命令的烦琐，但它还不能完全代替手工设置，一些特殊的设置还必须通过手

工输入的方式完成。
进入设置对话过程后，路由器首先会显示一些提示信息：
--- System Configuration Dialog ---
At any point you may enter a question mark '?' for help.
Use ctrl-c to abort configuration dialog at any prompt.
Default settings are in square brackets '[]'.
这是告诉你在设置对话过程中的任何地方都可以键入“？”得到系统的帮助，按ctrl-c可以退出设置过程，缺省

设置将显示在‘[]’中。然后路由器会问是否进入设置对话：
Would you like to enter the initial configuration dialog? [yes]:
如果按y或回车，路由器就会进入设置对话过程。首先你可以看到各端口当前的状况：
First, would you like to see the current interface summary? [yes]:
Any interface listed with OK? value "NO" does not have a valid configuration
Interface IP-Address OK? Method Status Protocol
Ethernet0 unassigned NO unset up up
Serial0 unassigned NO unset up up
……… ……… … …… … …
然后，路由器就开始全局参数的设置：
Configuring global parameters:
1．设置路由器名：
Enter host name [Router]:
2．设置进入特权状态的密文(secret)，此密文在设置以后不会以明文方式显示：
The enable secret is a one-way cryptographic secret used
instead of the enable password when it exists.
Enter enable secret: cisco
3．设置进入特权状态的密码(password)，此密码只在没有密文时起作用，并且在设置以后会以明文方式显示：
The enable password is used when there is no enable secret
and when using older software and some boot images.
Enter enable password: pass
4．设置虚拟终端访问时的密码：
Enter virtual terminal password: cisco
5．询问是否要设置路由器支持的各种网络协议：
Configure SNMP Network Management? [yes]:
Configure DECnet? [no]:
Configure AppleTalk? [no]:
Configure IPX? [no]:
Configure IP? [yes]:
Configure IGRP routing? [yes]:
Configure RIP routing? [no]:
………
6．如果配置的是拨号访问服务器，系统还会设置异步口的参数：
Configure Async lines? [yes]:
1) 设置线路的最高速度：
Async line speed [9600]:
2) 是否使用硬件流控：
Configure for HW flow control? [yes]:
3) 是否设置modem：
Configure for modems? [yes/no]: yes
4) 是否使用默认的modem命令：
Configure for default chat script? [yes]:
5) 是否设置异步口的PPP参数：
Configure for Dial-in IP SLIP/PPP access? [no]: yes
6) 是否使用动态IP地址：
Configure for Dynamic IP addresses? [yes]:

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 38楼发表于: 2010-02-24

7) 是否使用缺省IP地址：
Configure Default IP addresses? [no]: yes
8) 是否使用TCP头压缩：
Configure for TCP Header Compression? [yes]:
9) 是否在异步口上使用路由表更新：
Configure for routing updates on async links? [no]: y
10) 是否设置异步口上的其它协议。
接下来，系统会对每个接口进行参数的设置。
1．Configuring interface Ethernet0:
1) 是否使用此接口：
Is this interface in use? [yes]:
2) 是否设置此接口的IP参数：
Configure IP on this interface? [yes]:
3) 设置接口的IP地址：
IP address for this interface: 192.168.162.2
4) 设置接口的IP子网掩码：
Number of bits in subnet field [0]:
Class C network is 192.168.162.0, 0 subnet bits; mask is /24
　

四、常用命令
1. 帮助
在IOS操作中，无论任何状态和位置，都可以键入“？”得到系统的帮助。
2. 改变命令状态
任务命令
进入特权命令状态 enable
退出特权命令状态 disable
进入设置对话状态 setup
进入全局设置状态 config terminal
退出全局设置状态 end
进入端口设置状态 interface type slot/number
进入子端口设置状态 interface type number.subinterface [point-to-point | multipoint]
进入线路设置状态 line type slot/number
进入路由设置状态 router protocol
退出局部设置状态 exit
3. 显示命令
任务命令
查看版本及引导信息 show version
查看运行设置 show running-config
查看开机设置 show startup-config
显示端口信息 show interface type slot/number
显示路由信息 show ip router
4. 拷贝命令
用于IOS及CONFIG的备份和升级

5. 网络命令
任务命令
登录远程主机 telnet hostname|IP address
网络侦测 ping hostname|IP address
路由跟踪 trace hostname|IP address
　
6. 基本设置命令
任务命令
全局设置 config terminal
设置访问用户及密码 username username password password
设置特权密码 enable secret password
设置路由器名 hostname name
设置静态路由 ip route destination subnet-mask next-hop
启动IP路由 ip routing
启动IPX路由 ipx routing
端口设置 interface type slot/number
设置IP地址 ip address address subnet-mask
设置IPX网络 ipx network network
激活端口 no shutdown
物理线路设置 line type number
启动登录进程 login [local|tacacs server]
设置登录密码 password password
　

五、配置IP寻址
　
1. IP地址分类
IP地址分为网络地址和主机地址二个部分，A类地址前8位为网络地址，后24位为主机地址，B类地址16位为网络

地址，后16位为主机地址，C类地址前24位为网络地址，后8位为主机地址，网络地址范围如下表所示：
种类网络地址范围
A　 1.0.0.0 到126.0.0.0有效 0.0.0.0 和127.0.0.0保留
B 128.1.0.0到191.254.0.0有效 128.0.0.0和191.255.0.0保留

有志者事竟成

▲返回顶部▲ 举报

离线游春波

前任管理

发帖: 6734

金钱: 54611

贡献值: 193

交易币: 209

好评度: 1569

家乡: 广东省河源市

性别: 男

只看该作者 39楼发表于: 2010-02-28

C 192.0.1.0 到223.255.254.0有效 192.0.0.0和223.255.255.0保留
D 224.0.0.0到239.255.255.255用于多点广播
E 240.0.0.0到255.255.255.254保留 255.255.255.255用于广播
2. 分配接口IP地址
任务命令
接口设置 interface type slot/number
为接口设置IP地址 ip address ip-address mask
掩玛（mask）用于识别IP地址中的网络地址位数，IP地址（ip-address）和掩码（mask）相与即得到网络地址。
3. 使用可变长的子网掩码
通过使用可变长的子网掩码可以让位于不同接口的同一网络编号的网络使用不同的掩码，这样可以节省IP地址，

充分利用有效的IP地址空间。
如下图所示：
Router1和Router2的E0端口均使用了C类地址192.1.0.0作为网络地址，Router1的E0的网络地址为192.1.0.128,

掩码为255.255.255.192, Router2的E0的网络地址为192.1.0.64,掩码为255.255.255.192，这样就将一个C类网

络地址分配给了二个网，既划分了二个子网，起到了节约地址的作用。
4. 使用网络地址翻译（NAT）
NAT（Network Address Translation）起到将内部私有地址翻译成外部合法的全局地址的功能，它使得不具有合

法IP地址的用户可以通过NAT访问到外部Internet.
当建立内部网的时候,建议使用以下地址组用于主机,这些地址是由Network Working Group(RFC 1918)保留用于

私有网络地址分配的.
l Class A:10.1.1.1 to 10.254.254.254
l Class B:172.16.1.1 to 172.31.254.254
l Class C:192.168.1.1 to 192.168.254.254
命令描述如下：
任务命令
定义一个标准访问列表 access-list access-list-number permit source

[source-wildcard]
定义一个全局地址池 ip nat pool name start-ip end-ip {netmask netmask | prefix-length prefix-

length} [type rotary]
建立动态地址翻译 ip nat inside source {list {access-list-number | name} pool name [overload] |

有志者事竟成

▲返回顶部▲ 举报

帖子

[水电工程]网络维护知识 [复制链接]


	http://www.chineseyou.com 访问内容超出本站范围，不能确定是否安全


	关闭您还没有登录，快捷通道只有在登录后才能使用。立即登录还没有帐号？赶紧注册一个