1、Cisco網路設備之設定與管理,台大計資中心 李美雯 Email : mliccms.ntu.edu.tw Phone : 3366-5010,大 綱,OSI參考模式的架構 Cisco路由器的操作與設定 網路環境的管理 IP資料管制,OSI參考模式之架構,OSI參考模式,應用層 : 提供使用者介面或應用程式介面連接網路 展現層 : 負責同層協定間資料交換的格式 會議層 : 負責與展現層之間建立、管理以及結束通訊,OSI參考模式(Cont.),傳輸層 : 定義兩個端點主機間建立連線的基本原則 提供傳輸控制協定(TCP)與使用者資料流協定(UDP) 網路層 : 提供封包在不同網路間傳遞 定義了網路
2、的定址方式、不同網路間傳遞方式、子網路間的傳遞、路由的選擇,OSI參考模式(Cont.),資料連結層 : 提供資料送往目的地之資訊 處理端點系統間的實體位址對應 實體層 : 定義了網路媒介的型態、連接器的型態、以及通訊訊號的型態,OSI參考模式各層間的通訊,協定堆疊(protocol stack) : 負責網路設備間的通訊 定義網路間訊息流通的規則 OSI 各層次間使用PDU (Protocol Data Units)交換訊息 封裝(encapsulation) : 將PDU放在封包的header中，將資料傳至下一層協定堆疊,IOS提供的服務,執行網路協定與功能 提供高速資料傳輸 提供網路安全
3、管理 具備擴充性 提供穩定的環境,IOS指令模式,層級式的指令模式 EXEC指令編輯器 User EXEC level 只能顯示設備的資訊，而無法更改設定 eg. Hostname ? Privileged EXEC level 可以使用設定與管理設備的所有指令 eg. Hostname# ?,顯示路由器資訊的基本指令,Router#show version Cisco Internetwork Operating System Software IOS (tm) RSP Software (RSP-ISV-M), Version 12.0(6a), RELEASE SOFTWARE (fc1
4、) Copyright (c) 1986-1999 by cisco Systems, Inc. Compiled Wed 25-Aug-99 19:39 by phanguye Image text-base: 0x60010930, data-base: 0x60C1A000ROM: System Bootstrap, Version 11.1(2) nitin 2, RELEASE SOFTWARE (fc1) BOOTFLASH: GS Software (RSP-BOOT-M), Version 11.1(8)CA1, EARLY DEPLOYMENT RELEAS E SOFTWA
5、RE (fc1)NtuRouter uptime is 2 weeks, 4 days, 8 hours, 46 minutes System restarted by reload at 09:29:59 CST Mon Jun 11 2001 System image file is “slot0:rsp-isv-mz.120-6a.bin“,顯示路由器資訊的基本指令,Show running-config : 顯示設備正在使用的設定檔 Show startpup-config 顯示設備啟動時取得設定參數的設定檔,顯示路由器資訊的基本指令,ntuRouter#show running-co
6、nfig Building configuration.Current configuration: ! version 12.0,ntuRouter#show startup-config Using 5663 out of 126968 bytes ! version 12.0,Global Configuration Mode,Global Configuration mode Router#configure terminal Router(config)#,Specific Configuration Modes,Interface : 提供每個介面上的設定 Router(confi
7、g if)# Subinterface 提供單一實體介面上設定多個虛擬介面 Router(config subif)#,Specific Configuration Modes(Cont.),Controller : 提供在控制器(如，E1與T1)上的設定 Router(config controller)# Line 提供終端連線上的設定 Router(config line),Router 提供IP路由協定上的設定 Router(config router)#,Specific Configuration Modes(Cont.),Command,Global command : 影響整個
8、路由器的指令 Major Command 進入介面的設定模式 Router(config) # interface serial 0 Subcommand 執行介面的設定指令 Router(config - if) # shutdown,Router(config) # hostname ntuRouter ntuRouter(config) #,為路由器命名,新增介面上的說明,ntuRouter(config) # interface fastEthernet 2/0/0 ntuRouter(config - if) # description EE Lan,設定Console密碼,ntuR
9、outer(config) # line console 0 ntuRouter(config - line) # login ntuRouter(config - line) # password cisco,設定虛擬終端的密碼,ntuRouter(config) # line vty 0 4 ntuRouter(config - line) # password nturwa,設定enable密碼,密碼加密,ntuRouter(config) # enable password cisco,ntuRouter(config) # enable secret nturwa,ntuRouter
10、(config) # service password-encrytion,顯示介面的設定,ntuRouter#show interfaces fastEthernet 2/0/0 FastEthernet2/0/0 is up, line protocol is upHardware is cyBus FastEthernet Interface, address is 0010.07d5.c940 (bia 0010.07d5.c940)Description: EE LanInternet address is 140.112.19.254/24MTU 1500 bytes, BW 10
11、0000 Kbit, DLY 100 usec, rely 255/255, load 12/255Encapsulation ARPA, loopback not set, keepalive set (10 sec)Full-duplex, 100Mb/s, 100BaseTX/FXARP type: ARPA, ARP Timeout 04:00:00Last input 00:00:00, output 00:00:00, output hang neverLast clearing of “show interface“ counters neverQueueing strategy
12、: fifoOutput queue 0/40, 0 drops; input queue 0/75, 627809 drops5 minute input rate 3489000 bits/sec, 681 packets/sec5 minute output rate 4814000 bits/sec, 774 packets/sec,ntuRouter # configure term ntuRouter(config) # interface fastEthernet 2/0/0 ntuRouter(config - if) # shutdown,暫停一個介面的使用,Switch C
13、onfiguration,設定switch名稱 Switch(config)#hostname ccSwitch 設定IP address & gateway ccSwitch(config)# interface vlan1 ccSwitch(config-if)# ip address 140.112.100.253 255.255.255.0 ccSwitch(config)# ip default-gateway 140.112.100.254,Switch Configuration(Cont.),設定密碼 ccSwitch(config)# Line vty 0 4 ccSwitc
14、h(config)# password xxxxx ccSwitch(config)# enable password yyyyy 新增一個ethernet vlan ccSwitch# vlan database ccSwitch(vlan)# vlan name ,Switch Configuration(Cont.),Assign static-access port to a vlan ccSwitch(config)# interface fa0/2 ccSwitch(config-if)# switchport mode access ccSwitch(config-if)# sw
15、itchport access vlan2,Switch & Router Trunking,Switch : ccSwitch(config)# interface fa0/24 ccSwitch(config-if)# switchport mode trunk ccSwitch(config-if)# switchport trunk encapsulation,Switch & Router Trunking,Router : ccRouter(config)# interface fa1/0/0.2 ccRouter(config-if)# encapsulation isl 2 c
16、cRouter(config-if)# ip address 140.112.100.254 255.255.255.0,Switch & Switch Trunking,VTP Client : cSwitch(config)# interface fa0/24 cSwitch(config-if)# switchport mode trunk cSwitch(config-if)# switchport trunk encapsulation cSwitch# vlan database cSwitch(vlan)# vtp domain ntu cSwitch(vlan)# vtp cl
17、ient,Switch & Switch Trunking,VTP Server : sSwitch(config)# interface vlan 302 sSwitch(config-if)# ip address 140.112.3.126 255.255.255.128 sSwitch# vlan database sSwitch(vlan)# vtp domain ntu sSwitch(vlan)# vtp Server,網路環境的管理,Cisco Discovery Protocol (CDP) : 收集鄰接設備的資訊 Telnet : 收集遠端設備的資訊 CDP & Telne
18、t協助管理者瞭解實體網路架構的型態,Show cdp 的選項,RouterA # show cdp ?entry Information for specific neighbor entryinterface CDP interface status and configurationneighbors CDP neighbor entriestraffic CDP statisticsRouterA (config) # no cdp run RouterA (config) # interface serial0 RouterA (config) # no cdp enable,CDP鄰
19、接設備,Show CDP neighbors,RouterA#show cdp neighbors Capability Codes: R - Router, T - Trans Bridge, B - Source Route BridgeS - Switch, H - Host, I - IGMP, r - RepeaterDevice ID Local Intrfce Holdtme Capability Platform Port ID RouterB Fas 10/1 122 R 3640 Fas 0/0 Switch Fas 5/1/0 134 S WS-C2916M-Fas 2/
20、1,Show cdp entry *,RouterA#show cdp entry * - Device ID: RouterB Entry address(es):IP address: 140.112.2.1 Platform: cisco 3640, Capabilities: Router Interface: FastEthernet10/1, Port ID (outgoing port): FastEthernet0/0 Holdtime : 142 sec - Device ID: Switch Entry address(es):IP address: 140.112.8.1
21、0 Platform: cisco WS-C2916M-XL, Capabilities: Switch Interface: FastEthernet5/1/0, Port ID (outgoing port): FastEthernet2/1 Holdtime : 73 sec,Show cdp traffic,RouterA#show cdp traffic CDP counters :Packets output: 394479, Input: 277369Hdr syntax: 0, Chksum error: 0, Encaps failed: 0No memory: 0, Inv
22、alid packet: 0, Fragmented: 0,Show cdp interface,RouterA#show cdp interface FastEthernet2/0/0 is up, line protocol is upEncapsulation ARPASending CDP packets every 60 secondsHoldtime is 180 seconds,Show sessions,RouterA#show sessions Conn Host Address Byte Idle Conn Name1 140.112.205.9 140.112.205.9
23、 0 1 140.112.205.9 * 2 140.112.205.7 140.112.205.7 0 0 140.112.205.7,Show users,RouterA#show usersLine User Host(s) Idle Location2 vty 0 140.112.205.6 00:01:15 mli.cc.ntu.edu.tw * 3 vty 1 idle 00:00:00 140.112.205.8,Telnet連線的暫停與復原,RouterB#x RouterA#show sessions Conn Host Address Byte Idle Conn Name
24、 * 1 140.112.205.7 140.112.205.7 0 0 140.112.205.7RouterA#resume 1 Resuming connection 1 to 140.112.205.7 . RouterB#,clear line,RouterA#clear line 2 confirmOK,偵測網路狀態,CDP與Telnet提供管理者建立與維護網路Topology的資訊 Ping與Traceroute幫助管理者瞭解自己的網路Topology Ping : 顯示設備連接的狀況 Traceroute : 封包在設備之間傳送的路徑,Router Booting Sequen
25、ce,Power-on self test(POST) Load and run bootstrap code Find the IOS software Load the IOS software Find the configuration Load the configuration Run,Router Major Components,RAM(Random-access memory) ROM(Read-only memory) Flash memory NVRAM Configuration register Interfaces,設定檔的複製,靜態路由(static route)
26、,指定封包在來源端與目的端之間移動的路徑 靜態路由始終保存於路由表中 最常使用於單一網路(stub network) 單一網路指的是進出該網路只有一條路,靜態路由,靜態路由,ip route network mask address | interface distance permanent RouterA(config)# ip route 140.112.1.0 255.255.255.0 140.112.2.1,預設路由(default route),一種特別型態的靜態路由 路由器找不到路徑時，從預設出口傳送出去 RouterB(config)# ip route 0.0.0.0 0.
27、0.0.0 140.112.2.2,IP 資料管制,路由器是網路上資料的交會點 網路資料的過濾與控管 ACLs(Access Control Lists)適用於網路管理 ACL過濾路由器介面進出的封包,ACL的型態與運用,ACL的型態 Standard access lists Extended access lists ACL的運用 Inbound access lists Outbound access lists,建立ACL的原則,只允許一個ACL的情況 由上而下的處理程序 預設拒絕所有封包通過 先建立好ACL，設定在介面上,ACL的基本指令,Access-list指令 建立一個ACL
28、Router(config)# access-list access-list-number permit | deny test conditions Access-group指令 啟動介面上IP存取控制的功能 Router(config-if)# protocol access-group access-list-number in | out ,過濾TCP/IP封包,Standard ACL 檢查第三層(網路層)header 檢查來源端IP位址 使用代號由199 Extended ACL 檢查第四層(傳輸層)header 檢查目的端與來源端的IP位址，網路協定，TCP或UDP的通訊埠號碼
29、 使用代號由100199,Wildcard mask,指示一個IP位址需要檢查的位元 Wildcard mask的位元值為0，表示檢查對應位元內的值 Wildcard mask的位元值為1，表示不需要檢查對應位元內的值,檢測條件：檢查IP位址的所有位元 （全部相同才符合） 例如，一個主機IP位址： 140.112.254.4萬用字元遮罩： 0.0.0.0,檢查IP位址的所有位元,忽略IP位址的所有位元,檢測條件：忽略IP位址的所有位元 （任何一個IP都符合） 任何一個IP位址： 0. 0. 0. 0萬用字元遮罩：255.255.255.255,Standard ACL設定,access-lis
30、t:資料過濾 Router(config)#access-list access-list-number permit | deny Source-address wildcard mask ip access-group:運用在介面 Router(config)#interface serial 0 Router(config-if)#ip access-group access-list-number in | out,網路架構,範例1,Router(config) # access-list 1 permit 140.112.0.0 0.0.255.255 Router(config)
31、# interface ethernet 0 Router(config - if) # ip access-group 1 out Router(config) #interface ethernet 1 Router(config - if) # ip access-group 1 out,範例2,Router(config) # access-list 1 deny 140.112.3.90 0.0.0.0 Router(config) # access-list 1 permit 0.0.0.0 255.255.255.255 Router(config) # interface et
32、hernet 0 Router(config - if) # ip access-group 1 in,Extended ACL設定,access-list:資料過濾 access-list access-list-number permit | denyprotocol source-address source-wildcardoperator port destination-address destination-wildcardoperator portestablishedlog ip access-group:運用在介面 Router(config)#interface seri
33、al 0 Router(config-if)#ip access-group access-list-number in | out,範例1,Router(config) # access-list 101 deny tcp 140.112.3.0 0.0.0.255 140.112.4.0 0.0.0.255 eq 23 Router(config) # access-list 101 permit ip any any Router(config) # interface ethernet 0 Router(config - if) # ip access-group 101 in,顯示A
34、CL的內容,Router(config)#show protocol access-lists access-list-number | name,範例,Router # show access-lists Standard IP access list 1 permit 140.112.0.0, wildcard bits 0.0.255.255permit 163.28.16.0, wildcard bits 0.0.0.255permit 192.192.138.0, wildcard bits 0.0.0.255 Extended IP access list 101deny tcp host 140.112.3.90 any eq telnetpermit ip any any,
