1、路由器实验： router enable /从用户模式进入特权模式 router#setup /进入 SETUP 模式routershow history /查看历史纪录router# disable or exit /从特权模式退出到用户模式 router# show sessions /查看本机上的 TELNET 会话 router# disconnect / 关闭所有的 TELNET 会话 router# show users /查看本机上的用户 router# erase startup-config /删除 NVRAM 中的配置 （启动配置文件）router# reload /重启路
2、由器 router# config terminal / 从用户模式进入特权模式 router(config)# hostname rl /配置用户名为 rl router# show controllers serial0 /查看串口 0 的物理层信息router# show ip interface /查看端口的 IP 配置信息 router# show hosts /查看主机表 end or ctrl+z /从各种配置模式退到特权模式 rl(config)# ip name-server 202.106.0.20 /指定 DNS 服务 rl(config)# interface seri
3、al 0 /进入 serial 0 的接口配置模式 rl(config-if)# no shutdown /路由器出厂默认所有端口关闭，使用此命令使它们打开 rl(config-if)# encapsulation ppp（frame-relay） / 封装 ppp（帧中继） rl(config-if)# bandwidth 64 / 设置端口带宽为 64K rl(config-if)# ctrl+c 或者 ctrl+z end / 快捷键退出到特权模式 rl# show interface serial 0 /查看 s0 信息，如果看到 serial 和 line protocol 都显示
4、up，说明链路两端都设置成功 rl(config-if)# ip add 10.0.0.1 255.0.0.0 /进入相应的接口，配置相应的 IP 地址 rl# ping 10.0.0.2 /使用 ping 命令查看邻居的连通性 特权模式下配置子接口Router(config)#interface f0/0.1 /进入子接口 f0/0.1 的配置模式Router(config-subif)#ip address 192.168.1.1 255.255.255.0 /配置子接口 IP 地址Router(config-subif)#encapsulation dot1q 100 /对子接口进行 d
5、ot1q 的封装，vlan 号为 100rl# show ip route /查看路由表，可以看到以 C 打头的路由 信息,这是直连的路由信息；可以看到 R 开头的路由信息，是从 rip 学来的路由 信息；可看到以 O 开头的路由信息，这是通过 OSPF 学习到的 配置 RIPrl(config)# router rip /启动 RIP 路由协议 rl(config-router)# network 10.0.0.0 /发布网段（注意 network 后面是接的网络号 而不是 IP 地址） rl# show ip protocol /查看配置的路由协议 ospf 设置Router(config
6、)#router ospf process-id /进程号只对本地有意义Router(config-router)#network address 网络地址 通配掩码 area 0配置 telnetrl(config)# line vty0 4 /进入虚拟线程配置模式，在此模式可对 telnet 功能进行配置 rl(config-line)# login rl(config-line)# password cisco / 配置 telnet 密码，默认的网络设备 telnet 的 功能是关闭的，配了密码之后会自动打开 配置明文口令和加密口令rl(config)# enable password
7、 cisco /配置进入 enable 模式的密码， 区分大小写 rl(config)# enable secret ciscocisco /配置进入 enable 模式的密码，是加密的密码，show run 是看不见的 配置本地控制台端口rl(config)# line console 0 rl(config-line)# login rl(config-line)# password cisco / 配置进入用户模式的密码 rl# copy running-config startup-config /保存配置文件静态路由协议设置router(config)#ip route networ
8、k submask 要到达的网络号 目的网络子网掩码 下一跳接口 ip 地址默认静态router(config)#ip route 0.0.0.0 0.0.0.0 下一跳 IP 地址访问列表1.标准访问列表(standard access lists):只使用源 IP 地址来做过滤决定 1-99Router(config)#access-list 10 deny|permit 172.16.40.0 0.0.0.255Router(config)#access-list 10 permit anyRouter(config)#interface e1Router(config-if)#ip a
9、ccess-group 10 out|in2.扩展访问列表(extended access lists):它比较源 IP 地址和目标 IP 地址,层3的协议字段,层4端口号 来做过滤决定 100-199Router(config)#access-list 110 deny|permit tcp any host 172.16.30.5 eq 21Router(config)#access-list 110 deny|permit tcp any host 172.16.30.5 eq 23Router(config)#access-list 110 permit ip any anyRoute
10、r(config)#int e1Router(config-if)#ip access-group 110 out|inNAT 配置配置静态转换Router(config)#ip nat inside source static 本地 IP 地址 公网 IP 地址Router(config-if)#ip nat insideRouter(config-if)#ip nat outside配置动态地址转换Router(config)#ip nat pool 地址池名称 start-ip end-ip 子网掩码 （定义全局地址范围）Router(config)#access-list 1 perm
11、it 源地址 反掩码 /定义允许进行地址转换的内网地址Router(config)#ip nat inside source list 1 pool 地址池名称 /使访问控制列表中内容与地址池进行对应6步配置IPsec VPN步骤一：设置认证策略Router(config)#crypto isakmp policy 1 /配置IKE策略，1是策略号Router(configisakmp)# authentication pre-share /使用预共享密码Router(configisakmp)# group 2 /设置为1024位的Diffie-Hellman，加密算法默认为DESgroup
12、 1使用768 位密码，除非高端路由器，一般建议使用 1Router(configisakmp)# life time 3600 /生存周期，两端要设置成一样， 默认是86400秒，否则将以短的时间为中断进行更新 步骤二：设置预共享密码Router(config)#crypto isakmp key mykey address 192.168.4.1 /设置远程对等体共享密码：密码：对方实体地址步骤三： 设置访问控制列表Router(config)#access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255/允许源
13、地址192.168.1.0子网访问目标192.168.2.0子网192.168.1.0 本地子网192.168.2.0 目标子网定义哪些地址的报文加密或是不加密步骤四：设置交换集Router(config)#crypto ipsec transform-set myset esp-3des esp-sha-hmac /设置一个名为myset的交换集， ESP隧道加密采用ESP-3des，认证采用esp-sha-hmac传输模式下有两种隧道模式：ah隧道和esp隧道ah隧道参数：ah-md5-hmac | ah-sha-hmacesp隧道参数：esp-des | esp-aes |esp-3de
14、sesp-md5-hmac | esp-sha-hmac步骤五：创建加密图Router(config)#crypto map mymap 10 ipsec-isakmp /设置加密图，名称为mymap，序号为10 ，采用使用IKE来建立IPsec 安全关联Router(configcryptomap)#set peer 192.168.4.1 /设置隧道对端IP地址Router(configcryptomap)#set transform-set myset /将加密图应用在myset 交换集上Router(configcryptomap)#match address 101 /设置匹配101
15、号访问列表步骤六：在接口上应用Router(config)#int f0/0 /进入f0/0 子接口Router(configif)#crypto map mymap /将加密图应用于此接口PIX防火墙配置PIX 防火墙的认识 PIX 是 Cisco 的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。PIX 防火墙常见接口有：console、Failover、Ethernet、USB。 网络区域： 内部网络：inside 外部网络：outside 中间区域：称 DMZ(停火区)。放置对外开放的服务器。 防火墙的配置规则 没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿
16、过防火墙。(内部发起的连接可以回包。通过 ACL 开放的服务器允许外部发起连接) inside 可以访问任何outside 和 dmz 区域。 dmz 可以访问 outside 区域。 inside 访问 dmz 需要配合 static(静态地址转换)。outside 访问 dmz 需要配合 acl(访问控制列表)。global 指定公网地址范围：定义地址池。 Global 命令的配置语法： global(if_name)nat_idip_address-ip_addressnetmarkglobal_mask 其中： (if_name)：表示外网接口名称，一般为 outside。 nat_i
17、d：建立的地址池标识(nat 要引用)。ip_address-ip_address：表示一段 ip 地址范围。 netmarkglobal_mask：表示全局 ip 地址的网络掩码。 例如： PIX525(config)#global(outside)1133.0.0.1-133.0.0.15 /地址池1对应的 IP 是：133.0.0.1-133.0.0.15 PIX525(config)#global(outside)1133.0.0.1 /地址池1只有一个 IP 地址133.0.0.1。 PIX525(config)#noglobal(outside)1133.0.0.1 /表示删除这个
18、全局表项。nat 地址转换命令，将内网的私有 ip 转换为外网公网 ip。nat 命令配置语法：nat(if_name)nat_idlocal_ipnetmark 其中： (if_name)：表示接口名称，一般为 inside.nat_id：表示地址池，由 global 命令定义。local_ip：表示内网的 ip 地址。对于0.0.0.0表示内网所有主机。netmark：表示内网 ip 地址的子网掩码。 在实际配置中 nat 命令总是与 global 命令配合使用。 一个指定外部网络，一个指定内部网络，通过 net_id 联系在一起。例如： PIX525(config)#nat(inside
19、)100 /表示内网的所有主机(00)都可以访问由 global 指定的外网。 PIX525(config)#nat(inside)1172.16.5.0255.255.0.0 /表示只有172.16.5.0/16 网段的主机可以访问 global 指定的外网。conduit 管道 conduit 命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。 例如允许从 outside 到 DMZ 或 inside 方向的会话(作用同访问控制列表 )。语法： conduit permit|deny protocol global_ipport-portforeign_ipnetmask
20、其中： global_ip 是一台主机时前面加 host 参数，所有主机时用 any 表示。foreign_ip 表示外部 ip。 netmask 表示可以是一台主机或一个网络。 例如：PIX525(config)#static(inside,outside)133.0.0.1192.168.0.3 PIX525(config)#conduitpermittcphost133.0.0.1eqwwwany 这个例子说明 static 和conduit 的关系。192.168.0.3是内网一台 web 服务器， 现在希望外网的用户能够通过 PIX防火墙访问 web 服务。 所以先做 static
21、静态映射：192.168.0.3133.0.0.1 然后利用conduit 命令允许任何外部主机对全局地址133.0.0.1进行 http 访问。侦听命令 fixup 作用是启用或禁止一个服务或协议， 通过指定端口设置 PIX 防火墙要侦听 listen 服务的端口。 例： PIX525(config)#fixup protocol ftp21 /启用 ftp 协议，并指定 ftp 的端口号为21 PIX525(config)#fixup protocol http8080 /启用 http 协议8080端口，PIX525(config)#no fixup protocol http80 /禁
22、止80端口。Interface Router(config-if)#端口设置Subinterface Router(config-subif)# 子端口设置Controller Router(config-controller)# 控制口设置Line Router(config-line)# 虚拟口设置Router Router(config-router)# 路由设置IPX router Router(config-ipx-router)#IPX 路由设置交换机实验： 配置交换机默认网关switch(config)# ip default-gateway 192.158.0.1 /给交换机配
23、置一个缺省网关，请注意，不用写掩码 创建 vlanswitch#vlan datebase /创建 vlan，进入 vlan 子模式switch(vlan)# vlan2 name cisco /配置一个 vlan2 并且指定名字叫 CISCO switch# show interfaces /查看端口状态 switch(config)# interface e0/10 /进入端口 e0/10 switch(config-if)# switchport mode access /将端口定义为接入端口switch(config-if)# switchport access vlan /将端口放进
24、 vlan2 里面 switch(config-if)# switchport mode trunk /将端口定义为 TRUNK（中继）模式switch(config-if)#switchport trunk allowed all /允许所有 vlan 通过交换机配置 IPswitch(config#interface vlan 1switch(config-if)#ip address ip_address maskVTP 配置switch(config)#vtp mode server|client|transpant /更改交换机的 VTP 模式switch(config)#vtp domain noco /定义 VTP 域，域名为 nocoswitch(config)#vtp password nook /定义 VTP 密码为 nookswitch(config)#vtp pruning /启用 VTP 修剪
