第8章 路由器的配置

第8章路由器的配置

8.1路由器的配置方式8.2配置PPP及其認證8.3配置靜態(tài)路由8.4配置RIP8.5配置IP訪問列表8.6配置網絡地址轉換

(實訓項目在實訓時完成)補充:路由器的硬件與軟件保存開機診斷程序,執(zhí)行加電檢測(同PC機的POST)。ROM中還保存有引導程序和最小的操作系統軟件是路由器的工作存儲區(qū)，存儲活動的配置文件(running-config)、網絡映射表和路由地址列表，還能用來保存路由表，進行報文緩存等，補充:路由器的硬件與軟件是一種可擦寫的，可編程類型的ROM。負責保存（IOS）的映像(image)和路由器的微碼(microcode)。FlashMemory還能通過使用簡單文件傳輸協議(TFTP)將IOS的映像備份到計算機上。在路由器關電時，仍保持其內容。所以用其來存儲備份/配置文件(startup-config)。使路由器在電源故障時可以快速地恢復。使用NVRAM后，路由器就不再需要磁盤來保存其配置文件了。補充:路由器的硬件與軟件是報文進出路由器的連接裝置。每一個I／O端口都連到一個特定介質轉換器（MSC—Media-SpecificConverter）上，MSC提供物理接口到特定類型介質的連接。補充:路由器的啟動過程setup

8.1路由器的配置方式ConsoleAux任何InterfaceTelnetTFTP

1.RJ-45toDB-9轉換器

2.翻轉線

3.PC超級終端程序

4.PCcom口的配置:

8.1.1通過帶外對路由器進行管理SETUP交互配置模式1，路由器加電正常啟動進入用戶模式：提示符“Red-Giant>”。2，如果是路由器出廠后第一次啟動或者使用了“writeerase”指令后再次啟動，則路由器自動進入Setup智能配置，以交互式提示用戶配置路由器最初啟動所需要的參數。3，也可以在特權用戶模式下，隨時鍵入setup進入交互式配置模式。

1.用戶模式[主機名>]:可以執(zhí)行EXEC命令的一部分Red-Giant>

2.特權模式[主機名#]:可以執(zhí)行全部的EXEC命令Red-Giant#

進入特權模式

Red-Giant>enableRed-Giant#返回用戶模式

Red-Giant#disable

Red-Giant>8.1.2路由器的常見命令模式:EXEC模式

3.全局配置模式[主機名（config)#]進入全局配置模式下

Red-Giant#configureterminalRed-Giant(config)#返回特權模式Red-Giant(config)#exit

Red-Giant#

路由器的操作模式:EXEC模式

4.進入線路配置模式

Red-Giant(config)#lineconsole0

Red-Giant(config-line)#exit

Red-Giant(config)#

5.進入接口配置模式

Red-Giant(config)#interfaceserial0

Red-Giant(config-if)#exit

Red-Giant(config)#

路由器的操作模式:配置模式

6.進入路由配置模式（如RIP）Red-Giant(config)#routerrip

Red-Giant(config-router)#exit

Red-Giant(config)#

7.進入子接口配置模式

Red-Giant(config)#interfaceserial0.1

Red-Giant(config-subif)#exit

Red-Giant(config)#

路由器的操作模式:配置模式

從子模式下直接返回特權模式Red-Giant(config-if)#end

Red-Giant#

路由器的操作模式:配置模式

1.Red-Giant#help顯示簡短的系統幫助描述信息

2.在每種操作模式下直接輸入“?”顯示該模式下所有的命令

3.命令空格“?”顯示命令參數并對其解釋說明

4.字符“?”顯示以該字符開頭的命令

5.命令歷史緩存:

(Ctrl+P)顯示上一條命令,(Ctrl+N)顯示下一條命令

RGNOS的操作幫助特點1,顯示路由器硬件及軟件的信息

Red-Giant#showversion

2,顯示當前運行的配置參數

Red-Giant#showrunning-config

3,顯示NVRAM中配置參數的副本

Red-Giant#showstartup-config4,查看端口信息

Red-Giant#showinterfacetypenumber5,查看路由信息

Red-Giant#showiproute

6,顯示接口的摘要信息

Red-Giant#

showipinterfacebrief常用路由器顯示命令

1登錄遠程主機

telnethostname/ipaddress2

偵測網絡的連通性

pinghostname/ipaddress3跟蹤遠程主機的路徑信息

traceroutehostname/ipaddress常用路由控制命令

1,hostnamename

設置路由器名2,enablesecret/passwordpassword設置特權密碼3,iprouting 啟用ip路由4,interfacetypenumber

端口設置5,noshutdown激活端口6,ipaddressaddresssubnet-mask設置ip地址7,linetypenumber

物理線路設置8,login 啟動登錄進程9,passwordpassword

設置登錄密碼路由基本設置命令

1,將當前運行的配置參數復制到NVRAM

Red-Giant#copyrunning-configstartup-config

Buildingconfiguration...

[OK]

Red-Giant#

2,清空NVRAM中的配置參數

Red-Giant#erasestartup-config

[OK]

Red-Giant#

3,路由器重新啟動

Red-Giant#reload

Proceedwithreload?[confirm]常用路由器命令

Red-Giant(config)#hostnamelabr1配置路由器的主機名

配置遠程登陸（TELNET）密碼

labr1(config)#linevty04

labr1(config-line)#login

labr1(config-line)#password123配置路由器口令配置特權密碼

labr1(config)#enablepassword123

labr1(config)#enablesecret123配置路由器口令配置接口IP地址

labr1(config-if)#ipaddress{IPaddress}{IP

subnetmask}將接口啟用

labr1(config-if)#noshutdown

將接口關閉

labr1(config-if)#shutdown路由器接口配置命令labr1#showinterfacesfastEthernet0

FastEthernet0isup,lineprotocolisup

(表示物理層協議工作正常)(表示數據鏈路層協議工作正常)

FastEthernet0isup,lineprotocolisdown

(表示物理層協議工作正常)(表示數據鏈路層協議工作不正常)

FastEthernet0isdown,lineprotocolisdown

(表示物理層協議工作不正常)

FastEthernet1isadministrativelydown,lineprotocolisdown

(表示從管理上將該接口處于關閉狀態(tài))路由器接口顯示命令含義路由器命令行自動補齊功能

如果您忘記了一個完整的命令，或者希望可以減少輸入的字符的數量，可以采用命令行自動補齊功能，你只需要輸入少量的字符，然后按<Tab>，或者按<Ctrl+I>鍵，由RGNOS自動補齊成為完整的命令，當然必要條件是輸入的少量字符，已經可以確定一個唯一的命令了。比如在特權用戶層，您只需要輸入conf，然后按<Tab>或者<Ctrl+I>，則由RGNOS自動為您補齊成為完整的configure命令。Red-Giant#conf<Tab>Red-Giant#configure路由器命令行錯誤提示信息

%Invalidinputdetectedat‘^’marker.

輸入的命令有錯誤，錯誤的地方在^指明的位置。%Incompletecommand.

命令輸入不完整。%Ambiguouscommand:"command"確以command開頭的指令有多個，指令輸入不夠明確。將配置參數上傳到TFTP服務器

labr1#copyrunning-config

tftp

從TFTP服務器上下載配置參數

labr1#copytftprunning-config路由器TFTP命令8.1.6實訓路由器的基本配置

8.2配置點對點協議PPP及其認證8.2.1配置PPP及其認證

1，配置接口PPP封裝Red-Giant(config-if)#encapsulation

ppp

2，配置PPPCHAP被驗證方

（1）Red-Giant(config-if)#pppchaphostnamehostnmae

指定PPPCHAP驗證的主機名（2）Red-Giant(config-if)#pppchappassword{0|7}password

指定PPPCHAP驗證的密碼如果知道驗證方PPPCHAP所用的主機名，（2）也可換為：

（2）Red-Giant(config)#usernameusernamepassword{0|7}password

為驗證方主機名創(chuàng)建用戶數據庫記錄，兩端密碼要保持一致

8.2配置點對點協議PPP及其認證8.2.1配置PPP及其認證

3配置PPPCHAP驗證方

（1）Red-Giant(config-if)#pppauthenticationchap[callin]

啟動PPP驗證，并指定PPPCHAP驗證方式方式（2）Red-Giant(config-if)#no

pppauthenticationchap

取消PPPCHAP驗證（3）Red-Giant(config)#usernameusernamepassword{0|7}password

創(chuàng)建用戶數據庫記錄

作為驗證方，在用戶數據庫中需要設置好各個用戶名和相應的密碼，而用戶名即是對方路由器（被驗證方）的PPP主機名。

8.2配置點對點協議PPP及其認證8.2.1配置PPP及其認證4配置PPPPAP被驗證方

（1）Red-Giant(config-if)#ppppapsent-usernameusernamepassword{0|7}password

指定PPPPAP驗證的用戶名和密碼（2）noppppapsent-username

取消PPP的PAP驗證的設定5，配置PPPPAP驗證方（1）Red-Giant(config-if)#pppauthenticationpap[callin]

設定PPP的PAP驗證方（2）Red-Giant(config)#usernameusernamepassword{0|7}password

創(chuàng)建用戶數據庫記錄8.2.2實訓PPPCHAP認證

8.3.2實訓配置靜態(tài)路由

8.4配置RIP創(chuàng)建RIP路由進程

1Router(config)#routerrip

創(chuàng)建RIP路由進程

2Router(config-router)#network

network-number

定義關聯網絡說明：

Network命令定義的關聯網絡有兩層意思：

1）RIP只對外通告關聯網絡的路由信息

2）RIP只向關聯網絡所屬接口通告路由信息

8.4配置RIP定義RIP版本

RIP分為版本1和版本2，RIPv2可以支持認證、密鑰管理、路由匯聚、CIDR和VLSMs。缺省情況下，RGNOS可以接收RIPv1和RIPv2的數據包，但是只發(fā)送RIPv1的數據包。你可以通過配置，只接收和發(fā)送RIPv1的數據包，也可以只接收和發(fā)送RIPv2的數據包。定義RIP版本Router(config-router)#version{1|2}

8.4配置RIP配置RIPVersion1路由協議

假設校園網通過一臺路由器Router1連接到校園外的另一臺路由器Router2上，現要在路由器上做適當配置，實現校園網內部主機與校園網外部主機的相互通信。

8.4.2實訓配置RIPVersion1路由協議

8.4配置RIP小結1

在串口上配置時鐘頻率時，一定要在電纜DCE端的路由器上配置，否則鏈路不通；2定義關聯網絡時，命令network后面必須是與該路由器直連的主類網絡地址。

8.5配置IP訪問列表訪問控制列表ACL（AccessControlList）在路由器、三層交換機上進行網絡安全屬性配置，可以實現對進入到路由器、三層交換機的輸入數據流進行過濾

8.5.2ACL的類型IP標準訪問控制列表（StandardIPACL）IP擴展訪問控制列表（ExtendedIPACL）主要動作為允許（Permit）和禁止（Deny）

主要應用方法是入棧（In）和出棧（Out）ACL命令中的反掩碼

反掩碼與子網掩碼算法相似，但寫法不同，區(qū)別是：反掩碼中，0表示需要比較，1表示不需要比較。對于：55只比較前24位

55只比較前22位

55只比較前8位IP標準訪問控制列表StandardIPACL

Access-listlistnumber{permit|deny}address[wildcard–mask]

其中：listnumber是規(guī)則序號，標準訪問控制列表（StandardIPACL）的規(guī)則序號范圍是1-99；Permit和deny表示允許或禁止?jié)M足該規(guī)則的數據包通過；Address是源地址IP；wildcard–mask是源地址IP的通配比較位，也稱反掩碼。IP標準訪問控制列表例如：（config）#access-list1permit55（config）#access-list2deny55源地址TCP/UDP數據IPIP擴展訪問控制列表2ExtendedIPACL

Access-listlistnumber{permit|deny}protocolsourcesource-wildcard–mask

destinationdestination-wildcard–mask[operatoroperand]

其中：擴展訪問控制列表（StandardIPACL）的規(guī)則序號范圍是100-199;protocol是指定的協議，如IP、TCP、UDP等；destination是目的地址；destination-wildcard-mask是目的地址的反掩碼；operator和operand用于指定端口范圍，缺省為全部端口號0-65535，只有TCP和UDP協議需要指定的端口范圍。擴展訪問控制列表目的地址源地址協議端口號數據TCP/UDPIP入棧（In）應用和出棧（Out）應用

兩個應用是相對于設備的某一端口而言

當要對從設備外的數據經端口流入設備時做訪問控制，就是入棧（in）應用

當要對從設備內的數據經端口流出設備時做訪問控制，就是出棧（out）應用

8.5.3命名的訪問控制列表在三層交換機上配置命名的ACL。可以采用三個步驟進行

:創(chuàng)建ACL,接口上應用ACL,查看ACL1創(chuàng)建StandardIPACLs

步驟1 configureterminal 進入全局配置模式步驟2ipaccess-liststandard{name}

用數字或名字來定義一條StandardIPACL并進入access-list配置模式。步驟3 deny

{sourcesource-wildcard|host

source|any}orpermit{sourcesource-wildcard|host

source|any}在access-list配置模式，申明一個或多個允許通過（permit）或丟棄（deny）的條件以用于交換機決定報文是轉發(fā)還是丟棄。hostsource代表一臺源主機，其source-wildcard為。any代表任意主機，即source為，source-wild為551創(chuàng)建StandardIPACLs實例

Switch（config）#ipaccess-liststandarddeny-host192.168.l2.x

Switch（config-std-nacl）#deny55Switch（config-std-nacl）#permitanySwitch（config-std-nacl）#end

Switch#showaccess-list

2創(chuàng)建ExtendedIPACLs

步驟1 configureterminal進入全局配置模式步驟2ipaccess-listextended{name}

用數字或名字來定義一條ExtendedIPACL并進入access-list配置模式步驟3 {deny|permit}protocol

{source

source-wildcard|hostsource|any}[operatorport] {destinationdestination-wildcard|hostdestination|any}[operatorport]在access-list配置模式，申明一個或多個允許通過（permit）或丟棄（deny）的條件以用于交換機決定匹配條件的報文是轉發(fā)還是丟棄。

2創(chuàng)建ExtendedIPACLs

定義TCP或UDP的目的或源端口的規(guī)則操作符（opeator）只能為eq

如果操作符在sourcesource-wildcard之后，則報文的源端口匹配指定值時條件生效如果操作符在destination

destination-wildcard之后，則報文的目的端口匹配指定值時條件生效Port為十進制值，它代表TCP或UDP的端口號。值范圍為0-65535protocol可以為

tcp：指明為tcp數據流

udp：指明為udp數據流

ip：指明為任意ip數據流

2創(chuàng)建ExtendedIPACLs實例

Switch（config）#ipaccess-listextendedallow_0xc0a800_to_Switch（config-std-nacl）#permittcp

55hosteqwww

Switch（config-std-nacl）#endSwitch#showaccess-lists

3將命名ip

訪問列表應用到指定接口上步驟1configureterminal 進入全局配置模式步驟2 interfaceinterface-id

指定一個接口并進入接口配置模式步驟3ipaccess-group{name}{in|out}

將指定的ACL應用于該接口上，使其對輸入或輸出該接口的數據流進行接入控制

下例顯示如何將access-listdeny_unknow_device應用于VLAN接口2上：

Switch（config）#interfacevlan2

Switch（config-if）#ipaccess-groupdeny_unknow_devicein

8.5.4顯示ACLs配置showaccess-lists[name] 顯示所有配置或指定名字的ACLsshowipaccess-lists[name]

顯示IPACLs

Showipaccess-group[interfaceinterface-id]

顯示指定接口上的IPACLs配置

showrunning-config

顯示所有配置8.5.5實訓編號的標準IP訪問列表你是一個公司的網絡管理員，公司的經理部、財務部門和銷售部門分屬不同的三個網段，三部門之間用路由器進行信息傳遞，為了安全起見，公司領導要求銷售部門不能對財務部門進行訪問，但經理部可以對財務部門進行訪問。

8.5.6實訓命名的擴展IP訪問列表你是學校的網絡管理員，在3550-24交換機上連著學校的提供WWW和FTP的服務器，另外還連接著學生宿舍樓和教工宿舍樓，學校規(guī)定學生只能對服務器進行FTP訪問，不能進行WWW訪問，教工則沒有此限制。

VLAN10VLAN30VLAN208.6配置網絡地址轉換8.6.1內部源地址NAT配置第一步Red-Giant(config)#ip

natinsidesourcestaticlocal-addressglobal-address

定義內部源地址靜態(tài)轉換關系第二步Red-Giant(config)#interfaceinterface-typeinterface-number

進入接口配置模式第三步 Red-Giant(config-if)#ip

natinside

定義該接口連接內部網絡第四步 Red-Giant(config)#interfaceinterface-typeinterface-number

進入接口配置模式第五步 Red-Giant(config-if)#ip

natoutside

定義接口連接外部網絡

以上配置為最簡單配置，你可以配置多個Inside和Outside接口

8.6.2動態(tài)NAT配置

第一步Red-Giant(config)#ip

natpooladdress-poolstart-addressend-address{netmaskmask|prefix-lengthprefix-length}定義全局IP地址池

第二步Red-Giant(config)#access-listaccess-list-numberpermitip-addresswildcard

定義訪問列表，只有匹配該列表的地址才轉換第三步Red-Giant(config)#ip

natinsidesourcelistaccess-list-numberpooladdress-pool 定義內部源地址動態(tài)轉換關系第四步Red-Giant(config)#interfaceinterface-typeinterfacenumber

進入接口配置模式8.6.2動態(tài)NAT配置

第五步Red-Giant(config-if)#ip

natinside

定義接口連接內部網絡第六步Red-Giant(config)#interfaceinterface-typeinterface-number 進入接口配置模式第七步Red-Giant(config-if)#ip

natoutside

定義接口連接外部網絡8.6.3靜態(tài)NAPT

第一步 Red-Giant(config)#ip

natin