第一篇：Packet Tracer 5.0實(shí)驗(yàn)(八) 路由器靜態(tài)路由配置
網(wǎng)絡(luò)技術(shù)
路由器靜態(tài)路由的配置
王海峰
課題： 路由器靜態(tài)路由的配置
一、教學(xué)目標(biāo): 了解路由器工作的基本原理；
掌握通過靜態(tài)路由方式實(shí)現(xiàn)網(wǎng)絡(luò)的連通性； 掌握路由器的作用及靜態(tài)路由的配置方法；
二、教學(xué)重點(diǎn)、難點(diǎn): 掌握靜態(tài)路由的配置方法和技巧 掌握數(shù)據(jù)通過路由器時(shí)的路由選擇 教具、教學(xué)素材準(zhǔn)備: Packet Tracer模擬器、多媒體機(jī)房
三、教學(xué)方法：
講授、演示、實(shí)作
四、教學(xué)時(shí)數(shù)：2課時(shí)
五、教學(xué)引導(dǎo)
我們之所以能夠通過一臺終端電腦訪問世界各地的共享資源，是因?yàn)橛辛嘶ヂ?lián)網(wǎng)，那互聯(lián)網(wǎng)是怎么識別我們的上網(wǎng)請求，并給與正確的回應(yīng)的呢？主要依靠的是一種網(wǎng)絡(luò)設(shè)備（路由器），路由器是一種能夠?qū)?shù)據(jù)包轉(zhuǎn)發(fā)到正確的目的地，并在轉(zhuǎn)發(fā)過程中選擇最佳路徑的網(wǎng)絡(luò)設(shè)備。而路由器之所以能夠這樣工作，依靠的是其內(nèi)部含有一張路由表，由它來進(jìn)行指揮，響應(yīng)我們的各種上網(wǎng)請求。
生成路由表主要有兩種方法：手工配置和動態(tài)配置，即靜態(tài)路由協(xié)議配置和動態(tài)路由協(xié)議配置。
靜態(tài)路由是指由網(wǎng)絡(luò)管理員手工配置的路由信息。
靜態(tài)路由除了具有簡單、高效、可靠的優(yōu)點(diǎn)外，它的另一個(gè)好處是網(wǎng)絡(luò)安全保密性高。
六、教學(xué)過程
1、路由基本原理介紹
路由：跨越從源主機(jī)到目標(biāo)主機(jī)的一個(gè)互聯(lián)網(wǎng)絡(luò)來轉(zhuǎn)發(fā)數(shù)據(jù)包的過程。網(wǎng)絡(luò)技術(shù)
路由器靜態(tài)路由的配置
王海峰
路由器：能夠?qū)?shù)據(jù)包轉(zhuǎn)發(fā)到正確的目的地，并在轉(zhuǎn)發(fā)過程中選擇最佳路徑的設(shè)備。
路由表：在路由器中維護(hù)的路由條目，路由器根據(jù)路由表做路徑選擇。
2、路由器的作用（1）實(shí)現(xiàn)局域網(wǎng)互聯(lián)（2）網(wǎng)絡(luò)互連功能（3）連接外部網(wǎng)絡(luò)
3、靜態(tài)路由的配置過程（1）實(shí)驗(yàn)拓?fù)?/p>
（2）在路由器R1、R2上配置接口的IP地址和R1串口上的時(shí)鐘頻率；（3）查看路由器生成的直連路由；（4）在路由器R1、R2上配置靜態(tài)路由；
（5）將PC1、PC2主機(jī)默認(rèn)網(wǎng)關(guān)分別設(shè)置為與路由器接口f1/0 IP地址；（6）PC1、PC2主機(jī)之間可以互相通信；
網(wǎng)絡(luò)技術(shù)
路由器靜態(tài)路由的配置
王海峰
路由器中主要命令的配置 R1: Router> Router>en Router#conf t Router(config)#hostname R1 R1(config)#interface fa0/0 R1(config-if)#no shutdown R1(config-if)#ip address 192.168.1.1 255.255.255.0 R1(config-if)#exit R1(config)#interface serial 0/1/0 R1(config-if)#no shutdown R1(config-if)#clock rate 64000 R1(config-if)#ip address 192.168.5.2 255.255.255.0 R1(config-if)#exit R1(config)#ip route 192.168.2.0 255.255.255.0 192.168.5.3(靜態(tài)路由配置命令)R1#show ip route C 192.168.1.0/24 is directly connected, FastEthernet0/0 S 192.168.2.0/24 [1/0] via 192.168.5.3 C 192.168.5.0/24 is directly connected, Serial0/1/0R2: R2: Router>en Router#conf t Router(config)#hostname R2 R2(config)#interface fa0/0 R2(config-if)#no shutdown R2(config-if)#ip address 192.168.2.1 255.255.255.0 R2(config-if)#exit R2(config)#interface serial 0/1/0 網(wǎng)絡(luò)技術(shù)
路由器靜態(tài)路由的配置
王海峰
R2(config-if)#no shutdown R2(config-if)#ip address 192.168.5.3 255.255.255.0 R1(config-if)#exit R2(config)#ip route 192.168.1.0 255.255.255.0 192.168.5.2(靜態(tài)路由配置命令)R2#show ip route S 192.168.1.0/24 [1/0] via 192.168.5.2 C 192.168.2.0/24 is directly connected, FastEthernet0/0 C 192.168.5.0/24 is directly connected, Serial0/1/0
4、測試
PC>ping 192.168.2.2 Pinging 192.168.2.2 with 32 bytes of data: Reply from 192.168.2.2: bytes=32 time=141ms TTL=126 Reply from 192.168.2.2: bytes=32 time=156ms TTL=126 Reply from 192.168.2.2: bytes=32 time=156ms TTL=126 Reply from 192.168.2.2: bytes=32 time=157ms TTL=126 Ping statistics for 192.168.2.2: Packets: Sent = 4, Received = 4, Lost = 0(0% loss), Approximate round trip times in milli-seconds: Minimum = 141ms, Maximum = 157ms, Average = 152ms
七、課堂小結(jié)
數(shù)據(jù)如何選擇合適的路徑到達(dá)目的地，主要依靠的是路由器中的路由表，而路由表的生成主要有三種辦法（直聯(lián)路由、靜態(tài)路由、動態(tài)路由），我們今天主要學(xué)習(xí)的靜態(tài)路由及其配置的辦法。即在全局配置模式下輸入：ip route 目標(biāo)網(wǎng)絡(luò)號 子網(wǎng)掩碼 下一條IP地址，在配置過程中，要仔細(xì)配置各個(gè)接口的IP地址，以免配置錯(cuò)誤，導(dǎo)致網(wǎng)絡(luò)不同，給排查帶來麻煩。
八、課后作業(yè)及思考
當(dāng)使用三個(gè)路由器時(shí)，那三個(gè)路由器的靜態(tài)路由該如何配置呢？而路由器再增多時(shí)，這種手工靜態(tài)路由的配置還是否合適呢？
第二篇：典型路由器實(shí)驗(yàn)配置文檔
典型路由器實(shí)驗(yàn)配置文檔
目錄
一，DHCP中繼代理配置實(shí)驗(yàn)案例(多個(gè)DHCP服務(wù)器).............................3 二，IPsecVPN穿越NAT實(shí)例配置..............................................5 三，雙PPPOE線路實(shí)驗(yàn)(神碼)..................................................9 四，外網(wǎng)通過IPsec_VPN服務(wù)器(在內(nèi)網(wǎng))訪問內(nèi)網(wǎng)服務(wù)器.........................15 五，DCR-2800和BSR-2800配置RIP路由.....................................21 六，DCR-2800 L2TP服務(wù)器配置..............................................24 七，總分部之間IPsecVPN對接................................................29 一，DHCP中繼代理配置實(shí)驗(yàn)案例(多個(gè)DHCP服務(wù)器)1，需求描述
如果DHCP客戶機(jī)與DHCP服務(wù)器在同一個(gè)物理網(wǎng)段，則客戶機(jī)可以正確地獲得動態(tài)分配的ip地址。如果不在同一個(gè)物理網(wǎng)段，則需要DHCP Relay Agent(中繼代理)。用DHCP Relay代理可以去掉在每個(gè)物理的網(wǎng)段都要有DHCP服務(wù)器的必要,它可以傳遞消息到不在同一個(gè)物理子網(wǎng)的DHCP服務(wù)器，也可以將服務(wù)器的消息傳回給不在同一個(gè)物理子網(wǎng)的DHCP客戶機(jī)，而且一個(gè)網(wǎng)絡(luò)中有可能存在多個(gè)DHCP服務(wù)器作為冗余備份。2，拓?fù)鋱D
3，配置步驟
R1# interface FastEthernet0/0 ip address dhcp client-id FastEthernet0/0 //啟用DHCP客戶端模式 R2# interface FastEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip helper-address 192.168.2.2 //真正的DHCP服務(wù)器1的地址 ip helper-address 192.168.2.3 //真正的DHCP服務(wù)器2的地址!interface FastEthernet1/0 ip address 192.168.2.1 255.255.255.0 R2(config)#ip forward-protocol udp 67(sh run 看不到)//有限廣播DHCP報(bào)文 R3# ip dhcp pool dhcp_pool network 192.168.1.0 255.255.255.0 default-router 192.168.1.1 interface FastEthernet0/0 ip address 192.168.2.2 255.255.255.0 ip route 192.168.1.0 255.255.255.0 192.168.2.1 R3(config)#service dhcp(開啟DHCP服務(wù)，sh run 看不到)R4# ip dhcp pool dhcp_pool network 192.168.1.0 255.255.255.0 default-router 192.168.1.1 interface FastEthernet0/0 ip address 192.168.2.3 255.255.255.0 ip route 192.168.1.0 255.255.255.0 192.168.2.1 R4#(config)#service dhcp(開啟DHCP服務(wù)，sh run 看不到)4，配置驗(yàn)證
Sh ip int br//查看端口信息
Show ip dhcp binding //查看所有的地址綁定信息
R1上抓包
R3上抓包
R4上抓包
5，注意事項(xiàng)
(1)必須開啟DHCP服務(wù) service dhcp(2)客戶端獲取一個(gè)地址后，廣播發(fā)送Request報(bào)文包含此地址的DHCP服務(wù)器(R3)ID，R4收到后回收已分配的地址，避免造成地址浪費(fèi)。
二，IPsecVPN穿越NAT實(shí)例配置
1，需求描述
IPSec協(xié)議的主要目標(biāo)是保護(hù)IP數(shù)據(jù)包的完整性，這意味著IPSec會禁止任何對數(shù)據(jù)包的修改。但是NAT處理過程是需要修改IP數(shù)據(jù)包的IP 包頭、端口號才能正常工作的。所以，如果從我們的網(wǎng)關(guān)出去的數(shù)據(jù)包經(jīng)過了ipsec的處理，當(dāng)這些數(shù)據(jù)包經(jīng)過NAT設(shè)備時(shí)，包內(nèi)容被NAT設(shè)備所改動，修 改后的數(shù)據(jù)包到達(dá)目的地主機(jī)后其解密或完整性認(rèn)證處理就會失敗，于是這個(gè)數(shù)據(jù)包被認(rèn)為是非法數(shù)據(jù)而丟棄。無論傳輸模式還是隧道模式，AH都會認(rèn)證整個(gè)包 頭，不同于ESP 的是，AH 還會認(rèn)證位于AH頭前的新IP頭，當(dāng)NAT修改了IP 頭之后，IPSec就會認(rèn)為這是對數(shù)以完整性的破壞，從而丟棄數(shù)據(jù)包。因此，AH是約 可能與NAT一起工作的。
意思就是說，AH處理數(shù)據(jù)時(shí)，所使用的數(shù)據(jù)是整個(gè)數(shù)據(jù)包，甚至是IP包頭的IP地址，也是處理數(shù)據(jù)的一部分，對這些數(shù)據(jù)作整合，計(jì)算出一個(gè)值，這個(gè)值是唯一的，即只有相同的數(shù)據(jù)，才可能計(jì)算出相同的值。當(dāng)NAT設(shè)備修改了IP地址時(shí)，就不符合這個(gè)值了。這時(shí)，這個(gè)數(shù)據(jù)包就被破壞了。而ESP并不保護(hù)IP包頭，ESP保護(hù)的內(nèi)容是ESP字段到ESP跟蹤字段之間的內(nèi)容，因此，如何NAT只是轉(zhuǎn)換IP的話，那就不會影響ESP的計(jì)算。但是如果是使用PAT的話，這個(gè)數(shù)據(jù)包仍然會受到破壞。
所以，在NAT網(wǎng)絡(luò)中，只能使用IPSec的ESP認(rèn)證加密方法，不能用AH。但是也是有辦法解決這個(gè)缺陷的，不能修改受ESP保護(hù)的TCP／UDP，那就再加一個(gè)UDP報(bào)頭。解決方案：NAT穿越 2，拓?fù)鋱D
3，配置步驟 R1# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 11.1.1.2！crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp set peer 11.1.1.2 set transform-set tran1 match address ipsecacl ip access-list extended ipsecacl permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ip route 0.0.0.0 0.0.0.0 10.1.1.2 R2# interface FastEthernet0/0 ip address 10.1.1.2 255.255.255.0 ip nat inside!interface FastEthernet1/0 ip address 11.1.1.1 255.255.255.0 ip nat outside ip nat inside source static esp 10.1.1.1 interface FastEthernet1/0 //支持ESP協(xié)議
ip nat inside source static udp 10.1.1.1 4500 interface FastEthernet1/0 4500 //NAT-T ipsecvpn端口地址轉(zhuǎn)換
ip nat inside source static udp 10.1.1.1 500 interface FastEthernet1/0 500 //普通 ipsecvpn 端口地址轉(zhuǎn)換
R3# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 11.1.1.1！crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp set peer 11.1.1.1 set transform-set tran1 match address ipsecacl ip access-list extended ipsecacl permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 4，配置驗(yàn)證
R1#f0/0上抓包
ISAKMP報(bào)文
ESP報(bào)文
R2#f1/0上抓包
ISAKMP報(bào)文
ESP報(bào)文
5，注意事項(xiàng)
(1)R1與R3上的對端地址均為公網(wǎng)地址，R1上要配缺省路由。
(2)IPsecVPN穿越NAT時(shí)要變換IP地址和端口，從而導(dǎo)致對方認(rèn)證失敗，所以應(yīng)該保證變換后的IP地址和端口和對端一致。
三，雙PPPOE線路實(shí)驗(yàn)(神碼)1.需求描述
現(xiàn)實(shí)網(wǎng)絡(luò)中有很多企業(yè)和機(jī)構(gòu)都采用雙線路來互相冗余備份，而其中有很多通過pppoe撥號(ADSL寬帶接入方式)來實(shí)現(xiàn)對每個(gè)接入用戶的控制和計(jì)費(fèi)。2.拓?fù)鋱D
3，配置步驟
R1# interface Virtual-tunnel0 //配置虛擬通道0 mtu 1492 //最大傳輸單元
ip address negotiated //IP地址自協(xié)商 no ip directed-broadcast ppp chap hostname DCN //chap認(rèn)證方式用戶名DCN ppp chap password 0 DCN //chap認(rèn)證方式密碼DCN
ppp pap sent-username DCN password 0 DCN //pap認(rèn)證方式用戶名DCN1密碼DCN1 ip nat outside!interface Virtual-tunnel1 mtu 1492 ip address negotiated no ip directed-broadcast ppp chap hostname DCN1 ppp chap password 0 DCN1 ip nat outside!interface f2/0 ip address 10.1.1.1 255.255.255.0 no ip directed-broadcast ip nat inside!ip route default Virtual-tunnel0 //默認(rèn)路由走虛擬隧道0 ip route default Virtual-tunnel1 //默認(rèn)隧道走虛擬隧道1!ip access-list extended natacl permit ip 10.1.1.0 255.255.255.0 any!vpdn enable 啟用VPDN!vpdn-group poe0 建vpdn組 request-dialin 請求撥號
port Virtual-tunnel0 綁定虛擬隧道0 protocol pppoe 封裝PPPOE協(xié)議
pppoe bind f0/0 綁定到物理接口f0/0!vpdn-group pppoe1 request-dialin port Virtual-tunnel1 protocol pppoe pppoe bind f1/0！!ip nat inside source list natacl interface Virtual-tunnel0 //NAT走虛擬隧道0 ip nat inside source list natacl interface Virtual-tunnel1!R2# config# ip local pool pppoe 172.16.1.2 10 //配置分配給客戶端的地址池 aaa authentication ppp default local //開啟本地ppp認(rèn)證 username DCN password 0 DCN //本地認(rèn)證的用戶名密碼!interface Virtual-template0 //建立虛擬模版0 ip address 172.16.1.1 255.255.0.0 //設(shè)置ip地址 no ip directed-broadcast ppp authentication chap //PPP認(rèn)證為chap認(rèn)證方式(virtual-tunnel隧道不能配置此參數(shù)，否則只能完成發(fā)現(xiàn)階段，不能建立會話階段)ppp chap hostname DCN //chap認(rèn)證用戶名DCN ppp chap password 0 DCN //chap認(rèn)證密碼DCN
peer default ip address pool pppoe //給撥號上來的客戶端分配地址池里的地址 ip nat inside！interface f0/0 ip address 192.168.3.3 255.255.255.0 ip nat outside!ip route default 192.168.3.1!ip access-list extended natacl permit ip 172.16.1.0 255.255.255.0 any!vpdn enable //啟用vpdn!vpdn-group pppoe //建立vpdn組 accept-dialin //允許撥入
port Virtual-template0 //綁定虛擬模版0 protocol pppoe //封裝pppoe協(xié)議
pppoe bind fastEthernet0/0 //綁定到物理接口fsatethnet0/0！ip nat inside source list natacl interface f1/0
R3# ip local pool pppoe 192.168.1.2 10!aaa authentication ppp default local!
username DCN1 password 0 DCN1!interface Virtual-template0 mtu 1492 ip address 192.168.1.1 255.255.255.0 no ip directed-broadcast ppp authentication chap
ppp chap hostname DCN1 ppp chap password 0 DCN1 peer default ip address pool pppoe ip nat inside!Interface f 1/0 ip address 192.168.3.2 255.255.255.0 no ip directed-broadcast ip nat outside！ip route default 192.168.3.1！ip access-list extended natacl permit ip 192.168.1.0 255.255.255.0 any！vpdn enable!vpdn-group pppoe accept-dialin port Virtual-template0 protocol pppoe pppoe bind FastEthernet0/0!
ip nat inside source list natacl interface f1/0!
4，驗(yàn)證配置
R1#sh ip int br
Fastethnet2/0 10.1.1.1 manual up Fastethnet0/0 unassigned manual up Fastethnet1/0 unassigned manual up Virtual-tunnel0 172.16.1.2 manual up Virtual-tunnel1 192.168.1.2 manual up #sh pppoe session
PPPOE Session Information: Total sessions 2
ID Remote_Address State Role Interface BindOn 306 FC:FA:F7:B0:06:AE Established client vn1 f0/0 307 FC:FA:F7:7E:0C:A2 Established client vn0 f1/0 R2#sh ip int br
Interface IP-Address Method Protocol-Status fastEthernet0/0 unassigned manual up fastEthernet0/1 192.168.3.3 manual up Virtual-template0 172.16.1.1 manual down Virtual-access0 172.16.1.1 manual up
#sh pppoe session
PPPOE Session Information: Total sessions 1
ID Remote_Address State Role Interface BindOn 1 FC:FA:F7:D2:07:EA Established server va0 f0/0 R3#sh ip int br
Interface
IP-Address
Method Protocol-Status FastEthernet0/0
unassigned
manual up
FastEthernet0/1
192.168.3.2
manual up Virtual-template0
192.168.1.1
manual down Virtual-access0
192.168.1.1
manual up
#sh pppoe session
PPPOE Session Information: Total sessions 1
ID
Remote_Address
State
Role
Interface BindOn
FC:FA:F7:D2:07:E9 Established
server
va0
f0/0
5，注意事項(xiàng)
（1），pppoe-client配置虛擬通道時(shí)，最大傳輸單元為1492(默認(rèn))，ip地址為自協(xié)商，ppp認(rèn)證方式為chap和pap(服務(wù)器提供的認(rèn)證方式有可能為chap或pap)。注意：不能配置ppp authentication chap(認(rèn)證方式為任意)。
（2），pppoe-client配置vpdn時(shí)，先啟用vpdn，創(chuàng)建vpdn組，請求撥號，應(yīng)用虛擬隧道，封裝pppoe協(xié)議，綁定到物理接口。
（3），pppoe-client配置默認(rèn)路由下一跳為虛擬隧道virual-tunnel0/virtual-tunnel1，配置NAT時(shí)，出接口為虛擬隧道virual-tunnel0/virtual-tunnel1。
（4），pppoe-server配置時(shí)注意配置分配給客戶端的地址池，開啟本地ppp認(rèn)證，配置本地認(rèn)證用戶名和密碼。
（5），pppoe-server配置虛擬模版時(shí)，最大傳輸單元1492，ip地址為固定ip(與地址池在同一網(wǎng)段，但不包含在地址池里)，ppp認(rèn)證方式為chap或pap，認(rèn)證的用戶名和密碼，給撥號上來的客戶端分配地址池里的地址。
（6），pppoe-server配置vpdn時(shí)，先啟用vpdn，創(chuàng)建vpdn組，允許撥號，應(yīng)用虛擬模版，封裝pppoe協(xié)議，綁定到物理接口。
四，外網(wǎng)通過IPsec_VPN服務(wù)器(在內(nèi)網(wǎng))訪問內(nèi)網(wǎng)服務(wù)器
1，需求描述
有些企業(yè)單位將VPN服務(wù)器放在內(nèi)網(wǎng)，需要讓在外網(wǎng)出差的用戶撥上VPN后能訪問內(nèi)網(wǎng)部分資源(如WEB服務(wù)器，辦公系統(tǒng)等)。2，拓?fù)鋱D
3，配置步驟 IPsecVPN_Server# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 123456 address 11.1.1.2!
crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp set peer 11.1.1.2 set transform-set tran1
match address ipsecacl!interface FastEthernet0/0 ip address 10.1.1.2 255.255.255.0 crypto map map1 //綁定轉(zhuǎn)換圖!ip route 11.1.1.0 255.255.255.0 10.1.1.1 //隧道協(xié)商的路由
ip route 172.16.1.0 255.255.255.0 10.1.1.1 //轉(zhuǎn)發(fā)VPN客戶端流量的路由!ip access-list extended ipsecacl permit ip 10.1.1.0 0.0.0.255 172.16.1.0 0.0.0.255
Telnet_Server# aaa new-model //開啟AAA認(rèn)證!aaa authentication login default none //無認(rèn)證登錄 aaa authentication enable default none //無enable認(rèn)證!interface FastEthernet0/0 ip address 10.1.1.3 255.255.255.0!ip route 0.0.0.0 0.0.0.0 10.1.1.1 //網(wǎng)關(guān)
NAT_Over# interface FastEthernet0/0 ip address 10.1.1.1 255.255.255.0 ip nat inside!interface FastEthernet1/0 ip address 11.1.1.1 255.255.255.0 ip nat outside!ip route 172.16.1.0 255.255.255.0 10.1.1.2 //指向VPN服務(wù)器!ip nat inside source static esp 10.1.1.2 interface FastEthernet1/0 //封裝ESP協(xié)議 ip nat inside source static udp 10.1.1.2 500 interface FastEthernet1/0 500 //端口映射 ip nat inside source static udp 10.1.1.2 4500 interface FastEthernet1/0 4500 //端口映射
IPsecVPN_Client# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 123456 address 11.1.1.1!
crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp
set peer 11.1.1.1 set transform-set tran1
match address ipsecacl!interface FastEthernet0/0 ip address 11.1.1.2 255.255.255.0 crypto map map1 //綁定轉(zhuǎn)換圖!interface FastEthernet1/0 ip address 172.16.1.1 255.255.255.0!ip route 10.1.1.0 255.255.255.0 11.1.1.1 //轉(zhuǎn)發(fā)VPN流量的路由!ip access-list extended ipsecacl permit ip 172.16.1.0 0.0.0.255 10.1.1.0 0.0.0.255
4，驗(yàn)證配置 172.16.1.1訪問Telnet_Server Ping 10.1.1.3 source 172.16.1.1
IPsecVPN_Client f0/0上抓包
IPsecVPN_Server f0/0上抓包
NAT_Over f0/0上抓包
Telnet_Sever f0/0上抓包
5，注意事項(xiàng)
(1)，配置ipsecvpn時(shí)，注意將map綁定到物理接口。
(2)，nat_over路由器上配置的一條指向ipsecvpn服務(wù)器的路由。
(3)，ipsecvpn_sever和ipsecvpn_client上配置隧道路由和數(shù)據(jù)路由，數(shù)據(jù)轉(zhuǎn)發(fā)時(shí)先查找路由從接口轉(zhuǎn)發(fā)時(shí)再看是否匹配ipsecacl，匹配才走ipsecvpn隧道。天津多外線內(nèi)部vpn服務(wù)器案例
五，DCR-2800和BSR-2800配置RIP路由
1，需求描述
路由信息協(xié)議（Routing Information Protocol，縮寫：RIP）是一種使用最廣泛的內(nèi)部網(wǎng)關(guān)協(xié)議（IGP）。（IGP）是在內(nèi)部網(wǎng)絡(luò)上使用的路由協(xié)議(在少數(shù)情形下,也可以用于連接到因特網(wǎng)的網(wǎng)絡(luò))，它可以通過不斷的交換信息讓路由器動態(tài)的適應(yīng)網(wǎng)絡(luò)連接的變化，這些信息包括每個(gè)路由器可以到達(dá)哪些網(wǎng)絡(luò)，這些網(wǎng)絡(luò)有多遠(yuǎn)等。RIP 屬于網(wǎng)絡(luò)層協(xié)議，并使用UDP作為傳輸協(xié)議。(RIP是位于網(wǎng)絡(luò)層的)
雖然RIP仍然經(jīng)常被使用，但大多數(shù)人認(rèn)為它將會而且正在被諸如OSPF和IS-IS這樣的路由協(xié)議所取代。當(dāng)然，我們也看到EIGRP，一種和RIP屬于同一基本協(xié)議類(距離矢量路由協(xié)議,Distance Vector Routing Protocol)但更具適應(yīng)性的路由協(xié)議，也得到了一些使用。2，拓?fù)涿枋?/p>
3，配置步驟 DCR-2800上配置 DCR-2800# interface GigaEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip rip 1 enable!interface GigaEthernet0/1 ip address 192.168.2.1 255.255.255.0 ip rip 1 enable!router rip 1
neighbor 192.168.1.2 DCR-2800#sh ip route C
192.168.1.0/24
is directly connected, GigaEthernet0/0 C
192.168.2.0/24
is directly connected, GigaEthernet0/1 R
192.168.3.0/24
[120,1] via 192.168.1.2(on GigaEthernet0/0)
BSR-2800上配置 BSR-2800# interface GigaEthernet0/0 ip address 192.168.1.2 255.255.255.0 ip rip 1 enable!interface GigaEthernet0/1 ip address 192.168.3.1 255.255.255.0 ip rip 1 enable!router rip 1
neighbor 192.168.1.1 BSR-2800#sh ip route C
192.168.1.0/24
is directly connected, GigaEthernet0/0 R
192.168.2.0/24
[120,1] via 192.168.1.1(on GigaEthernet0/0)C
192.168.3.0/24
is directly connected, GigaEthernet0/1 4，驗(yàn)證配置
DCR-2800#ping 192.168.3.1 PING 192.168.3.1(192.168.3.1): 56 data bytes?。?---192.168.3.1 ping statistics---5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0/0/0 ms 5，注意事項(xiàng)
（1），neighbor 為對端ip（2），在接口下 ip rip 1 enable 則宣告了這個(gè)接口的地址所在的網(wǎng)段，如果這個(gè)接口有兩個(gè)地址，例如 interface GigaEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip address 192.168.4.1 255.255.255.0 secondary 則只能成功宣告192.168.1.0 這個(gè)網(wǎng)段 如果一個(gè)接口分兩個(gè)邏輯子接口，例如 interface GigaEthernet0/0.0 ip address 192.168.1.1 255.255.255.0 interface GigaEthernet0/0.1 ip address 192.168.4.1 255.255.255.0 則能成功宣告兩個(gè)網(wǎng)段192.168.1.0，192.168.4.0 六，DCR-2800 L2TP服務(wù)器配置
1，需求描述
L2TP是一種工業(yè)標(biāo)準(zhǔn)的Internet隧道協(xié)議，功能大致和PPTP協(xié)議類似，比如同樣可以對網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行加密。不過也有不同之處，比如PPTP要求網(wǎng)絡(luò)為IP網(wǎng)絡(luò)，L2TP要求面向數(shù)據(jù)包的點(diǎn)對點(diǎn)連接；PPTP使用單一隧道，L2TP使用多隧道；L2TP提供包頭壓縮、隧道驗(yàn)證，而PPTP不支持。2，拓?fù)涿枋?/p>
3，配置步驟 DCR-2800上配置 int g0/0 ip add 192.168.1.1 255.255.255.0 ip local pool l2tp_pool 172.16.1.1 10 //配置l2tp地址池 aaa authentication ppp default local //開啟ppp認(rèn)證!interface Virtual-template0 //創(chuàng)建虛擬接口模版
ip add 192.168.2.1 255.255.255.0//virtual-template接口的地址為任意地址
no ip directed-broadcast
ppp authentication chap //認(rèn)證方式為chap ppp chap hostname admin //認(rèn)證用戶名
ppp chap password 0 admin //認(rèn)證密碼
peer default ip address pool l2tp_pool //調(diào)用地址池!vpdn enable //開啟虛擬專用撥號!
vpdn-group l2tp //定義vpdn組
accept-dialin //允許撥入
port Virtual-template0 //綁定虛擬接口模版
protocol l2tp //定義協(xié)議為l2tp local-name default force-local-chap //強(qiáng)制進(jìn)行CHAP驗(yàn)證
lcp-renegotiation //重新進(jìn)行LCP協(xié)商!PC上配置
網(wǎng)絡(luò)和共享中心->設(shè)置新的連接或網(wǎng)絡(luò)->連接到工作區(qū)->使用我的Internet連接VPN
4，驗(yàn)證配置
撥號成功
5，注意事項(xiàng)
(1)，L2TP服務(wù)器上virtual-template接口的地址為任意地址
(2)，force-local-chap //強(qiáng)制進(jìn)行CHAP驗(yàn)證，lcp-renegotiation //重新進(jìn)行LCP協(xié)商(3)，PC客戶端上配置可選加密，勾選三種認(rèn)證方式PAP，CHAP，MS-CHAP
七，總分部之間IPsecVPN對接
1，需求描述
導(dǎo)入IPSEC協(xié)議，原因有2個(gè)，一個(gè)是原來的TCP/IP體系中間，沒有包括基于安全的設(shè)計(jì)，任何人，只要能夠搭入線路，即可分析所有的通訊數(shù)據(jù)。IPSEC引進(jìn)了完整的安全機(jī)制，包括加密、認(rèn)證和數(shù)據(jù)防篡改功能。另外一個(gè)原因，是因?yàn)镮nternet迅速發(fā)展，接入越來越方便，很多客戶希望能夠利用這種上網(wǎng)的帶寬，實(shí)現(xiàn)異地網(wǎng)絡(luò)的的互連通。
IPSEC協(xié)議通過包封裝技術(shù)，能夠利用Internet可路由的地址，封裝內(nèi)部網(wǎng)絡(luò)的IP地址，實(shí)現(xiàn)異地網(wǎng)絡(luò)的互通?？偛亢头植恐g通過IPsecVPN隧道通信，分部和分部之間通過和總部建立的IPsecVPN隧道通信。2，拓?fù)湫枨?/p>
3，配置步驟 總部：
crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 2.1.1.2 255.255.255.0 crypto isakmp key 123456 address 3.1.1.2 255.255.255.0!
crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp
set peer 2.1.1.2 set peer 3.1.1.2 set transform-set tran1 match address ipsecacl!interface Loopback0 ip address 192.168.1.1 255.255.255.0!interface FastEthernet0/0 ip address 1.1.1.1 255.255.255.0 duplex auto speed auto crypto map map1!ip route 0.0.0.0 0.0.0.0 1.1.1.2!ip access-list extended ipsecacl permit ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255 分部A：
crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 1.1.1.1 255.255.255.0!crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp
set peer 1.1.1.1 set transform-set tran1
match address ipsecacl!interface Loopback0 ip address 192.168.2.1 255.255.255.0!interface FastEthernet0/0 ip address 2.1.1.2 255.255.255.0 duplex auto speed auto crypto map map1!ip route 0.0.0.0 0.0.0.0 2.1.1.1!ip access-list extended ipsecacl permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.255.255 分部B： crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 123456 address 1.1.1.1 255.255.255.0!crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp
set peer 1.1.1.1 set transform-set tran1
match address ipsecacl!interface Loopback0 ip address 192.168.3.1 255.255.255.0!interface FastEthernet0/0 ip address 3.1.1.2 255.255.255.0 crypto map map1!ip route 0.0.0.0 0.0.0.0 3.1.1.1!ip access-list extended ipsecacl permit ip 192.168.3.0 0.0.0.255 192.168.0.0 0.0.255.255
Internet：
interface FastEthernet0/0 ip address 1.1.1.2 255.255.255.0!interface FastEthernet1/0 ip address 2.1.1.1 255.255.255.0!interface FastEthernet2/0 ip address 3.1.1.1 255.255.255.0 4，驗(yàn)證配置
總部：
Router#sh crypto isakmp sa dst
src
state
1.1.1.1
3.1.1.2
QM_IDLE 1.1.1.1
2.1.1.2
QM_IDLE 分部A：
Router#sh crypto isakmp sa dst
src
state
1.1.1.1
2.1.1.2
QM_IDLE 總部和分部A通信：
conn-id slot status
0 ACTIVE
0 ACTIVE
conn-id slot status
0 ACTIVE
Router#ping 192.168.1.1 source 192.168.2.1 Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds: Packet sent with a source address of 192.168.2.1！！!Success rate is 100 percent(5/5), round-trip min/avg/max = 40/55/84 ms 分部A上抓包：
分部A與分部B通信：
Router#ping 192.168.3.1 source 192.168.2.1 Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.3.1, timeout is 2 seconds: Packet sent with a source address of 192.168.2.1??！!Success rate is 100 percent(5/5), round-trip min/avg/max = 60/94/140 ms 總部上抓包：
分部B上抓包：
分部B：
Router#sh crypto isakmp sa dst
src
state
conn-id slot status 1.1.1.1
3.1.1.2
QM_IDLE
0 ACTIVE 分部B與總部A通信：
Router#ping 192.168.1.1 source 192.168.3.1 Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds: Packet sent with a source address of 192.168.3.1??！!Success rate is 100 percent(5/5), round-trip min/avg/max = 16/50/92 ms 分部B上抓包：
分部B與分部A通信：
Router#ping 192.168.2.1 source 192.168.3.1
Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds: Packet sent with a source address of 192.168.3.1??！!Success rate is 100 percent(5/5), round-trip min/avg/max = 68/95/144 ms 總部上抓包：
分部A上抓包：
5，注意事項(xiàng)
(1)，思科IPsecvpn內(nèi)網(wǎng)流量先查找路由后匹配策略，只有到達(dá)對端私網(wǎng)的路由，才能匹配策略加密封裝。
(2)，隧道協(xié)商需要公網(wǎng)路由的可達(dá)性，但是只有內(nèi)網(wǎng)有感興趣流量時(shí)才能觸發(fā)隧道協(xié)商，從而建立隧道，而且需要雙向的觸發(fā)。
第三篇：實(shí)驗(yàn)十三 路由器的配置
實(shí)驗(yàn)實(shí)驗(yàn)十三：路由器的基本配置
一、實(shí)驗(yàn)?zāi)康?/p>
掌握路由器幾種配置方法；
掌握采用console線攬配置路由器的方法 掌握采用Telnet方式配置路由器的方法
熟悉路由器不同命令行操作模式以及各種模式之間的切換 掌握路由的基本配置命令
二、技術(shù)原理
1、新建packet tracer拓?fù)鋱D。
2、用標(biāo)準(zhǔn)console線纜用于連接計(jì)算機(jī)的串口和路由器的console口上。在計(jì)算機(jī)上啟用超級終端，并配置超級終端的參數(shù)，是計(jì)算機(jī)與路由器通過console接口建立連接
3、配置路由器的管理IP地址，并為Telnet用戶配置用戶名和登錄口令。配置計(jì)算機(jī)的IP地址（與路由器管理IP地址在同一個(gè)網(wǎng)段），通過網(wǎng)線將計(jì)算機(jī)和路由器相連，通過計(jì)算機(jī)Telnet到路由器上對交換機(jī)進(jìn)行查看。
4、更改路由器的主機(jī)名。
5、顯示當(dāng)前配置信息。
6、顯示歷史命令。
三、實(shí)驗(yàn)背景
1、你是某公司新進(jìn)的網(wǎng)管，公司要求你熟悉網(wǎng)絡(luò)產(chǎn)品，首先要求你登錄路由器，了解、掌握路由器的命令行操作。
2、作為網(wǎng)絡(luò)管理員，你第一次在設(shè)備機(jī)房對路由器進(jìn)行了初次配置后，希望以后在辦公室或出差時(shí)也可以對設(shè)備進(jìn)行遠(yuǎn)程管理，現(xiàn)要在路由器上做適當(dāng)配置
四、實(shí)驗(yàn)設(shè)備 硬件：個(gè)人電腦
軟件： windows操作系統(tǒng)，packet tracer5.3 Router_2811臺；PC1臺；交叉線；配置線
交叉線：路由器與及計(jì)算機(jī)相連 路由器與交換機(jī)相連 直通線：計(jì)算機(jī)與交換機(jī)相連
五、實(shí)驗(yàn)步驟
Router>en Router#conf t Enter configuration commands, one per line.End with CNTL/Z.Router(config)#hostname r1
// 設(shè)置路由器的名稱 r1(config)#enable secret 123456 // 設(shè)置特權(quán)模式密碼 r1(config)#exit %SYS-5-CONFIG_I: Configured from console by console r1# r1#conf t Enter configuration commands, one per line.End with CNTL/Z.r1(config)#line vty 0 4
//表示配置遠(yuǎn)程登錄線路，進(jìn)入虛擬終端。0~4是遠(yuǎn)程登錄的線路編號
r1(config-line)#password 1111
// 設(shè)置telnet遠(yuǎn)程登錄密碼 r1(config-line)#login
//用于打開登錄認(rèn)證功能 r1(config-line)#exit r1(config)#int f0/0
// 進(jìn)入路由器0模塊第0端口 r1(config-if)#ip add 192.168.1.1 255.255.255.0 // 該端口配置相應(yīng)的IP地址和子網(wǎng)掩碼
r1(config-if)#no shut // 開啟端口
%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up %LINEPROTO-5-UPDOWN:
Line
protocol
on
Interface FastEthernet0/0, changed state to up r1(config-if)#end r1# %SYS-5-CONFIG_I: Configured from console by console
六、實(shí)驗(yàn)步驟
第四篇：ccna靜態(tài)路由配置和環(huán)回口配置
router>用戶模式 enable disable router#特權(quán)模式 configure terminal router（config）#全局模式 interface fx/x router（config-if）#接口模式 show ip interface brief 查看接口 show running-config 查看所有配置
工程三招：
no ip domain lookup 關(guān)閉域名解析
line console 0 進(jìn)入到console（控制端）模式 logging synchronous 開啟信息同步
no exec-timeout 關(guān)閉會話超時(shí)，防止一段時(shí)間內(nèi)不操作自動退出
配置靜態(tài)路由表
R1 :f0/0 192.168.1.1 R2: f0/0 192.168.1.2 f1/0 192.168.2.1 R3:f0/0 192.168.2.2
R1配置情況如下：
R2配置情況如下：
R3配置情況如下：
配置回環(huán)口
R1配置情況如下：
R2配置情況如下：
R3配置情況如下：
Telnet
1、Line vty 0 4 Password xxx Login //沒有設(shè)置密碼情況下不能打login
2、line vty 0 4
3、
第五篇：計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)二(路由器rip協(xié)議配置)
路由器rip協(xié)議配置
專 業(yè)： 班 級： 姓 名： 學(xué) 號： 指導(dǎo)教師： 日 期： 2012年12月3日
一、實(shí)驗(yàn)概述 實(shí)驗(yàn)?zāi)康?/p>
1.了解路由器設(shè)備
2.查看路由器的信息
3.熟悉路由器的接口IP地址配置
4.熟悉路由器的RIP路由協(xié)議配置 實(shí)驗(yàn)內(nèi)容
1.了解路由器設(shè)備
2.實(shí)驗(yàn)拓?fù)鋱D及要求
3.配置路由器接口IP地址
4.配置路由器RIP協(xié)議
5.了解其它show命令
6.課堂練習(xí)要求
1)路由器的基本配置：分別給路由器命名為r1、r2和r3；關(guān)閉域名查找； 設(shè)置路由器接口IP地址。
2)配置RIP路由協(xié)議，使每個(gè)網(wǎng)段之間都能夠相互通信。
3)在以上網(wǎng)絡(luò)的基礎(chǔ)上，增加R4路由器，并為R4配置一個(gè)環(huán)回接口及RIP協(xié)議。注意，R4和R2的連接鏈路也需要配置。配置完成后，請查看R2路由器的路由表，并且，使用ping命令測試各網(wǎng)絡(luò)的連通性。
二、實(shí)驗(yàn)環(huán)境
使用GNS3模擬CISCO的交換機(jī)和路由器、Windows系統(tǒng)。
三、實(shí)驗(yàn)步驟
路由器r1的配置。
查看路由器r1的接口編號。
路由器r2的配置
r1和r2在同一個(gè)局域網(wǎng)內(nèi)，現(xiàn)在不需要路由，就可互相ping通。但是r2ping不通loopback()接口，需要配置路由。路由器r3 的配置
路由器r4的配置：
為r1、r2、r3、r4配置rip協(xié)議：
指定與r2相連的網(wǎng)絡(luò)有：192.1.1.0、172.16.0.0和182.1.1.0。
指定與r3相連的網(wǎng)絡(luò)有：192.1.1.0和20.0.0.0。
指定與r2相連的網(wǎng)絡(luò)有：182.1.1.0和30.0.0.0。
從r3可以ping通r1右邊的loopback()。
從r1的環(huán)回接口ping r3、r4的環(huán)回接口，都可以ping通。
當(dāng)然，從r3 ping r1 的環(huán)回接口可以ping通，r3的環(huán)回接口ping r4的環(huán)回接口也能ping通。
r2路由表：
r4路由表：
四、實(shí)驗(yàn)心得體會
因?yàn)橛辛说谝淮螌?shí)驗(yàn)的基礎(chǔ)加之要完成的實(shí)驗(yàn)二的課堂練習(xí)不是很難，本次實(shí)驗(yàn)沒有花太多時(shí)間。非常感謝老師給的視頻，對我的學(xué)習(xí)有很大的幫助。
本次實(shí)驗(yàn)有幾大收獲：
由于之前每次用GNS3 軟件時(shí)，電腦CPU利用率都達(dá)100%，雖然利用了很多方法，也沒有將CPU利用率降下來。本次實(shí)驗(yàn)我試著將路由器的 idle 值多試了幾次，看到還是有合適的idle 值使電腦CPU利用率降低的。用GNS3，CPU終于不再是100%了，有點(diǎn)小開心。
網(wǎng)上也有人說，多算幾次IDLE，然后運(yùn)行設(shè)備的時(shí)候別點(diǎn)上面那個(gè)綠箭頭，那個(gè)是所有設(shè)備同時(shí)開始運(yùn)行，一個(gè)一個(gè)設(shè)備的開始運(yùn)行，運(yùn)行一個(gè)設(shè)備大概CPU利用率在50%左右，等5-10秒會降下來，等利用率降下來之后再運(yùn)行下一個(gè)設(shè)備，若要一氣所有設(shè)備都開開的話CPU就會一直100%不降。不過我沒試過。
我還體會了路由器環(huán)回接口的測試作用，知道了對于路由器的每個(gè)接口，IP值可以不一樣（以前不知道，有點(diǎn)小弱智）。知道了路由器 ping 其他路由器的一般接口或環(huán)回接口時(shí)，source xx.xx.xx.xx命令的作用。
點(diǎn)擊咨詢 