思科路由器的高级功能

1 第 7章 思科路由器的高级功能 7.1 设置路由器成为 DHCP服务器 操作内容：设置路由器成为 DHCP服务器，设置路由器的 IP转发广播特性，用以传送非直连子网的 DHCP请求 。 。 组网环境： Cisco7204 VXR路由器，操作系统版本为 IOS (tm) 7200 Software (C7200-JK9S-M), Version 12.3(12a)，该路由器充当 DHCP服务器。 Cisco 3725路由器，操作系统版本为 IOS (tm) 3700 Software (C3725-JK9S-M), Version 12.3(12a)，该路由器上设置 IP转发广播特性。至少二台 PC机充当客户机，一台在 LAN1，另一台在 LAN2。 RTA的串口 S1/0连接 V.35交叉电缆的DCE端 。 2 图 7-1 设置路由器为 DHCP服务器 D N S 服 务 器D H C P 客 户 机N e t B I O S 服 务 器S 1 / 0 S 1 / 01 9 2 . 1 6 8 . 1 . 1 / 2 41 9 2 . 1 6 8 . 1 . 2 / 2 4C i s c o 7 2 0 4 V X RC i s c o 3 7 2 51 0 . 2 1 4 . 2 8 . 0 / 2 4 1 0 . 2 1 4 . 2 9 . 0 / 2 41 0 . 2 1 4 . 2 8 . 21 0 . 2 1 4 . 2 8 . 3D H C P 客 户 机D H C P 客 户 机 D H C P 客 户 机D H C P 客 户 机 D H C P 客 户 机1 0 . 2 1 4 . 2 8 . 1F a 0 / 0 F a 0 / 01 0 . 2 1 4 . 2 9 . 1D H C P 服 务 器L A N 1 L A N 2R T AR T D3 7.1.2 背景知识 动态主机配置协议（ DHCP）主要用于在 TCP/IP网络中 ,通过DHCP服务器给客户端主机自动配置参数 DHCP协议支持三种 IP地址分配方式： 自动分配： DHCP服务器给客户机分配一个永久的 IP地址。 动态分配： DHCP服务器给客户机分配的 IP地址有一定的期 限，称为租约期限。 手工分配：每个客户机对应的 IP地址由管理员指定，只是通过DHCP服务器给客户机分配。 DHCP客户机第一次登录网络时向本地物理子网广播一个DHCPDISCOVER消息 ,接受第一个收到的 DHCPOFFER消息，并广播一个 DHCPREQUEST消息，告诉所有的 DHCP服务器它将使用哪一台服务器提供的 IP地址。 4 7.1.3 操作步骤 1. 网络拓扑说明 如图 7-1所示， /24网络为 LAN1， /24网络为LAN2， LAN1和 LAN2上的主机作为 DHCP客户机。 路由器 RTA作为 DHCP服务器，创建两个独立的地址池为这两个子网服务。 路由器 RTD的以太网口 Fa0/0需要设置 IP转发广播特性，将 LAN2上的客户端主机的 DHCP请求转发给 DHCP服务器 RTA LAN1中主机的默认网关地址为 ,DHCP服务器为之创建的地址池命名为 28-net。 NetBIOS服务器地址为 ，域名为 ，地址租用期限为 10天 10小时 10分钟。 LAN2中主机的默认网关地址为 ， DHCP服务器为之创建的地址池命名为 29-net。 29-net地址池中 DNS服务器地址、 NetBIOS服务器地址和域名与 28-net地址池相同，地址租用期限为 8天 8小时 8分钟 路由器 RTA和 RTD的相连网段为 /24。 5 7.1.3 操作步骤 1. 配置步骤 (1)配置路由器 RTA RTA# configure terminal RTA(config)# ip route Serial1/0 RTA(config)# interface FastEthernet0/0 #RTA的以太网接口地址设置 RTA(config-if)# ip address RTA(config-if)# no shutdown RTA(config-if)# exit RTA(config)# interface Serial1/0 #RTA的串行接口地址设置 RTA(config-if)# ip address RTA(config-if)# clock rate 56000 #连接该端口的电缆若是 DTE电缆，则不用配置 RTA(config-if)# no shutdown 6 (2)配置路由器 RTD： RTD# configure terminal RTD(config)# ip route Serial1/0 RTD(config)# interface FastEthernet 0/0 #RTD的以太网接口地址设置 RTD(config-if)# ip address RTD(config-if)# no shutdown RTD(config-if)# exit RTD(config)# interface Serial1/0 #RTD的串行接口地址设置 RTD(config-if)# ip address RTA(config-if)# clock rate 56000 #连接该端口的电缆若是 DTE电缆，则不用配置 RTD(config-if)# no shutdown 7 (3) 验证路由是否正常工作： 在子网 LAN1和 LAN2上各任选一台客户机，指定客户机的本地连接网络参数。如指定 LAN1上的客户机静态 IP地址为00，子网掩码为 ，默认网关为，指定 LAN2上的客户机静态 IP地址 00，子网掩码为 ，默认网关为 。 然后从 LAN1上客户机 00 ping LAN2上客户机00，应该能够互通。如果有问题，可以用命令 show ip route查看路由信息。 C:ping 00 Pinging 00 with 32 bytes of data: Reply from 00: bytes=32 time=21ms TTL=126 Reply from 00: bytes=32 time=21ms TTL=126 8 RTA# show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set /24 is subnetted, 2 subnets C is directly connected, FastEthernet0/0 S is directly connected, Serial1/0 #创建的静态路由 C /24 is directly connected, Serial1/0 9 (4) 配置 RTA为 DHCP服务器 启动 DHCP服务 RTA(config)# service dhcp 在全局模式下配置 DHCP地址池中不参与自动分配的 IP地址。 RTA(config)# ip dhcp excluded-address RTA(config)# ip dhcp excluded-address IP地址 到 以及 不参与自动地址分配，这些地址有特定的用途。 创建地址池 28-net,并设置地址池网段、默认网关地址、 DNS服务器地址、 WINS服务器地址、域名和地址租用期限。 RTA(config)# ip dhcp pool 28-net #指定地址池名为 28-net RTA(dhcp-config)# network #指定动态地址段为 RTA(dhcp-config)# default-router #指定默认网关地址为 RTA(dhcp-config)# dns-server #指定 dns服务器地址为 10 RTA(dhcp-config)# netbios-name-server #指定WINS服务器地址为 RTA(dhcp-config)# domain-name #指定域名为 RTA(dhcp-config)# lease 10 10 10 #指定地址租用期限 10天 10小时 10分钟 RTA(dhcp-config)# exit 创建地址池 29-net,并设置地址池网段、默认网关地址、 DNS服务器地址、 WINS服务器地址、域名和地址租用期限。 RTA (config)# ip dhcp pool 29-net #说明略，同上 RTA(dhcp-config)# network RTA(dhcp-config)# default-router RTA(dhcp-config)# dns-server RTA(dhcp-config)# netbios-name-server RTA(dhcp-config)# domain-name RTA(dhcp-config)# lease 8 8 8 11 (5) 测试 DHCP服务器为 LAN1网段分发的动态 IP地址 选择 LAN1上的任意一台客户机 ,在该客户机上选择网上邻居中的“本地连接”，在 TCP/IP属性中选中“自动获取 IP地址”和“自动获得 DNS服务器地址”选项，单击“确定”。 然后打开 DOS命令提示符，输入命令“ ipconfig /all”进行查看，显示信息如图 7-2所示。 该客户机获取的 IP地址是地址池 28-net中第一个可用地址 ，同时检查客户机收到的子网掩码、缺省网关、域名、 DNS服务器地址、WINS服务器地址和地址租用时间等信息是否正确。 如果客户机无法获取动态 IP地址等信息，有可能是客户机的 DHCP Client服务没有开启。请确认客户机的 DHCP Client服务已经启动。 12 图 7-2 图 7-2 13 (6) 在 路由器 RTD上配置 IP广播地址转发 LAN2(/24)网段不是 DHCP服务器的直连网段，默认情况下， DHCP服务器是无法收到该网段上 DHCP客户机发送的 DHCP请求消息的（ UDP广播）。 为了让 DHCP服务器能够给 /24网段上的客户机分发地址，需要在路由器 RTD的 Fa0/0接口上设置 UDP广播转发。 设置广播转发特性使用命令 ip helper-address。 RTD(config)# interface FastEthernet 0/0 RTD(config-if)# ip helper-address 该命令执行的结果是，路由器 RTD把以太网口 Fa0/0收到的广播消息转发给 RTA上的 串行接口上。关于命令 ip helper-address的详细说明请参看有关书籍。 14 (7) 测试 DHCP服务器为 LAN2分发的动态 IP地址 选择 LAN2上的一台客户机，操作步骤同 (5),显示信息如图 7-3所示。 结果正确 。 15 (8) 测试 DHCP地址分配下的子网连通性 通过 DHCP方式获取的动态地址可以释放也可以重新申请。 在 DOS命令提示符下，用命令 ipconfig /release 释放动态地址 . 用命令 ipconfig /renew重新申请动态地址。 从 LAN1网段中 IP地址为 的客户机 ping LAN2网段中的 IP地址为 的客户机，能够 ping通，说明配置成功。 C:ping Pinging with 32 bytes of data: Reply from : bytes=32 time=21ms TTL=126 Reply from : bytes=32 time=21ms TTL=126 16 (9) 配置文件列表 RTA配置文件如下，以下横线标出的是进行配置过的选项。 Current configuration : 1496 bytes ! version 12.3 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname RTA ! boot-start-marker boot-end-marker ! no aaa new-model ip subnet-zero ! ip dhcp excluded-address ip dhcp excluded-address ! 17 ip dhcp pool 28-net network default-router dns-server netbios-name-server domain-name lease 10 10 10 ! ip dhcp pool 29-net network default-router dns-server netbios-name-server domain-name lease 8 8 8 ! ip cef ! 18 interface FastEthernet0/0 ip address duplex auto speed auto ! interface FastEthernet0/1 no ip address shutdown duplex auto speed auto ! interface Serial1/0 ip address serial restart-delay 0 clockrate 56000 no fair-queue ! interface Serial1/1 no ip address shutdown serial restart-delay 0 ! 19 interface Serial1/2 no ip address shutdown serial restart-delay 0 ! interface Serial1/3 no ip address shutdown serial restart-delay 0 ! ip classless ip route Serial1/0 no ip http server no ip http secure-server ! gatekeeper shutdown ! 20 line con 0 transport preferred all transport output all stopbits 1 line aux 0 stopbits 1 line vty 0 4 login ! 21 RTD配置文件如下： . hostname RTD ! interface FastEthernet0/0 ip address ip helper-address duplex auto speed auto ! interface Serial1/0 ip address serial restart-delay 0 ip classless ip route Serial1/0 ! 22 (10) DHCP服务器信息查询和显示 查看 DHCP服务器统计信息 RTA# show ip dhcp server statistics Memory usage 16803 Address pools 2 Database agents 0 Automatic bindings 2 Manual bindings 0 Expired bindings 0 Malformed messages 0 Secure arp entries 0 Message Received BOOTREQUEST 0 DHCPDISCOVER 9 DHCPREQUEST 8 DHCPDECLINE 0 DHCPRELEASE 1 DHCPINFORM 6 23 Message Sent BOOTREPLY 0 DHCPOFFER 9 DHCPACK 14 DHCPNAK 0 该命令用于对 DHCP服务器的相关信息进行统计。 如上所示， Memory usage表示服务器使用内存的情况。 Address pools表示服务器中地址池的个数。 Database agents表示数据库代理的个数。 Automatic bindings表示自动分配的地址个数。 Manual bindings表示手工绑定 (如 mac地址和 IP地址绑定 )的地址个数。 Expired bindings表示过期的地址个数。 Malformed messages表示错误消息个数。 Secure arp entries表示安全 arp条目个数。 24 地址池详细信息查看 RTA# show ip dhcp pool Pool 28-net: Utilization mark (high/low) : 100/0 Subnet size (first/next) : 0/0 Total addresses : 254 Leased addresses : 1 Pending event : none 1 subnet is currently in the pool : Current index IP address range Leased addresses - 54 1 Pool 29-net: Utilization mark (high/low) : 100/0 Subnet size (first/next) : 0/0 Total addresses : 254 Leased addresses : 1 Pending event : none 1 subnet is currently in the pool : Current index IP address range Leased addresses - 54 1 25 已分配地址信息 命令 show ip dhcp binding显示 DHCP服务器已分配的地址信息。 RTA# show ip dhcp binding Bindings from all pools not associated with VRF: IP address Client-ID/ Lease expiration Type Hardware address/ User name 0100.0874.164a.3f Feb 10 2005 04:33 PM Automatic 0100.0874.164a.46 Feb 08 2005 01:40 PM Automatic 显示的信息可以得知，目前 DHCP服务器已分配二个地址给客户机，分别是 和 ，同时对每个地址还给出了对应的详细信息，包括客户机 ID(硬件地址或用户名 )、地址租用过期时间和地址类型。 26 第 7章 思科路由器的高级功能 7.2 访问控制列表的配置 操作内容：如图 7-4所示，连接路由器和 PC机，然后配置路由器到达如下两个目标： 一是使用标准访问控制列表禁止 PC1所在网段（ /24）的主机访问 PC2所在网段（ /24）的主机； 二是使用基于时间的扩展访问控制列表在每晚 0： 00 1： 00时间段禁止 PC1所在网段（ /24）的主机 ping PC3所在网段（ /24）的主机。 组网环境： Cisco 2621XM路由器两台， IOS为 c2600-adventerprisek9-mz.123-11.T3（版本为 12.3）， PC机 3台，操作系统为 Windows 2000/XP/2003。 。 27 图 7-4 访问控制列表拓扑图 P C 11 9 2 . 1 6 8 . 1 . 11 9 2 . 1 6 8 . 2 . 11 9 2 . 1 6 8 . 4 . 21 9 2 . 1 6 8 . 2 . 2R 2P C 2R 1 1 9 2 . 1 6 8 . 4 . 11 9 2 . 1 6 8 . 1 . 2P C 31 9 2 . 1 6 8 . 3 . 11 9 2 . 1 6 8 . 3 . 2S 0 / 0S 0 / 0F E 0 / 0 F E 0 / 0F E 0 / 128 7.2.2 背景知识 1. 包过滤与访问控制列表 Cisco IOS软件在许多功能上使用了访问控制列表（ access control list），访问控制列表可以应用于下列情形： 实现数据报过滤，限制用户访问某些外部网段、端口、应用服务器，或者限制外部数据报存取内部网络的某些网段、端口、应用服务器。防火墙一般都有该项功能。 在接口上控制报文传输。 控制 vty的访问。 限制路由更新的内容。 在配置和使用访问控制列表时需要注意如下规则： 所有访问控制列表的最后都隐含有一个 deny，这在配置文件中是看不到的。 对访问控制列表的匹配是自上而下按顺序进行的，当找到匹配规则时将停止进一步的比较。 没有定义任何条目的访问控制列表表示允许所有的数据。 出站过滤仅对转发数据报有效，不会影响路由器自身产生的数据报。 配置访问控制列表时应当按照从一般到特殊的顺序，特殊的列表项总是添加在访问控制列表的最后，使得大部分分组能与前面的列表项匹配，减少比较的时间和开销。 29 2. 访问控制列表的基本配置命令 (1) 标准 IP访问控制列表 标准访问控制列表根据源地址进行匹配，路由器检查分组的源地址，并与标准访问控制列表进行比较和匹配，然后决定丢弃或转发。 如果使用数字来定义标准访问控制列表，其具体的命令如下所示。 第一步，对访问控制列表进行注释说明（可选）： Router(config)# access-list access-list-number remark remark 其中， access-list-number是 1 99之间的整数， remark是添加的注释说明，本命令仅起注释说明作用，可以省略。 第二步，定义标准访问控制列表的匹配条件，有下面几种形式： 使用源地址和通配符掩码定义一个标准访问控制列表： Router(config)# access-list access-list-number deny | permit source source-wildcard log 或者使用 any来代表源地址和通配符掩码 55： Router(config)# access-list access-list-number deny | permit any log 30 如果使用名字来定义标准列表，其具体的命令如下所示。 第一步，使用名字定义标准访问控制列表，并进入标准命名访问控制列表配置模式： Router(config)# ip access-list standard name 其中， name是当前所创建的访问控制列表的名字。 第二步，对访问控制列表进行注释说明： Router(config-std-nacl)# remark remark 第三步，通过 deny和 permit来定义匹配条件： Router(config-std-nacl)# deny | permit source source-wildcard | anylog 第四步，退出标准命名访问控制列表配置模式： Router(config-std-nacl)# exit 31 (2) 扩展 IP访问控制列表 扩展 IP访问控制列表根据源和目的地址、协议、 TCP/UDP协议中的源和目的端口等参数进行匹配。 使用数字来定义扩展访问控制列表，其具体的命令如下所示。 第一步，对访问控制列表进行注释说明（可选）： Router(config)# access-list access-list-number remark remark 第二步，定义扩展访问控制列表的匹配条件，有下面几种形式： Router(config)# access-list access-list-number deny | permit protocol source source-wildcard destination destination-wildcard precedence precedence tos tos established log | log-input time-range time-range-name fragments 其中， access-list-number是 100 199之间的整数 ， time-range表示相应规则在指定时间内适用，这个选项将在下面专门讲述。 当协议为 TCP协议时，使用下面的语法： access-list access-list-number deny | permit tcp source source-wildcard operator port destination destination-wildcard operator port established precedence precedence tos tos log | log-input time-range time-range-name fragments 32 当协议为 ICMP时，使用下面的语法： access-list access-list-number deny | permit icmp source source-wildcard destination destination-wildcard icmp-type icmp-code | icmp-message precedence precedence tos tos log | log-input time-range time-range-name fragments 对于其它的协议 UD等，相应命令还可以继续展开，对端口、类型等值进行匹配，这里就略去了。 使用名字来定义扩展访问控制列表，其具体的命令如下所示。 第一步，使用名字定义扩展访问控制列表，并进入扩展命名访问控制列表配置模式： Router(config)# ip access-list extended name 第二步，对访问控制列表进行注释说明（可选）： Router(config-ext-nacl)# remark remark 第三步，通过 deny和 permit来定义匹配条件： Router(config-ext-nacl)# deny | permit protocol source source-wildcard destination destination-wildcard precedence precedence tos tos established log | log-input time-range time-range-name fragments 33 (3) 设定时间段 在上面的扩展访问控制列表中我们可以看到 time-range这个关键字，它用于在指定的日期和时间范围内应用访问控制列表。下面介绍一下定义时间段的相关命令。 第一步，为时间段命名，并进入时间段配置模式： Router(config)# time-range time-range-name 第二步，配置时间段： Router(config-time-range)# absolute start time date end time date 或者 Router(config-time-range)# periodic days-of-the-week hh:mm to days-of-the-week hh:mm (4) 将访问控制列表应用到接口上 要启用包过滤功能，应该在指定接口上的进入或者外出方向应用访问控制列表，命令如下所示： Router(config-if)# ip access-group access-list-number | access-list-name in | out access-list-number和 access-list-name是指相应访问控制列表的数字编号和名字。 34 7.2.3 操作步骤 1. 配置： (1) 在设置访问控制列表前首先搭建基本的联网环境： 对路由器 R1的配置如下： Router#config t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R1 R1(config)#interface fastEthernet 0/0 R1(config-if)#ip address R1(config-if)#no shut R1(config-if)#int s0/0 R1(config-if)#ip address R1(config-if)#clock rate 64000 #连接该端口的电缆若是 DTE电缆，则不用配置 R1(config-if)#no shut R1(config-if)#exit #配置静态路由 R1(config)#ip route R1(config)#ip route 35 对路由器 R2的配置如下： Router#config t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R2 R2(config)#int fastEthernet 0/0 R2(config-if)#ip address R2(config-if)#no shut R2(config)#int fastEthernet 0/1 R2(config-if)#ip address R2(config-if)#no shut R2(config-if)#int s0/0 R2(config-if)#ip address R2(config-if)#clock rate 64000 #连接该端口的电缆若是 DTE电缆，则不用配置 R2(config-if)#no shut R2(config-if)#exit R2(config)#ip route #配置静态路由 36 联网环境测试： PC1:ping #PC1 ping PC2，能 ping通 Pinging with 32 bytes of data: Reply from : bytes=32 time=18ms TTL=126 PC1:ping #PC1 ping PC3，能 ping通 Pinging with 32 bytes of data: Reply from : bytes=32 time=19ms TTL=126 由此可见，基本的网络环境已经搭建成功，下面就可以配置访问控制列表了。 37 (2) 对 R2配置标准访问控制列表： 为了尽量减小标准访问控制列表的影响范围，应该将它们放在离源地址较远的地方。因此，我们在 R2的 FE0/0接口的外出方向应用标准访问控制列表，限制源地址为 /24的 IP包通过。 R2(config)#access-list 1 deny 55 R2(config)#access-list 1 permit any #很有必要，因为访问控制列表的最后隐含有拒绝规则 R2(config)#int fastEthernet 0/0 #将访问控制列表应用到 FE0/0接口的外出方向 R2(config-if)#ip access-group 1 out 测试： PC1:ping Pinging with 32 bytes of data: Reply from : Destination net unreachable. Reply from : Destination net unreachable. PC1到 PC2不可达，由此可见，访问控制列表已经生效。 38 (3) 对 R1配置扩展访问控制列表 首先定义名字为 deny_ping_time的时间段：每晚 0： 00 1： 00 R1(config)#time-range deny_ping_time R1(config-time-range)#periodic daily 0:00 to 1:00 R1(config-time-range)#exit 定义基于时间的扩展访问控制列表，命名为 deny_ping。添加规则以禁止源地址为 /24，目的地址为 /24，类型为 ECHO REQUEST的 ICMP协议包通过。 R1(config)#ip access-list extended deny_ping R1(config-ext-nacl)#deny icmp 55 55 echo time-range deny_ping_time 由于访问控制列表的最后缺省隐含了“ deny any”规则，所以必须添加 permit规则。 R1(config-ext-nacl)#permit ip any any R1(config-ext-nacl)#exit 在 FE0/0接口的进入方向应用名字为 deny_ping的访问控制列表。 R1(config)#int fastEthernet 0/0 R1(config-if)#ip access-group deny_ping in 图 7-2 39 测试： 首先使用如下命令设置当前时间，使得处于时间段 deny_ping_time范围内： R1#clock set 0:11:00 31 jan 2005 PC1:ping Pinging with 32 bytes of data: Reply from : Destination net unreachable. Reply from : Destination net unreachable. 可以看出，所设置的当前时间正处于访问控制列表的时间段内，过滤规则生效，数据报被路由器 R1丢弃，无法到达目的地。可以试着更改当前时间，查看 ping的结果是否改变。 40 2.查看信息： R1#show access-lists Extended IP access list deny_ping 10 deny icmp 55 55 echo time-range deny_ping_time (active) (72 matches) 20 permit ip any any (293 matches) show access-lists命令可以查看当前路由器所定义的访问控制列表。上面的信息表明， R1定义了一条扩展访问控制列表 ,内含一条基于时间的 deny规则和一条 permit规则。 R1#show time-range time-range entry: deny_ping_time