软考网工常用的命令总结.doc

路由器实验： router enable /从用户模式进入特权模式 router#setup /进入SETUP模式 routershow history /查看历史纪录router# disable or exit /从特权模式退出到用户模式 router# show sessions /查看本机上的TELNET会话 router# disconnect/关闭所有的TELNET会话 router# show users/查看本机上的用户 router# erase startup-config/删除NVRAM中的配置 （启动配置文件）router# reload/重启路由器 router# config terminal/ 从用户模式进入特权模式 router(config)# hostname rl /配置用户名为rl router# show controllers serial0/查看串口0的物理层信息router# show ip interface /查看端口的IP配置信息 router# show hosts/查看主机表 end or ctrl+z /从各种配置模式退到特权模式 rl(config)# ip name-server 0/指定DNS服务 rl(config)# interface serial 0/进入serial 0的接口配置模式 rl(config-if)# no shutdown/路由器出厂默认所有端口关闭，使用此命令使它们打开 rl(config-if)# encapsulation ppp（frame-relay）/ 封装ppp（帧中继） rl(config-if)# bandwidth 64 /设置端口带宽为64K rl(config-if)# ctrl+c 或者ctrl+zend/快捷键退出到特权模式 rl# show interface serial 0/查看s0信息，如果看到serial和 line protocol都显 示up，说明链路两端都设置成功 rl(config-if)# ip add /进入相应的接口，配置相应的IP地址 rl# ping /使用ping命令查看邻居的连通性 特权模式下配置子接口Router(config)#interface f0/0.1 /进入子接口f0/0.1的配置模式Router(config-subif)#ip address /配置子接口IP地址Router(config-subif)#encapsulation dot1q 100 /对子接口进行dot1q的封装，vlan号为 100rl# show ip route/查看路由表，可以看到以C打头的路由 信息,这是直连的路由信息；可以看到 R开头的路由信息，是从rip学来的路由 信息；可看到以O开头的路由信息，这是通过OSPF学习到的 配置RIPrl(config)# router rip /启动RIP路由协议 rl(config-router)# network /发布网段（注意network后面是接的网络号 而不是IP地址） rl# show ip protocol/查看配置的路由协议 ospf设置 Router(config)#router ospf process-id /进程号只对本地有意义Router(config-router)#network address 网络地址 通配掩码 area 0配置telnetrl(config)# line vty0 4/进入虚拟线程配置模式，在此模式可对telnet功能进行配置 rl(config-line)# login rl(config-line)# password cisco/配置telnet密码，默认的网络设备 telnet的 功能是关闭的，配了密码之后会自动打开 配置明文口令和加密口令rl(config)# enable password cisco/配置进入enable模式的密码，区分大小写 rl(config)# enable secret ciscocisco/配置进入enable模式的密码，是加密的密码，show run是看不见的 配置本地控制台端口rl(config)# line console 0 rl(config-line)# login rl(config-line)# password cisco /配置进入用户模式的密码 rl# copy running-config startup-config /保存配置文件 静态路由协议设置router(config)#ip route network submask 要到达的网络号 目的网络子网掩码 下一跳接口ip地址默认静态router(config)#ip route 下一跳IP地址访问列表 1.标准访问列表(standard access lists):只使用源IP地址来做过滤决定1-99 Router(config)#access-list 10 deny|permit 55Router(config)#access-list 10 permit anyRouter(config)#interface e1Router(config-if)#ip access-group 10 out|in2.扩展访问列表(extended access lists):它比较源IP地址和目标IP地址,层3的协议字段,层4端口号 来做过滤决定 100-199Router(config)#access-list 110 deny|permit tcp any host eq 21Router(config)#access-list 110 deny|permit tcp any host eq 23Router(config)#access-list 110 permit ip any anyRouter(config)#int e1Router(config-if)#ip access-group 110 out|inNAT配置配置静态转换Router(config)#ip nat inside source static 本地IP地址 公网IP地址Router(config-if)#ip nat insideRouter(config-if)#ip nat outside配置动态地址转换Router(config)#ip nat pool 地址池名称 start-ip end-ip 子网掩码 （定义全局地址范围）Router(config)#access-list 1 permit 源地址 反掩码 /定义允许进行地址转换的内网地址Router(config)#ip nat inside source list 1 pool 地址池名称 /使访问控制列表中内容与地址池进行对应6步配置IPsec VPN步骤一：设置认证策略Router(config)#crypto isakmp policy 1 /配置IKE策略，1是策略号Router(configisakmp)#authentication pre-share /使用预共享密码Router(configisakmp)#group 2 /设置为1024位的Diffie-Hellman，加密算法默认为DES group 1使用768位密码，除非高端路由器，一般建议使用1Router(configisakmp)#life time 3600 /生存周期，两端要设置成一样， 默认是86400秒，否则将以短的时间为中断进行更新 步骤二：设置预共享密码Router(config)#crypto isakmp key mykey address /设置远程对等体共享密码：密码：对方实体地址步骤三： 设置访问控制列表Router(config)#access-list 101 permit ip 55 55/允许源地址子网访问目标子网 本地子网 目标子网定义哪些地址的报文加密或是不加密步骤四：设置交换集Router(config)#crypto ipsec transform-set myset esp-3des esp-sha-hmac /设置一个名为myset的交换集，ESP隧道加密采用ESP-3des，认证采用esp-sha-hmac 传输模式下有两种隧道模式：ah隧道和esp隧道 ah隧道参数：ah-md5-hmac|ah-sha-hmac esp隧道参数：esp-des| esp-aes|esp-3des esp-md5-hmac | esp-sha-hmac步骤五：创建加密图Router(config)#crypto map mymap 10 ipsec-isakmp /设置加密图，名称为mymap，序号为10，采用使用IKE来建立IPsec安全关联Router(configcryptomap)#set peer /设置隧道对端IP地址Router(configcryptomap)#set transform-set myset /将加密图应用在myset交换集上Router(configcryptomap)#match address 101 /设置匹配101号访问列表步骤六：在接口上应用Router(config)#int f0/0 /进入f0/0子接口Router(configif)#crypto map mymap /将加密图应用于此接口PIX防火墙配置PIX防火墙的认识PIX是Cisco的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。PIX防火墙常见接口有：console、Failover、Ethernet、USB。网络区域：内部网络：inside 外部网络：outside 中间区域：称DMZ(停火区)。放置对外开放的服务器。防火墙的配置规则没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。(内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接)inside可以访问任何outside和dmz区域。dmz可以访问outside区域。inside访问dmz需要配合static(静态地址转换)。outside访问dmz需要配合acl(访问控制列表)。global指定公网地址范围：定义地址池。Global命令的配置语法：global(if_name)nat_idip_address-ip_addressnetmarkglobal_mask其中：(if_name)：表示外网接口名称，一般为outside。nat_id：建立的地址池标识(nat要引用)。ip_address-ip_address：表示一段ip地址范围。netmarkglobal_mask：表示全局ip地址的网络掩码。例如：PIX525(config)#global(outside)1-5 /地址池1对应的IP是：-5PIX525(config)#global(outside)1 /地址池1只有一个IP地址。PIX525(config)#noglobal(outside)1 /表示删除这个全局表项。nat地址转换命令，将内网的私有ip转换为外网公网ip。nat命令配置语法：nat(if_name)nat_idlocal_ipnetmark其中：(if_name)：表示接口名称，一般为inside.nat_id：表示地址池，由global命令定义。local_ip：表示内网的ip地址。对于表示内网所有主机。netmark：表示内网ip地址的子网掩码。在实际配置中nat命令总是与global命令配合使用。一个指定外部网络，一个指定内部网络，通过net_id联系在一起。例如：PIX525(config)#nat(inside)100 /表示内网的所有主机(00)都可以访问由global指定的外网。PIX525(config)#nat(inside)1 /表示只有/16网段的主机可以访问global指定的外网。conduit管道conduit命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。例如允许从outside到DMZ或inside方向的会话(作用同访问控制列表)。语法：conduit permit|deny protocol global_ipport-portforeign_ipnetmask其中：global_ip是一台主机时前面加host参数，所有主机时用any表示。foreign_ip表示外部mask表示可以是一台主机或一个网络。例如：PIX525(config)#static(inside,outside)PIX525(config)#conduitpermittcphosteqwwwany这个例子说明static和conduit的关系。是内网一台web服务器，现在希望外网的用户能够通过PIX防火墙访问web服务。所以先做static静态映射：然后利用conduit命令允许任何外部主机对全局地址进行http访问。侦听命令fixup作用是启用或禁止一个服务或协议，通过指定端口设置PIX防火墙要侦听listen服务的端口。例：PIX525(config)#fixup protocol ftp21 /启用ftp协议，并指定ftp的端口号为21PIX525(config)#fixup protocol http8080 /启用http协议8080端口，PIX525(config)#no fixup protocol http80 /禁止80端口。Interface Router(config-if)#端口设置Subinterface Router(config-subif)# 子端口设置Controller Router(config-controller)# 控制口设置Line Router(config-line)# 虚拟口设置Router Router(config-router)# 路由设置IPX router Router(config-ipx-router)#IPX路由设置 交换机实验： 配置交换机默认网关switch(config)# ip default-gateway 192.