cisco笔记.doc

CCNA笔记3路由器密码恢复3CISCO 2600升级FLASH3Ip address and routing3Access list3NAT和PAT3PPP3Frame Relay3Lab13Lab23CCNP笔记3交换3基本概念3VTP协议3Vlan3ARP查询3交换机的网管3Routing between vlans3Cisco设备的端口3STP(spanning tree protocol)3Enhanced STP(802.1d)3Rapid STP (RSTP) 802.1W3Multiple spanning Tree (MST) 802.1S3Etherchannel3交换机密码恢复3升级3550 IOS3cisco 3550 IOS的恢复3路由3静态路由3RIP3Eigrp3OSPF3IS-IS3Layer 3 Redundancy31Default gateway(不运行代理arp)32.Using proxy ARP33HighAvailability (HA)3IPv63IPv6的特点：3Lab:在IPv4的海洋中，将IPv6的孤岛连通3MPLS3MPLS术语3Lab 用MPLS解决BGP黑洞3CCSP笔记33A server31.3A的基本概念32.对登陆用户做认证33.对enable命令进行3A认证34.对登陆用户授权35. 3A审计3Cisco Ios firewall31.context-Based Access Control(CBAC)32.用CBAC 抵御DOS和DDOS33.Port-to-Application Mapping34.Url filter35.Authentication Proxy36.实现二层安全37Cisco IOS IPS38. Using Security Device Manager (SDM)39基于列表的安全控制3VPN31.Vpn 概念32. IPsec overview33. lan to lan vpn34GRE over IPsec35.IPsec over GRE36IPSEC 的local-address问题37NAT-T38.Dynamic Multipoint VPN (DMVPN)39. IPSec failover310.Easy VPN311.VPN30003Pix7.03pix基本概念3PIX的基本配置3PIX配置路由3PIX配置NAT3PIX的列表3PIX的ICMP3PIX的包过滤3PIX设备的远程网管3PIX启用3A服务3PIX Cut-Through Proxy3PIX配置VPN3Modular policy framework3Object group3Advanced protocol Handling3Inspect command3FTP inspection3Transparent Firewall3Configuring security contexts3Pix failover3ADSM(cisco security appliance device manager)3IPS3Ips的基本概念3IPS的基本配置3Cisco IPS signatures, Engines, and Alerts3综合实验3CCNA笔记路由器基础知识Cisco的学习资源/univercd（查文档）1byte(字节)=8bit(比特)bps= bits per second 速率单位超级终端访问路由器的5个关键参数：9600bps / 数据位：8 / 停止位：1 / 校验：无 / 流控：无IOS是cisco建立在unix基础上，经过改良，针对设备进行优化后的操作系统Nvarm 用于存放配置文件 flash 用于存放操作系统Cisco控制台的快捷键Ctrl + z (相当于end)Ctrl + A 跳到句首Ctrl + E 跳到句尾Ctrl + D 向后删除Ctrl + u (Ctrl + x) 删除整句路由器registor的几种模式，正常模式为0x21020x210 (加载config)0 (ROM monitor)4(不加载config)1 (mino IOS)2 (IOS)将系统信息发送到日志目标Router(config)# logging TCP/IP基础OSI 7层模型TCP/IP 4层模型Application layermesageApplicationFTP telnetPressiontation(表示层)Session(会话层)Transport（传输层）segementTransportTCPNetwork（网络层）packetinternetIP（OSPF IGRP RIP ICMP）Data Link (数据链路层) FrameNetwrk accessARP、RARP、SNAPLLCPhysical(物理层)Marry physical implementations路由器密码恢复1 重启router，按Ctrl + Break 进入rommor2 confreg 0x2142 (36系列) o/r 0x2142 (25系列)3重启 reset (36系列) i (25系列)4Router# copy start runRouter# no enable passwordRouter#writeRouter#confreg 0x2102CISCO 2600升级FLASHFlash Memory是存储IOS的场所，如果在实际使用中Flash Memory出现了问题或者需要对设备进行升级，安装新的高版本的Flash Memory时就用到复制Flash Memory的操作了。小提示：在复制新的Flash Memory时我们应该执行erase flash命令将原来的出问题的或旧的FLASH删除。目前比较流行的解决Flash Memory故障，升级FLASH的方法都是使用TFTP法传输。第一步：执行删除Flash Memory命令后设备将进入rommon状态。第二步：我们需要对rommon状态进行设置，让其符合我们的TFTP传输环境。具体命令如下：rommon 3 setPS1=rommon ! IP_ADDRESS=6（设置路由器的IP地址，注意在实际中我们只能使用端口一进行恢复flash操作）IP_SUBNET_MASK=（设置路由器一端口的子网掩码）DEFAULT_GATEWAY=5 （设置路由器的默认网关地址）TFTP_SERVER= （设置用于传送FLASH文件的TFTP服务器的地址）TFTP_FILE=quake/rel22_Jan_16/c2600-i-mz（设置TFTP服务器上FLASH文件的文件名，方便下载）第三步：接着执行tftpdnld命令就可以开始下载了。小提示：TFTP服务器是必须建立的，所以我们应该找到一台PC机配置上文设置的TFTP服务器IP地址，然后从CISCO网站下载专业的TFTP服务器建立工具或者找第三方软件来建立。建立的方法非常简单选择要发布的目录即可。使用路由交换设备时间长了通过sh flash命令会发现大量CRASHINFO文件，这些文件占用了大量的FLASH空间。当这些文件过多造成FLASH存储空间满的话则影响我们以后升级FLASH。那么CRASHINFO是什么文件呢？我们如何清除他们呢？Crashinfo文件是路由器重启时留下的文件，是重新启动的记录文件，我们可以删除他们。具体使用Delete命令即可。有的时候我们执行sh flash会发现有两个分区，造成FLASH容量出现两个分区主要是由下面两种原因造成。一是有人执行了分区命令，将一块FLASH分成两个区；二是路由器上插有两个FLASH，这样每个FLASH都将以一个独立的分区显示。例如笔者在设备上使用show version显示了两个分区：Router#show version32K bytes of non-volatile configuration memory.8084K bytes of processor board System flash (Read/Write) （flash1）8084K bytes of processor board System flash (Read/Write) (flash2)一般为了方便升级，更好的利用空间资源我们要合并FLASH分区。第一步：在路由器上显示一下FLASH的情况：Router#dir flash?Flash:1:Flash:2:第二步：把flash:2:删除Router#erase flash:2:第三步：合并两个flashRouter(config)#partition flash 1 （把两个FLASH合并成一个FLASH1）Router#write memory修改完后会显示这样的信息：Router#show version32K bytes of non-volatile configuration memory.16384K bytes of processor board System flash (Read/Write)小提示：查看FLASH是否分区还可以使用show flash来查看，如果存在多个分区则会在显示信息中出现System flash directory, partition 1和System flash directory, partition 2的提示。Ip address 5类IP地址A类 1-126 （0000 00010111 1110）B类 128-191（1000 00001011 1111）C类 192-223（1100 00001101 1111）D类 224-239 （1110 00001110 1111）RFC 1918 Internal Address RangeA类to 55B类 to 55C类 to 552000年以前的设备一般不支持全0、全1子网，2000年以后的设备默认支持Router(config)# ip subnet-zero (打开支持全0、全1子网功能)Router(config)# ip classless (启用无类路由协议，默认)Router(config)# no ip classlessAccess listStandard access list 序号：199 13001900 用在靠近源的接口Extended access list 序号：100199 20002699 用在靠近目标的接口所有access-list 最后都隐含deny anyVlan 10/24/24Vlan 30Sw1Sw1(config)# access-list 1 deny 55Sw1(config)# access-list 1 permit 55Sw1(config)# access-list 2 permit 55上面两条acl 效果是一样的，但acl2 明显简洁sw1(config)#line vty 0 15sw1(config-line)#access-class 2 in (此时只允许 telnet sw)NAT和PATS: D datainout(1)S: D data先查Router table 再作nat(2)S: D data(3)先作nat再查Router tableS: D data(4)NAT实例Lo Lo lwww Pc4FTP Pc2R1R3/24/24Pc2/4(config)#no ip routing Pc2/4(config)#ip default-gateway R1(config)#ip route R3#debug ip packetpc2#ping 不通 此时R3向pc2回包时没有路由R3(config)#access-list 100 deny ip 55 anyR3(config)#int s1/0R3(config-if)#ip access-group 100 inpc2#ping 不通，此时pc2发给R3的数据包将被denyR3(config)#int s1/0R3(config-if)#no ip access-group 100 inR3(config)#ip route null 0pc2#ping 不通，此时R3向pc2回的数据包将被dropR1(config)#ip nat inside source static （静态NAT）R1(config)#int fa0/0R1(config-if)#ip nat inside R1(config-if)#int s1/1R1(config-if)#ip nat outsidepc2#ping (能通)R3#ping 能通R1#sh ip nat translationsR1(config)#no ip nat inside source static R1(config)#ip nat pool natpool netmask (定义地址池)R1(config)#access-list 1 permit 55R1(config)#ip nat inside source list 1 pool natpool （动态nat）pc2/4# ping (如果超过4个将客户端，第5个将不能出去)R1#sh ip nat translationsR1#sh run | in ip natR1(config)#no ip nat inside source list 1 pool natpoolR1(config)#ip nat inside source list 1 interface s1/1 overload （PAT）pc2/4# ping R1#sh ip nat translations静态端口映射R1(config)# ip nat inside source static tcp 80 80R1(config)# ip nat inside source static tcp 21 21DHCPR4(config)#ip dhcp pool 123 定义一个地址池R4(dhcp-config)#network R4(dhcp-config)#default-router R4(dhcp-config)#dns-server 33R4(dhcp-config)#dns-server 8R4(dhcp-config)#netbios-name-server 0R4(dhcp-config)#domain-name R4(dhcp-config)#lease 1 2 3 （1天2小时3分）R4#debug ip dhcp server events R4#debug ip dhcp server packetR2(config)#int fa0/0R2(config-if)#no shutR2(config-if)#ip add dhcpCCNP笔记交换基本概念以太网使用最小64B、最大1518B的MAC帧冲突域(collsion domain) hub共享一条总线,在同一时刻,不同设备同时发送数据时,会产生冲突,必须用CSMA/CD防止冲突.这种网络的宽利用率只有30-40%.switch可以分割冲突域,1个端口为1个冲突域,但是它们仍然处在1个大的广播域中,half-duplex 只采用1对线缆,10M以太网只能是全双工,它使用CSMA/CD机制,full-duplex 采用2对线缆,point-to-point链路不用检测冲突,双倍 带宽利用率数据转发的方式：1Cut-Through2.Store and forward3.Fragment-Free交换机的双工模式：1000M端口一定是全双工100M端口可能是全双工，也可能是半双式10M端口只能是半双工sw1(config)#int fa1/1sw1(config-if)#speed 100sw1(config-if)#duplex fullsw1#sh int fa1/1 （察看端口的详细情况）sw1(config)#int range fa1/2 - fa1/10sw1(config)#int range fa1/2 , fa1/4 , fa1/7sw1#sh mac-address-table sw1#sh mac-address-table dynamicsw1(config)#int fa1/1sw1(config-if)#mac-address 0011.1111.1111 (更改接口的MAC地址)交换机端口速度控制sw1(config)#int fa0/1sw1(config)# rate-control ingress 64删除交换机配置Sw1#erase start-configSw1#erase nvram:Sw1#delete flash:config.text交换机的网管sw1(config)#int vlan 1sw1(config-if)#ip add 00 （2950交换机只能配一个地址）sw1#ping VTP协议VTP，Vlan Trunking Protocol 是cisco专用协议，是一种消息协议，使用第2层帧，在一台交换机上集中进行VLAN的配置，所作的变更会自动传播到网络中的所有其它交换机，VTP通过发送到特定MAC地址01-00-0c-cc-cc-cc的组播VTP消息进行工作，VTP通告只通过中继端口传递，VTP消息通过VLAN1传送，只支持VLAN1至1005。交换机默认使用VTPv1，如果要使用VTPv2，只要在一台服务器模式交换机配置VTPv2就可以了，这个新的版本号会传播到其它交换机VTP的3种模式：1 服务器模式 交换机缺省处于VTP服务器模式，能创建、修改或删除VLAN，传播VLAN信息2 客户机模式 不允许创建、修改或删除VLAN，处于被动监听模式3 透明模式 不参与VTP，但可以创建和删除本地的VLAN。在VTPv2中，透明交换机会把它们收到的VTP通告转发到其中继端口VTP通告的配置修订号VTP通告处理以配置修订号0为起点，每当随后的字段变更一项时，这个修订号就加1，当负责监听的交换机收到的通告比它所存储的修订号更大时，这个通告将覆盖掉已存储的任何VLAN信息。VTP修订号存储在NVRAM中，不会因为重启而改变，所以必须将新增加的交换机的修订号初始化为0。有如下方法：1将交换机的VTP模式更改为透明模式，再更改为服务器模式；2将交换机VTP的域名更改一次，再更改回原来的域名，3使用erase startup-configl命令，清除交换机的配置和VTP信息VTP的消息类型1 汇总通告 由vtp server每5分钟通告一次，用于通知邻接的交换机目前VTP域名和配置修订号。当交换收到汇总通告时会对比VTP域名，如果域名不同，就忽略此数据包，如果域名相同，则进一步对比配置修订号，如果交换机自身的配置修订号更高或与之相等，就忽略此数据包，如果更小，就发送通告请求2 子集通告 如果在VTP服务器上增加、删除或者修改了VLAN，配置修订号就会增加，交换机会首先发送汇总通告，然后发送一个或多个子集通告3 请求通告 在下列情况下会发出VTP通告请求：交换机重新启动后，VTP域名变更后，交换机接到了配置修订号比自己高的VTP汇总通告VTP ServerVTP ClientTransportCan Creat Modify Delete vlanCan Creat Modify Delete vlan，但不和VTP Server 同步Can Not Creat Modify Delete vlan，但能同步VTP Server 的信息Sw1# sh vtp status (default server mode)Sw1(config)# vtp domain CCNASw1(config)# vtp version 2Sw2# sh vtp status (此时sw2学到了CCNA的域名，server mode 之间的交换机之间是可以同步信息)Sw1(config)# vlan 100Sw1(config)# nam e vlan 100sw2# show vlan brief (此时sw2也有了vlan100)sw2(config)# vtp mode clientsw2(config)# vlan 200 ( 此时提示不能增加vlan 200)sw1#sh vtp status ( configuration revesion值越大表示信息越新，当switch为transport时，configuration revesion值为0)sw1/2(config)#vtp password mypasswordsw1(config)# vtp pruning (只能在server mode 中使用，把不含活动接口vlan的交换机修剪掉，减少广播流sw1# sh vtp trunksw1(config)#int fa0/1sw1(config-if)#switchport trunk pruning vlan remove 2-4,6,8 从trunk接口的可修剪列表中将某些VLAN去除sw1#show interface fa0/1 switchportVlan如果所有设备都在一个广播域中，会带来如下问题：1 Unbounded failure domain2 Large broadcast domain3 Large amount of unknown MAC unicast traffic4 Unbounded multicast traffic5 Management and support challege6 Possible security vulnerabilityesVlan的主要目的是低成本的实现网络分段/segment，缩小广播域，一个vlan是一个广播域，广播不能穿越vlan的边界Logical network (IP subnet)：为了实现 vlan之间的数据通信，需要依靠不同vlan的不同ip子网，实现vlan间的路由Vlan限制了广播域的范围，vlan间的路由又允许了vlan间的正常数据包的通信Vlan的分类：静态vlan（基于端口的vlan）；动态vlan（基于MAC的确vlan），用VMPS服务器默认情况下，所有交换机接口都在vlan1vlan的创建、修改、删除Sw#dir flash:Sw#del falsh:config.textSw#del falsh:vlan.textSw#reloadSw# sh cdp neiSw#sh vlan briefVlan的创建新方法：Sw（config）# vlan 10Sw(config-vlan)# exit旧方法：Sw# vlan databaseSW(vlan)# vlan 20SW(vlan)# applySW(vlan)# exitSw# sh vlan briefVlan的修改新方法：Sw（config）# vlan 10Sw（config）# name ENG旧方法：Sw# vlan databaseSW(vlan)# vlan 20 name MarketSW(vlan)# applySW(vlan)# exitSw# sh vlan briefVlan的删除新方法：Sw（config）# no vlan 10旧方法：Sw# vlan databaseSW(vlan)# no vlan 20 SW(vlan)# applySW(vlan)# exitSw# sh vlan brief添加端口到vlan中SW1(config)#int fa1/0SW1(config-if)#switchport mode accessSW1(config-if)#switchport access vlan 10“range” 命令是用于将一批端口执行相同的命令，提高输入效率SW1(config-if)#int range fa1/3 - 6SW1(config-if-range)#switchport access vlan 10SW1(config-if-range)#exitSW1(config)#int range fa1/7 , fa1/9SW1(config-if-range)#switchport mode accessSW1(config-if-range)#switchport access vlan 10SW1(config-if-range)#exitARP查询R3R1 ARP查询作用在同一个广播域，完成从L3 IP地址查询L2 MAC地址的过程站在PC1主机的立场上去观察PC1#sh arpProtocol Address Age (min) Hardware Addr Type InterfaceInternet - c805.0a5c.0000 ARPA FastEthernet0/0PC1#debug arp PC1#ping 01:37:22: IP ARP: creating incomplete entry for IP address: interface FastEthernet0/001:37:22: IP ARP: sent req src c805.0a5c.0000, dst 0000.0000.0000 FastEthernet0/0(目标mac是FFFF.FFFF.FFFF的广播帧)01:37:22: IP ARP: rcvd rep src c806.0a5c.0000, dst FastEthernet0/0PC1#sh arpProtocol Address Age (min) Hardware Addr Type InterfaceInternet 5 c806.0a5c.0000 ARPA FastEthernet0/0Internet - c805.0a5c.0000 ARPA FastEthernet0/0站在交换机的立场上去观察以太网数据帧的地址学习和转发地址学习：交换机总是学习数据帧的源MAC（接口所接设备的MAC），MAC地址表其实就是构建数据帧源MAC与数据帧入口的映射关系sw1# sh mac-address-table dynamic (该表也叫CAM表，Content Address Memory)Destination Address Address Type VLAN Destination Port- - - -c805.022c.0000 Dynamic 1 FastEthernet1/11c806.022c.0000 Dynamic 1 FastEthernet1/12数据帧的转发：在交换机中，数据帧的转发是按照数据帧的目标MAC地址进行转发，转发过滤机制如下：1 目标地址为已知MAC、单播/unicast（MAC地址表中有目标地址），则直接按MAC表所示接口进行转发2 目标地址为未知MAC，单播/unicast，则向除了入口以外的所有接口广播这个数据帧3 目标地址为已知MAC，单播/unicast，数据帧的目标MAC所连接的端口正是本交换机的MAC地址表中的入口，在此情况下，交换机会丢弃该数据帧4 目标地址为组播/广播（Multicast/Broadcast），普通L2交换机默认会向除了入口以外的所有接口广播这个数据帧（假如交换机不支持组播）pc2pcNo ip routingNo ip routingpc1/pc2(config)#no ip routingpc1#debug arppc1#ping 00:05:02: IP ARP: creating incomplete entry for IP address: interface FastEthernet0/000:05:02: IP ARP: sent req src c805.06a8.0000, dst 0000.0000.0000 FastEthernet0/000:05:03: IP ARP: rcvd rep src c806.06a8.0000, dst FastEthernet0/0pc1#sh arpL2交换机是不读取L3的IP信息当目标IP地址与本主机不在同一个IP网段内时，需指定默认网关R1Pc354/24R2RIP v/32R1(config-if)#no ip proxy-arppc3(config)#no ip routingpc3#debug ip packpc3#debug arppc3#ping （不成功）00:07:26: IP ARP: creating incomplete entry for IP address: interface FastEthernet0/000:07:26: IP ARP: sent req src c806.0c54.0000, dst 0000.0000.0000 FastEthernet0/000:07:27: IP ARP throttled out the ARP Request for 00:07:29: IP: s= (local), d= (FastEthernet0/0), len 100, encapsulation failedpc3(config)#ip default-gateway 54pc3#ping （成功）00:20:56: IP ARP: creating incomplete entry for IP address: 54 interface FastEthernet0/000:20:56: IP ARP: sent req src c806.0c54.0000, dst 54 0000.0000.0000 FastEthernet0/000:20:56: IP ARP: rcvd rep src 54 c000.0c54.0000, dst FastEthernet0/0pc3#sh arp （在arp条目中并没有的映射）设置了网关后，对于非本网段的地址，其数据帧的目的L2MAC地址封装为网关的MAC，而交换机是不检查L2 IP的，直接按目标MAC转发到网关上，此时数据包的格式如下Source macDestination macSource ip Destination macPc3Gateway使用代理ARP化配置（拓扑同上）R1(config)#int fa0/0R1(config-if)#ip proxy-arppc3(config)#no ip default-gatewaypc3#ping 02:03:27: IP: s= (local), d= (FastEthernet0/0), len 100, sending02:03:27: IP ARP: creating incomplete entry for IP address: interface FastEthernet0/002:03:27: IP ARP: sent req src c806.0c54.0000, dst 0000.0000.0000 FastEthernet0/002:03:27: IP ARP: rcvd rep src c000.0c54.0000, dst FastEthernet0/0pc3#sh arpProtocol Address Age (min) Hardware Addr Type InterfaceInternet 3 c000.0c54.0000 ARPA FastEthernet0/0Internet - c806.0c54.0000 ARPA FastEthernet0/0Internet 54 0 c000.0c54.0000 ARPA FastEthernet0/0此时会发现的mac地址与54相同，proxy-arp是一种典型的arp欺骗技术-+Routing between vlans第一代lan 不支持vlan的交换机，一个路由器加上几个交换机，每个交换机的所有端口都属于一个LAN网段，在路由器上，有几个网段就有几个与之对就的物理接口。优点：易于理解，便于实施缺点：交换机的所有端口都属于一个lan，需要路由器的端口与lan 的数据一一对应，导致建网成本很高第二代vlan 在这个时代，出现了支持vlan的交换机,结构如下：Vlan1Vlan2SWE1E0优点：可以将原属于每个lan的交换机减少到只需要一个交换机缺点：路由器上还是一个端口对应一个vlan第三代vlan出现了Trunk技术，可以在一条网络介质上，同时传输多个vlan的用户数据优点：减少了路由器和交换机的连接接口，减少了成本缺点：路由器查询路由表、交换机和路由器之间的Trunk链路都可能构成网络性能瓶颈00 fa0/0.10Vlan10Vlan20SW1Pc2Pc4Vlan10Vlan20SW2Pc12Pc3 lo5fa0/0.20 00 Fa1/11Fa1/12Fa1/11Fa1/12Fa1/5LAB：单臂路由器（一个vlan对应一个子网）1配置trunksw1(config)# int fa1/5sw1(config-if)#switchport trunk encapsulation dot1qsw1(config-if)#switchport mode trunksw1/2(config-if-range)#int range fa1/11 , fa1/12sw1/2(config-if-range)#switchport mode trunksw1/2 #sh int trunkr1(config)#int fa0/0r1(config-if)#no shutr1(config)#int fa0/0.10r1(config-subif)#encapsulation dot1q 10r1(config-subif)#ip add 00 r1(config-subif)#int fa0/0.20r1(config-subif)#encapsulation dot1q 20r1(config-subif)#ip add 00 r1#ping r1#ping r1#ping r1#ping 802.1q为业界标准，ISL为CISCO私有标准，sw2950只支持802.1q，不支持ISLISL802.1QProprietaryNon proprietaryEncapsulatedTaggedProtocol independentProtocol depentEncapsulation the