2011年入侵检测与防火墙技术实训

1、实训一 基于IPTABLES的包过滤防火墙的构建一、实训目的：了解包过滤防火墙的工作原理。掌握利用Iptables构建包过滤防火墙。二、实训环境：安装有VMWare虚拟机的计算机，Cisco路由器模拟器Dynamips，CD-Linux光盘镜像文件。图1-1实验拓扑三、实训内容1、建立虚拟机。2、模拟Cisco路由器。3、配置Iptables。4、配置路由器。5、结果测试。四、实训过程1、建立虚拟机新建虚拟机改变虚拟机设置，点击【编辑虚拟机设置】按钮，如图1-2所示。图1-2移除软驱、USB、声卡等设备，如图1-2所示。图1-3添加网卡，点击图1-3中的【Add】按钮，出现如图1-4所示窗口，

2、点击【Next】按钮。图1-4设置网卡和宿主主机网络之间的关系，选择【Host-only】，如图1-4所示。图1-4设置第一块网卡和宿主主机网络之间的关系，选择【Bridge】，如图1-5所示。图1-5设置CD-ROM中ISO镜像文件的位置，如图1-6所示。图1-62、配置Linux的网络地址启动虚拟机在命令提示符后输入如下命令ifconfig eth0 172.16.x.y netmask 注意：IP地址172.16.x.y中的x用你所在机房的实际情况代替，y最好用你用的主机的IP地址加100。在命令提示符后输入如下命令ifconfig -a查看网卡IP地址配置。记

3、录下eth1网络接口卡的IP地址，一般为192.168.133.x。3、把虚拟机和物理主机与Cisco路由器桥接安装Winpcap。获取网卡的以太网参数。启动Windows的命令行界面，在命令提示符后输入getmac。如图1-7，把图中红色椭圆中的内容复制下来。图1-7更改.net文件内容，把上个步骤中获得的参数替换掉图1-8中文件的内容 图1-9 MAC地址为00-50开始的参数替换到SW2中，另外一个替换到SW1中的内容，如图1-10所示。本步骤是把路由器通过虚拟的以太网交换机和虚拟机及物理主机桥接起来。图1-104、虚拟Cisco路由器启动路由器模拟器。启动路由器模拟器管

4、理平台，如图1-11所示。图1-11启动路由器，如图1-12所示。图1-124、配置路由器R1登录R1配置F0/0接口RouterenableRouter#conf tRouter(config)#interface f0/0Router(config-if)#ip address 172.16.x.y Router(config-if)#no shutdownRouter(config-if)#exit注意：IP地址172.16.x.y中x是你所用机房中计算机所在的网络的地址，y用你给虚拟机设置的IP地址主机地址加1。Router(config)#ip http s

5、erverRouter(config)#line vty 0 4Router(config-line)#password ciscoRouter(config-line)#loginRouter(config-line)#logg sRouter(config-line)#exitRouter(config)#ip route 172.16.x.y注意：172.16.x.y是你计算机中虚拟机Linux系统的eth0网卡的IP地址。3、配置路由器R2登录R2配置F0/0接口RouterenableRouter#conf tRouter(config)#interf

6、ace f0/0Router(config-if)#ip address 192.168.133.x 注意：x不能和你虚拟机的eth1网卡的IP地址的主机地址重复。Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#ip http serverRouter(config)#line vty 0 4Router(config-line)#password ciscoRouter(config-line)#loginRouter(config-line)#logg sRouter(config

7、-line)#exitRouter(config)#ip route 192.168.133.y注意：192.168.133.y是你计算机中虚拟Linux系统的eth1网卡的IP地址。4、配置Iptables语法格式：iptables -AI INPUT,OUTPUT,FORWARD -io interface -p TCP,UDP -s IP/network -sport ports -d IP/network -dport ports -j ACCEPT,DROP 参数说明： -A ：新增加一条规则，该规则增加在最后面一行； -I ：在第一条规则加入； IN

8、PUT：封包为输入主机的方向； OUTPUT ：封包为输出主机的方向； FORWARD：封包为不进入主机而向外再传输出去的方向； -i ：流入的网卡界面 -o：流出的网卡界面 interface ：网络卡接口，例如 ppp0, eth0, eth1. -p ：请注意，这是小写呦！封包的协定啦！ TCP ：封包为 TCP 协定的封包； UDP ：封包为 UDP 协定的封包； -s ：来源封包的 IP 或者是 Network ( 网域 )； -sport：来源封包的 port 号码； -d ：目标主机的 IP 或者是 Network ( 网域 )； -dport：目标主机的 port 号码； -j

9、 ：动作，可以接底下的动作； ACCEPT ：接受该封包 DROP ：丢弃封包*假设eth1和路由器R2构成了内部网络*禁止从外部路由器上登录内部路由器R2，但是从路由器R1除外。只开放内部对外部的www,ftp,smtp,dns,pop3，telnet访问。禁止外部用户ping内部路由器R2和防火墙的内部网络接口。禁止在Linux上访问R2的Web服务。5、结果测试。在路由器R1上telnet路由器R2。在Linux下访问R2的Web服务。（在命令提示符后输入lynx http:/IP地址 或者域名）。在R1上ping路由器R2和Linux的eth1接口。五、实训总结 实训二：基于Cisco

10、路由器的过滤路由器的配置一、配置标准 ACL地址表设备接口IP 地址子网掩码R1S0/0/052Fa0/0Fa0/1R2S0/0/052S0/0/52S0/1/02524Fa0/0R3S0/0/52Fa0/0192.168.3

11、0.1ISPS0/0/12624Fa0/024Fa0/12924PC1网卡0PC2网卡0PC3网卡0PC4网卡28WEB/TFTPServer网卡54WEBServer

12、网卡024OutsideHost网卡5824标准 ACL 是一种路由器配置脚本，根据源地址来控制 路由器应该允许还是应该拒绝数据包。本练习的主要内容是 定义过滤标准、配置标准 ACL、将 ACL 应用于路由器 接口并检验和测试 ACL 实施。路由器已经过 配置，包括 IP 地址和 EIGRP 路由。用户执行 口令是cisco，特权执行口令是class。任务 1：检查当前的网络配置将任何 ACL 应用于网络中之前，都必须确认网络完全连通。如果应用 ACL 之前不测试网络连通性，排查故障 可能会

13、很困难。有助于连通性测试的一个步骤是查看每台设备上的路由表，确保列出了每个网络。在 R1、R2 和 R3 上发出show ip route命令。输出应该显示，每台设备都有路由通往其连接的网络，并且有到所有其它远程网络的动态路由。所有设备均可访问所有其它位置。虽然路由表有助于评估网络状态，但仍应使用ping命令测试连通性。完成以下测试： 从 PC1 ping PC2。 从 PC2 ping Outside Host。 从 PC4 ping Web/TFTP Server。任务 2：评估网络策略并规划 ACL 实施步骤 1. 评估 R1 LAN 的策略。允许 /24 网络访

14、问除 /24 网络外的所有位置。允许 /24 网络访问所有目的地址，连接到 ISP 的所有网络除外。步骤 2. 为 R1 LAN 规划 ACL 实施。用两个 ACL 可完全实施 R1 LAN 的安全策略。在 R1 上配置第一个 ACL，拒绝从 /24 网络发往 /24 网络的流量，但允许所有其它流量。此 ACL 应用于 R1 Fa0/0 接口的出站流量，监控发往 网络的所有流量。在 R2 上配置第二个 ACL，拒绝 /24 网络访问 ISP，但允许所

15、有其它流量。控制 R2 S0/1/0 接口的出站流量。ACL 语句的顺序应该从最具体到最概括。拒绝网络流量访问其它网络的语句应在允许所有其它流量的语句之前。步骤 3. 评估 R3 LAN 的策略。允许 /10 网络访问所有目的地址。拒绝主机 0 访问 LAN 以外的地址。步骤 4. 为 R3 LAN 规划 ACL 实施。一个 ACL 即可完全实施 R3 LAN 的安全策略。在 R3 上配置该 ACL，拒绝 0 主机访问 LAN 以外的地址，但允许 LAN 中的所有其它主机发出的流量。此 ACL 将应用于 Fa0/0 接口的

16、入站流量，监控尝试离开 /10 网络的所有流量。ACL 语句的顺序应该从最具体到最 概括。拒绝 0 主机访问的语句应在允许所有 其它流量的语句之前。二、配置扩展 ACL地址表设备接口IP 地址子网掩码R1S0/0/052Fa0/0Fa0/1R2S0/0/052S0/0/52S0/1/025255.

17、255.255.224Fa0/0R3S0/0/52Fa0/0ISPS0/0/12624Fa0/024Fa0/12924PC1网卡0PC2网卡0PC3网卡0255.255.255

18、.0PC4网卡28WEB/TFTPServer网卡54WEB Server网卡024OutsideHost网卡5824任务 1：检查当前的网络配置任务 2：评估网络策略并规划 ACL 实施步骤 1. 评估 R1 LAN 的策略。对于 /24 网络，阻止TFTP 访问所有位置，并且阻止通过telnet 访问地址为 54 的企业 Web/TFTP S

19、erver。允许所有其它访问。对于 /24 网络，允许通过 Web 访问地址为 54 的企业 Web/TFTP Server。阻止从 /24 网络发往 /24 网络的所有其它流量。允许所有其它访问。步骤 2. 为 R1 LAN 规划 ACL 实施。用两个 ACL 可完全实施 R1 LAN 的安全策略。第一个 ACL 支持策略的第一部分，配置在 R1 上并应用于 Fast Ethernet 0/0 接口的入站流量。第二个 ACL 支持策略的第二部分，配置在 R1 上并应用于 Fast Ethernet

20、 0/1 接口的入站流量。步骤 3. 评估 R3 LAN 的策略。阻止 /24 网络的所有 IP 地址访问 /24 网络的所有 IP 地址。允许 /24 的前一半地址访问 /24 网络和 /24 网络。允许 /24 的前一半地址通过 Web 访问和 ICMP 访问所有其余目的地址。允许 /24 的后一半地址访问所有其它目的地址。隐含拒绝所有其它访问。步骤 4. 为 R3 LAN 规划 ACL 实施。本步骤需要在 R3 上配置一个

21、 ACL 并应用于 FastEthernet 0/0 接口的入站流量。步骤 5. 评估通过 ISP 进入的 Internet 流量的策略。仅允许 Outside Host 通过端口 80 与内部 Web Server 建立 Web 会话。仅允许已建立 TCP 会话进入。仅允许 ping 应答通过 R2。步骤 6. 为通过 ISP 进入的 Internet 流量规划 ACL 实施。本步骤需要在 R2 上配置一个 ACL 并应用于 Serial 0/1/0 接口的入站流量。三、实训总结实训三：Cisco PIX防火墙的配置一、实训目的：了解Cisco ASA防火墙。掌握Cisco ASA防火墙的配

22、置。二、实训环境：安装有VMWare虚拟机的计算机，Cisco ASA5520 操作系统，软件Named Pipe TCP Proxy、SecureCRT，JRE、Fiddler2、dotnetfx3。图4-1实验拓扑三、实训内容1、建立Cisco ASA5520仿真机。2、建立管道TCP代理3、启动ASA虚拟机，启动Named Pipe TCP Proxy4、登录Cisco ASA55205、配置Cisco ASA55206、结果测试四、实训过程1、建立Cisco ASA5520仿真机打开存在的虚拟机。图 4-2 打开已经存在的虚拟机改变虚拟机设置，点击【编辑虚拟机设置】按钮，如图4-3所示

23、。图4-3添加一块新网卡，设置网卡和宿主主机网络之间的关系，选择【NAT】，如图4-4所示。图2-4设置虚拟机网卡和宿主主机网络之间的关系2、建立管道TCP代理安装Named Pipe TCP Proxy。启动Named Pipe TCP Proxy，打开如图2-5所示菜单。图2-5设置TCP管道代理的端口为4000图2-63、启动ASA虚拟机，启动Named Pipe TCP Proxy。启动虚拟机Named Pipe TCP Proxy，要保证出现如图2-7所示内容。图2-74、登录Cisco ASA 5520登录Cisco ASA 5520，如图2-8所示。5、配置Cisco ASA 5

24、520基本配置enableconf thostname ASA5520domain-name enable password asa5520passwd ciscointerface Ethernet0/0nameif outsidesecurity-level 0ip address 172.16.x.y exitinterface Ethernet0/1nameif insidesecurity-level 100ip address 192.168.a.b exitinterface Ethernet0/2na

25、meif dmzsecurity-level 50ip address exit*注意172.16.x.y，要和你计算机所在机房的计算机的物理网卡的IP地址在一个段中。Y用你计算机IP地址数加100。192.168.a.b，要和你计算机网卡的IP地址在一个段里。配置完以后，在防火墙上ping 172.16.x.254,和192.168.a.1。配置静态默认路由。route outside 172.16.x.254配置完以后，在防火墙上ping 94。 配置telnet远程管理teln

26、et 192.168.a.0 insidetelnet timeout 10*注意192.168.a.0是你计算机网卡的IP地址所在的网段。telnet测试配置SSH远程管理crypto key generate rsa modulus 1024ssh 192.168.a.0 insidessh 0 0 outsidessh timeout 10ssh version 2测试SSH配置ASDM远程管理http server enablehttp 192.168.a.0 insideasdm image disk

27、0username asdm password cisco privilege 15在浏览器里输入https:/IP地址测试。配置地址转换nat (inside) 100 global (outside) 100 interface配置访问控制列表access-list 111 permit ip any anyaccess-list 111 permit ip any anyaccess-group 111 in interface insideaccess-group 111 in interface outside五、实训总结实训四：

28、基于Snort的入侵检测系统的构建1入侵检测系统入侵检测系统监视计算机系统，寻找入侵的特征（未授权用户）或错误使用（越权的授权用户）。入侵检测系统可分为如下几类：（1）基于网络的入侵检测系统基于网络的入侵检测产品放置在比较重要的网段内，不停的监视网段中的各种数据包。对每一个数据包或可疑的数据包进行特征分析。如果数据包与产品内置的某些规则吻合，入侵检测系统就会发出警报甚至直接切断网络连接。目前，基于网络的入侵检测产品是主流。（2）基于主机的入侵检测系统基于主机的入侵检测产品通常是安装在被重点检测的主机之上，主要是对该主机的网络实时连接以及系统审计日志进行智能分析和判断。如果其中主体活动十分可疑（

29、特征或违反统计规律），入侵检测系统就会采取相应措施。（3）混合式入侵检测系统基于网络的入侵检测产品和基于主机的入侵检测产品都有不足之处，单纯使用一类产品会造成主动防御体系不全面。但是，它们的缺憾是互补的。如果这两类产品能够无缝的结合起来部署在网络内，则会构架成一套完整立体的主动防御体系，综合了基于网络和基于主机两种结构特点的入侵检测系统，既可发现网络中的攻击信息，也可从系统日志中发现异常情况。 （4）文件完整性检查工具由于文件完整性检查工具与原始意义上的基于主机的入侵检测不同，它仅限于保护关键文件的完整性，所以将它作为一类产品单列。通2. SnortSnort为开放源代码入侵检测系统软件，为用

30、来监视网络传输量的网络型入侵检测系统。主要工作是捕捉流经网络的数据包，一旦发现与非法入侵的组合一致，便向管理员发出警告。3.实训环境需求PC机若干台（其中一台要安装Windows xp SP2）, PC机要组成计算机网络。所需软件: 1、Snort_232_Build12_Installer.exe（在windows平台下的snort版本） 2、WinPcap-3.0beta.exe（windows版本的PCAP） http:/winpcap.polito.it 3、mysql-4.0.26-win32.zip（windows版本的mysql数据库服务器

31、） 4、acid-0.9.6b22.tar.gz（基于php的入侵检测数据库分析控制台） /kb/acid 5、adodb465.tar（ADODB（Active Data Objects Data Base）库for PHP） /sourceforge/adodb/adodb465.zip 6、apache_2.0.55-win32-x86-no_ssl.msi（windows版本的apache Web服务器） 7、

32、php-4.4.2-Win32.zip（windows版本的php脚本环境支持） 8、jpgraph-1.20.3.tar.gz（php下的图形库） http:/www.aditus.nu/jpgraph 注：由于每种软件都有很多的版本，并不是每种版本之间都能兼容，所以上述软件不一定是最新的，但是这样的一个组合已经实现. 9.2.4 实训步骤1. 安装Apache For Windows 2. 添加Apache 对PHP 的支持(1) 解压缩php-4.4.2-Win32.zip至c:php.(2) 拷贝php4ts.dll 至c:windowssystem

33、32，拷贝php.ini-dist 至c:windowsphp.ini。(3)修改php.ini，将extension=php_gd2.dll前面的“；”去掉，将extension=php_msql.dll前面的“；”去掉。拷贝c:phpextensios下的php_gd2.dll与php_msql.dll 至c:windows。以上添加gd 图形库支持。 (4) 打开C：Program FilesApache GroupApache2conf httpd.conf 文件，在其中中添加以下行：LoadModule php4_module c:/php/sapi/php4apache2.dllS

34、criptAlias /php/ c:/php/AddType application/x-httpd-php .phpAcTion application/x-httpd-php /php/php.exe(5) 在C:Program FilesApache GroupApache2htdocs文件夹内建立一个a.php文件,起内容为： (6) 在IE地址栏里输入： http:/localhost/a.php或 /a.php,如果能看到PHP的测试页面，说明安装成功。3.安装Snort 双击snort的安装文件。 到了选择安装路径，保持默认。 一路“Next”，直

35、至“Finish”，安装就结束。4. 安装配置mysql(1) 安装mysql双击mysql的安装文件，和普通windows程序安装一样，一路点“Next”就可以。(2) 启动mysql 服务 运行 C：mysqlbinwinmysqladmin.exe 输入root管理员密码。为默认root 帐号添加口令： c:cd mysqlbin C:mysqlbinmysql -u root mysql mysqlset password for rootlocalhost = password(snort); 建立snort 运行必须的snort 库和snort_archive 库C:mysqlbi

36、nmysql -u rootmysql create database snort;mysql create database snort_archive;mysql quit建立snort、snort_archive数据库的表结构运行 :c:mysqlbinmysql -D snort -u root -p c:snortschemascreate_mysql c:mysqlbinmysql -D snort_archive -u root -p grant usage on *.* to acidlocalhost identified by acidtest; mysql grant u

37、sage on *.* to snortlocalhost identified by snorttest; 为acid 用户和snort 用户分配相关权限 mysql grant select,insert,update,delete,create,alter on snort .* to acidlocalhost; mysql grant select,insert on snort .* to snortlocalhost; mysql grant select,insert,update,delete,create,alter on snort_archive .* to acidl

38、ocalhost; 为acid拥护和snort 拥护设置密码 mysqlset password for snortlocalhost = password(snort); mysqlset password for acidlocalhost = password(snort);5. 安装adodb解压缩adodb465.tar 至c:phpadodb 目录下6. 安装acid(1)解压缩acid-0.9.6b22.tar.gz至c：program filesapache group apache2htdocsacid目录下。 (2)修改acid_conf.php文件，找到相应的行，并把它们

39、改成： $DBlib_path = c:phpadodb; $alert_dbname = snort; $alert_host = localhost; $alert_port = 3306; $alert_user = acid; $alert_password = your password; /* Archive DB connection parameters */ $archive_dbname = snort_archive; $archive_host = localhost; $archive_port = 3306; $archive_user = acid; $archi

40、ve_password = your password; $ChartLib_path = c:phpjpgraphsrc;注意：yourpassword代表的是root用户的密码(3)打开/acid/acid_db_setup.php，测试基本功能是否安装成功。在正常情况下，到此处应该能够正常连接数据库。 这里常出现的一种错误是Warning: mysql_pconnect(): Client does not support authentication protocol requested by server ,原因：这是因为php不支持mysql4.1及后

41、续版本新的验证方式。 解决方法： mysql UPDATE mysql.user SET password=OLD_PASSWORD(yourpassword) WHERE Host=localhost AND User=root; mysql FLUSH PRIVILEGES; (4)如果将两个步骤都完成，那么就可以进入到主页： /acid/acid_main.php，如果有一些显示信息，基本上全是0，则说明安装成功。7. 安装winpcap(1) 双击winpcap的安装文件，和普通windows程序安装一样，一路点“Next”就可以。8. 设置Snort(1

42、) 安装Snort 双击snort的安装文件。 到了选择安装路径，保持默认。 一路“Next”，直至“Finish”，安装就结束。(2) 编辑c:snortetcsnort.conf 需要修改的地方： include classification.config include reference.config 改为绝对路径：include c:snortetcclassification.config include c:snortetcreference.config(3) 设置snort 输出alert 到mysql server编辑c:snortetcsnort.conf,添加以下内容：

43、 如果mysql和snort在同一台服务器上 output database: alert, mysql, host=localhost user=snort password=snort dbname=snort detail=full 如果不是在本地的mysql服务器，使用 output database: alert, mysql, host=39(mysql服务器地址) port=3306 dbname=snort_ncool_1 user=snort password=your_password sensor_name=n detail=full9. 测试Sn

44、ort(1) 打开【开始】，【运行】，在【打开】对话框中输入:cmd(2) 进入c:snortbin文件夹(3) 输入snort -c c:snortetcsnort.conf -l c:snortlog -d -e(4) 输入http:/localhost/acid/，应该可以看到当前的网络情况分析。实训五：Cisco IDS的配置 一、实训目的：了解入侵检测系统的工作原理。掌握Cisco IDS的基本配置。二、实训环境：PC机若干台, PC机要组成计算机网络，Cisco IDS。三、实训内容1、设置新密码。2、设置管理IP地址、子网掩码、默认网关。3、设置主机名。4、设置Telnet功能。

45、5、设置Web管理功能。6、设置可连入管理IP。7、设置自定义Signature。四、实训过程1.登录IDS，设子新密码，默认系统用户名和密码都是cisco。2设置完密码后，在命令提示符后输入 setup，进入系统初始化界面。3. 设置管理IP地址、子网掩码、默认网关；设置主机名；设置Telnet功能；设置Web管理功能；设置可连入管理IP。4. 设置完成后，选2进行保存，如下图所示。5. 保存后Reset 系统。6.Web管理系统7.设置自定义Signature。五、实训总结实训六：利用第二层、第三层隧道协议实现VPN一、实训目的：了解IPSec VPN的工作原理。掌握利用路由器构建IPSe

46、c VPN。二、实训环境：安装有Cisco路由器模拟器Dynamips的计算机。图7-1实验拓扑三、实训内容1、配置路由器R1。2、配置路由器R2。3、测试。四、实训过程1、启动并连接路由器启动路由器图7-2连接路由器R1图7-3连接路由器R2图7-42、配置路由器r1enableconf thostname R1no ip domain lookupinterface Serial1/0 ip address 52 serial restart-delay 0 clock rate 64000no shutdowninterface Tunn

47、el0 ip address 52 tunnel source tunnel destination no shutdownexitcrypto isakmp enablecrypto isakmp policy 11encryption 3deshash shagroup 1lifetime 5000authentication pre-shareexitcrypto isakmp key cisco123 address crypto ipsec transform-set

48、 myset1 ah-sha-hmac esp-3des esp-md5-hmacmode tunnel exitaccess-list 111 permit gre host host access-list 111 permit ip any anycrypto map map1 10 ipsec-isakmpmatch address 111set transform-set myset1set peer exit3、配置路由器R2enableconf thostname R2no ip domain lookupint

49、erface Serial1/0 ip address 52 serial restart-delay 0 clock rate 64000no shutdowninterface Tunnel0 ip address 52 tunnel source tunnel destination no shutdownexitcrypto isakmp enablecrypto isakmp policy 11encryption 3deshash sha

50、group 1lifetime 5000authentication pre-shareexitcrypto isakmp key cisco123 address crypto ipsec transform-set myset1 ah-sha-hmac esp-3des esp-md5-hmacmode tunnel exitaccess-list 111 permit gre host host access-list 111 permit ip any anycrypto map map1 10 ipsec-isakm

51、pmatch address 111set transform-set myset1set peer exit3、测试R1#ping R1#show crypto ipsec saR2#ping R2#show crypto ipsec sa五、实训总结实训七：利用MPLS隧道协议实现VPN一、实训目的：了解MPLS VPN的工作原理。掌握利用路由器构建MPLS VPN。二、实训环境：安装有Cisco路由器模拟器Dynamips的计算机。图8-1实验拓扑三、实训内容1、启动并连接路由器2、配置P路由器，准备P-network。3

52、、配置PE路由器，配置PE-PE的路由会话, 配置PE-CE的路由会话。4、配置CE路由器。5、测试。四、实训过程1、启动并连接路由器启动路由器图7-2连接路由器R1图7-3连接路由器R2图7-42、配置P路由器，准备P-network Conf tHostname Pip cef interface Loopback0 ip address 55 interface Serial1/0 ip unnumbered Loopback0 mpls ip interface Serial1/1 ip unnumbered Loopback0 mpls router ospf 1 log-adjacency-changes network area 0 3、配置PE路由器，配置PE-PE的路由会话配置路由器PEAconf t ip cef interface Loopback0 ip address 55 interface Serial1/0 ip unnumbered Loopback0 mpls ip router ospf 1 log-adjacency-changes network ar