网络设备配置与管理（第3版）课件09 实现内部网络与互联网的互访、10 广域网接入技术、11 网络设备的管理

09实现内部网络与互联网的互访

NAT技术缓解公网地址短缺NAT技术作用NAT技术缓解公网地址耗尽，允许机构以单个公网IP出现在互联网，将私有IP转换为合法公网IP。

NAT技术原理NAT通过翻译内部私有网络地址至合法公网IP地址，实现多个设备共享单一公网IP访问互联网。学习NAT基本知识01NAT简介

NAT的工作原理与作用NAT是转换IP地址的过程，用于私网访问公网，部署在网关，转换源私网地址为公有地址，创建NAT映射表判断报文私网目的地址。

NAT简介：私有IP与公网IP的区别私有IP地址定义与使用私有IP地址是内部网络使用且不会出现在外部网络的IP地址，无需申请即可在公司或企业内部自由使用。

公网IP地址定义与使用公网IP地址是外部网络应用且全球唯一的IP地址，需向专门管理机构申请，互联网数据包通常利用其传输。

私有IP地址块RFC1918预留3个私有IP地址块：A类～55，B类～55，C类～55。

IPv4与IPv6现状尽管IPv4地址将耗尽且IPv6已全面推广，但大量公司内部网络仍为IPv4架构，互联网大部分也使用IPv4。NAT简介

NAT分区与安全增强NAT将网络划分为Inside私有区域和Outside公有区域，启用后内网可访问外网，且外网无法直接访问内网资源，提高内网安全性。

NAT的地址类型

NAT地址分类概述NAT技术中对地址转换所用地址有详细描述及定义，有助于理解私有与公有地址转换方法及过程，总体分为4类。

内部本地IP地址定义内部本地IP地址是内部主机使用的私有IP地址，用于内部网络中的连通，通常为私有地址。

内部全局IP地址定义内部全局IP地址是内部主机使用的公网IP地址，用于外部网络路由，通常为公有地址。

IP地址分类定义外部本地IP：内部网络中外部主机IP，用于内部路由，双向NAT时配置。外部全局IP：外部网络中外部主机IP，用于外部路由，双向NAT时配置。NAT的基本应用类型NAT基本应用将IP地址从一个转换为另一个，适用于源或目的地址。NAT技术分类分为静态NAT和动态NAT，后者更细分为基于端口的NAT，动态NAT在实际中应用广泛。静态NAT静态NAT是私有IP与公网IP一对一固定转换，可实现外部访问内部特定设备，配置需定义转换地址并在接口配置NAT。动态NAT动态NAT是私有IP地址随机转换为指定合法公网IP地址的方式，适用于合法IP地址略少于内部计算机数量的情况。网络地址端口转换NAPT动态NAT的局限性动态NAT任意时刻一个公网IP仅转换一个私有IP，内网设备数量大于公网IP时无法保证所有设备同时上网。NAPT的工作原理RTA接收私网报文，选公网IP和端口建NAPT表项映射，转换源地址端口后转发，收到回复按映射转换转发给主机。NAPT的优势NAPT能最大限度节约IP地址资源，隐藏网络内部所有主机，有效避免外网攻击，是目前网络中应用最多的方式。静态NAT的应用02

学习情境学习情境小张受王师傅指导，为部门电脑配独立公网IP，推荐用静态NAT实现互联网访问。

技术应用静态NAT确保内部IP与外部IP稳定映射，实现单机公网访问需求。操作过程：搭建网络拓扑

搭建网络拓扑网络拓扑如图9-3所示，请读者根据拓扑图在模拟器上搭建网络拓扑。操作过程：搭建网络拓扑配置网络设备参数

网络设备配置详细列出各设备接口、IP地址及网关，包括R1、ISP路由器，两台PC和两台FTP服务器，构建完整网络拓扑。

IP地址分配为所有网络设备分配特定IP地址，如R1的G0/0/0接口使用54/24，确保网络通信正常。配置网络参数操作过程：配置计算机网络参数PC0接口Eth1/0/0设IP,配置默认路由指向54。演示配置过程通过命令行界面逐步配置PC0网络参数，包括IP地址和网关。步骤2配置PC1的网络参数进入PC1的GigabitEthernet0/0/0接口，配置IP地址24，配置静态网关54，完成后测试直连设备通信。操作过程：配置路由器的接口和路由步骤1配置路由器R1

配置路由器R1接口G0/0/0设为54/24，G0/0/1设为/8。

配置默认路由R1设置默认路由指向。

配置路由器ISP接口ISP的G0/0/0设为54/24，G0/0/1设为/8。

测试内外网连通性PC0尝试ping，显示100%丢包，因ISP无回程路由。

操作过程：利用静态NAT实现内网指定设备访问外网静态NAT配置申请公网IP0，配置于路由器R1，实现PC0通过此地址访问外网。

操作目标使内网设备PC0能以静态NAT方式，使用0公网IP访问外部网络资源。操作过程：利用静态NAT实现内网指定设备访问外网

步骤1配置静态地址转换静态NAT配置在R1的G0/0/1接口配置静态NAT，公有IP0映射内网PC0的私有IP，实现一对一固定映射。配置验证displaynatstatic显示G0/0/1接口的静态NAT信息，确认0与的转换。测试结果PC0能访问外网，ping成功；Server1和Server2因未配置公网IP，无法访问外网，体现静态NAT一对一映射特性。静态NAT配置操作过程：利用静态NAT实现外网访问内网指定服务器

实现外网通过0访问内网FTPServer1，需配置静态NAT，隐藏内网地址，满足特定访问需求。测试验证

在外网PC1上ping内网地址失败，ping转换后的公网IP成功，证实NAT配置有效，需进一步配置NATServer及ALG功能。操作过程：利用静态NAT实现外网访问内网指定服务器配置NATServer配置静态NAT在GigabitEthernet0/0/1接口下，配置基于TCP协议的静态NAT，将外网0的FTP服务映射到内网的FTP服务。启用NATALG退出接口视图后，全局启用NATALG功能，确保FTP服务的正确传输和解析。操作过程：利用静态NAT实现外网访问内网指定服务器查看NATServer信息

01操作过程通过GigabitEthernet0/0/1接口，将外网0的FTP流量映射至内网服务器，协议为TCP，配置已生效。

02配置信息显示NAT服务器信息，包括接口、全球IP/端口、内部IP/端口、协议、总配置数，确认静态NAT配置正确。操作过程：利用静态NAT实现外网访问内网指定服务器

步骤2测试启动FTP服务启动FTPServer1服务器的FTP服务，确保服务正常运行，如图9-6所示。利用ftp命令测试在外网计算机PC1上使用ftp命令尝试连接内网IP地址0的FTPServer1，成功登录并隐藏内网地址信息。动态NAT的应用03学习情境

王师傅让小张为某部门的多台计算机使用两个公网IP地址访问外网，建议小张使用动态NAT来实现此操作操作过程：搭建网络拓扑搭建网络拓扑网络拓扑如图9-7所示，请读者根据拓扑图在模拟器上搭建网络拓扑。操作过程：搭建网络拓扑配置网络参数

网络设备配置详细列出各设备接口、IP地址及网关，R1双接口独立网络，ISP连接不同网段，PC系列统一网关。PC配置PC1至PC4配置各异，特别PC1使用公网IP，其余在私网，共享同一网关54。操作过程网络参数配置指南请读者根据表9-3自行配置相关网络参数，这里不再演示。

操作过程：利用动态NAT实现内网访问外网利用公网IP地址0/24至0/24实现动态地址转换操作过程：利用动态NAT实现内网访问外网步骤1配置路由

配置默认路由在R1上设置默认路由至ISP:iproute-static,配置后内外网应不通。

配置动态NAT创建NAT地址池0-20,配置ACL允许网段使用,在GigabitEthernet0/0/1启用no-pat动态转换。操作过程：利用动态NAT实现内网访问外网步骤3测试

PC2访问外网测试成功发送5个数据包至,往返时间31-62ms,无丢包,证实PC2可访问外网。

PC3访问外网测试向发送5次ping请求,往返时间31-62ms,无数据包丢失,确认PC3外网连通性。

PC4访问外网测试PC4向发送5个数据包,往返时间47-62ms,无丢包现象,表明PC4能访问外网。

动态NAT限制动态NAT下,每公网IP仅限一台内网设备使用,IP不足时需用NPAT实现多设备共享访问。网络地址端口转换NPAT应用04

学习情境网络访问问题使用NPAT解决因公网地址不足导致的内部多台电脑无法同时上网问题。

技术应用通过网络地址端口转换，有效扩展有限的公网IP，保障所有内部计算机可同时访问互联网。操作过程操作过程沿用任务3基础配置，重新配置地址转换命令，实现网络地址端口转换。

操作过程：配置地址转换配置地址池配置地址池，仅含公网IP地址0，命令为[R1]nataddress-group100。

配置基本ACL配置基本ACL，规则5允许源地址为/24网段的流量通过。

配置NPAT进入接口GigabitEthernet0/0/1，执行natoutbound2000address-group1命令配置NPAT，该命令比动态地址转换少no-pat。操作过程：配置地址转换查看配置结果

配置结果查看通过命令displaynatoutbound，显示NAT外出信息，确认接口GigabitEthernet0/0/1使用ACL2000，动态转换类型为PAT，总计1条记录。

动态转换类型配置结果表明，当前的动态地址转换类型为PAT（PortAddressTranslation）。操作过程测试内网计算机通过ping命令检测与外网PC1连通性，单公网IP下均能有效通信，表明NPAT是广泛应用技术，建议自行实践。THEEND谢谢10广域网接入技术计算机网络分类概述网络分类按地理范围分：局域网(LAN)、广域网(WAN)、城域网(MAN)，分别覆盖几米至数千米、几十至几千千米、几十千米，适应不同规模需求。局域网特性局域网适用于办公室、实验室、校园等近距离计算机互联，实现资源共享与信息传递。广域网应用广域网覆盖国家、地区乃至洲际，如ChinaDDN、PSDN，支持长距离通信，需借助交换机与多种通信方式。城域网定位城域网介于LAN与WAN间，覆盖城市规模，提供高速网络连接，弥补两者距离限制。广域网必要性当主机间距离远超局域网能力时，广域网成为必需，通过交换机与点对点线路，如租用线路、光纤、微波、卫星，实现远程通信。学习广域网接入的基本知识01任务1学习广域网接入的基本知识

广域网定义运营商提供技术，使用户间相互通信，包括专线、PSTN、DSL等，旨在实现数据交流。

网络封装技术本章讲解基础网络封装技术，用于广域网数据传输，确保信息准确无误地到达目的地。几种常用的广域网接入方式

专线原始专线点对点连接限制网络扩展、增加运营成本，目前多采用复用或VPN利用已有线路互联，数据使用时可自行断网减费。

帧中继技术帧中继是基于专线的新广域网技术，采用动态网络与DLCI号通信，用户申请后无需增线即可通信，运营商可动态切换保障访问。几种常用的广域网接入方式：点对点协议

PPP协议简介PPP协议是IETF推出的点对点线路数据链路层协议，解决了SLIP中的问题，成为正式因特网标准。

PPP协议的特性与应用PPP支持多种物理线路传输上层协议报文，具备多协议、身份认证等丰富特性，应用广泛。广域网常用技术术语

DLCI标识符帧中继用DLCI标识DTE与交换机虚电路，关联两端，6位标识客户服务器连接，用于RFCOMM层，是地址字段重要部分，长度10/16/23bit，标识PVC、呼叫控制或管理信息。

本地管理接口（LMI）LMI是用户设备与帧中继交换机的沟通信令，通告检测链路状态，确认PVC可用，有ANSI、Cisco、Q933A三种信令。广域网常用技术术语：虚电路01虚电路建立与数据传输虚电路方式广域网通信前需建立逻辑连接，数据传输时报文含虚电路号，结束后释放虚电路。02虚电路号的选择与局部意义虚电路方式中，机器选未使用虚电路号标识并填虚电路表，虚电路号仅具局部意义，传输中会变化。03虚电路信息的登记与数据传送虚电路建立后，各交换机虚电路表登记该电路信息，通信时根据数据报文中虚电路号查找虚电路表确定输出线路传送数据。04虚电路的释放与资源回收数据传输结束需释放虚电路表空间，由任意一方发送撤除虚电路报文，清除沿途交换机虚电路表相关项。PPP连接02PPP的认证方式

PPP认证方式PAP与CHAP，前者明文传输，节省带宽但不安全；后者三次握手，MD5加密，更安全。

PAP认证流程被认证方明文发送用户名密码，主认证方本地数据库比对，简单但易泄露。

CHAP认证流程主认证方发起，被认证方MD5加密回应，再次比对确认，过程安全复杂。PPP的认证方式：密码验证协议（PAP）

PAP协议简介PAP是一种不安全的身份验证协议，需用户密码访问安全系统，用户名和密码通过线路发送到服务器验证，易受窃听攻击。

PAP的安全风险多数情况不建议使用PAP，因其密码易从PPP数据包中读取。禁用PAP可提高安全性，但仅支持PAP的客户端无法连接。PPP的认证方式：挑战握手验证协议（CHAP）CHAP防回放攻击机制CHAP用唯一不可预知挑战数据防回放攻击，以MD5加密发送数据，具时效性和不可复制性，区域服务器可控制挑战消息频率和时间。CHAP与PAP对比CHAP用3次握手定期审查认可，链路建立时完成且可重复，较PAP更有效；PAP仅一次认证易被重放，允许客户端发起易遭攻击。CHAP认证流程PPP链路建立后，服务器发挑战消息，远端回送响应值，服务器验证，吻合则认证通过，否则链路终止。配置PPP连接的加密认证

学习情境小张在学习了PPP技术理论后，根据王师傅的建议在模拟器上对两台路由器进行实验，并且验证相关操作。配置PPP连接的加密认证：操作过程搭建网络拓扑网络拓扑如图10-4所示，两台路由器为AR2220，请读者根据拓扑图在模拟器上搭建网络拓扑。配置设备的IP地址根据图10-4配置路由器IP地址，完成后测试两台路由器间通信，此时应可通信，过程由读者自行操作，此处不演示。配置PPP连接的加密认证：操作过程配置PAP认证

配置R1设置用户名tuser，密码cipherhuawei，PPP协议，PAP认证，接口Serial1/0/0。配置R2仅需配置PPP封装，使用用户名tuser，密码cipherhuawei于Serial1/0/0接口。测试通信成功ping通R1IP，显示认证有效，修改R2密码后，ping失败，验证密码匹配重要性。配置PPP连接的加密认证：操作过程配置CHAP认证

配置PPP连接的加密认证采用CHAP认证替代PAP，配置用户名tuser，密码cipherhuawei，于R1与R2间实现安全PPP连接，确保通信安全，需双方配置一致，测试通信状态确认认证成功。操作步骤详解步骤1：R1配置aaa，local-usertuser，service-typeppp，Serial1/0/0接口开启CHAP认证；步骤2：R2配置Serial1/0/0接口，设置pppchapuser及password；步骤3：测试ping命令，验证通信状态，确保认证有效。THEEND谢谢11网络设备的管理校园网设备维护指南校园网工程项目接近尾声，需培训管理员快速操作网络设备，确保正常运行，提升管理效率。网络设备维护通过校园网项目路由器，介绍基本维护方法，助于日常管理和故障排查。设备远程管理01SSH连接技术介绍

SSH安全协议基于应用层和传输层，加密远程登录会话，保护数据安全，防止信息泄露。

SSH跨平台特性起初为UNIX系统设计，后扩展至多平台，客户端兼容广泛，增强远程管理安全性。

SSH防攻击机制加密传输数据，抵御“中间人”攻击，防范DNS与IP欺骗，保障网络通信安全。

SSH数据传输优化数据加密同时进行压缩，提升传输效率，为FTP、POP等服务提供安全通道。SSH连接技术介绍口令安全验证级知道账号和口令可登录远程主机，数据加密传输，但无法确保连接的是目标服务器，可能遭遇“中间人”攻击。SSH连接技术介绍：第二种级别（基于密钥的安全验证）SSH密钥验证流程

SSH密钥验证用户需创建公私钥对，将公钥置于目标服务器，实现安全连接验证。

SSH连接流程客户端请求服务器使用公钥验证，服务器比对公钥后，加密质询发回，客户端用私钥解密响应。SSH连接技术介绍：第二种级别（基于密钥的安全验证）

SSH的安全性和其他认证方法SSH在不安全网络发送信息可防监听，还支持Kerberos、安全ID卡等其他身份认证方法。

SSH的组成部分和版本SSH组成部分：传输层协议、用户认证协议、连接协议。版本：1.x和2.x，客户端与服务器版本需兼容。利用SSH登录路由器

学习情境小张发现Telnet登录路由器数据可被抓包获取用户名密码，王师傅介绍SSH登录原理方法并让其设置所有路由器仅允许SSH登录。利用SSH登录路由器：操作过程

搭建网络拓扑如图12-2所示，请读者根据拓扑图在模拟器上搭建网络拓扑。

配置路由器接口的IP地址请读者根据图12-2所示自行配置相关IP地址。利用SSH登录路由器：操作过程路由器R1上的配置

生成RSA密钥对在SSH服务器R1上创建RSA密钥对，确认替换已存在的Host密钥，选择默认512位模数，生成过程中显示进度。启用SSH服务路由器R1上启用SSH服务，配置VTY接口0至4，设置AAA认证模式，仅接受SSH协议，用户权限等级设为1。配置VTY接口配置5个vty虚拟接口，认证模式为AAA，仅接受SSH协议，用户权限等级为1，限制登录方式为SSH。配置AAA认证设置本地用户tuser，密码加密为huawei，服务类型指定为SSH，实现远程登录认证。设置认证类型配置SSH用户tuser的认证类型为密码认证，更改即时生效，确保安全登录流程。利用SSH登录路由器：操作过程

路由器R2上的配置路由器R2为SSH客户端，需开启SSH功能，执行命令[R2]sshclientfirst-timeenable，否则公钥无法保存，SSH连接失败。利用SSH登录路由器：操作过程登录测试

利用SSH登录路由器通过SSH从R2登录至R1，输入用户名和密码，保存服务器公钥，成功连接但因权限问题无法切换至系统视图。查看SSH配置在R1上使用命令检查SSH状态和用户信息，显示版本、超时时间、重试次数及SFTP、Stelnet服务状态，用户test以密码认证。文件管理02学习情境学习情境通过模拟器搭建拓扑，实践文件管理操作，以熟悉路由器配置文件备份流程。准备工作小张首次接触此类任务，需先掌握模拟环境下操作，确保实际操作时能顺利完成。操作过程

文件系统操作涉及创建、删除、修改、复制、显示文件和目录，管理于外部存储。

存储介质使用Flash、CF卡、SD卡或U盘，存放配置、系统、License及补丁文件。

重要文件VRP操作系统文件关键，扩展名".cc"，需置于根目录，启动时载入内存运行。操作过程

搭建网络拓扑如图12-2所示，请读者根据拓扑图在模拟器上搭建网络拓扑。操作过程：目录管理

查看当前目录VRP系统中，目录操作在用户视图执行，执行pwd命令结果为flash:，当前处于flash存储器根目录下。操作过程：目录管理查看当前目录中的文件

操作过程在用户视图下用dir命令显示目录及文件列表，包括大小、日期和属性，可深入子目录查看。

目录管理显示总空间与可用空间，区分目录与文件，如dhcp为目录，portalpage