1、http:/ 本章主要介紹路由器的基本配置方法，基于路由器的常用配置方法。通過(guò)本章的學(xué)習(xí)，讀者可以了解路由器的軟、硬件構(gòu)成，了解路由器的啟動(dòng)過(guò)程；掌握路由器的配置方式，掌握路由器手工配置方法，掌握基于路由的訪問(wèn)控制列表配置，掌握IP路由的配置。http:/ 路由器的基本配置n9.2 基于路由的訪問(wèn)列表配置n9.3 IP路由原理及其配置http:/ 路由器軟件和硬件的概述盡管有著各種各樣、類型不同的路由器。但是，它們的硬件組成都是基本相同的。(1) 中央處理單元(2) 只讀存儲(chǔ)器(3) 內(nèi)存(4) 閃存(5) 非易失性內(nèi)存(6) 控制臺(tái)端口(7) 輔助端口(8) 接口(9) 纜線http:/ 路

2、由器軟件概述 1. 路由器操作系統(tǒng) 大部分Cisco路由器使用的是Cisco網(wǎng)絡(luò)互連操作系統(tǒng)(Internetworking Operating System，IOS)。IOS配置通常是通過(guò)基于文本的命令行接口(Command Line Interface，CLI)進(jìn)行的。 2. 配置文件 (1) 啟動(dòng)配置文件：也稱為備份配置文件，被保存在NVRAM中，并且在路由器每次初始化時(shí)加載到內(nèi)存中變成運(yùn)行配置文件。 (2)運(yùn)行配置文件：也稱為活動(dòng)配置文件，駐留在內(nèi)存中。當(dāng)通過(guò)路由器的命令行接口對(duì)路由器進(jìn)行配置時(shí)，配置命令被實(shí)時(shí)添加到路由器的運(yùn)行配置文件中并被立即執(zhí)行。http:/ 3. 實(shí)用管理程序

3、除了存在于路由器內(nèi)部的上述軟件外，Cisco還提供了一些圖形化的路由器配置、管理程序，如Fast Step、Cisco ConfigMaker、Cisco Works等。http:/ 路由器啟動(dòng)過(guò)程概述http:/ 路由器配置方式http:/ 1. 通過(guò)超級(jí)終端進(jìn)行配置 對(duì)于第一次初始安裝的路由器來(lái)說(shuō)，只能通過(guò)控制臺(tái)Console端口對(duì)其進(jìn)行初始配置。在配置之前，必須首先用路由器附帶的控制臺(tái)電纜連接路由器和終端(一般為PC機(jī))。 如圖所示，將控制臺(tái)電纜的RJ-45接頭的一端連接到路由器的控制臺(tái)端口，另一端連接計(jì)算機(jī)的串行端口上。http:/ 在工作站端啟動(dòng)超級(jí)終端應(yīng)用程序，如圖所示，并為此連接

4、輸入一個(gè)名稱。http:/ 然后，選擇連接所使用的端口，如圖所示。http:/ 最后，必須將終端設(shè)備配置成工作于9600波特率、8個(gè)數(shù)據(jù)位、沒(méi)有奇偶校驗(yàn)、一個(gè)停止位的狀態(tài)。數(shù)據(jù)流控制可以選擇Xon/Xoff，如圖所示。http:/ 2. 通過(guò)Telnet進(jìn)行配置 當(dāng)為路由器的某個(gè)接口設(shè)置了IP地址后，可以通過(guò)虛擬終端從任何地點(diǎn)的Telnet到路由器上對(duì)其進(jìn)行配置，如圖所示。http:/ 路由器配置向?qū)?以下為進(jìn)入設(shè)置對(duì)話過(guò)程后，路由器首先會(huì)顯示一些提示信息： - System Configuration Dialog - At any point you may enter a questio

5、n mark ? for help. Use ctrl-c to abort configuration dialog at any prompt. Default settings are in square brackets . 這是告訴你在設(shè)置對(duì)話過(guò)程中的任何地方都可以鍵入“？”得到系統(tǒng)的幫助，按ctrl-c可以退出設(shè)置過(guò)程，缺省設(shè)置將顯示在中。然后路由器會(huì)問(wèn)是否進(jìn)入設(shè)置對(duì)話： Would you like to enter the initial configuration dialog? yes: 如果按y或回車，路由器就會(huì)進(jìn)入設(shè)置對(duì)話過(guò)程。首先你可以看到各端口當(dāng)前的狀況： Firs

6、t, would you like to see the current interface summary? yes: Any interface listed with OK? value NO does not have a valid configuration http:/ 然后，路由器就開(kāi)始全局參數(shù)的設(shè)置： Configuring global parameters: (1) 設(shè)置路由器名： Enter host name Router: (2) 設(shè)置進(jìn)入特權(quán)狀態(tài)的密文(secret)，此密文在設(shè)置以后不會(huì)以明文方式顯示： The enable secret is a one-wa

7、y cryptographic secret used instead of the enable password when it exists. Enter enable secret: cisco (3)設(shè)置進(jìn)入特權(quán)狀態(tài)的密碼(password)，此密碼只在沒(méi)有密文時(shí)起作用，并且在設(shè)置以后會(huì)以明文方式顯示： The enable password is used when there is no enable secret and when using older software and some boot images. Enter enable password: pass (4)

8、設(shè)置虛擬終端訪問(wèn)時(shí)的密碼： Enter virtual terminal password: cisco http:/ (5)詢問(wèn)是否要設(shè)置路由器支持的各種網(wǎng)絡(luò)協(xié)議： Configure SNMP Network Management? yes: Configure DECnet? no: Configure AppleTalk? no: Configure IPX? no: Configure IP? yes: Configure IGRP routing? yes: Configure RIP routing? no: http:/ Configure Async lines? yes:

9、設(shè)置線路的最高速度： Async line speed 9600: 是否使用硬件流控： Configure for HW flow control? yes: 是否設(shè)置modem： Configure for modems? yes/no: yes 是否使用默認(rèn)的modem命令： Configure for default chat script? yes: 是否設(shè)置異步口的PPP參數(shù)： Configure for Dial-in IP SLIP/PPP access? no: yes 是否使用動(dòng)態(tài)IP地址： Configure for Dynamic IP addresses? yes: 是

10、否使用缺省IP地址： Configure Default IP addresses? no: yes 是否使用TCP頭壓縮： Configure for TCP Header Compression? yes: 是否在異步口上使用路由表更新： Configure for routing updates on async links? no: y 是否設(shè)置異步口上的其它協(xié)議。 http:/ Configuring interface Ethernet0: (1)是否使用此接口： Is this interface in use? yes: (2)是否設(shè)置此接口的IP參數(shù)： Configure I

11、P on this interface? yes: (3)設(shè)置接口的IP地址： IP address for this interface: (4)設(shè)置接口的IP子網(wǎng)掩碼： Number of bits in subnet field 0: Class C network is , 0 subnet bits; mask is /24 在設(shè)置完所有接口的參數(shù)后，系統(tǒng)會(huì)把整個(gè)設(shè)置對(duì)話過(guò)程的結(jié)果顯示出來(lái)： The following configuration command script was created: hostname Route

12、r enable secret 5 $1$W5Oh$p6J7tIgRMBOIKVXVG53Uh1 enable password pass 顯示結(jié)束后，系統(tǒng)會(huì)問(wèn)是否使用這個(gè)設(shè)置： Use this configuration? yes/no: yes 如果回答yes，系統(tǒng)就會(huì)把設(shè)置的結(jié)果存入路由器的NVRAM中，然后結(jié)束設(shè)置對(duì)話過(guò)程，使路由器開(kāi)始正常的工作。 http:/ 路由器手工配置 1. 路由器命令解釋器及路由器配置模式http:/ 2. 路由器的上文幫助 Cisco路由器允許使用命令的縮寫(xiě)形式。原則上只要不和其他命令混淆，可以使用盡量短的命令形式。如果忘記某個(gè)命令的部分拼寫(xiě)，可以在鍵入

13、該命令的前幾個(gè)字母后緊接著鍵入一個(gè)問(wèn)號(hào)。這時(shí)，可以列出所有可能的命令列表。 在一個(gè)命令后加一個(gè)空格，再鍵入一個(gè)問(wèn)號(hào)還可以列出一個(gè)命令所有可能的參數(shù)或子命令。 如果記不清某個(gè)命令的具體拼寫(xiě)，可以采用Tab鍵的方式將不完整的命令拼寫(xiě)補(bǔ)全。方法是輸入一個(gè)命令足夠多的縮寫(xiě)字母后，按鍵盤(pán)上的Tab鍵，IOS將會(huì)把其余的字符補(bǔ)齊。http:/ 3. 命令歷史和命令編輯快捷鍵 默認(rèn)情況下，IOS將用戶輸入的最近lO條命令保存在內(nèi)存中的命令歷史緩沖區(qū)內(nèi)?？梢栽诋?dāng)前的路由器提示符后輸入命令show history得到當(dāng)前的命令歷史緩沖區(qū)中的命令列表?？梢允褂妹顃erminal history size定義IO

14、S保存在命令歷史緩沖區(qū)內(nèi)歷史命令的條數(shù)。 快捷鍵“Ctrl+P”可以將上一條命令顯示在當(dāng)前的路由器提示符后，而快捷鍵“Ctrl+N”可顯示后一條命令，等等。http:/ 常用路由器基本配置命令 1. 幫助 在IOS操作中，無(wú)論任何狀態(tài)和位置，都可以鍵入“？”得到系統(tǒng)的幫助。http:/ 2. 改變命令狀態(tài) 任務(wù) 命令 進(jìn)入特權(quán)命令狀態(tài) enable 退出特權(quán)命令狀態(tài) disable 進(jìn)入設(shè)置對(duì)話狀態(tài) setup 進(jìn)入全局設(shè)置狀態(tài) config terminal 退出全局設(shè)置狀態(tài) end 進(jìn)入端口設(shè)置狀態(tài) interface type slot/number 進(jìn)入子端口設(shè)置狀態(tài) interfac

15、e type number.subinterface point-to-point | multipoint 進(jìn)入線路設(shè)置狀態(tài) line type slot/number 進(jìn)入路由設(shè)置狀態(tài) router protocol 退出局部設(shè)置狀態(tài) exit http:/ 3. 顯示命令任務(wù) 命令 查看版本及引導(dǎo)信息 show version 查看運(yùn)行設(shè)置 show running-config 查看開(kāi)機(jī)設(shè)置 show startup-config 顯示端口信息 show interface type slot/number 顯示路由信息 show ip router http:/ 4. 拷貝命令 用于

16、IOS及CONFIG的備份和升級(jí)，文件復(fù)制如圖9.11所示 http:/ 5. 網(wǎng)絡(luò)命令 任務(wù) 命令 登錄遠(yuǎn)程主機(jī) telnet hostname|IP address 網(wǎng)絡(luò)偵測(cè) ping hostname|IP address 路由跟蹤 trace hostname|IP address http:/ 6. 基本設(shè)置命令 任務(wù) 命令 全局設(shè)置 config terminal 設(shè)置訪問(wèn)用戶及密碼 username username password password 設(shè)置特權(quán)密碼 enable secret password 設(shè)置路由器名 hostname name 設(shè)置靜態(tài)路由 ip rou

17、te destination subnet-mask next-hop 啟動(dòng)IP路由 ip routing http:/ 命令 啟動(dòng)IPX路由 ipx routing 端口設(shè)置 interface type slot/number 設(shè)置IP地址 ip address address subnet-mask 設(shè)置IPX網(wǎng)絡(luò) ipx network network 激活端口 no shutdown 物理線路設(shè)置 line type number 啟動(dòng)登錄進(jìn)程 login local|tacacs server 設(shè)置登錄密碼 password password http:/ 7. 配置IP尋址 任務(wù)

18、 命令 接口設(shè)置 interface type slot/number 為接口設(shè)置IP地址 ip address ip-address mask http:/ 訪問(wèn)控制列表概述 1. 訪問(wèn)控制列表概述 訪問(wèn)控制列表(Access control List，AcL)是控制流入、流出路由器數(shù)據(jù)包的一種方它通過(guò)在數(shù)據(jù)包流入路由器或流出路由器時(shí)進(jìn)行檢查、過(guò)濾達(dá)到流量管理的目的。 訪問(wèn)控制列表不但可以起到控制網(wǎng)絡(luò)流量、_、流向的作用，還在很大程度上起到保護(hù)網(wǎng)絡(luò)設(shè)備、服務(wù)器的關(guān)鍵作用。作為外網(wǎng)進(jìn)入企業(yè)內(nèi)網(wǎng)的第一道關(guān)卡，路由器上的訪問(wèn)控制列表成為保護(hù)內(nèi)網(wǎng)安全的有效手段。http:/ 2. 配置訪問(wèn)控制列表

19、訪問(wèn)控制列表是一個(gè)有序的語(yǔ)句集合，它通過(guò)匹配報(bào)文信息與訪問(wèn)列表參數(shù)，來(lái)允許報(bào)文或拒絕報(bào)文通過(guò)某個(gè)接口。因此，訪問(wèn)控制列表也被稱為包過(guò)濾器。 配置訪問(wèn)控制列表需要兩個(gè)步驟。第一步，定義允許或禁止報(bào)文的描述語(yǔ)句(訪問(wèn)列表)；第二步，將訪問(wèn)列表應(yīng)用到路由器的具體接口(應(yīng)用訪問(wèn)組)。這樣，當(dāng)數(shù)據(jù)包出入相應(yīng)的接口時(shí)，路由器將檢查數(shù)據(jù)包的類型并按照預(yù)先定義的訪問(wèn)控制列表對(duì)數(shù)據(jù)包進(jìn)行處理：放行或丟棄。http:/ 標(biāo)準(zhǔn)訪問(wèn)控制列表配置方法 1. 標(biāo)準(zhǔn)IP訪問(wèn)控制列表語(yǔ)句 標(biāo)準(zhǔn)IP訪問(wèn)控制列表的命令格式為：nACCESSLIST accesslistnumber DENY|PERMIT SOURCEsourc

20、ewildcard|ANY 標(biāo)準(zhǔn)IP訪問(wèn)控制列表的號(hào)碼(access-list-number)范圍介于1和99之間?？梢允褂眠@個(gè)范圍之內(nèi)的任意號(hào)碼。 下一個(gè)關(guān)鍵字DENY|PERMIT指出該訪問(wèn)控制列表是允許還是拒絕數(shù)據(jù)包。最后，可以選擇主機(jī)或網(wǎng)絡(luò)的源地址，或者使用關(guān)鍵字ANY。 要過(guò)濾某個(gè)主機(jī)，需要輸入該主機(jī)的主機(jī)名和IP地址。要過(guò)濾某個(gè)網(wǎng)絡(luò)，則需要輸入網(wǎng)絡(luò)號(hào)，后面跟上通配符掩碼。要過(guò)濾所有的網(wǎng)絡(luò)和主機(jī)，需要使用關(guān)鍵字ANY。http:/ 2. IP訪問(wèn)控制組語(yǔ)句 定義好了IP訪問(wèn)控制列表語(yǔ)句后，需要將IP訪問(wèn)控制列表應(yīng)用到具體接口。 首先，進(jìn)入路由器某個(gè)接口的接口配置模式，如interfa

21、ce serial 0/0。接下來(lái)輸入IP訪問(wèn)控制組語(yǔ)句：nIP ACCESSGROUP accesslistnumber (IN | OUT) 其中，access-list-number是在前一步中定義的IP訪問(wèn)控制列表表號(hào)，關(guān)鍵字IN|OUT 表示對(duì)流入還是流出(也稱為入站/出站)路由器的數(shù)據(jù)包進(jìn)行檢查。http:/ 擴(kuò)展訪問(wèn)控制列表配置方法 1. 擴(kuò)展IP訪問(wèn)控制列表語(yǔ)句 擴(kuò)展IP訪問(wèn)控制列表的命令格式為：nACCESSLIST accesslistnumber DENY | PERMITprotocol source sourcewildcard destination destina

22、tionwildcard option 擴(kuò)展IP訪問(wèn)控制列表的號(hào)碼(access-list-number)范圍介于100和199之間。可以使用這個(gè)范圍之內(nèi)的任意號(hào)碼。 下一個(gè)關(guān)鍵字指出該訪問(wèn)控制列表是允許還是拒絕數(shù)據(jù)包。 protocol關(guān)鍵字指明要過(guò)濾使用什么協(xié)議的數(shù)據(jù)包，如TCP、UDP、ICMP、IP等等。 可以選擇主機(jī)或網(wǎng)絡(luò)的源地址、目標(biāo)地址及通配符掩碼，或者使用關(guān)鍵字ANY。最后，是一些進(jìn)一步定義數(shù)據(jù)包特征的可選項(xiàng)。http:/ 2. IP訪問(wèn)控制組語(yǔ)句 和標(biāo)準(zhǔn)IP訪問(wèn)控制列表一樣，定義好擴(kuò)展IP訪問(wèn)控制列表語(yǔ)句后，需要將IP訪問(wèn)控制列表應(yīng)用到具體接口。首先，進(jìn)入路由器某個(gè)接口的接口

23、配置模式，如interface serial 0。 接下來(lái)輸入IP訪問(wèn)控制組語(yǔ)句：nIP ACCESSGROUP accesslistnumber IN | OUT 其中，access-list-number是在前一步中定義的IP訪問(wèn)控制列表，關(guān)鍵字IN | OUT表示對(duì)入站還是出站的數(shù)據(jù)包進(jìn)行檢查。http:/ 路由協(xié)議概述 1. 路由基本原理 (1) 路由表n在路由表的每一條路由條目中，主要有以下一些元素： 目標(biāo)網(wǎng)絡(luò)地址/掩碼字段 管理距離/代價(jià)字段 下一跳地址字段 路由更新時(shí)間字段 輸出接口字段http:/ (2)管理距離和代價(jià)n當(dāng)一個(gè)路由器同時(shí)運(yùn)行多種路由協(xié)議的時(shí)候，它可能同時(shí)通過(guò)多種

24、不同的路由協(xié)議學(xué)習(xí)到去往相同目標(biāo)網(wǎng)絡(luò)的多種不同最優(yōu)路徑。這時(shí)，路由器會(huì)將管理距離較小的路由條目安裝到路由表中。路由信息源默認(rèn)管理距離值Connected(直連路由)0 Static(靜態(tài)路由) 1 EIGRP90 IGRP100 OSPF110 RIP120 EGP140未知255http:/ (3) 最長(zhǎng)掩碼匹配原則n路由器會(huì)選擇子網(wǎng)掩碼位最長(zhǎng)的路由發(fā)送數(shù)據(jù)包。 (4) 路由過(guò)程中的數(shù)據(jù)包交換n當(dāng)源節(jié)點(diǎn)向位于不同網(wǎng)絡(luò)上的目的節(jié)點(diǎn)發(fā)送數(shù)據(jù)包時(shí)，它使用目的節(jié)點(diǎn)的節(jié)點(diǎn)IP地址來(lái)發(fā)送數(shù)據(jù)包。在該數(shù)據(jù)包中，源節(jié)點(diǎn)加上了本網(wǎng)段路由器(默認(rèn)網(wǎng)關(guān))的MAC(介質(zhì)訪問(wèn)控制)層地址。通過(guò)該MAC地址，路由器收到

25、數(shù)據(jù)包，然后查看目的節(jié)點(diǎn)的節(jié)點(diǎn)IP地址。接下來(lái)，路由器確定它是否可以轉(zhuǎn)發(fā)數(shù)據(jù)包到目的網(wǎng)絡(luò)。如果可以轉(zhuǎn)發(fā)，該路由器將源MAC地址改為自己的MAC地址，將目標(biāo)MAC地址改為下一跳設(shè)備的MAC地址。如果它無(wú)法為這個(gè)數(shù)據(jù)包選擇路由，則或者丟棄數(shù)據(jù)包或者轉(zhuǎn)發(fā)到缺省路由。n若下一跳不是最終的目的節(jié)點(diǎn)，一般它總是下一個(gè)路由器。下一個(gè)路由器對(duì)數(shù)據(jù)包執(zhí)行完全相同的操作，即確定下一跳，更改MAC層地址，并轉(zhuǎn)發(fā)數(shù)據(jù)包。如此繼續(xù)，直到數(shù)據(jù)包到達(dá)目的節(jié)點(diǎn)。由此可見(jiàn)，節(jié)點(diǎn)IP地址一直不會(huì)改變，而MAC地址在每一跳都改變。http:/ 2. 路由協(xié)議的分類 (1)直連路由、靜態(tài)路由、動(dòng)態(tài)路由 (2)IGP和EGP (3)距

26、離矢量、鏈路狀態(tài)路由選擇協(xié)議http:/ 靜態(tài)路由和缺省路由配置 1. 靜態(tài)路由配置 靜態(tài)路由(static route)是通過(guò)手工來(lái)管理的。網(wǎng)絡(luò)管理員將其輸入到路由器的配置中，每當(dāng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)發(fā)生改變需要更新路由時(shí)，管理員必須手工更新靜態(tài)路由信息。靜態(tài)路由有許多優(yōu)點(diǎn)：n不需要啟動(dòng)動(dòng)態(tài)路由選擇協(xié)議進(jìn)程n在小型互連網(wǎng)絡(luò)上很容易配置n可以控制路由選擇。http:/ 如圖所示，是一個(gè)小型網(wǎng)絡(luò)互連的例子。圖中兩個(gè)局域網(wǎng)/24和/24通過(guò)同步串行線路連接起來(lái)。因?yàn)樵谶@個(gè)例子里網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)非常簡(jiǎn)單，所以可以采用靜態(tài)路由。http:/ 首先在Router A的全局

27、配置模式下鍵入命令nip route 192.1 68.1.0 serial 0/0n或者nip route n其中，前者指出到網(wǎng)段/24的數(shù)據(jù)包由Serial 0/0送出，后者指出到網(wǎng)段/24的數(shù)據(jù)包的下一跳IP地址是，即對(duì)端路由器的入口：Serial 0/0。命令中的指明對(duì)端網(wǎng)絡(luò)的子網(wǎng)掩碼。 然后，在Router B的全局配置模式下鍵入命令nip route

28、serial 0/0n或者nip route n其中，前者指出到網(wǎng)段/24的數(shù)據(jù)包由Serial 0/0送出，后者指出到網(wǎng)段/24的數(shù)據(jù)包的下一跳IP地址是，即對(duì)端路由器的入口：Serial 0/0。命令中的指明對(duì)端網(wǎng)絡(luò)的子網(wǎng)掩碼。http:/ 2. 缺省路由配置 缺省路由(default route)又稱為默認(rèn)路由；是靜態(tài)路由的一個(gè)特例，因此也是通過(guò)手工來(lái)管理的。當(dāng)路由器為路由數(shù)據(jù)包而查找路徑時(shí)，沒(méi)有可供使用的、匹配的路由選擇信息時(shí)，缺省路

29、由為數(shù)據(jù)包指定一個(gè)固定的下一跳地址 如圖所示，RouterA除了和遠(yuǎn)程的子網(wǎng)/24通過(guò)Router B相連外，還通過(guò)串行接口Serial 0/1連入Internet。http:/ 缺省路由的配置方法是在全局配置模式下鍵入nip route serial 0/1n或者nip route 其中， 表示未知主機(jī)，即任何無(wú)法判斷目的地的主機(jī)地址，是Internet的入口路由器接口IP地址。 同理，對(duì)于路由器Router B來(lái)說(shuō)只需要配置一條指向R

30、outerA的缺省路由即可。http:/ 動(dòng)態(tài)路由RIP配置 1. RIP概述 RIP協(xié)議是最早出現(xiàn)的一種路由協(xié)議，它最初發(fā)源于UNIX系統(tǒng)的GATED服務(wù)。在RFC 1508中對(duì)RIP的實(shí)現(xiàn)進(jìn)行了描述。 RIP采用貝爾曼一福德(Bellman-Ford)算法，該算法根據(jù)圖論原理選擇一條到目標(biāo)網(wǎng)絡(luò)的最短路徑安裝到路由表中。http:/ 目前RIP有兩個(gè)版本RIPvl和RIPv2。RIP具有以下一些主要特性：nRIP屬于典型的距離向量路由選擇協(xié)議。nRIP消息通過(guò)廣播地址255255255255進(jìn)行發(fā)送，使用UDP協(xié)議的520端口。nRIP以到目的網(wǎng)絡(luò)的最小跳數(shù)作為路由選擇的度量標(biāo)準(zhǔn)。nRIP是為小型網(wǎng)絡(luò)設(shè)計(jì)的。它的跳數(shù)計(jì)數(shù)限制為16跳。nRIP是一種有類路由協(xié)議，不支持不連續(xù)子網(wǎng)設(shè)計(jì)。nRIP周期進(jìn)行路由更新，將路由表廣