为您找到与cisco vtp配置相关的共200个结果:
cisco怎么配置聚合端口?读文网小编在网上找了一些教程及命令,需要的朋友可以参考下。
作为一种内部网关协议或 IGP(内部网关协议),路由选择协议应用于 AS 系统。那么cisco怎么设置路由rip协议?读文网小编整理了相关资料,供大家参考。
端口的聚合有两种方式,一种是手动的方式,一个是自动协商的方式。(1)手动方式 这种方式很简单,设置端口成员链路两端的模式为“on”。
命令格式为: channel-group <number组号> mode on
(2)自动方式 自动方式有两种协议:PAgP(Port Aggregation Protocol)和LACP(Link aggregation Control Protocol)。
PAgP:Cisco设备的端口聚合协议,有auto和desirable两种模式。
auto模式在协商中只收不发,desirable模式的端口收发协商的数据包。
LACP:标准的端口聚合协议802.3ad,有active和passive两种模式。
active相当于PAgP的auto,而passive相当于PAgP的desirable。
1:在(config)#模式下,输入int port-channel ID(1-64)
2:假设要把F0/23和F0/24聚合,那么分别在起端口配置里面输入:switchport trunkencapsulation dot1qswitchport mode trunk(假设有多个VLAN)duplex fullspeed 100no cdp enablechannel-group 1 mode on(这里的1就是开始创建的数字),或者直接在需要做端口聚合的端口上执行下面命令int port-ch 10channel-g 10 mode acchannel-g p lacp(panp)然后只要在对端交换机也做同样配置就可以了
以下是以思科2950以及7200设备为例的具体操作:
Cisco7200#conf tCisco7200(config)#int port-channel 1
Cisco7200(config-if)#exitCisco7200(config)#int fa3/0
Cisco7200(config-if)#channel-group 1
Cisco7200(config-if)#exit
Cisco7200(config)#int fa4/0
Cisco7200(config-if)#channel-group 1
Cisco7200(config-if)#exit
Cisco7200(config)#int port-channel 1.10
Cisco7200(config-subif)#encapsulation dot1Q 10 native
Cisco7200(config-subif)#ip address 10.10.10.1 255.255.255.0
Cisco7200(config-subif)#exit
Cisco7200(config)#int port-channel 1.20
Cisco7200(config-subif)#encapsulation dot1Q 20
Cisco7200(config-subif)#ip address 10.10.11.1 255.255.255.0
Cisco7200(config-subif)#exit
Cisco7200(config)#exit
以上内容来自互联网,希望对大家有所帮助。
浏览量:3
下载量:0
时间:
思科公司过去20多年,思科几乎成为了“互联网、网络应用、生产力”的同义词,思科公司在其进入的每一个领域都成为市场的领导者,那么你知道Cisco IOS防火墙CBAC如何配置吗?下面是读文网小编整理的一些关于Cisco IOS防火墙CBAC如何配置的相关资料,供你参考。
先建立如图1的拓扑并使之互相可以访问通信
Router(config)#access-list 101 permit tcp any host 192.168.0.1 eq www 定义任何人都可以访问内网web服务
Router(config)#access-list 101 deny ip any any 拒绝其他IP通信
Router(config)#int f0/0
Router(config-if)#ip access-group 101 out 应用到F0/0端口相对于ACL来说 是出方向
Router(config-if)#exit
CBAC的检测规则可以指定所有网络层以上的协议,通过ACL检查的数据包由CBAC检查来记录包连接状态信息,这个信息被记录于一个新产生的状态列表中
Router(config)#ip inspect name asha http
Router(config)#ip inspect name asha icmp
Router(config)#ip inspect name asha tcp
Router(config)#ip inspect name asha udp
Router(config)#int f0/0
Router(config-if)#ip inspect asha in 应用到CBAC相对应的进方向
Router(config-if)#exit
CBAC使用超时值和阈值确定会话的状态及其持续的时间.可清除不完全会话和闲置会话,用以对Dos进行检测和防护.
Router(config)#ip inspect max-incomplete high 500 当半开会话数超过500时开始删除
Router(config)#ip inspect max-incomplete low 400 当半开会话数低于400时停止删除
Router(config)#ip inspect one-minute high 500 设置当开始删除半开会话数时接受的会话数的速率
Router(config)#ip inspect one-minute low 400 设置当停止开始删除半开会话数时接受的会话数的速率
之后发现,外网的主机ping不同内网主机(如图2,3),按理来说就不可能-web服务器了,如图4内网主机依然可以访问-b服务器。
Router#show ip inspect sessions detail 用来查看连接状态表的统计信息,包括所有会话
Established Sessions
Session 140798744 (192.168.0.2:1029)=>(192.168.1.2:http SIS_OPEN
Created 00:00:02, Last heard 00:00:02
Bytes sent (initiator:responder) [360:360]
Out SID 192.168.1.2[0:0]=>192.168.0.2[0:0] on ACL 101 (3 matches)
会发现CBAC维持具有连接信息的会话状态表,只有当状态表中的一个条目表明此分组属于某个被允许的会话,会在防火墙中制造一个动态的通路,供返回流量使用。
看过文章“Cisco IOS防火墙CBAC如何配置"
浏览量:2
下载量:0
时间:
众所周知思科Cisco路由器是世界上一流的,他的相关操作也跟别的路由器不太一样,那你知道怎么如何配置CISCO ADSL吗?下面是读文网小编整理的一些关于如何配置CISCO ADSL的相关资料,供你参考。
CISCO ADSL
!
vpdn enable
no vpdn logging
<=由于ADSL的PPPoE应用是通过虚拟拨号来实现的所以在路由器中需要使用VPDN的功能
!
vpdn-group pppoe <=为PPPoE启动了VPDN的进程
request-dialin
protocol pppoe <=设置拨号协议为PPPoE
!
interface FastEthernet0 <=设置公司内部网络地址
ip address 192.168.0.1 255.255.255.0
ip nat inside <=为启用NAT转换,设置Fast ethernet端口为内部网络,
从内部网络收到的数据的原地址转换为公网地址
!
interface ATM0 <=设置ADSL端口
no ip address <=请不要设置地址
no atm ilmi-keepalive
bundle-enable
dsl operating-mode auto
hold-queue 224 in
interface ATM0.1 point-to-point
<=ADSL的通讯 依靠VC,所以必须设定点到点VC
pvc 8/35 <=设置PVC的相关参数, 即VCI和VPI的值,
如果不清楚请向局端查询
pppoe-client dial-pool-number 1
<=PPPoE拨号进程使用了常规的拨号进程,
这里引用了dialer-pool 1
!
interface Dialer1
<=建立一个虚拟拨号端口
ip address negotiated
<=由于局端提供动态地址,所以必须设定地址为协商获得
ip mtu 1492 <=修改mtu值以适用于ADSL网络
ip nat outside <=为启用NAT转换,设置该端口为外部网络
encapsulation ppp <=使用PPP的帧格式
dialer pool 1
ppp authentication pap callin <=设置拨号的验证方式为pap
ppp pap sent vip pass vip <=发送用户名和密码
ip nat inside source list 1 interface Dialer1 overload
<=设置了NAT的转换方式,使用了dialer 1端口的动态地址
ip classless
ip route 0.0.0.0 0.0.0.0 dialer1
<=将所有不可路由的数据报转发给ADSL线路,设定缺省路由
no ip http server
!
Access-list 1 permit 10.92.1.0 0.0.0.255
看过文章“如何配置CISCO ADSL”
浏览量:2
下载量:0
时间:
思科用自己敏锐的洞察力、丰富的行业经验、先进的技术,帮助企业把网络应用转化为战略性的资产,充分挖掘网络的能量,获得竞争的优势,那你知道Cisco 2501路由器怎么配置DDN吗?下面是读文网小编整理的一些关于Cisco 2501路由器怎么配置DDN的相关资料,供你参考。
首先准备终端一台,用路由器中所配的Console电缆及Terminal连接器,将终端 连接到路由器的Console口;连接好电源线,检查无误后,先将终端电源打开,再将路由器电源打开,最后显示信息如下:
System Bootstrap, Version 5.2(8a), RELEASE SOFTWARE
Copyright (c) 1986-1995 by cisco Systems
2500 processor with 2048 Kbytes of main memory
F3: 3653456+93560+192532 at 0x3000060
Restricted Rights Legend
Use, duplication, or disclosure by the Government is subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.
cisco Systems, Inc.
170 West Tasman Drive
San Jose, California 95134-1706 Cisco Internetwork Operating System Software
IOS (tm) 3000 Software (IGS-I-L), Version 11.1(4), RELEASE SOFTWARE (fc1) Copyright (c) 1986-1996 by cisco Systems, Inc. Compiled Mon 17-Jun-96 15:45 by mkamson
Image text-base: 0x0301F2B4, data-base: 0x00001000
cisco 2509 (68030) processor (revision D) with 2048K/2048K bytes of memory.
Processor board ID 03843159, with hardware revision 00000000
Bridging software.
X.25 software, Version 2.0, NET2, BFE and GOSIP compliant.
1 Ethernet/IEEE 802.3 interface.
2 Serial network interfaces.
8 terminal lines.
32K bytes of non-volatile configuration memory.
4096K bytes of processor board System flash (Read ONLY)
Notice: NVRAM invalid, possibly due to write erase.
--- System Configuration Dialog ---
At any point you may enter a question mark '?' for help.
Use ctrl-c to abort configuration dialog at any prompt.
Default settings are in square brackets '[]'.
Would you like to enter the initial configuration dialog? [yes]: 回车
First, would you like to see the current interface summary? [yes]: 回车
Any interface listed with OK? value "NO" does not have a valid configu
ration
Interface IP-Address OK? Method Status
Protocol
Ethernet0 unassigned NO unset up
down
Serial0 unassigned NO unset up
down
Serial1 unassigned NO unset down
down
Configuring global parameters:
Enter host name [Router]: Router (路由器取名为Router)
The enable secret is a one-way cryptographic secret used
instead of the enable password when it exists.
Enter enable secret: cisco (设置路由器高级口令为cisco)
The enable password is used when there is no enable secret
and when using older software and some boot images.
Enter enable password: user (设置路由器低级口令为user
Enter virtual terminal password: cisco (设置路由器虚终端口令为cisco )
Configure SNMP Network Management? [yes]: 回车
Community string [public]: 回车
Configure IP? [yes]: 回车
Configure IGRP routing? [yes]: no (不采用IGRP协议路由)
Configure RIP routing? [no]: 回车
Configuring interface parameters:
Configuring interface Ethernet0:
Is this interface in use? [yes]: 回车
Configure IP on this interface? [yes]: 回车
IP address for this interface: 86.101.3.20 (输入本路由器局域网口IP地址)
Number of bits in subnet field [0]:16
Class A network is 86.0.0.0, 16 subnet bits; mask is 255.255.255.0
Configuring interface Serial0:
Is this interface in use? [yes]: 回车
Configure IP on this interface? [yes]: 回车
Configure IP unnumbered on this interface? [no]: 回车
IP address for this interface: 86.101.254.3 (输入本路由器广域网口IP地址)
Number of bits in subnet field [0]:16
Class A network is 86.0.0.0, 16 subnet bits; mask is 255.255.255.0
Configuring interface Serial1:
Is this interface in use? [yes]: no (不使用本广域网口)
The following configuration command script was created:
hostname Router
enable secret 5 $1$jwb1$5fepuyO0PwUsa3ijZlR6t1
enable password user
line vty 0 4
password cisco
snmp-server community public
!
ip routing
!
interface Ethernet0
ip address 86.101.3.20 255.255.255.0
!
interface Serial0
ip address 86.101.254.3 255.255.255.0
!
interface Serial1
shutdown
no ip address
!
end
Use this configuration? [yes/no]: yes (采用以上设置)
Building configuration...
Use the enabled mode 'configure' command to modify this configuration.
Press RETURN to get started!
%LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0, changed state to down
%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state to down
%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1, changed state to down
%LINK-3-UPDOWN: Interface Ethernet0, changed state to up
%LINK-3-UPDOWN: Interface Serial0, changed state to up
%LINK-3-UPDOWN: Interface Serial1, changed state to down
%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state
to up
%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state
to down
%LINK-5-CHANGED: Interface Serial1, changed state to administratively
down
%LINK-5-CHANGED: Interface Serial0, changed state to administratively
down
%SYS-5-RESTART: System restarted --
Cisco Internetwork Operating System Software
IOS (tm) 3000 Software (IGS-I-L), Version 11.1(4), RELEASE SOFTWARE (fc1)
Copyright (c) 1986-1996 by cisco Systems, Inc.
Compiled Mon 17-Jun-96 15:45 by mkamson
Router>
Router>enable (进入路由器超级用户)
Password: (输入路由器高级口令,但不回显)
Router#config (进入设置状态)
Configuring from terminal, memory, or network [terminal]? 回车
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#int e0 (初始化路由器局域网口)
Router(config-if)#ip add 86.101.3.20 255.255.255.0 (路由器局域网口地址及子网掩码)
Router(config-if)#int s0 (初始化路由器广域网口)
Router(config-if)#ip add 86.101.254.3 255.255.255.0 (路由器广域网口地址及子网掩码)
Router(config-if)#encap ppp (采用ppp)
Router(config-if)#exit (退出接口设置状态)
Router(config-if)#ip route 86.101.4.0 255.255.255.0 S0 (对方局域网络、 子网掩码及与本地相连的广域网口)
Router(config)#exit (退出设置状态)
Router#write (保存设置信息)
Building configuration...
[OK]
看过文章“Cisco 2501路由器怎么配置DDN”
浏览量:2
下载量:0
时间:
思科cisco是全球高端顶尖的通讯厂商,其出产的路由器功能也是世界级的,那么你知道cisco ASA防火墙如何配置的吗?下面是读文网小编整理的一些关于cisco ASA防火墙如何配置的相关资料,供你参考。
常用命令有:nameif、interface、ip address、nat、global、route、static等。
global
指定公网地址范围:定义地址池。
Global命令的配置语法:
global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中:
(if_name):表示外网接口名称,一般为outside。
nat_id:建立的地址池标识(nat要引用)。
ip_address-ip_address:表示一段ip地址范围。
[netmark global_mask]:表示全局ip地址的网络掩码。
nat
地址转换命令,将内网的私有ip转换为外网公网ip。
nat命令配置语法:nat (if_name) nat_id local_ip [netmark]
其中:
(if_name):表示接口名称,一般为inside.
nat_id: 表示地址池,由global命令定义。
local_ip: 表示内网的ip地址。对于0.0.0.0表示内网所有主机。
[netmark]:表示内网ip地址的子网掩码。
route
route命令定义静态路由。
语法:
route (if_name) 0 0 gateway_ip [metric]
其中:
(if_name):表示接口名称。
0 0 :表示所有主机
Gateway_ip:表示网关路由器的ip地址或下一跳。
[metric]:路由花费。缺省值是1。
static
配置静态IP地址翻译,使内部地址与外部地址一一对应。
语法:
static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address
其中:
internal_if_name表示内部网络接口,安全级别较高,如inside。
external_if_name表示外部网络接口,安全级别较低,如outside。
outside_ip_address表示外部网络的公有ip地址。
inside_ ip_address表示内部网络的本地ip地址。
(括号内序顺是先内后外,外边的顺序是先外后内)
例如:
asa(config)#static (inside,outside) 133.0.0.1 192.168.0.8
表示内部ip地址192.168.0.8,访问外部时被翻译成133.0.0.1全局地址
**************************************************************************
asa#conf t
asa(config)# hostname asa https://设置主机名
asa(config)#enable password cisco https://设置密码
配置外网的接口,名字是outside,安全级别0,输入ISP给您提供的地址就行了。
asa(config)#interface GigabitEthernet0/0
asa(config)#nameif outside https://名字是outside
asa(config)#securit-level 0 https://安全级别0
asa(config)#ip address *.*.*.* 255.255.255.0 https://配置公网IP地址
asa(config)#duplex full
asa(config)#
asa(config)#no shutdown
配置内网的接口,名字是inside,安全级别100
asa(config)#interface GigabitEthernet0/1
asa(config)#nameif inside
asa(config)#securit-level 100
asa(config)#duplex full
asa(config)#speed 100
asa(config)#no shutdown
配置DMZ的接口,名字是dmz,安全级别50
asa(config)#interface GigabitEthernet0/2
asa(config)#nameif dmz
asa(config)#securit-level 50
asa(config)#duplex full
asa(config)#
asa(config)#no shutdown
网络部分设置
asa(config)#nat(inside) 1 192.168.1.1 255.255.255.0
asa(config)#global(outside) 1 222.240.254.193 255.255.255.248
asa(config)#nat (inside) 0 192.168.1.1 255.255.255.255 https://表示192.168.1.1这个地址不需要转换。直接转发出去。
asa(config)#global (outside) 1 133.1.0.1-133.1.0.14 https://定义的地址池
asa(config)#nat (inside) 1 0 0 https://0 0表示转换网段中的所有地址。定义内部网络地址将要翻译成的全局地址或地址范围
配置静态路由
asa(config)#route outside 0 0 133.0.0.2 https://设置默认路由 133.0.0.2为下一跳
如果内部网段不是直接接在防火墙内口,则需要配置到内部的路由。
asa(config)#Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
地址转换
asa(config)#static (dmz,outside) 133.1.0.1 10.65.1.101 ;静态NAT
asa(config)#static (dmz,outside) 133.1.0.2 10.65.1.102 ;静态NAT
asa(config)#static (inside,dmz) 10.66.1.200 10.66.1.200 ;静态NAT
如果内部有服务器需要映射到公网地址则需要static
asa(config)#static (inside, outside) 222.240.254.194 192.168.1.240
asa(config)#static (inside, outside) 222.240.254.194 192.168.1.240 10000 10 https://后面的10000为限制连接数,10为限制的半开连接数
ACL实现策略访问
asa(config)#access-list 101 permit ip any host 133.1.0.1 eq www;设置ACL
asa(config)#access-list 101 permit ip any host 133.1.0.2 eq ftp;设置ACL
asa(config)#access-list 101 deny ip any any ;设置ACL
asa(config)#access-group 101 in interface outside ;将ACL应用在outside端口
当内部主机访问外部主机时,通过nat转换成公网IP,访问internet。
当内部主机访问中间区域dmz时,将自己映射成自己访问服务器,否则内部主机将会映射成地址池的IP,到外部去找。
当外部主机访问中间区域dmz时,对133.0.0.1映射成10.65.1.101,static是双向的。
PIX的所有端口默认是关闭的,进入PIX要经过acl入口过滤。
静态路由指示内部的主机和dmz的数据包从outside口出去。
看过文章“cisco ASA防火墙如何配置"
浏览量:2
下载量:0
时间:
cisco是全球领先且顶尖的通讯厂商,出产的路由器功能也是很出色的,那么你知道怎么cisco路由器上面配置SSH代替Telnet吗?下面是读文网小编整理的一些关于怎么cisco路由器上面配置SSH代替Telnet的相关资料,供你参考。
Telnet 到Cisco路由器进行远程管理是很多网管的选择,但是通过Telnet传输的数据都是明文,因此这种登录方式存在很大的安全隐患。一个恶意用户完全可能通过类似Sniffer这样的嗅探工具,在管理员主机或者适当的接口进行本地监听获取管理员登录Cisoc路由器的密码。
1、安全测试:
笔者在本地安装了sniffer,然后利用Telnet登录Cisco路由器。停止嗅探然后解码查看,如图1所示笔者登录路由器进入用户模式和全局模式是输入的密码都明文显示出来了。虽然密码被拆分成了两部分,但一个有经验的攻击者完全可能将它们进行组合从而获取Cisco路由器的登录密码。其实,不仅仅是这些,利用嗅探工具管理员所有在路由器上输入的命令都会被嗅探到。这样,就算是管理员更改了路由器的密码,并且进行了加密但都可以嗅探得到
从上面最后一行Data:后面的那个C就表示我们输入的第一个密码。再接着查看后面的几个Telnet Data数据包我们就可以看出它的密码。这样对于我们的网络来说是特别不安全的。
2、SSH的安全性
SSH 的英文全称是Secure Shell,是由芬兰的一家公司开发的。SSH由客户端和服务端的软件组成,有1.x和2.x两个不兼容的版本。SSH的功能强大,既可以代替 Telnet,又可以为FTP、POP3和PPP提供一个安全的“通道”。使用SSH,可以把传输的所有数据进行加密。即使有人截获到数据也无法得到有用的信息。同时,数据经过压缩,大大地加快传输的速度。它默认的连接端口是22。通过使用SSH,可以把所有传输的数据进行加密,这样类似上面的“中间人” 攻击方式就不可能实现了,而且它也能够防止DNS和IP欺骗。另外,它还有一个额外的好处就是传输的数据是经过压缩的,所以可以加快传输的速度。
3、SSH部署
基于上面的测试和SSH的安全特性,要实现Cisco路由器的安全管理用SSH代替Telnet是必要的。当然,要实现SSH对CISOC的安全管理,还需要在路由器上进行相关设置。下面笔者就在虚拟环境中演示SSH的部署、连接的技术细节。
(1).Cisco配置
下面是在Cisco上配置SSH的相关命令和说明:
R2(config)#ip domain-name cisco.com 配置一个域名
R2(config)#crypto key generate rsa general-keys modulus 1024 https://生成一个rsa算法的密钥,密钥为1024位
(提示:在Cisoc中rsa支持360-2048位,该算法的原理是:主机将自己的公用密钥分发给相关的客户机,客户机在访问主机时则使用该主机的公开密钥来加密数据,主机则使用自己的私有的密钥来解密数据,从而实现主机密钥认证,确定客户机的可靠身份。)
The name for the keys will be: R2.cisco.com
% The key modulus size is 1024 bits
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
R2(config)#
*Mar 1 00:09:46.607: %SSH-5-ENABLED: SSH 1.99 has been enabled
R2(config)#ip ssh time 120 设置ssh时间为120秒
R2(config)#ip ssh authentication 4 设置ssh认证重复次数为4,可以在0-5之间选择
R2(config)#line vty 0 4
R2(config-line)#transport input ssh 设置vty的登录模式为ssh,默认情况下是all即允许所有登录
R2(config-line)#login
R2(config-line)#
这样设置完成后,就不能telnet到Cisoc路由器了。
设置登录方式,然后点击“Open”。
而这里就是颁发给我们的证书。
R2(config)#aaa new-model 启用AAA
R2(config)#aaa authentication login default local 启用aaa认证,设置在本地服务器上进行认证
R2(config)#username cisco pass cisco 创建一个用户cisco并设置其密码为cisco用于SSH客户端登录
R2(config)#line vty 0 4
R2(config-line)#login authentication default 设置使用AAA的default来进行认证
R2(config-line)#exit
R2(config)#
好了现在就可以使用SSH登录了。
(2).SSH登录
上面设置完成后就不能Telnet到cisco了,必须用专门的SSH客户端进行远程登录。为了验证SSH登录的安全性,我们在登录的过程中启用网络抓包软件进行嗅探。
我采用的SSH客户端为PuTTY,启动该软件输入路由器的IP地址172.16.1.1,然后进行扥两个会弹出一个对话框,让我们选择是否使用刚才设置的 SSH密钥,点击“是”进入登录命令行,依次输入刚才在路由器上设置的SSH的登录用户及其密码cisco,可以看到成功登录到路由器。
然后我们查看嗅探工具抓包的结果,所有的数据都进行了加密,我们看不到注入用户、密码等敏感信息。由此可见,利用SSH可以确保我们远程登录Cisco路由器的安全。
总结:其实,SSH不仅可用于路由器的安全管理。在我们进行系统的远程管理、服务器的远程维护等实际应用中都可以部署基于SSH远程管理。另外,当下的 SSH工具不仅有命令行下的,也有一些GUI图形界面下的工具。网络管理,安全第一,SSH能够极大程度地预防来自“中间人”的攻击,希望本文对大家提升网络管理的安全性有所帮助帮助。
看过文章“怎么cisco路由器上面配置SSH代替Telnet"
浏览量:2
下载量:0
时间:
cisco公司已成为公认的世界网络互联解决方案的领先厂商,该公司出产的一系列路由器更是引领世界,那么你知道思科cisco怎么VTP配置吗?下面是读文网小编整理的一些关于思科cisco怎么VTP配置的相关资料,供你参考。
拓扑图:
实验目标
v在SwA上添加VLAN2和3
vSwC可以学习到VLAN2和3的信息
v在SwB上添加VLAN5和6,其他交换机不需要
v配置VTP口令
v配置VTP修剪
实验步骤:
1.清空交换机原配置:
Dir flash:
Del flash:vlan.dat
Erase startup-config
Reload
2.配置SWA的VTP
Conf t
Hostname swa
Vtp domain benet
Vtp mode server
Vtp version 2
Exit
查看SWA的VTP配置
Show vtp status
在f0/23端口启用中继连接
Conf t
Int f0/23
Switchport mode trunk
Exit
3.配置SWB的VTP
Conf t
Hostname swb
Vtp domain benet
Vtp mode transparent
Vtp version 2
Exit
查看SWA的VTP配置
Show vtp status
在f0/23端口、f0/22端口启用中继连接
Conf t
Int f0/23
Switchport mode trunk
Conf t
Int f0/22
Switchport mode trunk
Exit
4.配置SWC的VTP
Conf t
Hostname swc
Vtp domain benet
Vtp mode client
Vtp version 2
Exit
查看SWC的VTP配置
Show vtp status
在f0/22端口启用中继连接
Conf t
Int f0/22
Switchport mode trunk
Exit
5.进入SWA添加vlan1、vlan2
Vlan database
Vlan 1 name v1
Vlan 2 name v2
Exit
6.配置SWA的管理IP
Int vlan 1
Ip add 192.168.1.1 255.255.255.0
No sh
7.查看SWA的vlan信息
Show vlan brief
查看SWA的vtp信息
Show vtp status
8.进入SWC查看vlan配置信息和vtp配置信息
Show vlan brief
发现SWC经学习到了SWA的配置信息vlan2和vlan3
Show vtp status
看到与SWA的配置基本一致,模式为客户机模式
9.进入SWA配置vtp口令
Vtp password cisco
在SWA上添加vlan 4
Vlan database
Vlan 4 name v4
查看SWA的vtp信息,发现配置修改编号增加了1,并且MD5摘要也发生了变化,更新都标时间截也变化了。
10.进入SWB查看vtp信息,发现并不学习SWA的配置信息,在SWB上添加vlan5和vlan6,并设置vtp口令
Show vlan brief
Show vtp status
Vtp password cisco
Exit
11.在SWC还没有设置vtp口令的时候查看其vlan信息及vtp信息
Show vlan brief
Show vtp status
发现并没有更新信息,也没有学习到SWB的信息,因为SWB是透明模式,所有配置只在本地生效。
12.在SWC上配置与SWA相同的口令
Vtp password cisco
再查看其vlan信息及vtp信息,发现SWC学习到SWA上的新增vlan信息,vtp信息也被更新。
13.在SWA上配置修剪
Vtp pruning
分别查看SWA和SWC的vtp配置信息
Show vtp status
发现到SWA和SWC的修剪功能都已被启用
14.完成实验后,删除所有配置信息,恢复出厂设置。
看过文章“思科cisco怎么VTP配置”
浏览量:2
下载量:0
时间:
不少网友都不知道不知道Cisco跨域三层 Option C怎么配置。其实步骤并不难,下面读文网小编给大家介绍一下具体操作办法,供大家参考!
1 OptionC方式跨域的理解
之前,我写了一篇OptionB的文档,并提供了相应的配置,对于该文档中相应的内容,我在这里就不再罗嗦了,本文开始对OptionC方式的跨域做分析。
在OptionB方式中,的路由信息是通过自治系统之间的ASBR来保存和扩散的,当路由比较多的时候,会对ASBR产生巨大的压力;如果经过多个自治系统,每个ASBR上都会维护大量相同的路由,由于这些ASBR一般都承担着公网IP转发的任务,这样对设备的要求就更高了。从另一个方面来看,OptionB方式采用的是一种中继的方式,通过ASBR把路由信息向其他自治系统扩散,这也把这些中间设备强加上必须要支持功能的要求,虽然对于设备而言,这是必须的,但是这样的实现方式个人觉得并不完全符合三层的思想,按照正常的理解,除了接入CE的PE之外,其他设备是不应该看到信息的,这也是OptionC方式所解决的问题。
OptionC方式的思想就是在跨域的情况下,PE之间仍然可以像域内那样,在PE和PE之间建立直接的MEBGP邻居,交换V4路由信息,这样就不需要中间设备再保存、维护和扩散路由信息。这里需要从两个方面去考虑:信令和转发。在信令层面上,实现跨域MEBGP邻居的建立,并交换路由信息并不是一件困难的事情,只要公网路由可达,建立起邻居,私网的路由信息就可以很轻松的发给对端邻居了。但是,在转发层面上,还有一个最重要的问题需要解决,那就是如何在跨域的情况下建立一条PE到PE的 LSP,否则,即便有了路由信息,到了公网部分,根本无法识别数据的私网标签,转发层面上还是不通的。
这里,需要提到标签IPv4路由,在RFC3107即[Carrying Label Information in BGP-4]中有定义。这里在ASBR之间传递的就不是普通的IP路由信息了,而是携带了标签的公网路由信息,这样,就会在公网上形成一个由BGP触发的公网LSP,在公网上也是靠标签交换就数据传送到目的地,而公网上无法识别的私网标签就可以被封装在内层作为内层标签被转发了。有兴趣的朋友可以看一下RFC3107中所定义的应用场景和具体的update的消息格式,该RFC内容不长,这里不作过多的阐述,下面列举一下普通的update和支持标签IPv4路由信息的update的格式即可。
普通update消息
标签ipv4格式的update消息
2 OptionC方式的数据转发
仍然沿用跟OptionB方式中大致类似的网络结构,如上图。
以从R6上的vrf30 ping R1上的vrf30为例,即ping vrf vrf30 10.0.30.1 source 60.0.30.1,从R6àR1方向,IP数据会首先被封装上v4目的路由对应的标签,接着会被封装上标签IPv4路由信息对应的标签,最后才会被封装上LDP标签,其中LDP标签完成LDP域的标签交换,随后通过标签IPv4路由的标签完成EBGP域的标签交换,然后再进入对方自治系统的LDP域,最后通过私网标签完成域的标签交换,达到目的地。也就是说在整个数据传输过程中,最多的时候数据会被封装三层标签,即LDP | EBGP标签 | 私网标签。在上面的拓扑中,能够看到三层标签的位置为R6到R5的出方向,理论上LDP域中都应该是三层标签头,但是由于存在空标签的缘故,有的位置只能显示的看到两层标签。在R5和R6之间抓包如下,可以清楚的看到三层标签:
在R6上显示各种标签信息,可以明显的看出图中的标签16为LDP标签,标签29为EBGP公网标签,标签18为私网路由标签。
读文网小编分享了Cisco跨域三层 Option C配置的解决方法。希望大家喜欢。
浏览量:2
下载量:0
时间:
要组建一个网络,就须在应用中对网络结构要有一个很清晰的了解,而在物理上的正确连接、路由器中的分配IP地址、广域网路由协议的选择及局域网的接入等都是在实际应用中必需十分注意的。以下则是我们经过实验总结出来的使整个网络运行起来的三个主要方面。
路由器的配置
因为今天的路由器所包含的已不仅仅是对数据转发与路由转换的概念,它还可以实现多种意义和功能,如:安全限制、流量控制等。所以,在此我们只是简要介绍一下实现其原始功能的几个步骤。首先,进入端口模式,给予每个广域网口及以太网口一个IP地址与相应的地址掩码。其次,在广域网口要设置带宽与数据的链路传输封装协议(在实验中我们分别使用了HDLC及PPP协议)。最后,要配置路由协议,在大型的网络中,可选用的有很多不同的协议(静态路由、动态的OSPF、EIGRP)。而我们则选用的是CISCO的专有动态路由协议EIGRP。
浏览量:2
下载量:0
时间:
思科cisco依靠自身的技术和对网络经济模式的深刻理解,使他成为了网络应用的成功实践者之一,他出产的路由器也是全球顶尖的,那么你知道cisco路由器初始配置的方法吗?下面是读文网小编整理的一些关于cisco路由器初始配置的相关资料,供你参考。
一、路由器开机初始序列
当路由器进行初始化时,路由器进行以下操作:
1)自ROM执行上电自检,检测CPU,内存、接口电路的基本操作。
2)自ROM进行引导,将操作系统装下载到主存。
3)引导操作系统由配置寄存器的引导预确定由FLASH 或网络下载,则配置文件的boot system 命令确定其确切位置。
4)操作系统下载到低地址内存,下载后由操作系统确定路由器的工作硬件和软件部分并在屏幕上显示其结果。
5)NVRAM中存储的配置文件装载到主内存并通过执行,配置启动路由进程,提供接口地址、设置介质特性。如果NVRAM中设有有效的配置文件,则进入Setup 会话模式。
6)然后进入系统配置会话,显示配置信息,如每个接口的配置信息。
二、Setup会话
当NVRAM里没有有效的配置文件时,路由器会自动进入Setup会话模式。以后也可在命令行敲入Setup进行配置。
Setup 命令是一个交互方式的命令,每一个提问都有一个缺省配置,如果用缺省配置则敲回车即可。如果系统已经配置过,则显示目前的配置值。如果是第一次配置,则显示出厂设置。当屏幕显示 "------ More ------",键入空格键继续;从Setup 中退出,只要键入Ctrl-C即可。
1、Setup主要参数:
配置它的一般参数,包括:
主机名 :hostname
特权口令 :enable password
虚终端口令 :virtual terminal password
SNMP网管 :SNMP Network Management
IP :IP
IGRP路由协议:IGRP Routing
RIP路由协议 :RIP Routing
DECnet : DECnet . 等
其中 Console 的secret、 password的设置:
enable secret
enable password
Virtual Terminor 的password的设置:
Line vty
Password
Host name的设置:
Hostname
2、Setup接口参数:
设置接口参数,如以太网口、TokenRing口、同步口、异步口等。包括IP地址、子网屏蔽、TokengRing速率等。
3、Setup描述:
在设置完以上参数后,该命令提示是否要用以上的配置,如果回答是"YES"则系统存储以上的配置参数,系统就
可以使用了。
4、 Setup相关命令:
Show config
write memory
write erase
reload
setup
5、路由器丢失PASSWORD的恢复
以下办法可以恢复:
enable secret password (适合10。3(2)或更新的版本)
enable password
console password
通过修改Configuration Register(出厂为0x2102),使路由器忽略PASSWORD,这样就可以进入路由器,就可以
看到enable password和Console password,但enable secret password以被加密,只能替换。可以进入的tion
Register值为0x142.
运行password恢复可能会使系统DOWN掉一个半小时;
将Console terinal连在路由器的Console口上,确认终端设置为9600bps、8Data bit 、No parity、1 stop
bit;
show version显示Configuration Register 0x2102;
关机再开,按"Ctrl+ Break",进入ROM MONITOR状态,提示符为">";
键入"> o/r 0x142",修改 Configuration Register到0x142,可以忽略原先的password;
键入"> initialize",初始化路由器,等一段时间后,路由器会出现以下提示:
"system configuration Diaglog ……"
Enter "NO"
提示"Press RETURN to get started!" ,Press "Enter"
进入特权模式
Router>enable
Router#show startup-config
这样就可以得到password(enable&console password)
修改password
"Router#config ter"
"Router(config)# enable secret cisco"
"Router(config)# enable password cisco1"
"Router(config)# line con 0"
"Router(config)# password cisco"
"Router(config)# config-register 0x2102"
"ctrl + Z"
"Router#copy running-config startup-config"
"reload"
以password cisco进入特权用户。
浏览量:3
下载量:0
时间:
思科cisco公司制造的路由器、交换机和其他设备承载了全球80%的互联网通信,成为了网络应用的成功实践者之一,那么你知道思科Cisco Hibernate文件怎么配置吗?下面是读文网小编整理的一些关于思科Cisco Hibernate文件怎么配置的相关资料,供你参考。
1. 创建Java属性文件格式的配置文件
? Hibernate默认的Java属性文件格式的配置文件名称为hibernate.properties,其基本格式如下:
#指定连接数据库使用的SQL方言#
hibernate.dialect=org.hibernate.dialect.SQLServerDialect
#指定连接数据库的驱动程序#
hibernate.connection.driver_class=com.microsoft.jdbc.sqlserver.SQLServerDriver
#指定连接数据库的URL#
hibernate.connection.url=jdbc:microsoft:sqlserver://127.0.0.1:1433;databaseName=数据库名
#指定连接数据库的用户名#
hibernate.connection.username=用户名
#指定连接数据库的密码#
hibernate.connection.password=密码
#指定在执行程序时,是否在控制台上输出SQL语句#
hibernate.show_sql=true
#指定是否按照标准格式在控制台上输出SQL语句#
hibernate.format_sql=true
#指定是否在SQL语句中输出便于调试的注释信息#
hibernate.use_sql_comments=true
hibernate.properties文件中包含了一系列属性的设置值,Hibernate将根据这些属性来连接数据库。
2. 创建xml格式的配置文件
Hibernate默认的xml格式的配置文件名称为hibernate.cfg.xml。下面将以一个典型的连接SQL Server 2000的Hibernate配置文件为例,对xml格式的配置文件进行解析。
PUBLIC "-//Hibernate/Hibernate Configuration DTD//EN"
"http://hibernate.sourceforge.net/hibernate-configuration-3.0.dtd">
指定数据库使用的SQL方言。尽管多数关系数据库都支持标准的SQL语言,但是笔者建议在此指定自己的SQL方言。
org.hibernate.dialect.SQLServerDialect
指定连接数据库用的驱动,对于不同的关系数据库,其驱动是不同的,需要根据实际情况修改。
com.microsoft.jdbc.sqlserver.SQLServerDriver
指定连接数据库的路径,对于不同的关系数据库,其URL路径是不同的,需要根据实际情况修改。
jdbc:microsoft:sqlserver://127.0.0.1:1433;databaseName=数据库名
指定连接数据库的用户名。
用户名
指定连接数据库的密码;如果密码为空,则在“密码”的位置不写任何字符。
密码
指定当程序运行时是否在控制台输出SQL语句。当show_sql属性为true时,表示在控制台输出SQL语句,默认为false。建议在调试程序时设为true,发布程序之前再改为false,因为输出SQL语句会影响程序的运行速度。
true
指定当程序运行时,是否按照标准格式在控制台上输出SQL语句。当format_sql属性为true时,表示按照标准格式在控制台上输出SQL语句,默认为false。建议在调试程序时设为true,发布程序之前再改为false。该属性只有当show_sql属性为true时才有效。
true
指定当程序运行时,是否在SQL语句中输出便于调试的注释信息。当show_sql属性为true时,表示输出注释信息,默认为false。建议在调试程序时设为true,发布程序之前再改为false。该属性只有当show_sql属性为true时才有效。
true
指定持久化类映射文件的位置,由包名与映射文件组成,包名与映射文件之间用“/”分隔。
在上面的配置文件hibernate.cfg.xml中,包含了一系列的属性元素,Hibernate将根据这些属性元素连接数据库。
3. Hibernate配置属性
Hibernate 3.2提供的配置属性如表2.1所示。
表2.1 Hibernate 3.2提供的配置属性表
属 性
说 明
hibernate.dialect
连接数据库使用的SQL方言
hibernate.show_sql
指定是否在控制台上输出SQL语句,值为true或false
hibernate.format_sql
指定是否按照标准格式在控制台上输出SQL语句,值为true或false
hibernate.default_schema
在生成的SQL中,将给定的schema/tablespace附加于非全限定名的表名上
hibernate.default_catalog
在生成的SQL中,将给定的catalog附加于非全限定名的表名上
hibernate.session_factory_name
SessionFactory创建后,将自动使用这个名字绑定到JNDI中
hibernate.max_fetch_depth
为单向关联(一对一、多对一)的外连接抓取(Outer Join Fetch)树设置最大深度,值为0意味着将关闭默认的外连接抓取。建议在0到3之间取值
hibernate.default_batch_fetch_size
为Hibernate关联的批量抓取设置默认数量。建议使用4、8或16
hibernate.default_entity_mode
为由SessionFactory打开的所有Session指定默认的实体表现模式
hibernate.order_updates
强制Hibernate按照被更新数据的主键为SQL更新排序。这么做将减少在高并发系统中事务的死锁。值为true或false
hibernate.generate_statistics
用于指定Hibernate是否收集有助于性能调节的统计数据,值为true或false,默认值为false
hibernate.use_identifer_rollback
用于指定在对象被删除时,生成的标识属性是否被重设为默认值,值为true或false,默认值为false
hibernate.use_sql_comments
用于指定是否在SQL语句中输出便于调试的注释信息,值为true或false,默认值为false
看过文章“思科Cisco Hibernate文件怎么配置”
浏览量:2
下载量:0
时间:
cisco公司制造的路由器、交换机和其他设备承载了全球80%的互联网通信,成为了网络应用的成功实践者之一,那么你知道cisco设备基础配置的方法吗?下面是读文网小编整理的一些关于cisco设备基础配置的相关资料,供你参考。
router rip
red ospf 1 metric 10
router ospf 1
red rip subnets
def-in orig (默认)
red sta subnets (静态)
red conn subnets (直连)
看过文章“cisco设备基础配置”
浏览量:3
下载量:0
时间:
cisco公司制造的路由器、交换机和其他设备承载了全球80%的互联网通信,成为了网络应用的成功实践者之一,那么你知道怎么设置Cisco路由器的备份配置吗?下面是读文网小编整理的一些关于怎么设置Cisco路由器的备份配置的相关资料,供你参考。
对于某些企业或组织的某些关键业务数据的网络传输,要求网络设备高度的可靠性,而且需要维护方便。
Cisco路由器的备份技术有多种。这里介绍一下路由器自身的备份技术及线路备份技术。
一般来说,路由器是建立局域网与广域网连接的桥梁。
所谓的路由器自身的备份技术是为了解决路由器由于自身硬件(如内存、CPU)或软件IOS的某种故障或局域端口的故障,所连接局域设备的端口或线路的故障所导致的网络瘫痪的问题。
路由器的备份要求至少有一台与正在工作的主路由器功能相同的路由器,在主路由器瘫痪的情况下,以某种方式代替主路由器,为局域网用户提供路由服务。
对于局域网的计算机,在主路由器瘫痪的情况下,如何找到备份路由器,主要有以下集中办法:
·proxy ARP
·IRDP
·动态路由
·HSRP
·Proxy ARP
支持Proxy ARP 的计算机无论与本网段的计算机还是不同网段的计算机进入通讯都发送ARP广播以寻找与目的地址相对应的MAC地址,这时,知道目的地址的路由器会响应ARP的请求,并将自己的MAC地址广播给源计算机,然后源计算机就将IP数据包发给该路由器,并由路由器最终将数据包发送到目的。
在主路由器瘫痪情况下,计算机再进行通讯时,它将继续发送Proxy ARP广播,备份路由器响应该请求,并进行数据传输。
缺点:
如果主路由器正在传输数据时瘫痪,正在通信的计算机在未发送另外的Proxy ARP请求之前.根本就无法知道主路由器已瘫痪,会继续向该路由器发包,导致传输中断,正在通信的计算机只有在另外发送Proxy ARP请求或重新启动之后才能找到备份路由器以进行传输。
Cisco路由器支持Proxy ARP
·IRDP
局域网中的支持IRDP的计算机会监听主路由器发出的"Hello"的多点广播信息包,如果该计算机不再收到"Hello"信息时,它就会利用备份路由器进行数据传输。
·动态路由
对于某些计算机,它们本身支持RIP动态路由以寻找路由器, 这种办法的缺点是主路由器与备份路由器间的转换较慢。
以上三种办法,主要都是在计算机一方采用的技术,Cisco路由器提供了HSRP技术,采用这种技术不需要计算机进行任何设置,即对计算机来说,主路由器与备份路由器之间切换是透明的,而且它们之间的切换速度较快。
采用HSRP进行备份的一组路由器共用一个虚拟的MAC地址及虚拟IP地址,每个参与HSRP的局域端口有一个本端口的IP地址和MAC地址,每个路由器都有一个权值,权值最高的作为主路由器进行工作,其它的不工作,当主路由器瘫痪时,第二个权值最高的路由器将作为主路由器,依次类推。路由器之间定期交换权值信息以确定路由器的工作状态。如果主路由器在一段时间内不发送这种信息包,其它备份路由器将认为该路由器已坏,权值电高的备份路由器将接管虚拟MAC地址和IP地址,并负责传输数据。一旦主路由器恢复正常,将自动切换回去,重新接管传输数据的工作,之后备份路由器停止传输,处于备份状态。另外,HSRP允许路由器对某些端口的工作状态进行监测,一旦这个端口出现故障,也进行自动切换。
总之,对于局域网的计算机,它们的网关只有一个,即虚拟 IP 地址。所有的备份工作都由路由器自动完成。
HSRP适应于主路由器与备份路由器的线路完全一致的情况。
使用HSRP功能,建议采用收敛速度较快的动态路由协议,如OSPF,EIGRP。
HSRP基本配置步骤:
1. 在端口配置下,设置端口 IP 地址,
ip address端口 IP 地址 子网掩码
2. 在端口配置下,启用 HSRP 功能,并设置虚拟 IP 地址
standby 组号 IP 虚拟 IP 地址
其中只有有相同组号的路由器属于同一个hsrp组,所有属于同一个hsrp组的路由器的虚拟地址必须一致
3. 在端口设置状态下设置HSRP抢占
standby 组号 preempt
该设置允许权值高于该hsrp组的其它路由器成为主路由器。所有该给路由器都应该设置此项,以便每台路由器都可以成为其它路由器的备份路由器。如果不设置该项,即使用该路由器权值再高,也不会成为主路由器。
4. 设置路由器的hsrp权值
standby 组号 priority 权值
如果不设置该项,缺省权值为100,其中权值数字大,则抢占为主路由器的优先权越高。
5. 设置hsrp组路由器身份验证字符串
standby 组号 authentication 字符串
该项设置为可选设置,如果设置该项,则该hsrp组的所有路由器都必须进行该项设置,且只有有相同字符串的该组路由器才能进行hsrp。
6. 设置hsrp切换时间
standby 组号 时间参数1 时间参数2
其中时间参数1表示路由器每间隔多长时间交换一次hello信息,以表明路由器是否出现故障或工作正常。时间参数2表示在多长时间内同组的其他路由器没有收到主路由器的信息,则宣布主路由器瘫痪。该设置的缺省值分别为3秒和10 秒。如果要更改缺省值,所有同hsrp组的路由器的该项设置必须一致。
7. 端口跟踪设置
standby 组号 track 端口号
该项设置为可选设置
该设置表示如果所监测的端口出现故障,则也进行路由器的切换。可以跟踪多外端口。
注意:如果主路由器上有多条线路被跟踪,则有一条线路出现故障时,就会切换到备份路由器上,即使其他都正常工作,直到主路由器该线路正常工作,才能重新发换过来。该项设置实现的功能在实际应用中完全可以由线路备份功能实现,而且在大多数情况下,该项设置也没有多大意义。
看过文章“怎么设置Cisco路由器的备份配置”
浏览量:2
下载量:0
时间:
思科公司制造的路由器、交换机和其他设备承载了全世界80%的互联网通信,成为了网络应用的成功实践者之一,那么你知道Cisco PIX防火墙及网络安全怎么配置吗?下面是读文网小编整理的一些关于Cisco PIX防火墙及网络安全怎么配置的相关资料,供你参考。
随着国际互连网的发展,一些企业建立了自己的INTRANET,并通过专线与INTERNET连通。为了保证企业内部网的安全,防止非法入侵,需要使用专用的防火墙计算机。路由器防火墙只能作为过滤器,并不能把内部网络结构从入侵者眼前隐藏起来。只要允许外部网络上的计算机直接访问内部网络上的计算机,就存在着攻击者可以损害内部局域网上机器的安全性,并从那里攻击其他计算机的可能性。
大多数提供代理服务的专用防火墙机器是基于UNIX系统的,这些操作系统本身就有安全缺陷。CISCO提供了PIX (Private Internet eXchange,私有Internet交换)防火墙,它运行自己定制的操作系统,事实证明,它可以有效地防止非法攻击。PIX防火墙要求有一个路由器连接到外部网络,如附图所示。PIX有两个ETHERNET接口,一个用于连接内部局域网,另一个用于连接外部路由器。外部接口有一组外部地址,使用他们来与外部网络通信。内部网络则配置有一个适合内部网络号方案的IP地址。PIX的主要工作是在内部计算机需要与外部网络进行通信时,完成内部和外部地址之间的映射。
配置好PIX防火墙后,从外部世界看来,内部计算机好象就是直接连接到PIX的外部接口似的。由于PIX的外部接口是Ethernet接口,所以,向主机传送信息包需要用到MAC地址。为了使内部主机在数据链路层和网络层上看起来都好象是连接在外部接口上的,PIX运行了代理ARP,代理ARP给外部网络层IP地址指定数据链路MAC地址,这就使得内部计算机看起来像是在数据链路层协议的外部接口上似的。大多数情况下,与外部网络的通信是从内部网络中发出的。由于PIX是对信息包进行操作,而不是在应用过程级(代理服务器则采用这种方法),PIX既可以跟踪UDP会话,也可以跟踪TCP连接。当一个计算机希望同外部计算机进行通信时,PIX记录下内部来源地址,然后从外部地址库分配一个地址,并记录下所进行的转换。这就是人们常说的有界NAT(stateful NAT),这样,PIX就能记住它在同谁进行交谈,以及是哪个计算机首先发起的对话。只有已被确认的来自外部网络的信息包才会运行,并进入内部网络。
不过,有时也需要允许外部计算机发起同指定的内部计算机的通信。典型的服务包括电子邮件、WWW服务、以及FTP服务。PIX给一个内部地址硬编码一个外部地址,这个地址是不会过期的。在这种情况下,用到对目标地址和端口号的普通过滤。除非侵入PIX本身,外部用户仍然是无法了解内部网络结构的。在不了解内部网络结构的情况下,恶意用户就无法从内部主机向内部网络实施攻击。
PIX另一个关键性的安全特性是对TCP信息包的序列编号进行随机化处理。由于IP地址电子欺骗的方法早已公布,所以,入侵者已经有可能通过这种方法,控制住一个现成的TCP连接,然后向内部局域网上的计算机发送它们自己的信息。要想做到这一点,入侵者必须猜出正确的序列编号。在通常的TCP/IP中实现是很容易的,因为每次初始化连接时,大都采用一个相同的编号来启动会话。而PIX则使用了一种数学算法来随机化产生序列编号,这实际上使得攻击者已经不可能猜出连接所使用的序列编号了。
配置PIX防火墙是一个比较直接的工作,在提供相同级别的安全服务情况下,PIX的配置相比设置代理服务器要简单的多。从理论上讲,所需做的就是指定一个IP地址和一个用来对外部进行访问的地址库,一个针对内部连接的IP地址和网络掩吗、RIP、超时以及其他附属安全信息。下面介绍一个PIX防火墙实际配置案例,供大家参考。因为路由器的配置在安全性方面和PIX防火墙是相辅相成的,所以路由器的配置实例也一并列出。
一.PIX 防火墙
ip address outside 131.1.23.2
https://设置PIX防火墙的外部地址
ip address inside 10.10.254.1
https://设置PIX防火墙的内部地址
global 1 131.1.23.10-131.1.23.254
https://设置一个内部计算机与INTERNET
上计算机进行通信时所需的全局地址池
nat 1 10.0.0.0
https://允许网络地址为10.0.0.0
的网段地址被PIX翻译成外部地址
static 131.1.23.11 10.14.8.50
https://网管工作站固定使用的外部地址为131.1.23.11
conduit 131.1.23.11514 udp
131.1.23.1 255.255.255.255
https://允许从RTRA发送到到
网管工作站的系统日志包通过PIX防火墙
mailhost 131.1.23.10 10.10.254.3
https://允许从外部发起的对
邮件服务器的连接(131.1.23.10)
telnet 10.14.8.50
https://允许网络管理员通过
远程登录管理IPX防火墙
syslog facility 20.7
syslog host 10.14.8.50
https://在位于网管工作站上的
日志服务器上记录所有事件日志
二.路由器RTRA
---- RTRA是外部防护路由器,它必须保护PIX防火墙免受直接攻击,保护FTP/HTTP服务器,同时作为一个警报系统,如果有人攻入此路由器,管理可以立即被通知。
no service tcp small-servers
https://阻止一些对路由器本身的攻击
logging trap debugging
https://强制路由器向系统日志服务器
发送在此路由器发生的每一个事件,
包括被存取列表拒绝的包和路由器配置的改变;
这个动作可以作为对系统管理员的早期预警,
预示有人在试图攻击路由器,或者已经攻入路由器,
正在试图攻击防火墙
logging 131.1.23.11
https://此地址是网管工作站的外部地址,
路由器将记录所有事件到此
主机上enable secret quduwenxxxx
interface Ethernet 0
ip address 131.1.23.1 255.255.255.0
interface Serial 0
ip unnumbered ethernet 0
ip access-group 110 in
https://保护PIX防火墙和HTTP/FTP
服务器以及防卫欺骗攻击(见存取列表)
access-list 110 deny ip 131.1.23.0 0.0.0.255 any log
https:// 禁止任何显示为来源于路由器RTRA
和PIX防火墙之间的信息包,这可以防止欺骗攻击
access-list 110 deny ip any host 131.1.23.2 log
https://防止对PIX防火墙外部接口的直接
攻击并记录到系统日志服务器任何企图连接
PIX防火墙外部接口的事件r
access-list 110 permit tcp any
131.1.23.0 0.0.0.255 established
https://允许已经建立的TCP会话的信息包通过
access-list 110 permit tcp any host 131.1.23.3 eq ftp
https://允许和FTP/HTTP服务器的FTP连接
access-list 110 permit tcp any host 131.1.23.2 eq ftp-data
https://允许和FTP/HTTP服务器的FTP数据连接
access-list 110 permit tcp any host 131.1.23.2 eq www
https://允许和FTP/HTTP服务器的HTTP连接
access-list 110 deny ip any host 131.1.23.2 log
https://禁止和FTP/HTTP服务器的别的连接
并记录到系统日志服务器任何
企图连接FTP/HTTP的事件
access-list 110 permit ip any 131.1.23.0 0.0.0.255
https://允许其他预定在PIX防火墙
和路由器RTRA之间的流量
line vty 0 4
login
password quduwenxxx
access-class 10 in
https://限制可以远程登录到此路由器的IP地址
access-list 10 permit ip 131.1.23.11
https://只允许网管工作站远程登录到此路由器,
当你想从INTERNET管理此路由器时,
应对此存取控制列表进行修改
三. 路由器RTRB
---- RTRB是内部网防护路由器,它是你的防火墙的最后一道防线,是进入内部网的入口.
logging trap debugging
logging 10.14.8.50
https://记录此路由器上的所有活动到
网管工作站上的日志服务器,包括配置的修改
interface Ethernet 0
ip address 10.10.254.2 255.255.255.0
no ip proxy-arp
ip access-group 110 in
access-list 110 permit udp host 10.10.254.0 0.0.0.255
https://允许通向网管工作站的系统日志信息
access-list 110 deny ip any host 10.10.254.2 log
https://禁止所有别的从PIX防火墙发来的信息包
access-list permit tcp host 10.10.254.3
10.0.0.0 0.255.255.255 eq smtp
https://允许邮件主机和内部邮件服务器的SMTP邮件连接
access-list deny ip host 10.10.254.3 10.0.0.0 0.255.255.255
https://禁止别的来源与邮件服务器的流量
access-list deny ip any 10.10.254.0 0.0.0.255
https://防止内部网络的信任地址欺骗
access-list permit ip 10.10.254.0
0.0.0.255 10.0.0.0 0.255.255.255
https://允许所有别的来源于PIX防火墙
和路由器RTRB之间的流量
line vty 0 4
login
password quduwenxxx
access-class 10 in
https://限制可以远程登录到此路由器上的IP地址
access-list 10 permit ip 10.14.8.50
https://只允许网管工作站远程登录到此路由器,
当你想从INTERNET管理此路由器时,
应对此存取控制列表进行修改
---- 按以上设置配置好PIX防火墙和路由器后,PIX防火墙外部的攻击者将无法在外部连接上。
看过文章“Cisco PIX防火墙及网络安全怎么配置”
浏览量:3
下载量:0
时间:
cisco思科是全球领先的大品牌,相信很多人也不陌生,那么你知道cisco asa5520的基本配置吗?下面是读文网小编整理的一些关于cisco asa5520的基本配置的相关资料,供你参考。
1、 配置接口:interface、名字:nameif、IP address、security-level
nameif 是我们为这个接口指定的具体名字。
security-level表示这个接口的安全等级。一般情况下,可以把企业内部接口的安全等级可以设置的高一点,而企业外部接口的安全等级则可以设置的低一点。如此的话,根据防火墙的访问规则,安全级别高的接口可以防卫安全级别低的接口。也就是说,不需要经过特殊的设置,企业内部网络就可以访问企业外部网络。而如果外部网络访问内部网络,由于是安全级别低的接口访问安全级别高的接口,则必须要要进行一些特殊的设置,如需要访问控制列表的支持
;这里是配置外网的接口,名字是outside,安全级别0,IP地址我隐藏了。输入ISP给您提供的地址就行了。
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address *.*.*.* 255.255.255.0
;这里是配置内网的接口
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 172.19.12.2 255.255.255.0
!
2、 网络部分设置
global (outside) 1 interface /*所有IP-全部转换成该端口的IP出去,即PAT
nat (inside) 1 0.0.0.0 0.0.0.0 /*表示转换网段中的所有地址。定义内部网络地址将要翻译成的全局地址或地址范围
route outside 0.0.0.0 0.0.0.0 *.*.*.* 1 /*设置外网路由的网关,最后的1是路由的跳数
route inside 172.19.74.0 255.255.254.0 172.19.12.1 1 /*设定路由回指到内部的子网
route inside 172.19.76.0 255.255.252.0 172.19.12.1 1
3、 !开启asdm
http server enable
http 0.0.0.0 0.0.0.0 inside
!允许内网用户使用telnet连接防火墙
telnet 0.0.0.0 0.0.0.0 inside
telnet timeout 5
!允许内网用户使用ssh连接防火墙
ssh 0.0.0.0 0.0.0.0 inside
ssh timeout 5
看过文章“cisco asa5520的基本配置”
浏览量:2
下载量:0
时间:
cisco思科是全球领先的大品牌,相信很多人也不陌生,那么你知道cisco交换机上配置SSH吗?下面是读文网小编整理的一些关于cisco交换机上配置SSH的相关资料,供你参考。
在Cisco路由器产品系列中只有7200系列、7500系列和12000系列(GSR)等高端产品的IOS支持SSH.一般支持SSH的IOS版本文件名中都带有K3或者K4字样,K3 代表56bit SSH 加密,K4代表168bit SSH加密。如我省省网GSR 12016和12008上用的IOS 就是一个支持56bit SSH 加密的版本。
目前Cisco的产品只支持SSH-1,还不支持SSH-2.下面以GSR 12008为例详细介绍SSH-1的配置方法(斜体字为配置输入的命令):
① 配置hostname和ip domain-name:
Router#configure terminalRouter(config)#hostname TEST-GSR12008TEST-GSR12008(config)#ip domain-name jx.cn.net |
② 配置登录用户名和密码(以本地认证为例):
TEST-GSR12008(config)#username test password 0 test 注:添加一个用户:test,口令:testTEST-GSR12008(config)#line vty 0 4 TEST-GSR12008(config-line)#login local |
在这两部分做完以后,用show run命令就能够看到:
hostname TEST-GSR12008!boot system flash gsr-k3p-mz.120-14.S.binenable secret 5 $1$DMyW$gdSIOkCr7p8ytwcRwtnJG.enable password 7 094F47C31A0A!username test password 7 0835495D1Dclock timezone PRC 16redundancymain-cpuauto-sync startup-config!!!!ip subnet-zerono ip fingerip domain-name jx.cn.netip name-server 202.101.224.68ip name-server 202.101.226.68 ! |
③ 配置SSH服务:
TEST-GSR12008(config)#crypto key generate rsaThe name for the keys will be: TEST-GSR12008.jx.cn.net注:SSH的关键字名就是hostname + . +ip domain-nameChoose the size of the key modulus in the range of 360 to 2048 for yourGeneral Purpose Keys. Choosing a key modulus greater than 512 may takea few minutes.How many bits in the modulus [512]: 注:选择加密位数,用默认就行了Generating RSA keys ...[OK]TEST-GSR12008(config)#endTEST-GSR12008#writeBuilding configuration... |
这时候用show run命令可以看到:
ip subnet-zerono ip fingerip domain-name jx.cn.netip name-server 202.101.224.68ip name-server 202.101.226.68ip ssh time-out 120ip ssh authentication-retries 3 ! |
用命令show ip ssh也能看到:
SSH Enabled - version 1.5 Authentication timeout: 120 secs; Authentication retries: 3 |
现在SSH服务已经启动,如果需要停止SSH服务,用以下命令:
TEST-GSR12008(config)#crypto key zeroize rsa |
④设置SSH参数
配置好了SSH之后,通过show run命令我们看到SSH默认的参数:超时限定为120秒,认证重试次数为3次,可以通过下面命令进行修改:
TEST-GSR12008(config)#ip ssh {[time-out seconds]} | [authentication-retries interger]} |
如果要把超时限定改为180秒,则应该用:
TEST-GSR12008(config)# ip ssh time-out 180 |
如果要把重试次数改成5次,则应该用:
TEST-GSR12008(config)# ip ssh authentication-retries 5 |
这样,SSH已经在路由器上配置成功了,就能够通过SSH进行安全登录了
看过文章“cisco交换机上配置SSH”
浏览量:2
下载量:0
时间:
cisco ASA 防火墙你知道怎么样配置吗?小编来教你!下面由读文网小编给你做出详细的cisco ASA 防火墙配置介绍!希望对你有帮助!
1.asa防火墙的密码可以破解的。配置很简单发给你
ASA5500防火墙:
在ASA启动过程中按 CTRL+BREAK键后,进入:
rommon #0> confreg
Current Configuration Register: 0x00000001
Configuration Summary:
boot default image from Flash
Do you wish to change this configuration? y/n [n]: n
rommon #1> confreg 0x41
Update Config Register (0x41) in NVRAM...
rommon #2> boot
Launching BootLoader...
Boot configuration file contains 1 entry.
Loading disk0:/ASA_7.0.bin... Booting...
Ignoring startup configuration as instructed by configuration register.
Type help or '?' for a list of available commands.
hostname> enable
Password:
hostname# configure terminal
hostname(config)# copy startup-config running-config
Destination filename [running-config]?
Cryptochecksum(unchanged): 7708b94c e0e3f0d5 c94dde05 594fbee9
892 bytes copied in 6.300 secs (148 bytes/sec)
hostname(config)# enable password NewPassword
hostname(config)# config-register 0x1
hostname#copy run start
到次为止密码恢复完成.
2.安全策略主要就是acl访问列表的控制。限制ip 的访问、icmp的访问以及tcp、udp协议端口的开放等。
看了“cisco ASA 防火墙怎么样配置”文章的还看了:
浏览量:2
下载量:0
时间:
cisco防火墙配置命令是有很大作用的,那么会用在哪里呢?下面由读文网小编给你做出详细的cisco防火墙配置命令应用介绍!希望对你有帮助!
硬件产品
以路由器,交换机,IOS软件为主,还有宽带有线产品、板卡和模块、内容网络、网络管理、光纤平台、网络安全产品与设备、网络存储产品、视频系统、IP通信系统、远程会议系统[8] 、无线产品、服务器 等。
1986年3月,思科公司向犹他州州立大学提供了世界上第一台路由产品——AGS(先进网关服务器)。
1994年,思科推出第一种面向客户端/服务器式工作组的智能Cisco Catalyst系列交换机,第一批新产品来自于对Crescendo的收购。
思科Nexus数据中心交换机
Catalyst系列交换机:1200、1600、1700、1900、2000、2100、2800、29xx、3000、35xx、37xx、40xx、45xx、5xxx、6xxx Cisco 2960、2960S、 2960G、 3560、 3560G、 3560E、 3560X、 3750、 3750G、 3750E、 3750X、 4900、 4500 and 6500 Series Cisco switches。
Nexus系列数据中心交换机:Nexus 1000V、Nexus 2000、Nexus 3000、Nexus 4000、Nexus 5000、Nexus 6000、Nexus 7000。
路由器:700、800、100x、1600、1700、1800、2500、2600、2800 、3600、3700 、3800、4500、4700、7000、7200、7500、7600、12000、ASR1000、ASR9000、CRS-1、CRS-3。
Cisco 800, Cisco 1800, Cisco 1900, Cisco 2800, Cisco 2900, Cisco 3800, Cisco 3900, Cisco 7200 and Cisco 7600 Series Cisco routers等等。
思科UCS服务器
DWDM:ONS15系列( 如15454)
接入点:340、350、1100、1200、1300
防火墙:
PIX:PIX-501、PIX-506、PIX-515、PIX-525、PIX-535。
ASA:ASA5505、ASA5510、ASA5512、ASA5520、ASA5540、ASA5550、ASA5580-20、ASA5580-40、ASA5585-X-SSP10、ASA5585-X-SSP20、ASA5585-X-SSP40、ASA5585-X-SSP60。
思科模块和网卡:Cisco AIM Module、 WIC WAN Card、VIC Voice Card、 VWIC Voice Card、 HWIC WAN Card、 ISR G2 SM Module、 NM Network Module,、PVDM Voice Module、4500 Switch Module、 6500 Switch Module、 7200 Router Module、 7600 Router Module。
思科光学模块:Cisco X2 module、XFP module、GBIC module、XENPAK module、SFP GLC Module、OADM EWDM module。
思科腾讯通界面
WAN交换机:IGX 8400系列、PBX8600系列、MGX 8850边缘交换机、MGX 8220边缘线器。
AS5xxx 远程访问服务器(RAS)
AS5xxx 系列VoIP网关
无线IP电话:7920。
IP电话:3951、7905、7906、7911、7940、7941、7942G、7960、7961、7970、7971、7985和9971。
UCS服务器: 思科统一计算系统 (Unified Computing Systems) 包括B系列刀片服务器、C系列机架式服务器以及M系列模块化服务器, UCS阵列互联以及阵列扩展器,服务器适配器(I/O,GPU,存储加速器),UCS Invicta设备以及相应的UCS数据中心管理软件(UCS Manager, UCS Director)等。
软件产品
思科腾讯通:是RTX腾讯通的一个插件。它是思科和腾讯公司共同推出的集成原RTX腾讯通的即时通信界面和思科企业级统一通信服务的解决方案。原有RTX腾讯通用户的使用习惯不变。用户通过思科腾讯通可以了解联系人状态,拨打高清视频和音频电话,召开在线会议或视频会议,使用可视语音邮件等等。
思科IOS(Internetwork Operating System):思科网络操作系统,用于其大多数路由器和交换机产品[12] 。
WebEx:网络会议软件[13] 。
NX-OS (Nexus Operating System):数据中心Nexus系列交换机操作系统。
看了“cisco防火墙配置命令应用在哪”文章的还看了:
浏览量:3
下载量:0
时间: