网络工程师考点汇总知识点19Word格式.docx
《网络工程师考点汇总知识点19Word格式.docx》由会员分享，可在线阅读，更多相关《网络工程师考点汇总知识点19Word格式.docx（60页珍藏版）》请在冰点文库上搜索。
//test传输模式的名称。
ah-md5-hamcesp-des表示传输模式中采用的验证参数和加密参数。
routerA（config）#acess-list101permitip192.168.1.00.0.0.255192.168.2.00.0.0.255
//定义哪些地址的报文加密或是不加密。
routerB（config）#cryptoipsectransform-settestah-md5-hamcesp-des
routerB（config）#acess-list101permitip192.168.2.00.0.0.255192.168.1.00.0.0.255
//路由器B和A的配置除了这里的源和目的IP地址变了，其它都一样。
3设置cryptomap（目的把IKE的协商信息和IPSec的参数，整合到一起，起一个名字）
routerA（config）#cryptomaptestmap1ipsec-isakmp
//testmap:
给cryptomap起的名字。
1：
优先级。
ipsec-isakmp:
表示此IPSec链接采用IKE自动协商
routerA（config-crypto-map）#setpeer20.20.20.22
//指定此VPN链路，对端的IP地址
routerA（config-crypto-map）#settransform-settest
//IPSec传输模式的名字。
routerA（config-crypto-map）#matchaddress101
//上面定义的ACL列表号
routerB（config）#cryptomaptestmap1ipsec-isakmp
routerB（config-crypto-map）#setpeer20.20.20.21（和A路由的配置只有这里的对端IP不一样）
routerB（config-crypto-map）#settransform-settest
routerB（config-crypto-map）#matchaddress101
4把cryptomap的名字应用到端口
routerA（config）#inters0/0（进入应用VPN的接口）
routerA（config-if）#cryptomaptestmap（testmap：
cryptomap的名字）
B路由器和A设置完全一样。
5查看VPN的配置
Router#showcryptoipsecsa
//查看安全联盟（SA）
router#showcryptomap
//显示cryptomap内的所有配置
router#showcryptoisakmppolicy//查看优先级
02-IPSecVPN的基本配置
PIX配置专题
六个基本命令
PIX是CISCO公司开发的防火墙系列设备，主要起到策略过滤，隔离内外网，根据用户实际需求设置DMZ（停火区）。
它和一般硬件防火墙一样具有转发数据包速度快，可设定的规则种类多，配置灵活的特点。
配置PIX防火墙有六个基本命令：
nameif，interface，ipaddress，nat，global，route。
我们先掌握这六个基本命令，然后再学习更高级的配置语句。
1、nameif配置防火墙接口的名字，并指定安全级别：
Pix525（config）#nameifethernet0outsidesecurity0//命名e0为outside,安全级别为0。
该名称在后面使用
Pix525（config）#nameifethernet1insidesecurity100//命名e1为inside，安全级别为100。
安全系数最高
Pix525（config）#nameifdmzsecurity50
//设置DMZ接口为停火区，安全级别50。
安全系数居中。
在该配置中，e0被命名为外部接口（outside），安全级别是0；
以e1被命名为内部接口（inside），安全级别是100。
安全级别取值范围为1到99，数字越大安全级别越高。
2、配置以太口参数（interface）：
Pix525（config）#interfaceethernet0auto
//设置e0为AUTO模式，auto选项表明系统网卡速度工作模式等为自动适应，这样该接口会自动在10M/100M，单工/半双工/全双工直接切换。
Pix525（config）#interfaceethernet1100full
//强制设置以太接口1为100Mbit/s全双工通信。
Pix525（config）#shutdown
//关闭端口
小提示：
在节假日需要关闭停火区的服务器的服务时可以在PIX设备上使用interfacedmz100fullshutdown,这样DMZ区会关闭对外服务。
3、配置内外网卡的IP地址（ipaddress）
Pix525（config）#ipaddressoutside61.144.51.42255.255.255.248//设置外网接口为61.144.51.42，子网掩码为255.255.255.248
Pix525（config）#ipaddressinside192.168.0.1255.255.255.0
//设置内网接口IP地址、子网掩码。
你可能会问为什么用的是outside和inside而没有使用ethernet1，ethernet0呢？
其实这样写是为了方便我们配置，不容易出错误。
只要我们通过nameif设置了各个接口的安全级别和接口类别，接口类别就代表了相应的端口，也就是说outside=ethernet0，inside=ethernet1。
4、指定要进行转换的内部地址（nat）
NAT的作用是将内网的私有ip转换为外网的公有ip，Nat命令总是与global命令一起使用，这是因为nat命令可以指定一台主机或一段范围的主机访问外网，访问外网时需要利用global所指定的地址池进行对外访问。
nat命令配置语法：
nat（if_name）nat_idlocal_ip[netmark]
其中（if_name）表示内网接口名字，如inside，Nat_id用来标识全局地址池，使它与其相应的global命令相匹配，local_ip表示内网被分配的ip地址。
例如0.0.0.0表示内网所有主机可以对外访问。
[netmark]表示内网ip地址的子网掩码。
示例语句如下：
Pix525（config）#nat（inside）10.0.0.0
0.0.0.0
//启用nat,内网的所有主机都可以访问外网，可以用0代表0.0.0.0
Pix525（config）#nat（inside）1172.16.5.0255.255.0.0
//设置只有172.16.5.0这个网段内的主机可以访问外网。
5、指定外部地址范围（global）
global命令把内网的ip地址翻译成外网的ip地址或一段地址范围。
Global命令的配置语法：
global（if_name）nat_idip_address-ip_address[netmarkglobal_mask]
其中（if_name）表示外网接口名字，如outside；
Nat_id用来标识全局地址池，使它与其相应的nat命令相匹配；
ip_address-ip_address表示翻译后的单个ip地址或一段ip地址范围；
[netmarkglobal_mask]表示全局ip地址的网络掩码。
Pix525（config）#global（outside）161.144.51.42-61.144.51.48
//设置内网的主机通过pix防火墙要访问外网时，pix防火墙将使用61.144.51.42-61.144.51.48这段ip地址池为要访问外网的主机分配一个全局ip地址。
Pix525（config）#global（outside）161.144.51.42
//设置内网要访问外网时，pix防火墙将为访问外网的所有主机统一使用61.144.51.42这个单一ip地址。
Pix525（config）#noglobal（outside）161.144.51.42
//删除global中对61.144.51.42的宣告，也就是说数据包通过NAT向外传送时将不使用该IP，这个全局表项被删除。
6、设置指向内网和外网的静态路由（route）
route命令定义一条静态路由。
route命令配置语法：
route（if_name）00gateway_ip[metric]
其中（if_name）表示接口名字，例如inside，outside。
Gateway_ip表示网关路由器的ip地址。
[metric]表示到gateway_ip的跳数。
通常缺省是1。
Pix525（config）#routeoutside0061.144.51.1681
//设置一条指向边界路由器（ip地址61.144.51.168）的缺省路由。
Pix525（config）#routeinside10.1.1.0255.255.255.0172.16.0.11
//设置一条指向内部的路由。
Pix525（config）#routeinside10.2.0.0255.255.0.0172.16.0.11
//设置另一条指向内部的路由。
总结：
目前我们已经掌握了设置PIX的六大基本命令，通过这六个命令我们已经可以让PIX为我们的网络服务了。
不过让网络运行还远远不够，我们要有效的利用网络，合理的管理网络，这时候就需要一些高级命令了。
PIX防火墙高级配置命令
1、配置静态IP地址翻译（static）：
如果从外网发起一个会话，会话目的地址是一个内网的ip地址，static就把内部地址翻译成一个指定的全局地址，允许这个会话建立。
static命令配置语法：
static（internal_if_name，external_if_name）outside_ip_addressinside_ip_address
其中internal_if_name表示内部网络接口，安全级别较高。
如inside.。
external_if_name为外部网络接口，安全级别较低，如outside等。
outside_ip_address为正在访问的较低安全级别的接口上的ip地址。
inside_ip_address为内部网络的本地ip地址。
示例语句如下：
Pix525（config）#static（inside,outside）61.144.51.62192.168.0.8
//ip地址为192.168.0.8的主机，对于通过pix防火墙建立的每个会话，都被翻译成61.144.51.62这个全局地址，也可以理解成static命令创建了内部ip地址192.168.0.8和外部ip地址61.144.51.62之间的静态映射。
PIX将把192.168.0.8映射为61.144.51.62以便NAT更好的工作。
使用static命令可以让我们为一个特定的内部ip地址设置一个永久的全局ip地址。
这样就能够为具有较低安全级别的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口。
2、管道命令（conduit）：
使用static命令可以在一个本地ip地址和一个全局ip地址之间创建了一个静态映射，但从外部到内部接口的连接仍然会被pix防火墙的自适应安全算法（ASA）阻挡，conduit命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从外部到DMZ或内部接口的入方向的会话。
对于向内部接口的连接，static和conduit命令将一起使用，来指定会话的建立。
说得通俗一点管道命令（conduit）就相当于以往CISCO设备的访问控制列表（ACL）。
conduit命令配置语法：
conduitpermit|denyglobal_ipport[-port]protocolforeign_ip[netmask]
其中permit|deny为允许|拒绝访问，global_ip指的是先前由global或static命令定义的全局ip地址，如果global_ip为0，就用any代替0；
如果global_ip是一台主机，就用host命令参数。
port指的是服务所作用的端口，例如www使用80，smtp使用25等等，我们可以通过服务名称或端口数字来指定端口。
protocol指的是连接协议，比如：
TCP、UDP、ICMP等。
foreign_ip表示可访问global_ip的外部ip。
对于任意主机可以用any表示。
如果foreign_ip是一台主机，就用host命令参数。
Pix525（config）#conduitpermittcphost192.168.0.8eqwwwany
//表示允许任何外部主机对全局地址192.168.0.8的这台主机进行http访问。
其中使用eq和一个端口来允许或拒绝对这个端口的访问。
Eqftp就是指允许或拒绝只对ftp的访问。
Pix525（config）#conduitdenytcpanyeqftphost61.144.51.89
//设置不允许外部主机61.144.51.89对任何全局地址进行ftp访问。
Pix525（config）#conduitpermiticmpanyany
//设置允许icmp消息向内部和外部通过。
Pix525（config）#static（inside,outside）61.144.51.62192.168.0.3
Pix525（config）#conduitpermittcphost61.144.51.62eqwwwany
这两句是将static和conduit语句结合而生效的，192.168.0.3在内网是一台web服务器，现在希望外网的用户能够通过pix防火墙得到web服务。
所以先做static静态映射把内部IP192.168.0.3转换为全局IP61.144.51.62，然后利用conduit命令允许任何外部主机对全局地址61.144.51.62进行http访问。
对于上面的情况不使用conduit语句设置容许访问规则是不可以的，因为默认情况下PIX不容许数据包主动从低安全级别的端口流向高安全级别的端口。
3、配置fixup协议：
fixup命令作用是启用，禁止，改变一个服务或协议通过pix防火墙，由fixup命令指定的端口是pix防火墙要侦听的服务。
示例例子如下：
Pix525（config）#fixupprotocolftp21
//启用ftp协议，并指定ftp的端口号为21
Pix525（config）#fixupprotocolhttp80
Pix525（config）#fixupprotocolhttp1080
//为http协议指定80和1080两个端口。
Pix525（config）#nofixupprotocolsmtp80
//禁用smtp协议。
4、设置telnet：
在pix5.0之前只能从内部网络上的主机通过telnet访问pix。
在pix5.0及后续版本中，可以在所有的接口上启用telnet到pix的访问。
当从外部接口要telnet到pix防火墙时，telnet数据流需要用ipsec提供保护，也就是说用户必须配置pix来建立一条到另外一台pix，路由器或vpn客户端的ipsec隧道。
另外就是在PIX上配置SSH，然后用SSHclient从外部telnet到PIX防火墙。
我们可以使用telnet语句管理登录PIX的权限。
telnet配置语法：
telnetlocal_ip[netmask]
local_ip表示被授权通过telnet访问到pix的ip地址。
如果不设此项，pix的配置方式只能由console进行。
也就是说默认情况下只有通过console口才能配置PIX防火墙。
由于管理PIX具有一定的危险性，需要的安全级别非常高，所以不建议大家开放提供外网IP的telnet管理PIX的功能。
如果实际情况一定要通过外网IP管理PIX则使用SSH加密手段来完成。
03-Vlan配置
一、虚拟局域网VLAN配置
＜1＞配置VTP服务器
S1#vlandatabase
//进入vlan配置模式
S1（vlan）#vtpserver
//设置该交换机为VTP服务器模式，考试时选默认是透明模式，但思科是默认为服务器模式。
S1（vlan）#vtpdomaindomain-name
//设置VTP管理域名称
S1（vlan）#vtppruning
//启用VTP修剪功能
S1（vlan）#exit
S1#showvtpstatus
//显示VTP状态信息
＜2＞配置VTP客户端
S2#vlandatabase
S2（vlan）#vtpclient
//设置该交换机为VTP客户端模式
S2（vlan）#vtpdomaindomain-name
//这里域名必须和上面的vtp服务器设置的domain名称一样
S2（vlan）#exit
＜3＞配置两个交换机之间的Trunk端口。
<
下面命令要分别在S1\S2交换机上执行>
S（config）#interfacef0/1
S（config-if）#switchportmodetrunk
//配置该端口为Trunk中继模式。
S（config-if）#switchporttrunkallowedvlanall
//设置允许从该接口交换数据的vlan
S（config-if）#^Z
＜4＞在VTP服务器上创建VLAN
S1#vlandatabase
S1（vlan）#vlan2namevlan2
//创建一个Vlan2命名为vlan2
S1（vlan）#vlan3name
//创建一个Vlan3，系统会自动命名为Vlan003
＜4＞分配交换机端口到各个Vlan<
S（config）#interfacef0/3
<
如果交换机上有多个端口要分到同一个VLAN中，可用interfacerangef0/3–12,15>
S（config-if）#switchportmodeaccess
//设置端口为静态VLAN访问模式
S（config-if）#switchportaccessallowedvlan2
S（config-if）#^Z
这是将F0/3端口分配到VLAN2中，另外，用同样的方法把F0/4分配到vlan3中>
二、交换机基本配置---mac地址配置
Switch（config）#mac-address-tableaging-time100//设置学习的MAC地址的超时时间，默认300s
Switch（config）#mac-address-tablepermanent0050.8DCB.FBD1f0/3//添加永久地址
Switch（config）#mac-address-tablerestictedstatic0050.8DCB.FBD2f0/6
f0/7//加入限制性静态地址，它是在设置永久性地址的基础上，同时限制了源端口，它只允许所static配置的接口（f0/6）与指定的端口（f0/7）通信，提高安全性。
Switch（config）#end
Switch#showmac-address-table
（查看MAC地址表）
Switch#clearmac-address-tabledynamic
（清除动态学习的MAC地址表项）
Switch#clearmac-address-tablerestictedstatic
（清除配置的限制性MAC地址表项）
三、生成树快速端口（PortFast）配置
STPPortFast是一个Catalyst的一个特性。
在STP中，只有forwarding状态，port才能发送用户数据。
如果一个port一开始是没有接pc，一旦pc接上，就会经历blocking（20s）->
listening（15s）->
learing（15s）->
forwarding状态的变化。
这样从pc接上网线，到能发送用户数据，缺省的配置下需要等50秒的时间，但如果设置了portfast，就使得该端口不再应用STP算法，一旦该端口物理上能工作，就立即将其置为“转发”状态。
在基于IOS交换机上，PortFast只能用于连接到终端设备的接入层交换机端口上。
开启PortFast命令：
Switch（config）#interfacef0/1
Switch（con
升级会员 