网络故障应急处理-路由器的配置及管理

null路由器配置基础及科技网 网络介绍路由器配置基础及科技网 网络介绍 中国科技网技术部 陈江宁内容介绍内容介绍路由器配置介绍 路由器基础知识介绍 监控与故障诊断 基本测试方法 设备配置存取及其备份 路由器启动顺序及密码恢复 保护Internet连接安全 中国科技网介绍 中国科技网的结构简介 中国科技网网络设备简介 国内外出口简介 网络管理简介null路由器基础知识介绍配置模式及方法配置模式及方法外部配置的途径 Router 各种模式 配置模式 主要内容外部配置的途径外部配置的途径可以通过各种途径进行配置Router 模式Router 模式Setup Mode初始配置状态 以对话的方式来创建一个基本配置 才出厂的机器或删了startup-config的机器 开机后自动进入或手动用 setup命令进入Router(config)#Global Configuration Mode全局配置状态 在特权执行态输入config terminalOther Configuration ModesRouter(config - mode)#开机后60秒内按 ctrl+break键则进入 该态在机器不能正常自动引导时进行 RXBOOT Mode其他的配置状态 在特权执行状态输入相应的命令时进入.路由器配置模式综述路由器配置模式综述User EXEC mode Privileged EXEC mode Global configuration modeRouter(config)#Router>Router#基本的路由器设置基本的路由器设置步骤一：配置主机名； 步骤二：在路由器上设置口令； 步骤三：在路由器的接口上配置IP地址； 步骤四：在路由器上配置路由协议； 步骤五：配置路由器串行接口参数； 步骤六：激活接口，检查网络的连通性； 步骤七：创建IP主机表； 步骤八：配置“no ip domain-lookup”； 步骤九：利用CDP协议查看与该路由器相连的网络设备基本的路由器设置(续）基本的路由器设置(续）步骤十 ：显示路由器上的IP路由表，检查网络的连通性，应确认能够成功的ping通网络中其他的路由器； 步骤十一：检查路由器的路由表，并通过“show ip protocols”检查路由器的协议配置； 步骤十二：诊断网络利用debug等命令来捕获路由更新信息； 步骤十三：利用show version查看Cisco IOS版本和路由器的类型； 步骤十四：保存路由器的配置；配置路由器的标示配置路由器的标示为路由器及其端口配置标示信息配置密码配置密码Router(config)# line console 0 Router(config-line)#exec-timeout 15 0 Router(config-line)# login Router(config-line)# password ciscoConsole Password 配置 IP 地址配置 IP 地址分配地址和掩码 针对端口配置IP地址 设定允许使用子网掩码Router (config-if) #ip address ip-address subnet-mask定义静态ARP缓存定义静态ARP缓存Arp ip-address hardware-address type [alias]ARP 封装类型 Arp arpa：IEEE 802.3 Ethernet（缺省值）Arp probe：IEEE 802.3网络的HP-Probe协议Arp snap：支持RFC 1402的FDDI和令牌环网络的arp报文 使用DNS服务 使用DNS服务 提供有主机名到IP地址的解析Router (config) #ip name-server server-address1 [[server-address2 ]... server-address6 ]ip domain-name wiscom.com.cnip domain-lookupBOOT SYSTEM列表BOOT SYSTEM列表从flash启动系统 从网络服务器启动系统 从ROM启动系统(Cisco 7500上BOOTFLASH）Router（config）＃boot system flash: rsp-IOSRouter（config）＃boot system flash slot0: rsp-IOSRouter（config）＃config-register 0x010FRouter（config）＃boot system romRouter（config）＃boot system FTP rsp-IOS 10.6.1.11Router（config）＃boot system flash slot1: rsp-IOSRouter＃wrRouter＃reload配置静态路由配置静态路由Defines a path to an IP destination network or subnetip route network [ mask ] { address | interface } [ distance ] Router (config) #举例:静态路由举例:静态路由ip route 172.16.1.0 255.255.255.0 172.16.2.1172.16.2.0Cisco A172.16.1.0 255.255.255.0172.16.2.1Cisco BE0S0S1S2S0172.16.2.2nullMake changes in configuration modes修改配置配置修改后的保存监控与故障诊断 监控与故障诊断 show version 命令show version 命令show running-config 命令 show startup-config 命令show running-config 命令 show startup-config 命令Use write terminal with Release 10.3 and earlierUse show config with Release 10.3 and earlierRouter# show running-config Building configuration... Current configuration: ! version 11.2 ! -- More --Router# show startup-config Using 1108 out of 130048 bytes ! version 11.2 ! hostname router -- More --show interface serialshow interface serialRouter# show interface serial 1 Serial1 is up, line protocol is up Hardware is cxBus Serial Description: 56Kb Line San Jose - MP :: :: :: :: :: :: :: :: :: ::激活信号Keepalives载波信号Carrier Detect清除show interface 中的计数器清除show interface 中的计数器列出 IP 路由表列出 IP 路由表show ip protocol 命令show ip protocol 命令Router 状态检查命令Router 状态检查命令RAMInternetwork Operating SystemProgramsTables and BuffersActive Configuration FileBackup Configuration FileOperating SystemsI n t e r f a c e sRouter# show versionFlashNVRAMShowing CDP NeighborsShowing CDP NeighborsRouterA#show cdp neighbors Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge, S - Switch, H - Host, I - IGMP Device ID Local Intrfce Holdtme Capability Platform Port ID Router Ser 0 151 R 2522 Ser 1 SwitchA0050BD855780 Eth 0 165 T s 1900 2 RouterA#show cdp neighbors detail ------------------------- Device ID: RouterB Entry address(es): IP address: 198.121.200.1 Novell address: 1002.0000.0c01.1111 Platform: cisco 2522, Capabilities: Router Interface: Serial1, Port ID (outgoing port): Serial0 Holdtime : 149 secshow cdp entryshow cdp entryRouterA#sh cdp entry * ------------------------- Device ID: RouterB Entry address(es): IP address: 10.1.1.2 Platform: cisco 2522, Capabilities: Router Interface: Serial0, Port ID (outgoing port): Serial1 Holdtime : 168 sec Version : Cisco Internetwork Operating System Software IOS (tm) 2500 Software (C2500-JS-L), Version 12.0(3), RELEASE SOFTWARE (fci) Copyright (c) 1986-1999 by cisco Systems, Inc. Compiled Mon 08-Feb-99 18:18 by phanguyeSwitchBRouterARouterBSwitchA10.3.3.210.3.3.110.1.1.110.1.1.210.2.2.110.2.2.2S0S1telnet 操作telnet 操作Initiate a sessionDenver> telnet parisTokyoParisDenver理解cisco错误消息理解cisco错误消息系统错误消息格式： ％Facility –subfacility –Severity –Mnemonic: Message Text Facility 指出错误消息涉及的设备名。该值可以是协议、硬件设备或者系统软件模块；Subfacility 它仅与通道接口处理器（CIP）卡有关；Sererity 它是一个范围在0到7之间的数字。数字的值越小，严重程度越高；Mnemonic 唯一标识错误信息的单值代码，该代码通常可以暗示错误的类型；Message Text 它是错误信息的简短描述，其中包括涉及的路由器硬件和软件信息；注：并不是所有的消息都涉及到故障或者问 题 快递公司问题件快递公司问题件货款处理关于圆的周长面积重点题型关于解方程组的题及答案关于南海问题 的状况，某些消息显示的是状态方面的信息信息记录信息记录指定记录到系统日志服务器中消息的调试级别，命令： logging trap level 指定系统日志数据包含有特定接口的ip地址，而不管数据包通过哪个接口流出路由器，命令： logging source-interface type number 将消息记录到系统日志服务器主机，命令： logging on 启用在日志消息中加入时戳功能，命令： service timestamps{log|debug} datetime [msec][localtime][show-timezone]事件日志记录步骤： 信息记录信息记录Console TerminalUNIX Host (Running Syslog Server)Buffers131.108.1.8(default)Telnet Terminalno logging bufferedterminal monitorlogging on logging 131.108.1.8show logginglogging bufferedDebug Output and System Error Messages基本测试方法基本测试方法测试综述测试综述验证地址的配置验证地址的配置使用 ping 命令测试使用 ping 命令测试各种协议的报文能够被正确的路由吗?PingPing测试网络的连接状况! 响应成功接收 . 请求超时 U 目的不可达 P 协议不可达 N 网络不可达 I ping被中断 (for example, Ctrl-Shift-6 X)? ? 不可知报文类型 Ping(扩展)Ping(扩展)Ping 命令支持多协议Router# ping Protocol [ip]: Target IP address: 192.168.101.162 Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address: Type of service [0]: Set DF bit in IP header? [no]: yes Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.101.162, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 24/26/28 ms Router#使用 trace 命令使用 trace 命令数据报文传输时经过那条路径?IP TraceIP Trace通过端口地址表示数据到达的地点H— 主机不可达 P— 协议不可达 N— 网络不可达 U— 端口不可达 *— 报文超时 ?_ 报文类型不能识别 测试Application Layer使用telnet测试Application Layer使用telnet你能登陆远程的路由器吗?设备代码、配置存取及其备份设备代码、配置存取及其备份从NVRAM中加载配置文件从NVRAM中加载配置文件ConsoleIOSSetup utilityshow startup-configshow running-configLoad and execute config from NVRAM If no config in NVRAM, enter setup modeConfigConfigRAMNVRAMshow running-config 命令 show startup-config 命令show running-config 命令 show startup-config 命令Router# show running-config Building configuration... Current configuration: ! version 11.2 ! -- More --Router# show startup-config Using 1108 out of 130048 bytes ! version 11.2 ! hostname router -- More --Display current and saved configuration保存配置文件保存配置文件ConfigConfigRAMNVRAMNVRAM copy running startup=writecopy startup running (merge)保存配置文件保存配置文件ConfigConfigConsoleRAMNVRAMNVRAM Terminal TFTP servercopy running startupcopy startup running (merge)TFTP servercopy start tftpcopy tftp startcopy run tftpcopy tftp run (merge)config term (merge)Copy startup tftpCopy startup tftp Access_Server#copy ? flash Copy from system flash flh-log Copy FLH log file to server mop Copy from a MOP server rcp Copy from an rcp server running-config Copy from current system configuration startup-config Copy from startup configuration tftp Copy from a TFTP server Access_Server#copy startup-config ?rcp Copy to an rcp server running-config Update (merge with) current system configuration tftp Copy to a TFTP serverrcp Copy to an rcp server running-config Update (merge with) current system configuration tftp Copy to a TFTP serverAccess_Server#copy startup-config tftpRemote host []? 172.18.7.114Name of configuration file to write [access_server-confg]? Write file access_server-confg on host 172.18.7.114? [confirm]Writing access_server-confg !! [OK]备份IOS Images备份IOS ImagesNetwork serverFLASHRouterNetwork server备份IOS Images备份IOS ImagesCheck access to the serverRouterNetwork server查看IOS Images查看IOS Imageswg_ro_a#show flash System flash directory: File Length Name/status 1 10084696 c2500-js-l_120-3.bin [10084760 bytes used, 6692456 available, 16777216 total] 16384K bytes of processor board System flash (Read ONLY)Verify Flash memory has room for the IOS image创建 Image备份创建 Image备份Back up current files prior to updating FlashNetwork serverFLASHcopy flash tftp 创建 Image备份(续)创建 Image备份(续)Access_Server#copy flash tftp System flash directory: File Length Name/status 1 3988176 /igs-im-l_111-22.bin [3988240 bytes used, 4400368 available, 8388608 total]Address or name of remote host [255.255.255.255]? 172.18.7.114Source file name? /igs-im-l_111-22.binDestination file name [/igs-im-l_111-22.bin]?Verifying checksum for '/igs-im-l_111-22.bin' (file # 1)... OKVerifying checksum for '/igs-im-l_111-22.bin' (file # 1)... OKCopy '/igs-im-l_111-22.bin' from Flash to server as '/igs-im-l_111-22.bin'? [yes/no] yes!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Upload to server done Flash copy took 00:00:53 [hh:mm:ss]恢复 Image备份恢复 Image备份Erase Flash occurs before loading new image Note message that image already existsNetwork serverFLASH系统启动综述系统启动综述系统启动的顺序 通过终端不断反馈启动的信息启动的顺序启动的顺序RAM配置注册号配置注册号Configuration register bits 3, 2, 1, and 0 set boot option Check configuration register value with show versionConfiguration Register Boot Field Value0x00x2 to 0xF0x1MeaningUse ROM monitor mode (Manually boot using the b command)Examine NVRAM for boot system commands (0x2 default if router has Flash)Automatically boot from ROM (Provides IOS subset)Router#configure terminal Router(config)#config-register 0x2102 [Ctrl-Z] Router#reload 注册号注册号默认0x2102，即：0010 0001 0000 0010 从右开始数，为第0位…..第15位 第0-3位：0000-ROMMON，0001-MinIOS 其它正常启动 第6位：即0x2142，忽略配置文件 Recovering a Lost Password(例)Recovering a Lost Password(例) 重新启动路由器,在60秒内按 ctrl + break 键, 后按回车; 在 > 下键入 o/r 0x2142 在 > 下键入 i ; 在进入setup模式后,不进行配置(键入no),进入 Router(boot)>状态; Router(boot)> enable Router(boot)# config terminal Router(boot)(config)# enable secret 你所配置的口令 Router(boot)(config)# config-register 0x2102 Router(boot)(config)# ^ +Z Router(boot)# write Router(boot) #reload网络基础设施的安全网络基础设施的安全 保护管理接口的安全 细调线路参数 特权级允许对网络设备进行受限制的访问 限制Telnet的访问 控制对路由器的http访问 主要内容保护管理接口的安全保护管理接口的安全初始安装之后立即配置口令 确保特权级口令与用户级口令不同 在口令中使用混合字符以使口令破解企图难于成功 不要将口令保存在易发现的地方 不要使用易被猜出来的口令 经常更换口令 不要在生产环境中使用“cisco”或其他明显的衍生词作为cisco路由器的口令设置安全口令的技巧 保护管理接口的安全保护管理接口的安全保护控制台（console）端口访问安全 特权模式口令 口令加密Router(config)#line console 0Router(config-line)#loginRouter(config-line)#password ciscoRouter(config)#enable secret [level level] {password|[encryption-type] encrypted-password}Router(config)#service password-encryption细调线路参数 细调线路参数 Router(config)#line console 0设置线路超时值Router(config－line)#exec-timeout 2 30可调节的其他线路类型Router(config)#line ？ <0-70> Fisrt line number aux Auxiliary line console Primary terminal line tty Terminal controller vty Virtual terminal 设置多个特权级别设置多个特权级别 级别1被预先定义为启用用户模式访问特权级别2到14时可以定制的用户模式特权级别级别15被预先定义为启用特权模式访问级别，与“enable”命令所允许的访 问级别相同Priviledge mode {level level command|reset command}Mode ： 指定配置模式，包括可执行（exec）、配置（configure）、线 路（line）、接口（interface）模式以及所有其他路由器配置模式level level： 设置一个从0到15的特权级别与指定的命令向关联Command： 指定上述特权级别与其之关联的命令reset command：重置所指定命令的特权级别特权级别特权级别privilege configure level 3 username privilege exec level 3 copy run start privilege exec level 3 ping privilege exec level 3 show run privilege exec level 3 show enable secret level 3 cisco 通过修改用户的特权级别，你可以为用户分配更细微的权限IOS路由器控制Telnet访问 控制Telnet访问 Telnet端口在路由器上被称为虚拟终端端口（vty） 必须配置一个启用口令在路由器上才能通过telnet获得启用访问权 采用“access-class” 和“access-list”命令限制telnet访问 限制由“transport input”命令允许连接到路由器上的连接类型 关闭入“ip alias”、“no cdp enable”等命令，以防止通过vty端口对路由器的攻击 －限制来自特定IP地址的telnet访问 －定义一个包含所允许IP地址的标准访问控制列表 －通过“access-class” 命令将访问控制列表施加到vty线路上去控制虚拟终端的访问控制虚拟终端的访问Virtual Ports (vty 0 through 4)RSM143(config)#access-list 1 permit 172.16.41.3 RSM143(config)#line vty 0 4 RSM143(config-line)#access-class 1 inTelnet 172.16.41.143172.16.41.3172.16.41.143控制HTTP访问控制HTTP访问RSM143(config)#access-list 1 permit 172.16.41.3 RSM143(config)#ip http server RSM143(config)#ip http access-class 1 RSM143(config)#ip http authentication local RSM143(config)#username student password cisco172.16.41.3172.16.41.143HTTP 管理站点缺省情况下HTTP访问时关闭的；配置一个访问控制列表指定访问路由器上的tcp端口80的地址；HTTP使用与控制台和vty访问相似的口令安全机制；保护Internet连接安全保护Internet连接安全控制TCP/IP服务 访问控制 DoS攻击防护 记录（logging）边界路由器事件 主要内容控制TCP/IP服务控制TCP/IP服务控制路由器所提供TCP/IP服务的命令No service tcp-small-servers禁止对网络主机的一些低端口tcp服务进行访问，包括Discard、Charagen、Daytime端口No service udp-small-serversNo service finger禁止路由器处理finger协议请求，阻止远程用户查询No ip domain-lookup在边界路由器上禁止基于IP DNS的主机名对地址的转换禁止对网络主机的一些低端口udp服务进行访问，包括Discard、Charagen、Daytime端口No ip tcp selective-ack禁止TCP选择性应答，对性能有所影响，但是增加了抵御DoS攻击的能力No cdp run全局性禁止Cisco发现协议No ip rsh-enable将路由器配置成不允许远端用户用rsh在路由器上执行命令控制TCP/IP服务控制TCP/IP服务在接口模式下控制TCP/IP服务的命令No ip proxy-arp在接口上禁止代理arpNo ip redirectsNo ip tcp path-mtu-discovery在接口上禁止所有从路由器自身发起的新TCP连接的MTU发现。启用MTU发现会增加遭受DOS攻击的可能性No ip unreachable在接口上禁止产生icmp不可到达信息禁止cisco ios软件在被要求经与数据包接受端口相同的端口上重发该数据包发送重定向消息。这可以限制在端口上扫描情况下路由器的反馈信息No cdp enable在接口上禁止cdpNo ip directed-broadcast关闭ip定向广播，防止路由器在分布式DoS攻击中变为广播放大器。缺省命令路由安全路由安全静态路由 控制路由通告 路由认证控制访问进入数据包过滤 外出数据包过滤 DoS攻击防护DoS攻击防护防止DDos攻击防止网络设备成为DDos攻击的参与者 采用访问控制列表对所有的入流量进行过滤，滤除源地址为私有和保留地址的数据包 过滤所有的外出流量，以防止源ip地址欺骗 采用承诺访问速率(committed access rate,CAR)对icmp数据包风暴进行限速 对SYN包进行速率限制 使用ip verify unicast reverse-path网络接口命令 用NAT和PAT管理地址 防范分布式D.O.S攻击的配置防范分布式D.O.S攻击的配置对ICMP报文设置流率限制 Router(config)#interface serial 0 Router(config-if)# rate-limit output access-group 105 1540000 512000 786000 conform-action transmit exceed-action drop Router(config)#access-list 105 permit icmp any any echo-reply首先，利用访问控制对数据包进行分类，定义出icmp数据流再次，CAR有选择的将数据流量限制在指定的带宽之内其次，确定在配置CAR之前，接口上的CEF功能已经打开防范分布式D.O.S攻击的配置防范分布式D.O.S攻击的配置为SYN报文设置流率限制 Router#show interfaces rate-limit首先，测量正常的SYN流量，帮助建立接口上正常流量速率的基准其次，我们应尽量将SYN的速率限制得尽可能低 Router(config)#interface serial 0 Router(config-if)# rate-limit output access-group 150 1540000 512000 786000 conform-action transmit exceed-action drop Router(config)#access-list 150 permit tcp any host eq www Router(config)#access-list 150 permit tcp any host eq established 再次，启用边界设备的日志功能，以帮助追踪DDoS攻击路由器防止病毒的安全配置 路由器防止病毒的安全配置 1、 用于控制Nachi蠕虫的扫描 access-list 110 deny icmp any any echo 2、用于控制Blaster蠕虫的传播 access-list 110 deny tcp any any eq 4444 　　access-list 110 deny udp any any eq 69 3、用于控制Blaster蠕虫的扫描和攻击 　　access-list 110 deny tcp any any eq 135 　　access-list 110 deny udp any any eq 135 　　access-list 110 deny tcp any any eq 139 　　access-list 110 deny udp any any eq 139 　　access-list 110 deny tcp any any eq 445 　　access-list 110 deny udp any any eq 445 　　access-list 110 deny tcp any any eq 593 　　access-list 110 deny udp any any eq 593 4、用于控制 Slammer 蠕虫的传播 　　access-list 110 deny udp any any eq 1434 access-list 110 permit ip any any 5、关闭可能存在的漏洞 access-list 101 deny ip 127.0.0.0 0.255.255.255 any access-list 101 deny ip 172.16.0.0 0.240.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any 中国科技网介绍中国科技网介绍中国科技网的结构简介 中国科技网网络设备简介 国内外出口简介 网络管理简介 中国科技网发展简介中国科技网发展简介CSTNET是中国最早实现与Internet全功能互联的网络，经历了三个不同的发展阶段： NCFC——CASNET——CSTNET NCFC：中关村地区教育与科研示范网络 CASNET：中国科学院网 接入类型： *光纤 *卫星 *DDN *微波 *ISDN *HDSL CSTNET：以NCFC及CASNET为基础，连接中科院以外的一批中国科技单位而构成的全国性科技网络——中国科技网 遍布全国的网络部署遍布全国的网络部署网络结构示意图网络结构示意图Cisco高端路由器Cisco高端路由器Cisco 12000Cisco 7500Cisco 7600Cisco低端路由器Cisco低端路由器Cisco 3600Cisco 2600思科三层交换机思科三层交换机Catalyst 6500Catalyst 4500Catalyst 3500国内出口介绍国内出口介绍国内出口 Cernet---中国教育网1G ChinaNet---中国电信1G China 169---中国网通1G BJNAP----北京交换中心1G 国际出口介绍（北京）国际出口介绍（北京）SPRINT1---USA155M SPRINT2---USA155M Khabarobsk----Russian155M国际出口介绍（香港）国际出口介绍（香港）ASNet TW Region ---- TW1G 2005-01 HK-IX --- HK 1G 2005-04 Chicago-W--- USA155M 2005-01 APAN-JP OTC --- JP1G 2004-12 Mega-iAdv.— HK1G 2005-03 Google Corp.—google 1G 2005-03 Korea — KISTI 10G 2005-07 GLORIAD简介GLORIAD简介北半球第一条高速环网 中俄美三方共同合作创建 发展目标----全环链路带宽达到10G 服务科研机构，为海量科研数据的共享和传输提供畅通的网络环境（高能物理，生物学，天体科学等） 服务目标——成为世界科研网络的基础平台国内外出口连接示意图国内外出口连接示意图155M线路质量监控线路质量监控网络流量监控网络流量监控网络设备性能监控网络设备性能监控路由器日志监控路由器日志监控流量的协议 分析 定性数据统计分析pdf销售业绩分析模板建筑结构震害分析销售进度分析表京东商城竞争战略分析 流量的协议分析安全管理（TACACS认证）安全管理（TACACS认证）AAA认证： *Authorization *Authentication *Accounting null谢谢大家！