system: [SYSTEM]

user: 4. 路由器与交换机的配置 4.1. 接口参数配置 无论是路由器还是PC机，想要在网络上通信的前提是自身必须拥有IP地址，这个IP地址可以使固定的IP地址，由工作人员配置。也可以是DHCP动态获得IP地址，不失一般性，本拓扑的所有IP地址都是手动配置，如下所示： Router(config)#int e0/0 //进入接口 Router(config-if)#no sh //开启接口 Router(config-if)#ip address 10.1.1.1 255.255.255.0//配置ip地址 Router(config-if)#exit Router(config)#int e0/1 Router(config-if)#no sh Router(config-if)#ip address 10.1.3.1 255.255.255.0 Router(config-if)#exi 4.2. 封装trunk和划分VLAN 对于每一个交换机而言想要进行数据的传输都需要进行VLAN的划分和trunk的封装，其配置如下所示： Switch(config)#int e0/1 Switch(config-if)# switchport trunk encapsulation dot1q //将接口封装成IEEE 802.1Q Switch(config-if)# switchport mode trunk //将接口变为trunk 模式 Switch(config-if)# switchport nonegotiate //本接口不发送协商信息 Switch(config-if)#exi Switch(config)#int e0/0 Switch(config-if)# switchport access vlan 10//将e0/0接口划入VLAN10下 Switch(config-if)# switchport mode access //将接口变为接入模式 Switch(config-if)#exi 4.3. NAT配置 对于每一个企业来说，它的内部网络地址是不可能出现在公网上的，常常需要用到NAT技术，将内部网络地址转换成一个公网的地址，这样才能够去外界实现通信。NAT的主要原理是用ACL访问控制链表来抓取内部网段，再将内部网段转换成一个公网地址。配置如下： Router(config)#int e0/0 Router(config-if)#ip nat inside //进入接口后打上接口为nat内部的标记 Router(config-if)#int e0/3 Router(config-if)#ip nat outside //进入接口后打上接口为nat外部的标记 Router(config-if)#exi Router(config)#access-list 1 permit 10.1.0.0 0.0.255.255 //用ACL来抓取内部网段 Router(config)#ip nat inside source list 1 interface Ethernet0/3 overload //将这条内部网段用nat外部接口的地址(公网地址)来覆盖 4.4. 路由协议的配置 在网络中，路由分为两种：静态路由和动态路由。静态路由不会自动更新，需要工作人员手动配置路由条目，相对复杂。但是，由于静态路由相对于动态路由很稳定，适用于路由条目较少的情况，常常被用在银行等对稳定性需求高的机构。动态路由是基于路由协议的路由，这类路由在配置完协议后可以自动更新，无需工作人员进行操作，但是稳定性不如静态路由。在IGP路由协议中，RIP由于不适用于较大规模的网络而逐渐淘汰，而EIGRP作为思科专有路由协议，只能在思科的设备上配置，也没有得到很好的应用。OSPF协议作为各大厂商的设备广泛使用的协议受到了人们的青睐。本研究中，公司内网采用的就是OSPF协议，拓扑中的公网采用EIGRP协议来实现网络互通。其各自的配置如下： Router(config)#router ospf 1 //进入ospf协议，ospf的进程号为1 Router(config-router)# router-id 1.1.1.1//建立邻居，唯一标识OSPF区域的路由器 Router(config-router)# network 10.1.1.1 0.0.0.0 area 0 //将接口地址宣告进OSPF协议中，区域号为0 Router(config-router)# network 10.1.3.1 0.0.0.0 area 0 Router(config-router)# network 10.1.4.1 0.0.0.0 area 0 Router(config-router)# exit Router(config)#router eigrp 1//进入EIGRP协议，进程号为1 Router(config-router)# network 172.16.1.8 0.0.0.0//宣告地址进EIGRP (反掩码)协议 Router(config-router)# network 172.16.3.8 0.0.0.0 Router(config-router)# network 172.16.4.8 0.0.0.0 Router(config-router)# network 172.16.8.8 0.0.0.0： Router(config-router)# exit 4.5. VPN的配置 VPN技术，就是运用公网来假设专线的技术。在本拓扑中的R2与R15采用GRE隧道技术来实现VPN技术。其具体配置如下： Router(config)#interface Tunnel0 //创建一条隧道，虚拟直连链路，两端的编号可不同 Router(config-if)# ip address 192.168.2.1 255.255.255.0 //为该隧道配置地址，由于虚拟直连链路，所以两端的地址要保证在同一网段 Router(config-if)# tunnel source Ethernet0/2 //指定隧道的源地址，通常为本路由器的公网地址 Router(config-if)# tunnel destination 172.16.6.13 //隧道的终点地址，通常为对端路由器的公网地址 Router(config-if)#exi 4.6. DMVPN的配置 DMVPN又称为动态多点VPN。相较于普通VPN来言，在增加新的分支站点时不用添加新的配置，分支站点无需再建立VPN就能通信等好处。从某种意义上来说，DMVPN是升级版的点对点 VPN。本拓扑中的R1、R11、R12采用DMVPN进行通信。其具体配置如下： 在中心站点HUB端： Router(config)#interface Tunnel 0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# no ip redirects //关闭重定向功能 Router(config-if)# ip nhrp network-id 100//标识下一跳解析协议的进程号 Router(config-if)# ip nhrp redirect Router(config-if)# tunnel source Ethernet0/3 Router(config-if)# tunnel mode gre multipoint //将隧道的模式定义为GRE，并且允许多点接入 Router(config-if)#exi 在分支站点SPOKE端： Router(config)#interface Tunnel0 Router(config-if)# ip address 192.168.1.3 255.255.255.0 //配置隧道的IP地址，要保证与中心站点在同一网段 Router(config-if)# no ip redirects Router(config-if)# ip nhrp map 192.168.1.1 172.16.1.1 //下一跳解析协议 Router(config-if)# ip nhrp map multicast 172.16.1.1 //NHRP映射广播到公用网络接口 Router(config-if)# ip nhrp network-id 100 //标识解析协议，必须与HUB端保持一样 Router(config-if)# ip nhrp nhs 192.168.1.1 //配置隧道的下一跳地址 Router(config-if)# tunnel source Ethernet0/0 Router(config-if)# tunnel mode gre multipoint 4.7. IPSEC的配置 在本拓扑中的R1与R11和R12的DMVPN采用了IPSec数据加密，保证数据通信的安全性，在R2与R13没有数据加密。目的是用wireshark抓包时比较二者数据包的区别。IPSec的配置如下： Router(config)#crypto isakmp policy 10//设置主要IKE加密，加密配置的优先级 Router(config-isakmp)# encr aes //运用对称加密aes Router(config-isakmp)# hash md5 //哈希算法 Router(config-isakmp)# authentication pre-share //共享认证 Router(config-isakmp)# group 2//霍夫曼算法组2 Router(config-isakmp)# lifetime 10800 //生存期为10800s Router(config-isakmp)#crypto isakmp key ycit address 0.0.0.0//设置DMVPN的调用密码 Router(config)#crypto IPSec transform-set AAA ah-md5-hmac esp-aes //进行双重加密，对数据的传输进行摘要加密，防止篡改，加密方式的名字将为AAA Router(cfg-crypto-trans)# mode tunnel //将模式改为隧道模式 Router(cfg-crypto-trans)#crypto IPSec profile DMVPN//将IKE加密的文件名命名为DMVPN Router(config)#interface Tunnel0 Router(config-if)# tunnel protection IPSec profile DMVPN//在隧道下调用IKE文件