2022年锐捷路由器交换机整理 .pdf

《2022年锐捷路由器交换机整理 .pdf》由会员分享，可在线阅读，更多相关《2022年锐捷路由器交换机整理 .pdf（32页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、1 ACL 提问：如何只允许端口下的用户只能访问特定的服务器网段？回答：步骤一：定义ACL S5750#conf t - 进入全局配置模式S5750(config)#ip access-list standard 1 - 定义标准ACL S5750(config-std-nacl)#permit 192.168.1.0 0.0.0.255 -允许访问服务器资源S5750(config-std-nacl)#deny any - 拒绝访问其他任何资源锐捷 RGNOS CookBook 13 S5750(config-std-nacl)#exit - 退出标准ACL 配置模式步骤二：将ACL 应用到

2、接口上S5750(config)#interface GigabitEthernet 0/1 -进入所需应用的端口S5750(config-if)#ip access-group 1 in - 将标准 ACL 应用到端口in 方向4.2 扩展 ACL 配置提问：如何禁止用户访问单个网页服务器？回答：步骤一：定义ACL S5750#conf t - 进入全局配置模式S5750(config)#ip access-list extended 100 - 创建扩展ACL S5750(config-ext-nacl)#deny tcp any host 192.168.1.254 eq www -禁止

3、访问web 服务器S5750(config-ext-nacl)#deny tcp any any eq 135 - 预防冲击波病毒S5750(config-ext-nacl)#deny tcp any any eq 445 - 预防震荡波病毒S5750(config-ext-nacl)#permit ip any any -允许访问其他任何资源S5750(config-ext-nacl)#exit - 退出 ACL 配置模式步骤二：将ACL 应用到接口上S5750(config)#interface GigabitEthernet 0/1 -进入所需应用的端口S5750(config-if)#

4、ip access-group 100 in - 将扩展 ACL 应用到端口下4.3 VLAN 之间的 ACL 配置提问：如何禁止VLAN 间互相访问？回答：步骤一：创建vlan10、vlan20、vlan30 锐捷 RGNOS CookBook 14 S5750#conf - 进入全局配置模式S5750(config)#vlan 10 - 创建 VLAN10 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 32 页 - - - - - - - - - 2 S5750(c

5、onfig-vlan)#exit - 退出 VLAN 配置模式S5750(config)#vlan 20 - 创建 VLAN20 S5750(config-vlan)#exit - 退出 VLAN 配置模式S5750(config)#vlan 30 - 创建 VLAN30 S5750(config-vlan)#exit - 退出 VLAN 配置模式步骤二：将端口加入各自vlan S5750(config)# interface range gigabitEthernet 0/1-5 -进入 gigabitEthernet 0/1-5 号端口S5750(config-if-range)#swit

6、chport access vlan 10 -将端口加划分进vlan10 S5750(config-if-range)#exit - 退出端口配置模式S5750(config)# interface range gigabitEthernet 0/6-10 -进入 gigabitEthernet 0/6-10 号端口S5750(config-if-range)#switchport access vlan 20 -将端口加划分进vlan20 S5750(config-if-range)#exit - 退出端口配置模式S5750(config)# interface range gigabitE

7、thernet 0/11-15 -进入 gigabitEthernet 0/11-15 号端口S5750(config-if-range)#switchport access vlan 30 -将端口加划分进vlan30 S5750(config-if-range)#exit - 退出端口配置模式步骤三：配置vlan10、vlan20、vlan30 的网关 IP 地址S5750(config)#interface vlan 10 - 创建 vlan10 的 SVI 接口S5750(config-if)#ip address 192.168.10.1 255.255.255.0 -配置 VLAN

8、10 的网关S5750(config-if)#exit -退出端口配置模式S5750(config)#interface vlan 20 - 创建 vlan10 的 SVI 接口S5750(config-if)#ip address 192.168.20.1 255.255.255.0 锐捷 RGNOS CookBook 15 -配置 VLAN10 的网关S5750(config-if)#exit -退出端口配置模式S5750(config)#interface vlan 30 - 创建 vlan10 的 SVI 接口S5750(config-if)#ip address 192.168.30

9、.1 255.255.255.0 -配置 VLAN10 的网关S5750(config-if)#exit -退出端口配置模式步骤四：创建ACL ，使 vlan20 能访问 vlan10，而 vlan30 不能访问vlan10 S5750(config)#ip access-list extended deny30 - 定义扩展ACL S5750(config-ext-nacl)#deny ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 -拒绝 vlan30 的用户访问vlan10 资源S5750(config-ext-nacl)#permit

10、ip any any -允许 vlan30 的用户访问其他任何资源S5750(config-ext-nacl)#exit - 退出扩展ACL 配置模式步骤五：将ACL 应用到 vlan30 的 SVI 口 in 方向名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 32 页 - - - - - - - - - 3 S5750(config)#interface vlan 30 - 创建 vlan30 的 SVI 接口S5750(config-if)#ip access-gr

11、oup deny30 in -将扩展 ACL 应用到 vlan30 的 SVI 接口下4.4 单向 ACL 的配置提问： 如何实现主机A 可以访问主机B 的 FTP 资源， 但主机 B 无法访问主机A 的 FTP 资源？回答：步骤一：定义ACL S5750#conf t - 进入全局配置模式S5750(config)#ip access-list extended 100 - 定义扩展ACL S5750(config-ext-nacl)#deny tcp any host 192.168.1.254 match-all syn -禁止主动向A 主机发起TCP 连接S5750(config-ex

12、t-nacl)#permit ip any any -允许访问其他任何资源S5750(config-ext-nacl)#exit - 退出扩展ACL 配置模式锐捷 RGNOS CookBook 16 步骤二：将ACL 应用到接口上S5750(config)#interface GigabitEthernet 0/1 -进入连接B 主机的端口S5750(config-if)#ip access-group 100 in - 将扩展 ACL 应用到端口下S5750(config-if)#end - 退回特权模式S5750#wr - 保存DHCP 静态地址绑定 : ip dhcp pool ip-m

13、ac host 192.168.1.2 255.255.255.0 hardware-address 0000.ffff.ffff DHCP 实例 : S3760#con t S3760(config)#vlan 2 - 创建 VLAN2 S3760(config-vlan)#exit -退回到全局配置模式下S3760(config)#vlan 3 - 创建 VLAN3 S3760(config-vlan)#exit -退回到全局配置模式下S3760(config)#int vlan 2 -进入配置VLAN2 S3760(config-if)#ip add 192.168.2.1 255.25

14、5.255.0 -设置 VLAN2的 IP 地址S3760(config-if)#exit -退回到全局配置模式下S3760(config)#int vlan 3 -进入配置VLAN3 S3760(config-if)#ip add 192.168.3.1 255.255.255.0 -设置 VLAN3的 IP 地址名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 32 页 - - - - - - - - - 4 S3760(config-if)#exit -退回到全局配置

15、模式下S3760(config)#int f 0/2 - 进入接口f0/2 S3760(config-if)#switchport access vlan 2 -设置 f0/2 口属于 VLAN2 S3760(config-if)#exit S3760(config)#int f 0/3 - 进入接口f0/3 S3760(config-if)#switchport access vlan 3 -设置 f0/3 口属于 VLAN3 S3760(config-if)#exit 步骤二：配置DHCP server S3760 (config)#service dhcp -开启 dhcp server

16、 功能S3760 (config)#ip dhcp ping packets 1 -在 dhcp server 分配 IP 时会先去检测将要分配的IP 地址是否已有人使用，如果没人使用则分配，若已有人使用则再分配下一个IP S3760 (config)#ip dhcp excluded-address 192.168.2.1 192.168.2.10 -设置排斥地址为192.168.2.1 至 192.168.2.10 的 ip 地址不分配给客户端（可选配置）S3760 (config)#ip dhcp excluded-address 192.168.3.1 192.168.3.10 -设置

17、排斥地址为192.168.3.1 至 192.168.3.10 的 ip 地址不分配给客户端（可选配置）S3760 (config)#ip dhcp pool test2 -新建一个dhcp 地址池名为test2 S3760 (dhcp-config)# lease infinite -租期时间设置为永久S3760 (dhcp-config)# network 192.168.2.0 255.255.255.0 -给客户端分配的地址段S3760 (dhcp-config)# dns-server 202.101.115.55 -给客户端分配的DNS S3760(dhcp-config)# de

18、fault-router 192.168.2.1 -客户端的网关S3760(dhcp-config)#exit S3760(config)#ip dhcp pool test3 -新建一个 dhcp 地址池名为 test3 S3760(dhcp-config)# lease infinite -租期时间设置为永久S3760(dhcp-config)# network 192.168.3.0 255.255.255.0 S3760(dhcp-config)# dns-server 202.101.115.55 S3760(dhcp-config)# default-router 192.168.

19、3.1 S3760(dhcp-config)#end S3760#wr NAT 静态地址转换ip nat inside source static 192.168.3.1 202.100.199.8 int fa0/1 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 32 页 - - - - - - - - - 5 ip ad 192.168.1.1 255.255.255.0 ip nat in no sh int fa0/2 ip ad 192.168.2.1 255

20、.255.255.0 ip nat out no sh 动态地址转换ip nat pool 名字202.100.199.2 202.100.199.254 netmask 255.255.255.0 access-list 1 permit 192.168.3.1 0.0.0.255 ip nat inside source list 1 pool 名字地址端口转换access-list 1 permit 192.168.3.1 0.0.0.255 ip nat inside source list 1 int fa0/1 int fa0/1 ip add 202.100.199.2 ip n

21、at out no sh int fa0/2 ip add 192.100.199.2 ip nat in no sh PBR access-list 10 permit 192.168.1.0 0.0.0.255 route-map netpig permit 10 match ip address 10 ( match length 0 150) set ip next-hop 192.168.2.2 spanning-tree spanning-tree spanning-tree mode mstp spanning-tree mst configuration instance 1

22、vlan 1 instance 2 vlan 2 name abc revision 1 exit spanning-tree mst 1 priority 4096 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 32 页 - - - - - - - - - 6 telnet 二层交换机的telnet config t en service telnet-ser en secret level 1 0 mima 配置远程登录的密码0 代表不加密en secret lev

23、el 15 0 mima 配置进入特权模式的密码int vlan 1 no sh ip add 192.168.1.1 255.255.255.0 end 三层交换机的telnet line vty 0 4 pass 1234 login 单臂路由交换机config vlan 10 exit vlan 20 exit vlan 30 exit int fa0/5 sw mo acc sw ac vlan10 no sh int fa0/10 sw mo ac sw ac vlan20 no sh int fa0/15 se mo ac se ac vlan30 no sh int fa0/24

24、 sw mo tr 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 32 页 - - - - - - - - - 7 路由int fa0/0 no ip ad exit int fa0/0.1 encapsulation dot1q 10 ip ad 192.168.10.1 255.255.255.0 exit int fa0/0.2 encapsulation dot1q 10 ip ad 192.168.20.1 255.255.255.0 exit 关闭路由服务R

25、outer(config)# no cdp run/关闭 CDP 协议， CDP 使用多播地址，能够发现对端路由器的Hostname，硬件设备类型，IOS 版本，三层接口地址，发送CDP 多播的地址Router(config)# no service tcp-small-servers Router(config)# no service udp-small-servers/ 关闭 TCP 和 UDP 的一些无用的小服务，这些小服务的端口小于19，通常用在以前的UNIX环境中，如chargen，daytime 等Router(config)# no service finger/finger

26、通常用在UNIX 中， 用来确定谁登陆到设备上：telnet 192.168.1.254 finger Router(config)# no ip finger/ 关闭对于finger 查询的应答Router(config)# no ip identd/ 关闭用户认证服务，一个设备发送一个请求到Ident 接口（TCP 113), 目标会回答一个身份识别，如host 名称或者设备名称Router(config)# no ip source-route/关闭 IP 源路由， 通过源路由， 能够在 IP 包头中指定数据包实际要经过的路径Router(config)# no ftp-server e

27、nable/关闭 FTP 服务Router(config)# no ip http server/ 关闭 HTTP 路由器登陆服务Router(config)# no ip http secure-server/关闭 HTTPS 路由器登陆服务Router(config)# no snmp-server community public RO Router(config)# no snmp-server community private RW Router(config)# no snmp-server enable traps Router(config)# no snmp-server

28、system-shutdown Router(config)# no snmp-server trap-auth Router(config)# no snmp-server/关闭 SNMP 服务Router(config)# no ip domain-lookup/ 关闭 DNS 域名查找Router(config)# no ip bootp server/bootp 服务通常用在无盘站中，为主机申请IP 地址Router(config)# no service dhcp/关闭 DHCP 服务名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - -

29、 - - - 名师精心整理 - - - - - - - 第 7 页，共 32 页 - - - - - - - - - 8 Router(config)# no service pad/pad 服务一般用在X.25 网络中为远端站点提供可靠连接Router(config)# no boot network/ 关闭路由器通过TFTP 加载 IOS 启动Router(config)# no service config/ 关闭路由器加载IOS 成功后通过TFTP 加载配置文件Router(config)# interface ethernet 0 Router(config -if)# no ip

30、proxy-arp/关闭代理ARP 服务Router(config -if)# no ip directed-broadcast/关闭直连广播，因为直连广播是能够被路由的Router(config -if)# no ip unreachable Router(config -if)# no ip redirect Router(config -if)# no ip mask-reply/关闭三种不可靠的ICMP 消息Router(config -if)# exit 注意：使用show ip interface 查看接口启用的服务Router(config)# interface etherne

31、t 0 Router(config -if)# shutdown/ 手动关闭没有使用的接口Router(config -if)# exit Router(config)# service tcp-keepalives -in Router(config)# service tcp-keepalives -out /对活动的tcp 连接进行监视， 及时关闭已经空闲超时的tcp 连接， 通常和 telnet，ssh一起使用Router(config)# username admin1 privilege 15 secret geekboy Router(config)# hostname jwy

32、Bullmastiff(config)# ip domain-name Bullmastiff(config)# crypto key generate rsa Bullmastiff(config)# line vty 0 4 Bullmastiff(config -line)# login local Bullmastiff(config -line)# transport input ssh Bullmastiff(config -line)# transport output ssh /只允许其他设备通过SSH 登陆到路由器路由汇总区域外router ospf redistribute

33、 connected subnets router ospf summary-address 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页，共 32 页 - - - - - - - - - 9 区域间area 1 range 重发布roueter ospf 1 net work 192.168.1.0 0.0.0.255 area 0 redistribute rip metric 50 subnets distribute-list 2 out rip redistrib

34、ute connected sunbnets router rip network 192.168.2.0 version 2 redistribute ospf 1 metric 1 distribute-list 3 out osfp 1 no auto-summary redistribute connected access-list 2 permit 10.1.1.0 0.0.0.255 access-list 3 permit 10.1.2.0 0.0.0.255 ip access-list 10 permit 192.169.2.0 0.0.0.255 route-map ri

35、p_to_ospf deny 10 match ip address 10 route-map rip_to_ospf permit 20 redistribute rip subnets route-map rip_to_ospf vacl 网络基本情况是划分了三个vlan： vlan10、vlan20 和 vlan30，vlan 虚端口的IP 地址分别为192.168.10.1/24、192.168.20.1/24 和 192.168.30.1/24。访问控制要求：vlan10 和 vlan20 之间不能访问，但都能访问vlan30。（一）通过 VLAN 之间 ACL 方式实现* 配置 V

36、LAN * Switch(config)# vlan 10 / 创建 vlan 10 Switch(config-vlan)# vlan 20 Switch(config-vlan)# vlan 30 Switch(config-vlan)# int vlan 10 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页，共 32 页 - - - - - - - - - 10 Switch(config-if)# ip address 192.168.10.1 255.255.255

37、.0 / 配置 vlan10 虚端口 IP Switch(config-if)# int vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0 Switch(config-if)# int vlan 30 Switch(config-if)# ip address 192.168.30.1 255.255.255.0 * 配置 ACL * Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 Swi

38、tch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 * 应用 ACL 至 VLAN端口 * Switch(config)# int vlan 10 Switch(config-if)# ip access-group 101 in Switch(config)# int vlan 20 Switch(config-if)# ip access-group 102 in * 完毕* （二）通过 VACL 方式实现* 配置 VLAN * （同上）* 配置 ACL * Switch(

39、config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 Switch(config)# access-list 101 permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 （不同之处： 因为 VACL 对数据流没有inbound 和 outbound 之分，所以要把允许通过某vlan的 IP 数据流都permit 才行。 VLAN10允许与 VLAN30 通讯，而数据流又是双向的，所以要在 ACL 中增加 VLAN30的网段）Sw

40、itch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 Switch(config)# access-list 102 permit ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255 * 配置 VACL * 第一步：配置vlan access map Switch(config)# vlan access-map test1 / 定义一个vlan access map，取名为test1 Switch(config-vlan-acce

41、ss)# match ip address 101 / 设置匹配规则为acl 101 Switch(config-vlan-access)# action forward / 匹配后，设置数据流转发（forward）Switch(config)# vlan access-map test2 / 定义一个vlan access map，取名为test2 Switch(config-vlan-access)# match ip address 102 / 设置匹配规则为acl 102 Switch(config-vlan-access)# action forward / 匹配后，设置数据流转发（

42、forward）第二步：应用VACL Switch(config)# vlan filter test1 vlan-list 10 /将上面配置的test1 应用到 vlan10 中Switch(config)# vlan filter test2 vlan-list 20 /将上面配置的test1 应用到 vlan20 中* 完毕* 以上就是关于VLAN之间 ACL 和 VACL 的简单配置实例。我个人认为一般情况下，通过VLAN 之间 ACL 实现访问控制比较方便，但是当 VLAN的端口比较分散时，采用 VACL 相对而言就要简单很多。不过使用VACL的前提是交换机支持此功能，目前可能只有

43、Cisco 3550、4500 和 6500 系列的交换机支持。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 10 页，共 32 页 - - - - - - - - - 11 vrrp interface fastethernet1/1 vrrp 32 priority 120 vrrp 32 ip 192.168.1.254 vrrp 32 track serial1/2 30 ip address 192.168.1.1 255.255.255.0 interface fast

44、ethernet1/2 vrrp 33 ip 192.168.2.254 ip address 192.168.2.1 255.255.255.0 vrrp+mstp 交换机 vrrp+mstp 配置实例锐捷 tac贾文宇一、组网需求1、switch a 、switch b 选用两台锐捷的 s5750 ；switch c 、shwich d 选用锐捷的s3750和 s3760 2、全网共有两个业务vlan ,为 vlan 10 、vlan 20 3、Switch a 、switch b 都分别对两 vlan 起用两 vrrp 组，实现两组的业务的负载分担和备份。4、Switch a、switc

45、h b、switch c、switch d 都起用 mstp 多生成数协议，并且所有设备都属于同一个mst 域，且实例映射一致 （vlan 10 映射实例 1、vlan 20 映射实例 2 其他 vlan 映射默认实例 0） 。5、Vlan 10 业务以 switch a 为根桥；vlan 20 业务以 switch b 为根桥；实现阻断网络环路，并能实现不同vlan 数据流负载分担功能。二、组网图名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 11 页，共 32 页 - - - -

46、 - - - - - 12 三、配置步骤Switch a配置：s1#show run Building configuration. Current configuration : 1651 bytes ! version RGNOS 10.2.00(2), Release(29287)(Tue Dec 25 20:39:14 CST 2007 -ngcf49) hostname s1 co-operate enable ! ! ! vlan 1 ! vlan 10 ! vlan 20 ! ! no service password-encryption 名师资料总结 - - -精品资料欢迎下

47、载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 12 页，共 32 页 - - - - - - - - - 13 ! spanning-tree 开启生成树（默认为mstp）spanning-tree mst configuration 进入 mst 配置模式revision 1 指定 MST revision number 为 1name region1 指定 mst 配置名称instance 0 vlan 1-9, 11-19, 21-4094 缺省情况下 vlan 都属于实例 0 instance 1 vlan 1

48、0 手工指定 vlan10 属于实例 1instance 2 vlan 20 手工指定 vlan20 属于实例 2spanning-tree mst 1 priority 0 指定实例 1 的优先级为 0（为根桥）spanning-tree mst 2 priority 4096 指定实例 2 的优先级为 4096interface GigabitEthernet 0/1 switchport access vlan 10 配置 g0/1属于 vlan10! interface GigabitEthernet 0/2 switchport access vlan 20 配置 g0/2属于 vl

49、an 20 ! interface GigabitEthernet 0/3 ! . . interface GigabitEthernet 0/24 设置 g0/24为 trunk 接口且允许 vlan10/20通过switchport mode trunk ! interface VLAN 10 创建 vlan 10 svi 接口ip address 192.168.10.1 255.255.255.0 配置 ip 地址vrrp 1 priority 120 配置 vrrp 组 1 优先级为 120vrrp 1 ip 192.168.10.254 配置 vrrp 组 1 虚拟 ip 地址为

50、192.168.10.254 ! interface VLAN 20 创建 vlan 20 svi 接口ip address 192.168.20.1 255.255.255.0 配置 ip 地址vrrp 2 ip 192.168.20.254 配置 vrrp 组 2 虚拟 ip 地址为 192.168.20.254 默认 vrrp 组的优先级为 100 默认不显示! line con 0 line vty 0 4 login s1#show vlan VLAN Name Status Ports - - - - - 1 VLAN0001 STATIC Gi0/3, Gi0/4, Gi0/5,