網絡故障應急處理-路由器的配置及管理-中國科技網

1、路由器配置基礎及科技網網絡介紹,中國科技網技術部 陳江寧,內容介紹,路由器配置介紹路由器基礎知識介紹監(jiān)控與故障診斷 基本測試方法設備配置存取及其備份路由器啟動順序及密碼恢復保護Internet連接安全中國科技網介紹中國科技網的結構簡介中國科技網網絡設備簡介國內外出口簡介網絡管理簡介,路由器基礎知識介紹,外部配置的途徑Router 各種模式配置模式,配置模式及方法,,主要內容,外部配置的途徑,可以通過各種

2、途徑進行配置,,Setup Mode,初始配置狀態(tài)以對話的方式來創(chuàng)建一個基本配置才出廠的機器或刪了startup-config的機器開機后自動進入或手動用 setup命令進入,,Router(config)#,Global Configuration Mode,全局配置狀態(tài)在特權執(zhí)行態(tài)輸入config terminal,,Other Configuration Modes,Router(config - mode)#,,開機后6

3、0秒內按 ctrl+break鍵則進入該態(tài)在機器不能正常自動引導時進行,RXBOOT Mode,Router 模式,其他的配置狀態(tài)在特權執(zhí)行狀態(tài)輸入相應的命令時進入.,,,,,,Router(config)#,Router>,Router#,路由器配置模式綜述,User EXEC modePrivileged EXEC modeGlobal configuration mode,基本的路由器設置,步驟一：配置主機名；步驟

4、二：在路由器上設置口令；步驟三：在路由器的接口上配置IP地址；步驟四：在路由器上配置路由協(xié)議；步驟五：配置路由器串行接口參數；步驟六：激活接口，檢查網絡的連通性；步驟七：創(chuàng)建IP主機表；步驟八：配置“no ip domain-lookup”；步驟九：利用CDP協(xié)議查看與該路由器相連的網絡設備,基本的路由器設置(續(xù)）,步驟十 ：顯示路由器上的IP路由表，檢查網絡的連通性，應確認能夠成功的ping通網絡中其他的路由器；

5、步驟十一：檢查路由器的路由表，并通過“show ip protocols”檢查路由器的協(xié)議配置；步驟十二：診斷網絡利用debug等命令來捕獲路由更新信息；步驟十三：利用show version查看Cisco IOS版本和路由器的類型；步驟十四：保存路由器的配置；,配置路由器的標示,為路由器及其端口配置標示信息,配置密碼,,,,Router(config)# line console 0Router(config-line)#ex

6、ec-timeout 15 0Router(config-line)# loginRouter(config-line)# password cisco,Console Password,Router (config-if) #,分配地址和掩碼針對端口配置IP地址設定允許使用子網掩碼,配置 IP 地址,ip address ip-address subnet-mask,定義靜態(tài)ARP緩存,Arp ip-address har

7、dware-address type [alias],ARP 封裝類型,Arp arpa：IEEE 802.3 Ethernet（缺省值）,Arp probe：IEEE 802.3網絡的HP-Probe協(xié)議,Arp snap：支持RFC 1402的FDDI和令牌環(huán)網絡的arp報文,提供有主機名到IP地址的解析,Router (config) #,使用DNS服務,ip name-server server-address1 [[serv

8、er-address2 ]... server-address6 ],ip domain-name wiscom.com.cn,ip domain-lookup,BOOT SYSTEM列表,從flash啟動系統(tǒng)從網絡服務器啟動系統(tǒng)從ROM啟動系統(tǒng)(Cisco 7500上BOOTFLASH）,Router（config）＃boot system flash: rsp-IOS,Router（config）＃boot system fl

9、ash slot0: rsp-IOS,Router（config）＃config-register 0x010F,Router（config）＃boot system rom,Router（config）＃boot system FTP rsp-IOS 10.6.1.11,Router（config）＃boot system flash slot1: rsp-IOS,Router＃wr,Router＃reload,Defines a p

10、ath to an IP destinationnetwork or subnet,,ip route network [ mask ] { address | interface } [ distance ],Router (config) #,配置靜態(tài)路由,舉例:靜態(tài)路由,,ip route 172.16.1.0 255.255.255.0 172.16.2.1,172.16.2.0,Cisco A,172.16.1.0

11、 255.255.255.0,172.16.2.1,Cisco B,E0,S0,S1,S2,S0,,,,172.16.2.2,Make changes in configuration modes修改配置,配置修改后的保存,監(jiān)控與故障診斷,,show version 命令,,,Router# show running-configBuilding configuration...Current configuration:!

12、version 11.2!-- More --,Router# show startup-configUsing 1108 out of 130048 bytes!version 11.2!hostname router-- More --,show running-config 命令 show startup-config 命令,Use write terminal with Release 10.3 and

13、earlier,Use show config with Release 10.3 and earlier,,Router# show interface serial 1Serial1 is up, line protocol is up Hardware is cxBus Serial Description: 56Kb Line San Jose - MP :: :: :: :: :: :: ::

14、:: :: ::,,,激活信號Keepalives,載波信號Carrier Detect,,,,,show interface serial,清除show interface 中的計數器,列出 IP 路由表,show ip protocol 命令,,RAM,,Internetwork Operating System,,Programs,,Tables and Buffers,,ActiveConfigurationFile

15、,,,BackupConfigurationFile,Operating Systems,Interfaces,Router 狀態(tài)檢查命令,,Router# show version,Flash,NVRAM,Showing CDP Neighbors,RouterA#show cdp neighborsCapability Codes: R - Router, T - Trans Bridge,

16、 B - Source Route Bridge, S - Switch, H - Host, I - IGMPDevice ID Local Intrfce Holdtme Capability Platform Port ID Router Ser 0 151 R 2522 Ser

17、1 SwitchA0050BD855780 Eth 0 165 T s 1900 2RouterA#show cdp neighbors detail-------------------------Device ID: RouterBEntry address(es): IP address: 198.121.200.1 Novell address: 1002.0000

18、.0c01.1111Platform: cisco 2522, Capabilities: RouterInterface: Serial1, Port ID (outgoing port): Serial0Holdtime : 149 sec,show cdp entry,,,,,,RouterA#sh cdp entry *-------------------------Device ID: RouterB En

19、try address(es): IP address: 10.1.1.2 Platform: cisco 2522, Capabilities: Router Interface: Serial0, Port ID (outgoing port): Serial1Holdtime : 168 secVersion :Cisco Internetwork Operating System Software IO

20、S (tm) 2500 Software (C2500-JS-L), Version 12.0(3), RELEASE SOFTWARE (fci)Copyright (c) 1986-1999 by cisco Systems, Inc.Compiled Mon 08-Feb-99 18:18 by phanguye,,,,,SwitchB,RouterA,RouterB,SwitchA,10.3.3.2,10.3.3.1,10.

21、1.1.1,10.1.1.2,10.2.2.1,10.2.2.2,S0,S1,telnet 操作,Initiate a session,Denver> telnet paris,,Tokyo,Paris,Denver,理解cisco錯誤消息,,系統(tǒng)錯誤消息格式：,％Facility –subfacility –Severity –Mnemonic: Message Text,Facility 指出錯誤消息涉及的設備名。該值可以是協(xié)

22、議、硬件設備或者系統(tǒng)軟件模塊；,Subfacility 它僅與通道接口處理器（CIP）卡有關；,Sererity 它是一個范圍在0到7之間的數字。數字的值越小，嚴重程度越高；,Mnemonic 唯一標識錯誤信息的單值代碼，該代碼通常可以暗示錯誤的類型；,Message Text 它是錯誤信息的簡短描述，其中包括涉及的路由器硬件和軟件信息；,注：并不是所有的消息都涉及到故障或者問題的狀況，某些消息顯示的是狀態(tài)方面的信息,信息記錄,指定記錄

23、到系統(tǒng)日志服務器中消息的調試級別，命令： logging trap level指定系統(tǒng)日志數據包含有特定接口的ip地址，而不管數據包通過哪個接口流出路由器，命令： logging source-interface type number將消息記錄到系統(tǒng)日志服務器主機，命令： logging on啟用在日志消息中加入時戳功能，命令： service timestamps{log|debu

24、g} datetime [msec][localtime][show-timezone],事件日志記錄步驟：,信息記錄,ConsoleTerminal,UNIX Host(Running Syslog Server),Buffers,131.108.1.8,(default),Telnet Terminal,,,,,,,,,,,no logging buffered,terminal monitor,logging onlo

25、gging 131.108.1.8,show logging,logging buffered,Debug OutputandSystem ErrorMessages,基本測試方法,測試綜述,驗證地址的配置,,使用 ping 命令測試,各種協(xié)議的報文能夠被正確的路由嗎?,,測試網絡的連接狀況,Ping,!響應成功接收 .請求超時U目的不可達P協(xié)議不可達N 網絡不可達Iping被中斷 (for exa

26、mple, Ctrl-Shift-6 X)? ?不可知報文類型,,,,Router# pingProtocol [ip]:Target IP address: 192.168.101.162Repeat count [5]:Datagram size [100]:Timeout in seconds [2]:Extended commands [n]: ySource address:Type of ser

27、vice [0]:Set DF bit in IP header? [no]: yesData pattern [0xABCD]:Loose, Strict, Record, Timestamp, Verbose[none]:Sweep range of sizes [n]:Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.101.

28、162, timeout is 2 seconds:!!!!!Success rate is 100 percent (5/5), round-trip min/avg/max = 24/26/28 msRouter#,Ping 命令支持多協(xié)議,Ping(擴展),使用 trace 命令,數據報文傳輸時經過那條路徑?,通過端口地址表示數據到達的地點,IP Trace,,H—主機不可達P—協(xié)議不可達N—網絡不可達U

29、—端口不可達*—報文超時?_ 報文類型不能識別,測試Application Layer使用telnet,你能登陸遠程的路由器嗎?,設備代碼、配置存取及其備份,從NVRAM中加載配置文件,Console,IOS,,,Setup utility,showstartup-config,showrunning-config,,,Load and execute config from NVRAMIf no config

30、in NVRAM, enter setup mode,Config,Config,,RAM,NVRAM,,,,,,Router# show running-configBuilding configuration...Current configuration:!version 11.2!-- More --,Router# show startup-configUsing 1108 out of 130048 byt

31、es!version 11.2!hostname router-- More --,show running-config 命令 show startup-config 命令,Display current and saved configuration,保存配置文件,Config,Config,,RAM,NVRAM,NVRAM,,copy running startup=write,,copy startup runni

32、ng (merge),,保存配置文件,Config,,Config,Console,,RAM,NVRAM,NVRAMTerminalTFTP server,,copy running startup,,copy startup running (merge),TFTPserver,,copy start tftp,copy tftp start,copy run tftp,copy tftp run (merge),,,,,co

33、nfig term(merge),Copy startup tftp,,,Access_Server#copy ?,flash Copy from system flash flh-log Copy FLH log file to server mop Copy from a MOP server rcp

34、 Copy from an rcp server running-config Copy from current system configuration startup-config Copy from startup configuration tftp Copy from a TFTP server,Access_Server#copy startu

35、p-config ?,rcp Copy to an rcp serverrunning-config Update (merge with) current system configurationtftp Copy to a TFTP server,,Access_Server#copy startup-config tftp,Remote host

36、 []? 172.18.7.114,Name of configuration file to write [access_server-confg]?,Write file access_server-confg on host 172.18.7.114? [confirm],Writing access_server-confg !! [OK],備份IOS Images,Networkserver,,,,FLASH,Router,

37、,Networkserver,備份IOS Images,Check access to the server,Router,,Networkserver,,,wg_ro_a#show flashSystem flash directory:File Length Name/status 1 10084696 c2500-js-l_120-3.bin [10084760 bytes used, 669245

38、6 available, 16777216 total]16384K bytes of processor board System flash (Read ONLY),查看IOS Images,Verify Flash memory has room for the IOS image,創(chuàng)建 Image備份,Back up current files prior to updating Flash,Networkserver,,,

39、,FLASH,copy flash tftp,創(chuàng)建 Image備份(續(xù)),Access_Server#copy flash tftp,System flash directory:File Length Name/status 1 3988176 /igs-im-l_111-22.bin [3988240 bytes used, 4400368 available, 8388608 total],Address o

40、r name of remote host [255.255.255.255]? 172.18.7.114,Source file name? /igs-im-l_111-22.bin,Destination file name [/igs-im-l_111-22.bin]?,Verifying checksum for '/igs-im-l_111-22.bin' (file # 1)... OK,Copy '

41、;/igs-im-l_111-22.bin' from Flash to server as '/igs-im-l_111-22.bin'? [yes/no] yes,!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Upload to server doneFlash copy took 00:00:53 [hh:mm:ss],恢復 Image備份,Erase Flash occurs

42、before loading new imageNote message that image already exists,Networkserver,,,,FLASH,系統(tǒng)啟動綜述,系統(tǒng)啟動的順序 通過終端不斷反饋啟動的信息,啟動的順序,,RAM,Configuration register bits 3, 2, 1, and 0 set boot optionCheck configuration regis

43、ter value with show version,配置注冊號,,,,,,,,Configuration Register Boot Field Value,0x0,0x2 to 0xF,0x1,Meaning,Use ROM monitor mode(Manually boot using the b command),Examine NVRAM for boot system commands (0x2 default if

44、 router has Flash),Automatically boot from ROM(Provides IOS subset),,Router#configure terminalRouter(config)#config-register 0x2102[Ctrl-Z]Router#reload,默認0x2102，即：0010 0001 0000 0010從右開始數，為第0位…..第15位第0-3位：0000-ROM

45、MON，0001-MinIOS 其它正常啟動第6位：即0x2142，忽略配置文件,注冊號,Recovering a Lost Password(例),重新啟動路由器,在60秒內按 ctrl + break 鍵, 后按回車;在 > 下鍵入 o/r 0x2142在 > 下鍵入 i ;在進入setup模式后,不進行配置(鍵入no),進入 Router(boot)>狀態(tài);Rout

46、er(boot)> enableRouter(boot)# config terminalRouter(boot)(config)# enable secret 你所配置的口令Router(boot)(config)# config-register 0x2102Router(boot)(config)# ^ +ZRouter(boot)# write Router(boot) #reload,保護管理接口的安全

47、細調線路參數特權級允許對網絡設備進行受限制的訪問限制Telnet的訪問控制對路由器的http訪問,網絡基礎設施的安全,,主要內容,保護管理接口的安全,初始安裝之后立即配置口令確保特權級口令與用戶級口令不同在口令中使用混合字符以使口令破解企圖難于成功不要將口令保存在易發(fā)現(xiàn)的地方不要使用易被猜出來的口令經常更換口令不要在生產環(huán)境中使用“cisco”或其他明顯的衍生詞作為cisco路由器的口令,設置安全口令的技巧,保護管理接

48、口的安全,保護控制臺（console）端口訪問安全特權模式口令口令加密,Router(config)#line console 0,Router(config-line)#login,Router(config-line)#password cisco,Router(config)#enable secret [level level] {password|[encryption-type] encrypted-pass

49、word},Router(config)#service password-encryption,,Router(config)#line console 0,設置線路超時值,Router(config－line)#exec-timeout 2 30,可調節(jié)的其他線路類型,Router(config)#line ？ Fisrt line number aux Auxiliary line console Prim

50、ary terminal line tty Terminal controller vty Virtual terminal,細調線路參數,級別1被預先定義為啟用用戶模式訪問特權,級別2到14時可以定制的用戶模式特權級別,級別15被預先定義為啟用特權模式訪問級別，與“enable”命令所允許的訪問級別相同,Priviledge mode {level level command|reset command},M

51、ode ： 指定配置模式，包括可執(zhí)行（exec）、配置（configure）、線 路（line）、接口（interface）模式以及所有其他路由器配置模式,level level： 設置一個從0到15的特權級別與指定的命令向關聯(lián),Command： 指定上述特權級別與其之關聯(lián)的命令,reset command：重置所指定命令的特權級別,設置多個特權級別,,特權級別,,通過修改用戶的特權級別，你可以為用戶分配更細微的權限,,IOS路由

52、器,privilege configure level 3 usernameprivilege exec level 3 copy run startprivilege exec level 3 pingprivilege exec level 3 show runprivilege exec level 3 showenable secret level 3 cisco,Telnet端口在路由器上被稱為虛擬終端端口（vty）

53、必須配置一個啟用口令在路由器上才能通過telnet獲得啟用訪問權采用“access-class” 和“access-list”命令限制telnet訪問限制由“transport input”命令允許連接到路由器上的連接類型關閉入“ip alias”、“no cdp enable”等命令，以防止通過vty端口對路由器的攻擊,－限制來自特定IP地址的telnet訪問－定義一個包含所允許IP地址的標準訪問控制列表－通過“acc

54、ess-class” 命令將訪問控制列表施加到vty線路上去,控制Telnet訪問,,,,Virtual Ports (vty 0 through 4),控制虛擬終端的訪問,RSM143(config)#access-list 1 permit 172.16.41.3RSM143(config)#line vty 0 4RSM143(config-line)#access-class 1 in,,Telnet 172.16.41.1

55、43,,172.16.41.3,172.16.41.143,,,控制HTTP訪問,RSM143(config)#access-list 1 permit 172.16.41.3RSM143(config)#ip http serverRSM143(config)#ip http access-class 1RSM143(config)#ip http authentication localRSM143(config)#user

56、name student password cisco,172.16.41.3,172.16.41.143,HTTP 管理站點,缺省情況下HTTP訪問時關閉的；,配置一個訪問控制列表指定訪問路由器上的tcp端口80的地址；,HTTP使用與控制臺和vty訪問相似的口令安全機制；,控制TCP/IP服務訪問控制DoS攻擊防護記錄（logging）邊界路由器事件,保護Internet連接安全,,主要內容,控制TCP/IP服務,控制路由器所

57、提供TCP/IP服務的命令,,No service tcp-small-servers,禁止對網絡主機的一些低端口tcp服務進行訪問，包括Discard、Charagen、Daytime端口,No service udp-small-servers,,,No service finger,禁止路由器處理finger協(xié)議請求，阻止遠程用戶查詢,,No ip domain-lookup,在邊界路由器上禁止基于IP DNS的主機名對地址的轉換

58、,禁止對網絡主機的一些低端口udp服務進行訪問，包括Discard、Charagen、Daytime端口,,No ip tcp selective-ack,禁止TCP選擇性應答，對性能有所影響，但是增加了抵御DoS攻擊的能力,,No cdp run,全局性禁止Cisco發(fā)現(xiàn)協(xié)議,,No ip rsh-enable,將路由器配置成不允許遠端用戶用rsh在路由器上執(zhí)行命令,,,控制TCP/IP服務,在接口模式下控制TCP/IP服務的命令,

59、,No ip proxy-arp,在接口上禁止代理arp,No ip redirects,,,No ip tcp path-mtu-discovery,在接口上禁止所有從路由器自身發(fā)起的新TCP連接的MTU發(fā)現(xiàn)。啟用MTU發(fā)現(xiàn)會增加遭受DOS攻擊的可能性,,No ip unreachable,在接口上禁止產生icmp不可到達信息,禁止cisco ios軟件在被要求經與數據包接受端口相同的端口上重發(fā)該數據包發(fā)送重定向消息。這可以限制在端口

60、上掃描情況下路由器的反饋信息,,No cdp enable,在接口上禁止cdp,,No ip directed-broadcast,關閉ip定向廣播，防止路由器在分布式DoS攻擊中變?yōu)閺V播放大器。缺省命令,,,路由安全,靜態(tài)路由控制路由通告路由認證,控制訪問,進入數據包過濾外出數據包過濾,DoS攻擊防護,防止DDos攻擊,防止網絡設備成為DDos攻擊的參與者采用訪問控制列表對所有的入流量進行過濾，濾除源地址為私有和保留地址的數

61、據包過濾所有的外出流量，以防止源ip地址欺騙采用承諾訪問速率(committed access rate,CAR)對icmp數據包風暴進行限速對SYN包進行速率限制使用ip verify unicast reverse-path網絡接口命令用NAT和PAT管理地址,防范分布式D.O.S攻擊的配置,對ICMP報文設置流率限制,Router(config)#interface serial 0Router(config-if)#

62、 rate-limit output access-group 105 1540000 512000 786000 conform-action transmit exceed-action dropRouter(config)#access-list 105 permit icmp any any echo-reply,首先，利用訪問控制對數據包進行分類，定義出icmp數據流,再次，CAR有選擇的將數據流量限制在指定的帶寬之內,其

63、次，確定在配置CAR之前，接口上的CEF功能已經打開,防范分布式D.O.S攻擊的配置,為SYN報文設置流率限制,Router#show interfaces rate-limit,首先，測量正常的SYN流量，幫助建立接口上正常流量速率的基準,其次，我們應盡量將SYN的速率限制得盡可能低,Router(config)#interface serial 0Router(config-if)# rate-limit output acces

64、s-group 150 1540000 512000 786000 conform-action transmit exceed-action dropRouter(config)#access-list 150 permit tcp any host eq wwwRouter(config)#access-list 150 permit tcp any host eq established,再次，啟用邊界設備的日志功能，以幫助

65、追蹤DDoS攻擊,路由器防止病毒的安全配置,1、 用于控制Nachi蠕蟲的掃描 access-list 110 deny icmp any any echo 2、用于控制Blaster蠕蟲的傳播 access-list 110 deny tcp any any eq 4444 　　access-list 110 deny udp any any eq 69 3、用于控制Blaster蠕蟲的掃描和攻擊 　

66、　access-list 110 deny tcp any any eq 135 　　access-list 110 deny udp any any eq 135 　　access-list 110 deny tcp any any eq 139 　　access-list 110 deny udp any any eq 139 　　access-list 110 deny tcp any any eq 445 　　acce

67、ss-list 110 deny udp any any eq 445 　　access-list 110 deny tcp any any eq 593 　　access-list 110 deny udp any any eq 593 4、用于控制 Slammer 蠕蟲的傳播 　　access-list 110 deny udp any any eq 1434 access-list 110 permit i

68、p any any 5、關閉可能存在的漏洞 access-list 101 deny ip 127.0.0.0 0.255.255.255 any access-list 101 deny ip 172.16.0.0 0.240.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any,中國科技網介紹,中國科技網的結構簡介中國科技網網絡設

69、備簡介國內外出口簡介網絡管理簡介,,,中國科技網發(fā)展簡介,CSTNET是中國最早實現(xiàn)與Internet全功能互聯(lián)的網絡，經歷了三個不同的發(fā)展階段： NCFC——CASNET——CSTNETNCFC：中關村地區(qū)教育與科研示范網絡CASNET：中國科學院網接入類型： *光纖 *衛(wèi)星 *DDN *微波 *ISDN *HDSLCSTNET：以NCFC及CASNET為基礎，連接中科院以外的一批中國科技