RG-S3760应用协议配置
RG-S3760应用协议配置
1. dhcp 服务配置
提问：如何在设备上开启dhcp 服务，让不同VLAN 下的电脑获得相应的IP 地址？
回答：
步骤一：配置VLAN 网关IP 地址，及将相关端口划入相应的VLAN 中
S3760#con t
S3760(config)#vlan 2 ----创建VLAN2
S3760(config-vlan)#exit ----退回到全局配置模式下
S3760(config)#vlan 3 ----创建VLAN3
S3760(config-vlan)#exit ----退回到全局配置模式下
S3760(config)#int vlan 2 ----进入配置VLAN2
S3760(config-if)#ip add 192.168.2.1 255.255.255.0 ----设置VLAN2 的IP 地址
S3760(config-if)#exit ----退回到全局配置模式下
S3760(config)#int vlan 3 ----进入配置VLAN3
S3760(config-if)#ip add 192.168.3.1 255.255.255.0 ----设置VLAN3 的IP 地址
S3760(config-if)#exit ----退回到全局配置模式下
S3760(config)#int f 0/2 ----进入接口f0/2
S3760(config-if)#switchport access vlan 2 ----设置f0/2 口属于VLAN2
S3760(config-if)#exit
S3760(config)#int f 0/3 ----进入接口f0/3
S3760(config-if)#switchport access vlan 3 ----设置f0/3 口属于VLAN3
S3760(config-if)#exit
步骤二：配置dhcp server
S3760 (config)#service dhcp ----开启dhcp server 功能
S3760 (config)#ip dhcp ping packets 1
----在dhcp server 分配IP 时会先去检测将要分配的IP 地址是否已有人使用，如果没人
使用则分配，若已有人使用则再分配下一个IP
S3760 (config)#ip dhcp excluded-address 192.168.2.1 192.168.2.10
----设置排斥地址为192.168.2.1 至192.168.2.10 的ip 地址不分配给客户端（可选配置）
S3760 (config)#ip dhcp excluded-address 192.168.3.1 192.168.3.10
----设置排斥地址为192.168.3.1 至192.168.3.10 的ip 地址不分配给客户端（可选配置）
S3760 (config)#ip dhcp pool test2 ----新建一个dhcp 地址池名为test2
S3760 (dhcp-config)# lease infinite ----租期时间设置为永久
S3760 (dhcp-config)# network 192.168.2.0 255.255.255.0
----给客户端分配的地址段
S3760 (dhcp-config)# dns-server 202.101.115.55 ----给客户端分配的dns
S3760(dhcp-config)# default-router 192.168.2.1 ----客户端的网关
S3760(dhcp-config)#exit
S3760(config)#ip dhcp pool test3 ----新建一个dhcp 地址池名为test3
S3760(dhcp-config)# lease infinite ----租期时间设置为永久
S3760(dhcp-config)# network 192.168.3.0 255.255.255.0
S3760(dhcp-config)# dns-server 202.101.115.55
S3760(dhcp-config)# default-router 192.168.3.1
S3760(dhcp-config)#end
S3760#wr
2. 交换机dot1x 认证配置
提问：如何在交换机上开启dot1x 认证？
回答：
步骤一：基本AAA 配置
Switch#conf
Switch(config)# aaa new-model ----启用认证
Switch(config)# aaa accounting network test start-stop group radius
----配置身份认证方法
Switch(config)# aaa group server radius test
Switch(config-gs-radius)# server X.X.X.X ----指定记帐服务器地址
Switch(config-gs-radius)# exit
Switch(config)# aaa authentication dot1x default group radius local
----配置dot1x 认证方法
Switch(config)# radius-server host X.X.X.X ----指定认证服务器地址
Switch(config)# radius-server key 0 password ----指定radius 共享口令
Switch(config)# dot1x accounting test ----开启计帐功能
Switch(config)# dot1x authentication default ----开启认证功能
Switch(config)# snmp-server community ruijie rw ----指定SNMP 共同体字段
Switch(config)# interface range fastethernet 0/1-24 ----同时进入1-24 号接口
Switch(config-if-range)# dot1x port-control auto ----指定受控端口
Switch(config-if-range)# exit ----退出接口模式
步骤二：配置客户端探测功能
Switch(config)# aaa accounting update ----启用计帐更新
Switch(config)# aaa accounting update periodic 5
----指定计帐更新间隔为5 分钟
Switch(config)# dot1x client-probe enable ----启用客户端在线探测功能
Switch(config)# dot1x probe-timer interval 20 ----指定探测周期为20 秒
Switch(config)# dot1x probe-timer alive 60 ----指定探测存活时间为60 秒
步骤三： 配置记账更新功能
Switch(config)# dot1x timeout quiet-period 5 ----指定认证失败等待时间
Switch(config)# dot1x timeout tx-period 3
----指定交换机重传Identity Requests 报文时间
Switch(config)# dot1x max-req 3
----指定交换机重传Identity Requests 报文的最大次数
Switch(config)# dot1x reauth-max 3
----指定认证失败后交换机发起的重认证的最大次数
Switch(config)# dot1x timeout server-timeout 5
----指定认证服务器的响应超时时间
Switch(config)# dot1x timeout supp-timeout 3
----指定认证客户端的响应超时时间
Switch(config)# dot1x private-supplicant-only ----过滤非锐捷客户端
Switch(config)# exit ----退出配置模式
3. QOS 限速配置
提问：如何通过QOS 实行限速？
回答：
步骤一：定义希望限速的主机范围
S3760>en
S3760#conf
S3760(config)#access-list 101 permit ip host 192.168.1.101 any
----定义要限速的IP
S3760(config)#access-list 102 permit ip host 192.168.1.102 any
----定义要限速的IP
步骤二：创建规则类，应用之前定义的主机范围
S3760(config)#class-map xiansu101 ----创建class-map，名字为xiansu101
S3760(config-cmap)#match access-group 101 ----匹配IP 地址
S3760(config-cmap)#exit
S3760(config)#class-map xiansu102 ----创建class-map，名字为xiansu102
S3760(config-cmap)#match access-group 102 ----匹配IP 地址
S3760(config-cmap)#exit
步骤三：创建策略类：应用之前定义的规则，配置限速大小
S3760(config)#policy-map xiansu ----创建policy-map，名字为xiansu
S3760(config-pmap)#class xiansu101 ----符合class xiansu101
S3760(config-pmap-c)#police 8000 512 exceed-action drop
----限速值为8000Kbit（1MB）
S3760(config-pmap)#class xiansu102 ----符合class xiansu102
S3760(config-pmap-c)#police 4000 512 exceed-action drop
----限速值为4000Kbit
S3760(config-pmap-c)#end
步骤四：进入接口，应用之前定义的策略
S3760#conf
S3760(config)#int fa 0/10 ----进入接口
S3760(config-if)#service-policy input xiansu
----将该限速策略应用在这个接口上
注释：
1. 通过QOS 只能限制上行流量
2. 推荐在S2924G，S3250 和S3760 上应用该功能
4. IPsec 配置
提问：如何在两台路由器之间启用IPsec？
回答：
R1 路由器设置
步骤一：配置访问控制列表，定义需要IPsec 保护的数据
R1(config)#access-list 101 permit ip host 1.1.1.1 host 1.1.1.2
步骤二：定义安全联盟和密钥交换策略
R1(config)#crypto isakmp policy 1
R1(isakmp-policy)#authentication pre-share ----认证方式为预共享密钥
R1(isakmp-policy)#hash md5 ----采用MD5 的HASH 算法
步骤三：配置预共享密钥为dixy，对端路由器地址为1.1.1.2
R1(config)#crypto isakmp key 0 dixy address 1.1.1.2
步骤四：定义IPsec 的变换集，名字为dixy
R1(config)#crypto ipsec transform-set dixy ah-md5-hmac esp-des
步骤五：配置加密映射，名字为dixy
R1(config)#crypto map dixy 1 ipsec-isakmp
R1(config-crypto-map)#set transform-set dixy ----应用之前定义的变换集
R1(config-crypto-map)#match address 101 ----定义需要加密的数据流
R1(config-crypto-map)#set peer 1.1.1.2 ----设置对端路由器地址
步骤六：在外网口上使用该加密映射
R1(config-if)#crypto map dixy
R1(config-if)#ip add 1.1.1.1 255.255.255.0
R2 路由器设置
R2 路由器的设置和R1 几乎是相似，只用红色字体标注出不一样的地方。
R2(config)#access-list 101 permit ip host 1.1.1.2 host 1.1.1.1
R2(config)#crypto isakmp policy 1
R2(isakmp-policy)#authentication pre-share
R2(isakmp-policy)#hash md5
R2(config)#crypto isakmp key 0 dixy address 1.1.1.1
R2(config)#crypto ipsec transform-set dixy ah-md5-hmac esp-des
R2(config)#crypto map dixy 1 ipsec-isakmp
R2(config-crypto-map)#set transform-set dixy
R2(config-crypto-map)#match address 101
R2(config-crypto-map)#set peer 1.1.1.1
R2(config-if)#crypto map dixy
R2(config-if)#ip add 1.1.1.2 255.255.255.0
5.GRE 配置
提问：如何在两台路由器之间启用GRE？
回答：
NBR(config)#interface Tunnel0
NBR(config-if)#ip address 1.1.1.1 255.255.255.0
NBR (config-if)#tunnel mode gre ip
NBR (config-if)#tunnel source 10.1.1.1
NBR (config-if)#tunnel destiNation 10.1.1.2
6. PPTP 配置
提问：如何在路由器上配置PPTP？
回答：
步骤一：配置VPN 相关参数
R1762#conf
R1762(config)#vpdn enable
R1762(config)#vpdn-group pptp ----创建一个VPDN 组，命名为pptp
R1762(config-vpdn)#accept-dialin ----允许拨号
R1762(config-vpdn-acc-in)#protocol pptp ----协议为PPTP
R1762(config-vpdn-acc-in)#virtual-template 1 ----引用虚模板1
步骤二：配置用户和地址池
R1762(config)#username test password 0 test
----创建一个账户，用户和密码都是test
R1762(config)#ip local pool VPN 192.168.1.100 192.168.1.110
----创建VPN 拨入的地址池，命名为VPN，范围是192.168.1.100-110
步骤三：配置虚拟模板
R1762(config)#interface virtual-template 1 ----创建虚模板1
R1762(config-if)#ppp authentication pap ----加密方式为PAP
R1762(config-if)#ip unnumbered fastEthernet 1/0 ----关联内网接口
R1762(config-if)#peer default ip address pool VPN ----引用地址范围
R1762(config-if)#ip Nat inside ----参与Nat
7. 路由器L2TP 配置
提问：如何在两台路由器之间构建L2TP？
回答：
步骤一：SERVER 端路由器配置VPN 相关参数
R1762#conf
R1762(config)#vpdn enable
R1762(config)#vpdn-group l2tp ----创建一个VPDN 组，命名为l2tp
R1762(config-vpdn)#accept-dialin ----允许拨号
R1762(config-vpdn-acc-in)#protocol l2tp ----协议为l2tp
R1762(config-vpdn-acc-in)#virtual-template 1 ----引用虚模板1
步骤二：SERVER 端路由器配置用户和地址池
R1762(config)#username test password 0 test
----创建一个账户，用户和密码都是test
R1762(config)#ip local pool VPN 192.168.1.100 192.168.1.110
----创建VPN 拨入的地址池，命名为VPN，范围是192.168.1.100-110
步骤三：SERVER 端路由器配置虚拟模板
R1762(config)#interface virtual-template 1 ----创建虚模板1
R1762(config-if)#ppp authentication chap ----加密方式为CHAP
R1762(config-if)#ip unnumbered fastEthernet 1/0 ----关联内网接口
R1762(config-if)#peer default ip address pool VPN ----引用地址范围
R1762(config-if)#ip Nat inside ----参与Nat
步骤四：Client 端路由器VPN 配置
R1762(config)#l2tp-class l2tp ----创建拨号模板，命名为l2tp
R1762(config)#pseudowire-class VPN-l2tp ----创建虚线路，命名为VPN-l2tp
R1762(config-pw-class)#encapsulation l2tpv2 ----封装l2tpv2 协议
R1762(config-pw-class)#protocol l2tpv2 l2tp
R1762(config-pw-class)#ip local interface 1/0 ----关联路由器外网接口
步骤五：Client 路由创建虚拟拨号口
R1762(config)#interface virtual-ppp 1 ----创建虚拟ppp 接口
R1762(config)#pseudowire 192.168.33.39 11 encapsulation l2tpv2 pw-class VPN-l2tp
----L2TP 服务器路由器的地址
R1762(config)#ppp chap hostname test ----用户名
R1762(config)# ppp chap password 0 test ----密码
R1762(config)# ip mtu 1460
R1762(config)# ip address negotiate ----IP 地址商议获取
R1762(config)# ip Nat outside ----参与Nat
8. 路由器Nat 配置
提问：如何设置Nat？
回答：
NBR(config)#access-list 10 permit 192.168.10.0 0.0.0.255
----设置允许Nat 的地址范围
NBR(config)#interface FastEthernet 1/0
NBR(config-if)#ip Nat outside ----定义外网接口
NBR(config)#interface FastEthernet 0/0
NBR(config-if)#ip Nat inside ----定义内网接口
NBR(config)#ip Nat pool defult prefix-length 24 ----创建一个地址池，命名为defult
NBR(config-ipNat-pool)#address 208.10.34.2 208.10.34.7 match interface FastEthernet 1/0
----公网地址范围为208.10.34.2 到 208.10.34.7
NBR(config)#ip Nat inside source list 10 pool test overload
----应用地址池