R1(config-router)# area 0 authentication 过了down机间隔时间之后，在路由器R1发出“show ip ospf neighbor”命令，查看R1的OSPF邻居。用“debug ip ospf events”确定该结果的原因。 在R2与R3上作与R1相同的配置。 再次用“show ip ospf neighbor”来查看结果。 说明：在debug信息中，可以看到三种认证类型，0表示不使用认证，类型1代表明文认证，类型2代表用MD5加密认证。 百思学网络，领先科技 -77- HTTP://WWW.BESTXUE.CN
实验22. 配置标准、扩展、命令ACL实验 实验拓扑：
实验目的： 学会配置标准ACL、扩展ACL、命名ACL以及限制虚拟终端的访问。 实验内容： 在路由器上配置单域的OSPF 配置ACL访问控制列表 实验步骤： 配置ACL访问控制列表 在完成OSPF实验的基础上，修改拓扑结构如下图。其中的虚线只是表示R1和R2是对等的，它们的功能和配置都基本相同。 修改相应的接口IP，用（no）network命令修改OSPF发布的网段信息，进一步熟悉OSPF配置，语法如下。以R1为例： R1(config)#router ospf 1 R1(config-router)#no network 192.168.1.0 0.0.0.255 area 0 R1(config-router)#network 192.168.4.0 0.0.0.255 area 0 配置完OSPF之后，检查连通性，各台主机可以相互ping通，可以运行telnet程序。 1．标准ACL的配置 (1) 禁止单一的主机 实现目标：禁止网络上某台主机的访问 实现方法：在各台路由器的f0口的出方向上绑定ACL 在路由器3上作如下配置： R3(config)#access-list 1 deny host 192.168.4.2 log R3(config)#access-list 1 deny host 192.168.5.2 log R3(config)#access-list 1 permit any R3(config)#int e0 R3(config-if)#ip access-group 1 out
R1
L0: 10.0.0.3/32 Host1: 4.2 192.168.4.0/24 F0: 4.1 R3
Host3: 6.2 192.168.6.0/24 S1: 3.1
F0: 6.1 R2
L0: 10.0.0.2/32 Host2: 5.2 192.168.5.0/24 F0:5.1
L0: 10.0.0.1/32 S0: 3.2
S0: 2.2
192.168.3.0/24 S0:2.1
192.168.2.0/24
百思学网络，领先科技 -78- HTTP://WWW.BESTXUE.CN
检验配置：在路由器3上：show run show access-list 1 //显示访问控制列表的所有条目 show ip int e0 //显示端口上绑定ACL的情况 A．分别从Host1和Host2上ping 192.168.6.2,结果返回“目标网段不可达”的信息； B．在路由器1和2上，用扩展ping命令，源地址用e0的IP地址，同样ping 192.168.6.2， 结果是ping通的。 C．从Host3上分别ping Host1和Host2，观察返回信息，思考为什么会有这样的结果。 也可以在R1和R2上配置标准ACL： R1(config)#access-list 1 deny host 192.168.5.2 log //添加log关键字是为了记录 R1(config)#access-list 1 deny host 192.168.6.2 log //更详细的信息 R1(config)#access-list 1 permit any R1(config)#int e0 //注意根据具体的路由器接口而定，譬如有的是f0口 R1(config-if)#ip access-group 1 out R2(config)#access-list 1 deny host 192.168.4.2 log R2(config)#access-list 1 deny host 192.168.6.2 log R2(config)#access-list 1 permit any R2(config)#int e0 R2(config-if)#ip access-group 1 out 重复三个检查步骤，注意返回
信息。 最后，在各个路由器上取消e0口上的ACL绑定： R1(config)#int e0 R1(config-if)#no ip access-list 1 out (2) 禁止整个以太网段 实现目标：禁止某个以太网段对Host1、2、3的访问。 实现方法：分别在两台路由器的f0口的出方向上绑定ACL。 以RTC配置为例： R3(config)#access-list 2 deny 192.168.4.0 0.0.0.255 R3(config)#access-list 2 deny 192.168.5.0 0.0.0.255
R3(config)#access-list 2 permit any R3(config)#int f0 R3(config-if)#ip access-group 2 out 检验配置：在路由器C上：show run show access-list 2 show ip int e0 a．从Host1、Host2上ping 192.168.6.2，结果返回“目标网段不可达”的信息； b．在路由器A和B上用扩展ping命令，源地址用e0的IP，同样ping 192.168.3.2，结果 是不可到达。（与之前的禁止单一主机不同，为什么？） c．在路由器A和B上用扩展ping命令，源地址用lo0的IP，同样再ping 192.168.3.2，结果 是ping通的。 同样可以在路由器1与2上作相同的配置，并检验配置。 最后，在各个路由器上取消e0口上的ACL绑定： (config)#int e0 (config-if)#no ip access-list 2 out 2．扩展ACL的配置 实现目标：禁止主机telnet另一主机，但是仍能ping通。 实现方法：分别在路由器的f0口的入方向上绑定ACL。 以禁止Host1远程登陆Host2为例： 从R2 telnet上R1，对R1进行配置： R2(config)#telnet 192.168.2.1 R1(config)#access-list 101 deny tcp host 192.168.4.2 host 192.168.5.2 eq telnet 百思学网络，领先科技 -79- HTTP://WWW.BESTXUE.CN
R1(config)#access-list 101 permit ip any any R1(config)#int e0 R1(config-if)#ip access-group 101 in 检验配置： 在各路由器上：show access-list 101 show run show ip int f0 从Host1上无法telnet 192.168.5.2，但可以ping通到192.168.5.2。 同样方法，可以禁止Host2 到Host3，Host3到Host1的telnet，请学员参照一下配置完成。 最后在路由器上都取消e0口上的ACL绑定： Router(config)#int e0 Router(config-if)#no ip access-group 101 in 注：eq telnet可以放置在目的地址或目的掩码后，也可一放置在源地址或源掩码后。前者表示对目的端口进行匹配，而后者表示对远端口进行匹配。如下： access-list 101 deny tcp host 192.168.4.2 eq telnet host 192.168.5.2 这里表示对主机192.168.4.2发出的源端口为23的telnet数据包进行限制。 3．命名ACL的配置（选做） 命名ACL可以实现标准ACL或者扩展ACL，下面以标准ACL为例。 实现目标和实现方法与第1步中的标准ACL相同，只是将标准access-list number改为命名ACL。 在路由器C上作如下配置： R3(config)#ip access-list standard denyhost R3(config stardard-nacl)#deny host 192.168.4.2 log R3(config stardard-nacl)#deny host 192.168.5.2 log R3(config stardard-nacl)#permit any R3(config)#int e0 R3(config-if)#ip access-group denyhost out 检验配置：在路由器3上：show run show access-list denyhost //现实访问控制列表的所有条目 show ip int e0 //显示端口上绑定ACL的情况 从Host1和Host2 都无法ping通Host3。 为了从Host1能ping通Host3，需要把其中一条deny语句删除掉，对于命名ACL，可以删除单个条目。 RTC(config)#ip access-list standard denyhost RTC(config stardard-nacl)#no deny host 192.168.4.2 log 检查从Host1 是否可以ping通Host3。 在R1与R2可以做类似的配置，体会命名ACL特殊作用。 4.限制虚拟终端的访问
在做这个实验前大家先尝试在主机上telnet到路由器R1，必须先在路由器上进行以下配置： R1(config)#enable password cisco R1(config)#line vty 0 4 R1(config-line)#login
R1(config-line)#password cisco 确保主机能telnet上路由器1。 在R3上进行以下配置：
R3(config)#access-list 1 deny host 192.168.6.2 R3(config)#access-list 1 permit any R3(config)#line vty 0 4 R3(config-line)#access-class 1 in 尝试从Host3 telnet R3，结果是失败的，证明绑定在虚拟线路上的ACL起作用了。
百思学网络，领先科技 -80- HTTP://WWW.BESTXUE.CN
实验23. 静态NAT 、动态NAT、PAT的配置 1.静态NAT 配置 实验拓扑：
实验目的： 测试内网主机能否成功ping 通R2路由器。 实验步骤： R1的配置如下： interface FastEthernet0/1 ip address 10.1.1.1 255.0.0.0 ip nat inside duplex auto speed auto ! interface Serial0/0 ip address 192.168.1.1 255.255.255.0 ip nat outside ! interface Vlan1 no ip address shutdown ! ip nat inside source static 10.1.1.2 192.168.1.2 ip classless ! R2的配置如下： interface Serial0/0 ip address 192.168.1.2 255.255.255.0 clock rate 64000 查看地址翻译表 Router#show ip nat translations Pro Inside global Inside local Outside local Outside global
--- 192.168.1.2 10.1.1.2 --- ---百思学网络，领先科技 -81- HTTP://WWW.BESTXUE.CN 2.动态NAT 配置 实验拓扑：
实验目的： 测试内网主机能否成功ping 通R2路由器，并且使用debug命令查看数据发送和接受的IP转换过程。 实验步骤： 1、首先定义NAT池。例如：定义一个被内部本地主机使用的叫做mynatpool的全局地址池： R1(config)#ip nat pool mynatpool 171.70.2.1 171.70.2.254 netmask 255.255.255.0 2、为了允许那些本地主机用这个地址池，使用一个访问控制列表来匹配需要转换的源地址。下面 是使用 access-list 24来决定是否使用mynatpool转换IP源地址：
R1(config)#access-list 24 permit 10.1.1.0 0.0.0.255 R1(config)#ip nat inside source list 24 pool mynatpool 3、最后配置NAT路由器，外部和内部的接口 R1的配置如下： interface FastEthernet0/0 ip address 10.1.1.1 255.255.255.0 ip nat inside duplex auto speed auto ! interface Serial0/0 ip address 171.70.1.1 255.255.255.0 ip nat outside ! ip nat pool mynatpool 171.70.2.1 171.70.2.254 netmask 255.255.255.0 ip nat inside source list 24 pool mynatpool ! access-list 24 permit 10.1.1.0 0.0.0.255 R2配置如下： interface Serial0/0/0 ip address 171.70.1.2 255.255.255.0 clock rate 64000 !
百思学网络，领先科技 -82- HTTP://WWW.BESTXUE.CN 实验拓扑：
实验目的： 进行NAT网络试验的条件： 1、先决定网络的结构，它是由哪些物理的网络组件构成。（本试验中进行复用 动态地址转换《PAT》用到了3个计算机、1个SWITCH、1台充当地址转换的路由器 和1个外部网络路由器。） 2、这些网络组件由什么介质进行连接。（计算机与交换机用直通线、交换机与 路由器用直通线、路由器与路由器用DCE线缆配置。）注意：配置过程中，DCE端 要配置“时钟速率”。 实验步骤： PAT试验过程： 1、我们先来配置每台计算机的默认网关、IP地址和子网掩码。 PC0网关：192.168.1.254 IP：192.168.1.1 子网：255.255.255.0 PC1网关：192.168.1.254 IP：192.168.1.2 子网：255.255.255.0 PC2网关：
192.168.1.254 IP：192.168.1.3 子网：255.255.255.0 （在这个试验中交换机只起到组建一个物理网络的作用，所以不需要配置。） 2、在R1中先配置路由器名字和三个口令，设置好R1的F0/0和S0/0口的IP地址 并激活。返回到全局配置模式依次写入： access-list 1 permit 192.168.1.0 0.0.0.255 /定义转发的网段 ip nat inside source list 1 interface s0/0 overload /将符合的每个内部本地IP地址，转换为对应的全局端口的地址。 3、int f0/0 /进入f0/0端口，这个端口与内部网络相连。 ip nat inside /指定连接内部网络的内部端口 int s0/0 /进入s0/0端口，这个端口与外部网络相连。 ip nat outside /指定连接外部网络的外部端口 完成试验步骤。 百思学网络，领先科技 -83- HTTP://WWW.BESTXUE.CN
实验24. PPP的配置
实验拓扑： 实验步骤：
R1: username aaa password 0 ccc interface Serial0/0/0 ip address 192.168.0.1 255.255.255.0 no shutdown encapsulation ppp ppp authentication pap ppp pap sent-username bbb password 0 ddd clock rate 64000 !
R2: username bbb password 0 ddd interface Serial0/0/0 ip address 192.168.0.2 255.255.255.0 no shutdown encapsulation ppp ppp authentication pap ppp pap sent-username aaa password 0 ccc ! 实验拓扑： 实验步骤：
R2： username bbb password 0 ccc interface Serial0/0/0 ip address 192.168.0.2 255.255.255.0 no shutdown encapsulation ppp ppp authentication chap !
R1： username aaa password 0 ccc interface Serial0/0/0 ip address 192.168.0.1
255.255.255.0 no shutdown encapsulation ppp ppp authentication chap clock rate 64000 ! 百思学网络，领先科技 -84- HTTP://WWW.BESTXUE.CN
实验25. 配置帧中继 实验目的： 了解帧中继技术的原理，掌握DLCI和LMI的意义和作
用； 掌握帧中继的配置，掌握用路由器模拟帧中继交换机的方法； 了解子接口的意义，熟悉
子接口的配置，并学会在子接口间建立链路； 掌握各种帧中继的验证和troubleshooting命令。 实验内容： 帧中继基本配置
1．实验拓扑 虽然没有FR交换机，但我们可以用路由器模拟成帧中继交换机。实验时，用一台1700模拟帧中继交换机，并配置其它路由器到1700的帧中继连接，分别实现两个路由器的互联。 2．配置FR （1） 配置帧中继交换机 要点： 首先要把路由器1700设成帧中继交换机，在端口上需要配置其封装为frame-relay 在各个端口设置帧中继交换表，并设置端口类型为DCE。 注意帧中继交换机的端口不需要配置ip地址 Switch(config) # frame-relay switching //模拟成帧中继交换机 Swtich(config) # int s0 //进入s0端口 Switch(config-if)#enacapsulation frame-relay //配置端口封装为帧中继，默认类型是cisco Switch(config-if) # frame-relay intf-type dce //设置端口类型为DCE Switch(config-if) # frame-relay lmi-type cisco //配置lmi类型为cisco Switch(config-if) # clock rate 56000 Switch(config-if) # frame-relay route 100 interface s2 200 //建立一条交换记录
Switch(config-if) # no shut Switch(Config) # int s1 //进入s1端口 Switch(config-if) # enacapsulation frame-relay Switch(config-if) # frame-relay intf-type dce Switch(config-if) # frame-relay lmi-type cisco Switch(config-if) # clock rate 56000 Switch(config-if) # frame-relay route 110 interface s2 210 //建立一条交换记录 Switch(config-if) # no shut Switch(config-if) # exit Switch(Config) # int s2 //进入s1端口 Switch(config-if) # enacapsulation frame-relay Switch(config-if) # frame-relay intf-type dce Switch(config-if) # frame-relay lmi-type cisco Switch(config-if) # clock rate 56000
S2
DLCI=110
S0:192.168.1.2/24 S0:192.168.1.1/24 DLCI=100
DLCI=200
S0.2:192.168.1.3/24 DLCI=210 RTB RTA RTC S1 S0
百思学网络，领先科技 -85- HTTP://WWW.BESTXUE.CN
Switch(config-if) # frame-relay route 200 interface s0 100 Switch(config-if) # frame-relay route 210 interface s0 110 Switch(config-if) # no shut Switch(config-if) # exit （2） 配置用户路由器 要点： 在端口上使用“ip address
(config-if)#no shut B、C路由器与A的配置类似 路由器A、B、C采用Inverse-ARP协议会自动生成帧中继映射表，而不用静态指定。 在对端路由器不支持inverse arp的情况下，我们可以采静态指定DLCI和静态生成映射 表，则可采用下列命令： RTA(config-if) # frame-relay map ip <下一跳地址>
1．实验拓扑 目标：在以上步骤的配置下，RTA与RTB由于水平分割的限制而不能交换路由信息，在RTC物理接口上使用子接口，可以解决这个问题。
RTC RTA S2 RTB S0
DLCI=110 S1
S0:192.168.1.1/24
S0.2:192.168.2.2/24 DLCI=210 S0:192.168.2.1/24 DLCI=100
S0.1:192.168.1.2/24 DLCI=200
百思学网络，领先科技 -86- HTTP://WWW.BESTXUE.CN
2．观察水平分割问题 修改用户路由器配置之前，观察水平分割对路由更新信息的影响。 在用户路由器A、B上配置Loopback口，模拟两个网段地址，并启动RIP协议： RTA（config）#int l0 RTA(config-if)#ip add 192.168.3.1 255.255.255.0 RTA(config-if)#exit RTA(config)#router rip
RTA(config-route)#network 192.168.1.0 RTA(config-route)#network 192.168.3.0 RTB(config)#int l0 RTB(config-if)#ip add 192.168.4.1 255.255.255.0 RTB(config-if)#exit RTB(config)#router rip
RTB(config-route)#network 192.168.1.0 RTB(config-route)#network 192.168.4.0 在A、B上show ip route，观察路由表是否有所有网段的路由条目。 3．子接口配置 （1）帧中继交换机 与第一步中的交换机一样，不需要作配置上的改动。 （2）在用户路由器C上启用子接口 要点： 由于要配置子接口，物理端口要用no ip address 去掉ip； 进入子接口时需要指明点对点模式，在子接口只需要配置IP地址以及DLCI号就可以了，帧中继映射表通过LMI动态生成。 为查看帧中继lmi的工作过程，可以使用debug frame-relay lmi命令 C路由器 物理端口 RTC(config) #int s0 RTC(config-if) # no ip address //去掉IP，否则子接口不起作用 RTC(config-if) # encap frame-relay //帧中继封装 RTC(config-if) # frame-relay lmi-type cisco //配置lmi类型，注意lmi类型要匹配 RTC(config-if) # no shut RTC(config-if) # exit 子接口1 RTC(config) # int s0.1 point-to-point //进入s0.1子接口，注意需要指明是point-to-point RTC(config-subif) # ip address 192.168.1.2
255.255.255.0 //设置子接口ip地址 RTC(config-subif) # frame-relay interface-dlci 200 //设置本地dlci号 RTC(config-subif) #exit 子接口2 RTC(config) # int s0.1 point-to-point RTC(config-subif) # ip address 192.168.2.2 255.255.255.0 RTC(config-subif) #frame-relay interface-dlci 210
RTC(config-subif) #exit 修改路由器RTB的S0口的IP地址如拓扑图所示。 （3）验证配置 查看路由表：show ip route （检查是否有全部网段的信息） 查看虚电路：show frame-relay pvc (在帧中继交换机上) 查看映射表：show frame-relay map（在用户路由器上） 查看端口封装：show int s0 查看lmi信息：show frame-relay lmi 查看帧中继lmi的工作过程：debug frame-relay lmi