1 第 7章 思科路由器的高級功能 7.1 設置路由器成為 DHCP服務器 操作內容：設置路由器成為 DHCP服務器，設置路由器的 IP轉發廣播特性，用以傳送非直連子網的 DHCP請求 。 。 組網環境： Cisco7204 VXR路由器，操作系統版本為 IOS (tm) 7200 Software (C7200-JK9S-M), Version 12.3(12a)，該路由器充當 DHCP服務器。 Cisco 3725路由器，操作系統版本為 IOS (tm) 3700 Software (C3725-JK9S-M), Version 12.3(12a)，該路由器上設置 IP轉發廣播特性。至少二臺 PC機充當客戶機，一臺在 LAN1，另一臺在 LAN2。 RTA的串口 S1/0連接 V.35交叉電纜的DCE端 。 2 圖 7-1 設置路由器為 DHCP服務器 D N S 服 務 器D H C P 客 戶 機N e t B I O S 服 務 器S 1 / 0 S 1 / 01 9 2 . 1 6 8 . 1 . 1 / 2 41 9 2 . 1 6 8 . 1 . 2 / 2 4C i s c o 7 2 0 4 V X RC i s c o 3 7 2 51 0 . 2 1 4 . 2 8 . 0 / 2 4 1 0 . 2 1 4 . 2 9 . 0 / 2 41 0 . 2 1 4 . 2 8 . 21 0 . 2 1 4 . 2 8 . 3D H C P 客 戶 機D H C P 客 戶 機 D H C P 客 戶 機D H C P 客 戶 機 D H C P 客 戶 機1 0 . 2 1 4 . 2 8 . 1F a 0 / 0 F a 0 / 01 0 . 2 1 4 . 2 9 . 1D H C P 服 務 器L A N 1 L A N 2R T AR T D3 7.1.2 背景知識 動態主機配置協議（ DHCP）主要用于在 TCP/IP網絡中 ,通過DHCP服務器給客戶端主機自動配置參數 DHCP協議支持三種 IP地址分配方式： 自動分配： DHCP服務器給客戶機分配一個永久的 IP地址。 動態分配： DHCP服務器給客戶機分配的 IP地址有一定的期 限，稱為租約期限。 手工分配：每個客戶機對應的 IP地址由管理員指定，只是通過DHCP服務器給客戶機分配。 DHCP客戶機第一次登錄網絡時向本地物理子網廣播一個DHCPDISCOVER消息 ,接受第一個收到的 DHCPOFFER消息，并廣播一個 DHCPREQUEST消息，告訴所有的 DHCP服務器它將使用哪一臺服務器提供的 IP地址。 4 7.1.3 操作步驟 1. 網絡拓撲說明 如圖 7-1所示， /24網絡為 LAN1， /24網絡為LAN2， LAN1和 LAN2上的主機作為 DHCP客戶機。 路由器 RTA作為 DHCP服務器，創建兩個獨立的地址池為這兩個子網服務。 路由器 RTD的以太網口 Fa0/0需要設置 IP轉發廣播特性，將 LAN2上的客戶端主機的 DHCP請求轉發給 DHCP服務器 RTA LAN1中主機的默認網關地址為 ,DHCP服務器為之創建的地址池命名為 28-net。 NetBIOS服務器地址為 ，域名為 ，地址租用期限為 10天 10小時 10分鐘。 LAN2中主機的默認網關地址為 ， DHCP服務器為之創建的地址池命名為 29-net。 29-net地址池中 DNS服務器地址、 NetBIOS服務器地址和域名與 28-net地址池相同，地址租用期限為 8天 8小時 8分鐘 路由器 RTA和 RTD的相連網段為 /24。 5 7.1.3 操作步驟 1. 配置步驟 (1)配置路由器 RTA RTA# configure terminal RTA(config)# ip route Serial1/0 RTA(config)# interface FastEthernet0/0 #RTA的以太網接口地址設置 RTA(config-if)# ip address RTA(config-if)# no shutdown RTA(config-if)# exit RTA(config)# interface Serial1/0 #RTA的串行接口地址設置 RTA(config-if)# ip address RTA(config-if)# clock rate 56000 #連接該端口的電纜若是 DTE電纜，則不用配置 RTA(config-if)# no shutdown 6 (2)配置路由器 RTD： RTD# configure terminal RTD(config)# ip route Serial1/0 RTD(config)# interface FastEthernet 0/0 #RTD的以太網接口地址設置 RTD(config-if)# ip address RTD(config-if)# no shutdown RTD(config-if)# exit RTD(config)# interface Serial1/0 #RTD的串行接口地址設置 RTD(config-if)# ip address RTA(config-if)# clock rate 56000 #連接該端口的電纜若是 DTE電纜，則不用配置 RTD(config-if)# no shutdown 7 (3) 驗證路由是否正常工作： 在子網 LAN1和 LAN2上各任選一臺客戶機，指定客戶機的本地連接網絡參數。如指定 LAN1上的客戶機靜態 IP地址為00，子網掩碼為 ，默認網關為，指定 LAN2上的客戶機靜態 IP地址 00，子網掩碼為 ，默認網關為 。 然后從 LAN1上客戶機 00 ping LAN2上客戶機00，應該能夠互通。如果有問題，可以用命令 show ip route查看路由信息。 C:ping 00 Pinging 00 with 32 bytes of data: Reply from 00: bytes=32 time=21ms TTL=126 Reply from 00: bytes=32 time=21ms TTL=126 8 RTA# show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set /24 is subnetted, 2 subnets C is directly connected, FastEthernet0/0 S is directly connected, Serial1/0 #創建的靜態路由 C /24 is directly connected, Serial1/0 9 (4) 配置 RTA為 DHCP服務器 啟動 DHCP服務 RTA(config)# service dhcp 在全局模式下配置 DHCP地址池中不參與自動分配的 IP地址。 RTA(config)# ip dhcp excluded-address RTA(config)# ip dhcp excluded-address IP地址 到 以及 不參與自動地址分配，這些地址有特定的用途。 創建地址池 28-net,并設置地址池網段、默認網關地址、 DNS服務器地址、 WINS服務器地址、域名和地址租用期限。 RTA(config)# ip dhcp pool 28-net #指定地址池名為 28-net RTA(dhcp-config)# network #指定動態地址段為 RTA(dhcp-config)# default-router #指定默認網關地址為 RTA(dhcp-config)# dns-server #指定 dns服務器地址為 10 RTA(dhcp-config)# netbios-name-server #指定WINS服務器地址為 RTA(dhcp-config)# domain-name #指定域名為 RTA(dhcp-config)# lease 10 10 10 #指定地址租用期限 10天 10小時 10分鐘 RTA(dhcp-config)# exit 創建地址池 29-net,并設置地址池網段、默認網關地址、 DNS服務器地址、 WINS服務器地址、域名和地址租用期限。 RTA (config)# ip dhcp pool 29-net #說明略，同上 RTA(dhcp-config)# network RTA(dhcp-config)# default-router RTA(dhcp-config)# dns-server RTA(dhcp-config)# netbios-name-server RTA(dhcp-config)# domain-name RTA(dhcp-config)# lease 8 8 8 11 (5) 測試 DHCP服務器為 LAN1網段分發的動態 IP地址 選擇 LAN1上的任意一臺客戶機 ,在該客戶機上選擇網上鄰居中的“本地連接”，在 TCP/IP屬性中選中“自動獲取 IP地址”和“自動獲得 DNS服務器地址”選項，單擊“確定”。 然后打開 DOS命令提示符，輸入命令“ ipconfig /all”進行查看，顯示信息如圖 7-2所示。 該客戶機獲取的 IP地址是地址池 28-net中第一個可用地址 ，同時檢查客戶機收到的子網掩碼、缺省網關、域名、 DNS服務器地址、WINS服務器地址和地址租用時間等信息是否正確。 如果客戶機無法獲取動態 IP地址等信息，有可能是客戶機的 DHCP Client服務沒有開啟。請確認客戶機的 DHCP Client服務已經啟動。 12 圖 7-2 圖 7-2 13 (6) 在 路由器 RTD上配置 IP廣播地址轉發 LAN2(/24)網段不是 DHCP服務器的直連網段，默認情況下， DHCP服務器是無法收到該網段上 DHCP客戶機發送的 DHCP請求消息的（ UDP廣播）。 為了讓 DHCP服務器能夠給 /24網段上的客戶機分發地址，需要在路由器 RTD的 Fa0/0接口上設置 UDP廣播轉發。 設置廣播轉發特性使用命令 ip helper-address。 RTD(config)# interface FastEthernet 0/0 RTD(config-if)# ip helper-address 該命令執行的結果是，路由器 RTD把以太網口 Fa0/0收到的廣播消息轉發給 RTA上的 串行接口上。關于命令 ip helper-address的詳細說明請參看有關書籍。 14 (7) 測試 DHCP服務器為 LAN2分發的動態 IP地址 選擇 LAN2上的一臺客戶機，操作步驟同 (5),顯示信息如圖 7-3所示。 結果正確 。 15 (8) 測試 DHCP地址分配下的子網連通性 通過 DHCP方式獲取的動態地址可以釋放也可以重新申請。 在 DOS命令提示符下，用命令 ipconfig /release 釋放動態地址 . 用命令 ipconfig /renew重新申請動態地址。 從 LAN1網段中 IP地址為 的客戶機 ping LAN2網段中的 IP地址為 的客戶機，能夠 ping通，說明配置成功。 C:ping Pinging with 32 bytes of data: Reply from : bytes=32 time=21ms TTL=126 Reply from : bytes=32 time=21ms TTL=126 16 (9) 配置文件列表 RTA配置文件如下，以下橫線標出的是進行配置過的選項。 Current configuration : 1496 bytes ! version 12.3 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname RTA ! boot-start-marker boot-end-marker ! no aaa new-model ip subnet-zero ! ip dhcp excluded-address ip dhcp excluded-address ! 17 ip dhcp pool 28-net network default-router dns-server netbios-name-server domain-name lease 10 10 10 ! ip dhcp pool 29-net network default-router dns-server netbios-name-server domain-name lease 8 8 8 ! ip cef ! 18 interface FastEthernet0/0 ip address duplex auto speed auto ! interface FastEthernet0/1 no ip address shutdown duplex auto speed auto ! interface Serial1/0 ip address serial restart-delay 0 clockrate 56000 no fair-queue ! interface Serial1/1 no ip address shutdown serial restart-delay 0 ! 19 interface Serial1/2 no ip address shutdown serial restart-delay 0 ! interface Serial1/3 no ip address shutdown serial restart-delay 0 ! ip classless ip route Serial1/0 no ip http server no ip http secure-server ! gatekeeper shutdown ! 20 line con 0 transport preferred all transport output all stopbits 1 line aux 0 stopbits 1 line vty 0 4 login ! 21 RTD配置文件如下： . hostname RTD ! interface FastEthernet0/0 ip address ip helper-address duplex auto speed auto ! interface Serial1/0 ip address serial restart-delay 0 ip classless ip route Serial1/0 ! 22 (10) DHCP服務器信息查詢和顯示 查看 DHCP服務器統計信息 RTA# show ip dhcp server statistics Memory usage 16803 Address pools 2 Database agents 0 Automatic bindings 2 Manual bindings 0 Expired bindings 0 Malformed messages 0 Secure arp entries 0 Message Received BOOTREQUEST 0 DHCPDISCOVER 9 DHCPREQUEST 8 DHCPDECLINE 0 DHCPRELEASE 1 DHCPINFORM 6 23 Message Sent BOOTREPLY 0 DHCPOFFER 9 DHCPACK 14 DHCPNAK 0 該命令用于對 DHCP服務器的相關信息進行統計。 如上所示， Memory usage表示服務器使用內存的情況。 Address pools表示服務器中地址池的個數。 Database agents表示數據庫代理的個數。 Automatic bindings表示自動分配的地址個數。 Manual bindings表示手工綁定 (如 mac地址和 IP地址綁定 )的地址個數。 Expired bindings表示過期的地址個數。 Malformed messages表示錯誤消息個數。 Secure arp entries表示安全 arp條目個數。 24 地址池詳細信息查看 RTA# show ip dhcp pool Pool 28-net: Utilization mark (high/low) : 100/0 Subnet size (first/next) : 0/0 Total addresses : 254 Leased addresses : 1 Pending event : none 1 subnet is currently in the pool : Current index IP address range Leased addresses - 54 1 Pool 29-net: Utilization mark (high/low) : 100/0 Subnet size (first/next) : 0/0 Total addresses : 254 Leased addresses : 1 Pending event : none 1 subnet is currently in the pool : Current index IP address range Leased addresses - 54 1 25 已分配地址信息 命令 show ip dhcp binding顯示 DHCP服務器已分配的地址信息。 RTA# show ip dhcp binding Bindings from all pools not associated with VRF: IP address Client-ID/ Lease expiration Type Hardware address/ User name 0100.0874.164a.3f Feb 10 2005 04:33 PM Automatic 0100.0874.164a.46 Feb 08 2005 01:40 PM Automatic 顯示的信息可以得知，目前 DHCP服務器已分配二個地址給客戶機，分別是 和 ，同時對每個地址還給出了對應的詳細信息，包括客戶機 ID(硬件地址或用戶名 )、地址租用過期時間和地址類型。 26 第 7章 思科路由器的高級功能 7.2 訪問控制列表的配置 操作內容：如圖 7-4所示，連接路由器和 PC機，然后配置路由器到達如下兩個目標： 一是使用標準訪問控制列表禁止 PC1所在網段（ /24）的主機訪問 PC2所在網段（ /24）的主機； 二是使用基于時間的擴展訪問控制列表在每晚 0： 00 1： 00時間段禁止 PC1所在網段（ /24）的主機 ping PC3所在網段（ /24）的主機。 組網環境： Cisco 2621XM路由器兩臺， IOS為 c2600-adventerprisek9-mz.123-11.T3（版本為 12.3）， PC機 3臺，操作系統為 Windows 2000/XP/2003。 。 27 圖 7-4 訪問控制列表拓撲圖 P C 11 9 2 . 1 6 8 . 1 . 11 9 2 . 1 6 8 . 2 . 11 9 2 . 1 6 8 . 4 . 21 9 2 . 1 6 8 . 2 . 2R 2P C 2R 1 1 9 2 . 1 6 8 . 4 . 11 9 2 . 1 6 8 . 1 . 2P C 31 9 2 . 1 6 8 . 3 . 11 9 2 . 1 6 8 . 3 . 2S 0 / 0S 0 / 0F E 0 / 0 F E 0 / 0F E 0 / 128 7.2.2 背景知識 1. 包過濾與訪問控制列表 Cisco IOS軟件在許多功能上使用了訪問控制列表（ access control list），訪問控制列表可以應用于下列情形： 實現數據報過濾，限制用戶訪問某些外部網段、端口、應用服務器，或者限制外部數據報存取內部網絡的某些網段、端口、應用服務器。防火墻一般都有該項功能。 在接口上控制報文傳輸。 控制 vty的訪問。 限制路由更新的內容。 在配置和使用訪問控制列表時需要注意如下規則： 所有訪問控制列表的最后都隱含有一個 deny，這在配置文件中是看不到的。 對訪問控制列表的匹配是自上而下按順序進行的，當找到匹配規則時將停止進一步的比較。 沒有定義任何條目的訪問控制列表表示允許所有的數據。 出站過濾僅對轉發數據報有效，不會影響路由器自身產生的數據報。 配置訪問控制列表時應當按照從一般到特殊的順序，特殊的列表項總是添加在訪問控制列表的最后，使得大部分分組能與前面的列表項匹配，減少比較的時間和開銷。 29 2. 訪問控制列表的基本配置命令 (1) 標準 IP訪問控制列表 標準訪問控制列表根據源地址進行匹配，路由器檢查分組的源地址，并與標準訪問控制列表進行比較和匹配，然后決定丟棄或轉發。 如果使用數字來定義標準訪問控制列表，其具體的命令如下所示。 第一步，對訪問控制列表進行注釋說明（可選）： Router(config)# access-list access-list-number remark remark 其中， access-list-number是 1 99之間的整數， remark是添加的注釋說明，本命令僅起注釋說明作用，可以省略。 第二步，定義標準訪問控制列表的匹配條件，有下面幾種形式： 使用源地址和通配符掩碼定義一個標準訪問控制列表： Router(config)# access-list access-list-number deny | permit source source-wildcard log 或者使用 any來代表源地址和通配符掩碼 55： Router(config)# access-list access-list-number deny | permit any log 30 如果使用名字來定義標準列表，其具體的命令如下所示。 第一步，使用名字定義標準訪問控制列表，并進入標準命名訪問控制列表配置模式： Router(config)# ip access-list standard name 其中， name是當前所創建的訪問控制列表的名字。 第二步，對訪問控制列表進行注釋說明： Router(config-std-nacl)# remark remark 第三步，通過 deny和 permit來定義匹配條件： Router(config-std-nacl)# deny | permit source source-wildcard | anylog 第四步，退出標準命名訪問控制列表配置模式： Router(config-std-nacl)# exit 31 (2) 擴展 IP訪問控制列表 擴展 IP訪問控制列表根據源和目的地址、協議、 TCP/UDP協議中的源和目的端口等參數進行匹配。 使用數字來定義擴展訪問控制列表，其具體的命令如下所示。 第一步，對訪問控制列表進行注釋說明（可選）： Router(config)# access-list access-list-number remark remark 第二步，定義擴展訪問控制列表的匹配條件，有下面幾種形式： Router(config)# access-list access-list-number deny | permit protocol source source-wildcard destination destination-wildcard precedence precedence tos tos established log | log-input time-range time-range-name fragments 其中， access-list-number是 100 199之間的整數 ， time-range表示相應規則在指定時間內適用，這個選項將在下面專門講述。 當協議為 TCP協議時，使用下面的語法： access-list access-list-number deny | permit tcp source source-wildcard operator port destination destination-wildcard operator port established precedence precedence tos tos log | log-input time-range time-range-name fragments 32 當協議為 ICMP時，使用下面的語法： access-list access-list-number deny | permit icmp source source-wildcard destination destination-wildcard icmp-type icmp-code | icmp-message precedence precedence tos tos log | log-input time-range time-range-name fragments 對于其它的協議 UD等，相應命令還可以繼續展開，對端口、類型等值進行匹配，這里就略去了。 使用名字來定義擴展訪問控制列表，其具體的命令如下所示。 第一步，使用名字定義擴展訪問控制列表，并進入擴展命名訪問控制列表配置模式： Router(config)# ip access-list extended name 第二步，對訪問控制列表進行注釋說明（可選）： Router(config-ext-nacl)# remark remark 第三步，通過 deny和 permit來定義匹配條件： Router(config-ext-nacl)# deny | permit protocol source source-wildcard destination destination-wildcard precedence precedence tos tos established log | log-input time-range time-range-name fragments 33 (3) 設定時間段 在上面的擴展訪問控制列表中我們可以看到 time-range這個關鍵字，它用于在指定的日期和時間范圍內應用訪問控制列表。下面介紹一下定義時間段的相關命令。 第一步，為時間段命名，并進入時間段配置模式： Router(config)# time-range time-range-name 第二步，配置時間段： Router(config-time-range)# absolute start time date end time date 或者 Router(config-time-range)# periodic days-of-the-week hh:mm to days-of-the-week hh:mm (4) 將訪問控制列表應用到接口上 要啟用包過濾功能，應該在指定接口上的進入或者外出方向應用訪問控制列表，命令如下所示： Router(config-if)# ip access-group access-list-number | access-list-name in | out access-list-number和 access-list-name是指相應訪問控制列表的數字編號和名字。 34 7.2.3 操作步驟 1. 配置： (1) 在設置訪問控制列表前首先搭建基本的聯網環境： 對路由器 R1的配置如下： Router#config t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R1 R1(config)#interface fastEthernet 0/0 R1(config-if)#ip address R1(config-if)#no shut R1(config-if)#int s0/0 R1(config-if)#ip address R1(config-if)#clock rate 64000 #連接該端口的電纜若是 DTE電纜，則不用配置 R1(config-if)#no shut R1(config-if)#exit #配置靜態路由 R1(config)#ip route R1(config)#ip route 35 對路由器 R2的配置如下： Router#config t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname R2 R2(config)#int fastEthernet 0/0 R2(config-if)#ip address R2(config-if)#no shut R2(config)#int fastEthernet 0/1 R2(config-if)#ip address R2(config-if)#no shut R2(config-if)#int s0/0 R2(config-if)#ip address R2(config-if)#clock rate 64000 #連接該端口的電纜若是 DTE電纜，則不用配置 R2(config-if)#no shut R2(config-if)#exit R2(config)#ip route #配置靜態路由 36 聯網環境測試： PC1:ping #PC1 ping PC2，能 ping通 Pinging with 32 bytes of data: Reply from : bytes=32 time=18ms TTL=126 PC1:ping #PC1 ping PC3，能 ping通 Pinging with 32 bytes of data: Reply from : bytes=32 time=19ms TTL=126 由此可見，基本的網絡環境已經搭建成功，下面就可以配置訪問控制列表了。 37 (2) 對 R2配置標準訪問控制列表： 為了盡量減小標準訪問控制列表的影響范圍，應該將它們放在離源地址較遠的地方。因此，我們在 R2的 FE0/0接口的外出方向應用標準訪問控制列表，限制源地址為 /24的 IP包通過。 R2(config)#access-list 1 deny 55 R2(config)#access-list 1 permit any #很有必要，因為訪問控制列表的最后隱含有拒絕規則 R2(config)#int fastEthernet 0/0 #將訪問控制列表應用到 FE0/0接口的外出方向 R2(config-if)#ip access-group 1 out 測試： PC1:ping Pinging with 32 bytes of data: Reply from : Destination net unreachable. Reply from : Destination net unreachable. PC1到 PC2不可達，由此可見，訪問控制列表已經生效。 38 (3) 對 R1配置擴展訪問控制列表 首先定義名字為 deny_ping_time的時間段：每晚 0： 00 1： 00 R1(config)#time-range deny_ping_time R1(config-time-range)#periodic daily 0:00 to 1:00 R1(config-time-range)#exit 定義基于時間的擴展訪問控制列表，命名為 deny_ping。添加規則以禁止源地址為 /24，目的地址為 /24，類型為 ECHO REQUEST的 ICMP協議包通過。 R1(config)#ip access-list extended deny_ping R1(config-ext-nacl)#deny icmp 55 55 echo time-range deny_ping_time 由于訪問控制列表的最后缺省隱含了“ deny any”規則，所以必須添加 permit規則。 R1(config-ext-nacl)#permit ip any any R1(config-ext-nacl)#exit 在 FE0/0接口的進入方向應用名字為 deny_ping的訪問控制列表。 R1(config)#int fastEthernet 0/0 R1(config-if)#ip access-group deny_ping in 圖 7-2 39 測試： 首先使用如下命令設置當前時間，使得處于時間段 deny_ping_time范圍內： R1#clock set 0:11:00 31 jan 2005 PC1:ping Pinging with 32 bytes of data: Reply from : Destination net unreachable. Reply from : Destination net unreachable. 可以看出，所設置的當前時間正處于訪問控制列表的時間段內，過濾規則生效，數據報被路由器 R1丟棄，無法到達目的地?？梢栽囍漠斍皶r間，查看 ping的結果是否改變。 40 2.查看信息： R1#show access-lists Extended IP access list deny_ping 10 deny icmp 55 55 echo time-range deny_ping_time (active) (72 matches) 20 permit ip any any (293 matches) show access-lists命令可以查看當前路由器所定義的訪問控制列表。上面的信息表明， R1定義了一條擴展訪問控制列表 ,內含一條基于時間的 deny規則和一條 permit規則。 R1#show time-range time-range entry: deny_ping_time