设为首页 收藏本站
查看: 1817|回复: 0

[经验分享] CCNA网络工程师学习进程(5)路由器和交换机的登录安全配置和vlan划分

[复制链接]

尚未签到

发表于 2017-7-9 12:27:07 | 显示全部楼层 |阅读模式
      本节详细介绍路由器和交换机的登录安全配置以及VLAN划分的原理。
      (1)登录安全配置:
      路由器登录有两种验证方式:有本地验证方式和远程验证方式。本地登录验证方式可以配置用户名和密码也可以只配置密码;远程登录只需配置密码。
      实验拓扑图:(配置好IP地址)
DSC0000.png

      1)配置本地登录验证:
      1.1在路由器上分别配置上述代码:



本地仅密码验证:
en
conf t
line console 0
password sjm
login
本地用户名及密码验证:
en
conf t
line console 0
login local
exit
username sjm password 1234
end
      1.2测试如下:
      1)本地仅输入密码:
     DSC0001.png
      2)本地输入用户名和密码:
     DSC0002.png
      1.3删除配置:



删除本地仅密码登录方式:
en
conf t
line console 0
no password
no login
end
删除本地用户名及密码登录方式:
en
conf t
no login local
exit
no username sjm
end
      注意:no login和no login local分别为取消两种不同方式的登录验证。但配置的密码信息或用户和密码信息仍存在。而且如果在删除时仅仅取消了配置信息,但没有取消登录认证,设备将无法登录。
      2)配置远程登录访问:
     路由器配置代码:



en
conf t
interface f0/0
ip add 192.168.1.1 255.255.255.0
no shut
exit
line vty 0 4
password sjm1234
login
exit
enable password 5678
end
      远程telnet测试:
      DSC0003.png
      环回口配置ip地址:
      要远程登录路由器,可通过任何一个处于激活状态的端口IP进入路由器,但由于每个接口的ip地址都不一样,并且可能处于down状态,配置起来不方便。因此给loopback(本地环回接口)类似的虚拟端口配置IP地址作为路由器的管理地址,能让管理员使用该地址对路由器远程登录(telnet)且虚拟端口不会受到路由器某个端口down状态的影响。
      配置代码:(只需配置一个不同网段的ip地址)



en
conf t
int loopback 0
ip add 192.168.2.1 255.255.255.255
no shut
end
      测试:
DSC0004.png

      注意:给交换机或路由器配置使能口令(enable password 明文)和使能密码(enable secret 密文)时起作用的是用密文加密过的后者。
      3)交换机的远程登录配置:
      拓扑图不变:
   DSC0005.png
      给交换机配置远程登录需要给交换机配置虚拟ip地址,在上述拓扑图中还要配置默认网关(前面的博文中并没有配置)。
      配置命令如下:



en
conf t
int vlan 1
ip add 192.168.1.3 255.255.255.0
no shut
exit
ip default-gateway 192.168.1.1
line vty 0 4
password sjm1234
login
end
      测试连通性及管理性:
     DSC0006.png
      (2)VLAN(Virtual Local Area Network)的详细介绍:
      VLAN是在交换机上划分广播域的一种技术。它允许一组不限物理地域的用户群共享一个独立的广播域,减少由于共享介质所形成的安全隐患。
      在一个网络中,即使是不同的交换机,只要属于相同VLAN的端口,它们会应用交换机地址学习等机制相互转发数据包,工作起来就好像是在一个独立的交换机上,一个虚拟局域网一样。因此起名叫做VLAN。但在同一台交换机上属于不同VLAN的端口,它们之间不能直接通信,必须借助路由器实现通信。
      应用示例:
      公司办公楼有三层楼,在每层楼都设有工程部、市场部和财务部的办公室。在下述的拓扑图中,VLAN技术实现了独立管理各部门网络的功能。每个交换机的端口都被同一层楼的三个部门的计算机所分享,虽然共用了一个交换机,但是每层楼的各部门之间的计算机在局域网内却是完毕被隔离开来,不会相互影响,从整个公司来看,三个VLAN之间也互不干涉。
     DSC0007.png
      1)VLAN的划分方式:
      VLAN分为两种,静态VLAN和动态VLAN。静态VLAN基于端口配置,而动态VLAN可以基于MAC、网络协议、IP组播、策略、用户定义配置。
      基于端口
      把一个或多个交换机上的几个端口划分一个逻辑组,这是最简单、最有效的划分方法。该方法只需网络管理员对网络设备的交换端口进行重新分配即可,不用考虑该端口所连接的设备。
      基于MAC地址
      MAC地址其实就是指网卡的标识符,每一块网卡的MAC地址都是惟一且固化在网卡上的。MAC地址由12位16进制数表示,前8位为厂商标识,后4位为网卡标识。网络管理员可按MAC地址把一些端点划分为一个逻辑子网。
      基于路由
      路由协议工作在网络层,相应的工作设备有路由器和路由交换机(即三层交换机)。该方式允许一个VLAN跨越多个交换机,或一个端口位于多个VLAN中。
      就目前来说,对于VLAN的划分主要采取上述第1、3种方式,第2种方式为辅助性的方案。
      使用VLAN(Virtal Local Area Network)具有以下优点:



控制广播风暴
提高网络整体安全性
网络管理简单、直观
     注意:交换机中默认有vlan1(管理vlan),给其配置IP地址和default-gateway(默认网关),是为了方便通过远程方式对交换机进行管理。
      2)静态VLAN的创建:
     DSC0008.png
      介绍两种VLAN的创建方法:
      方法一:



en
conf t
host SW1
exit
vlan database
vlan 10 name vlan10
vlan 20 name vlan20
vlan 30 name vlan30
exit
write
end
      方法二:



en
conf t
host SW2
vlan 10
name vlan10
vlan 20
name vlan20
vlan 30
name vlan30
exit
end
      将接口划入指定的vlan:



en
conf t
int f0/1
switchport mode access
switchport access vlan 10
int f0/2
switchport mode access
switchport access vlan 20
int f0/3
switchport mode access
switchport access vlan 30
end
      验证配置:
     DSC0009.png
      将端口从某个VLAN中删除,只需将该端口接入到默认的VLAN 1:



en
conf t
int f0/1
switchport mode access
switchport access vlan 1
end
      删除VLAN:



en
conf
no vlan 10
end
      3)VLAN Trunk的配置:
      为了让VLAN能跨越多个交换机,必须用Trunk(主干)链路将交换机连接起来。也就是说,要把用于两台交换机相互连接的端口设置成VLAN Trunk端口。交换机相连的端口指定为Trunk端口之后还要指定封装类型,交换机使用switchport trunk encapsulation 命令配置Trunk的封装类型:(Trunk链路也叫做中继链路。)



negotiate:自动协商封装类型,为默认配置。该参数要求协商为对端的封装类型,若对端的封装参数也为negotiate,则两端的封装类型均为is1类型。
isl:如果是CISCO的交换机,可以使用CISCO的私有协议ISL进行封装。
dot1q:采用IEEE 802.1q协议进行封装方式。
      常用的vlan Trunk配置命令:
     DSC00010.png
      Trunk配置详细实例:
     DSC00011.png
      步骤一:在两台交换机上配置vlan:



en
vlan database
vlan 10 name vlan10
vlan 20 name vlan20
vlan 30 name vlan30
exit
      步骤二:将指定端口划分如指定vlan:
      左侧交换机:



en
conf t
int f0/1
switchport mode access
switchport access vlan 10
int f0/2
switchport mode access
switchport access vlan 20
int g0/1
switchport mode trunk
switchport trunk allowed vlan all
end
      右侧交换机:



en
conf t
int f0/1
switchport mode access
switchport access vlan 20
int f0/2
switchport mode access
switchport access vlan 30
int g0/1
switchport mode trunk
switchport trunk allowed vlan all
end
      划分好IP地址之后测试vlan 20的连通性:
     DSC00012.png
     禁止vlan 20通过:



en
conf t
int g0/1
switchport trunk allowed vlan remove 20
end
DSC00013.png

      此时左侧交换机将不转发vlan 20的数据包。类似的命令有:



switchport trunk allowed vlan none
switchport trunk allowed vlan add 20,30,40
      4)VTP(VLAN Trunking Protocol)配置的详解:
      VTP协议可以简化vlan配置工作,VTP有三种工作模式:服务器模式、客户端模式和透明(transparent)模式,默认是服务器模式:



VTP服务器模式端:可设置VLAN并将自己的vlan配置信息发送出去,同时也会接受(使用)和转发其他VTP Server的配置信息。
VTP客户模式端:不能配置VLAN参数,只能接受服务器模式交换机配置的VLAN配置参数。
VTP透明模式端:交换机是相对独立的,允许配置VLAN,但不向其他交换机发送自己的配置参数。当透明模式的交换机收到服务器模式的交换机发送的VLAN配置参数时,仅仅是简单地转发给其他交换机,并不用来设置自己的VLAN参数。
删除VTP模式:当交换机处于VTP服务器模式时,如果删除一个VLAN,则该VLAN将在所有相同VTP的交换机上被删除。当在透明模式下删除时,只在当前交换机上被删除。
      常用的VTP的配置命令:
     DSC00014.png
      vtp pruning(vtp动态修剪)
      VTP修剪能减少中继端口上不必要信息量。在CISCO交换上,VTP修剪功能缺省是关闭的,发给某个VLAN的广播会送到每一个在中继链路上承载该VLAN的交换机,即使交换机上没有位于那个VLAN的端口也是如此。当单个vlan仅局限在局部区域时,在Trunk端口上或VTP Server上启用VTP修剪功能以避免不必要的VLAN信息泛洪。
   注意: 默认情况下,Vlan1其主要的用途在于Vlan的管理。此时Vlan1需要组播包与单播包。为此往往不在Vlan1上启用VTP修剪。在有些交换机上,甚至明文禁止在Vlan1上启用VTP修剪,也是出于管理的需要。
      VTP协议配置示例:
     DSC00015.png
      SW1的配置:(配置vtp的模式可以用数据库模式也可以用全局配置模式)



en
conf t
host SW1
exit
vlan database
vtp domain ccna
vtp server
vlan 10 name vlan10
vlan 20 name vlan20
vlan 30 name vlan30
exit
conf t
int range f0/1-2
switchport mode trunk
switchport trunk allowed vlan all
end
      SW2的配置:



en
conf t
host SW2
vtp mode server
vtp domain ccna
int f0/1
switchport mode trunk
switchport trunk allowed vlan all
int f0/2
switchport mode access
switchport access vlan 10
int f0/3
switchport mode access
switchport access vlan 20
exit
      SW3的配置:



en
conf t
host SW3
vtp mode transparent
vlan 30
name vlan30
exit
int range f0/1-2
switchport mode trunk
switchport trunk allowed vlan all
switchport trunk allowed vlan add 10,20
int f0/3
switchport mode accessswitchport access vlan 30
end
      SW4的配置:



en
conf t
host SW4
vtp mode server
vtp domain ccna
int f0/1
switchport mode trunk
switchport trunk allowed vlan all
int f0/2
switchport mode access
switchport access vlan 20
int f0/3
switchport mode access
switchport access vlan 30
exit
      vlan 20之间的测试:
     DSC00016.png
      注意:作为VTP透明模式下的交换机应该首先配置,这时虽然SW4能够接受VTP通告,但除vlan 30和vlan 1以外的数据包并不能通过SW3传播。
      VTP裁剪的配置示例:(由于PacketTracer模拟器不支持VTP裁剪,因此示例在dynamips中完成)
     DSC00017.png
      步骤一:安装好dynamips后在setup文件夹下找到获取本机网卡参数:
     DSC00018.png
      步骤二:在labini文件夹下的ccna.nat文件夹下修改最后一行的网卡参数为上述图片中的白色区域部分:
     DSC00019.png
      步骤三:启动根文件夹下的虚拟服务和控制台:
     DSC00020.png
      步骤四:配置SW1和SW2:
      SW1:



en
conf t
host SW1
exit
vlan database
vtp domain ccna
vtp server
vlan 10 name vlan10
vlan 20 name vlan20
vlan 30 name vlan30
exit
conf t
int f1/4
switchport mode access
switchport access vlan 20
exit
int f1/5
switchport mode access
switchport access vlan 30
exit
int f1/1
switchport mode trunk
switchport trunk allowed vlan all
exit
end
      SW2:



en
conf t
host SW2
exit
vlan database
vtp domain ccna
vtp client
exit
conf t
int f1/4
switchport mode access
switchport access vlan 10
exit
int f1/5
switchport mode access
switchport access vlan 30
exit
int f1/2
switchport mode trunk
switchport trunk allowed vlan all
exit
end
      测试:(在dynamips中用show vlan-switch等价于PacketTracer中的show vlan brief)
     DSC00021.png
DSC00022.png

      最后,启用在两台交换机上启用VTP裁剪:



en
vlan database
vtp pruning
exit
      测试:
     DSC00023.png
DSC00024.png

      可能出现的错误:
      错误1:无法创建vlan
     DSC00025.png
      解决方法:按abort退到特权模式,输入erase flash:
     DSC00026.png
      错误2:交换机之间无法交换VTP通告:
      解决方法:检查VTP域名是否相同。
  实验文档下载:http://files.cnblogs.com/files/MenAngel/NetBlog5.zip

运维网声明 1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表,该帖子作者与运维网享有帖子相关版权
3、所有作品的著作权均归原作者享有,请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意,请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息,一经发现立即删除。若您因此触犯法律,一切后果自负,我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责,亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏,不得用于商业或者其他用途,否则,一切后果均由您自己承担,我们对此不承担任何法律责任
7、如涉及侵犯版权等问题,请您及时通知我们,我们将立即采取措施予以解决
8、联系人Email:admin@iyunv.com 网址:www.yunweiku.com

所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其承担任何法律责任,如涉及侵犯版权等问题,请您及时通知我们,我们将立即处理,联系人Email:kefu@iyunv.com,QQ:1061981298 本贴地址:https://www.yunweiku.com/thread-391962-1-1.html 上篇帖子: 2.2-VLAN间路由 下篇帖子: 端口镜像
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群,最新一手资源尽在官方微信交流群!快快加入我们吧...

扫描微信二维码查看详情

客服E-mail:kefu@iyunv.com 客服QQ:1061981298


QQ群⑦:运维网交流群⑦ QQ群⑧:运维网交流群⑧ k8s群:运维网kubernetes交流群


提醒:禁止发布任何违反国家法律、法规的言论与图片等内容;本站内容均来自个人观点与网络等信息,非本站认同之观点.


本站大部分资源是网友从网上搜集分享而来,其版权均归原作者及其网站所有,我们尊重他人的合法权益,如有内容侵犯您的合法权益,请及时与我们联系进行核实删除!



合作伙伴: 青云cloud

快速回复 返回顶部 返回列表