路由器-GRE-Over-IPSec典型配置
路由器-GRE-Over-IPSec典型配置
【需求】
分部1和分部2通过野蛮IPSec的方式连接到中心，采用GRE-Over-IPSec的方式，在tunnel上运行OSPF协议来实现总部和分部之间的互通。
【组网图】
【验证】
1、中心上的ike sa 状态：
disp ike sa
connection-id peer flag phase doi
----------------------------------------------------------
4 202.101.3.2 RD 1 IPSEC
5 202.101.3.2 RD 2 IPSEC
2 202.101.2.2 RD 1 IPSEC
3 202.101.2.2 RD 2 IPSEC flag meaning
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO—TIMEOUT 2、中心上的IPSec sa状态：
disp ipsec sa
===============================
Interface: Serial2/0/0
path MTU: 1500
===============================
-----------------------------
IPsec policy name: "center"
sequence number: 10
mode: isakmp
-----------------------------
connection id: 3
encapsulation mode: tunnel
perfect forward secrecy: None
tunnel:
local address: 202.101.1.2
remote address: 202.101.2.2
flow: (72 times matched)
sour addr: 202.101.1.2/255.255.255.255 port: 0 protocol: GRE dest addr: 202.101.2.2/255.255.255.255 port: 0 protocol: GRE [inbound ESP SAs]
spi: 1168206412 (0x45a16a4c)
proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5
sa remaining key duration (bytes/sec): 1887434028/3365
max received sequence-number: 33
udp encapsulation used for nat traversal: N
[outbound ESP SAs]
spi: 2150942891 (0x8034c8ab)
proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5
sa remaining key duration (bytes/sec): 1887433260/3365
max sent sequence-number: 36
udp encapsulation used for nat traversal: N
-----------------------------
IPsec policy name: "center"
sequence number: 20
mode: isakmp
-----------------------------
connection id: 4
encapsulation mode: tunnel
perfect forward secrecy: None
tunnel:
local address: 202.101.1.2
remote address: 202.101.3.2
flow: (73 times matched)
sour addr: 202.101.1.2/255.255.255.255 port: 0 protocol: GRE dest addr: 202.101.3.2/255.255.255.255 port: 0 protocol: GRE [inbound ESP SAs]
spi: 2624895419 (0x9c74b9bb)
proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5
sa remaining key duration (bytes/sec): 1887433796/3385
max received sequence-number: 35
udp encapsulation used for nat traversal: N
[outbound ESP SAs]
spi: 1281853764 (0x4c678944)
proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5
sa remaining key duration (bytes/sec): 1887432856/3385
max sent sequence-number: 39
udp encapsulation used for nat traversal: N
3、中心路由表
disp ip rout
Routing Table: public net
Destination/Mask Protocol Pre Cost Nexthop Interface
0.0.0.0/0 STATIC 60 0 202.101.1.1 Serial2/0/0
1.1.1.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0
2.2.2.2/32 OSPF 10 1563 10.0.0.2 Tunnel0
3.3.3.3/32 OSPF 10 1563 10.0.0.6 Tunnel1
10.0.0.0/30 DIRECT 0 0 10.0.0.1 Tunnel0
10.0.0.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 10.0.0.4/30 DIRECT 0 0 10.0.0.5 Tunnel1
10.0.0.5/32 DIRECT 0 0 127.0.0.1 InLoopBack0 127.0.0.0/8 DIRECT 0 0 127.0.0.1 InLoopBack0 127.0.0.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 192.168.1.0/24 DIRECT 0 0 192.168.1.1 LoopBack10 192.168.1.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 192.168.2.0/24 OSPF 10 1563 10.0.0.2 Tunnel0
192.168.3.0/24 OSPF 10 1563 10.0.0.6 Tunnel1
202.101.1.0/30 DIRECT 0 0 202.101.1.2 Serial2/0/0 202.101.1.1/32 DIRECT 0 0 202.101.1.1 Serial2/0/0 202.101.1.2/32 DIRECT 0 0 127.0.0.1 InLoopBack0 4、分部1的ike sa状态：
disp ike sa
connection-id peer flag phase doi
----------------------------------------------------------
2 202.101.1.2 RD|ST 1 IPSEC
3 202.101.1.2 RD|ST 2 IPSEC
flag meaning
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO—TIMEOUT
5、分部1的ipsec sa状态：
disp ipsec sa
===============================
Interface: Serial2/0/0
path MTU: 1500
===============================
-----------------------------
IPsec policy name: "branch1"
sequence number: 10
mode: isakmp
-----------------------------
connection id: 3
encapsulation mode: tunnel
perfect forward secrecy: None
tunnel:
local address: 202.101.2.2
remote address: 202.101.1.2
flow: (82 times matched)
sour addr: 202.101.2.2/255.255.255.255 port: 0 protocol: GRE
dest addr: 202.101.1.2/255.255.255.255 port: 0 protocol: GRE [inbound ESP SAs]
spi: 2150942891 (0x8034c8ab)
proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5
sa remaining key duration (bytes/sec): 1887433256/3293
max received sequence-number: 42
udp encapsulation used for nat traversal: N
[outbound ESP SAs]
spi: 1168206412 (0x45a16a4c)
proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5
sa remaining key duration (bytes/sec): 1887432880/3293
max sent sequence-number: 41
udp encapsulation used for nat traversal: N
6、分部1的路由表：
disp ip rout
Routing Table: public net
Destination/Mask Protocol Pre Cost Nexthop Interface
0.0.0.0/0 STATIC 60 0 202.101.2.1 Serial2/0/0
1.1.1.1/32 OSPF 10 1563 10.0.0.1 Tunnel0
2.2.2.2/32 DIRECT 0 0 127.0.0.1 InLoopBack0
3.3.3.3/32 OSPF 10 3125 10.0.0.1 Tunnel0
10.0.0.0/30 DIRECT 0 0 10.0.0.2 Tunnel0
10.0.0.2/32 DIRECT 0 0 127.0.0.1 InLoopBack0 10.0.0.4/30 OSPF 10 3124 10.0.0.1 Tunnel0
127.0.0.0/8 DIRECT 0 0 127.0.0.1 InLoopBack0 127.0.0.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 192.168.1.0/24 OSPF 10 1563 10.0.0.1 Tunnel0
192.168.2.0/24 DIRECT 0 0 192.168.2.1 LoopBack10 192.168.2.1/32 DIRECT 0 0 127.0.0.1 InLoopBack0 192.168.3.0/24 OSPF 10 3125 10.0.0.1 Tunnel0
202.101.2.0/30 DIRECT 0 0 202.101.2.2 Serial2/0/0 202.101.2.1/32 DIRECT 0 0 202.101.2.1 Serial2/0/0 202.101.2.2/32 DIRECT 0 0 127.0.0.1 InLoopBack0 【提示】
1、IPSec-Over-GRE和GRE-Over-IPSec方式配置上的区别为：
2、各个分部和总部之间通过OSPF路由来实现互访，如果没有运行OSPF则必需在分部和
总部配置静态路由。
【Center配置】
ip route-static 192.168.2.0 255.255.255.0 Tunnel 0 preference 60 /访问分部1内网的数据从tunnel 0走/
ip route-static 192.168.3.0 255.255.255.0 Tunnel 1 preference 60 /访问分部2内网的数据从tunnel 1走/
【分部1配置】
ip route-static 192.168.1.0 255.255.255.0 Tunnel 0 preference 60 /访问中心内网的数据从tunnel 0走/
【分部2配置】
ip route-static 192.168.1.0 255.255.255.0 Tunnel 0 preference 60 /访问中心内网的数据从tunnel 0走/
华为路由器路由策略和策略路由
路由策略和策略路由 一、路由策略简介 路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变网络流量所经过的路径。 路由协议在发布、接收和引入路由信息时，根据实际组网需求实施一些策略，以便对路由信息进行过滤和改变路由信息的属性，如： 1、控制路由的接收和发布 只发布和接收必要、合法的路由信息，以控制路由表的容量，提高网络的安全性。 2、控制路由的引入 在一种路由协议在引入其它路由协议发现的路由信息丰富自己的路由信息时，只引入一部分满足条件的路由信息。 3、设置特定路由的属性 修改通过路由策略过滤的路由的属性，满足自身需要。 路由策略具有以下价值： 通过控制路由器的路由表规模，节约系统资源；通过控制路由的接收、发布和引入，提高网络安全性；通过修改路由属性，对网络数据流量进行合理规划，提高网络性能。 二、基本原理 路由策略使用不同的匹配条件和匹配模式选择路由和改变路由属性。在特定的场景中，路由策略的6种过滤器也能单独使用，实现路由过滤。若设备支持BGP to IGP功能，还能在IGP引入BGP路由时，使用BGP私有属性作为匹配条件。 图1 路由策略原理图 如图1，一个路由策略中包含N（N>=1）个节点（Node）。路由进入路由策略后，按节点序号从小到大依次检查各个节点是否匹配。匹配条件由If-match子句定义，涉及路由信息的属性和路由策略的6种过滤器。 当路由与该节点的所有If-match子句都匹配成功后，进入匹配模式选择，不再匹配其他节点。 匹配模式分permit和deny两种： permit：路由将被允许通过，并且执行该节点的Apply子句对路由信息的一些属性进行设置。 deny：路由将被拒绝通过。 当路由与该节点的任意一个If-match子句匹配失败后，进入下一节点。如果和所有节点都匹配失败，路由信息将被拒绝通过。 过滤器 路由策略中If-match子句中匹配的6种过滤器包括访问控制列表ACL（Access Control List）、地址前缀列表、AS路径过滤器、团体属性过滤器、扩展团体属性过滤器和RD属性过滤器。 这6种过滤器具有各自的匹配条件和匹配模式，因此这6种过滤器在以下的特定情况中可以单独使用，实现路由过滤。 1、ACL
华为_MSR路由器_教育网双出口NAT服务器的典型配置
华为 MSR路由器教育网双出口NAT服务器的典型配置 一、组网需求： MSR 的 G0/0 连接某学校内网， G5/0 连接电信出口， G5/1 连接教育网出口，路由配置：访问教育网地址通过 G5/1 出去，其余通过默认路由通过 G5/0 出去。电信网络访问教育网地址都是通过电信和教育网的专用连接互通的，因此电信主机访问该校 一、组网需求： MSR的G0/0连接某学校内网，G5/0连接电信出口，G5/1连接教育网出口，路由配置：访问教育网地址通过G5/1出去，其余通过默认路由通过G5/0出去。电信网络访问教育网地址都是通过电信和教育网的专用连接互通的，因此电信主机访问该校都是从G5/1进来，如果以教育网源地址（211.1.1.0/24）从G5/0访问电信网络，会被电信过滤。该校内网服务器192.168.34.55需要对外提供访问，其域名是https://www.360docs.net/doc/374343517.html,，对应DNS解析结果是211.1.1.4。先要求电信主机和校园网内部主机都可以通过域名或211.1.1.4正常访问，且要求校园网内部可以通过NAT任意访问电信网络或教育网络。 设备清单：MSR一台 二、组网图：
三、配置步骤： 适用设备和版本：MSR系列、Version 5.20, Release 1205P01后所有版本。
四、配置关键点： 1) 此案例所实现之功能只在MSR上验证过，不同设备由于内部处理机制差异不能保证能够实现； 2) 策略路由是保证内部服务器返回外网的流量从G5/1出去，如果不使用策略路由会按照普通路由转发从G5/0出去，这样转换后的源地址211.1.1.4会被电信给过滤掉，因此必须使用策略路由从G5/1出去； 3) 策略路由的拒绝节点的作用是只要匹配ACL就变成普通路由转发，而不被策
华为交换机及路由器各种配置实例大全(20200909191858)
交换机配置（三）ACL基本配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为、 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率 限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30
3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的 粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的 级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】 对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示，，，，20M，40M，60M，80M。 此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。 『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合 acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图
【工程实验室】【基础】【路由器的基本操作】
实验路由器的基本操作 【实验名称】 路由器的基本操作。 【实验目的】 理解路由器的工作原理，掌握路由器的基本操作。 【背景描述】 你是某公司新进的网管，公司要求你熟悉网络产品，公司采用全系列锐捷网络产品，首先要求你登录路由器，了解、掌握路由器的命令行操作，进行路由器设备名的配置，配置路由器登录时的描述信息，对路由器的端口配置基本的参数。 【需求分析】 将计算机的Com口和路由器的Console口通过Console线缆连接起来，使用Windows 提供的超级终端工具进行连接，登录路由器的命令行界面进行配置。 【实验拓扑】 图6-1 实验拓扑图 【实验设备】 路由器1台 计算机1台 【预备知识】 路由器的工作原理和基本配置方法 【实验原理】 路由器的管理方式基本分为两种：带内管理和带外管理。通过路由器的Console口管理路由器属于带外管理，不占用路由器的网络接口，但特点是线缆特殊，需要近距离配置。第一次配置路由器时必须利用Console进行配置，使其支持telnet远程管理。 路由器的命令行操作模式，主要包括：用户模式、特权模式、全局配置模式、端口模式等等几种。 ?用户模式进入路由器后得到的第一个操作模式，该模式下可以简单查看路由器
的软、硬件版本信息，并进行简单的测试。用户模式提示符为Red-Giant> ?特权模式由用户模式进入的下一级模式，该模式下可以对路由器的配置文件进行管理，查看路由器的配置信息，进行网络的测试和调试等。特权模式提示符为 Red-Giant# ?全局配置模式属于特权模式的下一级模式，该模式下可以配置路由器的全局性参数（如主机名、登录信息等）。在该模式下可以进入下一级的配置模式，对路由 器具体的功能进行配置。全局模式提示符为Red-Giant (config)# ?端口模式属于全局模式的下一级模式，该模式下可以对路由器的端口进行参数配置。 Exit命令是退回到上一级操作模式， end命令是直接退回到特权模式 路由器命令行支持获取帮助信息、命令的简写、命令的自动补齐、快捷键功能。 配置路由器的设备名称和路由器的描述信息必须在全局配置模式下执行。 Hostname配置路由器的设备名称即命令提示符的前部分信息。 当用户登录路由器时，你可能需要告诉用户一些必要的信息。你可以通过设置标题来达到这个目的。你可以创建两种类型的标题：每日通知和登录标题。 Banner motd配置路由器每日提示信息motd message of the day。 Banner login配置路由器远程登录提示信息，位于每日提示信息之后。 锐捷路由器接口Fastethernet接口默认情况下是10M/100M自适应端口，双工模式也为自适应。 在路由器的物理端口可以灵活配置带宽，但最大值为该端口的实际物理带宽。 查看路由器的系统和配置信息命令要在特权模式下执行。 Show version查看路由器的版本信息，可以查看到路由器的硬件版本信息和软件版本信息，用于进行路由器操作系统升级时的依据。 Show ip route 查看路由表信息。 Show running-config查看路由器当前生效的配置信息。 【实验步骤】 第一步：路由器命令行的基本功能 RSR20>? ！使用？显示当前模式下所有可执行的命令 Exec commands: <1-99> Session number to resume disable Turn off privileged commands disconnect Disconnect an existing network connection enable Turn on privileged commands exit Exit from the EXEC help Description of the interactive help system lock Lock the terminal ping Send echo messages ping6 ping6
华为路由器路由策略和策略路由配置与管理
路由策略和策略路由配置管理 一、路由策略简介 路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变网络流量所经过的路径。 路由协议在发布、接收和引入路由信息时，根据实际组网需求实施一些策略，以便对路由信息进行过滤和改变路由信息的属性，如： 1、控制路由的接收和发布 只发布和接收必要、合法的路由信息，以控制路由表的容量，提高网络的安全性。 2、控制路由的引入 在一种路由协议在引入其它路由协议发现的路由信息丰富自己的路由信息时，只引入一部分满足条件的路由信息。 3、设置特定路由的属性 修改通过路由策略过滤的路由的属性，满足自身需要。 路由策略具有以下价值： 通过控制路由器的路由表规模，节约系统资源；通过控制路由的接收、发布和引入，提高网络安全性；通过修改路由属性，对网络数据流量进行合理规划，提高网络性能。 二、基本原理 路由策略使用不同的匹配条件和匹配模式选择路由和改变路由属性。在特定的场景中，路由策略的6种过滤器也能单独使用，实现路由过滤。若设备支持BGP to IGP功能，还能在IGP引入BGP路由时，使用BGP私有属性作为匹配条件。 图1 路由策略原理图 如图1，一个路由策略中包含N（N>=1）个节点（Node）。路由进入路由策略后，按节点序号从小到大依次检查各个节点是否匹配。匹配条件由If-match子句定义，涉及路由信息的属性和路由策略的6种过滤器。 当路由与该节点的所有If-match子句都匹配成功后，进入匹配模式选择，不再匹配其他节点。
匹配模式分permit和deny两种： permit：路由将被允许通过，并且执行该节点的Apply子句对路由信息的一些属性进行设置。 deny：路由将被拒绝通过。 当路由与该节点的任意一个If-match子句匹配失败后，进入下一节点。如果和所有节点都匹配失败，路由信息将被拒绝通过。 过滤器 路由策略中If-match子句中匹配的6种过滤器包括访问控制列表ACL（Access Control List）、地址前缀列表、AS 路径过滤器、团体属性过滤器、扩展团体属性过滤器和RD属性过滤器。 这6种过滤器具有各自的匹配条件和匹配模式，因此这6种过滤器在以下的特定情况中可以单独使用，实现路由过滤。 1、ACL ACL是将报文中的入接口、源或目的地址、协议类型、源或目的端口号作为匹配条件的过滤器，在各路由协议发布、接收路由时单独使用。在Route-Policy的If-match子句中只支持基本ACL。 2、地址前缀列表（IP Prefix List） 地址前缀列表将源地址、目的地址和下一跳的地址前缀作为匹配条件的过滤器，可在各路由协议发布和接收路由时单独使用。 每个地址前缀列表可以包含多个索引（index），每个索引对应一个节点。路由按索引号从小到大依次检查各个节点是否匹配，任意一个节点匹配成功，将不再检查其他节点。若所有节点都匹配失败，路由信息将被过滤。 根据匹配的前缀不同，前缀过滤列表可以进行精确匹配，也可以进行在一定掩码长度范围内匹配。 说明： 当IP地址为0.0.0.0时表示通配地址，表示掩码长度范围内的所有路由都被Permit或Deny。 3、AS路径过滤器（AS_Path Filter） AS路径过滤器是将BGP中的AS_Path属性作为匹配条件的过滤器，在BGP发布、接收路由时单独使用。 AS_Path属性记录了BGP路由所经过的所有AS编号。 4、团体属性过滤器（Community Filter） 团体属性过滤器是将BGP中的团体属性作为匹配条件的过滤器，在BGP发布、接收路由时单独使用。 BGP的团体属性是用来标识一组具有共同性质的路由。 5、扩展团体属性过滤器（Extcommunity Filter） 扩展团体属性过滤器是将BGP中的扩展团体属性作为匹配条件的过滤器，可在VPN配置中利用VPN Target区分路由时单独使用。 目前，扩展团体属性过滤器仅应用于对VPN中的VPN Target属性的匹配。VPN Target属性在BGP/MPLS IP VPN 网络中控制VPN路由信息在各Site之间的发布和接收。 6、RD属性过滤器（Route Distinguisher Filter） RD团体属性过滤器是将VPN中的RD属性作为匹配条件的过滤器，可在VPN配置中利用RD属性区分路由时单独使用。 VPN实例通过路由标识符RD实现地址空间独立，区分使用相同地址空间的前缀。 BGP to IGP功能 BGP to IGP功能使IGP能够识别BGP路由的Community、Extcommunity、AS-Path等私有属性。 在IGP引入BGP路由时，可以应用路由策略。只有当设备支持BGP to IGP功能时，路由策略中才可以使用BGP 私有属性作为匹配条件。如果设备不支持BGP to IGP功能，那么IGP就不能够识别BGP路由的私有属性，将导致匹配条件失效。
联想网御Power V系列配置案例集11(静态、默认、策略、ISP路由配置案例)
11.1 静态路由配置 配置需求：访问目的网络2.2.2.0/24，下一跳为192.168.83.108。 （1）进入到【路由管理】-【基本路由】-【静态路由表】中，新建一条静态路由表。 （2）目的地址：需要访问的目标网络 掩码：目标网络的掩码 下一跳地址：防火墙流出网口的对端设备地址 Metric：优先级，metric值越小优先级越高 网络接口：防火墙的流出接口 （3）在进入到【状态监控】-【状态信息】-【网络测试】中选择【routeshow】，开始调试。 如果静态路由生效，如下图所示。
注意事项： （1）下一跳地址一定要输入正确，这个地址不是防火墙的出口地址。 （2）下一跳地址一定可达有效的地址，可以在【状态监控】-【状态信息】-【网络测试】测试下可达性。 11.2 默认路由配置 配置需求：经过防火墙的数据包全部转发给211.211.211.210. （1）进入到【路由管理】-【基本路由】-【默认路由】中，新建一条默认路由。 （2）默认网关：211.211.211.210； 权重值：多条默认路由时使用，权重越大负载分担时流经的数据包所占比重越高
（3）在进入到【状态监控】-【状态信息】-【网络测试】中选择【routeshow】，开始调试。 如果默认路由生效，如下图所示。 注意事项： (1) 配置多条默认路由时，一定勾选【启用基于状态回包功能】，权重值越大，分担的流量越多。 (2) 默认路由生效了，在【状态监控】-【状态信息】-【网络测速】中选择【ping】下网关地址，确保可达性。 11.3 策略路由配置
配置需求：内网192.168.1.0/24网段访问8.8.8.0/24通过eth0口路由出去。 （1）进入到【路由管理】-【基本路由】-【策略路由】中，新建一条高级路由表。 命名路由表名称和路由表ID 点击新建路由表后面的操作按钮，新建路由表内容
静态路由设置实例解析
静态路由设置实例解析 随着宽带接入的普及，很多家庭和小企业都组建了局域网来共享宽带接入。而且随着局域 网规模的扩大，很多地方都涉及到2台或以上路由器的应用。当一个局域网内存在2台以 上的路由器时，由于其下主机互访的需求，往往需要设置路由。由于网络规模较小且不经 常变动，所以静态路由是最合适的选择。 本文作为一篇初级入门类文章，会以几个简单实例讲解静态路由，并在最后讲解一点 关于路由汇总（归纳）的知识。由于这类家庭和小型办公局域网所采用的一般都是中低档 宽带路由器，所以这篇文章就以最简单的宽带路由器为例。（其实无论在什么档次的路由 器上，除了配置方式和命令不同，其配置静态路由的原理是不会有差别的。）常见的 1WAN口、4LAN口宽带路由器可以看作是一个最简单的双以太口路由器＋一个4口小交换机，其WAN口接外网，LAN口接内网以做区分。 路由就是把信息从源传输到目的地的行为。形象一点来说，信息包好比是一个要去某 地点的人，路由就是这个人选择路径的过程。而路由表就像一张地图，标记着各种路线， 信息包就依靠路由表中的路线指引来到达目的地，路由条目就好像是路标。在大多数宽带 路由器中，未配置静态路由的情况下，内部就存在一条默认路由，这条路由将LAN口下所 有目的地不在自己局域网之内的信息包转发到WAN口的网关去。宽带路由器只需要进行 简单的WAN口参数的配置，内网的主机就能访问外网，就是这条路由在起作用。本文将 分两个部分，第一部分讲解静态路由的设置应用，第二部分讲解关于路由归纳的方法和作用。 下面就以地瓜这个网络初学者遇到的几个典型应用为例，让高手大虾来说明一下什么 情况需要设置静态路由，静态路由条目的组成，以及静态路由的具体作用。 例一：最简单的串连式双路由器型环境 这种情况多出现于中小企业在原有的路由器共享Internet的网络中，由于扩展的需要，再接入一台路由器以连接另一个新加入的网段。而家庭中也很可能出现这种情况，如用一 台宽带路由器共享宽带后，又加入了一台无线路由器满足无线客户端的接入。 地瓜：公司里原有一个局域网LAN 1，靠一台路由器共享Internet，现在又在其中添加 了一台路由器，下挂另一个网段LAN 2的主机。经过简单设置后，发现所有主机共享Internet没有问题，但是LAN 1的主机无法与LAN 2的主机通信，而LAN 2的主机却能Ping通LAN 1下的主机。这是怎么回事？ 大虾：这是因为路由器隔绝广播，划分了广播域，此时LAN 1和LAN 2的主机位于两 个不同的网段中，中间被新加入的路由器隔离了。所以此时LAN 1下的主机不能“看”到LAN 1里的主机，只能将信息包先发送到默认网关，而此时的网关没有设置到LAN 2的路
实验三、路由器的基本配置
实验三路由器的基本配置 实验目的： 1、熟悉路由器几种模式，熟练应用快捷键 2、了解路由器的一般配置步骤 3、熟悉基本的配置命令，会查看命令参数 4、理解路由器各种口令的作用，并会恢复路由器的口令 实验知识要点： 路由器的软件和硬件结构 IOS（Internetwork Operating System）：路由器的操作系统 CPU：中央处理单元，和计算机一样，它是路由器的控制和运算部件。 RAM/DRAM：内存，用于存储临时的运算结果，如：路由表、ARP表、快速交换缓存、缓冲数据包、数据队列、当前配置。RAM中的数据在路由器断电后是会丢失的。 FLASH：可擦除、可编程的ROM，用于存放路由器的IOS，FLASH的可擦除特性允许我们更新、升级IOS而不用更换路由器内部的芯片。路由器断电后，FLASH的内容不会丢失。FLASH容量较大时，就可以存放多个IOS版本。 NVRAM：非易失性RAM，用于存放路由器的配置文件，路由器断电后，NVRAM中的内容仍然保持。 ROM：只读存储器，存储了路由器的开机诊断程序、引导程序和特殊版本的IOS软件（用于诊断等有限用途），ROM 中软件升级时需要更换芯片。 接口（Interface）：用于网络连接，路由器就是通过这些接口和不同的网络进行连接的。 （背板图片） 路由器的启动过程：
ser mode）：通常用来查看路由器的状态。在此状态下，无法对路由器进行配置，可以查看的路由器信息也做全局性修改和设置的模式，还可以向下分为一些子模式，比 CLI（Command Line Interface）：是Cisco的IOS是命令行界面，有两种基本工作模式：（如下图） 用户模式（U 是有限的； 特权模式（Privilege mode）：可以更改路由器的配置，当然也可以查看路由器的所有信息。 全局配置模式：不能使用查看性质的命令，但是确实 如接口配置模式、线路配置模式、路由进程配置模式等
CISCO 策略路由(PBR)配置实例
CISCO 策略路由（PBR）配置实例 时间:2010-02-17 22:56来源:未知作者:admin 点击:142次 策略路由选择可以选择修改下一跳地址以及标记数据包来提供不通的网络服务。PBR一般用于修改基于源地址的下一跳地址。推荐实现方式：PBR给于外发IP数据包标记IP优先位，这样方便了实施QoS策略。一般来说，PBR是通过路由映射来配置的。看个详细配置实例，你 策略路由选择可以选择修改下一跳地址以及标记数据包来提供不通的网络服务。PBR一般用于修改基于源地址的下一跳地址。推荐实现方式：PBR给于外发IP数据包标记IP优先位，这样方便了实施QoS策略。一般来说，PBR是通过路由映射来配置的。 看个详细配置实例，你会更加明白： 定义了两个访问列表：10和20，经过配置使来自网络192.168.1.0/24的数据包的下一跳地址改为192.168.100.1；使来自 192.168.2.0/24的数据包的下一跳地址改为192.168.100.2.其他源始发的数据包正常路由。 命令如下： My3377(config)#access-list 10 permit 192.168.1.0 //用访问控制列表先抓取路由 My3377(config)#access-list 20 permit 192.168.2.0 My3377(config)#route-map nexthop permit 10 //起个名字 My3377(config-route-map)#match ip address 10 //匹配一个列表 My3377(config-route-map)#set ip next-hop 192.168.100.1 //设置一个策略 My3377(config-route-map)#exit My3377(config)#route-map nexthop permit 20 My3377(config-route-map)#match ip address 20 My3377(config-route-map)#set ip next-hop 192.168.100.2 My3377(config-route-map)#exit My3377(config)#route-map nexthop permit 30 My3377(config)#int s2/1
华为策略路由配置实例
华为策略路由配置实例 1、组网需求 ?????????????????图1?策略路由组网示例图 ????公司希望上送外部网络的报文中，IP优先级为4、5、6、7的报文通过高速链路传输，而IP优先级为0、1、2、3的报文则通过低速链路传输。 2、配置思路 1、创建VLAN并配置各接口，实现公司和外部网络设备互连。 2、配置ACL规则，分别匹配IP优先级4、5、6、7，以及IP优先级0、1、2、3。 3、配置流分类，匹配规则为上述ACL规则，使设备可以对报文进行区分。 5、配置流策略，绑定上述流分类和流行为，并应用到接口GE2/0/1的入方向上，实现策略路由。 3、操作步骤 3.1、创建VLAN并配置各接口 #?在Switch上创建VLAN100和VLAN200。
[Switch]?interfacegigabitethernet1/0/2 [Switch-GigabitEthernet1/0/2]?portlink-typetrunk [Switch-GigabitEthernet1/0/2]?porttrunkallow-passvlan100200 [Switch-GigabitEthernet1/0/2]?quit [Switch]?interfacegigabitethernet2/0/1 [Switch-GigabitEthernet2/0/1]?portlink-typetrunk [Switch-GigabitEthernet2/0/1]?porttrunkallow-passvlan100200 [Switch-GigabitEthernet2/0/1]?quit 配置LSW与Switch对接的接口为Trunk类型接口，并加入VLAN100和VLAN200。#?创建VLANIF100和VLANIF200，并配置各虚拟接口IP地址。 [Switch]?interfacevlanif100 [Switch-Vlanif100]?ipaddress24 [Switch-Vlanif100]?quit [Switch]?interfacevlanif200 [Switch-Vlanif200]?ipaddress24 [Switch-Vlanif200]?quit 3.2、配置ACL规则 #?在Switch上创建编码为3001、3002的高级ACL，规则分别为允许IP优先级0、1、2、3和允许IP优先级4、5、6、7的报文通过。 [Switch]?acl3001 [Switch-acl-adv-3001]?rulepermitipprecedence0 [Switch-acl-adv-3001]?rulepermitipprecedence1 [Switch-acl-adv-3001]?rulepermitipprecedence2
H3C策略路由配置及实例
H3C策略路由配置及实例 2010-07-19 09:21 基于策略路由负载分担应用指导介绍 特性简介 目前网吧对网络的可靠性和稳定性要求越来越高，一般网吧与运营商都有两条线路保证一条线路出现故障时能够有另一条链路作为备份。当两条线路都正常时为了减少一条线路流量压力，将流量平均分配到另外一条线路，这样提高了网络速度。当一条链路出现故障接口DOWN掉时，系统自动将流量全部转到另一条线路转发，这样提高了网络的稳定性、可靠性。满足网吧对业务要求不能中断这种需求，确保承载的业务不受影响。 使用指南 使用场合 本特性可以用在双链路的组网环境内，两条链路分担流量。保证了网络的可靠性、稳定性。 配置指南 本指南以18-22-8产品为例，此产品有2个WAN接口。ethernet2/0、ethernet3/0互为备份。 可以通过以下几个配置步骤实现本特性： 1) 配置2个WAN接口是以太链路，本案例中以以太网直连连接方式为例； 2) 配置静态路由，并设置相同的优先级； 3) 配置策略路由将流量平均分配到2条链路上。 2 注意事项 两条路由的优先级相同。 配置策略路由地址为偶数走wan1,地址为奇数走wan2。 策略路由的优先级高于路由表中的优先级。只有策略路由所使用的接口出现down后，路由比表中配置的路由才起作用。 3 配置举例 组网需求 图1为2条链路负载分担的典型组网。 路由器以太网口ETH2/0连接到ISP1，网络地址为142.1.1.0/30，以太网口ETH3/0连接到ISP2，网络地址为162.1.1.0/30；以太网口ETH1/0连接到网吧局域网，私网IP网络地址为192.168.1.0/24。
C路由器配置实例
通过在外网口配置nat基本就OK了，以下配置假设Ethernet0/0为局域网接口，Ethernet0/1为外网口。 1、配置内网接口（Ethernet0/0）： [MSR20-20] interface Ethernet0/0 [MSR20-20- Ethernet0/0]ip add 24 2、使用动态分配地址的方式为局域网中的PC分配地址 [MSR20-20]dhcp server ip-pool 1 [MSR20-20-dhcp-pool-1]network 24 [MSR20-20-dhcp-pool-1]dns-list [MSR20-20-dhcp-pool-1] gateway-list 3、配置nat [MSR20-20]nat address-group 1 公网IP 公网IP [MSR20-20]acl number 3000 [MSR20-20-acl-adv-3000]rule 0 permit ip 4、配置外网接口（Ethernet0/1） [MSR20-20] interface Ethernet0/1 [MSR20-20- Ethernet0/1]ip add 公网IP [MSR20-20- Ethernet0/1] nat outbound 3000 address-group 1 5．加默缺省路由 [MSR20-20]route-stac 0.0.0.0 外网网关 总结： 在2020路由器下面, 配置外网口, 配置内网口, 配置acl 作nat, 一条默认路由指向电信网关. ok! Console登陆认证功能的配置 关键词：MSR;console; 一、组网需求： 要求用户从console登录时输入已配置的用户名h3c和对应的口令h3c，用户名和口令正确才能登录成功。
计算机网络实验_路由器配置
计算机网络 计算机科学与技术学院 2011.2
注意事项 1.实验报告封面及报告纸请自行领取。 2.实验报告封面及报告纸的各项内容务必填全。 3.一次上机实验一张报告纸(4次上机共4张)。 4.实验报告上的各栏目严格按本指导书填写。 5.实验室计算机有多个操作系统，启动时选择第1个：Windows XP。
实验室相关说明 一、关于网络设备 1.计算机学院网络实验室采用锐捷网络设备，该种设备的所有命令均与思科相同。因此掌握了锐捷的命令也就掌握了思科的命令。 2.实验室的每个机柜内有4台交换机(型号分别为S2126、S3762)、4台路由器(型号分别为R1762、R2632)与一台实验控制器(位于机柜最上方)。每一实验桌有8台计算机，每一实验桌均对应一个机柜。实验室还设置一台服务器，为方便实验管理，用户在配置交换机与路由器的时候，并不是直接连接到交换机与路由器，而是通过服务器与实验控制器操作交换机与路由器。但是操作界面与直接连接到交换机与路由器是相同的。 二、关于实验方法 1.每台计算机有两个网卡，下面的网卡(命名为“本地连接”)与服务器、实验控制器连在一起形成一个局域网，用于配置交换机与路由器。上面的网卡(命名为“测试连接”)连至机柜内，配置完毕后可以将线连至设备上查看配置结果。因此在配置时要启用“本地连接”，禁用“测试连接”，在查看配置结果时要先设置好测试连接的IP地址，再启用“测试连接”，并禁用“本地连接”。“本地连接”和“测试连接”一定不要同时启用。 2.为通过服务器与实验控制器配置交换机与路由器，要利用浏览器打开服务器Web页面(已设为浏览器的默认主页)，输入用户名与口令登录。单击页面上部的“教学实验”，再单击左侧的“暂无拓扑图”，再选中右侧的“实验台”单选钮，单击“确定”。此时右侧将列出机柜内的所有设备，欲配置设备，需选“申请”，然后再“登录”。 3.登录时将打开超级终端或telnet窗口，此时要输入与刚才输入的相同的用户名与口令，即可连接到设备使用命令进行配置。也有可能在输入用户名与口令后显示“facility not ready”的提示，这说明设备正在重启，此时要耐心等待几分钟才能连接到设备。一台设备同时只能有一个人申请使用，其他人只能等待。因此同一组的8个人要协商好。
华为AR1200 路由器策略路由配置
华为AR1200 路由器策略路由配置 [Huawei]display current-configuration [V200R007C00SPC900] # drop illegal-mac alarm # l2tp enable # ipv6 # ip load-balance hash src-ip # dns resolve dns server 219.141.136.10 dns server 219.141.140.10 dns proxy enable # vlan batch 2 # dhcp enable #
pki realm default enrollment self-signed # ssl policy default_policy type server pki-realm default # aclnumber 2999 rule 5 permit source 172.16.10.0 0.0.1.255 # acl number 3000 1;创建用于策略路由的ACL rule 5 permit ip source 192.168.1.0 0.0.0.255 acl number 3001 用于策略路由及默认路由两个网段之间互通的ACL rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.1.1 0 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.10.0 0.0.1.255 # traffic classifier 2 operator or 2;创建traffic classifier 匹配acl两个网段互通 if-match acl 3001 traffic classifier 1 operator or创建traffic classifier 匹配acl策略路由 if-match acl 3000 # traffic behavior 2 3创建流行为网段互通不做任何行为
最新思科CISCO路由器配置步骤
前思科路由器已经成为路由行业的领军人物，可能好多人还不了解Cisco路由器配置的步骤，没有关系，看完本文你肯定有不少收获，希望本文能教会你更多东西，该单位公司总部在北京，全国有3个分支机构。 要求做到在4个地点的数据能够实时查询，便于业务员根据具体情况作出正确决策。早期方案是使用路由器，通过速率为256Kbps的DDN专网连接北京总部。但技术人员通过市场调研，发现该网络运营成本过高。通过进一步的咨询和调整，最终方案是分支机构使用DDN在本地接入Internet，总部使用以太网就近接入Internet。并对互联的Cisco路由器配置，使用VPN技术，保证内部数据通过Internet安全传输。该企业的网络分布见附图。 配置过程及测试步骤 在实施配置前，需要检查硬件和软件是否支持VPN。对于Cisco路由器配置，要求IOS 版本高于12.0.6(5)T，且带IPSec功能。本配置在Cisco路由器配置通过。以下是分支网络1的路由器实际配置过程，其他路由器的配置方法与此基本一致，只需修改具体的环境参数(IP 地址和接口名称)即可。 配置路由器的基本参数，并测试网络的连通性 (1) 进入Cisco路由器配置模式 将计算机串口与路由器console口连接，并按照路由器说明书配置“终端仿真”程序。执行下述命令进入配置模式。 Router>en Router#config terminal Router(config)# (2)配置路由器的基本安全参数 主要是设置特权口令、远程访问口令和路由器名称，方便远程调试。 Router(config)#enable secret xxxxxxx Router(config)#line vty 0 4 Router(config-line)#password xxxxxx Router(config-line)#exit Router(config)#hostname huadong
路由协议-ip策略路由典型配置
5.5IP策略路由典型配置 5.5.1策略路由基本配置 『需求』 在Router上做策略路由，从40.1.1.0/25来的报文送往S0口，从40.1.1.128/25来的报文送往S1。 【Router】 当前路由器提示视图依次输入的配置命令，重要的命令红色突出显示简单说明 ! 适用版本:vrp1.74/1.44 [Router] acl 1 定义acl1 [Router-acl-1] rule normal permit source 40.1.1.0 0.0.0.127 允许40.1.1.0/25源地址网段 [Router-acl-1] rule normal deny source any 禁止其他任何网段 ! [Router] acl 2 定义acl2 [Router-acl-2] rule normal permit source 40.1.1.128 0.0.0.127 允许40.1.1.128/25源地址 网段 [Router-acl-2] rule normal deny source any 禁止其他任何网段 ! [Router] interface Ethernet0 进入以太0口[Router-ethernet0] ip address 40.1.1.1 255.255.255.0 配置ip地址[Router-ethernet0] ip policy route-policy aaa 应用aaa策略 ! [Router] interface Serial0 进入串口0口[Router-Serial0] link-protocol ppp 封装ppp链路层协议
华为交换机及路由器各种配置实例大全
华为交换机各种配置实例 交换机配置（三）ACL基本配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps
[SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】 对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。 『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate 3 3. 配置acl，定义符合速率限制的数据流