小路小站

CLI Manual – Network Management Review

1. Basic Usage

  • 通过CLI管理网络设备，共有四种模式：用户模式、特权模式、全局配置和接口配置，各种模式具体的功能如下表所示：
Command mode Prompt Remark
User EXEC
用户模式		 Ruijie> 基本测试和显示系统信息
Privileged EXEC
特权模式		 Ruijie# 验证设置（本模式受密码保护，实验室的特权模式14的密码为power）
Global configuration
全局配置		 Ruijie(config)# 配置设备的全局参数
Interface configuration
接口配置		 Ruijie(config-if)# 配置某个特定接口，有些时候if会显示为具体的接口名字

  • 四种模式的相互切换
# 从用户模式进入特权模式，可能需要输入密码
# 实验室设备使用enable 14，密码为power。
Router>enable
# 从特权模式进入全局配置
Router#config t
Enter configuration commands, one per line.  End with CNTL/Z.
# 从全局配置进入接口配置
Router(config)#interface G0/1
# 退出接口配置
Router(config-if)#exit
# 退出全局配置
Router(config)#exit
Router#
%SYS-5-CONFIG_I: Configured from console by console
Router#

2. IP & netmask configuration

  • IP地址和子网掩码是设备最基本的配置，一般会对某个接口或者VLAN（交换机）来配置IP地址，下面以路由器为例子讲解配置方法。
# 配置接口：快速以太网0/1接口，可以简写为int f0/1
Router(config)#interface FastEthernet 0/1
# 配置IP地址和子网掩码
Router(config-if-FastEthernet 0/1)#ip address 10.15.0.1 255.255.192.0
# 退出接口配置
Router(config-if-FastEthernet 0/1)#exit
# 配置接口：串行接口2/0
Router(config)#interface Serial 2/0
# 配置IP地址和子网掩码
Router(config-if-Serial 2/0)#ip address 192.168.15.2 255.255.255.128
# 退出配置
Router(config-if-Serial 2/0)#exit
# 配置默认网关，两种方法
Router(config)#ip default-gateway 10.5.24.1
Router(config)#ip default-network 10.5.24.1

3. Static route configuration

  • 静态路由的配置：静态路由配置需要告诉每个路由器所有网络的“方位”，所谓方位就是路由器下一跳的地址，注意下一跳的地址应该是连接的另一个路由器的接口，不应为本路由器的接口。
# 添加到10.15.64.0/18网络的静态路由，下一跳地址为192.168.15.1
Router(config)#ip route 10.15.64.0 255.255.192.0  192.168.15.1
# 添加到192.168.15.128/25网络的静态路由，下一跳地址为192.168.15.1
Router(config)#ip route 192.168.15.128 255.255.255.128  192.168.15.1
# 添加到10.15.128.0/18网络的静态路由，下一跳地址为192.168.15.1
Router(config)#ip route 10.15.128.0 255.255.192.0  192.168.15.1
  • 查看路由表，路由表中会显示所有学习到了网络的信息。
# 查看路由表
Router(config)#show ip route
Codes:  C - connected, S - static, R - RIP, B - BGP
    O - OSPF, IA - OSPF inter area
    N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
    E1 - OSPF external type 1, E2 - OSPF external type 2
    i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
    ia - IS-IS inter area, * - candidate default
Gateway of last resort is no set
C    10.15.128.0/18 is directly connected, FastEthernet 0/1
C    10.15.128.1/32 is local host.
C    192.168.15.128/25 is directly connected, Serial 2/0
C    192.168.15.130/32 is local host.

4. RIP Configuration

  • 静态路由配置起来比较麻烦，需要手动通告所有的网络，在大型网络中这样显然不现实。所以又有了动态路由选择协议，动态路由选择协议只需要在本机通告直接连接的网络即可，然后会自动从过其他路由节点学习其他的网络。内部网关选择协议主要应用的是RIP和OSPF，外部的主要是BGP（不介绍），现在介绍RIP的配置。
# 进入RIP配置
Router(config)#router rip
# 配置RIP协议版本2，即RIP2路由选择协议
Router(config-router)#version 2
# 关闭网络自动汇总
# 如果不关闭的话，就是启用了网络自动汇总
# 比如192.168.15.0/25和192.168.15.128/25
# 因为都是C类网络，所以自动按照/24进行合并为192.168.15.0/24
Router(config-router)#no auto-summary
# 向RIP通告自己直接连接的网络
Router(config-router)#network 10.15.0.0
Router(config-router)#network 192.168.15.0
Router(config-router)#network 192.168.15.128
# 退出RIP配置
Router(config-router)#exit
  • RIP协议还支持进行认证，增强安全性，配置方法如下：
# 配置RIP密钥链
Router(config)#key chain RIP
# 配置密钥1
Router(config-keychain)#key 1
# 配置预共享密钥，密钥为“xiaolu”
Router(config-keychain-key)#key-string xiaolu
# 结束配置
Router(config-keychain-key)#end
  • 配置完成后，需要查看RIP的配置：
# 查看RIP配置
Router#show ip rip database
10.15.0.0/18 auto-summary
10.15.0.0/18 directly connected, GigabitEthernet0/1
10.15.64.0/18 auto-summary
10.15.64.0/18
[2] via 192.168.15.130, 00:00:07, GigabitEthernet0/0
10.15.128.0/18 auto-summary
10.15.128.0/18
[1] via 192.168.15.130, 00:00:07, GigabitEthernet0/0
192.168.15.0/26 auto-summary
192.168.15.0/26 directly connected, Serial0/0/0
192.168.15.64/26 auto-summary
192.168.15.64/26
[1] via 192.168.15.130, 00:00:07, GigabitEthernet0/0
192.168.15.128/26 auto-summary
192.168.15.128/26 directly connected, GigabitEthernet0/0

5. OSPF configuration

  • 在后面的配置中，用的比较多的就是OSPF路由选择协议，同样是要在本地通告直接连接的路由，具体配置方法如下：
# 进入OSPF配置，ID为1
Router(config)#router ospf 1
# 添加网络10.1.1.0/24到区域0
Router(config-router)#network 10.1.1.0 255.255.255.0 area 0
# 添加网络10.1.0.0/24到区域0
Router(config-router)#network 10.1.0.0 255.255.255.0 area 0
# 结束配置
Router(config-router)#end

6. VLAN Configuration (Port-based)

  • VLAN即虚拟局域网，可以实现在一个子网中进行设备的隔离。在基于端口的VLAN中，每个接口的VLAN模式可以设置为“access”和“trunk”，其中access模式是允许某个VLAN标签的数据包通过，而trunk模式则是允许任何VLAN标签的数据包通过，这两种模式适用于不同的接口。一般而言，access接口用于连接终端设备，而trunk接口用于沟通VLAN之间的联系或者用于跨交换机的VLAN，配置VLAN的方法如下。
# 定义VLAN，VLAN的标签是10
Switch(config)#vlan 10
Switch(config-vlan)#exit
# 定义VLAN，VLAN的标签是20
Switch(config)#vlan 20
Switch(config-vlan)#exit
# 进入接口F0/2的配置
Switch(config-vlan)#interface F0/2
# 将接口的VLAN模式配置为access模式
Switch(config-if-FastEthernet 0/2)#switchport mode access
# 接口允许VLAN10的数据包通过
Switch(config-if-FastEthernet 0/2)#switchport access vlan 10
# 退出配置
Switch(config-if-FastEthernet 0/2)#exit
# 进入接口F0/4的配置，含义同上
Switch(config)#interface F0/4
Switch(config-if-FastEthernet 0/4)#switchport mode access
Switch(config-if-FastEthernet 0/4)#switchport access vlan 20
# 进入接口F0/1的配置
Switch(config-if-FastEthernet 0/4)#interface F0/1
# 将接口的VLAN模式配置为trunk模式
Switch(config-if-FastEthernet 0/1)#switchport mode trunk
# 退出配置
Switch(config-if-FastEthernet 0/1)#exit
Switch(config)#exit
  • 定义完了VLAN之后，可以查看VLAN的配置。
# 查看VLAN配置，其中VLAN001为native-VLAN，实际上就是未进行配置的那些接口。
Switch(config)#show vlan
VLAN Name                             Status    Ports
---- -------------------------------- --------- -----------------------------------
   1 VLAN0001                         STATIC    Fa0/3, Fa0/4, Fa0/5, Fa0/6
                                                Fa0/7, Fa0/8, Fa0/9, Fa0/10
                                                Fa0/11, Fa0/12, Fa0/13, Fa0/14
                                                Fa0/15, Fa0/16, Fa0/17, Fa0/18
                                                Fa0/19, Fa0/20, Fa0/21, Fa0/22
                                                Fa0/23, Fa0/24, Gi0/25, Gi0/26
  10 vlan0010                         STATIC    Fa0/1, Fa0/2
  20 vlan0020                         STATIC    Fa0/1, Fa0/2
# 查看接口F0/1的VLAN模式
Switch(config)#show interface f0/1 switchport
Interface                Switchport Mode      Access Native Protected VLAN lists
------------------------ ---------- --------- ------ ------ --------- ----------
FastEthernet 0/1         enabled    TRUNK     1      1      Disabled  10,20
# 查看接口F0/2的VLAN模式
Switch(config)#show interface f0/2 switchport
Interface                Switchport Mode      Access Native Protected VLAN lists
------------------------ ---------- --------- ------ ------ --------- ----------
FastEthernet 0/2         enabled    TRUNK     1      1      Disabled  10,20
  • 在上面的配置中，不同的VLAN之间是不能互相访问的，有些时候我们也需要让不同VLAN之间可以互相访问，这时候就需要使用VLAN间路由（Inter-VLAN Routing）的技术了，VLAN间路由可以通过单臂路由（Router-on-a-stick）或者三层交换机（Layer 3 switch）来实现。
  • 单臂路由（Router-on-a-stick）就是使用一个路由器去“桥接”两个VLAN，两个VLAN通过1个交换机连接到路由器的一个接口，这一个接口要定义两个子接口来为两个VLAN来进行服务。显然这种方法VLAN间的数据传输速率会受到这个接口速率的限制，单臂路由的配置方法如下。
# 定义子接口（Subinterface）fa0/0.10
Router(config)#interface fa0/0.10
# 和VLAN10进行绑定
Router(config-subif)#encapsulation dot1q 10
# 配置子接口的IP地址和子网掩码
Router(config-subif)#ip address 10.15.0.3 255.255.128.0
# 定义子接口fa0/0.20
Router(config-subif)#interface fa0/0.20
# 和VLAN20进行绑定
Router(config-subif)#encapsulation dot1q 20
# 配置子接口的IP地址和子网掩码
Router(config-subif)#ip address 10.15.128.3 255.255.128.0
# 配置父接口开启
Router(config-subif)#interface fa0/0
Router(config-if-FastEthernet 0/0)#no shutdown
# 结束配置
Router(config-if-FastEthernet 0/0)#end
  • 三层交换机（Layer 3 switch）是可以工作在网际层（TCP/IP和OSI的第3层）的交换机设备，简单来说就是普通二层交换机+路由器的合体产品。我们不仅可以通过交换机连接设备划分VLAN，还可以配置VLAN间路由，不必借助路由器，配置方法如下。
# 基本VLAN配置
Switch(config)#vlan 10
Switch(config-vlan)#exit
Switch(config)#vlan 20
Switch(config-vlan)#exit
# 设置接口F0/1为trunk模式
Switch(config)#int f0/1
Switch(config-FastEthernet 0/1)#switchport mod trunk
# 设置接口允许的VLAN标签
Switch(config-FastEthernet 0/1)#switchport trunk allowed vlan remove 1-4094
Switch(config-FastEthernet 0/1)#switchport trunk allowed vlan add 10,20
# 退出配置
Switch(config-FastEthernet 0/1)#exit
# 设置接口F0/2为trunk模式
Switch(config)# int f0/2
Switch(config-FastEthernet 0/2)#switchport mod trunk
# 设置接口允许的VLAN标签
Switch(config-FastEthernet 0/2)#switchport trunk allowed vlan remove 1-4094
Switch(config-FastEthernet 0/2)#switchport trunk allowed vlan add 10,20
# 退出配置
Switch(config-FastEthernet 0/2)#exit
# 针对VLAN10进行接口配置
Switch(config)#int vlan 10
# 配置其IP地址和子网掩码
Switch(config-VLAN 10)#ip address 10.15.0.3 255.255.128.0
# 退出配置
Switch(config-VLAN 10)#exit
# 针对VLAN20进行接口配置，同上
Switch(config)#int vlan 20
Switch(config-VLAN 20)#ip address 10.15.128.3 255.255.128.0
Switch(config-VLAN 20)#exit

7. Access Control List (ACL) Configuration

  • 访问控制列表（ACL）是进行访问控制de一种典型方式，可以按照网络、端口等规则来配置ACL，并部署到不同的接口上，ACL的配置应该尽可能接近被控制端。ACL分为两种，一种是标准ACL，一种是扩展ACL。
  • 标准ACL（Standard ACL）只能根据网络来进行粗粒度的访问控制，编号在1-99之间，其基本格式为：
access-list 编号 permit/deny 网络号 反掩码
  • 其中反掩码就是对普通子网掩码按位取反的结果，要注意ACL的默认配置都是deny，也就是说没有匹配上任何规则的数据包会自动被阻止。标准ACL的具体配置方法如下。
# 定义标准ACL
# 允许网络10.1.1.0/24
Router(config)#access-list 10 permit 10.1.1.0 0.0.0.255
# 允许网络10.3.1.0/24
Router(config)#access-list 10 permit 10.3.1.0 0.0.0.255
# 将ACL配置到接口上
Router(config)#interface G0/1
# 配置为入站规则
Router(config-if)#ip access-group 10 in
# 配置为出站规则
Router(config-if)#ip access-group 10 out
# 退出配置
Router(config-if)#exit
Router(config)#exit
  • 扩展ACL（Extended ACL）可以在标准ACL的基础上进行更细粒度的访问控制，可以针对不同的协议，以及不同的源和目的网络和不同的端口进行配置，编号在100-199之间，其基本格式为：
access-list 编号 permit/deny 协议 源网络 源网络反掩码 源网络端口规则 目的网络 目的网络反掩码 目的网络端口规则
  • 其中端口规则为“eq 端口号/服务名”的形式，扩展ACL的具体配置方法如下。
# 定义扩展ACL
# 允许从任意网络到任意网络的OSPF通信
Router(config)#access-list 101 permit ospf any any
# 允许从10.13.0.0/16网络到任意网络的ICMP通信
Router(config)#access-list 101 permit icmp 10.13.0.0 0.0.255.255 any
# 允许从任意网络到10.13.0.0/16网络的ICMP通信
Router(config)#access-list 101 permit icmp any 10.13.0.0 0.0.255.255
# 允许从任意网络到任意网络的源端口为80的TCP通信
Router(config)#access-list 101 permit tcp any eq 80 any
# 允许从任意网络到任意网络的目的端口为80的TCP通信
Router(config)#access-list 101 permit tcp any any eq 80
# 将ACL配置到接口上，同上
Router(config)#interface S0/1/0
Router(config-if)#ip access-group 101 in
Router(config-if)#ip access-group 101 out
Router(config-if)#interface S0/1/1
Router(config-if)#ip access-group 101 in
Router(config-if)#ip access-group 101 out
Router(config-if)#interface loopback 0
Router(config-if)#ip access-group 101 in
Router(config-if)#ip access-group 101 out

8. NAT Configuration

  • 网络地址转换，即NAT，其定义在网络安全的资料中已经有很多了，做过iptables的同学应该都知道NAT的作用。所以这里就不多介绍了，如果还有不明白的同学可以访问我的博客：深入理解iptables防火墙 – 航大小路，这里只介绍NAT的用法。
  • 实验中用到的是Static NAT，也就是将某台局域网设备直接映射到一个广域网IP地址上，本例中是将局域网中的10.15.0.100映射到192.168.15.2，接口方面FastEthernet 0/0是局域网，Serial 2/0是广域网，配置如下所示。
# 配置NAT静态映射，把192.168.15.2映射给10.15.0.100
Router(config)#ip nat inside source static 10.15.0.100 192.168.15.2
# 配置快速以太网接口0/0为NAT的内部区域
Router(config)#int F0/0
Router(config-if-FastEthernet 0/0)#ip nat inside
Router(config-if-FastEthernet 0/0)#exit
# 配置串行接口2/0为NAT的外部区域
Router(config)#int S2/0
Router(config-if-Serial 2/0)#ip nat outside
Router(config-if-Serial 2/0)#exit
  • 还可以进行地址池的映射
# 定义广域网地址池net192，范围从192.168.15.2/25 到 192.168.15.127/25
Router(config)#ip nat pool net192 192.168.15.2 192.168.15.127 netmask 255.255.255.128
# 定义访问控制列表，允许10.15.0.0/17 网络的设备使用该地址池
Router(config)#access-list 1 permit 10.15.0.0 0.0.127.255
# 配置NAT静态映射，讲10.15.0.0/17网络映射到地址池net192
Router(config)#ip nat inside source list 1 pool net192
# 配置快速以太网接口0/0为NAT的内部区域
Router(config)#int F0/0
Router(config-if-FastEthernet 0/0)#ip nat inside
Router(config-if-FastEthernet 0/0)#exit
# 配置串行接口2/0为NAT的外部区域
Router(config)#int S2/0
Router(config-if-Serial 2/0)#ip nat outside
Router(config-if-Serial 2/0)#exit

9. VRRP Configuration

  • VRRP是一种接口的容灾技术，允许两个接口互为备份，使用同一个虚拟的IP地址和MAC地址，其中一个称为Master，当一个接口停止工作的时候可以自动切换到第二个接口，具体配置如下。
# 配置快速以太网接口0/1
Router(config)#interface f0/1
# 将接口配置为VRRP编号5的虚拟接口，IP地址为110.15.0.1
Router(config-if-FastEthernet 0/1)#vrrp 5 ip 10.15.0.1
*May 28 09:22:24: %VRRP-6-STATECHANGE: FastEthernet 0/1 Grp 5 state Init -> Master.
# 退出配置
Router(config-if-FastEthernet 0/1)#exit
Router(config)#exit
# 查看VRRP配置
Router#show vrrp 5
FastEthernet 0/1 - Group 5
  State is Master
  Virtual IP address is 10.15.0.1 configured
  Virtual MAC address is 0000.5e00.0105
  Advertisement interval is 1 sec
  Preemption is enabled
    min delay is 0 sec
  Priority is 255
  Master Router is 10.15.0.1 (local), priority is 255
  Master Advertisement interval is 1 sec
  Master Down interval is 3 sec

10. WLAN Configuration on Wireless AP

  • 无线AP的WLAN配置有点特别，需要使用encapsulation命令封装端口，具体配置如下（并非所有步骤都是必需的）。
# 配置AP的吉比特以太网接口0/1
AP(config)#int g0/1
# 封装虚拟接口
# 如果不使用WLAN功能，只需要配置完这里即可
AP(config-if-GigabitEthernet 0/1)#encapsulation dot1Q 1
AP(config-if-GigabitEthernet 0/1)#exit
# 配置WLAN
AP(config)#dot11 wlan 1
# 配置SSID，也就是我们常说的WLAN广播名称
AP(dot11-wlan-config)#ssid XiaoLu_Group_05_AP
# 配置VLAN（应该是Native VLAN，因为编号是1）
AP(dot11-wlan-config)#vlan 1
# 开启WLAN广播，若不开启则无法被搜索到，只能手动输入网络加入
AP(dot11-wlan-config)#broadcast-ssid
# 配置广播
AP(dot11-wlan-config)#int Dot11radio1/0
# 封装虚拟接口
AP(config-if-Dot11radio 1/0)#encapsulation dot1Q 1
# 配置WLAN-ID为1
AP(config-if-Dot11radio 1/0)#wlan-id 1
Config sub-intferface SSID:XiaoLu_Group_05_AP, VID:1
# 配置WLAN发射信道
# 11信道属于2.4GHz频率。在中国信道11是2.4GHz的最后一个信道
AP(config-if-Dot11radio 1/0)#channel 11
# 配置WLAN的802.11版本
AP(config-if-Dot11radio 1/0)#radio-type 802.11b
# 配置国家代码为中国
AP(config-if-Dot11radio 1/0)#country-code CNI
# 配置信道频宽为40
AP(config-if-Dot11radio 1/0)#chan-width 40
# 启用802.11g支持
AP(config-if-Dot11radio 1/0)#11gsupport enable
# 启用802.11n支持
AP(config-if-Dot11radio 1/0)#11nsupport enable
# 退出配置
AP(config-if-Dot11radio 1/0)#exit

11. Private VLAN Configuration

  • Private VLAN是一种不同于Port-based VLAN的技术，可以实现同一VLAN下某些端口之间的隔离。典型的应用就是我校宿舍区的网络，每个宿舍的端口直接不能互相访问，这种端口称为isolated，但是所有宿舍的端口都可以访问网关（所在的端口），这种端口称为primary，本例中VLAN500是primary，VLAN50是isolated，具体配置方法如下。
# 进入配置
Switch#config
Enter configuration commands, one per line.  End with CNTL/Z.
# 配置快速以太网接口0/1
Switch(config)#int f0/1
# 配置端口模式为private-vlan的host模式
# 此处是将端口配置为isolated
Switch(config-FastEthernet 0/1)#switchport mode private-vlan host
# 配置VLAN之间的关联，500是primary，50是isolated
Switch(config-FastEthernet 0/1)#switchport private-vlan host-association 500 50
# 配置快速以太网接口0/2，同上
Switch(config)#int f0/2
Switch(config-FastEthernet 0/2)#switchport mode private-vlan host
Switch(config-FastEthernet 0/2)#switchport private-vlan host-association 500 50
# 配置快速以太网接口0/3
Switch(config-FastEthernet 0/2)#int f0/3
# 配置端口模式为private-vlan的promiscuous模式
Switch(config-FastEthernet 0/3)#switchport mode private-vlan promiscuous
# 配置VLAN之间的关联，500是primary，50是isolated
Switch(config-FastEthernet 0/3)#switchport private-vlan mapping 500 add 50
# 显示Private VLAN配置，F0/1和F0/2属于isolated接口，VLAN50，F0/3属于primary接口，VLAN500。
Switch(config-FastEthernet 0/3)#show vlan private-vlan
VLAN  Type       Status   Routed   Ports                      Associated VLANs
----- ---------- -------- -------- ------------------------------ ------------------
50    isolated   active   Disabled Fa0/1, Fa0/2                   500
500   primary    active   Disabled Fa0/3                          50

12. SNMP Configuration

  • SNMP是一种网络管理协议，允许在远程管理常见的网络设备，大部分网络设备，比如交换机、路由器、AP等都支持SNMP，甚至是Server也可以配置SNMP，当然了如果想通过SNMP进行管理，设备必须拥有IP地址，即使是AP和交换机这样的设备也是如此。下面以AP为例介绍SNMP的配置。
# 配置SNMP服务器，允许配置的读取
AP(config)#snmp-server community public RO
# 配置SNMP服务器，允许配置的修改
AP(config)#snmp-server community private RW
# 配置SNMP服务器，配置设备位置（可选）
AP(config)#snmp-server location Shenyang
# 配置SNMP服务器，配置联系方式（可选）
AP(config)#snmp-server contact wrlus@outlook.com

已发布

分类

来自

小路

标签：