05操作手册网络与路由协议.docx
《05操作手册网络与路由协议.docx》由会员分享,可在线阅读,更多相关《05操作手册网络与路由协议.docx(101页珍藏版)》请在冰豆网上搜索。
![05操作手册网络与路由协议.docx](https://file1.bdocx.com/fileroot1/2023-2/3/4dfb7540-aae6-4915-8dba-c53f7537aebd/4dfb7540-aae6-4915-8dba-c53f7537aebd1.gif)
05操作手册网络与路由协议
目录
第1章IP地址和IP性能配置1-1
1.1IP地址介绍1-1
1.2IP地址的配置1-4
1.2.1配置接口IP地址1-4
1.2.2IP地址显示和调试1-6
1.2.3IP地址配置举例1-6
1.2.4IP地址配置排错1-7
1.3ARP的配置1-7
1.3.1动态ARP简介1-7
1.3.2静态ARP简介1-8
1.3.3静态ARP的配置1-8
1.3.4ARP显示和调试1-8
1.4DNS的配置1-9
1.4.1域名解析简介1-9
1.4.2静态域名解析的配置1-9
1.5DHCP中继配置1-10
1.5.1DHCP中继技术简介1-10
1.5.2DHCP中继配置1-11
1.5.3DHCP中继显示和调试1-12
1.5.4DHCP典型配置举例1-13
1.5.5DHCP中继排错1-14
1.6IP性能配置1-14
1.6.1配置接口最大传输单元(MTU)1-14
1.6.2配置TCP属性1-14
1.6.3IP性能显示和调试1-15
1.6.4IP性能配置排错1-16
第2章IP路由协议概述2-1
2.1IP路由和路由表介绍2-1
2.1.1路由和路由段2-1
2.1.2通过路由表进行选路2-2
2.2路由管理策略2-3
2.2.1路由协议及其发现路由的优先级2-3
2.2.2对负载分担与路由备份的支持2-4
2.2.3路由协议之间的共享2-5
2.3Eudemon防火墙的路由功能2-5
第3章静态路由配置3-1
3.1静态路由简介3-1
3.1.1静态路由3-1
3.1.2缺省路由3-1
3.2静态路由配置3-1
3.2.1配置静态路由3-2
3.2.2配置缺省路由3-2
3.3路由表的显示和调试3-2
3.4静态路由配置举例3-3
3.5静态路由配置的故障诊断与排除3-4
第4章RIP配置4-1
4.1RIP简介4-1
4.1.1RIP的工作机制4-1
4.1.2RIP的启动和运行过程4-2
4.2RIP的配置4-2
4.2.1启动RIP并进入RIP视图4-3
4.2.2使能指定网段的RIP接口4-3
4.2.3配置报文的定点传送4-4
4.2.4指定接口的RIP版本4-4
4.2.5配置接口报文的零域检查4-4
4.2.6指定接口的工作状态4-5
4.2.7禁止主机路由4-6
4.2.8启动路由聚合功能4-6
4.2.9配置对RIP报文进行认证4-6
4.2.10配置水平分割4-7
4.2.11引入其它协议的路由4-7
4.2.12配置缺省路由权4-8
4.2.13配置RIP协议的优先级4-8
4.2.14配置附加路由权4-9
4.2.15配置路由过滤4-9
4.3RIP显示和调试4-10
4.4RIP典型配置案例4-10
4.4.1配置指定接口的工作状态4-10
4.5RIP故障诊断与排除4-12
第5章OSPF配置5-1
5.1OSPF简介5-1
5.1.1OSPF概述5-1
5.1.2OSPF的路由计算过程5-1
5.1.3OSPF相关的基本概念5-2
5.1.4OSPF的协议报文5-4
5.1.5OSPF的LSA类型5-4
5.1.6VRP支持的OSPF特性5-6
5.2OSPF的配置5-6
5.2.1配置RouterID5-8
5.2.2启动OSPF5-8
5.2.3进入OSPF区域视图5-9
5.2.4在指定网段使能OSPF5-9
5.2.5配置OSPF虚连接5-9
5.2.6配置OSPF网络类型5-10
5.2.7配置邻接点5-11
5.2.8配置OPSF的路由引入5-12
5.2.9配置OSPF的路由过滤5-14
5.2.10配置OSPF的路由聚合5-15
5.2.11配置OSPF优先级5-16
5.2.12配置OSPF定时器5-16
5.2.13配置选举DR时的优先级5-17
5.2.14配置接口发送报文的开销5-18
5.2.15配置OSPF的SPF计算间隔5-19
5.2.16配置发送链路状态更新报文所需时间5-19
5.2.17配置接口发送DD报文时是否填MTU值5-20
5.2.18配置OSPF认证5-20
5.2.19配置接口的工作状态5-21
5.2.20配置OSPF的STUB区域5-21
5.2.21配置OSPF的NSSA区域5-22
5.2.22使能OSPF的Opaque能力5-23
5.2.23配置OSPF与网管系统的配合5-24
5.2.24重启OSPF5-25
5.3OSPF显示和调试5-25
5.4OSPF典型配置举例5-26
5.4.1配置OSPF多进程5-27
5.4.2配置OSPF优先级的“DR”选择5-28
5.4.3配置OSPF虚链路5-30
5.4.4配置OSPF邻居认证5-32
5.5OSPF故障诊断与排除5-34
第6章IP单播策略路由配置6-1
6.1IP单播策略路由简介6-1
6.2IP单播策略路由的配置6-1
6.2.1创建策略6-1
6.2.2配置Route-policy的if-match子句6-2
6.2.3配置Route-policy的apply子句6-2
6.2.4使能/禁止本地策略路由6-3
6.2.5使能/禁止接口策略路由6-3
6.3IP单播策略路由显示和调试6-4
6.4IP单播策略路由典型配置举例6-4
6.4.1配置基于源地址的策略路由6-4
6.4.2配置基于报文大小的策略路由6-5
第1章IP地址和IP性能配置
1.1IP地址介绍
所谓IP地址,是指分配给连接在Internet上的主机的一个唯一的32比特地址。
IP地址一般由两部分组成:
第一部分为网络号码,第二部分为主机号码。
IP地址的结构使我们可以在Internet上方便地进行寻址。
IP地址由美国国防数据网的网络信息中心(NIC)进行分配。
为了方便IP地址的管理以及组网,Internet的IP地址分成五类。
如图1-1所示,IP地址由下列两个字段组成:
●网络号码字段(net-id);网络号码字段的前几位称为类别字段(又称为类别比特),用来区分IP地址的类型。
●主机号码字段(host-id)。
图1-1五类IP地址
D类地址是一种组播地址,主要是留给Internet体系结构委员会IAB(InternetArchitectureBoard)使用。
E类地址保留在今后使用。
目前大量使用中的IP地址属于A、B、C三种中的一种。
在使用IP地址时要知道一些IP地址是保留作为特殊用途的,一般不使用。
下表列出用户可配置的IP地址范围。
表1-1IP地址分类及范围
网络类型
地址范围
用户可用的IP网络范围
说明
A
0.0.0.0~127.255.255.255
1.0.0.0~126.0.0.0
全0的主机号码表示该IP地址就是网络的地址,用于网络路由;
全1的主机号码表示广播地址,即对该网络上所有的主机进行广播;
IP地址0.0.0.0用于启动后不再使用的主机;
网络号码为0的IP地址表示当前网络,可以让机器引用自己的网络而不必知道其网络号;
所有形如127.X.Y.Z的地址都保留作回路测试,发送到这个地址的分组不会输出到线路上,它们被内部处理并当作输入分组。
B
128.0.0.0~191.255.255.255
128.0.0.0~191.254.0.0
全0的主机号码表示该IP地址就是网络的地址,用于网络路由;
全1的主机号码表示广播地址,即对该网络上所有的主机进行广播。
C
192.0.0.0~223.255.255.255
192.0.0.0~223.255.254.0
全0的主机号码表示该IP地址就是网络的地址,用于网络路由;
全1的主机号码表示广播地址,即对该网络上所有的主机进行广播。
D
224.0.0.0~239.255.255.255
无
D类地址是一种组播地址。
E
240.0.0.0~247.255.255.255
无
保留今后使用。
其它地址
255.255.255.255
255.255.255.255
255.255.255.255用于局域网广播地址。
IP地址有一些重要的特点:
(2)IP地址是一种非等级的地址结构,和电话号码的结构不一样,也就是说,IP地址不能反映任何有关主机位置的地理信息。
(3)当一个主机同时连接到两个网络上时(作防火墙用的主机即为这种情况),该主机就必须同时具有两个相应的IP地址,其网络号码net-id是不同的,这种主机成为多地址主机(multihomedhost)。
(4)按照Internet的观点,用转发器或网桥连接起来的若干个局域网仍为一个网络,因此这些局域网都具有同样的网络号码net-id。
(5)在IP地址中,所有分配到网络号码net-id的网络(不管是小的局域网还是很大的广域网)都是平等的。
从1985年起,为了使IP地址的使用更加灵活,只分配IP地址的网络号码net-id,而后面的主机号码host-id则是受本单位控制。
即某个单位申请到IP地址时,实际上只是拿到了一个网络号码net-id,具体的各个主机号码host-id则由该单位自行分配,只要做到在该单位管辖的范围内无重复的主机号码即可。
当一个单位的主机很多而且分布在很大的地理范围时,为了便于管理,可将单位内部的主机号码再进一步划分为多个子网。
需要注意的是,子网的划分纯属本单位内部的事,在本单位以外是看不见划分的操作。
从外部看,这个单位只有一个网络号码。
只有当外面的报文进入到本单位范围后,本单位的防火墙才根据子网号码再进行选路,找到目的主机。
如图1-2所示,为一个B类IP地址划分子网情况,其中子网掩码由一串连续的“1”和一串连续的“0”组成。
“1”对应于网络号码和子网号码字段,而“0”对应于主机号码字段。
图1-1IP地址子网划分
多划分出一个子网号码字段是要付出代价的。
举例来说,本来一个B类IP地址可以容纳65534个主机号码。
但划分出6bit长的子网字段后,最多可有64个子网,每个子网有10bit的主机号码,即每个子网最多可有1022(210-2,去掉全1和全0的主机号码)个主机号码。
因此主机号码的总数是64*1022=65408个,比不划分子网时要少126个。
若一个单位不进行子网的划分,则其子网掩码即为默认值,此时子网掩码中“1”的长度就是网络号码的长度。
因此,对于A,B和C类的IP地址,其对应子网掩码的默认值分别为255.0.0.0;255.255.0.0.和255.255.255.0。
一台防火墙用来连接多个网络,具有多个网络的IP地址。
上面讲的IP地址还不能直接用来进行通信。
这是因为:
●IP地址只是主机在网络层中的地址,若要将网络层中传送的数据报交给目的主机,必须知道该主机的物理地址。
因此必须将IP地址解析为物理地址。
●用户平时不愿意使用难于记忆的IP地址,而是愿意使用易于记忆的主机名,因此也需要将主机名解析为IP地址。
下图表示了主机名、IP地址和物理地址之间的关系。
图1-2主机名、IP地址和物理地址之间的关系
1.2IP地址的配置
1.2.1配置接口IP地址
防火墙的每个接口可以配置多个IP地址,其中一个为主IP地址,其余为从IP地址。
IP地址的配置支持如下情况:
●父接口和子接口之间可以是同一网段
●兄弟接口之间可以是同一网段
●主从地址可以是同一网段
1.配置接口主IP地址
一个接口只能有一个主IP地址,用下面的命令可修改接口的主IP地址和网络的掩码。
请在接口视图下进行下列配置。
表1-1配置接口主IP地址
操作
命令
配置接口主IP地址
ipaddressip-addressnet-mask
通过掩码来标识IP地址包含的网号,例如:
防火墙以太网口的IP地址是129.9.30.42,掩码是255.255.0.0,将IP地址与掩码相“与”后,可知防火墙以太网接口所在网段的地址为129.9.0.0。
当配置主IP地址时,如果接口上已经有主IP地址,则原主IP地址被删除,新配置的地址成为主IP地址。
缺省情况下,无主IP地址。
2.配置接口从IP地址
除了主IP地址外,一个接口上还可配置多个从IP地址。
配置从IP地址的主要目的在于使同一接口能位于不同的子网上,从而产生以同一接口为输出端口的网络路由,这样通过同一接口实现与多个子网相连。
请在接口视图下进行下列配置。
表1-1配置接口从IP地址
操作
命令
配置接口从IP地址
ipaddressip-addressnet-masksub
缺省情况下,无从IP地址。
3.删除接口IP地址
请在接口视图下进行下列配置。
表1-1删除接口IP地址
操作
命令
删除IP地址
undoipaddress[ip-addressnet-mask[sub]]
使用该命令时若不带任何参数,将删除该接口的所有IP地址。
undoipaddress命令不带任何参数表示删除该接口的所有IP地址。
undoipaddressip-addressnet-mask表示删除主IP地址,undoipaddressip-addressnet-masksub表示删除从IP地址。
在删除主IP地址前必须先删除完所有的从IP地址。
4.配置接口IP地址可协商属性
若接口封装了PPP,本端接口还未配置IP地址而对端已有IP地址时,可为本端接口配置IP地址可协商属性(在本端防火墙上配置ipaddressppp-negotiate命令,在对端防火墙上配置remoteaddress命令),使本端接口接受PPP协商产生的由对端分配的IP地址。
该配置主要用于在通过ISP访问Internet时,得到由ISP分配的IP地址。
请在接口视图下进行下列配置。
表1-1配置接口IP地址可协商属性
操作
命令
配置接口IP地址可协商属性
ipaddressppp-negotiate
取消接口IP地址可协商属性
undoipaddressppp-negotiate
配置为对端接口分配IP地址
remoteaddress{ip-address|pool[pool-number]}
取消为对端接口分配IP地址
undoremoteaddress
系统缺省为不允许接口IP地址的协商。
注意:
●因PPP支持IP地址的协商,所以只有当接口封装了PPP时,才能配置接口IP地址的协商,当PPP协议down时,协商产生的IP地址将被删除。
●若接口原来配有地址,在配置接口IP地址协商后,原IP地址将被删除。
●配置接口IP地址协商后,不需再给该接口配IP地址,IP地址由协商获得。
●配置接口IP地址协商后,再次配置该接口协商,原协商产生的IP地址将被删除,接口再次协商获得IP地址。
●在协商地址被删除后,接口将处于无地址状态。
●Loopback的地址可被其它接口借用,但本身不能借用其它接口的地址。
1.2.2IP地址显示和调试
在完成上述配置后,在所有视图下执行display命令可以显示IP地址配置后的运行情况,通过查看显示信息验证配置的效果。
表1-1IP地址显示和调试
操作
命令
显示各接口的配置状况
displayipinterface[interface-typeinterface-number|interface-name]
1.2.3IP地址配置举例
1.组网需求
为防火墙以太网口Ethernet1/0/0配置IP地址,要求主IP地址为129.2.2.1,从地址为129.1.3.1。
2.组网图
图1-1为防火墙接口配置主从IP地址
3.配置步骤
#配置防火墙以太网口Ethernet1/0/0的主从IP地址。
[Eudemon]interfaceethernet1/0/0
[Eudemon-Ethernet1/0/0]ipaddress129.2.2.1255.255.255.0
[Eudemon-Ethernet1/0/0]ipaddress129.1.3.1255.255.255.0sub
1.2.4IP地址配置排错
Eudemon防火墙提供网络互连功能,因而在给接口配置IP地址时,我们必须明白组网需求和子网的划分。
一般应遵循如下原则:
●防火墙以太网口主IP地址必须与该以太网口所连的局域网在同一网段。
故障之一:
从防火墙ping局域网中某一主机不通。
故障排除:
●首先检查防火墙以太网口和局域网中主机的IP地址配置,是否位于同一网段。
●如果配置正确,可以在防火墙上打开arp调试开关,查看防火墙是否正确地发送和接收arp报文,如果只有发送,没有接收到arp报文,则有可能以太网物理层有问题。
故障之二:
接口封装PPP或帧中继等协议时,链路层协议状态没有变为UP。
故障排除:
检查该接口IP地址与对端是否在同一网段上。
1.3ARP的配置
1.3.1动态ARP简介
ARP即地址解析协议,主要用于从IP地址到以太网MAC地址的解析。
一般情况下,ARP动态执行并自动寻求IP地址到以太网MAC地址的解析,无需管理员的介入。
1.3.2静态ARP简介
在某些情况下,如将目的地址不在本网段的报文,绑定到某个特定网卡,使得到该IP地址的报文能通过该网关进行转发;或是当用户需要过滤掉一些非法IP地址(如将这些非法地址绑定到某个不存在的MAC地址),就需要用户手工配置静态ARP表中的映射项。
1.3.3静态ARP的配置
静态ARP配置包括:
●手工添加/删除静态ARP映射项
请在系统视图下进行下列配置。
表1-1手工添加/删除静态ARP映射项
操作
命令
手工添加静态ARP映射项
arpstaticip-addressethernet-address[vpn-instance-name]
手工删除静态ARP映射项
undoarpip-address[vpn-instance-name]
静态ARP映射项在防火墙正常工作时间一直有效,而动态ARP映射项的有效时间为20分钟。
缺省情况下,由动态ARP协议获取地址映射。
1.3.4ARP显示和调试
在完成上述配置后,在所有视图下执行display命令可以显示ARP配置后的运行情况,通过查看显示信息验证配置的效果。
执行reset命令可以清除该运行情况。
在用户视图下,执行debugging命令可以对ARP进行调试。
表1-1ARP显示和调试
操作
命令
显示ARP映射表
displayarp[static|dynamic|all]
清除ARP映射表中的ARP项
resetarp[all|dynamic|static|interface{interface-typeinterface-number|interface-name}]
打开ARP调试信息开关
debuggingarppacket
1.4DNS的配置
1.4.1域名解析简介
TCP/IP不仅提供了IP地址来确定设备,而且还专门设计了一种字符串形式的主机命名机制。
这就是所谓的域名系统。
此系统使用一种有层次的命名方式,为网间网上的设备指定一个有意义的名字,并且在网络上设有域名解析服务器,完成域名与IP地址的对应关系。
这样一来用户就可以使用便于记忆的、有意义的域名,而不必去记忆晦涩难懂的IP地址。
域名解析分为动态解析和静态解析,二者可以相辅相成,在解析域名时,可以首先采用静态解析的方法,如果静态解析不成功,再采用动态解析的方法。
可以将一些常用的域名放入静态域名解析表中,这样可以大大提高域名解析效率。
●动态解析有专用的域名解析服务器,负责接受客户提出的域名解析请求,服务器首先在本机数据库内部解析,如果判断不属于本域范围之内,就将请求交给上一级的域名解析服务器,直到完成解析,解析的结果或者为IP地址,或者域名不存在,并将解析的结果反馈给客户机。
●静态解析即手动建立域名和IP地址之间的对应关系。
当客户机需要域名所对应的IP地址,即到静态域名解析表中去查找指定的域名,然后获得所对应的IP地址。
1.4.2静态域名解析的配置
1.静态域名解析简介
静态域名解析是通过静态域名解析表进行的,静态域名解析表类似于Windows9X操作系统之下的hosts文件,防火墙可以通过查询此表而获取常见域名的IP地址,同时用户可以使用便于记忆的主机名而不是抽象的IP地址来访问相应的设备。
2.配置主机名和对应IP地址
请在系统视图下进行下列操作。
表1-1配置主机名和对应IP地址
操作
命令
配置主机名和对应IP地址
iphosthostnameip-address
取消主机名和对应的IP地址
undoiphosthostname[ip-address]
3.域名解析表显示和调试
表1-1域名解析表显示和调试
操作
命令
显示静态域名解析表
displayiphost
1.5DHCP中继配置
1.5.1DHCP中继技术简介
随着网络规模的不断扩大、网络复杂度的不断提高,进行网络配置也变得越来越复杂,原有的针对静态主机配置的BOOTP协议已经越来越不适应人们的需求了。
在计算机经常移动(如便携机的使用或无线网络)和实际计算机数量超过可分配的IP地址等场合下,BOOTP协议显得尤为捉襟见肘。
为方便用户快速接入和退出网络、提高IP地址资源的利用率以及支持无盘网络工作站等机制,在BOOTP协议的基础上,人们制定了动态主机配置协议(DynamicHostConfigurationProtocol,DHCP)。
与BOOTP协议一样,DHCP协议也是以客户机/服务器(Client/Server)模式工作的。
利用该协议,DHCP客户机可以向DHCP服务器动态地请求配置信息,包括分配的IP地址、子网掩码、缺省网关等重要参数,而DHCP服务器也可以很方便地为其动态配置这些信息。
早期的DHCP协议只适用于DHCP客户机和服务器处于同一个子网内的情况,不可以跨网段工作。
因此,为进行动态主机配置,需要在所有网段上都配置一个DHCP服务器——这显然是不经济的。
DHCP中继的引入解决了这一难题:
它在处于不同网段间的DHCP客户机和服务器之间承担中继服务,可以将DHCP协议报文跨网段中继到目的DHCP服务器(或客户机),于是许多网络上的DHCP客户机可以使用同一个DHCP服务器。
这样,既节省成本又便于集中管理。
图1-1DHCP中继示意图
上图是DHCP中继的示意图。