网络工程师学习参考资料路由器配置案例分析.docx

1、网络工程师学习参考资料路由器配置案例分析网络工程师学习参考资料路由器配置案例分析 作者：来源：赛迪网 INTERNET共享资源的方式越来越多，就大多数而言，DDN专线以其性能稳定、扩充性好的优势成为普遍采用的方式，DDN方式的连接在硬件的需求上是简单的，仅需要一台路由器（router）、代理服务器(proxy server)即可，但在系统的配置上对许多的网络管理人员来讲是一个比较棘手的问题。下面以CISCO路由器为例，笔者就几种比较成功的配置方法作以介绍，以供同行借鉴： 一、直接通过路由器访问INTERNET资源的配置 1 总体思路和设备连接方法 一般情况下，单位内部的局域网都使用INTERN

2、ET上的保留地址： 10.0.0.0/8：10.0.0.010.255.255.255 172.16.0.0/12：172.16.0.0172.31.255.255 192.168.0.0/16：192.168.0.0192.168.255.255 在常规情况下，单位内部的工作站在直接利用路由对外访问时，会因工作站使用的是互联网上的保留地址，而被路由器过滤掉，从而导致无法访问互联网资源。解决这一问题的办法是利用路由操作系统提供的NAT（Network Address Translation）地址转换功能，将内部网的私有地址转换成互联网上的合法地址，使得不具有合法IP地址的用户可以通过NAT访问

3、到外部Internet。这样做的好处是无需配备代理服务器，减少投资，还可以节约合法IP地址，并提高了内部网络的安全性。 NAT有两种类型：Single模式和global模式。 使用NAT的single模式，就像它的名字一样，可以将众多的本地局域网主机映射为一个Internet地址。局域网内的所有主机对外部Internet网络而言，都被看做一个Internet用户。本地局域网内的主机继续使用本地地址。 使用NAT的global模式，路由器的接口将众多的本地局域网主机映射为一定的Internet地址范围（IP地址池）。当本地主机端口与Internet上的主机连接时，IP地址池中的某个IP地址被自动

4、分配给该本地主机，连接中断后动态分配的IP地址将被释放，释放的IP地址可被其他本地主机使用。 下面以我单位的网络环境为例，将配置方法及过程列示出来，供大家参考。 我单位利用联通光缆（V.35）接入INTERNET的，路由器是CISCO2610，局域网采用的是INTEL550百兆交换机，联通向我们提供了下列四个IP地址： 211.90.137.25（255.255.255.252） 用于本地路由器的广域网端口 211.90.137.26（255.255.255.252） 用于对方（联通）的端口 211.90.139.41（255.255.255.252） 供自己支配 211.90.139.42（

5、255.255.255.252） 供自己支配 2 路由器的配置 （1） 网络连接示意图： 说明：校内所有的工作站都与交换机连接，路由器也通过以太口连接在内部交换机上，路由器上以太口使用内部私有地址，光纤的两端分别使用了联通分配的两个有效IP地址。在这种连接方式下，只要在路由器内部设置NAT，便可以使得单位内部的所有工作站访问INTERNTE了，在每台工作站上只需设置网关指向路由器的以太口（192.168.0.3）即可上网，无需设代理，并节省了两个有效IP地址可供自己自由支配（如建立单位自已的WEB和E-MAIL服务器）。但也存在缺点：不能享受代理服务器提供的CACHE服务来提高访问速度。所以本

6、配置方案适合工作站数量较少的单位，对于单位内部工作站数量较多的情况可以使用后面介绍的两种方法。路由器上具体配置如下： （2）路由器的配置 en config t ip nat pool c2610 211.90.139.41 211.90.139.42 netmask 255.255.255.252 (定义一个地址池c2601，其内包含了两个空闲的合法IP地址，供NAT转换时使用) int e0/0 ip address 192.168.0.3 255.255.255.0 ip nat inside exit （设置以太口的IP地址，并设置其为连接内部网的端口） interface s0/0

7、ip address 211.90.137.25 255.255.255.252 ip nat outside exit （设置广域网端口的IP地址，并设置其为连接外部网的端口） ip route 0.0.0.0 0.0.0.0 211.90.137.26 （设置动态路由） access-list 2 permit 192.168.0.1 0.0.0.255 （建立访问控制列表） ! Dynamic NAT ! ip nat inside source list 2 pool c2610 overload （建立动态地址翻译） line console 0 exec-timeout 0 0 !

8、 line vty 0 4 end wr (保存所作的设置) 3 工作站的配置 要求使用静态IP地址，在TCP/IP属性中进行设置，并设置关网为192.168.0.3（路由器以太口IP地址），设置DNS为接入商提供的地址，浏览器等上网工具中无需作任何特殊设置。 二、 通过代理服务器访问INTERNET资源的配置 1 总体的思路和设备连接方法 利用代理服务器方式访问INTERNET资源，优点是可以利用代理服务器提供的CACHE服务来提高INTERNET的访问速度和效率。比较适合工作站较多的单位使用。缺点是需要专门配备一台计算机作为代理服务器，增加了投资成本；且较第一种法方还需多占用两个合法IP地

9、址，网络安全性不高。 采用这种方案来访问互联网，设备连接方法如下： 代理服务器上安装两块网卡，一块连接内部网，设置内部私有地址；另一块连接路由器以太口，设置联通分配的合法地址（211.90.139.42），并设置其网关为211.90.139.41（路由器以太口） 路由器以太口也设置联通分配的合法IP地址（211.90.139.41） 这样，将设备连接好后，在代理服务器上安装代理软件，并在工作站上设置代理即可访问INTERNET。 2 路由器的配置 （1） 网络连接示意图： 说明：在上图中，单位内的所有计算机通过交换机直接与代理服务器上的内部网网卡（192.168.0.4）通讯，然后在代理服务软

10、件的控制之下经过路由器访问INTERNET。 （2）路由器的配置 en config t int e0/0 ip address 211.90.139.41 255.255.255.252 exit （设置以太口的IP地址） interface s0/0 ip address 211.90.137.25 255.255.255.252 exit （设置广域网端口的IP地址） ip route 0.0.0.0 0.0.0.0 211.90.137.26 ip routing （设置动态路由,并激活路由） end wr (保存所作的设置) 3 代理服务器的设置 代理服务器必须按装两块网卡，一块用于

11、连接内部局域网，设IP地址为内部私有地址（如：192.168.0.4 netmask 255.255.255.0）无需设网关。另一块用于连接路由器，设置联通分配的合法地址（211.90.139.42 netmask 255.255.255.252），并设置其网关为：211.90.139.41(路由器以太口)。 按照上面的方法设置好网卡后，再安装一套代理软件即可。（如：MS PROXY SERVER 2.0、WINGATE等，代理软件的安装调试方法请参阅其它资料） 4 工作站的设置 （1） INTERNET EXPLORER设置 工具菜单-internet选项-连接-局域网设置-使用代理服务器-

12、地址:192.168.0.4端口:80-确定 (2)其他软件的设置请参阅软件说明。 三、 直接访问与代理访问并存的配置 1 总体思路和设备连接方法 通过上面介绍的两种方法进行配置，都能顺利地实现INTERNET的访问，但每种方法即有优点，又存在一定的缺点，且两种方法的优点是互补的。哪能不能将两种方法的优点合二为一，方法三就是一种鱼和熊掌能够兼得的方案。集成了一、二两种方法的优点，即节省了IP地址，又能通过代理服务器提供的CACHE来提高INTERNET的访问效率。 采用这种方案来访问互联网，设备连接方法如下： 代理服务器上安装两块网卡，两块网卡均连接在交换机上，在设置IP地址时，两块网卡均设置

13、内部私有地址，但这两个地址应不属于一个网络（即IP地址的网络地址不同），一块用于与内部网通信（网卡1），一块用于与路由器通信（网卡2），否则代理无法实现。 在代理服务器上不要安装NETBEUI协议，仅安装TCP/IP协议。（注意：这一步必须要做，否则会因为代理服务器与交换机之间连接线路冗余而导致代理服务器NETBIOS计算机名冲突而影响正常通信） 路由器以太口也设置一个内部私有地址，该地址因与网卡2的地址在同一个网络（即IP地址的网络地址与网卡2相同） 2 路由器的设置 （1） 网络连接示意图 （2）路由器的配置 en config t ip nat pool c2610 211.90.139

14、.41 211.90.139.42 netmask 255.255.255.252 (定义一个地址池c2601，其内包含了两个空闲的合法IP地址，供NAT转换时使用) int e0/0 ip address 192.168.1.1 255.255.255.0 ip nat inside exit （设置以太口的IP地址，并设置其为连接内部网的端口） interface s0/0 ip address 211.90.137.25 255.255.255.252 ip nat outside exit （设置广域网端口的IP地址，并设置其为连接外部网的端口） ip route 0.0.0.0 0.

15、0.0.0 211.90.137.26 （设置动态路由） access-list 2 permit 192.168.0.1 0.0.0.255 （建立访问控制列表） ! Dynamic NAT ! ip nat inside source list 2 pool c2610 overload （建立动态地址翻译） line console 0 exec-timeout 0 0 ! line vty 0 4 end wr (保存所作的设置) 2 代理服务器的设置 代理服务器上安装两块网卡，两块网卡均连接在交换机上，网卡1设IP地址为：192.168.0.4，不设网关；网卡2设IP地址为：192.

16、168.1.2，设其网关为192.168.1.1（路由器以太口）。 按照上面的方法设置好网卡后，再安装一套代理软件即可。（如：MS PROXY SERVER 2.0、WINGATE等，代理软件的安装调试方法请参阅其它资料） 注意：在安装代理软件时（以MS-PROXY 2.0为例），在指定LAT表时，应将地址范围192.168.0.0-192.168.255.255排除在外，否则代理无法正常工作。 3 工作站的设置 在这种配置之下，工作站既可以通过设置代理上网，也可以通过设置网关直接上网。 若只通过代理上网，设置方法与方法二完全一致。 若只通过网关上网，要求工作站必须设置静态IP地址，IP地址应

17、设为192.168.1.X， 与路由器以太口在同一个网段，并设置网关为：192.168.1.1，设置DNS为接入商提供的地址。 若想两种方法并存，则需要在TCP/IP中设置两个静态IP地址：192.168.0.X和192.168.1.X，并设置网关为：192.168.1.1 ，DNS为接入商提供的地址。使用时只需在浏览器等软件中打开或关闭代理设置即可在代理与网关上网之间进行切换。刺?命令将返回计算机的本地 NetBIOS 名称表，以及适配器的媒体访问控制地址。 nbtstat -S 列出当前的 NetBIOS 会话及其状态（包括统计），如下例所示： NetBIOS connection tab

18、le Local name State In/out Remote Host Input Output - CORP1 Connected Out CORPSUP1 6MB 5MB CORP1 Connected Out CORPPRINT 108KB 116KB CORP1 Connected Out CORPSRC1 299KB 19KB CORP1 Connected Out CORPEMAIL1 324KB 19KB CORP1 Listening 使用 netstat 显示连接统计 可以使用 netstat 命令显示协议统计信息和当前的 TCP/IP 连接。netstat -a 命令

19、将显示所有连接，而 netstat -r 显示路由表和活动连接。netstat -e 命令将显示Ethernet 统计信息，而 netstat -s 显示每个协议的统计信息。如果使用 netstat -n，则不能将地址和端口号转换成名称。下面是 netstat 的输出示例： C:netstat -e Interface Statistics Received Sent Bytes 3995837940 47224622 Unicast packets 120099 131015 Non-unicast packets 7579544 3823 Discards 0 0 Errors 0 0 U

20、nknown protocols 363054211 C:netstat -a Active Connections Proto Local Address Foreign Address State TCP CORP1:1572 172.16.48.10:nbsession ESTABLISHED TCP CORP1:1589 172.16.48.10:nbsession ESTABLISHED TCP CORP1:1606 172.16.105.245:nbsession ESTABLISHED TCP CORP1:1632 172.16.48.213:nbsession ESTABLIS

21、HED TCP CORP1:1659 172.16.48.169:nbsession ESTABLISHED TCP CORP1:1714 172.16.48.203:nbsession ESTABLISHED TCP CORP1:1719 172.16.48.36:nbsession ESTABLISHED TCP CORP1:1241 172.16.48.101:nbsession ESTABLISHED UDP CORP1:1025 *:* UDP CORP1:snmp *:* UDP CORP1:nbname *:* UDP CORP1:nbdatagram *:* UDP CORP1

22、:nbname *:* UDP CORP1:nbdatagram *:* C:netstat -s IP Statistics Packets Received = 5378528 Received Header Errors = 738854 Received Address Errors = 23150 Datagrams Forwarded = 0 Unknown Protocols Received = 0 Received Packets Discarded = 0 Received Packets Delivered = 4616524 Output Requests = 1327

23、02 Routing Discards = 157 Discarded Output Packets = 0 Output Packet No Route = 0 Reassembly Required = 0 Reassembly Successful = 0 Reassembly Failures = Datagrams Successfully Fragmented = 0 Datagrams Failing Fragmentation = 0 Fragments Created = 0 ICMP Statistics Received Sent Messages 693 4 Error

24、s 0 0 Destination Unreachable 685 0 Time Exceeded 0 0 Parameter Problems 0 0 Source Quenches 0 0 Redirects 0 0 Echoes 4 0 Echo Replies 0 4 Timestamps 0 0 Timestamp Replies 0 0 Address Masks 0 0 Address Mask Replies 0 0 TCP Statistics Active Opens = 597 Passive Opens = 135 Failed Connection Attempts

25、= 107 Reset Connections = 91 Current Connections = 8 Segments Received = 106770 Segments Sent = 118431 Segments Retransmitted = 461 UDP Statistics Datagrams Received = 4157136 No Ports = 351928 Receive Errors = 2 Datagrams Sent = 13809 使用 tracert 跟踪网络连接 Tracert（跟踪路由）是路由跟踪实用程序，用于确定 IP 数据报访问目标所采取的路径。T

26、racert 命令用 IP 生存时间 (TTL) 字段和 ICMP 错误消息来确定从一个主机到网络上其他主机的路由。 Tracert 工作原理 通过向目标发送不同 IP 生存时间 (TTL) 值的“Internet 控制消息协议 (ICMP)”回应数据包，Tracert 诊断程序确定到目标所采取的路由。要求路径上的每个路由器在转发数据包之前至少将数据包上的 TTL 递减 1。数据包上的 TTL 减为 0 时，路由器应该将“ICMP 已超时”的消息发回源系统。 Tracert 先发送 TTL 为 1 的回应数据包，并在随后的每次发送过程将 TTL 递增 1，直到目标响应或 TTL 达到最大值，从

27、而确定路由。通过检查中间路由器发回的“ICMP 已超时”的消息确定路由。某些路由器不经询问直接丢弃 TTL 过期的数据包，这在Tracert 实用程序中看不到。 Tracert 命令按顺序打印出返回“ICMP 已超时”消息的路径中的近端路由器接口列表。如果使用 -d 选项，则 Tracert 实用程序不在每个 IP 地址上查询 DNS。 在下例中，数据包必须通过两个路由器（10.0.0.1 和 192.168.0.1）才能到达主机172.16.0.99。主机的默认网关是 10.0.0.1，192.168.0.0 网络上的路由器的 IP地址是 192.168.0.1。 C:tracert 172

28、.16.0.99 -d Tracing route to 172.16.0.99 over a maximum of 30 hops 1 2s 3s 2s 10,0.0,1 2 75 ms 83 ms 88 ms 192.168.0.1 3 73 ms 79 ms 93 ms 172.16.0.99 Trace complete. 用 tracert 解决问题 可以使用 tracert 命令确定数据包在网络上的停止位置。下例中，默认网关确定 192.168.10.99 主机没有有效路径。这可能是路由器配置的问题，或者是 192.168.10.0 网络不存在（错误的 IP 地址）。 C:trac

29、ert 192.168.10.99 Tracing route to 192.168.10.99 over a maximum of 30 hops 1 10.0.0.1 reportsestination net unreachable. Trace complete. Tracert 实用程序对于解决大网络问题非常有用，此时可以采取几条路径到达同一个点。 Tracert 命令行选项 Tracert 命令支持多种选项，如下表所示。 tracert -d -h maximum_hops -j host-list -w timeout target_name 选项 描述 -d 指定不将 IP 地

30、址解析到主机名称。 -h maximum_hops 指定跃点数以跟踪到称为 target_name 的主机的路由。 -j host-list 指定 Tracert 实用程序数据包所采用路径中的路由器接口列表。 -w timeout 等待 timeout 为每次回复所指定的毫秒数。 target_name 目标主机的名称或 IP地址。 详细信息，请参阅使用 tracert 命令跟踪路径。 使用 pathping 测试路由器 pathping 命令是一个路由跟踪工具，它将 ping 和 tracert 命令的功能和这两个工具所不提供的其他信息结合起来。pathping 命令在一段时间内将数据包发送到到达最终目标的路径上的每个路由器，然后基于数据包的计算机结果从每个跃点返回。由于命令显示数据包在任何给定路由器或链接上丢失的程度，因此可以很容易地确定可能导致网络问题的路由器或链接。某些选项是可用的，如下表所示。