神州数码NAT地址转换的配置

合集下载

神州数码各实验配置注意文档

//重点：两个三层交换机之间可以通过Vlan 1 进行路由退出的命令的运用在神州数码的视图下是没有quit的命令的，但并不代表不能用quit，在大多数的视图下，都可以用quit命令退回上一级视图，当然用exit也可以，看个人喜好，但有视图也是例外的，例如：# spanning-tree mst configuration视图下就要用它专用的退出命令：abrotNAT配置：1、配置acl允许通过的网段；//一般用标准acl2、配置地址池；ip nat pool+名字+起始IP+终止IP+子网掩码3、配置nat转换那个网段；Ip nat inside source list +acl名字pool +地址池名字4、配置int接口和out接口；【接口试图】ip nat inside【接口试图】ip nat insideNAT server：# ip nat inside source static tcp + 服务的IP地址+ 服务端口+ 要转换成公网的IP地址+ 端口号在发布FTP的时候最好把21和20的都发布出去DNS一定要使用UDP服务路由器enable用户密码和时间配置：1、enable password 0/7（不验证和验证）+密码level+权限（默认不配置的时候是15）2、date（接下来按照指示配置就OK了）配置语言：1、路由器Chinese2、交换机language ChineseOSPF路由协议的配置：1、router id的配置，可以选择配置，配置的时候，要指向路由器接入的端口上的IP地址2、router ospf +数字（可以随意）network +使能的网段+子网掩码+area +区域号（ospf 分单区域和多区域两种,单区域的配置要注意每一个使能的网段后面的区域号都要一致，多区域配置两个区域相交的那路由器使能网段的时候要配置和对端相对应的区域号）3、ospf的虚连接配置（ospf的虚连接是只多个不能直接相连接的区域通过建立逻辑的上虚拟连接，建立邻居关系）：area +本网段的区域号+ virtual-link + 相同区域对端的路由器的router id（虚连接链路的配置是运用在至少3个不同区域的ospf上，而且其中两个区域，分别和第三个区域连接）4、可以使用neighbor + 邻接路由的IP地址Ping命令有趣使用：问题：ping 1.0.0.1 可以学成ping 1.001 ，写成1.1也能ping通因为ping 的协议的编写时采用了IPV6的机制的，中间是出现连续两个0的情况的话，可以合并，可以可以不写。

神州数码路由交换配置命令（全）

神州数码路由交换配置命令（全）路由 ssh aaa authentication login ssh local aaa authentication enable default enable enable password 0 123456 username admin password 0 123456 ip sshd enable ip sshd auth-methodssh ip sshd auth-retries 5 ip sshd timeout 60 TELNETR1_config#aaa authentication login default local R1_config#aaaauthentication enable default enable R1_config#enable password0 ruijie R1_config#line vty 0 4 R1_config_line#loginauthentication default R1_config_line#password 0 cisco 方法2，不需要经过3A认证R1_config#aaa authentication login default none R1_config#aaa authentication enable default enable R1_config#enable password 0 cisco R1_config#line vty 0 4 R1_config_line#login authentication default CHAP认证单向认证，密码可以不一致R2_config#aaa authentication ppp test local R2_config#username R2 password 0 123456 R2_config_s0/2#enc ppp R2_config_s0/2#ppp authentication chap test R2_config_s0/2#ppp chap hostname R1 R1_config#aaa authentication ppp test local R1_config#username R1 password 0 123456 R1_config_s0/1#enc ppp R1_config_s0/1#ppp authentication chap test R1_config_s0/1#ppp chap hostname R2 pap认证双向认证，密码要求一致R2_config#aaa authentication ppp test local R2_config#username R2 password 0 123456 R2_config_s0/2#enc ppp R2_config_s0/2#pppauthentication pap test R2_config_s0/2#ppp pap sent-usernameR1 password 123456 R1_config#aaa authentication ppp test localR1_config#username R1 password 0 123456 R1_config_s0/1#enc ppp R1_config_s0/1#ppp authentication pap testR1_config_s0/1#ppp pap sent-username R2 password 123456 FR Router-A_config_s1/1#encapsulation frame-relay ！封装帧中继协议 Router-A_config_s1/1#frame-relay local-dlci 17 ！设置本地DLCI 号Router-A_config_s1/1# frame-relay intf-type dce ！配置FR的DCE Router-A_config_s1/1# frame-relay map 192.168.1.2 pvc 17 broadcast ！配置DLCI 与对端IP的映射Vrrp Int g0/4 vrrp 1 associate 192.168.20.254 255.255.255.0 vrrp 1 priority 120 设置优先级，为主 vrrp 1 preempt 开启抢占 vrrp 1 track interface Serial0/1 30 追踪上行接口，防止上行接口DOWN了，自动降低优先级Int g0/6 vrrp 1 associate 192.168.20.254 255.255.255.0 vrrp 1 priority 100 设置优先级，为备，默认为100 vrrp 1 preempt 开启抢占vrrp 1 track interface Serial0/2 30 追踪上行接口，防止上行接口DOWN了，自动降低优先级RIP 验证，只有V2支持验证interface Serial0/2 接口起验证和配密码 ip rip authentication simple iprip password 123456RIP改单播router rip nei 192.168.1.1 RIP定时器router rip timers update 10 更新时间 timers exipire 30 失效时间 timers hosddown 50 抑制时间ospf router os 1 net 192.168.1.0 255.255.255.0 ar 0 不能写32位掩码 OSPF 虚链路 ROUTER OS2 进程起用AR 1 VI 2.2.2.2 对方ROUTER-ID OSPF 汇总ROUTER OS 2 进程起用 ar 0 range 192.168.0.0 255.255.252.0 OSPF 验证 ROUTER OS 2 明文 AR 0 AUTHEN SP 进程给需要验证的区域启用验证 INT S0/1 IP OS passw 123456 接口配置密码密文 router os 2 ar 0 authen me int s0/1 ip os me 1 md5 123456 bgp router bgp 100 no synchronization bgp全互联必须要关闭同步检查nei 192.168.12.1 remot 200 与AS外部路由建立邻居nei 2.2.2.2 remot 100 与AS内部路由建立邻居nei 2.2.2.2 up lo0 改更新接口为环回接口 nei 2.2.2.2 next-hop-self 改下一跳为自己 net 2.2.2.0 通告路由表里面有的路由ACL 路由上面的ACL要写子网掩码,不能写反掩码基于时间的ACL time-range acl 定义一个时间范围periodic weekdays 09:00 to 12:00 periodic weekdays 14:00 to 17:00 IP access－list extended time 写一个基于时间的acl，调用时间段deny ip 192.168.10.0 255.255.255.0 any time-range acl permit ip any any int g0/4 应用到接口 ip access-group time in int g0/6 ip access-group time in 静态NAT ip route 0.0.0.0 0.0.0.0 192.168.12.2 ip nat inside source static 192.168.10.10 192.168.12.1 int g0/6 ip nat in ints0/1 ip nat out NAPT ip access-list standard NAT 定义要转换的IP网段permit192.168.10.0 255.255.255.0 ip nat pool NAT 192.168.23.10192.168.23.20 255.255.255.0 创建转换的IP地址池 ip nat inside source list NAT pool NAT overload 关联要转换的IP网段和地址池 ip route default 192.168.23.3 写一条缺省路由，下一跳为出口网关的下一跳 router rip 如果跑路由协议，要把缺省重分发到动态路由 redistribute staticinterface Serial0/1 运用到内网接口ip nat inside interface Serial0/2 运用到外网接口 ip nat outside route-map ip acce sta acl 定义要匹配的流量 per 192.168.20.0255.255.255.0 route-map SHENMA 10 permit ma ip add acl 调用ACL set ip next-hop 192.168.12.1 改下一跳 int g0/3 ip po route-map SHENMA 定义到原接口 DHCP 给路由接口分配IP，不能是S口R1 ip dhcpd enable ip dhcpd pool 1network 192.168.12.0 255.255.255.0 range 192.168.12.10 192.168.12.20 R2 interface GigaEthernet0/6 ip address dhcp 给PC分配IP,底层网络要起路由互通实验全网起了RIP协议R1 ip dhcpd enable ip dhcpd pool 2 network 192.168.1.0255.255.255.0 range 192.168.1.10 192.168.1.20 default-router192.168.1.1 R2 ip dhcpd enable 要开启DHCP服务！ interface GigaEthernet0/4ip address 192.168.1.1 255.255.255.0 ip helper-address192.168.12.2 设置DHCP服务器IP VPN （GRE） int t0 ipadd 172.168.10.1 255.255.255.0 给T0配IP t so s0/2 源，路由的出接口 t de 192.168.23.3 目的，对端的出接口IP，注意，要可达 t key 123456 T0口密码，两端要一致 exit ip route 192.168.20.0 255.255.255.0 t0 用T0口写一条要到达网段的静态路由int t0 ip add 172.168.10.3255.255.255.0 t so s0/1 t de 192.168.12.1 t key 123456 exit ip route 192.168.10.0 255.255.255.0 t0 VPN (IPSEC) R1 crypto ipsec transform-set SHENMA 设置转换集transform-type esp- des esp-md5-hmac 转换集的加密方式ip access-list extended 100 匹配感兴趣流 permit ip 192.168.10.0 255.255.255.0192.168.20.0 255.255.255.0 crypto map HAN 10 ipsec-isakmpset peer 192.168.23.3 设置对等体set transform-setSHENMA 关联转换集 match address 100 关联感兴趣流 interface Serial0/2 进接口调用 crypto mapHAN R3 crypto ipsec transform-set SHENMA 设置转换集transform-type esp-des esp-md5-hmac 转换集的加密方式,两端要一致ip access-list extended 100 匹配感兴趣流permit ip192.168.20.0 255.255.255.0 192.168.10.0 255.255.255.0 cryptomap HAN 10 ipsec-isakmp set peer 192.168.12.1 设置对等体 set transform-set SHENMA 关联转换集 matchaddress 100 关联感兴趣流interface Serial0/1 进接口调用crypto map HAN VPN (IKE) crypto isakmp key SHENMA 192.168.23.3 255.255.255.0 设置公共用密钥crypto isakmp policy 10 设置IKE策略 hash md5 aupre enc des group 1 lifetime 86400 crypto ipsec transform-set SHENMA 设置转换集transform-type esp-Des esp-Md5-hmac ip access-list extended 100 匹配感兴趣流permit ip 192.168.10.0 255.255.255.0 192.168.30.0 255.255.255.0 crypto map SHENMA 10 ipsec-isakmp 设置IPSEC加密映射set peer 192.168.23.3 set transform-set SHENMA match address 100 int s0/2 调用到接口 crypto map SHENMA QOS int g0/4 ipadd 192.168.10.1 255.255.255.0 no shutint g0/6 ip add 192.168.20.1 255.255.255.0 no shut int s0/1 ipadd 192.168.12.1 255.255.255.0 phy spe 64000 no shut ip route0.0.0.0 0.0.0.0 192.168.12.2 ip access-list ex 1 定义ACL抓取流量permit ip 192.168.10.0 255.255.255.0 2.2.2.0 255.255.255.0ip access-list ex 2 permit ip 192.168.20.0 255.255.255.0 2.2.2.0 255.255.255.0 priority 1 protocol ip high list 1 写一个IP协议的优先列表，调用ACL 1里面的地址，级别为HIGH priority 1 protocol ip low list 2 写一个IP协议的优先列表，调用ACL 2里面的地址，级别为LOW int s0/1 进接口调用priority 1 交换banner motd 系统登录标题 telnet telnet-server enable 开启TELNET telnet-server max-connection 16 最大连接数 ssh username ssh password 0 123456 ssh-server enable 开启SSH ssh-server timeout 60 连接超时时间ssh-server max-connection 16 最大连接数ssh-server authentication-retries 5 重连次数ssh-server host-key create rsa 创建新的主机密钥vrrp 1，首先要给所有的VLAN配上IP INT VLAN 10 IP ADD 192.168.10.1 255.255.255.0 NO SHUT 2，创建一个VRRP组ROUTER VRRP 10 VIRTUAL-IP 192.168.10.254 给虚拟IP INT VLAN 10 关联VLAN PRIORITY 120 给优先级（默认100）ENABLE 激活STP SW1 spanning-tree 开启STP spanning-tree mode mstp 改为MSTP模式spanning-tree mst configurtaion 配置域 name shenma 域名 revision-level 3 修正级别instance 1 vlan 10;20 在实例里面关联VLAN instance 2 vlan 30;40 exit spanning-tree mst 1 priority 4096 给实例配置优先级，越小的级别越高spanning-tree mst 2 priority 8192 SW2 spanning-tree 开启STP spanning-tree mode mstp 改为MSTP模式spanning-tree mst configurtaion 配置域name shenma 域名revision-level 3 修正级别 instance 1 vlan 10;20 在实例里面关联VLAN instance 2 vlan 30;40 exit spanning-tree mst 1 priority 8192 给实例配置优先级，越小的级别越高spanning-tree mst 2 priority 4096 SW21 spanning-tree 开启STP spanning-tree mode mstp 改为MSTP模式 spanning-tree mst configurtaion 配置域 name shenma 域名 revision-level 3 修正级别 instance 1 vlan 10;20 在实例里面关联VLANinstance 2 vlan 30;40 AM端口安全 am enable int e1/0/1 am port am mac-ip-pool 0000.1111.2222 192.168.10.1 端口镜像monitor session 1 source int e1/0/1 both monitor session 1 destination int e1/0/15 RIP Router rip Net 192.168.1.0/24 Router os 1 Net 192.168.1.0 0.0.0.255 ar 0 Acl Firewall enableIp access-list ex 100 Per ip 192.168.1.0 0.0.0.255 192.168.2.00.0.0.255 单臂路由R1 int g0/5 no shut interface GigaEthernet0/5.1 encapsulation dot1Q 100 ip address 192.168.10.1 255.255.255.0 interface GigaEthernet0/5.2 encapsulation dot1Q 200 ip address 192.168.20.1 255.255.255.0 interface GigaEthernet0/5.3 encapsulation dot1Q 300 ip address 192.168.30.1 255.255.255.0SW1 vlan 100\ sw int e1/0/1-2 vlan 200 sw int e1/0/3-4 vlan 300 sw int e1/0/5-6 int e1/0/20 sw mo tr sw tr all vlan all 端口聚合 PORT-GROUP 1 创建一个组 INT E1/0/17-18 聚合端口要设置为TRUNK SW MO TR SW TR ALL VLAN ALL PORT-GROUP 1 MO ON 设置聚合端口的模式为自动匹配EXIT INT PORT-CHANNAL 1 进入聚合端口配置模式，也要设置为TRUNK SW MO TR SW TR ALL VLAN ALL EXIT dhcp SERV DHCP 开启DHCP服务IP DHCP POOL VLAN10 创建地址池NETW 192.168.10.0 255.255.255.0 def 192.168.10.1 le 2 dns 8.8.8.8 ipdhcp ex 192.168.10.1 192.168.10.10 排除地址范围 dhcp 中继serv dhcp ip for udp boot int vlan 10 ip he 192.168.12.2dhcp snooping serv dhcp 开启DHCP服务ip dhcp snooping enable 开启DHCP SNOOPING 功能ip dhcp snooping binding enable 开启SNOOPING 绑定功能 int e1/0/20 ip dhcp snooping trust 设置接口为信任接口，一般是与服务器相连的接口 int e1/0/1 ip dhcp snooping binding user-control 设置端口自动绑定获取DHCP的地址设置端口手动绑定MAC,VLAN,IP,端口信息（全局模式）ip dhcp snooping binding user 00-11-22-33-44-55 address 192.168.22.22 vlan 1 int e1/0/5 ipv6 6 to 4 greipv6 unicast-routing 允许单播路由interface Tunnel0 ipv6enable 开启IPV6 ipv6 address 2001:23::1/64 tunnel source 192.168.12.1 本端接口地址 tunnel destination 192.168.12.2 对端接口地址tunnel mode gre ip 隧道模式改为GRE tunnel key 123456 隧道密码，两端一致 ipv6 route 3::/64 Tunnel0 写一条下一跳为TUNNEL 0的IPV6静态，不能写默认静态nat Internet(config)#ip route 0.0.0.0 0.0.0.0 fa0/1ipv4网络要可达NAT-PT(config)#ip route 0.0.0.0 0.0.0.0fa0/1NAT-PT(config)#ipv6 nat prefix 2001:db8:feed::/96 设置一个全局NAT前缀，掩码必须96位NAT-PT(config)#ipv6 nat v4v6 source 10.10.10.2 2001:db8:feed::2 写4 TO 6 地址转换，需要到达的地址都要写, 不需要与本地同一网段NAT-PT(config)#ipv6 nat v4v6 source 192.168.1.10 2001:db8:feed::3 NAT-PT(config)#ipv6 nat v6v4 source 2001:db8:cafe:ffff::2 10.10.20.5 写6 to 4 地址转换，需要到达的地址都要写,不需要与本地同一网段 int g0/4 调用到接口，进出都要调用 ipv6 natint g0/4 ipv6 nat pat ipv4 网络要可达NAT-PT(config)#ipv6 nat prefix 2001:db8:feed::/96 设置一个全局NAT前缀，掩码必须96位NAT-PT(config)#ipv6 nat v4v6 source 10.10.10.2 2001:db8:feed::2 写4 TO 6 地址转换，需要到达的地址都要写NAT-PT(config)#ipv6 nat v4v6 source 192.168.1.10 2001:db8:feed::3 不需要与本地同一网段NAT-PT(config)#ipv6 access-list cafe 把IPV6要转换的网段匹配出来NAT-PT(config-ipv6-acl)#permit ipv6 2001:db8:cafe::/48 any NAT-PT(config-ipv6-acl)#exit NAT-PT(config)#ipv6 nat v6v4 pool ipv4 10.10.20.5 10.10.20.6 prefix-length 24 写一个6 TO 4 的NAT地址池,不需要已知网段 NAT-PT(config)#ipv6 nat v6v4 source list cafe pool ipv4 overload 把要转换的网段与地址池关联int g0/4 ipv6 nat int g0/4 ipv6 nat riping ipv6 router rip 100 全局创建RIP实例，名字为100 exit interface GigaEthernet0/4ipv6 enable 开启IPV6 ipv6 address 2001::1/64 ipv6 rip 100 enable 启动为100的实例需要宣告的接口要设置ospfv3 ipv6 router ospf 1 全局创建ospf，进程为1 int g0/6 ipv6 enable ipv6 address 2001::1/64 ipv6 ospf 1 area 0 宣告本接口为 area 0 需要宣告的接口要设置。

NAT地址转换原理及配置解读

NAT地址转换原理及配置解读NAT（Network Address Translation），即网络地址转换，是一种将私有IP地址转换为公有IP地址的技术。

NAT的基本原理是在路由器上创建一个连接表，用于记录内部网络的私有IP地址与外部网络的公有IP地址之间的映射关系。

当内部网络中的主机访问外部网络时，路由器会根据连接表进行地址转换，将内部主机的私有IP地址转换为公有IP地址，然后将数据包转发到外部网络中。

当外部网络返回数据包时，路由器将根据连接表中的映射关系将数据包转发到相应的内部主机。

NAT的主要作用是解决IPv4地址不足的问题，通过将私有IP地址与公有IP地址进行映射，可以节省公有IP地址的使用并且增加了网络的安全性。

同时，NAT还可以提供端口转换功能，使得多个内部主机可以共享同一个公有IP地址。

NAT的配置主要包括以下几个方面：1.内部网络的设置：首先需要确定内部网络所使用的私有IP地址范围，一般常用的私有IP地址范围为10.0.0.0/8、172.16.0.0/12和192.168.0.0/16、然后，在路由器上通过配置虚拟局域网（VLAN）或子接口，将内部网络划分为多个子网，每个子网可以使用独立的私有IP地址范围。

2. NAT转换规则的配置：在路由器上需要配置NAT转换规则，以确定内部网络的私有IP地址与外部网络的公有IP地址之间的映射关系。

常用的NAT转换规则包括静态NAT（Static NAT）、动态NAT（Dynamic NAT）和网络地址端口转换（Network Address Port Translation，NAPT）。

-静态NAT是一种一对一的地址转换，将内部主机的私有IP地址与外部网络的公有IP地址进行固定映射。

配置静态NAT时，需要指定内部主机的私有IP地址和对应的外部网络的公有IP地址。

-动态NAT是一种一对多的地址转换，将内部主机的私有IP地址动态映射到外部网络的公有IP地址池中的一个IP地址。

神州数码防火墙讲解PPT-7-网络地址转换

小结
※ 在本章中讲述了以下内容： • NAT的分类 • 源NAT和目的NAT的应用
问题
• 1、通常配置内网用户上网采用哪种NAT方式? • 2、基于端口的DNAT有何优势？ • 3、对外发布服务器时，访问策略目的IP如何配置?
THANKS!
网络地址转换
章节目标
• 通过完成此章节课程，您将可以：
- 熟悉多种NAT应用的环境 - 掌握源NAT的配置及应用 - 掌握目的NAT的配置应用 - 掌握NAT与相关策略的配置
议程：网络地址转换
NAT的概念
• 源NAT • 目的NAT • NAT匹配顺序及相关策略
议程：网络地址转换
• 网络地址转换（Network Address Translation）简称为NAT 是将IP数据包包头中的IP地址转换为另一个IP地址。当IP数据包通过路由器或者防火墙时，路由器或者防火墙会把IP 数据包的源IP地址和/或者目的IP地址进行转换。在实际应用中，NAT主要用于私有网络访问外部网络或外部网络访问私有网络的情况。 • RFC1918规定的三类私有地址如下： A类：10.0.0.0 - 10.255.255.255（10.0.0.0/8） B类：172.16.0.0 - 172.31.255.255（172.16.0.0/12） C类：192.168.0.0 - 192.168.255.255（192.168.0.0/16）
ethernet 0/0
10.1.1.1
Trust
ethernet 0/1 IP: 202.1.1.1 Untrust
PC IP: 202.1.1. 2
Server
10.1.1.2 服务器应答报文源IP： 10 .1.1.2 IP：目的 202.1.1.2 IP包1应答报文源IP：202.1.1.1 IP：202.1.1.2 目的

神州数码配置命令归纳(已更新)

第一部分交换机配置一、基础配置1、模式进入Switch>Switch>enSwitch#configSwitch(Config)#interface ethernet 0/22、配置交换机主机名命令：hostname <主机名>3、配置交换机IP地址Switch(Config)#interface vlan 1Switch(Config-If-Vlan1)#ip address 10.1.128.251 255.255.255.0Switch(Config-If-Vlan1)#no shut4、为交换机设置Telnet授权用户和口令：登录到Telnet的配置界面，需要输入正确的用户名和口令，否则交换机将拒绝该Telnet用户的访问。

该项措施是为了保护交换机免受非授权用户的非法操作。

若交换机没有设置授权Telnet用户，则任何用户都无法进入交换机的Telnet配置界面。

因此在允许Telnet方式配置管理交换机时，必须在Console的全局配置模式下使用命令username <username>privilege <privilege> [password (0 | 7) <password>]为交换机设置Telnet授权用户和口令并使用命令authentication line vty login local打开本地验证方式，其中privilege选项必须存在且为15。

例：Switch>enableSwitch#configSwitch(config)#username test privilege 15 password 0 testSwitch(config)#authentication line vty login localSwitch(Config)#telnet-user test password 0 testSwitch (Config)#telnet-server enable：//启动远程服务功能5、配置允许Telnet管理交换机的地址限制（单独IP或IP地址段）（1）限制单个IP允许Telnet登录交换机switch(config)#authentication security ip 192.168.1.2（2）限制允许IP地址段Telnet登录交换机switch(config)#access-list 1 permit 192.168.1.0 0.0.0.255switch(config)#authentication ip access-class 1 in5、为交换机设置Web授权用户和口令：web-user <用户名>password {0|7} <密码>例：Switch(Config)#web-user admin password 0 digital6、设置系统日期和时钟：clock set <HH:MM:SS> <YYYY/MM/DD>7、设置退出特权用户配置模式超时时间exec timeout <minutes > //单位为分钟，取值范围为0~3008、保存配置：write9、显示系统当前的时钟：Switch#show clock10、指定登录用户的身份是管理级还是访问级Enable [level {visitor|admin} [<密码>]]11、指定登录配置模式的密码：Enable password level {visitor|admin}12、配置交换机的用户名密码：username admin privilege 15 password 0 admin00013、配置enable密码为ddd：enable password 0 ddd level 1514、配置登录时认证：authentication line vty login local15、设置端口的速率和双工模式（接口配置模式下）命令：speed-duplex {auto | force10-half | force10-full | force100-half | force100-full | {{force1g-half | force1g-full} [nonegotiate [master | slave]] } }no speed-duplex二、单交换机VLAN划分1、VLAN基本配置（1）新建VLAN：vlan <vlan-id>（2）命名VLAN：name <vlan-name>（3）为VLAN 分配交换机端口Switch(Config-If-Vlan1)#switchport interface Ethernet 0/2（4）设置Trunk 端口允许通过VLAN：Switch(Config-ethernet0/0/5)#switchport trunk allowed vlan 1;3;5-202、划分VLAN：（1）进入相应端口：Switch(config)#interface Ethernet 0/2（2）修改模式：Switch(Config-ethernet0/0/5)switchport mode access（3）划分VLAN：Switch(Config-ethernet0/0/5)#switchport access vlan 4三、跨交换机VLAN划分（两台交换机作相同操作）1、新建VLAN2、划分VLAN3、修改链路模式（1）进入相应端口：Switch(config)#interface Ethernet 0/1（2）修改模式：Switch(config-if)#switchport mode trunk四、VLAN间主机的通信1、新建VLAN2、划分VLAN3、修改链路模式（1）进入相应端口：Switch(config)#interface Ethernet 0/1（2）修改模式：Switch(config-if)#switchport mode trunk注意：如果是三层交换机，在修改模式先封装802.1协议：Switch(config-if)#switchport trunk encapsulation dot1q4、建立VLAN子接口（1）、进入VLAN接口模式：Switch(config)#interface vlan 2（2）、设置VLAN子接口地址：Switch(config-if)#ip address 192.168.0.1 255.255.255.0 （3）、打开端口：Switch(config-if)#no shutdown5、设置各主机IP地址、子网掩码、网关注意：（1）各主机IP地址应与其所在的VLAN在同一网段。

NAT配置-配置地址端口转换

NAT配置-配置地址端口转换1. 配置地址端口转换配置步骤和配置方法：（1）配置内部全局地址池（可选配置）ip nat pool pool-name（名字）start-ip （开始地址）end-ip （结束地址netmask netmask （子网掩码ip nat pool pool-name start-ip end-ip prefix-length prefixlength （2）配置接口类型ip nat inside|outsideinside定义接口为内网接口，outside定义为外网口（3）配置访问列表access-list number permit network（网络地址）wildcard（反掩码）访问列表用于配置允许哪些网络可以进行NAT以访问因特网。

Number取值范围为1-99，wildcard为子网掩码的反码。

例如：若允许192.168.0.0/16网络进行NAT，则配置命令为：access-list 1 permit 192.168.0.0 0.0.255.2554）配置内部源地址的转换ip nat inside source list acl-number（数字）pool pool-name （名字）overloadip nat inside source list acl-number interface int-type int-number overload示例：ip nat inside source list 1 pool mypool overload ip nat inside source list 1 interface fa0/1 overload 查看命令：show ip nat translations 显示NAT转换表show ip nat statistics 显示NAT统计信息clear ip nat translations * 清除NAT转换表clear ip nat statistics 清除NAT统计信息以上命令在特权模式执行。

神码防火墙配置RIPv2和ospf 防火墙设置NAT转换

神码防火墙配置 RIPv2 和 ospf
ip vrouter trust-vr router ospf net 1.1.1.0/24 area0 route rip version 2 net 1.1.1.0 255.255.255.0 防火墙设置 NAT 转换例如：内网地址为 192.168.0.0/24；外网地址为 A.A.A.A/29。第一步：将各接口分配安全域并配置 IP 地址。 hostname# configure hostname(config)# interface ethernet0/1 hostname(config-if-eth0/1)# zone trust hostname(config-if-eth0/1)# ip address 192.168.0.1/24 hostname(config-if-eth0/1)# exit hostname(config)# interface ethernet0/2 hostname(config-if-eth0/2)# zone untrust hostname(config-if-eth0/2)# ip address A.A.A.A/29 hostname(config-if-eth0/2)# exit 第二步：配置地址条目。 hostname(config)# address addr1 hostname(config-addr)# ip 192.168.0.1/24 hostname(config-addr)# exit hostname(config)# address addr2 hostname(config-addr)#ip A.A.A.A/29 hostname(config-addr)# exit 第三步：配置安全策略规则。 hostname(config)# policy from trust to untrust hostname(config-policy)# rule from addr1 to any service any permit hostname(config-policy)# exit 第四步：配置 NAT 规则。 hostname(config)# nat hostname(config-nat)# snatrule from addr1 to any eif ehternet0/2 hostname(config-nat)# exit ps：最后新建一条缺省路由，下一跳为 e0/2

神州数码dcfw1800系列安全网关命令手册40r4c

神州数码dcfw1800系列安全网关命令手册40r4c一、系统基本命令1. 登录与退出（1）登录网关admindcfw1800> enablePassword:admindcfw1800configure terminal输入管理员密码后，即可进入配置模式。

（2）退出网关admindcfw1800exit退出配置模式后，系统将返回用户模式。

2. 查看系统信息（1）查看系统版本admindcfw1800show version执行此命令，可以查看当前网关的软件版本、硬件版本等信息。

（2）查看系统状态admindcfw1800show system status执行此命令，可以查看网关的运行状态、CPU使用率、内存使用率等信息。

3. 配置系统时间（1）设置系统时间admindcfw1800clock set HH:MM:SS YYYYMMDD将HH:MM:SS替换为具体的小时、分钟和秒，将YYYYMMDD替换为具体的年、月、日。

（2）查看系统时间admindcfw1800show clock执行此命令，可以查看当前网关的系统时间。

二、接口配置命令1. 查看接口状态admindcfw1800show interface执行此命令，可以查看所有接口的状态、速率、双工模式等信息。

2. 配置接口（1）进入接口配置模式admindcfw1800interface <interfacetype> <interfacenumber>将<interfacetype>替换为接口类型（如GigabitEthernet），将<interfacenumber>替换为接口编号（如0/0）。

（2）设置接口描述admindcfw1800description <descriptiontext>将<descriptiontext>替换为接口描述信息。

（3）设置接口速率和双工模式admindcfw1800speed <speed> duplex <duplexmode>将<speed>替换为接口速率（如1000），将<duplexmode>替换为双工模式（如full或half）。

NAT(网络地址转换)实现方式以及工作过程配置

NAT（网络地址转换）实现方式以及工作过程配置网络地址转换（NAT）是一种在网络层对IP地址进行转换的技术，主要用于解决IPv4地址不足的问题。

NAT可以在内部网络和外部网络之间进行地址转换，使得内部网络使用内部私有IP地址与外部网络进行通信，同时隐藏内部网络的真实IP地址，增强网络的安全性。

NAT的实现方式有以下几种：1. 静态NAT（Static NAT）：静态NAT通过将内部网络的私有IP地址映射成为外部网络的公共IP地址，实现一对一的地址转换。

静态NAT适用于内部网络中的特定主机需要与外部网络建立持久连接的情况。

2. 动态NAT（Dynamic NAT）：动态NAT将内部网络的私有IP地址映射成为外部网络的公共IP地址，但映射关系是动态分配的，多个内部主机可以共享一个公共IP地址。

动态NAT适用于内部网络中的多个主机需要与外部网络进行通信的情况。

3. PAT（Port Address Translation）：PAT是一种特殊的动态NAT，通过使用不同的端口号对多个内部主机进行映射，实现多对一的地址转换。

PAT在转换IP地址的同时还转换了端口号，使得多个内部主机可以共享一个公共IP地址和不同的端口号与外部网络进行通信。

NAT的工作过程如下：1.内部主机发送数据包到外部网络：当内部主机发送一个数据包到外部网络时，首先检查数据包的目标IP地址是否为外部网络。

如果目标IP地址为外部网络，说明该数据包需要进行地址转换。

2.建立转换表：NAT设备会维护一个地址转换表，记录着内部私有IP地址与外部公共IP地址之间的映射关系。

如果转换表中没有相应的映射关系，就需要进行地址转换。

3.进行地址转换：根据配置的NAT规则，对内部主机发送的数据包进行地址转换。

如果使用静态NAT，将内部私有IP地址直接映射为外部公共IP地址；如果使用动态NAT或PAT，从可用的外部IP地址池中选择一个IP地址进行映射，并将该映射关系记录在转换表中。

NAT地址转换原理及配置

NAT地址转换原理及配置NAT（Network Address Translation）是一种网络地址转换技术，主要用于解决IPv4地址不足的问题。

NAT工作在网络层，主要通过修改数据包的源地址和目的地址来实现地址转换。

下面将详细介绍NAT地址转换的原理和配置方法。

一、NAT地址转换原理当一个网络中的主机要与另一个网络中的主机进行通信时，需要知道目标主机的IP地址。

在IPv4中，IP地址空间有限，且分配不均，导致很多地方IP地址紧张。

NAT技术通过将内部网络的私有IP地址转换成外部网络的公有IP地址，使得内部网络中的主机能够访问Internet。

NAT地址转换的原理可以分为三种模式：静态NAT、动态NAT和PAT（端口地址转换）。

1.静态NAT：将特定的内部IP地址映射为特定的外部IP地址。

这种模式需要手动配置，一个内部IP地址只能映射为一个外部IP地址。

2.动态NAT：动态NAT是在静态NAT的基础上增加了地址池的概念。

内部主机可以动态地获取一个可用的外部IP地址，并在通信结束后释放。

这种方式可以使多个内部IP地址映射为多个外部IP地址，提高地址利用率。

3. PAT（端口地址转换）：PAT是一种特殊的动态NAT技术。

在PAT 中，将多个内部IP地址映射到一个外部IP地址，并通过源端口号来区分不同的内部主机。

这样就可以实现多个内部主机通过一个公有IP地址访问Internet。

PAT是最常用的一种NAT方式。

二、NAT地址转换的配置方法1.配置地址池首先需要配置NAT的地址池，即可用的公有IP地址范围。

这个地址池可以是一个或多个连续的IP地址段。

配置地址池的命令如下：ip nat pool pool-name start-ip-address end-ip-address netmask netmask2.配置访问列表为了确定哪些数据包需要进行NAT地址转换，需要配置一个访问列表。

访问列表可以根据源地址、目的地址、协议、端口等条件进行匹配。

神州数码交换机路由器常用命令操作

神州数码交换机常用命令操作交换机初始化Ctrl+B交换机恢复默认值SetdefaultwriteReload1.创建vlan、将端口指定为相应vlan、vlan分配IPVlan [编号] //创建vlan 例：vlan10Swi Int eth0/0/[编号-编号] //指定那些端口属于这个vlan 例：swi Int e0/0/1-10 int vlan [编号] //进入vlan接口例：int vlan 10 Ip add [IP地址] [子网掩码] //配置IP地址例：ip add 192.168.1.1 255.255.255.0创建私有vlan方法Vlan 10Private-vlan primary 指定为主vlanVlan 11Private-vlan community 指定为群体vlanVlan 12priate-vlan isolated 指定为隔离vlan创建关联：vlan 10Priate-vlan association [关联的vlan号] //主vlan关联群体vlan和隔离vlan 给各vlan指定相应端口结果：群体vlan和隔离vlan ping主vlan 通群体vlan内通;主vlan 内通；群体vlan间不通；隔离vlan内不通；２.配置远程管理（可通过setup配置）(1)交换机telnet远程管理telnet-server enable //开启telnet服务，默认以开启telnet-user [用户] password 0 [密码] //添加telnet管理用户(2)web服务管理Ip http sever //开启web服务,需手动开启Web-user [用户名] password 0 [密码] //添加web管理用户３.静态路由Ip route [目标地址段] [目标掩码] [下一跳IP/接口]Ip route 0.0.0.0 0.0.0.0 [下一跳IP/接口] //ip route 0.0.0.0 0.0.0.0 192.168.1.2 ４.RIP协议路由以Vlan方法Router ripName[名称]Networkvlan[编号] //networkvlan10以IP方法Router ripName [名称]Network [ip段]５.ospf协议路由以Vlan方法Router ospf [ 编号] //默认编号是1Int vlan [vlan号] //int vlan 10 [区域号]默认为0，必须有Ip ospf enable area [区域号] //ip ospf enable area 0以IP方法Router ospf [ 编号]Router-id [ip地址]Network [自己的IP] [网关] area 0 //network 192.168.1.1/24 area 0 6.生成树协议1）Stp模式配置spanning-tree //启用生成树spanning-tree mode stp //设置生成树模式spanning-tree mst 0 priority 4096 //设置生成树交换机优先级2）mstp的配置spanning-treespanning-tree mst configurationname [名称]instance [实例号] vlan [编号]spanning-tree mst [实例号] priority 4096 //设置生成树交换机优先级spanning-tree mst [实例号] port-priority 16 //设置生成树端口优先级3）配置成快速启用端口Int e0/0/[编号-编号]Spanning-tree portfast7.链路聚合（手工）port-group [组号] //创建聚合组号int e0/0/[做链路的那几个端口号] //将端口加入聚合组port-group [组号] mode on8.链路聚合（LACP动态生成）port-group [组号]int e0/0/[做链路的那几个端口号]（交换机A的配置）port-group [组号] mode active（交换机B的配置）port-group [组号] mode passive9.trunkInt e0/0/[端口]Sw mode trunk //设置为trunkSw trunk allowed vlan all //划分到所有vlan10．Mac地址和端口绑定（单个）Int e0/0/[端口]Sw port-securitySw port-security mac-address [mac地址]11.Mac地址和端口绑定（多个）Inte0/0/[端口]Sw port-securitySw port-security maximum [安全mac地址个数如:3]sw port-security mac-address [mac地址]sw port-security mac-address [mac地址]sw port-security mac-address [mac地址]12.Mac地址和端口绑定(动态学习)Int e0/0/[端口]Sw port-security maximumSw port-security maximum lockSw port-security maximum convert13.mac地址表绑定mac-address-table static address[mac地址]vlan[编号]inte0/0/[编号]//解释:让mac地址只能在指定vlan中的指定端口中使用,其他的都不能使用(未测试) 14. 端口安全1) int e0/0/1-10 //进入端口，只能在access口上配置2) switchport port-security //开启端口安全功能3) switchport port-security maximum 5 //配置端口安全最大连接数4) sw port-security violation shutdown //配置违例处理方式5).sw port-security mac-address [mac地址] //配置mac地址绑定15. 交换机端口镜像（将源端口数据复制到目标端口）1) monitor session 1 source interface fastEthernet 0/2 both //源端口、被镜像的端口2) monitor session 1 destiNation interface fastEthernet 0/3 //目标端口、镜像端口16.dhcp配置1)交换机做dhcp服务器配置Service dhcp //启用DHCP服务Ip dhcp pool [地址池名]Network-address [IP段如：192.168.1.0] [掩码数如：24]Lease[租用天数]Default-router[网关IP]Dns-server[DNS的IP]Ip dhcp excluded-address<开始地址><结束地址>//指定网段中不分配的IP地址2)Dhcp中继服务的配置Service dhcpIp forward-protocol udp bootps //配置DHCP中继转发port端口的UDP广播报文，默认67端口Int vlan [编号]或在接口上配置 //int e0/0/[编号]Ip help-address [服务器IP] //指定DHCP中继转发的UDP报文的目标地址17.ACL IP访问控制下面2条是开启ACLFirewall enable //开启包过滤功能Firewall default permit //设置默认动作为允许//定义标准访问控制列表 //定义访问列表Ip access-list standard test //在端口上应用列表Deny 192.168.1.100.00.0.0.0.255//禁止IP段访问Deny 192.168.200.11 0.0.0.0//禁止单个IP访问Denytcp192.168.200.00.0.0.255any-destinationd-port23//拒绝IP段telnet数据Permit192.168.1.100.00.0.0.0.255//允许IP段访问Deny192.168.200.110.0.0.0//允许IP访问//绑定ACL到各个端口Inte0/0/[端口]Ip access-group test in//验证方法Show access-group标准ACL实验1) access-list 1 deny 192.168.1.0 0.0.0.255 //拒绝访问的IP段2) access-list 1 permit 192.168.1.0 0.0.0.255 //允许的IP段3) //进入端口4) ip access-group 1 in //把控制列表1 配入端口，进入控制5) ip access-group 1 out //把控制列表1 配入端口，输出控制15. 扩展ACL实验1) access-list 101 deny tcp A.B.C.D 255.255.255.0 A.B.C.D 255.255.255.0 eq ftp(WWW)// 禁止前面个网段访问后面个网段的ftp或者WWW16. 交换机单向访问控制1) //使用标准ACL2) access-list 1 deny 192.168.1.0 0.0.0.2553) //进入端口4) ip access-group 1 in神州数码路由器常用命令操作路由器初始化:ctrl+breakNopassword路由器恢复默认值dirDel startup-configReboot1.进入端口给端口分配IPInt [端口]Ip add [ip] [子网掩码]No shuFC串口配置时钟频率Ph sp 640002.静态路由Ip route [目标地址段] [目标掩码] [下一跳IP/接口]Ip route 0.0.0.0 0.0.0.0 [下一跳IP/接口] //默认路由Ip route 0.0.0.0 0.0.0.0 [下一跳IP/接口] 10 //浮动路由3.RIP协议路由Router ripNetwork [ip段]4.ospf协议路由Router ospf [进程号]Router-id [ip地址]Network [自己的IP段] [子网掩码] area [区域号如:0]5.telnet开启方法1Aaa authen enable default lineAaa authen login default lineEnable passwd [密码]Line vty 0 4Password [密码]方法2Username [用户名] password [密码]Aaa authentication login [用户名] localLine vty 0 4Login authentication [刚刚那个用户名]6.web访问配置Username [用户] password 0 [密码] //添加用户Ip http webm-type[web配置方式] //选择方式.高级,典型,向导Ip http port[端口] //配置web端口7.ppp协议时钟频率physical-layer speed 64000封装PPP协议Int s0/[编号]Enc ppp //封装PPP协议单向验证（验证方式为PAP和CHAP）验证方Aaa authen ppp default localUsername [用户名] password [密码]Int s0/[编号]Enc pppPpp authen pap被验证方Aaa authen ppp default localInt s0/[编号]Enc pppPpp pap sen [用户名] passwd [密码]双向验证：9.hdlcInt s0/[编号]Enc hdlc //和PPP差不多，都在端口中配置10.dhcp配置Ip dhcp pool[地址池名]Network 192.168.2.0 255.255.255.0 //定义网络段Range 192.168.2.10 192.168.2.20 //定义地址范围Default-router [IP] //配置网关Dns-sever [ip] //配置NDS的IPLease [天数] //租用天数//退回配置模式(config)Ip dhcpd enable//开启dhcp11.Nat网络地址转换分为三种静态地址转换、动态地址转换、端口复用第一种1对1的网络地址转换，也叫静态地址转换，主要用于发布服务器（FTP/WEB/telnet）1）定义内外口在端口下输入ip nat inside ip nat outside2）配置地址转换：ip nat inside source static <服务器地址> <公网地址>ip nat inside source static tcp <服务器地址> 80 <公网地址> 80 发布WWW服务ip nat inside source static tcp <服务器地址> 20 <公网地址> 20 发布ftp服务ip nat inside source static tcp <服务器地址> 21 <公网地址> 21ip nat inside source static tcp <服务器地址> 23 <公网地址> 23 允许telnet远程登陆第二种多对多的网络地址转换，也叫动态地址转换1）定义内外口在端口下输入ip nat inside ip nat outside2）定义内网访问列表（标准）和外网的地址池定义内网访问列表：ip access-list standard <列表名>permit <vlan段> <反掩码> //定义允许转换的源地址范围定义外网的地址池：ip nat pool <地址池名> <外网开始地址> <外网结束地址> netmask <子网掩码> 3）配置地址转换：ip nat inside source list <列表名> pool <地址池名> overload第三种多对一的网络地址转换，也叫端口复用（natp）1）定义内外口在端口下输入ip nat inside ip nat outside2）定义内网访问列表定义内网访问列表：ip access-list standard <列表名>permit <vlan段> <反掩码>3）配置地址转换：ip nat inside source list <列表名> interface <外网接口编号> overload12.vpn(L2TP/PPTP)的配置//A到B的数据传输实例ROUTER-A的配置Intvirtual-tunnel0Ipadd172.16.1.2255.255.255.0***********************Pppchappassword[密码]//退回配置模式(config)VpdnenableVpdn-group0Request-dialinInitiate-toip192.168.1.2priority1Protocol12tp//退回配置模式(config)Iproute192.168.2.0255.255.255.0virtual-tunel0ROUTER-B的配置13、路由重分布redistribute static 重分布静态路由default-information originate 重分布默认路由redistribute connect 重分布直连网段redistribute rip 重分布RIP路由redistribute ospf <进程号> 重分布OSPF路由default-metric [权值] 设置路由权值14、策略路由1)定义内网访问列表：ip access-list standard <列表名>permit <vlan段> <反掩码>2)定义路由图route-map <图名> <图号1> permit/denymatch ip address <列表名>set ip next-hop <ip-address> 设置下一跳地址或 set interface fastethernet < > 设置出口route-map <图名> <图号2> permit/denymatch ip address <列表名>set ip next-hop <ip-address> 设置下一跳地址或 set interface fastethernet < > 设置出口3）在指定路由器的入口上应用路由图Router(config-if)#ip policy route-map <图名>15、Rip 认证：在端口上进行认证（要求在两台设备的路由端口配置）RIP版本1不支持认证。

神州数码交换机路由器常用命令操作

神州数码交换机路由器常用命令操作神州数码交换机常用命令操作（一）交换机1.声明vlan and给vlan分配IPvlan [编号] //vlan 10Sw I e 0/0/[编号-编号] //sw I e 0/0/1-10sin vlan [编号] //in vlan 10ip add [IP地址] [子网掩码] //ip add 192.168.1.1 255.255.255.0 2.静态路由Ip route 0.0.0.0 0.0.0.0 [下一跳IP] //ip route 0.0.0.0 0.0.0.0 192.168.1.2 3.RIP协议路由以Vlan方法Router ripNetwork [自己的vlan ] //network vlan 10 以IP方法Router ripNetwork [ip 段]4.ospf协议路由以Vlan方法Router ospfInt vlan [编号] //int vlan 10Ip ospf enable area [编号] //ip ospf enable area 0 以IP方法Router ospfNetwork [自己的IP]/[网关] area 0 //network 192.168.1.1/24 area 0 5.telnet开启telnet-server enabletelnet-user [用户] password 0 [密码]6.stp生成树协议spanning-tree mode stp7.链路聚合（手工）spanning-tree mode mstp //开启mstp生成树协议port-group [编号] // port-group 1int e 0/0/[做链路的那几个端口号] //int 0/0/1-2port-group [编号] mode on // port-group 1 mode on 8. 链路聚合（LACP动态生成）spanning-tree mode mstpport-group [编号]（交换机A的配置）port-group [编号] mode active（交换机B的配置）port-group [编号] mode passive9.trunkInt e 0/0/[端口]Sw mode trunk //设置为trunkSw trunk allowed vlan all //划分到所有vlan 10．Mac地址和端口绑定（单个）Int e 0/0/[端口]Sw port-securitysw port-security mac-address [mac地址]11. Mac地址和端口绑定（多个）Int e 0/0/[端口]Sw port-security maximum [安全mac地址个数如:3]sw port-security mac-address [mac地址]sw port-security mac-address [mac地址]sw port-security mac-address [mac地址]12. Mac地址和端口绑定(动态学习)Int e 0/0/[端口]Sw port-security maximumSw port-security maximum lockSw port-security maximum convert13.mac地址表绑定mac-address-table static address [mac地址] vlan [编号] int e0/0/[编号]//解释: 让mac地址只能在指定vlan中的指定端口中使用,其他的都不能使用(未测试) 14.mac地址过滤mac-address-table blackhole address [mac地址] vlan [编号] //解释: 让mac地址在指定vlan中不能使用(未测试)15.用am来绑定ip和macAm enableInt e 0/0/[端口]Am mac-ip-pool [mac地址] [IP地址]//验证方法: show am//解锁:no am port16.dhcp配置Service dhcpIp dhcp pool [地址池名]Network-address [IP段如：192.168.1.0] [掩码数如：24]Lease [租用天数]Default-router [网关IP]Dns-server [DNS 的IP]17.ACL IP访问控制Ip access-list standard testDeny 192.168.1.100.0 0.0.0.0.255 //禁止IP段访问Deny 192.168.200.11 0.0.0.0 //禁止单个IP访问Deny tcp 192.168.200.0 0.0.0.255 any-destination d-port 23 //拒绝IP段telnet数据Permit 192.168.1.100.0 0.0.0.0.255 //允许IP段访问Deny 192.168.200.11 0.0.0.0 //允许IP访问//下面2条是开启ACLFirewall enableFirewall default permit//绑定ACL到各个端口Int e 0/0/[端口]Ip access-group test in//验证方法Show access-group18. web管理Ip http sever //开启web服务Web-user [用户名] password 0 [密码] //添加管理用户神州数码路由器常用命令操作（二）路由器1. 进入端口给端口分配IPa) Int [段口]b) Ip add [ip] [子网掩码]c) No shu2.静态路由Ip route 0.0.0.0 0.0.0.0 [下一跳IP] //ip route 0.0.0.0 0.0.0.0 192.168.1.2 3.RIP协议路由Router ripNetwork [ip 段]4.ospf协议路由Router ospf [进程号如:1]Network [自己的IP段] [子网掩码] area [区域号如:0]5.telnet开启Username [用户名] password [密码]Aaa authentication login [用户名] localLine vty 0 4Login authentication [刚刚那个用户名]6.ppp协议Enc ppp7.时钟平率Ph sp 640008.web访问Username [用户] password 0 [密码] //添加用户ip http webm-type [web配置方式] //选择方式.高级,典型,向导ip http port [端口] //配置web端口9.hdlc//和PPP差不多，都在端口中配置Enc hdlc10.dhcpIp dhcp pool [地址池名如:1]Network 192.168.2.0 255.255.255.0 //定义网络段Range 192.168.2.10 192.168.2.20 //定义地址范围Default-router [IP] //配置网关Dns-sever [ip] //配置NDS的IPLease [天数] //租用天数//退回配置模式(config)Ip dhcpd enable //开启dhcp11.natRouter-A_config#Ip access-list standard [访问控制名如:1] //定义访问控制列表Router-A_config_sta_nacl#Permit [IP 段] [子网掩码] //定义允许转换的源地址范围//如:permit 192.168.10.0 255.255.255.0Router-A_config#ip nat pool [转换地址池名如:xh] [起始IP] [结束IP] [子网掩码]Router-A_config#ip nat inside soure list [刚刚定义的访问控制名] pool [刚刚转换地址池名] overload //配置将ACL允许的源地址转换成overld 中的地址,并且做pat复用地址Router-A_config#int f0/0Router-A_config_f0/0#ip nat inside //定义内部接口Router-A_config# int s0/2Router-A_config_ s0/2#ip nat outside //定义外部接口12.vpn(L2TP/PPTP)的配置//A到B的数据传输实例ROUTER-A的配置Int virtual-tunnel 0Ip add 172.16.1.2 255.255.255.0Ppp chap host test@/doc/b66269808.html, Ppp chap password [密码]//退回配置模式(config)Vpdn enableVpdn-group 0Request-dialinInitiate-to ip 192.168.1.2 priority 1Protocol 12tpDomain /doc/b66269808.html,//退回配置模式(config)Ip route 192.168.2.0 255.255.255.0 virtual-tunel 0 ROUTER-B的配置。

神州数码配置基本命令

神州数码交换机配置基本命令交换机基本状态：hostname> ；用户模式hostname# ；特权模式hostname(config)# ；全局配置模式hostname(config-if)# ；接口状态交换机口令设置：switch>enable ；进入特权模式switch#config terminal ；进入全局配置模式switch(config)#hostname ；设置交换机的主机名switch(config)#enable secret xxx ；设置特权加密口令switch(config)#enable password xxa ；设置特权非密口令switch(config)#line console 0 ；进入控制台口switch(config-line)#line vty 0 4 ；进入虚拟终端switch(config-line)#login ；允许登录switch(config-line)#password xx ；设置登录口令xxswitch#exit ；返回命令交换机VLAN设置：switch#vlan database ；进入VLAN设置switch(vlan)#vlan 2 ；建VLAN 2switch(vlan)#no vlan 2 ；删vlan 2switch(config)#int f0/1 ；进入端口1switch(config-if)#switchport access vlan 2 ；当前端口加入vlan 2 switch(config-if)#switchport mode trunk ；设置为干线switch(config-if)#switchport trunk allowed vlan 1，2 ；设置允许的vlan switch(config-if)#switchport trunk encap dot1q ；设置vlan 中继switch(config)#vtp domain ；设置发vtp域名switch(config)#vtp password ；设置发vtp密码switch(config)#vtp mode server ；设置发vtp模式switch(config)#vtp mode client ；设置发vtp模式交换机设置IP地址：switch(config)#interface vlan 1 ；进入vlan 1switch(config-if)#ip address ；设置IP地址switch(config)#ip default-gateway ；设置默认网关switch#dir Flash: ；查看闪存交换机显示命令：switch#write ；保存配置信息switch#show vtp ；查看vtp配置信息switch#show run ；查看当前配置信息switch#show vlan ；查看vlan配置信息switch#show interface ；查看端口信息switch#show int f0/0 ；查看指定端口信息完了最最要的一步。

NAT地址转换基础配置

NAT地址转换基础配置NAT地址转换基础配置 NAT（⽹络地址转换），是将IP数据报报⽂报头中的IP地址转换为另⼀个IP地址的过程，主要⽤于实现内部⽹络（私有IP地址）访问外部⽹络（公有IP地址）的功能。

NAT 有3中类型：静态NAT、动态NAT、⽹络地址端⼝转换NAPT。

配置NAT实验⼀、实验⽬的⼆、实验内容三、实验编址四、实验拓扑五、实验步骤1.给路由器端⼝编址测试连通性此时内⽹还不能访问外⽹2.配置静态NAT（⼀对⼀）在R1上配置访问外⽹的默认路由在R1的 g0/0/0上使⽤ nat static命令配置内部地址到外部地址的⼀对⼀转换，将公⽹地址202.169.10.5给PC1做静态NAT地址转换。

查看静态NAT的配置信息此时PC1便可以访问外⽹了在R1上的G0/0/0接⼝上抓包，发现访问外⽹时完成了外⽹地址的转换。

我们已经尝试了静态NAT的转换，下⾯我们要尝试NAT Outbound的配置。

⾸先设置⼀个地址池，创建基本ACL2000，接着⽤nat outbound命令将ACL2000与地址池关联。

最后使⽤命令display nat outbound查看信息。

3.配置NAT Outbound（多对多）（1）配置地址池1，设置起始和结束地址（2）创建ACL2001，设定允许通过源地址⽹段172.17.1.0的报⽂（3）将ACL2001和地址池相关联，使得ACL中规定的地址可以使⽤地⽀持进⾏地址转换查看R1上的NAT Outbound此时，PC2也可以访问外⽹了并在R1的G0/0/0接⼝上抓包，发现地址已经成功转换为外⽹地址。

4.配置NAT Easy-IP（多对⼀） Easy-IP是NAPT的⼀种⽅式，直接借⽤路由器的出接⼝IP地址作为公⽹地址，将不同的内部地址映射到同⼀公有地址的不同端⼝号上，实现多对⼀地址转换。

在R1的g0/0/0上删除原有配置，并配置Easy-IP特性，直接使⽤接⼝IP地址作为NAT转换后的地址。

神州数码交换机路由器常用命令操作

神州数码交换机常用命令操作交换机初始化Ctrl+B交换机恢复默认值SetdefaultwriteReload1.创立vlan、将端口指定为相应vlan、vlan分配IPVlan [编号] //创立vlan 例：vlan10Swi Int eth0/0/[编号-编号] //指定那些端口属于这个vlan 例：swi Int e0/0/1-10 int vlan [编号] //进入vlan接口例：int vlan 10 Ip add [IP地址] [子网掩码] //配置IP地址例：ip add创立私有vlan方法Vlan 10Private-vlan primary 指定为主vlanVlan 11Private-vlan community 指定为群体vlanVlan 12priate-vlan isolated 指定为隔离vlan创立关联：vlan 10Priate-vlan association [关联的vlan号] //主vlan关联群体vlan和隔离vlan 给各vlan指定相应端口结果：群体vlan和隔离vlan ping主vlan 通群体vlan内通;主vlan 内通；群体vlan间不通；隔离vlan内不通；２.配置远程管理〔可通过setup配置〕(1)交换机telnet远程管理telnet-server enable //开启telnet效劳，默认以开启telnet-user [用户] password 0 [密码] //添加telnet管理用户(2)web效劳管理Ip sever //开启web效劳,需手动开启Web-user [用户名] password 0 [密码] //添加web管理用户３.静态路由Ip route [目的地址段] [目的掩码] [下一跳IP/接口]Ip route .0 [下一跳IP/接口] //ip route４.RIP协议路由以Vlan方法Router ripName[名称]Networkvlan[编号] //networkvlan10以IP方法Router ripName [名称]Network [ip段]５.ospf协议路由以Vlan方法Router ospf [ 编号] //默认编号是1Int vlan [vlan号] //int vlan 10 [区域号]默认为0，必须有Ip ospf enable area [区域号] //ip ospf enable area 0以IP方法Router ospf [ 编号]Router-id [ip地址]Network [自己的IP] [网关] area 0 //network area 06.生成树协议1〕Stp形式配置spanning-tree //启用生成树spanning-tree mode stp //设置生成树形式spanning-tree mst 0 priority 4096 //设置生成树交换机优先级2〕mstp的配置spanning-treespanning-tree mst configurationname [名称]instance [实例号] vlan [编号]spanning-tree mst [实例号] priority 4096 //设置生成树交换机优先级spanning-tree mst [实例号] port-priority 16 //设置生成树端口优先级3〕配置成快速启用端口Int e0/0/[编号-编号]Spanning-tree portfast7.链路聚合〔手工〕port-group [组号] //创立聚合组号int e0/0/[做链路的那几个端口号] //将端口参加聚合组port-group [组号] mode on8.链路聚合〔LACP动态生成〕port-group [组号]int e0/0/[做链路的那几个端口号]〔交换机A的配置〕port-group [组号] mode active〔交换机B的配置〕port-group [组号] mode passiveInt e0/0/[端口]Sw mode trunk //设置为trunkSw trunk allowed vlan all //划分到所有vlan10．Mac地址和端口绑定〔单个〕Int e0/0/[端口]Sw port-securitySw port-security mac-address [mac地址]地址和端口绑定〔多个〕Inte0/0/[端口]Sw port-securitySw port-security maximum [平安mac地址个数如:3]sw port-security mac-address [mac地址]sw port-security mac-address [mac地址]sw port-security mac-address [mac地址]地址和端口绑定(动态学习)Int e0/0/[端口]Sw port-security maximumSw port-security maximum lockSw port-security maximum convert地址表绑定mac-address-table static address[mac地址]vlan[编号]inte0/0/[编号]//解释:让mac地址只能在指定vlan中的指定端口中使用,其他的都不能使用(未测试) 14. 端口平安1) int e0/0/1-10 //进入端口，只能在access口上配置2) switchport port-security //开启端口平安功能3) switchport port-security maximum 5 //配置端口平安最大连接数4) sw port-security violation shutdown //配置违例处理方式5).sw port-security mac-address [mac地址] //配置mac地址绑定15. 交换机端口镜像〔将源端口数据复制到目的端口〕1) monitor session 1 source interface fastEthernet 0/2 both //源端口、被镜像的端口2) monitor session 1 destiNation interface fastEthernet 0/3 //目的端口、镜像端口配置1)交换机做dhcp效劳器配置Service dhcp //启用DHCP效劳Ip dhcp pool [地址池名]Network-address [IP段如： [掩码数如：24]Lease[租用天数]Default-router[网关IP]Dns-server[DNS的IP]Ip dhcp excluded-address<开始地址><完毕地址>//指定网段中不分配的IP地址2)Dhcp中继效劳的配置Service dhcpIp forward-protocol udp bootps //配置DHCP中继转发port端口的UDP播送报文，默认67端口Int vlan [编号]或在接口上配置 //int e0/0/[编号]Ip help-address [效劳器IP] //指定DHCP中继转发的UDP报文的目的地址IP访问控制下面2条是开启ACLFirewall enable //开启包过滤功能Firewall default permit //设置默认动作为允许//定义标准访问控制列表 //定义访问列表Ip access-list standard test //在端口上应用列表Deny .255//制止IP段访问Deny .0//制止单个IP访问回绝IP段telnet数据0..0.255//允许IP段访问允许IP访问//绑定ACL到各个端口Inte0/0/[端口]Ip access-group test in//验证方法Show access-group标准ACL实验.255 //回绝访问的IP段.255 //允许的IP段3) //进入端口4) ip access-group 1 in //把控制列表1 配入端口，进入控制5) ip access-group 1 out //把控制列表1 配入端口，输出控制15. 扩展ACL实验255.0 A16. 交换机单向访问控制1) //使用标准ACL.2553) //进入端口4) ip access-group 1 in神州数码路由器常用命令操作路由器初始化:ctrl+breakNopassword路由器恢复默认值dirDel startup-configReboot1.进入端口给端口分配IPInt [端口]Ip add [ip] [子网掩码]No shuFC串口配置时钟频率Ph sp 640002.静态路由Ip route [目的地址段] [目的掩码] [下一跳IP/接口]Ip route .0 [下一跳IP/接口] //默认路由Ip route .0 [下一跳IP/接口] 10 //浮动路由协议路由Router ripNetwork [ip段]协议路由Router ospf [进程号]Router-id [ip地址]Network [自己的IP段] [子网掩码] area [区域号如:0]开启方法1Aaa authen enable default lineAaa authen login default lineEnable passwd [密码]Line vty 0 4Password [密码]方法2Username [用户名] password [密码]Aaa authentication login [用户名] localLine vty 0 4Login authentication [刚刚那个用户名]6.web访问配置Username [用户] password 0 [密码] //添加用户Ip webm-type[web配置方式] //选择方式.高级,典型,向导Ip port[端口] //配置web端口7.ppp协议时钟频率physical-layer speed 64000封装PPP协议Int s0/[编号]Enc ppp //封装PPP协议单向验证〔验证方式为PAP和CHAP〕验证方Aaa authen ppp default localUsername [用户名] password [密码]Int s0/[编号]Enc pppPpp authen pap被验证方Aaa authen ppp default localInt s0/[编号]Enc pppPpp pap sen [用户名] passwd [密码]双向验证：Int s0/[编号]Enc hdlc //和PPP差不多，都在端口中配置配置Ip dhcp pool[地址池名]Network //定义网络段Range //定义地址范围Default-router [IP] //配置网关Dns-sever [ip] //配置NDS的IPLease [天数] //租用天数//退回配置形式(config)Ip dhcpd enable//开启dhcp11.Nat网络地址转换分为三种静态地址转换、动态地址转换、端口复用第一种1对1的网络地址转换，也叫静态地址转换，主要用于发布效劳器〔FTP/WEB/telnet〕1〕定义内外口在端口下输入ip nat inside ip nat outside2〕配置地址转换：ip nat inside source static <效劳器地址> <公网地址>ip nat inside source static tcp <效劳器地址> 80 <公网地址> 80 发布WWW效劳ip nat inside source static tcp <效劳器地址> 20 <公网地址> 20 发布ftp效劳ip nat inside source static tcp <效劳器地址> 21 <公网地址> 21ip nat inside source static tcp <效劳器地址> 23 <公网地址> 23 允许telnet远程登陆第二种多对多的网络地址转换，也叫动态地址转换1〕定义内外口在端口下输入ip nat inside ip nat outside2〕定义内网访问列表〔标准〕和外网的地址池定义内网访问列表：ip access-list standard <列表名>permit <vlan段> <反掩码> //定义允许转换的源地址范围定义外网的地址池：ip nat pool <地址池名> <外网开始地址> <外网完毕地址> netmask <子网掩码> 3〕配置地址转换：ip nat inside source list <列表名> pool <地址池名> overload第三种多对一的网络地址转换，也叫端口复用〔natp〕1〕定义内外口在端口下输入ip nat inside ip nat outside2〕定义内网访问列表定义内网访问列表：ip access-list standard <列表名>permit <vlan段> <反掩码>3〕配置地址转换：ip nat inside source list <列表名> interface <外网接口编号> overload12.vpn(L2TP/PPTP)的配置//A到B的数据传输实例ROUTER-A的配置Intvirtual-tunnel0PppchaphostPppchappassword[密码]//退回配置形式(config)VpdnenableVpdn-group0Request-dialinProtocol12tp//退回配置形式(config)ROUTER-B的配置13、路由重分布redistribute static 重分布静态路由default-information originate 重分布默认路由redistribute connect 重分布直连网段redistribute rip 重分布RIP路由redistribute ospf <进程号> 重分布OSPF路由default-metric [权值] 设置路由权值14、策略路由1)定义内网访问列表：ip access-list standard <列表名>permit <vlan段> <反掩码>2)定义路由图route-map <图名> <图号1> permit/denymatch ip address <列表名>set ip next-hop <ip-address> 设置下一跳地址或 set interface fastethernet < > 设置出口route-map <图名> <图号2> permit/denymatch ip address <列表名>set ip next-hop <ip-address> 设置下一跳地址或 set interface fastethernet < > 设置出口3〕在指定路由器的入口上应用路由图Router(config-if)#ip policy route-map <图名>15、Rip 认证：在端口上进展认证〔要求在两台设备的路由端口配置〕RIP版本1不支持认证。

神州数码 dcfw-1800 防火墙配置手册

神州数码DCFW-1800防火墙配置手册神州数码（上海）网络有限公司二零零二年十月前言计算机和网上技术正以惊人的速度改变着整个世界，全世界的公司都面临着巨大的挑战和机会。

借助网络，人们可以与异地的同事或是客户进行实时交流，快速地接受、发送信息；借助网络，人们可以提高工作效率、减少开支，同时做到了在尽可能短的时间内对客户或市场的形势变化做出应急反应。

但也因此增加了新的危险。

因为要想与别人通信就要对自己的网络进行设置，使之一定程度地对外开放，这样就使自己的内部网络暴露在一些不怀好意的人的面前。

为了使网络信息系统在保障安全的基础上被正常访问，需要一定的设备来对系统实施保护，保证只有合法的用户才可以访问系统。

就目前看，能够实现这种需求的性能价格比最优的设备就是防火墙。

防火墙以其简单、实用、高效、经济等特点受到越来越多的用户的青睐，因此被越来越多地使用在企业与企业之间或企业与Internet之间。

DCFW-1800 防火墙是神州数码网络有限公司自主开发的复合型防火墙设备。

主要实现了检测功能、时间段控制访问功能、代理功能、地址转换功能、带宽管理、流量控制、MAC地址绑定功能和完整的日志审记等功能。

这本手册主要是描述如何正确配置、管理和使用DCFW-1800 防火墙，以便您能够预防有害的或未授权的信息出入您所要保护的网络，保障系统的安全。

读者对象本手册是对应高级用户和网络管理员编写的。

配置、使用防火墙所必备的知识：在安装和配置防火墙之前，具备充分的关于 TCP/IP、网络掩码、网络管理等等的知识是非常重要的。

您首先必须理解网络的工作原理，因为您将要安装、配置防火墙来控制进、出所保护网络的数据流。

您尤其要掌握 IP 地址、身份验证系统以及子网掩码的基础知识。

一本称得上出色的关于 TCP/IP 网络管理的书籍应囊括 netstat、arp、ifconfig、ping、nslookup、DNS、sendmail、routing 和更多的相关内容，由于本手册的主旨及篇幅所限，无法全面介绍，请您在相关书籍上查阅更多的资料。

NAT地址转换原理及配置解读

NAT地址转换原理及配置解读NAT（Network Address Translation）是一种网络技术，它通过将内部网络的私有IP地址转化为可公网访问的公共IP地址来解决IP地址不足的问题。

NAT有两种工作模式：静态NAT和动态NAT。

静态NAT为每个内部IP地址指定一个对应的公网IP地址，而动态NAT则使用一个IP地址池来动态分配公网IP地址。

NAT的原理是通过在网络边界设备（如路由器或防火墙）上创建一个转换表，将内部网络的私有IP地址映射到公共IP地址上。

当内部网络的主机需要与外部网络进行通信时，它们的IP地址会被转换为公共IP地址，并相应地修改数据包的源和目标地址信息。

当外部网络的响应数据包返回时，转换表会将目标地址还原回内部IP地址，以保证数据包能正确传递到内部网络的主机上。

1.决定NAT的类型：静态NAT还是动态NAT。

如果需要将指定的内部IP地址映射到一个特定的公网IP地址上，则选择静态NAT。

如果希望动态地将内部IP地址映射到一个IP地址池中的公网IP地址上，则选择动态NAT。

2.配置NAT转换表：根据NAT的类型和需求，配置NAT转换表。

对于静态NAT，需要将每个内部IP地址和对应的公网IP地址进行映射。

对于动态NAT，需要配置一个IP地址池，其中包含可用于动态分配的公网IP地址。

3.配置NAT规则：根据转换表的配置，创建NAT规则。

NAT规则定义了内部网络中的主机或子网地址和对应的映射关系。

每个规则包括内部地址的起始和结束范围，以及对应的公网IP地址。

4.配置访问控制列表（ACL）：ACL用于限制哪些内部网络的主机或子网可以进行NAT转换。

通过配置ACL，可以指定允许转换的源IP地址范围。

5.将NAT应用到网络接口：将NAT配置应用到网络接口上，以便其开始转换内部网络的IP地址。

这通常是在网络边界设备的入口接口上进行配置。

6.测试和验证：在完成配置后，进行测试和验证来确保NAT正常工作。

DCFW-1800-UTM配置指南之NAT

DCFW-1800E/S-UTM 地址转换（NAT ）配置指南网络拓扑：网络环境及配置需求：I 、内网网段192.168.1.0/24，通过UTM 做动态NAT 上网，动态NAT 地址使用UTM 外网接口if2的地址---202.127.192.66，外网网关为202.127.192.66II 、对内网FTP server:192.168.1.10做端口映射，将外网口地址202.127.192.66的tcp21端口映射到该FTP server 的tcp21端口，放行外网到FTP Server 的ftp 服务。

III 、配置让内网用户可以通过FTP Server 映射后的公网地址访问FTP Server.IV 、对DMZ 区的Web Server 做静态地址映射，将公网地址202.127.192.67静态映射到172.16.1.10，放行外网到Web Server 的http 服务。

V 、配置让内网用户可以通过Web Server 映射后的公网地址访问Web Server.需求I内网网段192.168.1.0/24，通过UTM 做动态NAT 上网，动态NAT 地址使用UTM 外网接口if2的地址---202.127.192.66，外网网关为202.127.192.65Internetif0:192.168.1.81/24 Manage_ip:192.168.1.80/24DCFW-1800-UTM网关:202.127.192.65/24FTP Server:192.168.1.10/24内网DMZ外网配置步骤：1、使用“超级终端”登陆UTM，参数设置如下：初始配置管理用户名：admin 密码：admin进入配置模式：Hawk>enableHawk#进入特权模式：Hawk#config terminalHawk(config)#将if0接口加入trust安全域：Hawk(config)#set interface eth0 zone trust为if0接口配置ip地址：Hawk(config)# set interface eth0 ip 192.168.1.81/24为if0接口配置管理ip地址：Hawk(config)#set interface eth0 manage-ip 192.168.1.80/24开启if0接口的Web管理权限(只有添加了管理地址的主机才具有管理权限)：Hawk(config)#set interface eth0 manage-service web开启if0接口可以被ping的功能（只接受管理主机的ping，并且只能ping该接口的管理ip）：Hawk(config)#set interface eth0 manage-service ping添加管理主机地址：Hawk(config)#set adminhost 192.168.1.85退出特权模式到配置模式并保存配置：Hawk(config)#exitHawk#save config此后的配置可以用ip地址为192.168.1.85的管理主机连接到if0接口上通过Web界面配置2、登陆web管理界面打开一个IE浏览器窗口，在地址栏里输入https://192.168.1.80:2000（注意此处的地址为if0接口的管理ip --- manage-ip）登陆角色选择为：配置管理员初始用户名：admin初始密码：admin3、配置接口地址添加外网接口eth2 IP地址：在“网络”->“网络接口”中点击“修改”eth2接口将eth2接口状态设为：“up”工作模式设为“NAT”所属安全域设为“untrust”IP/位掩码：202.127.192.66/29设定完毕后点击“确定”在“网络”->“路由”->“静态路由”中点击“新增”。