Professional Documents
Culture Documents
Bao Mat Mang Cisco
Bao Mat Mang Cisco
Phần 1
Bài 1:
Đặt mật khẩu truy nhập cho Router
1. Giới thiệu :
Bảo mật là một yếu tố rất quan trọng trong network,vì thế nó rất đựơc quan tâm và
sử dụng mật khẩu là một trong những cách bảo mật rất hiệu quả.Sử dụng mật khẩu
trong router có thể giúp ta tránh được những sự tấn công router qua những phiên
Telnet hay những sự truy cập trục tiếp vào router để thay đổi cấu hình mà ta không
mong muốn từ người la.
2. Mục đích:
Cài đặt được mật khẩu cho router, khi đăng nhập vào, router phải kiểm tra các loại
mật khẩu cần thiết.
Trong đồ hình trên, PC được nối với router bằng cáp console
Bước 2 : Từ dấu nhắc chế độ Privileged mode vào mode cofigure để cấu hình
cho Router bằng lệnh configure terminal
Router#config t
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#
Lưu ý : khi ta cài đặt cùng lúc 2 loại mật khẩu enable secret và enable
password thì Router sẽ kiểm tra mật khẩu có hiệu lực mạnh hơn là enable secret. Khi
mật khẩu secret không còn thì lúc đó mật khẩu enable password sẽ được kiểm tra.
Cấu hình mật khẩu bằng lệnh Line
Mật khẩu cho đường Telnet (Line vty)
Router(config)#line vty 0 4
Router(config-line)#password class password là class
Router(config-line)#login mở chế độ cài đặt password
Router(config-line)#exit
Router#show running-config
Building configuration...
Current configuration : 550 bytes
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption password cài đặt ở chế độ không mã hóa
hostname Router
enable secret 5 $1$6bgK$prmkIPVMht7okiCQ5EQ2o password secret được
mã hóa mặc định ở cấp độ 5
enable password cisco
!
line con 0
password cert password cho cổng Console là cert
login
line aux 0
password router password cho cổng aux là router
login
line vty 0 4
password class password cho đường vty là class
login
!
End
Dùng lệnh Show running-config ta sẽ thấy được các password đã cấu hình, nếu
muốn mã hóa tất cả các password ta dùng lệnh Service password-encryption trong
mode config.
Router(config)#service password-encryption
Router(config)#exit
Router#show run
Building configuration...
enable secret 5 $1$6bgK$prmkIPVMht7okiCQ5EQ2o/
enable password 7 094F471A1A0A password đã được mã hóa ở cấp độ 7
line con 0
password 7 15110E1E10 password đã được mã hóa ở cấp độ 7
login
line aux 0
password 7 071D2E595A0C0B password đã được mã hóa ở cấp độ 7
login
line vty 0 4
password 7 060503205F5D password đã được mã hóa ở cấp độ 7
login
!
End
User Access Verification mật khẩu line console sẽ được kiểm tra
Các loại mật khẩu khác như Line Vty ,Line aux sẽ được kiểm tra khi sử dụng đến
chức năng đó
Bài 2
Cisco Discovery Protocol (CDP)
1. Giới thiệu :
CDP(Cisco Discovery Protocol) là 1 giao thức của Cisco, giao thức này hoạt động
ở lớp 2(data link layer) trong mô hình OSI, nó có khả năng thu thập và chỉ ra các
thông tin của các thiết lân cận được kết nối trực tiếp, những thông tin này rất cần thiết
và hữu ích cho bạn trong quá trình xử lý sự cố mạng.
2. Mục đích:
Bài thực hành này giúp bạn hiểu rõ về giao thức CDP và các thông số liên quan,
nắm được chức năng của các lệnh trong giao thức này.
Đồ hình bài lab như hình vẽ, các router được nối với nhau bằng cáp serial.
ip subnet-zero
no ip finger
!
no ip dhcp-client network-discovery
!
interface Ethernet0
no ip address
shutdown
!
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
!
interface Serial1
ip address 192.168.2.1 255.255.255.0
!
ip kerberos source-interface any
ip classless
ip http server
!
line con 0
transport input none
line aux 0
line vty 0 4
!
End
Router Vsic2 :
Building configuration...
no ip address
shutdown
!
ip classless
no ip http server
!
line con 0
line aux 0
line vty 0 4
login
!
End
Router Vsic3 :
Current configuration : 858 bytes
!
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Vsic3
!
ip subnet-zero
!
interface Serial0
no ip address
shutdown
no fair-queue
!
interface Serial1
ip address 192.168.2.2 255.255.255.0
clockrate 56000
!
ip classless
ip http server
!
line con 0
line aux 0
line vty 0 4
!
End
Lưu ý : Vì CDP là 1 giao thức riêng của Cisco nên nó đươc mặc định khởi động, vì
vậy khi ta dùng lệnh Show run,những thông tin về giao thức này sẽ không được hiển
thị.Giao thức này có thể hoạt động trên cả Router và Switch
Lệnh Show CDP neighbors : dùng để xem thông tin của các thiết bị xung
quanh được liên kết trực tiếp(lệnh này sử dụng trong mode Privileged)
Lệnh Show CDP neighbors detail : dùng để xem chi tiết thông tin của các
thiết bị liên kết trực tiếp.
Version :
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-I-L), Version 12.1(26), RELEASE SOFTWARE
(fc1)
Copyright (c) 1986-2004 by cisco Systems, Inc.
Compiled Sat 16-Oct-04 02:44 by cmong Thông tin về hệ điều hành của
thiết bị liên kết
advertisement version: 2
-------------------------
Device ID: VSIC2 thiết bị liên kết trực tiếp là Vsic2
Entry address(es):
IP address: 192.168.1.1 địa chỉ cổng liên kết
Platform: cisco 2500, Capabilities: Router loại thiết bị liên kết là Cisco
Router 2500
Interface: Serial0, Port ID (outgoing port): Serial0 liên kết qua cổng Serial 0
Holdtime : 168 sec thời gian giữ gói tin là 168 sec
Version :
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-I-L), Version 12.1(26), RELEASE SOFTWARE
(fc1)
Copyright (c) 1986-2004 by cisco Systems, Inc.
Compiled Sat 16-Oct-04 02:44 by cmong Thông tin chi tiết về phiên bản và
hệ điều hành của thiết bị
advertisement version: 2
VSIC1#show cdp
Global CDP information:
Sending CDP packets every 60 seconds gói cdp được gửi mổi 60 second
Sending a holdtime value of 180 seconds thời gian giữ gói tin là 180 second
Sending CDPv2 advertisements is enabled
Lệnh Show CDP interface : hiển thị thông tin CDP về từng cổng,cách đóng
gói và cả timer,hold-time.
VSIC1#show cdp int
Ethernet0 is administratively down, line protocol is down cổng Ethernet0 down
do không có thiết bị liên kết trực tiếp
Encapsulation ARPA cách đóng gói packet
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
Serial0 is up, line protocol is up cổng Serial0 up do co thiết bị liên kết trực tiếp
Encapsulation HDLC cách đóng gói packet
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
Serial1 is up, line protocol is up cổng Serial1 up do có thiết bị liên kết trực tiếp
Encapsulation HDLC cách đóng gói packet
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
Lưu ý : ta có thể dùng lệnh no cdp enable để tắt chế độ CDP trên các interface,và lúc
này lệnh show CDP interface sẽ không hiển thị thông tin CDP trên interface đó.Nếu
muốn bật lại chế độ CDP trên interface nào ta dùng lệnh CDP enable trên interface
đó.
VSIC1(config)#int s0
VSIC1(config-if)#no cdp enable tắt chế độ CDP trên interface Serial0
VSIC1(config-if)#^Z
VSIC1#show cdp inter
01:32:44: %SYS-5-CONFIG_I: Configured from console by console
Ethernet0 is administratively down, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
Serial1 is up, line protocol is up
Encapsulation HDLC
Sending CDP packets every 60 seconds
Holdtime is 180 seconds thông tin về cổng Seria0 không hiển thị sau khi
tắt chế độ cdp trên nó
Nếu muốn bật lại chế độ CDP trên interface nào ta dùng lệnh CDP enable trên
interface đó.
VSIC1(config)#int s0
Trường Trung Cấp Bách Khoa Sài Gòn Trang 14
Bảo Mật Mạng Cisco. GV: Từ Thanh Trí
VSIC1(config-if)#cdp ena
VSIC1(config-if)#exit
LệnhShow CDP traffic : hiển thị bộ đếm CDP bao gồm số lượng gói packet
gửi, nhận và bị lổi.
VSIC1#show cdp traffic
CDP counters :
Total packets output: 128, Input: 115
Hdr syntax: 0, Chksum error: 0, Encaps failed: 9
No memory: 0, Invalid packet: 0, Fragmented: 0
CDP version 1 advertisements output: 0, Input: 0
CDP version 2 advertisements output: 128, Input: 115
VSIC1(config)#cdp run
VSIC1(config)#exit
VSIC1#show cdp
Global CDP information:
Sending CDP packets every 60 seconds
Sending a holdtime value of 180 seconds
Sending CDPv2 advertisements is enabled
Lưu ý: Giao thức CDP chỉ cho ta biết được thông tin của những thiết bị được liên kết
trực tiếp.
Version :
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-JK8OS-L), Version 12.2(1d), RELEASE
SOFTWARE (fc1)
advertisement version: 2
Từ Router Vsic3 chỉ xem được thông tin của thiết bị nối trực tiếp là Router Athen1
Giả sử ta thay đổi địa chỉ IP của cổng Serial1 ở router Vsic3
Vsic3(config)#int s0
Vsic3(config-if)#ip add 192.168.3.2 255.255.255.0
Vsic3(config-if)#no shut
Vsic3(config-if)#clock rate 56000
Vsic3(config-if)#^Z
Dùng lệnh Ping từ Router Vsic3 để ping địa chỉ cổng Serial 1 của Router Vsic1:
Vsic3#ping 192.168.2.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Sử dụng giao thức CDP từ Router Vsic3 xem thông tin về các thiết bị liên kết trực
tiếp:
Vsic3#show cdp neighbors detail
-------------------------
Device ID: VSIC1
Entry address(es):
IP address: 192.168.2.1
Platform: cisco 2500, Capabilities: Router
Interface: Serial1, Port ID (outgoing port): Serial1
Holdtime : 144 sec
Version :
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-JK8OS-L), Version 12.2(1d), RELEASE
SOFTWARE (fc1)
advertisement version: 2
Bạn thấy rõ từ Router Vsic3 ta ping không thấy được Router Vsic1 nhưng dùng giao
thức CDP bạn vẫn nhận được thông tin của thiết bị liên kết. Đây là ưu điểm của giao
thức CDP. Ưu điểm này sẽ rất hữu ích cho bạn khi xử lý sự cố mạng.
Bài 3:Telnet
1. Giới thiệu :
Telnet là một giao thức đầu cuối ảo( Vitural terminal),là một phần của chồng giao
thức TCP/IP.Giao thức này cho phép tạo kết nối với một thiết bị từ xa.
2. Mục đích :
Bài thực hành này giúp bạn hiểu và thực hiện được những cấu hình cần thiết để có
thể thực hiện các phiên Telnet từ host vào Router hay từ Router vào Router.
Đồ hình bài lab như hình trên, các router được nối với nhau bằng cáp serial. Host1
nối với router Vsic1 bằng cắp chéo.
Router vsic1
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic1
!
ip subnet-zero
!
interface Ethernet0
Router vsic2
Building configuration...
Current configuration : 582 bytes
!
version 12.2
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic2
!
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
!
end
Bạn phải chắn chắn rằng các kết nối vật lý đã thành công (kiểm tra bằng lệnh Ping)
KiểmtrakếtnốiTelnet :
Từ Host ta thử telnet vào Router Vsic1 : C:\Documentsand
settings\Administrator>Telnet 10.0.0.1
Password required, but none set đòi hỏi mật khẩu nhưng không được cài dặt
Connection to host lost Kết nối thất bại
Thực hiện Telnet không thành công vì chức năng Telnet đòi hỏi bạn phải mở đường
line Vty và cài đặt mật khẩu cho nó.
ĐặtmậtkhẩuVtychoRouterVsic1 :
vsic1#conf t
Enter configuration commands, one per line. End with CNTL/Z.
vsic1(config)#line Vty 0 4
vsic1(config-line)#pass vsic1
vsic1(config-line)#login
vsic1(config-line)#exit
ĐặtmậtkhẩuVtychoRouterVsic2 :
vsic2#conf t
Enter configuration commands, one per line. End with CNTL/Z.
vsic2(config)#line vty 0 4
vsic2(config-line)#pass vsic2
vsic2(config-line)#login
vsic2(config-line)#exit
Tương tự bạn thực hiện hiện Telnet từ Router Vsic1 đến Router Vsic2:
vsic1#192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Password:
vsic2>ena
% No password set
vsic2>
Lưu ý : Đối với thiết bị của Cisco, bạn chỉ cần đánh địa chỉ của nơi cần Telnet đến,
thiết bị sẽ tự hiểu và thực hiện kết nối Telnet.
Khi Telnet vào, bạn đang ở Mode User và giao thức này đòi hỏi bạn phải có cài đặt
mật khẩu để vào Privileged Mode.Thực hiện việc cài đặt mật khẩu:
Router Vsic1
vsic1(config)#ena pass cisco
vsic1(config)#exit
Router Vsic2
vsic2(config)#ena pass class
vsic2(config)#exit
Bạn thực hiện lại việc kết nối Telnet, từ Host vào Router Vsic1:
C:\Documentsand settings\Administrator>Telnet 10.0.0.1
User Access Verification
Password: vsic1
Vsic1>ena
Password: cisco
Vsic1#
vsic1#192.168.1.2
Trying 192.168.1.2 ... Open
User Access Verification
Password: vsic2
vsic2>ena
Password: class
vsic2#
Từ đây bạn có thể thực hiện việc thay đổi cấu hình cho các thiết bị mà không cần phải
thông qua cổng Console.
KiểmtraviệcTelnetbằnglệnhShow line
vsic2#show line
Tty Typ Tx/Rx A Modem Roty AccO AccI Uses Noise Overruns Int
* 0 CTY - - - - - 5 0 0/0 -
1 AUX 9600/9600 - - - - 0 0 0/0 -
* 2 VTY - - - - - 1 0 0/0 -
* 3 VTY - - - - - 7 0 0/0 -
* 4 VTY - - - - - 4 0 0/0 -
5 VTY - - - - - 1 0 0/0 -
6 VTY - - - - - 0 0 0/0 -
Dấu * biểu thị những line bạn đang sử dụng Telnet,theo như bảng trên,bạng đang sử
dụng 3 dường line Telnet qua lại giữa 2 Router Vsic1 và Vsic2 qua các port 2,3,4.
Cột Uses chỉ số lần bạn đã sử dụng đường line đó.
Lưu ý : Bạn chỉ thực hiện được việc Telnet qua lại giữa các Router không quá 10 lần
cùng lúc (vì bạn chỉ có 5 line Vty từ 0 đến 4)
vsic1#192.168.1.2
Trying 192.168.1.2 ...
% Connection refused by remote host
Router báo lối khi bạn thực hiện phiên Telnet thứ 11.
Bạn cũng có thể thực hiện Telnet cùng lúc giữa các thiết bị bằng cách từ màn hình
telnet, bạn nhấn tổ hợp phím: Ctrl-Shift-6 sau đó nhấn phím X, lúc này bạn sẽ trở lại
màn hình gốc ban đầu và bạn có thể tiếp tục thực hiện các phiên Telnet vào các thiết
bị khác. Để trở về màn hình Telnet ban đầu bạn ấn phím enter 2 lần
ThoátkhỏicácphiênTelnet : chúng ta sử dụng lệnh Exit hay lệnh Disconnect
NgắtmộtkếtnốiTelnet : chúng ta sử dụng lệnh clear line
Bài 4
Khôi phục mật khẩu cho Cisco Router
(Recovery Password)
1. Giới thiệu :
Mật khẩu truy cập là rất hữu ích trong lĩnh vực bảo mật, tuy nhiên đôi khi nó cũng
đem lại phiền toái nếu chẳng may bạn quên mất mật khẩu truy nhập.Bài thực hành
khôi phục mật khẩu cho Cisco Router này giúp bạn khôi phục lại mật khẩu để đăng
nhập vào Router .
Lưu ý: Đặt mật khẩu cho Router có ý nghĩa rất lớn trong khía cạnh security,nó ngăn
cản được các phiên Telnet từ xa vào Router để thay đổi cấu hình hay thực hiện những
mục đích khác.Bạn nên tránh nhầm lẫn giữa hai khái niệm “bảo mật” và “khôi phục
mật khẩu”,bạn có thể khôi phục hay thay đổi được mật khẩu của Router không có
nghĩa là mức độ bảo mật của Router không cao vì để khôi phục mật khẩu cho Router,
điều kiện tiên quyết là bạn phải thao tác trực tiếp trên Router, điều này có nghĩa là
bạn phải được sự chấp nhận của Admin hay kỹ thuật viên quản lý Router.
Bước 3 : Đăng nhập vào Router(lúc này Router không kiểm tra mật khẩu),
dùng các lệnh của Router để xem hay cài đặt lại mật khẩu (bạn chỉ xem được mật
khẩu khi mật khẩu được cài đặt ở chế độ không mã hóa)
Bước 4 : Thay đổi thanh ghi (từ 0x2142 sang 0x2102).
Bước 5 : Lưu lại cấu hình vừa cài đặt (lúc này mật khẩu đã biết).
vsic>enable
Password:
Password:
Password:
% Bad secrets
Bạn phải thực hiện việc khôi phục mật khẩu. Các bước thực hiện như sau:
Bước 1 : bạn khởi động lại Router
Bước 2 : khởi động lại Router, lúc này Router sẽ nạp cấu hình từ thanh ghi
0x2142 (cấu hình trắng)
vsic>ena password sẽ không yêu cầu kiểm tra khi đăng nhập
vsic#show start dùng lệnh Show start xem cấu hình trong NVRAM
Using 456 out of 32762 bytes
!
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
enable secret 5 $1$AqeQ$yB00zFjHxIiVoHLnbLEhh1 password secret đã
được mã hoá
enable password cisco mật khẩu enable password là cisco
Trường Trung Cấp Bách Khoa Sài Gòn Trang 26
Bảo Mật Mạng Cisco. GV: Từ Thanh Trí
!
end
vsic#config t
Enter configuration commands, one per line. End with CNTL/Z.
vsic(config)#ena secret Vsic mật khẩu secret được cấu hình lại là Vsic
vsic(config)#exit
vsic#conf t
vsic(config)#ena pass class mật khẩu enable password là class
vsic(config)#exit
Bước 4 : Thay đổi thanh ghi hiện hành từ 0x2142 trở về 0x2102
Dùng lệnh Show version để xem thanh ghi hiện hành
vsic#show ver
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-I-L), Version 12.1(26), RELEASE SOFTWARE
(fc1)
Copyright (c) 1986-2004 by cisco Systems, Inc.
Compiled Sat 16-Oct-04 02:44 by cmong
Image text-base: 0x03042000, data-base: 0x00001000
.
.
Thayđổithanhghi:
vsic(config)#config-register 0x2102 dùng lệnh config-register
vsic(config)#exit
Xemlạithanhghihiệnhành:
vsic#show ver
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-I-L), Version 12.1(26), RELEASE SOFTWARE
(fc1)
Copyright (c) 1986-2004 by cisco Systems, Inc.
Compiled Sat 16-Oct-04 02:44 by cmong
.
2 Serial network interface(s)
32K bytes of non-volatile configuration memory.
16384K bytes of processor board System flash (Read ONLY)
Configuration register is 0x2142 (will be 0x2102 at next reload) thanh ghi hiện
hành là 0x2102
Bước 5 : lưu cấu hình đã thay đổi vào thanh ghi 0x2102
vsic#wr me
Building configuration...
[OK]
Dùng lệnh show start để xem cấu hình khởi động trong NVRAM
vsic#show start
Using 488 out of 32762 bytes
!
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic
!
enable secret 5 $1$49cD$jrvYyRSQhpTAHuDA1/R1v.
enable password class
!
!
!
End
Sau khi reload lại, đăng nhập vào Router,mật khẩu secret là Vsic sẽ được kiểm tra
vsic con0 is now available
vsic>ena
Password: mật khẩu là Vsic sẽ đươc kiểm tra và chấp nhận
vsic#
Nối cáp console giữa PC với switch. Chúng ta sẽ tiến hành recovery password trên
switch 2950 trong bài lab này.
3. Thực hiện :
Để khảo sát việc recovery password rõ ràng hơn ,chúng ta sẽ cấu hình tên và
password cho switch trước khi tiến hành recovery password cho switch
Chúng ta cấu hình tên và password cho switch như sau :
Switch#conf t
Switch(config)#host Vsic
Vsic(config)#enable password cisco ← Đặt password cho switch
Vsic(config)#enable secret Vsic ← Đặt secret password cho switch
Sau khi cấu hình xong chúng ta lưu vào NVRAM và xem lại cấu hình trong NVRAM
đó trước khi tiến hành recovery password cho switch.
Vsic#copy run start
Destination filename [startup-config]?
Building configuration...
Vsic#show start
Vsic#sh start
Using 1186 out of 32768 bytes
version 12.1
hostname Vsic
enable secret 5 $1$s22D$vCe6IFIeKLhUPZqgm6QZ6/
enable password cisco
Chúng ta tiến hành recovery password theo cách bước sau :
Bước1 : tắt nguồn switch, sau đó giữa nút MODE trên switch 2950 trong lúc
bật nguồn lại. Khi màn hình hiện những thông báo sau, ta nhả nút MODE ra.
Bước 2: Chúng ta nhập flash_init đễ bắt đầu cấu hình cho các file của flash.
Nhập câu lệnh dir flash: để xem các file có chứa trong flash. Sau đó chúng ta đổi tên
file config.text thành config.bak (vì cấu hình của chúng ta đã lưu phần trước được
switch chứa trong file này) bằng câu lệnh sau : rename flash:config.text
flash:config.bak Sau đó chúng ta reload lại switch bằng câu lệnh boot
Bước5 : copy cấu hình từ RAM vào NVRam, rồi reload switch lại.
Vsic#copy run start
Destination filename [startup-config]?
Building configuration...
[OK]
Vsic#reload
1. Giới thiệu :
Flash là 1 bộ nhớ có thể xóa, được dùng để lưu trữ hệ điều hành và một số mã
lệnh.Bộ nhớ Flash cho phép cập nhật phần mềm mà không cần thay thế chip xử lý.Nội
dung Flash vẫn được giữ khi tắt nguồn.
Bài lab này gíup bạn thực hiện việc nạp IOS (Internetwork Operating System)
Image từ Flash trong Router Cisco vào TFTP server để tạo bản IOS Image dự phòng
và nạp lại IOS Image từ từ TFTP sever vào Cisco Router chạy từ Flash(khôi phục
phiên bản củ hay update phiên bản mới) thông qua giao thức truyền TFTP (Trivial file
transfer protocol)
Đồ hình bài lab như hình vẽ, PC nối với router bằng cáp chéo và một cáp console
(để điều khiển router).
3. Các bước thực hiện:
Chúng ta sẽ cấu hình cho router Vsic và PC (đóng vai trò như một TFTP server)
như sau :
PC :
IP Address : 192.168.14.2
Subnetmask : 255.255.255.0
Gateway : 192.168.14.1
Router Vsic :
no service password-encryption
hostname vsic
!
Bạn thực hiện lệnh Ping để đảm bảo việc kết nối giữa Router và TFTP server
vsic#ping 192.168.14.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.14.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/4 ms
Dùng lệnh Show version để xem phiên bản IOS hiện hành:
vsic#show ver
Cisco Internetwork Operating System Software
IOS (tm) 2500 Software (C2500-JK8OS-L), Version 12.2(1d), RELEASE
SOFTWARE (fc1) Router đang s ử d ụng IOS version 12.2(1d)
vsic#show flash
System flash directory:
File Length Name/status
1 16505800 /c2500-jk8os-l.122-1d.bin
[16505864 bytes used, 271352 available, 16777216 total]
16384K bytes of processor board System flash (Read ONLY)
Bạn thực hiện việc nạp IOS image từ Flash vào TFTP server:
Bạn đã thực hiện xong việc nạp IOS từ Flash vào TFTP server, sau đây bạn thực hiện
lại việc nạp một IOS có sẵn từ TFTP server vào lại flash của một Router.
Các bước thực hiện: Bạn cấu hình Router và Host như trên.chạy chương
trình TFTP từ PC.
Giả sử bạn có 2 file IOS có sẵn trong TFTP server
Nhận xét : Bộ nhớ Flash của bạn có dung lượng là 8 MB, bạn có thể lưu file IOS
image c2500-i-l.121-26.bin vào Flash
Thựchiênquátrìnhcopyflash
vsic#copy tftp flash
**** NOTICE ****
Flash load helper v1.0
This process will accept the copy options and then terminate
the current system image to use the ROM based image for the copy.
Routing functionality will not be available during that time.
If you are logged in via telnet, this connection will terminate.
Users with console access can see the results of the copy operation.
---- ******** ----
Proceed? [confirm] xác nhận việc copy
Address or name of remote host []? 192.168.14.2 tên hay địa chỉ nơi lưu
Flash (TFTP Server)
Source filename []? c2500-i-l.121-26.bin Tên file nguồn
Destination filename [c2500-i-l.121-26.bin]? Tên file đích
%Warning:There is a file already existing with this name
Do you want to over write? [confirm]
Accessing tftp://192.168.14.2/c2500-i-l.121-26.bin...
Erase flash: before copying? [confirm]
Sau khi nạp Flash hoàn thành, Router sẽ reset lại để thay đổi Flash mới, lúc này IOS
trong Flash sẽ là file IOS bạn vừa copy vào.
QuátrìnhnạpFlash trongTFTPserver
Hai router được nối với nhau bằng cáp serial. Địa chỉ các interface được ghi trên hình.
Vsic1#sh run
Building configuration...
Vsic2#sh run
Building configuration...
Vsic2#sh flash
System flash directory:
File Length Name/status
1 8039140 c2500-i-l.121-26.bin
[8039204 bytes used, 8738012 available, 16777216 total]
16384K bytes of processor board System flash (Read ONLY)
Để thực hiện việc copy IOS image từ Router Vsic1 sang Router Vsic2, bạn phải mở
chế độ TFTP server cho Router Vsic1.
Vsic1(config)#tftp-server flash:
Vsic1(config)#tftp-server flash:c2500-i-l.121-26.bin
Vsic1(config)#^Z
Press RETURN to get started! Router sẽ reset lại sau khi nạp IOS mới
Bạn có thể kiểm tra Flash lại bằng lệnh show flash
Vsic2>sh flash
System flash directory:
File Length Name/status
1 8039140 /c2500-i-l.121-26.bin
[8039204 bytes used, 349404 available, 8388608 total]
8192K bytes of processor board System flash (Read ONLY)
Lưu ý: Vì ở đây bạn sử dụng 2 Router có bộ nhớ Flash bằng nhau nên bắt buột bạn
phải thực hiện việc xóa Flash cũ trong quá trình thực hiện copy Flash mới, nhưng
trong trường hợp bạn sử dụng các loại Router có bộ nhớ Flash lớn, còn đủ bộ nhớ để
lưu thêm IOS image (bạn dùng lệnh Show Flash hay Show version để kiểm tra) thì
bạn không cần phải xóa Flash, điều này có nghĩa là bạn có thể lưu 2, 3 hay nhiều IOS
trên Flash tùy thuộc vào khả năng lưu trữ của Flash.Lúc này bạn phải khai báo cho
Router biết phải dùng IOS Image nào để khởi động, bạn dùng lệnh Boot System flash
trong mode config để thực hiện quá trình khai báo này .
PC nối với Switch 2950 bằng một đường cáp thẳng và một cáp console. PC và siwtch
được có địa chỉ IP như trên hình.
Switch#reload
Proceed with reload? [confirm]y
00:06:33: %SYS-5-RELOAD: Reload requested
--output omitted—
--output omitted—
Switch>
Switch>en
Switch#show running-config
--output omitted—
!
interface Vlan1
no ip address
no ip route-cache
shutdown
!
ip http server
!
line con 0
line vty 5 15
!
--output omitted—
Để thực hiện được bài lab này bạn phải cấp phát địa chỉ IP cho VLAN 1 để có thể kết
nối thành công với server, và cũng phải cấu hình default-gateway (bạn nên tập thói
quen cấu hình default-gateway mỗi khi cấu hình).
Vsic#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Vsic(config)#interface vlan 1
Vsic(config-if)#ip address 10.1.1.251 255.255.255.0
Vsic(config-if)#no shutdown
Vsic(config-if)#
00:17:48: %LINK-3-UPDOWN: Interface Vlan1, changed state to up
Vsic(config-if)#
Cần đảm bảo địa chỉ IP cấp phát cho VLAN là địa chỉ hợp lệ (nghĩa là nó thuộc về
subnet cấp phát cho VLAN đó)
Theo mặc định, tất cả các port đều thuộc về VLAN 1. Do đó, tất cả các thiết bị ở bất
cứ port nào cũng đều phải thuộc về cùng 1 subnet đã cấp phát cho VLAN 1 ở trên.
Bạn cấu hình cho máy tính của bạn địa chỉ IP và subnet mask như sau: 10.1.1.10
255.255.255.0
Kiểm tra lại kết nối có thành công hay không bằng cách gõ lệnh sau trên PC:
C:\>ping 10.1.1.251
Lưu ý : Nếu ping không thành công, có thể phải chờ vài phút để switch cập nhật lại
cấu hình, rồi ping lại. Nếu vẫn không thành công phải kiểm tra lại xem đã thực hiện
đúng các bước cấu hình như ở trên chưa.
Bây giờ bạn đã có thể đứng ở máy tính truy cập trên switch thông qua telnet hoặc là
web browser. Thực hiện telnet từ máy tính đến switch dùng địa chỉ IP của VLAN1
10.1.1.251, nhập vào mật mã là : cert khi được hỏi. Hoặc mở ra một web browser ,
nhập vào địa chỉ IP 10.1.1.251, nhập vào tên user là vsic, phải nhập mật mã là class.
BƯỚC 4 :Xem sơ qua các tập tin hệ thống trên switch bằng lệnh sau:
Trong số các tập tin trên switch được lưu lại cần chú ý : System Image (tập tin IOS
nằm trên vùng nhớ flash), tập tin cấu hình lúc startup nằm trên NVRAM của vùng
nhớ flash. Hệ điều hành của switch được load trên DRAM
Xem thông tin về các tập tin hệ thống của switch. Để biết được version hiện tại của
IOS gõ lệnh sau:
vsic#show version
OS (tm) C2950 Software (C2950-I6Q4L2-M), Version
12.1(22)EA2, RELEASE SOFTWARE
(fc1)
Copyright (c) 1986-2004 by cisco Systems, Inc.
--output omitted--
vsic#dir
Directory of flash:/
BƯỚC 5 : Thực hiện sao chép IOS image giữa tftp server và switch.
a. Chép file IOS image từ switch lên tftp server (upload)
b. Chép file IOS image từ tftp server về lại switch (download)
Cú pháp căn bản của lệnh chép tập tin của switch: copy from “source” to “dest”. Để
biết thêm chi tiết của lệnh copy có thể sử dụng help của CLI như cách sau:
vsic#copy ?
/erase Erase destination file system.
/noverify Disable automatic image verification
after copy
Download IOS image từ TFTP server vào Flash của switch, vì bạn sẽ down load về
tập tin vừa mới upload lên , dẫn đến bị trùng tên cho nên bạn sẽ được hỏi là có ghi đè
lên hay không, bạn phải trả lời là yes:
vsic#copy tftp flash:
Address or name of remote host []? 10.1.1.10
Source filename []? c2950-i6q4l2-mz.121-22.EA2.bin
Destination filename [c2950-i6q4l2-mz.121-22.EA2.bin]?
%Warning:There is a file already existing with this name
Do you want to over write? [confirm]y
Accessing tftp://10.1.1.10/c2950-i6q4l2-mz.121-22.EA2.bin...
Loading c2950-i6q4l2-mz.121-22.EA2.bin from 10.1.1.10 (via Vlan1): !!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
--output omitted--
[OK - 3086328 bytes]
3086328 bytes copied in 87.712 secs (35187 bytes/sec)
MỞ RỘNG :
Bạn nên thử thiết lập kết nối 2 switch với nhau, cấu hình để 1 switch làm tftp server ,
còn switch kia phải cập nhật lại IOS image của mình từ switch.
Các thiết bị cần có: 1 switch 2950, 2 PC, 2 cáp thẳng , 1 cáp console
Switch>enable
Switch#erase startup-config
Erasing the nvram filesystem will remove all configuration files! Continue?
[confirm]y
Erase of nvram: complete
Switch#
00:04:57: %SYS-7-NV_BLOCK_INIT: Initalized the geometry of nvram
Switch#
--output omitted—
--output omitted—
Switch>
Switch>enable
Switch#show running-config
--output omitted—
!
interface Vlan1
no ip address
no ip route-cache
shutdown
!
ip http server
!
line con 0
line vty 5 15
!
--output omitted—
--output omitted—
BƯỚC 3 :
Các VLAN có thể được tạo ra bằng 1 trong 2 cách. Cách 1 là cấp phát 1 port
vào một vlan chưa tồn tại. Switch sẽ tự động tạo vlan cho port đã được cấp. Cách
khác là tạo các vlan trước, sau đó mới cấp phát port cho nó sau.
2950 switch có lệnh range cho phép việc cấu hình nhiều port (liên tục, hoặc
không liên tục) cho 1 số chức năng nào đó. Giả sử như bạn phải cấu hình nhiều lệnh
giống nhau cho nhiều port thì có thể dùng từ khóa range để cấu hình 1 lần cho nhiều
port.
Theo mặc định, VLAN 1 đã có sẵn và được gọi là management vlan, tất cả các
port đã nằm sẵn trong VLAN 1. Do đó không cần thiết phải cấp phát port cho vlan 1.
Bạn sẽ dùng lệnh range để cấp phát port 5 đến 8 cho vlan 10 theo cách tạo vlan thứ
nhất. Sau đó, tạo VLAN 20 theo cách thứ 2, cấp phát 1 port số 9 cho vlan 20, rồi cấp
phát port 10, 12 cho vlan 20 để bạn thấy được lệnh range có thể sử dụng cho các port
không liên tục.
vsic#configure terminal
vsic(config)#interface range fast 0/5 -8
vsic(config-if-range)#switchport access vlan 10
% Access VLAN does not exist. Creating vlan 10
vsic(config-if-range)#no shut
vsic(config-if-range)#^Z
Gõ lệnh show vlan để xem vlan 10 vừa mới tạo ra được hiển thị cụ thể trong output.
vsic#show vlan
--output omitted--
Tạo VLAN 20 theo cách 2, và cấp phát port dùng lệnh range theo kiểu không liên tục.
vsic#vlan database
vsic(vlan)#vlan 20
VLAN 20 added:
Name: VLAN0020
vsic(vlan)#exit
APPLY completed.
Exiting....
vsic#configure terminal
vsic(config)#interface fast 0/9
vsic(config-if)#switchport access vlan 20
Xem lại các cấu hình mới nhập vào bằng lệnh : show vlan
vsic#show vlan
--output omitted—
vsic#vlan database
vsic(vlan)#vlan 20 name accounting
VLAN 20 modified:
Name: accounting
vsic(vlan)#exit
APPLY completed.
Exiting....
Xem tên của vlan 20 bây giờ đã được đổi thành accouting chứ không còn là tên mặc
định: VLAN0020 như trước đây.
vsic#show vlan
--output omitted--
Bây giờ bạn đổi tên VLAN 10 thành engineering nhưng sau đó nhập vào lệnh abort,
tên của VLAN 10 vẫn không thay đổi, vì nó không được lưu lại. Lệnh abort sẽ huỷ tất
cả cấu hình trong phiên làm đăng nhập vào vlan database hiện hành.
vsic#vlan database
vsic(vlan)#vlan 10 name engineering
VLAN 10 modified:
Name: enginerring
vsic(vlan)#abort
Aborting....
vsic#
--output omitted—
vsic(config)#interface vlan 1
vsic(config-if)#ip address 192.168.1.1 255.255.255.0
vsic(config-if)#no shut
vsic(config-if)#interface vlan 10
vsic(config-if)#ip address 192.168.10.1 255.255.255.0
vsic(config-if)#no shut
vsic(config-if)#interface vlan 20
vsic(config-if)#ip address 192.168.20.1 255.255.255.0
vsic(config-if)#no shut
Kiểm tra lại các địa chỉ IP đã nhập vào bằng lệnh sau:
vsic#show run
!
interface Vlan1
ip address 192.168.1.1 255.255.255.0
no ip route-cache
shutdown
!
interface Vlan10
ip address 192.168.10.1 255.255.255.0
no ip route-cache
shutdown
!
interface Vlan20
ip address 192.168.20.1 255.255.255.0
no ip route-cache
!
Lưu ý : chỉ có một vlan interface được phép up vào bất cứ lúc nào. Chẳng hạn
interface vlan 20 đang up, nếu bạn gõ lệnh no shut cho interface vlan 10 thì interface
vlan 20 tự động down.
BƯỚC 5 : Để kiểm tra hoạt động của các VLAN , bạn có thể làm như sau:
a) Cấu hình cho PC 1 địa chỉ IP : 192.168.1.2 255.255.255.0. Dùng cáp thẳng nối
card mạng của PC1 với port 1 của switch. Đứng từ PC 1 bạn gõ lệnh: ping
thì trunk cho phép thực hiện điều đó chỉ bằng một đường vật lý. Trunk tạo ra nhiều
đường kết nối vlan ảo trên một đường vật lý. Từ đó vlan trên các switch khác có thể
liên lạc được với nhau.
Trunk có hai loại đóng gói là : dot1q và isl. Dot1q sử dụng các frame tagging để
truyền dữ liệu của vlan giữa hai switch khác nhau. Còn ISL sẽ đóng gói ethernet
frame bằng các gắn vào đầu fram giá trị VLAN ID.
Hai switch được nối với nhau bằng cáp chéo và được cấu hình cùng VTP domain.
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/2, Fa0/3, Fa0/4, Fa0/5,
Fa0/6, Fa0/7, Fa0/8, Fa0/9,
Fa0/10, Fa0/11, Fa0/12, Fa0/13,
Fa0/14, Fa0/15, Fa0/16, Fa0/17,
Fa0/18, Fa0/19, Fa0/20, Fa0/21,
Fa0/22, Fa0/23, Fa0/24
3 vlan3 active
5 vlan5 active
7 vlan7 active
Switch Vsic1 đã được tạo vlan2, vlan4, vlan6; switch Vsic2 có vlan3, vlan5, vlan6.
Bây giờ chúng ta sẽ cấu hình đường trunk cho hai switch bằng cách :
(Chúng ta chưa nối hai port fa0/1 của hai switch lại với nhau)
Vsic1#conf t
Vsic1(config)#in fa0/1
Vsic1(config-if)#switchport mode trunk Cấu hình cho port Fa0/1 là trunk
Vsic2#conf t
Vsic2(config)#in fa0/1
Vsic2(config-if)#switchport mode trunk
Vsic2(config-if)#switchport trunk encapsulation dot1q ← sử dụng giao thức
đóng gói dot1q cho đường trunk
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/2, Fa0/3, Fa0/4, Fa0/5,
Fa0/6, Fa0/7, Fa0/8, Fa0/9,
Fa0/10, Fa0/11, Fa0/12, Fa0/13,
Fa0/14, Fa0/15, Fa0/16, Fa0/17,
Vsic1#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/2, Fa0/3, Fa0/4, Fa0/5,
Fa0/6, Fa0/7, Fa0/8, Fa0/9,
Fa0/10, Fa0/11, Fa0/12, Fa0/13,
Fa0/14, Fa0/15, Fa0/16, Fa0/17,
Fa0/18, Fa0/19, Fa0/20, Fa0/21,
Fa0/22, Fa0/23, Fa0/24
3 vlan3 active
5 vlan5 active
7 vlan7 active
Bây giờ chúng ta nối cáp hai port fa0/1 lại. Kiểm tra lại các vlan chúng ta sẽ thấy
được là hai switch không trao thổi thông tin vlan với nhau (switch Vsic1 sẽ không ập
vlan lên switch Vsic2).
Vsic1#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4
Fa0/5, Fa0/6, Fa0/7, Fa0/8
Fa0/9, Fa0/10, Fa0/11, Fa0/12
2 vlan2 active
4 vlan4 active
6 vlan6 active
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/2, Fa0/3, Fa0/4, Fa0/5,
Fa0/6, Fa0/7, Fa0/8, Fa0/9,
Fa0/10, Fa0/11, Fa0/12, Fa0/13,
Fa0/14, Fa0/15, Fa0/16, Fa0/17,
Fa0/18, Fa0/19, Fa0/20, Fa0/21,
Fa0/22, Fa0/23, Fa0/24
3 vlan3 active
5 vlan5 active
7 vlan7 active
Vậy nếu hai switch không cùng một VTP domain thì sẽ không trao đổi thông tin vlan
cho nhau.
Chúng ta sẽ cấu hình cho hai switch cùng VTP domain name là Vsic. Switch Vsic1 có
các Vlan là vlan2, vlan4, vlan6. Switch Vsic2 có các vlan3, vlan5, vlan7
Vsic2#sh vlan
Chúng ta tiến hành cấu hình đường trunk cho hai switch Vsic1 và Vsic2 (không cắm
cáp chéo vào hai port fa0/1 của hai switch)
Vsic1#conf t
Vsic1(config)#in fa0/1
Vsic1(config-if)#switchport mode trunk
Vsic2#conf t
Vsic2(config)#in fa0/1
Vsic2(config-if)#switchport mode trunk
Vsic2(config-if)#switchport trunk encapsulation dot1q ← sử dụng giao thức
đóng gói dot1q cho đường trunk
Lưuý : switch 2950 sử dụng phương thức đóng gói là dot1q do đó chúng ta phải cấu
hình cho switch Vsic2 (switch 2900) sử dụng giao thức đóng gói này.
Bây giớ chúng ta sẽ xem số Configuration Revision của các switch bằng câu lệnh
show vtp status
Vsic1#sh vtp status
VTP Version :2
Configuration Revision :3
Maximum VLANs supported locally : 64
Number of existing VLANs :8
VTP Operating Mode : Server
VTP Domain Name : Vsic
VTP Pruning Mode : Disabled
VTP V2 Mode : Disabled
VTP Traps Generation : Disabled
MD5 digest : 0x0E 0x36 0x79 0x87 0x0C 0x87 0x1E 0x4C
Configuration last modified by 0.0.0.0 at 3-1-93 00:06:43
Local updater ID is 0.0.0.0 (no valid interface found)
Trong trường hợp này số Configuration Revision của Vsic1 lớn hơn của Vsic2 do đó
khi ta nối đường trunk lại thì các vlan của Vsic2 sẽ bị mất và thay vào đó là các vlan
của Vsic1.
Bây giờ chúng ta cắm cáp chéo vào hai port fa0/1 của hai switch và kiểm tra lại vlan
trên switch Vsic1 và Vsic2
Vsic1#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4
Fa0/5, Fa0/6, Fa0/7, Fa0/8
Fa0/9, Fa0/10, Fa0/11, Fa0/12
2 Vlan2 active
4 Vlan4 active
6 Vlan6 active
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4,
Fa0/5, Fa0/6, Fa0/7, Fa0/8,
Fa0/9, Fa0/10, Fa0/11, Fa0/12,
Fa0/13, Fa0/14, Fa0/15, Fa0/16,
Fa0/17, Fa0/18, Fa0/19, Fa0/20,
Fa0/21, Fa0/22, Fa0/23, Fa0/24
2 Vlan2 active
4 Vlan4 active
6 Vlan6 active
Switch đã bị mất các vlan của mình, và thay vào đó là các vlan của switch Vsic1.
Trong trường hợp nếu như số Configuration Revision của Vsic2 lớn hơn Vsic1 thì sẽ
xảy ra ngược lại.
Chúng ta có thể tăng số configuration revision bằng cách vào vlan database apply
nhiều lần. Cứ mỗi lần apply thì số này sẽ tăng lên.
Bây giờ chúng ta tháo cáp thẳng nối hai port fa0/1 của hai switch ra rồi cấu hình vlan
lại cho Vsic1 giống như ban đầu (gồm vlan2, vlan4, vlan6) để khảo sát hoạt động của
VTP password.
Sau khi cấu hình vlan cho Vsic1 xong, chúng ta cấu hình VTP password bằng cách :
Vsic1#vlan database
Vsic1(vlan)#vtp password cisco ←Cấu hình VTP password
Vsic1(vlan)#apply
Vsic2#vlan database
Vsic2(vlan)#vtp password cisco1
Vsic2(vlan)#apply
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4,
Fa0/5, Fa0/6, Fa0/7, Fa0/8,
Fa0/9, Fa0/10, Fa0/11, Fa0/12,
Fa0/13, Fa0/14, Fa0/15, Fa0/16,
Fa0/17, Fa0/18, Fa0/19, Fa0/20,
Fa0/21, Fa0/22, Fa0/23, Fa0/24
3 Vlan3 active
Mặc dù switch Vsic2 có số configuration revision lớn hơn nhưng các vlan của Vsic1
vẫn không bị xóa và Vsic1 cũng không biết được các Vlan của Vsic2. Điều này đồng
nghĩa với hai switch không chuyển đổi thông tin vlan cho nhau. Do switch Vsic1 có
VTP password là cisco còn Vsic2 là cisco1.
Bây giờ chúng ta tháo cáp nối hai port fa0/1 của hai switch ra rồi vào switch Vsic2
cấu hình lại VTP password là cisco.
Sau khi cấu hình lại chúng ta kiểm tra số configuration revision của hai switch
Vsic2#sh vlan
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Fa0/2, Fa0/3, Fa0/4, Fa0/5,
1. Giới thiệu :
Định tuyến (Routing) là 1 quá trình mà Router thực thi và sử để chuyển một gói
tin(Packet) từ một địa chỉ nguồn (soucre)đến một địa chỉ đích(destination) trong
mạng.Trong quá trình này Router phảI dựa vào những thông tin định tuyến để đưa ra
những quyết định nhằm chuyển gói tin đến những địa chỉ đích đã định trước.Có hai
loạI định tuyến cơ bản là Định tuyến tĩnh (Static Route) và Định tuyến động (Dynamic
Route)
Định tuyến tĩnh (Static Route) là 1 quá trình định tuyến mà để thực hiện
bạn phảI cấu hình bằng tay(manually) từng địa chỉ đích cụ thể cho Router.
Một dạng mặc định của định tuyến tĩnh là Default Routes, dạng này được
sử dụng cho các mạng cụt (Stub Network)
Định tuyến động (Dynamic Route) đây mà một dạng định tuyến mà khi
được cấu hình ở dạng này, Router sẽ sử dụng những giao thức định tuyến như
RIP(Routing Information Protocol),OSPF(Open Shortest Path Frist),IGRP(Interior
Gateway Routing Protocol)… để thực thi việc định tuyến một cách tự động
(Automatically) mà bạn không phải cấu hình trực tiếp bằng tay.
Đồ hình bài lab như hình, PC nối với router bằng cáp chéo. Hai router nối với nhau
bằng cáp serial. Địa chỉ IP của các interface và PC như hình vẽ.
Bài lab này giúp bạn thực hiện cấu hình định tuyến tĩnh cho 2 router, làm cho 2 router
có khả năng “nhìn thấy “được nhau và cả các mạng con trong nó.
Router Vsic2
hostname Vsic2
!
ip subnet-zero
!
interface Ethernet0
ip address 10.0.1.1 255.255.255.0
!
interface Serial0
ip address 192.168.0.2 255.255.255.0
clockrate 56000
!
interface Serial1
no ip address
shutdown
!
ip classless
ip http server
!
line con 0
line aux 0
line vty 0 4
!
end
Host 1 :
IP 10.0.0.2
Subnetmask: 255.255.255.0
Gateway: 10.0.0.1
Chúng ta tiến hành kiểm tra các kết nối bằng cách :
Ping từ Host1 sang địa chỉ 10.0.0.1
Lệnh Ping ở trường hợp này không thực hiện thành công, ta dùng lệnh debug ip
packet để mở chế độ debug tại 2 Router, ta thấy Router Vsic 2 vẫn nhận được gói
packet từ host1 khi ta ping địa chỉ 192.168.0.2, tuy nhiên do host 1 không liên kết
trực tiếp với Router Vsic 2 nên gói Packet ICMP trả về lệnh ping không có địa chỉ
đích,do vậy gói Packet này bị hủy,điều này dẩn đến lệnh Ping không thành công. Ở
trường hợp ta ping từ Host1 sang địa chỉ 10.0.1.1 gói packet bị mất ngay tại router
vsic1 vì Router vsic1 không xác định được địa chỉ đích cần đến trong bảng định
tuyến(địa chỉ này không liên kết trực tiếp với Router vsic1).Ta so sánh vị trí
Unroutable trong kết quả debug packet ở 2 cấu lệnh ping trên để thấy được sự khác
nhau.
Để thực hiện thành công kết nối này,ta phải thực hiện cấu hình Static Route cho
Router Vsic1 và Router Vsic2 như sau:
vsic1(config)#ip route 10.0.1.0 255.255.255.0 s0
vsic1(config)#exit
Để thực hiện thành công lệnh Ping này bạn phải thực hiện cấu hình Static route cho
Router vsic 2 như sau
Vsic2(config)#ip route 10.0.0.0 255.255.255.0 s0
Vsic2(config)#^Z
Lúc này từ Host2 bạn có thể Ping thấy các địa chỉ Trên Router Vsic 1 và Host1
Chúng ta kiểm tra bảng định tuyến của các router bằng lệnh show ip route
vsic1#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
S biểu thị những kết nối thông qua định tuyến tĩnh
C biểu thị những kết nối trực tiếp
Vsic2#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
Thực hiện lệnh Show run tại Router để xem lại cấu hình định tuyến:
vsic1#show run
Building configuration...
ip kerberos source-interface any
ip classless
ip route 10.0.1.0 255.255.255.0 Serial0
ip http server
!
end
vsic2#show run
Building configuration...
ip classless
ip route 10.0.0.0 255.255.255.0 Serial0
ip http server
!
End
Bạn đã thực hiện thành công việc định tuyến cho 2 Router kết nối được với nhau cả
các mạng con của chúng, bạn cũng có thể mở rộng đồ hình ra thêm với 3, 4 hay 5 hop
1. Giới thiệu :
RIP (Routing Information Protocol) là một giao thức định tuyến dùng để quảng bá
thông tin về địa chỉ mà mình muốn quảng bá ra bên ngoài và thu thập thông tin để
hình thành bảng định tuyến (Routing Table)cho Router. Đây là loại giao thức
Distance Vector sử dụng tiêu chí chọn đường chủ yếu là dựa vào số hop (hop count)
và các địa chỉ mà Rip muốn quảng bá được gửi đi ở dạng Classful (đối với RIP verion
1) và Classless (đối với RIP version 2).
Vì sử dụng tiêu chí định tuyến là hop count và bị giới hạn ở số hop là 15 nên giao
thức này chỉ được sử dụng trong các mạng nhỏ (dưới 15 hop).
Các PC nối với router bằng cáp chéo, hai router nối với nhau bằng cáp serial. Địa chỉ
IP của các interface và PC như trên hình.
Bài thực hành này giúp bạn thực hiện được việc cấu hình cho mạng có thể liên lạc
được với nhau bằng giao thức RIP
3. Cấu hình:
Trước tiên bạn cấu hình cho các thiết bị như sau:
Router Vsic1
Vsic1#show run
Building configuration...
Current configuration : 609 bytes
!
version 12.2
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Vsic1
!
logging rate-limit console 10 except errors
Router Vsic2
Vsic2#show run
Building configuration...
Host1 :
IP 10.0.0.2
Subnet mask:255.255.255.0
Gateway:10.0.0.1
Host2 :
IP: 11.0.0.2
Subnet mask:255.255.255.0
Gateway:11.0.0.1
Bạn thực hiện việc kiểm tra các kết nối bằng lệnh Ping
Ping từ Host1 sang địa chỉ 10.0.0.1
Vsic2#ping 10.0.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Bạn xem bảng thông tin định tuyến của từng Router (dùng lệnh Show ip route)
Vsic1#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
Vsic2#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
Nhậnxét : Bạn thấy rằng thông tin địa chỉ của các mạng mà bạn thực hiện lệnh Ping
không thành công không được lưu trên bảng định tuyến
Vsic1(config)#router rip
Vsic1(config-router)#network 192.168.0.0
Vsic1(config-router)#network 10.0.0.0
Vsic1(config-router)#exit
Vsic2(config)#router rip
Vsic2(config-router)#network 11.0.0.0
Vsic2(config-router)#network 192.168.0.0
Vsic2(config-router)#exit
Vsic2#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
Nhận xét : Bạn thấy rằng trên bảng thông tin định tuyến, Router Vsic 1 đã liên kết
RIP với mạng 11.0.0.0/8 qua cổng Serial 0(192.168.0.2) và Router Vsic2 đã liên kết
với mạng 10.0.0.0/8 qua cổng Serial 0(192.168.0.1)
Chú ý: Vì Rip gửi điạ chỉ theo dạng classfull nên subnet mask sẽ được sử dụng defaul
đối với các lớp mạng.
Bạn giữ nguyên cấu hình của Router Vsic 1 và thay đổi cấu hình của Router Vsic 2
từ RIP version 1 sang RIP version 2 và kiểm tra :
Vsic2(config)#router rip
Vsic2(config-router)#ver 2
Vsic2#debug ip packet
IP packet debugging is on
Lúc này bạn thực hiện lệnh Ping từ Host 1 vào các địa chỉ không liên kết trực tiếp với
nó đã được chạy RIP
Vsic2#
01:49:58: IP: s=10.0.0.2 (Serial0), d=192.168.0.2 (Serial0), len 60, rcvd 3
01:49:58: IP: s=192.168.0.2 (local), d=10.0.0.2, len 60, unroutable
01:50:03: IP: s=10.0.0.2 (Serial0), d=192.168.0.2 (Serial0), len 60, rcvd 3
Vsic2#
01:55:30: IP: s=10.0.0.2 (Serial0), d=11.0.0.1, len 60, rcvd 4
01:55:30: IP: s=11.0.0.1 (local), d=10.0.0.2, len 60, unroutable
01:55:35: IP: s=10.0.0.2 (Serial0), d=11.0.0.1, len 60, rcvd 4
01:55:35: IP: s=11.0.0.1 (local), d=10.0.0.2, len 60, unroutable
01:55:40: IP: s=10.0.0.2 (Serial0), d=11.0.0.1, len 60, rcvd 4
01:55:40: IP: s=11.0.0.1 (local), d=10.0.0.2, len 60, unroutable
Những dữ liệu khi bạn mở chế độ debug cho thấy khi bạn thực hiện lệnh Ping từ
Host1 đến các địa chỉ như:192.168.0.2 và 11.0.0.1 gói tin đều nhận được tại điểm
đích,tuy nhiên gói tin trả về tại địa chỉ này đã không tìm được địa chỉ 10.0.0.2(Host1)
từ bảng định tuyến của Router Vsic 2(unroutable) do Router này đã được cấu hình
RIP version 2
Vsic2#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
11.0.0.0/24 is subnetted, 1 subnets
C 11.0.0.0 is directly connected, Ethernet0
C 192.168.0.0/24 is directly connected, Serial0
Nhậnxét : Mạng 10.0.0.0 không còn tồn tại trong bảng định tuyến
Bạn thực hiện lệnh Ping từ Router Vsic2 sang các địa chỉ của Router Vsic1
vsic2#ping 10.0.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.0.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Bạn thực hiện việc kiểm tra bằng lệnh Show ip route
Vsic1#show ip
Bạn thấy tuy tại bảng định tuyến của Router Vsic1 vẫn còn lưu lại địa chỉ của mạng
11.0.0.0 nhưng vì Router Vsic2 không tìm thấy địa chỉ của mạng 10.0.0.0 nên gói tin
không thực hiện gửi được. Điều này cho bạn thấy giao thức RIP Version 2 không hổ
trợ tương thích ngược cho giao thức RIP Version 1.
Bài lab sau đây sử dụng lệnh để cấu hình 4 thông số của về timer của IGRP
bao gồm update, invalid,holddown và flus timers). Tùy thuộc vào sơ đồ mạng và băng
thông , môi trường mạng mà chúng ta cấu hình sao cho thông số này phù hợp nhất.
Lấy một ví dụ sau đây nếu sử dụng đường truyền 56Kbps, thì việc tạo ra những gói
tin update IGRP trong vòng 90 giây là không hợp lý, vì tốn nhiều tài nguyên băng
thông của hệ thống, giải pháp lúc này là tăng thời gian update lên tuy nhiên làm như
vậy sẽ ảnh hưởng đến thời gian hội tụ của hê thống.
Ngoài thời gian update(update timer) ra, trong IGRP còn có 3 khoảng thời
gian khác là invalid timer, holddown timer và flush timer. Cả 3 khoảng thời gian này
phụ thuộc vào thời gian update timer. Invalid timer, holddown timer có thời gian ít
nhất là gấp 3 lần so với thời gian update, flush timer có thời gian ít nhất bằng tổng
thời gian update và thời gian holddown.
Phụ thuộc vào mỗi lần route được cập nhập, invalid timer sẽ được khởi tạo lại,
vì nó xem trong mạng có route nào bị lỗi hay không. Theo cấu hình mặc định, thì nếu
như trong khoảng thời gian 270s mà không thấy thông tin gì về 1 route đang tồn tại
thì route đó được đẩy lên trạng thái holdown, trong thời gian này router vẫn sử dụng
route này nhưng không quản bá route này nữa, ví nó đang đợi thử xem route này có
phải là bị tắt thật hay không. Nếu thời gian expire hểt router sẽ không
Trong hình trên có 3 router gồm R1,R2,R3 được nối với nhau thông qua cáp
Serial. Sinh viên thực hành gán địa và cắm cáp, sau đó sẽ cấu hình giao thức định
tuyến IGRP như trên. Kiểm tra quá trình hoạt động giao thức bằng lệnh show ip route
và ping, sau đó bắt tay vào cấu hình các tham số timer( Cấu hình tại R1 trước và
không cấu hình tại R3,R5) và giám sát quá trình họat động trên các router. Cuối cùng
sẽ cấu hình các router R3,R5 có tham số giống như R1.( thêm vào)
Tham số cấu hình tại R1
Update 5
Invalid 15
Holddown 15
Flush 30
Khi xét các tham số này, việc thực hiện cập nhập sẽ thực hiện quảng bá trong
vòng 5s, và khi thông tin về route không được cập nhập trong vòng 15s thì
router sẽ công bố route đã bị lỗi.( thêm vào).
r5#show run
Building configuration...
r3#show run
Building configuration...
r1#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
r1#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
Bây giờ ta thiết lập các tham số timer của r3,r5 giống như của r1, và sau đó ta thấy
giao thức hoạt động định tuyến trở lại bình thường.
r3#conf t
Enter configuration commands, one per line. End with CNTL/Z.
r3(config)#router igrp 100
r3(config-router)#timer basic
r3(config-router)#timer basic 5 15 15 30
r5#conf t
Enter configuration commands, one per line. End with CNTL/Z.
r5(config)#router igrp 100
r5(config-router)#timers basic 5 15 15 30
r3#ping 10.1.1.1
Đồ hình bài lab như hình trên. Các cổng serial nối với nhau bằng cáp serail,
cổng ethernet nối với nhau bằng cáp chéo. Hai router Vsic1 và Vsic3 được cấu hình
thêm interface loopback 0.
3. Mục tiêu của bài lab :
Phải cấu hình sao cho router Vsic1 có 2 route qua mạng 14.1.0.0 của router
Vsic3 và việc truyển dữ liệu qua mạng 14.1.0.0 phải được chia ra trên 2 route đó.
Vsic2#sh run
Building configuration...
Current configuration : 510 bytes
version 12.1
hostname Vsic2
interface Ethernet0
ip address 12.1.0.2 255.255.255.0
interface Serial0
ip address 11.1.0.2 255.255.255.0
interface Serial1
ip address 13.1.0.1 255.255.255.0
router igrp 1
network 11.0.0.0
network 12.0.0.0
network 13.0.0.0
end
Vsic3#sh run
Building configuration...
Current configuration : 546 bytes
version 12.1
hostname Vsic3
interface Loopback0
ip address 14.1.0.1 255.255.255.0
interface Serial0
ip address 13.1.0.2 255.255.255.0
clockrate 64000
router igrp 1
network 13.0.0.0
network 14.0.0.0
end
Vsic1#sh ip route
Gateway of last resort is not set
10.0.0.0/24 is subnetted, 1 subnets
C 10.1.0.0 is directly connected, Loopback0
11.0.0.0/24 is subnetted, 1 subnets
C 11.1.0.0 is directly connected, Serial0
12.0.0.0/24 is subnetted, 1 subnets
C 12.1.0.0 is directly connected, Ethernet0
I 13.0.0.0/8 [100/8576] via 12.1.0.2, 00:01:01, Ethernet0
I 14.0.0.0/8 [100/9076] via 12.1.0.2, 00:01:01, Ethernet0
Router Vsic1 chỉ biết một đường duy nhất để đến được mạng 13.1.0.0/24 và mạng
14.1.0.0/24 là qua Ethernet0 mặc dù ta thực tế thì có đến hai đường đến các mạng đó
(qua S0 và E0). Nguyên nhân là hệ số variance mặc định là 1. Do đó để có được hai
đường, ta phải cấu hình lại hệ số variance như sau :
Vsic1#conf t
Vsic1(config)#router igrp 1
Vsic1(config-router)#variance 2
Trong bảng định tuyến của router Vsic1 đã có được hai đường đến mạng 13.1.0.0/24
và hai đường đến mạng 14.1.0.0/24 (qua S0 và qua E0).
Nguyên nhân là do các route qua S0 của Vsic1 có metric nhỏ hơn variance nhân với
metric nhỏ nhất giữa hai đường. (Tham khảo mục Cách tính metric của giao thức
IGRP)
10476 < 8576*2 (= 17152)
10976 < 9076*2 (= 18152)
Bây giờ chúng ta sẽ kiểm tra việc chia tải của Vsic1. Chúng ta nhập lệnh sh ip route
14.1.0.1 để xem route đến host 14.1.0.1 :
Vsic1#sh ip route 14.1.0.1
Routing entry for 14.0.0.0/8
Known via "igrp 1", distance 100, metric 9076
Redistributing via igrp 1
Route đến host 14.1.0.1 có hai đường (được tô đậm) và dấu * đánh dấu route sẽ sử
dụng cho lần gửi dữ liệu kế.
Từ router Vsic1, ta nhập lệnh ping 14.1.0.1
Vsic1#ping 14.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 14.1.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/44/60 ms
Xem lại route đến host 14.1.0.1 bằng lệnh sh ip route 14.1.0.1. Lúc này ta thấy route
thứ hai đã được đánh dấu do router thực hiện việc chia tải qua hai đường đến mạng
14.1.0.0/24
Vsic1#sh ip route 14.1.0.1
Routing entry for 14.0.0.0/8
Known via "igrp 1", distance 100, metric 9076
Redistributing via igrp 1
Advertised by igrp 1 (self originated)
Last update from 11.1.0.2 on Serial0, 00:00:17 ago
Routing Descriptor Blocks:
12.1.0.2, from 12.1.0.2, 00:00:18 ago, via Ethernet0
Route metric is 9076, traffic share count is 1
Total delay is 26000 microseconds, minimum bandwidth is 1544 Kbit
Reliability 255/255, minimum MTU 1500 bytes
Loading 1/255, Hops 1
* 11.1.0.2, from 11.1.0.2, 00:00:17 ago, via Serial0
Route metric is 10976, traffic share count is 1
Total delay is 45000 microseconds, minimum bandwidth is 1544 Kbit
Reliability 255/255, minimum MTU 1500 bytes
Loading 1/255, Hops 1
Bây giờ chúng ta sẽ khảo sát việc cập nhật route vào bảng định tuyến nếu như có
nhiều hơn route đến cùng một đích.
Chúng ta sẽ khảo sát bằng cách thay đổi metric của route qua S0. Cấu hình như sau :
Vsic1#conf t
Vsic1(config)#in s0
Router Vsic1 giờ chỉ còn duy nhất một đường đến mạng 13.1.0.0/24 và một đường
đến mạng 14.1.0.0/24. Do lúc này route đến hai mạng đó qua S0 của Vsic1 có metric
lớn hơn variance nhân với metric nhỏ nhất giữa hai đường.
Bài 5
DISCONTIGOUS NETWORKS
1. Giới thiệu :
Discontigous network là một hệ thộng mạng có subnets giống như subnet của
các mạng khác , nhiều hệ thống mạng cùng subnet trong Rip thì không thể chạy
Rip được.
Đây là lỗi trong Rip nếu cấu hình trùng Subnet trong hệ thông mạng .Vấn đề
này được giải quyết bằng cách cấu hình bằng EIGRP hoặc OSPF .
Các PC nối với router bằng cáp chéo, hai router nối với nhau bằng cáp serial. Địa chỉ
IP của các interface được cho trên hình vẽ. Hai router Vsic1, Vsic2 được cấu hình
interface loopback 0, loopback 1.
Đây là dạng mạng discontigous. Khi sử dụng giao thức classful (RIP, IGRP) thì hai
router sẽ không biết được mạng của các loopback của nhau. Do các giao thức classful
sử dụng default subnet mask để quảng bá mạng nên các router sẽ không phân biệt
được các mạng 12.1.2.0/24, 12.1.3.0/24, 12.1.0.0/24 và 12.1.1.0/24.
3. Cấu hình :
Chúng ta cấu hình cho các router như sau
Router Vsic1
Building configuration...
Current configuration : 625 bytes
!
version 12.1
hostname Vsic1
!
interface Loopback0
ip address 12.1.2.1 255.255.255.0
!
interface Loopback1
ip address 12.1.3.1 255.255.255.0
!
interface Serial0
ip address 11.1.0.2 255.255.255.0
!
router rip
network 11.0.0.0
network 12.0.0.0
Router Vsic2
Building configuration...
Vsic1#sh ip route
Gateway of last resort is not set
11.0.0.0/24 is subnetted, 1 subnets
C 11.1.0.0 is directly connected, Serial0
12.0.0.0/24 is subnetted, 2 subnets
C 12.1.3.0 is directly connected, Loopback1
C 12.1.2.0 is directly connected, Loopback0
Ngay tại Vsic1 ta ping qua địa chỉ 12.1.0.1 của Vsic2 sẽ không thể thấy được vì bản
thân nó cũng thuộc trùng subnet. Đây là hạn chế của giao thức Rip mà chỉ có thể giải
quyết được bằng cách dùng cấu hình OSPF, EIGRP .
Vsic1# ping 12.1.3.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Vsic1#ping 12.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Không thể thấy nhau là điều tất yếu. vì các địa chỉ mạng bị trùng lấp !
Giải pháp cho vấn đề này là thay đổi hai địa chỉ Loopback của Router Vsic1 lại thành
12.1.2.1/24 → 13.1.0.1/24 và 12.1.3.1/24 14.1.1.1/24
Ở hai router Vsic1, Vsic2 chúng ta chỉ cấu hình interface loopback 0, không cấu hình
interface loopback1.
Router(config)#hostname Vsic2
Vsic2(config)#interface serial 0
Vsic2(config-if)#ip address 11.1.0.1 255.255.255.0
Vsic2(config-if)#no shut
00:03:25: %LINK-3-UPDOWN: Interface Serial0, changed state to up
Vsic2(config-if)#
00:03:26: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed
state to up
Vsic2 (config)#interface lo 0
Vsic2(config-if)#ip address 12.1.3.1 255.255.255.0
Vsic2(config-if)#no shut
00:09:11: %LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0,
changed state to up
Vsic2 (config)#router rip
Vsic2(config-router)#network 11.1.0.0
Vsic2 (config-router)#network 12.1.3.0
Router(config)#hostname Vsic1
Vsic1(config)#interface s0
Vsic1(config-if)#ip address 11.1.0.2 255.255.255.0
Vsic1(config-if)#no shut
Vsic1(config)#interface lo0
Vsic1(config-if)#ip address 13.1.0.1 255.255.255.0
Vsic1(config-if)#no shut
Vsic1(config)#router rip
Vsic1(config-router)#net
Vsic1(config-router)#network 11.1.0.0
Vsic1(config-router)#network 13.1.0.1
Vsic1(config-router)#^Z
Router(config)#hostname Vsic1
Vsic1#sh ip route
Gateway of last resort is not set
11.0.0.0/24 is subnetted, 1 subnets
Vsic1#ping 13.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 13.1.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/32/32 ms
Vsic1#ping 12.1.3.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.3.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/31/32 ms
Nhậnxét : toàn mạng lúc này đã liên lạc được với nhau.
Ngoài ra chúng ta có thể giải quyết vần đề trên bằng cách thay đổi địa chỉ IP của
Loopback 0 router Vsic2 tương tự như vậy.
Và bây giờ chúng ta có thể giải quyết được vấn đề của đồ hình lúc đầu bài lab một
cách dễ dàng chỉ đơn giản bằng thay đổi địa chỉ mạng của các loopback như ví dụ vừa
rồi!
RIP IGRP
Thời gian Update 30 giây 90 giây
Tính metric dựa vào Hop count Băng thông (bandwidth), độ trễ (delay), độ
tin cậy (reliability), đường tải (load), MTU
Giá trị Infinite-Metric 16 4294967295
2. Các lệnh sử dụng trong bài :
default−metric bandwidth delay reliability loading mtu
Cấu hình giá trị metric cho tất cả các route được phân phối vào IGRP, EIGRP,
OSPF, BGP, EGP
redistribute protocol [process−id] {level−1 | level−1−2 | level−2} [metric
metric−value]
Phân phối các route từ một giao thức vào một giao thức khác
route-map map-tag [permit | deny] [sequence-number]
Định nghĩa điều kiện để phân phối route từ một giao thức vào giao thức khác
match ip address {access-list-number [access-list-number... | access-list-
name...]|access-list-name [access-list-number...| access-list-name] | prefix-list
prefix-list-name [prefix-list-name...]}
Phân phối các route cho phép bởi standard access-list, extended access-list
5. Cấu hình router : Chúng ta cấu hình cho các router như sau :
Vsic1#sh run
Building configuration...
Current configuration : 691 bytes
version 12.2
hostname Vsic1
interface Loopback0
ip address 1.1.1.1 255.255.255.0
interface Serial0
ip address 192.168.1.1 255.255.255.0
clockrate 64000
router rip
network 1.0.0.0
network 192.168.1.0
End
Vsic2#sh run
Building configuration...
Current configuration : 494 bytes
version 12.1
hostname Vsic2
interface Serial0
ip address 192.168.1.2 255.255.255.0
interface Serial1
ip address 192.168.2.1 255.255.255.0
router rip
network 192.168.1.0
network 192.168.2.0
End
Vsic3#sh run
Building configuration...
Current configuration : 556 bytes
version 12.1
hostname Vsic3
interface Serial0
ip address 192.168.3.1 255.255.255.0
Vsic4#sh run
Building configuration...
Current configuration : 680 bytes
version 12.1
hostname Vsic4
interface Loopback0
ip address 2.2.2.2 255.255.255.0
interface Serial0
ip address 192.168.3.2 255.255.255.0
no fair-queue
router igrp 1
network 2.0.0.0
network 192.168.3.0
End
Sau khi cấu hình như trên, ta đánh lệnh show ip route lần lượt trên bốn router để xem
bảng định tuyến :
Vsic1#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
1.0.0.0/24 is subnetted, 1 subnets
C 1.1.1.0 is directly connected, Loopback0
C 192.168.1.0/24 is directly connected, Serial0
R 192.168.2.0/24 [120/1] via 192.168.1.2, 00:00:23, Serial0
Vsic2#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Vsic3#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
R 1.0.0.0/8 [120/2] via 192.168.2.1, 00:00:25, Serial1
I 2.0.0.0/8 [100/8976] via 192.168.3.2, 00:00:08, Serial0
R 192.168.1.0/24 [120/1] via 192.168.2.1, 00:00:25, Serial1
C 192.168.2.0/24 is directly connected, Serial1
C 192.168.3.0/24 is directly connected, Serial0
Vsic4#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
2.0.0.0/24 is subnetted, 1 subnets
C 2.2.2.0 is directly connected, Loopback0
C 192.168.3.0/24 is directly connected, Serial0
Trong bảng định tuyến của router Vsic1 và Vsic2 chỉ có những route chạy RIP trong
Mạng 1, không có các route chạy IGRP của Mạng 2 (cụ thể là không thấy được các
mạng 192.168.3.0 va 2.0.0.0). Tương tự, bảng định tuyến của Vsic4 không có các
route chạy RIP của Mạng 1. Nguyên nhân là giữa router Vsic2 và router Vsic3 chạy
RIP; ngược lại giữa Vsic3 và Vsic4 chạy IGRP.
Để router Vsic4 biết được các route của Mạng 1 (sử dụng giao thức RIP), chúng ta
cần sử dụng lệnh redistribute. Câu lệnh này được dùng để phân phối các route của
một giao thức vào một giao thức khác (ở đây là từ RIP vào IGRP).
Ở router Vsic3, ta phân phối các route của Mạng 1 (sử dụng RIP) vào Mạng 2 (sử
dụng IGRP) như sau :
Vsic3(config)#router igrp 1
Vsic3(config-router)#redistribute rip
Kiểm tra lại bảng định tuyến của router Vsic4 :
Vsic4#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
Nhận xét : router Vsic4 nhận được route của mạng 192.168.2.0 nhưng còn hai mạng
192.168.1.0 và 1.0.0.0 thì không nhận được.Ta nhập lệnh :
Vsic4#debug ip igrp transactions
sau một khoảng thời gian ta nhận được thông báo sau :
Mặc dù router Vsic4 nhận được update của hai route 1.0.0.0 và 192.168.1.0 nhưng bị
đánh dấu là inaccessible. Nguyên nhân của lỗi trên là cách tính metric của giao thức
RIP và IGRP khác nhau. Như phần giới thiệu đã đề cập đến, RIP sử dụng hop count
để tính metric; còn IGRP sử dụng băng thông, độ trễ, độ tin cậy, đường tải và MTU
để tính metric. Do đó, để giải quyết lỗi này chúng ta phải cấu hình cách tính metric
cho router Vsic3 khi phân phối route từ RIP sang IGRP.
(Tham khảo phần Cách tính metric của giao thức IGRP trong bài Cấu hình IGRP
load balancing để biết tính metric)
Cisco cung cấp cho ta ba cách thực hiện :
Cách1 : cấu hình metric cho tất các các route của bất kỳ giao thức nào được
phân phối.
Cấu hình như sau :
Vsic3(config)#router igrp 1
Vsic3(config-router)#default-metric 1540 100 255 1 1500
Xem lại bảng định tuyến của router Vsic4 :
Vsic4#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile,
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
I 1.0.0.0/8 [100/8593] via 192.168.3.1, 00:00:00, Serial0
2.0.0.0/24 is subnetted, 1 subnets
C 2.2.2.0 is directly connected, Loopback0
I 192.168.1.0/24 [100/8593] via 192.168.3.1, 00:00:00, Serial0
I 192.168.2.0/24 [100/10476] via 192.168.3.1, 00:00:00, Serial0
C 192.168.3.0/24 is directly connected, Serial0
Nhận xét : router Vsic4 vẫn nhận được kết quả như cách 1 nhưng với cách này ta có
thể linh hoạt hơn trong việc cấu hình metric cho từng giao thức cụ thể.
Vsic2#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile,
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
R 1.0.0.0/8 [120/1] via 192.168.1.1, 00:00:25, Serial0
R 2.0.0.0/8 [120/2] via 192.168.2.2, 00:00:19, Serial1
C 192.168.1.0/24 is directly connected, Serial0
C 192.168.2.0/24 is directly connected, Serial1
R 192.168.3.0/24 [120/2] via 192.168.2.2, 00:00:19, Serial1
Cả hai router đã cập nhật được các route của Mạng 2 (2.0.0.0 và 192.168.3.0). Lúc
này tất cả các mạng hoàn toàn liên lạc được với nhau.
Vsic1#sh run
Building configuration...
Current configuration : 592 bytes
version 12.1
hostname Vsic1
interface Loopback0
ip address 10.0.0.1 255.255.0.0
interface Serial0
ip address 192.168.1.1 255.255.255.0
end
Vsic2#sh run
Building configuration...
Current configuration : 667 bytes
version 12.1
hostname Vsic2
interface Loopback0
ip address 11.1.0.1 255.0.0.0
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
clockrate 64000
interface Serial1
ip address 170.1.0.1 255.255.0.0
end
Vsic3#sh run
Building configuration...
Current configuration : 591 bytes
version 12.1
hostname Vsic3
interface Loopback0
ip address 12.1.0.1 255.255.255.252
interface Serial0
ip address 170.1.0.2 255.255.0.0
end
Sau khi cấu hình interface cho các router, chúng ta tiến hành cấu hình OSPF cho
chúng như sau :
Vsic1(config)#router ospf 1
Vsic1(config-router)#net 192.168.1.0 0.0.0.255 area 0
Vsic1(config-router)#net 10.0.0.0 0.0.255.255 area 0
Vsic3(config)#router ospf 1
Vsic3(config-router)#net 170.1.0.0 0.0.255.255 area 0
Vsic3(config-router)#net 12.1.0.0 0.0.0.3 area 0
Chúng ta cấu hình OSPF cho cả ba router trong cùng một area 0 (backbone). Ngoài ra
chúng ta có thể cấu hình OSPF cho cả ba router theo cách sau :
Vsic1(config)#router ospf 1
Vsic1(config-router)#net 192.168.1.1 0.0.0.0 area 0
Vsic1(config-router)#net 10.0.0.1 0.0.0.0 area 0
Vsic2(config)#router ospf 1
Vsic2(config-router)#net 192.168.1.2 0.0.0.0 area 0
Vsic2(config-router)#net 170.1.0.1 0.0.0.0 area 0
Vsic2(config-router)#net 11.1.0.1 0.0.0.0 area 0
Vsic3(config)#router ospf 1
Vsic3(config-router)#net 170.1.0.2 0.0.0.0 area 0
Vsic3(config-router)#net 12.1.0.1 0.0.0.0 area 0
Khi quảng bá cho OSPF chúng ta có thể quảng bá theo hai cách : quảng bá đường
mạng (cách đầu) hoặc quảng bá chính interface đó (cách sau). Nếu quảng bá chính
interface thì wildcard mask phải là 0.0.0.0
Sau khi quảng bá các mạng của các router xong chúng ta kiểm tra lại bảng định tuyến
của các router bằng câu lệnh show ip route
Vsic1#sh ip route
Gateway of last resort is not set
O 170.1.0.0/16 [110/128] via 192.168.1.2, 01:20:18, Serial0
10.0.0.0/16 is subnetted, 1 subnets
C 10.0.0.0 is directly connected, Loopback0
11.0.0.0/32 is subnetted, 1 subnets
O 11.1.0.1 [110/65] via 192.168.1.2, 01:20:18, Serial0
12.0.0.0/32 is subnetted, 1 subnets
O 12.1.0.1 [110/129] via 192.168.1.2, 01:20:18, Serial0
C 192.168.1.0/24 is directly connected, Serial0
Vsic2#sh ip route
Gateway of last resort is not set
C 170.1.0.0/16 is directly connected, Serial1
10.0.0.0/32 is subnetted, 1 subnets
O 10.0.0.1 [110/65] via 192.168.1.1, 01:20:38, Serial0
C 11.0.0.0/8 is directly connected, Loopback0
12.0.0.0/32 is subnetted, 1 subnets
O 12.1.0.1 [110/65] via 170.1.0.2, 01:20:38, Serial1
C 192.168.1.0/24 is directly connected, Serial0
Vsic3#sh ip route
Nhận xét : các router đã biết được tất cả các mạng trong đồ hình của chúng ta. Các
route router biết được nhờ giao thức OSPF được đánh O ở đầu route. Trong kết quả
trên các route đó được in đậm.
Bây giờ chúng ta sẽ kiểm tra lại xem các mạng có thể liên lạc được với nhau hay chưa
bằng cách lần lượt đứng trên từng router và ping đến các mạng không nối trực tiếp với
nó.
Vsic3#ping 11.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.1.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/31/32 ms
Vsic3#ping 10.0.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.1.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 56/68/108 ms
Các bạn làm tương tự cho các mạng khác để kiểm tra, và chắc chắn sẽ ping thấy!
Vsic3(config)#router ospf 1
Vsic3(config-router)#net 170.1.0.0 0.0.255.255 area 1 Cấu hình cho interface
S0 router Vsic3 thuộc
area 1
Vsic3(config-router)#net 12.1.0.0 0.0.0.3 area 1 Cấu hình mạng 12.1.0.0/30
thuộc area 1
Vsic2#sh ip route
Gateway of last resort is not set
C 170.1.0.0/16 is directly connected, Serial1
10.0.0.0/32 is subnetted, 1 subnets
O 10.0.0.1 [110/65] via 192.168.1.1, 00:00:43, Serial0
C 11.0.0.0/8 is directly connected, Loopback0
C 192.168.1.0/24 is directly connected, Serial0
Vsic3#sh ip route
Gateway of last resort is not set
C 170.1.0.0/16 is directly connected, Serial0
12.0.0.0/30 is subnetted, 1 subnets
C 12.1.0.0 is directly connected, Loopback0
Nhậnxét : router Vsic1 và Vsic2 biết được các mạng của nhau nhưng không biết được
mạng của router Vsic3. Ngược lại router Vsic3, không biết được các mạng của router
Vsic1 và Vsic2. Điều này chứng tỏ, các router trong cùng một area chỉ biết được các
mạng trong area đó, các mạng trong area khác thì router không biết. (Trường hợp,
router Vsic1 thấy được mạng 170.1.0.0/16 là do router Vsic2 quảng bá mạng đó thuộc
area 0)
Để liên kết được các mạng trong cùng các area khác nhau chúng ta phải có một router
biên nối area đó về area 0 (backbone). Router này có một interface thuộc area đó và
một interface thuộc area 0.
AREA0
Trong trường hợp bài lab, chúng ta có hai cách để giải quyết vấn đề này. Cách thứ
nhất là cấu hình cho mạng của interface S0 của router Vsic3 thuộc area 0. Lúc này,
router Vsic3 đóng vai trò là một router biên. Cách thứ hai là cấu hình cho mạng của
interface S1 router Vsic2 thuộc area 1, lúc này router Vsic2 đóng vai trò là router
biên.
Vsic2#sh ip route
Gateway of last resort is not set
C 170.1.0.0/16 is directly connected, Serial1
10.0.0.0/32 is subnetted, 1 subnets
O 10.0.0.1 [110/65] via 192.168.1.1, 00:01:07, Serial0
C 11.0.0.0/8 is directly connected, Loopback0
12.0.0.0/32 is subnetted, 1 subnets
O IA 12.1.0.1 [110/65] via 170.1.0.2, 00:01:07, Serial1
C 192.168.1.0/24 is directly connected, Serial0
Nhậnxét : các router đã thấy được các mạng của các router khác. Như vậy toàn mạng
đã liên lạc được với nhau. Chúng ta có thể kiểm tra bằng cách ping đến từng mạng.
Các PC nối với router bằng cáp chéo, hai router được nối với nhau bằng cáp serial.
Địa chỉ IP của các interface và PC như hình vẽ.
Trong bài lab này chúng ta sẽ tiến hành cấu hình giao thức EIGRP cho các router.
2. Cấu hình :
Chúng ta cấu hình cho các router Vsic1 và Vsic2 như sau :
Vsic1#sh run
Building configuration...
Current configuration : 541 bytes
!
version 12.1
!
hostname Vsic1
!
interface Ethernet0
ip address 10.1.0.1 255.255.0.0
!
interface Serial1
ip address 192.168.0.1 255.255.255.0
clockrate 64000
!
end
Vsic2#sh run
Building configuration...
Bây giờ chúng ta tiến hành kiểm tra các kết nối trong mạng bằng cách :
Vsic1#ping 11.1.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.1.0.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/32/40 ms
Vsic1#
Chúng ta sử dụng câu lệnh show ip route để kiểm tra bảng định tuyến của hai router
Vsic2#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Đồ hình bài lab như hình vẽ, chúng ta sẽ cấu hình loopback 0 cho các router. Địa chỉ
IP của các interface được ghi trên hình. Lưu ý, khi cấu hình IP cho server, chúng ta
không cấu hình default gateway.
Vsic2#sh run
Building configuration...
Current configuration : 712 bytes
version 12.1
hostname Vsic2
interface Loopback0
ip address 11.1.0.1 255.0.0.0
interface Ethernet0
ip address 15.1.0.1 255.0.0.0
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
clockrate 64000
interface Serial1
ip address 170.1.0.1 255.255.0.0
router ospf 1
log-adjacency-changes
network 11.1.0.0 0.255.255.255 area 0
network 15.0.0.0 0.255.255.255 area 0
network 170.1.0.0 0.0.255.255 area 0
network 192.168.1.0 0.0.0.255 area 0
end
Vsic3#sh run
Building configuration...
Current configuration : 608 bytes
version 12.1
hostname Vsic3
interface Loopback0
ip address 12.1.0.1 255.255.255.252
interface Serial0
ip address 170.1.0.2 255.255.0.0
clockrate 64000
router ospf 1
log-adjacency-changes
network 12.1.0.0 0.0.0.3 area 0
network 170.1.0.0 0.0.255.255 area 0
end
Chúng ta nhấn chuột phải vào OSPF chọn Show Link-state Database. Trong cửa sổ
hiện ra chúng ta sẽ thất được các mạng của router Vsic1, Vsic2, Vsic3.
Chúng ta ping thành công mạng 10.0.0.0 của Vsic1, các bạn tiếp tục ping tới các
mạng khác để kiểm tra và chắc chắn sẽ thành công. Như vậy toàn mạng đã liên lạc
được với nhau. Việc chạy OSPF giữa Winserver 2003 và router đã thành công.
1. Giới thiệu:
-Ngày nay cùng với sự tiến bộ của khoa học và công nghệ, Network là một giải
pháp được lựa chọn hàng đầu cho việc truyền tải dữ liệu,và vì vậy bảo mật trong
network là một vấn đề đang được quan tâm. Một trong những công cụ rất quan trọng
trong Cisco Router được dùng trong lĩnh vực security là Access List. Đây là một tính
năng giúp bạn có thể cấu hình trực tiếp trên Router để tạo ra một danh sách các địa chỉ
mà bạn có thể cho phép hay ngăn cản việc truy cập vào một địa chỉ nào đó.
-Access List có 2 loại là Standard Access List và Extended Access List.
-Standard Access List: đậy là loại danh sách truy cập mà khi cho phép
hay ngăn cản việc truy cập,Router chỉ kiểm tra một yếu tố duy nhất là địa chỉ
nguồn(Source Address)
-Extended Access List: đây là loại danh sách truy cập mở rộng hơn so
với loại Stanhdar,các yếu tố về địa chỉ nguồn, địa chỉ đích,giao thức,port..sẽ được kiểm
tra trước khi Router cho phép việc truy nhập hay ngăn cản.
2. Mô tả bài lab và đồ hình :
-Bài Lab này giúp bạn thực hiện việc cấu hình Standard Access List cho Cisco
Router với mục đích ngăn không cho Router Vsic2 trao đổi thông tin với Host.
Router Vsic1
vsic1#show run
Building configuration...
Router Vsic2
vsic2#show run
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic2
!
ip subnet-zero
!
interface Ethernet0
no ip address
Host:
IP Address:11.0.0.2
Subnet mask:255.255.255.0
Gate way:11.0.0.1
-Bạn thực hiện việc định tuyến cho các Router như sau(Dùng giao thức
RIP):
vsic1(config)#router rip
vsic1(config-router)#net 192.168.1.0
vsic1(config-router)#net 11.0.0.0
vsic2(config)#router rip
vsic2(config-router)#net 192.168.1.0
vsic2(config-router)#net 10.0.0.0
vsic2#ping 192.168.1.1
vsic2#ping 11.0.0.1
vsic2#ping 11.0.0.2
-Sau quá trình định tuyến,kiểm tra chắc chắn rằng mạng đã được thông,bạn thực
hiện việc tạo Access List Standar để ngăn không cho Router Vsic 2 ping vào Host.
-Vì khi lưu thông,gói tin muốn đến được địa chỉ của Host bắt buột phải đi qua
Router Vsic1.
-Bạn thực hiện tạo Access List trên Router Vsic 1 như sau:
vsic1#conf t
Enter configuration commands, one per line. End with CNTL/Z.
vsic1(config)#access-list 1 deny 192.168.1.2 0.0.0.0
//từ chối sự truy nhập của địa chỉ 192.168.1.2//
-Lúc này bạn thực hiện lệnh Ping từ Router Vsic2 vào Host
vsic2#ping 11.0.0.2
-Bạn thấy lệnh Ping thực hiện vẫn thành công, lý do là bạn chưa mở chế
độ Access list trên interface serial0 của router vsic1
vsic2(config)#int s0
vsic2(config-if)#ip access-group 1 in
//ngăn cản đường vào của serial 0 theo access group 1//
vsic2#ping 11.0.0.2
Router Vsic2
!
interface Serial0
ip address 192.168.15.2 255.255.255.0
line vty 0 4
!
end
Router Vsic1
!
interface Serial0
ip address 192.168.15.1 255.255.255.0
vsic2(config)#router rip
vsic2(config-router)#net 192.168.15.0
vsic1(config)#router rip
vsic1(config-router)#net 192.168.15.0
vsic1(config-router)#net 11.0.0.0
vsic2#ping 11.0.0.2
-Bạn thấy lệnh Ping vẫn không thành cộng, lý do là khi không tìm thấy địa chỉ
source (địa chỉ lạ) trong danh sách Access list, router sẽ mặc định thực hiện Deny any,vì
vậy bạn phải thay đổi mặc định này.
vsic2#ping 11.0.0.2
-Bạn thấy lệnh Ping đã thành công, đến đây bạn đã cấu hình xong Standard
Access List
6. Giới thiệu :
-Ở bài trước bạn đã thực hiện việc cấu hình Standard Access List, bài Lab này bạn sẽ tiếp
tục tìm hiểu sâu hơn về Extended Access List. Đây là mở rộng của Standard Access List, trong
quá trình kiểm tra, Router sẽ kiểm tra các yếu tố về địa chỉ nguồn, đích,giao thức và port…
7. Mô tả bài lab và đồ hình :
-Mục đích của bài Lab:Bạn thực hiện cấu hình Extended Access List sao cho
Host1 không thể Telnet vào Router Vsic 2 nhưng vẫn có thể duyệt web qua Router
Vsic2
Bạn thực hiện đồ hình như sau:
Bạn thực hiện việc cấu hình cho Router và Host như đồ hình trên:
8. Cấu hình router :
Host1:
IP Address:11.0.0.2
Subnet mask:255.255.255.0
Gateway:11.0.0.1
Host2:
IP Address:10.0.0.2
Subnet mask:255.255.255.0
Router Vsic1:
vsic1#show run
Building configuration...
Current configuration:
!
version 12.0
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic1
!
ip subnet-zero
!
process-max-time 200
!
interface Ethernet0
ip address 11.0.0.1 255.255.255.0
no ip directed-broadcast
!
interface Serial0
ip address 192.168.1.1 255.255.255.0
no ip directed-broadcast
!
interface Serial1
no ip address
no ip directed-broadcast
shutdown
!
line con 0
transport input none
line 1 8
line aux 0
line vty 0 4
!
end
Router Vsic2
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname vsic2
!
-Bạn thực hiện lệnh Ping để kiểm tra quá trình định tuyến.Sau khi chắc chắn rằng
quá trình định tuyến đã thành công.
-Tại Router Vsic2 bạn thực hiện câu lệnh:
vsic2(config)#ip http server //Câu lệnh này dùng để giả một http server trên
Router//
-Lúc này Router sẽ đóng vai trò như một Web Server
-Sau khi quá trình định tuyến đã thành công,bạn thực hiện các bước Telnet và
duyệt Web từ Host 1 vào Router Vsic2.
-Chú ý :để thành công việc Telnet bạn phải Login cho đường line vty và đặt
mật khẩu cho đường này(ở đây là Cisco)
Telnet:
-Các bước trên đã thành công,bạn thực hiện việc cấu hình Access list
vsic2#conf t
Enter configuration commands, one per line. End with CNTL/Z.
vsic2(config)#access-list 101 deny tcp 11.0.0.2 0.0.0.0 192.168.1.2 0.0.0.0 eq
telnet
vsic2(config)#int s0
vsic2(config-if)#ip access-group 101 in
-Bạn thực hiện lại việc Telnet như trên,bạn nhận thấy quá trình Telnet không
thành công nhưng bước duyệt W eb của bạn cũng không thành công.
-Theo yêu cầu bạn chỉ ngăn cấm Telnet nhưng cho phép quá trình duyệt Web
Telnet
Duyệt Web
-Đến đây bạn đã thành công việc cấu hình cho Extended Access List,bạn đã thực
hiện được yêu cầu tạo Access List cho Router với mục đích ngăn cấm việc Telnet vào
Router và cho phép quá trình duyệt Web vào Router.Bạn cũng có thể mở rộng thêm đồ
hình với nhiều Router để thực tập việc cấu hình Access List cho Router với những yêu
cầu bảo mật khác nhau.
Đồ hình bài lab trên hình trên, chúng ta sẽ bật http server trên router Vsic2 và Deny
Service này bằng DoS trên S0 của router Vsic2 địa chỉ là 192.168.1.2, ta cấu hình
access-list 101 áp vào interface S0, nội dung của access-list 101 này là cấm tất cả các
gói đi vào interface này (sử dụng để Defense).
Bây giờ, chúng ta vào command prompt khởi động chương trình bonk (http://www.packetstorm.net/)
Chương trình này sẽ gởi packet liên tục đến địa chỉ mà chúng ta nhập vào (Interface
S0 của Vsic2). Lúc này tạo router Vsic2 chúng ta đã cấu hình access-list là deny tất cả
các gói đến địa chỉ 192.168.1.2 (interface S0 của Vsic2). Chúng ta có thể xem quá
trình đầu tiên là khi mới bắt đầu gởi gói từ phần mềm file chạy bonk, những gói từ
phần mềm này gởi bị deny : (sử dụng câu lệnh debug ip packet detail để hiện thị
thông tin về các gói trên Vsic2)
Tuy nhiên trong quá trình deny router Vsic2 phải đưa gói vào dữ liệu của mình để
phân tích. Trong khi file chạy bonk gởi gói một cách liên tục, nên chưa đầy 2 phút sau
thì interface serial 0 của Vsic2 bị down và service http của nó vì vậy cũng sẽ bị down
luôn. Chúng ta không thể duyệt web lúc này.
01:35:31: IP: s=192.168.1.2 (local), d=190.191.154.23, len 56,unroutable
01:35:32: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0,
changed state to down
01:35:32: IP: s=68.190.155.4 (Serial0), d=192.168.1.2, len 56, access denied
01:35:32: IP: s=192.168.1.2 (local), d=68.190.155.4, len 56, unroutable.
Sau khi down một thời gian, router sẽ tự động up interface S0 lên lại. Nếu không còn
ghẽn nữa thì sẽ hoạt động bình thường.
01:35:52: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0,
changed state to up
Các PC nối với router bằng cáp chéo, hai router nối với nhau bằng cáp serial. Địa chỉ
IP của các interface và PC được cho trên hình vẽ
Trong bài lab này, router Vsic1 được cấu hình như một ISP, router Vsic2 đươc cấu
hình như một gateway
3. Cấu hình :
Chúng ta cấu hình cho các router như sau :
Router#conf t
Vsic1(config)#enable password cisco
Route r(config)#hostname Vsic1
Vsic1(config)#interface serial 1
Vsic1(config-if)#ip address 192.168.0.1 255.255.255.0
Vsic1(config-if)# no shut
Vsic1(config-if)#clock rate 64000
Vsic1(config)#interface ethernet 0
Vsic1(config-if)#ip address 10.1.0.1 255.255.0.0
Vsic1(config-if)#no shut
Vsic2(config)#interface serial 1
Vsic2(config-if)#ip address 192.168.0.2 255.255.255.0
Vsic2(config)#ip nat outside cấu hình interface S1 là interface outside
Vsic2(config)#interface ethernet 0
Chúng ta tiến hành cấu hình Static NAT cho Vsic2 bằng câu lệnh :
Vsic2(config)#ip nat inside source static 11.1.0.2 172.17.0.1
Câu lệnh trên có ý nghĩa là : các gói tin xuất phát từ PC2 khi qua router Vsic2 ra
ngoài sẽ được đổi địa chỉ IP source từ 11.1.0.2 thành địa chỉ 172.17.0.1 (đây là địa chỉ
đã được đăng ký với ISP)
Chúng ta tiến hành đặt Static Route cho 2 Router Vsic1 và Vsic2.
Vsic2(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.1
Địa chỉ 11.1.0.2 được chuyển thành địa chỉ 172.17.0.1 và địa chỉ đích là 192.168.0.1.
Và gói ICMP reply được gửi trả lại cũng được chuyển địa chỉ đích từ 172.17.0.1
thành 11.1.0.2.
Các số 267, 268,269, 270 là các phiên trong quá trình NAT
Đồ hình bài lab như hình trên. Router Vsic1 được cấu hình inteface loopback 0,
loopback 1, loopback 2. Router Vsic2 được cấu hình interface loopback 0. Hai router
được nối với nhau bằng cáp Serial.
Vsic2#sh run
Building configuration...
Current configuration : 644 bytes
hostname Vsic2
interface Loopback0
ip address 13.1.0.1 255.255.0.0
interface Serial0
ip address 192.168.1.2 255.255.255.0
no fair-queue
clockrate 64000
end
Chúng ta cấu hình NAT trên router Vsic1 theo các bước sau :
Bước1 : Cấu hình các interface inside và outside
Trong bài lab này, chúng ta cấu hình cho các interface loopback của Vsic1 là
inside còn interface serial 0 là out side.
Vsic1(config)#in lo0
Vsic1(config-if)#ip nat inside
Vsic1(config)#in lo1
Vsic1(config-if)#ip nat inside
Vsic1(config-if)#in lo2
Vsic1(config-if)#ip nat inside
Vsic1(config-if)#in s0
Vsic1(config-if)#ip nat outside
Vsic1(config-if)#exit
Bước2 : Tạo access list cho phép mạng nào được NAT.
Chúng ta cấu hình cho phép mạng 10.1.0.0/16 và mạng 11.1.0.0/16 được cho
phép, cấm mạng 12.1.0.0/16
Vsic1(config)# access-list 1 deny 12.1.0.0 0.0.255.255
Vsic1(config)#access-list 1 permit any
Lưuý : đối với router Vsic2, nếu ta định tuyến theo dạng :
Vsic2(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1
thì chúng ta có thể ping thấy được các mạng ở trong router Vsic1 (10.1.0.0/16,
11.1.0.0/16). Nhưng thực tế, ISP chỉ định tuyến xuống cho user bằng địa chỉ mà user
đã đăng ký (Inside global address).
Vsic1#ping
Protocol [ip]:
Target IP address: 13.1.0.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 12.1.0.1
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 13.1.0.1, timeout is 2 seconds:
…..
Success rate is 0 percent (0/5)
Đối với 12.1.0.1, chúng ta không ping ra ngoài được vì mạng 12.1.0.0/16 đã bị cấm
trong access list 1.
Đứng ở router Vsic2, chúng ta ping xuống các loopback của router Vsic1
Vsic2#ping 10.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Vsic2#ping 11.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.1.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Vsic2#ping 12.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Nhận xét : tất cả đều không thành công Nguyên nhân là router Vsic2 không có route
nào đến các loopback của router Vsic1. Trong thực tế, ta cũng có kết quả tương tự do
ISP chỉ định tuyến xuống địa chỉ mà user đăng ký, còn các địa chỉ mạng bên trong của
user thì không được ISP định tuyến.
Mạng WAN
Đồ hình bài lab như hình vẽ. Hai router được đặt tên là Vsic, Vsic2 và được nối
với nhau bằng cáp serial. Địa chỉ IP của các interface như hình trên.
Vsic1#sh run
Building configuration...
Current configuration : 497 bytes
version 12.1
hostname Vsic1
enable password cisco
interface Serial0
ip address 192.168.1.1 255.255.255.0
clockrate 64000
end
Vsic2#sh run
Building configuration...
Current configuration : 423 bytes
version 12.1
hostname Vsic2
enable password cisco
interface Serial0
ip address 192.168.1.2 255.255.255.0
end
Chúng ta sẽ kiểm tra trạng thái của các cổng bằng câu lệnh show ip interface brief
Vsic2#sh ip interface brief
Interface IP-Address OK? Method Status Protocol
Ethernet0 unassigned YES unset administratively down down
Serial0 192.168.1.2 YES manual up up
Serial1 unassigned YES unset administratively down down
Cổng serial của router Vsic2 đã up. Làm tương tự để kiểm tra trạng thái các cổng của
router Vsic1.
Vsic1#sh int s 0
Serial0 is up, line protocol is up
Hardware is HD64570
Internet address is 192.168.1.1/24
MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation HDLC, loopback not set
Keepalive set (10 sec)
Last input 00:00:00, output 00:00:00, output hang never
Last clearing of "show interface" counters 00:11:35
Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
Queueing strategy: fifo
Output queue :0/40 (size/max)
5 minute input rate 0 bits/sec, 0 packets/sec
5 minute output rate 0 bits/sec, 0 packets/sec
21 packets input, 2010 bytes, 0 no buffer
Received 21 broadcasts, 0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
23 packets output, 1280 bytes, 0 underruns
0 output errors, 0 collisions, 4 interface resets
0 output buffer failures, 0 output buffers swapped out
7 carrier transitions
Vsic1#sh int s 0
Serial0 is up, line protocol is down
Hardware is HD64570
Internet address is 192.168.1.1/24
MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation PPP, loopback not set
Keepalive set (10 sec)
LCP REQsent
Closed: IPCP, CDPCP
Last input 00:00:08, output 00:00:01, output hang never
Last clearing of "show interface" counters 00:00:15
Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
Queueing strategy: fifo
Output queue :0/40 (size/max)
5 minute input rate 0 bits/sec, 0 packets/sec
5 minute output rate 0 bits/sec, 0 packets/sec
1 packets input, 22 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
7 packets output, 98 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 output buffer failures, 0 output buffers swapped out
0 carrier transitions
DCD=up DSR=up DTR=up RTS=up CTS=up
Nhận xét : interface serial 0 của router Vsic1 đã bị down, đồng nghĩa với interface
serial 0 của router Vsic2 cũng bị down. Nguyên nhân là hai interface này sử dụng giao
thức đóng gói khác nhau. (Interface serial 0 của router Vsic1 sử dụng PPP còn Vsic2
sử dụng HDLC).
Ví vậy chúng ta phải cấu hình cho interface serial 0 của router Vsic2 cũng sử dụng
giao thức PPP.
Vsic2(config)#in s0
CấuhìnhPPP CHAP
Trước khi cấu hình PPP CHAP cho hai interface chúng ta gở bỏ PAP ở cả hai
router
Vsic1(config)#in s0
Vsic1(config-if)#no ppp authentication pap
Vsic1(config-if)#no ppp pap sent-username Vsic1 password cisco
Vsic2(config)#in s0
Vsic2(config-if)#no ppp authentication pap
Vsic2(config-if)#no ppp pap sent-username Vsic2 password cisco
Bây giờ chúng ta sẽ cấu hình CHAP bằng câu lệnh ppp authentication chap
Vsic1(config)#in s0
Vsic1(config-if)#ppp authentication chap
Vsic2(config)#in s0
Vsic2(config-if)#ppp authentication chap
Lưuý : khi cấu hình PPP CHAP chúng ta vẫn phải cấu hình cho interface serial đó sử
dụng giao thức đóng gói PPP bằng câu lệnh encapsulation ppp và cũng phải sử dụng
câu lệnh username name password password để cấu hình name và password cho giao
thức CHAP thực hiện xác nhận. Ở đây, chúng ta không thực hiện lại các câu lệnh đó
vì ở bước cấu hình PAP chúng ta đã thực hiện rồi.
Nếu như name và password trong câu lệnh username name password password không
đúng thì trạng thái của interface sẽ bị down. Do quá trình xác nhận giữa hai interface
sẽ sử dụng name và password này. Nếu như không khớp thì kết nối sẽ bị hủy.
Trong bài này chúng ta sẽ sử dụng một thiết bị mô phỏng ISDN. Chúng ta sẽ nối hai
router vào thiết bị đó bằng cáp thẳng.
3. Cấu hình :
a. Cấu hình cho router Vsic2:
Router#conf t
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#hostname Vsic2
Vsic2(config)#isdn switch-type basic-ni cấu hình loại ISDN switch
Vsic2(config)#dialer-list 1 protocol ip permit
Vsic2(config)#username Vsic1 password cisco
Vsic2(config)#interface bri 0
Vsic2(config-if)#encapsulation ppp cầu hình giao thức đóng gói là PPP
Vsic2(config-if)#ip address 200.10.1.2 255.255.255.0
Vsic2(config-if)#isdn spid1 21 21 Số SPID number 21 –phone numbers 21
Vsic2(config-if)#dialer-group 1
Vsic2(config-if)#dialer map ip 200.10.1.1 name Vsic1 broadcast 11 cấu hình
số của router đầu xa để Ahena2 thực hiện cuộc gọi
Vsic2(config-if)#ppp authentication chap cấu hình PPP CHAP
Vsic2(config-if)#no shut
Sau khi cấu hình xong chúng ta kiểm tra lại bằng cách :
Vsic2#sh run
Building configuration...
Current configuration : 726 bytes
!
version 12.1
!
hostname Vsic2
!
username Vsic1 password 0 cisco
!
ip subnet-zero
!
isdn switch-type basic-ni
!
interface BRI0
ip address 200.10.1.2 255.255.255.0
encapsulation ppp
dialer map ip 200.10.1.1 name Vsic1 broadcast 11
dialer-group 1
isdn switch-type basic-ni
isdn spid1 21
ppp authentication chap
!
dialer-list 1 protocol ip permit
end
Chúng ta kiểm tra trạng thái kết nối của liên kết ISDN bằng câu lệnh sau :
Vsic1#sh isdn status
Global ISDN Switchtype = basic-net3
ISDN BRI0 interface
dsl 0, interface ISDN Switchtype = basic-net3
Layer 1 Status:
ACTIVE
Layer 2 Status:
TEI = 64, Ces = 1, SAPI = 0, State = MULTIPLE_FRAME_ESTABLISHED
Layer 3 Status:
0 Active Layer 3 Call(s)
Active dsl 0 CCBs = 0
The Free Channel Mask: 0x80000003
Number of L2 Discards = 0, L2 Session ID = 13
Total Allocated ISDN CCBs = 0
Nhậnxét : ping thành công và router Vsic2 thực hiện kết nối với router Vsic1 sử dùng
interface dialer 0
Lệnh show dialer dùng để chỉ trạng thái kênh B sẽ ngắt, sụt giảm (drop) sau 120 giây
inactive.
Trạng thái giao tiếp BRI của router Athen2 được xác định với trạng thái của router
Athnena1.Cổng giao tiếp BRI0 được chỉ dẫn đến kênh D của mạng trong trang thái
này là UP/UP (spoofing state) chứng tỏ rằng kênh D đã hoạt động
Vsic2#sh dialer
Vsic1#show dialer
BRI0 - dialer type = ISDN
Dial String Successes Failures Last DNIS Last status
21 0 1 00:01:43 failed
0 incoming call(s) have been screened.
0 incoming call(s) rejected for callback.
Bây giờ nếu như đổi số số SPID hay là số Phone numbers thì trạng thái sẽ thay đổi,
hệ thống đương nhiên là sẽ không thể kết nối được.
Vsic2(config)#interface bri0
Vsic2(config-if)#no isdn spid1 21 21
Vsic2(config-if)#isdn spid1 14 14
Vsic2(config-if)#no shut
Vsic2(config-if)#
02:16:31: %ISDN-6-LAYER2DOWN: Layer 2 for Interface BRI0, TEI 70 changed to
down
Vsic2(config-if)#dialer idle-timeout 20 cấu hình thời gian idle-timeout là 20s
Vsic2(config-if)#no shut
Vsic2(config-if)#^Z
Vsic2#
Vsic1#ping 200.10.1.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 200.10.1.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Vsic1#sh run
Current configuration : 1301 bytes
version 12.1
hostname Vsic1
enable password cisco
interface Loopback0
ip address 10.1.0.1 255.255.255.0
interface Loopback1
ip address 11.1.0.1 255.255.255.0
interface Loopback2
ip address 12.1.0.1 255.255.255.0
line con 0
line aux 0 line
vty 0 4
password cisco
login
end
Vsic2#sh run
Current configuration : 1204 bytes
version 12.1
hostname Vsic2
enable password cisco
interface Loopback0
ip address 13.1.0.1 255.255.255.0
interface Loopback1
Vsic2#conf t
Vsic2(config)#isdn switch-type basic-net3
Vsic2(config)# in bri0
Vsic2(config-if)#isdn spid1 11 11
Vsic2#conf t
Vsic2(config)#ip route 10.1.0.0 255.255.255.0 192.168.0.1
Vsic2(config)#ip route 11.1.0.0 255.255.255.0 192.168.0.1
Vsic2(config)#ip route 12.1.0.0 255.255.255.0 192.168.0.1
Nếu cấu hình đúng thì trạng thái của Layer 1 là ACTIVE và Layer 2 là
MULTIPLE_FRAME_ESTABLISHED.
Kiểmtracácinterestingtraffic.
Đứng ở router Vsic2, chúng ta ping từ interface loopback 1 (14.1.0.1) đến
interface loopback 2 (12.1.0.1) của router Vsic1
Vsic2#ping
Protocol [ip]:
Target IP address: 12.1.0.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 14.1.0.1
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.0.1, timeout is 2 seconds:
Còn 167 giây nữa thì router sẽ ngắt kết nối nếu như không có interesting traffic nào
gửi qua đường kết nối.
Chúng ta chờ khoảng 180 giây nữa để kiểm tra việc router ngắt kết nối tự động (Lưu
ý : không ping bất cứ mạng nào!)
Sau 180 giây chúng ta sẽ được kết quả như sau :
Vsic2#
00:33:16: %DIALER-6-UNBIND: Interface BR0:1 unbound from profile Di0
00:33:16: %ISDN-6-DISCONNECT: Interface BRI0:1 disconnected from 21 Vsic1,
call lasted 181 seconds
00:33:17: %LINK-3-UPDOWN: Interface BRI0:1, changed state to down
00:33:18: %LINEPROTO-5-UPDOWN: Line protocol on Interface BRI0:1, changed
state to down
Router đã ngắt tự động ngắt kết nối khi không có interesting traffic nào được gửi qua
đường truyền.
Làm lại các bước trên để kiểm tra các interesting traffic còn lại của router Vsic2.
Vsic2#ping
Protocol [ip]:
Target IP address: 10.1.0.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 13.1.0.1
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 12.1.0.1, timeout is 2 seconds:
00:30:15: %LINK-3-UPDOWN: Interface BRI0:1, changed state to up
00:30:15: %DIALER-6-BIND: Interface BR0:1 bound to profile Di0.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 32/35/36 ms
00:30:16: %LINEPROTO-5-UPDOWN: Line protocol on Interface BRI0:1,
changed state to up
Khi ta thực hiện ping một mạng nào đó của router Vsic1 từ interface loopback 2
(15.1.0.1) thì router sẽ không kết nối. Do các gói tin từ mạng 15.1.0.0/24 không phải
là interesting traffic.
Vsic2#ping
Protocol [ip]:
Target IP address: 11.1.0.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 15.1.0.1
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.1.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Bây giờ chúng ta se kiểm tra interesting traffic của router Vsic1. Đứng ở router Vsic1,
chúng ta ping đến 14.1.0.1 từ một interface loopback bất kỳ.
Vsic1#ping
Protocol [ip]:
Target IP address: 14.1.0.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 10.1.0.1
7. Nguyên nhân không nên dùng các giao thức định tuyến động trong cấu hình
ISDN DDR
Để thấy được nguyên nhân chúng ta sẽ cấu hình giao thức RIP trên cả 2 router
thay cho static route.
ISDN
Vsic1 Vsic2
BRI0 BRI0
SPID : 21 SPID : 11
Lo0 : 10.1.0.1/24 Lo0 : 13.1.0.1/24
Lo1 : 11.1.0.1/24 Lo1 : 14.1.0.1/24
Lo2 : 12.1.0.1/24
RIP Lo2 : 15.1.0.1/24
Chúng ta xóa NVRAM, reload cả hai route trước khi cấu hình lại các router như
sau :
Vsic1#sh run
Building configuration...
Current configuration : 1205 bytes
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
hostname Vsic1
enable password cisco
username Vsic2 password cisco
isdn switch-type basic-net3
interface Loopback0
ip address 10.1.0.1 255.255.255.0
interface Loopback1
ip address 11.1.0.1 255.255.255.0
interface Loopback2
ip address 12.1.0.1 255.255.255.0
interface BRI0 no ip
address encapsulation
ppp dialer pool-
member 1
isdn switch-type basic-net3
isdn spid1 21 21
ppp authentication chap
interface Dialer1
ip address 192.168.0.1 255.255.255.0
encapsulation ppp
dialer pool 1
dialer remote-name Vsic2
dialer idle-timeout 180
dialer string 11
line con 0
line aux 0
line vty 0 4
password cisco
login
end
Vsic2#sh run
Building configuration...
Current configuration : 1150 bytes
version 12.1
hostname Vsic2
enable password cisco
username Vsic1 password cisco
isdn switch-type basic-net3
interface Loopback0
ip address 13.1.0.1 255.255.255.0
interface Loopback1
ip address 14.1.0.1 255.255.255.0
interface Loopback2
ip address 15.1.0.1 255.255.255.0
interface BRI0
no ip address
encapsulation ppp
dialer pool-member 1
isdn switch-type basic-net3
isdn spid1 11 11
ppp authentication chap
interface Dialer0
ip address 192.168.0.2 255.255.255.0
encapsulation ppp
dialer pool 1
dialer remote-name Vsic1
dialer idle-timeout 180
dialer string 21
dialer-group 1
ppp authentication chap
line con 0
line aux 0
line vty 0 4
password cisco
login
end
Sử dụng câu lệnh show ip route để kiểm tra lại bảng định tuyến của các router :
Vsic2#sh ip
Gateway of last resort is not set
R 10.0.0.0/8 [120/1] via 192.168.0.1, 00:00:03, Dialer0
R 11.0.0.0/8 [120/1] via 192.168.0.1, 00:00:03, Dialer0
192.168.0.0/24 is variably subnetted, 2 subnets, 2 masks
C 192.168.0.0/24 is directly connected, Dialer0
C 192.168.0.1/32 is directly connected, Dialer0
R 12.0.0.0/8 [120/1] via 192.168.0.1, 00:00:03, Dialer0
13.0.0.0/24 is subnetted, 1 subnets
C 13.1.0.0 is directly connected, Loopback0
14.0.0.0/24 is subnetted, 1 subnets
C 14.1.0.0 is directly connected, Loopback1
15.0.0.0/24 is subnetted, 1 subnets
C 15.1.0.0 is directly connected, Loopback2
Kiểm tra lại kết nối hiện hành bằng lệnh show isdn active (lúc này hai router đã kết
nối với nhau, do ta cấu hình tất cả các gói tin đều là interesting traffic : access-list 1
permit any nên khi RIP gửi các gói routing update thì router tự động kết nối).
Vsic1#sh isdn active
ISDN ACTIVE
Call Calling Called Remote Seconds Seconds Seconds Charges
Type Number Number Name Used Left Idle Units/currency
Out 11 Vsic2 350 152 27 0
Cứ sau khoảng 30 giây chúng ta lập lại câu lệnh show isdn active để kiểm tra thời gian
còn lại để router ngắt kết nối (Lưu ý : không truyền bất kỳ một traffic nào qua lại
giữa hai router để ta có được kết quả chính xác)
Nhận xét : thời gian còn lại để router tự động ngắt kết nối (idle-timeout) không bao
giờ xuống được 0. Do giao thức RIP cứ 30 giây gửi update một lần. Tương tự cho các
giao thức định tuyến động khác.
Trong trường hợp thời gian idle-timeout nhỏ hơn 30 giây thì router sẽ đóng ngắt kết
nối liên tục.
Vì vậy chúng ta không nên sử dụng định tuyến động trong cấu hình ISDN DDR. Sử
dụng static route sẽ cho hiệu quả cao hơn.
Remote5 Remote3
Center
Remote1 Remote2
trong đồ hình này, mạng trung tâm được gọi là hub, các mạng remote1, remote2,
remote3, remote4 và remote5 được gọi là spoke. Mỗi spoke nối với hub bằng một
đường kết nối ảo (VC). Trong đồ hình trên nếu ta muốn các spoke có thể liên lạc được
với nhau thì chỉ cần tạo ra các VC giữa các spoke với nhau. Đồ hình này giúp ta tạo ra
một mạng WAN có giá thành rẻ hơn rất nhiều so với sử dụng leased line, do các mạng
chỉ cần một đường nối với mạng Frame Relay.
Frame Relay sử dụng split horizon để chống lặp. Split horizon không cho phép
routing update trả ngược về interface gửi. Vì trong frame relay, chúng ta có thể tạo
nhiều đường PVC trên một interface vật lý, do đó sẽ bị lặp nếu không có split horizon.
Trong mạng WAN sử dụng leased line, các DTE được nối trực tiếp với nhau nhưng
trong mạng sử dụng Frame Relay, các DTE được nối với nhau thông qua một mạng
Frame Relay gồm nhiều Switch. Do đó chúng ta phải map địa chỉ lớp mạng Frame
Relay với địa chỉ IP của DTE đầu xa. Chúng ta có thể map bằng cách sử dụng các câu
lệnh. Nhưng việc này có thể được thực hiện tự động bằng LMI và Inverse ARP. LMI
(Local Management Interface) được trao đổi giữa DTE và DCE (Frame Relay
switch), được dùng để kiểm tra hoạt động và thông báo tình trạng của VC, điều khiển
luồng, và cung cấp số DLCI cho DTE. LMI có nhiều loại là : cisco (chuẩn riêng của
Cisco), ansi (theo chuẩn ANSI Annex D) và q933a (theo chuẩn ITU q933 Annex A).
Khi router mới được nối với mạng Frame Relay, router sẽ gửi LMI đến mạng để hỏi
tình trạng. Sau đó mạng sẽ gửi lại router một thông điệp LMI với các thông số của
đường VC đã được cấu hình. Khi router muốn map một VC với địa chỉ lớp mạng,
router sẽ gửi thông điệp Inverse ARP bao gồm địa chỉ lớp mạng (IP) của router trên
đường VC đó đến với DTE đầu xa. DTE đầu xa sẽ gửi lại một Inverse ARP bao gồm
địa chỉ lớp mạng của nó, từ đó router map địa chỉ này với số DLCI của VC.
Đồ hình bài lab như hình trên. Router FrameSwitch được cấu hình là một
frame relay switch. Hai đầu cáp serial nối với router FrameSwitch là DCE.
Router Vsic1 và Vsic2 sử dụng giao thức RIP.
Vsic1#sh run
Building configuration...
Current configuration : 599 bytes
version 12.1
hostname Vsic1
interface Loopback0
ip address 10.1.0.1 255.255.255.0
interface Serial0
ip address 192.168.1.1 255.255.255.0
router rip
Vsic2#sh run
Building configuration...
Current configuration : 601 bytes
version 12.1
hostname Vsic2
interface Loopback0
ip address 11.1.0.1 255.255.255.0
interface Serial0
ip address 192.168.1.2 255.255.255.0
router rip
network 11.0.0.0
network 192.168.1.0
end
Chúng ta tiến hành cấu hình frame realy cho hai router Vsic1 và Vsic2
Vsic1(config)#in s0
Vsic1(config-if)#encapsulation frame-relay Sử dụng giao thức đóng gói
Frame Relay cho interface S0
Vsic1(config-if)#frame-relay lmi-type ansi Cấu hình kiểu của LMI là ANSI
Vsic2(config)#in s0
Vsic2(config-if)#encapsulation frame-relay
Vsic2(config-if)#frame-relay lmi-type ansi
Sau khi cấu hình frame relay cho router Vsic1 và Vsic2, chúng ta sẽ cấu hình cho
router FrameSwitch trở thành một frame relay switch như sau :
FrameSwitch(config)#frame-relay switching Cấu hình cho router trở thành
một Frame Relay Switch
FrameSwitch(config)#in s0
FrameSwitch(config-if)#encapsulation frame-relay
FrameSwitch(config-if)#frame-relay lmi-type ansi
FrameSwitch(config-if)#frame-relay intf-type dce Cấu hình interface serial 0
là Frame Relay DCE
FrameSwitch(config-if)#clock rate 64000 Cung cấp xung clock 64000 bps
cho DTE
FrameSwitch(config-if)#frame-relay route 102 interface s1 201
FrameSwitch(config-if)#no shut
FrameSwitch(config)#in s1
FrameSwitch(config-if)#encapsulation frame-relay
FrameSwitch(config-if)#frame-relay lmi-type ansi
FrameSwitch(config-if)#frame-relay intf-type dce
FrameSwitch(config-if)#clock rate 64000
FrameSwitch(config-if)#frame-relay route 201 interface s0 102
FrameSwitch(config-if)#no shut
DLCI USAGE chỉ cho ta biết hai interface S0, S1 hoạt động ở chế độ frame relay
switch và đã ACTIVE. Đồng thời thông báo của câu lệnh còn cho ta biết được số gói
đã được chuyển mạch qua interface (Num Pkts Switched 3).
Như vậy, từ kết quả trên ta biết được rằng router FrameSwitch đang hoạt động như
một Frame Relay Switch.
Chúng ta sẽ kiểm tra tình trạng của LMI giữa router FrameSwitch và hai router Vsic1,
Vsic2 bằng câu lệnh show frame lmi
FrameSwitch#show frame lmi
Câu lệnh cho ta biết được thông tin của tất cả các interface của router hoạt động ở chế
độ Frame relay. (Ở đây là interface S0 và S1)
Bây giờ chúng ta sẽ kiểm tra các frame relay route trên router Frameswitch bằng câu
lệnh show frame route
FrameSwitch#sh frame-relay route
Input Intf Input Dlci Output Intf Output Dlci Status
Serial0 102 Serial1 201 active
Serial1 201 Serial0 102 active
Kết quả câu lệnh cho chúng ta biết rằng traffic đến interface serial 0 với DLCI 102sẽ
được chuyển mạch qua serial 1 với DLCI 201; ngược lại, traffic đến serial 1 với DLCI
201 sẽ được chuyển mạch qua serial 0 với DLCI 102. Đồng thời câu lệnh cũng chỉ ra
là cả hai DLCI đều hoạt động.
Chuyển sang router Vsic1, chúng ta sẽ kiểm tra xem DLCI 102 trên interface serial 0
có hoạt động hay chưa bằng cách :
Vsic1#sh frame-relay pvc
DLCI = 102, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE = Serial0
Kết quả câu lệnh cho ta biết, DLCI 102 hoạt động trên interface serial 0 và được
map với địa chỉ IP 102.168.1.2 của interface serial 0 Vsic2, và việc map này là tự
động.
Lặp lại các bước tương tự để kiểm tra cho router
Vsic2
Vsic2#sh frame-relay pvc
PVC Statistics for interface Serial0 (Frame Relay
DTE)
Active Inactive Deleted Static
Local 1 0 0 0
Switched 0 0 0 0
Unused 0 0 0 0
Nhậnxét : DLCI 201 hoạt động trên interface serial 0 của Vsic2 và được map với địa
chỉ IP 192.168.1.1
Bây giờ chúng ta sẽ kiểm tra các mạng có thể liên lạc được với nhau chưa bằng
cách lần lượt đứng ở hai router và ping đến các interface loopback của router đầu xa.
Vsic1#ping 11.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 11.1.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 60/60/60 ms
Vsic2#ping 10.1.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 60/60/64 ms
Như vậy, các mạng đã có thể liên lạc được với nhau. Và router FrameSwitch đã
3. Cấu hình :
a) Cấuhìnhchorouter FR-SWITCHING
Building configuration...
Current configuration : 1044 bytes
!
version 12.1
hostname switch
!
frame-relay switching
!
interface Serial0 no ip
address encapsulation
frame-relay no fair-queue
b) Cấuhìnhchorouter Vsic3:
Current configuration : 685 bytes
!
version 12.1
hostname Vsic3
!
interface Loopback0
ip address 192.168.3.1 255.255.255.0
!
interface Serial0 no ip
address encapsulation
frame-relay
c) Cấuhìnhchorouter Vsic1:
Building configuration...
Current configuration : 874 bytes
version 12.1
hostname Vsic1
interface Loopback0
ip address 192.168.1.1 255.255.255.0
!
interface Serial0 no ip
address encapsulation
frame-relay no fair-queue
frame-relay lmi-type ansi
!
interface Serial0.102 point-to-point
ip address 192.168.4.1 255.255.255.0
frame-relay interface-dlci 52
!
interface Serial0.103 point-to-point
ip address 192.168.5.1 255.255.255.0
frame-relay interface-dlci 53
!
d) Xâydựngcấuhìnhchorouter Vsic2
Building configuration...
Current configuration : 686 bytes
!
version 12.1
hostname Vsic2
!
interface Loopback0
ip address 192.168.2.1 255.255.255.0
!
interface Serial0 no ip
address encapsulation
frame-relay frame-relay
lmi-type ansi
!
Chúng kiểm tra route map của các router bằng câu lệnh sau :
Vsic1#sh frame-relay map
Serial0.103 (up): point-to-point dlci, dlci 53(0x35,0xC50), broadcast
status defined, active
Serial0.102 (up): point-to-point dlci, dlci 52(0x34,0xC40), broadcast
status defined, active
Sử dụng câu lệnh show frame-relay pvc để kiểm tra các đường PVC
Vsic2#sh frame-relay pvc
PVC Statistics for interface Serial0 (Frame Relay DTE)
DLCI = 51, DLCI USAGE = LOCAL, PVC STATUS = ACTIVE, INTERFACE =
Serial0.52
Bây giờ chúng ta sẽ kiểm tra trạng thái của các cổng BRI
Vsic2#sh ip int brief
Interface IP-Address OK? Method Status Prot
ocol
Loopback0 192.168.2.1 YES manual up up
Vsic2#ping 192.168.4.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.4.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 116/118/128 ms
Vsic2#ping 192.168.4.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.4.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 60/64/80 ms
Vsic3#ping 192.168.5.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.5.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 60/60/60 ms
Vsic2#ping 192.168.3.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.3.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 116/116/120 ms