實(shí)驗(yàn)5路由器的配置和路由協(xié)議

1、實(shí)驗(yàn)5 路由器的配置和路由協(xié)議5.1 實(shí)驗(yàn)?zāi)康?、理解DCE、DTE 的概念和含義，理解封裝匹配2、掌握廣域網(wǎng) PPP封裝配置；3、掌握PAP、CHAP驗(yàn)證配置，理解驗(yàn)證過程；4、理解路由表、掌握靜態(tài)路由的配置；5、掌握動(dòng)態(tài)路由的配置方法，理解RIP-2協(xié)議的工作過程；6、理解鏈路狀態(tài)路由協(xié)議的工作過程。5.2 實(shí)驗(yàn)設(shè)備1、DCR路由器2臺 2、PC機(jī)1臺 3、CR-V35MT1條4、CR-V35FC1條5、網(wǎng)線2根5.3 相關(guān)知識 企業(yè)環(huán)境中異地的互連通常要經(jīng)過第三方的網(wǎng)絡(luò)，比如網(wǎng)通、電信等等，其連接通常使用路由器的串口，所以與局域網(wǎng)的配置不同。5.3.1 DTE和DCEDTE是“Data

2、Terminal Equipment(數(shù)據(jù)終端設(shè)備)”的首字母縮略詞，指具有一定的數(shù)據(jù)處理能力和數(shù)據(jù)收發(fā)能力的設(shè)備， DTE提供或接收數(shù)據(jù)，例聯(lián)接到調(diào)制解調(diào)器上的計(jì)算機(jī)就是一種DTE。DCE是“Data Communications Equipment（數(shù)據(jù)通訊設(shè)備）”的首字母縮略詞,它在DTE和傳輸線路之間提供信號變換和編碼功能，并負(fù)責(zé)建立、保持和釋放鏈路的連接，如Modem。DCE設(shè)備通常是與DTE對接，因此針腳的分配相反。DTE和DCE的區(qū)分實(shí)質(zhì)上只是針對串行端口的，路由器通常通過串行端口連接廣域網(wǎng)絡(luò)。它們之間的區(qū)別是DCE一方提供時(shí)鐘，DTE不提供時(shí)鐘，但它依靠DCE提供的時(shí)鐘工作，比

3、如PC機(jī)和MODEM之間。數(shù)據(jù)傳輸通常是經(jīng)過DTE-DCE,再經(jīng)過DCE-DTE的路徑。其實(shí)對于標(biāo)準(zhǔn)的串行端口，通常從外觀就能判斷是DTE還是DCE，DTE是針頭（俗稱公頭），DCE是孔頭（俗稱母頭），這樣兩種接口才能接在一起。做路由器的背靠背實(shí)驗(yàn)時(shí)兩個(gè)路由器一個(gè)作為DCE，另一個(gè)作為DTE，做DCE的需要配置clock rate。ISDN或分時(shí)隙的用64000，只有普通撥號串口用56000。如果不能確定哪臺路由器擁有這條線纜的DTE端，哪臺路由器擁有DCE端，可以利用show interface serial 0來確定。也可以兩臺路由器都設(shè)定時(shí)鐘，注意時(shí)鐘速率要一致。5.3.2 PPP協(xié)議

4、點(diǎn)到點(diǎn)協(xié)議（Point to Point Protocol，PPP）是IETF（Internet Engineering Task Force，因特網(wǎng)工程任務(wù)組）推出的點(diǎn)到點(diǎn)類型線路的數(shù)據(jù)鏈路層協(xié)議。它解決了SLIP中的問題，并成為正式的因特網(wǎng)標(biāo)準(zhǔn)。 PPP協(xié)議在RFC 1661、RFC 1662和RFC 1663中進(jìn)行了描述。 PPP支持在各種物理類型的點(diǎn)到點(diǎn)串行線路上傳輸上層協(xié)議報(bào)文。PPP有很多豐富的可選特性，如支持多協(xié)議、提供可選的身份認(rèn)證服務(wù)、可以以各種方式壓縮數(shù)據(jù)、支持動(dòng)態(tài)地址協(xié)商、支持多鏈路捆綁等等。這些豐富的選項(xiàng)增強(qiáng)了PPP的功能。同時(shí)，不論是異步撥號線路還是路由器之間的同步鏈

5、路均可使用。因此，應(yīng)用十分廣泛。在PPP的點(diǎn)對點(diǎn)通信中，可以采用PAP或者CHAP身份驗(yàn)證方式（首選CHAP方式）對連接用戶進(jìn)行身份驗(yàn)證，以防非法用戶的PPP連接。但這些認(rèn)證是可選的，而不是必須的。如果需要認(rèn)證，則發(fā)生在網(wǎng)絡(luò)層協(xié)議配置之前，在鏈路層建立健全完成，并且選擇了認(rèn)證協(xié)議后，通信雙方就可以被認(rèn)證了。在認(rèn)證階段中，要求鏈路發(fā)起方在認(rèn)證選項(xiàng)中填寫認(rèn)證信息，以便確認(rèn)用戶得到了網(wǎng)絡(luò)管理員的許可。在認(rèn)證過程中，通信雙方對等的路由器要彼此交換認(rèn)證信息。5.3.3 PAP采用PAP（Password Authentication Protocol）進(jìn)行身份認(rèn)證過程是兩次握手驗(yàn)證過程，口令以明文傳送。

6、PAP認(rèn)證過程如圖5-1所示。用文字描述如下：（1）被驗(yàn)證方發(fā)送用戶名和口令到驗(yàn)證方，示例中是以客戶（client）端grfwgz02向服務(wù)器（Server）端grfwgz01請求身份驗(yàn)證；（2）驗(yàn)證方grfwgz01根據(jù)自己的網(wǎng)絡(luò)用戶配置信息查看是否有此用戶己口令是否正確，然后返回不同的響應(yīng)（Acknowledge or Not Acknowledge）。（3）如果正確，則會給對端發(fā)送ACK（應(yīng)答確認(rèn)）報(bào)文，通告對端已被允許進(jìn)入下一階段協(xié)商；否則發(fā)送NCK（不確認(rèn)）報(bào)文，通知對方驗(yàn)證失敗。但此時(shí)并不會直接將鏈路關(guān)閉，客戶端還可以繼續(xù)償試新的用戶密碼。只有當(dāng)驗(yàn)證不通過次數(shù)達(dá)到一定值（缺省為4）

7、時(shí)，才會關(guān)閉鏈路，來防止因誤傳、網(wǎng)絡(luò)干擾等造成不必要的LCP重新協(xié)商過程。圖5-1 PAP身份認(rèn)證的兩次握手PAP并不是一個(gè)健全的認(rèn)證協(xié)議。它的特點(diǎn)是，在網(wǎng)絡(luò)上以文明的方式傳遞用戶名及口令，如在傳輸過程中被截獲，便有可能對網(wǎng)絡(luò)安全造成極大的威脅。因此它并不是一種強(qiáng)有效的認(rèn)證方法，其密碼以文本格式在電路上進(jìn)行發(fā)送，對于竊聽、重放或重復(fù)嘗試和錯(cuò)誤攻擊沒有任何保護(hù)，僅適用于對網(wǎng)絡(luò)安全要求相對較低的環(huán)境。Pap還可以雙向認(rèn)證，就是將兩端同時(shí)都配置為認(rèn)證服務(wù)器端和認(rèn)證客戶端。5.3.4 CHAP 采取CHAP協(xié)議（Challenge Handshake Authentication Protocol）進(jìn)

8、行身份驗(yàn)證，則需要三次握手驗(yàn)證協(xié)議，不直接發(fā)送口令，由主驗(yàn)證方首先發(fā)起驗(yàn)證請求。CHAP的安全性比PAP高。CHAP身份驗(yàn)證的三次握手流程如圖5-2所示。文字描述如下（同樣以客戶端grfwgz02向服務(wù)器端grfwgz01發(fā)送認(rèn)證請求為例進(jìn)行介紹）：（1）當(dāng)客戶端要求與驗(yàn)證服務(wù)器連接時(shí)，并不是像PAP驗(yàn)證方式那樣直接由客戶端輸入密碼，而首先由驗(yàn)證方grfwgz01向被驗(yàn)證方grfwgz02發(fā)送一個(gè)作為身份認(rèn)證請求的隨機(jī)產(chǎn)生的報(bào)文，并同時(shí)將自己的主機(jī)名附帶上一起發(fā)送給被驗(yàn)證方；（2）被驗(yàn)證方得到驗(yàn)證方的驗(yàn)證請求（Challenge）后，便根據(jù)此報(bào)文中驗(yàn)證方的主機(jī)名和自己的用戶表查找對應(yīng)用戶帳戶口

9、令。如找到用戶表中與驗(yàn)證方主機(jī)名相同的用戶帳戶，便利用接受到的隨機(jī)報(bào)文和該用戶的密匙，以Md5算法生成應(yīng)答（Response），隨后將應(yīng)答和自己的主機(jī)名發(fā)送給驗(yàn)證服務(wù)器；（3）驗(yàn)證方接到此應(yīng)答后，再利用對方的用戶名在自己的用戶表中查找自己系統(tǒng)中保留的口令字，找到后再用自己的保留口令字（密匙）和隨機(jī)報(bào)文，以Md5算生成結(jié)果，與被驗(yàn)證方應(yīng)答比較。驗(yàn)證成功驗(yàn)證服務(wù)器會發(fā)送一條ACK報(bào)文（Success），否則會發(fā)送一條NAK報(bào)文（Failure）。圖5-2 CHAP身份認(rèn)證的三次握手CHAP身份認(rèn)證的特點(diǎn)是只在網(wǎng)絡(luò)上傳輸用戶名，而并不傳輸用戶口令，因此它的安全性要比PAP高。CHAP認(rèn)證方式使用不同

10、的詢問消息，每個(gè)消息都是不可能預(yù)測的唯一值，這樣就可以防范再生攻擊。不斷詢問可以被限制在一次攻擊中的時(shí)間內(nèi)，本地路由器可以控制詢問的頻率和時(shí)間。5.3.5 路由協(xié)議的原理路由協(xié)議的原理參見教材計(jì)算機(jī)網(wǎng)絡(luò)（第5版）。靜態(tài)路由開銷小，但不靈活，適用于相對穩(wěn)定的網(wǎng)絡(luò)；在小規(guī)模環(huán)境里，靜態(tài)路由是最佳的選擇。在路由器較多的環(huán)境里，手工配置靜態(tài)路由會給管理員帶來大的工作負(fù)擔(dān)，可考慮選擇合適的動(dòng)態(tài)路由協(xié)議。在大規(guī)模網(wǎng)絡(luò)中，OSPF作為鏈路狀態(tài)路由協(xié)議的代表應(yīng)用非常廣泛，其具有無自環(huán)，收斂快的特點(diǎn)。5.4 實(shí)驗(yàn)內(nèi)容本實(shí)驗(yàn)分為兩個(gè)部分來做，先做路由器的基本配置，實(shí)現(xiàn)PPP協(xié)議的封裝，然后再做路由協(xié)議的配置。5.

11、4.1 路由器基本配置5.4.1.1 網(wǎng)絡(luò)拓?fù)?實(shí)驗(yàn)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如果圖5-3所示。圖5-3 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)5.4.1.2 實(shí)驗(yàn)要求1、路由器接口IP地址配置參數(shù) 配置表 Router-A Router-B 接口類型 IP 地址接口 類型 IP 地址S0/2 DCE 192.168.1.1 S0/2 DTE 192.168.1.2 F0/0 192.168.2.1帳號：RouterA密碼：NetworkLabA帳號：RouterB密碼：NetworkLabB2、配置正確后，兩臺路由器可互相PING通；3、配置PC機(jī)，分別PING兩臺路由器的不同端口。5.4.2 路由協(xié)議配置5.4.2.1 實(shí)驗(yàn)拓

12、撲5.4.2.2 實(shí)驗(yàn)要求1、路由器接口IP地址配置參數(shù) 配置表 Router-A Router-B 接口類型 IP 地址接口 類型 IP 地址S0/2 DCE 192.168.1.1 S0/1 DTE 192.168.1.2 F0/0 192.168.2.1F0/0192.168.3.12、配置正確后，兩臺路由器可互相PING通；3、配置PC機(jī)，分別PING兩臺路由器的連接端口；4、配置Router-A和Router-B路由。5.5 實(shí)驗(yàn)步驟5.5.1 路由器基本配置5.5.1.1 配置路由器廣域網(wǎng)端口的PPP封裝（1）配置路由器A：Router>enableRouter#config

13、Router_config#hostname Router-ARouter-A_config#interface s0/2Router-A_config_s0/2#ip address 192.168.1.1 255.255.255.0Router-A_config_s0/2#physical-layer speed 64000Router-A_config_s0/2#encapsulation pppRouter-A_config_s0/2#no shutdownRouter-A_config_s0/2#interface f0/0Router-A_config_f0/0#ip addres

14、s 192.168.2.1 255.255.255.0Router-A_config_f0/0#no shutdownRouter-A_config_f0/0#exitRouter-A_config#exitRouter-A#（2）用show interface命令查看路由器A的s0/2接口的配置情況：Router-A#show interface s0/2如下圖所示：從圖中可以看到，Router-A已封裝了PPP協(xié)議，但由于對端路由器（Router-B）還沒有配置，所以協(xié)議是down狀態(tài)。（3）配置路由器B：Router>enableRouter#configRouter_config

15、#hostname Router-BRouter-B_config#interface s0/1Router-B_config_s0/1#ip address 192.168.1.2 255.255.255.0Router-B_config_s0/1#encapsulation pppRouter-B_config_s0/1#no shutdownRouter-B_config_s0/1#exitRouter-B_config#exitRouter-B#（4）這時(shí)再查看路由器A的s0/2接口狀態(tài)，顯示如下圖所示：可以看到，s0/2接口已經(jīng)變成up狀態(tài)了。同時(shí)路由器B的s0/1接口也會變?yōu)閡p狀

16、態(tài)。（5）在Router-A上使用ping命令測試能否連接到Router-B，如下圖所示：上圖顯示，路由器A已經(jīng)可以正確連接到路由器B了。5.5.1.2 PPP封裝PAP 在上述實(shí)驗(yàn)的基礎(chǔ)上，配置PAP驗(yàn)證，步驟如下：（1）在路由器A上，設(shè)置用于對端路由器（Router-B）進(jìn)行PAP驗(yàn)證的用戶名和密碼：Router-A>enableRouter-A#configRouter-A_config#username RouterB password NetworkLabB/配置aaa的ppp認(rèn)證方法表（此處使用本地用戶信息進(jìn)行認(rèn)證）Router-A_config#aaa authentica

17、tion ppp default local Router-A_config#interface s0/2Router-A_config_s0/2#ppp authentication papRouter-A_config_s0/2#ppp pap sent-username RouterA password NetworkLabARouter-A_config_s0/2#exitRouter-A_config#exitRouter-A#（2）使用show interface s0/2命令查看路由器A的s0/2接口狀態(tài)，如下圖所示：由于對端路由器（Router-B）還沒有配置PAP驗(yàn)證，所以協(xié)

18、議為down狀態(tài)。此時(shí)從路由器A上ping不通路由器B，如下圖所示：（3）在路由器B上，設(shè)置用于對端路由器（Router-A）進(jìn)行PAP驗(yàn)證的用戶名和密碼：Router-B>enableRouter-B#configRouter-B_config#username RouterA password NetworkLabA/配置aaa的ppp認(rèn)證方法表（此處使用本地用戶信息進(jìn)行認(rèn)證）Router-B_config#aaa authentication ppp default local Router-B_config#interface s0/1Router-B_config_s0/1#p

19、pp authentication papRouter-B_config_s0/1#ppp pap sent-username RouterB password NetworkLabBRouter-B_config_s0/1#exitRouter-B_config#exitRouter-B#（4）查看路由器A的s0/2接口的狀態(tài)，如下圖所示：從上圖可以看到，s0/2接口已變?yōu)閡p狀態(tài)。（5）從路由器A上ping路由器B，記錄ping命令及結(jié)果（可抓圖）； 如果不成功，需要 找出問題重做。（6）在路由器A上使用show running-config命令查看當(dāng)前配置，記錄配置文件中包含的PPP配置

20、信息（可抓圖）。（7） 在路由器B上使用show running-config命令查看當(dāng)前配置，記錄配置文件中包含的PPP配置信息（可抓圖）。5.5.1.3 PPP封裝CHAP 在6.5.1實(shí)驗(yàn)的基礎(chǔ)上，配置CHAP驗(yàn)證（如果已經(jīng)配置了PAP驗(yàn)證，可以在s0/2的接口配置模式下使用命令no ppp authentication禁用PAP驗(yàn)證），步驟如下：（1）在路由器A上，設(shè)置用于對端路由器（Router-B）進(jìn)行CHAP驗(yàn)證的用戶名和密碼：Router-A>enableRouter-A#configRouter-A_config#username RouterB password Ne

21、tworkLab /設(shè)置本地?cái)?shù)據(jù)庫中供對端驗(yàn)證時(shí)使用的用戶名（此處為“RouterB”）和密碼/（此處為“NetworkLab”），需要注意的是，進(jìn)行CHAP驗(yàn)證的兩端的密碼必/須一致，這與PAP驗(yàn)證方式不同Router-A_config#aaa authentication ppp default local /配置aaa的ppp認(rèn)證方法表（此處使用本地用戶信息進(jìn)行認(rèn)證）Router-A_config#interface s0/2Router-A_config_s0/2#ppp authentication chapRouter-A_config_s0/2#ppp chap hostname

22、 RouterA /發(fā)送給對端驗(yàn)證的用戶名Router-A_config_s0/2#exitRouter-A_config#exitRouter-A#（2）使用show interface s0/2命令查看路由器A的s0/2接口狀態(tài)，如下圖所示：由于路由器B還沒有配置CHAP驗(yàn)證，所以s0/2接口的狀態(tài)是down。此時(shí)在路由器A上ping路由器B時(shí)ping不通，如下圖所示：（3）在路由器B上，設(shè)置用于對端路由器（Router-A）進(jìn)行CHAP驗(yàn)證的用戶名和密碼：Router-B>enableRouter-B#configRouter-B_config#username RouterA p

23、assword NetworkLab /設(shè)置本地?cái)?shù)據(jù)庫中供對端驗(yàn)證時(shí)使用的用戶名（此處為“RouterA”）和密碼/此密碼與路由器A中用于CHAP驗(yàn)證的用戶的密碼一致，即“NetworkLab” Router-B_config#aaa authentication ppp default local /配置aaa的ppp認(rèn)證方法表（此處使用本地用戶信息進(jìn)行認(rèn)證）Router-B_config#interface s0/1Router-B_config_s0/1#ppp authentication chapRouter-B_config_s0/1#ppp chap hostname Route

24、rB /發(fā)送給對端驗(yàn)證的用戶名Router-B_config_s0/1#exitRouter-B_config#exitRouter-B#（4）查看路由器A的s0/2接口的狀態(tài)，如下圖所示：從上圖可以看到，s0/2接口已變?yōu)閡p狀態(tài)。（5）從路由器A上ping路由器B，記錄ping命令及結(jié)果（可抓圖）； 如果不成功，需要找出問題重做。（6）在路由器A上使用show running-config命令查看當(dāng)前配置，記錄配置文件中包含的PPP配置信息（可抓圖）。（7） 在路由器B上使用show running-config命令查看當(dāng)前配置，記錄配置文件中包含的PPP配置信息（可抓圖）。5.5.1.4

25、 配置PC機(jī)配置PC機(jī)后，PING路由器的各個(gè)端口，并記錄PC配置及PING結(jié)果于表1中。表1 PC機(jī)配置：路由器端口PING命令結(jié)果Router-Af0/0Router-As0/2Router-Bs0/15.5.2 路由協(xié)議配置5.5.2.1 路由器串口配置先對兩臺路由器和兩臺PC機(jī)進(jìn)行配置，步驟如下：1、配置路由器A：Router>enableRouter#configRouter_config#hostname Router-ARouter-A_config#interface s0/2Router-A_config_s0/2#ip address 192.168.1.1 255.

26、255.255.0Router-A_config_s0/2#physical-layer speed 64000Router-A_config_s0/2#no shutdownRouter-A_config_s0/2#interface f0/0Router-A_config_f0/0#ip address 192.168.2.1 255.255.255.0Router-A_config_f0/0#no shutdownRouter-A_config_f0/0#exitRouter-A_config#exitRouter-A#2、配置路由器B：Router>enableRouter#co

27、nfigRouter_config#hostname Router-BRouter-B_config#interface s0/1Router-B_config_s0/1#ip address 192.168.1.2 255.255.255.0Router-B_config_s0/1#no shutdownRouter-B_config_s0/1#interface f0/0Router-B_config_f0/0#ip address 192.168.3.1 255.255.255.0Router-B_config_f0/0#no shutdownRouter-B_config_f0/0#e

28、xitRouter-B_config#exitRouter-B#3、將PC1和PC2用交叉線（同種設(shè)備用交叉線，路由器相當(dāng)于計(jì)算機(jī)，計(jì)算機(jī)連接交換機(jī)用直通線，平時(shí)用的都是直通線）分別連接到路由器A和路由器B的TP0端口（沒有交叉線的話，可以通過交換機(jī)把PC機(jī)和路由器連接起來）。配置PC1的IP地址為192.168.2.2，子網(wǎng)掩碼為255.255.255.0，默認(rèn)網(wǎng)關(guān)為192.168.2.14、配置PC2的IP地址為192.168.3.2，子網(wǎng)掩碼為255.255.255.0，默認(rèn)網(wǎng)關(guān)為192.168.3.15、在PC1上執(zhí)行PING命令，測試PC1到路由器各端口和PC2的連通性，并記錄結(jié)果于

29、表2中。表2測試步驟端口IP地址連通性1Router-A f0/02Router-A s0/23Router-B s0/14Router-B f0/05PC2注意：由于機(jī)器上裝有雙網(wǎng)卡，需要先禁用“本地連接2”，然后再進(jìn)行上述測試。下同。5.5.2.2 配置靜態(tài)路由路由協(xié)議。1、在Router-A上配置靜態(tài)路由：Router-A#configRouter-A_config#ip route 192.168.3.0 255.255.255.0 192.168.1.2Router-A_config#exitRouter-A#2、在Router-B上配置靜態(tài)路由：Router-B#configRou

30、ter-B_config#ip route 192.168.2.0 255.255.255.0 192.168.1.1Router-B_config#exitRouter-B#3、分別使用show ip route命令查看路由器A和路由器B的路由表，顯示已經(jīng)配置了一條靜態(tài)路由，如下圖所示：路由器A的路由表：路由器B的路由表：4、再次在PC1上執(zhí)行PING命令，測試PC1到路由器各端口和PC2的連通性，并記錄結(jié)果于表3中。表3測試步驟端口IP地址連通性1Router-A f0/02Router-A s0/23Router-B s0/14Router-B f0/05PC25.5.2.3 配置動(dòng)態(tài)路

31、由1、在路由器A上，先使用no ip route命令刪除上面配置的那條靜態(tài)路由Router-A#configRouter-A_config#no ip route 192.168.3.0 255.255.255.0 192.168.1.22、在Router-A上配置動(dòng)態(tài)路由：Router-A_config#router ripRouter-A_config_rip#version 2Router-A_config_rip#network 192.168.1.0 Router-A_config_rip#network 192.168.2.0Router-A_config_rip#exitRout

32、er-A_config#exitRouter-A#3、在路由器B上使用no ip route命令刪除上面配置的那條靜態(tài)路由Router-B#configRouter-B_config#no ip route 192.168.2.0 255.255.255.0 192.168.1.14、在Router-B上配置動(dòng)態(tài)路由：Router-B_config#router ripRouter-B_config_rip#version 2Router-B_config_rip#network 192.168.1.0Router-B_config_rip#network 192.168.3.0Router-

33、B_config_rip#exitRouter-B_config#exitRouter-B#5、在路由器A上使用show ip route命令查看其路由表，顯示已經(jīng)增加了一條動(dòng)態(tài)路由，如下圖所示：查看路由器B的路由器表，其中也增加了一條動(dòng)態(tài)路由，如下圖所示：6、再次在PC1上執(zhí)行PING命令，測試PC1到路由器各端口和PC2的連通性，并將測試結(jié)果與表3比較，記錄下不同，并分析原因。5.5.2.4 配置OSPF協(xié)議1、在路由器A上，先使用no router rip命令刪除上面配置的動(dòng)態(tài)路由Router-A#configRouter-A_config#no router rip2、在Router-A上配置OSPF協(xié)議：Router-A_config#router osp