CCIE学习笔记之特性集

etherchannel loadbalance  dst �Cmac

以太网隧道负载方式基于目标MAC

MST

(config)# spanning -tree mode mst 

(config)# spanning -tree mst configuration

(config-mst )#  name CCIE

(config-mst )#  instance 1 vlan 20,40,60

spanning -tree mst 3 root primary

spanning -tree mst 1,2 root secondary

VLAN ACL

(config)# vlan access-map Deny_VIP 10 

(config)# match mac address VIP

(config)# action drop

(config)# vlan access-map Deny_VIP  20

(config)# vlan filter Deny_VIP vlan -list 50

frame-relay

interface serial 0/0 

 frame -relay broadcast -queue 120 260000 240   // FR broadcast queue to 120 , 260Kbytesrate per seconds,  240  packet per second

 

 

damping

interface serial 0/0 

   dampening                           // Turn on dampening to avoid

excessive routing updates

 

广播转单播

ip forward -protocol udp snmptrap

 

interface G0/0/1.70

  iphelper-address 150.2.Y.254

 

利用PBR做标记

route -map PBR

 match ip address 100 

  setip precedence 3

  setip next-hop YY.YY.11.4

 

interface G0/0/1  (12.0/24)

  ippolicy route -map PBR

RPF校验

ip cef

interface serial 0/0 

  ipverify unicast source reachable-via any 10 

 

access-list 10 deny any log   //记录日志

tcp intercept

ip tcp intercept mode watch    //模式watch，路由器监控客户和服务器的TCP回话建立过程

ip tcp intercept watch -timeout 15   //若客户15秒还没和服务器建立TCP三次握手则路由器向服务器发送RST（复位）消息，防止拒绝服务攻击

ip tcp intercept list 100           

access-list 100 permit tcp any 150.1.YY.00.0.0.255

access-list 100 permit tcp any host150.1.Y.254

 

ip tcp intercept mode intercept    //路由器代替服务器和客户建立三次握手

ip tcp intercept conncect -timeout 150    //在非主动模式下tcp会话在idle150s后，超时断开（默认TCP连接是永远不超时的）

ip access-list extended DOS
permit tcp any host 1.1.1.1
ip tcp intercept list DOS    //服务器为1.1.1.1，那么监控所有访问这台服务器的TCP流量

ip tcp intercept max-incomplete high 1000
ip tcp intercept max-incomplete low 800
//所有半开连接数达到1000后，进入主动模式，主动模式会将所有的超时时间

减半，比如上面配置的connection-timeout会由1800s变成900s。当连接数低

于800时，再恢复正常。
ip tcp intercept one-minute high 500
ip tcp intercept one-minute high 400
//一分钟内新增的半开连接数达到500时，进入主动模式。低于400时，再恢复

正常。

ip tcp intercept drop-mode random/oldest （修改丢弃连接的方式)
默认为oldest

 

storm -contro

(config)# interface f0/10 

(config-if)# storm -control unicast level55  //把入站单播的流量限制到接口带宽*55%

block unknown traffic

(config)# interface f0/5

(config-if)# switchport block multicast  //阻止未知组播（即MAC地址表没有的）

  Exception Handling

(config)# ip ftp source -interface G0/0/0

(config)# ip ftp username ccie

(config)# ip ftp password cisco

 

(config)# exception core-file RA-CORE   //给core-file起名，core-file用于设备异常故障检测

(config)# exception dump 150.1.12.254   //把core-file传输到150.1.12.254

(config)# exception protocol ftp         //传输协议用FTP

(config)# exception region-size 65535

DHCP

(config)# service dhcp            //开启DHCP服务

(config)#  no ipdhcp conflit logging      //不记录冲突地址（如果记录则冲突过的地址一直分配不出去）

(config)# no ip dhcp excluded-address YY.YY.55.57

 

(config)# ip dhcp pool DHCP

(dhcp-config)# network YY.YY.55.0 /24

(dhcp-config)# dns -server YY.YY.55.60YY.YY.55.57 

(dhcp-config)# domain-name cisco.com

(dhcp-config)# default-router YY.YY.55.254

(dhcp-config)# lease 10 

(dhcp-config)# update arp      //联动接口ARP表的更新

 

(config)# interface G0/0/0

(config-if)#  arp authorized  // DHCP服务器没有记录的MAC不放入ARP表

跟踪攻击源

(config)# ip source-track 150.1.YY.254      //指定被攻击的设备

(config)# ip source-track address -limit 1    //跟踪设别限制为1

(config)# ip source-track syslog-interval 1440 //每1440分钟（一天）发送一次报告系统日志

防止碎片攻击

access-list extended Defragment

 deny ip any host 10.1.Y.5 fragments  //拒绝碎片报文

 permit ip any any

interface G0/0

  ipaccess-group Defragment in

802.1x

802.1xhost mode:

1. Single-Host Mode:交换机接口下只能有一台主机，否则违规

2. Multiple-Hosts Mode：交换机接口下可以有多台主机，但只要有一台认证即可

3.Multidomain Authentication Mode：可接一个IP电话和连在IP电话后的一台主机，所以每个端口允许两个MAC地址

4.Multiauthentication Mode：交换机接口下可以有多台主机，每台主机都要认证

 

Switch(config)# dot1x system-auth-control   //在交换机上开启802.1x

Switch(config)# aaa new-model            //开启AAA

Switch(config)# aaaauthentication dot1x default group radius  //dot1x认证方法default的认证方式为radius

Switch(config)#  aaa authorization network {default} groupradius  //用radius服务器进行网络相关的请求，如依据认证通过与否等进行vlan的划分

Switch(config)#  radius-server host 172.l20.39.46 auth-port1645 acct-port 1646 test username

randomuser idle-time 1 key mykey  //radius服务器地址

Switch(config)#  ip radius source-interface g3/2

Switch(config)#  radius-server vsa  send authentication //在multi-domain模式时用，接入设备根据AAAserver发出的VSAs判别语音和数据

Switch(config)#  dot1x guest-vlan supplicant    //全局开启客户vlan（隐藏命令）

Switch(config)#  radius  dead-criteria time 5  tries 2 //radius服务器不响应两次，每次5s就判定radius死亡（可选）

Switch(config)#  radius deadtime 10                  //每个10分钟检测一次down的radius服务器起来了没有（可选）

Switch(config)# authenticationcritical recovery delay msec //radius服务器重新可用后初始化认证端口（到服务器进行认证）的速度，如果为100ms则每秒初始化10个端口（可选）

Switch(config)#  interface fastethernet2/1

Switch(config-if)# switchportmode access                 //认证接口要是接入接口

Switch(config-if)# switchportaccess vlan 12

Switch(config-if)# switchportvoice vlan 10

Switch(config-if)# authenticationhost-mode single-host | multi-host | multi-domain | multi-auth

//认证的host mode

Switch(config-if)# dot1x paeauthenticator             //用默认参数在端口下启用802.1x

Switch(config-if)# authenticationport-control auto    //开启端口认证，模式为自动，早期命令：dot1x port-control auto

Switch(config-if)# mab [eap]        // 开启MAB（mac authentication   bypass），允许不支持802.1x的设备（如语音设备、打印机）接入用MAC地址认证，早期为dot1x mac-auth-bypass [eap]

Switch(config-if)# authenticationviolation [restrict  | shutdown ]  //认证违规（如single-host模式发现两个MAC）处理方式，默认shutdown，restrict模式则不会关闭接口

Switch(config-if)# authenticationevent no-response action authorize vlan 50 //客户机不支持802.1x(不响应认证请求)把端口划入vlan 50(即guest vlan),早版本的命令为dot1x guest-vlan 50

Switch(config-if)# authenticationevent server dead action authorize vlan 17 //开启InaccessibleAuthentication Bypass特性，即如果没有可用的radius服务器则把端口入vlan 17，如果此时有可用的radius则可让端口初始化，默认不初始化

Switch(config-if)#authenticationevent server alive action reinitialize //如果radius服务器再次可用则端口初始化，默认不初始化

Switch(config-if)# authenticationevent fail retry 5 action authorize vlan 40 //尝试5次认证失败则划入vlan 40,早期命令为：dot1xauth-fail vlan 40和dot1x auth-failmax-attempts 3

Switch(config-if)#  authentication periodic       //开启定期的重认证，默认关闭，早期命令：dot1x reauthenticator

Switch(config-if)# authenticationtimer reauthenticate 4000 //设置重认证时间间隔，默认3600s，早期命令：Switch(config-if)# dot1x timeout reauth-period 4000

Switch(config-if)# dot1x timeoutquiet-period 30   //不能认证客户（如认证失败则等待30秒再认证），缩短可以加快对用户的响应

Switch(config-if)# switchportmode private-vlan host   // PVLAN hostport

 

用宏创建vlan

macro name VLAN

vlan 30

 name VLAN_30

vlan 31

 name VLAN_31

@

macro global apply VLAN

RSPAN

vlan 500 

   remote-span

monitor session 1 source interface f0/10rx  //只监控接收流量

monitor session 1 destination remote vlan500 reflect -port f0/18  //3550要反射端口

 

monitor session 1 source remote vlan500 

monitor session 1 destination interfacef0/18

端口映射

ip nat inside source static tcp Y.Y.3.3 23Y.Y.6.254 23

interface G0/0  

  ipnat outside

interface S0/0

  ipnat inside

 

accounting

interface G0/0

  ip accountingoutput -packets

 

Router(config-if)#ip accountingaccess-violations
启动针对访问控制列表的IP统计

 

ip accounting -list Y.Y.6.254 0.0.0.0  

NTP

――ntp access-group: 该全局命令用于路由器N T P服务的访问控制。
――ntp authenticate: 是一个全局命令，它启用N T P身份验证。
――ntp authentication-key: 该全局命令用于定义N T P身份验证的键值。
――ntp broadcast: 是一个接口命令，用于指定一特定接口来发送N T P广播包。
――ntp broadcast client: 是一个接口命令，使路由器通过特定接口来接收N T P广播包。
――ntp broadcast delay: 是一个全局命令，它用于设定数据包在路由器和N T P服务器之间一个回程所需时间的估计值。
――ntp clock-period: 这条全局命令不必输入，当使用N T P进行系统时钟同步时，路由器将自动产生这条命令。
――ntp disable: 这条接口命令使特定接口不接收N T P包。
――ntp master: 这条全局命令用来配置路由器为N T P主时钟，只有当没有可用的外部N T P源或者为测试用途才使用该命令。
――ntp peer: 该全局命令使路由器的系统时钟与其对等体的时钟同步（或对对等体的时钟进行同步）。
――ntp server: 该全局命令使路由器的系统时钟由时间服务器进行同步。
――ntp source: 该全局命令强制路由器在其N T P包中使用特定的源地址。
――ntp trusted-key: 该全局命令用于确认路由器的特定身份验证键值。
――ntp update-calendar: 该全局命令使N T P周期性地更新Cisco7XXX 系列路由器的日历。
――show ntp status: 是一执行模式命令，用于显示路由器的N T P信息，它可以表明该路由器是通过N T P对等体进行时钟同步还是通过N T P服务器进行同步。
――show ntp association[detail]: 这条执行模式命令显示与N T P有关的信息，如*询周期等。

 

Router(config)#ntp max-associations 30   //限制路由器可以接受的NTP Peers的数目

Router(config)#ntp access-group peer 88
Router(config)#ntp access-group serve-only 99

//只允许内部时钟从ACL88定义的服务器中获得同步，同时只有ACL99定义的两个网段的客户端可以从本设备请求时间信息

query-only：允许从列出的IP地址发出NTP控制查询。控制查询用在监视NTP进程的SNMP网络管理工作站。
serve-only：允许访问控制列表上的IP地址请求事件，路由器不向远程系统同步时间。
serve：允许时间请求和控制查询，路由器同样不向远程系统同步时间。
peer：允许时请求和控制查询，并且允许路由器从远程系统同步时间。

Router2(config)#ntp logging   //记录重要的NTP事件

Router2#show logging | include NTP

 

clock timezone PST -8

clock summer-time PST recuring 2 Sun Mar 2:00 1 Sun Nov 2:00   //夏令时的时间是从3月第二个周日的2：00AM到11月第一个周日的2：00AM( 使用太平洋时区)

 

 

R3* 

ntp authentication -key 1 md5 cisco 

ntp authenticate

ntp master 2   //指明自己是服务器

ntp soure-interface loopback 0 

 

R4* 

ntp authentication-key 1 md5 cisco 

ntp authenticate

ntp trust-key 1     //只有客户端要信任

ntp server Y.Y.3.3 key 1 source loopback 0   //请求NTP服务器在更新中携带密码

端口安全

interface range f0/11 -15

 switchport mode access

 switchport access vlan 44 

  switchportport -security mac-address sticky

 switchport port -security maximum 2 

 switchport port -security violation restrict

 switchport port �Csecurity

SSH 

username rackYY privilege 15 passwordcisco 

 

access-list 10 permit host Y.Y.2.2

 

line vty 0 x

 transport input ssh

 login local

 access-class 10 in

 

ip domain name ccie.cisco.com

 

crypto key generate rsa

STP

spanning -tree vlan 56 forward -time 6   //配置VLAN 56的ports from upto forward 的时间为6秒

spanning -tree uplinkfast

spanning -tree vlan 11,13,15,201,203,801root primary 

spanning -tree portfast bpduguard default

banner

banner motd @ 

Enter TEXT message. End with thecharacter  “@”

SWITCH IS UNDER CONFIGURATION

PLEASE CONTACT  HELP-DESK FOR ANY ASSISTANCT.

@

DRP（DirectorResponse Protocol）

用户在请求服务器数据的时候，可能无法定位与自己最近的服务器，那么这个时候可能需要在网络里放置导向器,导向器的功能就是将用户的请求信息重新定位（重定向）到与之最近的服务器。所以导向器要能够查讯网络里路由器上的BGP和IGP路由信息，这就需要路由器提供支持，如果路由器能够完全提供这种路由信息的支持，就必须配置成DRP Server Agent（DRP服务器代理）。

路由器要成为服务器代理，必须满足以下要求：

1.必须在拓朴上和导向器是邻近的且路由上是可达的。

2.应该具有全网的路由信息，IGP和BGP都不能少，须保证自己全网可达。

3.保证能够访问所有导向器。

1.打DRP agent.

r1(config)#ip drp server

2.写ACL允许哪些能访问

（1）定义ACL

r1(config)#access-list 10 permit10.1.1.1

（2）加上ACL:

r1(config)#ip drp access-group 10         //只允许10.1.1.1使用DRP 代理

3.使用认证以提供安全：

（1）定义Key Chain

r1(config)#key chain ccie

r1(config-keychain)#key 1

r1(config-keychain-key)#key-stringcisco

r1(config-keychain-key)#exit

r1(config-keychain)#exit

(2)使用认证

r1(config)#ip drp authenticationkey-chain ccie

4.查看结果：

r1#sh ip drp

 

 

 

WCCP

WCCP的工作原理为每当用户访问一个页面时，WCCP就将这些页面进行缓存保留，当用户下次请求网页数据时，路由器将用户的请求发到引擎，如果缓存中有相同网页的备份，则直接从缓存中发给用户，提高速度；但是如果没有，就自己重新请求远程网页，然后再发给用户。

1．开启WCCP：

（1）启用WCCP：

Router(config)# ip wccp web-cache

ip wccp web-cache group-address 224.1.1.100 passwordalaska1

（2）开启WCCP ver2

(共两个版本，默认为ver2)

router(config)#ip wccp version 2

（3）在接口上启用：

Router(config)# interface f0/0

Router(config-if)# ip wccpweb-cache redirect out

注：在f0/0接口的out方向启用，表明用户接在f0/0上，路由器只将从网站服务器发回的数

据从f0/0发给用户时，才会缓存。

（4）限制WCCP缓存哪些WEB服务器过来的数据包（可选配置）：

例：比如只接收服务器10.1.1.1（即ACL10过来的数据）发来的数据：

router(config)# access-list 10permit host 10.1.1.1

router(config)# ip wccp web-cachegroup-list 10 

//notify the router which IP addresses are validaddresses for a cache engine attempting to regi ster with the current router

（5）限制到哪些主机或哪些服务器的不被缓存（可选配置）：

例：从服务器发回到目标主机192.168.196.51的不缓存，其它全部缓存

Router(config)# access-list 100deny ip any host 192.168.196.51

Router(config)# access-list 100permit ip any any

Router(config)# ip wccp web-cache redirect-list100

 

SNMP

(config) # snmp-server community cisco

(config) # snmp-server host 150.1.YY.252cisco tty

(config) # snmp-server enable traps tty            // trap TCP

Router(config)#  snmp-server system-shutdown  // Enables system shutdown using the SNMPmessage  reload feature

Time Ranged ACL

(config) # time-range WorkTime

(config-time-range)# periodic weekdays 8:00to 18:00

 

(config) # ip access-list extended HTTP

(config-ex) # deny tcp Y.Y.56.0 0.0.0.255any eq www time -range WorkTime

(config-ex) # permit ip any any

 

(config)# interface G0/0/1

(config-p-map)# ip access-group HTTP  in

CAR

(config)# ip cef        * With CAR, CEF should be enabled  

 

(config)# access-list 100 permit icmp anyany echo

(config)# access-list 100 permit icmp anyany echo-reply 

 

(config)# interface s0/0/0

(config-if) # rate-limit input access-group 100 256000 8000 8000

conform-action transmit exceed-action drop

IP SLA

ip sla monitor 1       //新版命令没有monitor

 type tcpconnect dest -addr Y.Y.1.1 dest-port 23 source-ipaddrY.Y.254.4 

     frequency 3600

 

ip sla monitor schedule 1 start-time nowlife forever

 

R1* 

ip sla monitor responder

acl匹配IP优先级

access-list 100 permit ip any anyprecedence routine  //ip优先级0

Access Levels

enable secret level 5 cisco5 

 

privilege exec level 5 undebug all 

privilege exec level 5 ping

privilege exec level 5 write memory 

privilege exec level 5 configure terminal

privilege configure level 5 interface

privilege interface levle 5 ip address 

 

privilege exec level 1 show run

privilege exec level 1 write terminal

 

SYSLOG

logging on 

logging trap  critical 

logging host 150.2.Y.254

logging facility local6   // The SYSLOG daemon is expecting you to usethe LOCAL6 facility

Dynamic Access

username ccie pass cisco

username ccie autocommand access-enable host time2  //如果2分钟没有动作，就会中断会话,autocommand，就是执行完，立刻中断telnet

username joe autocommand show ip bgp summary   //telnet上去看到show ip bgp summary后断开

 

line vty 0 x

 login local

 

access-list 100 permit tcp Y.Y.13.00.0.0.255 host Y.Y.13.4 eq telnet

 

access-list 100 dynamic T timeout 10  permit tcp Y.Y.13.0 0.0.0.255 Y.Y.0.0

0.0.255.255 eq telnet     //如果telnet到这台设备成功自动生成此条ACL，绝对有效时间10分钟 ，但如果2分钟没有流量则条目消失

 

access-list 100 deny tcp Y.Y.13.0 0.0.0.255Y.Y.0.0 0.0.255.255 eq telnet

icmp

(config)# ip icmp rate-limit unreachable1000   //限制发送ICMP不可达消息的时间间隔

traffic-shape

(config)# access-list 100 permit tcp eq wwwany Y.Y.20.0 0.0.0.255  

 

(config)# interface F0/1        (22.2 /24) 

(config-if)# traffic-shapegroup 100 10000000   //限制最大流量10M

 

Control Plane Policy

对来自源Y.Y.2.2, Y.Y.5.5的telnet数据包没有控制, 要求其他telnet数据包police 60Kbps以内, 超过的就丢弃:

(config)# access-list 110 deny tcp hostY.Y.2.2 any eq telnet 

(config)# access-list 110 deny tcp hostY.Y.5.5 any eq telnet 

(config)# access-list 110 permit tcp anyany eq telnet

 

(config)# class -map match-all Telnet 

(config-cmap)# match access-group 110

 

(config)# policy-map PT

(config-pmap)# class Telnet

(config-cmap-class )# police 60000 confirm-action transmit exceed-action

drop

(config)# control-plance

(config-cp)# service-policy input PT

IRDP(ICMP Router DiscoveryProtocol)

R5*

interface G0/0

  ipirdp

  ipirdp precedence -2147483648 

 

R6*

interface G0/0

  ipirdp  

  ipirdp precedence 2147483647

 

SLB(Server Load Balancing)

可以看作HSRP（热备份路由器协议）的扩展，实现多个服务器之间的负载均衡。

客户端向虚拟服务器发起连接时，通过某种负载均衡算法，转发到某真实服务器。
　　负载均衡算法有两种：
Weightedround robin(WRR)和Weighted least connections(WLC),
WRR使用加权轮询算法分配连接，WLC通过一定的权值，将下一个连接分配给活动连接数少的服务器

配置分为两部分，
　　第一部分是使用slbserverfarm serverfarm_name命令定义SLB选项，包括指定真实服务器地址；
　　第二部分是使用ipslb vserver virtual_server-name来指定虚拟服务器地址。
router#configt
router(config)#ipslb serverfarm http(名称)
router(config-slb-sfarm)#real192.168.1.1
router(config-slb-sfarm)#inservice
router(config-slb-sfarm)#real192.168.1.2
router(config-slb-sfarm)#inservice
router(config-slb-sfarm)#exit
router(config)#ipslb vserver vserver1
router(config-slb-vserver)#vitual10.1.1.1 TCP(协议) 80 (端口)
router(config-slb-vserver)#serverfarmhttp(名称)
router(config-slb-vserver)#inservice

IOS防火墙（基于状态）

规则：

默认情况不同安全区域的不能互相访问，在安全区域中的主机也不能访问不在任何安全区域的主机，都不在任何安全区域中的主机之间可以互相访问

配置：

1.      分类：

class-map typeinspect telnet     //定义流量类别,注意比QOS多了type inspect

  match protocol telnet

  match access-group 100

  match class-map a

parameter-maptype inspect tcp-parameter   //定义参数类别

  tcp idle-time 30             //超时30s断开

2.      定义策略：

policy-may typeinspect in_to_out_policy

  class type inspect telnet

inspect tcp-parameter       //对class-map telnet类别的行为是inspect，除此之外还有pass和drop，同时应用parameter-maptcp-parameter，即TCP超时时间为30s

3.      定义区域：zonesecurity in

          zone security out

4.      把接口划入区域：

int f1/0

zone-membersecurity in

int f1/1

zone-membersecurity out

5.      定义区域对并应用策略：

zone-pairsecurity in_to_out  source in destinationout

   service-policy type inspect in_to_out_policy

6.      验证：

showpolicy-map/class-map type inspect

debug policy-maptype inspect

IP Traffic Export (Router上类似于SW上SPAN的技术）

限制：

1.接收数据的设备必须和router的导出流量的outbound口处于同一vlan或直连网段

2.导出流量的outbound接口必须是以太网口

优点：

1.能够使用ACL拷贝数据包

2.可以取样拷贝数据包（比如10个包取1个）

3.可以配置双向数据都导出（默认入数据导出）

简单配置：

(config)#ip traffic-export profile test

(config-rite)#bidirectional          //抓取入方向和出方向的包（没有这条命令默认入方向）

(config-rite)#incoming access-list income_acl  //抓取入方向感兴趣的流量

(config-rite)#outgoing access-list outgoing _acl   //抓取出方向感兴趣的流量

(config-rite)# incoming sample one-in-every 2   //取样，进入的流量每两个取一个

(config-rite)# incoming sample one-in-every 2   //取样，出方向的流量每两个取一个
(config-rite)#interface FastEthernet1/0     //配置流量导出的接口（不用IP，no shut即可）
(config-rite)#mac-address 0200.4c4f.4f50      //配置要导出到的接收设备的MAC地址

int f0/0                              //要抓取流量的地址

ip traffic-export apply test               //应用traffic-export，默认入方向

 

查看：

show ip traffice-export

 

FTPserver

配置：

ftp-server enable       //开启ftp服务器

ftp-server topdir 路径  //允许客户读取什么文件

TFTP server

tftp-server路径

HTTPS

hostname cisco

ip domain-name cisco.com

crypto key generate rsa

ip http secure-server    //开启https

ip http secure-port     //修改https端口号