[06-23] 路由器初学者完全教程
本文以Cisco2620为例，讲述了路由器的初始化配置以及远程接入的配置方法，探讨了如何使用内部网络的DHCP服务功能为远程拨入的用户分配地址信息以及路由器常见故障的排除技巧。
6 B& @) ~8 E* H' s' O; @: c6 C! u* e/ ^
（本文假定Cisco2620路由器为提供远程接入访问，已经配置了同步串行模块和异步串行16AM模块。）
" Z" s7 w2 g' P7 B8 f
) `: q( q- ]8 w* S. LCisco2620路由器的基本配置 / I: s% I9 \ Y5 i
# J6 O0 G! [9 ^7 M: ~, [5 ?" G1 ~, F 1. 初始安装
8 U1 R7 c. T' `% Y2 I. r0 J
: w9 U, k' L) Q% h3 l 第一次安装时系统会自动进入Dialog Setup，依屏幕提示，分别回答路由器名称、加密超级登录密码、超级登录密码、远程登录密码、动态路由协议以及各个接口的配置后，保存配置。在出现路由器名称后，打入enable命令，键入超级登录密码，出现路由器名称（这里假设路由器名称为Cisco2620），待出现Cisco2620#提示符后，表示已经进入特权模式，此时就可以进行路由器的配置了。 3 o; P/ W* b k) _# I7 M
?% E4 W3 N% A8 j+ a8 O; ~ 2. 配置路由器
4 h2 P& V6 z! H" V3 o ~9 r% @( S; ~% _0 U/ A( h) O; @
键入config terminal，出现提示符Cisco2620(config)#，进入配置模式。
3 g; S/ V/ ~! J% Z& y4 T2 j4 f7 F2 B( t c
(1) 设置密码
7 I) q$ s( E& R5 U# {7 B# H: U
Cisco2620(config)#enable secret 123123：设置特权模式密码为123123 % j; C5 j4 Y1 N3 V1 t% K
9 R r9 F4 J7 E, a+ ]
Cisco2620(config)#line console 0: 进入Console口配置模式
8 L' o2 h# V5 v- |8 Q! p+ ^ s- B. H# J: L! V
Cisco2620(config-line)#password 123123：设置Console口密码为123123
2 U0 b8 i7 B2 c& _! A9 x; x) r9 `! @" ?) W
Cisco2620(config-line)#login：使console口配置生效
% n$ G0 w& |1 f% |! m7 \# J! `( h* a# Q
Cisco2620(config-line)#line vty 0 5：切换至远程登录口 " B- e4 c2 y. y; j2 ^- @ W
0 R0 m& X" v2 k* f* {
Cisco2620(config-line)#password 123123：设置远程登录密码为123123 & R0 \& f E. {7 D, Q
, ]0 N0 q5 j% r. K$ p' E) @ Cisco2620(config-line)#login：使配置生效 . `. y T" Z7 B
, k: B! \1 B4 O" D; U
(2) 设置快速以太网口 ( G- v$ h9 @3 G. @
( W& L [6 x9 y/ e2 _5 p( b Cisco2620(config)#interface fastFastethernet 0/0：进入端口配置模式 8 v8 k& P% R1 r) u3 U/ x `- B
2 p2 y, S+ D# f& C
Cisco2620(config-if)#ip address 192.168.1.6 255.255.255.0：设置IP地址及掩码
: K3 t# Q. A F$ u: }6 M
* Y0 y) p% x; o$ A9 @4 C" l/ @0 V- T Cisco2620(config-if)#no shutdown: 开启端口
: B, u+ k- S( I/ ?0 Q, ?; P, R
3 z, n3 J ]+ r Cisco2620(config-if)#exit：从端口配置模式中退出
9 [, C/ E9 i- T1 v% y1 U4 ]/ T, W& w# o* o+ p5 l! ^
(3) 设置同步串口
K# x/ E; |2 `( Z6 R
k1 L8 K& P5 \, @. ]# V Cisco2620(config)#interface serial 0/0：进入同步串口设置 " `$ H D0 Y4 l6 x+ s1 m' Q2 p
' O8 |' b$ i! h( A+ N/ _$ H Cisco2620(config-if)#ip unnumbered fastFastethernet 0/0：同步串口使用与快速以太网口相同的IP地址 + U. n& \3 M r0 S
+ C2 w' y' i3 _
Cisco2620(config-if)#encapsulation ppp: 把数据链路层协议设为PPP . k: U% [7 A2 c5 G$ D7 q
/ r7 ^) R$ T9 P7 y8 m4 n- x! s
(4) 设置16口Modem拨号模块，使用内部DHCP服务为拨入用户分配地址 , F; h# a2 K- A2 `. g Q( n
5 a* p( p' ]8 n: @, Y Cisco2620(config)#interface Group-Async1
3 l+ Y8 L2 @3 q
; q& }) ` ^" i; M Cisco2620(config-if)# ip unnumbered FastEthernet0/0
& x% h" ?, l( T m2 }! B% N4 I' J1 w" H3 i4 ?
Cisco2620(config-if)# encapsulation ppp 9 d$ ^, Z5 j& ~+ n4 F7 r' u* u0 L
( c' R7 L% W! z% q
Cisco2620(config-if)# ip tcp header-compression passive：启用被动IP包头压缩 ; v7 Y W2 }: Q% R- s# W
) Z* y+ \" B. g& L4 S2 |; i Cisco2620(config-if)# async mode dedicated:只在异步模式下工作
. v: u( }* h5 [+ H4 ]
E7 b$ X& u2 a3 X% L1 K3 `8 k Cisco2620(config-if)# peer default ip address dhcp：将IP地址请求转发至DHCP服务器
' N& c( {: c8 l
f( l: Y. U# z# x+ s q Cisco2620(config-if)# ppp authentication chap：将认证设为CHAP
# H d0 ^% O$ T( c# ]* k X5 P% Y5 H, m. h6 {) ?8 ~/ V+ D3 N
Cisco2620(config-if)# group-range 33 48：拨号组包括16个口 0 F3 {( `5 J3 X
& i% A+ j" v. k( ?+ i Cisco的16AM模块提供了高密度的模拟电路接入方式，不在办公大楼的员工可以用Modem拨号联入局域网、登录服务器，实现远程办公。 % `; B. `$ v. y+ y4 A) O* [
7 Y! A6 m- \1 P& ?: M/ N peer default ip address dhcp命令可以使拨入的工作站通过局域网内的DHCP服务器动态地获得IP地址，节约了IP地址资源，同时还接收了在DHCP服务器上配置的参数，比如DNS服务器的IP地址，并配合全局模式下配置的指向防火墙的静态路由，使工作站同时也可以通过防火墙访问Internet。
1 X+ G% M. O- \+ M4 ~1 jCisco2620(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.4：设置到防火墙的静态路由 , i% b/ E* ^; ]8 I, `
7 a6 l/ L1 v R (5) 对16AM模块物理特性的设置 1 T5 i0 Z1 E7 e8 k. ]
* ~6 e* B; A8 Y& p* X2 ^: S
Cisco2620(config)#line 33 48: 进入Modem 口线模式 / b2 Y/ O4 ]1 ]1 G4 i- n; v
* ~+ i9 x4 M& ~. }0 F; I Cisco2620(config-line)# session-timeout 30:超时设为30分钟
& e& `& m8 ]0 o/ m; u/ c5 `* F) v3 ~6 L
Cisco2620(config-line)# autoselect during-login：自动登录 4 O6 h: i) g% O( s. G/ h, b& d& u
3 N, m* i5 l, o* N; v6 p( R! u* W Cisco2620(config-line)# autoselect ppp：自动选择PPP协议 $ P: Y" d4 X( c4 {' W. L1 D. A
& G! ^- G; E4 d4 F, C Cisco2620(config-line)# login local：允许本地口令检查 # E% p1 P3 K' Y7 ]9 w4 Q
/ {6 y. B* n# P- H0 R
Cisco2620(config-line)# modem InOut：允许拨入拨出 - }# O$ E0 i- d. q, L
- C% Y9 a/ R% I% g! }3 m2 O
Cisco2620(config-line)# transport input all:指定传输协议
6 Q0 r5 Z1 q- F! D3 ?$ @4 Z- E7 `# e/ E) a8 N
Cisco2620(config-line)# stopbits 1：设置一位停止位
+ r! k$ W/ u- t0 {4 ^ Q/ M- n; f2 x% W
Cisco2620(config-line)# flowcontrol hardware：设置硬件流控制 ' O/ k# k- u5 q3 C# ^
U- y, }+ q: P5 Q/ U& ?3 ?2 S- k( Z' J
(6) 添加拨号用户的用户名和密码 4 `0 q# [/ U' u0 n
& q' P, Y: m) ^5 N; r& o Cisco2620(config)#username shixuegang password abc123：增加用户名shixuegang，口令为abc123
' n' t F8 f# r3 n' l+ L" W6 Q5 T( K$ o3 M, S
(7) 启用rip路由
: X) ]. y6 C& Z$ f! ?( \- L' \8 I& y8 K
Cisco2620(config)#router rip：启用rip路由
5 ~6 K9 [$ U2 I' s1 C& b9 T" }8 r( l& n6 D+ [# ~
Cisco2620(config-rout)#version 2：第二版本
. C. `& y3 @$ ?+ R B$ f0 [7 T [' @
Cisco2620(config-rout)#network xxx.xxx.xxx.xxx：指定要转发数据包的网络号 ) b- V- z0 h# q( K8 T
1 D1 {2 C `- E6 O Cisco2620路由器故障判断和故障排除 3 Y" L- m/ H. a: H) k! z+ J* a
, g+ _+ V' E/ W1 s* a% `5 }1. 判断以太端口故障
' ]8 E2 k& b8 {; U1 w- v0 {/ c6 [6 \
对于以太端口故障的诊断，可以用show interface fastFastethernet 0/0(对于以太端口0的诊断)命令，它用来检查一条链路的状态，可能出现的结果如下：
8 J! }8 B) J" N$ Y
6 [5 ]- }7 b H* b7 `) Z 如果以太网端口工作正常，则出现如下显示：Fastethernet 0/0 is up, line protocol is up；
; a* a9 s9 `/ R5 x
' {0 n2 `3 P2 Y8 I 如果存在连接故障，比如路由器未接到LAN上，则出现：Fastethernet 0/0 is up, line protocol is down；
% \$ A v( A+ W' K0 q, @7 V: i; v9 y* B
如果接口出现故障，则出现：Fastethernet 0/0 is down, line protocol is down (disable) ；
' _! ]1 R b- L. z0 i* }* r# f: H
接口被人为地关闭，则出现：Fastethernet 0/0 is administratively down, line protocol is down; . t8 S7 f0 E+ I2 `7 W. B
p4 |( x. @2 `6 q7 X5 p
此外，当怀疑端口有物理性故障时，可用show version命令，该命令将显示出物理性正常的端口，而出现物理性故障的端口将不被显示出来。
2 k( \7 @- e' e3 C4 c; q6 h! \+ P0 s1 |+ Z6 R/ \& J3 q+ d5 Y
2. 判断同步串行端口故障 ; Z F1 {. F8 M" g" r+ u5 a
# n9 V+ @/ _1 t' d& U' {* a
我们可以用show interface serial 0/0命令检查一条链路的状态，如出现Serial 0/0 is up, line protocol is up字样，则表示工作正常；如出现serial 0/0 is up, line protocol is down字样，则表示端口无物理故障，但上层协议未通（IP、IPX、X25等，此时应查看路由器的配置命令，检查地址是否匹配）；如出现Serial 0/0 is down, line protocol is down (disable) 字样，则表示端口出现物理性故障，此时应更换端口；如出现Serial 0/0 is down, line protocol is down字样，则表示DCE设备（Modem/DTU）未送来载波/时钟信号；如出现Serial 0/0 is administratively down, line protocol is down字样，则表示接口被人为地关闭，可在配置状态中interface_mode下去掉shutdown命令。 % ~ P6 f& Y k6 W' M6 s1 K
, O9 q* }& h: H* h. ^. ]
3. 判断模拟线路故障 ) s9 b& Z) p6 R6 T' s2 h
4 N! l* D- P, O. }6 @ 可以先用电话直接拨打路由器中继线号码，听见啸叫声则说明线路正常，反之则应先查看电话线路。排除线路故障后如依然无法正常工作，就应查看路由器关于16AM模块的配置命令，确定配置命令无误后，可采取如下方法：
% z# w- M( p' k9 F5 ~4 Y4 Z: J; _
将模块重新良好接地；
- o' \% i t2 Q& \& J
% t; A1 `- Q Q5 | 升级路由器IOS版本； ) Z' s# M/ K- a7 u# q
, X8 h! N+ u0 k( s3 x0 \ 更换16AM模块。
9 \8 c& T6 D6 u8 Z; b
/ C9 G |. F( T/ g; I* K! y Cisco2620路由器的密码恢复和灾难性恢复 3 Y' B% A4 Q, ?) z) E; Q) k5 g( H. J
- |! Z1 e5 Y6 T; H3 P: ~; Y$ I M 在使用路由器的过程中，经常会出现忘记密码的情况。同时，在*作过程中有时会因为一些不可预料的原因，使路由器内部的版本映像文件受到损坏，使路由器无法正常工作，导致路由器退回到监控状态，而使用常用的版本拷贝命令无法更新版本。这两个问题都是在日常维护中较为常见的问题。 1 d' L# S' X1 B; l' O: z
' Z6 P% S1 |+ o7 {/ B' \8 S+ D. k
1. 密码恢复
0 P8 |% q5 P: Q
& i5 i) R; y" U% _0 [ (1) 将路由器的Console口和计算机串口相连，启动计算机超级终端，开启路由器电源，在开机60秒内按ctrl+break 使路由器进入rom monitor 状态，并出现如下提示符：
+ }% t+ H1 L3 l" y/ g" A
2 D% U. u9 q, R6 X rommon1>
( q2 Z: @+ E) h
5 g A$ d8 p+ Y (2) 重新配置组态寄存器。 / M: z. c) j/ o
, E. e' I' G8 c
rommon1>confreg # m% c! H8 j& v
7 c* U: a. E" _/ _# X* f 当出现do you wish to change the configuration (y/n) 时选择y，当出现enable ignore system configuration information(y/n) 时选择y。 , T) ^2 c, D3 G8 X0 e
( {0 X+ Y9 l# d (3) 重新启动路由器。 2 |1 T4 c9 H2 {+ O6 b
/ R: ~7 f- Z7 i( s7 F" p3 I
rommon1>reset
* J! J9 `6 \3 v$ t" w(4) 启动后进入特权模式，执行如下命令使原来的配置信息有效。 ; _) c: P0 Q; O5 W
0 o5 b& H* C+ [2 x8 M" @$ A o router(config)#config mem
4 b+ U# e: V3 X# \
% U5 r. O" w: I; R- b1 e* l (5) 可以进一步查看密码或更改密码。 ! z8 s+ X7 Y X/ f
% R; ]. D, a9 F
2. 版本的灾难性恢复
2 e, D3 V4 l; l/ @+ z3 T; `+ I3 E( @* u9 \2 U7 h/ }; t9 u
Cisco2620提供了两种灾难性恢复版本的方法:tftpdnld和xmodem方式。 : Z% `+ h( {( Z2 j
$ \3 D3 y# } i7 k1 ]' q (1) tftpdnld方式 * R3 Z0 o5 o! O* N& l! @9 g' q
/ h, d1 y4 L, `8 \2 u
将计算机串口和路由器Console口相连，计算机网口与路由器以太口（一定要与第一个以太口）相连。 & Z. Q( Q5 M( A% |5 t
" s# N' K8 g/ @) T/ p 启动TFTP服务器，将要下载的版本放于指定目录下面。
: e0 N6 w6 a: z, K# G- Z* F
6 K3 H. Z+ T# Q) h! x0 r 开启路由器电源，由于没有有效版本，路由器启动后将直接进入监控模式。 ( C( ^, }# x6 t5 M% V% }) h
, Z2 D5 P8 @0 v5 Q
Rommon1>
) b+ H/ z: C* c1 Y' j7 U+ S" \2 E
, |/ s4 X9 L) G: b1 ^, M6 i% ^% d 按如下命令设置参数。
w2 X2 S% _& W+ y9 \" [" n7 g6 q% J! w D1 f8 t
Rommon2>IP_ADDRESS=192.168.1.6: 将192.168.1.6地址配置到路由器的第一个以太端口
$ Q8 }; j- Q0 n" f5 Z. z' ^# H) W. N
Rommon3>IP_SUBNET_MASK=255.255.255.0：设置掩码 + O; l! `# X5 X5 m
* m7 w/ h" [2 a3 V' c Rommon4>DEFAULT_GATEWAY=192.168.1.7：指定TFTP服务器地址
: k4 k+ Y, `7 x1 d, M! d* T s2 z% v a
Rommon5>TFTP_FILE=c2600-i-mz.121-3.T：指定IOS文件名
& P+ f9 L3 C5 r: M7 T9 X: T- S& n
Rommon6>tftpdnld：下载IOS文件
1 C4 o$ |8 w0 U6 |; {7 l) q1 g, ^: o2 a% c* j: I! N
组态配置寄存器
1 H: |+ k; a" e- _1 o
4 s/ P+ X( {8 }% S8 l4 @ Rommon7>confreg
* W" d9 ?! w' n) L1 s5 ]# A# Y" j( i7 \
当出现do you wish to change the configuration y/n时选择y，当出现 change the boot charaterist y/n时选择y，选择参数2。其他的选项选n。
; U7 k2 n/ G5 q0 @# B7 W8 |, u. r. m0 _
启动版本 & k: E3 E9 C- ]& }* M8 R; c
" D8 I! E8 n- k Rommon8> reset
8 D$ H! F' d2 T$ L: X l: @8 E! H' A2 T+ [1 Q7 V" z# i/ j
(2) xmodem 方式下载
' @3 E X+ \& `4 x, d0 q; k& W, F0 \, N
; m# Z u. O! ~% s 该种方式下载不需要以太口电缆，只需超级终端即可。缺点是花费时间太多、速度太慢。xmodem是个人计算机通信中广泛使用的异步文件传输协议，以128字节块的形式传输数据，并且对每个块都进行校验，如果接受方校验正确，则发送认可信息，发送方发送下一个字块。 H H% w5 W6 I5 n
7 h3 ^9 T& V6 ^( Y; A 其具体步骤如下： ( g# f1 n4 d0 i6 h
" `/ w: I. W4 W! y$ A 用超级终端与路由器连接后，启动路由器，路由器进入监控模式状态。
, z' A/ v6 f1 E$ A2 s5 g5 n' T) n- e/ e2 V8 d$ q! u& r% _1 O5 |
Rommon1>
. i. _- l0 S! X5 i# h( `; z2 u
( J+ @/ h3 P4 ? C q) I* i 启动xmodem 命令 . o. ]3 ]) \1 ~6 n
) l$ N, _& b) ^* ?; y Rommon2>xmodem -cx?:敲入Enter键 ; ?$ Z1 t) n& T+ e
, g# |& `+ o) x: h; J
当出现do you wish to continue时选择y . D. z3 z7 t5 W) j( T
2 q; P- ^( C% m1 @1 U2 g9 @
打开超级终端的“传送”菜单，选择传送文件，打开传送文件窗口。输入版本文件的位置，并选择xmodem 方式。 + ~7 h) R9 D/ Y9 }2 N
- x# @+ r5 R! k- v: y& l
修改相应命令和选项，也可以以ymodem的方式进行传送。
& U- R. s, L3 y2 ]: D! Y
$ `) H$ S$ J% G; v" {: z# X. F 以上述同样的方法配置confreg命令，重新启动后路由器会进入正常状态。 ; w: W5 S# g( i; E
( X U# h9 x( H: f 两种进入Cisco2620路由器 ROM 状态的方法 ' p4 l3 ]% E+ z4 z2 k
$ ?8 v7 u2 l6 {' C 1. 如果break 未被屏蔽，可以在开机60秒内按ctrl+break 键中断启动过程，进入rom状态。
/ R8 q$ Y! m2 e9 H$ ~ O( T, z8 [& A& B+ T1 g) R0 y
2. 将超级终端通信波特率设置为1200、数据位为8、奇偶位为1、停止位无。开启路由器电源，启动后关机。停5秒后，重新开机，同时一直按住空格键12秒后放开，等路由器启动完成后，重新更改超级终端位默认值。通信波特率设置为9600、数据位为8、奇偶位为1、停止位无 。重新连接后，从终端上可以看到已经进入rom 状态。注意在波特率为1200时终端上没有内容显示。
" K# Y+ P) X) h1 K8 i$ k/ l6 P
% b0 e* j/ a/ N7 p' d% Z$ Y1 Y 除了上述功能外，Cisco路由器还可通过IOS软件的升级, 在不改动硬件的条件下实现更多、更强大的功能，在满足客户不断增长的需求的同时保护了硬件投资。但这样做也同样增加了配置及管理的难度，同时对网络管理员也提出了更高的要求。因此如何让网络设备高效、可靠地工作，尽量减小维护的工作量，有待于我们在实践中进一步探索。
0 Q" F+ C Q/ J( g# n3 a7 \7 [" n f& \
格尔信息安全论坛 7 Z g. u, V/ e: `0 |* E7 ~
9 y4 x' B6 w9 d$ l, l* i2 J' J! \ 为信息安全的建设建立安全风险评估机制
5 ^3 V2 @' T! C/ a$ s& N/ G5 ?( K5 P3 n. K8 J6 o" B- Z3 S
伴随着我国加入WTO以及全球信息化的发展，计算机信息系统的安全建设越来越受重视，同时我国的政府与企业也已经深刻地认识到了信息安全风险评估的重要性，并努力通过实践来建立、健全和完善计算机信息系统的安全风险评估机制。 0 j1 ?# M' K a9 c0 E) }
$ `+ z! d l5 `6 k4 Q9 b 安全风险评估是信息系统安全防范体系的建设依据，风险评估的目的在于指出信息系统的风险所在、防范风险的代价、风险可能造成的损失，并最终依据后两者的比较制定信息安全保障体系。需要密切关注的是，防范风险的代价和风险可能造成的损失是不断变化的，信息安全保障体系的完善是建立在阶段建设目标的不断修正和补充基础之上的。 - q1 [' a$ |7 c
9 x# u+ \8 f4 a6 E- M1 ^& M
在信息安全风险评估的需求方面，金融企业尤为急迫。金融企业一直以来都是信息技术发展的领路人，但是其信息安全的建设远远滞后于信息系统自身的建设。在金融企业逐渐认识到信息安全保障体系建设的必要性的同时，也意识到单凭直观感觉而制定的信息安全建设目标缺乏科学依据，不能对长期的信息安全建设提供指导作用。金融企业将再一次承担起领路人的角色，当然这是由其自身信息系统具备的基础决定的。
* m2 _' H: d. X8 g' {" t: i) d' a' U# O7 G5 H
安全风险评估分如下几个过程： ; K6 W" L. K# x2 C" ]# x! N( @4 g; k
: g3 y$ x. B/ G) B, x
1. 评估阶段。信息系统将接受各种评估工具的检测和调查，被评估的对象包括网络架构、应用系统、运行与安全管理、人员、安全策略等，评估的结果将反映信息系统在各个方面的威胁和脆弱性。
% E+ y3 U' n' M, F7 n
; `9 v, B, O- A2 }9 v z+ j4 }# m9 m 2. 评估信息智能化处理阶段。需要对不同的评估工具所得出的原始评估数据进行深入挖掘，一方面，这些数据复杂、多样，而且会不断增加，因此需要按照统一的标准进行管理; 另一方面，这些数据内在的联系需要通过数据挖掘进行归纳分析和综合分析。
- V. T) W& H4 W5 l' L1 m* B( n" _& a* [+ P0 m/ W
3. 解决方案与后续建设目标阶段。根据评估信息分析的结果，制定相应的建设目标与方案，其核心是把风险的价值与保护风险的价值进行比较。
