0 0.0.0.0
set interface sl0 up
set arp agingtime 1200
set ip redirect enable
set ip unreachable enable
set ip fragmentation enable
set ip route 0.0.0.0 10.230.4.15 1
set ip alias default 0.0.0.0
!
#Command alias
!
#vtp
set vtp domain hne
set vtp mode server
set vtp v2 disable
set vtp pruning disable
set vtp pruneeligible 2-1000
clear vtp pruneeligible 1001-1005
set vlan 1 name default type ethernet mtu 1500 said 100001 state active
set vlan 777 name rgw type ethernet mtu 1500 said 100777 state active
set vlan 888 name qbw type ethernet mtu 1500 said 100888 state active
set vlan 1002 name fddi-default type fddi mtu 1500 said 101002 state active
set vlan 1004 name fddinet-default type fddinet mtu 1500 said 101004 state active bridge 0x0 stp ieee
set vlan 1005 name trnet-default type trbrf mtu 1500 said 101005 state active bridge 0x0 stp ibm
set vlan 1003 name token-ring-default type trcrf mtu 1500 said 101003 state active parent 0 ring 0x0 mode srb aremaxhop 7 stemaxhop 7
!
#set boot command
set boot config-register 0x102
set boot system flash bootflash:cat5000-sup3.4-3-1a.bin
!
#module 1 : 2-port 1000BaseLX Supervisor
set module name 1
set vlan 1 1/1-2
set port enable 1/1-2
!
#module 2 : empty
!
#module 3 : 24-port 10/100BaseTX Ethernet
set module name 3
set module enable 3
set vlan 1 3/1-22
set vlan 777 3/23
set vlan 888 3/24
set trunk 3/1 on isl 1-1005
#module 4 empty
!
#module 5 empty
!
#module 6 : 1-port Route Switch
set module name 6
set port level 6/1 normal
set port trap 6/1 disable
set port name 6/1
set cdp enable 6/1
set cdp interval 6/1 60
set trunk 6/1 on isl 1-1005
!
#module 7 : 24-port 10/100BaseTX Ethernet
set module name 7
set module enable 7
set vlan 1 7/1-22
set vlan 888 7/23-24
set trunk 7/1 on isl 1-1005
set trunk 7/2 on isl 1-1005
!
#module 8 empty
!
#module 9 empty
!
#module 10 : 12-port 100BaseFX MM Ethernet
set module name 10
set module enable 10
set vlan 1 10/1-12
set port channel 10/1-4 off
set port channel 10/5-8 off
set port channel 10/9-12 off
set port channel 10/1-2 on
set port channel 10/3-4 on
set port channel 10/5-6 on
set port channel 10/7-8 on
set port channel 10/9-10 on
set port channel 10/11-12 on
#module 11 empty
!
#module 12 empty
!
#module 13 empty
!
#switch port analyzer
!set span 1 1/1 both inpkts disable
set span disable
!
#cam
set cam agingtime 1-2,777,888,1003,1005 300
end
5500C> (enable)

WS-X5302路由模块设置：

Router#wri t
Building configuration...

Current configuration:
!
version 11.2
no service password-encryption
no service udp-small-servers
no service tcp-small-servers
!
hostname Router
!
enable secret 5 $1$w1kK$AJK69fGOD7BqKhKcSNBf6.
!
ip subnet-zero
!
interface Vlan1
ip address 10.230.2.56 255.255.255.0
!
interface Vlan777
ip address 10.230.3.56 255.255.255.0
!
interface Vlan888
ip address 10.230.4.56 255.255.255.0
!
no ip classless
!
line con 0
line aux 0
line vty 0 4
password router
login
!
end
Router#

3.1. 例二：

交换设备仍选用Catalyst5500交换机1台，安装WS-X5530-E3管理引擎，多块WS-X5225R在交换机内划有3个虚拟网，分别名为default、qbw、rgw，通过Cisco3640Cisco思科路由器实现虚拟网间路由。交换机设置与例一类似。
Cisco思科路由器Cisco3640，配有一块NM-1FE-TX模块，此模块带有一个快速以太网接口可以支持ISL。Cisco3640快速以太网接口与交换机上的某一支持ISL的端口实现连接，如交换机第3槽第1个接口（3/1口）。

Router#wri t
Building configuration...

Current configuration:
!
version 11.2
no service password-encryption
no service udp-small-servers
no service tcp-small-servers
!
hostname Router
!
enable secret 5 $1$w1kK$AJK69fGOD7BqKhKcSNBf6.
!
ip subnet-zero
!
interface FastEthernet1/0
!
interface FastEthernet1/0.1
encapsulation isl 1
ip address 10.230.2.56 255.255.255.0
!
interface FastEthernet1/0.2
encapsulation isl 777
ip address 10.230.3.56 255.255.255.0
!
interface FastEthernet1/0.3
encapsulation isl 888
ip address 10.230.4.56 255.255.255.0
!
no ip classless
!
line con 0
line aux 0
line vty 0 4
password router
login
!
end
Router#

安全性管理

对Cisco思科路由器的安全性管理主要包括：建立口令以保护访问Cisco思科路由器的安全，使用正确的访问表以管理通过Cisco思科路由器的可接受数据流等。

1、口令管理

下面显示了设置控制从终端进行访问的口令的命令。

命令 操作效果
Line console 0 为控制台终端建立一个口令
Line vty 0 4 telnet连接建立一个口令
Enable-password 为特权exec模式建立一个口令
Enable-secret 使用MD5加密方法建立密码口令
Service password-encryption 保护口令，避免其通过idsplay命令
将口令显示出来

2、报文过滤

cisco的防火墙功能主要是通过报文的过滤实现的。
它可以实现对多种数据流的控制，如限制流入、以及流出等。通过对访问列表的编写，我们可以实现对特定网络或主机的数据流限制。
Accsess-list 的编号有特定的范围：

<1-99> IP standard access list
<100-199> IP extended access list
<1100-1199> Extended 48-bit MAC address access list
<200-299> Protocol type-code access list
<700-799> 48-bit MAC address access list

例如我们可以定义如下的访问表来实现允许任何主机到主机160..10.2.101的报文：
Accsess-list 101 permit ip any host 160.10.2.101

而下面的语句允许使用客户源端口（小于1024的端口留给服务器用）方式的主机发往160.10.2.100的udp报文通过，且报文的目的端口必须为dns端口（53）。其中gt为great than。
Accsess-list 101 permit udp any gt 1023 host 160.10.2.100 eq 53

建立好访问列表以后，要想让它进行报文过滤，必须将它应用到端口上。在进入要控制的端口后，用如下的命令应用此访问表：
router(config-if)#ip access-group 101 in

其中的in表示对向里（针对此端口来说）的数据进行过滤。要注意的是，一个端口只能有一个向里和向外的列表，如果有几个，则只有第一个起作用。

参考：

CiscoCisco思科路由器口令恢复
当CiscoCisco思科路由器的口令被错误修改或忘记时，可以按如下步骤进行操作：
1.开机时按使进入ＲOM监控状态
2.按o 命令读取配置寄存器的原始值
> o
3.作如下设置，使忽略NVRAM引导
>o/r0x**4*Cisco2500系列命令
rommon 1 >confreg 0x**4*Cisco2600、1600系列命令
一般正常值为0x2102
4.重新启动Cisco思科路由器
>I
rommon 2 >reset
5.在“Setup”模式，对所有问题回答No
6.进入特权模式
Router>enable
7.下载NVRAM
Router>configure memory
8.恢复原始配置寄存器值并激活所有端口
“hostname”#configure terminal
“hostname”(config)#config-register 0x“value”
“hostname”(config)#interface xx
“hostname”(config)#no shutdown
9.查询并记录丢失的口令
“hostname”#show configuration (show startup-config)
10.修改口令
“hostname”#configure terminal
“hostname”(config)line console 0
“hostname”(config-line)#login
“hostname”(config-line)#password xxxxxxxxx
“hostname”(config-line)#
“hostname”(config-line)#write memory(copy running-config startup-config)

２、IP地址分配

地址类网络主机网络地址范围标准二进制掩码
ＡN.H.H.H1-1261111 1111 0000 0000 0000 0000 0000 0000
ＢN.N.H.H128-1911111 1111 1111 1111 0000 0000 0000 0000
ＣN.N.N.H192-2231111 1111 1111 1111 1111 1111 0000 0000

子网位个数子网掩码子网数主机数

B类地址
2 255.255.192.0216382
3 255.255.224.068198
4 255.255.240.0144894
5 255.255.248.0302846
6 255.255.252.0621822
7 255.255.254.0126518
8 255.255.255.0254254
9 255.255.255.128518126
10 255.255.255.192182262
11 255.255.255.224284630
12 255.255.255.240489414
13 255.255.255.24881986
14 255.255.255.252163822
C类地址
2 255.255.255.192262
3 255.255.255.224630
4 255.255.255.2401414
5 255.255.255.248306
6 255.255.255.252622

Cisco思科路由器

最简单的网络可以想象成单线的总线，各个计算机可以通过向总线发送分组以互相通信。但随着网络中的计算机数目增长，这就很不可行了，会产生许多问题：

1、带宽资源耗尽。
2、每台计算机都浪费许多时间处理无关的广播数据。
3、网络变得无法管理，任何错误都可能导致整个网络瘫痪。
4、每台计算机都可以监听到其他计算机的通信。

把网络分段可以解决这些问题，但同时你必须提供一种机制使不同网段的计算机可以互相通信，这通常涉及到在一些ISO网络协议层选择性地在网段间传送数据，我们来看一下网络协议层和Cisco思科路由器的位置。

　
我们可以看到，Cisco思科路由器位于网络层。本文假定网络层协议为IPv4，因为这是最流行的协议，其中涉及的概念与其他网络层协议是类似的。

一、路由与桥接

路由相对于2层的桥接/交换是高层的概念，不涉及网络的物理细节。在可路由的网络中，每台主机都有同样的网络层地址格式（如IP地址），而无论它是运行在以太网、令牌环、FDDI还是广域网。网络层地址通常由两部分构成：网络地址和主机地址。

网桥只能连接数据链路层相同（或类似）的网络，Cisco思科路由器则不同，它可以连接任意两种网络，只要主机使用的是相同的网络层协议。

二、连接网络层与数据链路层
　

网络层下面是数据链路层，为了它们可以互通，需要“粘合”协议。ARP（地址解析协议）用于把网络层(3层)地址映射到数据链路层(2层)地址，RARP(反向地址解析协议)则反之。

虽然ARP的定义与网络层协议无关，但它通常用于解析IP地址；最常见的数据链路层是以太网。因此下面的ARP和RARP的例子基于IP和以太网，但要注意这些概念对其他协议也是一样的。

1、地址解析协议

网络层地址是由网络管理员定义的抽象映射，它不去关心下层是哪种数据链路层协议。然而，网络接口只能根据2层地址来互相通信，2层地址通过ARP从3层地址得到。

并不是发送每个数据包都需要进行ARP请求，回应被缓存在本地的ARP表中，这样就减少了网络中的ARP包。ARP的维护比较容易，是一个比较简单的协议。

2、简介

如果接口A想给接口B发送数据，并且A只知道B的IP地址，它必须首先查找B的物理地址，它发送一个含有B的IP地址的ARP广播请求B的物理地址，接口B

[1] [2] [3] [4] [5]