dns配置实验报告

dns配置实验报告（共6篇）

dns配置实验报告篇1

Win server 2003下管理配置DNS服务器

一．环境

运行环境：Microsoft Virtual PC 操作系统：TomatoWin2003_ENTv1.0 二．实验目的

1.掌握DNS服务器的概念

DNS是域名服务器(Domain Name Server)的缩写，在TCP/IP网络中是一种很重要的网络服务，它用于将易于记忆的域名和不易记忆的IP地址进行转化。

2.掌握DNS服务器工作原理及功能

DNS通过在网络中创建不同的区域（一个区域代表该网络中要命名的资源的管理集合），并采用一个分布式数据系统进行主机名和地址的查询。当在客服机的浏览器中键入要访问的主机名时就会触发一个IP地址的查询请求，请求会自动发送到默认的DNS服务器，DNS服务器就会从数据库中查询该主机所对应的IP地址，并将找到IP地址作为查询结果返回。浏览器得到IP地址后，就根据IP地址在Internet中定位所要访问的资源。

3.掌握DNS的组成及查询

①域名空间

②域名服务器 ③解析器

4.DNS服务器的类型

1、主域名服务器（master server）

2、辅助域名服务器（slave server）

3、缓存域名服务器（caching only server）

三．实验内容及步骤

要想成功部署DNS服务，运行Windows Serve 2003的计算机中必须拥有一个静态IP地址，只有这样才能让DNS客户端定位DNS服务器。另外如果希望该DNS服务器能够解析Internet上的域名，还需保证该DNS服务器能正常连接至Internet。

（一）安装DNS服务器

默认情况下Windows Server 2003系统中没有安装DNS服务器，第一件工作就是安装DNS服务器。

第1步，依次单击“开始/管理工具/配置您的服务器向导”，在打开的向导页中依次单击

下一步”按钮。配置向导自动检测所有网络连接的设置情况，若没有发现问题则进入“服务器角色”向导页。

第2步，在“服务器角色”列表中单击“DNS服务器”选项，并单击“下一步”按钮。打开“选择总结”向导页，如果列表中出现“安装DNS服务器”和“运行配置 DNS 服务器向导来配置DNS”，则直接单击“下一步”按钮。否则单击“上一步”按钮重新配置(如图1)。

图1 选择“DNS服务器”角色

第3步，向导开始安装DNS服务器，并且可能会提示插入Windows Server 2003的安装光盘或指定安装源文件(如图2)。

如果该服务器当前配置为自动获取IP地址，则“Windows 组件向导”的“正在配置组件”页面就会出现，提示用户使用静态IP地址配置DNS服务器。

（二）.创建区域

DNS服务器安装完成以后会自动打开“配置DNS服务器向导”对话框。用户可以在该向导的指引下创建区域。

第1步，在“配置DNS服务器向导”的欢迎页面中单击“下一步”按钮，打开“选择配置操作”向导页。在默认情况下适合小型网络使用的“创建正向查找区域”单选框处于选中状态，保持默认选项并单击“下一步”按钮(如图3)。

图3 选择配置操作

第2步，打开“主服务器位置”向导页，如果所部署的DNS服务器是网络中的第一台DNS服务器，则应该保持“这台服务器维护该区域”单选框的选中状态，将该DNS服务器作为主DNS服务器使用，并单击“下一步”按钮(如图4)。

图4 确定主服务器的位置

第3步，打开“区域名称”向导页，在“区域名称”编辑框中键入一个能反映公司信息的区域名称(如“yesky.com”)，单击“下一步”按钮(如图5)。

图5 填写区域名称

第4步，在打开的“区域文件”向导页中已经根据区域名称默认填入了一个文件名。该文件是一个ASCII文本文件，里面保存着该区域的信息，默认情况下保存在“windowssystem32dns”文件夹中。保持默认值不变，单击“下一步”按钮(如图6)。

图6 创建区域文件

第5步，在打开的“动态更新”向导页中指定该DNS区域能够接受的注册信息更新类型。允许动态更新可以让系统自动地在DNS中注册有关信息，在实际应用中比较有用，因此点选“允许非安全和安全动态更新”单选框，单击“下一步”按钮(如图7)。

图7 选择允许动态更新

第6步，打开“转发器”向导页，保持“是，应当将查询转送到有下列IP地址的DNS服务器上”单选框的选中状态。在IP地址编辑框中键入ISP(或上级DNS服务器)提供的DNS服务器IP地址，单击“下一步”按钮(如图8)。

图8 配置DNS转发

通过配置“转发器”可以使内部用户在访问Internet上的站点时使用当地的ISP提供的DNS服务器进行域名解析。

第7步，依次单击“完成/完成”按钮结束“yesky.com”区域的创建过程和DNS服务器的安装配置过程。

（三）创建域名

利用向导成功创建了“yesky.com”区域，可是内部用户还不能使用这个名称来访问内部站点，因为它还不是一个合格的域名。接着还需要在其基础上创建指向不同主机的域名才能提供域名解析服务。创建一个用以访问Web站点的域名“”，具体操作步骤如下:

第1步，依次单击“开始”→“管理工具”→“DNS”菜单命令，打开“dnsmagt”控制台窗口。

第2步，在左窗格中依次展开“ServerName”→“正向查找区域”目录。然后用鼠标右键单击“yesky.com”区域，执行快捷菜单中的“新建主机”命令(如图9)。

图9 执行“新建主机”命令

第3步，打开“新建主机”对话框，在“名称”编辑框中键入一个能代表该主机所提供服务的名称(本例键入“”这样的域名访问网站。这是因为虽然已经有了DNS服务器，但客户机并不知道DNS服务器在哪里，因此不能识别用户输入的域名。用户必须手动设置DNS服务器的IP地址才行。在客户机“Internet协议(TCP/IP)属性”对话框中的“首选DMS服务器”编辑框中设置刚刚部署的DNS服务器的IP地址(本例为“192.168.0.1”，如图11)。

图11 设置客户端DNS服务器地址

然后再次使用域名访问网站，你会发现已经可以正常访问了。

四.实验结果

验证实验是否成功：（1）虚拟机中的DNS的IP：192.168.2.2（2）物理机本地IP:192.168.2.5 区域名称为：正向检查:在命令提示符中ping

得到的结果如下图：

反向检查：在物理机的命令提示符中输入nslookup 192.168.2.2 得到的结果如下图所示：

所以DNS服务器配置成功。

五.报告总结

dns配置实验报告篇2

在Linux下实现动态DNS不仅需要Bind 8以上的DNS软件，还要有DHCP Server v3.0以上版本，因为只有3.0以上的版本才完全实现了对DDNS的支持。因此，本文的实现环境采用Slackware Linux 9.0作为DDNS服务器，其上同时运行DNS和DHCP服务，其中DNS Server采用Bind 9.2.2，DHCP Server采用DHCP Server v3.0pl2。

下面详细介绍Linux环境下安全、动态DNS的实现方法。

创建密钥

要实现DNS的动态更新，首先要考虑的是怎样保证安全地实现DDNS。由ISC给出的方法是创建进行动态更新的密钥，在进行更新时通过该密钥加以验证。为了实现这一功能，需要以root身份运行以下命令：

root@slack9:/etc# dnssec-keygen -a HMAC-MD5 -b 128 -n USER myddns

Kmyddns.+157+37662

上述dnssec-keygen命令的功能就是生成更新密钥，其中参数-a HMAC-MD5是指密钥的生成算法采用HMAC-MD5；参数-b 128是指密钥的位数为128位；参数-n USER myddns是指密钥的用户为myddns。

该命令生成的一对密钥文件如下：

-rw------- 1 root root 48 Jan 14 18:26 Kmyddns.+157+37662.key

-rw------- 1 root root 81 Jan 14 18:26 Kmyddns.+157+37662.private

可以查看刚生成的密钥文件内容：

root@slack9:/etc# cat Kmyddns.+157+37662.key

myddns.INKEY02157 4gEF1Mkmn5hrlwYUeGJV3g==

root@slack9:/etc# cat Kmyddns.+157+37662.private

Private-key-format: v1.2

Algorithm: 157 (HMAC_MD5)

Key: 4gEF1Mkmn5hrlwYUeGJV3g==

仔细阅读该密钥文件就会发现，这两个文件中包含的密钥是一样的，该密钥就是DHCP对DNS进行安全动态更新时的凭据。后面需要将该密钥分别添加到DNS和DHCP的配置文件中。

修改DNS的主配置文件

密钥生成后就要开始对/etc/named.conf文件进行编辑修改，主要目的是将密钥信息添加到DNS的主配置文件中。本文给出修改后的/etc/named.conf的一个实例：

options {

directory “/var/named”;

file://指定区域数据库文件的存放目录

};

zone “.” IN {

type hint;

file “caching-example/named.ca”;

};

zone “localhost” IN {

type master;

file “caching-example/localhost.zone”;

allow-update { none; };

};

zone “0.0.127.in-

dns配置实验报告篇3

第 1 步：配置 TCP/IP

单击开始，指向控制面板，指向网络连接，然后单击本地连接。

单击属性.

单击 Internet 协议 (TCP/IP)。，然后单击属性.

单击常规选项卡。

单击使用下面的 IP 地址，然后在相应的框中键入 IP 地址、子网掩码和默认网关地址。

单击高级，然后单击 DNS 选项卡。

单击附加主要的和连接特定的 DNS 后缀。

单击以选中附加主 DNS 后缀的父后缀复选框，

单击以选中在 DNS 中注册此连接的地址复选框。

注意，运行 Windows Server 2003 的 DNS 服务器必须将其 DNS 服务器指定为它本身。如果该服务器需要解析来自它的 Internet 服务提供商 (ISP) 的名称，您必须配置一台转发器。在本文稍后的如何配置转发器部分将讨论转发器。

单击确定三次。

备注: 如果收到一个来自 DNS 缓存解析器服务的警告，单击确定关闭该警告。缓存解析器正试图与 DNS 服务器取得联系，但您尚未完成该服务器的配置。

第 2 步：安装 Microsoft DNS 服务器

单击开始，指向控制面板，然后单击添加或删除程序。

单击添加或删除 Windows 组件。

在组件列表中，单击网络服务 (但不要选中或清除该复选框)，然后单击详细信息.

单击以选中域名系统 (DNS) 复选框，然后单击确定。

单击下一步.

dns配置实验报告篇4

一、Apache服务器的配置

实训目的

掌握Apache服务器的配置

实训设备与环境

1. 一台装有RedHat Linux9系统的服务器，一台装有Windows 2000 Professional的PC机。

2. RedHat Linux9安装光盘。

3. 两台机器TCP/IP设置在同一子网中。并保证局域网连通。

实训内容

1. Apache服务器的安装。

2. Apache服务器的配置。

实训步骤

1. Apache服务器的安装

从RPM安装Apache，安装命令如下：

#rpm -ivh httpd-2.0.40-21.i386.rpm

#rpm -ivh httpd-manual-2.0.40-21.i386.rpm

2. Apache服务器的配置

(1) 用默认配置创建一个默认站点。当Apache安装完成后，可以自动启动默认站点。

(2) 用192.168.100.10的IP地址创建一个web站点。

在主配置文件中添加包含文件

#cd /etc/httpd

#echo ”Include vhost-conf.d/*.conf“ >>conf/httpd.conf

创建虚拟主机配置文件目录

#mkdir vhost-conf.d

编辑子配置文件

#vi vhost-conf.d/ip-vhost12.conf

添加如下的配置行

DocumentRoot /www/ip-vhost1

创建根文档目录的主页

#mkdir -p /www/ip-vhost1

#echo ”ip-vhost1“ >/www/ip-vhost1/

二、DNS服务器的配置

实训目的

掌握DNS服务器的设置方法

实训设备与环境

1. 一台装有RedHat Linux9系统的服务器，一台装有Windows 2000 Professional的PC机。

2. RedHat Linux9安装光盘。

3. 两台机器TCP/IP设置在同一子网中。并保证局域网连通。

实训内容

1. BIND的安装

2. 配置BIND服务

实训步骤

1. 安装DNS服务器。以RPM包方式安装DNS服务器。

第-张光盘安装如下内容：

#rpm -ivh bind-9.2.1-16.i386.rpm

#rpm -ivh bind-utils-9.2.1-16.i386.rpm

#rpm -ivh redhat-config-bind-1.9.0-13.noarch.rpm

第三张光盘安装如下内容：

#rpm -ivh caching-nameserver-7.2-7.noarch.rpm

2. 用以下参数完成DNS配置：主机名:sev.111cn.net，IP地址为：192.168.100.1，同时完成三个域名的DNS配置：www.111cn.net，ftp.111cn.net，mail.111cn.net。

(1) 修改主配置文件

在主配置文件/etc/named.conf，添加111cn.net.net的区声明

添加正向进行区声明

zone ”111cn.net“ IN {

type master;

file ”xjnet.zone“;

};

添加反向进行区声明

zone ”100.168.192.in-addr.arpa“ IN {

type master;

file ”111cn.net.rev“;

};

(2) 创建正向解析数据库文件

创建正向解析数据库文件/var/named/xjnet.zone

$TTL 86400

@ IN SOA sev.111cn.net. root.sev.111cn.net (

5 ; serial

28800 ; refresh

7200 ; retry

604800 ; expire

86400 ; ttl

)

IN NS sev.111cn.net.

www IN A 192.168.100.1

ftp IN A 192.168.100.1

mail IN CNAME www.111cn.net.

(3) 3. 创建反向解析数据库的文件

反向解析数据文件/var/named/xjnet.rev

$TTL 86400

@ IN SOA sev.111cn.net. root.sev.111cn.net. (

2 ; serial

28800 ; refresh

7200 ; retry

604800 ; expire

86400 ; ttk

)

@ IN NS sev.111cn.net.

1 IN PTR sev.111cn.net.

三、FTP服务器的配置

实训目的

1. 掌握FTP服务器的安装与配置

2. 学会在Linux系统中为本地用户配置FTP服务

实训设备与环境

1. 一台装有RedHat Linux9系统的服务器，一台装有Windows 2000 Professional的PC机，

2. RedHat Linux9安装光盘。

3. 两台机器TCP/IP设置在同一子网中。并保证局域网连通。

实训内容

安装FTP服务器

配置虚拟FTP服务器

实训步骤

1. 安装FTP服务器

以RPM包方式完成FTP服务器的安装，测试默认FTP服务器。

安装软件包(在第三张安装光盘上)

#rpm -ivh vsftpd-1.1.3-8.i396.rpm

2. 配置虚拟FTP服务器。设置Linux服务器的IP地址为192.168.100.1，用该地址配置基于IP的虚拟FTP服务器。

参考13.4节的内容，完成虚拟FTP服务器配置，主要包括以下步骤：

(1) 查看本机现有的IP地址

#ifconfig | grep -1 eth0

(2) 配置一个虚拟网络接口eth0:1

#ifconfig eth0:1 192.168.100.1 up

(3) 建立虚拟FTP的服务器目录

#mkdir -p /var/ftp2/pub

(4) 在下载目录中生成测试文件

#echo ”hello“ >/var/ftp2/pub/test_file

(5) 创建此虚拟服务器的匿名用户所映射的本地用户ftp2

#useradd -d /var/ftp2 -M ftp2

(6) 修改原独立运行的服务器配置文件/etc/vsftpd/vsftpd.conf

listen_address=192.168.100.1

(7) 用原备份的默认主配置文件生成虚拟FTP服务器的主配置文件/etc/vsftpd/vsftpd_site2.conf

#cp /etc/vsftpd/vsftpd.conf.rh9 /etc/vsftpd/vsftpd_site2.conf

(8) 修改虚拟主机的主配置文件

#vi /etc/vsftpd/vsftpd_site2.conf

listen_address=192.168.100.1

ftp_username=ftp2

ftpd_banner=This is the alternative FTP site,and vsftpd in ”standalone“ mode.

(9) 重新启动vsftpd

#service vsftpd restart

(10) 启动虚拟FTP服务器

#/usr/sbin/vsftpd /etc/vsftpd/vsftpd_site2.conf &

3. 测试FTP服务器

通过Windows 2000 Professional客户机进行登录FTP服务器的验证。

四、思考与练习

(1) Linux中如何使用命令行的方式，进行主机的网络配置？

(2) 如何通过Windows系统，访问Samba服务器所共享的文件和打印机？

(3) 与Windows的IIS相比，Apache服务器有何特点？

(4) DNS服务器中的主配置文件和区文件各有什么作用？

(5) 在基本BIND的DNS服务器配置中，如何实现别名、邮件记录设置？

(6) 默认的vsftp服务器有哪些特点？

实验室配置2 篇5

水泥净浆搅拌机 NJ-160 水泥胶砂搅拌机 JJ-5 水泥胶砂震实台

数显酸度计

电动跳桌

水泥净浆流动度试模

维卡仪 ISO 三联试模（包括播料器和刮刀）40*40*160 游标卡尺 300mm 方孔筛 0.08mm 方孔筛 0.045mm 电子天平100g±0.01g 干湿度计表盘式温度计 0～50℃±0.1℃ 留样桶

玻璃量筒 1000ml 玻璃量筒 500ml 玻璃量筒 250ml 玻璃量筒 100ml 玻璃量筒 10ml 玻璃量筒 150ml 玻璃量筒 225ml（定量专用）玻璃吸管

钢直尺 0-50 塑料养护箱高27、30、40 比表面积测定仪全自动5型坍落度筒（包括捣棒）

强制式搅拌机（卧式）60升振动台 1㎡电子称 60kg 塑料试模 150*150*150 塑料试模 175×185×150 塑料试模 100*100*100 抗折试模 150×150×550 养护室自控仪（另加喷雾器）

2000KN压力机（自动升降）

抗渗仪 HS-40 数显干燥箱（烘箱）

摇筛机

电子称 10kg/1g 高温炉 1000℃

2-12 砂套筛（冲框）壁双层 0.08～10mm 碎石套筛（冲框）壁双层 0.08～50mm 针片状规准仪新标准压碎指标值筒发黑热处理金属容量筒 1L、5L、10L、20L 回弹仪 ZC3-A型容量瓶 500ml 容量瓶 250ml 厂口瓶 1000ml 架盘天平1000g-1g 密度计（婆梅计）1.100～1.200 密度计（婆梅计）1.200～1.300 玻璃烧杯 500ml、50ml 称量瓶

瓷坩埚 15CC 混凝土含气量测定仪

混凝土凝结时间测定仪

0 | 评论

力学设备有：水泥胶砂抗折仪、混凝土压力机、抗折试验机。

水泥：维卡仪、雷氏夹、水泥胶砂流动仪、水泥净浆搅拌机、水泥胶砂搅拌机、水泥胶砂振动台、沸煮箱、湿度养护箱。集料：标准筛、摇筛机、容量瓶试模：三联模、立方体试模称量仪器：天平。精度有要求。

典型路由器实验配置文档篇6

一，DHCP中继代理配置实验案例(多个DHCP服务器).............................3 二，IPsecVPN穿越NAT实例配置..............................................5 三，双PPPOE线路实验(神码)..................................................9 四，外网通过IPsec_VPN服务器(在内网)访问内网服务器.........................15 五，DCR-2800和BSR-2800配置RIP路由.....................................21 六，DCR-2800 L2TP服务器配置..............................................24 七，总分部之间IPsecVPN对接................................................29 一，DHCP中继代理配置实验案例(多个DHCP服务器)1，需求描述

如果DHCP客户机与DHCP服务器在同一个物理网段，则客户机可以正确地获得动态分配的ip地址。如果不在同一个物理网段，则需要DHCP Relay Agent(中继代理)。用DHCP Relay代理可以去掉在每个物理的网段都要有DHCP服务器的必要,它可以传递消息到不在同一个物理子网的DHCP服务器，也可以将服务器的消息传回给不在同一个物理子网的DHCP客户机，而且一个网络中有可能存在多个DHCP服务器作为冗余备份。2，拓扑图

3，配置步骤

R1# interface FastEthernet0/0 ip address dhcp client-id FastEthernet0/0 //启用DHCP客户端模式 R2# interface FastEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip helper-address 192.168.2.2 //真正的DHCP服务器1的地址 ip helper-address 192.168.2.3 //真正的DHCP服务器2的地址!interface FastEthernet1/0 ip address 192.168.2.1 255.255.255.0 R2(config)#ip forward-protocol udp 67(sh run 看不到)//有限广播DHCP报文 R3# ip dhcp pool dhcp_pool network 192.168.1.0 255.255.255.0 default-router 192.168.1.1 interface FastEthernet0/0 ip address 192.168.2.2 255.255.255.0 ip route 192.168.1.0 255.255.255.0 192.168.2.1 R3(config)#service dhcp(开启DHCP服务，sh run 看不到)R4# ip dhcp pool dhcp_pool network 192.168.1.0 255.255.255.0 default-router 192.168.1.1 interface FastEthernet0/0 ip address 192.168.2.3 255.255.255.0 ip route 192.168.1.0 255.255.255.0 192.168.2.1 R4#(config)#service dhcp(开启DHCP服务，sh run 看不到)4，配置验证

Sh ip int br//查看端口信息

Show ip dhcp binding //查看所有的地址绑定信息

R1上抓包

R3上抓包

R4上抓包

5，注意事项

(1)必须开启DHCP服务 service dhcp(2)客户端获取一个地址后，广播发送Request报文包含此地址的DHCP服务器(R3)ID，R4收到后回收已分配的地址，避免造成地址浪费。

二，IPsecVPN穿越NAT实例配置

1，需求描述

IPSec协议的主要目标是保护IP数据包的完整性，这意味着IPSec会禁止任何对数据包的修改。但是NAT处理过程是需要修改IP数据包的IP 包头、端口号才能正常工作的。所以，如果从我们的网关出去的数据包经过了ipsec的处理，当这些数据包经过NAT设备时，包内容被NAT设备所改动，修改后的数据包到达目的地主机后其解密或完整性认证处理就会失败，于是这个数据包被认为是非法数据而丢弃。无论传输模式还是隧道模式，AH都会认证整个包头，不同于ESP 的是，AH 还会认证位于AH头前的新IP头，当NAT修改了IP 头之后，IPSec就会认为这是对数以完整性的破坏，从而丢弃数据包。因此，AH是约可能与NAT一起工作的。

意思就是说，AH处理数据时，所使用的数据是整个数据包，甚至是IP包头的IP地址，也是处理数据的一部分，对这些数据作整合，计算出一个值，这个值是唯一的，即只有相同的数据，才可能计算出相同的值。当NAT设备修改了IP地址时，就不符合这个值了。这时，这个数据包就被破坏了。而ESP并不保护IP包头，ESP保护的内容是ESP字段到ESP跟踪字段之间的内容，因此，如何NAT只是转换IP的话，那就不会影响ESP的计算。但是如果是使用PAT的话，这个数据包仍然会受到破坏。

所以，在NAT网络中，只能使用IPSec的ESP认证加密方法，不能用AH。但是也是有办法解决这个缺陷的，不能修改受ESP保护的TCP／UDP，那就再加一个UDP报头。解决方案：NAT穿越 2，拓扑图

3，配置步骤 R1# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 11.1.1.2！crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp set peer 11.1.1.2 set transform-set tran1 match address ipsecacl ip access-list extended ipsecacl permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ip route 0.0.0.0 0.0.0.0 10.1.1.2 R2# interface FastEthernet0/0 ip address 10.1.1.2 255.255.255.0 ip nat inside!interface FastEthernet1/0 ip address 11.1.1.1 255.255.255.0 ip nat outside ip nat inside source static esp 10.1.1.1 interface FastEthernet1/0 //支持ESP协议

ip nat inside source static udp 10.1.1.1 4500 interface FastEthernet1/0 4500 //NAT-T ipsecvpn端口地址转换

ip nat inside source static udp 10.1.1.1 500 interface FastEthernet1/0 500 //普通 ipsecvpn 端口地址转换

R3# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 11.1.1.1！crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp set peer 11.1.1.1 set transform-set tran1 match address ipsecacl ip access-list extended ipsecacl permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 4，配置验证

R1#f0/0上抓包

ISAKMP报文

ESP报文

R2#f1/0上抓包

ISAKMP报文

ESP报文

5，注意事项

(1)R1与R3上的对端地址均为公网地址，R1上要配缺省路由。

(2)IPsecVPN穿越NAT时要变换IP地址和端口，从而导致对方认证失败，所以应该保证变换后的IP地址和端口和对端一致。

三，双PPPOE线路实验(神码)1.需求描述

现实网络中有很多企业和机构都采用双线路来互相冗余备份，而其中有很多通过pppoe拨号(ADSL宽带接入方式)来实现对每个接入用户的控制和计费。2.拓扑图

3，配置步骤

R1# interface Virtual-tunnel0 //配置虚拟通道0 mtu 1492 //最大传输单元

ip address negotiated //IP地址自协商 no ip directed-broadcast ppp chap hostname DCN //chap认证方式用户名DCN ppp chap password 0 DCN //chap认证方式密码DCN

ppp pap sent-username DCN password 0 DCN //pap认证方式用户名DCN1密码DCN1 ip nat outside!interface Virtual-tunnel1 mtu 1492 ip address negotiated no ip directed-broadcast ppp chap hostname DCN1 ppp chap password 0 DCN1 ip nat outside!interface f2/0 ip address 10.1.1.1 255.255.255.0 no ip directed-broadcast ip nat inside!ip route default Virtual-tunnel0 //默认路由走虚拟隧道0 ip route default Virtual-tunnel1 //默认隧道走虚拟隧道1!ip access-list extended natacl permit ip 10.1.1.0 255.255.255.0 any!vpdn enable 启用VPDN!vpdn-group poe0 建vpdn组 request-dialin 请求拨号

port Virtual-tunnel0 绑定虚拟隧道0 protocol pppoe 封装PPPOE协议

pppoe bind f0/0 绑定到物理接口f0/0!vpdn-group pppoe1 request-dialin port Virtual-tunnel1 protocol pppoe pppoe bind f1/0！!ip nat inside source list natacl interface Virtual-tunnel0 //NAT走虚拟隧道0 ip nat inside source list natacl interface Virtual-tunnel1!R2# config# ip local pool pppoe 172.16.1.2 10 //配置分配给客户端的地址池 aaa authentication ppp default local //开启本地ppp认证 username DCN password 0 DCN //本地认证的用户名密码!interface Virtual-template0 //建立虚拟模版0 ip address 172.16.1.1 255.255.0.0 //设置ip地址 no ip directed-broadcast ppp authentication chap //PPP认证为chap认证方式(virtual-tunnel隧道不能配置此参数，否则只能完成发现阶段，不能建立会话阶段)ppp chap hostname DCN //chap认证用户名DCN ppp chap password 0 DCN //chap认证密码DCN

peer default ip address pool pppoe //给拨号上来的客户端分配地址池里的地址 ip nat inside！interface f0/0 ip address 192.168.3.3 255.255.255.0 ip nat outside!ip route default 192.168.3.1!ip access-list extended natacl permit ip 172.16.1.0 255.255.255.0 any!vpdn enable //启用vpdn!vpdn-group pppoe //建立vpdn组 accept-dialin //允许拨入

port Virtual-template0 //绑定虚拟模版0 protocol pppoe //封装pppoe协议

pppoe bind fastEthernet0/0 //绑定到物理接口fsatethnet0/0！ip nat inside source list natacl interface f1/0

R3# ip local pool pppoe 192.168.1.2 10!aaa authentication ppp default local!

username DCN1 password 0 DCN1!interface Virtual-template0 mtu 1492 ip address 192.168.1.1 255.255.255.0 no ip directed-broadcast ppp authentication chap

ppp chap hostname DCN1 ppp chap password 0 DCN1 peer default ip address pool pppoe ip nat inside!Interface f 1/0 ip address 192.168.3.2 255.255.255.0 no ip directed-broadcast ip nat outside！ip route default 192.168.3.1！ip access-list extended natacl permit ip 192.168.1.0 255.255.255.0 any！vpdn enable!vpdn-group pppoe accept-dialin port Virtual-template0 protocol pppoe pppoe bind FastEthernet0/0!

ip nat inside source list natacl interface f1/0!

4，验证配置

R1#sh ip int br

Fastethnet2/0 10.1.1.1 manual up Fastethnet0/0 unassigned manual up Fastethnet1/0 unassigned manual up Virtual-tunnel0 172.16.1.2 manual up Virtual-tunnel1 192.168.1.2 manual up #sh pppoe session

PPPOE Session Information: Total sessions 2

ID Remote_Address State Role Interface BindOn 306 FC:FA:F7:B0:06:AE Established client vn1 f0/0 307 FC:FA:F7:7E:0C:A2 Established client vn0 f1/0 R2#sh ip int br

Interface IP-Address Method Protocol-Status fastEthernet0/0 unassigned manual up fastEthernet0/1 192.168.3.3 manual up Virtual-template0 172.16.1.1 manual down Virtual-access0 172.16.1.1 manual up

#sh pppoe session

PPPOE Session Information: Total sessions 1

ID Remote_Address State Role Interface BindOn 1 FC:FA:F7:D2:07:EA Established server va0 f0/0 R3#sh ip int br

Interface

IP-Address

Method Protocol-Status FastEthernet0/0

unassigned

manual up

FastEthernet0/1

192.168.3.2

manual up Virtual-template0

192.168.1.1

manual down Virtual-access0

192.168.1.1

manual up

#sh pppoe session

PPPOE Session Information: Total sessions 1

Remote_Address

State

Role

Interface BindOn

FC:FA:F7:D2:07:E9 Established

server

va0

f0/0

5，注意事项

（1），pppoe-client配置虚拟通道时，最大传输单元为1492(默认)，ip地址为自协商，ppp认证方式为chap和pap(服务器提供的认证方式有可能为chap或pap)。注意：不能配置ppp authentication chap(认证方式为任意)。

（2），pppoe-client配置vpdn时，先启用vpdn，创建vpdn组，请求拨号，应用虚拟隧道，封装pppoe协议，绑定到物理接口。

（3），pppoe-client配置默认路由下一跳为虚拟隧道virual-tunnel0/virtual-tunnel1，配置NAT时，出接口为虚拟隧道virual-tunnel0/virtual-tunnel1。

（4），pppoe-server配置时注意配置分配给客户端的地址池，开启本地ppp认证，配置本地认证用户名和密码。

（5），pppoe-server配置虚拟模版时，最大传输单元1492，ip地址为固定ip(与地址池在同一网段，但不包含在地址池里)，ppp认证方式为chap或pap，认证的用户名和密码，给拨号上来的客户端分配地址池里的地址。

（6），pppoe-server配置vpdn时，先启用vpdn，创建vpdn组，允许拨号，应用虚拟模版，封装pppoe协议，绑定到物理接口。

四，外网通过IPsec_VPN服务器(在内网)访问内网服务器

1，需求描述

有些企业单位将VPN服务器放在内网，需要让在外网出差的用户拨上VPN后能访问内网部分资源(如WEB服务器，办公系统等)。2，拓扑图

3，配置步骤 IPsecVPN_Server# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 123456 address 11.1.1.2!

crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp set peer 11.1.1.2 set transform-set tran1

match address ipsecacl!interface FastEthernet0/0 ip address 10.1.1.2 255.255.255.0 crypto map map1 //绑定转换图!ip route 11.1.1.0 255.255.255.0 10.1.1.1 //隧道协商的路由

ip route 172.16.1.0 255.255.255.0 10.1.1.1 //转发VPN客户端流量的路由!ip access-list extended ipsecacl permit ip 10.1.1.0 0.0.0.255 172.16.1.0 0.0.0.255

Telnet_Server# aaa new-model //开启AAA认证!aaa authentication login default none //无认证登录 aaa authentication enable default none //无enable认证!interface FastEthernet0/0 ip address 10.1.1.3 255.255.255.0!ip route 0.0.0.0 0.0.0.0 10.1.1.1 //网关

NAT_Over# interface FastEthernet0/0 ip address 10.1.1.1 255.255.255.0 ip nat inside!interface FastEthernet1/0 ip address 11.1.1.1 255.255.255.0 ip nat outside!ip route 172.16.1.0 255.255.255.0 10.1.1.2 //指向VPN服务器!ip nat inside source static esp 10.1.1.2 interface FastEthernet1/0 //封装ESP协议 ip nat inside source static udp 10.1.1.2 500 interface FastEthernet1/0 500 //端口映射 ip nat inside source static udp 10.1.1.2 4500 interface FastEthernet1/0 4500 //端口映射

IPsecVPN_Client# crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 123456 address 11.1.1.1!

crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp

set peer 11.1.1.1 set transform-set tran1

match address ipsecacl!interface FastEthernet0/0 ip address 11.1.1.2 255.255.255.0 crypto map map1 //绑定转换图!interface FastEthernet1/0 ip address 172.16.1.1 255.255.255.0!ip route 10.1.1.0 255.255.255.0 11.1.1.1 //转发VPN流量的路由!ip access-list extended ipsecacl permit ip 172.16.1.0 0.0.0.255 10.1.1.0 0.0.0.255

4，验证配置 172.16.1.1访问Telnet_Server Ping 10.1.1.3 source 172.16.1.1

IPsecVPN_Client f0/0上抓包

IPsecVPN_Server f0/0上抓包

NAT_Over f0/0上抓包

Telnet_Sever f0/0上抓包

5，注意事项

(1)，配置ipsecvpn时，注意将map绑定到物理接口。

(2)，nat_over路由器上配置的一条指向ipsecvpn服务器的路由。

(3)，ipsecvpn_sever和ipsecvpn_client上配置隧道路由和数据路由，数据转发时先查找路由从接口转发时再看是否匹配ipsecacl，匹配才走ipsecvpn隧道。天津多外线内部vpn服务器案例

五，DCR-2800和BSR-2800配置RIP路由

1，需求描述

路由信息协议（Routing Information Protocol，缩写：RIP）是一种使用最广泛的内部网关协议（IGP）。（IGP）是在内部网络上使用的路由协议(在少数情形下,也可以用于连接到因特网的网络)，它可以通过不断的交换信息让路由器动态的适应网络连接的变化，这些信息包括每个路由器可以到达哪些网络，这些网络有多远等。RIP 属于网络层协议，并使用UDP作为传输协议。(RIP是位于网络层的)

虽然RIP仍然经常被使用，但大多数人认为它将会而且正在被诸如OSPF和IS-IS这样的路由协议所取代。当然，我们也看到EIGRP，一种和RIP属于同一基本协议类(距离矢量路由协议,Distance Vector Routing Protocol)但更具适应性的路由协议，也得到了一些使用。2，拓扑描述

3，配置步骤 DCR-2800上配置 DCR-2800# interface GigaEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip rip 1 enable!interface GigaEthernet0/1 ip address 192.168.2.1 255.255.255.0 ip rip 1 enable!router rip 1

neighbor 192.168.1.2 DCR-2800#sh ip route C

192.168.1.0/24

is directly connected, GigaEthernet0/0 C

192.168.2.0/24

is directly connected, GigaEthernet0/1 R

192.168.3.0/24

[120,1] via 192.168.1.2(on GigaEthernet0/0)

BSR-2800上配置 BSR-2800# interface GigaEthernet0/0 ip address 192.168.1.2 255.255.255.0 ip rip 1 enable!interface GigaEthernet0/1 ip address 192.168.3.1 255.255.255.0 ip rip 1 enable!router rip 1

neighbor 192.168.1.1 BSR-2800#sh ip route C

192.168.1.0/24

is directly connected, GigaEthernet0/0 R

192.168.2.0/24

[120,1] via 192.168.1.1(on GigaEthernet0/0)C

192.168.3.0/24

is directly connected, GigaEthernet0/1 4，验证配置

DCR-2800#ping 192.168.3.1 PING 192.168.3.1(192.168.3.1): 56 data bytes！！!---192.168.3.1 ping statistics---5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0/0/0 ms 5，注意事项

（1），neighbor 为对端ip（2），在接口下 ip rip 1 enable 则宣告了这个接口的地址所在的网段，如果这个接口有两个地址，例如 interface GigaEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip address 192.168.4.1 255.255.255.0 secondary 则只能成功宣告192.168.1.0 这个网段如果一个接口分两个逻辑子接口，例如 interface GigaEthernet0/0.0 ip address 192.168.1.1 255.255.255.0 interface GigaEthernet0/0.1 ip address 192.168.4.1 255.255.255.0 则能成功宣告两个网段192.168.1.0，192.168.4.0 六，DCR-2800 L2TP服务器配置

1，需求描述

L2TP是一种工业标准的Internet隧道协议，功能大致和PPTP协议类似，比如同样可以对网络数据流进行加密。不过也有不同之处，比如PPTP要求网络为IP网络，L2TP要求面向数据包的点对点连接；PPTP使用单一隧道，L2TP使用多隧道；L2TP提供包头压缩、隧道验证，而PPTP不支持。2，拓扑描述

3，配置步骤 DCR-2800上配置 int g0/0 ip add 192.168.1.1 255.255.255.0 ip local pool l2tp_pool 172.16.1.1 10 //配置l2tp地址池 aaa authentication ppp default local //开启ppp认证!interface Virtual-template0 //创建虚拟接口模版

ip add 192.168.2.1 255.255.255.0//virtual-template接口的地址为任意地址

no ip directed-broadcast

ppp authentication chap //认证方式为chap ppp chap hostname admin //认证用户名

ppp chap password 0 admin //认证密码

peer default ip address pool l2tp_pool //调用地址池!vpdn enable //开启虚拟专用拨号!

vpdn-group l2tp //定义vpdn组

accept-dialin //允许拨入

port Virtual-template0 //绑定虚拟接口模版

protocol l2tp //定义协议为l2tp local-name default force-local-chap //强制进行CHAP验证

lcp-renegotiation //重新进行LCP协商!PC上配置

网络和共享中心->设置新的连接或网络->连接到工作区->使用我的Internet连接VPN

4，验证配置

拨号成功

5，注意事项

(1)，L2TP服务器上virtual-template接口的地址为任意地址

(2)，force-local-chap //强制进行CHAP验证，lcp-renegotiation //重新进行LCP协商(3)，PC客户端上配置可选加密，勾选三种认证方式PAP，CHAP，MS-CHAP

七，总分部之间IPsecVPN对接

1，需求描述

导入IPSEC协议，原因有2个，一个是原来的TCP/IP体系中间，没有包括基于安全的设计，任何人，只要能够搭入线路，即可分析所有的通讯数据。IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能。另外一个原因，是因为Internet迅速发展，接入越来越方便，很多客户希望能够利用这种上网的带宽，实现异地网络的的互连通。

IPSEC协议通过包封装技术，能够利用Internet可路由的地址，封装内部网络的IP地址，实现异地网络的互通。总部和分部之间通过IPsecVPN隧道通信，分部和分部之间通过和总部建立的IPsecVPN隧道通信。2，拓扑需求

3，配置步骤总部：

crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 2.1.1.2 255.255.255.0 crypto isakmp key 123456 address 3.1.1.2 255.255.255.0!

crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp

set peer 2.1.1.2 set peer 3.1.1.2 set transform-set tran1 match address ipsecacl!interface Loopback0 ip address 192.168.1.1 255.255.255.0!interface FastEthernet0/0 ip address 1.1.1.1 255.255.255.0 duplex auto speed auto crypto map map1!ip route 0.0.0.0 0.0.0.0 1.1.1.2!ip access-list extended ipsecacl permit ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255 分部A：

crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 12345 address 1.1.1.1 255.255.255.0!crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp

set peer 1.1.1.1 set transform-set tran1

match address ipsecacl!interface Loopback0 ip address 192.168.2.1 255.255.255.0!interface FastEthernet0/0 ip address 2.1.1.2 255.255.255.0 duplex auto speed auto crypto map map1!ip route 0.0.0.0 0.0.0.0 2.1.1.1!ip access-list extended ipsecacl permit ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.255.255 分部B： crypto isakmp policy 1 hash md5 authentication pre-share crypto isakmp key 123456 address 1.1.1.1 255.255.255.0!crypto ipsec transform-set tran1 esp-des esp-md5-hmac!crypto map map1 1 ipsec-isakmp

set peer 1.1.1.1 set transform-set tran1

match address ipsecacl!interface Loopback0 ip address 192.168.3.1 255.255.255.0!interface FastEthernet0/0 ip address 3.1.1.2 255.255.255.0 crypto map map1!ip route 0.0.0.0 0.0.0.0 3.1.1.1!ip access-list extended ipsecacl permit ip 192.168.3.0 0.0.0.255 192.168.0.0 0.0.255.255

Internet：

interface FastEthernet0/0 ip address 1.1.1.2 255.255.255.0!interface FastEthernet1/0 ip address 2.1.1.1 255.255.255.0!interface FastEthernet2/0 ip address 3.1.1.1 255.255.255.0 4，验证配置

总部：

Router#sh crypto isakmp sa dst

src

state

1.1.1.1

3.1.1.2

QM_IDLE 1.1.1.1

2.1.1.2

QM_IDLE 分部A：

Router#sh crypto isakmp sa dst

src

state

1.1.1.1

2.1.1.2

QM_IDLE 总部和分部A通信：

conn-id slot status

0 ACTIVE

conn-id slot status

0 ACTIVE

Router#ping 192.168.1.1 source 192.168.2.1 Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds: Packet sent with a source address of 192.168.2.1！！!Success rate is 100 percent(5/5), round-trip min/avg/max = 40/55/84 ms 分部A上抓包：

分部A与分部B通信：

Router#ping 192.168.3.1 source 192.168.2.1 Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.3.1, timeout is 2 seconds: Packet sent with a source address of 192.168.2.1！！!Success rate is 100 percent(5/5), round-trip min/avg/max = 60/94/140 ms 总部上抓包：

分部B上抓包：

分部B：

Router#sh crypto isakmp sa dst

src

state

conn-id slot status 1.1.1.1

3.1.1.2

QM_IDLE

0 ACTIVE 分部B与总部A通信：

Router#ping 192.168.1.1 source 192.168.3.1 Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds: Packet sent with a source address of 192.168.3.1！！!Success rate is 100 percent(5/5), round-trip min/avg/max = 16/50/92 ms 分部B上抓包：

分部B与分部A通信：

Router#ping 192.168.2.1 source 192.168.3.1

Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds: Packet sent with a source address of 192.168.3.1！！!Success rate is 100 percent(5/5), round-trip min/avg/max = 68/95/144 ms 总部上抓包：

分部A上抓包：

5，注意事项

(1)，思科IPsecvpn内网流量先查找路由后匹配策略，只有到达对端私网的路由，才能匹配策略加密封装。

【dns配置实验报告】推荐阅读：

电脑配置申请07-09

配置标准规范09-06