一 : 思科路由器及安全配置工具(SDM配置全攻略)
思科路由器及安全配置工具(SDM)二 : 思科路由器的网络访问控制之静态路由配置介绍
在我们平时使用路由器的过程中，若路由器找不到合适的路径，在该数据转发就会被终止，而我们网络管理员就可以根据这个特性来作好路由访问的控制。
一、什么是网络访问控制
一般路由器的路由表中，大致包含子网掩码、目的网络地址、网关、接口等等这些信息。目的网络地址与子网掩码跟数据包的发送IP地址一起，可以判断出发送地址与目的地址是否属于同一个网络。若发送地址跟目的地址不是属于同一个子网的话，路由器就会根据路由表中的信息进行路径的判断；属于同一个网络的话，路由器不会进行数据的转发或者按预定的规则进行处理。
利用静态路由可以帮助网络管理员来加强对于网络访问的控制，虽然说静态路由配置工作量比较大，但是对于企业网络来说还是一个简单的网络结构，实现起来比较容易。
二、手工配置静态路由
在路由器上静态路由配置之前，可以先把路由器设置为动态路由表，然后查看相关的路由信息，把不需要的路由信息找出来，再在路由器上进行相关的配置。一方面可以防止漏掉有用的路由记录，另一方面也可以禁止掉所有不用的路由信息。在静态路由配置的时候，需要注意以下几点：
（1）根据企业对于网络安全性的要求不同，采取不同的管理策略
一般静态路由是用来那些对于网络安全要求比较高或者网络主机数比较过、有多个子网的情况下，才会使用。不同的企业有不同的网络安全需求，所以对于静态路由表的需求也不同。若企业的规模很小，只有几十台电脑，没有不同子网的划分或者企业对于网络安全的要求不是很高，此时采用静态路由配置的话，根本没有实际的作用。所以不是什么技术都是适合企业的，要根据企业自身的情况，作出合理的选择。
（2）尽量用交换机来代替路由器
若企业在网络部署中采用静态路由控制网络访问的话，则网络部署好之后，最好不要再采用其他的路由器来扩展网络应用，而最好利用交换机来代替路由器。最好能够保障企业网络内部路由器数量与布局的稳定，可以减少路由器配置的工作量。
（3）在路由器上配置好静态路由的话，一般是保存在running-config文件中
这个文件是临时文件，当路由器重新启动的时候，该文件中的信息就会消失。当静态路由配置完成并测试没有问题的话，就需要利用COPY命令把静态路由表信息保存到startup-config中。最好能够在异地进行备份。如此的话，当路由器出现故障时，不需要在后备路由器是进行额外的设置，就可以马上使用了。
三 : 怎样配置思科路由器自反ACL 实现网段之间单向访问？
ACL可以限制网络流量、提高网络性能，为了保护内网的安全，可以只允许内网访问外网，不允许外网访问内网，这里利用cisco 路由器的自反ACL来实现。用户需要配置路由协议，以下配置的是RIP Version1的，也可以配置别的，如EIGRP或OSPF。
一、实验拓扑图
二、实验要求
要求内网可以主动访问外网，但是外网不能主动访问内网，从而有效保护内网。
三、实验配置
1、配置路由器，并在R1、R3上配置默认路由确保IP连通性。
R1(config)#interface s0/0/0
R1(config)#ip address 192.168.12.1 255.255.255.0
R1(config)#no shutdown
R1(config)#interface g0/0
R1(config)#ip address 172.16.1.1 255.255.255.0
R1(config)#no shutdown
R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2
R2(config)#interface s0/0/0
R2(config)#ip address 192.168.12.2 255.255.255.0
R2(config)#no shutdown
R2(config)#interface s0/0/1
R2(config)#ip address 202.210.23.2 255.255.255.0
R2(config)#no shutdown
R3(config)#interface loopback 0
R3(config)#ip address 3.3.3.3 255.255.255.0
R3(config)#no shutdown
R3(config)#interface s0/0/1
R3(config)#ip address 202.210.23.3 255.255.255.0
R3(config)#no shutdown
R3(config)#ip route 0.0.0.0 0.0.0.0 202.210.23.2
2、在路由器R2上配置自反ACL
R2(config)#ip access-list extended ACLOUT
R2(config-ext-nacl)#permit tcp any any reflect REF //定义自反ACL
R2(config-ext-nacl)#permit udp any any reflect REF
R2(config)#ip access-list extended ACLIN
R2(config-ext-nacl)#evaluate REF //评估反射
R2(config)#int s0/0/1
R2(config-if)#ip access-group ACLOUT out
R2(config-if)#ip access-group ACLIN in
PS：(1)、自反ACL永远是permit的;
(2)、自反ACL允许高层Session信息的IP包过滤;
(3)、利用自反ACL可以只允许出去的流量，但是阻止从外部网络产生的向内部网络的流量，从而可以更好地保护内部网络;
(4)、自反ACL是在有流量产生时(如出方向的流量)临时自动产生的，并且当Session结束条目就删除;
(5)、自反ACL不是直接被应用到某个接口下的，而是嵌套在一个扩展命名访问列表下的。
3、调试
(1)同时在路由器R1和R3都打开TELNET服务，在R1(从内网到外网)TELNET路由器R3成功，同时在路由器R2上查看访问控制列表：
R2#show access-lists
Extended IP access list ACLIN
10 evaluate REF
Extended IP access list ACLOUT
10 permit tcp any any reflect REF
20 permit udp any any reflect REF
Reflexive IP access list REF
permit tcp host 202.210.23.3 eq telnet host 192.168.12.1 eq 11002 (48 matches) (time left 268)
//以上输出说明自反列表是在有内部到外部TELNET流量经过的时候，临时自动产生一条列表。
(2)在路由器R1打开TELNET 服务，在R3(从外网到内网)TELNET路由器R1不能成功，同时在路由器R2上查看访问控制列表：
R2#show access-lists
Extended IP access list ACLIN
10 evaluate REF
Extended IP access list ACLOUT
10 permit tcp any any reflect REF
20 permit udp any any reflect REF
Reflexive IP access list REF
以上输出说明自反列表是在有外部到内部TELNET流量经过的时候，不会临时自动产生一条列表，所以不能访问成功。之后在PC上只能ping通外网，但不能ping通内网了。ACL限制外网访问的配置就向大家介绍完了，希望大家已经掌握。谢谢阅读，希望能帮到大家，请继续关注61阅读，我们会努力分享更多优秀的文章。
四 : 思科路由器配置站点到站点VPN的过程
VPN的概念
虚拟专用网络功能是：在公用网络上建立专用网络，进行加密通讯。在企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。VPN有多种分类方式，主要是按协议进行分类。VPN可通过服务器、硬件、软件等多种方式实现。VPN具有成本低，易于使用的特点。
Cisco路由器上的IPSec协议(站点到站点的VPN)实验报告应用情况，公司总部分总互连，都有公网IP，如何通过思科路由器配置站点到站点VPN来实现公司公ip的互相访问。请看下文。
R1路由器上连通性配置
R1（config）#interface e0
R1（config-if）#ip address 10.1.1.1 255.255.255.0
R1（config-if）#no shutdown
R1（config）#interface e1
R1（config-if）#ip address 1.1.1.1 255.255.255.0
R1（config-if）#no shutdown
R1（config）#ip route 0.0.0.0 0.0.0.0 10.1.1.2
R2路由器上连通性配置
R2（config）#interface e0
R2（config-if）#ip address 1.1.1.2 255.255.255.0
R2（config-if）#no shutdown
R2（config）#interface e1
R2（config-if）#ip address 2.2.2.2 255.255.255.0
R2（config-if）#no shutdown
R2（config）#ip route 0.0.0.0 0.0.0.0 10.1.1.1
R1路由器IpSec配置
R1（config）#crypto isakmp enable （optional）默认启用
R1路由器IpSec isakmp 配置（阶段一的策略）
R1（config）#crypto isakmp policy 10
R1（config-isakmp）#hash md5
R1（config-isakmp）#authentication pre-shared
R1（config-isakmp）#encryption 3des
R1（config-isakmp）#group 2
R1路由器Pre-Share认证配置
R1（config）#crypto isakmp key cisco address 10.1.1.2
R1路由器IpSec变换集配置（阶段二的策略）
R1（config）#crypto ipsec transform-set cisco esp-3des esp-md5-hmac R1 （cfg-crypto-trans）#mode tunnel
R1路由器加密图的配置
R1（config）#crypto map cisco10 ipsec-isakmp
R1（config-crypto-map）#set peer 10.1.1.2
R1（config-crypto-map）#set transform-set cisco
R1（config-crypto-map）#match address 101
R1路由器定义感兴趣流量
R1（config）#access-list 101 permit ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255 R1路由器加密图绑定到接口
R1（config）#interface e0
R1（config-if）#crypto map cisco
4、R2路由器IpSec配置
R2（config）#crypto isakmp enable （optional）默认启用
R2路由器IpSec isakmp 配置（阶段一的策略）
R2（config）#crypto isakmp policy 10
R2（config-isakmp）#hash md5
R2（config-isakmp）#authentication pre-share
R2（config-isakmp）#encryption 3des
R2（config-isakmp）#group 2
R2路由器Pre-Share认证配置
R2（config）#crypto isakmp key cisco address 10.1.1.1
R2路由器IpSec变换集配置（阶段二的策略）
R2（config）#crypto ipsec transform-set cisco esp-3des esp-md5-hmac
R2（cfg-crypto-trans）#mode tunnel
R2路由器加密图的配置
R2（config）#crypto map cisco 10 ipsec-isakmp
R2（config-crypto-map）#set peer 10.1.1.1
R2（config-crypto-map）#set transform-set cisco
R2（config-crypto-map）#match address 101
R2路由器定义感兴趣流量
R2（config）#access-list 101 permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255
R2路由器加密图绑定到接口
R2（config）#interface e0
R2（config-if）#crypto map cisco
以上就是思科路由器配置站点到站点VPN的过程， 谢谢阅读，希望能帮到大家，请继续关注61阅读，我们会努力分享更多优秀的文章。
五 : 思科路由器匹配的一些问题
如果子网无法匹配，丢弃数据包，并使用ICMP返回一个不可达回应。如果主网络号不存在，使用缺省路由。
61阅读| 精彩专题| 最新文章| 热门文章| 苏ICP备13036349号-1