CLI Manual – Network Management Review

1. Basic Usage

  • 通过CLI管理网络设备,共有四种模式:用户模式、特权模式、全局配置和接口配置,各种模式具体的功能如下表所示:
Command mode Prompt Remark
User EXEC
用户模式
Ruijie> 基本测试和显示系统信息
Privileged EXEC
特权模式
Ruijie# 验证设置(本模式受密码保护,实验室的特权模式14的密码为power
Global configuration
全局配置
Ruijie(config)# 配置设备的全局参数
Interface configuration
接口配置
Ruijie(config-if)# 配置某个特定接口,有些时候if会显示为具体的接口名字

  • 四种模式的相互切换
# 从用户模式进入特权模式,可能需要输入密码
# 实验室设备使用enable 14,密码为power。
Router>enable
# 从特权模式进入全局配置
Router#config t
Enter configuration commands, one per line.  End with CNTL/Z.
# 从全局配置进入接口配置
Router(config)#interface G0/1
# 退出接口配置
Router(config-if)#exit
# 退出全局配置
Router(config)#exit
Router#
%SYS-5-CONFIG_I: Configured from console by console
Router#

2. IP & netmask configuration

  • IP地址和子网掩码是设备最基本的配置,一般会对某个接口或者VLAN(交换机)来配置IP地址,下面以路由器为例子讲解配置方法。
# 配置接口:快速以太网0/1接口,可以简写为int f0/1
Router(config)#interface FastEthernet 0/1
# 配置IP地址和子网掩码
Router(config-if-FastEthernet 0/1)#ip address 10.15.0.1 255.255.192.0
# 退出接口配置
Router(config-if-FastEthernet 0/1)#exit
# 配置接口:串行接口2/0
Router(config)#interface Serial 2/0
# 配置IP地址和子网掩码
Router(config-if-Serial 2/0)#ip address 192.168.15.2 255.255.255.128
# 退出配置
Router(config-if-Serial 2/0)#exit
# 配置默认网关,两种方法
Router(config)#ip default-gateway 10.5.24.1
Router(config)#ip default-network 10.5.24.1

3. Static route configuration

  • 静态路由的配置:静态路由配置需要告诉每个路由器所有网络的“方位”,所谓方位就是路由器下一跳的地址,注意下一跳的地址应该是连接的另一个路由器的接口,不应为本路由器的接口。
# 添加到10.15.64.0/18网络的静态路由,下一跳地址为192.168.15.1
Router(config)#ip route 10.15.64.0 255.255.192.0  192.168.15.1
# 添加到192.168.15.128/25网络的静态路由,下一跳地址为192.168.15.1
Router(config)#ip route 192.168.15.128 255.255.255.128  192.168.15.1
# 添加到10.15.128.0/18网络的静态路由,下一跳地址为192.168.15.1
Router(config)#ip route 10.15.128.0 255.255.192.0  192.168.15.1
  • 查看路由表,路由表中会显示所有学习到了网络的信息。
# 查看路由表
Router(config)#show ip route
Codes:  C - connected, S - static, R - RIP, B - BGP
    O - OSPF, IA - OSPF inter area
    N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
    E1 - OSPF external type 1, E2 - OSPF external type 2
    i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
    ia - IS-IS inter area, * - candidate default
Gateway of last resort is no set
C    10.15.128.0/18 is directly connected, FastEthernet 0/1
C    10.15.128.1/32 is local host.
C    192.168.15.128/25 is directly connected, Serial 2/0
C    192.168.15.130/32 is local host. 

4. RIP Configuration

  • 静态路由配置起来比较麻烦,需要手动通告所有的网络,在大型网络中这样显然不现实。所以又有了动态路由选择协议,动态路由选择协议只需要在本机通告直接连接的网络即可,然后会自动从过其他路由节点学习其他的网络。内部网关选择协议主要应用的是RIP和OSPF,外部的主要是BGP(不介绍),现在介绍RIP的配置。
# 进入RIP配置
Router(config)#router rip
# 配置RIP协议版本2,即RIP2路由选择协议
Router(config-router)#version 2
# 关闭网络自动汇总
# 如果不关闭的话,就是启用了网络自动汇总
# 比如192.168.15.0/25和192.168.15.128/25
# 因为都是C类网络,所以自动按照/24进行合并为192.168.15.0/24
Router(config-router)#no auto-summary
# 向RIP通告自己直接连接的网络
Router(config-router)#network 10.15.0.0
Router(config-router)#network 192.168.15.0
Router(config-router)#network 192.168.15.128
# 退出RIP配置
Router(config-router)#exit
  • RIP协议还支持进行认证,增强安全性,配置方法如下:
# 配置RIP密钥链
Router(config)#key chain RIP
# 配置密钥1
Router(config-keychain)#key 1
# 配置预共享密钥,密钥为“xiaolu”
Router(config-keychain-key)#key-string xiaolu
# 结束配置
Router(config-keychain-key)#end
  • 配置完成后,需要查看RIP的配置:
# 查看RIP配置
Router#show ip rip database
10.15.0.0/18 auto-summary
10.15.0.0/18 directly connected, GigabitEthernet0/1
10.15.64.0/18 auto-summary
10.15.64.0/18
[2] via 192.168.15.130, 00:00:07, GigabitEthernet0/0
10.15.128.0/18 auto-summary
10.15.128.0/18
[1] via 192.168.15.130, 00:00:07, GigabitEthernet0/0
192.168.15.0/26 auto-summary
192.168.15.0/26 directly connected, Serial0/0/0
192.168.15.64/26 auto-summary
192.168.15.64/26
[1] via 192.168.15.130, 00:00:07, GigabitEthernet0/0
192.168.15.128/26 auto-summary
192.168.15.128/26 directly connected, GigabitEthernet0/0

5. OSPF configuration

  • 在后面的配置中,用的比较多的就是OSPF路由选择协议,同样是要在本地通告直接连接的路由,具体配置方法如下:
# 进入OSPF配置,ID为1
Router(config)#router ospf 1
# 添加网络10.1.1.0/24到区域0
Router(config-router)#network 10.1.1.0 255.255.255.0 area 0
# 添加网络10.1.0.0/24到区域0
Router(config-router)#network 10.1.0.0 255.255.255.0 area 0
# 结束配置
Router(config-router)#end

6. VLAN Configuration (Port-based)

  • VLAN即虚拟局域网,可以实现在一个子网中进行设备的隔离。在基于端口的VLAN中,每个接口的VLAN模式可以设置为“access”和“trunk”,其中access模式是允许某个VLAN标签的数据包通过,而trunk模式则是允许任何VLAN标签的数据包通过,这两种模式适用于不同的接口。一般而言,access接口用于连接终端设备,而trunk接口用于沟通VLAN之间的联系或者用于跨交换机的VLAN,配置VLAN的方法如下。
# 定义VLAN,VLAN的标签是10
Switch(config)#vlan 10
Switch(config-vlan)#exit
# 定义VLAN,VLAN的标签是20
Switch(config)#vlan 20
Switch(config-vlan)#exit
# 进入接口F0/2的配置
Switch(config-vlan)#interface F0/2
# 将接口的VLAN模式配置为access模式
Switch(config-if-FastEthernet 0/2)#switchport mode access
# 接口允许VLAN10的数据包通过
Switch(config-if-FastEthernet 0/2)#switchport access vlan 10
# 退出配置
Switch(config-if-FastEthernet 0/2)#exit
# 进入接口F0/4的配置,含义同上
Switch(config)#interface F0/4
Switch(config-if-FastEthernet 0/4)#switchport mode access
Switch(config-if-FastEthernet 0/4)#switchport access vlan 20
# 进入接口F0/1的配置
Switch(config-if-FastEthernet 0/4)#interface F0/1
# 将接口的VLAN模式配置为trunk模式
Switch(config-if-FastEthernet 0/1)#switchport mode trunk
# 退出配置
Switch(config-if-FastEthernet 0/1)#exit
Switch(config)#exit
  • 定义完了VLAN之后,可以查看VLAN的配置。
# 查看VLAN配置,其中VLAN001为native-VLAN,实际上就是未进行配置的那些接口。
Switch(config)#show vlan
VLAN Name                             Status    Ports
---- -------------------------------- --------- -----------------------------------
   1 VLAN0001                         STATIC    Fa0/3, Fa0/4, Fa0/5, Fa0/6
                                                Fa0/7, Fa0/8, Fa0/9, Fa0/10
                                                Fa0/11, Fa0/12, Fa0/13, Fa0/14
                                                Fa0/15, Fa0/16, Fa0/17, Fa0/18
                                                Fa0/19, Fa0/20, Fa0/21, Fa0/22
                                                Fa0/23, Fa0/24, Gi0/25, Gi0/26
  10 vlan0010                         STATIC    Fa0/1, Fa0/2
  20 vlan0020                         STATIC    Fa0/1, Fa0/2
# 查看接口F0/1的VLAN模式
Switch(config)#show interface f0/1 switchport
Interface                Switchport Mode      Access Native Protected VLAN lists
------------------------ ---------- --------- ------ ------ --------- ----------
FastEthernet 0/1         enabled    TRUNK     1      1      Disabled  10,20
# 查看接口F0/2的VLAN模式
Switch(config)#show interface f0/2 switchport
Interface                Switchport Mode      Access Native Protected VLAN lists
------------------------ ---------- --------- ------ ------ --------- ----------
FastEthernet 0/2         enabled    TRUNK     1      1      Disabled  10,20
  • 在上面的配置中,不同的VLAN之间是不能互相访问的,有些时候我们也需要让不同VLAN之间可以互相访问,这时候就需要使用VLAN间路由(Inter-VLAN Routing)的技术了,VLAN间路由可以通过单臂路由(Router-on-a-stick)或者三层交换机(Layer 3 switch)来实现。
  • 单臂路由(Router-on-a-stick)就是使用一个路由器去“桥接”两个VLAN,两个VLAN通过1个交换机连接到路由器的一个接口,这一个接口要定义两个子接口来为两个VLAN来进行服务。显然这种方法VLAN间的数据传输速率会受到这个接口速率的限制,单臂路由的配置方法如下。
# 定义子接口(Subinterface)fa0/0.10
Router(config)#interface fa0/0.10
# 和VLAN10进行绑定
Router(config-subif)#encapsulation dot1q 10
# 配置子接口的IP地址和子网掩码
Router(config-subif)#ip address 10.15.0.3 255.255.128.0
# 定义子接口fa0/0.20
Router(config-subif)#interface fa0/0.20
# 和VLAN20进行绑定
Router(config-subif)#encapsulation dot1q 20
# 配置子接口的IP地址和子网掩码
Router(config-subif)#ip address 10.15.128.3 255.255.128.0
# 配置父接口开启
Router(config-subif)#interface fa0/0
Router(config-if-FastEthernet 0/0)#no shutdown
# 结束配置
Router(config-if-FastEthernet 0/0)#end
  • 三层交换机(Layer 3 switch)是可以工作在网际层(TCP/IP和OSI的第3层)的交换机设备,简单来说就是普通二层交换机+路由器的合体产品。我们不仅可以通过交换机连接设备划分VLAN,还可以配置VLAN间路由,不必借助路由器,配置方法如下。
# 基本VLAN配置
Switch(config)#vlan 10
Switch(config-vlan)#exit
Switch(config)#vlan 20
Switch(config-vlan)#exit
# 设置接口F0/1为trunk模式
Switch(config)#int f0/1
Switch(config-FastEthernet 0/1)#switchport mod trunk
# 设置接口允许的VLAN标签
Switch(config-FastEthernet 0/1)#switchport trunk allowed vlan remove 1-4094
Switch(config-FastEthernet 0/1)#switchport trunk allowed vlan add 10,20
# 退出配置
Switch(config-FastEthernet 0/1)#exit
# 设置接口F0/2为trunk模式
Switch(config)# int f0/2
Switch(config-FastEthernet 0/2)#switchport mod trunk
# 设置接口允许的VLAN标签
Switch(config-FastEthernet 0/2)#switchport trunk allowed vlan remove 1-4094
Switch(config-FastEthernet 0/2)#switchport trunk allowed vlan add 10,20
# 退出配置
Switch(config-FastEthernet 0/2)#exit
# 针对VLAN10进行接口配置
Switch(config)#int vlan 10
# 配置其IP地址和子网掩码
Switch(config-VLAN 10)#ip address 10.15.0.3 255.255.128.0
# 退出配置
Switch(config-VLAN 10)#exit
# 针对VLAN20进行接口配置,同上
Switch(config)#int vlan 20
Switch(config-VLAN 20)#ip address 10.15.128.3 255.255.128.0
Switch(config-VLAN 20)#exit

7. Access Control List (ACL) Configuration

  • 访问控制列表(ACL)是进行访问控制de一种典型方式,可以按照网络、端口等规则来配置ACL,并部署到不同的接口上,ACL的配置应该尽可能接近被控制端。ACL分为两种,一种是标准ACL,一种是扩展ACL。
  • 标准ACL(Standard ACL)只能根据网络来进行粗粒度的访问控制,编号在1-99之间,其基本格式为:
access-list 编号 permit/deny 网络号 反掩码
  • 其中反掩码就是对普通子网掩码按位取反的结果,要注意ACL的默认配置都是deny,也就是说没有匹配上任何规则的数据包会自动被阻止。标准ACL的具体配置方法如下。
# 定义标准ACL
# 允许网络10.1.1.0/24
Router(config)#access-list 10 permit 10.1.1.0 0.0.0.255
# 允许网络10.3.1.0/24
Router(config)#access-list 10 permit 10.3.1.0 0.0.0.255
# 将ACL配置到接口上
Router(config)#interface G0/1
# 配置为入站规则
Router(config-if)#ip access-group 10 in
# 配置为出站规则
Router(config-if)#ip access-group 10 out
# 退出配置
Router(config-if)#exit
Router(config)#exit
  • 扩展ACL(Extended ACL)可以在标准ACL的基础上进行更细粒度的访问控制,可以针对不同的协议,以及不同的源和目的网络和不同的端口进行配置,编号在100-199之间,其基本格式为:
access-list 编号 permit/deny 协议 源网络 源网络反掩码 源网络端口规则 目的网络 目的网络反掩码 目的网络端口规则
  • 其中端口规则为“eq 端口号/服务名”的形式,扩展ACL的具体配置方法如下。
# 定义扩展ACL
# 允许从任意网络到任意网络的OSPF通信
Router(config)#access-list 101 permit ospf any any
# 允许从10.13.0.0/16网络到任意网络的ICMP通信
Router(config)#access-list 101 permit icmp 10.13.0.0 0.0.255.255 any
# 允许从任意网络到10.13.0.0/16网络的ICMP通信
Router(config)#access-list 101 permit icmp any 10.13.0.0 0.0.255.255
# 允许从任意网络到任意网络的源端口为80的TCP通信
Router(config)#access-list 101 permit tcp any eq 80 any
# 允许从任意网络到任意网络的目的端口为80的TCP通信
Router(config)#access-list 101 permit tcp any any eq 80
# 将ACL配置到接口上,同上
Router(config)#interface S0/1/0
Router(config-if)#ip access-group 101 in
Router(config-if)#ip access-group 101 out
Router(config-if)#interface S0/1/1
Router(config-if)#ip access-group 101 in
Router(config-if)#ip access-group 101 out
Router(config-if)#interface loopback 0
Router(config-if)#ip access-group 101 in
Router(config-if)#ip access-group 101 out

8. NAT Configuration

  • 网络地址转换,即NAT,其定义在网络安全的资料中已经有很多了,做过iptables的同学应该都知道NAT的作用。所以这里就不多介绍了,如果还有不明白的同学可以访问我的博客:深入理解iptables防火墙 – 航大小路,这里只介绍NAT的用法。
  • 实验中用到的是Static NAT,也就是将某台局域网设备直接映射到一个广域网IP地址上,本例中是将局域网中的10.15.0.100映射到192.168.15.2,接口方面FastEthernet 0/0是局域网,Serial 2/0是广域网,配置如下所示。
# 配置NAT静态映射,把192.168.15.2映射给10.15.0.100
Router(config)#ip nat inside source static 10.15.0.100 192.168.15.2
# 配置快速以太网接口0/0为NAT的内部区域
Router(config)#int F0/0
Router(config-if-FastEthernet 0/0)#ip nat inside
Router(config-if-FastEthernet 0/0)#exit
# 配置串行接口2/0为NAT的外部区域
Router(config)#int S2/0
Router(config-if-Serial 2/0)#ip nat outside
Router(config-if-Serial 2/0)#exit
  • 还可以进行地址池的映射
# 定义广域网地址池net192,范围从192.168.15.2/25 到 192.168.15.127/25
Router(config)#ip nat pool net192 192.168.15.2 192.168.15.127 netmask 255.255.255.128
# 定义访问控制列表,允许10.15.0.0/17 网络的设备使用该地址池
Router(config)#access-list 1 permit 10.15.0.0 0.0.127.255
# 配置NAT静态映射,讲10.15.0.0/17网络映射到地址池net192
Router(config)#ip nat inside source list 1 pool net192
# 配置快速以太网接口0/0为NAT的内部区域
Router(config)#int F0/0
Router(config-if-FastEthernet 0/0)#ip nat inside
Router(config-if-FastEthernet 0/0)#exit
# 配置串行接口2/0为NAT的外部区域
Router(config)#int S2/0
Router(config-if-Serial 2/0)#ip nat outside
Router(config-if-Serial 2/0)#exit

9. VRRP Configuration

  • VRRP是一种接口的容灾技术,允许两个接口互为备份,使用同一个虚拟的IP地址和MAC地址,其中一个称为Master,当一个接口停止工作的时候可以自动切换到第二个接口,具体配置如下。
# 配置快速以太网接口0/1
Router(config)#interface f0/1
# 将接口配置为VRRP编号5的虚拟接口,IP地址为110.15.0.1
Router(config-if-FastEthernet 0/1)#vrrp 5 ip 10.15.0.1
*May 28 09:22:24: %VRRP-6-STATECHANGE: FastEthernet 0/1 Grp 5 state Init -> Master.
# 退出配置
Router(config-if-FastEthernet 0/1)#exit
Router(config)#exit
# 查看VRRP配置
Router#show vrrp 5
FastEthernet 0/1 - Group 5
  State is Master
  Virtual IP address is 10.15.0.1 configured
  Virtual MAC address is 0000.5e00.0105
  Advertisement interval is 1 sec
  Preemption is enabled
    min delay is 0 sec
  Priority is 255
  Master Router is 10.15.0.1 (local), priority is 255
  Master Advertisement interval is 1 sec
  Master Down interval is 3 sec

10. WLAN Configuration on Wireless AP

  • 无线AP的WLAN配置有点特别,需要使用encapsulation命令封装端口,具体配置如下(并非所有步骤都是必需的)。
# 配置AP的吉比特以太网接口0/1
AP(config)#int g0/1
# 封装虚拟接口
# 如果不使用WLAN功能,只需要配置完这里即可
AP(config-if-GigabitEthernet 0/1)#encapsulation dot1Q 1
AP(config-if-GigabitEthernet 0/1)#exit
# 配置WLAN
AP(config)#dot11 wlan 1
# 配置SSID,也就是我们常说的WLAN广播名称
AP(dot11-wlan-config)#ssid XiaoLu_Group_05_AP
# 配置VLAN(应该是Native VLAN,因为编号是1)
AP(dot11-wlan-config)#vlan 1
# 开启WLAN广播,若不开启则无法被搜索到,只能手动输入网络加入
AP(dot11-wlan-config)#broadcast-ssid
# 配置广播
AP(dot11-wlan-config)#int Dot11radio1/0
# 封装虚拟接口
AP(config-if-Dot11radio 1/0)#encapsulation dot1Q 1
# 配置WLAN-ID为1
AP(config-if-Dot11radio 1/0)#wlan-id 1
Config sub-intferface SSID:XiaoLu_Group_05_AP, VID:1
# 配置WLAN发射信道
# 11信道属于2.4GHz频率。在中国信道11是2.4GHz的最后一个信道
AP(config-if-Dot11radio 1/0)#channel 11
# 配置WLAN的802.11版本
AP(config-if-Dot11radio 1/0)#radio-type 802.11b
# 配置国家代码为中国
AP(config-if-Dot11radio 1/0)#country-code CNI
# 配置信道频宽为40
AP(config-if-Dot11radio 1/0)#chan-width 40
# 启用802.11g支持
AP(config-if-Dot11radio 1/0)#11gsupport enable
# 启用802.11n支持
AP(config-if-Dot11radio 1/0)#11nsupport enable
# 退出配置
AP(config-if-Dot11radio 1/0)#exit

11. Private VLAN Configuration

  • Private VLAN是一种不同于Port-based VLAN的技术,可以实现同一VLAN下某些端口之间的隔离。典型的应用就是我校宿舍区的网络,每个宿舍的端口直接不能互相访问,这种端口称为isolated,但是所有宿舍的端口都可以访问网关(所在的端口),这种端口称为primary,本例中VLAN500是primary,VLAN50是isolated,具体配置方法如下。
# 进入配置
Switch#config
Enter configuration commands, one per line.  End with CNTL/Z.
# 配置快速以太网接口0/1
Switch(config)#int f0/1
# 配置端口模式为private-vlan的host模式
# 此处是将端口配置为isolated
Switch(config-FastEthernet 0/1)#switchport mode private-vlan host
# 配置VLAN之间的关联,500是primary,50是isolated
Switch(config-FastEthernet 0/1)#switchport private-vlan host-association 500 50
# 配置快速以太网接口0/2,同上
Switch(config)#int f0/2
Switch(config-FastEthernet 0/2)#switchport mode private-vlan host
Switch(config-FastEthernet 0/2)#switchport private-vlan host-association 500 50
# 配置快速以太网接口0/3
Switch(config-FastEthernet 0/2)#int f0/3
# 配置端口模式为private-vlan的promiscuous模式
Switch(config-FastEthernet 0/3)#switchport mode private-vlan promiscuous
# 配置VLAN之间的关联,500是primary,50是isolated
Switch(config-FastEthernet 0/3)#switchport private-vlan mapping 500 add 50
# 显示Private VLAN配置,F0/1和F0/2属于isolated接口,VLAN50,F0/3属于primary接口,VLAN500。
Switch(config-FastEthernet 0/3)#show vlan private-vlan
VLAN  Type       Status   Routed   Ports                      Associated VLANs
----- ---------- -------- -------- ------------------------------ ------------------
50    isolated   active   Disabled Fa0/1, Fa0/2                   500
500   primary    active   Disabled Fa0/3                          50

12. SNMP Configuration

  • SNMP是一种网络管理协议,允许在远程管理常见的网络设备,大部分网络设备,比如交换机、路由器、AP等都支持SNMP,甚至是Server也可以配置SNMP,当然了如果想通过SNMP进行管理,设备必须拥有IP地址,即使是AP和交换机这样的设备也是如此。下面以AP为例介绍SNMP的配置。
# 配置SNMP服务器,允许配置的读取
AP(config)#snmp-server community public RO
# 配置SNMP服务器,允许配置的修改
AP(config)#snmp-server community private RW
# 配置SNMP服务器,配置设备位置(可选)
AP(config)#snmp-server location Shenyang
# 配置SNMP服务器,配置联系方式(可选)
AP(config)#snmp-server contact wrlus@outlook.com