网络技术期末考试
配置模板速查手册

1
交换机/路由器远程管理（Telnet/SSH）

考点要点：

• Telnet 不加密，SSH 加密传输更安全
• 需先配置管理IP（交换机用VLAN接口，路由器用物理接口）
• SSH需要先生成RSA密钥
• 必须设置enable密码才能远程登录
交换机Telnet配置模板
! 步骤1: 配置管理IP（使用VLAN 1或其他VLAN）
interface vlan 1
 ip address 192.168.1.100 255.255.255.0
 no shutdown

! 步骤2: 设置密码
enable password 123456        ! 或: enable secret 123456 (加密存储)

! 步骤3: 配置VTY线路允许Telnet
line vty 0 4
 password telnet123
 login
 transport input telnet

! 步骤4: 保存配置
write
路由器Telnet配置模板
! 步骤1: 配置接口IP
interface gig0/0
 ip address 192.168.1.1 255.255.255.0
 no shutdown

! 步骤2: 设置密码
enable password 123456

! 步骤3: 配置VTY线路
line vty 0 4
 password telnet123
 login
 transport input telnet

! 保存
write
SSH安全配置模板（推荐）
! 步骤1: 设置设备域名（SSH必需）
hostname SW1
ip domain-name school.com

! 步骤2: 生成RSA密钥（关键步骤）
crypto key generate rsa
! 提示时输入: 1024 或 2048

! 步骤3: 设置用户和密码（SSH需要本地用户）
username admin password admin123

! 步骤4: 配置VTY只允许SSH
line vty 0 4
 login local                ! 使用本地用户认证
 transport input ssh        ! 只允许SSH（禁用Telnet）

! 步骤5: 设置enable密码
enable secret 123456

! 步骤6: SSH可选设置
ip ssh version 2            ! 使用SSH版本2（更安全）
ip ssh time-out 60
ip ssh authentication-retries 3

! 保存
write
考试技巧：题目要求SSH时，必须写hostname和ip domain-name，否则crypto key generate rsa会报错！
2
VLAN及VLAN间路由（SVI）

考点要点：

• VLAN隔离广播域，不同VLAN不能直接通信
• Trunk端口承载多个VLAN流量（使用802.1Q封装）
• SVI（交换机虚拟接口）是三层交换机的VLAN网关
• 二层交换机只能有一个VLAN接口处于up状态
创建VLAN并分配端口
! 方法1: 直接创建VLAN
vlan 10
 name 办公区
vlan 20
 name 教学区
vlan 30
 name 服务器区

! 方法2: 进入接口后创建（自动创建VLAN）
interface fa0/1
 switchport mode access
 switchport access vlan 10   ! 会自动创建vlan 10

interface fa0/2
 switchport mode access
 switchport access vlan 20

! 批量分配端口（可选）
interface range fa0/3 - 10
 switchport mode access
 switchport access vlan 10
配置Trunk端口
! 交换机之间连接用Trunk
interface gig0/1
 switchport mode trunk
 switchport trunk allowed vlan all    ! 允许所有VLAN通过
! 或指定VLAN: switchport trunk allowed vlan 10,20,30

! 注意: 2960默认封装是dot1q，不需要手动设置
! 3560等设备可能需要: switchport trunk encapsulation dot1q
三层交换机SVI配置（VLAN间路由）
! 步骤1: 开启三层路由功能
ip routing                    ! 必须开启！

! 步骤2: 创建各VLAN的SVI网关接口
interface vlan 10
 ip address 192.168.10.1 255.255.255.0
 no shutdown

interface vlan 20
 ip address 192.168.20.1 255.255.255.0
 no shutdown

interface vlan 30
 ip address 192.168.30.1 255.255.255.0
 no shutdown

! 各VLAN主机网关指向对应的SVI IP
! VLAN10主机网关=192.168.10.1
! VLAN20主机网关=192.168.20.1
易错点：三层交换机必须写"ip routing"命令！SVI接口要写"no shutdown"！
验证命令
show vlan brief              ! 查看VLAN和端口分配
show interfaces trunk        ! 查看Trunk端口
show interfaces vlan 10      ! 查看SVI状态
show ip route                ! 查看路由表（确认直连路由）
ping 192.168.10.5            ! 测试VLAN间通信
3
路由配置（静态/默认/OSPF）

考点要点：

• 静态路由：手动指定目标网络和下一跳
• 默认路由：目标为0.0.0.0/0，用于访问互联网
• OSPF：动态路由协议，使用区域(area)概念，进程号本地有效
• Router ID：OSPF选举DR/BDR时使用，建议手动配置
静态路由配置
! 命令格式: ip route <目标网络> <掩码> <下一跳IP或出接口>

! 示例: 到达192.168.2.0/24网络，下一跳是10.1.1.2
ip route 192.168.2.0 255.255.255.0 10.1.1.2

! 示例: 使用出接口方式
ip route 192.168.2.0 255.255.255.0 serial0/0/0

! 验证
show ip route
show ip route static
默认路由配置
! 默认路由 = 目标网络为0.0.0.0，掩码为0.0.0.0
ip route 0.0.0.0 0.0.0.0 203.0.113.1    ! 下一跳是ISP

! 或使用出接口
ip route 0.0.0.0 0.0.0.0 serial0/0/0

! 验证: 会看到 S* 标记（静态默认路由）
show ip route
OSPF动态路由配置
! 步骤1: 创建OSPF进程
router ospf 1                    ! 进程号1（本地有效，两端可以不同）

! 步骤2: 配置Router ID（可选但推荐）
router-id 1.1.1.1               ! 手动指定Router ID

! 步骤3: 发布直连网络到OSPF区域
network 192.168.1.0 0.0.0.255 area 0
network 192.168.2.0 0.0.0.255 area 0
network 10.1.1.0 0.0.0.3 area 0

! 注意: network命令使用反掩码（wildcard mask）
! 反掩码计算: 255.255.255.0 → 0.0.0.255
!            255.255.255.252 → 0.0.0.3

! 步骤4: 可选设置
passive-interface vlan 10       ! 不在该接口发送OSPF报文

! 验证命令
show ip route ospf
show ip ospf neighbor
show ip ospf database
考试技巧：OSPF的network命令使用反掩码，不是子网掩码！例如/24网络的反掩码是0.0.0.255
常见反掩码速查：
/24 (255.255.255.0) → 反掩码 0.0.0.255
/25 (255.255.255.128) → 反掩码 0.0.0.127
/30 (255.255.255.252) → 反掩码 0.0.0.3
4
访问控制列表ACL（标准/扩展/VTY保护）

考点要点：

• 标准ACL(1-99)：只检查源IP，位置靠近目标
• 扩展ACL(100-199)：检查源IP、目标IP、端口，位置靠近源
• ACL末尾隐含deny any，需注意放行其他流量
• 应用到接口时注意方向（in/out）
标准ACL配置
! 场景: 禁止192.168.30.0网段访问服务器192.168.10.100

! 步骤1: 创建标准ACL
access-list 10 deny 192.168.30.0 0.0.0.255
access-list 10 permit any      ! 必须放行其他流量！

! 步骤2: 应用到接口（靠近目标，在服务器所在VLAN的出方向）
interface vlan 10
 ip access-group 10 out

! 验证
show access-lists 10
show ip interface vlan 10
扩展ACL配置
! 场景: 只允许办公网192.168.10.0访问OA服务器192.168.40.20的Web服务
!       禁止宿舍网192.168.30.0访问OA服务器

! 步骤1: 创建扩展ACL
access-list 100 permit tcp 192.168.10.0 0.0.0.255 host 192.168.40.20 eq 80
access-list 100 permit tcp 192.168.10.0 0.0.0.255 host 192.168.40.20 eq 443
access-list 100 deny tcp 192.168.30.0 0.0.0.255 host 192.168.40.20 eq 80
access-list 100 permit ip any any    ! 放行其他所有流量

! 步骤2: 应用到接口（靠近源，在来源VLAN的入方向）
interface vlan 30
 ip access-group 100 in

! 常用端口: 
! eq 80 (HTTP)  eq 443 (HTTPS)  eq 22 (SSH)  eq 23 (Telnet)
! eq 25 (SMTP)  eq 110 (POP3)   eq 21 (FTP)   eq 53 (DNS)
ACL保护路由器VTY（远程登录）
! 场景: 只允许管理员网段192.168.10.0能SSH登录路由器

! 步骤1: 创建ACL
access-list 50 permit 192.168.10.0 0.0.0.255
! ACL末尾隐含deny any，无需额外写

! 步骤2: 应用到VTY线路
line vty 0 4
 access-class 50 in            ! 使用access-class（不是access-group）
 login local

! 验证
show access-lists
show running-config | section line vty
易错点：
1. ACL应用到接口用"ip access-group"，应用到VTY用"access-class"
2. 扩展ACL放在靠近源的接口(in方向)，标准ACL放在靠近目标的接口(out方向)
5
地址转换PAT（端口地址转换）

考点要点：

• PAT是NAT的一种，多主机共享一个公网IP
• 使用端口区分不同连接，也叫NAPT
• 内网接口标记"ip nat inside"，外网接口标记"ip nat outside"
• 静态NAT用于服务器发布到公网
PAT配置（动态NAT复用）
! 场景: 内网192.168.0.0/16通过公网IP203.0.113.2访问互联网

! 步骤1: 定义内网地址范围
access-list 1 permit 192.168.0.0 0.0.255.255

! 步骤2: 配置PAT（复用公网接口IP）
ip nat inside source list 1 interface serial0/0/0 overload
! overload关键字启用PAT端口复用

! 步骤3: 标记内外接口
interface gig0/0               ! 内网接口
 ip nat inside

interface serial0/0/0          ! 外网接口（连接ISP）
 ip nat outside

! 步骤4: 配置默认路由指向ISP
ip route 0.0.0.0 0.0.0.0 203.0.113.1

! 验证
show ip nat translations
show ip nat statistics
clear ip nat translation *    ! 清除NAT表
静态NAT配置（服务器发布）
! 场景: 内网Web服务器10.3.40.10映射到公网IP

! 方法1: 使用指定公网IP
ip nat inside source static 10.3.40.10 203.0.113.10

! 方法2: 使用路由器公网接口IP
ip nat inside source static tcp 10.3.40.10 80 interface serial0/0/0 80
! 只映射80端口

! 应用到接口
interface gig0/0
 ip nat inside
interface serial0/0/0
 ip nat outside

! 验证
show ip nat translations
考试技巧：PAT命令中"overload"关键字是关键，没有它就是普通动态NAT（需要地址池）
6
广域网协议：PPP + CHAP认证

考点要点：

• PPP比HDLC支持更多功能（认证、压缩、多协议）
• CHAP是三次握手认证，使用MD5加密
• 两端路由器都要配置认证，用户名是对方的名字
• DCE端需要配置时钟速率(clock rate)
PPP基础配置
! 路由器A (DCE端，提供时钟)
interface serial0/0/0
 encapsulation ppp
 clock rate 128000            ! DCE端必须设置时钟
 ip address 10.1.1.1 255.255.255.252
 no shutdown

! 路由器B (DTE端，不需要时钟)
interface serial0/0/0
 encapsulation ppp
 ip address 10.1.1.2 255.255.255.252
 no shutdown

! 验证PPP连接
show interfaces serial0/0/0
PPP + CHAP双向认证配置
! ====== 路由器A (名称: RT-A) ======
hostname RT-A

! 设置对方(RT-B)的用户名和共享密码
username RT-B password chap123

! 配置接口
interface serial0/0/0
 encapsulation ppp
 ppp authentication chap      ! 启用CHAP认证
 clock rate 128000            ! DCE端时钟
 ip address 10.1.1.1 255.255.255.252
 no shutdown

! ====== 路由器B (名称: RT-B) ======
hostname RT-B

! 设置对方(RT-A)的用户名和共享密码
username RT-A password chap123    ! 密码必须相同！

! 配置接口
interface serial0/0/0
 encapsulation ppp
 ppp authentication chap
 ip address 10.1.1.2 255.255.255.252
 no shutdown

! 关键: 两端的hostname要不同，username是对方的hostname
!       两端的password必须完全一致
易错点：
1. username写的是对方的hostname，不是自己的！
2. 两端密码必须一致
3. DCE端需要clock rate，用show controllers查看哪端是DCE
验证命令
show controllers serial0/0/0  ! 查看是DCE还是DTE
show interfaces serial0/0/0    ! 查看PPP状态和封装
show ppp neighbors             ! 查看PPP邻居
debug ppp authentication       ! 调试CHAP认证过程
no debug all                   ! 关闭调试
✓
考场速记口诀
SSH三要素：hostname + domain-name + crypto key generate rsa

三层交换机：ip routing必须开，SVI要no shutdown

OSPF反掩码：/24→0.0.0.255，/30→0.0.0.3

ACL位置：标准靠目标out，扩展靠源in

PAT关键字：overload端口复用

CHAP认证：username是对方hostname，密码两端相同