无聊之余研究了下GRE over IPsec，由于IPsec VPN不支持路由协议，所以只能通过GRE封装后才能走路由协议，配置如下：本地端配置crypto isakmp policy 10 encr 3des authentication pre-sharecrypto isakmp key cisco address 118.21.31.2 255.255.255.252!!crypto ip
A公司准备实行薪资的不透明化管理，由于目前的薪资收入数据还放在财务部门的Vlan中，所以公司不希望市场和研发部门能访问到财务部Vlan中的数据，另一方面，财务部门做为公司的核心管理部门，又希望能访问到市场和研发部门Vlan内的数据。我们的网管在接到这个需求后就在SWA上做了如下的配置：ip access-list extend fi-access-limitdeny ip any 10.1.4.0
DIP的应用一般是在内网对外网的访问方面。当防火墙内网端口部署在NAT模式下，通过防火墙由内网对外网的访问会自动转换为防火墙设备的外网端口IP地址，并实现对外网（互联网）的访问，这种应用存在一定的局限性。解决这种局限性的办法就是DIP，在内部网络IP地址外出访问时，动态转换为一个连续的公网IP地址池中的IP地址。3.3.1、使用Web浏览器方式配置DIP①登录防火墙设备，配置防火墙为三层部署模式；
应用环境Eudemon 不但支持配置隐藏高安全区域中用户或被访问服务器的私有IP 地址的NAT，即Outbound 方向的NAT，还支持配置隐藏低安全区域或同一安全区域中访问用户的IP地址：当位于低安全区域的网络用户访问高安全区域的服务器时，若需要隐藏低安全区域用户的IP 地址，可配置Inbound 方向的NAT。当网络用户访问同一安全区域内的服务器时，若需要隐藏其 IP 地址，可配置域内NAT。
标识VLAN帧帧标识：给通过中继链路传输的每个帧指定独特的用户定义ID，该ID即为VLAN号。通过中继链路传输的每个帧，将唯一的标识符加入帧中，传输路径中的交换机收到这些帧后，对标识符进行检查判断帧属于哪个VLAN，然后将标识删除。如果帧通过另一条trunk传输出去，将把VLAN标识符重新加入到帧头中。IEEE 802.1Q协议目的地址 源地址 802.1Q标记(4字节) 类型/长度
A端设备# 配置名为tran1 的IPSec 提议。[Eudemon A] ipsec proposal tran1[Eudemon A-ipsec-proposal-tran1] transform esp[Eudemon A-ipsec-proposal-tran1] encapsulation-mode tunnel[Eudemon A-ipsec-proposal-tran1] esp a
日期： (2012-05-22 11:17:28)1年多没玩华为的设备了，将华为的IPsec VPN配置复习下:主模式、隧道、ESP封装# 配置一个访问控制列表，定义由子网10.1.1.0/24 去子网10.1.2.0/24 的数据流。<RouterA> system-view[RouterA] acl number 3101[RouterA-acl-adv-3101] rule pe
IPsec VPN主要有主模式(MAIN node)和积极模式(aggressive mode)。主模式和积极模式的信息交换机制不同。主模式有6条消息要交换，2个一组对称。主模式中，第1、2条信息中，双方交换了一些协商信息，如认证算法(hash)、加密算法、DH组、认证机制等。第3、4条信息中，双方交换了公钥，在交换了公钥之后，就可以根据DH算法生成后续所需的密钥了（SKEYID），其中包括给数据
日期：(2012-05-29 15:36:38)这些天一直研究cisco的积极模式配置，我采用的是总部静态IP与分支段ADSL的VPN协商，在网上找了下，大部分都是重复的，没有真正的价值。根据自己找到的资料，联系实际操作总计了下总部为静态IP接入的配置：!hostname R3!crypto keyring k1 pre-shared-key address 0.0.0.0 0.0.0.0 key
EASY IPSEC 协商过程：1、Remote可以是cisco vpn client，server端可以是路由器，其IOS要求高于或等于12.2(8)T2、Easy VPN由client触发，cisco vpn client中内置了多个IKE policy，client触发EasyVPN后，会把内置的IKE policy全部发送到server端3、server 把client 发送来的IKE p
本文转载自思科的官方网站hub端为总部静态IP路由器，spoke为多个分支段ADSL接入路由器hub端路由器配置如下：hostname Hub!username cisco password 7 0201024E070A0E2649 aaa new-model ! ! aaa authentication login clientauth local aaa authorization netwo
接口类型 选举 DR/BDR hello间隔 动态发现邻居 &
track 1 ip route 10.1.21.128 255.255.0.0 metric thresholdthreshold metric up 1 down 2track 10 ip route 10.2.21.128 255.255.255.0 metric thresholdthreshold metric up 63 down 64!interface Vlan10ip addre
IP SLA工具测量网络的性能，当性能没达到阈值时，PBR将选择不使用用特定的路由。可以配置静态路由和PBR使其跟踪IP SLA操作，以便该操作失败或低于阈值时，路由器不再使用静态路由和PBR。回应操作[测试经由下一跳路由器的PBR路由（这里10.9.9.1是目的服务器地址，10.3.3.1是分组进入RD1的接口地址）]RD1(config)#ip sla 11RD1(config-ip-sla)
邻居初始化1、找出邻居知道但自己不知道的LSA2、找出两者都知道但邻居的更新的LSA3、请求邻居提供前两步确定的所有LSA的拷贝发现LSDB路由器决定从2WAY状态开始与邻居交换LSDB，为获悉邻居知道的LSA列表，邻接路由需要下列步骤1、将DD发送到224.0.0.52、发送第一条DD消息后，将切换到预启动状态，直到RID较高的路由器称为主/从路由器。3、选举DR后，进入交换状态4、继续以多播模
HSRP中的MD5认证R1(config)#key chain chain-nameR1(config-keychain)#key numberR1(config-keychain-key)#key-string [0 | 7] stringR1(config)#int typemod/numR1(config-if)#standby groupauthentication md5 key-cha
建立VACL，使同一个vlan内部的机器不能互访R1(config)#vlan access-map map-name[sequence]R1(config-access-map)#match ip address {acl-number |acl-name}R1(config-access-map)#match ipx address {acl-number |acl-name}R1(confi
DHCP探测伪造一个DHCP服务器进行DHCP应答全局启用dhcp探测R1(config)#ip dhcp snooping指定要实现探测的vlanR1(config)#ip dhcp snooping vlan id指定DHCP服务器连接的端口为可信的R1(config)#interface typemod/numR1(config-if)#ip dhcp snooping trust设定不可信
整理一下802.1X的配置1、交换机上启用AAAR1(config)#aaa new-model2、定义外部Radius服务器R1(config)#radius-server host hostname/ip-addreskey name3、定义802.1X认证方法R1(config)#aaa authentication dot1x default group radius4、启用802.1XR
整理下CCNP里面所有的优先级SWITCH：STP优先值相等时BID最小为根桥spanning-tree vlan id boot primary也可以直接降低优先级值 spanning-tree vlanid priority id（优先级值为0-65535，默认为32768，值为0时则永久为根网桥。）LACP系统优先级（2字节的优先级和6字节的交换机MAC地址）最低的交换机，负责确
Copyright © 2005-2024 51CTO.COM 版权所有 京ICP证060544号
