路由器博客

A-A+

cisco路由器放家里都可以干些什么？

2015年11月25日 路由器高级应用 暂无评论 阅读 3 views 次

我在一个论坛贪好玩发的帖子，也转过来这边吧。

目录：

一、上网基础配置

二、优化DHCP & DNS

三、DDNS

四、ipv6隧道

五、PPPoE多拨

六、Cisco EzVPN

七、NVI NAT

一、PPPoE+NAT基础配置

基础拨号上网配置，不做累赘：

  1. ！  
  2. interfaceDialer0  
  3.   mtu 1492  
  4.   ip address negotiated  
  5.   ip nat outside  
  6.   encapsulation ppp  
  7.   ip tcp adjust-mss 1452  
  8.   dialer pool 1  
  9.   dialer idle-timeout 0  
  10.   dialer persistent  
  11.   ppp pap sent-username 【xxxxxx】password 【xxxxxx】  
  12. ！  
  13. interfaceFastEthernet0/0  
  14.   no ip address  
  15.   pppoe enable group global  
  16.   pppoe-client dial-pool-number 1  
  17. ！  
  18. iproute 0.0.0.0 0.0.0.0 Dialer0  
  19. ！  
  20. interfaceFastEthernet0/1  
  21.   ip address 10.0.0.254 255.255.255.0  
  22.   ip nat inside  
  23. ！  
  24. ipaccess-list standard NAT  
  25.   permit 10.0.0.0 0.0.0.255  
  26. !  
  27. ipnat inside source list NAT interface dialer 0 overload  
  28. ！  
  29. noip dhcp conflict logging  
  30. ipdhcp excluded-address x.x.x.x  
  31. ipdhcp pool home  
  32.   network 10.0.0.0 255.255.255.0   
  33.   default-router 10.0.0.254  
  34.   dns-server 202.96.134.33 8.8.8.8  
  35.   lease 3  

二、DHCP与DNS优化配置

  1. ！！！！一、通过ppp，从ISP获取DNS服务器地址：  
  2. interfaceDialer0  
  3.   ppp ipcp dns request accept  
  4. ！  
  5. ！  
  6. ！  
  7. ！！！！二、DNS代理转发：  
  8. ipdns server  
  9. ！！！！启用DNS代理功能  
  10. ！  
  11. ipdomain-lookup  
  12. ipname-server x.x.x.x  
  13. ！！！！如果上面配置了从ISP获取DNS服务器地址，可以不用手工指定DNS服务器了  
  14. ！  
  15. ipdhcp pool home  
  16.   network 10.0.0.0 255.255.255.0  
  17.   default-router 10.0.0.254  
  18.   dns-server 10.0.0.254  
  19.   ！！！！注意某些ISP的DNS服务器封杀了DNS代理，这时在路由器上就必须通过ipname-server命令手工指定可用的DNS服务器地址，例如8.8.8.8、114.114.114.114等  
  20. ！  
  21. ！  
  22. ！  
  23. ！！！！三、DHCP静态（固定）地址分配  
  24. ipdhcp pool HTC-One  
  25.   host 10.0.0.204 255.255.255.0  
  26.   client-identifier 01e8.99c4.997e.bc  
  27.   default-router 10.0.0.254  
  28.   dns-server 10.0.0.254  
  29. !  
  30. ipdhcp pool ZTE-V960  
  31.   host 10.0.0.211 255.255.255.0  
  32.   
  33.   
  34.   hardware-address 8474.2adb.00b6  
  35.   default-router 10.0.0.254  
  36.   dns-server202.96.134.33 202.96.128.86  
  37.    ！！！！注意设备绑定ip地址的方式有两种，一种是client-id，一种是hardware-address（MAC地址）。如果设备的DHCP请求中带有client-idoption，ios的dhcp服务器就会根据client-id分配固定地址，否则就根据MAC地址分配。  
  38. ！！！！不同类型的设备或系统，有些会使用client-id有些则不用，目前我没有总结出规律，因此，可以通过debug或抓包来查看你的设备到底是使用何种方式来请求DHCP地址。  
  39. ！  
  40. ！  
  41. ！  
  42. ！！！！四、在公司用固定IP地址，回到家用DHCP，来回改动很麻烦？  
  43. interfaceFastEthernet0/1  
  44.   ip address 10.0.0.254 255.255.255.0  
  45.   ip address 10.16.5.88 255.255.255.0secondary  
  46.   ip address 192.168.107.254255.255.255.0 secondary  
  47.   ip address 38.38.38.38 255.255.255.0secondary  
  48. ！！！！接口下加辅助地址解决，回到家中一样可以用公司的固定IP地址了~另外还需要在nat的acl中加入你的固定地址。  

三、DDNS

ASDL没有固定IP地址？通过DDNS（动态DNS）解决您的烦恼

一、找一个免费的DDNS提供商（土豪当然可以用付费的），注意该DDNS提供商的更新方式需要是标准的或者是cisco ios支持的。国内知名的花生壳用的是私有的DDNS更新协议，x它妹妹。

以下以国内另一个比较大众的DDNS提供商3322为例：

先到3322的官网注册账号，申请域名，免费的，详细过程不表~

http://www.pubyun.com/

申请完毕后，开配：

  1. ！  
  2. ipddns update method 3322  
  3.   HTTP  
  4.     add http://用户名:密码@<s>/nic/update?system=dyndns&hostname=<h>&myip=<a>     
  5.     ！！！！这一段用自己的账号密码替换，其余照打，“？”可以在按ctrl+v后输入  
  6.     interval maximum 0 0 30 0  
  7. ！  
  8. interfaceDialer0  
  9.   ip ddns update hostname2611xm.f3322.org  
  10.   ip ddns update 3322 hostmembers.3322.org  

此后，就可以通过域名访问PPPoE动态获取的地址了，公网上也可以通过域名访问内部映射出去的服务了~

四、ipv6隧（fan）道（qiang）

同样，先找一个免费的IPv6服务提供商~

以下以tunnelbroker为例，先到官网https://tunnelbroker.net/注册账号，申请IPv6地址段，找一个延时相对低的服务器，详细过程不表~

IPv6真TM慷慨啊，免费的服务，给了一个/48地址段，一个/64地址段，这里就比全球可用的IPv4地址数量不知多出多少倍了……

申请完毕后，开配：

  1. ！  
  2. ipv6unicast-routing  
  3. ipv6cef  
  4. ！！！！路由器上启用ipv6  
  5. !  
  6. interfaceTunnel1  
  7.   no ip address  
  8.   ipv6 address 2001:470:C:102C::2/64  
  9.   tunnel source Dialer0  
  10.   tunneldestination 66.220.18.42  
  11.   tunnel mode ipv6ip  
  12.   ！！！！tunnel destination就是你申请的时候选的那个服务器，在tunnelbroker的tunnel详细信息页面中（上面截图）可见  
  13.   ！！！！ipv6 address是固定分配给你的，在tunnel详细信息页面中（上面截图）可见  
  14. !  
  15. ipv6route ::/0 Tunnel1  
  16. !  
  17. interfaceFastEthernet0/1  
  18.   ipv6 address 2001:470:F477::1/64  
  19.   ！！！！分配给你使用的地址段，随便用  
  20.   ipv6 address FE80::1 link-local  
  21.   ipv6 dhcp server dhcpv6     
  22.   ！！！！在接口上启用DHCPv6服务，否则光靠ND（默认启用的），客户端只可以获取到ipv6地址  
  23.   ipv6 nd other-config-flag     
  24.   ！！！！告知客户端可以从DHCPv6服务器获取其他信息   
  25. !  
  26. ipv6dhcp pool dhcpv6  
  27.   dns-server 2001:470:20::2  
  28.   ！！！！ipv6的DNS服务器使用服务商提供的，在tunnel详细信息页面中（上面截图）可见  

Windows配置，傻瓜式的，将ipv6的勾勾上就行，全自动获取

能上有土鳖了~

五、PPPoE双拨（n拨），在某些ips没有限制的地区，实现带宽最多翻n倍的效果

  1. !  
  2. interfaceFastEthernet0/0  
  3.   pppoe enable group global  
  4.   pppoe-client dial-pool-number 1  
  5.   pppoe-clientdial-pool-number 2  
  6. ！！！！物理接口多关联一个dial-pool（要n拨就关联n个）  
  7. ！  
  8. interfaceDialer0  
  9.   mtu 1492  
  10.   ip address negotiated  
  11.   ip nat outside  
  12.   encapsulation ppp  
  13.   ip tcp adjust-mss 1452  
  14.   dialer pool 1  
  15.   dialer idle-timeout 0  
  16.   dialer persistent  
  17.   ppp pap sent-username 【xxxxxx】password 【xxxxxx】  
  18. ！  
  19. interfaceDialer2  
  20.   mtu 1492  
  21.   ip address negotiated  
  22.   ip nat outside  
  23.   encapsulation ppp  
  24.   ip tcp adjust-mss 1452  
  25.   dialer pool 2  
  26.   ！！！！关联另一个dial-pool，其余配置和第一个dial口一样  
  27.   dialer idle-timeout 0  
  28.   dialer persistent  
  29.   ppp pap sent-username 【xxxxxx】password 【xxxxxx】  
  30. ！  
  31. interfaceFastEthernet0/1   
  32.   ip address 10.0.0.254 255.255.255.0  
  33.   ip nat inside  
  34. ！  
  35. iproute 0.0.0.0 0.0.0.0 Dialer0  
  36. iproute 0.0.0.0 0.0.0.0 Dialer2  
  37. ！双默认路由负载均衡  
  38. ！  
  39. ipaccess-list standard NAT  
  40.   permit 10.0.0.0 0.0.0.255  
  41. !  
  42. ipnat inside source route-map nat0 interface Dialer0 overload  
  43. ipnat inside source route-map nat2 interface Dialer2 overload  
  44. !!!!多出口NAT配置  
  45. !  
  46. route-mapnat2 permit 10  
  47.   match ip address NAT  
  48.   match interface Dialer2  
  49. !  
  50. route-mapnat0 permit 10  
  51.   match ip address NAT  
  52.   match interface Dialer0  
  53. ！  
  54. ipnat inside source route-map nat0 interface Dialer0 overload  
  55. ipnat inside source route-map nat2 interface Dialer2 overload  

两个Dial接口都有数据流通

六、Cisco ezvpn，随时连接回家

  1. !  
  2. cryptoisakmp policy 10  
  3.   encr 3des  
  4.   authentication pre-share  
  5.   group 2  
  6. !  
  7. cryptoisakmp client configuration group home  
  8.   key 【xxxxxx】  
  9.   pool ezvpn  
  10.   acl ezvpn-home  
  11.   save-password  
  12. ！  
  13. iplocal pool ezvpn 192.168.38.1 192.168.38.15  
  14. ！  
  15. ipaccess-list extended ezvpn-home  
  16.   permit ip 10.0.0.0 0.0.0.255 any  
  17.   permit ip host 2.6.1.1 any  
  18. ！！！！隧道分割列表，定义访问哪里要跑vpn  
  19. ！  
  20. cryptoisakmp profile ezvpn  
  21.   match identity group home  
  22.   client authentication list ezvpn  
  23.   isakmp authorization list ezvpn  
  24.   client configuration address respond  
  25. !  
  26. aaaauthentication login ezvpn local  
  27. aaaauthorization network ezvpn local  
  28. ！  
  29. username【xxxxxx】password 【xxxxxx】  
  30. ！  
  31. cryptoipsec transform-set ezvpn esp-3des esp-md5-hmac  
  32. !  
  33. cryptodynamic-map ezvpn 10  
  34.   
  35.   
  36.   set transform-set ezvpn  
  37.   set isakmp-profile ezvpn  
  38.   reverse-route  
  39. !  
  40. cryptomap ipsec-vpn 10 ipsec-isakmp dynamic ezvpn  
  41. !  
  42. interfaceDialer0  
  43.   crypto map ipsec-vpn  

windows配置:

客户端网上可下，有64bit和32bit的

Host里写vpn服务器的地址，动态地址的可以使用DDNS申请的域名~

Name一定要和isakmpprofile里的group对应

七、使用基于NVI的NAT ——实现内网用户使用“服务器映射出去的公网IP地址”访问内部设备

将内网的设备映射出公网了，却发现在内网不能用公网的ip地址访问你的设备？传统方法可以通过代理dns方式让内网用户通过域名访问解决，这里通过NVI的NAT实现，适应性更广，不管是公网地址和域名都行！

  1. !  
  2. interfaceFastEthernet0/1  
  3.        ip nat enable  
  4. !  
  5. interfaceDialer0  
  6.        ip nat enable  
  7. ！  
  8. ipaccess-list standard NAT  
  9.   permit 10.0.0.0 0.0.0.255  
  10. !  
  11. ip nat source list NAT interface dialer 0 overload  
  12. ！！！！内网设备上网，注意没有“inside”关键字了  
  13. ！  
  14. eventmanager applet nvi  
  15.   ！！！！由于某些ios要在dialer口up后配置NVINAT才能生效，因此使用EEM解决。如果使用的ios没有这个“bug”，只需要下面action3那条NAT语句即可，就不需要EEM了  
  16.   event syslog pattern "InterfaceVirtual-Access2, changed state to up"  
  17.   action 1 cli command"enable"  
  18.   action 2 cli command "conft"  
  19.   action 3 cli command "ip natsource static tcp 10.0.0.253 80 interface dialer0 80"  
  20.   ！！！！自行修改要映射出公网的地址与端口  

未完，不知道还会不会续：

一、比任何家用路由器都强大的QoS功能.

二、不但是路由器，还是防火墙：Cisco IOS Zone-Base Firewall 。

三、上网行为管理：全自动的NBAR，还有更强大FPM，FPM可以匹配数据包中每一个bit，手工打造最强大的上网行为过滤器。

标签：

给我留言