三網(wǎng)IT

思科認(rèn)證課程介紹

很多同學(xué)學(xué)完理論敲完實(shí)驗(yàn)已經(jīng)成為理論上的高手,但對(duì)于設(shè)備的認(rèn)識(shí)以及用法不知所以,將理論進(jìn)行落地沒有思路,介于此我們將復(fù)雜環(huán)境處理、面試就業(yè)技巧、網(wǎng)絡(luò)規(guī)劃與設(shè)計(jì)、工程師常用技能在課程中穿插學(xué)習(xí)項(xiàng)目實(shí)戰(zhàn)知識(shí)。

場(chǎng)地租賃服務(wù)

擁有10間專業(yè)培訓(xùn)教室，包括了20臺(tái)、25臺(tái)和30臺(tái)等不同規(guī)格的培訓(xùn)機(jī)房， 機(jī)器配置性能卓越，高速率連接因特網(wǎng)，可以滿足不 同層次的信息化培訓(xùn)需求。

先后為Microsoft公司、IBM公司、Oracle公司、Juniper公司、EMC公司，中 國(guó)移動(dòng)、中國(guó)石化等客戶提供了相應(yīng)的培訓(xùn)場(chǎng)地服務(wù) ，獲得了客戶的一致認(rèn)可！

【課程學(xué)習(xí)】

1、CCNA-Cisco網(wǎng)絡(luò)設(shè)備互聯(lián)(ICND）：熟練級(jí)

對(duì)網(wǎng)絡(luò)架構(gòu)有整體的認(rèn)知，實(shí)現(xiàn)對(duì)思科交換機(jī)和路由器進(jìn)行基本的操作，可 以承擔(dān)中型交換網(wǎng)絡(luò)和中型路由網(wǎng)絡(luò)的基礎(chǔ)維護(hù)工作。

學(xué)習(xí)收獲：本課程是思科網(wǎng)絡(luò)認(rèn)證體系的入門級(jí)課程，旨在幫助學(xué)員能夠?qū)? 網(wǎng)絡(luò)架構(gòu)模型有較為清晰的認(rèn)知，實(shí)現(xiàn)對(duì)交換機(jī)和路由器的基本操作配置，在此基礎(chǔ)上實(shí)現(xiàn)對(duì)中型路由網(wǎng)絡(luò)和中型交換網(wǎng)絡(luò)的簡(jiǎn)單維護(hù)，比如實(shí)現(xiàn)諸如 RIP、EIGRP、OSPF動(dòng)態(tài)路由協(xié)議的基本配置，實(shí)現(xiàn)交換機(jī)VLAN的劃分，Trunk鏈路的配置，STP生成樹協(xié)議，DTP協(xié)議等基礎(chǔ)交換網(wǎng)絡(luò)的配置，在完成以 上內(nèi)容的基礎(chǔ)上，**VPN，幀中繼等實(shí)現(xiàn)局域網(wǎng)到廣域網(wǎng)的擴(kuò)展學(xué)習(xí)。

2、CCNP-思科認(rèn)證網(wǎng)絡(luò)高級(jí)工程師：精通級(jí)

深入學(xué)習(xí)TCP/IP協(xié)議棧、路由協(xié)議、訪問控制、故障排除等方面，可以為大 型企業(yè)網(wǎng)絡(luò)安裝、配置和運(yùn)行LAN、WAN和撥號(hào)訪問業(yè)務(wù)。

學(xué)習(xí)收獲：CCNP全稱為思科認(rèn)證資深網(wǎng)絡(luò)工程師，處于思科認(rèn)證體系的中級(jí) 層次，本門課程是專為致力于維護(hù)和設(shè)計(jì)思科路由和交換網(wǎng)絡(luò)的工程師而設(shè)計(jì)。在課程中深入學(xué)習(xí)思科路由網(wǎng)絡(luò)、交換網(wǎng)絡(luò)和IP網(wǎng)絡(luò)故障排除。

3、CCIE-思科認(rèn)證網(wǎng)絡(luò)專家：大師級(jí)

深入理解IPV4、IGP的精髓、掌握BGP基礎(chǔ)、訪問控制列表、過濾和路由策略 ?？梢猿袚?dān)大型網(wǎng)絡(luò)架構(gòu)的設(shè)計(jì)、配置和優(yōu)化工作。

學(xué)習(xí)收獲：獲得CCIE 路由和交換認(rèn)證證明你具備對(duì)復(fù)雜整合式網(wǎng)絡(luò)進(jìn)行籌 劃、準(zhǔn)備、運(yùn)營(yíng)、監(jiān)控和故障排除的專業(yè)級(jí)技能。CCIE認(rèn)證是對(duì)網(wǎng)絡(luò)專家個(gè)人技能的**高肯定。參加此項(xiàng)認(rèn)證的考生必須對(duì)考試藍(lán)本上的考試大綱有深 入理解，并且**好有至少三至五年的工作經(jīng)驗(yàn)。

【思科VPN知識(shí)】IPsec VPN基本部署

---

實(shí)驗(yàn)?zāi)康模喝鐖D，R1,R3分別為甲公司下2個(gè)子公司的出口路由器，R2為運(yùn)營(yíng)商路由器（公網(wǎng)）。**部署IPsec VPN使子公司A和子公司B下的內(nèi)網(wǎng)可以互通。

R2作為公網(wǎng)上的路由器，不可能獲知公司內(nèi)網(wǎng)的IP地址，這時(shí)候需要部署一條“隧道”，保證子公司之間的私網(wǎng)可以互相通信，不僅可以加快傳輸效率，還可以保證網(wǎng)絡(luò)的安全性，這就是VPN部署的目的。

 

實(shí)驗(yàn)步驟：

1. 進(jìn)行基本配置,**環(huán)回口來(lái)模擬內(nèi)網(wǎng)地址。

R1

R1#conf t
R1(config)#int f0/0
R1(config-if)#ip add 12.0.0.1 255.255.255.0
R1(config-if)#no sh

R1(config-if)#int l0
R1(config-if)#ip add 192.168.1.1 255.255.255.0
R1(config-if)#no sh

R1(config-if)#ex

R1(config)#ip route 0.0.0.0 0.0.0.0 12.0.0.2

 

R2

R2#conf t
R2(config)#int f0/1
R2(config-if)#ip add 12.0.0.2 255.255.255.0
R2(config-if)#no sh

R2(config-if)#int f0/0
R2(config-if)#ip add 23.0.0.2 255.255.255.0 
R2(config-if)#no sh

 

R3

R3#conf t
R3(config)#int f0/1
R3(config-if)#ip add 23.0.0.3 255.255.255.0
R3(config-if)#no sh

R3(config-if)#int l0
R3(config-if)#ip add 192.168.3.1 255.255.255.0
R3(config-if)#no sh

R3(config-if)#ex
R3(config)#ip route 0.0.0.0 0.0.0.0 23.0.0.2

 

2.進(jìn)行IPsec 配置

R1

首先定義一條ACL，用于匹配VPN路由

R1(config)#access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255  

   
R1(config)#crypto isakmp policy 1                         //配置安全策略，數(shù)字表示優(yōu)先級(jí)

R1(config-isakmp)# encr 3des                            //告訴對(duì)端使用的對(duì)稱加密算法          

                                  
R1(config-isakmp)# hash md5                           //hash算法

                                   
R1(config-isakmp)# authentication pre-share              //認(rèn)證算法

                     
R1(config-isakmp)# group 2                                   //DH組                 

R1(config-isakmp)# lifetime 60                                //生存周期

 

R1(config-isakmp)#crypto isakmp key benet address 23.0.0.3        //預(yù)共享密碼設(shè)置為benet,地址為

                                                                                                     對(duì)端R3路由器地址        

 

 

R1(config)#crypto ipsec transform-set bset esp-3des esp-sha-hmac                   //配置傳輸集beset，設(shè)

                                                                                                                        置對(duì)數(shù)據(jù)的加密方式

 

R1(cfg-crypto-trans)#crypto map bmap 10 ipsec-isakmp            //定義crypto map調(diào)用感興趣流量并且設(shè)

                                                                                              置傳輸集。

R1(config-crypto-map)# set peer 23.0.0.3                             //指定對(duì)端IP

R1(config-crypto-map)# set transform-set bset                   //調(diào)用傳輸集beset 

R1(config-crypto-map)# match address 101                    //調(diào)用ACL列表101 

 

如上，R1的基本配置已經(jīng)完成，接著需要將配置應(yīng)用在外網(wǎng)口上。

 

R1(config)#int f0/0
R1(config-if)#duplex auto 
R1(config-if)#speed auto 
R1(config-if)#crypto map bmap                      //應(yīng)用剛才設(shè)置的map bmap

 

R3上也做一樣的配置，只是要將對(duì)端的IP設(shè)置為R1的外網(wǎng)口

 

R3(config)#access-list 101 permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255  

     
R3(config)#crypto isakmp policy 1

 

R3(config-isakmp)# encr 3des

R3(config-isakmp)# hash md5

R3(config-isakmp)# authentication pre-share

R3(config-isakmp)# group 2

 

R3(config-isakmp)# lifetime 60                               

R3(config-isakmp)#crypto isakmp key benet address 12.0.0.1

R3(config)#crypto ipsec transform-set bset esp-3des esp-sha-hmac

R3(cfg-crypto-trans)#crypto map bmap 10 ipsec-isakmp

R3(config-crypto-map)# set peer 12.0.0.1

R3(config-crypto-map)# set transform-set bset

R3(config-crypto-map)# match address 101
R3(config-crypto-map)#ex

R3(config)#int f0/1
R3(config-if)#duplex auto 
R3(config-if)#speed auto 
R3(config-if)#crypto map

bmap

 

IPsec VPN已經(jīng)部署完畢，下面可以做測(cè)試了

 

R1#ping 192.168.3.1 source 192.168.1.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.3.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.1.1 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 36/52/68 ms

已經(jīng)通了。

 

有人說，這樣就可以結(jié)束了吧？

但是忽略了一個(gè)問題，公司內(nèi)網(wǎng)的員工部署了這個(gè)VPN，會(huì)與原先部署的NAT沖突。

原先的NAT應(yīng)該是這樣部署的

R1(config)#access-list 1 permit ip 192.168.1.0 0.0.0.255

 

R1(config)#int l0
R1(config-if)#ip nat inside

R1(config-if)#int f0/0
R1(config-if)#ip nat outside 
R1(config-if)#ex
R1(config)#ip nat inside source list 1 int f0/0 overload

這樣一來(lái)，公司內(nèi)網(wǎng)IP在出口路由器上會(huì)被轉(zhuǎn)化成外網(wǎng)口地址12.0.0.1/24 ，這樣就與IPsec VPN的設(shè)置（ACL101)沖突了。

 

R1#p 192.168.3.1 source 192.168.1.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.3.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.1.1 
UUUUU  www.luyouqiwang.com
Success rate is 0 percent (0/5)

不可達(dá)。

 

 

這時(shí)候需要對(duì)access-list 1做修改: