思科网络路由知识点整理二

OSPF
show ip protocols
看到本路由器的route-id,本路由器参与的区域数量和类型；支持等价路径最大数码；通告的网络极其所在的区域；参考的带宽；默认的管理距离。

show ip ospf interface
查看接口上运行OSPF的情况，诸如运行在哪个区域，哪个进程，路由器ID，网络类型，接口cost值。

show ip ospf neighbor
查看和邻居之间的关系，比如neighbor id，优先级，状态（如果有-时，就意味着不选举DR和BDR），等等。

OSPF邻居不能建立的常见原因：
1 Hello间隔和Dead间隔不同
在接口下，用ip ospf hello-interval,ip ospf dead-interval进行调整。
2 区域号码不一致
3 特殊区域区域类型不一致
4 认证类型和密码不一致
5 路由器ID相同
6 Hello包被ACL deny
7 链路上的MTU不匹配
8 接口下OSPF网络类型不匹配

在进程下
auto-cost reference-bandwidth 1000//用来修改参考带宽

DR选举的原则
1 首先因素是时间，最先启动的路由器被选举成DR
2 如果同时启动，或重新选举，则看接口优先级，优先级最高的成为DR，默认情况下，多路访问网络的接口优先级为1，点到点网络优先级为0。通过ip ospf priority修改，最后看路由器ID。重新启动执行clear ip ospf process。

debug ip ospf adj
该命令显示ospf邻接关系建立或中断的过程。

OSPF中启用简单的认证
首先在进程模式下启用认证：area 0 authentication;其次，在相应的接口下启用并配置认证密码：ip ospf authentication-key cisco。两边都要配置使用。

若采用MD5认证
进程下，area 0 authentication message-digest;int s0/0 ip ospf message-digest-key 1 md5 cisco//配置认证key id和密钥。
以上是基于区域的认证，认证时首先区域要开启认证，然后接口开启，若此时有的路由器开启有的没有开启，则和邻居的关系会down掉。

在接口上认证
int s0/0;
ip ospf authentication //开启认证
ip ospf authentication-key cisco //配置认证密码
两边同时配置。这是基于链路的简单认证。

int s0/0
ip ospf auth message-digest//开启MD5认证
ip ospf message-digest-key 1 md5 cisco //配置key id以及密钥。

在进程下,default-information originate可以向OSPF网络注入一条默认路由。此默认路由作为LSA5类型。

广域网和以太网在封装上有很大的差别，广域网的封装有HDLC,PPP和Frame-relay等。

HDLC是点到点串行线路的帧封装格式，其帧格式和以太网帧格式有很大差别。HDLC帧没有源MAC地址和目的MAC地址。思科的HDLC封装和标准的HDLC不兼容，所有思科设备和非思科设备进行连接，应使用PPP协议。HDLC不提供验证，缺少对链路的安全保护。封装命令“encapsulation hdlc”

PPP:也是串行线路上的一种帧封装格式，但PPP可以提供对多种网络层协议的支持。PPP支持认证，多链路捆绑，回拨和压缩等功能。PPP经过四个过程在一个点到点的链路上建立通信连接。
1 链路的建立和配置协调--通信的发起方发送LCP帧来配置和检测数据链路
2 链路质量检测---在链路已经建立，协调之后进行，这一阶段是可选的；
3 网络层协议配置协调--通信的发起方发送NCP帧以选择并配置网络层协议；
4 关闭链路--通信链路将一直保持到LCP或NCP帧关闭链路或发生一些外部事件。

PPP认证：PAP和CHAP
PAP-密码认证协议
利用2次握手的简单方法认证。在PPP链路建立完毕后，源节点不停地在链路上发送用户名和密码，直到验证通过。在PAP的验证中，密码在链路上是以明文传输的，而且由于是源节点控制验证重试频率和次数，PAP不能防范再生攻击和重复的尝试攻击。
CHAP--询问握手验证协议
利用3次握手周期的验证源端节点的身份。CHAP验证过程在链路建立之后进行，而且在以后任何时候都可以再次进行。因而链路更加安全。CHAP不允许连接发起方在没有收到询问消息的情况下进行验证尝试。CHAP每次使用不同的询问消息，每个消息都是不可预测的唯一的值，CHAP不直接传送密码，只传送一个不可预测的询问消息，以及该询问消息与密码经过MD5加密运算后的加密值。所以CHAP可以防止再生攻击，CHAP的安全性比PAP高。

用PPP进行验证
PPP authentication pap;//两边配置PAP验证
一端配置数据库
username r password 111
一端配置发送
ppp pap sent-username r password 111

调试
debug ppp authentication

由于PAP认证只验证一次，所以只能在shut再no sh之后才能观察到。

配置CHAP验证，配置时，要求用户名为对方路由器名，而双方密码必须一致。由于CHAP默认使用本地路由器的名字作为建立PPP连接时的标识符，路由器收到对方发送过来的询问消息后，将本地路由器的名字作为身份标志发送给对方；而在收到对方发过来的身份标识之后，默认使用本地验证方法，即在配置文件中寻找，看看有没有用户身份标识和密码；如果有，计算加密值，验证通过就建立连接。
双方配置验证
ppp auth chap;
配置username R2 password hello；//验证对端的用户名