<![CDATA[往事如风]]> http://hi.baidu.com http://hi.baidu.com http://img.baidu.com/img/logo-hi.gif http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED zh-cn www.baidu.com 5 <![CDATA[我的IT之路]]>        最近网络上都在流传个人的人生经历.我的程序员之路,我的网工之路呀.看着他们写的个人经历.我也就写写我的IT之路.说说我是怎么走到现在这条路的。
       首先要说说我的文化水平。只读了高中一年级，为什么我连高中都没有读完了？这其中的原委是这样的：我2002年初中毕业，进入了我们那儿一所比较不错的高中学校，一般上这个学校的大多数学生都能很顺利的读大学的。当时心想，算是能够跨进大学门槛了。但是天不如人愿呀。高一下学期。我就一直感觉身体不适，学习情绪也学了。终于在一次高烧３９度一夜之后，我连思想都烧的模糊了，不知道是怎么自己是怎么走到医院的，在医院住院一住就是半个月。出院之后，从此心灰意冷，很是害怕学校那个环境，怕进学校。就这样我结束了我的学习旅程。有家进行疗养，身体的和心理的。
　　０４年，我１７岁。我随着一个亲戚来到苏州打工。在工地上做水电安装。在这儿一干就是两年。其中也吃了不少苦。经常要抬水管子，和重的设备，没办法，只能硬着头皮抬。肩膀红了一道又一道。人也被压伤了。所以我的个子比较低。１米７还差一点。两年中我吃了不少的苦，其实我迷茫过。失望过。后悔过　。
　　谁都不知道以后的日子是怎么样的。就在０５年１０月家里打电话，就我回去去体检。说我被抽上当兵名额了。连我都不相信。我的入伍之路会是一路顺风，一个村十几个人，经过体验，政审之后。居然就我一个人比较符合。就这样。０５年１２月份进入了部队。这儿，曾经很梦寐想来的地方。我终于穿上了军装。
　　说到现在好像离题了。说的是我的IT 之路，怎么一点也不和IT相关呢？
　　到部队首先要新兵三个月的训练。之中吃的苦我也不多说了。可以这样说，我吃过了从未经历的苦。吃苦也不是白吃了。在新兵下连时。我被分到了我们的网络中心，从事网络管理方面的工作。同批之中，就我和另一个兄弟。我想我是很幸运的。
　　从此之后，我的生活中就有了电脑。之后是去上级机关进行专业学习，说是专业学习，几个月时间人家就交了个五笔打字。其他什么依然是不会。
　　回到单位后，我才真正进入了我的学习之路。记得我第一次到机房去，班长问我怎样查看网络通断，我不知道。他交了我一个ping命令。这是我学的第一个命令。所以我记得很清楚。跟着班长后面，我学了不少东西，熟悉了设备，可以自己独自值班，处理故障了。就这样，我入伍的第一年过的很充实。每天都在进步。值班闲的时候，我就买了好几本书自己看看。有计算机基础，计算机网络。通讯基础等。
　　转眼进入了第二年。也就是去年了，这一年也是我学习的关键之年。由于我们这进行网络改造，但是只有我们班几个人自己做。我从做水晶头开始，到网络测试。故障排除，主要是在硬件上面。其中积累了不少经验。许多事情只有做过才知道的。后来我们这又要做网络视频监控，要架服务器。我对这个不懂。没办法，我只有学。我买了一本《网络工程师教程》，一本《服务器架设指南》两本书，学会了架iss网站。学会了用SQLserver数据库。把我们这视频监控从架摄像头到服务器架设，软件配置都学会了。这也就花了三个月的时间。渐渐的，我也成了我们班的技术骨干，许多别人不能解决的问题，我都努力研究，解决它。这样不紧解决了问题，自己更是学到了知识。在训练，工作之余。我就啃《网络工程师教程》，这本书写的理论太深，很多地方都看不懂。又找不到人。但是经过我慢慢细究，也弄懂了许多玄机。包括数据通信基础，TCP/IP，局域网和接入网知识。路由交机知识。学习了简单的交换机，路由器设置。
　　我发现，我越是学习，我越发现的知识很单一。许多东西理论上是这样，但实际上又是另一个样子。而且我一个人学习，又不能和别人交流。我们那不能上网的。只能上上部队的局域网，那上面什么都没有。许多问题都没办法解决。又找不到资料。
　　就这样。到了2007年的１１月份。这是一个难忘的月份。我结束了我２年的军旅生活。回到了老家。回到家我依然是什么都没有。但是我相信，我凭着我的知识，我的学习能力，我应该能够找一份工作的。从１２月我就来到了南京。我以前一个同学这，想谋份工作。来到外面，才发现我以前学的知识是多么的少。网络的知识是太多。简直是无从学起。在这儿，知道了许多业界的知识。行情。
       今年3月份，我应聘进入了南京一家大酒店，在这里做网络管理员。负责服务器日常运行，网络维护，程控交换机维护，和其他弱电的维护。在这里我用上了以前很多自觉的知识。同时也学到了许多新的知识。
现在我正常学习linux。
     我相信我的道路会越走越宽的。一切都源自学习。
 阅读全文
类别：默认分类 查看评论]]> 2009-11-20 00:01 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/7def3a5022d0686885352491.html <![CDATA[点对多点VPN实验]]>

基本配置：

Hub Router

hostname Hub
!
crypto isakmp policy 1
authentication pre-share
crypto isakmp key cisco47 address 0.0.0.0 //0.0.0.0指定对端可为任意
!
crypto ipsec transform-set trans2 esp-des esp-md5-hmac
mode transport
!
crypto map vpnmap1 local-address Ethernet0
crypto map vpnmap1 10 ipsec-isakmp
set peer 172.16.1.1
set transform-set trans2
match address 101
crypto map vpnmap1 20 ipsec-isakmp
set peer 172.16.2.1
set transform-set trans2
match address 102
. . .
crypto map vpnmap1 <10*n> ipsec-isakmp
set peer 172.16.<n>.1
set transform-set trans2
match address <n+100>
!
interface Tunnel1
bandwidth 1000
ip address 10.0.0.1 255.255.255.252
ip mtu 1400
delay 1000
tunnel source Ethernet0
tunnel destination 172.16.1.1
!
interface Tunnel2
bandwidth 1000
ip address 10.0.0.5 255.255.255.252
ip mtu 1400
delay 1000
tunnel source Ethernet0
tunnel destination 172.16.2.1
!
. . .
!
interface Tunnel<n>
bandwidth 1000
ip address 10.0.0.<4n-3> 255.255.255.252
ip mtu 1400
delay 1000
tunnel source Ethernet0
tunnel destination 172.16.<n>.1
!
interface Ethernet0
ip address 172.17.0.1 255.255.255.0
crypto map vpnmap1
!
interface Ethernet1
ip address 192.168.0.1 255.255.255.0
!
router eigrp 1
network 10.0.0.0 0.0.0.255
network 192.168.0.0 0.0.0.255
no auto-summary
!
access-list 101 permit gre host 172.17.0.1 host 172.16.1.1
access-list 102 permit gre host 172.17.0.1 host 172.16.2.1
...
access-list <n+100> permit gre host 172.17.0.1 host 172.16.<n>.1

Spoke1 Router

hostname Spoke1
!
crypto isakmp policy 1
authentication pre-share
crypto isakmp key cisco47 address 0.0.0.0
!
crypto ipsec transform-set trans2 esp-des esp-md5-hmac
mode transport
!
crypto map vpnmap1 local-address Ethernet0
crypto map vpnmap1 10 ipsec-isakmp
set peer 172.17.0.1
set transform-set trans2
match address 101
!
interface Tunnel0
bandwidth 1000
ip address 10.0.0.2 255.255.255.252
ip mtu 1400
delay 1000
tunnel source Ethernet0
tunnel destination 172.17.0.1
!
interface Ethernet0
ip address 172.16.1.1 255.255.255.252
crypto map vpnmap1
!
interface Ethernet1
ip address 192.168.1.1 255.255.255.0
!
router eigrp 1
network 10.0.0.0 0.0.0.255
network 192.168.1.0 0.0.0.255
no auto-summary
!
access-list 101 permit gre host 172.16.1.1 host 172.17.0.1

注意：在Cisco IOS 12.2(13)T 前crypto map vpnmap必须同时映射到物理接口和所有的隧道端口上，而在Cisco IOS 12.2(13)T 之后只要映射到物理接口上就可以了

阅读全文
类别：cisco学习 查看评论]]> 2009-04-25 18:21 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/9d399c6d06ce35f342169472.html <![CDATA[IPSEC vpn 冗余方法：HSRP+IPsec vpn]]>

简要说明：

R6-----10.0.0.0----R1-----10.1.1.0----R2----10.2.2.0--fa0/1--R3--fa0/0

--fa0/1-R4--fa0/0---10.3.3.0----R5

先上配置

R3：

IPSEC VPN:

crypto isakmp policy 10 //定义isakmp 策略
encr aes
authentication pre-share
group 2
lifetime 180
crypto isakmp key cisco address 10.1.1.1 //预共享密钥。ip地址为R1的s1/1端口IP地址
crypto isakmp aggressive-mode disable //取消积极模式
!
!
crypto ipsec transform-set set1 esp-aes esp-sha-hmac
!
crypto map to_R1 10 ipsec-isakmp
set peer 10.1.1.1
set transform-set set1
match address 110

HSRP:

interface FastEthernet0/0 //内部接口配置，为R5当网关
ip address 10.3.3.3 255.255.255.0
duplex auto
speed auto
standby 0 track FastEthernet0/1 //全是HSRP
standby 10 ip 10.3.3.1
standby 10 priority 105
standby 10 preempt
standby 10 name R5gateway
!
interface FastEthernet0/1 //出接口配置，为ＶＰＮ做冗余
ip address 10.2.2.3 255.255.255.0
duplex auto
speed auto
standby 10 ip 10.2.2.1
standby 10 priority 105
standby 10 preempt
standby 10 name vpn　　　　　　　　　　　//名字很重要。下面需要。必须定义
standby 10 track FastEthernet0/0
crypto map to_R1 redundancy vpn //这个很重要，必须指定关键字redundancy才能调用

HSRP，后面的名字为上文定义的 name : vpn。如果忽略

的话，变无法建立VPN了。因为上面crypto map 里面指定

的PEER地址为HSRP定义的虚IP地址

R4配置同上

R1配置为普通的IPSEC vpn配置一样

虽然这个提供了线路冗余，但是连接为无状态VPN冗余 ，在切换时，存在一段时间的丢包现象。上丢包图：

!!!!!!!!!!!!!......................................!!!!!!!!!!!!!

这是R6 ping R5 的结果，其中我shutdown掉R3的FA0/0或者FA0/1接口，就会出现线路切换。中间一段时间丢包。丢包原因是因为R4接替后需要重新和R1协商SA（安全会话），而在协商过程中牵扯到ACK问题（设置了提交位)，故在协商期间所有数据均丢弃.

阅读全文
类别：cisco学习 查看评论]]> 2009-04-23 09:16 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/0dead1cfde3c1f35f9dc61b8.html <![CDATA[配置Cisco IOS EASY VPN Server和Cisco VPN Client]]>

         试验说明；R1为SKY公司的网关，其F1/0接口连接互联网，用户现在出差在外，通过拨号连接到互联网上，现在希望实现用户通过internet拨号进入SKY公司的R1路由器上，拨号使用easy vpn，并能连接到SKY公司的内网，192.168.0.0/24 网段

实验要求；
1，通过cisco vpn client 拨上R1，需要ping通R1的网关的地址，
2，VPN拨入成功之后，可以ping通 192.168.0.2，能访问内网服务器上的共享资源

实验过程：
第一步   R1预配置
R1(config)#int f0/0
R1(config-if)#ip add 192.168.0.1 255.255.255.0
R1(config-if)#no sh
R1(config-if)#int e1/0
R1(config-if)#ip add 192.168.1.200 255.255.255.0
R1(config-if)#no sh
R1(config-if)#end
R1#ping 192.168.1.101
//   在本实验中PC机的IP地址是192.168.1.101
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.1.101, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 8/50/168 ms
R1#
第二步   配置认证策略
R1#conf t
R1(config)#aaa new-model
//   激活AAA
R1(config)#aaa authorization network vpn-client-user local
//   配置对远程接入IPSec连接的授权，组名为vpn-client-user
第三步   定义用户的组策略
R1(config)#ip local pool VPNDHCP 192.168.0.100 192.168.0.150
//   配置一个内部地址池，用于分配IP地址到远程接入的VPN客户端，在本实验中地址池的起始地址为192.168.0.100，终止的IP地址为192.168.0.150，在后面的组策略中会引用改地址池
R1(config)#crypto isakmp client configuration group vpn-client-user
//   配置远程接入组，组名为vpn-client-user，此组名与aaa authorization network命令中的名称一致
R1(config-isakmp-group)#key norvel.com.cn
//   配置IKE阶段1使用预共享密钥，密钥为norvel.com.cn
R1(config-isakmp-group)#pool VPNDHCP
//   配置在客户端连接的Easy VPN client所分配的IP地址池
R1(config-isakmp-group)#dns 221.11.1.67
//   给客户端分配DNS地址
R1(config-isakmp-group)#domain norvel.com.cn
//   配置分配给客户端的DNS域名
R1(config-isakmp-group)#exit
R1(config)#
第四步   配置IKE阶段1策略
R1(config)#crypto isakmp policy 10
R1(config-isakmp)#authentication pre-share
R1(config-isakmp)#encryption 3des
R1(config-isakmp)#group 2
R1(config-isakmp)#hash sha
R1(config-isakmp)#exit
R1(config)#end
R1#show crypto isakmp policy
Global IKE policy
Protection suite of priority 10
         encryption algorithm:   Three key triple DES
         hash algorithm:         Secure Hash Standard
         authentication method:   Pre-Shared Key
         Diffie-Hellman group:   #2 (1024 bit)
         lifetime:               86400 seconds, no volume limit
Default protection suite
         encryption algorithm:   DES - Data Encryption Standard (56 bit keys).
         hash algorithm:         Secure Hash Standard
         authentication method:   Rivest-Shamir-Adleman Signature
         Diffie-Hellman group:   #1 (768 bit)
         lifetime:               86400 seconds, no volume limit
第五步   配置动态加密映射
R1#conf t
R1(config)#crypto ipsec transform-set R1 esp-sha-hmac esp-3des
//   配置名为R1的转换集
R1(cfg-crypto-trans)#exit
R1(config)#crypto dynamic-map dyvpn 10
//   配置名为dyvpn的动态加密映射
R1(config-crypto-map)#set transform-set R1
R1(config-crypto-map)#reverse-route      
//  Reverse-route 生成的两条路由,不配置这条命令，是无法ping内网的设备192.168.0.2
R1(config-crypto-map)#exit
第六步   配置静态加密映射
R1(config)#crypto map dyvpn isakmp authorization list vpn-client-user
//   指定应该为远程接入VPN连接执行的授权，这里的vpn-client-user名称必须与aaa authorization network命令中的相同
R1(config)#crypto map dyvpn client configuration address respond
//   配置允许路由器将信息分配给远程接入客户端，respond参数使路由器等待客户端提示发送这些信息，然后路由器使用策略信息来回应
R1(config)#crypto map dyvpn 1 ipsec-isakmp dynamic dyvpn
//   配置在静态映射条目中关联动态加密映射

第七步   在接口上激活静态加密映射
R1(config)#int e1/0
R1(config-if)#crypto map dyvpn
R1(config-if)# ^Z
第八步   在PC机上打开Cisco VPN Client进行配置，点击New创建一个新的VPN连接

第九步   在VPN连接中进行配置，连接名填写easyvpn，主机填写VPN Server 192.168.1.200，name填写vpn-client-user，密码填写norvel.com.cn

第十步   测试VPN连接，选中easyvpn，点击Connect

第十一步   连接成功后查看连接的统计信息
阅读全文
类别：cisco学习 查看评论]]> 2009-04-22 09:31 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/766071a294434fa5caefd0fc.html <![CDATA[IPSEC VPN 配置]]>

环境：接口地址都已经配置完，路由也配置了，双方可以互相通信了

密钥认证的算法2种：md5和sha1

加密算法2种： des和3des

IPsec传输模式3种：

AH验证参数:ah-md5-hmac(md5验证)、ah-sha-hmac(sha1验证)

ESP加密参数：esp-des(des加密)、esp-3des(3des加密)、esp-null（不对数据进行加密）

ESP验证参数：esp-md5-hma(md5验证)、esp-sha-hmac(采用sha1验证)

1 启用IKE协商

routerA(config）#crypto isakmp policy 1 建立IKE协商策略（1是策略编号1-1000，号
越小，优先级越高

routerA(config-isakmap)#hash md5 密钥认证的算法

routerA(config-isakmap)#authentication pre-share 告诉路由使用预先共享的密钥

routerA(config)#crypto isakmp key 123456 address 20.20.20.22 (123456是设置的共享密

20.20.20.22是对端的IP地

址）。

routerB(config)#crypto isakmp policy 1

routerB(config-isakmap)#hash md5

routerB(config-isakmap)#authentication pre-share

routerB(config)#crypto isakmp key 123456 address 20.20.20.21 (路由B和A的配置除了这里

的对端IP地址变成了20.20.20.21，其他都要一样的）。

2 配置IPSec相关参数

routerA(cnfog)#crypto ipsec transform-set test ah-md5-hamc esp-des (test传输模式的名

称。ah-md5-hamc esp-des表示传输模式中采用的验证和加

密参数 ）。

routerA(config)#acess-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

（定义哪些地址的报文加密或是不加密）

routerB(config)#crypto ipsec transform-set test ah-md5-hamc esp-des

routerB(config)#acess-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

（路由器B和A的配置除了这里的源和目的IP地址变了，其他都一样）

3 设置crypto map （目的把IKE的协商信息和IPSec的参数，整合到一起，起一个名字）

routerA(config)#crypto map testmap 1 ipsec-isakmp (testmap:给crypto map起的名字。

1：优先级。ipsec-isakmp:表示此IPSec链接采用IKE自动协商）

routerA(config-crypto-map)#set peer 20.20.20.22 (指定此VPN链路，对端的IP地址）。

routerA(config-crypto-map)#set transform-set test (IPSec传输模式的名字）

routerA(config-crypto-map)#match address 101 (上面定义的ACL列表号）

routerA(config)#crypto map testmap 1 ipsec-isakmp

routerA(config-crypto-map)#set peer 20.20.20.21 （和A路由的配置只有这里的对端IP不一样）

routerA(config-crypto-map)#set transform-set test

routerA(config-crypto-map)#match address 101

4 把crypto map 的名字应用到端口

routerA(config)#inter s0/0 (进入应用VPN的接口）

routerA(config-if)#crypto map testmap （testmap：crypto map的名字）

B路由和A完全一样

查看VPN的配置

查看安全联盟（SA）

Router#show crypto ipsec sa

显示crypto map 内的所有配置

router#show crypto map

查看优先级

router#show crypto isakmp policy

阅读全文
类别：cisco学习 查看评论]]> 2009-04-21 12:08 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/699c7013643bfe0a5baf53cf.html <![CDATA[GRE OVER IPSEC VPN 配置]]> PN

IPSec VPN 专题四：GRE over IPSec

环境：
1：R4/R5/R6之间通过Static Route来建立联通性：
2：R4<-->R6之间建立GRE Tunnel
3：R4<-->R6之间建立IPSec VPN
需求：要求PC3 和 PC7能够互通
涉及技术点：GRE Tunnel的建立、IPSec 建立 、 分析数据包的流程
配置步骤：
1：R4/R5/R6之间通过Static Route来互通
2：内网之间的互通通过OSPF来建立：R4/R6的Loopback口通过OSPF学到
3：IPSec 的Peer互指对端Loopack（分析问题的原因）
4：测试GRE Over IPSec的特性：
5：解决方法：
在R4/R6之间指定Static路由到达对端的Loopback口
IPSec Peer指对端的物理接口，而不是Loopback口（推荐）

==============================================
如果对端Peer使用Loopback那么Tunnel和IPSec均将无法建立成功：
1：R4/R6配置静态路由：（互通）
R4上的静态路由：
ip route 1.1.56.0 255.255.255.0 1.1.45.5
R6上的静态路由：
ip route 1.1.45.0 255.255.255.0 1.1.56.5

2：R4/R6之间建立GRE Tunnel:
==>R4的配置:
interface Tunnel0
ip address 172.16.10.4 255.255.255.0
tunnel source 1.1.45.4
tunnel destination 1.1.56.6
==>R6的配置:
interface Tunnel0
ip address 172.16.10.6 255.255.255.0
tunnel source 1.1.56.6
tunnel destination 1.1.45.4
==>查看GRE状态：
R4#show ip int b    
Tunnel0                    172.16.10.4     YES manual up                    up  
R6#show ip int b  
Tunnel0                    172.16.10.6     YES manual up                    up   

3：内网之间通过GRE建立OSPF连接：
==>R4的配置：
router ospf 110
log-adjacency-changes
network 4.4.4.4 0.0.0.0 area 0
network 172.16.10.0 0.0.0.255 area 0
network 192.168.1.0 0.0.0.255 area 0
==>R6的配置：
router ospf 110
network 6.6.6.6 0.0.0.0 area 0
network 172.16.10.0 0.0.0.255 area 0
network 172.16.1.0 0.0.0.255 area 0
==>查看R4/R6的路由表：内网已经互通：
R4#show ip route ospf
O    6.6.6.6 [110/11112] via 172.16.10.6, 00:11:38, Tunnel0
O    172.16.1.0 [110/11112] via 172.16.10.6, 00:11:38, Tunnel0
R6#show ip route ospf
O    4.4.4.4 [110/11112] via 172.16.10.4, 00:11:23, Tunnel0
O 192.168.1.0/24 [110/11112] via 172.16.10.4, 00:11:23, Tunnel0
R6#
==>R3测试：
R3#traceroute 172.16.1.1
   1 192.168.1.2 92 msec 136 msec 48 msec
   2 172.16.10.6 136 msec 132 msec 140 msec ：表明当前数据包是通过GRE Tunnel来转发的
   3 172.16.1.1 148 msec *   168 msec
R3#



4：R4/R6之间建立IPSec VPN :eer指向R4/R6的环回口：4.4.4.4/6.6.6.6
==>R6上的配置修改:
crypto isakmp key cisco address 4.4.4.4
crypto map MYMAP 10 ipsec-isakmp
set peer 4.4.4.4
set transform-set TS
match address 110                                  ：指定感兴趣流量：
crypto map MYMAP local-address Loopback1 ：这里一定要指定更新源：类似BGP的更新源：否则发送数据包的将是本地的物理接口
==>R4上的配置修改:
crypto isakmp key cisco address 6.6.6.6
crypto map MYMAP 10 ipsec-isakmp
set peer 6.6.6.6
set transform-set TS
match address 110
crypto map MYMAP local-address Loopback1


5：由于是GRE over IPSec:于是在物理接口下调用感兴趣流量:
interface FastEthernet0/0
ip address 1.1.1.1 255.255.255.0
no cdp log mismatch duplex
crypto map MYMAP
此时如果指定感兴趣流量:access-list 110 permit host 1.1.1.1 host 2.2.2.3 :那么随后OSPF 邻居将Down：
*Dec 11 23:13:56.355: %OSPF-5-ADJCHG: Process 110, Nbr 6.6.6.6 on Tunnel0 from FULL to DOWN, Neighbor Down: Dead timer expired
分析：
1：GRE Tunnel的可达性是通过静态路由来实现的：通过步骤一：可知目的1.1.56.0从F1/1走：
2：R4上的OSPF通过Tunnel学习到6.6.6.6的路由下一条指向Tunnel0
3：在IPSec VPN中指定Peer为6.6.6.6，此时下一条指向Tunnel0（如步骤三），封装GRE：【SIP:1.1.45.4   DIP:1.1.56.6】，R4查看路由表到达1.1.56.0需要经过F1/1（如步骤一），此时GRE数据包被扔到F1/1，刚好匹配该接口下调用的IPSec感兴趣流，于是封装ESP，并新增IP包头【ESP| SIP:4.4.4.4 DIP:6.6.6.6】
4：ESP数据包查看路由表, 发现到达6.6.6.6需要通过Tunnel 0 ，于是ESP又被转到Tunnel 0，并且又被封装【SIP:1.1.45.4   DIP:1.1.56.6】，以此在R4上的OSPF Hello包在Tunnel0和F1/1之间往复循环，而对端的OSPF在三个周期未收到Hello包，则提示Dead Time Expired。
*Mar   14:43:51.743: %OSPF-5-ADJCHG: Process 110, Nbr 192.168.2.10 on Tunnel0 from FULL to DOWN, Neighbor Down   :OSPF邻居Down

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
==>解决方法：（只要打破以上环路的任一环即可）
在R4/R6之间指定Static路由到达对端的Loopback口
IPSec Peer指对端的物理接口，而不是Loopback口（推荐）
修改方法1：
在R4/R6上配置Static Route 让到R4/R6对端Loopback口的数据包从物理接口走,而不是Tunnel 0:
R4(config)#ip route 6.6.6.6 255.255.255.255 1.1.45.5
R6(config)#ip route 4.4.4.4 255.255.255.255 1.1.56.5
R5(config)#ip route 6.6.6.6 255.255.255.255 1.1.56.6 ：R5上增加到R4/R6的路由：
R5(config)#ip route 4.4.4.4 255.255.255.255 1.1.45.4
此时OSPF邻居就可以创建:而且IPSec VPN也是可以建立的:
*Mar 14 15:21:36.395: %OSPF-5-ADJCHG: Process 110, Nbr 192.168.2.10 on Tunnel0 from LOADING to FULL, Loading Done
R4#
==================================================================================
修改方法2推荐做法)
在R4/R6上配置IPSec VPN时,对端Peer指向物理接口,而不是Loopback口地址:
==>R4的配置：
crypto isakmp policy 10
authentication pre-share
crypto isakmp key cisco address 1.1.56.6
R3(config)#crypto ipsec transform-set TS esp-md5-hmac esp-null   ：Null不对数据包加密：用于分析数据用
crypto map MAY 10 ipsec-isakmp
   set peer 1.1.56.6
   set transform-set TS
   match address GRE-VPN
ip access-list extended GRE-VPN
permit ip host 1.1.45.4 host 1.1.56.6
==>R6的配置：
crypto isakmp policy 10
   authentication pre-share
crypto isakmp key cisco address 1.1.45.4
R3(config)#crypto ipsec transform-set TS esp-md5-hmac esp-null
crypto map MAY 10 ipsec-isakmp
set peer 1.1.45.4
set transform-set TS
match address GRE-VPN
ip access-list extended GRE-VPN
permit ip host 1.1.56.6 host 1.1.45.4
==>测试：R3 ping R7：
R3#ping 172.16.1.1 re 10     !!!!!!!!!!

抓取R5/R6之间的通信包:如图:
从中可以看出,PING先封装GRE然后再封装IPSec,确实实现了GRE over IPSec的功能:

==>OSPF的Hello包,是IPSec的感兴趣流量,也被加密:
0000 ca 00 0f 70 00 00 cc 00 07 18 f0 01 08 00 45 c0  
0010 00 84 01 1f 00 00 fe 32 b4 62 01 01 01 01 02 02   32:50=ESP
0020 02 03 24 52 35 e7 00 00 00 02 45 c0 00 58 00 93   4:version   5:头长度=5*4=20
0030 00 00 ff 2f b4 1d 01 01 01 01 02 02 02 03 00 00   2f:47=GRE
0040 08 00 45 c0 00 40 01 1e 00 00 01 59 d1 7e 03 03   0x0800=IP   59:89=OSPF
0050 03 01 e0 00 00 05 02 02 00 20 06 06 06 06 00 00   224.0.0.5   6.6.6.6
0060 00 00 d0 f3 00 00 00 00 00 00 00 00 00 00 05 c4   ................
0070 52 07 00 00 13 6c ff f6 00 03 00 01 00 04 00 00   R....l..........
0080 00 01 01 02 02 04 20 03 a5 e4 2a 0c 23 7f 3d 87   ...... ...*.#.=.
0090 eb cc
分析::
1:R3#ping 172.16.1.1
2:此时R4:查看路由表:得知要从Tunnel 0出去看步骤1)
3:数据一到Tunnel 0 就被封装GRE , 并产生个新的IP报头:SIP:1.1.45.4 DIP:1.1.56.6
此时数据包的帧格式为: DATA|SIP|DIP|GRE|SIP|DIP     1.1.45.4--->1.1.56.6
4:此时GRE再次查看RT , 发现到达1.1.56.6/24 , 必须走F1/1, 可F1/1中调用了加密MAP ,并且GRE数据包匹配感兴趣流量(access-list GRE-VPN) ,
5:于是GRE就又被ESP封装 , 并产生一个新的报头:SIP:1.1.45.4   DIP:1.1.56.6
此时数据包的帧格式为: DATA|SIP|DIP|GRE|SIP|DIP|ESP|SIP|DIP   :但是有没发现GRE的IP报头和ESP的IP报头是一样的.
192.168.1.1---->172.16.1.1
ESP：1.1.45.4--->1.1.56.6
GRE：1.1.45.4--->1.1.56.6
阅读全文
类别：cisco学习 查看评论]]> 2009-04-21 09:46 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/69b97cc450a4fdc338db493a.html <![CDATA[第一天上课]]>     今天终于鼓起勇气，报名去上课了，花了4500块啊，对我来说，可是不小的数目啊，在取款机面前数了半天才离开，那可是我好几个月的工资啊，要是学不到东西，那可就心疼了。。。
      今天上NA课程的老师是IE，很年轻，我感觉挺不错的，懂的东西挺多的，而不光是cisco的东西，感觉这钱没有白花。今天是第一天，上午主要讲了cisco一些整体的东西，下午讲了OSI模型，介绍了路由器，交换机。这些都能听得懂，跟以前自己看的错不多。
      终于又回到课堂了，离开学校都差不多7,8年了，但我的书本始终都没有放下，该学的东西或多或少都学了点。但自己一个人看书始终是不能很好的学习的。这次我是下了本钱了，打算好好的，全面的学习了。
     以后的课我都要认真的听，花了钱就要有回报的，也算是投资吧。
       加油吧。相信自己，我能成功的。

阅读全文
类别：默认分类 查看评论]]> 2009-03-23 20:00 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/072a5d03a8a5ee80d53f7ca4.html <![CDATA[发现网页木马病毒http://ddddsss123.cn/1/rr.htm]]> 打开网页，360就显示拦截http://ddddsss123.cn/1/rr.htm，从网上搜索，好像是新出来的 ，打开网页，上面有一个 -_-o 标志。不知道应该解决啊？

<iframe src=http://ddddsss123.cn/1/rr.htm width=0 height=0></iframe>-_-o

打开部分网址代码会发现有类似的引入代码，请大家注意

上张截图，目前还没有找到相关的解决办法，另外打开IE浏览器的时候也发现让安装PA561401.CAB文件提示，是一个OFFICE的组件，

阅读全文
类别：默认分类 查看评论]]> 2009-02-26 11:00 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/16ccaff465165169dcc474c7.html <![CDATA[Cisco路由器本地密码破解方法]]> 为几天在学ccna，正好看到路由器的密码破解方法。觉得这篇文章简单易懂，就给转过来了。另外还可以保存在这里，以备以后需要时再过来查查看。

show version !检查配置寄存器的值

•      show flash ！检查Flash中的IOS

•      show startup-config ！检查NVRAM中的启动配置文件

•      show running-config ！检查RAM中的文件

1.       路器由密布的恢复.（以2600为例）

2600、3600等新系列路由器步骤：

1、启动路由器，60秒内按下ctrl+break键

2、rommon>confreg 0x2142

3、rommon>reset

4、router#copy startup-config running-config

5、router(config)#no enable secrect //可以删除密码也可以更改,这里为删除

6、router(config-line)#no enable password

7、router#copy running-config startup

8、router(config)#config-register 0x2102

9、router#reload

2500系列路由器步骤：

1、启动路由器，60秒内按下ctrl+break键

2、>o/r 0x2142

3、>i

其余步骤跟2600、3600一样

2．交换机密码恢复（以2950为例）

重起交换机：按MODE键进入到switch:模式 如下

C2950 Boot Loader (C2950-HBOOT-M) Version 12.1(11r)EA1, RELEASE SOFTWARE (fc1)

Compiled Mon 22-Jul-02 17:18 by antonino

WS-C2950-24 starting...

Base ethernet MAC Address: 00:13:1a:9a:2b:80

Xmodem file system is available.

The system has been interrupted prior to initializing the

flash filesystem. The following commands will initialize

the flash filesystem, and finish loading the operating

system software:

    flash_init

    load_helper

    boot

switch: flash_init

Initializing Flash...

flashfs[0]: 4 files, 1 directories

flashfs[0]: 0 orphaned files, 0 orphaned directories

flashfs[0]: Total bytes: 7741440

flashfs[0]: Bytes used: 3090944

flashfs[0]: Bytes available: 4650496

flashfs[0]: flashfs fsck took 6 seconds.

...done initializing flash.

Boot Sector Filesystem (bs:) installed, fsid: 3

Parameter Block Filesystem (pb:) installed, fsid: 4

switch: load_helper

switch: dir

List of filesystems currently registered:

               flash[0]: (read-write)

              xmodem[1]: (read-only)

                null[2]: (read-write)

                  bs[3]: (read-only)

switch: dir flash:

Directory of flash:/

2    -rwx 736       <date>               vlan.dat

3    -rwx 3086336   <date>               c2950-i6q4l2-mz.121-22.EA2.bin

5    -rwx 1558      <date>               config.text ／／交换机启动时应用的配置

6    -rwx 5         <date>               private-config.text

4650496 bytes available (3090944 bytes used)

switch: rename flash:config.text flash:config-old.txt //重命名config.text

switch: reset   //重起交换机

Are you sure you want to reset the system (y/n)?y

System resetting...

重起交换机后由于交换机不会再应用配置文件，因为刚才已把配置文件的名字更改。交换机会进入到配置的对话模式。如查

--- System Configuration Dialog ---

Would you like to enter the initial configuration dialog? [yes/no]: n

Switch#dir

Directory of flash:/

    2 -rwx         736 Mar 01 1993 00:19:14 +00:00 vlan.dat

    3 -rwx     3086336 Jan 01 1970 01:12:26 +00:00 c2950-i6q4l2-mz.121-22.EA2.bin

    5 -rwx        1558 Mar 01 1993 02:36:44 +00:00 config-old.txt

    6 -rwx           5 Mar 01 1993 02:36:44 +00:00 private-config.text

7741440 bytes total (4650496 bytes free)

Switch#copy config-old.txt running-config

Destination filename [running-config]?

1558 bytes copied in 1.152 secs (1352 bytes/sec)

sw#config t

Enter configuration commands, one per line. End with CNTL/Z.

sw(config)#line console 0

sw(config-line)#no pass cisco ／／清除console口密码

sw(config)#no enable secret ／／清除enable密码

sw(config)#no enable password ／／清除enable密码

sw#write //重新保存

以为密码删除成功，很多情况下你可以不删除，就直接更改就OK了

阅读全文
类别：cisco学习 查看评论]]> 2008-12-14 21:04 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/62c909d308fb2233960a16a0.html <![CDATA[该干点事情了]]>       现在工作了这么常时间了，都不知道自己整天在忙些什么？送送东西，打打杂。

为什么会这样了，我自己都不明白。要么就是整天耗在网上，聊天，吹牛。

跟本就没有心情去学习。起码要有一个明确的方向。

想想，应该干点事情了。不能在虚度时间了……


类别：个人随笔 查看评论]]> 2008-10-27 11:48 http://hi.baidu.com/%C2%E4%CF%C0%B9%C2%CE%ED/blog/item/83c71812bbc438c8c2fd7873.html