網(wǎng)絡(luò)集成課程設(shè)計(jì)

1、<p>　　學(xué)生實(shí)習(xí)（實(shí)訓(xùn)）總結(jié)報(bào)告 </p><p>　　院（系）: 電氣與信息工程學(xué)院 專業(yè)班級(jí):計(jì)科普1002___ _</p><p>　　學(xué)生姓名:_ ___ 學(xué)號(hào):__ ____</p><p>　　實(shí)習(xí)(實(shí)訓(xùn))地點(diǎn):___ ________ __________ 報(bào)告題目:____ 《網(wǎng)絡(luò)系統(tǒng)

2、集成》實(shí)訓(xùn)報(bào)告___________ </p><p>　　報(bào)告日期： 2013 年 1月 15 日 </p><p>　　指導(dǎo)教師評(píng)語(yǔ): _______________________________________ </p><p>　　_____________________________________________________

3、________________________________________________________________________________________________________________________________________________________ </p><p>　　成績(jī)（五級(jí)記分制）:______ ___

4、____ 指導(dǎo)教師（簽字）:_____________________</p><p><b>　　前言</b></p><p>　　本次實(shí)訓(xùn)主要是關(guān)于防火墻的配置、基于IPSec的GRE實(shí)現(xiàn)、基于IP的數(shù)據(jù)會(huì)議網(wǎng)絡(luò)，還有就是有關(guān)OSPF配置、ACL配置、NAT地址池轉(zhuǎn)換等以前實(shí)驗(yàn)中學(xué)習(xí)的內(nèi)容。實(shí)驗(yàn)中我們主要注重的一點(diǎn)就是有關(guān)IPSec-

5、Over-GRE和GRE-Over-IPSec方式配置上的區(qū)別，還有就是關(guān)于IP的數(shù)據(jù)會(huì)議網(wǎng)絡(luò)中的兩個(gè)器材的使用方法了解，以及復(fù)習(xí)以前有關(guān)的實(shí)驗(yàn)操作。而實(shí)訓(xùn)的目的不僅僅是要大家能夠配置，能夠動(dòng)手操作，而是為了讓大家都了解它們配置的理論。</p><p>　　本實(shí)訓(xùn)的目的是使學(xué)生了解企業(yè)網(wǎng)絡(luò)的建設(shè)需求、建設(shè)規(guī)劃、設(shè)備選擇、系統(tǒng)集成以及設(shè)備調(diào)試等方面的知識(shí)。更進(jìn)一步掌握交換機(jī)和路由器以及防火墻等設(shè)備的有關(guān)知識(shí)，并將所

6、學(xué)的內(nèi)容加以綜合，提高學(xué)生的動(dòng)手能力。通過(guò)查閱資料，了解所學(xué)知識(shí)的應(yīng)用情況，同時(shí)也使學(xué)生通過(guò)動(dòng)手規(guī)劃設(shè)計(jì)網(wǎng)絡(luò)拓?fù)?、調(diào)試網(wǎng)絡(luò)設(shè)備而提高解決實(shí)際問(wèn)題的能力。在進(jìn)行本設(shè)計(jì)之前，要先掌握的技術(shù)有：網(wǎng)絡(luò)互連技術(shù)、TCP/IP知識(shí)、CISCO、H3C設(shè)備的工作原理和配置方法。為了能夠快速高效地完成課程實(shí)訓(xùn)，掌握一些常用工具是必要的，這些工具包括：TFTP Server、SecureCRT、WildPackets EtherPeek、FLUKE網(wǎng)絡(luò)協(xié)

7、議分析儀、NT955線纜測(cè)試儀。</p><p>　　本次實(shí)訓(xùn)我們主要做的事四個(gè)題目，題目一是有關(guān)于IPSec的GRE實(shí)現(xiàn)，主要ACL定義的是內(nèi)網(wǎng)數(shù)據(jù)流，而Ike peer中指定的remote-address是對(duì)方GRE tunnel地址，應(yīng)用端口為GRE tunnel上。題目二是有關(guān)ME5000、MG6030的相關(guān)配置。題目三是有關(guān)防火墻的操作，要求實(shí)現(xiàn)ip-sweep和port-scan攻擊防范動(dòng)態(tài)加入黑名單

8、功能，實(shí)現(xiàn)分片報(bào)文攻擊防范、常見(jiàn)flood攻擊防范，添加相應(yīng)的規(guī)則，進(jìn)行常見(jiàn)病毒攻擊的防護(hù)，郵件主題過(guò)濾、網(wǎng)頁(yè)地址過(guò)濾實(shí)現(xiàn)。</p><p><b>　　目錄</b></p><p>　　題目一、基于IPSec的GRE實(shí)現(xiàn)1</p><p><b>　　1.1實(shí)訓(xùn)任務(wù)1</b></p><p>

9、;　　1.1.1組網(wǎng)需求1</p><p>　　1.1.2組網(wǎng)圖1</p><p>　　1.1.3配置要求1</p><p>　　1.2設(shè)備配置文檔2</p><p>　　1.2.1 中心路由器的配置2</p><p>　　1.2.2分部1路由器的配置5</p><p>　　1.2.

10、3分部3路由器的配置6</p><p>　　1.2.4 效果查看7</p><p>　　1.3 實(shí)驗(yàn)疑問(wèn)解答12</p><p>　　1.4問(wèn)題回答12</p><p>　　題目二、基于IP的數(shù)據(jù)會(huì)議網(wǎng)絡(luò)14</p><p>　　2.1 實(shí)訓(xùn)任務(wù)14</p><p>　　2.1.1

11、 組網(wǎng)需求14</p><p>　　2.1.2 組網(wǎng)圖14</p><p>　　2.1.3 配置要求14</p><p>　　2.2 實(shí)驗(yàn)配置15</p><p>　　2.3 問(wèn)題回答18</p><p>　　題目三、網(wǎng)絡(luò)安全綜合實(shí)驗(yàn)19</p><p>　　3.1 實(shí)訓(xùn)任務(wù)19&

12、lt;/p><p>　　3.1.1組網(wǎng)需求19</p><p>　　3.1.2組網(wǎng)圖19</p><p>　　3.2防火墻配置文檔19</p><p>　　3.3 實(shí)驗(yàn)中疑問(wèn)解答33</p><p>　　題目四：選做題34</p><p>　　4.1 實(shí)訓(xùn)任務(wù)34</p>

13、<p>　　4.1.1 實(shí)驗(yàn)要求34</p><p>　　4.1.2 組網(wǎng)圖34</p><p>　　4.2 IP地址劃分35</p><p>　　4.3 實(shí)驗(yàn)配置文檔35</p><p>　　4.3.1 R1配置35</p><p>　　4.3.2 R2配置36</p><p

14、>　　4.3.3 R3配置38</p><p>　　4.3.4三層交換機(jī)配置39</p><p>　　4.3.5 二層交換機(jī)配置40</p><p>　　4.3.6 實(shí)驗(yàn)驗(yàn)證41</p><p>　　4.4 實(shí)驗(yàn)中的疑問(wèn)解決43</p><p><b>　　5 總結(jié)44</b>&

15、lt;/p><p><b>　　參考文獻(xiàn)45</b></p><p><b>　　致謝46</b></p><p>　　題目一、基于IPSec的GRE實(shí)現(xiàn)</p><p><b>　　1.1實(shí)訓(xùn)任務(wù)</b></p><p><b>　　1.1

16、.1組網(wǎng)需求</b></p><p>　　分部1和分部2通過(guò)野蠻IPSec的方式連接到中心，采用GRE -Over-IPSec的方式，在tunnel上運(yùn)行OSPF協(xié)議來(lái)實(shí)現(xiàn)總部和分部之間的互通。</p><p><b>　　1.1.2組網(wǎng)圖</b></p><p><b>　　圖 1.1 組網(wǎng)圖</b><

17、/p><p><b>　　1.1.3配置要求</b></p><p>　　(1) 3個(gè) MSR20路由器的配置；</p><p>　　(2) 中心上的ike sa 狀態(tài)；</p><p>　　(3) 中心上的IPSec sa狀態(tài)；</p><p>　　(4) 中心路由表；</p><

18、;p>　　(5) 分部1的ike sa狀態(tài)；</p><p>　　(6) 分部1的ipsec sa狀態(tài)；</p><p>　　(7) 分部1的路由表</p><p><b>　　(8) 實(shí)驗(yàn)組網(wǎng)圖</b></p><p>　　圖 1.2 網(wǎng)絡(luò)拓?fù)鋱D</p><p><b>　　1.

19、2設(shè)備配置文檔</b></p><p>　　1.2.1 中心路由器的配置</p><p>　　配置各個(gè)端口的IP地址。</p><p>　　[center]int e0/1</p><p>　　[center-Ethernet0/1]ip add 19.168.1.1 24</p><p>　　[cente

20、r-Ethernet0/1]int s1/0</p><p>　　[center-Serial1/0]ip add 20.10.1.2 30</p><p>　　[center-Serial1/0]int s2/0</p><p>　　[center-Serial2/0]ip add 20.10.4.2 30</p><p>　　[cente

21、r-Serial2/0]quit</p><p>　　用訪問(wèn)控制列表實(shí)現(xiàn)包過(guò)濾即Acl配置。</p><p>　　[center]acl number 3001</p><p>　　[center-acl-adv-3001] rule 0 permit gre source 20.10.1.2 0 destination 20.10.2.2 0</p>

22、<p>　　[center-acl-adv-3001]quit</p><p>　　[center]acl number 3002</p><p>　　[center-acl-adv-3002] rule 0 permit gre source 20.10.4.2 0 destination 20.10.3.2 0</p><p>　　配置總部cente

23、r與分部1branch1之間的GRE tunnel0，再配置總部center與分部2branch2之間的GRE tunnel1，分別給tunnel配置IP地址，在定義通道源地址與目的地址。</p><p>　　interface Tunnel0</p><p>　　ip address 10.0.0.1 255.255.255.252</p><p>　　sourc

24、e 20.10.1.2</p><p>　　destination 20.10.2.2</p><p>　　interface Tunnel1</p><p>　　ip address 10.0.0.5 255.255.255.252</p><p>　　source 20.10.4.2</p><p>　　desti

25、nation 20.10.3.2</p><p>　　配置OSPF動(dòng)態(tài)路由。實(shí)驗(yàn)中分為3個(gè)區(qū)域，分別是area0、area10、area20，然后將相應(yīng)的路由宣告到各自的區(qū)域中去。</p><p><b>　　ospf 1</b></p><p>　　area 0.0.0.0</p><p>　　network 1.1.

26、1.1 0.0.0.0</p><p>　　network 19.168.1.0 0.0.0.255</p><p>　　area 0.0.0.10</p><p>　　network 10.0.0.4 0.0.0.3</p><p>　　area 0.0.0.20</p><p>　　network 10.0.0.0

27、 0.0.0.3</p><p>　　Ike和ipsec的配置</p><p>　　ike peer branch1//設(shè)置IKE對(duì)等體，名稱為brance1</p><p>　　exchange-mode aggressive //設(shè)置IPsec為野蠻模式</p><p>　　pre-shared-key cipher J5fBBp

28、uCrvQ= //設(shè)立預(yù)共享密鑰</p><p>　　id-type name//選擇ID類型為名字</p><p>　　remote-name branch1 //定義遠(yuǎn)端對(duì)等體名稱為brance1</p><p>　　ike peer branch2</p><p>　　exchange-mode aggressive</p>

29、<p>　　pre-shared-key cipher J5fBBpuCrvQ=</p><p>　　id-type name</p><p>　　remote-name branch2</p><p>　　remote-address 20.10.3.2</p><p>　　ike peer center</p>

30、<p>　　remote-address 20.10.2.2</p><p>　　定義ipsec proposal的安全級(jí)別為1。</p><p>　　ipsec proposal 1</p><p>　　設(shè)置分部1與分部2的ipsec policy</p><p>　　ipsec policy center 10 isakmp&

31、lt;/p><p>　　security acl 3001</p><p>　　ike-peer branch1</p><p>　　proposal 1</p><p>　　ipsec policy center 20 isakmp</p><p>　　security acl 3002</p><p

32、>　　ike-peer branch2</p><p>　　proposal 1</p><p>　　在相應(yīng)的端口上應(yīng)用IPSec policy。</p><p>　　interface Serial1/0</p><p>　　link-protocol ppp</p><p>　　ip address 20.1

33、0.1.2 255.255.255.252</p><p>　　ipsec policy center</p><p>　　interface Serial2/0</p><p>　　link-protocol ppp</p><p>　　ip address 20.10.4.2 255.255.255.252</p><

34、p>　　ipsec policy center</p><p><b>　　靜態(tài)路由配置</b></p><p>　　ip route-static 0.0.0.0 0.0.0.0 20.10.1.1</p><p>　　1.2.2分部1路由器的配置</p><p>　　[branch1]int e0/1</

35、p><p>　　[branch1-Ethernet0/1]ip add 19.168.2.1 24</p><p>　　[branch1-Ethernet0/1]</p><p>　　[branch1-Ethernet0/1]int s2/0</p><p>　　[branch1-Serial2/0]ip add 20.10.2.2 30<

36、/p><p><b>　　#</b></p><p>　　acl number 3001</p><p>　　rule 0 permit gre source 20.10.2.2 0 destination 20.10.1.2 0</p><p><b>　　#</b></p><p

37、>　　interface Tunnel0</p><p>　　ip address 10.0.0.2 255.255.255.252</p><p>　　source 20.10.2.2</p><p>　　destination 20.10.1.2</p><p><b>　　#</b></p>&

38、lt;p><b>　　ospf 1</b></p><p>　　area 0.0.0.10</p><p>　　network 2.2.2.2 0.0.0.0</p><p>　　network 10.0.0.0 0.0.0.3</p><p>　　network 19.168.2.0 0.0.0.255</

39、p><p><b>　　#</b></p><p>　　ike peer center</p><p>　　exchange-mode aggressive</p><p>　　pre-shared-key cipher J5fBBpuCrvQ=</p><p>　　id-type name</

40、p><p>　　remote-name center</p><p>　　remote-address 20.10.1.2</p><p><b>　　#</b></p><p>　　ipsec proposal 1</p><p><b>　　#</b></p>

41、<p>　　ipsec policy branch1 10 isakmp</p><p>　　ike-peer center</p><p>　　proposal 1</p><p><b>　　#</b></p><p>　　interface Serial2/0</p><p>　　

42、link-protocol ppp</p><p>　　ip address 20.10.2.2 255.255.255.252</p><p>　　ipsec policy branch1</p><p><b>　　#</b></p><p>　　ip route-static 0.0.0.0 0.0.0.0 20.

43、10.2.1</p><p>　　1.2.3分部3路由器的配置</p><p>　　[branch2]int e0/1</p><p>　　[branch2-Ethernet0/1]ip add 19.168.3.1 24</p><p>　　[branch2-Ethernet0/1]int s1/0</p><p>

44、　　[branch2-Serial1/0]ip add 20.10.3.2 30</p><p>　　[branch2-Serial1/0]</p><p>　　[branch2-Serial1/0]quit</p><p>　　[branch2]acl number 3002</p><p>　　[branch2-acl-adv-3002]

45、rule 0 permit gre source 20.10.3.2 0 destination 20.10.4.2 0</p><p>　　[branch2-acl-adv-3002]quit</p><p>　　[branch2]int Tunnel 1</p><p>　　[branch2-Tunnel1]ip add 10.0.0.6 30</p>

46、;<p>　　[branch2-Tunnel1]source 20.10.3.2</p><p>　　[branch2-Tunnel1]destination 20.10.4.2</p><p>　　[branch2-Tunnel1]quit</p><p>　　[branch2]ospf 1</p><p>　　[branch

47、2-ospf-1-area-0.0.0.20]network 10.0.0.4 0.0.0.3</p><p>　　[branch2-ospf-1-area-0.0.0.20]network 19.168.3.0 0.0.0.255</p><p>　　[branch2-ospf-1-area-0.0.0.20]quit</p><p>　　[branch2-osp

48、f-1]quit</p><p>　　[branch2]ike local-name branch2</p><p>　　[branch2]ike peer center //配置ike對(duì)等體peer</p><p>　　[branch2-ike-peer-center]exchange-mode aggressive </p><p>　　

49、[branch2-ike-peer-center]pre-shared-key abc</p><p>　　[branch2-ike-peer-center]id-type name</p><p>　　[branch2-ike-peer-center]remote-name center</p><p>　　[branch2-ike-peer-center]rem

50、ote-address 20.10.4.2</p><p>　　[branch2-ike-peer-center]quit</p><p>　　[branch2]ipsec proposal 1 //創(chuàng)建ipsec安全提議</p><p>　　[branch2-ipsec-proposal-1]quit</p><p>　　[branch2

51、]ipsec policy branch2 20 isakmp </p><p>　　[branch2-ipsec-policy-isakmp-branch2-20]quit</p><p>　　[branch2]ipsec policy branch2 20 isakmp //在分配ipsec policy時(shí)通過(guò)ike協(xié)商建立sa</p><p>　　[bran

52、ch2-ipsec-policy-isakmp-branch2-20]security acl 3002 //指定安全策略所引用的訪問(wèn)控制列表號(hào)</p><p>　　[branch2-ipsec-policy-isakmp-branch2-20]ike-peer center</p><p>　　[branch2-ipsec-policy-isakmp-branch2-20]proposa

53、l 1</p><p>　　[branch2-ipsec-policy-isakmp-branch2-20]quit</p><p>　　[branch2]int s1/0</p><p>　　[branch2-Serial1/0]ipsec policy branch2</p><p>　　[branch2-Serial1/0]quit&l

54、t;/p><p>　　[branch2]ip route-static 0.0.0.0 0.0.0.0 20.10.3.1 preference 60</p><p>　　1.2.4 效果查看</p><p>　?。?） 中心上的ike sa 狀態(tài)；</p><p>　　[center]dis ike sa</p><p>

55、;　　total phase-1 SAs: 2</p><p>　　connection-id peer flag phase doi</p><p>　　----------------------------------------------------------</p><p>　　106 2

56、0.10.3.2 RD|ST 1 IPSEC </p><p>　　107 20.10.3.2 RD|ST 2 IPSEC </p><p>　　10 20.10.2.2 RD 2 IPSEC </p><p>

57、　　1 20.10.2.2 RD 1 IPSEC </p><p>　　flag meaning</p><p>　　RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO—TIMEOUT</p><p>　　（2）中心上的IPSec sa狀態(tài)；</

58、p><p>　　[center]dis ipsec sa</p><p>　　===============================</p><p>　　Interface: Serial1/0</p><p>　　path MTU: 1500</p><p>　　=========================

59、======</p><p>　　-----------------------------</p><p>　　IPsec policy name: "center"</p><p>　　sequence number: 10</p><p>　　mode: isakmp</p><p>　　--

60、---------------------------</p><p>　　connection id: 3</p><p>　　encapsulation mode: tunnel</p><p>　　perfect forward secrecy: None</p><p><b>　　tunnel:</b><

61、/p><p>　　local address: 20.10.1.2</p><p>　　remote address: 20.10.2.2</p><p><b>　　Flow :</b></p><p>　　sour addr: 20.10.1.2/255.255.255.255 port: 0 protocol:

62、GRE</p><p>　　dest addr: 20.10.2.2/255.255.255.255 port: 0 protocol: GRE</p><p>　　[inbound ESP SAs] </p><p>　　spi: 4140546555 (0xf6cbb9fb)</p><p>　　proposal: ESP-ENCRY

63、PT-DES ESP-AUTH-MD5</p><p>　　sa duration (kilobytes/sec): 1843200/3600</p><p>　　sa remaining duration (kilobytes/sec): 1843174/915</p><p>　　max received sequence-number: 268</p&g

64、t;<p>　　anti-replay check enable: Y</p><p>　　anti-replay window size: 32</p><p>　　udp encapsulation used for nat traversal: N</p><p>　　[outbound ESP SAs] </p><p>

65、;　　spi: 3177135980 (0xbd5f3f6c)</p><p>　　proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5</p><p>　　sa duration (kilobytes/sec): 1843200/3600</p><p>　　sa remaining duration (kilobytes/sec): 18

66、43191/915</p><p>　　max sent sequence-number: 87</p><p>　　udp encapsulation used for nat traversal: N</p><p>　　===============================</p><p>　　Interface: Serial

67、2/0</p><p>　　path MTU: 1500</p><p>　　===============================</p><p>　　-----------------------------</p><p>　　IPsec policy name: "center"</p>&l

68、t;p>　　sequence number: 20</p><p>　　mode: isakmp</p><p>　　-----------------------------</p><p>　　connection id: 4</p><p>　　encapsulation mode: tunnel</p><p

69、>　　perfect forward secrecy: None</p><p><b>　　tunnel:</b></p><p>　　local address: 20.10.4.2</p><p>　　remote address: 20.10.3.2</p><p><b>　　Flow :&l

70、t;/b></p><p>　　sour addr: 20.10.4.2/255.255.255.255 port: 0 protocol: GRE</p><p>　　dest addr: 20.10.3.2/255.255.255.255 port: 0 protocol: GRE</p><p>　　[inbound ESP SAs] </

71、p><p>　　spi: 284357432 (0x10f2f338)</p><p>　　proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5</p><p>　　sa duration (kilobytes/sec): 1843200/3600</p><p>　　sa remaining duration (kilo

72、bytes/sec): 1843199/3450</p><p>　　max received sequence-number: 9</p><p>　　anti-replay check enable: Y</p><p>　　anti-replay window size: 32</p><p>　　udp encapsulation u

73、sed for nat traversal: N</p><p>　　[outbound ESP SAs] </p><p>　　spi: 857610838 (0x331e1a56)</p><p>　　proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5</p><p>　　sa duration (kilobyt

74、es/sec): 1843200/3600</p><p>　　sa remaining duration (kilobytes/sec): 1843198/3450</p><p>　　max sent sequence-number: 16</p><p>　　udp encapsulation used for nat traversal: N</p&g

75、t;<p>　　（3） 中心路由表；</p><p>　　[Center] dis ip routing-table </p><p>　　Routing Tables: Public</p><p>　　Destinations : 20 Routes : 20</p><p>　　Destination/Mask

76、 Proto Pre Cost NextHop Interface</p><p>　　0.0.0.0/0 Static 60 0 20.10.1.1 S2/0</p><p>　　1.1.1.1/32 Direct 0 0 127.0.0.1

77、 InLoop0</p><p>　　2.2.2.2/32 OSPF 10 1562 10.0.0.2 Tun0</p><p>　　3.3.3.3/32 OSPF 10 1562 10.0.0.6 Tun1</p><p>　　10.0.0.0/3

78、0 Direct 0 0 10.0.0.1 Tun0</p><p>　　10.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　10.0.0.4/30 Direct 0 0 10.0.0

79、.5 Tun1</p><p>　　10.0.0.5/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　127.0.0.0/8 Direct 0 0 127.0.0.1 InLoop0</p><p>　　1

80、27.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　19.168.1.0/24 Direct 0 0 19.168.1.1 Eth0/1</p><p>　　19.168.1.1/32 Direct 0 0

81、 127.0.0.1 InLoop0</p><p>　　19.168.2.0/24 OSPF 10 1563 10.0.0.2 Tun0</p><p>　　19.168.3.0/24 OSPF 10 1563 10.0.0.6 Tun1</p><p>

82、　　20.10.1.0/30 Direct 0 0 20.10.1.2 S2/0</p><p>　　20.10.1.2/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　20.10.2.2/32 Direct 0 0 20

83、.10.2.2 S2/0</p><p>　　20.10.3.2/32 Direct 0 0 20.10.3.2 S1/0</p><p>　　20.10.4.0/30 Direct 0 0 20.10.4.2 S1/0</p><p>　　20.10.4.2/32

84、 Direct 0 0 127.0.0.1 InLoop0</p><p>　?。?）分部1的ike sa狀態(tài)；</p><p>　　[branch1]dis ike sa</p><p>　　total phase-1 SAs: 1</p><p>　　connection-id peer

85、 flag phase doi</p><p>　　----------------------------------------------------------</p><p>　　11 20.10.1.2 RD|ST 2 IPSEC </p><p>　　2

86、 20.10.1.2 RD|ST 1 IPSEC </p><p>　　flag meaning</p><p>　　RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO—TIMEOUT</p><p>　　（5）分部1的ipsec sa狀態(tài)；</p>

87、;<p>　　[branch1]dis ipsec sa</p><p>　　===============================</p><p>　　Interface: Serial2/0</p><p>　　path MTU: 1500</p><p>　　============================

88、===</p><p>　　-----------------------------</p><p>　　IPsec policy name: "branch1"</p><p>　　sequence number: 10</p><p>　　mode: isakmp</p><p>　　----

89、-------------------------</p><p>　　connection id: 3</p><p>　　encapsulation mode: tunnel</p><p>　　perfect forward secrecy: None</p><p><b>　　tunnel:</b></p

90、><p>　　local address: 20.10.2.2</p><p>　　remote address: 20.10.1.2</p><p><b>　　Flow :</b></p><p>　　sour addr: 20.10.2.2/255.255.255.255 port: 0 protocol: GR

91、E</p><p>　　dest addr: 20.10.1.2/255.255.255.255 port: 0 protocol: GRE</p><p>　　[inbound ESP SAs] </p><p>　　spi: 3177135980 (0xbd5f3f6c)</p><p>　　proposal: ESP-ENCRYPT

92、-DES ESP-AUTH-MD5</p><p>　　sa duration (kilobytes/sec): 1843200/3600</p><p>　　sa remaining duration (kilobytes/sec): 1843200/2348</p><p>　　max received sequence-number: 1</p>

93、<p>　　anti-replay check enable: Y</p><p>　　anti-replay window size: 32</p><p>　　udp encapsulation used for nat traversal: N</p><p>　　[outbound ESP SAs] </p><p>　　

94、spi: 4140546555 (0xf6cbb9fb)</p><p>　　proposal: ESP-ENCRYPT-DES ESP-AUTH-MD5</p><p>　　sa duration (kilobytes/sec): 1843200/3600</p><p>　　sa remaining duration (kilobytes/sec): 18431

95、88/2348</p><p>　　max sent sequence-number: 126</p><p>　　udp encapsulation used for nat traversal: N</p><p>　?。?）分部1的路由表</p><p>　　[Branch1]dis ip routing-table </p>

96、;<p>　　Routing Tables: Public</p><p>　　Destinations : 13 Routes : 13</p><p>　　Destination/Mask Proto Pre Cost NextHop Interface</p><p>　　0.0.0.0/0

97、 Static 60 0 20.10.2.1 S1/0</p><p>　　1.1.1.1/32 OSPF 10 1562 10.0.0.1 Tun0</p><p>　　2.2.2.2/32 Direct 0 0 127.0.0.1

98、 InLoop0</p><p>　　10.0.0.0/30 Direct 0 0 10.0.0.2 Tun0</p><p>　　10.0.0.2/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　127.0.

99、0.0/8 Direct 0 0 127.0.0.1 InLoop0</p><p>　　127.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　19.168.1.0/24 OSPF 10 1563

100、10.0.0.1 Tun0</p><p>　　19.168.2.0/24 Direct 0 0 19.168.2.1 Eth0/1</p><p>　　19.168.2.1/32 Direct 0 0 127.0.0.1 InLoop0</p><p>　　2

101、0.10.1.2/32 Direct 0 0 20.10.1.2 S1/0</p><p>　　20.10.2.0/30 Direct 0 0 20.10.2.2 S1/0</p><p>　　20.10.2.2/32 Direct 0 0 127.0.0.1

102、 InLoop0</p><p>　　1.3 實(shí)驗(yàn)疑問(wèn)解答</p><p>　　實(shí)驗(yàn)中的當(dāng)吧配置文檔敲進(jìn)去后，我能夠看到實(shí)驗(yàn)效果，就是網(wǎng)絡(luò)拓?fù)渲袃啥说腜C能夠ping通，但是查看不了各個(gè)路由器中的ike sa狀態(tài)和ipsec sa狀態(tài)。</p><p>　　原因：實(shí)驗(yàn)中我配置的時(shí)候是以我的理解去配置實(shí)驗(yàn)，配置的時(shí)候，我將IPSec policy應(yīng)用在tun

103、nel0與tunne1上面，而不是應(yīng)用在Serial1/0和 Serial2/0里，還有就是少配置了id-type name這條命令，所以實(shí)驗(yàn)中雖然能夠通，但是確不是從虛擬鏈路上面的。</p><p><b>　　1.4問(wèn)題回答</b></p><p>　　1、請(qǐng)闡述IPSec是通過(guò)哪些協(xié)議來(lái)實(shí)現(xiàn)安全服務(wù)的？這些協(xié)議分別起什么作用？。</p><p

104、>　　Authentication Header：AH定義在IETF RFC 2402，它支持IPsec數(shù)據(jù)驗(yàn)證、認(rèn)證和完整性服務(wù)。它不支持?jǐn)?shù)據(jù)加密。AH一般是單獨(dú)實(shí)現(xiàn)的，但是它也可以與ESP一起實(shí)現(xiàn)。AH只有當(dāng)我們需要保證交換數(shù)據(jù)雙方安全時(shí)才會(huì)使用。</p><p>　　Encapsulating Security Payload：ESP定義在IETF RFC 2406，它支持IPsec數(shù)據(jù)加密、驗(yàn)證、認(rèn)

105、證和完整性服務(wù)。ESP可以單獨(dú)實(shí)現(xiàn)，也可以與AH一起實(shí)現(xiàn)。AH頭是預(yù)先設(shè)置在IP數(shù)據(jù)包的數(shù)據(jù)有效內(nèi)容位置的，而ESP則將IP數(shù)據(jù)包的整個(gè)數(shù)據(jù)部分封裝到一個(gè)頭和尾上。</p><p>　　Internet Security Association and Key Management Protocol (ISAKMP)：這些協(xié)議提供了實(shí)現(xiàn)IPsec VPN服務(wù)協(xié)商的框架和過(guò)程。ISAKMP定義在IETF RFC 2

106、408。IKE定義在IETF RFC 2409。ISAKMP定義了創(chuàng)建和刪除認(rèn)證密鑰和安全關(guān)聯(lián)（SA）的模式、語(yǔ)法和過(guò)程。IPsec節(jié)點(diǎn)會(huì)使用SA來(lái)跟蹤不同IPsec節(jié)點(diǎn)之間協(xié)商的各個(gè)方面的安全性服務(wù)政策。</p><p>　　Internet Key Exchange：IKE是 Oakley密鑰判定協(xié)議和SKEME密鑰交換協(xié)議的混合物。IKE協(xié)議負(fù)責(zé)管理IPsec VPN節(jié)點(diǎn)的ISAKMP中的IPsec安全關(guān)聯(lián)

107、。IKE協(xié)議可以被ISAKMP使用； 但是它們并不相同。IKE是建立IPsec節(jié)點(diǎn)之間IPsec連接的機(jī)制。</p><p>　　2、什么叫GRE（Generic Routing Encapsulation，通用路由封裝）協(xié)議，該協(xié)議有何特點(diǎn)？</p><p>　　定義：IP隧道技術(shù)中使用的一種封裝格式：把企業(yè)內(nèi)部網(wǎng)的各種信息分組封裝在內(nèi)，可通過(guò)IP協(xié)議透明地穿過(guò)因特網(wǎng)，實(shí)現(xiàn)端點(diǎn)之間互連。

108、</p><p>　　GRE（Generic Routing Encapsulation，通用路由封裝）協(xié)議是對(duì)某些網(wǎng)絡(luò)層協(xié)議（如IP 和IPX）的數(shù)據(jù)報(bào)文進(jìn)行封裝，使這些被封裝的數(shù)據(jù)報(bào)文能夠在另一個(gè)網(wǎng)絡(luò)層協(xié)議（如IP）中傳輸。GRE采用了Tunnel（隧道）技術(shù)，是VPN（Virtual Private Network）的第三層隧道協(xié)議。</p><p>　　Tunnel 是一個(gè)虛擬的點(diǎn)

109、對(duì)點(diǎn)的連接，提供了一條通路使封裝的數(shù)據(jù)報(bào)文能夠在這個(gè)通路上傳輸，并且在一個(gè)Tunnel 的兩端分別對(duì)數(shù)據(jù)報(bào)進(jìn)行封裝及解封裝。</p><p>　　特點(diǎn)：通過(guò)GRE，用戶可以利用公共IP網(wǎng)絡(luò)連接非IP網(wǎng)絡(luò)VPN通過(guò)GRE，還可以使用保留地址進(jìn)行網(wǎng)絡(luò)互聯(lián)，或者對(duì)公網(wǎng)隱藏企業(yè)網(wǎng)的IP地址。擴(kuò)大了網(wǎng)絡(luò)的工作范圍，包括那些路由網(wǎng)關(guān)有限的協(xié)議。只封裝不加密，路由器性能影響較小，設(shè)備檔次要求相對(duì)較低。缺點(diǎn)只封裝不加密，不能防止

110、網(wǎng)絡(luò)監(jiān)聽(tīng)和攻擊，所以在實(shí)際環(huán)境中經(jīng)常與IPSec一起使用?；谒淼赖腣PN實(shí)現(xiàn)方式，所以IPSec VPN在管理、組網(wǎng)上的缺陷，GRE VPN也同樣具有。對(duì)原有IP報(bào)文進(jìn)行了重新封裝，所以同樣無(wú)法實(shí)施IP QoS策略。</p><p>　　題目二、基于IP的數(shù)據(jù)會(huì)議網(wǎng)絡(luò)</p><p><b>　　2.1 實(shí)訓(xùn)任務(wù)</b></p><p>　

111、　2.1.1 組網(wǎng)需求</p><p>　　組網(wǎng)如下圖所示，熟悉通過(guò)ME5000服務(wù)器召集基于IP地址的多點(diǎn)會(huì)議以及TOPVIEW數(shù)據(jù)終端的應(yīng)用。</p><p><b>　　2.1.2 組網(wǎng)圖</b></p><p><b>　　圖2.1 組網(wǎng)圖 </b></p><p>　　2.1.3 配置要求

112、</p><p>　　先熟悉兩種新設(shè)備MG6030和ME5000，并做好地址規(guī)劃。</p><p>　?。?）配置MG6030媒體網(wǎng)關(guān)。</p><p>　?。?）配置ME5000服務(wù)器。(參考4.2)</p><p>　?。?）實(shí)現(xiàn)通過(guò)ME5000服務(wù)器召集基于IP地址的多點(diǎn)會(huì)議。</p><p>　?。?）實(shí)現(xiàn)TO

113、PVIEW數(shù)據(jù)終端的安裝和配置。(參考3.2)</p><p><b>　?。?）實(shí)驗(yàn)拓?fù)鋱D。</b></p><p>　　圖 2.2 實(shí)驗(yàn)組網(wǎng)圖</p><p><b>　　2.2 實(shí)驗(yàn)配置</b></p><p>　　（1）MCU終端添加如下圖所示。</p><p>　　

114、圖 2.3 終端添加</p><p>　?。?）ME5000終端會(huì)議管理。</p><p>　　圖 2.4 終端管理</p><p>　?。?）創(chuàng)建會(huì)議，將分屏改成三分層，文字大小是小，字幕位置是下移，字體顏色是綠色，播放形式是滾動(dòng)，播放速度是中速，循環(huán)次數(shù)是9次等</p><p>　　圖 2.5 創(chuàng)建會(huì)議</p><p&

115、gt;<b>　?。?）會(huì)議控制</b></p><p>　　圖 2.6 會(huì)議控制設(shè)置</p><p>　　圖 2.7 會(huì)議控制設(shè)置</p><p>　　（5）TOPVIEW會(huì)議召開(kāi)。</p><p>　　1）加入會(huì)議開(kāi)始開(kāi)會(huì)。</p><p>　　圖 2.8 加入會(huì)議</p>&l

116、t;p><b>　　2）程序共享</b></p><p>　　圖 2.9 程序共享</p><p><b>　　3）文件傳輸</b></p><p>　　圖 2.10 文件傳輸</p><p><b>　　2.3 問(wèn)題回答</b></p><p>

117、　　1、什么叫E.164號(hào)碼，如何通過(guò)E.164號(hào)碼實(shí)現(xiàn)會(huì)議電視終端的點(diǎn)到點(diǎn)呼叫？</p><p>　　E.164號(hào)碼是MSISDN號(hào)碼，它是主叫用戶為呼叫移動(dòng)通信網(wǎng)中用戶所需撥號(hào)的號(hào)碼。其格式為：CC+NDC+SN，也可以表示為：國(guó)家代碼+N1N2N3+H0H1H2H3＋ABCD（CC=國(guó)家碼，中國(guó)為86；NDC=國(guó)內(nèi)目的碼；SN=用戶號(hào)碼）。</p><p>　　采用ENUM解決電話和

118、數(shù)據(jù)業(yè)務(wù)的惟一號(hào)碼問(wèn)題，但是，實(shí)現(xiàn)ENUM機(jī)制需要分配一個(gè)新的號(hào)碼，就是新的E.164號(hào)碼，如圖1所示是一個(gè)PSTN用戶對(duì)一個(gè)SIP用戶的呼叫。呼叫首先要接到ENUM網(wǎng)關(guān)，將E.164號(hào)碼轉(zhuǎn)換成URI的形式，如圖1中的第三步，然后到域名服務(wù)器去查找用戶相關(guān)的信息，獲得該用戶的域名，再到域名服務(wù)器查找SIP服務(wù)的相關(guān)的IP地址，通過(guò)SIP服務(wù)器將呼叫接到SIP的客戶端。該種業(yè)務(wù)完全依賴于DNS系統(tǒng)，用戶的個(gè)人信息也將在DNS系統(tǒng)中包括，因

119、此ENUM的引入還有一個(gè)安全的問(wèn)題，目前我國(guó)正在對(duì)于ENUM的引入進(jìn)行研究。</p><p>　　在實(shí)現(xiàn)號(hào)碼個(gè)人化方面還有一個(gè)相關(guān)的業(yè)務(wù)就是號(hào)碼攜帶業(yè)務(wù)，當(dāng)一個(gè)用戶需要更換運(yùn)營(yíng)商的時(shí)候，如果也要做到號(hào)碼的惟一性，就需要解決號(hào)碼的攜帶問(wèn)題，因?yàn)檫@時(shí)的號(hào)碼翻譯不是在一個(gè)運(yùn)營(yíng)商的平臺(tái)就能完成的，需要運(yùn)營(yíng)商間的合作才能提供。</p><p>　　題目三、網(wǎng)絡(luò)安全綜合實(shí)驗(yàn)</p>&l

120、t;p><b>　　3.1 實(shí)訓(xùn)任務(wù)</b></p><p><b>　　3.1.1組網(wǎng)需求</b></p><p>　　1、某企業(yè)采用SecPath防火墻設(shè)備和IPS設(shè)備構(gòu)建安全防范體系。</p><p>　　2、防火墻上要求實(shí)現(xiàn)ip-sweep和port-scan攻擊防范動(dòng)態(tài)加入黑名單功能。</p>