网络构建技术课件 项目4 实施接入广域网

项目四接入广域网

任务4.1封装广域网协议

服务供应商广域网（WideAreaNetworks，WAN）距离远、带宽小、延时大是一种跨地区的数据通讯网络，通常包含一个国家或地区。广域网通常由两个或多个局域网组成。广域网技术主要位于底层的3个层次，分别是：物理层、数据链路层和网络层。广域网的特点广域网(WideAreaNetwork,简称WAN)广域网技术主要位于底层的3个层次，分别是：物理层、数据链路层和网络层，广域网的概念专线电路交换分组交换服务供应商服务供应商广域网第一层接入技术主要有：X.21、EIA/TIA-232、EIA/TIA-449、V.24、V.35广域网接入技术（第一层）HDLC,PPPPPP,HDLCX.25,Frame-Relay专线电路交换分组交换服务供应商服务供应商广域网第二层接入技术主要有：LAPB、FrameRelay、HDLC、PPP、SDLC、SMDS广域网接入技术（第二层）专线也称为租用线路，即LeasedLine，在中国称为DDN，是一种点到点的连接方式，速度一般选择64kbps～2.048Mbps，它的最高带宽可达2.5Gbit/s由于专线的线路带宽是固定的，而广域网的流量是变化的，所以造成了带宽很少被完全使用。又因为每个专线的接入都需要路由器的一个接口，这样位于多点星型结构的中心路由器价格非常昂贵。广域网的接入技术的分类-专线电路交换电路交换是广域网所使用的一种交换方式。可以通过运营商网络为每一次会话过程建立，维持和终止一条专用的物理电路。电路交换也可以提供数据报和数据流两种传送方式公共交换电话网（PSTN）ISDN基本速接口（BRIISDN）ISDN基群速率接口（PRIISDN）广域网链路模拟拔号公共电话网：即PSTN（PublicSwithedTelephoneNetwork），速度9600bps～28.8kbps，经压缩后最高可达115.2kbps，传输介质是普通电话线。模拟拔号接入方式的优点是费用低，易于建立，且分布广泛。缺点是低速率、连接时间长。广域网的接入技术的分类-模拟拔号ISD综合业务数字网：即ISDN（IntegratedServiceDigitalNetwork），也是一种拨号连接方式。低速接口为128kbps（高速可达2M），它使用ISDN线路或通过电信局在普通电话线上加装ISDN业务。ISDN将本地环路转化为TDM数字连接，该连接有用来传输语音或数据的64kbit/s承载信道和一条用来进行呼叫建立和其他用途的信令信道，承载信道和信令信道也就是B信道和D信道。广域网的接入技术的分类-ISDNATM是一个用于数据、语音、视频以及多媒体应用程序的高速网络传输方法。ATM是一种信元交换网络，最大特点的速率高、延迟小、传输质量有保障。ATM大多采用光纤作为连接介质，速率可高达上千兆（109bps），但成本也很高。53字节的ATM信元不如帧中继和X.25的较大帧和分组有效率，因为一个48字节的有效载荷至少有5Bytes的开销，当信元传输被分解的网络层分组时，开销更高。广域网的接入技术的分类-ATM分组交换分组是指包含用户数据和协议头（包括地址和管理信息）的块，每个分组通过网络交换机或路由器被传送到正确目的地。分组交换包含两种基本途径：虚拟电路分组交换数据报交换广域网链路广域网本质上是由服务提供商的通信链路连接起来的一组局域网。由于通信链路不能直接插入局域网中，所以需要各种接口连接设备路由器（Router）CSU/DSU调制解调器ISDN终端适配器广域网交换机接入服务器广域网设备及接口广域网接口接口描述EIA*TIA*232在近距离范围内，允许25针D连接器上的信号速度最高可达64kbit/s。以前被称为RS-232。ITU-Uv.24规范中也是一样EIA/TIA449EIA-530EIA/TIA232的高速版本，它使用36针D连接器，传输距离更远EIA/TIA612/613高速串行接口（HSSI），在50针D连接器上提供速度高达52Mbit/s的访问服务。V.35用于高速同步数据交换的ITU*标准。X.21用于同步数据通信通信的ITU*标准，它使用15针D连接器，这种类型的连接器主要用于欧洲和日本广域网设备及接口几种常见的广域网接口RJ-45端口AUI端口高速同步串口异步串口异步串口ISDNBRIISDNPRI广域网设备及接口数据终端设备（DTE）与数据通信设备（DCE）DCE（DataCircuit-terminatingEquipment，数据通信设备或者数据电路终端设备）：它提供了到网络的一条物理连接、转发业务量，并且提供了一个用于同步DCE设备和DTE设备之间数据传输的时钟信号。调制解调器和接口卡都是DCE设备的例子。DTE（DataTerminalEquipment，数据终端设备）：指的是位于用户网络接口用户端的设备，它能够作为信源、信宿或同时为二者。广域网设备及接口常见的几种数据链路层协议:点到点协议（PPP）高级数据链路控制（HDLC）协议帧中继（FrameRelay）X.25协议广域网中的常见数据链路层协议HDLC高级数据链路控制（HDLC）协议是基于的一种数据链路层协议，在1979年，国际标准化组织（ISO）使HDLC标准化，它作为一种标准的面向比特的数据链路层协议用来封装同步串行数据链路中的数据。HDLC具有两种不同的实现方式：高级数据链路控制正常响应模式即

HDLCNRM（又称为SDLC）和

HDLC链路访问过程平衡（LAPB）。其中第二种使用更为普遍。HDLC是面向比特的同步通信协议，主要为全双工点对点操作提供完整的数据透明度。HDLCLAPB是一种高效协议，为确保流量控制、差错监测和恢复它要求额外开销最小。广域网中的数据链路层协议——HDLCX.25协议也称为RecommendationX.25，是最古老的WAN协议之一，它采用的是60年代和70年代开发的包交换技术。X.25协议不是高速的WAN协议，其具有如下特点：全球性的认可；冗余纠错功能，可靠性；连接老式的LAN和WAN的能力；将老式主机和微型机连接到WAN的能力。速度慢，延迟大广域网的接入技术的分类-X.25帧中继其ITU-T标准于1984年提议，以满足高容量、高带宽的WAN提出的要求在虚拟电路(在帧中继上，称为虚拟连接)上使用包交换技术虚拟连接可以有交换型(SVC)和永久型(PVC)两种帧中继的永久性虚拟连接是两个结点之间的一条持续可用的通路交换式虚拟连接是需要一个建立传输会话的过程。一旦通信结束，呼叫控制信号将对每个结点发出一个命令，要求断开连接。广域网的接入技术的分类-帧中继路由器上的配置RA(config)#interfaceseriel1/2RA(config-if)#encapsulationppp注：路由器广域网默认封装方式为HDLC协议封装【子项目目的】了解广域网协议的封装类型和封装方法，具备广域网协议封装的能力。【背景描述】你是公司的网络管理员,两个分公司之间希望能够申请一条广域网专线进行连接。公司现有锐捷路由器两台,希望你了解该设备的广域网接口所支持的协议,以确定选择哪一种广域网链路。【实现功能】查看路由器广域网接口支持的数据链路层协议,并进行正确的封装。【技术原理】常见广域网专线技术有，DDN专线、PTSN/ISDN专线、帧中继专线、X.25专线等。数据链路层提供各种专线技术的协议，主要有PPP、HDLC、X.25、Frame-relay以及ATM等。【子项目设备】路由器1台子项目4.1封装广域网协议第1步，查看广域网的接口默认的封装类型.Router1#showinterfaceserial1/2第2步，查看广域网接口支持的封装类型.RouterA(config)#interfaceserial1/2routerA(config-if)#encapsulation?项目步骤子项目4.1封装广域网协议第3步，更改广域网接口支持的封装类型。PPP封装RouterA(config)#interfaceserial1/2 routerA(config-if)#encapsulationppp

将接口协议封装ppp协议。routerA(config-if)#endrouterA#showinterfaceserial1/2 Frame-Relay封装RouterA(config)#interfaceserial1/2routerA(config-if)#encapsulatiofarme-relay将接口协议封装帧中继协议。routerA(config-if)#endrouterA#showinterfaceserial1/2X.25封装routerA(config)#interfaceserial1/2routerA(config-if)#encapsulationX25

将接口协议封装X25协议。routerA(config-if)#endrouterA#showinterfaceserial1/2【注意事项】封装广域网协议时,要求V.36线缆的两个端口封装协议书一致,否则无法建立链路。子项目4.1封装广域网协议项目四接入广域网

任务4.2应用网络认证

PPP（Point-to-PointProtocol点到点协议）是为在同等单元之间传输数据包这样的简单链路设计的链路层协议。这种链路提供全双工操作，并按照顺序传递数据包。PPP是一种分层的协议，最初由LCP发起对链路的建立、配置和测试。在LCP初始化后，通过一种或多种“网络控制协议（NCP）”来传送特定协议族的通信。PPP提供了一种在点对点的链路上封装多协议数据报（

IP、IPX和AppleTalk）的标准方法。PPP协议简介PPP协议是目前使用最广泛的广域网协议，这是因为它具有以下特性：能够控制数据链路的建立；能够对IP地址进行分配和使用；允许同时采用多种网络层协议；能够配置和测试数据链路；能够进行错误检测；有协商选项，能够对网络层的地址和数据压缩等进行协商。PPP协议简介PPP协议使用了OSI分层体系结构中的3层。PPP协议结构PPP协议特点：PPP不仅适用于拨号用户，而且适用于租用的路由器线路采用NCP协议（如IPCP、IPXCP），支持更多的网络层协议具有验证协议CHAP、PAP更好了保证了网络的安全性TCP/IPIPX/SPXPPPSLIPHDLCAppleTalkPPP协议的优点PPPLCP选项ClientServerHostname:ruijiePassword:123Request用户名+密码验证成功验证失败usernameruijiepassword123PAP验证特点：两次握手协议。明文方式进行验证PAP不是一种健壮的身份验证协议。身份验证时在链路上以明文发送，而且由于验证重试的频率和次数由远程节点来控制，因此不能防止回放攻击和重复的尝试攻击。RBRAPPPPAP验证客户端（被验证方）RA(config)#interfaceseril1/2RA(config-if)#encapsulationpppRA(config-if)#ppppapsent-usernameruijiepassword0123PAP验证的配置服务端（验证方）RB(config)#usernameruijiepassword123RB(config)#interfaceseril1/2RB(config-if)#encapsulationpppRB(config-if)#pppauthenticationpapClientServerHostname:RAPassword:123

Hostname:RBPassword:123ChallengeSuccessFailureRB+挑战报文ResponseRA+加密后的密码验证成功验证失败CHAP验证特点：CHAP为三次握手协议。只在网络上传输用户名，而并不传输口令。安全性要比PAP高，但认证报文耗费带宽。RBRAPPPCHAP验证客户端（被验证方）RA(config)#usernameRBpassword123RA(config)#interfaceserial1/2RA(config-if)#encapsulationpppCHAP认证配置服务端（验证方）RB(config)#usernameRApassword123RB(config)#interfaceserial1/2RB(config-if)#encapsulationpppRB(config-if)#pppauthenticationchap特权模式下输入：Router#showinterfacesserial1/2Router#debugpppauthenticationPPP认证的调试

35PAP与CHAP对比PAP在线路上发送明文的用户名密钥消息，安全性较差，实际项目中较少使用CHAP在线路上不发送明文的密码信息，安全性较PAP有很大提高，因此实际项目中多使用CHAP作为验证方法。PAP与CHAP对比【子项目目的】掌握PPPPAP认证的过程及配置。【背景描述】你是公司的网络管理员,公司为了满足不断增长的业务需求,申请了专线接入,你的客户路由器与ISP进行链路协商时要验证身份,配置路由器保证链路建立,并考虑其其安全性。【实现功能】在链路协商时保证安全验证.链路协商时用户名.密码以明文的方式传输。【子项目设备】R1700(两台).V.35线缆(1条)【子项目拓扑】

任务一、实现PAP认证

子项目4.2应用网络认证『第一步』基本配置

Ra(config)#interfaceserial1/2Ra(config-if)#ipaddressRa(config-if)#noshutdownRb(config)#interfaceserial1/2Rb(config-if)ipaddressRb(config-if)#clockrate64000Rb(config-if)#noshutdown任务一、实现PAP认证

项目步骤1『第二步』配置PPPPAP认证.Ra(config)#interfaceserial1/2Ra(config-if)#encapsulationppp!接口下封装PPP协议。Ra(config-if)#ppppapsent-usernamerapassword0star!PAP用户名.密码。Rb(config)#usernamerapassword0starRb(config-if)#encapsulationpppRb(config-if)#pppauthenticationpap!ppp启用pap认证方式。验证测试：Ra#debugpppauthentication 注意：结束改命令用Ra#nodebugall任务一、实现PAP认证

R1762#debugpppauthentication试验结果:PPP:serial1/2SendCHAPchallengeid=8toremotehostPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:serial1/2SendCHAPchallengeid=9toremotehostPPP:serial1/2SendCHAPchallengeid=10toremotehostPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:serial1/2SendCHAPchallengeid=11toremotehostPPP:serial1/2SendCHAPchallengeid=12toremotehost任务一、实现PAP认证

验证测试3【子项目目的】掌握PPPCHAP认证的过程及配置。【背景描述】你是公司的网络管理员,公司为了满足不断增长的业务需求,申请了专线接入,你的客户路由器与ISP进行链路协商时要验证身份,配置路由器保证链路建立,并考虑其其安全性。【实现功能】在链路协商时保证安全验证.链路协商时用户名.密码以密文的方式传输。【子项目设备】R1700(两台).V.35线缆(1条)【子项目拓扑】

任务二、实现CHAP认证

子项目4.2应用网络认证『第一步』基本配置

Ra(config)#interfaceserial1/2Ra(config-if)#ipaddressRa(config-if)#noshutdownRb(config)#interfaceserial1/2Rb(config-if)#ipaddressRb(config-if)#clockrate64000Rb(config-if)#noshutdown任务二、实现CHAP认证

项目步骤1『第二步』配置PPPCHAP认证.Ra(config)#usernamerbpassword0star!以对方的主机名作为用户名,密码和对方的路由器一致Ra(config)#interfaceserial1/2Ra(config-if)#encapsulationpppRa(config-if)#pppauthenticationchap!ppp启用chap方式验证Rb(config)#usernamerapassword0star!以对方的主机名作为用户名,密码和对方的路由器一致Rb(config)#interfaceserial1/2Rb(config-if)#encapsulationppp测试：Ra#debugpppauthentication 注意：结束改命令用Ra#nodebugall任务二、实现CHAP认证

R1762#debugpppauthentication试验结果PPP:serial1/2SendCHAPchallengeid=8toremotehostPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:serial1/2SendCHAPchallengeid=9toremotehostPPP:serial1/2SendCHAPchallengeid=10toremotehostPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:ppp_clear_author(),protocol=TYPE_LCPPPP:serial1/2SendCHAPchallengeid=11toremotehostPPP:serial1/2SendCHAPchallengeid=12toremotehost任务二、实现CHAP认证

验证测试3项目四接入广域网

任务4.3应用NAT网络地址转换

局域网与Internet互联时，需要使用NAT技术什么时候使用NAT代理服务器proxy、ISA、ICS、

wingate、sysgate等NAT/NAPT(网络地址转换/网络地址端口转换)路由器、防火墙、核心交换机、服务器常见实现方式解决地址空间不足的问题；IPv4的空间已经严重不足私有IP地址网络与公网互联；/8，/12，/16非注册IP地址网络与公网互联；建网时分配了全局IP地址－但没注册网络改造中，避免更改地址带来的风险NAT/NAPT带来的好处概念：NAT就是将网络地址从一个地址空间转换到另外一个地址空间的一个行为NAT的类型NAT（NetworkAddressTranslation）转转换后，一个本地地址对应一个全局IP地址换后，一个本地IP地址对应一个全局IP地址NAPT（NetworkAddressPortTranslation）转换后，多个本地地址对应一个全局IP地址什么是NAT/NAPTNAT中用到的接口类型：内部网络－Inside外部网络－OutsideNAT中常见的术语：内部本地地址－InsideLocalAddress内部全局地址－InsideGlobalAddress外部本地地址－OutsideLocalAddress外部全局地址－OutsideGlobalAddress互联网OutsideInside企业内部网外部网NAT/NAPT的术语NAT中常见的术语(一组对称的概念)：内部本地地址－InsideLocalAddress内部全局地址－InsideGlobalAddress外部本地地址－OutsideLocalAddress外部全局地址－OutsideGlobalAddress

/24/24内部本地地址

内部全局地址

外部全局地址

外部本地地址

NAT/NAPT的术语

/24/24内部本地地址内部全局地址源IP:目的IP:源IP:目的IP:源IP:目的IP:源IP:目的IP:源IP:目的IP:源IP:目的IP:NAT工作原理内部本地地址：端口内部全局地址:端口外部全局地址：端口:1024:1024：80:1136:1136：80/24Web服务源IP::1024目的IP::80源IP::1024目的IP::80源IP::80目的IP::1024源IP::80目的IP::1024源IP::1024目的IP::80源IP::80目的IP::1024NAPT工作原理在以下几种情况下，需要使用NAPT技术：缺乏全局IP地址,甚至没有专门申请的全局IP地址，只有一个连接ISP的全局IP地址内部网要求上网的主机数很多提高内网的安全性使用NAPT的情况NAT/NAPT的配置有两种静态NAT/NAPT动态NAT/NAPT静态NAT/NAPT需要向外网络提供信息服务的主机永久的一对一IP地址映射关系动态NAT/NAPT只访问外网服务，不提供信息服务的主机内部主机数可以大于全局IP地址数最多访问外网主机数决定于全局IP地址数临时的一对一IP地址映射关系NAT/NAPT的配置配置步骤1、定义内网接口和外网接口Router(config)#interfacefastethernet1/0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1/1Router(config-if)#ipnatinside2、建立静态的映射关系Router(config)#ipnatinsidesourcestatic静态NAT1、定义内网接口和外网接口Router(config)#interfacefastethernet0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1Router(config-if)#ipnatinside2、建立静态的映射关系Router(config)#ipnatinsidesourcestatictcp10241024Router(config)#ipnatinsidesourcestaticudp10241024静态NAPT1、定义内网接口和外网接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside2、定义内部本地地址范围Router(config)#access-list10permit553、定义内部全局地址池Router(config)#ipnatpoolabc0netmask4、建立映射关系Router(config)#ipnatinsidesourcelist10poolabc动态NAT配置1、定义内网接口和外网接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside2、定义内部本地地址范围Router(config)#access-list10permit553、定义内部全局地址池Router(config)#ipnatpoolabcnetmask4、建立映射关系Router(config)#ipnatinsidesourcelist10poolabcoverload动态NAPT配置显示命令showipnatstatistics显示翻译统计showipnattranslations[verbose]显示活动翻译清除状态命令clearipnattranslation*从NAT转换表中清除所有动态地址转换项NAT/NAPT的监视和维护命令限制影响网络性能不能处理IP报头加密的报文；无法实现端到端的路径跟踪（traceroute)某些应用可能支持不了：内嵌IP地址内嵌IP地址的应用有：FTPDNSNetMeetingH.323,VoIP其它自编应用

NAT/NAPT带来的限制子项目4.3应用NAT实现地址转换

【子项目目的】掌握内网中所有主机连接到Internet网中，通过端口号区分的复用内部全局地址转换。【背景描述】你是某公司的网络管理员,公司只向ISP申请了一个公司IP地址，希望全公司的主机都能访问外网，请你实现。【实现功能】允许内部所有主机在公司地址缺乏的情况下可以访问外部网络。【子项目设备】路由器(两台)，V.35线缆(1条)，PC（2台），直连线或交叉线（2条）任务一、应用动态NAPT实现局域网访问互联网

任务一、应用动态NAPT实现局域网访问互联网

项目拓扑1『第一步』基本配置局域网路由器配置Red-Giant(config)#hostnamelan-routerLan-router(config)#interfacefastEthernet1/0Lan-router(config-if)#ipaddressLan-router(config-if)#noshutdownLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipaddressLan-router(config-if)#noshutdown互联网路由器配置internet-router(config)#interfacefastEthernet1/0internet-router(config-if)#ipaddressinternet-router(config-if)#noshutdowninternet-router(config-if)#exitinternet-router(config)#interfaceserial1/2internet-router(config-if)#ipaddressinternet-router(config-if)#clockrate64000internet-router(config-if)#noshutdown任务一、应用动态NAPT实现局域网访问互联网

项目步骤2『第一步』基本配置在lan-router上配置缺省路由lan-router(config)#iprouteserial1/2在internet-router上配置静态路由internet-router(config)#iprouteserial1/2任务一、应用动态NAPT实现局域网访问互联网

『第二步』配置动态NAPT映射lan-router(config)#interfacefastEthernet1/0lan-router(config-if)#ipnatinside

!定义F1/0为内网接口lan-router(config-if)#exitlan-router(config)#interfaceserial1/2lan-router(config-if)#ipnatoutside!定义S1/2为外网接口lan-router(config-if)#exitlan-router(config)#ipnatpoolto_internetnetmask

!定义外部全局地址池lan-router(config)#access-list10permit55！定义允许转换的地址(即定义内部本地地址)lan-router(config)#ipnatinsidesourcelist10poolto_internetoverload！为内部本地调用转换地址池任务一、应用动态NAPT实现局域网访问互联网

『第三步』验证测试在服务器上配置FTP服务。在PC机测试访问的FTP服务器。在路由器lan-router查看NAPT映射关系lan-router#showipnattranslationProInsideglobalInsidelocalOutsidelocalOutsideglobaltcp:1250:1250:1258:1258tcp:1251:1251:1259:1259tcp:21:21:1251:1251tcp:1252:1252:1260:1260任务一、应用动态NAPT实现局域网访问互联网

【子项目目的】掌握NAT源地址转换和目的地址转换的区别，掌握如何向外网发布内网的服务器。【背景描述】你是某公司的网络管理员,公司只向ISP申请了一个公网IP地址，现公司的网站在内网，要求在互联网也可以访问公司网站，请你实现。是FTP服务器的IP地址。【实现功能】内网服务器能够转换成外网公网IP，被互联网访问。【子项目设备】

路由器(两台)，V.35线缆(1条)，PC（2台），直连线（1条）任务二、应用NAT实现外网主机访问内网服务器

任务二、应用NAT实现外网主机访问内网服务器项目拓扑1『第一步』基本配置局域网路由器配置Red-Giant(config)#hostnamelan-routerLan-router(config)#interfacefastEthernet1/0Lan-router(config-if)#ipaddressLan-router(config-if)#noshutdownLan-router(config-if)#exitLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipaddressLan-router(config-if)#noshutdownLan-router(config-if)#exit互联网路由器配置internet-router(config)#interfacefastEthernet1/0internet-router(config-if)#ipaddressinternet-router(config-if)#noshutdowninternet-router(config-if)#exitinternet-router(config)#interfaceserial1/2inte