经常使用显示形状的命令

　　sh version 显示装备IOS的版本号信息

　　sh arp [| in xxx...] 显示arp列表

　　sh ip int brief 显示接口的ip简明信息列表。如IP地址和协定形状等。

　　sh int status 显示接口形状

　　sh int stats 显示接口统计信息 (sh int gi0/1 stats)显示某个接口的流量统计信息

　　sh int description 显示自定义刻画信息

　　sh int status err-disabled 显示形状被毛病封闭的接口和启事(Reason)

　　sh port-security interface fastEthernet 0/5 检查该端口平安形状

　　sh port-security address 检查一切已设备的端口平安

　　clear arp-cache 清除arp列表

　　clear counters[接口号] 清除一切接口或某一接口上的统计信息(stats)

　　clear line console/vty [0] 清除/中缀某个登入到装备上的用户

　　经常使用特权敕令

　　switch(config)#ip subnet-zero 许可应用全0的子网.

　　switch(config)#ip classless 启用无类路由.

　　switch(config)#ip routing 启用三层交换机的路由功用

　　交换机经常使用的本机设备敕令

　　3560G(config)#ip default-gateway 10.100.100.2 设置交换机确当地默许网关

　　3560G(config)#hostname Switch 设置此交换机的名字

　　Switch(config)#

　　交换机的临光阴记出现后主动回车另起一行

　　switch#conf t

　　switch(config)# line console 0

　　switch(config-line)#logging synchronous //阻拦控制台信息掩饰敕令行上的输入

　　停用域名说明功用

　　Switch(config)#no ip domain-lookup //在路由或交换中输入字符不会被认为是主机名而去向DNS说明半天

　　设置用户暗码

　　1、Router(config)#line vty 0 4

　　Router(config-line)#login //在用户telnet时可否检查暗码。假设设为no login则可以跳过暗码直接telnet下去

　　Router(config-line)#password 123456　　设置telnet时的登入暗码。

　　2、Router(config)#enable password 123456　　设置停止特权en形式的暗码(明文方法)

　　3、Router(config)#enable secret 654321　　设置停止特权en形式的暗码(密文方法，优先于明文方法，如设置，下面的明文暗码掉效)

　　后果：

　　A、 当1设备完成后暗码掉效否?

　　B、 1与2有何差别?是必须用2来将1激活吗?

　　C、 既然设备了3则2有效且3比2更平安，哪要2有何用?

　　D、 1与2的暗码要一样吗?

　　答:

　　A、 暗码掉效(telnet的上岸暗码)

　　B、2是用来进入全局形式的暗码

　　c、2无用，cisco称当2、3同时存在时，2有效.(en pwd 可以被show run出来,secret不可)

　　d、不需求，1时用来进入用户形式的。二者不答价。

　　4、Router(config-line)#privilege level 15

　　使telnet一上岸就进入全局形式(#)level 15是最高权限,不需求再enable

　　加密暗码 密文

　　1、关于进入特权形式的enable的暗码，可以用enable secret来加密成密文字符显示，当设置了此方法后

　　原enable password的明文暗码将掉效。如Swicth(config)#enable secret [暗码]

　　2、关于上岸暗码可以用service password-encryption敕令来对一切上岸口令加密并显示其为密文字符。

　　Swicth(config)#service password-encryption

　　二种关于用户的超时设置

　　在线路设备形式下的Timeout login response 与 Exec-timeout

　　1、Timeout login response 是设备当你telnet到装备时等待输入暗码的十分时间从0-300。

　　切记不成设置为0。假设设为0，就等于你要在0秒内输入暗码，这是不能够的，所以你就等着去破解暗码吧

　　Swicth(config)#line vty 0 4

　　Swicth(config-line)#Timeout login response 20 //没有上岸操作时等待20秒后参与

　　2、Exec-timeout 是设备在你上岸到装备后，若干时间没有停止操作就主动参与装备的时间。

　　Swicth(config)#line vty 0 4

　　Swicth(config-line)#Exec-timeout 3 30 //没有敕令操作时等待3分30秒参与

　　检查telnet和console的连接用户和断开用户

　　1、检查一切上岸形状

　　Swicth#show line (在列表中已上岸的行前面会有*)

　　2、检查哪些用户和IP上岸下去了

　　Swicth#show user (比拟慢，要等几秒钟)

　　3、强行断开已上岸的用户(不用担心会断开自己的连接，因为系统不准可断开自己)

　　Swicth#clear line [0-16] 0是sonsole口，1是vty 0口，以此类推

　　或指定line的类型：

　　Swicth#clear line vty [0-15]

　　Swicth#clear line console [0]

　　三层交换机 设备接口为路由形式

　　Swicth(config)#hostname Switch 设置此交换机的名字

　　Swicth(config)#ip routing 启用三层交换的路由功用

　　Swicth(config)#int fa(gi)0/1　　进入快速以太网0/1接口

　　Swicth(config-if)#no switchport　　将此接口设为非交换形式(即路由形式)

　　Swicth(config-if)#ip address X.X.X.X X.X.X.X　　设置此接口的地址

　　三层交换机 创立VLAN，并将端口参与到VLAN中

　　Swicth(config)#ip routing 启用三层交换的路由功用(假设没有启用)

　　Swicth(config)#interface vlan 100 创立一个VLAN并设置此VLAN号为100

　　Swicth(config-if)#ip address 192.168.0.129 255.255.255.0 设置VLAN100的IP地址

　　回到config全局设备下

　　Swicth(config)#int fa(gi)0/1　　进入快速以太网0/1接口

　　Swicth(config-if)#switchport　　将此接口设为交换形式(即非路由形式)

　　Swicth(config-if)#switchport access vlan 100　　把此接口参与到VLAN100中

　　设备端口平安

　　末尾设备

　　Router(config)#int fa 0/1 进入此端口

　　Router(config-if)#switchport mode access 修改端口任务形状为访问形式

　　Router(config-if)#switchport port-security 启用port-security端口平安功用

　　Router(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 (指定此端口MAC 可以不设备)

　　Router(config-if)#switchport port-security maximum 1 许可十分MAC数

　　Router(config-if)#switchport port-security violation shutdown 背犯平安后shutdown封闭端口

　　Router(config)#sh port-security interface fastEthernet 0/5 最后检查此端口相干形状

　　设备端口镜像

　　Switch(config)# no monitor session 1 撤消session 1 (假设有的话)

　　Switch(config)# monitor session 1 source interface fastethernet0/1 建立一个session 1 并设置需求镜像的源端口

　　Switch(config)# monitor session 1 destination interface fastethernet0/10 在session 1 中设置镜像的目标端口

　　Switch(config)# end

　　访问控制列表ACL

　　复杂说明和通俗操作：

　　ACL的通配符与子网掩码正好相反。(0为通配检查，1为疏忽不检查)

　　如要检查192.168.2.0下的所无机械，它的通配符为：0.0.0.255;

　　假设要对一切IP通配，而通配符为"any"(255.255.255.255);假设对一台主机IP通配，则为"host"(0.0.0.0)

　　ACL分为基本(standard)ACL，和扩大(extended)ACL。基本ACL只能检查源IP，扩大ACL可以检查包罗源、

　　目标IP，还有端口号等。

　　经过在config#下输入access-list [数字]或ip access-list 来定义ACL

　　经过在接口设备下用ip access-group [数字或ACL称号] in/out 来加载启用ACL

　　留心：

　　ACL的依次很主要;ACL的最后一条系统会暗含deny any，也就是"拒绝一切"。

　　1、在早期IOS版本中：

　　敕令：3560G(config)#access-list [号码]

　　ACL号为：1~99和1300~1999为基本(standard)ACL，100~199,2000~2699为扩大(extended)ACL

　　而且，在创立统一个号的多条ACL时，假设想删的话则此ACL号码下的一切条目将被删除。

　　如：

　　3560G(config)#access-list 1 permit host 192.168.1.1

　　3560G(config)#access-list 1 permit host 192.168.1.2

　　在删除时

　　3560G(config)#no access-list 1 permit host 192.168.1.1 一致于

　　3560G(config)#no access-list 1

　　它会把access-list 1下的一切条目全部删除。

　　2、在新版本11.2版中可以用定名ACL来处理下面后果

　　敕令：3560G(config)#ip access-list [号码] standard/extended [ACL的名字]

　　如许便可以进入ip access-list [名字]下的设备形式，对此名字ACL下的条目停止设备和独自删除。

　　而且，定名ACL不再应用数字号作为基本和扩大ACL的分类，而直接用standard/extended来分类，

　　如许就突破了ACL的在条数上的限制。

　　例子：

　　3560G(config)#access-list 1 permit host 192.168.1.1 standard test

　　3560G(config-std-nacl)#permit host 192.168.1.1

　　3560G(config-std-nacl)#permit host 192.168.1.2

　　3560G(config-std-nacl)#permit host 192.168.1.3

　　3560G(config-std-nacl)#exit

　　3560G(config)#int gi0/1

　　3560G(config-if)#ip access-group test in

　　设备DHCP

　　1、设备地址池

　　3560G(config)#ip dhcp pool SYY　//指定一个name为SYY的DHCP地址池

　　3560G(dhcp-config)#network 192.168.1.0 255.255.255.0 //设备192.168.1.X/24的网段地址池

　　3560G(dhcp-config)#default-router 192.168.1.1 //设备网关地址

　　3560G(dhcp-config)#dns-server 172.16.218.111 202.101.224.69 //设备DNS效劳器地址

　　3560G(dhcp-config)#domain-name client.com //为客户机设备域后缀

　　3560G(dhcp-config)#netbios-name-server 10.1.1.5 10.1.1.6 //设备wins效劳器地址

　　3560G(dhcp-config)#netbios-node-type h-node //为客户机设备DHCP的节点形式(影响称号说明的依次,如h-node=先经过ins效劳器说明...)

　　3560G(dhcp-config)#lease 3 //地址租用克日: 3天

　　3560G(dhcp-config)#exit

　　2、设备DHCP清除地址

　　3560G(config)#ip dhcp excluded-address 192.168.1.1 192.168.1.10 //不用于静态地址分派的地址

　　低级应用：为客户机分派固定IP地址

　　3560G(config)#ip dhcp pool ddd　//指定一个name为ddd的DHCP地址池

　　3560G(dhcp-config)#host 10.1.1.21 255.255.255.0 //指定一个客户机IP

　　3560G(dhcp-config)#client-identifier 010050.bade.6384 //client-identifier=01加上客户机网卡地址

　　相干的DHCP调试敕令：

　　no service dhcp //中断DHCP效劳[默认为启用DHCP效劳]

　　sh ip dhcp binding //显示地址分派状况

　　show ip dhcp conflict //显示地址抵触状况

　　debug ip dhcp server {events | packets | linkage} //不美观察DHCP效劳器任务状况

　　设备NAT

　　第一种:

　　//NAT的内网接口

　　Switch(config-if)#int f0/1

　　Switch(config-if)#no switchport

　　Switch(config-if)#ip address 192.168.2.1 255.255.255.0

　　Switch(config-if)#ip nat inside

　　//NAT的外网接口

　　Switch(config-if)#int f0/2

　　Switch(config-if)#no switchport

　　Switch(config-if)#ip address 218.64.64.215 255.255.255.0

　　Switch(config-if)#ip nat outside

　　//配一个ACL用来控制需求被NAT的源地址

　　Switch(config)#access-list 1 permit 192.168.2.0 0.0.0.15

　　//配一个地址池(pool) bob 用来定义NAT转换后的地址

　　Switch(config)#ip nat pool bob 218.64.64.250 218.64.64.254 netmask 255.255.255.0

　　//末尾做NAT关联,假设在最后加上overload 则说明bob的地址池中的地址假设用尽则从头末尾应用

　　Switch(config)#ip nat inside source list 1 pool bob [overload]

　　第二种:

　　//可以不用下面的POOL方面,而最下面最后二条改成下面的方法,下面说明是用F0/2的接口地址来用NAT的转换后的地址

　　Switch(config)#ip nat in source list 1 interface fastEthernet 0/2 [overload]

　　第三种是静态NAT

　　这条是一对一的静态NAT

　　Switch(config)#ip nat in source static 192.168.2.11 218.64.64.215

　　留心,假设不能删除名为bob的pool则需求在特权形式下清除NAT列表:

　　Switch#clear ip nat translation *