思科配置常见问题及其解决方法

思科提供了许多处理连接性的 方法 ，这使得排除的故障和解决问题成为一个并不轻松的问题。从包括在某些思科路由器中的性能到PIX防火墙所提供的服务，再到思科的 Concentrator，其中的每一个都有其自身的特点。考虑到选项的复杂性，本文所讨论的这些技巧并不一定适用于所有的思科配置。不过，下面我将会为您解决类似的问题提供一个很好的起点，欢迎大家参考和学习。

问题一：某个运行互联网连接共享的用户不能安装思科3000 客户端。

这个问题易于解决。用户需要在安装客户端之前在其机器上禁用ICS。笔者建议用户用一个支持防火墙的路由器代替ICS。注意，如果机器只是通过另外一个使用ICS的机器进行连接的话，这样做就不必要了。要禁用ICS，可以单击“开始(Start)”/“控制面板(Control Panel)”/“管理工具(Administrative Tools)”/“服务(Services)”/“Internet连接共享(Internet Connection Sharing)”，并禁用“在启动时加载(Load On Startup)”选项。

此外，还要保证用户们知道客户端禁用了XP的欢迎屏幕和快速用户切换，这些通常用在多用户的家用电脑中。组合键[Ctrl]+[Alt]+[Delete]仍适用，而且用户需要键入其用户名和口令。(注意：快速用户切换可以通过禁用客户端的‘登录前开始’特性禁用。不过，这也有其自身的问题，因此，除非你确实需要快速用户切换，笔者并不推荐这样做。)

关于客户端安装的另外一个问题：思科并不推荐在同一的PC上安装多个客户端。如果对此你有任何问题，并且需要支持，可以先卸载 其它 的客户端，然后再打电话寻求支持。

问题二：日志指示一个密钥问题

如果与预共享密钥有关的日志中存在着错误，你就可能在连接的任何一端上错配密钥。这种情况下，你的日志会指明客户端与服务器之间的交换很好地切合IKE的首要模式安全性。在这种交换之后，日志会指明一个密钥问题。要解决之，可以在集中器上找到“配置(Configuration)”/“系统(System)”/“隧道协议(Tunneling Protocol)”/“IPSec局域网到局域网(IPSec LAN-to-LAN)”选项，并选择你的IPSec配置。在预共享密钥(Preshared Key)字段中，输入你的预共享密钥。在一个用于与集中器关联的思科PIX防火墙上，应使用命令：

sakmp key password address xxxxxxxx netmask 255255255255

在这里的口令即是你的预共享密钥。用于你的集中器中的密钥和PIX防火墙上的密钥应当正确地匹配。

问题三：在试图连接到时，运行防火墙软件的用户 报告 错误

在防火墙软件中，有一些端口需要打开，如BlackIce(BlackIce也存在着与思科的客户端相关的其它问题。你可以参考它的发布注释寻求更多的信息。)，Zone Alarm，Symantec，还有Windows平台的其它互联网安全程序,以及Linux系统上的ipchains 和 iptables。总体而言，如果用户在其软件中打开了下面的端口，你就该看到一些抱怨的终结：

UDP 端口： 500, 1000 和 10000

IP 协议 50 (ESP)

为IPSec/TCP而配置的TCP 端口

NAT-T 端口 4500

问题四：家庭用户抱怨说，在连接建立后，他们不能访问其家用网络上的其它资源。

一般而言，这种问题是由于禁用了隧道分离造成的。虽然隧道分离会引起安全风险，可以通过采取强健的、增强的安全策略而将这些风险减轻到某个程度，并自动地扩展到客户端连接(例如，一个策略可能要求安装最新的反病毒软件或安装一个防火墙)。在一个PIX上，可以使用这个命令来启用隧道分离：

group groupname split-tunnel split_tunnel_acl

你应当用对应的访问列表命令来定义哪些内容可以通过加密的通道，哪些通信可以以明文的形式发送出去。例如：

access-list split_tunnel_acl permit ip 10000 25525500 any

或者任何你指定的IP地址范围。

在一个思科Cisco Series 3000 Concentrator 上，你需要告诉设备哪些网络应通过加密通道通信。可以通过如下步骤进行：转到“配置(Configuration)”/“用户管理(User Management)”/“基群(Base Group)”，并且从“客户配置(Client Config)”选项卡中，选择“Only Tunnel Networks In The List(仅列表中的隧道网络)”选项，并在你应该由保护的站点上创建一个网络列表，而且要在“Split Tunneling Network List(分离隧道网络列表)”下拉列表框中选择这个网络列表。

问题五：一个远程用户的网络正在使用与服务器的本地网络相同的IP地址范围(采用支持虚拟适配器的Client 46,环境：Windows 2000/XP)

对这些特定的 *** 作系统 来说，这可能有点儿特别，不过诊断Cisco 46的这些IP地址冲突可能会使人灰心丧气。在这些情况下，由于冲突的存在，那些假定通过隧道的通信仍保留在本地。

在受到影响的客户端上，单击“开始(Start)”/“控制面板(Control Panel)”/“网络和拨号连接(Network And Dialup Connections)”/“本地适配器(local adapter)”，在适配器上右击，并选择“属性(Properties)”。在“属性(Properties)”页上，选择TCP/IP，然后单击“属性(Properties)”按钮。下一步，单击“高级(Advanced)”选项，找到“Interface Metric”选项，将其值增加1。这就有效地告诉了你的计算机第二次使用本地适配器。适配器将可能拥有metric值1,这使它成为一个通信目地的首要选择。

问题六：某些路由器/固件组合引起了客户端的连接问题

思科的客户端在一些较老的(有时是较新的)家用路由器中会产生问题，通常是针对特定的固件版本。如果你的用户存在着一致的连接问题，就需要让它们升级其路由器的固件，特别是在他们拥有一个较老的设备单元时。在众多的路由器中，已知会产生思科客户端问题的有：

固件版本低于144的Linksys BEFW11S4

固件版本低于215的Asante FR3004 Cable/DSL 路由器

Nexland Cable/DSL 路由器型号 ISB2LAN

如果所有其它的 措施 都失效，可以将一个空闲的路由器给用户使用，帮助它们限制潜在的问题范围。最终有问题的路由器可能需要替换。

问题七：用户报告说，在他们试图建立连接时，其客户端连接会终结

在这种情况下，用户会看到一个错误消息，类似于“ Connection terminated locally by the Client Reason 403: Unable to contact the security gateway”( 连接被客户端终结。原因403：不能联系到安全网关。)这种错误可能是由多种原因造成的：

用户可能输入了不正确的组口令

用户可能并没有为远程端点键入恰当的名称或IP地址

用户可能存在着其它的互联网连接问题

基本而言，由于某种原因，IKE协商会失效。你可以检查客户端的日志，(单击log/enable)，设法找到使哈希认证无法进一步缩小问题范围的错误。

问题八：从NAT设备后建立一个连接时，发生故障;或者建立一个到NAT设备后的服务器的连接时，发生故障。

在允许传输期间对数据包的头部进行修改之前，这个问题是固有的，所以这个问题出现在所有的思科硬件中。要纠正这个问题，就要在你的硬件上启用NAT-Traversal (NAT-T)，并允许UDP端口4500通过防火墙。

如果你正将一个PIX防火墙既用作防火墙又用作端点，就要在你的配置中用命令nat-traversal 20启用NAT-T，并打开4500端口。这里的20是NAT的保持活动的时间周期。如果你拥有一个独立的防火墙和一个思科集中器，就要在拥有集中器目标地址的防火墙上打开UDP端口4500。然后，在集中器上，转到“Configuration(配置)/ Tunneling And Security(隧道和安全性)/IPSec /NAT Transparency(NAT 透明度)”,并选择“IPSec Over NAT-T”选项。而且，还要保障任何在用户端点上使用的客户端都支持NAT-T。

问题九：用户成功地建立了一个链接，不过却周期性的掉线。

同样，为了明确问题，你还要检查多个地方。首先，确认用户的计算机并没有进入Standby Mode (待命模式)、休眠模式，也没有启动屏幕保护程序。在客户期望到达一个服务器的持续连接时，待命模式、休眠模式能够中断你的网络连接。为了节省电力，你的用户还有可能配置其计算机使其在一段时间之后关闭一个网络适配器(网卡)。

如果使用了无线技术，你的用户有可能漫游到一个无线信号很弱(或不存在)的地方，那么有可能因此断开。还有，你的用户的网络电缆可能有问题，也有可能是路由器或互联网连接的问题，或者是其它的物理连接问题。

还有这样一些报告指出，如果一个端点(PIX或3000集中器)耗尽其IP地址池中的资源，也会导致在客户端上导致这种错误。

问题十：某用户报告说，计算机在本地网络上不再可“见”，即使客户端被禁用。

其它症状还可能包括用户网络上的其它许多计算机不能Ping通计算机，即使这台计算机能够看到网络上的其它计算机。出现这种情况，这个用户有可能启用了客户端上的内置防火墙。如果防火墙被启用，它就会保持运行状态，甚至在客户端不运行时仍然如此。要解决问题，就要打开客户端，并从选项(options)页上，取消选择“stateful firewall”选项的复选框。

以上介绍的仅是思科中的十个比较常见的问题及其解决方法，不过，可以看作是抛砖引玉。

思科交换机的基本配置命令学习
一、交换机口令设置：
switch>enable ；进入特权模式
switch#config terminal ；进入全局配置模式
switch(config)#hostname csico ；设置交换机的主机名
switch(config)#enable secret
csico1 ；设置特权加密口令
switch(config)#enable password csico8 ；设置特权非密口令
switch(config)#line console 0 ；进入控制台口
switch(config-line)#line vty 0 4
；进入虚拟终端
switch(config-line)#login ；虚拟终端允许登录
switch(config-line)#password
csico6 ；设置虚拟终端登录口令csico6
switch#exit ；返回命令
二、交换机显示命令：
switch#write ；保存配置信息
switch#show vtp ；查看vtp配置信息
switch#show run ；查看当前配置信息
switch#show
vlan ；查看vlan配置信息
switch#show interface ；查看端口信息
switch#show int f0/0
；查看指定端口信息
switch#show int f0/0 status；查看指定端口状态
switch#dir flash: ；查看闪存
Cisco路由器配置命令大全网络 2010-06-26 06:43:44 阅读657 评论0 字号：大中小 订阅
(1)模式转换命令
用户模式----特权模式,使用命令"enable"
特权模式----全局配置模式,使用命令"config
t"
全局配置模式----接口模式,使用命令"interface+接口类型+接口号"
全局配置模式----线控模式,使用命令"line+接口类型+接口号"
注:
用户模式:查看初始化的信息
特权模式:查看所有信息、调试、保存配置信息
全局模式：配置所有信息、针对整个路由器或交换机的所有接口
接口模式：针对某一个接口的配置
线控模式：对路由器进行控制的接口配置
（2）配置命令
show running config 显示所有的配置
show
versin 显示版本号和寄存器值
shut down 关闭接口
no shutdown 打开接口
ip add +ip地址
配置IP地址
secondary+IP地址 为接口配置第二个IP地址
show interface+接口类型+接口号 查看接口管理性
show controllers interface 查看接口是否有DCE电缆
show history 查看历史记录
show
terminal 查看终端记录大小
hostname+主机名 配置路由器或交换机的标识
config memory
修改保存在NVRAM中的启动配置
exec timeout 0 0 设置控制台会话超时为0
service password-encryptin
手工加密所有密码
enable password +密码 配置明文密码
ena sec +密码 配置密文密码
line vty 0
4/15 进入telnet接口
password +密码 配置telnet密码
line aux 0 进入AUX接口
password
+密码 配置密码
line con 0 进入CON接口
password +密码 配置密码
bandwidth+数字 配置带宽
no ip address 删除已配置的IP地址
show startup config 查看NVRAM中的配置信息
copy
run-config atartup config 保存信息到NVRAM
write 保存信息到NVRAM
erase
startup-config 清除NVRAM中的配置信息
show ip interface brief 查看接口的谪要信息
banner
motd # +信息 + # 配置路由器或交换机的描素信息
description+信息 配置接口听描素信息
vlan database
进入VLAN数据库模式
vlan +vlan号+ 名称 创建VLAN
switchport access vlan +vlan号
为VLAN为配接口
interface vlan +vlan号 进入VLAN接口模式
ip add +ip地址 为VLAN配置管理IP地址
vtp+service/tracsparent/client 配置SW的VTP工作模式
vtp +domain+域名 配置SW的VTP域名
vtp +password +密码 配置SW的密码
switchport mode trunk 启用中继
no vlan +vlan号
删除VLAN
show spamming-tree vlan +vlan号 查看VLA怕生成树议
三 路由器配置命令
ip
route+非直连网段+子网掩码+下一跳地址 配置静态/默认路由
show ip route 查看路由表
show protocols
显示出所有的被动路由协议和接口上哪些协议被设置
show ip protocols 显示了被配置在路由器上的路由选择协议,同时给出了在路由选择协议中使用
的定时器
等信息
router rip 激活RIP协议
network +直连网段 发布直连网段
interface lookback 0 激活逻辑接口
passive-interface +接口类型+接口号 配置接口为被动模式
debug ip +协议 动态查看路由更新信息
undebug all 关闭所有DEBUG信息
router eigrp +as号
激活EIGRP路由协议
network +网段+子网掩码 发布直连网段
show ip eigrp neighbors 查看邻居表
show ip eigrp topology 查看拓扑表
show ip eigrp traffic 查看发送包数量
router
ospf +process-ID 激活OSPF协议
network+直连网段+area+区域号 发布直连网段
show ip ospf
显示OSPF的进程号和ROUTER-ID
encapsulation+封装格式 更改封装格式
no ip admain-lookup
关闭路由器的域名查找
ip routing 在三层交换机上启用路由功能
show user 查看SW的在线用户
clear line
+线路号 清除线路
四 三层交换机配置命令
配置一组二层端口
configure terminal 进入配置状态
nterface range {port-range} 进入组配置状态
配置三层端口
configure terminal 进入配置状态
interface {{fastethernet | gigabitethernet} interface-id} | {vlan vlan-id} |
{port-
channel port-channel-number} 进入端口配置状态
no switchport
把物理端口变成三层口
ip address ip_address subnet_mask 配置IP地址和掩码
no shutdown 激活端口
例：
Switch(config)# interface gigabitethernet0/2
Switch(config-if)#
no switchport
Switch(config-if)# ip address 1922013521 2552552550
Switch(config-if)# no shutdown
配置VLAN
configure terminal 进入配置状态
vlan vlan-id 输入一个VLAN号, 然后进入vlan配态，可以输入一个新的VLAN号或旧的来进行修改

1、PC和服务器配置IP地址。PC0:19216812 2552552550 19216811PC1:19216822 2552552550 19216821服务器：19216833 2552552550 19216831。

2、交换机中划分vlan，划分vlan10、20、30，24端口设置为trunk。

3、路由器中设置子端口。

4、测试连通性。

5、服务器DHCP设置。开启-建立地址池-DNS服务器-初始IP地址-子网掩码-最大连接数-添加。

6、最后把PC静态IP地址改成DHCP。如果显示失败，回去检查你的哪一步错了，路由器和交换机打show running就可以看到配置信息。

服务器需要给外部访问吗
如果只提供内网用户访问,简单,不必要用nat:
ASA(config)#access 101 per tcp 102510 000255 host 102515 eq 7777
ASA(config)#access 101 per tcp 102510 000255 host 102515 eq 8888
ASA(config)#access 101 per udp 102510 000255 host 102515 eq 7777
ASA(config)#access 101 per udp 102510 000255 host 102515 eq 8888
然后应用在服务器所连接的那端口的in方向就OK了
如果你需要用NAT给外部进行访问,那加分再说

1、打开浏览器，输入IP19216801。

2、打开路由器的登陆界面，输入账号，点击底下的确定。

3、路由器的网页设置窗口后，点击里面导航栏上的高级设置。

4、打开高级设置后，点击左边的DNS设置选项。

5、打开DNS设置选项后，我们勾上域名服务设置选项。

6、输入主域名服务器地址和备用域名服务器地址，输入完成，点击底下的确定。

7、完成域名服务器地址的输入，点击导航栏上的系统工具，点击左边的重启服务器，点击重启服务器选项  ，重启完路由器，完成路由器DNS的设置。

8、完成效果图，如下。

交换机应该是三层交换机
2个web服务器接到交换机下，交换机和防火墙互联，互联ip自己指定
在交换机上做默认路由，到防火墙的互联口
2个web服务器地址自己在交换机上建立vlan，设置一个私网网段，并分配给2个服务器私网地址
在防火墙上 先做地址映射，将两个服务器的私网ip分别映射成1111 和1112
然后做防火墙策略，允许公网访问这两个映射地址的80端口即可。
-----
pix防火墙的命令我都快忘了，现在一直用juniper的防火墙cisco的pix用的少命令不怎么熟悉了，防火墙的命令都差不多，我说的是一个过程，你进入防火墙后，多输入？根据提示能做出来。让我凭空写，怕写的不准确，再误导你。
交换机那个你几个步骤：
配置互联地址，防火墙和交换机互联的地址，交换机上启三层口，用no switchport命令，将互联口改成三层口，用ip address XXXX 255255255X
互联的地址自己定义一个同一网段的，注意掩码
然后建立vlan 给你的服务器建立vlan
然后配置默认路由 用ip router 命令 指向你的下一跳为防火墙
要是什么都没有，凭空搭建这个网络，一句两句说不清楚，需要写方案了。

---