CCNA 认证学习（一）

R1>show privilege
Current privilege level is 1
R1>enable
R1#show privilege

R1(config)#ip domain-name cisco.com        # 加域

## 路由器、交换机的特性，当我们敲一串不是命令的字符时，会认为要解析一个域名，速度超级慢。
R1(config)#no ip domain lookup             # 关闭域名解析
R1(config)#ip name
R1(config)#ip name-server 114.114.114.114    # 指定域名服务器
R1(config)#line con 0
R1(config-line)#exe
R1(config-line)#exec-ti
R1(config-line)#exec-timeout 0 0            # 会话永不超时
R1(config-line)#loggin
R1(config-line)#logging sync
R1(config-line)#logging synchronous         # 开启日志同步
R1(config-line)#

## 保存配置 RAM -> NVRAM（三种方式在实际设备上都可以）
R1#copy running-config startup-config        # CCNA考试必须写法
Destination filename [startup-config]? 
Building configuration...
[OK]
R1#write
Building configuration...
[OK]
R1#write memory
Building configuration...
[OK]

## 彻底擦除启动配置文件
R1#erase startup-config

R1#config t
Enter configuration commands, one per line.  End with CNTL/Z.

R1(config)#hostname Router

Router(config)#banner motd #hello world#
Router(config)#

(1)为telnet用户设置一个帐号和口令(admin 用户的级别为1最低级别):
# hostname r1
# username aaa password cisco
(2)设置一个级别为2的特权口令(缺省为15,具有所有权限)
# enable secret level 2 CISCO
(3)为级别是2的特权用户授权(只允许执行router和network命令)
# privilege exec level 2 configure terminal
允许执行特权命令config t
# privilege configure level 2 router
允许执行全局命令: router 
# privilege router level 2 network
允许执行路由进程命令: network
(4)指定对Cisco路由器r1进行telnet访问的验证方法(使用本地用户数据库验证)
# line vty 0 4
# login local
(5)当对r1进行telnet访问时,首先会提示输入username和password,这时用户aaa是用户模式(1级用户),只能执行很少的命令集(用户模式命令集)。使用enbale 2命令并且输入正确的口令后,可以有权限执行config t,router和network命令,但是其他命令不能执行,本地验证和授权成功。

## 创建本地用户
R1(config)# username  admin password  cisco
R1(config)# username  admin privelege 15 password  cisco     # 赋予权限等级

## 启用本地认证
R1(config)# line vty 0 4
R1(config-line)# login local

在Cisco IOS上启用SSH，禁止Telnet 
命令                                                     描述 
username admin privilege 15 password Admin-Password 建立一个叫做admin的系统管理员
ip domain name MyDomain.com        建立一个用于认证的名字 
crypto key generate rsa            建立数字证书。使用至少768位的Diffie-Hellman关键字line vty 0 4                       进入vty配置 
transport input ssh                仅仅允许SSH登录


1. 配置hostname和ip domain-name
Router#configure terminal
Router(config)#hostname R2             //配置ssh的时候路由器的名字不能为router
R2(config)#ip domain-name cisco.com    //配置一个域名，SSH必需  

2. 配置本地认证
R2(config)#username admin password 123
或  
R2(config)#username admin privilege 15 password  123
注：添加一个用户：admin，口令：123

3. 在VTY逻辑接口上启用本地认证
R2(config)#line vty 0 4
//进入vty模式
R2(config-line)#transport input ssh
//设置vty的登录模式为ssh，默认情况下是all即允许所有登录。禁止telnet
R2(config-line)#login local

##R2(config)#aaa authentication login default local
##启用aaa认证，设置在本地服务器上进行认证

4. 配置SSH服务：
R2(config)#crypto key generate rsa 
The name for the keys will be: R2.cisco.com
注：SSH的关键字名就是hostname + . +ip domain-name
Choose the size of the key modulus in the range of 360 to 2048 for your
General Purpose Keys. Choosing a key modulus greater than 512 may take
a few minuts
How many bits in the modulus [512]:   注：选择加密位数，cisco推荐使用1024
Generating RSA keys ...
[OK]

或者：
R2(config)#crypto key generate rsa general-keys modulus 1024
//生成一个rsa算法的密钥，密钥为1024位
(提示：在Cisoc中rsa支持360-2048位，该算法的原理是：主机将自己的公用密钥分发给相关的客户机，客户机在访问主机时则使用该主机的公开密钥来加密数据，主机则使用自己的私有的密钥来解密数据，从而实现主机密钥认证，确定客户机的可靠身份。

现在SSH服务已经启动，如果需要停止SSH服务，用以下命令：
R2(config)#crypto key zeroize rsa

5.设置SSH参数
配置好了SSH之后，通过show run命令
用命令show ip ssh也能看到：
SSH Enabled - version 1.9
Authentication timeout: 120 secs; Authentication retries: 3
我们看到SSH默认的参数：超时限定为120秒，认证重试次数为3次，可以通过下面命令进行修改：
R2(config)#ip ssh {[time-out seconds]} │ [authentication-retries interger]}

#如果要把超时限定改为120秒，则应该用：
R2(config)# ip ssh time-out 120
#如果要把重试次数改成3次，则应该用：
R2(config)# ip ssh authentication-retries 3
这样，SSH已经在路由器上配置成功了，就能够通过SSH进行安全登录了。
R2(config)#ip ssh version 2       #配置SSH V2

6. 远程ssh连接
注意：最后如果从别的设备用ssh登录这台路由器会出现以下内容：
R1#ssh -v 2 -l best 192.168.0.2



遇到的问题：
1. 为什么SSH配置需要一个域名呢？
在配置SSH登录时，要生成一1024位RSA key，那么key的名字是以路由器的名字与DNS域名相接合为名字。
2. 在配置时候，使用的7200ISO无法使用aaa authentication login default local这条命令，跳过后果然无法登陆，使用了aaa new-model--- 启用新的访问控制命令和功能。（禁用旧
命令）。
这条命令便可以的了，开启这个模式后，便有很多aaa的命令可以使用，包括实验中的命令，实验我跳过的了，依然可以SSH登录，看来是默认为本地验证的了。
另外，启用AAA后，除了console口外，所有线程都是用AAA来认证。
3. 如何改变ssh 默认端口
配置如下：
access-list 100 permit tcp any any eq 9022
ip domain name cisco.com     #配置域名
crypto key generate rsa modulus 1024      #生成密钥
username ciscort privilege 15 password 0 cisco@2012 #配置用户名密码
ip ssh port 9022 rotary 1                 #修改SSH端口为9022
ip ssh version 2                #配置SSH V2
line vty 0 4　　                #配置本地认证
login local
rotary 1
access-class 100 in
transport input telnet ssh

Router(config)#int f0/0  
Router(config-if)#ip add 172.16.10.2  255.255.255.0
Router(config-if)#no shutdown