考核

过程性考核50%（平时考勤、作业、实训项目），终结性考核50%（实操考试）

知识库

【ima知识库】大三上 https://ima.qq.com/wiki/?shareId=805d3477db11dbf08ac81d9178b1f8f75f4985b2c8dbf1d8c477016fedd1b81d

作业

第一次作业、设备管理（vty嵌套）


以上网络拓扑结构是某单位的二层网络，员工出差后单位网络需要调整，员工需要通过远程访问网络设备进行维护，其中两台路由器需要配置SSH协议、交换机配置TELNET协议，实现远程设备的维护。Cloud1需要根据自己的计算机的网络连接进行配置桥接到AR1接口上。通过SSH协议远程到AR1后，再通过AR1进行SSH连接到AR2上，再经过AR2进行TELNET连接到交换机LSW1上。
注意：cloud1绑定的网络连接是自己计算机的vmnet 8，AR1连接cloud1的接口地址为vmnet 8的同网段地址（与本题的地址不一定相同）请根据具体需求，进行协议配置，并通过第三方软件（SecureCRT）进行对应协议的连接进行访问，同时通过抓包分析具体的协议工作过程。全程开摄像头正对自己，边操作边讲解，录制屏幕后以视频文件的方式进行提交（不是压缩文件！），无讲解不得分！第一句：我是XXXX班的XXXXX,下面。。。。。。。。。。。。。。

第 1 步：搭拓扑 + 配 Cloud1

总体说明：这一步完成两件事——把四台设备拖到拓扑里，再把 Cloud1 的网桥配好。Cloud1 必须先配好 IO 再连线，否则接口没配好，连不上。
操作：

  1. 打开 eNSP，新建拓扑。
  2. 拖入 1 个 Cloud、2 台路由器（AR1、AR2）、1 台交换机（LSW1）。
  3. 先配 Cloud1：双击 Cloud1，打开 IO 配置：
    • 绑定信息先选 UDP，再选 vmnet8。
    • 两个绑定编号分别设为 1 和 2，设置 1↔2 双向通信，点增加。
  4. 再连线（选 Auto）：
    • Cloud1 → AR1（GE 0/0/0）
    • AR1（GE 0/0/1）→ AR2（GE 0/0/0）
    • AR2（GE 0/0/1）→ LSW1（GE 0/0/1）
  5. 确认自己电脑 vmnet8 的 IP（控制面板→网络连接→VMware Network Adapter VMnet8），记下网段，下一步 AR1 配地址要用。
    录视频时说：「先配 Cloud1 再连线，Cloud1 绑定 vmnet8，它是物理机和 eNSP 之间的桥梁。」

第 2 步：配置 AR1

总体说明：AR1 是嵌套入口，物理机第一个就登它。这步要做的事：改设备名 → 关提示 → 配两个接口 IP → 开 SSH 服务 → 创建密钥 → 建 SSH 用户 → 配 VTY 通道 → 开启 SSH 客户端功能（后面才能主动连 AR2）。
操作【逐条执行】：

<Huawei>sys                                     // 切到系统视图，才能改配置
[Huawei]sysname AR1                             // 改名，嵌套登录时提示符变[AR1]，便于区分
[AR1]undo info-center enable                    // 关日志弹窗，终端更干净
[AR1]int g0/0/0                                 // 进入 GE 0/0/0 接口视图
[AR1-GigabitEthernet0/0/0]ip add 192.168.221.3 24  // 配IP，必须和vmnet8同网段，物理机才能连
[AR1-GigabitEthernet0/0/0]q
[AR1]int g0/0/1                                 // 进入 GE 0/0/1，这个口连 AR2
[AR1-GigabitEthernet0/0/1]ip add 1.1.1.1 24    // 和 AR2 同网段才能互连
[AR1-GigabitEthernet0/0/1]q
[AR1]stelnet server enable                      // 开启 SSH 服务，默认关
[AR1]rsa local-key-pair create                  // 生成密钥对，SSH 加密握手必须
[AR1]aaa                                        // 进入 AAA 视图，用来建用户
[AR1-aaa]local-user kkk privilege level 15 password cipher 12341234  // 建用户kkk，权限最高，密码密文存
[AR1-aaa]local-user kkk service-type ssh        // 这个用户只能用 SSH，不能 Telnet
[AR1-aaa]q
[AR1]user-interface vty 0 4                     // 进入 VTY 虚拟终端（0~4共5个通道）
[AR1-ui-vty0-4]authentication-mode aaa          // 认证用 AAA（用户名+密码）
[AR1-ui-vty0-4]protocol inbound ssh             // 只允许 SSH 从 VTY 进，拒绝 Telnet
[AR1-ui-vty0-4]q
[AR1]ssh client first-time enable               // 允许 AR1 首次连接未知主机，后面才能 SSH 到 AR2

录视频时说：「AR1 配接口 IP、开 SSH、建用户、配 VTY，再开启首次连接功能。」

第 3 步：配置 AR2

总体说明：AR2 是中间跳板，既要被 AR1 SSH 登录，又要 Telnet 到交换机。步骤和 AR1 基本相同，但有两点不同：① 接口 IP 不一样（1.1.1.2 连 AR1，2.2.2.1 连交换机）② 多了 ssh user 那行。
操作【逐条执行】：

<Huawei>sys
[Huawei]sysname AR2                             // 改名
[AR2]undo info-center enable
[AR2]int g0/0/0
[AR2-GigabitEthernet0/0/0]ip add 1.1.1.2 24    // 连 AR1，同网段
[AR2-GigabitEthernet0/0/0]q
[AR2]int g0/0/1
[AR2-GigabitEthernet0/0/1]ip add 2.2.2.1 24    // 连交换机，同网段
[AR2-GigabitEthernet0/0/1]q
[AR2]stelnet server enable
[AR2]rsa local-key-pair create
[AR2]aaa
[AR2-aaa]local-user qqq privilege level 15 password cipher 12341234  // 用户 qqq
[AR2-aaa]local-user qqq service-type ssh
[AR2-aaa]q
[AR2]user-interface vty 0 4
[AR2-ui-vty0-4]authentication-mode aaa
[AR2-ui-vty0-4]protocol inbound ssh
[AR2-ui-vty0-4]q
[AR2]ssh user qqq authentication-type password  // ← 和 AR1 不同！指定 qqq 用密码认证，否则登不进

录视频时说：「AR2 配 IP、开 SSH、建用户 qqq。注意多了一行 ssh user 指定密码认证类型，不写密码输对了也进不去。」

第 4 步：配置 LSW1（交换机）

总体说明：交换机是二层设备，物理口不能配 IP，要用 VLANIF 虚拟接口配。最后一步从 AR2 Telnet 到这里，所以开 Telnet 服务。
操作【逐条执行】：

<Huawei>sys
[Huawei]sysname SW1
[SW1]undo info-center enable
[SW1]int vlan 1                                 // ← 和路由器不同！交换机用 vlanif 配三层地址
[SW1-Vlanif1]ip add 2.2.2.2 24                 // 配在虚拟接口上，物理口没有 IP
[SW1-Vlanif1]q
[SW1]aaa
[SW1-aaa]local-user ppp privilege level 15 password cipher 12341234
[SW1-aaa]local-user ppp service-type telnet     // ← 和路由器不同！用户只能用 Telnet，不是 SSH
[SW1-aaa]q
[SW1]user-interface vty 0 4
[SW1-ui-vty0-4]authentication-mode aaa
[SW1-ui-vty0-4]protocol inbound all             // ← 和路由器不同！允许所有协议，因为只开了 Telnet

录视频时说：「交换机用 int vlan 1 配 IP，因为物理口没有地址。用户 ppp 只能用 Telnet，VTY 允许所有协议。」

第 5 步：嵌套登录验证

总体说明：按物理机→AR1→AR2→LSW1 的顺序一步步跳转，展示每跳成功后的提示符。
第 1 跳：物理机 → AR1（SSH）

  • SecureCRT → 协议 SSH2 → 地址填 AR1 的 GE 0/0/0 地址（192.168.221.3 或你配的 vmnet8 同网段地址）→ 用户名 kkk，密码 12341234。
  • 提示符变成 [AR1]。
    录视频时说：「第一跳，物理机 SSH 到 AR1。」
    第 2 跳：AR1 → AR2（SSH 嵌套）
[AR1]stelnet 1.1.1.2               // stelnet = SSH 客户端命令，目标 AR2 的地址
``

→ 输入用户名 `qqq`，密码 `12341234`。
- 提示符变成 `[AR2]`。
**录视频时说**：「第二跳，AR1 嵌套 SSH 到 AR2。」
**第 3 跳：AR2 → LSW1（Telnet）**  
先输入 `q` 退到 AR2 的用户视图（提示符变 `<AR2>`），然后：

<AR2>telnet 2.2.2.2                // ← telnet 必须用户视图执行，系统视图会报错

→ 输入用户名 ppp，密码 12341234。

  • 提示符变成 [SW1]，链路打通。
    录视频时说：「第三跳，注意先退到用户视图再 telnet，命令行跳到交换机，链路全部打通。」

第 6 步：抓包分析

总体说明：分两次抓包，对比 Telnet（明文）和 SSH（加密）的区别。Telnet 流量在 AR2—LSW1 之间，SSH 流量在 Cloud1—AR1 之间，两条链路分开抓。
6.1 抓 Telnet 明文
操作：

  1. 右键 AR2 与 LSW1 之间的连线 → 开始抓包。
  2. 从 AR2 重新执行一次 telnet 2.2.2.2，慢慢输入 ppp、12341234，登录成功后停止抓包。
  3. 过滤栏输入 telnet 回车。
  4. 选中一个靠后的包 → 右键 → Follow → TCP Stream。
  5. 弹窗里看到 Login: ppp、Password: 12341234。
    录视频时说：「AR2-LSW1 链路上抓 Telnet 包，Follow TCP Stream，看到用户名 ppp、密码 12341234 全是明文。」
    6.2 抓 SSH 加密包
    注意：SSH 全程加密，TCP Stream 弹出来也是乱码，没法展示对比效果。正确做法是看 Info 列的 Encrypted packet 标志。】
    操作    ：
  6. 右键 Cloud1 与 AR1 之间的连线 → 开始抓包。
  7. 物理机重新用 SecureCRT SSH 登录 AR1（kkk、12341234）。
  8. 停止抓包，过滤栏输入 sshv2 回车。
  9. 观察 Info 列：所有包显示 Encrypted packet，协议列显示 SSHv2。
  10. 双击展开一个包的数据载荷区域：显示的是加密后的乱码数据。
    录视频时说：「Cloud1-AR1 链路上抓 SSH 包，所有包 Info 列显示 Encrypted packet，协议 SSHv2，双击展开是加密乱码，看不到账号密码。」
    对比结论说：「Telnet 明文传输，SSH 全程加密，所以生产环境应该用 SSH 替代 Telnet。」