标题：思科路由交换命令列表 | 作者：HuGtion | 领域：路由交换设备 | 2012-07-30 01:30
为一个路由处理器分配VLANID,可在接口模式下使用下列命令:
router(config)# interface interface number
router(config-if)# mls rp vlan-id vlan-id-num
在路由处理器启用MLSP:
router(config)# mls rp ip
为了把一个外置的路由处理器接口和交换机安置在同一个VTP域中:
router(config)# interface interface number
router(config-if)# mls rp vtp-domain domain-name
查看指定的VTP域的信息:
router# show mls rp vtp-domain vtp domain name
要确定RSM或路由器上的管理接口,可以在接口模式下输入下列命令:
router(config-if)#mls rp management-interface
要检验MLS-RP的配置情况：
router# show mls rp
检验特定接口上的MLS配置：
router# show mls rp interface interface number
为了在MLS-SE上设置流掩码而又不想在任一个路由处理器接口上设置访问列表：
set mls flow [destination|destination-source|full]
为使MLS和输入访问列表可以兼容，可以在全局模式下使用下列命令：
router(config)# mls rp ip input-acl
当某个交换机的第3层交换失效时，可在交换机的特权模式下输入下列命令：
switch(enable) set mls enable
若想改变老化时间的值，可在特权模式下输入以下命令：
switch(enable) set mls agingtime agingtime
设置快速老化：
switch(enable) set mls agingtime fast fastagingtime pkt_threshold
确定那些MLS-RP和MLS-SE参与了MLS，可先显示交换机引用列表中的内容再确定：
switch(enable) show mls include
显示MLS高速缓存记录：
switch(enable) show mls entry
用命令show in arp显示ARP高速缓存区的内容。
要把路由器配置为HSRP备份组的成员，可以在接口配置模式下使用下面的命令：
router(config-if)# standby group-number ip ip-address
为了使一个路由器重新恢复转发路由器的角色，在接口配置模式下：
router(config-if)# standy group-number preempt
访问时间和保持时间参数是可配置的：
router(config-if)# standy group-number timers hellotime holdtime
配置HSRP跟踪：
router(config-if)# standy group-number track type-number interface-priority
要显示HSRP路由器的状态：
router# show standby type-number group brief
用命令show ip igmp确定当选的查询器。
启动IP组播路由选择：
router(config)# ip muticast-routing
启动接口上的PIM：
dalllasr1>(config-if)# ip pim {dense-mode|sparse-mode|sparse-dense-mode}
启动稀疏-稠密模式下的PIM：
router# ip multicast-routing
router# interface type number
router# ip pim sparse-dense-mode
核实PIM的配置：
dallasr1># show ip pim interface[type number] [count]
显示PIM邻居：
dallasr1># show ip neighbor type number
为了配置RP的地址，命令如下：
dallasr1># ip pim rp-address ip-address [group-access-list-number][override]
选择一个默认的RP：
dallasr1># ip pim rp-address
通告RP和它所服务的组范围：
dallasr1># ip pim send-rp-announce type number scope ttl group-list access-list-number
为管理范围组通告RP的地址：
dallasr1># ip pim send-rp-announce ethernet0 scope 16 group-list1
dallasr1># access-list 1 permit 266.0.0.0 0.255.255.255
设定一个RP映像代理：
dallasr1># ip pim send-rp-discovery scope ttl
核实组到RP的映像：
dallasr1># show ip pim rp mapping
dallasr1># show ip pim rp [group-name|group-address] [mapping]
在路由器接口上用命令ip multicast ttl-threshold ttl-value设定TTL阀值：
dallasr1>(config-if)# ip multicast ttl-threshold ttl-value
用show ip pim neighbor显示PIM邻居表。
显示组播通信路由表中的各条记录：
dallasr1>show ip mroute [group-name|group-address][scoure][summary][count][active kbps]
要记录一个路由器接受和发送的全部IP组播包：
dallasr1> #debug ip mpacket [detail] [access-list][group]
要在CISCO路由器上配置CGMP：
dallasr1>(config-if)# ip cgmp
配置一个组播路由器，使之加入某一个特定的组播组：
dallasr1>(config-if)# ip igmp join-group group-address
关闭 CGMP：
dallasr1>(config-if)# no ip cgmp
启动交换机上的CGMP：
dallasr1>(enable) set cgmp enable
核实Catalyst交换机上CGMP的配置情况：
catalystla1>(enable) show config
set prompt catalystla1>
set interface sc0 192.168.1.1 255.255.255.0
set cgmp enable
CGMP离开的设置：
Dallas_SW(enable) set cgmp leave
在Cisco设备上修改控制端口密码：
R1(config)# line console 0
R1(config-line)# login
R1(config-line)# password Lisbon
R1(config)# enable password Lilbao
R1(config)# login local
R1(config)# username student password cisco
在Cisco设备上设置控制台及vty端口的会话超时：
R1(config)# line console 0
R1(config-line)# exec-timeout 5 10
R1(config)# line vty 0 4
R1(config-line)# exec-timeout 5 2
在Cisco设备上设定特权级：
R1(config)# privilege configure level 3 username
R1(config)# privilege configure level 3 copy run start
R1(config)# privilege configure level 3 ping
R1(config)# privilege configure level 3 show run
R1(config)# enable secret level 3 cisco
使用命令privilege 可定义在该特权级下使用的命令：
router(config)# privilege mode level level command
设定用户特权级：
router(config)# enable secret level 3 dallas
router(config)# enable secret san-fran
router(config)# username student password cisco
标志设置与显示：
R1(config)# banner motd ‘unauthorized access will be prosecuted!’
设置vty访问：
R1(config)# access-list 1 permit 192.168.2.5
R1(config)# line vty 0 4
R1(config)# access-class 1 in
配置HTTP访问：
Router3(config)# access-list 1 permit 192.168.10.7
Router3(config)# ip http sever
Router3(config)# ip http access-class 1
Router3(config)# ip http authentication local
Router3(config)# username student password cisco
要启用HTTP访问，请键入以下命令：
switch(config)# ip http sever
在基于set命令的交换机上用setCL1启动和核实端口安全：
switch(enable) set port security mod_num/port_num…enable mac address
switch(enable) show port mod_num/port_num
在基于CiscoIOS命令的交换机上启动和核实端口安全：
switch(config-if)# port secure [mac-mac-count maximum-MAC-count]
switch# show mac-address-table security [type module/port]
用命令access-list在标准通信量过滤表中创建一条记录：
Router(config)# access-list access-list-number {permit|deny} source-address [source-address]
用命令access-list在扩展通信量过滤表中创建一条记录：
Router(config)# access-list access-list-number {permit|deny{protocol|protocol-keyword}}{source source-wildcard|any}{destination destination-wildcard|any}[protocol-specific options][log]
对于带内路由更新，配置路由更新的最基本的命令格式是：
R1(config-router)#distribute-list access-list-number|name in [type number]
对于带外路由更新，配置路由更新的最基本的命令格式是：
R1(config-router)#distribute-list access-list-number|name out [interface-name] routing-process| autonomous-system-number
set snmp命令选项：
set snmp community {read-only|ready-write|read-write-all}[community_string]
set snmp trap 命令格式如下：
set snmp trap {enable|disable}
[all|moudle|classis|bridge|repeater| auth|vtp|ippermit|vmps|config|entity|stpx]
set snmp trap rvcr_addr rcvr_community
启用SNMP chassis 陷阱:
Console>(enable) set snmp trap enable chassis
启用所有SNMP chassis 陷阱:
Console>(enable) set snmp trap enable
禁用SNMP chassis 陷阱:
Console>(enable) set snmp trap disable chassis
给SNMP陷阱接收表加一条记录：
Console>(enable) set snmp trap 192.122.173.42 public
show snmp 输出结果。
命令set snmp rmon enable 的输出结果。
显示SPAN信息：
Consile> show span
风萧萧 | 2012-07-30 02:45
其实，我更关心的是当获得了一台思科设备的level 15的权限之后，如何控制内网的主机！
xsser (十根阳具有长短!!) | 2012-07-30 11:12
@风萧萧 同等啊～
circus | 2012-07-30 14:47
@风萧萧 +1
lion(lp) | 2012-07-30 15:13
如果是交换机，直接SPAN流量，抓数据包内容，更可以免ARP攻击了。路由器的话，就费点劲了，不过可以把流量引出去了
灵惜 (哇咔咔，搞定它) | 2012-07-30 15:54
@lion(lp) 你拿台笔记本接到Port 1上，然后再把port 2-23的镜像到port 1上，不会是这样吧~
灵惜 (哇咔咔，搞定它) | 2012-07-30 16:00
@xsser @风萧萧
A计划： 如果是路由器将内网主机的端口映射到公网，再搞它就容易了
A+B计划：搞定一台双网卡内网主机，然后将所有端口镜像过去，然后监控（端口镜像后，这个端口就不可以访问了，只能是双网卡了）
lion(lp) | 2012-07-30 16:13
@灵惜 做镜像后，再给改回ACCESS口就可以了，所以单网卡也行，就是SPAN的时候，连不到那个机器了。
如果搞定了一台机器的话，就更好了了，把那个机器路功能打开。配个DHCP 网关指到被控制的机器。然后。。。
灵惜 (哇咔咔，搞定它) | 2012-07-30 16:25
@lion(lp) 恩，这里也只是讨论方法，实际中很少去动网络设备的。大部分也是据此收集相关信息。
lion(lp) | 2012-07-30 16:51
@灵惜 恩。貌似很少有人关注3-4层的技术啊
HuGtion | 2012-07-31 00:21
@风萧萧 @灵惜 实际中路由器确实很少被利用，通过路由器可以发现他的内网的服务器，一般都不是特别注重内网服务器的安全，把内网服务器映射出来就容易搞了，在路由器上也可以做VPN来利用。
灵惜 (哇咔咔，搞定它) | 2012-07-31 09:12
@HuGtion 恩 VPN不错，很好的方法
Mujj (www.80host.com) | 2012-10-04 14:52
@风萧萧 @lion(lp) @HuGtion @灵惜 急需思科系列的漏洞，内网交换100+左右
无敌L.t.H | 2012-10-04 21:08
有无juniper的
tmp | 2012-10-05 09:32
如果是思科的router要嗅探.没难度. 如果是思科的switch . 想嗅探,有难度. 貌似要所经过的路由都是思科的.也就是说要同一牌子的.(06-07年的时候折腾过.太久没折腾.有点淡忘了)
tmp | 2012-10-05 09:41
@lion(lp) 本地镜像抓包没啥好说的.cisco switch 难的是远程镜像.至少以前是这样.条件太苛刻了.现在不知道...不知道有cisco switch有啥新功能
lion(lp) | 2012-10-26 17:05
@tmp 你说的那个是RSPAN 现在已经很简单了。 建立个VLAN 专门做这个就行。 @Mujj 俺手里木有CISCO的漏洞
tmp | 2012-10-27 02:32
@lion(lp) 哦...能share这个相关资料看看么?学习学习.太久没研究了
Mujj (www.80host.com) | 2012-10-27 12:48
@lion(lp) 能给看看么
lion(lp) | 2012-10-30 15:00
@Mujj @tmp
需要在核心上创建一个VLAN 然后分别在两端交换机上做如下配置
1 在核心交换机上 （前提是开启了VTP，VLAN可以下发到CLIENT上）
Switch(config)# vlan 901
Switch(config-vlan)# remote span
Switch(config-vlan)# end
2 在需要被抓包的交换机上
monitor session 1 source interface gigabitethernet1/0/1 tx 就是普通SPAN命令
monitor session 1 destination remote vlan 901
3 在有抓包软件的交换机上
monitor session 1 source remote vlan 901
monitor session 1 destination interface gigabitethernet2/0/1
搞定。
tmp | 2012-10-30 17:55
@lion(lp) 感谢 1 wb
lion(lp) | 2012-10-31 10:19
@tmp 多谢了~~