参考至：http://blog.s135.com/post/269/

2、frame-relay有反向ARP功能，能自动发现PVC对端的IP地址；

3、对于没有PVC直接连接的两端，需要静态配置MAP语句；

4、由于Split-horizon特性，中心路由器不会转发路由信息包；有两种解决方案：a\在中心路由器上关闭split-horizon；b\使用子接口；

5、lmi是帧中继交换机和路由器之间的keepalive协议。现在的IOS自动发现lmi的类型，无须手工配置；

6、dlci只具有本地意义；

7、常用查看命令：show frame-relay pvc; 这个命令可以看到DLCI的状态，以及FECN、BECN、DE等统计，如果配置了流量整形，还可以看到相关的统计；show frame-relay map;可看到动态发现或静态配置的映射表； show int s1/0可看到端口封装、LMI状态、端口类型（DCE或DTE）等；debug frame-relay packet启动帧中继数据包调试。

Debug:L（加载）
Debug:M（移动）
Debug:N（名称）
Debug:O（输出）
Debug:P（执行）
Debug:Q（退出）
Debug:r（寄存器）
Debug:s（搜索）
Debug:T（跟踪）
Debug:U（反汇编）
Debug:W（写入）
Debug:XA（分配扩展内存）
Debug:XD（取消分配扩展内存）
Debug:XM（映射扩展内存页）
Debug:XS（显示扩展内存状态）
***********************Debug子命令******************************
Debug:A（汇编）
直接将 8086/8087/8088 记忆码合并到内存。
该命令从汇编语言语句创建可执行的机器码。所有数值都是十六进制格式，必须按一到四个字符输入这些数值。在引用的操作代码（操作码）前指定前缀记忆码。
a [address]
参数
address
指定键入汇编语言指令的位置。对 address 使用十六进制值，并键入不以“h”字符结尾的每个值。如果不指定地址，a 将在它上次停止处开始汇编。
有关将数据输入到指定字节中的信息，请单击“相关主题”列表中的 Debug E（键入）。
有关反汇编字节的信息，请单击“相关主题”列表中的 Debug U（反汇编）。
范例
a 命令支持所有形式的间接注册命令，如下例所示：
add bx,34[bp+2].[si-1]
pop [bp+di]
push [si] )
还支持所有操作码同义词，如下例所示：
loopz 100
loope 100
ja 200
jnbe 200
对于 8087 操作码，必须指定 wait 或 fwait 前缀，如下例所示：
fwait fadd st,st(3) ; this line assembles
; an fwait prefix
说明
使用记忆码
段的替代记忆码为 cs:、ds:、es: 和 ss:。远程返回的记忆码是 retf。字符串处理的记忆码必须明确声明字符串大小。例如，使用 movsw 可以移动 16 位的字串，使用 mov***（文字因故被系统屏蔽）***（文字因故被系统屏蔽） 可以移动 8 位字节串。
汇编跳转和调用
汇编程序根据字节替换自动将短、近和远的跳转及调用汇编到目标地址。通过使用 near 或 far 前缀可以替代这样的跳转或调用，如下例所示：
-a0100:0500
0100:0500 jmp 502 ; a 2-byte short jump
0100:0502 jmp near 505 ; a 3-byte near jump
0100:0505 jmp far 50a ; a 5-byte far jump
可以将 near 前缀缩写为 ne。
区分字和字节内存位置
当某个操作数可以引用某个字内存位置或者字节内存位置时，必须用前缀 Word ptr 或者前缀 byte ptr 指定数据类型。可接受的缩写分别是 wo 和 by。以下范例显示两种格式：
dec wo [si]
neg byte ptr [128]
指定操作数
Debug 使用包括在中括号 ([ ]) 的操作数引用内存地址的习惯用法。这是因为另一方面 Debug 不能区分立即操作数和内存地址的操作数。以下范例显示两种格式：

mov ax,21 ; load AX with 21h
mov ax,[21] ; load AX with the
; contents of
; memory location 21h
使用伪指令
使用 a 命令提供两个常用的伪指令：db 操作码，将字节值直接汇编到内存，dw 操作码，将字值直接汇编到内存。以下是两个伪指令的范例：
db 1,2,3,4,"THIS IS AN EXAMPLE"
db THIS IS A QUOTATION MARK:"
db "THIS IS A QUOTATION MARK:"
dw 1000,2000,3000,"BACH"
++
Debug:C（比较）
比较内存的两个部分。
c range address
参数
range
指定要比较的内存第一个区域的起始和结束地址，或起始地址和长度。有关有效的 range 值的信息，请单击“相关主题”列表中的“Debug 说明”。

address
指定要比较的第二个内存区域的起始地址。有关有效 address 值的信息，请单击“相关主题”列表中的“Debug 说明”。
++
范例
以下命令具有相同效果：
c100,10f 300
c100l10 300
每个命令都对 100h 到 10Fh 的内存数据块与 300h 到 30Fh 的内存数据块进行比较。
Debug 响应前面的命令并显示如下信息（假定 DS = 197F）：
197F:0100 4D E4 197F:0300
197F:0101 67 99 197F:0301
197F:0102 A3 27 197F:0302
197F:0103 35 F3 197F:0303
197F:0104 97 BD 197F:0304
197F:0105 04 35 197F:0305
197F:0107 76 71 197F:0307
197F:0108 E6 11 197F:0308
197F:0109 19 2C 197F:0309
197F:010A 80 0A 197F:030A
197F:010B 36 7F 197F:030B
197F:010C BE 22 197F:030C
197F:010D 83 93 197F:030D
197F:010E 49 77 197F:030E
197F:010F 4F 8A 197F:030F
注意列表中缺少地址 197F:0106 和 197F:0306。这表明那些地址中的值是相同的。
++
说明
如果 range 和 address 内存区域相同，Debug 将不显示任何内容而直接返回到 Debug 提示符。如果有差异，Debug 将按如下格式显示：
address1 byte1 byte2 addess2
++++
Debug（转储）
显示一定范围内存地址的内容。
d [range]
参数
range
指定要显示其内容的内存区域的起始和结束地址，或起始地址和长度。有关有效的 range 值的信息，请单击“相关主题”列表中的“Debug 说明”。如果不指定 range，Debug 程序将从以前 d 命令中所指定的地址范围的末尾开始显示 128 个字节的内容。
有关显示寄存器内容的信息，请单击“相关主题”列表中的 Debug R（寄存器）。
++
范例
假定键入以下命令：
dcs:100 10f
Debug 按以下格式显示范围中的内容：
04BA:0100 54 4F 4D 00 53 41 57 59-45 52 00 00 00 00 00 00 TOM.SAWYER......

如果在没有参数的情况下键入 d 命令，Debug 按以前范例中所描述的内容来编排显示格式。显示的每行以比前一行的地址大 16 个字节（如果是显示 40 列的屏幕，则为 8 个字节）的地址开头。
对于后面键入的每个不带参数的 d 命令，Debug 将紧接在最后显示的命令后立即显示字节内容。
如果键入以下命令，Debug 将从 CS:100 开始显示 20h 个字节的内容：
dcs:100 l 20
如果键入以下命令，Debug 将显示范围从 CS 段的 100h 到 115h 中所有字节的内容：
dcs:100 115
++
说明
当使用 d 命令时，Debug 以两个部分显示内存内容：十六进制部分（每个字节的值都用十六进制格式表示）和 ASCII 码部分（每个字节的值都用 ASCII 码字符表示)。每个非打印字符在显示的 ASCII 部分由句号 (.) 表示。每个显示行显示 16 字节的内容，第 8 字节和第 9 字节之间有一个连字符。每个显示行从 16 字节的边界上开始。
++
Debug:E（键入）
将数据输入到内存中指定的地址。
可以按十六进制或 ASCII 格式键入数据。以前存储在指定位置的任何数据全部丢失。

e address
参数
address
指定输入数据的第一个内存位置。
list
指定要输入到内存的连续字节中的数据。
有关集成记忆码的信息，请单击“相关主题”列表中的 Debug A（汇编）。
有关显示内存部分内容的信息，请单击“相关主题”列表中的 Debug D （转储）。
++
范例
假定键入以下命令：
ecs:100
Debug 按下面的格式显示第一个字节的内容：
04BA:0100 EB.
要将该值更改为 41，请在插入点键入 41，如下所示：
04BA:0100 EB.41_
可以用一个 e 命令键入连续的字节值。在键入新值后按 SPACEBAR（空格键），而不是按 ENTER 键。Debug 显示下一个值。在此范例中，如果按三次 SPACEBAR（空格键），Debug 将显示下面的值：
04BA:0100 EB.41 10. 00. BC._
要将十六进制值 BC 更改为 42，请在插入点键入 42，如下所示：
04BA:0100 EB.41 10. 00. BC.42_
假定决定值 10 应该是 6F。要纠正该值，请按 HYPHEN 键两次以返回到地址 0101（值 10）。Debug 显示以下内容：
04BA:0100 EB.41 10. 00. BC.42-
04BA:0102 00.-
04BA:0101 10._
在插入点键入 6f 更改值，如下所示：
04BA:0101 10.6f_
按 ENTER 停止 e 命令并返回到 Debug 提示符下。
以下是字符串项的范例：
eds:100 "This is the text example"
该字符串将从 DS:100 开始填充 24 个字节。
++
说明
使用 address 参数
如果在没有指定可选的 list 参数的值情况下指定 address 的值，Debug 将显示地址和内容，在下一行重复地址，并等待您的输入。此时，您可以执行下列操作之一：
· 替换字节值。为此，请在当前值后键入新值。如果您键入的值不是有效的十六进制值，或该值包含两个以上的数字，则 Debug 不会回显无效或额外的字符。
· 进入下一个字节。为此，请按 SPACEBAR（空格键）。要更改该字节中的值，请在当前值后键入新值。如果按 SPACEBAR（空格键）时，移动超过了 8 位界限，Debug 程序将显示新的一行并在行首显示新地址。

· 返回到前一个字节。为此，请按 HYPHEN 键 (-)。可以反复按 HYPHEN 键 (-) 向后移动超过多个字节。在按 HYPHEN 时，Debug 开始新行并显示当前地址和字节值。
· 停止执行 e 命令。为此，请按 ENTER 键。在任何字节位置都可以按 ENTER。
使用 list 参数
如果指定 list 参数的值，随后的 e 命令将使用列表中的值替换现有的字节值。如果发生错误，将不更改任何字节值。
List 值可以是十六进制字节或字符串。使用空格、逗号或制表符来分隔值。必须将字符串包括在单或双引号中。
++++
Debug:F（填充）
使用指定的值填充指定内存区域中的地址。
可以指定十六进制或 ASCII 格式表示的数据。任何以前存储在指定位置的数据将会丢失。
f range list
参数
range
指定要填充内存区域的起始和结束地址，或起始地址和长度。关于有效的 range 值的信息，请单击“相关主题”列表中的“Debug 说明”。
list
指定要输入的数据。List 可以由十六进制数或引号包括起来的字符串组成。
++
范例
假定键入以下命令：
f04ba:100l100 42 45 52 54 41
作为响应，Debug 使用指定的值填充从 04BA:100 到 04BA:1FF 的内存位置。Debug 重复这五个值直到 100h 个字节全部填满为止。
++
说明
使用 range 参数
如果 range 包含的字节数比 list 中的数值大，Debug 将在 list 中反复指派值，直到 range 中的所有字节全部填充。
如果在 range 中的任何内存损坏或不存在，Debug 将显示错误消息并停止 f 命令。
使用 list 参数
如果 list 包含的数值多于 range 中的字节数，Debug 将忽略 list 中额外的值。
++
Debug:G（转向）
运行当前在内存中的程序。
g [=address] [breakpoints]
参数
=address
指定当前在内存中要开始执行的程序地址。如果不指定 address，windows 2000 将从 CS:IP 寄存器中的当前地址开始执行程序。
breakpoints
指定可以设置为 g 命令的部分的 1 到 10 个临时断点。
有关执行循环、重复的字符串指令、软件中断或子程序的信息，请单击“相关主题”列表中的 Debug P（执行）。
有关执行指令的信息，请单击“相关主题”列表中的 Debug T（跟踪）。
范例
假定键入以下命令：
gcs:7550
Windows 2000 运行当前内存中的程序，直到执行到 CS 段中的断点地址 7550 为止。Debug 将显示寄存器的内容和标志的状态并结束 g 命令。
以下命令设置两个断点：
gcs:7550, cs:8000
如果在 Debug 遇到断点之后再次键入 g 命令，将从在断点之后的指令开始执行，而不是在通常的开始地址执行。
++
说明
使用 address 参数
必须在 address 参数之前使用等号 (=) 以区分开始地址 (address) 和断点地址 (breakpoints)。
指定断点
程序在它遇到的第一个断点处停止，而不论您在 breakpoint 列表的什么位置键入断点。Debug 在每个断点处用中断代码代替原始指令。

当程序到达断点时，Debug 将所有断点地址恢复到它们的最初指令并显示所有寄存器的内容、所有标记的状态以及最后执行指令的解码形式。Debug 显示的信息与使用 Debug r（寄存器）命令并指定断点时所显示的信息相同。
如果不在断点处停止程序，Debug 程序将不使用原始指令替换中断代码。
设置断点的限制
可以只在包含 8086 操作代码（操作码）的第一个字节的地址上设置断点。如果设置了 10 个以上的断点，Debug 将显示以下信息：
bp error
对用户堆栈指针的要求
用户堆栈指针必须有效且必须有 6 个字节可用于 g 命令。该命令使用 iret 指令跳转到正在被测试的程序。Debug 设置用户堆栈指针并将用户标志、代码段寄存器和指令指针压入用户堆栈。（如果用户堆栈无效或太小，操作系统可能会失败。）Debug 在指定的断点处设置中断代码 (0CCh)。
重新启动程序
不要在 Windows 2000 显示以下消息后尝试重新启动程序；
Program terminated normally
要正确地运行程序，必须通过使用 Debug n（名称）和 l（加载）命令重新加载该程序。
++++
Debug:H（十六进制）
对指定的两个参数执行十六进制运算。
h value1 value2
参数
value1
代表从 0 到 FFFFh 范围内的任何十六进制数字。
value2
代表从 0 到 FFFFh 范围内第二个十六进制数字。
++
范例
假定键入以下命令：
h19f 10a
Debug 执行运算并显示以下结果。
02A9 0095
++
说明
Debug 首先将指定的两个参数相加，然后从第一个参数中减去第二个参数。这些计算的结果显示在一行中：先计算和，然后计算差。
++++
Debug:I（输入）
从指定的端口读取并显示一个字节值。
i port
参数
port
按地址指定输入端口。地址可以是 16 位的值。
有关将字节值发送到输出端口的信息，请单击“相关主题”列表中的 Debug O（输出）。
++
范例
假定键入以下命令：
i2f8
同时假定端口的字节值是 42h。Debug 读取该字节，并将其值显示如下：
42
++
Debug:L（加载）
将某个文件或特定磁盘扇区的内容加载到内存。
要从磁盘文件加载 BX:CX 寄存器中指定的字节数内容，请使用以下语法：
l [address]
要略过 Windows 2000 文件系统并直接加载特定的扇区，请使用以下语法：
l address drive start number
参数
address
指定要在其中加载文件或扇区内容的内存位置。如果不指定 address，Debug 将使用 CS 寄存器中的当前地址。
drive
指定包含读取指定扇区的磁盘的驱动器。该值是数值型：0 = A, 1 = B, 2 = C 等。
start
指定要加载其内容的第一个扇区的十六进制数。
number
指定要加载其内容的连续扇区的十六进制数。只有要加载特定扇区的内容而不是加载 debug 命令行或最近的 Debug n（名称）命令中指定的文件时，才能使用 drive、start 和 number 参数。
有关指定用于 l 命令的文件的信息，请单击“相关主题”列表中的 Debug n（名称）。

有关写入调试到磁盘的文件的信息，请单击“相关主题”列表中的 Debug w（写入）。
++
范例
假定启动 Debug 并键入以下命令：
nfile.com
现在可以键入 l 命令以加载 File.com。Debug 将加载文件并显示 Debug 提示符。
假定需要从驱动器 C 将起始逻辑扇区为 15 (0Fh) 的 109 (6Dh) 个扇区的内容加载到起始地址为 04BA:0100 的内存中。为此，请键入以下命令：
l04ba:100 2 0f 6d
++
注意
使用不带参数的 l 命令
当使用不带参数的 l 命令时，在 debug 命令行上指定的文件将加载到内存中，从地址 CS:100 开始。Debug 同时将 BX 和 CX 寄存器设置为加载的字节数。如果不在 debug 命令行指定文件，所装入的文件将是最近使用 n 命令经常指定的文件。
使用具有 address 参数的 1 命令
如果使用带 address 参数的 l 命令，Debug 将从内存位置 address 开始加载文件或指定扇区的内容。
使用带全部参数的 l 命令
如果使用带所有参数的 l 命令，Debug 将加载指定磁盘扇区的内容而不是加载文件。
加载特定扇区的内容

指定范围内的每个扇区均从 drive 读取。Debug 从 start 开始加载，直到在 number 中指定的扇区数中的内容全部被加载。
加载 .exe 文件
Debug 忽略 .exe 文件的地址 address 参数。如果指定 .exe 文件，Debug 将文件重新定位到 .exe 文件的标题中指定的加载地址。在 .exe 文件被加载到内存前，标题自身从 .exe 文件脱离，因此磁盘上的 .exe 文件大小与内存中的不同。如果要检查整个 .exe 文件，请使用不同的扩展名重命名文件。
打开十六进制文件
Debug 将具有 .hex 扩展名的文件认为十六进制格式文件。键入不带参数的 l 命令，可以加载从十六进制文件中指定的地址处开始的十六进制文件。如果键入的 l 命令包含 address 参数，Debug 将把指定的地址加到在十六进制文件中找到的地址上，以确定起始地址。
++++
Debug:M（移动）

将一个内存块中的内容复制到另一个内存块中。
m range address
参数
range
指定要复制内容的内存区域的起始和结束地址，或起始地址和长度。
address
指定要将 range 内容复制到该位置的起始地址。
++
范例
假定键入以下命令：
mcs:100 110 cs:500
Debug 首先将 CS:110 地址中的内容复制到地址 CS:510 中，然后将 CS:10F 地址中的内容复制到 CS:50F 中，如此操作直至将 CS:100 地址中的内容复制到地址 CS:500 中。要查看结果，请使用 Debug d（转储）命令，并使用 m 命令指定目标地址。
++
说明
复制操作对现有数据的影响
如果新数据没有写入正在被复制的数据块中的地址，则源数据将保持不变。但是，如果目标块已经包含数据(就象它在覆盖副本操作中一样)，则将改写该数据。（覆盖复制操作是指那些目标数据块部分内容覆盖原数据块部分内容的操作。）
执行覆盖复制操作
m 命令执行目标地址的覆盖复制操作，而不丢失数据。将改写的地址内容首先复制。因此，如果将较高位地址的数据复制到较低位地址，则复制操作从原块的最低位地址开始并向最高位地址进行。反之，如果要将数据从低地址复制到高地址，复制操作从原块的最高地址开始，向最低地址进行。
++++
Debug:N（名称）
指定 Debug l（加载）或 w（写入）命令的可执行文件的名称，或者指定正在调试的可执行文件的参数。

n [drive:][path] filename
要指定测试的可执行文件的参数，请使用以下语法：
n file-parameters
参数
如果在没有参数的情况下使用，则 n 命令清除当前规范。
[drive:][path] filename
指定要测试的可执行文件的位置和名称。
file-parameters
为正在测试的可执行文件指定参数和开关。
有关将文件或指定磁盘扇区的内容加载到内存中的信息，请单击“相关主题”列表中的 Debug L（加载）。
有关写入调试到磁盘的文件的信息，请单击“相关主题”列表中的 Debug W（写入）。
++
范例
假定已经启动 Debug，并加载了正在调试的程序 Prog.com。接着您决定为 Prog.com 指定两个参数并运行此程序。以下是此范例的命令序列：
debug prog.com
nparam1 param2
g
在这种情况下，Debug g（转向）命令会运行该程序，就好像您已在 Windows 2000 命令提示符后键入了如下命令：
prog param1 param2
所以，测试和调试反映 Prog.com 通常的运行时间环境。
在下面的命令序列中，第一个 n 命令将 File1.exe 指定为后接的 l（加载）命令的文件，该命令将 File1.exe 加载到内存。第二个 n 命令指定 File1.exe 将使用的参数。最后，g 命令将运行 File1.exe 文件，就好像您在 Windows 2000 命令行中键入了 File1 File2.dat File2.dat 一样。
nfile1.exe
l
nfile2.dat file3.dat
g
注意
· 不要在 n 命令的第二种形式后使用 l 命令。还要注意，如果现在使用 w（写入）命令，Windows 2000 将使用名称 File2.dat 保存正在调试的文件 File1.exe。为避免出现此结果，应该总是在 l 或 w 命令之前立即使用 n 命令的第一种形式。
++
说明
n 命令的两个用途
可以按两种方式使用 n 命令。首先，您可以使用它以指定后面的 l（加载）或 w（写入）命令所使用的文件。如果在没有命名所调试文件的情况下启动 Debug，必须在使用 l 命令加载文件之前使用命令 nfilename。在 CS:5C 为文件控制块 (FCB) 正确编排文件名的格式。其次，可以使用 n 命令指定被调试文件的命令行参数和开关。

内存区域
以下四个内存区域都会受到 n 命令的影响：
内存位置 内容
CS:5C 文件 1 的文件控制数据块 (FCB)
CS:6C 文件 2 的文件控制数据块 (FCB)
CS:80 n 命令行的长度（以字符表示）
CS:81 n 命令行字符的开头
为 n 命令指定的第一个文件名被放在 CS:5C 的 FCB 中。如果指定第二个文件名，此名称将放置到 CS:6C 的 FCB 中。n 命令行上键入的字符数（除第一个字符之外，n）存储在位置 CS:80。n 命令行上的实际字符（再次，除了字母 n 之外）存储在以 CS:81 开头的位置。注意这些字符可以是在 Windows 2000 命令提示符下键入的命令中有效的任何开关和分隔符。
++++
Debug:O（输出）
将字节值发送到输出端口。
o port byte-value
参数
port
通过地址指定输出端口。端口地址可以是 16 位值。
byte-value
指定要指向 port 的字节值。
有关从输入端口读取字节值的信息，请单击“相关主题”列表中的 Debug I（输入）。

++
范例
要将字节值 4Fh 发送到地址为 2F8h 的输出端口，请键入以下命令：
o2f8 4f
++++
Debug:P（执行）
执行循环、重复的字符串指令、软件中断或子例程；或通过任何其他指令跟踪。
p [= address] [number]
参数
=address
指定第一个要执行指令的位置。如果不指定地址，则默认地址是在 CS:IP 寄存器中指定的当前地址。
number
指定在将控制返回给 Debug 之前要执行的指令数。默认值为 1。
有关运行当前在内存中程序的信息，请单击“相关主题”列表中的 Debug G（转向）。
有关执行指令的信息，请单击“相关主题”列表中的 Debug T（跟踪）。
++
范例
假定正在测试的程序在地址 CS:143F 处包含一个 call 指令。要运行 call 目标位置的子程序然后将控制返回到 Debug，请键入以下命令：
p=143f
Debug 按以下格式显示结果：
AX=0000 BX=0000 CX=0000 DX=0000 SP=FFEE BP=0000 SI=0000 DI=0000
DS=2246 ES=2246 SS=2246 CS=2246 IP=1443 NV UP EI PL NZ AC PO NC
2246:1442 7505 JNZ 144A
++
说明
将控制传送到要测试的程序
当 p 命令将控制从 Debug 传送到要测试的程序时，该程序不间断运行，直到循环、重复字符串指令、软件中断或者完成了指定地址的子例程为止，或者直到执行了指定数量的机器指令为止。控制返回到 Debug。
地址参数的限制
如果 address 参数没有指定段，Debug 将使用被测试程序的 CS 寄存器。如果省略 address，程序将从 CS:IP 寄存器所指定的地址开始执行。必须在 address 参数之前使用等号 (=) 以便将它与 number 参数区分。如果在指定地址处的指令不是循环、重复的字符串指令、软件中断或子例程，则 p 命令与 Debug t（跟踪）命令的作用相同。
使用 p 命令显示的邮件
当 p 执行完一段说明后，Debug 显示出程序的寄存器内容、标志的状态以及下一段将要被执行的指令的解码形式。
警告
· 不能使用 p 命令跟踪只读内存 (ROM)。
++++
Debug:Q（退出）
停止 Debug 会话，不保存当前测试的文件。
当您键入 q 以后，控制返回到 Windows 2000 的命令提示符。
q
参数
该命令不带参数。
有关保存文件的信息，请单击“相关主题”列表中的 Debug W（写入）。

++++
Debug:R（寄存器）
显示或改变一个或多个 CPU 寄存器的内容。
r [register-name]
参数
无
如果在没有参数的情况下使用，则 r 命令显示所有寄存器的内容以及寄存器存储区域中的标志。
register-name
指定要显示其内容的寄存器名。
有关显示内存部分内容的信息，请单击“相关主题”列表中的 Debug D（转储）。
有关反汇编字节的信息，请单击“相关主题”列表中的 Debug U（反汇编）。
++
范例
要查看所有寄存器的内容、所有标记的状态和当前位置的指令解码表，请键入以下命令：
r
如果当前位置是 CS:11A，显示外观将类似于以下内容：

AX=0E00 BX=00FF CX=0007 DX=01FF SP=039D BP=0000 SI=005C DI=0000
DS=04BA ES=04BA SS=04BA CS=O4BA IP=011A NV UP DI NG NZ AC PE NC
04BA:011A CD21 INT 21
要只查看标志的状态，请键入以下命令：
rf
Debug 按以下格式显示信息：
NV UP DI NG NZ AC PE NC - _
现在，您可以按任意顺序键入一个或多个有效的标志值，其中可以有或没有空格，如下所示：
nv up di ng nz ac pe nc - pleicy
Debug 结束 r 命令并显示 Debug 提示符。要查看更改，请键入 r 或 rf 命令。Debug 将显示以下内容：
NV UP EI PL NZ AC PE CY - _
按 ENTER 返回到 Debug 提示符。
++
说明
使用 r 命令
如果指定了寄存器名称，Windows 2000 将显示以十六进制标记表示的寄存器的 16 位值，并将冒号显示为提示符。如果要更改包含在寄存器中的值，除非键入新值并按 ENTER 键；否则，请按 ENTER 键返回 Debug 提示符。
有效寄存器名
以下是 register-name 的有效值：ax、bx、cx、dx、sp、bp、si、di、ds、es、ss、cs、ip、pc 及 f。ip 和 pc 都引用指令指针。
如果指定寄存器名称，而不是从前面的列表中指定，Windows 2000 将显示以下消息：
br error
使用 f 字符而不是寄存器名
如果键入 f 字符代替寄存器名，Debug 将每个标记的当前设置显示为两字母代码，然后显示 Debug 提示符。要更改标志的设置，请从下表中键入适当的两字母代码：
标志名 设置 清除
溢出 ov nv
方向 dn（减） up（增）
中断 ei（启用） di（禁用）
正负 ng（负） pl（正）
零 zr nz
辅助进位 ac na
奇偶校验 pe（偶校验） po（奇校验）
进位 cy nc
可以按任何顺序键入新的标志值。不需要在这些值之间留出空格。要停止 r 命令，请按 ENTER 键。任何没有指定新值的标志保持不变。
用 r 命令显示的邮件
如果为标记指定了多个值，Debug 将显示以下消息：
df error
如果指定没有在前面的表中列出的标志代码，Debug 将显示以下消息：
bf error
在这两种情况下，Debug 将忽略所有在无效项目之后指定的设置。
Debug 的默认设置
在启动 Debug 时，会将段寄存器设置到空闲内存的低端，指令指针设置为 0100h，清除所有标志，并且将其余寄存器设置为零，除了被设置为 FFEEh 的 sp 之外。
++++
Debug:S（搜索）
在某个地址范围搜索一个或多个字节值的模式。
s range list
参数
range
指定要搜索范围的开始和结束地址。有关 range 参数有效值的信息，请单击“相关主题”列表中的 Debug。

list
指定一个或多个字节值的模式，或要搜索的字符串。用空格或逗号分隔每个字节值和下一个字节值。将字符串值包括在引号中。
++
范例
假定需要查找包含值 41 并且范围从 CS:100 到 CS:110 的所有地址。为此，请键入以下命令：
scs:100 110 41
Debug 按以下格式显示结果：
04BA:0104
04BA:010D
-
以下命令在 CS:100 到 CS:1A0 的范围内搜索字符串“Ph”。

scs:100 1a0 "Ph"
++
说明
如果 list 参数包含多个字节值，Debug 将只显示出现字节值的第一个地址。如果 list 只包含一个字节值，Debug 将显示指定范围内出现该值的所有地址。
++++
Debug:T（跟踪）
执行一条指令，并显示所有注册的内容、所有标志的状态和所执行指令的解码形式。
t [=address] [number]
参数
=address
指定 Debug 启动跟踪指令的地址。如果省略 address 参数，跟踪将从程序的 CS:IP 寄存器所指定的地址开始。有关 address 参数有效值的信息，请单击“相关主题”列表中的 Debug。
number
指定要跟踪的指令数。该值必须是十六进制数。默认值为 1。
有关执行循环、重复的字符串指令、软件中断或子例程的信息，请单击“相关主题”列表中的 Debug P（执行）。
有关执行当前内存中程序的信息，请单击“相关主题”列表中的 Debug G（转向）。
++
范例
要执行一个指令（CS:IP 指向的指令），然后显示寄存器的内容、标志的状态以及指令的解码形式，请键入以下命令：
t
如果程序中的指令位于 04BA:011A，Debug 可能显示下列信息：
AX=0E00 BX=00FF CX=0007 DX=01FF SP=039D BP=0000 SI=005C DI=0000
DS=04BA ES=04BA SS=04BA CS=O4BA IP=011A NV UP DI NG NZ AC PE NC
04BA:011A CD21 INT 21
++
说明
跟踪只读内存中的指令
t 命令使用 8086 或 8088 微处理器的硬件跟踪模式。因此，也可以跟踪存储在只读内存 (ROM) 中的指令。
使用地址参数
必须在 address 参数之前使用等号 (=) 以便将它与 number 参数区分。
++++
Debug:U（反汇编）
反汇编字节并显示相应的原语句，其中包括地址和字节值。反汇编代码看起来象已汇编文件的列表。
u [range]
参数
无
如果在没有参数的情况下使用，则 u 命令分解 20h 字节（默认值），从前面 u 命令所显示地址后的第一个地址开始。
range
指定要反汇编代码的起始地址和结束地址，或起始地址和长度。有关 range 参数有效值的信息，请单击“相关主题”列表中的 Debug。
有关集成记忆码的信息，请单击“相关主题”列表中的 Debug A（汇编）。
有关显示内存部分内容的信息，请单击“相关主题”列表中的 Debug D（转储）。
++
范例
要反汇编 16 (10h) 字节，从地址 04BA:0100 开始，请键入以下命令：
u04ba:100l10
Debug 按以下格式显示结果：
04BA:0100 206472 AND [SI+72],AH
04BA:0103 69 DB 69
04BA:0104 7665 JBE 016B
04BA:0106 207370 AND [BP+DI+70],DH
04BA:0109 65 DB 65
04BA:010A 63 DB 63
04BA:010B 69 DB 69

04BA:010C 66 DB 66
04BA:010D 69 DB 69
04BA:010E 63 DB 63
04BA:010F 61 DB 61
如果只显示从 04BA:0100 到 04BA:0108 特定地址的信息，请键入以下命令：
u04ba:0100 0108

Debug 显示以下内容：
04BA:0100 206472 AND [SI+72],AH
04BA:0103 69 DB 69
04BA:0104 7665 JBE 016B
04BA:0106 207370 AND [BP+DI+70],DH
++++
Debug:W（写入）
将文件或特定分区写入磁盘。
要将在 BX:CX 寄存器中指定字节数的内容写入磁盘文件，请使用以下语法：
w [address]
要略过 Windows 2000 文件系统并直接写入特定的扇区，请使用以下语法：
w address drive start number
参数
address
指定要写到磁盘文件的文件或部分文件的起始内存地址。如果不指定 address，Debug 程序将从 CS:100 开始。关于 address 参数有效值的信息，请在“相关主题”列表中单击 Debug。
drive
指定包含目标盘的驱动器。该值是数值型：0 = A, 1 = B, 2 = C,等等。
start
指定要写入第一个扇区的十六进制数。
number
指定要写入的扇区数。
有关指定用于 w 命令的文件的信息，请单击“相关主题”列表中的 Debug N（名称）。
有关将文件或文件扇区内容加载到内存中的信息，请单击“相关主题”列表中的 Debug L（加载）。
范例
假定要将起始地址为 CS:100 的内存内容写入到驱动器 B 的磁盘中。需要将数据从磁盘的逻辑扇区号 37h 开始并持续 2Bh 个扇区。为此，键入以下命令：
wcs:100 1 37 2b
当写操作完成时，Debug 再次显示 Debug 提示符。
++
说明
必须在启动 Debug 时或者在最近的 Debug n（名称）命令中指定磁盘文件的名字。这两种方法都可以将地址 CS:5C 处文件控制块的文件名正确地编排格式。
在使用不带参数的 w 命令之前重新设置 BX:CX
如果使用了 Debug g（转向）、t（跟踪）、p（执行）或 r（寄存器）命令，必须在使用无参数的 w 命令之前，将 BX:CX 寄存器复位。
将修改后的文件写入磁盘
如果修改文件但不更改文件名、长度或起始地址，Debug 仍然可以正确地将文件写入源磁盘位置。
w 命令的限制
不能用该命令写入 .exe 或 .hex 文件。
警告
· 因为略过 Windows 2000 文件句柄，所以写入特定的分区非常危险。如果键入错误的值，则磁盘文件结构很容易被损坏。
++++
Debug:XA（分配扩展内存）
分配扩展内存的指定页面数。
要使用扩展内存，必须安装符合 4.0 版的 Lotus/Intel/Microsoft 扩展内存规范 (LIM EMS) 的扩展内存设备驱动程序。
xa [count]
参数
count
指定要分配的扩展内存的 16KB 页数。
有关使用扩展内存的其他 Debug 命令的信息，请单击“相关主题”列表中的 XD（释放扩展内存）、XM（映射扩展内存页）或 XS（显示扩展内存状态）。
++
范例
要分配扩展内存的 8 个页面，请键入以下命令：
xa8
如果命令成功，Debug 将显示类似的以下消息：
Handle created=0003

++
说明
如果指定的页面数可用，则 Debug 将显示消息，此消息表明所创建的句柄的十六进制数；否则，Debug 将显示错误消息。

++++
Debug:XD（释放扩展内存）
释放指向扩展内存的句柄。
要使用扩展内存，必须安装符合 4.0 版的 Lotus/Intel/Microsoft 扩展内存规范 (LIM EMS) 的扩展内存设备驱动程序。
xd [handle]
参数
handle
指定要释放的句柄。
有关使用扩展内存的其他 Debug 命令的信息，请单击“相关主题”列表中 XA（分配扩展内存）、XM（映射扩展内存页） 或 XS（显示扩展内存状态）。
++
范例
要释放句柄 0003，请键入以下命令：
xd 0003
如果命令成功，Debug 将显示下列消息：
Handle 0003 deallocated
++++
Debug:XM（映射扩展内存页）
将属于指定句柄的扩展内存逻辑页映射到扩展内存的物理页。
要使用扩展内存，必须安装符合 4.0 版的 Lotus/Intel/Microsoft 扩展内存规范 (LIM EMS) 的扩展内存设备驱动程序。
xm [lpage] [ppage] [handle]
参数
lpage
指定要映射到物理页 ppage 的扩展内存的逻辑页面号。
ppage
指定将 lpage 映射到的物理页面号。
handle
指定句柄。
有关使用扩展内存的其他 Debug 命令的信息，请单击“相关主题”列表中的 XA（分配扩展内存）、XD（释放扩展内存）或 XS（显示扩展内存）。
++
范例
要将句柄 0003 的逻辑页 5 映射到物理页 2，请键入以下命令：
xm 5 2 0003
如果命令成功，Debug 将显示下列消息：
Logical page 05 mapped to physical page 02
++++
Debug:XS（显示扩展内存状态）
显示有关扩展内存状态的信息。
要使用扩展内存，必须安装符合 4.0 版的 Lotus/Intel/Microsoft 扩展内存规范 (LIM EMS) 的扩展内存设备驱动程序。
xs
参数
该命令不带参数。
有关使用扩展内存的其他 Debug 命令的信息，请单击“相关主题”列表中的 XA（分配扩展内存）、XD（释放扩展内存）或 XM（映射扩展内存页）。
++
范例
要显示扩展内存信息，请键入以下命令：
xs
Debug 显示与以下类似的信息：
Handle 0000 has 0000 pages allocated
Handle 0001 has 0002 pages allocated

Physical page 00 = Frame segment C000
Physical page 01 = Frame segment C400
Physical page 02 = Frame segment C800
Physical page 03 = Frame segment CC00
2 of a total 80 EMS pages have been allocated
2 of a total FF EMS handles have been allocated
++
说明
Debug 显示的信息有如下格式：
Handle xx has xx pages allocated
Physical page xx = Frame segment xx
xx of a total xx EMS pages have been allocated

xx of a total xx EMS handles have been allocated

1.     远程访问

1.1.Access Server基本设置：

选用Cisco2511作为访问服务器,采用IP地址池动态分配地址.远程工作站使用WIN95拨号网络实现连接。

全局设置：

基本接口设置命令：

line拨号线设置：

访问服务器设置如下：

Router:

hostname Router

enable secret 5 $1$EFqU$tYLJLrynNUKzE4bx6fmH//

!

interface Ethernet0

ip address 10.111.4.20 255.255.255.0

!

interface Async1

ip unnumbered Ethernet0

encapsulation ppp

keepalive 10

async mode interactive

peer default ip address pool Cisco2511-Group-142

!

ip local pool Cisco2511-Group-142 10.111.4.21 10.111.4.36

!

line con 0

exec-timeout 0 0

password cisco

!

line 1 16

modem InOut

modem autoconfigure discovery

flowcontrol hardware

!

line aux 0

transport input all

line vty 0 4

password cisco

!

end  

相关调试命令：

show interface

show line

1.2.       Access Server通过Tacacs服务器实现安全认证：

使用一台WINDOWS NT服务器作为Tacacs服务器，地址为10.111.4.2,运行Cisco2511随机带的Easy ACS 1.0软件实现用户认证功能.

相关设置：

访问服务器设置如下：

hostname router

!

aaa new-model

aaa authentication login default tacacs+

aaa authentication login no_tacacs enable

aaa authentication ppp default tacacs+

aaa authorization exec tacacs+

aaa authorization network tacacs+

aaa accounting exec start-stop tacacs+

aaa accounting network start-stop tacacs+

enable secret 5 $1$kN4g$CvS4d2.rJzWntCnn/0hvE0

!

interface Ethernet0

 ip address 10.111.4.20 255.255.255.0

!

interface Serial0

no ip address

shutdown

interface Serial1

no ip address

shutdown

!

interface Group-Async1

ip unnumbered Ethernet0

encapsulation ppp

async mode interactive

peer default ip address pool Cisco2511-Group-142

no cdp enable

group-range 1 16

!

ip local pool Cisco2511-Group-142 10.111.4.21 10.111.4.36

tacacs-server host 10.111.4.2

tacacs-server key tac

!

line con 0

exec-timeout 0 0

password cisco

login authentication no_tacacs 

line 1 16

login authentication tacacs

modem InOut

modem autoconfigure type usr_courier

autocommand ppp

transport input all

stopbits 1

rxspeed 115200

txspeed 115200

flowcontrol hardware

line aux 0

transport input all

line vty 0 4

password cisco

!

end

2.      DDR（dial-on-demand routing）实例

此例通过Cisco 2500系列路由器的aux端口实现异步拨号DDR连接。Router1拨号连接到Router2。其中采用PPP/CHAP做安全认证，在Router1中应建立一个用户，以对端路由器主机名作为用户名，即用户名应为Router2。同时在Router2中应建立一个用户，以对端路由器主机名作为用户名，即用户名应为Router1。所建的这两用户的password必须相同。

相关命令如下：

Router1:

hostname Router1

!

enable secret 5 $1$QKI7$wXjpFqC74vDAyKBUMallw/

!

username Router2 password cisco

chat-script cisco-default  "" "AT" TIMEOUT 30 OK "ATDT \T" TIMEOUT 30 CONNECT \c

!

interface Ethernet0

ip address 10.0.0.1 255.255.255.0

!

interface Async1

ip address 192.200.10.1 255.255.255.0

encapsulation ppp

async default routing

async mode dedicated

dialer in-band

dialer idle-timeout 60

dialer map ip 192.200.10.2 name Router2 modem-script cisco-default 573

dialer-group 1

ppp authentication chap

!

ip route 10.0.1.0 255.255.255.0 192.200.10.2

dialer-list 1 protocol ip permit   

!

line con 0

line aux 0

modem InOut

modem autoconfigure discovery

flowcontrol hardware                                                                           

Router2:

hostname Router2

!

enable secret 5 $1$F6EV$5U8puzNt2/o9g.t56PXHo.

!

username Router1 password cisco

!

interface Ethernet0

ip address 10.0.1.1 255.255.255.0

!

interface Async1

ip address 192.200.10.2 255.255.255.0

encapsulation ppp

async default routing

async mode dedicated

dialer in-band

dialer idle-timeout 60

dialer map ip 192.200.10.1 name Router1

dialer-group 1

ppp authentication chap

!

ip route 10.0.0.0 255.255.255.0 192.200.10.1

dialer-list 1 protocol ip permit

!

line con 0

line aux 0

modem InOut

modem autoconfigure discovery

flowcontrol hardware

!

相关调试命令：

debug dialer

debug ppp authentication

debug ppp error

debug ppp negotiation

debug ppp packet

show dialer    

3.        异步拨号备份DDN专线：

   此例主连接采用DDN专线，备份线路为电话拨号。当DDN专线连接正常时，主端口S0状态为up，line protocol亦为up,则备份线路状态为standby，line protocol为down，此时所有通信均通过主接口进行。当主接口连接发生故障时，端口状态为down，则激活备份接口，完成数据通信。此方法不适合为X.25做备份。因为，配置封装为X.25的接口只要和X.25交换机之间的连接正常其接口及line protocol的状态亦为 up,它并不考虑其它地方需与之通信的路由器的状态如何，所以若本地路由器状态正常，而对方路由器连接即使发生故障，本地也不会激活备份线路。例4将会描述如何为X.25做拨号备份。 

以下是相关命令：

hostname c2522rb

!

enable secret 5 $1$J5vn$ceYDe2FwPhrZi6qsIIz6g0

enable password cisco

!

username c4700 password 0 cisco

ip subnet-zero

chat-script cisco-default "" "AT" TIMEOUT 30 OK "ATDT \T" TIMEOUT 30 CONNECT \c

chat-script reset atz

!

interface Ethernet0

ip address 16.122.51.254 255.255.255.0

no ip mroute-cache

!

interface Serial0

backup delay 10 10

backup interface Serial2

ip address 16.250.123.18 255.255.255.252

no ip mroute-cache

no fair-queue

!

interface Serial1

no ip address

no ip mroute-cache

shutdown

!

interface Serial2

physical-layer async

ip address 16.249.123.18 255.255.255.252

encapsulation ppp

async mode dedicated

dialer in-band

dialer idle-timeout 60

dialer map ip 16.249.123.17 name c4700 6825179

dialer-group 1

ppp authentication chap

!

interface Serial3

no ip address

shutdown

no cdp enable

!

interface Serial4

no ip address

shutdown

no cdp enable

!

interface Serial5

no ip address

no ip mroute-cache

shutdown

!

interface Serial6

no ip address

no ip mroute-cache

shutdown

!

interface Serial7

no ip address

no ip mroute-cache

shutdown

!

interface Serial8

no ip address

no ip mroute-cache

shutdown

!

interface Serial9

no ip address

no ip mroute-cache

shutdown

!

interface BRI0

no ip address

no ip mroute-cache

shutdown

!

router eigrp 200

network 16.0.0.0

!

ip classless

!

dialer-list 1 protocol ip permit

!

line con 0

line 2

script dialer cisco-default

script reset reset

modem InOut

modem autoconfigure discovery

rxspeed 38400

txspeed 38400

flowcontrol hardware

line aux 0

line vty 0 4

password cisco

login

!

end

c2522rb#

4.       异步拨号备份X.25:

  
   设置X.25的拨号备份,首先X.25连接的端口必须运行动态路由协议,异步拨号口必须使用静态路由.本例选择EIGRP作为路由选择协议,将静态路由的Metric的值设置为200,由于EIGRP的默认Metric为90,所以当同时有两条路径通往同一网段时,其中Metric值小的路径生效,而当X.25连接出现问题时,路由器无法通过路由协议学习到路由表，则此时静态路由生效，访问通过拨号端口实现。当X.25连接恢复正常时，路由器又可以学习到路由表，则由于 Metric值的不同，静态路由自动被动态路由所代替，这样就实现了备份的功能。

路由器Router1配置如下:

hostname router1

!

enable secret 5 $1$UTvD$99YiY2XsRMxHudcYeHn.Y.

enable password cisco

!

username router2 password cisco

ip subnet-zero

chat-script cisco-default "" "AT" TIMEOUT 30 OK "ATDT \T" TIMEOUT 30 CONNECT \c

chat-script reset atz

interface Ethernet0

ip address 202.96.38.100 255.255.255.0

!

interface Serial0

ip address 202.96.0.1 255.255.255.0

encapsulation x25

x25 address 10112227

x25 htc 16

x25 map ip 202.96.0.2 10112225 broadcast

!

interface Serial1

no ip address

shutdown

!

!

interface Async 1

ip address 202.96.1.1 255.255.255.252

encapsulation ppp

dialer in-band

dialer idle-timeout 60

dialer map ip 202.96.1.2 name router2 modem-script cisco-default 2113470

dialer-group 1

ppp authentication chap

!

router eigrp 200

redistribute connected

network 202.96.0.0

!

ip route 202.96.37.0 255.255.255.0 202.96.1.2 200

dialer-list 1 protocol ip permit

line con 0

line aux 0

script dialer cisco-default

script reset reset

modem InOut

modem autoconfigure discovery

transport input all

rxspeed 38400

txspeed 38400

flowcontrol hardware

line vty 0 4

password cisco

login

!

end

路由器Router2配置如下:

hostname router2

!

enable secret 5 $1$T4IU$2cIqak8f/E4Ug6dLT0k.J0

enable password cisco

!

username router1 password cisco

ip subnet-zero

chat-script cisco-default "" "AT" TIMEOUT 30 OK "ATDT \T" TIMEOUT 30 CONNECT \c

chat-script reset atz

!

interface Ethernet0

ip address 202.96.37.100 255.255.255.0

!

interface Serial0

ip address 202.96.0.2 255.255.255.0

no ip mroute-cache

encapsulation x25

x25 address 10112225

x25 htc 16

x25 map ip 202.96.0.1 10112227 broadcast

!

interface Serial1

no ip address

shutdown

!

interface Async1

ip address 202.96.1.2 255.255.255.252

encapsulation ppp

keepalive 30

async default routing

async mode dedicated

dialer in-band

dialer idle-timeout 60

dialer wait-for-carrier-time 120

dialer map ip 202.96.1.1 name router1 modem-script cisco-default 2113469

dialer-group 1

ppp authentication chap

!

router eigrp 200

redistribute static

network 202.96.0.0

!

no ip classless

ip route 202.96.38.0 255.255.255.0 202.96.1.1 200

dialer-list 1 protocol ip permit

!

line con 0

exec-timeout 0 0

line aux 0

script reset reset

modem InOut

modem autoconfigure discovery

transport input all

rxspeed 38400

txspeed 38400

flowcontrol hardware

line vty 0 4

password cisco

login

!

end

　　1.IOS设备（如6500 MSFC、8500、7500）的配置：

　　a） 软件需求

　　IOS版本12.0.（10）S 以上 含IPSEC 56 Feature

　　推荐使用 IOS 12.2 IP PLUS IPSEC 56C以上版本

　　基本上Cisco全系列路由器都已支持，但为运行指定版本的软件您可能需要相应地进行硬件升级

　　b） 定义用户

　　user mize pass nnwh@163.net

　　user sense secret ssn

　　d） 定义域名

　　ip domain-name mize.myrice.com //配置SSH必需

　　e） 生成密钥

　　crypto key generate rsa modulus 2048

　　执行结果：

The name for the keys will be: 6509-mize.myrice.com % The key modulus size is 2048 bits Generating RSA keys ... [OK]

　　f）指定可以用SSH登录系统的主机的源IP地址

access-list 90 remark Hosts allowed to SSH in //低版本可能不支持remark关键字 access-list 90 permit 10.10.1.100 access-list 90 permit 10.10.1.101

　　g） 限制登录

line con 0 login local line vty 0 4 login local //使用本地定义的用户名和密码登录 transport input SSH //只允许用SSH登录(注意：禁止telnet和从交换引擎session!) access-class 90 in //只允许指定源主机登录

　　a） 软件需求

　　运行CatOS的6500/4000交换引擎提供SSH服务需要一个6.1以上“k9”版本的软件，如： cat6000-sup2cvk9.7-4-3.bin 和 cat4000-k9.6-3-3a.bin.

　　8540/8510交换机支持SSH需要以上12.1（12c）EY版本软件。

　　3550交换机支持SSH需要12.1（11）EA1以上版本软件。

　　其他交换机可能不支持SSH.

　　b） 生成密钥

　　set crypto key rsa 2048

　　密钥的生成需要1-2分钟，执行完毕后可用命令show crypto key查看生成的密钥。

　　c） 限制管理工作站地址

set ip permit 10.10.1.100 ssh //只允许使用SSH登录的工作站 set ip permit 10.10.1.101 ssh set ip permit enable ssh //检查SSH连接的源地址 set ip permit enable telnet //检查telnet连接的源地址 set ip permit enable snmp //检查snmp请求的源地址

　　如果服务的ip permit 处于disable状态，所有的连接将被允许（当然服务如telnet本身可能包含用户认证机制）。如果指定服务的ip permit 处于enable状态，则管理工作站的地址必须事先用set ip permit <管理工作站IP地址> [可选的子网掩码] [允许使用的服务类型（ssh/telnet/snmp）]来定义

　　可用命令 show ip permit 来检查ip permit 的配置

　　某些服务可能存在安全漏洞（如http）或协议本身设计就是比较不安全的（如snmp、telnet）。如果服务不是必要的，可以将之关闭；如果服务是必须的，应采取措施保证这些服务仅向合法用户提供：

　　6500/4000交换引擎：

set ip http server disable //关闭http服务 set ip permit enable snmp //限制SNMP源地址 set snmp comm. read-only //清空预设的SNMP COMM字 set snmp comm. read-write set snmp comm. read-write-all

　8500、7500、MSFC等IOS设备：

no ip http server //关闭http服务 no snmp //关闭snmp服务 no service dhcp //关闭 dhcp 服务 no ip finger //关闭 finger 服务 no service tcp-small-server //关闭tcp基本服务 no service udp-small-server //关闭 udp基本服务 service password-encryption //启用明文密码加密服务

　　3.SSH 客户端

　　a） 从管理工作站登录

　　必须使用支持SSH v1协议的终端仿真程序才能使用SSH协议管理设备，推荐使用Secure CRT 3.3， 也可以使用免费软件putty.下面介绍使用Secure CRT登录SSH设备的方法：

　　运行Secure CRT程序，选择菜单File – Quick Connect…设置以下参数：Protocol（协议）： ssh1 Hostname（主机名）： 10.10.1.1 Port（端口）： 22 Username（用户名）： mize Ciper（加密方法）： 3DES Authentication（认证方式）assword 点击Connect，这时可能会提示您接受来自设备的加密公钥，选择Accept once（只用一次）或Accept & Save （保存密钥以便下次使用）。由于协议实现的问题，可能会碰到SSH Buffer Overflow的问题，如果出现“收到大于16k的密钥”的提示，请重新连接。连接正常，输入密码即可登录到系统。

　　第二次登录点击File – Connect 点击连接10.10.1.1即可。

　　b） 从IOS设备用SSH协议登录其他设备

　　IOS设备也可以发起SSH连接请求（作为SSH Client），从IOS设备登录支持3DES的IOS设备，使用以下命令（-l 指定用户名）：

　　ssh –l mize 10.10.3.3

　　从IOS设备登录支持 DES（56位）的IOS，使用以下命令（-c des指定1 des加密方式）：

　　ssh –c des –l mize 10.10.5.5

　　从IOS设备登录支持 3DES的CatOS， 如6509/4006的交换引擎，使用如下命令（无需指定用户名）：

　　ssh 10.10.6.6

　　4.限制telnet源地址

　　对于未支持SSH 的设备，可采取限制telnet源地址的方法来加强安全性。为了不致于增加一个管理员地址就要把所有的设备配置修改一遍，可以采用中继设备的方法，即受控设备只允许中继设备的telnet访问，中继设备则允许多个管理员以较安全的方法（如SSH）登录。

　　设置中继设备：

inter lo 0 ip address 10.10.1.100 255.255.255.255 ip telnet source-interface Loopback0 //发起telnet的源地址

　　设置受控设备：

access-list 91 remark Hosts allowed to TELNET in access-list 91 permit 10.10.1.100 access-list 91 permit 10.10.1.101 line con 0 password xxxxxxxx line vty 0 4 password xxxxxxxx access-class 91 in

允许用户查看、改变、启用或禁止一个服务或协议通过PIX防火墙，防火墙默认启用了一些常见的端口，但对于ORACLE等专有端口，需要专门启用。

names
access-list 101 permit ip 192.168.99.0 255.255.255.0 192.168.170.0 255.255.255.0
access-list 101 permit ip 192.168.12.0 255.255.255.0 192.168.180.0 255.255.255.0
access-list 101 permit ip 192.168.23.0 255.255.255.0 192.168.180.0 255.255.255.0
access-list 101 permit ip 192.168.99.0 255.255.255.0 192.168.101.0 255.255.255.0

建立访问列表，允许特定网段的地址访问某些网段

access-list 120 deny icmp 192.168.2.0 255.255.255.0 any
access-list 120 deny icmp 192.168.3.0 255.255.255.0 any
access-list 120 deny icmp 192.168.4.0 255.255.255.0 any
access-list 120 deny icmp 192.168.5.0 255.255.255.0 any
access-list 120 deny icmp 192.168.6.0 255.255.255.0 any
access-list 120 deny icmp 192.168.7.0 255.255.255.0 any
access-list 120 deny icmp 192.168.8.0 255.255.255.0 any
access-list 120 deny icmp 192.168.9.0 255.255.255.0 any
access-list 120 deny icmp 192.168.10.0 255.255.255.0 any
access-list 120 deny icmp 192.168.11.0 255.255.255.0 any
access-list 120 deny icmp 192.168.12.0 255.255.255.0 any
access-list 120 deny icmp 192.168.13.0 255.255.255.0 any
access-list 120 deny icmp 192.168.14.0 255.255.255.0 any
access-list 120 deny icmp 192.168.15.0 255.255.255.0 any
access-list 120 deny icmp 192.168.16.0 255.255.255.0 any
access-list 120 deny icmp 192.168.17.0 255.255.255.0 any
access-list 120 deny icmp 192.168.18.0 255.255.255.0 any
access-list 120 deny icmp 192.168.19.0 255.255.255.0 any
access-list 120 deny icmp 192.168.20.0 255.255.255.0 any
access-list 120 deny icmp 192.168.21.0 255.255.255.0 any
access-list 120 deny icmp 192.168.22.0 255.255.255.0 any
access-list 120 deny udp any any eq netbios-ns
access-list 120 deny udp any any eq netbios-dgm
access-list 120 deny udp any any eq 4444
access-list 120 deny udp any any eq 1205
access-list 120 deny udp any any eq 1209
access-list 120 deny tcp any any eq 445
access-list 120 deny tcp any any range 135 netbios-ssn
access-list 120 permit ip any any

建立访问列表120防止各个不同网段之间的ICMP发包及拒绝135、137等端口之间的通信（主要防止冲击波病毒）

access-list 110 permit ip 192.168.99.0 255.255.255.0 192.168.101.0 255.255.255.0

pager lines 24
logging on
logging monitor debugging
logging buffered debugging
logging trap notifications
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 10.1.1.4 255.255.255.224 设定外端口地址
ip address inside 192.168.1.254 255.255.255.0 设定内端口地址
ip address dmz 192.168.19.1 255.255.255.0 设定DMZ端口地址
ip audit info action alarm
ip audit attack action alarm
ip local pool hhyy 192.168.170.1-192.168.170.254

建立名称为hhyy的地址池，起始地址段为：192.168.170.1-192.168.170.254

ip local pool yy 192.168.180.1-192.168.180.254

建立名称为yy 的地址池，起始地址段为：192.168.180.1-192.168.180.254

no failover
failover timeout 0:00:00
failover poll 15
no failover ip address outside
no failover ip address inside
no failover ip address dmz
no pdm history enable
arp timeout 14400

不支持故障切换

global (outside) 1 10.1.1.13-10.1.1.28
global (outside) 1 10.1.1.7-10.1.1.9
global (outside) 1 10.1.1.10

定义内部网络地址将要翻译成的全局地址或地址范围

nat (inside) 0 access-list 101

使得符合访问列表为101地址不通过翻译，对外部网络是可见的

nat (inside) 1 192.168.0.0 255.255.0.0 0 0

内部网络地址翻译成外部地址

nat (dmz) 1 192.168.0.0 255.255.0.0 0 0

DMZ区网络地址翻译成外部地址

static (inside,outside) 10.1.1.5 192.168.12.100 netmask 255.255.255.255 0 0
static (inside,outside) 10.1.1.12 192.168.12.158 netmask 255.255.255.255 0 0
static (inside,outside) 10.1.1.3 192.168.2.4 netmask 255.255.255.255 0 0

设定固定主机与外网固定IP之间的一对一静态转换

static (dmz,outside) 10.1.1.2 192.168.19.2 netmask 255.255.255.255 0 0

设定DMZ区固定主机与外网固定IP之间的一对一静态转换

static (inside,dmz) 192.168.0.0 192.168.0.0 netmask 255.255.0.0 0 0

设定内网固定主机与DMZ IP之间的一对一静态转换

static (dmz,outside) 10.1.1.29 192.168.19.3 netmask 255.255.255.255 0 0

设定DMZ区固定主机与外网固定IP之间的一对一静态转换

access-group 120 in interface outside
access-group 120 in interface inside
access-group 120 in interface dmz

将访问列表应用于端口

conduit permit tcp host 10.1.1.2 any
conduit permit tcp host 10.1.1.3 any
conduit permit tcp host 10.1.1.12 any
conduit permit tcp host 10.1.1.29 any

设置管道：允许任何地址对全局地址进行TCP协议的访问

conduit permit icmp 192.168.99.0 255.255.255.0 any

设置管道：允许任何地址对192.168.99.0 255.255.255.0地址进行PING测试

rip outside passive version 2
rip inside passive version 2
route outside 0.0.0.0 0.0.0.0 10.1.1.1

设定默认路由到电信端

route inside 192.168.2.0 255.255.255.0 192.168.1.1 1
route inside 192.168.3.0 255.255.255.0 192.168.1.1 1
route inside 192.168.4.0 255.255.255.0 192.168.1.1 1
route inside 192.168.5.0 255.255.255.0 192.168.1.1 1
route inside 192.168.6.0 255.255.255.0 192.168.1.1 1
route inside 192.168.7.0 255.255.255.0 192.168.1.1 1
route inside 192.168.8.0 255.255.255.0 192.168.1.1 1
route inside 192.168.9.0 255.255.255.0 192.168.1.1 1
route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
route inside 192.168.11.0 255.255.255.0 192.168.1.1 1

设定路由回指到内部的子网

timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-pptp
service resetinbound
service resetoutside
crypto ipsec transform-set myset esp-des esp-md5-hmac

定义一个名称为myset的交换集

crypto dynamic-map dynmap 10 set transform-set myset

根据myset交换集产生名称为dynmap的动态加密图集（可选）

crypto map vpn 10 ipsec-isakmp dynamic dynmap

将dynmap动态加密图集应用为IPSEC的策略模板（可选）

crypto map vpn 20 ipsec-isakmp

用IKE来建立IPSEC安全关联以保护由该加密条目指定的数据流

crypto map vpn 20 match address 110

为加密图指定列表110作为可匹配的列表

crypto map vpn 20 set peer 10.1.1.41

在加密图条目中指定IPSEC对等体

crypto map vpn 20 set transform-set myset

指定myset交换集可以被用于加密条目

crypto map vpn client configuration address initiate

指示PIX防火墙试图为每个对等体设置IP地址

crypto map vpn client configuration address respond

指示PIX防火墙接受来自任何请求对等体的IP地址请求

crypto map vpn interface outside

将加密图应用到外部接口

isakmp enable outside

在外部接口启用IKE协商

isakmp key ******** address 10.1.1.41 netmask 255.255.255.255

指定预共享密钥和远端对等体的地址

isakmp identity address

IKE身份设置成接口的IP地址

isakmp client configuration address-pool local yy outside
isakmp policy 10 authentication pre-share

指定预共享密钥作为认证手段

isakmp policy 10 encryption des

指定56位DES作为将被用于IKE策略的加密算法

isakmp policy 10 hash md5

指定MD5 (HMAC变种)作为将被用于IKE策略的散列算法

isakmp policy 10 group 2

指定1024比特Diffie-Hellman组将被用于IKE策略

isakmp policy 10 lifetime 86400

每个安全关联的生存周期为86400秒（一天）

vpngroup cisco idle-time 1800
vpngroup pix_vpn address-pool yy
vpngroup pix_vpn idle-time 1800
vpngroup pix_vpn password ********
vpngroup 123 address-pool yy
vpngroup 123 idle-time 1800
vpngroup 123 password ********
vpngroup 456 address-pool yy
vpngroup 456 idle-time 1800
vpngroup 456 password ********
telnet 192.168.88.144 255.255.255.255 inside
telnet 192.168.88.154 255.255.255.255 inside
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn group 1 accept dialin pptp
vpdn group 1 ppp authentication pap
vpdn group 1 ppp authentication chap
vpdn group 1 ppp authentication mschap
vpdn group 1 ppp encryption mppe 40
vpdn group 1 client configuration address local hhyy
vpdn group 1 pptp echo 60
vpdn group 1 client authentication local
vpdn username cisco password *********
vpdn enable outside
username cisco password 3USUcOPFUiMCO4Jk encrypted privilege 2
vpnclient vpngroup cisco_vpn password ********
vpnclient username pix password ********
terminal width 80
Cryptochecksum:9524a589b608c79d50f7c302b81bdfa4

       VLSM提出供了在一个主类(A、B、C类)网络内包含多个子网掩码的能力，以及对一个子网的再进行子网划分的能力。它的优点如下：
       1：对IP地址更为有效的使用-如果不采用VLSM，公司将被限制为在一个A、B、C类网络号内只能使用一个子网掩码；
       2：就用路由归纳的能力更强-VLSM允许在编址计划中有更多的体系分层，因此可以在路由表内进行更好的路由归纳。

CIDR(无类别域间路由)

           CIDR是开发用于帮助减缓IP地址和路由表增大问题的一项技术。CIDR（Classless Inter-Domain Routing，无类域间路由）的基本思想是取消IP地址的分类结构，将多个地址块聚合在一起生成一个更大的网络，以包含更多的主机。

        CIDR支持路由聚合，能够将路由表中的许多路由条目合并为成更少的数目，因此可以限制路由器中路由表的增大，减少路由通告。同时，CIDR有助于IPv4地址的充分利用。ISP常用这样的方法给客户分配地址,ISP提供给客户1个块(block size),类似这样:192.168.10.32/28,这排数字告诉你你的子网掩码是多少,/28代表多少位为1,最大/32.但是你必须知道的1点是:不管是A类还是B类还是其他类地址,最大可用的只能为30/,即保留2位给主机位。

       CIDR，是将路由表中的条目汇总，如将多个C类地址汇总为一个B类地址。VLSM，是将一个网划分为多个子网，充分利用网络资源。简单直观的说就是，VLSM是把一个ip分成几个连续的ip网段；CIDR是把几个ip地址合并成一个ip在外网显示。

路由归纳
       在大型互连网络中，存在着成百上千的网络。在这环境中，一般不希望路由器在它的路由表中保存所有的这些路由。路由归纳（也被子称为路由聚合或超网supernetting）可以减少路由器必须保存的路由条目数量，因为它是在一个归纳地址中代表一系列网络号的一种方法。
       在大型 、复杂的网络中使用路由归纳的另一个优点是它可以使其它路由器免受网络拓朴结构变化的影响。只有在就用了一个正确的地址规划时，路由归纳才能可行和最有效，在子网环境中，当网络地址是以2的指数形式的连续区块时，路由归纳是最有效的。 
       路由选择协议根据共享网络地址部分来归纳或聚合路由。无类别路由选择协议---OSPF和EIGRP-支持基于子网地址，包括VLSM编者按址的路由归纳。有类别路由选择协议- RIPv1和IGRP-自动地在有类别网络的边界上归纳路由。有类别路由选择协议不支持在任何其它比特边界上的路由归纳，而无类别路由选择协议支持在任何比特边界上的路由归纳。

       因为路由表的条目少了，路由归纳可以减少对路由器内存的占用，减少路由选择协议造成的网络流量。网络中的路由归纳能够正确的工作，必须满足下面要求：
      1:多个IP地址必须共享相同的高位比特；
      2:路由选择协议必须根据32比特的IP地址和高达32比特的前缀长度来作出路由转发决定
      3:路由更新必须将前缀长度（子网掩码）与32比特的IP地址一起传输。
变长子网掩码(VLSM)的作用:节约IP地址空间;减少路由表大小.使用VLSM时,所采用的路由协议必须能够支持它。

    互联网已经成为现代社会信息基础设施的重要组成部分，在国民经济发展和社会进步中起着举足轻重的作用，同时也成为当今高科技发展的重要支撑环境，互联网的巨大成功有目共睹。

    现在被全球广泛使用的互联网协议IPv4是“互联网协议第四版”，已经有30年的历史。从技术上看，尽管IPv4在过去的应用具有辉煌的业绩，但是现在看来已经露出很多弊端。

    全球范围内WLAN、2.5G、3G无线移动数据网络的发展加快了以互联网为核心的通信模式的形成，由于移动通信用户的增长要比固定网用户快得多，特别是各种具有联网功能的移动终端的迅猛发展，考虑到随时随地的、任何形式、直接的个人多媒体通信的需要，现有的IPv4已经远远不能满足网络市场对地址空间、端到端的IP连接、服务质量、网络安全和移动性能的要求。因此人们寄希望于新一代的IP协议来解决以上问题。

    IPv6协议正是基于这一思想提出的，它是“互联网协议第六版”的缩写。在设计IPv6时不仅仅扩充了IPv4的地址空间，而且对原IPv4协议各方面都进行了重新考虑，做了大量改进。除了提出庞大的地址数量外，IPv6与IPv4相比，还有很多的工作正在进行以期得到更高的安全性、更好的可管理性，对QoS和多播技术的支持也更为良好。下面的章节将从几个主要的方面探讨一下IPv6与IPv4的区别。

    2、IPv4与IPv6协议的比较

    2.1 报头格式

    IPv4报头如表1所示，包含20bit+选项，13个字段，包括3个指针。

    表1 IPv4报头

    IPv6报头由基本报头+扩展报头链组成，其中基本报头如表2所示，包含40bit，8个字段。

    表2 IPv6报头

    IPv4和IPv6报头格式主要区别如下。

    IPv6报头采用基本报头+扩展报头链组成的形式，这种设计可以更方便地增添选项以达到改善网络性能、增强安全性或添加新功能的目的。

    2.1.1 固定的IPv6基本报头

    IPv6基本报头被固定为40bit，使路由器可以加快对数据包的处理速度，提高了转发效率，从而提高网络的整体吞吐量，使信息传输更加快速。

    2.1.2 简化的IPv6基本报头

    IPv6基本报头中去掉了IPv4报头中阴影部分的字段，其中段偏移和选项和填充字段被放到IPv6扩展报头中进行处理。

    去掉报头校验(HeaderChecksum，中间路由器不再进行数据包校验，去掉此字段的原因有三：一是因为大部分二层链路层已经对数据包进行了校验和纠错控制，链路层的可靠保证使得三层网络层不必再进行报头校验；二是端到端的四层传输层协议也有校验功能以发现错包；三是报头校验需随着TTL值的变化在每一跳重新进行计算，增加包传送的时延。
IPv6基本报头中去掉与IP分片相关的域，使得路由器无需再对数据包进行分片，而分片工作由源终端设备根据最大传输单元MTU路径发现来进行。这样IPv6的数据包可以远远超过64kbit/s，应用程序可以利用MTU，获得更快、更可靠的数据传输。

    2.1.3 IPv6报头新增流标记宇段

    IPv6协议不仅保存了IPv4报头中的业务类别字段，而且新增了流标记字段，使得业务可以根据不同的数据流进行更细的分类，实现优先级控制和QoS保障，极大地改善了IPv6的服务质量。

    2.1.4 IPv6报头采用128bit地址长度

    这是IPv4与IPv6最主要的区别。IPv4采用32bit长度，理论上可以提供大约43亿个IP地址，这么多的IP地址似乎可以满足网络连接的需要，但事实上网络中任意交换机和交换机任意端口均需一个独立地址，为此网络缺乏足够地址满足各种潜在的用户。

    IPv6采用128bit长度，相对IPv4，增加了296倍的地址空间。按保守方法估算IPv6实际可分配的地址，整个地球的每平方米面积上仍可分配1000多个地址。这样几乎可以不受限制地提供IP地址，从而确保了端到端连接的可能性。表3给出IPv4和IPv6的可用地址空间。

    表3 IPv4和IPv6的可用地址空间

    2.2 IP地址分配

    IPv4地址分配初期采用基于类别的方式，有3类主要方式：A、B和C以及2种特殊的网络地址D和E。

    *类型A地址：其中前7bit用于网络标识，后24bit用于主机标识，A类地址可容纳128个网络，任意A类网络中可包括16777216个主机。

    *类型B地址：其中前14bit用于网络标识，后16bit用于主机标识，B类地址可容纳16384个网络，任意B类网络中可包括16384个主机。

    *类型C地址：其中前21bit用于网络标识，后8bit用于主机标识，C类地址可容纳2097152个网络，任意C类网络中可包括256主机。

    A、B、C类地址用于标识某一网络节点的接口，称为单播地址，D类地址不是用于标识单一的接口，而是用于标识多个网络节点接口的集合。E类地址是预留地址。

    A类网络地址是用于标识世界上最大型的网络，除了其中少量的预留和可重新分配的地址，A类地址目前已经分配完毕。B类地址也将使用殆尽。

    IPv4基于上述类别处理的管理方式限制了实际可使用的地址，例如一个拥有300个用户的网络期望采用一个B类地址，然而如果实际分配一个B类地址则用户拥有了65536个地址域，这远远超过用户需要的地址空间，造成地址的大量浪费。

    为解决这种地址分配方式的弱点，IETF通过了无类域间路由选择(CIDR，ClassInter-DomainRoutin)方案。CIDR方案取消了IPv4协议中地址类别分配方式，可以任意设定网络号和地址号的边界，即根据网络规模的需要重新定义地址掩码，这样可为用户提供聚合多个C类的地址。但是CIDR方案的不足之处是必须在知道网络掩码后才能确定地址中网络编号和主机编号。

    IPv6协议可根据用户的需要进行层状地址分配，这和IPv4采用块状地址分配是不同的，后者方式导致某些地址无法使用。在IPv6的分层地址分配方式中，高级网络管理部门可为下级网络管理部门划分地址分配区域，下级网络管理部门则可为更下层的管理部门进一步划分地址分配区域。

    (1)使用企业内部网络和Internet；

    (2)目前使用企业内部网络，将来可能会用到Internet：

    (3)通过家庭、飞机场、旅馆以及其他地方的电话线和Internet网络互联。

    IPv6协议为这些用户提供了不同地址分配方式。

    (1)4种类型的点到点通信/单播地址；用于标识单一网络设备接口，单播通信传播的分组可传送到地址标识的接口。

    (2)改进的多播地址格式；用于标识归属于不同节点的设备接口集合，多播通信传送的分组可发送到地址标识的所有接口，这种地址方式是非常有用的。例如，可将网络中发送的新消息传送给所有登记的用户。特殊的多播地址可限制在特定网络链路或特定的系统组中进行通信。IPv6协议没有定义广播地址，但可使用多播地址替代。

    (3)新的任意播(Anycast)地址格式；IPV6协议中引入了任意播地址，用于标识属于不同节点的设备接口集合，任意播传送的分组可发送到地址标识的某一接口，接收到信息的接口通常是最近距离的网络节点，这种方式可提高路由选择的效率，网络节点可通过地址表示通信过程传输路由可经过的中间跳数，即信息传输路由可不必由路由器决定。

    2.3 路由协议

    IP网路由协议主要包括域内路由协议和域间路由协议。

    2.3.1域内路由协议

    目前IP网域内路由协议主要采用IS-IS和OSPF两种。其中OSPF用来交换IPv4路由信息的版本叫IS-IS用来交换IPv6路由信息的版本叫OSPFv3；IS-IS用来交换IPv4路由协议的版本叫IS-IS，用来交换IPv6路由协议的版本叫IS-ISv6。

    (1)OSPFv3与OSPFv2的区别

    OSPFv3(RFC2740)与OSPFv2(RFC2328)相比在原理上并没有根本的区别，OSPFv3仍采用链路状态LSA数据库，并保持邻接路由器之间的同步。但由于从IPv4到IPv6上地址长度的变化，为了支持IPv6地址格式，OSPFv3对OSPFv2协议进行了许多修改。从路由协议标准化进程看，OSPFv3协议已较为成熟，已有定型的RFC2740协议。OSPFv3提高了通用性，使网络可以适应不断变化的要求。这使复杂的网络得以简化，并且它采取了一些增强措施以保证升级方便地进行，OSPFv3还进行了优化并且安全性也得到了提高。

    OSPFv3的主要目的是“开发一种独立于任何具体网络层的路由协议”。为实现这一目的，C)St’FV3的内部路由器信息被重新进行了设计。与过去的版本不同，()SF·Fv3不向位于数据包和链路状态公告(LSA)起始位置的报头插入基于IP的数据。C)St’Fv3利用独立于网络协议的信息来执行过去需要IP报头数据的关键任务，如识别发布路由数据的LSA。

    除了改变报头数据外，OSPFv3还对LSA所发挥的作用进行了重新定义。在OSPFv3中，公告网络拓扑和IPv6数据的任务被分配到新的和已有的LSA中。

    OSPFv3增加了多种可选功能，如多播OSPFv3，以实现通用性。为了达到这一目的，OSPFv3扩展了网络设备用来公告使能的功能选项数据域。多数OSPFv3路由器间信息中都包含选项域，运行OSPFv3的设备可以支持多达24种可选功能，而以前的版本只能支持8种功能。

    为了简化复杂的容错网络的建设，OSPFv3引入了InstanceID和R-bit选项。作为每个OSPFv3包头的一个组件，InstanceID不再依赖于过去需要的复杂的认证方案或访问清单，就可以控制共享物理网络和OSPF域的路由器之间的通信。除了InstanceID外，OSPFv3还可以通过R-bit使服务器这类最终系统具有有效的冗余性。

    OSPFv3提供了更强的功能，并且它具有很大的通用性，从而可以很方便地支持新型网络协议。新的特性简化了网络设备和运行，在使用OSPFv3的情况下，升级将不再那么麻烦。

    (2)IS-ISv6与IS—ISv4的区别

    另一个被运营商广泛使用的连接状态协议是ISISforIPv6。我们知道ISIS是IS标准路由协议(ISO/IEC10589)，最初用于支持CLNS网络的动态协议。由于ISIS的设计非常有利于新功能的扩展，它首先扩展了IPv4路由协议的功能(RFC1195)，有人将这种既能为CLNS服务，也能为IP服务的协议叫做IntegratedISIS。

    依照类似的方法，ISIS也可以通过简单的扩展来处理IPv6的路由信息。支持IPv6的IS-IS协议标准草案已经经过多次讨论修改，目前，还未正式形成RFC标准，只有draft-ietf-isis-ipv6.txt标准草案。Draft-ietf-isis-ipv6.txt草案通过在IS-IS数据包(Hello、LSP和SNP)中引入以下可变长度的数据域(TLV)，从而使其支持IPV6路由功能，这一设计只需要对IS-IS路由协议进行少量的修改即可使它支持IPv6odraft-ietf-isis-ipv6.txt只增加了有关IPv6的TLV，在邻居数据库、拓扑数据库的建立和维护上基本保持了ISO10589和RFCl195的模式。因此，CLNSIFV4和IPv6具有相同的拓扑结构。也就是说，draft-ietf-isis-ipv6.txt要求IPv4和IPv6的网络是完全重合的。我们将这种实现称为ISISfor IPv6单一拓扑模式。

    很快人们认识到单一拓扑模式对IPv4和IPv6网络完全重合的要求限制了IPv6网络的部署。显然IPv6的规模和覆盖范围都将大于老一代IPv4网络，部分网络将只具有IPv6属性，例如，部分网络只有IPv6地址而没有IPv4地址。这时ISISforIPv6单一拓扑模式就可能导致一些IPV4的数据报文错误地被转发到这部分IPv6网络，造成路由的混乱和麻烦，无法满足IPv4、IPV6不同扩展范围的需要。ISISfor IPv6多重拓扑模式(draft-ietf-isis-wg-multi-topology)是针对这一问题的解决方案，它通过使用IPv4 IPv6不同的拓扑去除了两个网络必须一致的限制。多重拓扑模式为IPv4和IPV6网络建立不同的拓扑数据库，分别进行spf最短路径优先算法的计算，为IPv4和IPv6提供相互独立的路由子系统，使IPv6网络的建设摆脱IPv4的限制，为IPv6网络的成长打开了发展空间。

    2.3.2域间路由协议

    BGP4(RFC1771)是目前被所有IS，运营商广泛使用的IPv4外部路由协议，BGP4是一个路径矢量协议，它的基本功能是在自治系统间自动交换无环路的路由信息，通过交换带有自治区域号(AS)序列属性的路由可达信息，来构造自治区域的拓扑图，从而消除路由环路并实施用户配置的策略。

    BGP特点：

    *距离矢量协议；

    *传输协议：TCP，端口号：17；

    *支持CIDR(无类别域间选路)；

    *路由更新只发送增量路由；

    *丰富的路由过滤和路由策略。

    支持IPV4的BGP经历了4个版本：RFC1105(BGPl)，RFC1163(BGP2)，RFC1267(BGP3)，和目前广泛使用的RFC1771(BGP4)。支持IPv6的域间路由协议是BGP4+，在BGP4+上支持IPv6的路由器必须符合RFC 2858和RFC2545。利用BGP4+实现ISP网络之间的互通。

    2.4 域名解析

    IPv6网络中的DNS与IPv4的DNS在体系结构上是一致的，都是采用树型结构的域名空间。虽然IPv4协议与IPv6协议是存在着相当大区别的两套协议，但这并不意味着需要单独两套DNS体系，相反在DNS的体系和域名空间上两者必须是一致的，IPv4和IPv6共同拥有统一的域名空间。在IPv4到IPv6的过渡阶段，域名可以同时对应于多个IPv4和IPv6的地址。随着IPv6网络的普及，IPv6地址将逐渐取代IPv4地址。

    可聚集全局单播地址是目前主要应用的IPv6地址，因IPv6可聚集全局单播地址是在全局范围内使用的地址，必须进行层次划分及地址聚集。下面就以IPv6DNS系统对这类地址的解析过程来介绍IPv6DNS系统的解析原理。

    IPv6全局单播地址的分配方式如下：顶级地址聚集机构TLA(即大的ISP或地址管理机构)获得大块地址，负责给次级地址聚集机构NLA(中小规模ISP)分配地址，NLA给站点级地址聚集机构SLA(子网)和网络用户分配地址。IPv6地址的层次性在DNS中通过地址链技术可以得到很好的支持。

    2.4.1正向解析

    IPv4的地址正向解析的资源记录是“A”，而IPv6地址的正向解析目前有两种资源记录，即“AAAA”和“A6”记录。其中“AAAA”较早提出，它是对IPv4协议“A”“录的简单扩展，由于IP地址由32bit扩展到128bit扩大了4倍，所以资源记录由“A”扩大成4个“A”。但“AAAA”用来表示域名和IPv6地址的对应关系，并不支持地址的层次性。

    AAAA资源记录类型用来将一个合法域名解析为IPv6地址，与IPv4所用的A资源记录类型相兼容。之所以给这新资源记录类型取名为AAAA，是因为128bit的IPv6地址正好是32bitIPv4地址的4倍。

    “A6”是在RFC2874基础上提出，它是把一个IPv6地址与多个“A6”记录建立联系，每个“A6”记录都只包含了IPv6地址的一部分，结合后拼装成一个完整的IPv6地址。“A6”记录支持一些“AAAA”所不具备的新特性，如地址聚集，地址更改(Renumber)等。

    “A6”记录根据可聚集全局单播地址中的TLA、NLA和SLA项目的分配层次把128bit的IPv6的地址分解成为若干级的地址前缀和地址后缀，构成了一个地址链。每个地址前缀和地址后缀都是地址链上的一环，一个完整的地址链就组成一个IPv6地址。这种思想符合IPv6地址的层次结构，从而支持地址聚集。

    同时，用户在改变ISP时，要随ISP改变而改变其拥有的IPv6地址。如果手工修改用户子网中所有在DNS中注册的地址，是一件非常繁琐的事情。而在用“A6”记录表示的地址链中，只要改变地址前缀对应的ISP名字即可，可以大大减少DNS中资源记录的修改。并且在地址分配层次中越靠近底层，所需要改动的越少。

    2.4.2反向解析

    IPv6反向解析的记录和IPv4一样，是“PTR”，但地址表示形式有两种。一种是用“.”分隔的半字节十六进制数字格式(NibbleFormat)，低位地址在前，高位地址在后，域后缀是“IP6.INT.”。另一种是比特串(Bit--string)格式，以“＼[”开头，十六进制地址(无分隔符，高位在前，低位在后)居中，地址后加“]”，域后缀是“IP6.ARPA.”。半字节十六进制数字格式与“AAAA”对应，是对IPv4的简单扩展。二进制串格式与“A6”记录对应，地址也象“A6”一样，可以分成多级地址链表示，每一级的授权用“DNAME”记录。和“A6”一样，二进制串格式也支持地址层次特性。

    2.5 自动配置

    IPv6协议中引入了自动配置(“即插即用”)功能，一个主机进行Internet网络登记后，位置或配置发生变化时只需进行很少的改动即可进行工作，这样可大幅度降低网络管理者的配置和地址映射管理，移动工作者也可方便地在任何地方任何时间接入到Internet网络。

    IPv6协议中自动配置功能无需采用动态主机配置协议(DHCP，DynamicHostConfigurationProtoco1)。IPv6协议可为任意主机生成一个“本地IP地址”，这个地址内嵌一个以太网卡地址，由于MAC地址是全球唯一的，这样IP地址就不会重复，IPv6的自动配置功能正是基于这种唯一IP地址的概念。

    2.6 安全

    IPv4中存在一系列的安全性漏洞，应用程序只能通过本身的私有性和认证性操作机制完成安全性操作。IPv6协议给出两个备选项用于解决这个问题：一个是“安全性操作”选项，另一个是“IPv6加密安全头部”选项。由于不同的用户或不同应用环境有不同的安全性操作，IPv6协议允许分别或组合使用这两个备选项，以提供不同优先级别的网络服务性能。

    IPv6协议明确要求实现SECtarget=_blankclass=qqx_gjz>IPSec，从而从根本上保证了互联网通信的安全性，有望解决基于IPv4协议的互联网的安全性。IPSec可以在传输模式(TransportMode)和隧道模式(Tunnel Mode)两种模式下工作，满足不同类型的安全性的需求。它主要包括以下几个组成部分：

    *认证报头AH(AuthemicationHeader)：只用于认证。

    *安全净荷封装ESP(EnleapsulatingSecurityPayload):加密+认证。

    *互联网密钥交换IKE(InternetKeyExchange)：实现密钥的管理和交换，如ISAKMP和Oakley。

    由于IPv6数据包头的扩展包头中提供IPSEC加密功能，因此主机可以进行端到端的加密，以提供端到端的安全性。对于提供虚拟专网服务的运营商来说，可以提供IPSEC数据加密服务，提高数据的安全性。

    3、总结

    本文主要从IP报头格式、IP地址分配方式、路由协议、域名解析、自动配置和安全等几个主要方面对IPv4和IPv6进行了比较。

    综上所述，IPv4地址耗尽并不是部署和升级到IPv6的唯一理由，IPv6协议可满足下一个世纪的高性能、可扩展性的网络互联，并可解决IPv4协议中存在的许多问题。新技术支持新应用，新应用推动新技术的标准化和商业化，IPv6的商业应用将迎来明媚的曙光。

LSR报文，向对端请求本端没有或对端的更新的LSA.

LSU报文，向对方更新LSA.

LSAck报文，收到LSU之后进行确认。

1 目前全球有哪些IPv6实验网和商用网？                   

2 北美现在最大IPv6网络是什么？     

3 日本IPv6实验网的开展情况如何？                    

4 什么是中国的CNGI项目？                            

5 国内试验网络如何连接到6Bone?                          

2．多播地址

3. 组管理协议

4．多播路由协议

移动IP　

1、为什么需要移动IP

2．什么是移动IP

3．移动IPv6机制

4．移动IPv6与移动IPv4的比较

5．为什么IPv6能够更好地解决移动性问题

6．有待解决的问题

1 下一代网络与IPv6的关系是什么？  

2 以IPv6为核心的下一代网络对运营商有什么好处？              

3 未来IPv6的发展趋势是什么？

4 美国对IPv6的态度是怎么样的？                        

5 为什么美国军方要采用IPv6?                         

6 欧洲国家对IPv6的态度是怎样的？                      

7 亚太地区国家对IPv6的态度是怎样的？                  

8 中国为什么要发展IPv6？                            

9 为什么我国对IPv6地址的需求十分迫切?                     

1 如何推动IPv6实用化？

2 现有网络转换为IPv6网络存在哪些困难？            

4 未来的IPv6网络上可能会出现什么应用？                   

2．IPv4向IPv6过渡的三种基本技术

3．IPv6小岛之间的通信方式

4．IPv6小岛与IPv4海洋之间的通信方式

5．如何选择合适的过渡机制

3.2 报头结构            

3.3.1 为什么IPv6协议的地址长度是128位？

3.3.2 IPv6的128位地址是一个什么概念？

3.3.3 IPv6地址是如何表示的？

3.3.4 IPv6地址为128位，配地址岂不是要花费很多时间？

3.3.5  IPv6地址都有哪些类型？

3.3.7 IPv6的地址分配方式与IPv4有什么区别？

3.3.8 一台IPv6主机有多少地址？

3.3.9 一台IPv6路由器有多少地址？

3.4.1 IPv6如何实现“即插即用”？

3.4.2   除了状态自动配置，IPv6还提供什么自动配置服务？

3.5 域名解析技术                       

3.5.1 IPv6域名系统的体系结构是什么样的？

3.5.2  如何自动发现提供解析服务的DNS服务器？

3.5.3 在IPv4到IPv6的过渡阶段如何实现DNS？

(1) DNS-ALG与NAT-PT相结合的方法

3.6 邻居发现

3.6.1 IPv6邻居发现协议包括哪些内容？

3.6.2 IPv6邻居发现协议与IPv4地址解析协议有什么区别？

3.7 超长数据传送问题                                 

3.8  路由技术                                    

3.8.2 IPv6中可用的路由协议包括哪些？

3.9 组播技术                          

3.9.1 IPv6在支持组播方面有什么特征？

3.10 对移动性的支持

3.10.1 什么是移动IPv6？

3.10.2 为什么IPv6能够比IPv4更好地解决移动问题？

3.11  安全问题                                                 

3.11.1 IPv6能彻底解决互联网中的安全问题吗？

3.11.2   为解决IPv6网络安全问题，传统的安全设备需要做那些改进？

3.12 服务质量                                       

3.13  IPv4向IPv6的转换                                 

3.13.2  目前常见的IPv4/IPv6互通转换的技术标准有哪些？

3.13.3 什么是隧道？“IPv6 over IPv4”是什么意思？