ensp MGRE实验（ppp的pap认证，ppp的chap认证，hdlc封装）

题目：

一.分析拓扑图以及题目要求：
1：1和5以及2和5以及3和5之间是曲线代表是串线。4和5之间是直线所以是以太网线。蓝色的虚线是mgre。
2.因为中间需要用VPAN,所以pc到路由器的私有地址不能用同一个网段,避免地址冲突。
3.华为的ensp默认接口封装是ppp，所以只需要修改ar1和ar5之间以及ar2和ar5之间的认证。
4.ar1到ar4是点到点，用一个网段，ar1到ar2以及ar1到ar3是点到多点，用同一个网段。
5.这道题的设计思想：通过nat访问ar5，私有IP访问其他的私有IP

二.实验步骤：
1.搭建拓扑图：
（1）ar5需要三个串线接口，所以需要添加两个2SA接口卡。ar1和ar2和ar3各添加一个。注意：路由器要在关闭的状态下才能成功添加接口卡
（添加的具体操作：在ar5上右键点击选择设置，找到2SA接口卡左键长按拖到黑色框框中，如下图所示：
）
（2）ar1和ar5之间以及ar2和ar5之间以及ar3和ar5之间用serial网线，ar4和ar5之间以及所有pc和路由器之间用copper网线。
搭建拓扑图完成后如图所示：

2.修改ar1和ar5之间的认证：
[r1-Serial4/0/0]ip ad 15.1.1.1 24
[r5-Serial3/0/0]ip ad 15.1.1.2 24
[r5-Serial3/0/0]q
[r5]aaa
[r5-aaa]local-user yzyss password cipher 123456
[r5-aaa]local-user yzyss service-type ppp
[r5-aaa]q
[r5]int s3/0/0
[r5-Serial3/0/0]ppp authentication-mode pap

现在去ar1上ping15.1.1.2 发现ping的通，在ar1的s4/0/0接口上查看到s4/0/0接口是双up的（[r1-Serial4/0/0]dis ip interface）看如下图。按理说ar5提了认证之后，ar1必须要账号密码拨号才能ping通15.1.1.2 这是因为在模拟器上是先连线，真机上是后连线，所以不存在这种情况。

所以我们先在ar5上把s3/0/0关上（[r5-Serial3/0/0]shutdown），在开启（[r5-Serial3/0/0]undo shutdown），重新发认证，在ar1查看s4/0/0接口的协议是down的状态，这时候ping15.1.1.2 ping不通

现在就进行身份认证
[r1]interface s4/0/0
[r1-Serial4/0/0]ppp pap local-user yzyss password cipher 123456
等一会当有这样的提示后说明拨号成功

再次ping15.1.1.2，ping成功
这样就是ar1和ar5之间的ppp的pap认证

3.ar2和ar5之间的chap认证
[r5]int s3/0/1
[r5-Serial3/0/1]ppp authentication-mode chap
[r5-Serial3/0/1]ip ad 25.1.1.2 24
[r5-Serial3/0/1]shutdown
[r5-Serial3/0/1]undo shutdown（这个操作类似上面的）

[r2]int s4/0/0
[r2-Serial4/0/0]ip ad 25.1.1.1 24
[r2-Serial4/0/0]ppp chap user yzyss
[r2-Serial4/0/0]ppp chap password cipher 123456
[r2-Serial4/0/0]ping 25.1.1.2

4.ar3和ar5之间的封装
[r5-Serial4/0/0]ip ad 35.1.1.2 24
[r5-Serial4/0/0]link-protocol hdlc
Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]
:y

[r3]int s4/0/0
[r3-Serial4/0/0]ip ad 35.1.1.1 24
[r3-Serial4/0/0]link-protocol hdlc
Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]
:y
[r3-Serial4/0/0]ping 35.1.1.2

5.ar4和ar5之间
[r5-Serial4/0/0]int g0/0/0
[r5-GigabitEthernet0/0/0]ip ad 45.1.1.2 24

[r4]int g0/0/0
[r4-GigabitEthernet0/0/0]ip ad 45.1.1.1 24
[r4-GigabitEthernet0/0/0]ping 45.1.1.2

6.添加ar5上的环回
[r5-GigabitEthernet0/0/0]int lo0
[r5-LoopBack0]ip ad 5.5.5.5 24

目前为止公网的物理IP就配置完成了
接下来配置私网

6.配置私网ip
[r1]int g0/0/2
[r1-GigabitEthernet0/0/2]ip ad 192.168.1.1 24

[r2]int g0/0/2
[r2-GigabitEthernet0/0/2]ip ad 192.168.2.1 24

[r3]int g0/0/2
[r3-GigabitEthernet0/0/2]ip ad 192.168.3.1 24

[r4]int g0/0/2
[r4-GigabitEthernet0/0/2]ip ad 192.168.4.1 24

7.添加缺省路由，指向公网的运营商设备，以便可以实现公网全网可达
[r1]ip route-static 0.0.0.0 0 15.1.1.2
[r2]ip route-static 0.0.0.0 0 25.1.1.2
[r3]ip route-static 0.0.0.0 0 35.1.1.2
[r4]ip route-static 0.0.0.0 0 45.1.1.2

8.实现AR1/4点到点GRE
AR1需要两个接口，因为这两个接口类型不一样，
[r1]int Tunnel 0/0/0
[r1-Tunnel0/0/0]ip ad 10.1.1.1 24
[r1-Tunnel0/0/0]tunnel-protocol gre
[r1-Tunnel0/0/0]source 15.1.1.1
[r1-Tunnel0/0/0]destination 45.1.1.1（添加报头，添加源ip和目标ip）

[r4]int Tunnel 0/0/0
[r4-Tunnel0/0/0]ip ad 10.1.1.2 24
[r4-Tunnel0/0/0]tunnel-protocol gre
[r4-Tunnel0/0/0]source 45.1.1.1
[r4-Tunnel0/0/0]destination 15.1.1.1
（注意写目标ip的时候用tab键补齐是不是destination这个单词刚开始我就没注意用tab补齐之后是description单词，要是不注意看就很容易出问题。）

完成后试着ping 10.1.1.2 看能不能ping通，来检验是否写好了gre

9.实现ar1/2/3构建MGRE环境,
[r1]interface Tunnel 0/0/1
[r1-Tunnel0/0/1]ip ad 10.1.2.1 24
[r1-Tunnel0/0/1]tunnel-protocol gre p2mp
[r1-Tunnel0/0/1]source 15.1.1.1
[r1-Tunnel0/0/1]nhrp entry multicast dynamic
[r1-Tunnel0/0/1]nhrp network-id 100
（因为目标ip可以是25.1.1.1也可以是35.1.1.1所以需要ar2和ar3主动找ar1认证，ar1就要成为认证的中心点）

[r2]int Tunnel 0/0/0
[r2-Tunnel0/0/0]ip ad 10.1.2.2 24
[r2-Tunnel0/0/0]tunnel-protocol gre p2mp
[r2-Tunnel0/0/0]source Serial 4/0/0（IP可变）
[r2-Tunnel0/0/0]nhrp entry 10.1.2.1 15.1.1.1 register（注册）
[r2-Tunnel0/0/0]nhrp network-id 100（范围要和ar1相同）

[r3]int Tunnel 0/0/0
[r3-Tunnel0/0/0]ip ad 10.1.2.3 24
[r3-Tunnel0/0/0]tunnel-protocol gre p2mp
[r3-Tunnel0/0/0]source Serial 4/0/0
[r3-Tunnel0/0/0]nhrp entry 10.1.2.1 15.1.1.1 register
[r3-Tunnel0/0/0]nhrp network-id 100

在ar1上ping一下10.1.2.2和10.1.2.3看是否ping通，检查是否成功完成要求

逻辑拓扑如图：
10.完成要求4
[r1]rip 1
[r1-rip-1]ver 2
[r1-rip-1]un summary
[r1-rip-1]network 192.168.1.0
[r1-rip-1]network 10.0.0.0 （10.1.1.0/24和10.1.2.0/24属于10.0.0.0这个组类）

[r2]rip 1
[r2-rip-1]ver 2
[r2-rip-1]un summary
[r2-rip-1]network 192.168.2.0
[r2-rip-1]network 10.0.0.0

[r3]rip 1
[r3-rip-1]ver 2
[r3-rip-1]un summary
[r3-rip-1]network 192.168.3.0
[r3-rip-1]network 10.0.0.0

[r4]rip 1
[r4-rip-1]ver 2
[r4-rip-1]un summary
[r4-rip-1]network 192.168.4.0
[r4-rip-1]network 10.0.0.0

[r1]interface Tunnel 0/0/1
[r1-Tunnel0/0/1]undo rip split-horizon （关闭rip水平分割，从一个tunnel口进不能从这个tunnel口出）

11.配置pc的ip

12.完成最后一个要求
[r1]acl 2000
[r1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255（内部网段）
[r1-acl-basic-2000]int s4/0/0
[r1-Serial4/0/0]nat outbound 2000

[r2]acl 2000
[r2-acl-basic-2000]rule permit source 192.168.2.0 0.0.0.255
[r2-acl-basic-2000]int s4/0/0
[r2-Serial4/0/0]nat outbound 2000

[r3]acl 2000
[r3-acl-basic-2000]rule permit source 192.168.3.0 0.0.0.255
[r3-acl-basic-2000]int s4/0/0
[r3-Serial4/0/0]nat outbound 2000

[r4]acl 2000
[r4-acl-basic-2000]rule permit source 192.168.4.0 0.0.0.255
[r4-acl-basic-2000]int g0/0/0
[r4-GigabitEthernet0/0/0]nat outbound 2000

ok，这样就完成了