Loopback、Null0接口揭秘.docVIP

Loopback、Null0接口揭秘.txt年轻的时候拍下许多照片，摆在客厅给别人看;等到老了，才明白照片事拍给自己看的。当大部分的人都在关注你飞得高不高时，只有少部分人关心你飞得累不累，这就是友情！Loopback、Null0接口揭秘 Loopback接口 Loopback接口简介 Loopback接口是虚拟接口，大多数平台都支持使用这种接口来模拟真正的接口。这样做的好处是虚拟接口不会像物理接口那样因为各种因素的影响而导致接口被关闭。事实上，将Loopback接口和其他物理接口相比较，可以发现Loopback接口有以下几条优点： Loopback接口状态永远是up的，即使没有配置地址。这是它的一个非常重要的特性。 Loopback接口可以配置地址，而且可以配置全1的掩码--这样做可以节省宝贵的地址空间。 Loopback接口不能封装任何链路层协议。 对于目的地址不是loopback口，下一跳接口是loopback口的报文，路由器会将其丢弃。对于CISCO路由器来说，可以配置[no] ip unreachable命令，来设置是[否]发送icmp不可达报文，对于VRP来说，没有这条命令，缺省不发送icmp不可达报文 。 Loopback接口的应用 基于以上所述，决定了Loopback接口可以广泛应用在各个方面。其中最主要的应用就是：路由器使用loopback接口地址作为该路由器产生的所有IP包的源地址，这样使过滤通信量变得非常简单。 在远程访问中的应用 使用telnet实现远程访问。 配置telnet，使从该路由器始发的报文使用的源地址是loopback地址。配置命令如下： ip telnet source-interface Loopback0 使用RCMD实现远程访问。 配置RCMD，使从该路由器始发的报文使用的源地址是loopback地址。配置命令如下： ip rcmd source-interface Loopback0 在安全方面的应用 在TACACS+中的应用。 配置TACACS+，使从该路由器始发的报文使用的源地址是loopback地址。配置命令如下： ip tacacs source-interface Loopback0 tacacs-server host 可以通过过滤来保护TACACS+服务器--只允许从LOOPBACK地址访问TACACS+端口，从而使读/写日志变得简单，TACACS+日志纪录中只有loopback口的地址，而没有出接口的地址。 在RADIUS用户验证中的应用。 配置RADIUS， 使从该路由器始发的报文使用的源地址是loopback地址。配置命令如下： ip radius source-interface Loopback0 radius-server host auth-port 1645 acct-port 1646 这样配置是从服务器的安全角度考虑的，可以通过过滤来保护 RADIUS服务器和代理--只允许从LOOPBACK地址访问RADIUS端口，从而使读/写日志变得简单，RADIUS日志纪录中只有loopback口的地址，而没有出接口的地址。 在纪录信息方面的应用 输出网络流量纪录。 配置网络流量输出，使从该路由器始发的报文使用的源地址是loopback地址。配置命令如下： ip flow-export source Loopback0 Exporting NetFlow records Exporting NetFlow 这样配置是从服务器的安全角度考虑的，可以通过过滤来保护 网络流量收集--只允许从LOOPBACK地址访问指定的流量端口。 日志信息方面。 发送日志信息到Unix或者Windows SYSLOG 服务器。路由器发出的日志报文源地址是loopback接口，配置命令如下： logging source-interface loopback0 这样配置是从服务器的安全角度考虑的，可以通过过滤来保护 SYSLOG服务器和代理--只允许从LOOPBACK地址访问syslog端口，从而使读/写日志变得简单，SYSLOG日志纪录中只有loopback口的地址作为源地址，而不是出接口的地址。 在NTP中的应用 用NTP（网络时间协议）使所有设备的时间取得同步，所有源于该路由器的NTP包都把Loopback地址作为源地址。配置如下： ntp source loopback0 ntp server source loopback 1 这样做是从NTP的安全角度着想，可以通过过滤来保护NTP系统--只允许从loopback地址来访问NTP端口。NTP将Loopback接口地址作为源地址，而不是出口地址。 在SNMP中的应用 如果使用SNMP（简单网络管理协议），发送traps