环回接口
一、环回接口(Loopback Interface)简介环回接口是一个虚拟接口，是一个纯软件的虚拟接口。发送到此接口的任何网络数据消息都将被视为发送到设备本身。大多数平台都支持使用这个接口来模拟真实的接口。这样做的好处是，虚拟接口不会像物理接口一样因为各种因素而关闭。事实上，将环回接口与其他物理接口相比较，我们可以发现环回接口具有以下优点：1 .即使没有配置地址，环回接口的状态也总是开启。这是它的一个很重要的特点。2.环回接口可以配置全1的地址和掩码，这样可以节省宝贵的地址空间。3.环回接口不能封装任何链路层协议。
路由器将丢弃目的地址不是环回端口，但下一跳接口是环回端口的数据包。对于CISCO路由器，您可以配置[no] ip unreachable命令来设置是否发送icmp unreachable消息。对于VRP，如果没有此命令，默认情况下将不会发送icmp不可达消息。
二、Loopback接口的应用正是基于以上所述，决定了Loopback接口可以广泛应用于各个方面。最重要的应用之一是路由器使用环回接口地址作为路由器生成的所有IP数据包的源地址，这使得过滤流量变得非常简单。
1.路由器ID中的应用如果环回接口存在并且有IP地址，那么在路由协议中会作为路由器ID使用，这样更稳定——环回接口始终是up的。如果环回接口不存在或者没有IP地址，那么路由器ID就是最高的IP地址，这就比较危险了——只要是物理地址就有可能宕机。对于CISCO，不能配置路由器ID，而对于VRP，可以配置路由器ID，因此我们也可以将环回接口地址与路由器ID匹配。在IBGP配置中将BGP配置为使用环回接口，这样即使通往外部的接口关闭，会话也能继续进行。配置示例：接口环回0 IP地址215.17.1.34 255 . 255 . 255 . 255路由器BGP 200邻居215.17.1.35远程-AS 200邻居更新-源环回0。
2.远程访问中的应用
利用telnet实现远程访问。配置telnet，使源自该路由器的消息的源地址成为环回地址。配置命令如下：IP Telnet源接口Loopback 0使用RCMD实现远程访问。配置RCMD，使从此路由器发出的消息所使用的源地址成为环回地址。配置命令如下：IP rcmd源接口loopback 0。
3.安全性在TACACS中的应用。配置TACACS，使源自该路由器的消息的源地址成为环回地址。配置命令如下：IP TACACS source-interface LOOPBACK 0 TACACS-server主机215.17.1.1可以通过过滤来保护TACACS服务器——只允许从环回地址访问TACACS端口，这样可以方便地读写日志。在TACACS日志记录中，只有环回端口的地址，而没有出站接口的地址。
4.在RADIUS用户认证中的应用。配置RADIUS，以便从此路由器发出的消息的源地址是环回地址。配置命令如下：IP RADIUS Source-Interface Loopback 0 RADIUS-Server Host 215.17.1.1 auth-port 1645 acct-port 1646这个配置是从服务器安全的角度考虑的。RADIUS服务器和代理可以通过过滤来保护-仅允许从环回地址访问RADIUS端口，这使得读/写日志变得简单。RADIUS日志只记录环回端口的地址，而不记录传出接口的地址。
5.应用在记录信息，输出网络流量记录。配置网络流量输出，使从此路由器发出的消息的源地址成为环回地址。配置命令如下：IP Flow-导出源LOOPBACK 0导出Netflow记录导出Netflow这种配置是从服务器安全的角度考虑的，可以通过过滤来保护网络流量收集——只允许从LOOPBACK地址访问指定的流量端口。
6.日志信息中的应用。将日志信息发送到Unix或Windows系统日志服务器。路由器发送的日志报文的源地址是环回接口，配置命令如下：logging source-interface LOOPBACK 0。这种配置基于服务器的安全性，SYSLOG服务器和代理可以通过过滤得到保护——只允许环回地址访问SYSLOG端口，从而使读/写日志变得容易。在syslog日志记录中，只有环回端口的地址被用作源地址，而不是接口的地址。
7.在NTP中的应用
使用NTP(网络时间协议)同步所有设备的时间，所有源自此路由器的NTP数据包都以环回地址作为源地址。配置如下：NTP源loopback 0 NTP服务器169.223.1.1源loopback 1这是从NTP安全的角度出发，通过过滤可以保护NTP系统——只有NTP端口可以从Loopback地址访问。NTP将环回接口地址作为源地址，而不是出口地址。
8.SNMP中的应用
如果使用SNMP(简单网络管理协议),则发送陷阱时会将环回地址用作源地址。配置命令：SNMP-Server Trap-Source Loopback 0 SNMP-Server Host 169.223.1.1社区这样做是为了保证服务器的安全，通过过滤可以保护SNMP的管理系统——只有SNMP端口可以从Loopback接口访问。从而使得读/写陷阱信息变得容易。SNMPtraps使用环回接口地址作为源地址，而不是出口地址。
9.核心转储中的应用程序
如果系统崩溃，具有核心转储功能的路由器可以将内存映像上传到指定的FTP服务器。将核心转储配置为使用环回地址作为源地址。配置命令如下：IP FTP Source-Interface loopback 0 Exception Protocol FTP Exception Dump 169.223.32.1这样做的好处是保证CoreDump的FTP服务器的安全性，用于CoreDump的FTP服务器可以通过过滤得到保护——只有FTP端口可以从Loopback地址访问。此FTP服务器必须不可见。
10.在TFTP的应用
从TFTP服务器通过TFTP配置路由器，可以将路由器配置保存在TFTP服务器中，配置TFTP，并将环回地址用作路由器发出的数据包的源地址。配置命令如下：IP TFTP源-接口loopback 0这非常有利于TFTP服务器的安全：存储配置和IOS镜像的TFTP服务器通过过滤保护——TFTP端口只允许从loopback地址访问，TFTP服务器必须不可见。
11.未编号IP中的应用不需要在点对点链路上配置地址。配置示例：接口环回0IP地址215.17.3.1 255 . 255 . 255 . 255接口串行5/0IP未知环回0IP路由215.34.10.0 255.255.252.0串行5/0。
