實驗四“IP地址規(guī)劃與路由設計”參考設置

1、實驗四 “IP地址規(guī)劃與路由設計”參考設置4.1 配置跨交換機的VLAN4.1.1 原理簡介 虛擬局域網(wǎng)（Virtual Local Area Network，VLAN）是一種用于隔離廣播域的技術。在交換機配置VLAN后，相同VLAN內(nèi)的主機之間可以直接訪問，不同VLAN則不能直接訪問。VLAN遵循了IEEE 804.1q協(xié)議的標準。在利用配置了VLAN的接口進行數(shù)據(jù)傳輸時，需要在數(shù)據(jù)幀內(nèi)添加4個字節(jié)的804.1q標簽信息，用于標識該數(shù)據(jù)幀屬于哪個VLAN，以便于對端交換機接收到數(shù)據(jù)幀后進行準確的過濾。由于VLAN是基于邏輯連接而不是物理連接的，所以它可以提供靈活的用戶/主機管理、帶寬分配以及

2、資源優(yōu)化等服務。4.1.2 組網(wǎng)實踐 假設某企業(yè)有兩個重要部門：銷售部和技術部，其中銷售部門的個人計算機系統(tǒng)分散連接，它們之間需要相互通信，但為了數(shù)據(jù)安全起見，銷售部和技術部需要相互隔離，則要在交換機上做適當?shù)呐渲脕韺崿F(xiàn)這一目標。通過分析可知，可以將兩個部門分別配置到不同的VLAN，只有在同一VLAN內(nèi)（同一部門）的計算機系統(tǒng)可以跨交換機進行相互通信，反之則不行。網(wǎng)絡拓撲如圖4.1所示。（1） 網(wǎng)絡拓撲圖4.1網(wǎng)絡拓撲其中交換機2臺，PC3臺。3臺PC機IP地址在同一子網(wǎng)中。（2）實驗步驟： 步驟1：在交換機Switch A上創(chuàng)建VLAN10，并將0/5端口劃分到VLAN10中；Switch

3、Avlan 10Switch A-vlan10int g 0/0/5Switch A-GigabitEthernet0/0/5portSwitch A-GigabitEthernet0/0/5port linkSwitch A-GigabitEthernet0/0/5port link-tySwitch A-GigabitEthernet0/0/5port link-type accessSwitch A-GigabitEthernet0/0/5port default vlan 10步驟2：在交換機Switch A上創(chuàng)建VLAN20，并將0/15端口劃分到VLAN20中；Switch A-G

4、igabitEthernet0/0/5vlan 20Switch A-vlan20int g 0/0/15Switch A-GigabitEthernet0/0/15port link-type accessSwitch A-GigabitEthernet0/0/15port default vlan 20步驟3：把交換機Switch A與交換機Switch B相連的F0/24端口定義為Trunk模式；Switch A-GigabitEthernet0/0/24port link-type trunkSwitch A-GigabitEthernet0/0/24port trunk allow-

5、pass vlan all步驟4：在交換機Switch B上創(chuàng)建VLAN10，并將0/5端口劃分到VLAN10；Switch Bvlan 10Switch B-vlan10int g 0/0/5Switch B-GigabitEthernet0/0/5port link-type accessSwitch B-GigabitEthernet0/0/5port default vlan 10步驟5：把交換機Switch B與交換機Switch A相連的F0/24端口定義為Trunk模式；Switch B-vlan10int g 0/0/5Switch B-GigabitEthernet0/0/5

6、port link-type accessSwitch B-GigabitEthernet0/0/5port default vlan 10Switch B-GigabitEthernet0/0/5int g 0/0/24Switch B-GigabitEthernet0/0/24port link-type trunkSwitch B-GigabitEthernet0/0/24port trunk allow-pass vlan all步驟6：驗證測試。在PC1上分別嘗試使用ping命令測試與PC2、PC3的連通性。4.1.3 總結(jié)與分析 配置時，應注意將兩臺交換機直接相連的端口設置為Tru

7、nk模式，Trunk接口在默認情況下支持所有的VLAN傳輸。通過配置VLAN可以隔離不同部門之間的通信。4.2 配置端口安全4.2.1 原理簡介 交換機的端口安全特性可以只允許特定的MAC地址的設備接入到網(wǎng)絡中，從而防止用戶將非法或未授權的設備接入到網(wǎng)絡中，并且可以限制端口接入到網(wǎng)絡中的設備數(shù)量，防止用戶將過多的設備接入到網(wǎng)絡中。4.2.2 組網(wǎng)實踐 某企業(yè)的網(wǎng)絡管理員發(fā)現(xiàn)經(jīng)常有員工私自將自己的筆記本電腦接入到網(wǎng)絡中，而且有一些員工通過使用Hub將多個網(wǎng)絡設備接入到交換機端口上，給網(wǎng)絡管理和維護增加了難度。 對于網(wǎng)絡中出現(xiàn)的這種問題，需要防止用戶接入非法或未授權的設備，并且限制用戶將多個網(wǎng)絡設

8、備接入到交換機的端口。交換機的端口安全特性可以滿足這個要求，從而提高接入層的網(wǎng)絡安全性，網(wǎng)絡拓撲如圖4.2所示。（1） 網(wǎng)絡拓撲圖4.2網(wǎng)絡拓撲其中S3700交換機2臺，PC3臺。將S3700-s1的3號口指定給某主機的MAC地址。（2）實驗步驟： 步驟1：在交換機上啟用端口安全特性；<Huawei>sysHuaweiint e 0/0/3Huawei-Ethernet 0/0/3port link-type accessHuawei-Ethernet 0/0/3port-security enable步驟2：手工配置PC1的MAC地址，即保證只有PC1可以接到此端口；步驟3：配置

9、端口接入數(shù)量的限制；Huawei-Ethernet 0/0/3port-security max-mac-num 1步驟4：配置當此端口產(chǎn)生違規(guī)時的操作。Huawei-Ethernet 0/0/3port-security mac-address sticky首先有數(shù)據(jù)通過交換機的PC將被綁定MAC4.2.3 總結(jié)與分析 配置端口安全之前必須使用命令將端口設置為Access端口，當端口由于違規(guī)操作被關閉時，可以在全局模式下使用命令將其恢復。4.3 配置SVI實現(xiàn)VLAN間路由4.3.1 原理簡介 VLAN的目的是隔離廣播域，并非要不同VLAN內(nèi)的主機徹底不能互相通信，但VLAN間的通信等同于不

10、同廣播域之間的通信，必須使用第三層的設備才能實現(xiàn)。VLAN間的通信就是指VLAN間的路由，是VLAN之間在一個路由器或者其他三層設備（例如三層交換機）上發(fā)生的路由。通過在三層交換機上為各VALN配置SVI接口，利用三層交換機的路由轉(zhuǎn)發(fā)功能可以實現(xiàn)VLAN間的路由。4.3.2 組網(wǎng)實踐 為減小廣播包對網(wǎng)絡的影響，網(wǎng)絡管理員在公司內(nèi)部網(wǎng)絡中進行了VLAN的劃分。完成VLAN的劃分后，發(fā)現(xiàn)不同VLAN之間無法互相訪問。 通過分析，可以通過配置三層交換機的SVI接口實現(xiàn)VLAN之間的路由，網(wǎng)絡拓撲如圖4.3所示。（1） 網(wǎng)絡拓撲圖4.3網(wǎng)絡拓撲（2）實驗步驟： 步驟1：在三層交換機上創(chuàng)建兩個VLAN，

11、VLAN 10與VLAN 20；Huaweivlan 10Huawei-vlan10vlan 20步驟2：在三層交換機上將端口分別劃分到各個VLAN上；Huawei-vlan20int g 0/0/1Huawei-GigabitEthernet0/0/1port link-type accessHuawei-GigabitEthernet0/0/1port default vlan 10Huawei-GigabitEthernet0/0/1int g 0/0/2Huawei-GigabitEthernet0/0/2port link-type accessHuawei-GigabitEther

12、net0/0/2port default vlan 20步驟3：在三層交換機上給各個VLAN配置IP地址；Huawei-GigabitEthernet0/0/2int vlan 10Huawei-Vlanif10ip address 194.168.10.1 24Huawei-Vlanif10int vlan 20Huawei-Vlanif20ip address 194.168.20.1 24步驟4：驗證測試。在PC1上使用ping命令測試與vlan20中的PC2的連通性：PC>ping 194.168.20.2Ping 194.168.20.2: 32 data bytes, Pre

13、ss Ctrl_C to breakFrom 194.168.20.2: bytes=32 seq=1 ttl=127 time=125 msFrom 194.168.20.2: bytes=32 seq=2 ttl=127 time=31 msFrom 194.168.20.2: bytes=32 seq=3 ttl=127 time=16 msFrom 194.168.20.2: bytes=32 seq=4 ttl=127 time=47 msFrom 194.168.20.2: bytes=32 seq=5 ttl=127 time=15 ms- 194.168.20.2 ping s

14、tatistics - 5 packet(s) transmitted 5 packet(s) received 0.00% packet loss round-trip min/avg/max = 15/46/125 ms4.3.3 總結(jié)與分析 配置時，VLAN中的PC的IP地址需要和三層交換機上相應VLAN的IP地址在同一網(wǎng)段，并且主機網(wǎng)關配置為三層交換機上相應的VLAN的IP地址；另外，也可以在路由器上配置子接口，實現(xiàn)VLAN間的路由。為了確保網(wǎng)絡的高可靠性，需要在網(wǎng)絡中配置冗余備份，這時容易出現(xiàn)環(huán)路，產(chǎn)生網(wǎng)絡風暴等問題，應該怎么解決這個問題呢？下一節(jié)便提出了相應的解決方法。4.4 配置

15、靜態(tài)路由4.4.1 原理簡介 路由器是根據(jù)路由表進行選路和轉(zhuǎn)發(fā)的。而路由表就是由一條條的路由信息組成的。路由表的產(chǎn)生方式一般有以下三種。（1）直連路由。給路由器接口配置一個IP地址，路由器自動產(chǎn)生本接口IP所在網(wǎng)段的路由信息。（2）靜態(tài)路由。在拓撲結(jié)構(gòu)簡單的網(wǎng)絡中，網(wǎng)絡管理員通過手工的方式配置本路由器未知網(wǎng)段的路由信息，從而實現(xiàn)不同網(wǎng)段之間的連接。（3）動態(tài)路由。協(xié)議學習產(chǎn)生的路由。在大規(guī)模的網(wǎng)絡中，或者網(wǎng)絡拓撲相對復雜的情況下，通過在路由器上運行動態(tài)路由協(xié)議，路由器之間互相自動學習產(chǎn)生路由信息。4.4.2 組網(wǎng)實踐 假設校園內(nèi)通過一臺路由器連接到校園外的另一臺路由器上，現(xiàn)要在路由器上做適當?shù)?/p>

16、配置，使校園網(wǎng)內(nèi)部主機和校園網(wǎng)外部主機相互通信。即通過相關配置，實現(xiàn)網(wǎng)絡的互聯(lián)互通，從而實現(xiàn)信息的共享和傳遞。網(wǎng)絡拓撲如圖4.4所示。（1） 網(wǎng)絡拓撲圖4.4網(wǎng)絡拓撲（2）實驗步驟：步驟1：在路由器Router1上配置接口的IP地址和串口上的時鐘頻率；<Huawei>sysHuaweiint s 0/0/0Huawei-Serial0/0/0ip address 172.16.2.1 24Huawei-Serial0/0/0undo shutdownHuawei-Serial0/0/0int g 0/0/1Huawei-GigabitEthernet0/0/1ip address

17、172.16.1.1 24Huawei- GigabitEthernet0/0/1undo shutdown步驟2：在路由器Router1上配置靜態(tài)路由；Huaweiip route-static 172.16.3.0 24 172.16.2.2步驟3：在路由器Router2上配置接口的IP地址；<Huawei>sysHuaweiint s 0/0/0Huawei-Serial0/0/0ip address 172.16.2.2 24Huawei-Serial0/0/0undo shutdownHuawei-Serial0/0/0int g 0/0/1Huawei-GigabitE

18、thernet0/0/1ip address 172.16.3.1 24Huawei- GigabitEthernet0/0/1undo shutdown步驟4：在路由器Router2上配置靜態(tài)路由。Huaweiip route-static 172.16.1.0 24 172.16.2.14.4.3 總結(jié)與分析 如果兩臺路由器通過串口直接相連，則應該在其中一臺路由器上設置時鐘頻率，且是作為DCE（數(shù)據(jù)通信設備）的路由器上，否則鏈路是不通的（華為路由器已對時鐘頻率默認設置）。4.5 配置RIP協(xié)議4.5.1 原理簡介RIP（Routing Information Protocols，路由信息協(xié)

19、議）是應用較早、使用較普遍的IGP（Interior Gateway Protocol，內(nèi)部網(wǎng)關協(xié)議），適用于小型網(wǎng)絡，是典型的距離矢量（distance-vector）協(xié)議。RIP協(xié)議以跳數(shù)作為衡量路徑的開銷，RIP協(xié)議規(guī)定最大跳數(shù)為15。RIP協(xié)議有兩個版本RIPv1和RIPv2。RIPv1屬于有類路由協(xié)議，不支持VLSM（變長子網(wǎng)掩碼）。RIPv1是以廣播的形式進行路由信息的更新的，更新周期為30秒。RIPv2屬于無類路由協(xié)議，支持VLSM。RIPv2是以組播的形式進行路由信息更新的，組播地址是224.0.0.9。RIPv2還支持基于端口的認證，提高網(wǎng)絡的安全性。4.5.2 組網(wǎng)實踐假設

20、校園網(wǎng)通過一臺三層交換機連到校園網(wǎng)出口路由器，路由器再和校園網(wǎng)外的另一臺路由器連接，現(xiàn)做適當配置，實現(xiàn)校園網(wǎng)內(nèi)的主機和校園網(wǎng)外的主機相互通信。 本實驗以兩臺路由器和一臺三層交換機為例。交換機上劃分有VLAN 10和VLAN 50，其中VLAN 10用于連接Router1（校園網(wǎng)出口路由器），VLAN 50用于連接校園網(wǎng)主機。 路由器分別命名為Router1和Router2，路由器之間通過串口線連接，網(wǎng)絡拓撲如圖4.5所示。（1） 網(wǎng)絡拓撲圖4.5網(wǎng)絡拓撲（2）實驗步驟：步驟1：在三層交換機上創(chuàng)建VLAN并且配置SVI；Huaweiint g 0/0/1Huawei-GigabitEtherne

21、t0/0/1port link-type access Huawei-GigabitEthernet0/0/1vlan 10Huawei-vlan10port g 0/0/1Huawei-vlan10int vlan 10Huawei-Vlanif10ip address 172.16.1.2 24Huawei-Vlanif10int g 0/0/5Huawei-GigabitEthernet0/0/5port link-type access Huawei-GigabitEthernet0/0/5vlan 50Huawei-vlan50port g 0/0/5Huawei-vlan50int

22、 vlan 50Huawei-Vlanif50ip address 172.16.5.1 24步驟2：在路由器Router1的各個端口上配置IP地址和時鐘頻率；Huaweiint g 0/0/1Huawei-GigabitEthernet0/0/1ip address 172.16.1.1 24Huawei-GigabitEthernet0/0/1undo shutdownHuawei-GigabitEthernet0/0/1int s 0/0/2Huawei-Serial0/0/2ip address 172.16.2.1 24Huawei-Serial0/0/2undo shutdown步驟3：在路由器