路由器實現(xiàn)vlan間通信

1、課程設計報告課程名稱計算機網(wǎng)絡課題一 局域網(wǎng)的訪問控制之擴展訪問控制列表課題二路由器實現(xiàn)VLAN間通信專業(yè)通信工程班級1102班學 號姓 名指導教師2014年6月29日湖南工程學院課程設計任務書課程名稱計算機網(wǎng)絡課題一 局域網(wǎng)的訪問控制之擴展訪問控制列表 課題一路由器實現(xiàn)VLAN間通信專業(yè)班級學生姓名學 號指導老師審 批任務書下達日期2014年6月23日任務完成日期 2014年6月29日 TOC o 1-5 h z HYPERLINK l bookmark10 o Current Document 課題一 局域網(wǎng)的訪問控制之擴展訪問控制列表 4 HYPERLINK l bookmark56 o

2、 Current Document 1.1課題概述4 HYPERLINK l bookmark14 o Current Document 1.1.1課題內(nèi)容4 HYPERLINK l bookmark17 o Current Document 1.1.2課題要求和目標4 HYPERLINK l bookmark20 o Current Document 1.2理論概述5 HYPERLINK l bookmark23 o Current Document 1.2.1局域網(wǎng)的基本控制算法5 HYPERLINK l bookmark41 o Current Document 1.2.2擴展訪問控制列

3、表7 HYPERLINK l bookmark44 o Current Document 1.3系統(tǒng)設計81.3.1 創(chuàng)建 VLAN 8 HYPERLINK l bookmark47 o Current Document 1.3.2端口配置91.3.3 配置 IP 101.3.4配置擴展IP訪問控制列表 101.3.5開啟路由功能 10 HYPERLINK l bookmark50 o Current Document 1.4測試結果11 HYPERLINK l bookmark53 o Current Document 課題二路由器實現(xiàn)VLAN間通信132.1課題概述13 HYPERLINK

4、 l bookmark59 o Current Document 2.1.1課題內(nèi)容13 HYPERLINK l bookmark62 o Current Document 2.1.2課題要求、目標13 HYPERLINK l bookmark74 o Current Document 2.3系統(tǒng)分析、設計方案142.5測試16 HYPERLINK l bookmark96 o Current Document 3體會17 HYPERLINK l bookmark99 o Current Document 4附錄184.1課題一代碼18 HYPERLINK l bookmark111 o Cu

5、rrent Document 4.2課題二代碼20課題一局域網(wǎng)的訪問控制之擴展訪問控制列表1.1課題概述1.1.1課題內(nèi)容學校規(guī)定學生只能對服務器進行FTP訪問，不能進行WWW訪問，教工則沒有此限制。 連接網(wǎng)絡拓撲，在交換機上配置擴展ACL，以實現(xiàn)要求，最后進行檢測。主要系統(tǒng)設備 包括三臺電腦，他們的功能室能經(jīng)過路由器接受和發(fā)送數(shù)據(jù)；兩臺路由器，他們的主要 功能是學習臨近的PC機路勁并把它們保存在路由表里，路由器能根據(jù)路由表路徑選擇 最佳路徑以及過濾掉一些不允許訪問的路徑。若干條交叉線和直連線接通電腦和路由器 以及路由器和路由器之間的通信線路。圖1.1網(wǎng)絡拓撲圖1.1.2課題要求和目標要求：要

6、求三個VLAN之間可以相互通信，但是學生的不能對服務器進行網(wǎng)絡訪問， 而老師的可以對服務器進行網(wǎng)絡訪問。目標：掌握訪問控制的基本配置，以及在交換機上命名的擴展IP訪問列表規(guī)則，了 解擴展訪問控制列表和軟件的基本使用方法以及對網(wǎng)絡有一定的認識，并且認識Cisco Packet Tracer軟件，并學會使用此軟件對本次課題進行模擬仿真。1.2理論概述1.2.1局域網(wǎng)的基本控制算法在計算機網(wǎng)絡中工作站、服務器與工作站、工作站之間信息的傳播，必然要產(chǎn)生沖 突現(xiàn)象，因此，要使網(wǎng)絡達到最好的工作效率及可靠性，應該有效地減少或者避免沖突。 這就需要一個好的訪問控制方式，計算機局域網(wǎng)常用的訪問控制方式有三種。

7、1、令牌環(huán)網(wǎng)是IBM公司于世紀70年代開發(fā)的，現(xiàn)在仍然是一個主要的LAN技術，它的主要技 術指標是：拓樸結構是環(huán)形，基帶網(wǎng)，數(shù)據(jù)傳送速度是4Mbit/s，采用單個令牌或雙令 牌傳遞方式，只有一條環(huán)路，數(shù)據(jù)單向傳送。（1）令牌的概念：（token）也叫通行證，使用一種專門的數(shù)據(jù)包，在環(huán)路上持續(xù) 循環(huán)傳輸來確定一個節(jié)點何時可以發(fā)送包。例如：令牌可以有兩種狀態(tài)，忙和空，它依次向每個節(jié)點傳送，當某個節(jié)點想傳送 信息時，要等令牌的到來，并檢測是否為空，若為空，則將令牌設為忙，并發(fā)送信息， 直至發(fā)送完，令牌才轉為忙，再繼續(xù)傳下去。（2）令牌環(huán)網(wǎng)的接收過程每一站隨時檢測經(jīng)過本站的數(shù)據(jù)包，當查到數(shù)據(jù)包與本站的

8、地址相符，則一面拷貝 全部信息，一面繼續(xù)轉發(fā)該信息包，信息包循環(huán)一周之回到源地址，再檢測是否繼續(xù)發(fā) 送，不發(fā)送才將令牌傳下去。（3）特點：在工作少時，由于發(fā)送之間要等令牌，有的環(huán)路在傳送無用的信息，所以效率低。在工作多時，令牌以循環(huán)的方式工作，故效率高，各站獲令牌的機會均等。優(yōu)點：訪問方式可調整，實時性好。缺點：維護難。單向環(huán)圖1.2單向環(huán)圖1.2令牌環(huán)網(wǎng)基本過程2、令牌總線網(wǎng)主要用于總線和樹型網(wǎng)絡中，綜合了令牌和總線的優(yōu)點。是一個主流的控制方式。（1）工作原理把總路線型和樹型上的各個工作站形成一個邏輯上的環(huán)，然后將各個工作站設置一 定的順序，形成一個邏輯的環(huán)。（2）優(yōu)點:a、可以避免沖突，類

9、似于令牌網(wǎng)，每一個站點都可以幀聽其它站點所發(fā)的信息， 只有令牌的站的才可以發(fā)送信息。b、吞吐能力好。c、連網(wǎng)的距離較遠。（3）缺點:復雜、時間開銷大，工作站必須等多個無效的令牌傳送才可獲得令牌。D 口圖1.3令牌總線工作頂3、 CSMA/CDCSMA （載波偵聽）和CD （沖突檢測）即帶沖突檢測的載波偵聽多路訪問控制方式。 主要用于樹型和總線型。（1）偵聽總線查看線路上是否有信號，有則繼續(xù)偵聽，或者隔一段時間再偵聽，信道上無信號才 發(fā)送信息。（2）沖突檢測解決信道上有沖突時候，對發(fā)生沖突的兩個信號如何收發(fā)。（3）特點：各工作站處于相同的地位，可以互相爭用總線，不能提供優(yōu)先級，當負載較大時， 發(fā)

10、送信息等待時間較長。圖1.4 CSMA/CD算法流程圖應該指出，ARCnet網(wǎng)實際上采用稱為集中器的硬件聯(lián)網(wǎng)，物理拓撲上有星狀和總線 型兩種連接方式。1.2.2擴展訪問控制列表訪問控制列表簡稱為ACL，路由器為了過濾數(shù)據(jù)包，需要配置一系列的規(guī)則，以決 定什么樣的數(shù)據(jù)包能夠通過，這些規(guī)則通過訪問控制列表ACL定義的。訪問控制列表 是偶permit/deny語句組成的一系列有順序的規(guī)則，這些規(guī)則根據(jù)數(shù)據(jù)包的源地址、目 的地址、端口號等來描述。訪問控制是網(wǎng)絡安全防范和保護的主要策略，它的主要任務 是保證網(wǎng)絡資源不被非法使用和訪問。它是保證網(wǎng)絡安全最重要的核心策略之一。訪問 控制涉及的技術也比較廣，包

11、括入網(wǎng)訪問控制、網(wǎng)絡權限控制、目錄級控制以及屬性控 制等多種手段。IP ACL分為兩種：標準IP訪問列表和擴展IP訪問列表。標準IP訪問列表可以根據(jù) 數(shù)據(jù)包的源IP地址定義規(guī)則，進行數(shù)據(jù)包的過濾。擴展IP訪問列表可以根據(jù)數(shù)據(jù)包的 源小、目的IP、源端口、目的端口、協(xié)議來定義規(guī)則，進行數(shù)據(jù)包的過濾。擴展IP訪問控制列表是其中重要的一種。擴展IP訪問控制列表比標準IP訪問控制列表具有更多的匹配項，包括協(xié)議類型、 源地址、目的地址、源端口、目的端口、建立連接的和IP優(yōu)先級等。編號范圍是從100 到199的訪問控制列表是擴展IP訪問控制列表。1.3系統(tǒng)設計設備：3560-24ps型三層交換機一臺，PC

12、機三臺，直通線3條。圖1.5網(wǎng)絡拓撲圖1.3.1 創(chuàng)建 VLAN3560-24(config)#vlan 103560-24(config-vlan)#name server3560-24(config-vlan)#vlan 203560-24(config-vlan)#name teachers3560-24(config-vlan)#vlan 303560-24(config-vlan)#name students此段代碼是創(chuàng)建VLAN10，VLAN20，VLAN30，并分別命名為server，teachers，students,即為服務器，提供FTP和WWW服務。1.3.2端口配置356

13、0-24(config-vlan)#exit3560-24(config)#vlan 103560-24(config-vlan)#name server3560-24(config-vlan)#vlan 203560-24(config-vlan)#name teachers3560-24(config-vlan)#vlan 303560-24(config-vlan)#name students3560-24(config-vlan)#exit3560-24(config)#int fa 0/13560-24(config-if)#switchport mode access3560-24

14、(config-if)#switchport access vlan 103560-24(config-if)#exit3560-24(config)#int f a0/23560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 203560-24(config-if)#exit3560-24(config)#int f a0/33560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vl

15、an 303560-24(config)#int f a0/13560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 103560-24(config-if)#exit3560-24(config)#int f a0/23560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 203560-24(config-if)#exit3560-24(config)#int f a0/33

16、560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 30此段代碼的功能是進入端口，再設置端口為接入端口模式，把端口接到對應的 VLAN，并對端口進行配置。1.3.3 配置 IP3560-24(config-if)#int vlan 103560-24(config-if)#ip address 3560-24(config-if)#no shutdown3560-24(config-if)#int vlan 203560-24(config-if)#ip address 3560-2

17、4(config-if)#no shutdown3560-24(config-if)#int vlan 303560-24(config-if)#ip address 3560-24(config-if)#no shutdown此段代碼實現(xiàn)了 IP配置。IP為192.168.x.1，子網(wǎng)掩碼為。1.3.4配置擴展IP訪問控制列表3560-24(config)#access-list 110 deny tcp 55 55 eq w ww3560-24(config)#access-list 110 permit ip any any3560-24(config)#int vlan 303560-

18、24(config-if)#ip access-group 110 in3560-24(config-if)#exit3560-24(config)#exit3560-24#首先定義命名擴展訪問列表，然后禁止學生對對應的VLAN訪問WWW，再使能 其他的服務，從而VLAN30無法訪問WWW，但是可以進行FTP訪問。1.3.5開啟路由功能SwitchenSwitch#config tSwitch(config)#no ip domain-looSwitch(config)#ip routingSwitch(config)#int vlan真正實現(xiàn)路由功能開啟的代碼是ip routing,其余是進

19、入配置的操作。注意路由開啟 必須有IP地址。如果沒有IP地址，開了也沒有用，因為找不到網(wǎng)關，整個3層交換上 也沒有個ip，所以不可能會出現(xiàn)路由1.4測試結果學生和服務器的ping指令，看是否連接通順圖1.5.1學生和服務器的通信測試 學生和老師的ping指令，看是否連接通順POping 1SE.16日Pinging 132_18_2Q_Z with 32 bytes of data:Replyfrom192 _ 158 _ 0 _ 2 zbytes=3Ztime=0EisTTT127ReplyEEDm192 _ 18 _ 20 _ 2 zbytes=32time=CimsT 11127Repl

20、yfrom192 _158 _ 0 _ 2:bytes=32time=0msTTI127Replyfrem192 _ 18 _ 20 _ 2 :bytea=32time=0msTH127Ping statistics for 192_1S8_ZO_Z:Packets: Sent = 4 F Retzeived = 4 r Last = 0 (0% Ids a) FApproximatE round trip times in mi11i-seconds:Minimum = Oma r MaximELm = Ozis, Aver = 0ms圖.m2學生an和老師umw通信i測測試老師和服務器的p

21、ing指令，看是否連接通順PCping 192-1SS.10.2Pinging 192-ICB_10_2 with 32 bytes of data:Reply from 192-1GS-10.2: bytes=32 time=2ms TTL=127Reply from 192-1S810-2: bytes=32 time=0ms TTL=127 Reply from 132 - IffB 10 - 2 : bytes=32 time=0ins TTIj=127Reply from. 192 -18 -10.2: bytes=32 time=0ins TTL=127Ping statistic

22、s for 192-lfi8-102:Pack&ta: S&nt = 4F Received = 4p Lost = 0 (0% lass), Approjcimate rcund trip times in milli-seacmds:Minimi. = 0ms F Majcimuin = 2m3 p Ave rage = 0ms圖1.5.3老師和服務器的通信測試學生和服務器的WWW測試，看是否通順，有測試結果可知，該功能的設置時成功的?！癛equest Timeout”指訪問超時，后者的PC2是成功的。經(jīng)過上面的各種測試可知， 設計是符合要求的。圖1.5.4學生和服務器的WWW服務測試結果

23、老師和服務器的WWW測試，看是否通順。圖1.5.5老師和服務器的WWW服務測試結果 經(jīng)過上面的各種測試可知，設計是符合要求的。課題二路由器實現(xiàn)VLAN間通信2.1課題概述2.1.1課題內(nèi)容首先連接實驗拓撲圖，然后創(chuàng)建vlan10和vlan20,接著進行講交換機端口分配給 vlan和配置交換機的trunk端口，完成上述步驟后，進行配置路由器子接口。最后配置 電腦，進行調試。圖2.1.1 VLAN間通信拓撲圖2.1.2課題要求、目標要求用Cisco Packet Tracer仿真軟件組建跨路由器的虛擬VLAN網(wǎng)絡。設計模擬拓撲圖，分析路由器的端口設置，IP地址分配以及二層交換機、路 由器的配置命令

24、和路由表信息。對虛擬VLAN網(wǎng)進行仿真測試，實現(xiàn)跨路由器的VLAN間通信。2.2理論基礎使用路由器實現(xiàn)VLAN間通信時，路由器與交換機的連接方式有兩種。第一種通過 路由器的不同物理接口與交換機上的每個VLAN分別連接。第二種通過路由器的邏輯子 接口與交換機的各個VLAN連接。1、通過路由器的不同物理接口與交換機上的每個VLAN分別連接。這種方式的優(yōu)點是管理簡單，缺點是網(wǎng)絡擴展難度大。每增加一個新的VLAN，都需 要消耗路由器的端口和交換機上的訪問鏈接，而且還需要重新布設一條網(wǎng)線。而路由器， 通常不會帶有太多LAN接口的。新建VLAN時，為了對應增加的VLAN所需的端口，就必 須將路由器升級成帶

25、有多個LAN接口的高端產(chǎn)品，這部分成本、還有重新布線所帶來的 開銷，都使得這種接線法成為一種不受歡迎的辦法。2、通過路由器的邏輯子接口與交換機的各個VLAN連接。這種連接方式要求路由器和交換機的端口都支持匯聚鏈接，且雙方用于匯聚鏈路的 協(xié)議自然也必須相同。接著在路由器上定義對應各個VLAN的邏輯子接口 E1.1和E1.2。 由于這種方式是靠在一個物理端口上設置多個邏輯子接口的方式實現(xiàn)網(wǎng)絡擴展，因此網(wǎng) 絡擴展比較容易且成本較低，只是對路由器的配置要復雜一些。路由器也稱為網(wǎng)關，即Gateway。是將局域網(wǎng)連接在一起組成更大的廣域網(wǎng)絡，并 在每個局域網(wǎng)出口對數(shù)據(jù)進行篩選和處理。局域網(wǎng)絡的類型是多種多

26、樣的，除了最常見 以太網(wǎng)外，還有ATM網(wǎng)絡、FDDI網(wǎng)絡等。異構網(wǎng)絡由于分別采用不同的數(shù)據(jù)封裝方式， 因此，它們之間是無法通信的，即使它們都采用同一種網(wǎng)絡協(xié)議(比如TCP/IP協(xié)議)。 而路由器能夠將不同類型之間的數(shù)據(jù)信息進行“翻譯”，使他們能夠相互“讀懂”對方的數(shù) 據(jù)，因此，若要實現(xiàn)異構網(wǎng)絡間的通信，路由器是必不可少的。本實驗假設選取校園網(wǎng)的一小部分進行說明?，F(xiàn)假使一班和二班和三班分屬于不同 的網(wǎng)絡，一班定義為VLAN 10，二班定義為VLAN 20，三班定義為VLAN 30，一班的 IP地址可為，二班的可為，三班的可為，三個班的默 認網(wǎng)關均為。為了簡化實驗，現(xiàn)只取每個網(wǎng)絡中的一臺計算機進行

27、配置運 算，在Packet Tracer軟件上構建網(wǎng)絡拓撲結構。專用VALN將端口分為混雜端口、隔離端口和群體端口三類，只有混雜端口能夠和路 由器或三層交換機連接。對應混雜端口的VLAN稱為Primary VLAN，它可以和映射到混 雜端口的所有隔離VLAN(Isolated VLAN)的端口及群體VLAN(Community VLAN)的端口通信。Community VLAN的端口除了可以和Primary VLAN通信外，內(nèi)部端口間 也可以相互通信。Isolated VLAN內(nèi)的端口只能和Primary VLAN的端口通信外，內(nèi)部端 口間是互相隔離的。2.3系統(tǒng)分析、設計方案本次課設所用到的

28、是Cisco Packet Tracer模擬仿真軟件，其中所用到的路由器的型號 2811，交換機型號是2950-24,用路由器的fa0/0連接交換機的fa0/1，用交換機的fa0/2、 fa0/3、fa0/4分別連著電腦的f0。首先先創(chuàng)建 vlan10、vlan20 和 vlan30；進入端口，將各個端口分別分配給各個vlan；進入各個vlan，并且設置各個vlan的ip地址和子網(wǎng)掩碼；然后將交換機上連接路由器的端口設置為串口；配置路由器；將路由器連接交換機的端口分為三個邏輯接口；將第一個邏輯接口分配給vlan10，并設置ip地址和子網(wǎng)掩碼；將第二個邏輯接口分配給vlan20，并設置ip地址和

29、子網(wǎng)掩碼；將第三個邏輯接口分配給vlan30，并設置ip地址和子網(wǎng)掩碼；最后配置各個電腦的ip地址，子網(wǎng)掩碼以及它們的默認網(wǎng)關；2.4實現(xiàn)方案創(chuàng)建3個vlanvlan 10vlan 20vlan 30利用這幾行代碼來實現(xiàn)創(chuàng)建三個vlan把各個端口分配給vlanint f0/2switchport mode accessswitchport access vlan 10/多加兩段端口 號改為 f0/3、f0/4，改為 vlan 20 和 vlan 30分配ip地址設置串口int vlan 10ip address no shutdown把上面四句話寫三遍改掉vlan號和ip地址int f0/1s

30、witchport mode trunkexit設置串口路由器配置int f0/0no shutdownint f0/0.1/0端口分為三個邏輯端口來分別分配給vlanencapsulation dot1q 10ip address no shutdownencapsulation dotlq 20ip address no shutdownin f0/0.3encapsulation dot1q 30ip address no shutdown(5)三臺電腦的ip分別設置為為, , ；子網(wǎng)掩碼都 為 。2.5測試圖2.5.1 PC0和PC1通信圖圖2.5.2 PC0和PC2通信圖如上面的兩張

31、圖可知當配置好了數(shù)據(jù)以后，可以用PC0分別和PC1和PC2 ping通。3體會通過這次課程設計學到的不僅是知識，而是解決困難的能力。在這次的課程設計中， 遇到了以前實驗時沒有碰到過的很多困難，因為之前沒有做過計算機網(wǎng)絡課設，在剛開 始的時候，遇到了很多困難，感覺到自己根本無從下手。但通過老師的講解以及同學的 幫助，終于完成了任務。通過這次課程設計，基本語法和常用的中斷有了更加深入的了 解?？偟膩碚f，課程設計就是培養(yǎng)我們綜合運用所學知識，發(fā)現(xiàn)、提出、分析和解決實 際問題，鍛煉實踐能力的重要環(huán)節(jié)。當今計算機應用在生活中可以說是無處不在，因此 掌握一些計算機網(wǎng)絡對我們來說是基本的要求，也讓我感覺到要

32、掌握好一門技術，必須 通過長時間的積累、運用和思考，這樣才能學到真正的知識。不管怎么說，我覺得最重 要的是能有這樣的一次課設經(jīng)歷讓我在遇到困難的時候學會了怎么解決問題。4附錄4.1課題一代碼SwitchenSwitch#conf tEnter configuration commands, one per line. End with CNTL/Z. Switch(config)#hostname 35603560-24(config)#vlan 103560-24(config-vlan)#name servers3560-24(config-vlan)#vlan 203560-24(con

33、fig-vlan)#name teachers3560-24(config-vlan)#vlan 303560-24(config-vlan)#name students3560-24(config-vlan)#exit3560-24(config)#vlan 103560-24(config-vlan)#name servers3560-24(config-vlan)#vlan 203560-24(config-vlan)#name teachers3560-24(config-vlan)#vlan 303560-24(config-vlan)#name students3560-24(co

34、nfig-vlan)#exit3560-24(config)#int f a0/13560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 103560-24(config-if)#exit3560-24(config)#int fa 0/23560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 203560-24(config-if)#exit3560-24(config)#i

35、nt f a0/33560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 303560-24(config)#int f a0/13560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 103560-24(config-if)#exit3560-24(config)#int fa 0/23560-24(config-if)#switchport mode access3560-

36、24(config-if)#switchport access vlan 203560-24(config-if)#exit3560-24(config)#int f a0/33560-24(config-if)#switchport mode access3560-24(config-if)#switchport access vlan 303560-24(config-if)#int vlan 103560-24(config-if)#ip address 3560-24(config-if)#no shutdown3560-24(config-if)#int vlan 203560-24(config-if)#ip