2022年中職組網(wǎng)絡(luò)搭建與應(yīng)用賽項(xiàng)網(wǎng)絡(luò)搭建及安全部署賽卷-7

競賽說明：

1.禁止攜帶和使用移動存儲設(shè)備、計(jì)算器、通信工具及參考資料。

2.請根據(jù)大賽所提供的比賽環(huán)境，檢查所列的硬件設(shè)備、軟件及文檔清

單、材料清單是否齊全，計(jì)算機(jī)設(shè)備是否能正常使用。

3.請參賽選手仔細(xì)閱讀賽卷，按照要求完成各項(xiàng)操作。

4.操作過程中，需要及時(shí)保存配置。

5.比賽結(jié)束后，所有設(shè)備保持運(yùn)行狀態(tài)，評判以最后的硬件連接和提交文

檔為最終結(jié)果。禁止將比賽所用的所有物品（包括賽卷）帶離賽場。

6.禁止在紙質(zhì)資料、比賽設(shè)備和電腦桌上作任何與競賽無關(guān)的標(biāo)記，如違

反規(guī)定，可視為0分。

7.與比賽相關(guān)的軟件和文檔存放在物理機(jī)的D:\soft文件夾中。

8.請?jiān)谖锢頇C(jī)PC1桌面上新建“XXX”文件夾作為“選手目錄”（XXX為賽

位號。舉例：1號賽位，文件夾名稱為“001”），按照“網(wǎng)絡(luò)搭建及安全部署

競賽結(jié)果提交指南.txt”保存要求生成的全部結(jié)果文檔，將生成的文檔復(fù)制到

“選手目錄”。

2/18

項(xiàng)目簡介:

某集團(tuán)公司原在北京建立了總公司，后在成都建立了分公司，又在廣東設(shè)立

了辦事處。集團(tuán)設(shè)有產(chǎn)品、營銷、法務(wù)、財(cái)務(wù)、人力5個(gè)部門，統(tǒng)一進(jìn)行IP及

業(yè)務(wù)資源的規(guī)劃和分配，全網(wǎng)采用OSPF、RIP、ISIS、BGP路由協(xié)議進(jìn)行互聯(lián)互

通。

2022年在黨的堅(jiān)強(qiáng)領(lǐng)導(dǎo)下，全年公司規(guī)模保持快速增長，業(yè)務(wù)數(shù)據(jù)量和公

司訪問量增長巨大，不斷開創(chuàng)新局面，向著全面建成社會主義現(xiàn)代化強(qiáng)國的第二

個(gè)百年奮斗目標(biāo)邁進(jìn)。為了更好管理數(shù)據(jù)，提供服務(wù)，集團(tuán)決定在北京建立兩個(gè)

數(shù)據(jù)中心，在貴州建立異地災(zāi)備數(shù)據(jù)中心，以達(dá)到快速、可靠交換數(shù)據(jù)，增強(qiáng)業(yè)

務(wù)部署彈性的目的，完成向兩地三中心整體戰(zhàn)略架構(gòu)演進(jìn)，更好的服務(wù)于公司客

戶。

集團(tuán)、分公司及辦事處的網(wǎng)絡(luò)結(jié)構(gòu)詳見拓?fù)鋱D。編號為SW1的設(shè)備作為集團(tuán)

北京1#DC核心交換機(jī)，編號為SW2的設(shè)備作為集團(tuán)北京2#DC核心交換機(jī)；編號

為SW3的設(shè)備作為貴州DC核心交換機(jī)；編號FW1的設(shè)備作為集團(tuán)互聯(lián)網(wǎng)出口防

火墻；編號為FW2的設(shè)備作為辦事處防火墻；編號為RT1的設(shè)備作為集團(tuán)核心路

由器；編號為RT2的設(shè)備作為分公司路由器；編號為AC1的設(shè)備作為分公司的有

線無線智能一體化控制器，通過與AP1配合實(shí)現(xiàn)分公司無線覆蓋。

注意：在此典型互聯(lián)網(wǎng)應(yīng)用網(wǎng)絡(luò)架構(gòu)中，作為IT網(wǎng)絡(luò)運(yùn)維人員，請根據(jù)拓

撲構(gòu)建完整的系統(tǒng)環(huán)境，使整體網(wǎng)絡(luò)架構(gòu)具有良好的穩(wěn)定性、安全性、可擴(kuò)展性。

請完成所有服務(wù)配置后，從客戶端進(jìn)行測試，確保能正常訪問到相應(yīng)應(yīng)用。

3/18

網(wǎng)絡(luò)拓?fù)?

4/18

表1-網(wǎng)絡(luò)設(shè)備連接表

A設(shè)備連接至B設(shè)備

設(shè)備名稱接口設(shè)備名稱接口

SW1E1/0/21FW1E0/1

SW1E1/0/22SW3E1/0/21

SW1E1/0/23二層SW3E1/0/23二層

SW1E1/0/26三層SW2E1/0/26三層

SW1E1/0/27VPNSW2E1/0/27VPN

SW1E1/0/28二層SW2E1/0/28二層

SW1E1/0/1PC1NIC

SW2E1/0/21RT1G0/1

SW2E1/0/22SW3E1/0/22

SW2E1/0/23二層SW3E1/0/24二層

SW3模擬辦事處E1/0/11模擬產(chǎn)品PC

SW3模擬辦事處E1/0/12模擬營銷PC

SW3模擬辦事處E1/0/15FW2E0/1

SW3模擬InternetE1/0/17FW1E0/3

SW3模擬InternetE1/0/18RT2G0/3

RT1G0/0RT2G0/0

RT1S1/0RT2S1/1

RT1S1/1RT2S1/0

RT1G0/2FW1E0/2

RT1G0/3FW2E0/2

RT2G0/1AC1E1/0/1

AC1E1/0/3AP1ETH

AC1E1/0/4vlan110PC2NIC

SW2E1/0/11云平臺Eth1

SW2E1/0/12云平臺Eth2

5/18

表2-網(wǎng)絡(luò)設(shè)備IP地址分配表

設(shè)備名稱設(shè)備接口IP地址

/32

loopback1ospfv2ospfv3bgp

2001:10:10:1::1/128

/32

loopback2

2001:10:10:1::2/128

/24

vlan10

2001:10:10:11::1/64

/24

vlan20

2001:10:10:12::1/64

/24

vlan30

2001:10:10:13::1/64

/24

vlan40

2001:10:10:14::1/64

/24

SW1vlan50

2001:10:10:15::1/64

/24

vlan60

2001:10:10:60::1/64

/24

vlan70

2001:10:10:70::1/64

/24

vlan80

2001:10:10:80::1/64

/24

vlan90

2001:10:10:90::1/64

vlan10214/30

vlan1022/30

vlan1026/30

vlan1027vpn/30

/32

loopback1ospfv2ospfv3bgp

2001:10:10:2::1/128

/32

loopback2

2001:10:10:2::2/128

SW2

/24

vlan10

2001:10:10:21::1/64

/24

vlan20

2001:10:10:22::1/64

6/18

設(shè)備名稱設(shè)備接口IP地址

/24

vlan30

2001:10:10:23::1/64

/24

vlan40

2001:10:10:24::1/64

/24

vlan50

2001:10:10:25::1/64

/24

vlan60

2001:10:10:60::2/64

/24

vlan70

2001:10:10:70::2/64

/24

vlan80

2001:10:10:80::2/64

/24

vlan90

2001:10:10:90::2/64

vlan10212/30

vlan1022/30

vlan1026/30

vlan1027vpn/30

/32

loopback1ospfv2ospfv3bgp

2001:10:10:3::1/128

/24

vlan10

2001:10:10:31::1/64

/24

vlan20

2001:10:10:32::1/64

/24

vlan30

2001:10:10:33::1/64

SW3/24

vlan50

2001:10:10:35::1/64

/24

vlan60

2001:10:10:60::3/64

/24

vlan70

2001:10:10:70::3/64

/24

vlan80

2001:10:10:80::3/64

vlan90/24

7/18

設(shè)備名稱設(shè)備接口IP地址

2001:10:10:90::3/64

vlan1021/30

vlan10220/30

/32

loopback2

2001:10:10:3::2/128

/24

SW3模擬vlan110

2001:10:16:110::1/64

辦事處

/24

vlan120

2001:10:16:120::1/64

vlan10156/30

/32

loopback3

SW3模擬2001:200:200:3::3/128

Internetvlan1017/30

vlan1018/30

/32

loopback1ospfv2ospfv3bgpmpls

2001:10:10:4::1/128

/32

loopback2ripripng

2001:10:10:4::2/128

/32

loopback3isis

2001:10:10:4::3/128

/32

loopback4集團(tuán)與辦事處互聯(lián)

2001:10:10:4::4/128

RT1

/32

loopback5vpn財(cái)務(wù)

2001:10:10:4::5/128

g0/09/30

g0/11/30

g0/28/30

g0/35/30

s1/03/30

s1/17/30

/32

loopback1ospfv2ospfv3bgpmpls

2001:10:10:5::1/128

RT2/32

loopback2ripripng

2001:10:10:5::2/128

loopback3isis/32

8/18

設(shè)備名稱設(shè)備接口IP地址

2001:10:10:5::3/128

/32

loopback4ipsecvpn

2001:10:10:5::4/128

tunnel4ipsecvpn0/30

/32

loopback5vpn財(cái)務(wù)

2001:10:10:5::5/128

g0/00/30

g0/11/30

g0/3/30

s1/08/30

s1/14/30

/32

loopback1ospfv2ospfv3trust

2001:10:10:6::1/128

/32

loopback2ripripngtrust

2001:10:10:6::2/128

/32

loopback4ipsecvpntrust

FW12001:10:10:6::4/128

tunnel4ipsecvpnVPNHUB9/30

tunnel8sslvpnVPNHUB/24

e0/1trust3/30

e0/2trust7/30

e0/3untrust/30

/32

loopback1ospfv2ospfv3trust

2001:10:10:7::1/128

FW2e0/1trust5/30

e0/2dmz6/30

tunnel9l2tpvpnVPNHUB/24

/32

loopback1ospfv2ospfv3

2001:10:10:8::1/128

/32

loopback2ripripng

2001:10:10:8::2/128

AC1

/32

loopback3

2001:10:10:8::3/128

/24

vlan100無線管理

2001:10:17:100::1/64

9/18

設(shè)備名稱設(shè)備接口IP地址

/24

vlan110無線2.4G產(chǎn)品

2001:10:17:110::1/64

/24

vlan120無線5G營銷

2001:10:17:120::1/64

vlan10012/30

10/18

一、職業(yè)素養(yǎng)

1.整理賽位，工具、設(shè)備歸位，保持賽后整潔有序。

2.無因選手原因?qū)е略O(shè)備損壞。

3.恢復(fù)調(diào)試現(xiàn)場，保證網(wǎng)絡(luò)和系統(tǒng)安全運(yùn)行。

二、網(wǎng)絡(luò)連接

左側(cè)布線面板立面示意圖右側(cè)布線面板立面示意圖

1.機(jī)柜左側(cè)布線面板編號101；機(jī)柜右側(cè)布線面板編號102。

2.面對信息底盒方向左側(cè)為1端口、右側(cè)為2端口。所有配線架、模塊按照

568B標(biāo)準(zhǔn)端接。

3.主配線區(qū)配線點(diǎn)與工作區(qū)配線點(diǎn)連線對應(yīng)關(guān)系如下：

序號信息點(diǎn)編號配線架編號底盒編號信息點(diǎn)編號配線架端口編號

1W1-02-101-1W1101102

2W1-06-102-2W1102206

4.鋪設(shè)線纜并端接。截取2根適當(dāng)長度的雙絞線，兩端制作標(biāo)簽，穿過PVC

線槽或線管。雙絞線在機(jī)柜內(nèi)部進(jìn)行合理布線，并且通過扎帶合理固定。將2根

雙絞線的一端，端接在配線架相應(yīng)端口，另一端端接上RJ45模塊，并且安裝在

信息點(diǎn)面板，并標(biāo)注標(biāo)簽。

5.跳線制作與測試。截取2根當(dāng)長度的雙絞線，端接水晶頭，所有網(wǎng)絡(luò)跳線

要求按568B標(biāo)準(zhǔn)制作，兩端制作標(biāo)簽，連接網(wǎng)絡(luò)信息點(diǎn)和相應(yīng)計(jì)算機(jī)。根據(jù)網(wǎng)

絡(luò)拓?fù)湟?，截取適當(dāng)長度和數(shù)量的雙絞線，端接水晶頭，插入相應(yīng)設(shè)備的相關(guān)

端口上，實(shí)現(xiàn)PC、信息點(diǎn)面板、配線架、設(shè)備之間的連通。

三、交換配置

1.配置vlan，SW1、SW2、SW3、AC1的二層鏈路只允許相應(yīng)vlan通過。

11/18

設(shè)備vlan編號端口說明

vlan10E1/0/1產(chǎn)品1段

vlan20E1/0/2營銷1段

vlan30E1/0/3法務(wù)1段

vlan40E1/0/4財(cái)務(wù)1段

SW1vlan50E1/0/5人力1段

vlan60E1/0/6產(chǎn)品管理

vlan70E1/0/7產(chǎn)品研發(fā)

vlan80E1/0/8產(chǎn)品生產(chǎn)

vlan90E1/0/9產(chǎn)品支持

vlan10E1/0/1產(chǎn)品2段

vlan20E1/0/2營銷2段

vlan30E1/0/3法務(wù)2段

vlan40E1/0/4財(cái)務(wù)2段

SW2vlan50E1/0/5人力2段

vlan60E1/0/6產(chǎn)品管理

vlan70E1/0/7產(chǎn)品研發(fā)

vlan80E1/0/8產(chǎn)品生產(chǎn)

vlan90E1/0/9產(chǎn)品支持

vlan10E1/0/1產(chǎn)品3段

vlan20E1/0/2營銷3段

vlan30E1/0/3法務(wù)3段

vlan50E1/0/5人力3段

SW3

vlan60E1/0/6產(chǎn)品管理

vlan70E1/0/7產(chǎn)品研發(fā)

vlan80E1/0/8產(chǎn)品生產(chǎn)

vlan90E1/0/9產(chǎn)品支持

2.SW1、SW2、SW3啟用MSTP，實(shí)現(xiàn)網(wǎng)絡(luò)二層負(fù)載均衡和冗余備份，創(chuàng)建實(shí)例

Instance10和Instance20，名稱為SKILLS，修訂版本為1，其中Instance10關(guān)

聯(lián)vlan60和vlan70，Instance20關(guān)聯(lián)vlan80和vlan90。SW1為Instance0和

Instance10的根交換機(jī)，為Instance20備份根交換機(jī)；SW2為Instance20根交

換機(jī)，為Instance0和Instance10的備份根交換機(jī)；根交換機(jī)STP優(yōu)先級為0，

備份根交換機(jī)STP優(yōu)先級為4096。關(guān)閉交換機(jī)之間三層互聯(lián)接口的STP。

3.SW1和SW2之間利用三條裸光纜實(shí)現(xiàn)互通，其中一條裸光纜承載三層IP

業(yè)務(wù)、一條裸光纜承載VPN業(yè)務(wù)、一條裸光纜承載二層業(yè)務(wù)。用相關(guān)技術(shù)分別實(shí)

12/18

現(xiàn)財(cái)務(wù)1段、財(cái)務(wù)2段業(yè)務(wù)路由表與其它業(yè)務(wù)路由表隔離，財(cái)務(wù)業(yè)務(wù)VPN實(shí)例名

稱為CW。承載二層業(yè)務(wù)的只有一條裸光纜通道，配置相關(guān)技術(shù)，方便后續(xù)鏈路擴(kuò)

容與冗余備份，編號為1，用LACP協(xié)議，SW1為active，SW2為active；采用

源、目的IP進(jìn)行實(shí)現(xiàn)流量負(fù)載分擔(dān)。

4.將SW3模擬為Internet交換機(jī)，實(shí)現(xiàn)與集團(tuán)其它業(yè)務(wù)路由表隔離，

Internet路由表VPN實(shí)例名稱為Internet。將SW3模擬辦事處交換機(jī)，實(shí)現(xiàn)與

集團(tuán)其它業(yè)務(wù)路由表隔離，辦事處路由表VPN實(shí)例名稱為Guangdong。

5.SW1法務(wù)物理接口限制收發(fā)數(shù)據(jù)占用的帶寬均為1000Mbps，限制所有報(bào)文

最大收包速率為1000packets/s，如果超過了配置交換機(jī)端口的報(bào)文最大收包速

率則關(guān)閉此端口，1分鐘后恢復(fù)此端口；啟用端口安全功能，最大安全MAC地址

數(shù)為20，當(dāng)超過設(shè)定MAC地址數(shù)量的最大值，不學(xué)習(xí)新的MAC、丟棄數(shù)據(jù)包、發(fā)

snmptrap、同時(shí)在syslog日志中記錄，端口的老化定時(shí)器到期后，在老化周期

中沒有流量的部分表項(xiàng)老化，有流量的部分依舊保留，恢復(fù)時(shí)間為10分鐘；禁

止采用訪問控制列表，只允許IP主機(jī)位為20-50的數(shù)據(jù)包進(jìn)行轉(zhuǎn)發(fā)；禁止配置

訪問控制列表，實(shí)現(xiàn)端口間二層流量無法互通，組名稱FW。

6.開啟SW1日志記錄功能和保護(hù)功能，采樣周期5s一次，恢復(fù)周期為100s，

從而保障CPU穩(wěn)定運(yùn)行。

7.SW1配置SNMP，引擎id分別為1；創(chuàng)建組GROUP2022，采用最高安全級

別，配置組的讀、寫視圖分別為：SKILLS_R、SKILLS_W；創(chuàng)建認(rèn)證用戶為USER2022，

采用aes算法進(jìn)行加密，密鑰為Pass-1234，哈希算法為sha，密鑰為Pass-1234；

當(dāng)設(shè)備有異常時(shí)，需要用本地的環(huán)回地址loopback1發(fā)送v3Trap消息至集團(tuán)網(wǎng)

管服務(wù)器9、2001:10:10:11::99，采用最高安全級別；當(dāng)法務(wù)部門對

應(yīng)的用戶接口發(fā)生UPDOWN事件時(shí)，禁止發(fā)送trap消息至上述集團(tuán)網(wǎng)管服務(wù)器。

8.將W1與FW1互連流量鏡像到SW1E1/0/1，會話列表為1。

9.SW1和SW2E1/0/21-28啟用單向鏈路故障檢測，當(dāng)發(fā)生該故障時(shí)，端口

標(biāo)記為errdisable狀態(tài)，自動關(guān)閉端口，經(jīng)過1分鐘后，端口自動重啟；發(fā)送

Hello報(bào)文時(shí)間間隔為15s；

10.SW1和SW2所有端口啟用鏈路層發(fā)現(xiàn)協(xié)議，更新報(bào)文發(fā)送時(shí)間間隔為20s，

老化時(shí)間乘法器值為5，Trap報(bào)文發(fā)送間隔為10s，配置三條裸光纜端口使能

Trap功能。

四、路由配置

1.啟用所有設(shè)備的ssh服務(wù)，防火墻用戶名admin，明文密碼Pass-1234，

其余設(shè)備用戶名和明文密碼均為admin。

13/18

2.配置所有設(shè)備的時(shí)區(qū)為GMT+08:00，調(diào)整SW1時(shí)間為實(shí)際時(shí)間，SW1配置

為ntpserver，其他設(shè)備用SW1loopback1ipv4地址作為ntpserver地址，

ntpclient請求報(bào)文時(shí)間間隔1分鐘。

3.配置所有設(shè)備接口ipv4地址和ipv6地址，互聯(lián)接口ipv6地址用本地鏈

路地址。

4.利用vrrpv2和vrrpv3技術(shù)實(shí)現(xiàn)vlan60、vlan70、vlan80、vlan90網(wǎng)關(guān)

冗余備份，vrrpid與vlanid相同。vrrpv2vip為10.10.vlanid.9（如vlan60

的vrrpv2vip為），vrrpv3vip為FE80:vlanid::9（如vlan60的

vrrpv3vip為FE80:60::9）。配置SW1為vlan60、vlan70的Master，SW2為

vlan80、vlan90的Master。要求vrrp組中高優(yōu)先級為120，低優(yōu)先級為默認(rèn)值，

搶占模式為默認(rèn)值，vrrpv2和vrrpv3發(fā)送通告報(bào)文時(shí)間間隔為默認(rèn)值。當(dāng)SW1

或SW2上聯(lián)鏈路發(fā)生故障，Master優(yōu)先級降低50。

5.AC1配置dhcpv4和dhcpv6，分別為SW1產(chǎn)品1段vlan10和分公司vlan100、

vlan110和vlan120分配地址；ipv4地址池名稱分別為POOLv4-10、POOLv4-100、

POOLv4-110、POOLv4-120，ipv6地址池名稱分別為POOLv6-10、POOLv6-100、

POOLv6-110、POOLv6-120；ipv6地址池用網(wǎng)絡(luò)前綴表示；排除網(wǎng)關(guān)；DNS分別為

14和2400:3200::1；為PC1保留地址和

2001:10:10:11::9，為AP1保留地址和2001:10:17:100::9，為PC2

保留地址和2001:10:17:110::9。SW1上中繼地址為AC1loopback1

地址。SW1啟用dhcpv4和dhcpv6snooping，如果E1/0/1連接dhcpv4服務(wù)器，

則關(guān)閉該端口，恢復(fù)時(shí)間為1分鐘。

6.SW1、SW2、SW3、RT1以太鏈路、RT2以太鏈路、FW1、FW2、AC1之間運(yùn)行

OSPFv2和OSPFv3協(xié)議（路由模式發(fā)布網(wǎng)絡(luò)用接口地址，BGP協(xié)議除外）。

(1)SW1、SW2、SW3、RT1、RT2、FW1之間OSPFv2和OSPFv3協(xié)議，進(jìn)程1，

區(qū)域0，分別發(fā)布loopback1地址路由和產(chǎn)品路由，F(xiàn)W1通告type2默認(rèn)路由。

(2)RT2與AC1之間運(yùn)行OSPFv2協(xié)議，進(jìn)程1，nssano-summary區(qū)域1；

AC1發(fā)布loopback1地址路由、產(chǎn)品和營銷路由，用prefix-list重發(fā)布

loopback3。

(3)RT2與AC1之間運(yùn)行OSPFv3協(xié)議，進(jìn)程1，stubno-summary區(qū)域1；

AC1發(fā)布loopback1地址路由、產(chǎn)品和營銷。

(4)SW3模擬辦事處產(chǎn)品和營銷接口配置為loopback，模擬接口up。SW3模

擬辦事處與FW2之間運(yùn)行OSPFv2協(xié)議，進(jìn)程2，區(qū)域2，SW3模擬辦事處發(fā)布

loopback2、產(chǎn)品和營銷。SW3模擬辦事處配置ipv6默認(rèn)路由；FW2分別配置到

SW3模擬辦事處loopback2、產(chǎn)品和營銷的ipv6明細(xì)靜態(tài)路由，F(xiàn)W2重發(fā)布靜態(tài)

路由到OSPFv3協(xié)議。

14/18

(5)RT1、FW2之間OSPFv2和OSPFv3協(xié)議，進(jìn)程2，區(qū)域2；RT1發(fā)布loopback4

路由，向該區(qū)域通告type1默認(rèn)路由；FW2發(fā)布loopback1路由，F(xiàn)W2禁止學(xué)習(xí)

到集團(tuán)和分公司的所有路由。RT1用prefix-list匹配FW2loopback1路由、SW3

模擬辦事處loopback2和產(chǎn)品路由、RT1與FW2直連ipv4路由，將這些路由重

發(fā)布到區(qū)域0。

(6)修改ospfcost為100，實(shí)現(xiàn)SW1分別與RT2、FW2之間ipv4和ipv6互

訪流量優(yōu)先通過SW1_SW2_RT1鏈路轉(zhuǎn)發(fā)，SW2訪問Internetipv4和ipv6流量

優(yōu)先通過SW2_SW1_FW1鏈路轉(zhuǎn)發(fā)。

7.RT1串行鏈路、RT2串行鏈路、FW1、AC1之間分別運(yùn)行RIP和RIPng協(xié)議，

FW1、RT1、RT2的RIP和RIPng發(fā)布loopback2地址路由，AC1RIP發(fā)布loopback2

地址路由，AC1RIPng采用route-map匹配prefix-list重發(fā)布loopback2地址

路由。RT1配置offset值為3的路由策略，實(shí)現(xiàn)RT1-S1/0_RT2-S1/1為主鏈路，

RT1-S1/1_RT2-S1/0為備份鏈路，ipv4的ACL名稱為AclRIP，ipv6的ACL名稱

為AclRIPng。RT1的S1/0與RT2的S1/1之間采用chap雙向認(rèn)證，用戶名為對

端設(shè)備名稱，密碼為Pass-1234。

8.RT1以太鏈路、RT2以太鏈路之間運(yùn)行ISIS協(xié)議，進(jìn)程1，分別實(shí)現(xiàn)

loopback3之間ipv4互通和ipv6互通。RT1、RT2的NET分別為

10.0000.0000.0001.00、10.0000.0000.0002.00，路由器類型是Level-2，接口

網(wǎng)絡(luò)類型為點(diǎn)到點(diǎn)。配置域md5認(rèn)證和接口md5認(rèn)證，密碼均為Pass-1234。

9.RT2配置ipv4nat，實(shí)現(xiàn)AC1ipv4產(chǎn)品部門用RT2外網(wǎng)接口ipv4地址訪

問Internet。RT2配置nat64，實(shí)現(xiàn)AC1ipv6產(chǎn)品部門用RT2外網(wǎng)接口ipv4地

址訪問Internet，ipv4地址轉(zhuǎn)ipv6地址前綴為64:ff9b::/96。

10.SW1、SW2、SW3、RT1、RT2之間運(yùn)行BGP協(xié)議，SW1、SW2、RT1AS號65001、

RT2AS號65002、SW3AS號65003。

(1)SW1、SW2、SW3、RT1、RT2之間通過loopback1建立ipv4和ipv6BGP鄰

居。SW1和SW2之間財(cái)務(wù)通過loopback2建立ipv4BGP鄰居，SW1和SW2的

loopback2互通采用靜態(tài)路由。

(2)SW1、SW2、SW3、RT2分別只發(fā)布營銷、法務(wù)、財(cái)務(wù)、人力等ipv4和ipv6

路由；RT1發(fā)布辦事處營銷ipv4和ipv6路由到BGP。

(3)SW3營銷分別與SW1和SW2營銷ipv4和ipv6互訪優(yōu)先在SW3_SW1鏈路

轉(zhuǎn)發(fā)；SW3法務(wù)及人力分別與SW1和SW2法務(wù)及人力ipv4和ipv6互訪優(yōu)先在

SW3_SW2鏈路轉(zhuǎn)發(fā)，主備鏈路相互備份；用prefix-list、route-map和BGP路

徑屬性進(jìn)行選路，新增AS65000。

11.利用BGPMPLSVPN技術(shù)，RT1與RT2以太鏈路間運(yùn)行多協(xié)議標(biāo)簽交換、

標(biāo)簽分發(fā)協(xié)議。RT1與RT2間創(chuàng)建財(cái)務(wù)VPN實(shí)例，名稱為CW，RT1的RD值為1:1，

15/18

exportrt值為1:2，importrt值為2:1；RT2的RD值為2:2。通過兩端loopback1

建立VPN鄰居，分別實(shí)現(xiàn)兩端loopback5ipv4互通和ipv6互通。

12.SW1、SW2、RT1、RT2、AC1運(yùn)行PIM-SM，RT1loopback1為c-bsr和c-

rp，RT2運(yùn)行IGMPv3；SW1產(chǎn)品部門（PC1測試）終端啟用組播，用VLC工具串

流播放視頻文件“1.mp4”，模擬組播源，設(shè)置此視頻循環(huán)播放，組地址，

端口1234，實(shí)現(xiàn)分公司產(chǎn)品部門（PC2測試）收看視頻。

五、無線配置

1.AC1loopback1ipv4和ipv6地址分別作為AC1的ipv4和ipv6管理地

址。AP二層自動注冊，AP采用MAC地址認(rèn)證。配置2個(gè)ssid，分別為SKILLS-

2.4G和SKILLS-5G。SKILLS-2.4G對應(yīng)vlan110，用network110和radio1（模

式為n-only-g）,用戶接入無線網(wǎng)絡(luò)時(shí)需要采用基于WPA-personal加密方式，

密碼為Pass-1234。SKILLS-5G對應(yīng)vlan120，用network120和radio2（模式

為n-only-a），不需要認(rèn)證，隱藏ssid，SKILLS-5G用倒數(shù)第一個(gè)可用VAP發(fā)送

5G信號。

2.當(dāng)AP上線，如果AC中儲存的Image版本和AP的Image版本號不同時(shí)，

會觸發(fā)AP自動升級。AP失敗狀態(tài)超時(shí)時(shí)間及探測到的客戶端狀態(tài)超時(shí)時(shí)間都為

2小時(shí)。

3.MAC認(rèn)證模式為黑名單，MAC地址為80-45-DD-77-CC-48的無線終端采用

全局配置MAC認(rèn)證。

4.防止多AP和AC相連時(shí)過多的安全認(rèn)證連接而消耗CPU資源，檢測到AP

與AC10分鐘內(nèi)建立連接5次就不再允許繼續(xù)連接，2小時(shí)后恢復(fù)正常。

5.配置vlan110無線接入用戶上班時(shí)間（工作日09:00-17:00）訪問Internet

https上下行CIR為100Mbps，CBS為200Mbps，PBS為300Mbps，exceed-action

和violate-action均為drop。時(shí)間范圍名稱、控制列表名稱、分類名稱、策略

名稱均為SKILLS。

6.開啟AP組播廣播突發(fā)限制功能；AP收到錯(cuò)誤幀時(shí)，將不再發(fā)送ACK幀；

AP發(fā)送向無線終端表明AP存在的幀時(shí)間間隔為1秒。

7.AP發(fā)射功率為80%。

六、安全配置

說明：ip地址按照題目給定的順序用“ip/mask”表示，ipv4any地址用

/0，ipv6any地址用::/0，禁止用地址條目，否則按零分處理。

16/18

1.FW1配置ipv4nat，實(shí)現(xiàn)集團(tuán)產(chǎn)品1段ipv4訪問Internetipv4，轉(zhuǎn)換

ip/mask為60/28，保證每一個(gè)源ip產(chǎn)生的所有會話將被映射到

同一個(gè)固定的IP地址；當(dāng)有流量匹配本地址轉(zhuǎn)換規(guī)則時(shí)產(chǎn)生日志信息，將匹配

的日志發(fā)送至9的UDP514端口，記錄主機(jī)名，用明文輪詢方式分

發(fā)日志；開啟相關(guān)特性，實(shí)現(xiàn)擴(kuò)展nat轉(zhuǎn)換后的網(wǎng)絡(luò)地址端口資源。

2.FW1配置nat64，實(shí)現(xiàn)集團(tuán)產(chǎn)品1段ipv6訪問Internetipv4，轉(zhuǎn)換為出

接口IP，ipv4轉(zhuǎn)ipv6地址前綴為64:ff9b::/96。

3.FW1和FW2策略默認(rèn)動作為拒絕，F(xiàn)W1允許集團(tuán)產(chǎn)品1段ipv4和ipv6訪

問Internet任意服務(wù)。

4.FW2允許辦事處產(chǎn)品ipv4訪問集團(tuán)產(chǎn)品1段https服務(wù)，允許集團(tuán)產(chǎn)品

1段和分公司產(chǎn)品訪問辦事處產(chǎn)品ipv4、FW2loopback1ipv4、SW3模擬辦事處

loopback2ipv4。

5.FW1與RT2之間用Internet互聯(lián)地址建立GREOverIPSecVPN，實(shí)現(xiàn)

loopback4之間的加密訪問。

6.FW1配置SSLVPN，名稱為VPNSSL，ssl協(xié)議為1.2版本，Internet用戶

通過端口8888連接，本地認(rèn)證賬號UserSSL,密碼Pass-1234，地址池名稱為

POOLSSL，地址池范圍為00/24-99/24。保持PC1位置不變，

用PC1測試。

7.FW2配置L2TPOverIPSecVPN，名稱為VPNL2TP，遠(yuǎn)程用戶通過dmz區(qū)

域接口撥入，本地認(rèn)證賬號UserL2TP,密碼Pass-1234，地址池名稱為POOLL2TP，

地址池范圍為00/24-99/24。保持PC2位