1 网络规划

1.1 网络拓扑图

1.2 网络规划

（1）总体规划：公司总部设于北京，同时在上海与广州设有分部，通过专线与总部相连，假设内外网网段规划如下。

（2）部门网络：公司总部与分布各部门VLAN及网段如下表：

(3）各接口的连接关系如下图所示：

（4）HSRP需求或浮动路由分析：总部每个VLAN连至两台核心交换机，需要设置5对HSRP组；两个核心交换机连至三个路由器，需要设置3对浮动路由。

2 实验要求

（1）互联网中的路由器都不允许配置去往私网地址的路由
（2）整个内网（总部与分公司）内部全部互通。并且内网全部可以上网。其中，背景总部员工要求自动获取IP地址。所有员工可以通过域名http://www.baidu.com访问百度网站。
（3）将总部内网的web服务器发布出去，并成功在外网的PC访问其网站。
（4）要求市场部门禁止上网。
（5）禁止总部任何部门（服务器）访问财务部，但不能影响财务部上网。
（6）要求所有分公司只能访问总部的服务器及上网。

2.1 服务器功能

（1）SE1为总部员工提供DHCP、DNS服务器。
（2）SE2为内外网提供网页服务器。
（3）SE3设为百度服务器，为内外网提供网页服务。

2.2 主机功能

（1）按实验总要求
（2）PC1能远程管理公司内部所有路由器、核心交换机、交换机。

2.3 核心交换机

（1）SW1和SW1分别作为不同网段的活跃交换机与备份交换机。
（2）SW1与SW2与总部内各二层交换机形成环路，要求当每个环路中仅出现一根接线故障时，网络正常通信。

2.4 路由器

（1）路由表的设置方式应灵活采用静态路由表与动态路由表。
（2）R1、R2作为不同网段的活跃路由器与备份路由器。
（3）设置NAT保证私有IP能正常与公有IP转换。
（4）设置ACL禁止分部主机与外网相互通信。

3 配置过程及命令详解

按功能将实验配置过程分为三个阶段，第一个阶段要求完成内网通信、第二个阶段要求完成内外网通信、第三阶段要求完成通信限制及远程管理等功能。

3.1 第一阶段：完成内网通信

该阶段主要分以下步骤：
（1）二层交换部分
（2）核心交换机部分
（3）为路由器接口配置IP并配置路由
（4）部分PC端及DHCP服务器配置

3.1.1 二层交换部分

二层交换部分配置步骤分为以下三步：
第一步：配置trunk链路
第二步：配置vtp域及创建vlan
第三步：划分接口至对应vlan
具体步骤及命令如下：

（1）第一步：配置trunk链路

• 1）在配置前，应分析哪些接口是属于trunk接口，在核心交换机之间、核心交换机与二层交换机之间，均是trunk接口。SW1和SW2有4个，二层交换机各有2个。
• 2）核心交换机的接口具备二三层功能，要将其接口设置为trunk口需要比二层交换机多一个命令。
• 3）当一个交换机上有多个接口需要设置为trunk口时，建议合并设置。
  具体命令如下：

(2）第二步：配置vtp域及创建vlan

（3）第三步：划分接口至对应vlan
对于二层交换机，需要将与PC相连的接口划分至对应的vlan。

3.1.2 核心交换机部分

对于核心交换机部分的配置按如下步骤进行：
第一步：核心交换机开启三层路由并创建虚拟接口，然后给网关配置IP并开启。由于核心交换机需要配置热备份，因此一个VLAN对应两个虚拟接口网关，建议虚拟接口网关分别以.252与.253结尾，给路由器指定的虚拟IP以.254结尾。
第二步：核心交换机与路由器相连的接口升级为三级接口并配置IP。
第三步：配置DHCP中继。由于内网中配有DHCP服务器，而DHCP请求是采用广播的形式，无法在不同VLAN之间传播，需要设置DHCP中继将广播请求单播给DHCP服务器。
第四步：给核心交换机配置热备份，其中SW1为vlan10、20、30的活跃路由器，vlan40和50的备份路由器，SW2为vlan40和50的的活跃路由器，vlan10、20、30的备份路由器。其中，主要有以下几个小步：①将同一个vlan的两个虚拟网关均加入热备份组并同时指定虚拟IP；②设置优先级；③设置占先权；④设置跟踪外网接口的状态。
具体步骤及命令如下：
（1）第一步：核心交换机开启三层路由并创建虚拟接口，然后给网关配置IP并开启。

（2）第二步：核心交换机与路由器相连的接口升级为三级接口并配置IP

（3）第三步：配置DHCP中继

（4）第四步：给核心交换机配置热备份。

为在正常运行时均摊两个核心交换机的负荷，其中SW1为vlan10、20、30的活跃路由器，vlan40和50的备份路由器，SW2为vlan40和50的的活跃路由器，vlan10、20、30的备份路由器。

3.1.3 给路由器接口配置IP并配置路由

按如下步骤进行：
第一步：给路由器接口配置IP并开启。
第二步：静动态路由结合配置路由表。
具体步骤及命令如下：
（1）第一步：给路由器接口配置IP并开启。
根据网络规划，对路由器每个接口配置IP。

（2）第二步：静动态路由结合配置路由表
（1）建议先使用show ip route查看直连路由表有哪些，再进行配置。
（2）核心交换机SW1和SW2配置静态路由、默认路由、浮动路由。其中指向R2的为浮动路由。
（3）路由器R1和R2指向内网的路由配置默认和浮动路由，其他配置动态路由。
（4）路由器R3配置静态路由、默认路由、浮动路由；R4和R5配置默认路由。
（5）路由器R6和R7配置动态路由RIP。
（6）对于路由表条目优先级，静态路由>动态路由>默认路由。

3.1.4 部分PC端及DHCP服务器配置

（1）给PC5~6、SE1和SE2配置IP。
（2）SE1为DHCP和DNS服务器，给SE1进行DHCP地址池配置，且配置DNS解析记录。

3.1.5 测试能否完成内网ping通

（1）首先北京总部的PC1~PC4自动获取IP.

(2）PC1ping内网其他PC,都成功ping通。

3.2 第二阶段：完成内外网通信

3.2.1 检查 R1、R2、R6、R7路由表

查看R1、R2、R6、R7路由表，检查下动态路由是否配置成功。

3.2.2 为公司总路由外网接口设置PAT和静态PAT

路由器R1、R2均为公司的总路由，其外网f1/0，内网接口为f0/0和f0/1接。

3.2.3 外网PC端及服务器设置

（1）给PC7~8、SE3配置IP。
（2）SE2为web服务器，修改网页。

3.2.4 网络结构稳健性测试

（1）利用PC1尝试ping通PC7和PC8，成功ping通。注意，外网的PC是无法访问内网的PC，这主要和PAT技术有关，由于只有从内往外走时，才会动态生成NAT地址转换表，而从外往内走，不生成。

（2）利用PC1尝试通过www.baidu.com访问104.1.1.2，访问成功。

（3）利用PC8尝试通过浏览器访问100.1.1.3，访问成功。注意外网若想访问内网服务器，不能写私网地址，都应该用公网地址。

tips:
1）当公司WEB服务器在公网的DNS服务器上注册域名为www.zz.com（对应IP为100.1.1.3）内网员工是否可以通过域名来访问服务器呢？不可以，根据之前学的原理分析全过程。
2）那么如何解决这个问题？公司一般设置自己的DNS服务器，并在DNS服务器上设置WEB服务器的解析为“www.zz.com对应IP为192.168.5.2”，公司DNS服务器再设转发器指向公网DNS服务器。

（4）利用PC1尝试一直ping通PC8，ping -t 104.1.1.1，分别down掉以下线路的接口尝试通信能否正常。 并分别查看SW1和SW2的热备份状态。

• 1）down 掉SW1与R1的接口后，仍全网互通，其中核心交换机的热备份如下：

• 2）将R1关机后仍全网互通。
  
  

3.3 第三阶段：完成通信限制及远程管理等功能。

在完成了全网互通的基础上，再完成其他附加功能。

3.3.1 数据包过滤：ACL表配置

其他限制需求为：①市场部禁止上网，市场部所属网段为192.168.1.0/24；②总部任何部门不能访问财务部，但不影响财务部上网，财务部所属网段为192.168.4.0/24；③所有分公司只能访问总部的服务器区及上网，分公司所属网段为172.168.1.0/24和172.168.2.0/24。由于上网及不同vlan间的通信都需要在核心交换机上完成，因此在核心交换机上配置AVL表。
以下采用命名拓展ACL表进行配置。

3.3.2 网络设备远程管理：SSH

（1）考虑到Telnet端口数据为加密，本实验采用SSH进行远程管理。
（2）对于核心交换机与路由器中，其上接口以配置IP地址，可以利用各接口IP对核心交换机与路由器进行远程管理。
（3）对于二层交换机，需要利用其内置的虚拟接口设置IP地址进行远程管理。

3.3.3 验证ACL表的配置

（1）市场部的PC1去ping外网的PC8，其他部门的PC2~PC4去ping外网的PC8。


（2）总部其他部门去访问财务部

(3）分部PC5去访问总部的PC1~PC4及访问服务器。

3.3.4 远程管理测试

可以远程控制核心交换机与路由器。

4 注意及拓展

（1）本实验采用packer tracer 8.0平台进行实验，采用6.0版本在对核心交换机设置HSRP时存在bug。
（2）在进行交换机的远程管理时，需要给交换机配IP，而给交换机配IP时需要起虚拟接口，当虚拟接口为vlan10、vlan20、vlan30、vlan40、vlan50时，交换机所指的网关为对应vlan的网关，若交换机起的虚拟接口为其他vlan，需要注意在三层交换机上另外起一个对应vlan的虚拟网关，且交换机所指网关为对应网关。
（3）当R1与R6之间的线断开时，内网不能再上网了，因为R1对应路由仍在，R2配置的浮动路没法起作用。可以将三层交换机与R1、R2连接的接口不升级为三层接口，且对R1和R2间做热备份，三层交换机的默认路由的下一跳IP指向热备份中的虚拟IP。

5 归纳总结

（2）思考当路线故障时，HSRP和浮动路由如何发挥备份作用。
（3）掌握完整的网络配置步骤及思路，掌握。
（4）掌握相关命令。

5 参考文章

[1] 《综合网络配置实验（含IP、RIP、VLAN、VTP、HSRP、ACL、NAT等配置完整命令）——基于PacketTracer8.0仿真实验》

本文由 在线网速测试 整理编辑，转载请注明出处，原文链接：https://www.wangsu123.cn/news/18087.html。