1、转眼间已经混入 IT 这行3年了，感觉没啥意思，但是要真是不干这行了，还没想好自己要做什么。为什么会没啥意思，从我的个人经历来说，我工作过私营企业、国有企业，加薪受重视的部门我们排在最后，没有哪家公司愿意培养 IT 网络管理人员。我们也不怎么受到用人单位的重视，网络正常的时候，没人会想到你；出了问题，有人说你工作没做到位，工资、福利也不是很好！虽然有几家公司的工作经历，但是还是很少一进另外一家公司就让你搞网络工程的，很多思科的知识都忘记的差不多了，抽了几天时间把我的思考知识和一些资料进行了整理，写了一个网络案例。其中可能会有不足的地方，也可能有错误的地方，欢迎大家批评指正。VLAN 及 IP
2、地址规划vlan1 无（vlan 名称） 192.168.0.0/24 （ip 网段） 192.168.0.254（默认网关） 管理 VLAN vlan10 JWC 192.168.1.0/24 192.168.1.254 vlan20 XSSS 192.168.2.0/24 192.168.2.254vlan30 CWC 192.168.3.0/24 192.168.3.254vlan40 JGSS 192.168.4.0/24 192.168.4.254vlan50 JZX 192.168.5.0/24 192.168.5.254vlan60 GLX 192.168.6.0/24 192.
3、168.6.254vlan70 JSJX 192.168.7.0/24 192.168.7.254vlan100 FWQQ 192.168.100.0/24 192.168.100.254 服务器群 VLAN一、接入层交换机配置，本次实验中接入层只有2台，本文只配置 AWS1，像AWS2、AWS3、AWS4等就不写成操作命令。1.为访问层交换机命名为 ASW1SwitchenableSwitch#config terminalSwitch(config)#hostname ASW12.将交换机设置加密口令123ASW1(config)#enable secret 1233.设置登录交换机时的口
4、令 ciscoASW1(config)#line vty 0 15ASW1(config-line)#loginASW1(config-line)#password cisco4.设置终端线超时时间ASW1(config-line)#line vty 0 15ASW1(config-line)#exec-timeout 5 30ASW1(config-line)#line con 0ASW1(config-line)#exec-timeout 5 305.设置禁用 IP 地址解析特性ASW1(config)#no ip domain-lookup6.设置启用消息同步特性ASW1(config)
5、#line con 0 ASW1(config-line)#logging synchronousASW1(config-line)#exit7.配置访问层交换机 ASW1的管理 IP 和默认网关ASW1(config)#interface vlan 1ASW1(config-if)#ip address 192.168.0.5 255.255.255.0ASW1(config-if)#no shutdownASW1(config)#ip default-gateway 192.168.0.2548.配置访问层 ASW1的 VLAN 及 VTPASW1(config)#vtp mode cli
6、entASW1(config)#interface range fastethernet0/1 - 24ASW1(config-if-range)#duplex fullASW1(config-if-range)#speed 1009.配置访问层交换机 ASW1的访问端口1-10ASW1(config-if-range)#interface range fastethernet0/1 - 10ASW1(config-if-range)#switchport mode accessASW1(config-if-range)#switchport access vlan 10ASW1(config
7、-if-range)#exit10.配置访问层交换机 ASW1的访问端口11-20ASW1(config)#interface range fastethernet0/11 - 20ASW1(config-if-range)#switchport mode accessASW1(config-if-range)#switchport access vlan 20ASW1(config-if-range)#exit11.设置快速端口ASW1(config)#interface range fastethernet0/1 - 20ASW1(config-if-range)#spanning-tre
8、e portfast12.设置主干道端口ASW1(config-if-range)#interface range fastethernet 0/23 - 24ASW1(config-if-range)#switchport mode trunk13.访问层交换机 ASW2为 VLAN30和 VLAN40的用户提供接入服务。分别通过F0/23、 F0/24上连到分布层交换机 DSW1、DSW2 的端口 F0/24二、配置分布层交换机 DSW1的基本参数。 （直接写出命令，不再写出说明）1.DSW1的基本参数。 （直接写出命令，不再写出说明）SwitchenSwitch#config termi
9、nalSwitch(config)#hostname DSW1DSW1(config)#enable secret 456DSW1(config)#line conDSW1(config)#line console 0DSW1(config-line)#logging synchronousDSW1(config-line)#exec-timeout 5 30DSW1(config-line)#line vty 0 15DSW1(config-line)#password ciscoDSW1(config-line)#loginDSW1(config-line)#exec-timeout 5
10、30DSW1(config-line)#exitDSW1(config)#no ip domain-lookup2.配置分布层交换机 DSW1的管理 IP、默认网关DSW1(config)#interface vlan 1DSW1(config-if)#ip address 192.168.0.3 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#exitDSW1(config)#ip default-gateway 192.168.0.2543.配置分布层交换机 DSW1的 VTP（当网络中交换机数量很多时，需要分别在每台交换机上
11、创建很多重复的 VLAN。在实际工作中为了避免出错，采用 VLAN 中继协议。在本次实验中，将分布层交换机 DSW1设置为 VTP 服务器，其他交换机为 VTP 客户端）每一个 vtp 管理域都有个共同的 VTP 管理域域名，不同 VTP 管理域的交换机之间不交换VTP 通告信息。DSW1#config tDSW1(config)#vtp domain 51cto-将 vtp 管理域名定义为“51cto”DSW1(config)#vtp mode server在一个 vtp 域下，只需要在 VTP 服务器上激活 vtp 裁剪功能。域下的所有其他交换机也将自动激活 VTP 裁剪功能。DSW1(c
12、onfig)#vtp pruning4.在分布层交换机 DSW1上定义 VLAN(除了默认 VLAN 外又加了8 个 VLAN,使用 VTP 技术，所有 VLAN 信息都只需要在 VTP 服务器-DSW1上进行，分布层交换机 DSW1的端口 F0/1-F0/10为服务器提供接入服务。而F0/23、 F0/24分别下连到访问层交换机ASW1的端口 F0/23以及 ASW2的端口 F0/23。分布层交换机 DSW1还通过自己的千兆端口 G0/1上连到核心交换机 CSW1的 G3/1。为了实现冗余设计，分布层交换机 DSW1还通过自己的千兆端口 G0/2连接另一台到分布层交换机 DSW2的 G0/2
13、。DSW1(config)#vlan 10DSW1(config-vlan)#name JWCDSW1(config-vlan)#EXITDSW1(config)#vlan 20DSW1(config-vlan)#name XSSSDSW1(config-vlan)#exitDSW1(config)#vlan 30DSW1(config-vlan)#name CWCDSW1(config-vlan)#EXITDSW1(config)#vlan 40DSW1(config-vlan)#name JGSSDSW1(config-vlan)#exitDSW1(config)#vlan 50DSW1(
14、config-vlan)#name JZXDSW1(config-vlan)#EXITDSW1(config)#vlan 60DSW1(config-vlan)#name GLXDSW1(config-vlan)#EXITDSW1(config)#VLAN 70DSW1(config-vlan)#name JSJXDSW1(config-vlan)#EXITDSW1(config)#VLAN 100DSW1(config-vlan)#NAME FWQQDSW1(config)#interface range fastethernet 0/1 - 24DSW1(config-if-range)#
15、duplex fullDSW1(config-if-range)#speed 100DSW1(config-if-range)#interface range fastethernet 0/1 - 10DSW1(config-if-range)#switchport mode accessDSW1(config-if-range)#switchport access vlan 100DSW1(config-if-range)#spanning-tree portfastDSW1(config-if-range)#interface range fastethernet 0/23 - 24DSW
16、1(config-if-range)#switchport mode trunkDSW1(config-if-range)#interface range gigaoEthernet 0/1 - 2DSW1(config-if-range)#switchport mode trunk4.配置分布层 DSW1的三层交换功能。为网络中的各个 VLAN 提供路由功能DSW1(config)#ip routing5.配置每个 VLAN 中的网关地址DSW1#config tDSW1(config)#interface vlan 10 DSW1(config-if)#ip address 192.168
17、.1.254 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#interface vlan 20DSW1(config-if)#ip address 192.168.2.254 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#interface vlan 30DSW1(config-if)#ip address 192.168.3.254 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#interface
18、 vlan 40DSW1(config-if)#ip address 192.168.4.254 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#interface vlan 50DSW1(config-if)#ip address 192.168.5.254 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#interface vlan 60DSW1(config-if)#ip address 192.168.6.254 255.255.255.0DSW1(confi
19、g-if)#no shutdownDSW1(config-if)#interface vlan 70DSW1(config-if)#ip address 192.168.7.254 255.255.255.0DSW1(config-if)#no shutdownDSW1(config-if)#interface vlan 100DSW1(config-if)#ip address 192.168.100.254 255.255.255.0DSW1(config-if)#no shutdown6.定义通往 INTERNET 路由器，这里使用一条缺省路由命令。DSW1(config)#ip rou
20、te 0.0.0.0 0.0.0.0 192.168.0.2547.配置分布层交换机 DSW2交换机 DSW2的端口 F0/23 、F0/24分别下连到访问层交换机 ASW1的端口 F0/24以及访问层交换机 ASW2的端口 F0/24。分布层交换机 DSW2还通过自己的千兆端口 G0/1 上连接到核心交换机 CSW1的G3/2。为了实现冗余设计，分布层交换机 DSW2还通过自己的千兆端口 G0/2连接到分布层DSW1的 G0/2三、配置核心层交换机1.基本参数配置SwitchenSwitch#config tSwitch(config)#hostname CSW1CSW1(config)#e
21、nable secret 789CSW1(config)#line con 0CSW1(config-line)#logging synchronousCSW1(config-line)#exec-timeout 0 15CSW1(config-line)#password abcCSW1(config-line)#loginCSW1(config-line)#exec-timeout 5 30CSW1(config-line)#exitCSW1(config)#no ip domain-lookup2.管理 IP 和默认网关CSW1(config)#interface vlan 1CSW1(
22、config-if)#ip address 192.168.0.1 255.255.255.0CSW1(config-if)#no shutdownCSW1(config)#ip default-gateway 192.168.0.2543.配置核心层交换机 CSW1的 vlan 及 vtp设置核心层交换机 CSW1为 VTP 客户机CSW1(config)#vtp mode client4.配置核心层交换机 CSW1的端口参数核心层交换机 CSW1通过自己的端口 F4/3同广域网接入模块（路由器）相连。同时，CSW1的端口 G3/1-G3/2分别下连到分布层交换机 DSW1和 DSW2的端口
23、 GigbitEthernet 0/1CSW1(config)#interface range fastethernet4/1 - 32CSW1(config-if-range)#duplex fullCSW1(config-if-range)#speed 100CSW1(config-if-range)#switchport mode accessCSW1(config-if-range)#switchport access vlan 1CSW1(config-if-range)#spanning-tree portfastCSW1(config-if-range)#interface ra
24、nge fastethernet4/1 - 2CSW1(config-if-range)#switchport mode trunk5将核心交换机 CSW1的千兆端口 G2/1 、G2/2 捆绑在一起实现2000Mbps 的千兆以太网信道，然后再连接到另一台核心层交换机 CSW2CSW1(config)#interface port-channel 1CSW1(config-if)#switchportCSW1(config-if)#interface range gigabitethernet 2/1 - 2CSW1(config-if)#channel-group 1 mode desir
25、able non-silentCSW1(config-if)#no shutdowni6.配置核心层交换机 CSW1的路由功能核心层交换机 CSW1通过端口 F4/3同广域网接入模块相连。需要启用核心层交换机的路由功能。还要定义通往 Internet 的路由，这里使用了一条缺省路由命令。下一跳地址是 internet 接入路由器的快速以太网接口 F0/0的 IP 地址。CSW1(config)#ip routingCSW1(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.2547.核心交换机 CSW2的配置核心交换机 CSW2的配置命令和 CSW1的命令类
26、似，不再做相关配置。四、广域网接入模块设计1.配置路由器基本参数采用思科3640路由器，基本参数的配置步骤如下RouterenableRouter#config tRouter(config)#hostname RR(config)#enable secret ciscoR(config)#line con 0R(config-line)#logging sysR(config-line)#logging synR(config-line)#logging synchronousR(config-line)#exec-timeout 5 30R(config-line)#line vty 0
27、4R(config-line)#password ciscoR(config-line)#loginR(config-line)#execR(config-line)#exec-timeout 5 30R(config-line)#exitR(config)#no ip domain-lookup2.配置接入路由器 R 的各接口参数主要针对接口 F0/0以及接口 S0/0的 IP 地址、子网掩码配置。R(config)#interface fastEthernet 0/0R(config-if)#ip address 192.168.0.254 255.255.255.0R(config-if
28、)#no shutdownR(config-if)#interface serial 0/0R(config-if)#ip address 193.1.1.1 255.255.255.252R(config-if)#no shutdown3.配置接入路由 R 的路由功能对 R 路由器要定义两个方向上的路由：到校园网内部静态路由以及到外网上的缺省路由。到外网的缺省路由，下一跳从 R 路由器接口 S0/0送出。R(config)#ip route 0.0.0.0 0.0.0.0 serial 0/0到校园网内部的路由条目可以经过路由汇总形成2条路由条目。R(config)#ip route 192
29、.168.0.0 255.255.248.0 192.168.0.3R(config)#ip route 192.168.100.0 255.255.255.0 192.168.0.34.配置接入路由器 R 上的 NAT本校园网向当地 ISP 申请了9个 IP，其中一个 IP 为193.1.1.1 分配给外网口接入路由器的串行接口。另外8个202.205.222.1-202.206.222.8 做 NAT。4.1定义 NAT 内部、外部接口R(config)#interface fastEthernet 0/0R(config-if)#ip nat insideR(config)#interf
30、ace serial 0/0R(config-if)#ip nat outside4.2定义允许进行 NAT 的工作站的内部局部 IP 地址范围。R(config)#ip access-list 1 permit 192.168.0.0 0.0.7.2554.3为服务器定义静态地址转换 R(config)#ip nat inside source static 192.168.100.1 202.206.222.1R(config)#ip nat inside source static 192.168.100.2 202.206.222.2R(config)#ip nat inside so
31、urce static 192.168.100.3 202.206.222.3R(config)#ip nat inside source static 192.168.100.4 202.206.222.4 R(config)#ip nat inside source static 192.168.100.5 202.206.222.5R(config)#ip nat inside source static 192.168.100.6 202.206.222.6R(config)#ip nat inside source static 192.168.100.7 202.206.222.7
32、R(config)#ip nat inside source static 192.168.100.8 202.206.222.84.4为其他工作站定义复用地址转换R(config)#ip nat inside source list 1 interface serial 0/0 overload5.配置接入路由器 R 上的 ACL5.1对外屏蔽简单网管协议，即 SNMP(利用这个协议，远程主机可以监视、控制网络上的其他网络设备，其服务类型：SNMP,SNMPTRAP)R(config)#access-list 101 deny udp any any eq snmpR(config)#acc
33、ess-list 101 deny udp any any eq snmptrapR(config)#access-list 101 permit ip any anyR(config)#interface serial 0/0R(config-if)#ip access-group 101 in5.2对外屏蔽远程登录协议 telnetR(config)#access-list 101 deny tcp any any eq telnetR(config)#access-list 101 permit ip any anyR(config)#interface serial 0/0R(conf
34、ig-if)#ip access-group 101 in5.3对外屏蔽其他不安全协议主要有 SUN OS 的文件共享协议端口2049 ，远程执行（ rsh） 、远程登录（rlogin）和远程命令（rcmd）端口512、513、514，远程过程调用 (SUNRPC)端口111。R(config)#access-list 101 deny tcp any any range 512 514R(config)#access-list 101 deny tcp any any eq 111R(config)#access-list 101 deny udp any any eq 111R(confi
35、g)#access-list 101 deny tcp any any range 2049R(config)#access-list 101 permit ip any anyR(config)#ip access-group 101 in5.4 针对 DOS 攻击的设计。R(config)#access-list 101 deny icmp any any eq echo-requestR(config)#access-list 101 deny udp any any eq echoR(config)#interface serial 0/0R(config-if)#ip access-
36、group 101 inR(config-if)#interface fastethernet 0/0R(config-if)#no ip directed-broadcast5.5 保护路由器自身安全只允许来自服务器群的 IP 地址访问并配置路由器，这时，可以使用 ACCESS-CLASS命令来进行 VTY 访问控制。R(config)#line vty 0 4R(config-line)#access-class 2 inR(config-line)#exitR(config)#access -list 2 permit 192.168.100.0 0.0.0.2556、远程访问模块设计主
37、要为家庭办公用户和出差在外的员工提供远程、移动接入服务。远程访问有三种可选的服务类型：专线连接、电路交换和包交换。本例采用异步拨号连接。6.1对物理线路的配置包括线路速度（DTE、DCE 之间的速率） 、停止位数、流控方式、允许呼入连接的协议类型、允许流量的方向等。R(config)#line 97R(config-line)#modem InOutR(config-line)#transport input allR(config-line)#stopbits 1R(config-line)#speed 115200R(config-line)#flowcontrol hardware6.2
38、 对接口配置包括：接口封装协议类型、接口异步模式、ip 地址、为远程客户分配 IP 地址的方式。R(config)#interface async97R(config-if)#ip address 192.168.200.100 255.255.255.0R(config-if)#encapsulation pppR(config-if)#async mode dedicatedR(config-if)#peer default ip address pool rasclients6.3建立一个本地的 IP 地址池，名为 rasclientsR(config)#ip local pool rasclients 192.168.200.1 192.168.200.166.4配置身份认证PPP 提供了两种可选的身份认证方法：pap 口令验证，chap 质询握手协议。本例中采用 PAPR(config)#username remoteuser password ciscoR(config)#interface aR(config-if)#ppp authentication pap
