1、2019/1/16,网络架构技术-万征,1,启动到Windows,2019/1/16,网络架构技术-万征,2,为什么要讲设备使用 交换机的用途 路由器的用途,2019/1/16,网络架构技术-万征,3,为什么要讲设备使用,网络架构包含两部分内容： 1、搭建各种网络服务。,重点,2、设计网络拓扑并组建网络；,2019/1/16,网络架构技术-万征,4,典型网络拓扑,Internet,交换机,路由器,2019/1/16,网络架构技术-万征,5,网络连接设备,TCP/IP体系结构,应用层,应用层网关 四层交换机、网关 三层交换机、路由器 网桥、交换机 集线器、中继器,2019/1/16,网络架构技术
2、-万征,6,交换机(二层)的功能,通常用于局域网内部，连接服务器、PC和其他网络设备 实现它们之间数据链路层的通信 与IP地址无关,集线器端口间连接 共享带宽,交换机端口间连接 任一对端口带宽固定,2019/1/16,网络架构技术-万征,7,路由器的功能,大多工作于IP协议之上 通常用于局域网之间的互联 大型局域网 使用它的局域网接口连接交换机 交换机连接众多主机 或用于局域网接入Internet 有多种接入Internet的接口可供选择,2019/1/16,网络架构技术-万征,8,Internet,路由器接入Internet,局域网接口,广域网接口,2019/1/16,网络架构技术-万征,9
3、,路由器连接两个局域网,PC1,PC2,路由器,交换机,交换机,PC3,PC4,局域网接口,局域网接口,2019/1/16,网络架构技术-万征,10,与设备建立连接,使用Console口,2019/1/16,网络架构技术-万征,11,配置软件-超级终端,“开始-程序-附件-通讯-超级终端” 新建连接向导，任意填入区号和拨出号 输入新建连接名字，如switch,2019/1/16,网络架构技术-万征,12,选择串行接口Com1,2019/1/16,网络架构技术-万征,13,设置COM1属性,2019/1/16,网络架构技术-万征,14,进入配置界面的提示,User interface aux0
4、is available. Press ENTER to get started.%Apr 1 23:55:37:968 2000 H3C SHELL/5/LOGIN:- 1 - Console(aux0) in unit1 login,2019/1/16,网络架构技术-万征,15,命令行介绍,全部命令被按照功能或模块分成若干组，每组对应一个视图 视图就是设备的某项功能或某个模块 运行“interface GigabitEthernet 1/0/24”进入交换机24号千兆以太网端口视图 配置端口速率 配置端口所属VLAN,2019/1/16,网络架构技术-万征,16,命令行使用技巧,查找历史命
5、令，按光标键或； 补齐不完整的命令，按Tab键； 使用帮助，在部分命令后面加?键。,2019/1/16,网络架构技术-万征,17,命令通用格式,acl number acl-number match-order config | auto 粗体表示命令名和关键字 斜体表示参数 表示可选部分 内必选其一 acl number 3001 acl number 3002 mach-order auto,2019/1/16,网络架构技术-万征,18,划分VLAN,VLAN是什么 为什么要划分VLAN VLAN的划分方法 单交换机下的VLAN划分 多交换机互联时的VLAN划分,2019/1/16,网络架
6、构技术-万征,19,VLAN的概念,VLAN（Virtual Local Area Network, 虚拟局域网） 把物理上的一个LAN划分成逻辑上的多个LAN VLAN内主机间通信和在一个LAN内一样 不同VLAN间的主机不能直接通信,2019/1/16,网络架构技术-万征,20,VLAN示例,2019/1/16,网络架构技术-万征,21,为什么要划分VLAN,假设某台交换机上连有100台计算机 A1想向A2发信息，它要先广播询问谁是A2 , 其余99台计算机都会收到广播 A1向A3, A4, , A100发送广播 广播范围大，无效信息多计算机分属不同的部门 要求部门之间的机器不能通信 VL
7、AN两大功能：限制广播和隔离子网,2019/1/16,网络架构技术-万征,22,VLAN的划分方法,基于端口划分的VLAN 基于MAC地址划分VLAN 基于网络层协议划分VLAN 根据IP组播划分VLAN,2019/1/16,网络架构技术-万征,23,基于端口划分,特定端口属于特定的VLAN 不同VLAN需要互相通信时，必须使用路由器转发如果用户连接到新交换机属于其他VLAN的端口，那么必须重新进行配置,2019/1/16,网络架构技术-万征,24,基于MAC地址划分VLAN,根据每个主机的MAC地址来划分 无论用户怎样移动，它所属的VLAN都不会发生变化这种方法的缺点是配置工作繁琐，因而通常
8、应用于小型局域网,2019/1/16,网络架构技术-万征,25,基于网络层协议划分VLAN,最常用的是按IP地址划分 优点是用户物理位置改变了，不需要重新配置VLAN 缺点是效率低下，必须检查每一个数据包的网络层地址,2019/1/16,网络架构技术-万征,26,根据IP组播划分VLAN,一个IP组播组就是一个VLAN,2019/1/16,网络架构技术-万征,27,单交换机下的VLAN划分,A、B、C、D的IP地址都属于192.168.1.0/24 要求除A与B、C与D能够通信外，其他任何两台机器间都不能通信,2019/1/16,网络架构技术-万征,28,分析,创建VLAN 2、VLAN 3
9、端口GigabitEthernet1/0/1和GigabitEthernet1/0/2加入到VLAN2 端口GigabitEthernet1/0/3和GigabitEthernet1/0/4加入到VLAN3,2019/1/16,网络架构技术-万征,29,配置命令 系统命令,system-view 进入系统视图 在进行其他操作前都要执行该命令，因为 绝大多数命令都运行在系统视图下 undo 原命令 撤消之前执行的任何一条命令 如之前通过“vlan 10”创建了VLAN 10，可以执行“undo vlan 10”撤销创建操作。,2019/1/16,网络架构技术-万征,30,配置命令 VLAN配置命
10、令,vlan vlan-id 创建VLAN或进入某VLAN视图 (vlan 1默认存在) vlan 10 / 创建VLAN 10 vlan vlan-id1 to vlan-id2 | all 批量创建多个VLAN vlan 10 to 20 / 创建VLAN 10,11,20 vlan all / 创建VLAN 2,4094,2019/1/16,网络架构技术-万征,31,配置命令 VLAN配置命令,port interface-list 为当前vlan增加Access型端口 执行该命令前，要先进入相应VLAN视图 port gigabitethernet 1/0/5 gigabitether
11、net 1/0/10 display vlan-id 显示某个vlan的信息 display vlan 10 / 显示vlan 10的信息,2019/1/16,网络架构技术-万征,32,示例1的配置命令,system-view vlan 2 port GigabitEthernet 1/0/1 GigabitEthernet 1/0/2 vlan 3 port GigabitEthernet 1/0/3 GigabitEthernet 1/0/4,2019/1/16,网络架构技术-万征,33,多交换机互联时的VLAN划分,4台计算机的IP地址和所属VLAN与示例1同 A和C连在交换机1上，B和
12、D连在交换机2上 2台交换机相连 要求实现与示例1相同的连通性,2019/1/16,网络架构技术-万征,34,分析,实现跨交换机的VLAN划分，关键是使交换机之间相连的端口允许来自VLAN内部的数据包通过，这要求： 交换机互连的端口设置为Trunk或Hybrid型； 交换机互连的端口关联VLAN 2和VLAN 3。,2019/1/16,网络架构技术-万征,35,以太网端口的链路类型,Access类型 端口只能属于1个VLAN，一般用于连接计算机，这是所有端口的默认链路类型； Trunk类型 端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，一般用于交换机之间的连接； Hybrid类型
13、 端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。,2019/1/16,网络架构技术-万征,36,配置命令 端口配置命令,interface interface-type interface-number 进入以太网端口视图 interface gigabitethernet 1/0/5 port link-type access | trunk | hybrid 设置端口的链路类型 之前必须先进入相关端口视图 port link-type trunk / 将当前端口改为Trunk型,2019/1/16,网络架构技术-万征,37,
14、port trunk permit vlan vlan-id-list | all 为Trunk型端口指定VLAN 执行前必须先进入端口视图 port trunk permit vlan 2 3 port hybrid vlan vlan-id-list tagged | untagged 为Hybrid型端口指定VLAN 执行前必须先进入端口视图 port hybrid permit vlan 2 3,2019/1/16,网络架构技术-万征,38,示例2的配置命令,交换机1和交换机2均执行以下命令即可 system-view vlan 2 port gigabitethernet 1/0/1
15、 vlan 3 port gigabitethernet 1/0/2 interface gigabitethernet 1/0/24 port link-type trunk port trunk permit vlan 2 3,2019/1/16,网络架构技术-万征,39,VLAN间的通信,VLAN之间还需要通信吗？ 如何实现VLAN间通信？ 子接口的概念和配置,2019/1/16,网络架构技术-万征,40,VLAN间还需要通信？,某银行有以下VLAN VLAN 10：办公部门 VLAN 20：柜台机和ATM机 VLAN 30：数据库服务器 通信需求： 办公部门与服务器及柜台机隔离； 柜台
16、机(ATM)需访问数据库,2019/1/16,网络架构技术-万征,41,如何实现VLAN间通信,使用三层交换机 开启交换机的路由功能 带宽高、速度快，适用于全新网络 单臂路由 使用路由器与交换机相连 创建若干子接口与VLAN一一关联 带宽低、速度慢，适用于网络升级,2019/1/16,网络架构技术-万征,42,单臂路由示例,2019/1/16,网络架构技术-万征,43,子接口的概念,子接口是逻辑接口的一种。逻辑接口指能够实现数据交换功能但物理上不存在的接口 拨号接口、LoopBack接口 NULL接口、子接口等 子接口就是在一个主接口上配置出来的多个逻辑上的虚拟接口 子接口共用主接口的物理层参
17、数，又可以分别配置各自的链路层和网络层参数 以太网子接口 以太网子接口关联了VLAN ID后，可支持IP协议,2019/1/16,网络架构技术-万征,44,路由器基本配置命令,interface interface-type interface-number 进入以太网接口视图 interface gigabitethernet 0/0 interface gigabitethernet 0/1 ip address 192.168.1.10 255.255.0.0 设置接口IP地址为192.168.1.10/16 执行前必须先进入路由器接口,2019/1/16,网络架构技术-万征,45,配置
18、命令 子接口,interface interface-type interface-number.subnumber 为主接口创建子接口 执行前必须先进入主接口视图 interface gigabitethernet 0/0.1(为gigabitethernet 0/0创建1号子接口) vlan-type dot1q vid vlan-id 为子接口设置封装格式并关联vlan id 执行前必须先进入子接口视图 vlan-type dot1q vid 10 / 为子接口关联vlan 10,2019/1/16,网络架构技术-万征,46,子接口配置示例,交换机,路由器,gigabitethernet
19、,0,/,0,.,1,vlan,2,gigabitethernet,0,/,0,.,2,vlan,3,vlan,2,vlan,3,192.168.1.2/24,192.168.11.2/24,192.168.1.10/24,192.168.11.10/24,要求两台客户端能够通信,2019/1/16,网络架构技术-万征,47,配置步骤,1 交换机划分vlan,2 交换机连路由器端口设为Trunk且关联VLAN 2和VLAN 3,3 为路由器创建子接口、配置IP并关联vlan,4 为2个客户端配IP和网关(网关为相应子接口的IP),2019/1/16,网络架构技术-万征,48,路由器上的配置命令
20、,system-view interface gigabitethernet 0/0.1 ip address 192.168.1.10 255.255.255.0 vlan-type dot1q vid 2 interface gigabitethernet 0/0.2 ip address 192.168.11.10 255.255.255.0 vlan-type dot1q vid 3,说明：交换机和客户端上的配置应与网络拓扑图一致路由器的GE0端口与交换机相连,2019/1/16,网络架构技术-万征,49,NAT配置,NAT简介 NAT工作过程 NAT的工作模式 内部服务器,2019/
21、1/16,网络架构技术-万征,50,校内计算机如何访问Internet？,2019/1/16,网络架构技术-万征,51,IP地址的分类,0 7 8 15 16 23 24 31,A B C,D E,IP地址分为A、B、C、D和E五类，其区别是用于表示网络号的二进制位数不同。,2019/1/16,网络架构技术-万征,52,局域网与本地IP地址,IP地址的数目 vs. 全球人口232=40亿 vs. 70亿 对于仅在机构内部使用的计算机可由本机构自行分配其IP地址。 例如，学校内部所有计算机使用的IP地址都不是能够在Internet上直接使用的。(显IP版QQ测试) 以下地址作为专用的本地地址：
22、10/8（10.0.0.0到10.255.255.255） 172.16/12（172.16.0.0到172.31.255.255） 192.168/16（192.168.0.0到192.168.255.255）,2019/1/16,网络架构技术-万征,53,全球IP与本地IP 详解,甲住江西仪器厂 职工宿舍1栋201室 乙住北京化工厂 职工宿舍1栋201室,发信息时写全球IP or 本地IP？,寄信时如何写地址？,2019/1/16,网络架构技术-万征,54,NAT简介,NAT(Network Address Translation，网络地址转换) 实现私有网络访问公共网络的功能 大量私网地
23、址使用少数公网地址上网(不可能所有机器同时上网) 使公网能够访问内部的服务器 允许或限制特定计算机访问公共网络 私网IP地址段 10.0.0.010.255.255.255 172.16.0.0172.31.255.255 192.168.0.0192.168.255.255,2019/1/16,网络架构技术-万征,55,NAT工作过程1,（192.168.1.3）向（202.120.10.2）发送数据报1,2019/1/16,网络架构技术-万征,56,NAT工作过程2,2019/1/16,网络架构技术-万征,57,NAT工作过程3,202.120.10.2收到数据报1后返回packet 2（
24、目的地址为202.169.10.1）,2019/1/16,网络架构技术-万征,58,NAT工作过程4,NAT网关将目的地址202.169.10.1替换为192.168.1.3,2019/1/16,网络架构技术-万征,59,路由器相当于？ 江西仪器厂的收发室！,江西仪器厂,收发室,1栋201室,疑问：几个人同时发信怎办？,北京化工厂,北京化工厂,2019/1/16,网络架构技术-万征,60,NAT“隐藏”了企业的私有网络，并使内网主机能够访问外网,2019/1/16,网络架构技术-万征,61,NAT服务器的网络接口,内部接口 连接企业内部网络，是内部网络的网关 外部接口 与外部网络相连 地址转换
25、在外部接口完成,2019/1/16,网络架构技术-万征,62,NAT的工作模式,一对一地址转换 Easy IP 多对多地址转换及对地址转换的限制 NAPT,2019/1/16,网络架构技术-万征,63,一对一地址转换,仅使用1个外网地址(但这个地址可能不是NAT网关的外部接口地址) 所有内网主机均只能通过这个地址访问外网 某时刻仅允许一台内网主机访问外网,2019/1/16,网络架构技术-万征,64,Easy IP,在“一对一转换”的基础上多1条限制 外网地址就是NAT网关的外部接口地址,2019/1/16,网络架构技术-万征,65,多对多地址转换,多个外网地址，多台内部主机访问外网 定义地址
26、池，即可用的外网地址 定义可以访问外网的内部主机列表,2019/1/16,网络架构技术-万征,66,NAPT,允许多个内部地址映射到同一个公有地址上 实现以下形式的映射 “私有地址端口”“公有地址端口”,2019/1/16,网络架构技术-万征,67,NAPT示例,2019/1/16,网络架构技术-万征,68,内部服务器,在私有网络内部存在一些服务器，提供给外网主机访问 在NAT中将它们定义为内部服务器，如 192.168.1.3为FTP服务器，可以为它指定公网地址202.169.10.10 192.168.1.2是Web服务器，可以为它指定公网地址202.169.10.20:80 192.16
27、8.1.4是Email服务器，可以为它指定公网地址202.169.10.20:25和202.169.10.20:110,2019/1/16,网络架构技术-万征,69,访问控制列表(ACL),与NAT配套使用，规定内网的哪些IP地址能够访问外网 即规定允许通过的源IP和目的IP列表,2019/1/16,网络架构技术-万征,70,基本ACL配置命令,acl number acl-number 创建一个ACL acl number 2001 /创建编号为2001的ACL rule permit | deny source addr wildcard 创建1条规则，允许或拒绝某个源地址网段 rule
28、permit source 10.110.2.0 0.0.0.255/ 允许10.110.2.0/24网段访问外网/ 0.0.0.255刚好是24位子网掩码的逆,2019/1/16,网络架构技术-万征,71,NAT配置命令,nat address-group group-number start-address end-address 定义地址池，即可把哪些地址作为可用外部地址 nat address-group 1 210.35.7.20 210.35.7.30/ 210.35.7.20210.35.7.30都可作外部地址 nat outbound acl-number address-gr
29、oup group-number 为某个地址池绑定ACL并启动NAT 执行前必须进入路由器连外网接口的视图 nat outbound 2001 address-group 1/ 为地址池1绑定ACL 2001, 地址池1和ACL 2001必须先定义好,2019/1/16,网络架构技术-万征,72,NAT配置命令 续,nat server protocol pro-type global g-addr g-port inside i-addr i-port 指定一个内部服务器 nat server protocol tcp global 210.35.7.20 80 inside 192.168
30、.1.2 www/ 上面两行是1条命令，192.168.1.2是内网的www服务器，为该服务器绑定外网IP: 210.35.7.20和端口80。当外网主机在IE中输入http:/210.35.7.20时，数据包先被路由器接收，后转发给192.168.1.2,2019/1/16,网络架构技术-万征,73,NAT配置案例,1 地址池：210.35.7.20,2 ACL：允许192.168.0.0/16访问外网,3 192.168.1.2是内网www服务器,要求192.168.11.10能访问外网，而外网主机能访问内部www服务器,210.35.7.20/24,外网主机,外网,2019/1/16,网
31、络架构技术-万征,74,配置步骤,1 交换机连路由器端口设为Trunk,2 路由器创建ACL和地址池；为GE 0/0和GE 0/1配置IP地址；在GE 0/1上启动NAT；为内部www服务器192.168.1.2绑定210.35.7.20:80。,3 为内网的客户端和服务器分别配置IP和网关(网关为路由器GE 0/0接口的IP地址),2019/1/16,网络架构技术-万征,75,NAT案例路由器端配置命令,system-view acl number 2001 rule permit source 192.168.0.0 0.0.255.255 nat address-group 1 210.
32、35.7.20 210.35.7.20 interface gigabitethernet 0/0 ip address 192.168.1.1 255.255.0.0 interface gigabitethernet 0/1 ip address 210.35.7.20 255.255.255.0 nat outbound 2001 address-group 1 nat server protocol tcp global 210.35.7.20 80 inside 192.168.1.2 www,2019/1/16,网络架构技术-万征,76,设置默认路由,ip route-static 0.0.0.0 0.0.0.0 1.1.4.2,
