[系统运维]第47节 综合网络配置实验（含IP、RIP、VLAN、VTP、HSRP、ACL、NAT等配置完整命令）——基于PacketTracer8.0仿真实验

1 网络规划

1.1 网络拓扑图

1.2 网络规划

1. 总体规划：公司总部设于北京，同时在上海与广州设有分部，通过专线与总部相连，假设内外网网段规划如下。

2. 部门网络：公司总部与分布各部门VLAN及网段如下表：

3. 内部路由网络：

4. 外部网络：

5. HSRP需求或浮动路由分析：总部每个VLAN连至两台核心交换机，需要设置5对HSRP组；两个核心交换机连至三个路由器，需要设置3对浮动路由。

7. 对各接口IP规划如下：

2 实验要求

2.1 服务器功能

1. SE1为总部员工提供DHCP、DNS服务器。
2. SE2为内外网提供网页服务器。
3. SE3设为百度服务器，为内外网提供网页服务。

2.2 主机功能

1. 全网ping通。
2. PC1能远程管理公司内部所有路由器、核心交换机、交换机。

2.3 核心交换机

1. SW1和SW1分别作为不同网段的活跃交换机与备份交换机。
2. SW1与SW2与总部内各二层交换机形成环路，要求当每个环路中仅出现一根接线故障时，网络正常通信。

2.4 路由器

1. 路由表的设置方式应灵活采用静态路由表与动态路由表。
2. R1、R2作为不同网段的活跃路由器与备份路由器。
3. 设置NAT保证私有IP能正常与公有IP转换。
4. 设置ACL禁止分部主机与外网相互通信。

3 配置过程及命令详解

按功能将实验配置过程分为三个阶段，第一个阶段要求完成内网通信、第二个阶段要求完成内外网通信、第三阶段要求完成通信限制及远程管理等功能。

第1阶段：完成内网互通

第1.1步 二层交换机配置trunk接口模式

• 在配置前，应分析哪些接口是属于trunk接口，在核心交换机之间、核心交换机与二层交换机之间，均是trunk接口。SW1和SW2有4个，二层交换机各有2个。
• 核心交换机的接口具备二三层功能，要将其接口设置为trunk口需要比二层交换机多一个命令。
• 当一个交换机上有多个接口需要设置为trunk口时，建议合并设置。

'''SW1配置trunk接口模式'''
en
conf t
host SW1
int range f0/1 - 4
switchport trunk encapsulation dot1q
sw m t
exit

'''SW2配置trunk接口模式'''
en
conf t
host SW2
int range f0/1 - 4
switchport trunk encapsulation dot1q
sw m t
exit

'''SW3配置trunk接口模式'''
en
conf t
ho SW3
int range f0/3 - 4
sw m t
exit

'''SW4配置trunk接口模式'''
en
conf t
ho SW4
int f0/3
sw m t
exit
int f0/4
sw m t
exit

'''SW5配置trunk接口模式'''
en
conf t
ho SW5
int f0/3
sw m t
exit
int f0/4
sw m t
exit

'''查看配置结果'''
do show vlan	#如果接口成功配置为trunk，则不会在vlan表中显示。

第1.2步 配置VTP域及创建VLAN类型

• 配置VTP可以在2个核心交换机或3个二层交换机中配置。
• 创建VLAN需要一个个创建。

'''SW1配置VTP域及创建VLAN类型'''
en
conf t
vtp domain qq
vlan 10
exit
vlan 20
exit
vlan 30
exit
vlan 40
exit
vlan 50
exit

'''查看配置结果'''
do show vlan	#检查各个交换机是否成功根据VTP生成所需VLAN

第1.3步 划分接口至对应VLAN

• 对于二层交换机，需要将每个接口按VLAN分类设置。

'''为SW3划分接口至相应VLAN'''
en
conf t
int f0/1
sw ac vlan 10
int f0/2
sw ac vlan 20
exit

'''为SW4划分接口至相应VLAN'''
en
conf t
int f0/1
sw ac vlan 30
int f0/2
sw ac vlan 40
exit

'''为SW5划分接口至相应VLAN'''
en
conf t
int f0/1
sw ac vlan 50
int f0/2
sw ac vlan 50
exit

'''查看配置结果'''
do show vlan	#检查各个交换机是否成功根据VTP生成所需VLAN

第1.4步 核心交换机配置IP

• 核心交换机为每个VLAN创建虚拟接口配置IP。因为一个VLAN对应两个虚拟接口网关，需要构建组成HSRP组，建议接口网关分别以.252与.253结尾，在HSRP设置时加入虚拟IP为.254。
• 由于DHCP请求是采用广播的形式，无法在不同VLAN之间传播，需要设置DHCP中继将广播请求单播给DHCP服务器。
• 升级核心交换机接口并配置IP。
• 记得使用ip routing启用三层交换机功能

'''为SW1创建虚拟接口配置IP并设置DHCP中继'''
en
conf t
ip routing
int vlan 10
no shut
ip add 192.168.1.252 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 20
no shut
ip add 192.168.2.252 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 30
no shut
ip add 192.168.3.252 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 40
no shut
ip add 192.168.4.252 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 50
no shut
ip add 192.168.5.252 255.255.255.0
ip helper-address 192.168.5.1
exit

'''为SW1升级接口为三级接口并配置IP'''
en
conf t
int f0/5
no switchport
no shut
ip add 192.168.100.1 255.255.255.0
exit
int f0/6
no switchport
no shut
ip add 192.168.102.1 255.255.255.0
exit
int f0/7
no switchport
no shut
ip add 192.168.106.1 255.255.255.0
exit


'''为SW2创建虚拟接口配置IP并设置DHCP中继'''
en
conf t
ip routing
int vlan 10
no shut
ip add 192.168.1.253 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 20
no shut
ip add 192.168.2.253 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 30
no shut
ip add 192.168.3.253 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 40
no shut
ip add 192.168.4.253 255.255.255.0
ip helper-address 192.168.5.1
exit
int vlan 50
no shut
ip add 192.168.5.253 255.255.255.0
ip helper-address 192.168.5.1
exit

'''为SW2升级接口为三级接口并配置IP'''
en
conf t
int f0/5
no switchport
no shut
ip add 192.168.101.1 255.255.255.0
exit
int f0/6
no switchport
no shut
ip add 192.168.103.1 255.255.255.0
exit
int f0/7
no switchport
no shut
ip add 192.168.107.1 255.255.255.0
exit

'''查看配置结果'''
show ip int b	#检查各个vlan及实体接口IP

第1.5步 核心交换机创建热备份

• 上一步核心交换机为每个VLAN创建虚拟接口配置IP时，因为一个VLAN对应两个虚拟接口网关，需要构建组成HSRP组，建议接口网关分别以.252与.253结尾，在HSRP设置时加入虚拟IP为.254。
• 为在正常运行时均摊两个核心交换机的负荷：SW1作为VLAN10、20、30、40的活跃核心交换机，作为VLAN50的备份核心交换机；SW2作为VLAN10、20、30、40的备份核心交换机，作为VLAN50的活跃核心交换机。
• HSRP判断SW1是否启用，需要跟踪f0/5与f0/6接口状态，当两个接口都为down时，切换核心交换机，当一个接口down掉时，优先级将降低10（不知道不同平台是否一致），尝试将备份交换机的优先级设置为195和185，看看断线后的效果；SW2也同理。

'''为SW1创建HSRP热备份'''
en
conf t
int vlan 10
stan 10 ip 192.168.1.254
stan 10 prior 200
stan 10 preempt
stan 10 track f0/5
stan 10 track f0/6
exit
int vlan 20
stan 20 ip 192.168.2.254
stan 20 prior 200
stan 20 preempt
stan 20 track f0/5
stan 20 track f0/6
exit
int vlan 30
stan 30 ip 192.168.3.254
stan 30 prior 200
stan 30 preempt
stan 30 track f0/5
stan 30 track f0/6
exit
int vlan 40
stan 40 ip 192.168.4.254
stan 40 prior 200
stan 40 preempt
stan 40 track f0/5
stan 40 track f0/6
exit
int vlan 50
stan 50 ip 192.168.5.254
stan 50 prior 195
stan 50 preempt
stan 50 track f0/5
stan 50 track f0/6
exit

'''为SW2创建HSRP热备份'''
en
conf t
int vlan 10
stan 10 ip 192.168.1.254
stan 10 prior 195
stan 10 preempt
stan 10 track f0/5
stan 10 track f0/6
exit
int vlan 20
stan 20 ip 192.168.2.254
stan 20 prior 195
stan 20 preempt
stan 20 track f0/5
stan 20 track f0/6
exit
int vlan 30
stan 30 ip 192.168.3.254
stan 30 prior 195
stan 30 preempt
stan 30 track f0/5
stan 30 track f0/6
exit
int vlan 40
stan 40 ip 192.168.4.254
stan 40 prior 195
stan 40 preempt
stan 40 track f0/5
stan 40 track f0/6
exit
int vlan 50
stan 50 ip 192.168.5.254
stan 50 prior 200
stan 50 preempt
stan 50 track f0/5
stan 50 track f0/6
exit

'''查看配置结果'''
show standby breif	#查看HSRP配置结果，断线测试优先级需要在后续路由器配置后

'''ping测试'''
手动为PC1与PC2配置IP，测试两个VLAN间能否正常通信。
在PT6.0版本此处ping不通，因为仿真平台存在bug，在8.0版本可以ping通。

第1.6步 路由器配置IP

• 根据网络规划，对路由器每个接口配置IP。

'''为R1接口配置IP'''
en
conf t
ho R1
int f0/0
no shut
ip add 192.168.100.2 255.255.255.0
exit
int f0/1
no shut
ip add 192.168.101.2 255.255.255.0
exit
int f1/0
no shut
ip add 100.1.1.1 255.255.255.0
exit

'''为R2接口配置IP'''
en
conf t
ho R2
int f0/0
no shut
ip add 192.168.102.2 255.255.255.0
exit
int f0/1
no shut
ip add 192.168.103.2 255.255.255.0
exit
int f1/0
no shut
ip add 101.1.1.1 255.255.255.0
exit

'''为R3接口配置IP'''
en
conf t
ho R3
int f0/0
no shut
ip add 192.168.104.2 255.255.255.0
exit
int f0/1
no shut
ip add 192.168.105.2 255.255.255.0
exit
int f1/0
no shut
ip add 192.168.106.2 255.255.255.0	
exit
int f1/1
no shut
ip add 192.168.107.2 255.255.255.0
exit

'''为R4接口配置IP'''
en
conf t
ho R4
int f0/0
no shut
ip add 192.168.6.254 255.255.255.0
exit
int f0/1
no shut
ip add 192.168.104.1 255.255.255.0
exit

'''为R5接口配置IP'''
en
conf t
ho R5
int f0/0
no shut
ip add 192.168.7.254 255.255.255.0
exit
int f0/1
no shut
ip add 192.168.105.1 255.255.255.0
exit

'''为R6接口配置IP'''
en
conf t
ho R6
int f0/0
no shut
ip add 100.1.1.2 255.255.255.0
exit
int f0/1
no shut
ip add 101.1.1.2 255.255.255.0
exit
int f1/0
no shut
ip add 102.1.1.254 255.255.255.0
exit
int f1/1
no shut
ip add 103.1.1.2 255.255.255.0
exit

'''为R7接口配置IP'''
en
conf t
ho R7
int f0/0
no shut
ip add 103.1.1.1 255.255.255.0
exit
int f0/1
no shut
ip add 10.1.1.254 255.255.255.0
exit

'''查看配置结果'''
show standby breif	#断线测试优先级需要在后续路由器配置后

第1.7步 路由器配置路由表

• 由于为采用RIP动态路由配置时，容易形成优先级相同的路径，本实验采用静态路由表配置的方式进行。
• 对于路由表条目优先级，静态路由>动态路由>默认路由。
• 建议先使用show ip router 查看直连路由表有哪些，在进行配置。

'''为SW1配置静态路由表'''
en
conf t
ip route 192.168.6.0 255.255.255.0 192.168.106.2
ip route 192.168.7.0 255.255.255.0 192.168.106.2
ip route 192.168.104.0 255.255.255.0 192.168.106.2
ip route 192.168.105.0 255.255.255.0 192.168.106.2
ip route 0.0.0.0 0.0.0.0 192.168.100.2
ip route 0.0.0.0 0.0.0.0 192.168.102.2 2

'''为SW2配置静态路由表'''
en
conf t
ip route 192.168.6.0 255.255.255.0 192.168.107.2
ip route 192.168.7.0 255.255.255.0 192.168.107.2
ip route 192.168.104.0 255.255.255.0 192.168.107.2
ip route 192.168.105.0 255.255.255.0 192.168.107.2
ip route 0.0.0.0 0.0.0.0 192.168.101.2
ip route 0.0.0.0 0.0.0.0 192.168.103.2 2

'''为R3配置RIP静态路由表'''
en
conf t
ip route 192.168.6.0 255.255.255.0 192.168.104.1
ip route 192.168.7.0 255.255.255.0 192.168.105.1
ip route 0.0.0.0 0.0.0.0 192.168.106.1
ip route 0.0.0.0 0.0.0.0 192.168.107.1 2

'''为R4配置默认路由表'''
en
conf t
ip route 0.0.0.0 0.0.0.0 192.168.104.2

'''为R5配置静态路由表'''
en
conf t
ip route 0.0.0.0 0.0.0.0 192.168.105.2

'''查看配置结果'''
show ip router	#查看路由表是否收敛

'''ping测试'''
手动为PC1与PC6配置IP，测试总部与分部间能否正常通信。

第1.8步 PC端及服务器配置

1. 对PC5、PC6进行手动IP配置。
2. 对DNS、DHCP服务器收到进行IP配置，再进行DHCP地址池配置，最后进行DNS服务器。
   
   

第1.9步 测试能否完成内网ping通

用PC1测试内网其他主机及服务器。

第2阶段：完成全网互通

第2.1步 为外部路由器接口配置静态路由表

• R1作为公司总网关之一，与内部连接两台核心交换机，将R1与SW1之间作为活跃链路，将R1与SW2作为备份链路，采用浮动路由进行控制；与外部连接R6，采用默认路由控制对外网段。
• R2作为公司总网关之一，与内部连接两台核心交换机，将R2与SW2之间作为活跃链路，将R2与SW1作为备份链路，采用浮动路由进行控制；与外部连接R6，采用默认路由控制对外网段。
• R6无需知道公司内部网段，暂把10.1.1.0/24视为公网进行实验。

'''为R1配置静态路由表'''
en
conf t
ip route 0.0.0.0 0.0.0.0 100.1.1.2
ip route 192.168.1.0 255.255.255.0 192.168.100.1
ip route 192.168.2.0 255.255.255.0 192.168.100.1
ip route 192.168.3.0 255.255.255.0 192.168.100.1
ip route 192.168.4.0 255.255.255.0 192.168.100.1
ip route 192.168.5.0 255.255.255.0 192.168.100.1
ip route 192.168.6.0 255.255.255.0 192.168.100.1
ip route 192.168.7.0 255.255.255.0 192.168.100.1
ip route 192.168.104.0 255.255.255.0 192.168.100.1
ip route 192.168.105.0 255.255.255.0 192.168.100.1
ip route 192.168.106.0 255.255.255.0 192.168.100.1
ip route 192.168.107.0 255.255.255.0 192.168.100.1
ip route 192.168.1.0 255.255.255.0 192.168.101.1 2
ip route 192.168.2.0 255.255.255.0 192.168.101.1 2
ip route 192.168.3.0 255.255.255.0 192.168.101.1 2
ip route 192.168.4.0 255.255.255.0 192.168.101.1 2
ip route 192.168.5.0 255.255.255.0 192.168.101.1 2
ip route 192.168.6.0 255.255.255.0 192.168.101.1 2
ip route 192.168.7.0 255.255.255.0 192.168.101.1 2
ip route 192.168.104.0 255.255.255.0 192.168.101.1 2
ip route 192.168.105.0 255.255.255.0 192.168.101.1 2
ip route 192.168.106.0 255.255.255.0 192.168.101.1 2
ip route 192.168.107.0 255.255.255.0 192.168.101.1 2

'''为R2配置静态路由表'''
en
conf t
ip route 0.0.0.0 0.0.0.0 101.1.1.2
ip route 192.168.1.0 255.255.255.0 192.168.103.1
ip route 192.168.2.0 255.255.255.0 192.168.103.1
ip route 192.168.3.0 255.255.255.0 192.168.103.1
ip route 192.168.4.0 255.255.255.0 192.168.103.1
ip route 192.168.5.0 255.255.255.0 192.168.103.1
ip route 192.168.6.0 255.255.255.0 192.168.103.1
ip route 192.168.7.0 255.255.255.0 192.168.103.1
ip route 192.168.104.0 255.255.255.0 192.168.103.1
ip route 192.168.105.0 255.255.255.0 192.168.103.1
ip route 192.168.106.0 255.255.255.0 192.168.103.1
ip route 192.168.107.0 255.255.255.0 192.168.103.1
ip route 192.168.1.0 255.255.255.0 192.168.102.1 2
ip route 192.168.2.0 255.255.255.0 192.168.102.1 2
ip route 192.168.3.0 255.255.255.0 192.168.102.1 2
ip route 192.168.4.0 255.255.255.0 192.168.102.1 2
ip route 192.168.5.0 255.255.255.0 192.168.102.1 2
ip route 192.168.6.0 255.255.255.0 192.168.102.1 2
ip route 192.168.7.0 255.255.255.0 192.168.102.1 2
ip route 192.168.104.0 255.255.255.0 192.168.102.1 2
ip route 192.168.105.0 255.255.255.0 192.168.102.1 2
ip route 192.168.106.0 255.255.255.0 192.168.102.1 2
ip route 192.168.107.0 255.255.255.0 192.168.102.1 2

'''为R6配置静态路由表'''
en
conf t
ip route 0.0.0.0 0.0.0.0 103.1.1.1

'''为R7配置静态路由表'''
en
conf t
ip route 0.0.0.0 0.0.0.0 103.1.1.2

'''查看配置结果'''
show ip router	#查看路由表是否收敛

'''ping测试'''
测试PC1是否能ping通R1、R2接口上的IP。
测试PC8是否能ping通R1、R2外接口上的IP。

第2.2步 为总路由接口设置NAT转换表

• 根据路由器R1、R2上接口的内外网方向进行定义，f0/0、f0/1是内网接口，f1/0是外网接口。

'''为R1配置NAT转换表，设置内网网段规则并应用于外网接口上'''
en
conf t
int f0/0
ip nat inside
exit
int f0/1
ip nat inside
exit
int f1/0
ip nat outside
exit
acc 1 permit 192.168.0.0 0.0.255.255
ip nat inside source list 1 int f1/0 overload

'''为R2配置NAT转换表，设置内网网段规则并应用于外网接口上'''
en
conf t
int f0/0
ip nat inside
exit
int f0/1
ip nat inside
exit
int f1/0
ip nat outside
exit
acc 1 permit 192.168.0.0 0.0.255.255
ip nat inside source list 1 int f1/0 overload

'''ping测试'''
测试PC1是否能ping通PC8接口上的IP。

第2.3步 网络结构稳健性测试

1. 利用PC8尝试ping通PC1，未能ping通，因为在互联网上不知道以私有IP为目标地址的要路由到哪去。
2. 利用PC1尝试ping通PC8，能ping通，因为在网关处已经完成了公私有IP地址转换。
3. 利用PC1尝试一直ping通PC8，ping -t 10.1.1.1，断开以下线路尝试通信能否正常。
   
4. 当网线断至以下结构时，虽然看起来PC1到PC8之间仍有链路相连，但是原理上却是不通的。由于SW1已经与R1R2两个接口完全断开，其优先级低于SW2，也就是说PC1对应网关192.168.1.254所在HSRP组中活跃网关应该是192.168.1.253，但PC1却已经与192.168.1.253断开连接，因此无法与PC8相ping通。
   

第3阶段：完成限制与远程管理

在完成了全网互通的基础上，再完成其他附加功能。

第3.1步 数据包过滤：ACL表配置

• 需要限制通信功能的网段主要有192.168.6.0/24与192.168.7.0/24，限制其与外网通信。
• 思路1：可在R1和R2接口上，设置标准ACL表，当源IP地址满足192.168.6.0/24与192.168.7.0/24时，禁止通过。
• 思路2：也可以在192.168.6.0/24与192.168.7.0/24网段对应的路由器上，设置拓展ACL表仅允许目标地址是内网网段的数据帧通过，较上一步麻烦。
• 思路3：在R3与R4配置路由表时，不配置默认路由表。
• 因为拓展ACL功能更加灵活多变，命名ACL表后期调整修改方便，以下采用命名拓展ACL表按思路1进行配置。

'''为R1配置ACL'''
en
conf t
ip access-list extended deny-to-internet
deny ip 192.168.6.0 0.255.255.255 any
deny ip 192.168.7.0 0.255.255.255 any
petmit ip any any
exit
int f1/0
ip access-group deny-to-internet out	
exit

'''为R2配置NAT转换表，设置内网网段规则并应用于外网接口上'''
en
conf t
ip access-list extended deny-to-internet
deny ip 192.168.6.0 0.255.255.255 any
deny ip 192.168.7.0 0.255.255.255 any
petmit ip any any
exit
int f1/0
ip access-group deny-to-internet out	
exit

'''ping测试'''
成功阻止分部上网。

第3.2步 网络设备远程管理：SSH

• 考虑到Telnet端口数据为加密，本实验采用SSH进行远程管理。
• 对于核心交换机与路由器中，其上接口以配置IP地址，可以利用各接口IP对核心交换机与路由器进行远程管理。
• 对于二层交换机，需要利用其内置的虚拟主机设置IP地址进行远程管理。

'''为SW1、SW2、R1、R2、R3、R4、R5配置密码及开启远程管理模式'''
en
conf t
enable password 654321
ip domain-name xx.qq.com
crypto key generate rsa
手动输入位数
username libai password libai
username zhugeliang password zhugeliang
line vty 0 3
transport input ssh
login local
exit

'''远程管理测试'''
可以远程控制核心交换机与路由器。

4 注意事项及不足之处

1. 本实验采用packer tracer 8.0平台进行实验，采用6.0版本在对核心交换机设置HSRP时存在bug。
2. R3与SW2之间的连线是鸡肋的，仅能在R3与SW1连接断开时能起作用。因为SW1的接口f0/7不能跟踪其他断开的状态，例如当R1故障时，分部主机并不能自动切换使用R2上网。应该如何实现该功能呢？
3. 如何远程控制二层交换机？

5 总结

1. 思考当路线故障时，HSRP和浮动路由如何发挥备份作用。
2. 掌握完整的网络配置思路。
3. 掌握相关命令。