1、實(shí)驗(yàn)四 “IP地址規(guī)劃與路由設(shè)計(jì)”參考設(shè)置4.1 配置跨交換機(jī)的VLAN4.1.1 原理簡介 虛擬局域網(wǎng)（Virtual Local Area Network，VLAN）是一種用于隔離廣播域的技術(shù)。在交換機(jī)配置VLAN后，相同VLAN內(nèi)的主機(jī)之間可以直接訪問，不同VLAN則不能直接訪問。VLAN遵循了IEEE 804.1q協(xié)議的標(biāo)準(zhǔn)。在利用配置了VLAN的接口進(jìn)行數(shù)據(jù)傳輸時，需要在數(shù)據(jù)幀內(nèi)添加4個字節(jié)的804.1q標(biāo)簽信息，用于標(biāo)識該數(shù)據(jù)幀屬于哪個VLAN，以便于對端交換機(jī)接收到數(shù)據(jù)幀后進(jìn)行準(zhǔn)確的過濾。由于VLAN是基于邏輯連接而不是物理連接的，所以它可以提供靈活的用戶/主機(jī)管理、帶寬分配以及

2、資源優(yōu)化等服務(wù)。4.1.2 組網(wǎng)實(shí)踐 假設(shè)某企業(yè)有兩個重要部門：銷售部和技術(shù)部，其中銷售部門的個人計(jì)算機(jī)系統(tǒng)分散連接，它們之間需要相互通信，但為了數(shù)據(jù)安全起見，銷售部和技術(shù)部需要相互隔離，則要在交換機(jī)上做適當(dāng)?shù)呐渲脕韺?shí)現(xiàn)這一目標(biāo)。通過分析可知，可以將兩個部門分別配置到不同的VLAN，只有在同一VLAN內(nèi)（同一部門）的計(jì)算機(jī)系統(tǒng)可以跨交換機(jī)進(jìn)行相互通信，反之則不行。網(wǎng)絡(luò)拓?fù)淙鐖D4.1所示。（1） 網(wǎng)絡(luò)拓?fù)鋱D4.1網(wǎng)絡(luò)拓?fù)淦渲薪粨Q機(jī)2臺，PC3臺。3臺PC機(jī)IP地址在同一子網(wǎng)中。（2）實(shí)驗(yàn)步驟： 步驟1：在交換機(jī)Switch A上創(chuàng)建VLAN10，并將0/5端口劃分到VLAN10中；Switch

3、Avlan 10Switch A-vlan10int g 0/0/5Switch A-GigabitEthernet0/0/5portSwitch A-GigabitEthernet0/0/5port linkSwitch A-GigabitEthernet0/0/5port link-tySwitch A-GigabitEthernet0/0/5port link-type accessSwitch A-GigabitEthernet0/0/5port default vlan 10步驟2：在交換機(jī)Switch A上創(chuàng)建VLAN20，并將0/15端口劃分到VLAN20中；Switch A-G

4、igabitEthernet0/0/5vlan 20Switch A-vlan20int g 0/0/15Switch A-GigabitEthernet0/0/15port link-type accessSwitch A-GigabitEthernet0/0/15port default vlan 20步驟3：把交換機(jī)Switch A與交換機(jī)Switch B相連的F0/24端口定義為Trunk模式；Switch A-GigabitEthernet0/0/24port link-type trunkSwitch A-GigabitEthernet0/0/24port trunk allow-

5、pass vlan all步驟4：在交換機(jī)Switch B上創(chuàng)建VLAN10，并將0/5端口劃分到VLAN10；Switch Bvlan 10Switch B-vlan10int g 0/0/5Switch B-GigabitEthernet0/0/5port link-type accessSwitch B-GigabitEthernet0/0/5port default vlan 10步驟5：把交換機(jī)Switch B與交換機(jī)Switch A相連的F0/24端口定義為Trunk模式；Switch B-vlan10int g 0/0/5Switch B-GigabitEthernet0/0/5

6、port link-type accessSwitch B-GigabitEthernet0/0/5port default vlan 10Switch B-GigabitEthernet0/0/5int g 0/0/24Switch B-GigabitEthernet0/0/24port link-type trunkSwitch B-GigabitEthernet0/0/24port trunk allow-pass vlan all步驟6：驗(yàn)證測試。在PC1上分別嘗試使用ping命令測試與PC2、PC3的連通性。4.1.3 總結(jié)與分析 配置時，應(yīng)注意將兩臺交換機(jī)直接相連的端口設(shè)置為Tru

7、nk模式，Trunk接口在默認(rèn)情況下支持所有的VLAN傳輸。通過配置VLAN可以隔離不同部門之間的通信。4.2 配置端口安全4.2.1 原理簡介 交換機(jī)的端口安全特性可以只允許特定的MAC地址的設(shè)備接入到網(wǎng)絡(luò)中，從而防止用戶將非法或未授權(quán)的設(shè)備接入到網(wǎng)絡(luò)中，并且可以限制端口接入到網(wǎng)絡(luò)中的設(shè)備數(shù)量，防止用戶將過多的設(shè)備接入到網(wǎng)絡(luò)中。4.2.2 組網(wǎng)實(shí)踐 某企業(yè)的網(wǎng)絡(luò)管理員發(fā)現(xiàn)經(jīng)常有員工私自將自己的筆記本電腦接入到網(wǎng)絡(luò)中，而且有一些員工通過使用Hub將多個網(wǎng)絡(luò)設(shè)備接入到交換機(jī)端口上，給網(wǎng)絡(luò)管理和維護(hù)增加了難度。 對于網(wǎng)絡(luò)中出現(xiàn)的這種問題，需要防止用戶接入非法或未授權(quán)的設(shè)備，并且限制用戶將多個網(wǎng)絡(luò)設(shè)

8、備接入到交換機(jī)的端口。交換機(jī)的端口安全特性可以滿足這個要求，從而提高接入層的網(wǎng)絡(luò)安全性，網(wǎng)絡(luò)拓?fù)淙鐖D4.2所示。（1） 網(wǎng)絡(luò)拓?fù)鋱D4.2網(wǎng)絡(luò)拓?fù)淦渲蠸3700交換機(jī)2臺，PC3臺。將S3700-s1的3號口指定給某主機(jī)的MAC地址。（2）實(shí)驗(yàn)步驟： 步驟1：在交換機(jī)上啟用端口安全特性；<Huawei>sysHuaweiint e 0/0/3Huawei-Ethernet 0/0/3port link-type accessHuawei-Ethernet 0/0/3port-security enable步驟2：手工配置PC1的MAC地址，即保證只有PC1可以接到此端口；步驟3：配置

9、端口接入數(shù)量的限制；Huawei-Ethernet 0/0/3port-security max-mac-num 1步驟4：配置當(dāng)此端口產(chǎn)生違規(guī)時的操作。Huawei-Ethernet 0/0/3port-security mac-address sticky首先有數(shù)據(jù)通過交換機(jī)的PC將被綁定MAC4.2.3 總結(jié)與分析 配置端口安全之前必須使用命令將端口設(shè)置為Access端口，當(dāng)端口由于違規(guī)操作被關(guān)閉時，可以在全局模式下使用命令將其恢復(fù)。4.3 配置SVI實(shí)現(xiàn)VLAN間路由4.3.1 原理簡介 VLAN的目的是隔離廣播域，并非要不同VLAN內(nèi)的主機(jī)徹底不能互相通信，但VLAN間的通信等同于不

10、同廣播域之間的通信，必須使用第三層的設(shè)備才能實(shí)現(xiàn)。VLAN間的通信就是指VLAN間的路由，是VLAN之間在一個路由器或者其他三層設(shè)備（例如三層交換機(jī)）上發(fā)生的路由。通過在三層交換機(jī)上為各VALN配置SVI接口，利用三層交換機(jī)的路由轉(zhuǎn)發(fā)功能可以實(shí)現(xiàn)VLAN間的路由。4.3.2 組網(wǎng)實(shí)踐 為減小廣播包對網(wǎng)絡(luò)的影響，網(wǎng)絡(luò)管理員在公司內(nèi)部網(wǎng)絡(luò)中進(jìn)行了VLAN的劃分。完成VLAN的劃分后，發(fā)現(xiàn)不同VLAN之間無法互相訪問。 通過分析，可以通過配置三層交換機(jī)的SVI接口實(shí)現(xiàn)VLAN之間的路由，網(wǎng)絡(luò)拓?fù)淙鐖D4.3所示。（1） 網(wǎng)絡(luò)拓?fù)鋱D4.3網(wǎng)絡(luò)拓?fù)洌?）實(shí)驗(yàn)步驟： 步驟1：在三層交換機(jī)上創(chuàng)建兩個VLAN，

11、VLAN 10與VLAN 20；Huaweivlan 10Huawei-vlan10vlan 20步驟2：在三層交換機(jī)上將端口分別劃分到各個VLAN上；Huawei-vlan20int g 0/0/1Huawei-GigabitEthernet0/0/1port link-type accessHuawei-GigabitEthernet0/0/1port default vlan 10Huawei-GigabitEthernet0/0/1int g 0/0/2Huawei-GigabitEthernet0/0/2port link-type accessHuawei-GigabitEther

12、net0/0/2port default vlan 20步驟3：在三層交換機(jī)上給各個VLAN配置IP地址；Huawei-GigabitEthernet0/0/2int vlan 10Huawei-Vlanif10ip address 194.168.10.1 24Huawei-Vlanif10int vlan 20Huawei-Vlanif20ip address 194.168.20.1 24步驟4：驗(yàn)證測試。在PC1上使用ping命令測試與vlan20中的PC2的連通性：PC>ping 194.168.20.2Ping 194.168.20.2: 32 data bytes, Pre

13、ss Ctrl_C to breakFrom 194.168.20.2: bytes=32 seq=1 ttl=127 time=125 msFrom 194.168.20.2: bytes=32 seq=2 ttl=127 time=31 msFrom 194.168.20.2: bytes=32 seq=3 ttl=127 time=16 msFrom 194.168.20.2: bytes=32 seq=4 ttl=127 time=47 msFrom 194.168.20.2: bytes=32 seq=5 ttl=127 time=15 ms- 194.168.20.2 ping s

14、tatistics - 5 packet(s) transmitted 5 packet(s) received 0.00% packet loss round-trip min/avg/max = 15/46/125 ms4.3.3 總結(jié)與分析 配置時，VLAN中的PC的IP地址需要和三層交換機(jī)上相應(yīng)VLAN的IP地址在同一網(wǎng)段，并且主機(jī)網(wǎng)關(guān)配置為三層交換機(jī)上相應(yīng)的VLAN的IP地址；另外，也可以在路由器上配置子接口，實(shí)現(xiàn)VLAN間的路由。為了確保網(wǎng)絡(luò)的高可靠性，需要在網(wǎng)絡(luò)中配置冗余備份，這時容易出現(xiàn)環(huán)路，產(chǎn)生網(wǎng)絡(luò)風(fēng)暴等問題，應(yīng)該怎么解決這個問題呢？下一節(jié)便提出了相應(yīng)的解決方法。4.4 配置

15、靜態(tài)路由4.4.1 原理簡介 路由器是根據(jù)路由表進(jìn)行選路和轉(zhuǎn)發(fā)的。而路由表就是由一條條的路由信息組成的。路由表的產(chǎn)生方式一般有以下三種。（1）直連路由。給路由器接口配置一個IP地址，路由器自動產(chǎn)生本接口IP所在網(wǎng)段的路由信息。（2）靜態(tài)路由。在拓?fù)浣Y(jié)構(gòu)簡單的網(wǎng)絡(luò)中，網(wǎng)絡(luò)管理員通過手工的方式配置本路由器未知網(wǎng)段的路由信息，從而實(shí)現(xiàn)不同網(wǎng)段之間的連接。（3）動態(tài)路由。協(xié)議學(xué)習(xí)產(chǎn)生的路由。在大規(guī)模的網(wǎng)絡(luò)中，或者網(wǎng)絡(luò)拓?fù)湎鄬?fù)雜的情況下，通過在路由器上運(yùn)行動態(tài)路由協(xié)議，路由器之間互相自動學(xué)習(xí)產(chǎn)生路由信息。4.4.2 組網(wǎng)實(shí)踐 假設(shè)校園內(nèi)通過一臺路由器連接到校園外的另一臺路由器上，現(xiàn)要在路由器上做適當(dāng)?shù)?/p>

16、配置，使校園網(wǎng)內(nèi)部主機(jī)和校園網(wǎng)外部主機(jī)相互通信。即通過相關(guān)配置，實(shí)現(xiàn)網(wǎng)絡(luò)的互聯(lián)互通，從而實(shí)現(xiàn)信息的共享和傳遞。網(wǎng)絡(luò)拓?fù)淙鐖D4.4所示。（1） 網(wǎng)絡(luò)拓?fù)鋱D4.4網(wǎng)絡(luò)拓?fù)洌?）實(shí)驗(yàn)步驟：步驟1：在路由器Router1上配置接口的IP地址和串口上的時鐘頻率；<Huawei>sysHuaweiint s 0/0/0Huawei-Serial0/0/0ip address 172.16.2.1 24Huawei-Serial0/0/0undo shutdownHuawei-Serial0/0/0int g 0/0/1Huawei-GigabitEthernet0/0/1ip address

17、172.16.1.1 24Huawei- GigabitEthernet0/0/1undo shutdown步驟2：在路由器Router1上配置靜態(tài)路由；Huaweiip route-static 172.16.3.0 24 172.16.2.2步驟3：在路由器Router2上配置接口的IP地址；<Huawei>sysHuaweiint s 0/0/0Huawei-Serial0/0/0ip address 172.16.2.2 24Huawei-Serial0/0/0undo shutdownHuawei-Serial0/0/0int g 0/0/1Huawei-GigabitE

18、thernet0/0/1ip address 172.16.3.1 24Huawei- GigabitEthernet0/0/1undo shutdown步驟4：在路由器Router2上配置靜態(tài)路由。Huaweiip route-static 172.16.1.0 24 172.16.2.14.4.3 總結(jié)與分析 如果兩臺路由器通過串口直接相連，則應(yīng)該在其中一臺路由器上設(shè)置時鐘頻率，且是作為DCE（數(shù)據(jù)通信設(shè)備）的路由器上，否則鏈路是不通的（華為路由器已對時鐘頻率默認(rèn)設(shè)置）。4.5 配置RIP協(xié)議4.5.1 原理簡介RIP（Routing Information Protocols，路由信息協(xié)

19、議）是應(yīng)用較早、使用較普遍的IGP（Interior Gateway Protocol，內(nèi)部網(wǎng)關(guān)協(xié)議），適用于小型網(wǎng)絡(luò)，是典型的距離矢量（distance-vector）協(xié)議。RIP協(xié)議以跳數(shù)作為衡量路徑的開銷，RIP協(xié)議規(guī)定最大跳數(shù)為15。RIP協(xié)議有兩個版本RIPv1和RIPv2。RIPv1屬于有類路由協(xié)議，不支持VLSM（變長子網(wǎng)掩碼）。RIPv1是以廣播的形式進(jìn)行路由信息的更新的，更新周期為30秒。RIPv2屬于無類路由協(xié)議，支持VLSM。RIPv2是以組播的形式進(jìn)行路由信息更新的，組播地址是224.0.0.9。RIPv2還支持基于端口的認(rèn)證，提高網(wǎng)絡(luò)的安全性。4.5.2 組網(wǎng)實(shí)踐假設(shè)

20、校園網(wǎng)通過一臺三層交換機(jī)連到校園網(wǎng)出口路由器，路由器再和校園網(wǎng)外的另一臺路由器連接，現(xiàn)做適當(dāng)配置，實(shí)現(xiàn)校園網(wǎng)內(nèi)的主機(jī)和校園網(wǎng)外的主機(jī)相互通信。 本實(shí)驗(yàn)以兩臺路由器和一臺三層交換機(jī)為例。交換機(jī)上劃分有VLAN 10和VLAN 50，其中VLAN 10用于連接Router1（校園網(wǎng)出口路由器），VLAN 50用于連接校園網(wǎng)主機(jī)。 路由器分別命名為Router1和Router2，路由器之間通過串口線連接，網(wǎng)絡(luò)拓?fù)淙鐖D4.5所示。（1） 網(wǎng)絡(luò)拓?fù)鋱D4.5網(wǎng)絡(luò)拓?fù)洌?）實(shí)驗(yàn)步驟：步驟1：在三層交換機(jī)上創(chuàng)建VLAN并且配置SVI；Huaweiint g 0/0/1Huawei-GigabitEtherne

21、t0/0/1port link-type access Huawei-GigabitEthernet0/0/1vlan 10Huawei-vlan10port g 0/0/1Huawei-vlan10int vlan 10Huawei-Vlanif10ip address 172.16.1.2 24Huawei-Vlanif10int g 0/0/5Huawei-GigabitEthernet0/0/5port link-type access Huawei-GigabitEthernet0/0/5vlan 50Huawei-vlan50port g 0/0/5Huawei-vlan50int

22、 vlan 50Huawei-Vlanif50ip address 172.16.5.1 24步驟2：在路由器Router1的各個端口上配置IP地址和時鐘頻率；Huaweiint g 0/0/1Huawei-GigabitEthernet0/0/1ip address 172.16.1.1 24Huawei-GigabitEthernet0/0/1undo shutdownHuawei-GigabitEthernet0/0/1int s 0/0/2Huawei-Serial0/0/2ip address 172.16.2.1 24Huawei-Serial0/0/2undo shutdown步驟3：在路由器