項目1高校隔離網絡的設計與實施項目描述項目相關知識項目規劃設計項目實踐項目驗證項目拓展目錄項目描述項目描述某高校在教學樓2樓和5樓原有201、202、501、502共4個機房，每個課室有4臺接入交換機和51臺電腦。現計劃對4間機房進行改造，將201、202、501作為日常上課使用的機房，502作為考試時使用的機房。原網絡建設中，201、202使用同一IP地址段，501、502使用同一IP地址段。具體要求如下。（1）201和202的2個機房使用同一IP地址段，但要求機房之間相互隔離，防止教師廣播投屏時互相影響。（2）501和502的2個機房作為考試機房，使用同一IP地址段，501的機電腦可以互相通信，502機房作為考試機房，要求電腦之間互相隔離。項目描述項目拓撲如圖1-1所示。圖1-1項目拓撲項目相關知識1.1VLAN聚合基本概念VLAN聚合（VLANAggregation），也稱SuperVLAN。指在一個物理網絡內，用多個SubVLAN隔離廣播域，并將這些VLAN歸屬到一個邏輯SuperVLAN中，這些SubVLAN使用同一個IP子網和默認網關，進而達到節約IP地址的目的。VLAN聚合中，SuperVLAN只創建三層SVI口并配置對應的子網網關IP地址，不包含具體的物理接口。SubVLAN只包含物理接口，不創建三層SVI接口，用于隔離二層廣播域，每個SubVLAN內的主機與外部的三層通信或者SubVLAN之間的通信是依賴于SuperVLAN下的ARP代理功能來實現。1.1VLAN聚合基本概念如圖1-2所示。圖1-2SuperVLAN結構圖1.1VLAN聚合基本概念同一個SubVLAN屬于同一個廣播域，因此相同SubVLAN內的主機可以直接通信。如圖1-3所示。圖1-3同SubVLAN內的終端通信圖1.1VLAN聚合基本概念不同SubVLAN之間的通信，需要借助網關SVI口的代理功能。如圖1-4所示。SuperVLANSVI2開啟ARP代理之后，PC1和PC2的通信過程如下。圖1-4不同SubVLAN內終端的通信圖1.1VLAN聚合基本概念（1）PC1發現PC2和自己在同一網段，且ARP表中無PC2的對應表項，則發送ARP廣播包請求PC2的MAC地址。（2）

作為網關的SuperVLAN對應的SVI2口收到PC1的ARP請求，由于SVI2開啟了ARP代理功能，則向SuperVLAN2內所有的SubVLAN接口發送ARP廣播，請求PC2的MAC地址。（3）SubVLAN20內的主機PC2收到網關發的ARP廣播包后，對此請求進行應答。（4）網關收到PC2的應答之后，就把自己的MAC地址回應給PC1。（5）PC1之后發給PC2的報文都先發給網關，由網關做轉發。1.2VLAN聚合的應用場景隨著企業網絡規模的擴大和業務需求的增加，VLAN的應用越來越廣泛。然而，在實際應用中，VLAN的管理和維護卻面臨著諸多挑戰。為了解決這些問題，提高網絡的穩定性和效率，VLAN聚合技術應運而生。在實際應用中，VLAN聚合的應用場景非常廣泛，主要包括以下幾個方面。1.2VLAN聚合的應用場景（1）在大型企業中，由于網絡規模龐大、VLAN數量眾多，管理和維護起來非常困難。通過VLAN聚合，可以將多個VLAN合并成一個邏輯上的大VLAN，從而減少VLAN的數量，降低管理難度。同時，聚合后的VLAN可以更好地利用帶寬資源，提高網絡傳輸效率。（2）在網絡安全方面，VLAN聚合也發揮著重要作用。通過將多個VLAN聚合成一個邏輯上的大VLAN，可以更好地實現網絡隔離和訪問控制，提高網絡安全性。同時，聚合后的VLAN可以更好地支持安全策略的實施，如防火墻、入侵檢測等。1.3PrivateVLAN私有VLAN（PrivateVLAN）采用兩層VLAN隔離技術，實現一個VLAN內的端口隔離。在PrivateVLAN中，每個VLAN的二層廣播域被劃分成多個子域，每個子域由一對VLAN組成：主VLAN（PrimaryVLAN）和輔助VLAN（SecondaryVLAN）。主VLAN是PVLAN的高級VLAN，每個PrivateVLAN中只有一個主VLAN；而輔助VLAN是PVLAN中的子VLAN，并且映射到一個主VLAN。每臺接入設備都連接到輔助VLAN。1.3PrivateVLAN輔助VLAN包含兩種類型：隔離VLAN（IsolatedVLAN）和團體VLAN（CommunityVLAN）。同一個隔離VLAN內的端口不能互相二層通信，而同一個團體VLAN內的端口可以互相二層通信，但團體VLAN之間的端口不能相互通信。在PrivateVLAN中，交換機端口有三種類型：Isolatedport、Communityport和Promiscuousport。它們分別對應不同的VLAN類型。

Isolatedport屬于IsolatedVLAN。

Communityport屬于CommunityVLAN。

Promiscuousport屬于PrimaryVLAN。1.3PrivateVLAN在IsolatedVLAN中，Isolatedport只能和Promiscuousport通信，兩個Isolatedport彼此之間不能交換流量；在CommunityVLAN中，Communityport不僅可以和Promiscuousport通信，而且彼此之間也可以交換流量。如圖1-5所示。1-5PrivateVLAN流量傳輸圖1.3PrivateVLANPrivateVLAN主要用于解決通信安全、防止廣播風暴和浪費IP地址等問題。它通常用于企業內部網，用來防止連接到某些接口或接口組的網絡設備之間的相互通信，但允許與默認網關進行通信。即使在不同的VLAN中，設備也可以使用相同的IP子網。項目規劃設計項目規劃設計在本項目中，學校計劃在教學樓使用1臺匯聚交換機、4臺接入交換機和8臺PC來搭建四個機房的隔離網絡，各機房的終端分別接入機房內的交換機，其項目實施拓撲如圖1-6所示。圖1-6項目實施拓撲圖項目規劃設計具體配置步驟如下。（1）部署SuperVLAN，實現201、202機房的網絡二層隔離，防止教師投屏時互相影響。（2）部署PrivateVLAN，實現501、502機房的網絡隔離，同時實現502機房的電腦互相隔離。項目規劃設計根據圖1-6所示拓撲圖進行項目的業務規劃，項目1的VLAN規劃、設備管理規劃、端口互聯規劃、IP規劃見表1-1~表1-3。表1-1項目1VLAN規劃表VLAN-IDVLAN類型VLAN命名網段用途VLAN2SuperVLANGW-2172.16.2.0/24VLAN2網關VLAN5private-vlanprimaryGW-5172.16.5.0/24VLAN5網關VLAN20SubVLANUser-201-201機房網段VLAN21SubVLANUser-202-202機房網段VLAN50private-vlancommunityUser-501-501機房網段VLAN51private-vlanisolatedUser-502-502機房網段項目規劃設計根據圖1-6所示拓撲圖進行項目的業務規劃，項目1的VLAN規劃、設備管理規劃、端口互聯規劃、IP規劃見表1-1~表1-3。表1-2項目1端口規劃表本端設備本端端口端口配置對端設備對端端口SW1G0/1AccessSW2G0/24SW1G0/4AccessSW3G0/24SW1G0/7TrunkSW4G0/24SW1G0/10TrunkSW5G0/24SW2G0/24AccessSW1G0/1SW2G0/1AccessPC1Eth0/1SW2G0/2AccessPC2Eth0/1SW3G0/24AccessSW1G0/4項目規劃設計根據圖1-6所示拓撲圖進行項目的業務規劃，項目1的VLAN規劃、設備管理規劃、端口互聯規劃、IP規劃見表1-1~表1-3。表1-2項目1端口規劃表本端設備本端端口端口配置對端設備對端端口SW3G0/1AccessPC3Eth0/1SW3G0/2AccessPC4Eth0/1SW4G0/24TrunkSW1G0/7SW4G0/1private-vlanhostPC5Eth0/1SW4G0/2private-vlanhostPC6Eth0/1SW5G0/24TrunkSW1G0/10SW5G0/1private-vlanhostPC7Eth0/1SW5G0/2private-vlanhostPC8Eth0/1項目規劃設計根據圖1-6所示拓撲圖進行項目的業務規劃，項目1的VLAN規劃、設備管理規劃、端口互聯規劃、IP規劃見表1-1~表1-3。表1-3項目1IP地址規劃表設備接口IP地址用途PC1-172.16.2.3/24用戶網絡地址PC2-172.16.2.4/24用戶網絡地址PC3-172.16.2.63/24用戶網絡地址PC4-172.16.2.64/24用戶網絡地址PC5-172.16.5.3/24用戶網絡地址PC6-172.16.5.4/24用戶網絡地址PC7-172.16.5.63/24用戶網絡地址PC8-172.16.5.64/24用戶網絡地址SW1VLAN2172.16.2.254/24用戶網段網關VLAN5172.16.5.254/24用戶網段網關項目實踐任務1-1部署SuperVLAN任務1-1部署SuperVLAN任務描述本任務中，要實現201和202機房之間的終端不能互相通信，同一個機房內的終端能夠互相通信。案例的配置包括以下內容：1.SuperVLAN配置：創建VLAN,配置SuperVLAN和SubVLAN。2.端口配置：配置互聯端口，并配置端口默認VLAN。3.IP地址配置：為交換機和PC配置IP地址。任務1-1部署SuperVLAN任務操作1.SuperVLAN配置（1）在交換機SW1上創建SuperVLAN和SubVLAN。Ruijie>enable//進入特權模式Ruijie#config

terminal//進入全局模式Ruijie(config)#hostnameSW1//將交換機名稱更改為SW1SW1(config)#vlan20//創建VLAN20SW1(config-vlan)#nameUser-201//VLAN命名為User-201SW1(config-vlan)#exit//退出SW1(config)#vlan21//創建VLAN21SW1(config-vlan)#nameUser-202//VLAN命名為User-202SW1(config-vlan)#exit//退出任務1-1部署SuperVLAN任務操作1.SuperVLAN配置（1）在交換機SW1上創建SuperVLAN和SubVLAN。SW1(config)#vlan2//創建VLAN2SW1(config-vlan)#nameGW-2//VLAN命名為GW-2SW1(config-vlan)#supervlan//配置VLAN2為SuperVLANSW1(config-vlan)#subvlan20,21//關聯SubVLAN20、21SW1(config-vlan)#noproxy-arp//關閉ARP代理SW1(config-vlan)#exit//退出任務1-1部署SuperVLAN任務操作1.SuperVLAN配置（2）在交換機SW2上創建VLAN。Ruijie>enable//進入特權模式Ruijie#config

terminal//進入全局模式Ruijie(config)#hostnameSW2//將交換機名稱更改為SW2SW2(config)#vlan20//創建VLAN20SW2(config-vlan)#nameUser-201//VLAN命名為User-201SW2(config-vlan)#exit//退出任務1-1部署SuperVLAN任務操作1.SuperVLAN配置（3）在交換機SW3上進行VLAN配置。Ruijie>enable//進入特權模式Ruijie#configterminal//進入全局模式Ruijie(config)#hostnameSW3//將交換機名稱更改為SW3SW3(config)#vlan21//創建VLAN21SW3(config-vlan)#nameUser-202//VLAN命名為User-202SW3(config-vlan)#exit//退出任務1-1部署SuperVLAN任務操作2.IP地址配置（1）在SW1上配置VLAN2的IP地址。SW1(config)#interfacevlan2//進入VLAN2接口SW1(config-if-VLAN2)#ipaddress172.16.2.254255.255.255.0//配置SuperVLAN的SVI地址SW1(config-if-VLAN2)#exit//退出任務1-1部署SuperVLAN任務操作3.端口配置

（1）在SW1上配置與接入交換機互聯的端口，并配置端口默認VLAN。SW1(config)#interfacerangegigabitEtherne0/1-3//批量進入端口SW1(config-if-range)#switchportmodeaccess//修改端口類型為Access模式SW1(config-if-range)#switchportaccessvlan20//配置端口的默認VLAN為VLAN20SW1(config-if-range)#exit//退出任務1-1部署SuperVLAN任務操作3.端口配置

（1）在SW1上配置與接入交換機互聯的端口，并配置端口默認VLAN。SW1(config)#interfacerangegigabitEtherne0/4-6//批量進入端口SW1(config-if-range)#switchportmodeaccess//修改端口類型為Access模式SW1(config-if-range)#switchportaccessVLAN21//配置端口的默認VLAN為VLAN21SW1(config-if-range)#exit//退出任務1-1部署SuperVLAN任務操作3.端口配置

（2）在SW2上配置與交換機和終端互聯的端口，并配置端口默認VLAN。SW2(config)#interfacerangegigabitEtherne0/1-24//批量進入端口SW2(config-if-range)#switchportmodeaccess//修改端口類型為Access模式SW2(config-if-range)#switchportaccessvlan20//配置端口的默認VLAN為VLAN20SW2(config-if-range)#exit//退出任務1-1部署SuperVLAN任務操作3.端口配置

（3）在SW3上配置與交換機和終端互聯的端口，并配置端口默認VLAN。SW3(config)#interfacerangegigabitEtherne0/1-24//批量進入端口SW3(config-if-range)#switchportmodeaccess//修改端口類型為Access模式SW3(config-if-range)#switchportaccessvlan21//配置端口的默認VLAN為VLAN21SW3(config-if-range)#exit//退出任務1-1部署SuperVLAN任務驗證在SW1使用【showsupervlan】命令查看supervlan信息，如下所示。可以看到SuperVLAN2下有2個SubVLAN。SW1(config)#showsupervlansupervlanidsupervlanarp-proxybcastvlansubvlanidsubvlanarp-proxysubvlaniprange------------------------------------------------------------------------------------------2OFF20-21ON任務1-2部署PrivateVLAN任務1-2部署PrivateVLAN任務描述本任務中，要實現501機房內的終端之間能夠互相通信，502機房內的終端之間不能夠互相通信。案例的配置包括以下內容：1.PrivateVLAN配置：創建VLAN,配置主VLAN和輔助VLAN。2.IP地址配置：為交換機和PC配置IP地址。3.端口配置：配置互聯端口，并配置端口默認VLAN。任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（1）在SW1上創建VLAN和PrivateVLAN。SW1(config)#vlan50//創建VLAN50SW1(config-vlan)#nameUser-501//VLAN命名為User-50SW1(config-vlan)#private-vlancommunity//創建團體VLAN50SW1(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（1）在SW1上創建VLAN和PrivateVLAN。SW1(config)#vlan51//創建VLAN51SW1(config-vlan)#nameUser-502//VLAN命名為User-502SW1(config-vlan)#private-vlanisolated//創建隔離VLAN51SW1(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（1）在SW1上創建VLAN和PrivateVLAN。SW1(config)#vlan5//創建VLAN5SW1(config-vlan)#nameGW-5//VLAN命名為GW-5SW1(config-vlan)#private-vlanprimary//創建主VLANSW1(config-vlan)#private-vlanassociation50，51//關聯輔助VLANSW1(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（1）在SW1上創建VLAN和PrivateVLAN。SW1(config)#interfacevlan5//進入VLAN5接口SW1(config-VLAN5)#private-vlanmapping50,51//將輔助VLAN映射到主VLANSW1(config-VLAN5)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（2）在SW4上創建PrivateVLAN。Ruijie>enable//進入特權模式Ruijie#configterminal//進入全局模式Ruijie(config)#hostnameSW4//將交換機名稱更改為SW4SW4(config)#vlan50//進入VLAN50SW4(config-vlan)#nameUser-501//VLAN命名為User-501SW4(config-vlan)#private-vlancommunity//創建團體VLAN50SW4(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（2）在SW4上創建PrivateVLAN。SW4(config)#vlan51//進入VLAN51SW4(config-vlan)#nameUser-502//VLAN命名為User-502SW4(config-vlan)#private-vlanisolated//創建隔離VLAN51SW4(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（2）在SW4上創建PrivateVLAN。SW4(config)#vlan5//創建VLAN5SW1(config-vlan)#nameGW-5//VLAN命名為GW-5SW4(config-vlan)#private-vlanprimary//創建主VLANSW4(config-vlan)#private-vlanassociation50,51//關聯輔助VLANSW4(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（3）在SW5上創建PrivateVLAN。Ruijie>enable//進入特權模式Ruijie#configterminal//進入全局模式Ruijie(config)#hostnameSW5//將交換機名稱更改為SW5SW5(config)#vlan50//進入VLAN50SW5(config-vlan)#nameUser-501//VLAN命名為User-501SW5(config-vlan)#private-vlancommunity//創建團體VLAN50任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（3）在SW5上創建PrivateVLAN。SW5(config)#vlan51//進入VLAN51SW5(config-vlan)#nameUser-502//VLAN命名為User-502SW5(config-vlan)#private-vlanisolated//創建隔離VLAN51SW5(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作1.PrivateVLAN配置（3）在SW5上創建PrivateVLAN。SW5(config)#vlan5//創建VLAN5SW1(config-vlan)#nameGW-5//VLAN命名為GW-5SW5(config-vlan)#private-vlanprimary//創建主VLANSW5(config-vlan)#private-vlanassociation50,51//關聯輔助VLANSW5(config-vlan)#exit//退出任務1-2部署PrivateVLAN任務操作2.IP地址配置在SW1上配置VLAN5的IP地址。SW1(config)#interfacevlan5//進入VLAN5接口SW1(config-VLAN5)#ipaddress172.16.5.254255.255.255.0//配置IP地址SW1(config-VLAN5)#exit//退出任務1-2部署PrivateVLAN任務操作3.端口配置（1）在SW1上配置與接入交換機互聯的端口，并配置端口默認VLAN。SW1(config)#interfacerangegigabitEtherne0/7-9//批量進入端口SW1(config-if-range)#switchportmodetrunk//修改端口類型為Trunk模式SW1(config-if-range)#switchportmodeprivate-vlanpromiscuous//配置混雜端口SW1(config-if-range)#switchporttrunkallowedvlanadd5,50//配置端口允許VLAN5,VLAN50通過SW1(config-if-range)#exit//退出任務1-2部署PrivateVLAN任務操作3.端口配置（1）在SW1上配置與接入交換機互聯的端口，并配置端口默認VLAN。SW1(config)#interfacerangegigabitEtherne0/10-12//批量進入端口SW1(config-if-range)#switchportmodetrunk//修改端口類型為Trunk模式SW1(config-if-range)#switchportmodeprivate-vlanpromiscuous//配置混雜端口SW1(config-if-range)#switchporttrunkallowedvlanadd5,51//配置端口允許VLAN5,VLAN51通過SW1(config-if-range)#exit//退出任務1-2部署PrivateVLAN任務操作3.端口配置（2）在SW4上配置接入交換機與終端互聯的端口，并配置端口默認VLAN。SW4(config)#interfacerangegigabitEtherne0/1-23//批量進入端口SW4(config-if-range)#switchportmodeprivate-vlanhost//修改端口類型為Host模式SW4(config-if-range)#switchportprivate-vlanhost-association550//將1-23端口加入團體VLAN50SW4(config-if-range)#exit//退出任務1-2部署PrivateVLAN任務操作3.端口配置（2）在SW4上配置接入交換機與終端互聯的端口，并配置端口默認VLAN。SW4(config)#interfaceg0/24//進入G0/24端口SW4(config-if-GigabitEtherne0/24)#switchportmodetrunk//修改端口類型為Trunk模式SW4(config-if-GigabitEtherne0/24)#switchportmodeprivate-vlanpromiscuous//把接口屬性改為PVLAN混雜模式SW4(config-if-GigabitEtherne0/24)#switchportprivate-vlanmapping5add50,51//指明該端口的PVALN屬性SW4(config-if-GigabitEtherne0/24)#exit//退出任務1-2部署PrivateVLAN任務操作3.端口配置（3）在SW5上配置與匯聚交換機和終端互聯的端口，并配置端口默認VLAN。SW5(config)#interfacerangegigabitEtherne0/1-23//批量進入端口SW5(config-if-range)#switchportmodeprivate-vlanhost//修改端口類型為Host模式SW5(config-if-range)#switchportprivate-vlanhost-association551//將G0/1-23端口加入隔離VLAN51SW5(config-if-range)#exit//退出任務1-2部署PrivateVLAN任務操作3.端口配置（3）在SW5上配置與匯聚交換機和終端互聯的端口，并配置端口默認VLAN。SW5(config)#interfaceg0/24//進入G0/24端口SW5(config-if-GigabitEtherne0/24)#switchportmodetrunk//修改端口類型為Trunk模式SW5(config-if-GigabitEtherne0/24)#switchportmodeprivate-vlanpromiscuous//把接口屬性改為PVALN混雜模式SW5(config-if-GigabitEtherne0/24)#switchportprivate-vlanmapping5add50,51//指明該端口的PVALN屬性SW5(config-if-GigabitEtherne0/24)#exit//退出任務1-2部署PrivateVLAN任務驗證在SW1使用【showvlanprivate-vlan】命令查看PrivateVLAN信息，如下所示。SW1(config)#showvlanprivate-vlan

VLANTypeStatusRoutedPortsAssociatedVLANs-------------------------------------------------------------------------------5primaryactiveEnabledGi0/1,Gi0/2,Gi0/350-51Gi0/4,Gi0/5,Gi0/650communityactiveEnabled551isolatedactiveEnabled5項目驗證項目驗證(1)使用201機房的主機PC1Ping本機房的主機PC2，如下所示。可以看到主機PC1能夠Ping通主機PC2。PC1>ping172.16.2.4正在

Ping172.16.2.4具有32字節的數據:來自

172.16.2.4的回復:字節=32時間=2msTTL=63來自

172.16.2.4的回復:字節=32時間=2msTTL=63來自

172.16.2.4的回復:字節=32時間=2msTTL=63來自

172.16.2.4的回復:字節=32時間=2msTTL=63

172.16.2.4的Ping統計信息:數據包:已發送=4，已接收=4，丟失=0(0%丟失)，往返行程的估計時間(以毫秒為單位):最短

=2ms，最長=3ms，平均=2ms項目驗證(2)使用201機房的PC1Ping202機房的PC3，如下所示。可以看到主機PC1不能Ping通主機PC3。PC1>ping172.16.2.63

正在

Ping172.16.2.63具有

32字節的數據:來自

172.16.2.3的回復:無法訪問目標主機來自

172.16.2.3的回復:無法訪問目標主機來自

172.16.2.3的回復:無法訪問目標主機來自

172.16.2.3的回復:無法訪問目標主機

172.16.2.63的

Ping統計信息:

數據包:已發送=4，已接收=4，丟失=0(0%丟失)，項目驗證(3)使用501機房的主機PC5Ping本機房的主機PC6，如下所示。可以看到主機PC5能夠Ping通主機PC6。PC5>ping172.16.5.4正在Ping172.16.5.4具有32字節的數據:來自172.16.5.4的回復:字節=32時間=2msTTL=63來自172.16.5.4的回復:字節=32時間=2msTTL=63來自172.16.5.4的回復:字節=32時間=2msTTL=63來自172.16.5.4的回復:字節=32時間=2msTTL=63172.16.5.4的Ping統計信息