网络工程师中小型企业综合实验

实训13 网络工程师中小型企业综合实验

【实训目的】

（1）通过前期对锐捷网络互联设备原理的学习与配置，利用锐捷网络设备（交换机和路由器）设计、构建和维护中小型的企业网络。

【需求分析】

需求1：采用先进的网络通信技术完成集团企业网的建设，实现各分公司的信息化.

分析1：利用主流网络设备和网络技术构建企业网。

需求2：在整个企业集团内实现所有部门的办公自动化，提高工作效率和管理服务水平；

分析2：既要实现部门内部的办公自动化，又要提高工作效率，网络规划设计合理、建议采用二层结构，建议整个网络根据部门划分用VLAN隔离。

需求3:在整个企业集团内实现资源共享、产品信息共享、实时新闻发布；

需求4:在整个企业集团内实现财务电算化；

分析3、4：由于要实现内部资源共享，需要各个部门通信可以使用VLAN间路由解决。因为财务部们要实现电算化，考虑到财务信息的安全，用ACL技术禁止财务部门被其他部门访问，同时用端口安全实现接入安全。

需求5：在关键区域，网络链路故障时能够不影响网络使用。

分析：用冗余链路技术保证网络稳定。

【实训设备】

R1762（2台）、PC（2台）、直连线（2条）、V.35线（1条）、S2126（2台）、S3750（1台）、

【网络规划设计图】

【网络设备选型】

在各个层次可选用以下设备：

接入层：S2126G

核心层: S3750

出口路由： R1726

【实训内容】

（1）根据企业的需求进行分析，采用相应的网络设备和技术；

（2）进行网络规划设计；

（3）网络设备选型；

（4）配置网络设备；

（5）测试

【实训拓扑图】

【实训具体要求】

1、S2126G-1划分两个VLAN，VLAN10、VLAN20,其中F0/1-5属于

VLAN10,F0/6-10属于VLAN20。

2、S2126G-2划分两个VLAN，VLAN10、VLAN30,其中F0/1-5属于

VLAN10,F0/6-10属于VLAN30。

3、S2126G-1利用两条链路接入核心交换机，采用802.3ad提高链路带宽，提供冗余链路。

4、S3750和出口路由器Rj相连，采用SVI方式进行配置。

5、Rj路由器和电信端路由器利用V.35直连，采用PPP链路协议进行通讯。

6、局域网内部三层交换机和路由器间利用RIPv2实现全网互通，路由器连外网配置缺省路由。

7、配置动态NAPT实现局域网访问互联网。

8、在全网配置安全策略

（1） VLAN10的主机可以访问VLAN20的主机，VLAN30的主机不可以访问VLAN20的主机。

（2）局域网用户在访问互联网时上班时间只可以浏览网页、收发电子邮件，下班后不受任何限制。

【实训步骤】

1、S2126G-1、S2126G-2上划分VLAN

S2126G-1

Switch# configure terminal

Switch(config)# vlan 10

Switch# configure terminal

Switch(config)# interface fastethernet 0/1-5

Switch(config-if)# switchport access vlan 10

Switch(config-if)# end

Switch# configure terminal

Switch(config)# vlan 20

Switch# configure terminal

Switch(config)# interface fastethernet 0/6-10

Switch(config-if)# switchport access vlan 20

Switch(config-if)# end

Switch(config)# interface fastethernet 0/23-24

Switch(config-if)# switchport mode trunk

Switch(config-if)# end

S2126G-2过程同上；

2、配置S2126G-1 、S3750 RSTP协议；

Switch# configure terminal

Switch(config)#spanning-tree （开启生成树协议）

Switch(config)#spanning-tree mode rstp （指定生成树协议类型为RSTP）

验证生成树协议配置

Switch#show spanning-tree

3、在S3750上配置VLAN10、VLAN20、VLAN30路由及出口路由器Rj相连，采用SVI方式进行配置；

Switch(config)#interface vlan 10（进入虚拟的VLAN 接口）

Switch(config-if)#ip address 192.168.10.1 255.255.255.0

Switch(config-if)#no shutdown

VLAN20、VLAN30的虚拟接口配置同上；

查看交换机路由表 show ip router

Switch# configure terminal

Switch(config)# vlan 2

Switch# configure terminal

Switch(config)# interface fastethernet 0/10

Switch(config-if)# switchport access vlan 2

Switch(config-if)# end

Switch(config)#interface vlan 2（进入虚拟的VLAN 接口）

Switch(config-if)#ip address 192.168.1.2 255.255.255.252

Switch(config-if)#no shutdown

4、配置Rj路由器：

（1）路由器基本配置（接口配置）

Rj (config)#interface serial 1/2

Rj (config-if)#ip address 192.168.2.1 255.255.255.252

Rj (config-if)#clock rate 6400

Rj (config-if)#no shutdown

ISP(config)#interface serial 1/2

ISP (config-if)#ip address 192.168.2.2 255.255.255.252

ISP (config-if)#no shutdown

配置PPP PAP认证；

被验证方的配置

Rj (config)#interface serial 1/2

Rj (config-if)# encapsulation ppp ！接口下封装PPP协议

Rj (config-if)#ppp pap sent-username Rj password 0 star ！PAP认证的用户名、密码；

验证方的配置

ISP(config)# username Rj password 0 star ！验证方配置被验证方用户名、密码

ISP (config-if)#encapsulation ppp

ISP (config-if)#ppp authentication pap ！ppp启用pap认证方式；

配置缺省路由。

Rj (config)#ip route 0.0.0.0 0.0.0.0 192.168.2.2

ISP (config)#ip route 0.0.0.0 0.0.0.0 192.168.2.1

5、局域网内部三层交换机和路由器间利用RIPv2实现全网互通；

三层交换机上配置：

Switch(config)#router rip

Switch(config-router)#network 192.168.10.0

Switch(config-router)#network 192.168.20.0

Switch(config-router)#network 192.168.30.0

Switch(config-router)#network 192.168.1.0

Switch(config-router)#version 2

路由器配置：

Rj(config-router)#router RIP

Rj(config-router)#network 192.168.1.0

Rj(config-router)#network 192.168.2.0

Rj(config-router)#version 2

用show ip route查看路由信息；

6、在路由器上配置动态NAPT实现局域网访问互联网，公网地址为

200.1.1.1；

Rj(config)#interface fastethernet 1/0

Rj(config-if)#ip nat inside ！定义F1/0为内部网接口

Rj(config)#interface serial 1/2

Rj(config-if)#ip nat outside ！定义S1/1为外部网接口

Rj(config)#ip nat pool wangluo 200.1.1.1 200.1.1.1 netmask

255.255.255.0 ！定义全局地址池，地址池名为wangluo

Rj(config)#access-list 2 permit 192.168.10.0 0.0.0.255 ！定义允许转换的地址

Rj(config)#access-list 2 permit 192.168.20.0 0.0.0.255 ！定义允许转换的地址

Rj(config)#access-list 2 permit 192.168.30.0 0.0.0.255 ！定义允许转换的地址

Rj(config)#ip nat inside source list 2 pool wangluo overload ！为内部本地调用转换地址池

在路由器Rj上查看NAPT映射关系；

Rj#show ip nat translations

7、在全网配置安全策略

（1）在三层交换机上配置ACL标准访问控制列表

使 VLAN10的主机可以访问VLAN20的主机，VLAN30的主机不可以访问VLAN20的主机；

Switch(config)#access-list 1 deny 192.168.30.0 0.0.0.255 ！拒绝来自172.16.2.0网段的流量通过

Switch(config)#access-list 1 permit 192.168.10.0 0.0.0.255 ！允许来自192.168.10.0网段的流量通过

验证测试

Switch #show access-lists 1

Standard IP access list 1

1 deny 192.168.30.0 0.0.0.255 (0 matches)

1 permit 192.168.10.0 0.0.0.255 (0 matches)

将访问列表应用到接口

Switch (config)#interface VLAN 20

Switch (config-if)#ip access-group 1 out

（2）在路由器上配置基于时间的访问控制列表ACL,使局域网用户在访问互联网时上班时间只可以浏览网页、收发电子邮件，下班后不受任何限制。

a、配置路由器的时钟

Rj#show clock

*00:02:16 UTC March 1 2008

Rj#clock set 16:03:30 6 april 2008-4-6 ！设置路由器当前时钟和实际时钟同步；

b、定义时间段

Rj(config)#time-range freetime

Rj(config-time-range)#absolute start 8：00 1 jan 2008 end 18：00 30 dec 2010 ！定义绝对时间段

Rj(config-time-range)#periodic daily 0：00 to 9：00 ！定义周期性时间段

Rj(config-time-range)#periodic daily 17：00 to 23：59 ！定义周期性时间段

查看时间配置show time-range

C、定义访问控制列表规则

Rj(config)#access-list 100 permit ip any any time-range freetime！定义扩展访问控制列表，关联time-range接口t1，允许在规定时间内访问任何网络；

d、将访问列表应用在接口上：

Rj(config)#interface fastethernet 1/0

Rj(config-if)#ip access-group 100 in ！在F1/0接口上进行入栈应用；【实训测试】

（1）VLAN10、VLAN30的主机能否ping通VLAN20内的主机

（2）内部网络访问互联网时，地址是否进行转换；

（3）测试工作期间能否访问互联网，非工作期间能否访问互联网；

【实训注意事项】

（1）在定义时间接口前必须先校正路由器系统时钟；

（2）Time-range接口山允许配置多条periode规则，在ACL进行匹配时，只要能匹配任一条periode规则即认为匹配成功；而不是要求必须同时匹配多条periode规则；

（3）设置periode规则时可以按以下日期段进行设置：day-of-the-week、weekdays、daily；

（4）Time-range接口上只允许匹配一条absolute规则；

【实训报告】

（1）实验目的。

（2）实验环境。

（3）操作步骤。

（4）遇到的问题和解决方法。

（5）简答上述思考题。

（6）实训心得和体会。

（7）对本实验的建议或疑问。