IP路由与交换技术实训报告.docx

1、IP路由与交换技术实训报告IP路由与交换技术实训考核报告班级： 13网络工程 学号： 20* 姓名： 李* 姓名任务分工1柏*路由器AR1与交换机LSW12葛*路由器AR2与交换机LSW23陈*路由器AR3与AR44李*防火墙一、需求说明XX公司组建公司网络，公司有总部和分部两个地区。总部主要有人事部，生产部，销售部，财务部、经理办公室和公司服务器，分部主要有销售部和财务部。根据规划，公司总部和分部已经从ISP获取了公网地址，要求规划和设计公司网络，并用现有设备模拟公司环境，完成规划和设计、实施、验收和报告文档，具体要求如下：1、给出公司网络拓扑设计，公司网络设计要求有一定稳定性和可靠性；2、

2、规划各部门的IP、设备IP和互联IP；3、为了安全财务部门主机只能经理办公室可以访问，并且财务部门主机不能访问外网；4、公司服务器需要被外网用户访问，公司总部和分部除了财务部门外其余部门均可访问外网；5、利用现有设备完成公司网络拓扑搭建，并完成实施和验收；6、写出规划和设计方案参与公司网络建设项目的投标。二、规划设计（截图并附带文字说明）括扑图：规划：IP地址空间的分配，与网络拓扑层次结构相适应，既要有效地利用地址空间，又要体现出网络的可扩展性、灵活性和层次性，同时能满足路由协议的要求，以便于网络中的路由聚类，减少路由器中路由表的长度，减少对路由器CPU、内存的消耗，提高路由算法的效率，加快路

3、由变化的收敛速度，同时还有考虑到网络地址的可管理性。IP地址分配尽量分配连续的IP地址空间；相同的业务和功能尽量分配连续的IP地址空间，有利于路由聚合以及安全控制。总公司内：人事部（IP：192.168.10.2253 网关：192.168.10.254 子网掩码：24）生产部（IP：192.168.20. .2253网关：192.168.20.254 子网掩码：24）销售部（IP：192.168.30. .2253网关：192.168.30.254 子网掩码：24）财务部（IP：192.168.40. .2253网关：192.168.40.254 子网掩码：24）经理办公室（IP：192.1

4、68.1. .2253网关：192.168. 1.254子网掩码：24）公司服务器（IP：192.168.2. .2253网关：192.168.2.254 子网掩码：24）分公司内：销售部（IP：192.168.50. .2253 网关：192.168.50.254 子网掩码：24）财务部（IP：192.168.60. .2253网关：192.168.60.254 子网掩码：24）外网主机：（IP：200.0.0.0 网关：200.0.0.254 子网掩码：24）外网客户机（IP：200.0.0.2253 网关：200.0.0.254子网掩码：24）路由器：AR1（g0/0/0 10.0.0.

5、1 24，g0/0/1 20.0.0.1 24）AR2（g0/0/0 40.0.0.1 24，g0/0/1 20.0.0.2 24，g0/0/2 30.0.0.1 24）AR3（g0/0/0 192.168.50.254 24 g0/0/1 192.168.60.254 24，g0/0/2 50.0.0.1 24）AR4（g0/0/0 100.0.0.2 24，g0/0/1 200.0.0.254 24，交换机：LSW1（vlanif 10 ip 192.168.10.254 24，vlanif 20 192.168.20.254 24，vlanif 100 ip 10.0.0.2 24）LS

6、W2（vlanif 30 ip 192.168.30.254 24，vlanif 40 ip 192.168.40.254 24，vlanif 100 ip 30.0.0.2 24）采用动态路由协议rip，用于自治系统（AS）内的路由信息的传递。使用vlan协议对逻辑上的设备和用户，这些设备和用户并不受物理位置的限制，可以根据功能、部门及应用等因素将它们组织起来，相互之间的通信就好像它们在同一个网段中一样。使用acl（访问控制列表）建立对应的安全策略，实现拒绝访问，与允许访问的控制。每种协议一个 ACL：要控制接口上的流量，必须为接口上启用的每种协议定义相应的 ACL。每个方向一个 ACL ：

7、一个 ACL 只能控制接口上一个方向的流量。要控制入站流量和出站流量，必须分别定义两个 ACL。每个接口一个 ACL ：一个 ACL 只能控制一个接口（例如快速以太网0/0）上的流量。三层交换技术：第三层交换是在网络交换机中引入路由模块而取代传统路由器实现交换与路由相结合的网络技术。它根据实际应用时的情况，灵活地在网络第二层或者第三层进行网络分段。具有三层交换功能的设备是一个带有第三层路由功能的第二层交换机。利用防火墙来控制不同主机的访问控制，这里使用包过滤防火墙：包过滤防火墙是用一个软件查看所流经的数据包的包头（header），由此决定整个包的命运。它可能会决定丢弃（DROP）这个包，可能会

8、接受（ACCEPT）这个包（让这个包通过），也可能执行其它更复杂的动作。三、实施（配置脚本）（截图并附带文字说明）路由器基本配置：-AR1-system-viewsysname AR1undo info-center enableinterface g0/0/0ip add 10.0.0.1 24interface g0/0/1ip add 20.0.0.1 24quit/使用rip宣告网络，实现内网网络互通ripnetwork 10.0.0.0network 20.0.0.0quit配置截图：-AR2-system-viewsysname AR2undo info-center enable

9、interface g0/0/0ip add 40.0.0.1 24interface g0/0/1ip add 20.0.0.2 24interface g0/0/2ip add 30.0.0.1 24quit/使用rip宣告网络，实现内网网络互通ripnetwork 20.0.0.0network 30.0.0.0network 40.0.0.0quit/设置acl实现只有经理办公室可以访问财务部，其他部门不能访问财务部，并应用于g0/0/2的出口方向，由于真实设备没有将acl直接应用于接口的命令，使用策略实现。将动作加入到策略里acl 3000 rule 5 permit ip sour

10、ce 192.168.1.1 0 destination 192.168.40.1 0rule 10 deny ip source any destination 192.168.40.1 0rule 15 permit ip source any destination anyquittraffic classifier c1if-match acl 3000quit traffic behavior b1permitquittraffic policy p1 classifier c1 behavior b1 quitinterface GigabitEthernet0/0/2traffi

11、c-policy p1 outbound配置截图：-AR3-system-viewsysname AR3undo info-center enableinterface g0/0/0ip add 192.168.50.254 24interface g0/0/1ip add 192.168.60.254 24interface g0/0/2ip add 50.0.0.1 24quit/使用rip宣告网络ripnetwork 192.168.50.0network 192.168.60.0network 50.0.0.0quit/设置acl实现只有经理办公室可以访问财务部，其他部门不能访问财务部

12、，并应用于g0/0/1的出口方向，由于真实设备没有将acl直接应用于接口的命令，使用策略实现。将动作加入到策略里acl 3000 rule 5 permit ip source 192.168.1.1 0 destination 192.168.60.1 0rule 10 deny ip source any destination 192.168.60.1 0rule 15 permit ip source any destination anyquittraffic classifier c1 if-match acl 3000quittraffic behavior b1permitqu

13、ittraffic policy p1 classifier c1 behavior b1 quit interface GigabitEthernet0/0/1traffic-policy p1 outbound配置截图：-AR4-system-viewundo info-center enableinterface g0/0/0ip add 100.0.0.2 24interface g0/0/1ip add 200.0.0.254 24quit/配置静态默认路由实现外网互通ip route-static 0.0.0.0 0.0.0.0 100.0.0.1配置截图：交换机基本配置：-LSW

14、1-system-viewsysname LSW1info-center source DS channel 0 log state off trap state offvlan 10vlan 20vlan 100quit/创建vlan，并将接口加入到相应的vlan中interface Ethernet0/0/1port link-type accessport default vlan 10quitinterface Ethernet0/0/2port link-type accessport default vlan 20quitinterface Ethernet0/0/3port li

15、nk-type accessport default vlan 100quit/配置三层交换机vlan的接口，充当pc的网关，因为三层交换机的接口不能直接配置IP地址interface vlanif 10ip add 192.168.10.254 24interface vlanif 20ip add 192.168.20.254 24interface vlanif 100ip add 10.0.0.2 24quitripnetwork 192.168.10.0network 192.168.20.0network 10.0.0.0quit配置截图：-LSW2-system-viewsysn

16、ame LSW2info-center source DS channel 0 log state off trap state offvlan 30vlan 40vlan 100quit/创建vlan，并将接口加入到相应的vlan中interface Ethernet0/0/1port link-type accessport default vlan 30quitinterface Ethernet0/0/3port link-type accessport default vlan 40quitinterface Ethernet0/0/2port link-type accesspor

17、t default vlan 100quit/配置三层交换机vlan的接口，充当pc的网关，因为三层交换机的接口不能直接配置IP地址interface vlanif 30ip add 192.168.30.254 24interface vlanif 40ip add 192.168.40.254 24interface vlanif 100ip add 30.0.0.2 24quitripnetwork 192.168.30.0network 192.168.40.0network 30.0.0.0quit配置截图：防火墙基本配置：-FW1-system-viewsysname FW1und

18、o info-center enable/将接口加入到相应的安全区域，firewall zone trustadd interface g0/0/1add interface g0/0/5quitfirewall zone untrustadd interface g0/0/3quitfirewall zone dmzadd interface g0/0/2add interface g0/0/4quitinterface g0/0/1ip add 40.0.0.2 24interface g0/0/2ip add 50.0.0.2 24interface g0/0/3ip add 100.0

19、.0.1 24interface g0/0/4ip add 192.168.2.254 24interface g0/0/5ip add 192.168.1.254 24quitrip network 40.0.0.0network 50.0.0.0network 192.168.1.0network 192.168.2.0quit/配置一条回应的静态路由，实现外网互通ip route-static 200.0.0.0 24 100.0.0.2在防火墙上将静态路由与直连路由注入到rip环境ripimport-route directimport-route static/配置地址集，以便在防火

20、墙上实现包过滤的访问控制ip address-set abc type groupaddress 0 192.168.10.0 mask 24address 1 192.168.20.0 mask 24address 2 192.168.30.0 mask 24address 3 192.168.1.0 mask 24address 4 10.0.0.0 mask 24address 5 20.0.0.0 mask 24address 6 30.0.0.0 mask 24address 7 40.0.0.0 mask 24address 8 192.168.40.0 mask 24quitip

21、 address-set abcde type groupaddress 0 192.168.10.0 mask 24address 1 192.168.20.0 mask 24address 2 192.168.30.0 mask 24address 3 192.168.1.0 mask 24address 4 10.0.0.0 mask 24address 5 20.0.0.0 mask 24address 6 30.0.0.0 mask 24address 7 40.0.0.0 mask 24quitip address-set abcd type groupaddress 0 192.

22、168.50.0 mask 24address 1 192.168.2.0 mask 24address 2 192.168.60.0 mask 24quit配置安全策略，实现区域之间的访问控制，开启trust到dmz，trust到untrust，untrust到dmz三个区域之间的允许security-policyrule name t_to_dsource-zone trustdestination-zone dmzsource-address address-set abcdestination-address address-set abcdaction permitquitsecur

23、ity-policyrule name t_to_usource-zone trustdestination-zone untrustsource-address address-set abcdedestination-address 200.0.0.1 24action permitquitsecurity-policyrule name u_to_dsource-zone untrustdestination-zone dmzsource-address anydestination-address 192.168.2.1 24action permitquit设置一个静态地址转换实现外

24、网访问内网的web服务器。nat server policy_nat_web protocol global 200.0.0.100 inside 192.168.2.1配置截图：总公司内：人事部（IP：192.168.10.1 网关：192.168.10.254 子网掩码：24）生产部（IP：192.168.20.1 网关：192.168.20.254 子网掩码：24）销售部（IP：192.168.30.1 网关：192.168.30.254 子网掩码：24）财务部（IP：192.168.40.1 网关：192.168.40.254 子网掩码：24）经理办公室（IP：192.168.1.1网

25、关：192.168. 1.254子网掩码：24）公司服务器（IP：192.168.2.1 网关：192.168.2.254 子网掩码：24）分公司内：销售部（IP：192.168.50.1 网关：192.168.50.254 子网掩码：24）财务部（IP：192.168.60.1 网关：192.168.60.254 子网掩码：24）外网主机：（IP：200.0.0.0 网关：200.0.0.254 子网掩码：24） 四、验收（结果验证）（截图并附带文字说明）1.人事部（IP：192.168.10.1 网关：192.168.10.254 子网掩码：24）人事部ping生产部，如上图人事部ping

26、总公司销售部，如上图人事部ping财务部，如上图人事部ping外网，如上图人事部ping分公司WEB服务器，如上图2经理办公室（IP：192.168.1.1网关：192.168. 1.254子网掩码：24）经理办公室ping分公司WEB服务器，如上图经理办公室ping外网，如上图经理办公室ping总公司财务部，如上图经理办公室ping分公司财务部，如上图3.财务部（IP：192.168.60.1 网关：192.168.60.254 子网掩码：24）财务部ping外网，如上图4.生产部（IP：192.168.20.1 网关：192.168.20.254 子网掩码：24）生产部ping外网5.外网主机：（IP：200.0.0.0 网关：200.0.0.254 子网掩码：24）外网ping公司web服务器