中小型校园网设计方案实例

《中小型校园网设计方案实例》由会员分享，可在线阅读，更多相关《中小型校园网设计方案实例（26页珍藏版）》请在装配图网上搜索。

1、【精品文档】如有侵权，请联系网站删除，仅供学习与交流中小型校园网设计方案实例.精品文档.（中小型）校园网设计方案实例 目录 .1 系统总体设计方案概述 . 11.1系统组成与拓扑结构 .21.2VLAN及 IP地址规划 .32交换模块设计 . 42.1访问层交换服务的实现配置访问层交换机 .52.1.1配置访问层交换机 AccessSwitch1 的基本参数 .52.1.2配置访问层交换机 AccessSwitch1 的管理 IP、默认网关 .72.1.3配置访问层交换机 AccessSwitch1 的 VLAN及 VTP .82.1.4配置访问层交换机 AccessSwitch1 端口基本参

2、数 .92.1.5配置访问层交换机 AccessSwitch1 的访问端口 .92.1.6配置访问层交换机 AccessSwitch1 的主干道端口 . 112.1.7配置访问层交换机 AccessSwitch2 . 112.1.8访问层交换机的其它可选配置 . 122.2分布层交换服务的实现配置分布层交换机 . 132.2.1配置分布层交换机 DistributeSwitch1 的基本参数 . 142.2.2配置分布层交换机 DistributeSwitch1 的管理 IP、默认网关 . 142.2.3配置分布层交换机 DistributeSwitch1 的 VTP . 152.2.4在分布

3、层交换机 DistributeSwitch1 上定义 VLAN . 162.2.5配置分布层交换机 DistributeSwitch1 的端口基本参数 . 172.2.6配置分布层交换机 DistributeSwitch1 的 3 层交换功能 . 182.2.7配置分布层交换机 DistributeSwitch2 . 192.2.8其它配置 . 202.3核心层交换服务的实现配置核心层交换机 . 202.3.1配置核心层交换机 CoreSwitch1 的基本参数 . 212.3.2配置核心层交换机 CoreSwitch1 的管理 IP、默认网关 . 212.3.3配置核心层交换机 CoreSw

4、itch1 的的 VLAN及 VTP . 222.3.4配置核心层交换机 CoreSwitch1 的端口参数 . 222.3.5配置核心层交换机 CoreSwitch1 的路由功能 . 232.3.6其它配置 . 242.3.7核心层交换机 CoreSwitch2 的配置 . 243广域网接入模块设计 . 243.1配置接入路由器 InternetRouter的基本参数 . 253.2配置接入路由器 InternetRouter的各接口参数 . 253.3配置接入路由器 InternetRouter的路由功能 . 263.4配置接入路由器 InternetRouter上的 NAT . 263.

5、5配置接入路由器 InternetRouter上的 ACL . 283.6其它配置 . 314远程访问模块设计 . 314.1配置物理线路的基本参数 . 324.2配置接口基本参数 . 324.3配置身份认证 . 335服务器模块设计 . 346系统测试 . 366.1系统测试 . 366.2相关测试、诊断命令 . 366.2.1通用测试、诊断命令 . 366.2.2CDP测试、诊断命令 . 396.2.3路由和路由协议测试、诊断命令 . 416.2.4VLAN、 VTP测试、诊断命令 . 416.2.5生成树测试、诊断命令 . 426.2.6NAT测试、诊断命令 . 436.2.7ACL测试

6、、诊断命令 . 436.2.8 远程访问测试、诊断命令 . 44 总 结 . 44 附录 : 资源 . 45（中小型）校园网设计方案实例本文以实例的形式对校园网络的设计方案进行分析并给出校园网络关键设 备的配置步骤、 配置命令以及诊断命令 和方法。 通过本文，相信读者能够系统 地掌握中小型园区网的设计、 实施以及维护方法及技巧。 1系统总体设计方案概述校园网络（ COMPUS NETWORK，下文中也称为园区网络）是非常典型的 综合网络实例。 为了阐明主要问题，在本设计方案中对实际校园网的设计进行了适当的和 必要的简化。同时， 将重点放在网络主 干的设计上， 对于服务器的架设只作简 单介绍，具

7、体内容参考有关参考书。 如图 1-1 所示，是该校园网网络的总体拓扑结构图。 图 1-1校园网网络的总体拓扑结构在上面的拓扑图中，学校的 6 个主要集中接入点（计算机系、管理系、建 筑系、 财 务处、 教 务处、 学 生宿舍） 通过冗余的光纤链路上连到信息中心的核 心层交换机上。核心层交换机通过 Cisco 3640 路由器接入因特网。此外，教 工 宿舍及移动办公用户通过拨号方式接入路由器 3640 来访问校园网内网及因特 网。 图中，以计算机系为例展示了每个建筑物内部的网络设备拓扑结构，并给 出了信息中心内部的网络设备拓扑结构。 在接下来的讨论中，我们将展 开并详细讨论每个模块的设计内容。

8、1.1 系统组成与拓扑结构为了实现网络设备的统一，本设计方案中完全采用同一厂家的网络产品， 即 Cisco 公司的网络设备构建。全网使用同一厂 商设备的主要好处在于可以 实 现各种不同网络设备功能的互相配合和补充。 本校园网设计方案主要由以下四大部分构成 ：交换模块 、广域网接入模块 、 远程访问模块、服务器模块。 整个网络系统的拓扑结构图如图 1-2 所示。 图 1-2校园网整体拓扑结构图1.2 VLAN 及 IP 地址规划在一个大、中型网络里， VLAN 的划分是必不可少的步骤 之一。在本校园 网设计实例中，整个校园网中 VLAN 及 IP 编址方案如表 1 所示。 表 1VLAN 及 I

9、P 编址方案除了表 1 中的内容外，拨号用户从 192.168.200.0/27 中动态取得 IP 地址。 为了简化起见，除了管理 VLAN 外，这里只规划了 8 个 VLAN，同时为每个 VLAN 定义了一个由拼音缩写组成的 VLAN 名称。 2交换模块设计一个好的校园网设计应该是一个分层的 设计。一般分为三层设计模型。 为了简化交换网络设计、提高交换网络 的可扩展性，在园区网内部数据交换模 块的部署是分层进行的。 园区网数据交换设备可以划分为三个层 次：访问层、分布层、核心层。 传统意义上的数据交换发生在 OSI 模型的第 2 层。现代交换技术还实现了第 3 层交换和多层交换。高层交换技术

10、的引 入不但提高了园区网数据交换的效率 ， 更大大增强了园区网数据交换服务质量，满足了不同类型网络应用程序的需 要。 现代交换网络还引入了虚拟局域网（ Virtual LAN，VLAN）的 概 念 。VLAN 将广播域限制在单个 VLAN 内部，减小了各 VLAN 间主机的广播通信对其他 VLAN 的影响 。在 VLAN 间需要通信的时候 ，可以利用 VLAN 间路由技术来 实 现。 当网络管理人员需要管理的交 换机数量众多时，可以使用 VLAN 中继协议 （ Vlan Trunking Protocol， VTP）简化管理，它只需在单独一台交换机上定义 所有 VLAN。然后通过 VTP 协议

11、将 VLAN 定义传播到本管理域中的所有交换 机上。这样，大大减轻了网络 管理人员的工作负担和工作强度。 当园区网络的交换机数量增多、交换机间链路增加时，交换网络的复杂性 可能会造成交换环路问题 ，这需要通过在各交换机上运行生成树协 议（ Spanning Tree Protocol， STP）来解决。 2.1 访问层交换服务的实现配置访问层交换机访问层为所有的终端用户提供一个接入点。这里的访问层交换机采用的是 Cisco Catalyst 2950 24 口交换机（ WS-C2950-24 ）。该交换机拥有 24 个10/100Mbps 自适应快速以太网端口，运行的是 Cisco 的 IOS

12、 操作系统。这里， 以图 2-1 中的访问层交换机 AccessSwitch1 为例进行介绍。如图 2-1 所示： 图 2-1访问层交换机 AccessSwitch12.1.1 配 置 访 问 层 交 换 机 AccessSwitch1 的 基 本 参 数1、设置交换机名称 设置交换机名称，也就是出现在交换机 CLI 提示符中的名字。一般以地理 位置或行政划分来为交换机命名 。当需要 Telnet 登录到若干台交换机以维护一 个大型网络时，通过交换机名称提示符 提示自己当前配置交换机的位置是很 有 必要的。 如图 2-2 所示，为访问层交换机 AccessSwitch1 命名。图 2-2为访问

13、层交换机 AccessSwitch1 命名2、设置交换机的加密使能口令 当用户在普通用户模式而想要进入特权用户模式时，需要提供此口令。此 口令会以 MD5 的形式加密，因此，当用户查看配置文件时，无法看到明文形 式的口令。 如图 2-3 所示，将交换机的加密使能口令设置为 secretpasswd。图 2-3为交换机设置加密使能口令3、设置登录虚拟终端线时的口令 对于一个已经运行着的交换网络来说，交换机的带内远程管理为网络管理 人员提供了很多的方便。 但是，出于安 全考虑， 在能够远程管理交换机之前网 络管理人员必须设置远程登录交换机的口令。 如图 2-4 所示，设置登录交换机时需要验证用户身

14、份，同时设置口令为 youguess。图 2-4为访问层交换机 AccessSwitch1 命名4、设置终端线超时时间 为了安全考虑，可以设置终端线超时时间。在设置的时间内，如果没有检 测到键盘输入， IOS 将断开用户和交换机之间的连接。 如图 2-5 所示，设置登录交换机的控制台终端线 路及虚拟终端线的超时时 间为 5 分 30 秒钟。 图 2-5设置控制台终端线路和虚拟终端线路的超时时间5、设置禁用 IP 地址解析特性 在交换机默认配置的情况下，当输入一条错误的交换机命令时，交换机会 尝试将其广播给网络上的 DNS 服务器并将其解析成对应的 IP 地址。利用命令 no ip domain

15、-lookup。可以禁用这个特性。如图 2-6 所示，设置禁用 IP 地址解 析特性。 图 2-6设置禁用 IP 地址解析特性6、设置启用消息同步特性 有时，用户输入的交换机配置命令会被交换机产生的消息打乱。可以使用 命令 logging synchronous 设置交换机在下一行 CLI 提示符后复制用户的输入。 如图 2-7 所示，设置启用消息同步特性。 图 2-7设置启用消息同步特性2.1.2 配 置 访 问 层 交 换 机 AccessSwitch1 的 管 理 IP、 默 认 网 关访问层交换机是 OSI 参考模型的第 2 层设备 ，即数据链路层的设备 。因此， 给访问层交换机的每个

16、端口设置 IP 地址是没意义的 。但是 ，为了使网络管理人 员可以从远程登录到访问层交换机上进 行管理，必须给访问层交换机设置一 个 管理用 IP 地址。这种情况下，实际上是将交换机看成和 PC 机一样的主机。 给交换机设置管理用 IP 地址只能在 VLAN1，即本征 VLAN 中进行。按照 表 2-1 ，管理 VLAN 所在的子网是： 192.168.0.0/24 ，这里将访问层交换机 AccessSwitch1 的管理 IP 地址设为： 192.168.0.5/24。如图 2-8 所示，显示了为 访问层交换机 AccessSwitch1 设置管理 IP 并激活本征 VLAN。图 2-8设置

17、访问层交换机 AccessSwitch1 的管理 IP为了使网络管理人员可以在不同的子网管理此交换机，还应设置默认网关 地址 192.168.0.254。如图 2-9 所示。 图 2-9设置访问层交换机 AccessSwitch1 的默认网关地址2.1.3 配 置 访 问 层 交 换 机 AccessSwitch1 的 VLAN 及 VTP从提高效率的角度出发，在本 校园网实现实例中使用了 VTP 技术。同时， 将分布层交换机 DistributeSwitch1 设置成为 VTP 服务器 ，其他交换机设置成为 VTP 客户机。 这里访问层交换机 AccessSwitch1 将通过 VTP 获得

18、在分布层交换机 DistributeSwitch1 中定义的所有 VLAN 的信息。 如图 2-10 所示，设置访问层交换机 AccessSwitch1 成为 VTP 客户机。 图 2-10设置访问层交换机 AccessSwitch1 成为 VTP 客户机2.1.4配 置 访 问 层 交 换 机 AccessSwitch1 端 口 基 本参数 1、端口双工配置 可以设定某端口根据对端设备双工类型自动调整本端口双工模式，也可以 强制将端口双工模式设为半双工或全双工模式。在了解对端设备类型的情况 下，建议手动设置端口双工模式。 如图 2-11 所示，设置访问层交换机 AccessSwitch1 的

19、所有端口均工作在全 双工模式。 图 2-11设置访问层交换机 AccessSwitch1 的端口工作模式2、端口速度 可以设定某端口根据对端设备速度自动调整本端口速度，也可以强制将端 口速度设为 10Mpbs 或 100Mbps。在了解对端设备速度的情况下，建议手动设 置端口速度。 如图 2-12 所示，设置访问层交换机 AccessSwitch1 的所有端口的速度均为 100Mbps。图 2-12设置访问层交换机 AccessSwitch1 的端口速度2.1.5 配 置 访 问 层 交 换 机 AccessSwitch1 的 访 问 端 口访问层交换机 AccessSwitch1 为终端用户

20、提供接入服务。在 图 2-1 中，访问 层交换机 AccessSwitch1 为 VLAN10、 VLAN20 提供接入服务。 如图 2-13 所示，设置访问层交换机 AccessSwitch1 的端口 1端口 10 工作 在访问（接入）模式。同时，设置端口 1端口 10 为 VLAN 10 的成员。 图 2-13设置访问层交换机 AccessSwitch1 的端口 1102、设置访问层交换机 AccessSwitch1 的端口 11 20如图 2-14 所示 ，设置访问层交换机 AccessSwitch1 的端口 11端口 20 工作 在访问（接入）模式。同时，设置端口 1端口 10 为 V

21、LAN 20 的成员。 图 2-14设置访问层交换机 AccessSwitch1 的端口 11203、设置快速端口 默认情况下，交换机在刚加电启动时，每个端口都要经历生成树的四个阶 段： 阻塞、 侦听、 学 习、 转发。 在能够转发用户的数据包之前， 某个端口可能 最多要等 50 秒钟的时 间（ 20 秒的阻塞时间 15 秒的侦听延迟时间 15 秒的学 习延迟时间）。 对于直接接入终端工作站的端口来说 ，用于阻塞和侦听的时间是不必要的 。 为了加速交换机端口状态转化时间，可以设置 将某端口设置成为快速端口 （ Portfast）。设置为快速端口的端口当交换机启 动或端口有工作站接入时 ，将 会

22、直接进入转发状态， 而不会经历阻塞、 侦听、 学习状态 （假设桥接表已经建 立）。 如图 2-15 所示，设置访问层交换机 AccessSwitch1 的端口 1端口 20 为快 速端口。 图 2-15设置快速端口2.1.6配 置 访 问 层 交 换 机 AccessSwitch1 的 主 干 道端口 如图 2-1 所示，访问层交换机 AccessSwitch1 通过端口 FastEthernet 0/23 上 连到分布层交换机 DistributeSwitch1 的端口 FastEthernet 0/23。同时 ，访问层交 换机 AccessSwitch1 还通过端口 FastEtherne

23、t 0/24 上连到分布层交换机 DistributeSwitch2 的端口 FastEthernet 0/23。这两条上连链路将成为主干道链路，在这两条上连链路上将运输多个 VLAN 的数据。 如图 2-16 所示 ，设置访问层交换机 AccessSwitch1 的端口 FastEthernet 0/23、FastEthernet 0/24 为主干道端口。 图 2-16设置主干道端口2.1.7 配 置 访 问 层 交 换 机 AccessSwitch2访问层交换机 AccessSwitch2 为 VLAN 30 和 VLAN 40 的用户提供接入服务。 同时 ，分 别通过自己的 FastEt

24、hernet 0/23 、FastEthernet 0/24 上连到分布层交换 机 DistributeSwitch1、 DistributeSwitch2 的端口 FastEthernet 0/24。如图 2-17 所示，是访问层交换机 AccessSwitch2 的连接示意图。 图 2-17访问层交换机 AccessSwitch2 的连接示意图对访问层交换机 AccessSwitch2 的配置步骤、命令和对访问层交换机 AccessSwitch1 的配置类似 。这里 ，不再详 细分析 ，只给出最后的配置文件内容 （只留下了必要的命令）。 需要指出的是，为了提供主干道的吞吐量，可以采用链路捆

25、绑（快速以太 网信道）技术增加可用带宽。 例如，可以将访问层交换机 AccessSwitch1 的端 口 FastEthernet 0/21 和 FastEthernet 0/22 捆绑在一起实现 200Mbps 的快速以太 网信道，然后再上连到分布层交换机 DistributeSwitch1。同样，也可以将访问 层交换机 AccessSwitch1 的端口 FastEthernet 0/23 和 FastEthernet 0/24 捆绑在一 起 实 现 200Mbps 的 快 速 以 太 网 信 道 ， 然 后 再 上 连 到 分 布 层 交 换 机 DistributeSwitch2。具体

26、的配置步骤和命令将在核心 层交换机的配置一节中进行 介绍。 2.1.8 访 问 层 交 换 机 的 其 它 可 选 配 置1、 Uplinkfast访问层交换机 AccessSwitch1 通过两条冗余上行链路分别接入分布层交换 机 DistributeSwitch1 和 、DistributeSwitch2。在生成树的作用下 ，其 中一条上行 链路处于转发状态，而另一条上行链路 处于阻塞状态。当 处于转发状态的链路 因故障断开后，经过最多大约 50 秒钟的时间，处于阻塞状态的链路才能替 代 故障链路工作。 Uplinkfast 特性可以使得当主上行链路失败后，处于阻塞状态的上行链路 （备份上

27、行链路）可以立即启用。 如图 2-18 所示，是在访问层交换机 AccessSwitch1 上启用 Uplinkfast 特性。 同样的步骤也可以在访问层交换机 AccessSwitch2 上进行配置。 图 2-18启用 Uplinkfast 特性注意， Uplinkfast 特性只能在访问层交换机上启用。 2、 BackbonefastBackbonefast 的作用与 Uplinkfast 类似 ，也用于加快生成树的收敛 。所不同 的是， Backbonefast 可以检测到间接链路（非直连 链路）故障并立即使得相应 阻塞端口的最大寿命计时器到时，从而缩短该端口可以开始转发数据包的时 间。

28、 如图 2-19 所示，是在访问层交换机 AccessSwitch1 上启用 Backbonefast 特 性。同样的步骤需要在网络中 的所有交换机上进行配置。 图 2-19启用 Backbonefast 特性注意， Backbonefast 特性需要在网络中所有交换机上进行配置。 2.2 分布层交换服务的实现配置分布层交换机分布层除了负责将访问层交换机进行汇集外，还为整个交换网络提供 VLAN 间的路由选择功能。 这里的分布层交换机采用的是 Cisco Catalyst 3550 交换机 。作为 3 层交换机， Cisco Catalyst 3550 交换机拥有 24 个 10/100Mbp

29、s 自适应快速以太网端口，同 时还有 2 个 1000Mbps 的 GBIC 端口供上连使用，运行的是 Cisco 的 IntegratedIOS 操作系统。这里，以图 2-1 中的分布层交换机 DistributeSwitch1 为例进行 介绍。如图 2-20 所示： 图 2-20分布层交换机 DistributeSwitch12.2.1 配 置 分 布 层 交 换 机 DistributeSwitch1 的 基 本 参 数对分布层交换机 DistributeSwitch1 的基本参数的配置步骤与对访问层交换 机 AccessSwitch1 的基本参数的配置类似。这里， 只给出实际的配置步骤

30、，不 再给出具体解释，如图 2-21 所示。 图 2-21配置分布层交换机 DistributeSwitch1 的基本参数2.2.2 配 置 分 布 层 交 换 机 DistributeSwitch1 的 管 理 IP、 默 认 网 关如图 2-22 所示 ，显示了为分布层交换机 DistributeSwitch1 设置管理 IP 并激 活本征 VLAN。同时，还设置了默认网关的地址。 图 2-22分布层交换机 DistributeSwitch1 的管理 IP、默认网关2.2.3 配 置 分 布 层 交 换 机 DistributeSwitch1 的 VTP当网络中交换机数量很多时，需要分别在

31、每台 交换机上创建很多重复的 VLAN。工 作量很大 、过程很繁琐 ，并且容易出错 。在实际工作中常采用 VLAN 中继协议（ Vlan Trunking Protocol， VTP）来解决这个问题。 VTP 允许在一台交换机上创建所有的 VLAN。然后，利用交换机之间的互 相学习功能 ，将创建好的 VLAN 定义传播到整个网络中需要此 VLAN 定义的所 有交换机上 。同时 ，有关 VLAN 的删除 、参数更改操作均可传播到其他交换机。 从而大大减轻了网络管理人员 配置交换机的负担。 在本校园网实现实例中使用了 VTP 技术。同时，将分布层交换 机DistributeSwitch1 设置成为

32、 VTP 服务器，其他交换机设置成为 VTP 客户机。 1、配置 VTP 管理域 共享相同 VLAN 定义数据库的交换机构成一个 VTP 管理域。每一个 VTP 管理域都有一个共同的 VTP 管理域域名。不同 VTP 管理域的交换机之间不交 换 VTP 通告信息。 如图 2-23 所示，将 VTP 管理域的域名定义为“ chinaitlab”。 图 2-23设置 VTP 管理域的域名2、设置 VTP 服务器 工作在 VTP 服务器模式下的交换机可以创建 、删除 VLAN、修 改 VLAN 参 数。同时，还有责任发送和转发 VLAN 更新消息。 如图 2-24 所示，设置分布层交换机 Distr

33、ibuteSwitch1 成为 VTP 服务器。 图 2-24设置分布层交换机 DistributeSwitch1 成为 VTP 服务器3、激活 VTP 剪裁功能 默认情况下主干道传输所有 VLAN 的用户数据。有时，交换网络中某台交 换机的所有端口都属于同一 VLAN 的成员 ，没有必要接收其他 VLAN 的用户数 据 。这时 ，可 以激活主干道上的 VTP 剪裁功能 。当激活了 VTP 剪裁功能以后， 交换机将自动剪裁本交换机没有定义的 VLAN 数据。 在一个 VTP 域下，只需要在 VTP 服务器上激活 VTP 剪裁功能。同一 VTP域下的所有其他交换机也将自动激活 VTP 剪裁功能。

34、 如图 2-25 所示，设置激活 VTP 剪裁功能。 图 2-25激活 VTP 剪裁功能2.2.4 在 分 布 层 交 换 机 DistributeSwitch1 上 定 义 VLAN在本校园网实现实例中 ，除了默认的本征 VLAN 外，又额外定义了 8 个VLAN，如表 2-1 所示。 由于使用了 VTP 技术，所以，所有 VLAN 的定义都只需要在 VTP 服务器， 即分布层交换机 DistributeSwitch1 上进行。 如图 2-26 所示，定义了 8 个 VLAN，同时为每个 VLAN 命名。 2.2.5 配 置 分 布 层 交 换 机 DistributeSwitch1 的 端

35、 口 基 本 参 数分布层交换机 DistributeSwitch1 的端口 FastEthernet 0/1 FastEthernet 0/10 为服务器群提供接入服务，而端口 FastEthernet 0/23、 FastEthernet 0/24 分别下 连到访问层交换机 AccessSwitch1 的端口 FastEthernet 0/23 以及访问层交换机 AccessSwitch2 的端口 FastEthernet 0/23。此 外 ， 分 布 层 交 换 机DistributeSwitch1还 通 过 自 己 的 千 兆 端 口 GigabitEthernet 0/1 上连到核心

36、交换机 CoreSwitch1 的 GigabitEthernet 3/1。 为了实现冗余设计，分布层交换机 DistributeSwitch1 还通过自己的千兆端口 GigabitEthernet 0/2 连 接 另 一 台 到 分 布 层 交 换 机 DistributeSwitch2 的 GigabitEthernet 0/2。如图 2-27 所示，给出了对所有访问端口、主干道 端口的配置步骤和命令。 图 2-26定义 VLAN图 2-27设置分布层交换机 DistributeSwitch1 的各端口参数2.2.6 配 置 分 布 层 交 换 机 DistributeSwitch1 的

37、3 层 交 换 功 能分布层交换机 DistributeSwitch1 需要为网络中的各个 VLAN 提供路由功能。 这需要首先启用分布层交换机的路由功能。如图 2-28 所示。 图 2-28启用路由功能接下来，需要为每个 VLAN 定义自己的默认网关地址，如图 2-29 所示。 图 2-29定义各 VLAN 的默认网关地址此外 ，还 需要定义通往 Internet 的路由 。这里使用了一条缺省路由命令 ，如 图 2-30 所示。其中，下一跳地址是 Internet 接入路由器的快速以太网接口 FastEthernet 0/0 的 IP 地址。 图 2-30定义到 Internet 的缺省路由

38、2.2.7 配 置 分 布 层 交 换 机 DistributeSwitch2分布层交换机 DistributeSwitch2 的端口 FastEthernet 0/23、FastEthernet 0/24 分别下连到访问层交换机 AccessSwitch1 的端口 FastEthernet 0/24 以及访问层交 换机 AccessSwitch2 的端口 FastEthernet 0/24。此 外 ， 分 布 层 交 换 机DistributeSwitch2还 通 过 自 己 的 千 兆 端 口 GigabitEthernet 0/1 上连到核心交换机 CoreSwitch1 的 Gigab

39、itEthernet 3/2。为了实现冗余设计，分布层交换机 DistributeSwitch2 还通过自己的千兆端 口 GigabitEthernet 0/2 连接到分布层交换机 DistributeSwitch1 的 GigabitEthernet0/2。如图 2-31 所示。 图 2-31分布层交换机 DistributeSwitch2对分布层交换机 DistributeSwitch2 的配置步骤、命令和对分布层交换机 DistributeSwitch1 的配置类似。这里，不再详细分析。 2.2.8其 它配置 为了实现对无类别网络（ Classless Network）以及全零子网（ S

40、ubnet-zero） 的支持，在充当 3 层交换机的分布层交换机 DistributeSwitch1 上，还需要进行 相应的配置，如图 2-32 所示。 图 2-32定义对无类别网络以及全零子网的支持2.3 核心层交换服务的实现配置核心层交换机核心层将各分布层交换机互连起来进行 穿越园区网骨干的高速数据交换。 本实例中的核心层交换机采用的是 Cisco Catalyst 4006 交换机，采用了 Catalyst 4500 Supervisor II Plus（ WS-X4013+）作为交换机引擎 。运 行的是 Cisco的 Integrated IOS 操作系统，其镜像文件是 CAT400

41、.6-3-5.BIN。在作为核心层交换机的 Cisco Catalyst 4006 交换机中 ，安装了 WS-X4306-GB（ Catalyst 4000 Gigabit Ethernet Module, 6-Ports （ GBIC）模 块，该模块提供 了 5 个千兆光纤上连接口，可以用来接入 WS-G5484（ 1000BASE-SXShortWavelengthGBIC （ Multimode only）。这里，以图 2-1 中的核心层交换机 CoreSwitch1 为例进行介绍。如图 2-33 所示： 图 2-33核心层交换机 CoreSwitch12.3.1 配 置 核 心 层 交

42、 换 机 CoreSwitch1 的 基 本 参 数对核心层交换机 CoreSwitch1 的基本参数的配置步骤与对访问层交换机 AccessSwitch1 的基本参数的配置类似 。这里 ，只 给出实际的配置步骤 ，不再给 出具体解释，如图 2-34 所示。 图 2-34配置核心层交换机 CoreSwitch1 的基本参数2.3.2 配 置 核 心 层 交 换 机 CoreSwitch1 的 管 理 IP、 默 认 网 关如图 2-35 所示 ，显 示了为核心层交换机 CoreSwitch1 设置管理 IP 并激活本 征 VLAN。同时，还设置了默认网关的地址。 图 2-35核心层交换机 Co

43、reSwitch1 的管理 IP、默认网关2.3.3 配 置 核 心 层 交 换 机 CoreSwitch1 的 的 VLAN 及 VTP在本实例中，核心层交换机 CoreSwitch1 也将作为 VTP 客户机。 这 里 核 心 层 交 换 机CoreSwitch1将 通 过VTP获 得 在 分 布 层 交 换 机 DistributeSwitch1 中定义的所有 VLAN 的信息。 如图 2-36 所示，设置核心层交换机 CoreSwitch1 成为 VTP 客户机。 图 2-36设置核心层交换机 CoreSwitch1 成为 VTP 客户机2.3.4 配 置 核 心 层 交 换 机 Co

44、reSwitch1 的 端 口 参 数核心层交换机 CoreSwitch1 通过自己的端口 FastEthernet 4/3 同广域网接入 模块（ Internet 路由器）相连。同时，核心层交换机 CoreSwitch1 的端口 GigabitEthernet 3/1 GigabitEthernet 3/2 分 别 下 连 到 分 布 层 交 换 机 DistributeSwitch1 和 DistributeSwitch2 的端口 GigabitEthernet 0/1。如图 2-37 所示，给出了对上述端口的配置命令。 图 2-37设置核心层交换机 CoreSwitch1 的各端口参数此

45、外，为了提供主干道的吞吐量以及实现冗余设计，在本设计中，将核心 层交换机 CoreSwitch1 的千兆端口 GigabitEthernet 2/1、GigabitEthernet 2/2 捆绑 在一起实现 2000Mbps 的千兆以太网信道，然后再连接到另一台核心层交换机 CoreSwitch2。如图 2-38 所示，是设置核心层交换机 CoreSwitch1 的千兆以太网信道的步 骤。 图 2-38设置核心层交换机 CoreSwitch1 的千兆以太网信道2.3.5 配 置 核 心 层 交 换 机 CoreSwitch1 的 路 由 功 能核心层交换机 CoreSwitch1 通过端口 F

46、astEthernet 4/3 同广域网接入模块 （ Internet 路由器 ）相连 。因此 ，需要启用核心层交换机的路由功能 。同时 ，还 需要定义通往 Internet 的路由 。这里使用了一条缺省路由命令 ，如 图 2-39 所示。 其中，下一跳地址是 Internet 接入路由器的快速以太网接口 FastEthernet 0/0 的IP 地址。 图 2-39定义到 Internet 的缺省路由如图所示。2.3.6其 它配置 为了实现对无类别网络（ Classless Network）以及全零子网（ Subnet-zero） 的支持，在充当 3 层交换机的核心层交换机 CoreSwit

47、ch1，也需要进行相应的 配置，如图 2-40 所示。 图 2-40定义对无类别网络以及全零子网的支持2.3.7 核 心 层 交 换 机 CoreSwitch2 的 配 置对于图 2-1-中的核心层交换机 CoreSwitch2 的配置步骤 、命令和对核心层交 换机 CoreSwitch1 的配置类似。这里，不再详细分 析。同时，对于配置核心层 交换机 CoreSwitch2 下连的一系列交换机，其连接 方法以及配置步骤和命令同 图 2-1-中核心层交换机 CoreSwitch1 下连的一系列交换机的连接方法以及配置 步骤和命令类似。这里也不再赘述。 3广域网接入模块设计在 本 实 例 设 计

48、 中 ， 广 域 网 接 入 模 块 的 功 能 是 由 广 域 网 接 入 路 由 器 InternetRouter 来完成的。采用的是 Cisco 的 3640 路由器。它通过自己的串行 接口 serial 0/0 使用 DDN（ 128K）技术接入 Internet。其作用主要是在 Internet 和校园网内网间路由数据包。除了完成 主要的路由任务外，利 用访问控制列表 （ Access Control List，ACL），广域网接入路由器 InternetRouter 还可以用来完 成以自身为中心的流量控制和 过滤功能并实现一定的安全功能 ，如图 3-1 所示。 图 3-1广域网接入

49、路由器 InternetRouter3.1 配置接入路由器 InternetRouter 的基本参数对接入路由器 InternetRouter 的基本参数的配置步骤与对访问层交换机 AccessSwitch1 的基本参数的配置类似 。这里 ，只 给出实际的配置步骤 ，不再给 出具体的解释，如图 3-2 所示。 图 3-2配置接入路由器 InternetRouter 的基本参数3.2 配置接入路由器 InternetRouter 的各接口参数对 接 入 路 由 器InternetRouter 的 各 接 口 参 数 的 配 置 主 要 是 对 接 口 FastEthernet 0/0 以及接口

50、Serial 0/0 的 IP 地址、子网掩码的配置。 如图 3-3 所示，显示了为接入路由器 InternetRouter 的各接口设置 IP 地址、子 网掩码。 图 3-3设置接入路由器 InternetRouter 的各接口参数3.3 配置接入路由器 InternetRouter 的路由功能在接入路由器 InternetRouter 上需要定义两个方向上的路由 ：到校园网内部 的静态路由以及到 Internet 上的缺省路由。 到 Internet 上的路由需要定义一条缺省路由，如图 3-4 所示。其中，下一跳 指定从本路由器的接口 serial 0/0 送出。 图 3-4定义到 Int

51、ernet 的缺省路由到校园网内部的路由条目可以经过路由 汇总后形成两条路由条目 。如图 3-5所示。 图 3-5定义到校园网内部的路由3.4 配置接入路由器 InternetRouter 上的 NAT由于目前 IP 地址资源非常稀缺，不可能给校园网 内部的所有工作站都分配 一个公有 IP（ Internet 可路由的 ）地址 。为了解决所有工作站访问 Internet 的需 要，必须使用 NAT（网络地址转换）技术。 为了接入 Internet，本校园网向当地 ISP 申请了 9 个 IP 地址。其中一个 IP地址 ：193.1.1.1 被分配给了 Internet 接入路由器的串行接口 ，

52、另外 8 个 IP 地址： 202.206.222.1 202.206.222.8 用作 NAT。NAT 的配置可以分为以下几个步骤： 1、定义 NAT 内部、外部接口 图 3-6 显示了如何定义 NAT 内部、外部接口。 图 3-6定义 NAT 内部、外部接口2、定义允许进行 NAT 的工作站的内部局部 IP 地址范围 图 3-7 显示了如何定义允许进行 NAT 的内部局部 IP 地址范围。 图 3-7定义工作站的内部局部 IP 地址范围3、为服务器定义静态地址转换 图 3-8 显示了如何为服务器定义静态地址转换。 图 3-8为服务器定义静态地址转换4、为其他工作站定义复用地址转换 图 3-9 显示了如何为其他工作站定义复用地址转换。 图 3-9为工作站定义复用地址转换3.5 配置接入路由器 InternetRouter 上的 ACL路由器是外网进入校园网内网的第一道关卡，是网络防御的前沿阵地。路 由器上的访问控制列表 （ Access Control List， ACL） 是保护内网安全的有效手 段。一个设计良好的访问控制列表不仅 可以起到控制网络流量、流向的作用 ， 还可以在不增加网络系统软、硬件投资 的情况下完成一般软、硬件防火墙产品 的功能。由于路由器介于企业内网和外 网之间，