基于华为eNsp模拟器的综合实验
实验拓扑
实验需求
1.总部需求(左):
- 所有内网用户均能通过DHCP SERVER(全局地址池)自动获取到ip地址
- 为保障可靠性,要求核心设备进行冗余
- 办公用户的主网关部署在核心1上,其他用户的主网关部署在核心2上
- 接入到核心要求部署mstp,实现用户到自己主网关走最优数据链路
- 核心之间要求进行二层数据链路聚合提高带宽
- 所有内网用户均能通过域名访问内网服务器(使用ping www.chenj.com 来实现)
- 除财务和网管外,所有用户均可访问公网
- 将内网服务器发布到公网,能被分部用户访问
- 网管可以通过telnet远程管理核心设备和DHCP SERVER
2.分部需求(右):
- 分部没有核心交换机,直接用边界路由器给用户充当网关
- 将分部服务器发布到公网上,能被总部用户访问
3.地址规划:
- 总部可用网段为172.16.0.0/16
分部可用网段为192.168.1.0/24
总部公网ip为201.201.201.1/28
分部公网ip为201.201.201.17/28
4.现有设备表:
办公 | 财务 | 人事 | 网管 | 服务器 |
---|---|---|---|---|
800人 | 20人 | 40人 | 10人 | 2台 |
我做的地址规划表:
实验步骤与分析
总体配置步骤由简单到复杂
1.划分子网,划分vlan
- 具体划分见上表
- eNsp的三层交换机接口配不了IP地址,通过划分到vlan来赋予地址,实现三层功能
2.接入层配置vlan,核心层配置网关
- 配置Trunk接口,Access接口
- 两个核心,分别配置不同网关(过VRRP虚拟IP实现)
3.核心层链路聚合
- 分别在两个核心交换机创建聚合端口eth-trunk
- 进入物理接口,把接口加到聚合端口中
4.配置VRRP
- 核心1上配置vlan 10 20 30 40 50 物理网关x.x.x.254
- 核心2上配置vlan 10 20 30 40 50 物理网关x.x.x.253
- 在两个核心创建VRRP组,每个VLAN对应一个组,一个组对应一个虚拟IP x.x.x.252,例如核心1的vlan10是vrrp vrid 10,核心2的vlan10也是vrrp vrid10,但是在核心1上配置优先级>100 (priority不配默认100),就可实现master–backup功能
- 最终实现办公vlan10的主网关在核心1,其它主网关在核心2
5.配置MSTP生成树
-
通过命令,指定接入层/核心层交换机为MSTP模式
-
配置域的名字,将vlan 10映射到实例1,vlan 20 30 40 50映射到实例2上,最后激活MSTP域的配置(这部分在所有参与STP计算的交换机都是一样的配置)
-
在域RG1内,配置实例1、2的根桥primary和备份根桥secondary(实例1—根桥—核心1;实例2—根桥—核心2)
核心1上 stp instance 1 root primary
核心1上 stp instance 2 root secondary
核心2上 stp instance 1 root secondary
核心2上 stp instance 2 root primary
将与终端相连的端口设置为边缘端口
interface xxx
stp edge-port enable
quit
- 设备全局使能MSTP,在核心层和汇聚层交换机上启动MSTP(stp enbale)
- 最终实现LSW3上去往vlan10网关优先走E0/0/1,而阻塞E0/0/4,其它类似
6.配置DHCP
- 给DHCP_Server手动配置一个IP地址
- 创建每个VLAN对应的可分配的地址池
ip pool poolname
network x.x.x.x mask x.x.x.x
指定待分配vlan对应的虚拟网关---IP
指定DNS服务器地址
- 使能DHCP服务器,开启DHCP服务器功能(dhcp enable),配置接口下从全局地址池中获取IP地址
interface vlan x
dhcp select global
- 在核心层交换机上,使能dhcp服务,配置接口vlanif 10 20 30 40的中继功能
dhcp select relay
dhcp relay server-ip x.x.x.x
-
将LSW7的E0/0/3接口划入vlan50(即和dhcp服务器同一网段,以便dhcp服务器可达核心层)
-
在dhcp服务器写一条去往核心的静态路由,指向虚拟网关(回程路由,不写分配地址的包回来不知道怎么走)
7.配置DNS
- 启动53号端口,将内网服务器IP与域名进行绑定,实现通过ping 域名访问服务器
- 这里如果ping不通,检查DHCP分配的DNS服务器IP地址有没有错误
8.配置NAT和ACL
实现部分内网用户可访问外网(动态NAT),总部内网FTP服务器通过一个外网地址发布出去(静态NAT)供分部访问。
分部用户可访问外网,分部FTP服务器通过外网地址发布,可供总部访问。
-
在边界路由器AR1上,配置好各接口的IP(详见上表2),路由器是连接不同网段,所以每个接口都在不同网段
-
在AR1的g0/0/0和g0/0/2上分别配置一个属于vlan60 70的ip,核心1上g0/0/8不能直接配置IP,所以划分到vlan60,同理核心2划分到vlan70,从而能写分部访问总部进入总部内网的静态路由
-
核心1、2上写去往外网的静态路由,以及外网访问内网的静态路由,去往内网的静态路由,去vlan10走左边下一跳,去vlan 20 30 40 50走右边下一跳
-
内网FTP服务器使用201.201.201.3发布到外网,使用静态nat
inter g0/0/1
nat static global 外网IP inside 内网服务器IP
- 总部内网部分用户访问外网,使用NAT outbound
边界路由器AR1上使用 nat addres-group 命令设置NAT地址池,具体地址池范围见表2
创建基本ACL ,匹配内网的除财务和网管之外的网段
iv. 在接口g0/0/1与地址池相关联,使ACL中规定地址可以使用地址池进行池转换
- 分部用户访问外网,使用NAT outbound以及分部FTP服务器通过201.201.201.19发布
- 最终效果
总部内网用户访问公网,访问分部服务器
分部用户访问外网,访问总部服务器
9.配置Telnet远程登录,网管远程登录核心1、2、dhcp_server
- a. 分别在核心1、2、dhcp_server上开启Telnet服务器功能(Telnet server enable)
配置VTY用户界面的验证方式是3A认证(AAA认证)
Loca-user 用户名 password cipher 密码
ensp模拟器中pc无Telnet功能,用AR路由代替实验
实验拓扑打包文件
https://cloud.189.cn/t/QbuQfebuuAZr(访问码:ib66)
eNsp模拟器,加载StepOne.topo