Ensp实验随心记——搭建小型网络

理论才是实验的关键，学好理论再看实验，才知所以然。实验有步骤顺序性，愿意学能看懂的。有错误请批评指正。

拓扑

要求

1：企业内网共有3个业务vlan，分别是Group1 Gropu2 和Guest，使用Vlan10 20 30。 
       网关路由器和5700之间运行动态路由协议。 
1.1：Guest，使用Vlan30 ， 可以访问互联网，但不能访问内网服务器（Server-1），该网段自动分配IP地址，地址范围：192.168.1.100 ~ 192.168.1.199  网关192.168.1.1 DNS 8.8.8.8 租期4小时。该地址分配在5700上完成。 
1.2：Group1可以访问公网也可以访问内部服务器（Server-1），使用Vlan 10 。 
1.3：Group2可以访问内部服务器，但是不能访问公网。 
1.4：内部服务器（Server-1）对内部提供FTP服务，不提供HTTP服务。对公网用户提供HTTP服务，但不提供FTP服务。公网用户访问Server-1 
时，使用IP地址为200.1.1.3。 
2：Internet用户可以访问企业内部服务器的HTTP业务，不能访问FTP。Internet Server对所有人提供FTP和HTTP服务。
3：分支机构，使用PPPOE拨号上网，得到某个自动分配的公网IP。分支内的用户Part user可以访问公网和企业内网服务器（HTTP），公网用户可以访问分支内的Part-Server的HTTP业务。 

实验步骤

①配置所有PC以及设备接口的IP地址。

②配置企业内网的Vlan以及相关配置。相关配置生成树，根交换机定为5700 

③内网的网关和vlan间互访（5700配置）。

④开启DHCP，为Guest分配ip地址（5700配置）。 

⑤连接内网和路由器，让内网设备可以访问内网服务器（Server-1）。
在5700和网关路由器之间运行RIP路由协议。

配置RIP。网关路由和公网之间不能跑路由协议。




此时企业内网已经可以互通。

⑥按照需求，确认访问内部服务器Server-1的流量。配置ACL 3001  应用到G0/0/1的out方向。（正确的应用应该在G0/0/2的in方向） 
       deny ip source 192.168.1.0 0.0.0.255 destination 192.168.200.200 0.0.0.0 
       deny tcp source any destination 192.168.200.200 0.0.0.0 destination-port eq 80 
       rule permit ip 

⑦按照需求，配置NAT连接互联网。 
       guest和Group1 使用EasyIP方式，访问互联网。ACL 2001 
       rule permit source 192.168.1.0 0.0.0.255 （guest） 
       rule permit source 192.168.10.0 0.0.0.255 （group 1） 
       int g0/0/0 
       nat outbound 2001 
注意：5700和网关设备上，需要有正确的缺省路由，才可以实现。 
       配置NAT服务器，让互联网用户可以访问内部服务器（Server-1）的HTTP。

缺少了默认路由

让gateway向下游发送一条默认路由
如果是ospf，那么下发路由可以是default-route-advertise always

配置默认路由到公网。



此时内网guest和group-1可以访问互联网






配置NAT服务器，让互联网用户可以访问内部服务器（Server-1）的HTTP。



为什么tcp会访问不通呢？因为之前在网关路由做了acl。而icmp本来就不能通的。

将前面的acl应用改为在0/2上的in方向。经测试不影响原效果。

internet用户可以通过http访问企业内部服务器了。

⑧配置ISP路由器作为PPPOE拨号服务器 
[ISP]ip pool pppoe 
Info: It's successful to create an IP address pool. 
[ISP-ip-pool-pppoe]network 200.2.2.0 mask 24 
[ISP-ip-pool-pppoe]gateway-list 200.2.2.1 
[ISP-ip-pool-pppoe]qu 
[ISP]int virtual-template 1 
[ISP-Virtual-Template1]ppp authentication-mode pap 
[ISP-Virtual-Template1]ip add 200.2.2.1 24 
[ISP-Virtual-Template1]remote address pool pppoe 
[ISP-Virtual-Template1]qu 
[ISP]int g 0/0/0 
[ISP-GigabitEthernet0/0/0]int g 0/0/1        
[ISP-GigabitEthernet0/0/1]pppoe-server bind virtual-template 1 
[ISP-GigabitEthernet0/0/1]qu 
[ISP]aaa 
[ISP-aaa]local-user part password cipher 123456 
Info: Add a new user. 
[ISP-aaa]local-user part service-type ppp 

⑨配置分支机构网关的PPPOE拨号 
[Part-1]dialer-rule 
[Part-1-dialer-rule]dialer-rule 1 ip permit 
[Part-1-dialer-rule]qu 
[Part-1]int dialer 0 
[Part-1-Dialer0]dialer user user1 
[Part-1-Dialer0]dialer-group 1 
[Part-1-Dialer0]dialer bundle 1 
[Part-1-Dialer0]ppp pap local-user part password cipher 123456 
[Part-1-Dialer0]ip add ppp-negotiate 
[Part-1-Dialer0]qu 
[Part-1]int g 0/0/0 
[Part-1-GigabitEthernet0/0/0]pppoe-client dial-bundle-number 1 

⑩Part user要访问公网，做nat和缺省路由， 
       缺省路由可以使用静态完成，或者让Dialer接口自动生成。 
       int dialer 0 
       ppp ipcp default-route 
       由于只有接口上的一个公网IP地址，所以只能用EasyIP完成NAT转换。

公网用户可以访问分支内的Part-Server的HTTP业务。这里要用当前配置获得的接口。