2022年全国职业院校技能大赛网络系统管理赛项模块A：网络构建（样题7）

任务清单

（一）基础配置

1.根据附录1拓扑图及附录2地址规划表，配置设备接口信息。

2.在网络设备上，均开启SSH服务端功能。其中，用户名和密码为admin、admin123。密码为明文类型。特权密码为admin1234。

3.交换设备上部署SNMP功能。配置所有设备SNMP消息，向主机172.16.0.254发送Trap消息版本采用V2C，读写的Community为“Test”，只读的Community为“public”，开启Trap消息。

（二）有线网络配置

1.在全网Trunk链路上做VLAN修剪。

2.在交换机S1、S2的Gi0/1-Gi0/22端口启用端口保护。

3.在S1、S2连接PC机端口上开启Portfast和BPDUguard防护功能。

4.检测到环路后处理方式Shutdown-Port。

5.如果端口检测进入 Err-Disabled状态，再过 300 秒后会自动恢复（基于接口部署策略），重新检测是否有环路。

6.DHCP服务器搭建于EG1上，DHCP对外服务使用loopback 0地址。

7.在S1、S2交换机部署DHCP Snooping+DAI功能。其中，DAI功能主要针对VLAN10与VLAN20启用ARP防御，要求关闭S1/S2上联口的NFPP功能。

8.在S1、S2、S3、S4上配置MSTP防止二层环路。要求VLAN10、VLAN20数据流经过S3转发，S3失效时经过S4转发。VLAN50、VLAN60、VLAN100数据流经过S4转发，S4失效时经过S3转发。region-name为test。revision版本为1。S3作为实例1的主根、实例2的从根，S4作为实例2的主根、实例1的从根。其中，主根优先级为4096，从根优先级为8192。

9.在S3和S4交换机上配置VRRP，实现主机的网关冗余，所配置的参数要求见表1。在交换机S3、S4上配置的各VRRP组中，设置高优先级设置为150，低优先级设置为120，S3、S4的2条互联链路（Gi0/22、Gi0/23）上，配置二层链路聚合，采取LACP动态聚合模式。

表1 S3和S4的VRRP参数表

VLAN	VRRP备份组号（VRID）	VRRP虚拟IP
VLAN10	10	192.1.10.254
VLAN20	20	192.1.20.254
VLAN50	30	192.1.50.254
VLAN60	40	192.1.60.254
VLAN100	100	192.1.100.254

10.S6和S7间的Te0/49-50端口作为VSL链路网络设备虚拟化。其中S6为主，S7为备。S6和S7间的Gi0/47端口作为双主机检测链路，配置基于双主机检测，当VSL的所有物理链路都异常断开时，备机会切换成主机，从而保障网络正常。其中，主设备：Domain id：1。switch id:1。priority 150。 description: Switch-Virtual-Switch1。备设备：Domain id：1。switch id:2。priority 120。description: Switch-Virtual-Switch2。

11.各机构内网运行OSPF，配置VAC、S5、EG2之间运行OSPF，进程号10，规划单区域：区域0。R1、R2、R3之间运行OSPF，进程号20，规划单区域：区域0VSU、R2、R3之间运行OSPF，进程号21，规划单区域：区域0。S3、S4、EG1之间运行OSPF，进程号为30。

12.要求业务网段中不出现协议报文。R1、VSU始发的终端网段以及各设备上的Loopback管理地址，均以重分发直连路由的方式注入路由;R2/EG2、R3/EG1之间互联段，均以重发布直连的方式，注入R2、R3的OSPF双进程中，R2、R3之间启用OSPF与BFD联动，以达到迅速检测运营商网络中断，快速地切换到其他备份线路，提高用户网络体验。

13.优化OSPF相关配置，以尽量加快OSPF收敛。配置重发布路由进OSPF中使用类型1。

14.分支机构之间，部署IPV6网络，实现机构之间的内网中安装的IPV6终端，可通过无状态自动从网关处获取地址。其中，IPV6地址规划如表2。

表2 PV6地址规划表

设备	接口	IPV6地址
R1	VLAN10	2001:194:1:10::254/64
	VLAN20	2001:194:1:20::254/64
	Tunnel0	2001:11:1:3::1/64
VSU	VLAN10	2001:195:1:10::254/64
	VLAN20	2001:195:1:20::254/64
	Tunnel0	2001:11:1:3::2/64

（三）无线网络配置

 

1.分公司的无线网络规划中，使用EG1作为无线用户和无线FIT AP的DHCP服务器。分公司内网SSID为admin_Fit_XX(备注：XX现场提供)。WLANID为1。AP-Group为admin。配置内网中的无线用户在关联SSID后，即可自动获取VLAN60地址。

2.配置两台AC设备，使用虚拟化方案的VAC技术，组合成1台虚拟AC。

3.AC1和AC2之间的Gi0/4-5端口作为VSL链路。其中：配置AC1为主，AC2为备。

4.AC1和AC2间的Gi0/3端口，作为双主机检测链路，配置基于双主机检测。当VSL的所有物理链路都异常断开时，备机会切换成主机，从而保障网络正常。其中，主设备为：Domain id：1。device id:1。priority 150。 description: AC-1。备设备为：Domain id：1。device id:2。priority 120。 description: AC-2。

5.在VAC与S5之间的业务线缆都规划为双线路。为提升冗余性，采用三层链路聚合。

6.AP3使用胖模式进行部署，以透明模式进行部署，管理地址为192.1.100.3/24(备注：XX现场提供)。在无线AP3上创建SSID(WLAN-ID 2)，相关参赛为：admin-Fat_XX(备注：XX现场提供) 。其中，内网无线用户关联SSID后，可自动获取VLAN60网段地址。

7.无线用户接入无线网络时，连接Fit AP无线用户接入无线网络时采用WPA2加密方式，加密密码为XX。Fat AP部署的无线网络中，无线用户接入无线网络时采用WEB认证方式，认证用户名、密码为XX。

（四）出口网络配置

1.出口网关上进行NAT配置，实现机构内网终端及服务器，均可访问互联网，通过NAPT方式将内网IP地址转换到互联网接口上。

2.出口网关EG1上配置，使S1交换机（192.1.100.1,其中：XX现场提供）设备的Telnet服务，可以通过互联网被访问。此外，将其地址映射至运营商线路上，映射地址为11.1.2.10，映射端口23333。

3.EG1设备，上启用Web Portal认证服务，认证用户名密码均为user1、user2。有线用户需进行WEB认证访问互联网无线用户不需在EG上进行WEB认证即可访问互联网。

4.使用IPSec对本部到各分部的数据流进行加密。要求使用动态隧道主模式，安全协议采用esp协议，加密算法采用3des，认证算法采用md5，以IKE方式建立IPsec SA。在R1上配置ipsec加密转换集名称为myset。动态ipsec加密图名称为dymymap。预共享密钥为明文123456。静态的ipsec加密图mymap。

5.出口网关EG1上，针对内网访问互联网WEB流量限速每IP 1000Kbps，内网WEB总流量不超过20Mbps，通道名称定义为WEB。

6.在EG1与EG2出口网关之间，启用GRE Over IPSec VPN嵌套功能。创建GRE隧道，实现内部承载OSPF协议，使其总分机构间内网连通。

7.配置IPSec安全使用静态点对点模式，要求esp传输模式封装协议。isakmp策略定义加密算法采用3des。散列算法采用md5，预共享密码为admin。DH使用组2。此外，转换集myset定义加密验证方式为esp-3des esp-md5-hmac。感兴趣流ACL编号为103。加密图定义为mymap。

附录1：拓扑图