简单组网案例及配置

已于 2024-10-06 21:18:17 修改
阅读量857 收藏 12
点赞数 9
分类专栏： 笔记 网络 文章标签： 网络
于 2024-10-02 17:09:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/q1425857916/article/details/142682868
版权

文章目录

本文档由md软件编写后导入，如若存在格式错乱，请移步原始文档

组网需求：

  1. 200人左右
  2. 满足当前业务需求
  3. 拓扑简单，维护方便
  4. 提供有线接入供办公使用，提供wifi服务供访客使用
  5. 简单网络流量管理
  6. 一定的安全性

1 交换机工作原理

1.1 组网拓扑

image-20241002122449594

每个设备都有自己独有的MAC地址，交换机根据MAC地址去转发数据包

1.2 配置PC

1.2.1 配置IP

  1. VPC2

    VPC2> ip 1.1.1.2 24          
Checking for duplicate address...
VPC2 : 1.1.1.2 255.255.255.0

VPC2> show ip

NAME        : VPC2[1]
IP/MASK     : 1.1.1.2/24
GATEWAY     : 0.0.0.0
DNS         : 
MAC         : 00:50:79:66:68:02
LPORT       : 20000
RHOST:PORT  : 127.0.0.1:30000
MTU         : 1500

  2. VPC3

    VPC3> ip 1.1.1.3 24          
Checking for duplicate address...
VPC3 : 1.1.1.3 255.255.255.0

VPC3> show ip      

NAME        : VPC3[1]
IP/MASK     : 1.1.1.3/24
GATEWAY     : 0.0.0.0
DNS         : 
MAC         : 00:50:79:66:68:03
LPORT       : 20000
RHOST:PORT  : 127.0.0.1:30000
MTU         : 1500

  3. VPC4

    VPC4> ip 1.1.1.4 24          
Checking for duplicate address...
VPC4 : 1.1.1.4 255.255.255.0

VPC4> show ip      

NAME        : VPC4[1]
IP/MASK     : 1.1.1.4/24
GATEWAY     : 0.0.0.0
DNS         : 
MAC         : 00:50:79:66:68:04
LPORT       : 20000
RHOST:PORT  : 127.0.0.1:30000
MTU         : 1500

  4. VPC5

    VPC5> ip 1.1.1.5 24          
Checking for duplicate address...
VPC5 : 1.1.1.5 255.255.255.0

VPC5> show ip      

NAME        : VPC5[1]
IP/MASK     : 1.1.1.5/24
GATEWAY     : 0.0.0.0
DNS         : 
MAC         : 00:50:79:66:68:05
LPORT       : 20000
RHOST:PORT  : 127.0.0.1:30000
MTU         : 1500

1.2.2 ping测试

VPC2 ping VPC5

VPC2> ping 1.1.1.5

84 bytes from 1.1.1.5 icmp_seq=1 ttl=64 time=2.241 ms
84 bytes from 1.1.1.5 icmp_seq=2 ttl=64 time=3.547 ms
84 bytes from 1.1.1.5 icmp_seq=3 ttl=64 time=2.824 ms
84 bytes from 1.1.1.5 icmp_seq=4 ttl=64 time=2.449 ms
84 bytes from 1.1.1.5 icmp_seq=5 ttl=64 time=7.147 ms

1.2.3 工作原理

查看交换机MAC地址表

[HUAWEI]display mac-address 
Flags: * - Backup  
BD   : bridge-domain   Age : dynamic MAC learned time in seconds
-------------------------------------------------------------------------------
MAC Address    VLAN/VSI   Learned-From        Type                Age
-------------------------------------------------------------------------------
0050-7966-6802 1/-           GE1/0/0             dynamic               -
0050-7966-6803 1/-           GE1/0/1             dynamic               -
0050-7966-6804 1/-           GE1/0/2             dynamic               -
0050-7966-6805 1/-           GE1/0/3             dynamic               -
-------------------------------------------------------------------------------
Total items: 4
MAC AddressVLAN/VSILearned-FromTypeAge
设备物理地址，即MAC地址VLAN是虚拟局域网的缩写，VSI是虚拟交换实例。"1/-"可能表示这些MAC地址属于VLAN 1，并且没有指定VSI。表示设备从哪个接口学习到这个MAC地址MAC地址的类型；dynamic表示动态学习设备学习到这个MAC地址的时间；-表示最近学习的，还未超时

查看GE1/0/0抓包

image-20241002134650730

No.TimeSourceDestinationProtocolLengthInfo
序号时间戳，记录数据包捕获确切时间发送数据包的设备的MAC地址目标MAC地址，如果是广播地址（例如"ff:ff:ff:ff:ff:ff"），则表示该数据包被发送给了网络上的所有设备。显示Broadcast可能是抓包工具进行了简化数据包使用的协议名称数据包的长度数据包信息

工作原理：

​ 可以看到数据报文中包含了目标MAC地址，交换机会查看目标MAC，在MAC地址表中查找对应的MAC，从对应的接口转发

问题：

  1. 数据包发包时封装好的，那VPC1怎么知道VPC5的MAC地址？

    image-20241002135650047

    VPC1通过广播形式，发出arp（地址解析协议）询问，告诉我（1.1.1.2），谁是1.1.1.5？，广播包所有设备均可收到，VPC5收到发现是找自己的，就给1.1.1.2回消息，说我是1.1.1.5，MAC是XXXXX

  2. 交换机怎么知道该MAC地址对应哪个接口呢？

    当交换机的接口收到数据包，就会把数据包的源MAC地址和接收接口映射到自己的MAC地址表中。

  3. 有很多电脑的时候，会有大量的广播包，导致网络卡顿，怎么办？

    使用VLAN技术，划分虚拟局域网，分割广播域，隔离故障等

1.2.4 ARP工作原理

  1. IP 地址到 MAC 地址的映射查询：当一个设备需要向另一个设备发送数据时，首先需要知道目标设备的 MAC 地址。发送设备会检查自己的 ARP 缓存表，如果找不到目标设备的 MAC 地址，则会发送一个 ARP 请求广播，询问局域网中所有设备：“谁的 IP 地址是 X.X.X.X，告诉我你的 MAC 地址是什么？”这个广播会被发送到局域网中的所有设备。
  2. 目标设备的应答：目标设备收到 ARP 请求后，会检查自己的 IP 地址是否与请求中的 IP 地址匹配，如果匹配，则会发送一个 ARP 应答，包含自己的 MAC 地址。这个应答会直接发送给请求设备，而不是广播给整个局域网。
  3. ARP 缓存表更新：发送设备收到目标设备的应答后，会将目标设备的 IP 地址和 MAC 地址的映射关系存储在自己的 ARP 缓存表中，以便下次直接使用，避免再次发送 ARP 请求。
  4. ARP 缓存表的过期处理：ARP 缓存表中的映射关系会有一个过期时间，如果在一定时间内没有使用，就会被清除，下次需要通信时会重新发送 ARP 请求。

2 VLAN

2.1 组网拓扑

image-20241002163808920

2.1.1 设备配置

2.1.1.1 配置划分vlan

CE6800需要使用system-view immediately 进入系统视图，只使用system-view进入后，配置不会生效，需要配置后进行commit，为了方便直接执行system-view immediately

VPC配置参考[1.2.1 配置IP](###1.2.1 配置IP)

接口划分vlan

<HUAWEI>system-view immediately 
Enter system view, return user view with return command.
[HUAWEI]sysname CE1
[CE1]vlan 10 
[CE1-vlan10]q
[CE1]interface GE 1/0/0
[CE1-GE1/0/0]port link-type access 
[CE1-GE1/0/0]port default vlan 10
[CE1-GE1/0/0]q
[CE1]int GE 1/0/1
[CE1-GE1/0/1]port link-type access 
[CE1-GE1/0/1]port default vlan 10
[CE1-GE1/0/1]q
[CE1]vlan 20 
[CE1-vlan20]q
[CE1]int GE 1/0/2
[CE1-GE1/0/2]port link-type access
[CE1-GE1/0/2]port default vlan 20
[CE1-GE1/0/2]q
[CE1]int GE 1/0/3
[CE1-GE1/0/3]port link-type access 
[CE1-GE1/0/3]port default vlan 20

[CE2]vlan 10 
[CE2-vlan10]q
[CE2]vlan 20 
[CE2-vlan20]q
[CE2]interface GE 1/0/1
[CE2-GE1/0/1]port link-type access 
[CE2-GE1/0/1]port default vlan 10
[CE2-GE1/0/1]q
[CE2]interface GE 1/0/2
[CE2-GE1/0/2]port link-type access 
[CE2-GE1/0/2]port default vlan 20
[CE2-GE1/0/2]

查看配置结果

[CE1]display vlan 
The total number of vlans is : 3
--------------------------------------------------------------------------------
U: Up;         D: Down;         TG: Tagged;         UT: Untagged;
MP: Vlan-mapping;               ST: Vlan-stacking;
#: ProtocolTransparent-vlan;    *: Management-vlan;
MAC-LRN: MAC-address learning;  STAT: Statistic;
BC: Broadcast; MC: Multicast;   UC: Unknown-unicast;
FWD: Forward;  DSD: Discard;
--------------------------------------------------------------------------------

VID          Ports                                                          
--------------------------------------------------------------------------------
   1         UT:GE1/0/4(U)      GE1/0/5(U)      GE1/0/6(U)      GE1/0/7(U)      
                GE1/0/8(U)      GE1/0/9(U)      GE1/0/10(U)     GE1/0/11(U)     
                GE1/0/12(U)     GE1/0/13(U)     GE1/0/14(U)     GE1/0/15(U)     
                GE1/0/16(U)     GE1/0/17(U)     GE1/0/18(U)     GE1/0/19(U)     
                GE1/0/20(D)     GE1/0/21(D)     GE1/0/22(D)     GE1/0/23(D)     
                GE1/0/24(D)     GE1/0/25(D)     GE1/0/26(D)     GE1/0/27(D)     
                GE1/0/28(D)     GE1/0/29(D)     GE1/0/30(D)     GE1/0/31(D)     
                GE1/0/32(D)     GE1/0/33(D)     GE1/0/34(D)     GE1/0/35(D)     
                GE1/0/36(D)     GE1/0/37(D)     GE1/0/38(D)     GE1/0/39(D)     
                GE1/0/40(D)     GE1/0/41(D)     GE1/0/42(D)     GE1/0/43(D)     
                GE1/0/44(D)     GE1/0/45(D)     GE1/0/46(D)     GE1/0/47(D)     
  10         UT:GE1/0/0(U)      GE1/0/1(U)                                      
  20         UT:GE1/0/2(U)      GE1/0/3(U)                                      
                                                                                
VID  Type     Status  Property  MAC-LRN STAT    BC  MC  UC  Description
--------------------------------------------------------------------------------
   1 common   enable  default   enable  disable FWD FWD FWD VLAN 0001           
  10 common   enable  default   enable  disable FWD FWD FWD VLAN 0010           
  20 common   enable  default   enable  disable FWD FWD FWD VLAN 0020
2.1.1.2 配置trunk放通vlan
[CE1]int GE 1/0/4
[CE1-GE1/0/4]port link-type trunk
[CE1-GE1/0/4]port trunk allow-pass vlan 10 20

[CE2]int GE 1/0/0
[CE2]port link-type trunk 
[CE2]port trunk allow-pass vlan 10 20

ping测试，由于VPC2与VPC5不在同vlan，已经无法通信；VPC2与VPC7可以通信

VPC2> ping 1.1.1.5

host (1.1.1.5) not reachable

VPC7> ping 1.1.1.2

84 bytes from 1.1.1.2 icmp_seq=1 ttl=64 time=3.587 ms
84 bytes from 1.1.1.2 icmp_seq=2 ttl=64 time=8.485 ms
84 bytes from 1.1.1.2 icmp_seq=3 ttl=64 time=3.929 ms
84 bytes from 1.1.1.2 icmp_seq=4 ttl=64 time=7.898 ms
84 bytes from 1.1.1.2 icmp_seq=5 ttl=64 time=10.609 ms

2.1.2 工作原理

image-20241002163012449

问题：

​ CE2怎么知道VPC1是属于vlan 10还是属于vlan20？

因为CE1与CE2连接的接口配置属于Trunk口，数据包在经过Trunk链路时，会携带vlan标签，交换机收到数据包根据vlan标签判断是属于哪个vlan

3 路由器工作原理

  1. 路由是指导报文转发的路径信息，通过路由可以确认转发IP报文的路径
  2. 路由器是依靠路由转发报文到目的网段的设备
  3. 路由设备维护着一张路由表，保存着路由信息

3.1 组网拓扑(一)

image-20241004140328403

3.2 配置

3.2.1 VPC配置IP+网关

VPC3> ip 192.168.10.3 192.168.10.1 24
Checking for duplicate address...
VPC3 : 192.168.10.3 255.255.255.0 gateway 192.168.10.1

VPC7> ip 192.168.30.7 192.168.30.1 24
Checking for duplicate address...
VPC7 : 192.168.30.7 255.255.255.0 gateway 192.168.30.1

VPC配置类似，参照组网图IP进行配置

3.2.2 CE交换机配置

  1. 创建vlan 10 20
  2. 接口GE1/0/1、GE1/0/2划分到vlan10；GE1/0/3、GE1/0/4划分到vlan20
  3. GE1/0/0配置Trunk，放行vlan 10 20
[HUAWEI]display current-configuration 
#
vlan batch 10 20
#
interface GE1/0/0
 undo shutdown
 port link-type trunk
 port trunk allow-pass vlan 10 20
#
interface GE1/0/1
 undo shutdown
 port default vlan 10
#
interface GE1/0/2
 undo shutdown
 port default vlan 10
#
interface GE1/0/3
 undo shutdown
 port default vlan 20
#
interface GE1/0/4
 undo shutdown
 port default vlan 20
#

查看vlan

[HUAWEI]display vlan 
The total number of vlans is : 3
--------------------------------------------------------------------------------
U: Up;         D: Down;         TG: Tagged;         UT: Untagged;
MP: Vlan-mapping;               ST: Vlan-stacking;
#: ProtocolTransparent-vlan;    *: Management-vlan;
MAC-LRN: MAC-address learning;  STAT: Statistic;
BC: Broadcast; MC: Multicast;   UC: Unknown-unicast;
FWD: Forward;  DSD: Discard;
--------------------------------------------------------------------------------

VID          Ports                                                          
--------------------------------------------------------------------------------
   1         UT:GE1/0/0(U)      GE1/0/5(U)      GE1/0/6(U)      GE1/0/7(U)      
                GE1/0/8(U)      GE1/0/9(U)                                      
  10         UT:GE1/0/1(U)      GE1/0/2(U)                                      
             TG:GE1/0/0(U)                                                      
  20         UT:GE1/0/3(U)      GE1/0/4(U)                                      
             TG:GE1/0/0(U)                                                      
                                                                                
VID  Type     Status  Property  MAC-LRN STAT    BC  MC  UC  Description
--------------------------------------------------------------------------------
   1 common   enable  default   enable  disable FWD FWD FWD VLAN 0001           
  10 common   enable  default   enable  disable FWD FWD FWD VLAN 0010           
  20 common   enable  default   enable  disable FWD FWD FWD VLAN 0020
VIDPortsU/DMPST#*FWDDSDTypeStatusPropertyMAC-LRNSTATBCMCUCDescription
VLAN ID，表示虚拟局域网的唯一标识符。端口配置，显示了哪些端口被分配到了特定的VLAN。这里的UT表示Untagged，即未标记端口，TG表示Tagged，即标记端口。表示端口的状态，U代表Up（正常工作），D代表Down（关闭或故障）。Vlan-mapping，表示VLAN映射。Vlan-stacking，表示VLAN堆叠。ProtocolTransparent-vlan，表示协议透明的VLAN。Management-vlan，表示管理VLAN。Forward，表示转发。Discard，表示丢弃。VLAN类型，common表示普通VLAN。VLAN状态，enable表示启用。VLAN属性，default表示默认设置。MAC-address learning，表示MAC地址学习功能是否启用。Statistic，表示统计功能是否启用。Broadcast，表示广播包的处理方式，FWD表示Forward（转发），DSD表示Discard（丢弃）。Multicast，表示组播包的处理方式。Unknown-unicast，表示未知单播包的处理方式。VLAN描述，这里显示为VLAN 0001、VLAN 0010和VLAN 0020。

3.2.3 AR路由器配置

  1. 进入接口G0/0/0清空配置，进入其子接口G0/0/0.1，通过dot1q命令封装vlan，来接收带标签的vlan数据
  2. 配置vlan对应网段的网关IP
  3. G0/0/1与G0/0/2配置IP为VPC7和VPC8的网关
[Huawei]display current-configuration 
[V300R021C00SPC100T]
#
vlan batch 10 20
#
interface GigabitEthernet0/0/0
#
interface GigabitEthernet0/0/0.1
 dot1q termination vid 10
 ip address 192.168.10.1 255.255.255.0
#
interface GigabitEthernet0/0/0.2
 dot1q termination vid 20
 ip address 192.168.20.1 255.255.255.0    
#
interface GigabitEthernet0/0/1
 ip address 192.168.40.1 255.255.255.0
#
interface GigabitEthernet0/0/2
 ip address 192.168.30.1 255.255.255.0
#

查看路由表

[Huawei]display ip routing-table 
Route Flags: R - relay, D - download to fib, T - to vpn-instance
------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 16       Routes : 16       

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
127.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
   192.168.10.0/24  Direct  0    0           D   192.168.10.1    GigabitEthernet0/0/0.1
   192.168.10.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0.1
 192.168.10.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0.1
   192.168.20.0/24  Direct  0    0           D   192.168.20.1    GigabitEthernet0/0/0.2
   192.168.20.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0.2
 192.168.20.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0.2
   192.168.30.0/24  Direct  0    0           D   192.168.30.1    GigabitEthernet0/0/2
   192.168.30.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/2
 192.168.30.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/2
   192.168.40.0/24  Direct  0    0           D   192.168.40.1    GigabitEthernet0/0/1
   192.168.40.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/1
 192.168.40.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/1
255.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
Route FlagsRouting TablesDestinationsRoutesDestination/MaskProtoPreCostFlagsNextHopInterface
- R: 表示该路由可以被转发。 - D: 表示该路由信息可以下载到FIB（Forwarding Information Base，转发信息库）。 - T: 表示该路由是指向VPN实例的。路由表名称，这里显示为"Public"，表示公共路由表。目的地址的数量。路由条目总数。目的网络地址和子网掩码。路由协议，这里"Direct"表示直连接路，即设备直接连接的网络。优先级，路由选择时使用，数值越小优先级越高。到达目的地的代价或开销。路由标志，这里"D"表示该路由已经下载到FIB。下一跳地址，数据包将被发送到这个地址。出接口，数据包将通过这个接口发送。

ping测试不用vlan间通信结果，VPC3:192.168.10.3

VPC3> ping 192.168.40.8

192.168.40.8 icmp_seq=1 timeout
84 bytes from 192.168.40.8 icmp_seq=2 ttl=63 time=29.980 ms
84 bytes from 192.168.40.8 icmp_seq=3 ttl=63 time=5.374 ms
84 bytes from 192.168.40.8 icmp_seq=4 ttl=63 time=7.287 ms
84 bytes from 192.168.40.8 icmp_seq=5 ttl=63 time=4.350 ms

VPC3> trace 192.168.40.8
trace to 192.168.40.8, 8 hops max, press Ctrl+C to stop
 1   192.168.10.1   340.063 ms  124.398 ms  26.992 ms
 2   *192.168.40.8   2.844 ms (ICMP type:3, code:3, Destination port unreachable)

3.3 组网拓扑（二）

image-20241004175021918

3.3.1 内网互通

3.3.1.1 VPC配置

参考[3.2.1 VPC配置IP+网关](###3.2.1 VPC配置IP+网关)

3.3.1.2 CE1交换机配置

参考[3.2.2 CE交换机配置](###3.2.2 CE交换机配置)

3.3.1.3 CE2交换机配置
  1. 创建vlan 10 20
  2. 在SVI接口创建网关IP
  3. 接口GE1/0/0配置Trunk，放行vlan 10 20
  4. GE1/0/1划分vlan10；GE1/0/2划分vlan20
[CE2]display current-configuration 
#
vlan batch 10 20
#
interface Vlanif10
 ip address 192.168.10.1 255.255.255.0
#
interface Vlanif20
 ip address 192.168.20.1 255.255.255.0
#
interface GE1/0/0
 undo shutdown
 port link-type trunk
 port trunk allow-pass vlan 10 20
#
interface GE1/0/1
 undo shutdown
 port default vlan 20
#
interface GE1/0/2
 undo shutdown
 port default vlan 10
#

ping测试

VPC11> ping 192.168.20.14

192.168.20.14 icmp_seq=1 timeout
84 bytes from 192.168.20.14 icmp_seq=2 ttl=63 time=9.225 ms
84 bytes from 192.168.20.14 icmp_seq=3 ttl=63 time=15.933 ms
84 bytes from 192.168.20.14 icmp_seq=4 ttl=63 time=6.600 ms
84 bytes from 192.168.20.14 icmp_seq=5 ttl=63 time=12.426 ms

VPC11> trace 192.168.20.14
trace to 192.168.20.14, 8 hops max, press Ctrl+C to stop
 1   192.168.10.1   68.036 ms  3.289 ms  4.550 ms
 2   *192.168.20.14   16.223 ms (ICMP type:3, code:3, Destination port unreachable)

因为CE1只进行划分vlan，当做二层交换机使用。通过CE2路由表也可看出，所有的VPC的IP都是直连路由。

此时，在CE2上连接一台路由器，配置IP为172网段，对于该路由器来说，192网段IP不是直连路由，无法访问。所以需要配置路由。

CE2交换机的GE1/0/3接口配置IP：172.16.1.2/24；后在路由器上配置172.16.1.1/24，在配置路由

#
interface GE1/0/3
 undo portswitch
 undo shutdown
 ip address 172.16.1.2 255.255.255.0
#
3.3.1.4 NE9000路由器配置
  1. 配置IP
  2. 配置静态路由
[NE]display current-configuration
#
sysname NE
#
interface Ethernet1/0/0
 undo shutdown
 ip address 172.16.1.1 255.255.255.0
 dcn
 dcn mode vlan
#
ip route-static 192.168.10.0 255.255.255.0 172.16.1.2
ip route-static 192.168.20.0 255.255.255.0 172.16.1.2
#

ping测试

VPC11> ping 172.16.1.1

84 bytes from 172.16.1.1 icmp_seq=1 ttl=254 time=65.991 ms
84 bytes from 172.16.1.1 icmp_seq=2 ttl=254 time=10.951 ms
84 bytes from 172.16.1.1 icmp_seq=3 ttl=254 time=20.063 ms
84 bytes from 172.16.1.1 icmp_seq=4 ttl=254 time=10.677 ms
84 bytes from 172.16.1.1 icmp_seq=5 ttl=254 time=14.355 ms

VPC11> trace 172.16.1.1
trace to 172.16.1.1, 8 hops max, press Ctrl+C to stop
 1   192.168.10.1   73.258 ms  4.525 ms  3.031 ms
 2   *172.16.1.1   64.736 ms (ICMP type:3, code:3, Destination port unreachable)

3.3.2 访问外网

3.3.2.1 缺省路由

内网想要访问外网，因为外网的IP非常多，不可能一条条写，所以这时候直接在CE2上添加一条缺省路由，只要是访问外网的，我都把它交给路由器。

[CE2]ip route-static 0.0.0.0 0.0.0.0 172.16.1.1

查看路由表

[CE2]display ip routing-table 
Proto: Protocol        Pre: Preference
Route Flags: R - relay, D - download to fib, T - to vpn-instance, B - black hole route
------------------------------------------------------------------------------
Routing Table : _public_
         Destinations : 14       Routes : 14        

Destination/Mask    Proto   Pre  Cost        Flags NextHop         Interface

        0.0.0.0/0   Static  60   0             RD  172.16.1.1      GE1/0/3
      127.0.0.0/8   Direct  0    0             D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0             D   127.0.0.1       InLoopBack0
127.255.255.255/32  Direct  0    0             D   127.0.0.1       InLoopBack0
     172.16.1.0/24  Direct  0    0             D   172.16.1.2      GE1/0/3
     172.16.1.2/32  Direct  0    0             D   127.0.0.1       GE1/0/3
   172.16.1.255/32  Direct  0    0             D   127.0.0.1       GE1/0/3
   192.168.10.0/24  Direct  0    0             D   192.168.10.1    Vlanif10
   192.168.10.1/32  Direct  0    0             D   127.0.0.1       Vlanif10
 192.168.10.255/32  Direct  0    0             D   127.0.0.1       Vlanif10
   192.168.20.0/24  Direct  0    0             D   192.168.20.1    Vlanif20
   192.168.20.1/32  Direct  0    0             D   127.0.0.1       Vlanif20
 192.168.20.255/32  Direct  0    0             D   127.0.0.1       Vlanif20
255.255.255.255/32  Direct  0    0             D   127.0.0.1       InLoopBack0

路由器拿到访问互联网的数据包后，继续交给电信公司，即缺省路由下一跳为1.1.1.1/24

[NE]ip route-static 0.0.0.0 0.0.0.0 1.1.1.1

查看路由表

[NE]display ip routing-table 
Route Flags: R - relay, D - download to fib, T - to vpn-instance, B - black hole route
------------------------------------------------------------------------------
Routing Table : _public_
         Destinations : 13       Routes : 13        

Destination/Mask    Proto   Pre  Cost        Flags NextHop         Interface

        0.0.0.0/0   Static  60   0             RD  1.1.1.1         Ethernet1/0/1
        1.1.1.0/24  Direct  0    0             D   1.1.1.2         Ethernet1/0/1
        1.1.1.2/32  Direct  0    0             D   127.0.0.1       Ethernet1/0/1
      1.1.1.255/32  Direct  0    0             D   127.0.0.1       Ethernet1/0/1
      127.0.0.0/8   Direct  0    0             D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0             D   127.0.0.1       InLoopBack0
127.255.255.255/32  Direct  0    0             D   127.0.0.1       InLoopBack0
     172.16.1.0/24  Direct  0    0             D   172.16.1.1      Ethernet1/0/0
     172.16.1.1/32  Direct  0    0             D   127.0.0.1       Ethernet1/0/0
   172.16.1.255/32  Direct  0    0             D   127.0.0.1       Ethernet1/0/0
   192.168.10.0/24  Static  60   0             RD  172.16.1.2      Ethernet1/0/0
   192.168.20.0/24  Static  60   0             RD  172.16.1.2      Ethernet1/0/0
255.255.255.255/32  Direct  0    0             D   127.0.0.1       InLoopBack0

此时，内网PC只能访问到出口1.1.1.2，真正想要访问外网，还需要进行NAT地址转换配置

3.3.2.2 私网IP

公有地址：由专门的机构管理、分配，可以在Internet上直接通信的IP地址。

私有地址：组织和个人可以任意使用，无法在Internet上直接通信，只能在内网使用的IP地址

A、B、C类地址审各预留子一些地址专门作为私有IP地址:

  • A类：10.0.00~10.255.255.255
  • B类：172.16.0.0~172.31.255.255
  • C类：192.168.0.0~192.168.255.255
3.3.2.3 NAT

工作原理

image-20241004162251711

NAT：对IP数据报文中的IP地址进行转换，是一种在现网中被广泛部署的技术，一般部署在网络出口设备，例如路由器或防火墙上，
NAT的典型应用场景：在私有网络内部(园区、家庭)使用私有地址，出口设备部署NAT，对于“从内到外的流量，网络设备通过NAT将数据包的源地址进行转(转换成特定的公有地址)，而对于“从外到内的流量，则对数据包的目的地址进行转换。
通过私有地址的使用结合NAT技术，可以有效节约公网IPv4地址

配置步骤

  1. 配置ACL，设备哪些IP可以访问外网
  2. 设置外网口，开启NAT

注：

​ 开启后，会将匹配到的IP自动转换为出接口的IP地址与外网进行通信

[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source any 
[Huawei-acl-basic-2000]q    
[Huawei]int GigabitEthernet 0/0/0
[Huawei-GigabitEthernet0/0/0]nat outbound 2000

ping服务器测试

VPC11> ping 6.6.6.6

84 bytes from 6.6.6.6 icmp_seq=1 ttl=61 time=125.537 ms
84 bytes from 6.6.6.6 icmp_seq=2 ttl=61 time=11.524 ms
84 bytes from 6.6.6.6 icmp_seq=3 ttl=61 time=21.449 ms
84 bytes from 6.6.6.6 icmp_seq=4 ttl=61 time=15.905 ms
84 bytes from 6.6.6.6 icmp_seq=5 ttl=61 time=43.273 ms

VPC11> trace 6.6.6.6
trace to 6.6.6.6, 8 hops max, press Ctrl+C to stop
 1   192.168.10.1   111.498 ms  4.066 ms  3.056 ms
 2   172.16.1.1   61.568 ms  5.546 ms  6.918 ms
 3   1.1.1.1   60.510 ms  1.581 ms  3.885 ms
 4   1.1.1.1   0.632 ms  0.823 ms

image-20241004172940071

在内网抓包，报文携带的是VPC的实际IP地址

image-20241004173030943

在出接口抓包，发现VPC的IP地址已经被NAT转换为公网地址

4 防火墙

将出口的路由器替换为防火墙，防火墙本质就是相当于路由器+安全策略。所以配置步骤比路由器多一个安全策略的配置。

4.1 组网拓扑

image-20241006030916029

4.1.1 配置USG6000V CLI

  1. 配置安全策略（信任域为内网，非信任域为外网）
  2. 配置安全规则，允许哪些数据包放行
    • 进入安全域
    • 配置规则
    • 配置源区域及目标区域
    • 放行
  3. 配置IP
  4. 配置静态路由
  5. 配置NAT策略（与路由器有差异）
[USG6000V2]firewall zone tr
[USG6000V2]firewall zone trust 
[USG6000V2-zone-trust]add interface GigabitEthernet 1/0/0 
[USG6000V2-zone-trust]q
[USG6000V2]firewall zone untrust 
[USG6000V2-zone-untrust]add interface GigabitEthernet 1/0/1
[USG6000V2-zone-untrust]q
[USG6000V2]security-policy 
[USG6000V2-policy-security]rule name shangwang 
[USG6000V2-policy-security-rule-shangwang]source-zone trust 
[USG6000V2-policy-security-rule-shangwang]destination-zone untrust 
[USG6000V2-policy-security-rule-shangwang]action permit 
[USG6000V2-policy-security-rule-shangwang]q
[USG6000V2-policy-security]q
[USG6000V2]int g1/0/0
[USG6000V2-GigabitEthernet1/0/0]ip address 172.16.1.1 24
[USG6000V2-GigabitEthernet1/0/0]q
[USG6000V2]int GigabitEthernet 1/0/1
[USG6000V2-GigabitEthernet1/0/1]ip address 1.1.1.2 24
[USG6000V2-GigabitEthernet1/0/1]q
[USG6000V2]ip route-static 192.168.10.0 24 172.16.1.2 
[USG6000V2]ip route-static 192.168.20.0 24 172.16.1.2 
[USG6000V2]ip route-static 0.0.0.0 0 1.1.1.1 
[USG6000V2]nat-policy 
[USG6000V2-policy-nat]rule name shangwang 
[USG6000V2-policy-nat-rule-shangwang]source-zone trust
[USG6000V2-policy-nat-rule-shangwang]destination-zone untrust 
# easy-ip 表示自动转换为出接口的IP地址
[USG6000V2-policy-nat-rule-shangwang]action source-nat easy-ip

ping外网服务器

VPC11> ping 6.6.6.6

6.6.6.6 icmp_seq=1 timeout
84 bytes from 6.6.6.6 icmp_seq=2 ttl=61 time=29.219 ms
84 bytes from 6.6.6.6 icmp_seq=3 ttl=61 time=7.094 ms
84 bytes from 6.6.6.6 icmp_seq=4 ttl=61 time=70.365 ms
84 bytes from 6.6.6.6 icmp_seq=5 ttl=61 time=18.491 ms

VPC11> trace 6.6.6.6
trace to 6.6.6.6, 8 hops max, press Ctrl+C to stop
 1   192.168.10.1   101.021 ms  5.088 ms  8.229 ms
 2     *  *  *
 3   1.1.1.1   107.681 ms  4294967.115 ms  19.951 ms
 4   1.1.1.1   3.673 ms  4294966.617 ms

4.1.2 配置Web登录防火墙

  1. 设备防火墙的管理IP与虚拟机分配到的IP在同一网段，将管理口连接到云端

image-20241005212120895

  1. 通过IP+8443端口（默认）进入Web页面，默认密码账号是admin/Admin@123

image-20241005212543283

  1. 进入页面后会要求改密码。改完密码重新登录就可以正常使用了

image-20241005215248439

5 通信原理

  1. 最开始PC开机首先会去获取IP及参数，此次通过手动配置
    • 子网掩码：确定IP地址的网络位，通过网络位判断IP是不是在同一个网段
    • 网关：如果是不同网段进行通信，需要先找自己的网关
    • DNS：进行地址解析，如果需要访问的是一个网址，就把该网址发给DNS服务器，经过服务器转换为IP地址在返回，访问该网址本质就是访问该IP
    • 拿到域名对应的IP判断是不是在同网段，不是则把数据包发给网关
  2. 数据包发送到网关之前先需要将网关的MAC地址封装到数据包，通过MAC地址查找MAC地址交给网关
  3. 网关拿到数据包后，会拿到目标IP地址，查询路由表，找到对应路由的下一跳地址（防火墙），将下一跳IP对应的MAC地址封装到数据包，从对应的接口发出
  4. 防火墙拿到数据包之后同样获取目的IP查询路由表，找到下一跳地址，发现下一跳是外网地址，区域是非信任区，此时会查看安全策略，判断从trust到untrust区域的流量是否放行，如果放行就继续查看NAT策略，将内网地址转换为出接口地址，将下一跳地址的MAC地址封装到数据包，从对应的接口发出
  5. 服务器拿到数据包发现是公网IP（防火墙出接口）在访问它，就给其回包，防火墙收到数据包后会根据NAT转换时的表进行反转，将公网IP转为之前的内网IP，将数据包原路发回
生气要吃糖吖
关注
专栏目录
锐捷网络——典型案例：局域网组网案例
君逍遥o
10-12 2186
某公司新建网络，采购了路由器、核心交换机、POE交换机、无线设备（AP、AC）等设备，内网涉及到有线办公网络、无线办公网络、财务专用网络、监控网络等。整网需求如下： 1、要求将有线办公网络、无线办公网络、财务专用网络、监控网络区分开； 2、有线办公网络、无线办公网络的用户需要自动获取IP，财务专用网络、监控网络的用户需要手动配置IP（静态IP）； 3、只允许有线办公网络可以访问财务网络，其余网络之间均可以互访；
菜鸟学习网络以及ensp组网配置基础（一）
最新发布
raindropdd的博客
02-07 1394
本鸟不是学计算机的也不是学网络的，工作也不是做这方面的，纯属是用咸鸭蛋和荷包蛋打脸--咸得蛋疼。此文不是教程，更多是记录以及舔脸求学---其实就是半个伸手党。当然，也不知道有没有（二）。本文只是废话多过内容记录文，也不要觉得我没文笔没内容太呱噪。不喜勿喷。我原本以为网络知识就是路由器里那些生涩的大写字母什么DHCP，DNS，MAC，再加上那几个很熟悉的陌生概念，IPv4地址，子网掩码，网关。直到我闲得蛋疼，去看一下什么是子网掩码，日乐购！就一个子网掩码就已经虐得我要挂要挂的。
综合组网实例配置 双出口双墙主备+三层核心VRRP+MSTP+NAT+NAT SERVER+AC+IPsec+广域网PPPOE+专线
热门推荐
m0_60444349的博客
11-21 2万+
一、组网需求： 企业的两台FW的业务接口都工作在三层,使用路由模式进行部署，上下行分别连接交换机。上行交换机连接路由器，下行连接核心交换机。路由器连接二个运营商的接入点，运营商其一为企业提供专线业务，其分配的IP地址为202.100.99.55~56（用做内部web服务映射）。运营商其二为企业提供pppoe拨号。专线业务主要用于企业业务系统为外部提供访问，员工上网使用pppoe线路。通过在路由器上部署策略路由以实现业务和上网流量的分流。 现在希望两台FW以主备备份方式工...............
华为组网实例：vlan间互通+DHCP中继
迷逝
01-14 7059
一、SW核心交换机的配置 vlan划分 vlan batch 10 20 30 99 int g0/0/1 port link-type access port default vlan 10 q int g0/0/2 port link-type access port default vlan 20 q int g0/0/3 port link-type access port default vlan 30 q int g0/0/24 port link-type access po.
华为企业组网实例：总部与子公司之间的组网实例(GRE隧道技术)
迷逝
03-19 4768
总部与子公司之间的组网实例一、SW-hexin交换机的配置VLAN配置IP检查结果二、purui-route路由器配置开启DHCP加入回执路由创建各个vlan的地址池三、配置DHCP中继四、保留部分IP地址五、客户端测试六、配置外网七、配置GRE隧道八、给隧道配置静态路由 一、SW-hexin交换机的配置 vlan batch 10 20 30 99 int g0/0/1 port link-type access port default vlan 10 q int g0/0/2 port lin
弱网管VLAN交换机配合爱快搭建单臂路由
BoYou233的博客
09-11 9045
记录一次vlan交换机的折腾
家庭宽带案例分析与家庭宽带组网配置要求.pptx
09-18
本报告将深入探讨家庭宽带的组网要求，以及基于PON技术的典型组网案例。 首先，PON（Passive Optical Network）无源光纤网络是一种高效且经济的宽带接入方案。它的核心优势在于通过简单的光分支器实现光缆资源的...
大型校园网络组网实例
03-14
大型校园网络组网实例 本文档旨在介绍大型校园网络组网实例的设计和实施，旨在提供一个可扩展、高速、冗余的网络解决方案，满足XX国家重点大学院校的需求。该解决方案基于标准的网络协议和Cisco设备，旨在支持融合...
网吧组网实例（比较简单的方案）
12-27
网吧组网实例（比较简单的方案） 网吧组网是一种常见的网络应用场景，旨在满足用户在网吧里的上网需求。为满足用户的需求，网吧组网需要具备高速访问 Internet、影音共享服务等功能。下面是网吧组网实例的详细设计...
典型组网案例。。。。。。
04-03
多多学习...。。网络系统。。组网。。设备。。
中小企业组网实例 .doc
11-23
中小企业组网实例 计算机网络是由一些独立的和具备信息交换能力的计算机互联构成，以实现资源共享的系统。计算机在网络方面的应用使人类之间的交流跨越了时间和空间障碍。计算机网络已成为人类建立信息社会的物质基础，它给我们的工作带来极大的方便和快捷，如在全国范围内的银行信用卡的使用，火车和飞机票系统的使用等。可以在全球最大的互联网络——Internet上进行浏览、检索信息、收发电子邮件、阅读书报、玩网络游戏、选购商品、参与众多问题的讨论、实现远程医疗服务等。
经典校园组网案例（个人原创）
05-04
经典的校园网组网案例，设计、规划、实现全部齐全，是初级网络人员进阶到高级网络工程师
云桌面场景的典型组网案例
EbowTang的练习场
05-21 1830
一，典型组网图(终端和虚拟机同一网段) 适用场景：当上课的学生终端和对应的虚拟机在同一个网段时，即教师端和学生端连接的虚拟机之间可通过二层广播方式通信而不影响其他终端和虚拟机。 2.1 典型组网示意 图1 典型组网 表1 服务器网卡配置（HMD口中直接配置） 网卡 配置方式 IP地址段 网关 说明 Eth0、Eth1、Eth2、Eth3 静态聚合..
H3C组网实例--公司现实案例（艰苦的一周）
weixin_34178244的博客
11-09 5095
先概述一下背景： 公司是成立没多长时间的，对IT投入还不算差，所以设备都是新的，路由交换设备主要用华三产品，但都是中低端的，一台S5500-EI做三层核心设备，其它为S3100做接入，非常简单的网络结构，内外网物理隔断，而且外网只开放几台公用电脑集中管理，所以可以不考虑外网接入问题。但蛋痛的是前期不知道那位大神做的规划，300台电脑使用一个网段...
经典案例：企业H3C组网实例
weixin_33989780的博客
05-31 3749
博主QQ：819594300博客地址：http://zpf666.blog.51cto.com/有什么疑问的朋友可以联系博主，博主会帮你们解答，谢谢支持！随着企业信息化不断的深入，对网络设备和链路的可靠性、安全性、可管理型提出了更高的要求，本案例通过一个企业网总部及分支的拓扑和配置，列出了当前构建中小型企业网络的主流技术，涉及网关备份、链路冗余、路由控制、访问控制、设备管理等网络技术。案例中有7台...
Packet Tracer思科企业组网实例
立白君的博客
04-09 1万+
思科双核心组网架构 拓扑图如下 1.组网设计： 该网络采用典型的三层结构：接入层，汇聚层，核心层。为了实现企业高速互联，核心由两个核心节点组成，核心之间采用链路聚合的方式以获得更高的传输效率跟冗余性。汇聚跟核心之间采用RSTP+HSRP联动的方式实现双路到核心这样的结构保证了网络的可靠性跟网络稳定性。 2.组网中需要用到的网络技术： 1、DHCP:动态主机协议，用于实现IP地址的自动分配 2、DHCP中继：用于跨路由器实现IP地址分配 3、VLAN：虚拟局域网：用于一个物理LAN划分成多个不同逻辑广播域
中低端交换机典型配置及华为交换机配置手册
华为 Quidway 系列交换机是一种中低端交换机，本文以此为例进行了简单的组网实验。 实验目的包括以下几点： 1. 掌握华为 Quidway 系列交换机上的基本配置命令； 2. 掌握 VLAN 的原理和配置； 3. 掌握端口聚合（Link...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

生气要吃糖吖

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值