虚拟化
S1和S2设置为虚拟化，S1和S2间的Te0/51-52端口作为VSL链路，其中S2为主，S1为备；规划S1和S2间的Gi0/48端口作为BFD双主机检测链路；主设备：Domain id：1,switch id:1,priority 150, description: S6000-1;备设备：Domain id：1,switch id:2,priority 120, description: S6000-2
S1:
S1(config)#switchvirtualdomain1 //虚拟域为1
S1(config-vs-domain)#switch1 //switch id为1
S1(config-vs-domain)#switch1priority150 //优先级设置为150
S1(config-vs-domain)#switch1descriptions6000-1 //switch id 1 的描述为s6000-1
S1(config-vs-domain)#exit
S1(config)#vsl-port //配置vsl链路
S1(config-vsl-port)#port-memberinterfacetengigabitethernet0/51
S1(config-vsl-port)#port-memberinterfacetengigabitethernet0/52
S1(config-vsl-port)#end
S1#wr //保存
S1#switchconvertmodevirtual //切换虚拟化模式
s2：
S2(config)#switchvirtualdomain1 //虚拟域为1
S2(config-vs-domain)#switch2 //switch id为2
S2(config-vs-domain)#switch2priority120 //优先级设置为120
S2(config-vs-domain)#switch2descriptions6000-2 //switch id 1 的描述为s6000-2
S2(config-vs-domain)#exit
S2(config)#vsl-port //配置vsl链路
S2(config-vsl-port)#port-memberinterfacetengigabitethernet0/51
S2(config-vsl-port)#port-memberinterfacetengigabitethernet0/52
S2(config-vsl-port)#end
S2#wr //保存
S2#switchconvertmodevirtual //切换虚拟化模式
当虚拟化完成后，需要BFD联动
S1/S2(config)#intrangi1/0/48,2/0/48
S1/S2(config-if-range)#nosw //开启三层功能
S1/S2(config-if-range)#exit
S1/S2(config)#switchvirtualdomain1//进入虚拟化域1
S1/S2(config-vs-domain)#dual-activedetectionbfd //开启双主动检测
S1/S2(config-vs-domain)#dual-activebfdinterfaceg1/0/48 //使用1/0/48接口检测链路
S1/S2(config-vs-domain)#dual-activebfdinterfaceg2/0/48 //使用2/0/48接口检测链路
EG 激活1口跟2口（默认不开启）
EG1：
EG1(config)#convertport1tolan //把1口设置成lan（局域网口)
EG1(config)#convertport2tolan //把2口设置成lan（局域网口)
EG1(config)#end
EG1#wr //保存
EG1#reload //重启
EG2：
EG2(config)#convertport1tolan //把1口设置成lan（局域网口)
EG2(config)#end
EG2#wr //保存
EG2#reload //重启
删除虚拟化配置
ruijie#deleteconfig_vsu.dat //删除虚拟化配置文件
ruijie#reload //重启
链路聚合
ruijie(config)#interface ag1 //配置链路聚合口
ruijie(config-if-aggregateport1)swmodetrunk
ruijie(config)#interfaceg0/1
ruijie(config-g)port-group1modeactive //加入链路聚合组1自动协商
端口保护
在S5、S6的Gi0/10-Gi0/15端口上启用端口保护在S5、S6连接PC机端口上开启Portfast和BPDUguard防护功能在S6上连接PC的接口开启BPDU防环，检测到环路后处理方式为 Shutdown-Port，并设置接口为边缘端口
如果端口被 BPDU Guard检测进入 Err-Disabled状态，再过 300 秒后会自动恢复（基于接口部署策略），重新检测是否有环路
S6：
S6(config)#intrangi0/10-15
S6(config-if-range)#switchportprotected //开启端口保护
S6(config-if-range)#exit
S6(config)#intrangi0/5-16
S6(config-if-range)#spanning-treeportfast //设置边缘端口
S6(config-if-range)#spanning-treebpduguardenable //开启bpdu保护，边缘端口收到bpdu后会被error-down但是边缘端口属性不变
//如果没有开启bpdu保护，当边缘端口收到bpdu后会变为非边缘端口，并重新进行生成树计算，从而引起网络荡动
S6(config-if-range)#rldpportloop-detectshutdown-port //开启环路保护，处理方式是shutdown-port
S6(config-if-range)#errdisablerecoveryinterval300 //当出现error-down状态后，300秒后自动恢复
S5：
S5(config)#intrangi0/10-15
S5(config-if-range)#switchportprotected //开启端口保护
S5(config-if-range)#exit
S5(config)#intrangi0/5-16
S5(config-if-range)#spanning-treeportfast //设置边缘端口
S5(config-if-range)#spanning-treebpduguardenable //开启bpdu保护，边缘端口收到bpdu后会被error-down但是边缘端口属性不变
S5(config-if-range)#errdisablerecoveryinterval300 //当出现error-down状态后，300秒后自动恢复
在S6交换机部署DHCP Snooping功能
S6(config)#ipdhcpsnooping //开启dhcp snooping
S6(config)#intrangi0/23-24 //进入上联接口
S6(config-if-range)#ipdhcpsnoopingtrust //设置为信任接口
生成树
在S3、S4、S6上配置MSTP防止二层环路；要求所有数据流经过S4转发，S4失效时经过S3转发。region-name为test；revision版本为1；S3作为实例中的从根， S4作为实例中的主根；主根优先级为4096，从根优先级为8192
S6：
S6(config)#spanning-treemstconfiguration //进入mstp配置
S6(config-mst)#revision1 //选择版本1
S6(config-mst)#nametest //名字为test
S6(config-mst)#exit
S6(config)#spanning-tree //开启生成树协议
S3：
S3(config)#spanning-treemstconfiguration //进入mstp配置
S3(config-mst)#revision1 //选择版本1
S3(config-mst)#nametest //名字为test
S3(config-mst)#exit
S3(config)#spanning-tree //开启生成树协议
S3(config)#spanning-treemst0priority8192 //设置实例0的优先级为8192
S4：
S4(config)#spanning-treemstconfiguration //进入mstp配置
S4(config-mst)#revision1 //选择版本1
S4(config-mst)#nametest //名字为test
S4(config-mst)#exit
S4(config)#spanning-tree //开启生成树协议
S4(config)#spanning-treemst0priority4096 //设置实例0的优先级为4096
//要求所有数据经过S4，那可以用默认的实例0去实现，不需要创建其他的实例（也可以创建），生成树的优先级都是以4096的倍数去叠加的，优先级越小越优，优先级优的成为根交换机，mstp使用实例之间的优先级，一个实例一棵树，在实例0里，S4是根交换机，当S4端口或者设别down后，S3成为根交换机
VRRP(虚拟路由器冗余协议)
在S3和S4上配置VRRP，实现主机的网关冗余，所配置的参数要求如表1；S3、S4各VRRP组中高优先级设置为150，低优先级设置为120
S3：
S3(config)#intvlan10
S3(config-if-vlan10)#vrrp10ip192.168.10.254 //vrrp组的虚拟IP地址
S3(config-if-vlan10)#vrrp10pr120 //vrrp组优先级
S3(config)#intvlan20
S3(config-if-vlan20)#vrrp20ip192.168.20.254 //vrrp组的虚拟IP地址
S3(config-if-vlan20)#vrrp20pr120 //vrrp组优先级
S3(config)#intvlan30
S3(config-if-vlan30)#vrrp30ip192.168.30.254 //vrrp组的虚拟IP地址
S3(config-if-vlan30)#vrrp30pr120 //vrrp组优先级
S3(config)#intvlan40
S3(config-if-vlan40)#vrrp40ip192.168.40.254 //vrrp组的虚拟IP地址
S3(config-if-vlan40)#vrrp40pr120 //vrrp组优先级
S3(config)#intvlan100
S3(config-if-vlan100)#vrrp100ip192.168.100.254 //vrrp组的虚拟IP地址
S3(config-if-vlan100)#vrrp100pr120 //vrrp组优先级
S4：
S4(config)#intvlan10
S4(config-if-vlan10)#vrrp10ip192.168.10.254 //vrrp组的虚拟IP地址
S4(config-if-vlan10)#vrrp10pr150 //vrrp组优先级
S4(config)#intvlan20
S4(config-if-vlan20)#vrrp20ip192.168.20.254 //vrrp组的虚拟IP地址
S4(config-if-vlan20)#vrrp20pr150 //vrrp组优先级
S4(config)#intvlan30
S4(config-if-vlan30)#vrrp30ip192.168.30.254 //vrrp组的虚拟IP地址
S4(config-if-vlan30)#vrrp30pr150 //vrrp组优先级
S4(config)#intvlan40
S4(config-if-vlan40)#vrrp40ip192.168.40.254 //vrrp组的虚拟IP地址
S4(config-if-vlan40)#vrrp40pr150 //vrrp组优先级
S4(config)#intvlan100
S4(config-if-vlan100)#vrrp100ip192.168.100.254 //vrrp组的虚拟IP地址
S4(config-if-vlan100)#vrrp100pr150 //vrrp组优先级
//mstp配置了所有数据流向S4，所以S4的VRRP所有虚拟组的优先级要比S3的要高，越大越优，优先级高就成为Master
OSPF
R1、S1/S2、AC1、AC2间运行OSPF，进程号为10；EG1、S3、S4间运行OSPF，进程号为10；S5、EG2使用静态路由要求业务网段中不出现协议报文；所有路由协议都发布具体网段；需要发布Loopback地址
优化OSPF相关配置，以尽量加快OSPF收敛；广州分部需要重分发默认路由到OSPF中；本部出口路由器R1上不允许配置默认路由，但需要让本部所有设备都学习到指向R1的默认路由；重发布路由进OSPF中使用类型1
AC1：
AC1(config)#routeospf10 //启动OSPF协议，协议号10
AC1(config-router)#router-id11.1.0.21 //设置router id
AC1(config-router)#network11.1.0.210.0.0.0a0 //宣告loopback地址在骨干区域
AC1(config-router)#network192.1.100.00.0.0.255a0
R1：
R1(config)#routeospf10
R1(config-router)#router-id11.1.0.1
R1(config-router)#network11.1.0.10.0.0.0a0
R1(config-router)#network10.1.0.100.0.0.3a0
R1(config-router)#default-informationoriginatemetric-type1always //发布默认路由指向本路由器
R1(config-router)#intvlan10
R1(config-if-vlan10)#ipospfnetworkpoint-to-point //把vlan10链路（与S1/S2连接的链路）改为点对点链路，来加快OSPF的收敛速度，点对点链路减少了DR,BDR的选举
S1/S2：
S1/S2(config)#routeospf10
S1/S2(config-router)#router-id11.1.0.31
S1/S2(config-router)#network11.1.0.310.0.0.0a0
S1/S2(config-router)#network10.1.0.90.0.0.3a0
S1/S2(config-router)#network192.1.100.00.0.0.255a0
S1/S2(config-router)#network192.1.20.00.0.0.255a0
S1/S2(config-router)#network192.1.30.00.0.0.255a0
S1/S2(config-router)#intagg1
S1/S2(config-if-aggregateport1)#ipospfnetworkpoint-to-point//把ag1口链路（与R1相连的链路）改为点对点链路，加快ospf收敛速度
S3：
S3(config)#routerospf10
S3(config-router)#router-id11.1.0.33
S3(config-router)#network11.1.0.330.0.0.0a0
S3(config-router)#network10.1.0.00.0.0.3a0
S3(config-router)#network193.1.10.00.0.0.255a0
S3(config-router)#network193.1.20.00.0.0.255a0
S3(config-router)#network193.1.30.00.0.0.255a0
S3(config-router)#network193.1.40.00.0.0.255a0
S3(config-router)#network193.1.100.00.0.0.255a0
S3(config-router)#passive-interfacevlan10 //设置静默接口，不会收到和发送ospf报文，到是直连的路由仍可以发布出去，为了保障通信
S3(config-router)#passive-interfacevlan20
S3(config-router)#passive-interfacevlan30
S3(config-router)#passive-interfacevlan40
S3(config-router)#intvlan100
S3(config-if-vlan100)#ipospfnetworkpoint-to-point //设置点对点链路
S3(config-if-vlan100)#intg0/24
S3(config-if-gigabitethernet0/24)#ipospfnetworkpoint-to-point
S4：
S4(config)#routerospf10
S4(config-router)#router-id11.1.0.34
S4(config-router)#network11.1.0.340.0.0.0a0
S4(config-router)#network10.1.0.40.0.0.3a0
S4(config-router)#network193.1.10.00.0.0.255a0
S4(config-router)#network193.1.20.00.0.0.255a0
S4(config-router)#network193.1.30.00.0.0.255a0
S4(config-router)#network193.1.40.00.0.0.255a0
S4(config-router)#network193.1.100.00.0.0.255a0
S4(config-router)#passive-interfacevlan10 //设置静默接口，不会收到和发送ospf报文，但是直连的路由仍可以发布出去，为了保障通信
S4(config-router)#passive-interfacevlan20
S4(config-router)#passive-interfacevlan30
S4(config-router)#passive-interfacevlan40
S4(config-router)#intvlan100
S4(config-if-vlan100)#ipospfnetworkpoint-to-point //设置点对点链路
S4(config-if-vlan100)#intg0/24
S4(config-if-gigabitethernet0/24)#ipospfnetworkpoint-to-point
EG1：
EG1(config)#routeospf10
EG1(config-router)#router-id11.1.0.11
EG1(config-router)#network11.1.0.110.0.0.0a0
EG1(config-router)#network10.1.0.20.0.0.3a0
EG1(config-router)#network10.1.0.60.0.0.3a0
EG1(config-router)#defult-informationoriginatemetric-type1always //发布默认路由
EG1(config-router)#intrang0/1-2
EG1(config-if-range)#ipospfnetworkpoint-to-point //设置点对点链路
S5:
S5(config)#iproute0.0.0.00.0.0.010.1.0.14 //默认路由指向下一跳
EG2:
EG2(config)#iproute194.1.20.0255.255.255.010.1.0.13
EG2(config)#iproute194.1.10.0255.255.255.010.1.0.13 //静态路由
BGP
R1、R2、R3间部署IBGP,AS号为100, 使用Loopback接口建立Peer，建立全互联的IBGP邻居
二级运营商通告EG1、EG2的直连网段到BGP中，实现R1能够访问到EG1、EG2的外网接口
建立IBGP对等体要先实现IGP可达
R1：
R1(config)#iproute11.1.0.2255.255.255.25512.1.0.2
R1(config)#iproute11.1.0.3255.255.255.25513.1.0.3
R2:
R2(config)#iproute11.1.0.1255.255.255.25512.1.0.1
R2(config)#iproute11.1.0.3255.255.255.25514.1.0.3
R3:
R3(config)#iproute11.1.0.1255.255.255.25513.1.0.1
R3(config)#iproute11.1.0.2255.255.255.25514.1.0.2
IBGP
R1：
R1(config)#routerbgp100
R1(config-router)#neighbor11.1.0.2remote-as100 //配置对等体的AS号，来决定是IBGP还是EBGP
R1(config-router)#neighbor11.1.0.2update-sourcelo0 //配置对等体的更新源为loopback口，默认更新源是接口ip地址
R1(config-router)#neighbor11.1.0.2next-hop-self //配置下一跳自我，因为IGBP传递路由信息，下一跳不会改变
R1(config-router)#neighbor11.1.0.3remote-as100
R1(config-router)#neighbor11.1.0.3update-sourcelo0
R1(config-router)#neighbor11.1.0.3next-hop-self
R2:
R2(config)#routerbgp100
R2(config-router)#neighbor11.1.0.1remote-as100
R2(config-router)#neighbor11.1.0.1update-sourcelo0
R2(config-router)#neighbor11.1.0.1next-hop-self
R2(config-router)#neighbor11.1.0.3remote-as100
R2(config-router)#neighbor11.1.0.3update-sourcelo0
R2(config-router)#neighbor11.1.0.3next-hop-self
R2(config-router)#network10.1.0.18mask255.255.255.252//宣告EG1的外网地址，让R1能访问
R3：
R3(config)#routerbgp100
R3(config-router)#neighbor11.1.0.1remote-as100
R3(config-router)#neighbor11.1.0.1update-sourcelo0
R3(config-router)#neighbor11.1.0.1next-hop-self
R3(config-router)#neighbor11.1.0.2remote-as100
R3(config-router)#neighbor11.1.0.2update-sourcelo0
R3(config-router)#neighbor11.1.0.2next-hop-self
R3(config-router)#network10.1.0.20mask255.255.255.252//宣告EG2的外网地址，让R1能访问
OSPF优化
可通过修改OSPF 路由COST达到分流的目的，且其值必须为5或10；广州分部有线IPV4用户与互联网互通主路径规划为：S6-S4-EG1;主链路故障时可无缝切换到备用链路上
局域网出去默认走S4，如果接口的COST值相同，回来不一定走S4，因为EG1学习S3的路由可能比S4的优，回来可能走S3路线
EG1：
EG1(config)#intg0/1
EG1(config-if-gigabitethernet0/1)#ipospfcost5 //修改接口的cost比G0/2口大，越小越优
EG1(config-if-gigabitethernet0/1)#end
EG1#clearipospfprocess //重启OSPF进程
QOS
S6的Gi0/5至Gi0/16接口入方向设置接口限速，限速10Mbps,猝发流量1024 kbytes；R3服务节点在带宽为2Mbps的S3/0接口做流量整形
S6：
S6(config)#intrag0/5-16
S6(config-if-range)#rate-limitinput100001024//修改接口入方向限速，每秒10000K bit，1024k个突发字节
R3：
R3(config)#ints3/0
R3(config-if-s3/0)traffic-shaperate2097152//配置流量令牌桶来实现流量整形，2Mbps等于2097152 bit 比特速度2097152 bit/s
当报文的发送速度过快时，首先在缓冲区进行缓存，在令牌桶的控制下再均匀地发送这些被缓冲的报文
R3服务节点在G0/0接口做流量监管，上行报文流量不能超过10Mbps，Burst-normal为1M bytes, Burst-max为2M bytes如果超过流量限制则将违规报文丢弃
R3：
R3(config)#intg0/0
R3(config-if-gigabitethernet0/0)#rate-limitoutput1000000010000002000000conform-actioncontinueexceed-actiondrop //上行是出方向，上行每秒10000000bit，突发正常1000000bit，突发最大值2000000，超过突发最大值则丢弃报文
NAPT
EG1、EG2、R1进行NAT配置实现本部与各分部的所有用户(ACL 110)均可访问互联网，通过NAPT方式将内网用户IP地址转换到互联网接口上
EG1：
EG1(config)#ipaccess-listextended110 //扩展acl
EG1(config-ext-nacl)#denyip193.1.0.00.0.255.255host11.1.0.21
EG1(config-ext-nacl)#denyip193.1.0.00.0.255.255host11.1.0.22
EG1(config-ext-nacl)#denyip193.1.0.00.0.255.255192.1.0.00.0.255.255
EG1(config-ext-nacl)#permitip193.1.0.00.0.255.255any
//要先保证走ike隧道的数据不被nat，最后才允许内网nat访问公网资源
EG1(config-ext-nacl)#exit
EG1(config)#ipnatinsidesourcelist110interfacegigabitEthernet0/3overload//设置napt 将acl 110匹配的流量，执行NAT转换，转换成g 0/3口的地址 overload参数是执行nat重载的含义，若不加overload是执行动态的ip一对一映射，不会执行端口转换，不能解决公网地址不够的问题。若是在网络出口执行NAT，是为了解决公网地址不够的问题，必须要加overload参数
EG1(config)#interfacegigabitEthernet0/3
EG1(config-gigabitethernet0/3)#ipnatoutside //配置nat的外网口
EG1(config)#interfacegigabitEthernet0/2
EG1(config-gigabitethernet0/3)#ipnatinside //配置nat的内网口
EG1(config)#interfacegigabitEthernet0/1
EG1(config-gigabitethernet0/3)#ipnatinside //配置nat的内网口
EG2：
EG2(config)#ipaccess-listextended110 //扩展acl
EG2(config-ext-nacl)#denyip194.1.0.00.0.255.255host11.1.0.21
EG2(config-ext-nacl)#denyip194.1.0.00.0.255.255host11.1.0.22
EG2(config-ext-nacl)#denyip194.1.0.00.0.255.255192.1.0.00.0.255.255
EG2(config-ext-nacl)#permitip194.1.0.00.0.255.255any
//要先保证走ike隧道的数据不被nat，最后才允许内网nat访问公网资源
EG2(config-ext-nacl)#exit
EG2(config)#ipnatinsidesourcelist110interfacegigabitEthernet0/3overload//设置napt 将acl 110匹配的流量，执行NAT转换，转换成g 0/3口的地址 overload参数是执行nat重载的含义，若不加overload是执行动态的ip一对一映射，不会执行端口转换，不能解决公网地址不够的问题。若是在网络出口执行NAT，是为了解决公网地址不够的问题，必须要加overload参数
EG2(config)#interfacegigabitEthernet0/3
EG2(config-gigabitethernet0/3)#ipnatoutside //配置nat的外网口
EG2(config)#interfacegigabitEthernet0/1
EG2(config-gigabitethernet0/3)#ipnatinside //配置nat的内网口
R1：
R1(config)#ipaccess-listextended110 //扩展acl
R1(config-ext-nacl)#permitip192.1.0.00.0.255.255any //CIDR 子网汇聚 匹配感兴趣流
R1(config-ext-nacl)#exit
R1(config)#ipnatinsidesourcelist110interfacevlan30overload
R1(config)#ipnatinsidesourcelist110interfacevlan20overload//设置napt 将acl 110匹配的流量，执行NAT转换，转换成g 0/3口的地址 overload参数是执行nat重载的含义，若不加overload是执行动态的ip一对一映射，不会执行端口转换，不能解决公网地址不够的问题。若是在网络出口执行NAT，是为了解决公网地址不够的问题，必须要加overload参数
R1(config)#interfacevlan30
R1(config-if-vlan30)#ipnatoutside //配置nat的外网口
R1(config)#interfacegigabitEthernet1/1
R1(config)#interfacevlan20
R1(config-if-vlan20)#ipnatoutside //配置nat的外网口
R1(config)#interfacevlan10
R1(config-if-vlan10)#ipnatinside //配置nat的内网口
IPsec
使用IPSec对本部到各分部的数据流进行加密。要求使用动态隧道主模式，安全协议采用esp协议，加密算法采用3des，认证算法采用md5，以IKE方式建立IPsec SA。在R1上配置ipsec加密转换集名称为myset；动态ipsec加密图名称为dymymap；预共享密钥为明文123456；静态的ipsec加密图mymap
R1：
R1(config)#cryptoisakmppolicy1 //创建新的isakmp策略
R1(isakmp-policy)#encryption3des //指定使用3des进行加密
R1(isakmp-policy)#authenticationpre-share //指定认证方式为“预共享密钥”，用的最多
R1(isakmp-policy)#hashmd5 //认证hash算法采用md5认证
R1(isakmp-policy)#exit
R1(config)#cryptoisakmpkey7123456address0.0.0.00.0.0.0 //配置预共享密钥，指定邻居，0.0.0.0 0.0.0.0是任意匹配 7是不加密
R1(config)#cryptoipsectransform-setmysetesp-3desesp-md5-hmac//配置ipsec加密转换集，名字为myset
R1(config)#ccryptodynamic-mapdymymap 5 //新建名为“dymymap"的动态ipsec加密图
R1(config-crypto-map)#settransform-setmyset //指定加密转换集为”myset“
R1(config-crypto-map)#exit
R1(config)#cryptomapmymap10ipsec-isakmpdynamicdymymap //将动态的”dymymap"ipsec加密图映射到静态的ipsec加密图”mymap“中
R1(config)#intvlan20
R1(config-if-vlan20)#cryptomapmymap//将加密图应用到外网接口上
R1(config)#intvlan30
R1(config-if-vlan30)#cryptomapmymap//将加密图应用到外网接口上
因为R1是双出口，多少会出现次优路径，指定总部内网访问各分支的优选路径
R1(config)#iproute194.1.0.0255.255.0.013.1.0.3
R1(config)#iproute193.1.0.0255.255.0.012.1.0.2
在 EG1和EG2上配置ACL编号为101；静态的ipsec加密图mymap；预共享密钥为明文123456
EG1:
EG1(config)#cryptoisakmppolicy1//创建新的isakmp策略
EG1(isakmp-policy)#encryption3des //指定使用3des进行加密
EG1(isakmp-policy)#authenticationpre-share //指定认证方式为“预共享密钥”，用的最多
EG1(isakmp-policy)#hashmd5 //认证hash算法采用md5认证
EG1(isakmp-policy)#exit
EG1(config)#cryptoisakmpkey7123456address 12.1.0.1 //配置预共享密钥。指定peer12.1.0.1的预共享密钥为”123456“该密钥与总部上指定该分支的密钥一致，如果使用数字证书/信封认证无需配置
EG1(config)#cryptoipsectransform-setmysetesp-3desesp-md5-hmac//配置ipsec加密转换集，名字为myset，没有指定就写R1一致的
EG1(config)#cryptoisakmpkeepalive5periodic //配置ipsec DPD探测功能，超过配置的时间后回主动发送DPD消息，最大重传5次
EG1(config)#ipaccess-listextended101
EG1(config-ext-nacl)#permitip193.1.0.00.0.255.25511.1.0.210.0.0.0
EG1(config-ext-nacl)#permitip193.1.0.00.0.255.25511.1.0.220.0.0.0 //需要访问ac不然，ap上线不了
EG1(config-ext-nacl)#permitip193.1.0.00.0.255.255192.1.0.00.0.255.255//允许分支的流量访问总部的网络，ip汇聚可以使用，现网中还是用子网会安全点
EG1(config-ext-nacl)#exit
EG1(config)#cryptomapmymap10ipsec-isakmp //新建名称为”mymap“的加密图
EG1(config-crypto-map)#setpeer12.1.0.1 //指定peer地址
EG1(config-crypto-map)#settransform-setmyset //指定加密转换集”myset“
EG1(config-crypto-map)#matchaddress101//匹配感兴趣流ACL101
EG1(config-crypto-map)#exit
EG1(config)#intg0/3
EG1(config-if-gigabitethernet0/3)#cryptomapmymap //将加密图应用到接口
EG2：
EG2(config)#cryptoisakmppolicy1//创建新的isakmp策略
EG2(isakmp-policy)#encryption3des //指定使用3des进行加密
EG2(isakmp-policy)#authenticationpre-share //指定认证方式为“预共享密钥”，用的最多
EG2(isakmp-policy)#hashmd5 //认证hash算法采用md5认证
EG2(isakmp-policy)#exit
EG2(config)#cryptoisakmpkey7123456address 13.1.0.1 //配置预共享密钥。指定peer13.1.0.1的预共享密钥为”123456“该密钥与总部上指定该分支的密钥一致，如果使用数字证书/信封认证无需配置
EG2(config)#cryptoipsectransform-setmysetesp-3desesp-md5-hmac//配置ipsec加密转换集，名字为myset，没有指定就写R1一致的
EG2(config)#cryptoisakmpkeepalive5periodic //配置ipsec DPD探测功能，超过配置的时间后回主动发送DPD消息，最大重传5次
EG2(config)#ipaccess-listextended101
EG2(config-ext-nacl)#permitip194.1.0.00.0.255.25511.1.0.210.0.0.0
EG2(config-ext-nacl)#permitip194.1.0.00.0.255.25511.1.0.220.0.0.0 //需要访问ac不然，ap上线不了
EG2(config-ext-nacl)#permitip194.1.0.00.0.255.255192.1.0.00.0.255.255//允许分支的流量访问总部的网络，ip汇聚可以使用，现网中还是用子网会安全点
EG2(config-ext-nacl)#exit
EG2(config)#cryptomapmymap10ipsec-isakmp //新建名称为”mymap“的加密图
EG2(config-crypto-map)#setpeer13.1.0.1 //指定peer地址
EG2(config-crypto-map)#settransform-setmyset //指定加密转换集”myset“
EG2(config-crypto-map)#matchaddress101//匹配感兴趣流ACL101
EG2(config-crypto-map)#exit
EG2(config)#intg0/3
EG2(config-if-gigabitethernet0/3)#cryptomapmymap //将加密图应用到接口
DHCP
使用EG1作为广州分部无线用户和无线AP的DHCP 服务器，使用S5作为吉林分部无线用户和无线AP的DHCP服务器
EG1：
EG1(config)#servicedhcp //开启DHCP服务
EG1(config)#ipdhcppoolap //创建一个名为ruijie的DHCP的地址池
EG1(dhcp-config)#network193.1.10.0255.255.255.0 //可以分配的地址范围
EG1(dhcp-config)#default-router193.1.10.254 //网关地址
EG1(dhcp-config)#option138ip11.1.0.2111.1.0.22//AP要在AC上在线，AP首先要获取IP地址，同时要知道AC的地址
EG1(dhcp-config)#exit
EG1(config)#ipdhcppooluser-wx //创建一个名为user-wx的DHCP的地址池
EG1(dhcp-config)#network193.1.20.0255.255.255.0 //可以分配的地址范围
EG1(dhcp-config)#default-router193.1.20.254 //网关地址
S3:
S3(config)#servicedhcp //开启DHCP服务
S3(config)#iphelper-address11.1.0.11 //指定DHCP的中继地址为11.1.0.11，loopback口稳定
S4:
S4(config)#servicedhcp //开启DHCP服务
S4(config)#iphelper-address11.1.0.11 //指定DHCP的中继地址为11.1.0.11，loopback口稳定
EG2：
EG2(config)#servicedhcp //开启DHCP服务
EG2(config)#ipdhcppoolap //创建一个名为ruijie的DHCP的地址池
EG2(dhcp-config)#network194.1.10.0255.255.255.0 //可以分配的地址范围
EG2(dhcp-config)#default-router194.1.10.254 //网关地址
EG2(dhcp-config)#option138ip11.1.0.2111.1.0.22//AP要在AC上在线，AP首先要获取IP地址，同时要知道AC的地址
EG2(dhcp-config)#exit
EG2(config)#ipdhcppooluser-wx //创建一个名为user-wx的DHCP的地址池
EG2(dhcp-config)#network194.1.20.0255.255.255.0 //可以分配的地址范围
EG2(dhcp-config)#default-router194.1.20.254 //网关地址
WLAN
创建广州分部内网 SSID 为 Test-GZ_XX(XX现场提供)，WLAN ID 为1，AP-Group为GZ，内网无线用户关联SSID后可自动获取地址。创建吉林分部内网 SSID 为 Test-JL_XX(XX现场提供)，WLAN ID 为2，AP-Group为JL，内网无线用户关联SSID后可自动获取地址
AC1：
AC1(config)#enableserviceweb-server//开启web功能
AC1(config)#intg0/8
AC1(config-if-gigabitethernet0/8)#switchaccessvlan100 //加入vlan100
AC1(config)#ac-controller //ac控制器
AC1(config-ac)#capwapctrl-ip11.1.0.21 //capwap隧道的控制ip，loopback口稳定
AC1(config)#wlan-config1Test-GZ_XX //配置wlan-config,id是1，SSID(无线信号)是Test-GZ_XX
AC1(config-wlan)#exit
AC1(config)#wlan-config2Test-JL_XX //配置wlan-config,id是2，SSID(无线信号)是Test-JL_XX
AC1(config-wlan)#exit
AC1(config)#ap-groupGZ //创建GZ组
AC1(config-ap-group)#interface-mapping120radio1ap-wlan-id1//把wlan-config 1和vlan 20进行关联，开启2.4GZH， ssid个数为1
AC1(config-ap-group)#interface-mapping120radio2ap-wlan-id1//把wlan-config 1和vlan 20进行关联，开启5GZH， ssid个数为1
AC1(config-ap-group)#exit
AC1(config)#ap-groupJL //创建GZ组
AC1(config-ap-group)#interface-mapping220radio1ap-wlan-id1//把wlan-config 2和vlan 20进行关联，开启2.4GZH， ssid个数为1
AC1(config-ap-group)#interface-mapping220radio2ap-wlan-id1//把wlan-config 2和vlan 20进行关联，开启5GZH， ssid个数为1
AC2:
AC2(config)#enableserviceweb-server//开启web功能
AC2(config)#intg0/8
AC2(config-if-gigabitethernet0/8)#switchaccessvlan100 //加入vlan100
AC2(config)#ac-controller //ac控制器
AC2(config-ac)#capwapctrl-ip11.1.0.22 //capwap隧道的控制ip，loopback口稳定
AC2(config)#wlan-config1Test-GZ_XX //配置wlan-config,id是1，SSID(无线信号)是Test-GZ_XX
AC2(config-wlan)#exit
AC2(config)#wlan-config2Test-JL_XX //配置wlan-config,id是2，SSID(无线信号)是Test-JL_XX
AC2(config-wlan)#exit
AC2(config)#ap-groupGZ //创建GZ组
AC2(config-ap-group)#interface-mapping120radio1ap-wlan-id1//把wlan-config 1和vlan 20进行关联，开启2.4GZH， ssid个数为1
AC2(config-ap-group)#interface-mapping120radio2ap-wlan-id1//把wlan-config 1和vlan 20进行关联，开启5GZH， ssid个数为1
AC2(config-ap-group)#exit
AC2(config)#ap-groupJL //创建GZ组
AC2(config-ap-group)#interface-mapping220radio1ap-wlan-id1//把wlan-config 2和vlan 20进行关联，开启2.4GZH， ssid个数为1
AC2(config-ap-group)#interface-mapping220radio2ap-wlan-id1//把wlan-config 2和vlan 20进行关联，开启5GZH， ssid个数为2
本部AC2为主用，AC1为备用。AP与AC1、AC2均建立隧道，当AP与AC2失去连接时能无缝切换至AC1并提供服务
AC1:
AC1(config)#wlanhot-backup11.1.0.22 //配置wlan的热备对端IP
AC1(config-hotbackup)#context10 //配置备份实例，主备AC一致
AC1(config-hotbackup-ctx)#ap-groupJL //将ap-group JL加入热备实例
AC1(config-hotbackup-ctx)#ap-groupGZ //将ap-group GZ加入热备实例
//默认热备实例优先级为4，数字越高优先级越高
AC2:
AC2(config)#wlanhot-backup11.1.0.21 //配置wlan的热备对端IP
AC2(config-hotbackup)#context10 //配置备份实例，主备AC一致
AC2(config-hotbackup-ctx)#ap-groupJL //将ap-group JL加入热备实例
AC2(config-hotbackup-ctx)#ap-groupGZ //将ap-group GZ加入热备实例
//默认热备实例优先级为4，数字越高优先级越2
AC2(config-hotbackup-ctx)#prioritylevel7 //7是抢占，AC2为主用
广州分部无线用户接入无线网络时需要采用WPA2加密方式，加密密码为XX(现场提供)；启用白名单校验，仅放通PC2无线终端
AC1:
AC1(config)#wlansec1 //ac对wlan1配置wpa2
AC1(config-wlansec)#securityrsnenable//开启无线加密功能
AC1(config-wlansec)#securityrsnciphersaesenable //无线启用AES加密
AC1(config-wlansec)#securityrsnakmpskenable //无线启用共享密钥认证方式
AC1(config-wlansec)#securityrsnakmpskset-keyascii123456789 //无线密码
AC1(config-wlansec)#exit
AC1(config)#wlansec2 //ac对wlan2配置wpa2
AC1(config-wlansec)#securityrsnenable//开启无线加密功能
AC1(config-wlansec)#securityrsnciphersaesenable //无线启用AES加密
AC1(config-wlansec)#securityrsnakmpskenable //无线启用共享密钥认证方式
AC1(config-wlansec)#securityrsnakmpskset-keyascii123456789 //无线密码
AC1(config-wlansec)#exit
AC1(config)#wids //进入wids配置模式
AC1(config-wids)#whitelistmac-address [mac] //配置整机的白名单
AC2：
AC2(config)#wlansec1 //ac对wlan1配置wpa2
AC2(config-wlansec)#securityrsnenable//开启无线加密功能
AC2(config-wlansec)#securityrsnciphersaesenable //无线启用AES加密
AC2(config-wlansec)#securityrsnakmpskenable //无线启用共享密钥认证方式
AC2(config-wlansec)#securityrsnakmpskset-keyascii123456789 //无线密码
AC2(config-wlansec)#exit
AC2(config)#wlansec2 //ac对wlan2配置wpa2
AC2(config-wlansec)#securityrsnenable//开启无线加密功能
AC2(config-wlansec)#securityrsnciphersaesenable //无线启用AES加密
AC2(config-wlansec)#securityrsnakmpskenable //无线启用共享密钥认证方式
AC2(config-wlansec)#securityrsnakmpskset-keyascii123456789 //无线密码
AC2(config-wlansec)#exit
AC2(config)#wids //进入wids配置模式
AC2(config-wids)#whitelistmac-address [mac] //配置整机的白名2
要求内网无线网络均启用本地转发模式; 对WLAN ID 2下的每个用户的下行平均速率为 800KB/s ，突发速率为1600KB/s
AC1:
AC1(config)#wlan-config1Test-GZ_XX
AC1(config-wlan)#tunnellocal //本地转发模式
AC1(config)#wlan-config2Test-JL_XX //配置wlan-config
AC1(config-wlan)#wlan-basedper-ap-limitdown-streamsaverage-data-rate800burst-data-rate1600 //配置wlan 2的下行平均速率为800，突发速率为1600
AC1(config-wlan)#tunnellocal //本地转发模式
AC2：
AC2(config)#wlan-config1Test-GZ_XX
AC2(config-wlan)#tunnellocal //本地转发模式
AC2(config)#wlan-config2Test-JL_XX //配置wlan-config
AC2(config-wlan)#wlan-basedper-ap-limitdown-streamsaverage-data-rate800burst-data-rate1600 //配置wlan 2的下行平均速率为800，突发速率为1600
AC2(config-wlan)#tunnellocal //本地转发模2
吉林分部每AP最大带点人数为30人；广州分部通过时间调度，要求每周一至周五的21:00至23:30期间关闭无线服务
AC1:
AC1(config)#tftp-serverenable
AC1(config)#schedulesession8
AC1(config)#schedulesession8time-range1periodmontofritime21:00to23:30
AC1(config)#wlan-config1Test-GZ_XX
AC1(config-wlan)#schedulesession8 //时间会话
AC1(config)#wlan-config2Test-JL_XX
AC1(config-wlan)#sta-limit30
AC2：
AC2(config)#tftp-serverenable
AC2(config)#schedulesession8
AC2(config)#schedulesession8time-range1periodmontofritime21:00to23:30
AC2(config)#wlan-config1Test-GZ_XX
AC2(config-wlan)#schedulesession8 //时间会话
AC2(config)#wlan-config2Test-JL_XX
AC2(config-wlan)#sta-limit30
全局流表
EG1针对访问外网WEB流量限速每IP 1000Kbps，内网WEB总流量不超过50Mbps
EG2部署全局流表防火墙，ACL（编号为102）放通所有IP到本设备外网接口的ICMP、Telnet协议; 放通内网AP及终端IP到外网所有资源的访问; 根据上下文要求放通设备已启用的功能协议端口
EG2：
EG2(config)#ipaccess-listextended102
EG2(config-ext-nacl)#permiticmpany10.1.0.170.0.0.0
EG2(config-ext-nacl)#permittcpany10.1.0.170.0.0.0eq23
EG2(config-ext-nacl)#permitip194.1.10.00.0.255.255any
EG2(config-ext-nacl)#permitip194.1.20.00.0.255.255any
EG2(config-ext-nacl)#exit
EG2(config)#ipsessionfilter102
SSH
所有交换机和无线控制器开启SSH服务，用户名密码分别为admin、admin1234；密码为明文类型,特权密码为admin
S7(config)#enable servicessh-server //开启SSH服务
S7(config)#enable password admin //配置enable密码admin
S7(config)#username admin password admin1234 //配置用户名为admin密码为admin1234
S7(config)#line vty 0 4 //进入虚拟用户线程
S7(config-line)#login local //对SSH登陆设备启用基于用户名和密码认证
S7(config-line)#exit
S7(config)#crypto keygene rate rsa //加密方式有两种：DSA和RSA，可以随意选择
SNMP
S7设备配置SNMP功能，向主机172.16.0.254发送Trap消息版本采用V2C，读写的Community为“Test”，只读的Community为“public”，开启Trap消息
S7(config)#snmp-server community public ro
S7(config)#snmp-server community Test rw
S7(config)#snmp-server host 172.16.0.254 version 2c Test
S7(config)#snmp-server host 172.16.0.254 version 2c public
S7(config)#snmp-server enable traps
680
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
