easy nat 实验、acl实验、vlan实验

NAT实验

        NAT：NAT地址转换，局域网向外暴露的是经过转换的地址他不会暴露局域网内部主机的地址。

         R1路由左边代表局域网（10.1.1.0 24 ） 右边接口代表外网（192.168.1 24 ）;

         NAT命令就是让 10.1.1.1 ——》 192.168.1.1 访问的时候讲自己的IP地址隐藏。

         路由器设置 ip add 10.1.1.254 24    给 g0/0/0接口

           ip add 192.168.1.254 24 给 g0/0/1接口

NAT 使用在外网网关入口（192.168.1.254）

  nat static global 100.1.1.1 inside 10.1.1.1 ;

//主机发送数据报抓包验证

（2）外部主机限制进行ping命令

       外部服务器能访问内部局域网这本身就是不合理的

       对路由器进行配置

acl实验

搭建实验环境及基本配置

AR1的IP配置
[AR1]interface g0/0/0
[AR1-GigabitEthernet0/0/0]ip address 192.168.1.1 24
[AR1-GigabitEthernet0/0/0]q
[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ip address 12.1.1.1 24
AR2的IP配置
[AR2]interface g0/0/0
[AR2-GigabitEthernet0/0/0]ip address 12.1.1.2 24
[AR2-GigabitEthernet0/0/0]q
[AR2]interface g0/0/1
[AR2-GigabitEthernet0/0/1]ip address 192.168.2.1 24
[AR2-GigabitEthernet0/0/1]q
[AR2]interface g0/0/2
[AR2-GigabitEthernet0/0/2]ip address 23.1.1.2 24
AR3的IP配置
[AR3]interface g0/0/0
[AR3-GigabitEthernet0/0/0]ip address 23.1.1.3 24
[AR3-GigabitEthernet0/0/0]
[AR3]int 
[AR3]interface g0/0/1
[AR3-GigabitEthernet0/0/1]ip address 192.168.3.1 24
PC1

PC2
PC3
二丶启用RIP协议，在PC端查看是否全网通
AR1
[AR1]rip 1
[AR1-rip-1]version 2
[AR1-rip-1]network 12.0.0.0
[AR1-rip-1]network 192.168.1.0
AR2
[AR2]rip 1
[AR2-rip-1]version 2
[AR2-rip-1]network 12.0.0.0
[AR2-rip-1]network 192.168.2.0
[AR2-rip-1]network 23.0.0.0
AR3
[AR3]rip 1
[AR3-rip-1]version 2
[AR3-rip-1]network 23.0.0.0
[AR3-rip-1]network 192.168.3.0
在PC去Ping其他主机的IP，出现下图则表明已全网通

三丶通过ACL的配置使得PC1和PC2可以正常通信，但PC1不能和PC3通信
基本acl：在靠近目标的端口
方法一：在AR3的g0/0/1接口拒绝PC1的访问
[AR3]acl 2000
[AR3-acl-basic-2000]rule deny source 192.168.1.2 0
[AR3-acl-basic-2000]q
[AR3]interface g0/0/1//在该接口调用
[AR3-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
[AR3-GigabitEthernet0/0/1]q
验证结果：
方法二：在AR3上只允许PC2拒绝PC3
若先使用的方法一则需删掉原来的配置，删掉后仍然全网通
[AR3]undo acl 2000
[AR3]acl 2000 
[AR3-acl-basic-2000]rule permit source 192.168.2.2 0
[AR3-acl-basic-2000]rule deny source any
方法一已经调用过此处可不必调用
‘’’
[AR3]interface g0/0/1//在该接口调用
[AR3-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
[AR3-GigabitEthernet0/0/1]q
‘’’
****此时结果同方法一的结果
四丶AR1远程登录到AR3，但两者不能ping通，PC1，PC2仍能正常通信
高级acl
[AR3]undo acl 2000 //删掉原来的配置
在AR3设置远程登录
[AR3]user-interface vty 0 4 
[AR3-ui-vty0-4]authentication-mode password
Please configure the login password (maximum length 16):huawei
AR1远程登录
telnet 192.168.3.1 //此处也可换为23.1.1.3

<1>1-3被拒绝ping，但可以远程登录
[AR2]acl 3000
[AR2-acl-adv-3000]rule deny icmp source 12.1.1.1 0 destination 23.1.1.3 0
[AR2-acl-adv-3000]q
[AR2]interface g0/0/0
[AR2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[AR2-GigabitEthernet0/0/0]q

<2>1-3可以ping通，但不可以远程登录
[AR2]undo acl 3000 //删除之前的配置
[AR2]acl 3000
[AR2-acl-adv-3000]rule deny tcp source 12.1.1.1 0 destination-port eq 23
[AR2-acl-adv-3000]q
由于<1>中已经调用此处可不必调用
‘’’
[AR2]interface g0/0/0
[AR2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[AR2-GigabitEthernet0/0/0]q
‘’’
结果正好与<1>相反

vlan实验

说明：图上当时把端口编号托错位置—互换LSW2和LSW3上相连端口编号。此图下的图上为正确图

实验要求：

1.PC1和PC3所在接口为access；PVLAN VLAN2
PC2/4/5/6 处于同一网段；其中PC2可以访问PC4/5/6；但PC4可以访问PC5，不能访问PC6；

2.PC5不能访问PC6

实验配置思路：

1.PC2/4/5/6处于同一网段–DHCP下放IP地址 PC1/3–使用路由器子接口DHCP下放IP地址

2.为满足实验要求：

划分VLAN：PC1/PC3处于VLAN2；PC2处于VLAN3；PC4/5处于VLAN4；PC6处于VLAN5

3.规划端口模式：

配置
交换机上创建VLAN
[SW1]vlan batch 2 to 5
[SW2]vlan batch 2 to 5
[SW3]vlan batch 2 to 5

根据上图配置端口模式

SW1：

interface GigabitEthernet0/0/1
port hybrid tagged vlan 2 
port hybrid untagged vlan 3 to 5

interface GigabitEthernet0/0/2
port link-type trunk //接口模式改为trunk模式
port trunk allow-pass vlan 2 to 5 //允许通过的VLAN

interface GigabitEthernet0/0/3
port link-type access
port default vlan 2

interface GigabitEthernet0/0/4
port hybrid pvid vlan 3
port hybrid untagged vlan 3 to 5

SW2:

interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 5

interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 2 to 5

interface GigabitEthernet0/0/3
port link-type access
port default vlan 2

interface GigabitEthernet0/0/4
port hybrid pvid vlan 4
port hybrid untagged vlan 3 to 4

SW3:

interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 5

interface GigabitEthernet0/0/2
port hybrid pvid vlan 4
port hybrid untagged vlan 3 to 4

interface GigabitEthernet0/0/3
port hybrid pvid vlan 5
port hybrid untagged vlan 3 5

配置DHCP，下放IP地址
display current-configuration
sysname R1

dhcp enable //全局开启DHCP

ip pool a
gateway-list 172.16.1.1
network 172.16.1.0 mask 255.255.255.0
dns-list 8.8.8.8

ip pool b
gateway-list 192.168.1.1
network 192.168.1.0 mask 255.255.255.0
dns-list 8.8.8.8

interface GigabitEthernet0/0/0
ip address 192.168.1.1 255.255.255.0
dhcp select global

interface GigabitEthernet0/0/0.1 //子接口
dot1q termination vid 2
ip address 172.16.1.1 255.255.255.0
arp broadcast enable
dhcp select global

测试
1）PC使用DHCP自动获取IP地址
例：PC1、PC2

2）测试连通性
PC1 ping PC3 相同VLAN的通信（PC1IP地址-172.16.1.253 PC3–172.16.1.254）

PC2 ping PC4可通（PC4IP地址为192.168.1.251）

PC2 ping PC5 -可通

PC2 ping PC6-可通（基于hybrid端口实现不同VLAN间进行通信）

PC4 ping PC5-可通（相同VLAN）

PC4 ping PC6 --不通（不同VLAN）

PC5 ping PC6–不通（不同VLAN间不能进行通信）