eNSP企业网综合实验（课程设计）

已于 2023-12-12 13:42:13 修改
阅读量8.4k 收藏 143
点赞数 15
分类专栏： eNSP 文章标签： 课程设计 网络
于 2023-07-08 20:09:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_50829760/article/details/131612536
版权

设备型号说明
ENSP版本：1.3.00.100
接入交换机：S3700
汇聚交换机：S5700
所有路由器：AR2220
防火墙：USG6000V

1 拓扑图

f725c1729b864659a0283e6f28eca3f6.png

题目：重庆沙坪坝某三甲医院要建设医院内部网络，该医院在北碚和合川均有分部。为了保障医院的网络安全，现需要进行防火墙的组网设计。

要求如下：

  1. 重庆总部需要部署挂号服务器和官网服务器，向外提供服务，Internet网络用户均可访问。需要在防火墙上做NAT server配置，将外网接口的8080端口映射到服务器的80端口。所有防火墙中配置源NAT，使内网用户可以访问Internet
  2. 使用点到点的IPSec VPN技术，实现总院和各分院，分院和分院数据安全传输；
  3. 现在北碚分院要新增加了一个儿科，为一个独立科室，需要连入内网，为了不影响网络原有的拓扑结构，需要将儿科以透明方式接入防火墙的1/0/3接口。在防火墙上配置SVI为vlan 20的网关，SVI安全域为trust；北碚分院网络中配置有3台新农合web服务器，可提供新农合查询等服务。三台服务器的性能不同，要根据性能来负载均衡，负载均衡算法可以选择“加权最小连接算法”。Server1性能是Server2的两倍、Server2性能是Server3的两倍，所以三台服务器的权值比为4:2:1。
  4. 在各个防火墙上合理规划各安全区域，配置访问控制策略。允许内网用户访问外网的WEB服务；允许外网和内网用户访问医院官网；不允许外网用户访问内网。医院内部用户可以通过IPSEC VPN相互访问（可以PING通）。合理配置访问控制规则，最后一条规则为默认拒绝。互联网上终端Client可以访问到官网，新农合服务网站，在互联网配置域名解析服务器，使得外网用户可以通过域名：www.xinqiao.com访问医院官网，www.xinnonghe.com访问新农合服务网站；在互联网区域设置百度WEB服务器，所有内网用户均可以访问该服务器；
  5. 完成防火墙组网配置，网络的IP地址自己设定，内网IP只能选择私网地址，所有的路由策略选择OSPF路由策略，在拓扑图上清楚标注网段和IP地址，IP地址可简写；可配置通过WEB方式对防火墙进行管理，合理分配防火墙管理口的IP地址；使用ENSP软件进行网络拓扑图设计，并对各设备进行合理配置，防火墙选择华为USG6000V，路由器选择华为AR2220，交换机选择华为S5700, 其他设备自己定义。（IP地址规划合理，标注清楚，所有的OSPF路由策略配置正确并生效，WEB管理方式配置正确，总体设计合理，能正常运行）

 2 配置

2.1 云的配置

d422edfc3944443a9fa78cc202ceeb2f.png

2.2 重庆总部的配置：

2.2.1 防火墙FW1配置

1、首先是管理口，确保管理口的ip和云所绑定的网卡ip在同一网段内，同时将所有服务开启。

<USG6000V1>sy
[USG6000V1]sysname FW1
[FW1]int g0/0/0
[FW1-GigabitEthernet0/0/0]ip address 192.168.253.10 24
[FW1-GigabitEthernet0/0/0]service-manage all permit 
[FW1-GigabitEthernet0/0/0]q

2、 创建VLAN，并配置接口IP地址

[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip address 13.13.13.1 24
[FW1-GigabitEthernet1/0/0]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip address 172.16.10.254 24
[FW1-GigabitEthernet1/0/2]int g1/0/1
[FW1-GigabitEthernet1/0/1]portswitch    //转为二层接口
[FW1-GigabitEthernet1/0/1]q
[FW1]int vlan 10
[FW1-Vlanif10]ip address 192.168.10.254 24
[FW1-Vlanif10]service-manage ping permit   //允许ping
[FW1-Vlanif10]int vlan 20
[FW1-Vlanif20]ip address 172.16.20.254 24
[FW1-Vlanif20]service-manage ping permit 
[FW1-Vlanif20]quit
[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]port link-type trunk 
[FW1-GigabitEthernet1/0/1]port trunk allow-pass vlan 10 20
[FW1-GigabitEthernet1/0/1]q

3、配置路由

[FW1]ospf 2 router-id 5.5.5.5     
[FW1-ospf-2]area 0.0.0.0   //区域
[FW1-ospf-2-area-0.0.0.0]network 13.13.13.1 0.0.0.0
[FW1-ospf-2-area-0.0.0.0]quit
[FW1-ospf-2]quit
[FW1]ip route-static 192.168.20.0 24 13.13.13.3
[FW1]ip route-static 192.168.30.0 24 13.13.13.3

4、进入防火墙web页面配置

在地址框中输入https://192.168.253.10:8443，点击继续访问

7d60a920c3d640e182ac863e5ef63752.png

输入密码

2c7f543ad05e453c8c8fb51b605ac508.png

  进入网络选项，划分安全区域，如图

e01247a6feda41dd8b664c60ad644e82.png

 进入对象→地址→新建，将需要用到的地址全部添加

300effefd3c84985b579fecc29963692.png
 

首先实现总部用户 ping 访问外网，不仅需要安全策略，还需要NAT转换，NAT 策略和安全策略如图：

9f308fb42932454dad233cd8e1bf8407.png

 cdd8f48ed72844a1b0469502ce97478c.png

 之后实现外网访问官网的步骤，需要做NAT映射（将公网地址13.13.13.2映射到服务器的地址172.16.10.1，和将外网接口的8080端口映射到服务器的80端口）和安全策略。

67a3c0a0b6e34c828eb67c44800f8cb9.png

6476a2f26ef049c9bb3796418dc7dd88.png

最后一步就是配置VPN了，需要三条安全策略和两条ipsec配置
ipsec配置：

580f3ae5972442a793426a4e5db1e16e.png

b4c147ad81e14c3d8c0313b7f9aaa961.png

 安全策略配置：
其中isakml策略，需要新建一个服务，配置如图：

b61519c32b384674af0de0e965242c7a.png

 9be63531c68c415a9b19dc9ba0d520a2.png

 esp配置：

c4bc0db8ee9f48f193cd855333943280.png

vpn配置：

c3aac3e79c894db4b8ec689bf18d3afe.png

 因实验要求最后一条安全策略为默认禁止，所以需加一条允许内网访问dmz的安全策略

700b9265ea654ee4b1e8b602a875a558.png

 所有的安全策略全部配置完成，结果如图（GH是挂号服务器映射）：

8dd6c71e577c4b9a9855d7995c4f966c.png

重庆总部防火墙到这里就配置完成了！

2.2.2、交换机LSW1的配置

<Huawei>sys
[Huawei]sysname LSW1
[LSW1]vlan batch 10 20
[LSW1]int g0/0/1
[LSW1-GigabitEthernet0/0/1]port link-type access
[LSW1-GigabitEthernet0/0/1]port default vlan 10
[LSW1-GigabitEthernet0/0/1]int g0/0/2
[LSW1-GigabitEthernet0/0/2]port link-type access
[LSW1-GigabitEthernet0/0/2]port default vlan 20
[LSW1-GigabitEthernet0/0/2]int g0/0/3
[LSW1-GigabitEthernet0/0/3]port link-type trunk
[LSW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20

2.3 lSP的配置

ISP1配置

<Huawei>sys
[Huawei]sysname ISP1
[ISP1]int g0/0/0
[ISP1-GigabitEthernet0/0/0]
[ISP1-GigabitEthernet0/0/0]ip address 13.13.13.3 24
[ISP1-GigabitEthernet0/0/0]int g0/0/1
[ISP1-GigabitEthernet0/0/1]ip address 23.23.23.1 24
[ISP1-GigabitEthernet0/0/1]quit
[ISP1]
[ISP1]ospf 2 router-id 1.1.1.1
[ISP1-ospf-2]
[ISP1-ospf-2]area 0.0.0.0
[ISP1-ospf-2-area-0.0.0.0]network 23.23.23.1 0.0.0.0
[ISP1-ospf-2-area-0.0.0.0]network 13.13.13.3 0.0.0.0

ISP2配置：

<Huawei>sys
[Huawei]sysname ISP2
[ISP2]int g0/0/0
[ISP2-GigabitEthernet0/0/0]ip address 25.25.25.1 24
[ISP2-GigabitEthernet0/0/0]int g0/0/1
[ISP2-GigabitEthernet0/0/1]ip address 23.23.23.2 24 
[ISP2-GigabitEthernet0/0/1]int g0/0/2
[ISP2-GigabitEthernet0/0/2]ip address 6.6.6.254 24
[ISP2-GigabitEthernet0/0/2]int g4/0/0	
[ISP2-GigabitEthernet4/0/0]ip address 7.7.7.254 24
[ISP2-GigabitEthernet4/0/0]int g4/0/1	
[ISP2-GigabitEthernet4/0/1]ip address 35.35.35.1 24
[ISP2-GigabitEthernet4/0/1]quit
[ISP2]
[ISP2]ospf 2 router-id 2.2.2.2
[ISP2-ospf-2]
[ISP2-ospf-2]area 0.0.0.0
[ISP2-ospf-2-area-0.0.0.0]network 25.25.25.1 0.0.0.0	
[ISP2-ospf-2-area-0.0.0.0]network 35.35.35.1 0.0.0.0
[ISP2-ospf-2-area-0.0.0.0]network 6.6.6.0 0.0.0.255
[ISP2-ospf-2-area-0.0.0.0]network 7.7.7.0 0.0.0.255
[ISP2-ospf-2-area-0.0.0.0]network 23.23.23.2 0.0.0.0

2.4 合川分部和北碚分部配置


配置和重庆总部基本一致，这里就不再一一赘述，只介绍一下北碚分部3台新农合web服务器“加权最小连接算法”的配置。

配置实服务器组

1232bf03ca614938a24bfb7825170cd0.png

创建虚拟服务，并在虚拟服务中关联实服务器组：

cf8f9646dffd4768a7284adf719382ed.png

 2.5 服务器配置

DNS服务器

708dbcb5862c4c5e81aa67395f82ba49.png

其它服务器（选择一个文件作为根目录，然后启动）

78d5051c5d5c453c8ad693f57294bd4e.png

 3 测试

3.1 测试官网服务器端口映射是否成功

外网用户通过13.13.13.2:8080端口访问医院官网

1756ea99b8df4f199d4ee06fddc85aee.png

 不加端口号访问

7d6051bf77fb4afc99a002368e16ad02.png

3.2 测试内网用户是否能访问百度

总部Client访问百度

cbcac4c29273434f89408009c6a86eb5.png

合川分部Client访问百度

28b4ff48ecd244a997cb1fdd41f60fcb.png

 北碚分部Client访问百度

19275e1368ea41edb8e9459f86c4d6fb.png

 3.3 测试NAT转换

总部Client访问百度，然后用wireshark在重庆总部FW的G1/0/0接口抓包

抓包截图

e47bcbac0ba140e3aa9bff130f90a8fc.png通过抓包截图可以看出，内网用户的地址已成功转为地址池里的地址。 

3.4 测试重庆总部与分院，分院与分院之间是否通过ipsec vpn加密传输

查看协商状态

重庆总部协商状态

ccfadbed88b0406b955af66ce090ae8f.png

 ipsec诊断

b903e6e752de402a8b1293ca9d9feee5.png

合川分部协商状态

cd1de84eaf844839bd1090230c9761fe.png

 北碚分部ipsec协商状态

c1246473c86d461cac288b77b869875b.png

 总部Client ping 合川分部Client，然后用wireshark在重庆总部FW的G1/0/0接口抓包

抓包截图

0dbab5fdf765469e918ea2a76089c54e.png

 合川分部Client ping 北碚分部Client，然后用wireshark在合川分部FW的G1/0/0接口抓包

抓包截图

490e6854bcab486cab7fce46b5f82462.png

 通过抓包截图可以看出，总部与分部，分部与分部之间的通信已成功通过ipsec加密。

3.5 测试是否禁止了外网用户访问内网用户

外网Client ping 总部Client 

b3c241633a6e4ed5904688d3116b4a50.png

总部Client ping 外网Client

5b21e3199fb5444d952a1d56a79c61c3.png

 3.6 测试域名解析是否成功

外网Clinent通过www.xinqiao.com:8080访问官网服务器

c405f4317a224678b4a6bf9ecf8779f2.png
外网Clinent通过www.xinnonghe.com访问新农合服务网站

a4b982201fdd444096b9a85dbe7c3cdd.png

3.7 测试负载均衡算法（加权最小连接算法）

PC1长ping大包 （35.35.35.2为新农合虚拟服务器地址）

9126b04c989d412696a7f73fdce7c908.png

实服务器组的流量负载情况

6e002eb313fe4f17bfd3a1017f010fa9.png

 通过以上截图可以看出，三台物理服务器的流量负载与预设的权重比一致（4：2：1）。

ensp综合实验
m0_50751035的博客
11-04 4971
5、所有路由器路由表应尽量控制减少，预防出现环路，所有选路均为最佳路径；R4与R5之间正常使用1000M链路，1000M链路故障时自动切换到100m链路，整个网络仅使用静态路由协议；4、PC1/3为划分到VLAN2，PC2/4/HTTP 服务器划分到VLAN3；1、AR6理解为ISP设备，所连接的两个网段为公网；借三位，成为了8个网段27，给骨干使用，再借三位30，将一个网段再次划分为8个网段。2、AR6上只能进行ip地址配置，之后不得对该路由器进行其他任何配置。骨干链路需要6个网段，DHCP需要两个。
基于华为Ensp的校园/企业网的网络设计
m0_73990724的博客
05-07 1万+
基于华为ENSP网络设计
基于eNSP加防火墙的千人中型校园/企业网络规划与设计(附所有配置命令)
06-04
文件中包含了基于eNSP加防火墙的千人中型校园/企业网络规划与设计的topo图及其完整的配置（2份 区别就是第二个加了无线网络规划设计(WIFI)）（三层架构，核心层、汇聚层、计入层），并加所有的配置命令(以txt形式在文件中)，文件在加入了相应的配套文章连接。文章中的综合运用设计技术的单个技术如vlan划分、静态路由、OSPF、单臂路由(trunk/access)、DHCP、无线WLAN、Snooping、MSTP、VRRP、防火墙、DNS server、ACL等。该topo适合了解并熟知单个组网技术的小伙伴，并想学习将单个技术组合应用的小伙伴，使用场景适用于毕业设计、校园网络规划、企业网络规划等场合
安全防御——二、ENSP防火墙实验学习_ensp模拟防火墙旁挂控制实验_ensp两个防火墙ping不通
最新发布
韩束一叶子
03-14 845
防火墙的基本作用是保护特定网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。安全策略是控制设备对流量转发以及对流量进行内容安全一体化检测的策略，作用就是对通过防火墙的数据流进行检验，符合安全策略的合法数据流才能通过防火墙。从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。
ENSP之综合实验
Shass的博客
09-21 3万+
最终TOPO 本文章不叙述详细的配置过程，只做需求配置演示 1、IP地址规划 FW1 AR 1 AR 2 AR 3 LSW1 LSW2 LSW3 LSW4 LSW5 LSW6 DHCP_Server FTP DNS www.test.com Clinet 2、所有主机通过DHCP获取地址（包括DNS地址）。 DHCP配置信息 DHCP中继配置 需要在LSW1、2上的vlanif10 20 30 40 100 101 102上配置中继服务。 3、STP配置 LSW1 LS
ensp企业网综合实验（课程设计）
qq_50829760的博客
05-13 1万+
使用MSTP+VRRP技术实现负载均衡以及增加网络的可靠性；出口配置napt；所有用户均为自动获取IP地址；
ensp综合性实验
weixin_51668595的博客
10-20 4845
STP优先级、边缘端口、ETH_trunk、vlan、nat、acl、DHCP。
ENSP网络综合实验
热门推荐
qq_45959697的博客
04-16 4万+
拓扑图 总公司一共有三个部门：销售部、技术部、财务部，临设访客区域。分公司这里简化为只有一个技术部门 配置需求 1.销售部、技术部、财务部，访客区域分别划分到VLAN10-VLAN40 2.销售部可通过有线、无线访问网络，访客区域提供访客无线服务。 3. 配置步骤 1.销售部、技术部、财务部，访客区域分别划分到VLAN10-VLAN40 分别在LSW1和LSW2基于接口划分VLAN，终端不必配置ip地址，后面配置DHCP自动获取 。 以LSW1为例： interface Eth
基于eNSP防火墙千人中型校园(企业)网络规划与设计-ensp综合实验.rar
03-08
文件中包含了基于eNSP加防火墙的千人中型校园/企业网络规划与设计的topo图及其完整的配置（2份 区别就是第二个加了无线网络规划设计(WIFI)）（三层架构，核心层、汇聚层、计入层），并加所有的配置命令(以txt形式在...
ensp小型企业网综合实验
07-11
【ensp小型企业网综合实验】是一门针对网络技术学习者设计的实践课程，主要使用华为的网络模拟器ENSP（Enterprise Network Simulation Platform）进行。这门实验旨在帮助学生或从业者掌握小型企业网络的设计、配置和...
配置中小型企业网络 ensp，vlan，is-is，ospf 一个综合性实验
08-18
本实验旨在通过配置中小型企业网络，提升对网络设计、管理和安全性的理解与实践能力。实验涉及的关键技术包括VLAN（虚拟局域网）划分、RSTP（快速生成树协议）配置、OSPF（开放最短路径优先）路由协议、IS-IS（中间...
中小型企业网综合实验
04-01
1．实验配置要体现层次化，使网络能够满足基本连通性的需要，用户可以内部互访并都能上Internet， 2．IP地址规划，遵询连续分配按块划分原则，对外呈现一个IP网段。 3．交换技术根据实际情况要使用vlan、trunk、vtp、以太网通道、vlan间路由、portfast 、指定根网桥、HSRP。总部SW上做两个vlan，并通过在交换机上做些必要配置让数据量在网络上传送是既可以负载均衡，又可提供相互冗余。分公司中创建两个vlan。 4．通过配置OSPF路由实现全网互通；分公司只能访问总部WWW服务器和上Internet，且分公司VLAN之间不能互访。 5．分公司路由器是一台CISCO设备，要求做PPP、多链路PPP、二层链路认证。 6．在各个区域中要能看到Internet的缺省路由。 7．配置一个对内WEB站点。 9．编写解决方案报告书，电子文档要求有（总体组网方案、网络拓朴结构、详细技术方案、设备清单、实施计划与步骤、测试方案、设备配置、工程总结、心得体会）考试之前要写好，未完成将无法参加考试。
eNSP综合实验
daydreamer36的博客
01-24 2611
要求 配置IP地址 pc1可以访问client，client拒绝pc2的访问 client可以访问server的telnet服务 server需配置telnet,用户名和密码均为admin 合理配置路由 私网上不允许有公网路由，公网上不允许有私网路由 AR3和AR4之间配置MP-group，并且配置chap认证 思路 做基础配置 做chap验证，做mp-group 做telnet，napt地址转换 做acl 这里需要注意，做要求2的时候，由于AR2和AR3之间地址已经发生转换，并且是做的NAPT，所
静态路由综合实验
cjh12340的博客
01-04 1085
要求： 1.R6为isp，接口IP地址为公有地址，该设备只能配置IP地址，之后不能再对其进行其他任何配置； 2.R1-R5为局域网，私有IP地址192.168.1.0/24，请合理分配; 3.R1，R2,R4,各有两个环回地址；R5，R6各有一个环回地址；所有路由器上环回均代表连接用户的接口； 4.R3下的两台PC通过DHCP自动获取IP地址； 5.选路最佳，路由表尽量小，避免环路； 6.R1-R5均可以访问R6的环回； 7.R6 telnet R5 的公有IP地址时，实际登录到R1上...
HCIA综合实验
weixin_65313476的博客
11-04 2197
HCIA综合实验
ENSP综合实验
qq_57775566的博客
06-11 6828
实验拓扑图如下： 一、首先配置IP R7只配置了IP地址，PC1手动配置静态即可 [R7]interface g0/0/0 [R7-GigabitEthernet0/0/0]ip address 11.1.1.124 [R7-GigabitEthernet0/0/0]qu [R7]interface g0/0/1 [R7-GigabitEthernet0/0/1]ip address 10.1.1.224 [R7-GigabitEthernet0/0/1]qu [R6]interf..
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

提莫大队长#

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值