ensp综合实验

 1、设备选型

防火墙：USG6000V

接入交换机：S3700

核心交换机：S5700

AC：AC6605

AP：AP6050

路由器：AR2240

2、实验拓扑图

3、vlan划分以及IP地址规划

公司部门：

信息部：vlan10 192.168.10.0/24

财务部：vlan20 192.168.20.0/24

客服部：vlan30 192.168.20.0/24

行政部：vlan40 192.168.40.0/24

无线ap：

管理vlan100 192.168.100.0/24

业务vlan101 192.168.101.0/24

公司服务器：

数据中心：100.100.101.1

FTP服务器：100.100.100.1

外网：

200.200.200.0/24

4、设备的部分代码

（1）、在lsw1和lsw上面分别创建地址池，用于做DHCP（全局模式）。

ip pool vlan10
 gateway-list 192.168.10.254
 network 192.168.10.0 mask 255.255.255.0
 dns-list 100.100.100.1
#
ip pool vlan20
 gateway-list 192.168.20.254
 network 192.168.20.0 mask 255.255.255.0
 dns-list 100.100.100.1
#
ip pool vlan30
 gateway-list 192.168.30.254
 network 192.168.30.0 mask 255.255.255.0
 dns-list 100.100.100.1
#
ip pool vlan40
 gateway-list 192.168.40.254
 network 192.168.40.0 mask 255.255.255.0
 dns-list 100.100.100.1
#
ip pool vlan100
 gateway-list 192.168.100.254
 network 192.168.100.0 mask 255.255.255.0
#

（2）、将vlan10 30映射实例1里面，将vlan20 40 100映射到实例2里面，将lsw1设置为实例1的主用根桥，实例2的备用根桥，lsw2设置为实例2的主用根桥，实例1的备用根桥。

#
stp instance 1 root primary
stp instance 2 root secondary
#
stp region-configuration
 instance 1 vlan 10 30
 instance 2 vlan 20 40 100
 active region-configuration
#

#
stp instance 1 root secondary
stp instance 2 root primary
#
stp region-configuration
 instance 1 vlan 10 30
 instance 2 vlan 20 40 100
 active region-configuration
#

（3）、使用vrrp技术，将lsw1做为vlan10 30 的主用网关（优先级120），做为vlan20 40 100的备用网关。

interface Vlanif10
 ip address 192.168.10.100 255.255.255.0
 vrrp vrid 10 virtual-ip 192.168.10.254
 vrrp vrid 10 priority 120
 dhcp select global
#
interface Vlanif20
 ip address 192.168.20.100 255.255.255.0
 vrrp vrid 20 virtual-ip 192.168.20.254
 dhcp select global
#
interface Vlanif30
 ip address 192.168.30.100 255.255.255.0
 vrrp vrid 30 virtual-ip 192.168.30.254
 vrrp vrid 30 priority 120
 dhcp select global
#
interface Vlanif40
 ip address 192.168.40.100 255.255.255.0
 vrrp vrid 40 virtual-ip 192.168.40.254
 dhcp select global
#
interface Vlanif100
 ip address 192.168.100.100 255.255.255.0
 vrrp vrid 100 virtual-ip 192.168.100.254
 dhcp select global

（4）、将lsw1做为vlan10 30 的备用网关，做为vlan20 40 100的主用网关（优先级120）。

#
interface Vlanif10
 ip address 192.168.10.101 255.255.255.0
 vrrp vrid 10 virtual-ip 192.168.10.254
 dhcp select global
#
interface Vlanif20
 ip address 192.168.20.101 255.255.255.0
 vrrp vrid 20 virtual-ip 192.168.20.254
 vrrp vrid 20 priority 120
 dhcp select global
#
interface Vlanif30
 ip address 192.168.30.101 255.255.255.0
 vrrp vrid 30 virtual-ip 192.168.30.254
 dhcp select global
#
interface Vlanif40
 ip address 192.168.40.101 255.255.255.0
 vrrp vrid 40 virtual-ip 192.168.40.254
 vrrp vrid 40 priority 120
 dhcp select global
#
interface Vlanif100
 ip address 192.168.100.101 255.255.255.0
 vrrp vrid 100 virtual-ip 192.168.100.254
 vrrp vrid 100 priority 120
 dhcp select global
#

5、无线AC配置模板。

wlan
 traffic-profile name default
 security-profile name default
 security-profile name wlan-net
  security wpa psk pass-phrase 无线密码 
aes
 security-profile name default-wds
 security-profile name default-mesh
 ssid-profile name default
 ssid-profile name wlan-net
  ssid lalala
 vap-profile name default
 vap-profile name wlan-net
  forward-mode tunnel
  service-vlan vlan-id 101
  ssid-profile wlan-net
  security-profile wlan-net

6、防火墙配置

这里我配置了几条规则

（1）公司部门只有信息部能够访问数据中心

 rule name t-data
  source-zone trust
  destination-zone dmz
  source-address 192.168.10.0 mask 255.255.255.0
  destination-address 100.100.101.0 mask 255.255.255.0
  action permit

（2）公司所有部门都能访问DNS服务器

 rule name t-ftp
  source-zone trust
  destination-zone dmz
  source-address 192.168.10.0 mask 255.255.255.0
  source-address 192.168.20.0 mask 255.255.255.0
  source-address 192.168.30.0 mask 255.255.255.0
  source-address 192.168.40.0 mask 255.255.255.0
  destination-address 100.100.100.0 mask 255.255.255.0
  action permit

（3）公司出来财务部不能访问外网，其他所有部门都能够访问外网

 rule name t-u
  source-zone trust
  destination-zone untrust
  source-address 192.168.10.0 mask 255.255.255.0
  source-address 192.168.30.0 mask 255.255.255.0
  source-address 192.168.40.0 mask 255.255.255.0
  action permit

7、出口NAT

 rule name t-u
  source-zone trust
  destination-zone untrust
  action source-nat address-group 1

8、OSPF配置

内网所有交换机和路由器、防火墙都需要配置OSPF

ospf 1 
 area 0.0.0.0 
  network 10.10.31.0 0.0.0.255 
  network 10.10.32.0 0.0.0.255 
  network 10.10.33.0 0.0.0.255 
  network 10.10.34.0 0.0.0.255 
  network 10.10.35.0 0.0.0.255 
  network 10.10.36.0 0.0.0.255 
  network 100.100.100.0 0.0.0.255 
  network 100.100.101.0 0.0.0.255 
  network 110.1.1.0 0.0.0.255 
  network 192.168.10.0 0.0.0.255 
  network 192.168.20.0 0.0.0.255 
  network 192.168.30.0 0.0.0.255 
  network 192.168.40.0 0.0.0.255

9、静态路由配置

AR2配置缺省路由，下一跳为防火墙g1/0/0接口。

ip route-static 0.0.0.0 0.0.0.0 10.10.35.1

AR1配置缺省路由，下一跳为防火墙g1/0/4接口。

ip route-static 0.0.0.0 0.0.0.0 10.10.36.1

防火墙配置缺省路由，下一条为AR4g0/0/0接口

ip route-static 0.0.0.0 0.0.0.0 110.1.1.2

10、最终实验目的

公司部门使用DHCP分配地址，DNS服务器为100.100.100.1

终端设备连接无线网

公司部门访问ftp服务器

财务部访问数据中心

财务部访问外网

信息部访问数据中心

客服部访问外网

总结：本次实验运用了VRRP、STP、DHCP、OSPF，NAT，ACL，静态路由等技术，在做防火墙的配置时候，最初AR3连接防火墙g0/0/0接口，但是ping外网200.200.200.1的时候vlan20 40怎么也ping不通，vlan10 30却能够ping通，开始我以为时LSW2和AR3配置出现了问题，最后排查出来我发现g0/0/0默认带了很多命令，最后我换成g1/0/4这才能使得vlan20 40ping通外网，本次仅展示一部分代码，作者水平有限，实验中难免会存在一些错误，敬请读者批评指正，另外大家在配置的过程中有问题，也可以联系我。（作者QQ：2408969020）