第三步 三层交换机实现vlan间的通信(思科)

 

一、配置vlan信息

1、手动配置PC端的IP地址

 

2、配置二层交换机

Switch>enable                                                       //进入特权模式
Switch#configure terminal                                           //进入全局模式
Switch(config)#hostname S01                                         //重命名交换机名
S01(config)#vlan 10                                                 //创建vlan
S01(config-vlan)#name xxx
S01(config-vlan)#vlan 20
S01(config-vlan)#name yyy
S01(config-vlan)#vlan 30
S01(config-vlan)#name zzz
S01(config)#interface vlan 10                                       //启动vlan10
S01(config-if)#ip address 192.168.10.10 255.255.255.0                   //为vlan配置IP地址
S01(config-if)#no shutdown
S01(config-if)#exit
S01(config)#interface vlan 20                                       //启动vlan20
S01(config-if)#ip address 192.168.20.10 255.255.255.0                   //为vlan配置IP地址
S01(config-if)#no shutdown
S01(config-if)#exit
S01(config)#interface vlan 30                                       //启动vlan30
S01(config-if)#ip address 192.168.30.10 255.255.255.0                   //为vlan配置IP地址
S01(config-if)#no shutdown
S01(config-if)#exit
S01(config)#interface f0/1                                          //
S01(config-if)#switchport access vlan 10                                //将f0/1口设置为vlan10
S01(config-if)#exit
S01(config)#interface f0/2                                          //
S01(config-if)#switchport access vlan 20                                //将f0/2口设置为vlan20
S01(config-if)#exit
S01(config)#interface f0/3
S01(config-if)#switchport access vlan 30                                //将f0/3口设置为vlan30
S01(config-if)#exit
S01(config)#interface g1/1
S01(config-if)#switchport mode trunk                                //将g1/1口设置为trunk模式
S01(config-if)#end
S01#write
​
#####另一台二层交换机
​
Switch>enable                                                       //进入特权模式
Switch#configure terminal                                           //进入全局模式
Switch(config)#hostname S02                                         //重命名交换机名
S02(config)#vlan 10                                                 //创建vlan
S02(config-vlan)#name xxx
S02(config-vlan)#vlan 20
S02(config-vlan)#name yyy
S02(config-vlan)#vlan 30
S02(config-vlan)#name zzz
S02(config)#interface vlan 10                                       //启动vlan10
S02(config-if)#ip address 192.168.10.11 255.255.255.0                   //为vlan配置IP地址
S02(config-if)#no shutdown
S02(config-if)#exit
S02(config)#interface vlan 20                                       //启动vlan20
S02(config-if)#ip address 192.168.20.11 255.255.255.0                   //为vlan配置IP地址
S02(config-if)#no shutdown
S02(config-if)#exit
S02(config)#interface vlan 30                                       //启动vlan30
S02(config-if)#ip address 192.168.30.11 255.255.255.0                   //为vlan配置IP地址
S02(config-if)#no shutdown
S02(config-if)#exit
S02(config)#interface f0/1                                          //
S02(config-if)#switchport access vlan 10                                //将f0/1口设置为vlan10
S02(config-if)#exit
S02(config)#interface f0/2                                          //
S02(config-if)#switchport access vlan 20                                //将f0/2口设置为vlan20
S02(config-if)#exit
S02(config)#interface f0/3
S02(config-if)#switchport access vlan 30                                //将f0/3口设置为vlan30
S02(config-if)#exit
S02(config)#interface g1/1
S02(config-if)#switchport mode trunk                                //将g1/1口设置为trunk模式
S02(config-if)#end
S02#write

3、配置三层交换机

Switch>enable                                                       //进入特权模式
Switch#configure terminal                                           //进入全局模式
Switch(config)#hostname MS01                                            //重命名交换机名
MS01(config)#vlan 10                                                    //创建vlan
MS01(config-vlan)#name xxx
MS01(config-vlan)#vlan 20
MS01(config-vlan)#name yyy
MS01(config-vlan)#vlan 30
MS01(config-vlan)#name zzz
MS01(config-vlan)#exit
MS01(config)#interface vlan 10
MS01(config-if)#ip address 192.168.10.1 255.255.255.0                   //为vlan配置IP地址
MS01(config-if)#no shutdown
MS01(config-if)#exit
MS01(config)#interface vlan 20
MS01(config-if)#ip address 192.168.20.1 255.255.255.0                   //为vlan配置IP地址
MS01(config-if)#no shutdown
MS01(config-if)#exit
MS01(config)#interface vlan 30
MS01(config-if)#ip address 192.168.30.1 255.255.255.0                   //为vlan配置IP地址
MS01(config-if)#no shutdown
MS01(config-if)#exit
MS01(config)#interface range g0/1-2
MS01(config-if-range)#switchport trunk encapsulation dot1q              //表明使用的是dot1q协议
MS01(config-if-range)#switchport mode trunk                             //将接口设置为trunk模式
MS01(config-if-range)#exit
MS01(config)#ip routing
MS01(config)#end
MS01#write

注意:

Switch(config)#int vlan 1 //进入VLAN1这是交换机默认全通VLAN,不需要创建

Switch(config-if)#ip address 192.168.4.2 255.255.255.0 //重:此次添加的是与路由器相连网段的ip,此处应当作路由与路由相连中的端口ip,用于路由表中下一跳。

Switch(config-if)#ex //退出VLAN1

并将接口设置为Trunk模式

Switch(config-if)#switchport mode trunk //设置为串口trunk模式

Switch(config-if)#switchport trunk allowed vlan all ///设置为VLAN全通

二、检测

随便选一台PC端,ping其他PC端,ping通即可。

  • 2
    点赞
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
   IEEE于1999年颁布了用于标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术的出现,使得管理员根据 Vlan网卡 Intel82573    实际应用需求,把同一物理局域网内的不同用户逻辑地划分成不同的广播域,每一个VLAN都包含一组有着相同需求的计算机工作站,与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分,而不是从物理上划分,所以同一个VLAN内的各个工作站没有限制在同一个物理范围中,即这些工作站可以在不同物理LAN网段。由VLAN的特点可知,一个VLAN内部的广播和单播流量都不会转发到其他VLAN中,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。    交换技术的发展,也加快了新的交换技术(VLAN)的应用速度。通过将企业网络划分为虚拟网络VLAN网段,可以强化网络管理和网络安全,控制不必要的数据广播。在共享网络中,一个物理的网段就是一个广播域。而在交换网络中,广播域可以是有一组任意选定的第二层网络地址(MAC地址)组成的虚拟网段。这样,网络中工作组的划分可以突破共享网络中的地理位置限制,而完全根据管理功能来划分。这种基于工作流的分组模式,大大提高了网络规划和重组的管理功能。在同一个VLAN中的工作站,不论它们实际与哪个交换机连接,它们之间的通讯就好象在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到,而不会传输到其他的VLAN中去,这样可以很好的控制不必要的广播风暴的产生。同时,若没有路由的话,不同VLAN之间不能相互通讯,这样增加了企业网络中不同部门之间的安全性。网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根据交换机的端口来划分VLAN的。所以,用户可以自由的在企业网络中移动办公,不论他在何处接入交换网络,他都可以与VLAN内其他用户自如通讯。    VLAN网络可以是有混合的网络类型设备组成,比如:10M以太网、100M以太网、令牌网、FDDI、CDDI等等,可以是工作站、服务器、集线器、网络上行主干等等。    VLAN除了能将网络划分为多个广播域,从而有效地控制广播风暴的发生,以及使网络的拓扑结构变得非常灵活的优点外,还可以用于控制网络中不同部门、不同站点之间的互相访问。    VLAN是为解决以太网的广播问题和安全性而提出的一种协议,它在以太网帧的基础上增加了VLAN头,用VLAN ID把用户划分为更小的工作组,限制不同工作组的用户互访,每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围,并能够形成虚拟工作组,动态管理网络。 编辑本段VLAN的目的    VLAN(Virtual Local Area Network,虚拟局域网)的目的非常的多。通过认识VLAN的本质,将可以了解到其用处究竟在哪些地方。    第一,要知道192.168.1.2/30和192.168.2.6/30都属于不同的网段,都必须要通过路由器才能进行访问,凡是不同网段要互相访问,都必须通过路由器。    第二,VLAN本质就是指一个网段,之所以叫做虚拟的局域网,是因为它是在虚拟的路由器的接口下创建的网段。    下面,给予说明。比如一个路由器只有一个用于终端连接的端口(当然这种情况基本不可能发生,只不过简化举例),这个端口被分配了192.168.1.1/24的地址。然而由于公司有两个部门,一个销售部,一个企划部,每个部门要求单独成为一个子网,有单独的服务器。那么当然可以划分为192.168.1.0--127/25、192.168.1.128--255/25。但是路由器的物理端口只应该可以分配一个IP地址,那怎样来区分不同网段了?这就可以在这个物理端口下,创建两个子接口---逻辑接口实现。    比如逻辑接口F0/0.1就分配IP地址192.168.1.1/25,用于销售部,而F0/0.2就分配IP地址192.168.1.129/25,用于企划部。这样就等于用一个物理端口确实现了两个逻辑接口的功能,这样就将原本只能划分一个网段的情形,扩展到了可以划分2个或者更多个网段的情形。这些网段因为是在逻辑接口下创建的,所以称之为虚拟局域网VLAN。    这是在路由器的层次上阐述了VLAN的目的。    第三,将在交换机的层次上阐述VLAN的目的。    在现实中,由于很多原因必须划分出不同网段。比如就简单的只有销售部和企划部两个网段。那么可以简单的将销售部全部接入一个交换机,然后接入路由器的一个端口,把企划部全部接入一个交换机,然后接入一个路由器端口。这种情况是LAN.然而正如上面所说,如果路由器就一个用于终端的接口,那么这两个交换机就必须接入这同一个路由器的接口,这个时候,如果还想保持原来的网段的划分,那么就必须使用路由器的子接口,创建VLAN.    同样,比如两个交换机,如果你想要每个交换机上的端口都分别属于不同的网段,那么你有几个网段,就提供几个路由器的接口,这个时候,虽然在路由器的物理接口上可以定义这个接口可以连接哪个网段,但是在交换机的层次上,它并不能区分哪个端口属于哪个网段,那么唯一实现能区分的方法,就是划分VLAN,使用了VLAN就能区分出某个交换机端口的终端是属于哪个网段的。    综上,当一个交换机上的所有端口中有至少一个端口属于不同网段的时候,当路由器的一个物理端口要连接2个或者以上的网段的时候,就是VLAN发挥作用的时候,这就是VLAN的目的。 编辑本段VLAN的优点 广播风暴防范    限制网络上的广播,将网络划分为多个VLAN可减少参与广播风暴的设备数量。LAN分段可以防止广播风暴波及整个网络VLAN可以提供建立防火墙的机制,防止交换网络的过量广播。使用VLAN,可以将某个交换端口或用户赋于某一个特定的VLAN组,该VLAN组可以在一个交换网中或跨接多个交换机,在一个VLAN中的广播不会送到VLAN之外。同样,相邻的端口不会收到其他VLAN产生的广 播。这样可以减少广播流量,释放带宽给用户应用,减少广播的产生。 安全    增强局域网的安全性,含有敏感数据的用户组可与网络的其余部分隔离,从而降低泄露机密信息的可能性。不同VLAN内的报文在传输时是相互隔离的,即一个VLAN内的用户不能和其它VLAN内的用户直接通信,如果不同VLAN要进行通信,则需要通过路由器或三层交换机等三层设备。 成本降低    成本高昂的网络升级需求减少,现有带宽和上行链路的利用率更高,因此可节约成本。 性能提高    将第二层平面网络划分为多个逻辑工作组(广播域)可以减少网络上不必要的流量并提高性能。 提高IT员工效率    VLAN网络管理带来了方便,因为有相似网络需求的用户将共享同一个VLAN。 应用管理    VLAN 将用户和网络设备聚合到一起,以支持商业需求或地域上的需求。通过职能划分,项目管理或特殊应用的处理都变得十分方便,例如可以轻松管理教师的电子教学开发平台。此外,也很容易确定升级网络服务的影响范围。 增加网络连接的灵活性    借助VLAN技术,能将不同地点、不同网络、不同用户组合在一起,形成一个虚拟的网络环境,就像使用本地LAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管 理费用,特别是一些业务情况有经常性变动的公司使用了VLAN后,这部分管理费用大大降低。 编辑本段组建VLAN的条件    VLAN是建立在物理网络基础上的一种逻辑子网,因此建立VLAN需要相应的支持VLAN技术的网络设备。当网络中的不同VLAN进行相互通信时,需要路由的支持,这时就需要增加路由设备——要实现路由功能,既可采用路由器,也可采用三层交换机来完成,同时还严格限制了用户数量。 编辑本段VLAN的划分 根据端口来划分VLAN    许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如,一个交换机的1,2,3,4,5端口被定义为虚拟网AAA,同一交换机的6,7,8端口组成虚拟网BBB。这样做允许各端口之间的通讯,并允许共享型网络的升级。但是,这种划分模式将虚拟网限制在了一台交换机上。    第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN,不同交换机上的若干个端口可以组成同一个虚拟网。    以交换机端口来划分网络成员,其配置过程简单明了。因此,从目前来看,这种根据端口来划分VLAN的方式仍然是最常用的一种方式。 根据MAC地址划分VLAN    这种划分VLAN的方法是根据每个主机的MAC地址来划分,即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时,即从一个交换机换到其他的交换机时,VLAN不用重新配置,所以,可以认为这种根据MAC地址的划分方法是基于用户的VLAN,这种方法的缺点是初始化时,所有的用户都必须进行配置,如果有几百个甚至上千个用户的话,配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低,因为在每一个交换机的端口都可能存在很多个VLAN组的成员,这样就无法限制广播包了。另外,对于使用笔记本电脑的用户来说,他们的网卡可能经常更换,这样,VLAN就必须不停地配置。 根据网络层划分VLAN    这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的,虽然这种划分方法是根据网络地址,比如IP地址,但它不是路由,与网络层的路由毫无关系。    这种方法的优点是用户的物理位置改变了,不需要重新配置所属的VLAN,而且可以根据协议类型来划分VLAN,这对网络管理者来说很重要,还有,这种方法不需要附加的帧标签来识别VLAN,这样可以减少网络通信量。    这种方法的缺点是效率低,因为检查每一个数据包的网络层地址是需要消耗处理时的(相对于前面两种方法),一般的交换机芯片都可以自动检查网络上数据包的以太网帧头,但要让芯片能检查IP帧头,需要更高的技术,同时也更费时。当然,这与各个厂商的实现方法有关。 根据IP组播划分VLAN    IP 组播实际上也是一种VLAN的定义,即认为一个组播组就是一个VLAN,这种划分的方法将VLAN扩大到了广域网,因此这种方法具有更大的灵活性,而且也很容易通过路由器进行扩展,当然这种方法不适合局域网,主要是效率不高。 基于规则的VLAN    也称为基于策略的VLAN。这是最灵活的VLAN划分方法,具有自动配置的能力,能够把相关的用户连成一体,在逻辑划分上称为“关系网络”。网络管理员只需在网管软件中确定划分VLAN的规则(或属性),那么当一个站点加入网络中时,将会被“感知”,并被自动地包含进正确的VLAN中。同时,对站点的移动和改变也可自动识别和跟踪。    采用这种方法,整个网络可以非常方便地通过路由器扩展网络规模。有的产品还支持一个端口上的主机分别属于不同的VLAN,这在交换机与共享式Hub共存的环境中显得尤为重要。自动配置VLAN时,交换机中软件自动检查进入交换机端口的广播信息的IP源地址,然后软件自动将这个端口分配给一个由IP子网映射成的VLAN。 按用户划分VLAN    基于用户定义、非用户授权来划分VLAN,是指为了适应特别的VLAN网络,根据具体的网络用户的特别要求来定义和设计VLAN,而且可以让非VLAN群体用户访问VLAN,但是需要提供用户密码,在得到VLAN管理的认证后才可以加入一个VLAN。    * 以上划分VLAN的方式中,基于端口的VLAN端口方式建立在物理层上;MAC方式建立在数据链路层上;网络层和IP广播方式建立在第三层上。 编辑本段VLAN的标准    对VLAN的标准,我们只是介绍两种比较通用的标准,当然也有一些公司具有自己的标准,比如Cisco公司的ISL标准,虽然不是一种大众化的标准,但是由于Cisco Catalyst交换机的大量使用,ISL也成为一种不是标准的标准了。    · 802.10VLAN标准    在1995年,Cisco公司提倡使用IEEE802.10协议。在此之前,IEEE802.10曾经在全球范围内作为VLAN安全性的同一规范。Cisco公司试图采用优化后的802.10帧格式在网络上传输FramTagging模式中所必须的VLAN标签。然而,大多数802委员会的成员都反对推广802.10。因为,该协议是基于FrameTagging方式的。    · 802.1Q    在1996年3月,IEEE802.1Internetworking委员会结束了对VLAN初期标准的修订工作。新出台的标准进一步完善了VLAN的体系结构,统一了Frame-Tagging方式中不同厂商的标签格式,并制定了VLAN标准在未来一段时内的发展方向,形成的802.1Q的标准在业界获得了广泛的推广。它成为VLAN史上的一块里程碑。802.1Q的出现打破了虚拟网依赖于单一厂商的僵局,从一个侧面推动了VLAN的迅速发展。另外,来自市场的压力使各大网络厂商立刻将新标准融合到他们各自的产品中。    802.1q帧格式:    · Cisco ISL 标签    ISL(Inter-Switch Link)是Cisco公司的专有封装方式,因此只能在Cisco的设备上支持。ISL是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议,通过在交换机直接的端口配置ISL封装,即可跨越交换机进行整个网络VLAN分配和配置。 编辑本段划分VLAN的基本策略    从技术角度讲,VLAN的划分可依据不同原则,一般有以下三种划分方法: 基于端口    这种划分是把一个或多个交换机上的几个端口划分一个逻辑组,这是最简单、最有效的划分方法。该方法只需网络管理员对网络设备的交换端口进行重新分配即可,不用考虑该端口所连接的设备。 基于MAC地址    MAC地址其实就是指网卡的标识符,每一块网卡的MAC地址都是唯一且固化在网卡上的。MAC地址由12位16进制数表示,前6位为网卡的厂商标识(OUI),后6位为网卡标识(NIC)。网络管理员可按MAC地址把一些站点划分为一个逻辑子网。 基于路由    路由协议工作在网络层,相应的工作设备有路由器和路由交换机(即三层交换机)。该方式允许一个VLAN跨越多个交换机,或一个端口位于多个VLAN中。    就目前来说,对于VLAN的划分主要采取上述第1、3种方式,第2种方式为辅助性的方案。 编辑本段VLAN技术简单谈    局域网的发展是VLAN产生的基础,所以在介绍VLAN之前,我们先来了解一下局域网的有关知识。    局域网(LAN)通常是一个单独的广播域,主要由Hub、网桥或交换机等网络设备连接同一网段内的所有节点形成。处于同一个局域网之内的网络节点之间可以直接通信,而处于不同局域网段的设备之间通信则必须经过路由器才能通信。图1所示即为使用路由器构建的典型的局域网环境。    随着网络的不断扩展,接入设备逐渐增多,网络结构也日趋复杂,必须使用更多的路由器才能将不同的用户划分到各自的广播域中,在不同的局域网之间提供网络互联。    但这样做存在两个缺陷:    首先,随着网络中路由器数量的增多,网络延时逐渐加长,从而导致网络数据传输速度的下降。这主要是因为数据在从一个局域网传递到另一个局域网时,必须经过路由器的路由操作:路由器根据数据包中的相应信息确定数据包的目标地址,然后再选择合适的路径转发出去。    其次,用户是按照它们的物理连接被自然地划分到不同的用户组(广播域)中。这种分割方式并不是根据工作组中所有用户的共同需要和带宽的需求来进行的。因此,尽管不同的工作组或部门对带宽的需求有很大的差异,但它们却被机械地划分到同一个广播域中争用相同的带宽。 编辑本段VLAN的定义及特点    虚拟局域网(VLAN)是一组逻辑上的设备和用户,这些设备和用户并不受物理位置的限制,可以根据功能、部门及应用等因素将它们组织起来,相互之间通信就好像它们在同一个网段中一样,由此得名虚拟局域网。VLAN是一种比较新的技术,工作在OSI参考模型的第2层和第3层,一个VLAN就是一个广播域,VLAN之间通信是通过第3层的路由器来完成的。与传统的局域网技术相比较,VLAN技术更加灵活,它具有以下优点:    ● 网络设备的移动、添加和修改的管理开销减少;    ●可以控制广播活动;    ●可提高网络的安全性。 编辑本段VLAN的分类及优缺点    定义VLAN成员的方法有很多,由此也就分成了几种不同类型的VLAN。 1. 基于端口的VLAN    基于端口的VLAN的划分是最简单、有效的VLAN划分方法,它按照局域网交换机端口来定义VLAN成员。VLAN从逻辑上把局域网交换机的端口划分开来,从而把终端系统划分为不同的部分,各部分相对独立,在功能上模拟了传统的局域网。基于端口的VLAN又分为在单交换机端口和多交换机端口定义VLAN两种情况: 多交换机端口定义VLAN    如图3所示,交换机1的1、2、3端口和交换机2的4、5、6端口组成VLAN1,交换机1的4、5、6、7、8端口和交换机2的1、2、3、7、8端口组成VLAN2。 单交换机端口定义VLAN    如图2所示,交换机的1、2、6、7、8端口组成VLAN1,3、4、5端口组成了VLAN2。这种VLAN只支持一个交换机。    基于端口的VLAN的划分简单、有效,但其缺点是当用户从一个端口移动到另一个端口时,网络管理员必须对VLAN成员进行重新配置。 2. 基于MAC地址的VLAN    基于MAC地址的VLAN是用终端系统的MAC地址定义的VLAN。MAC地址其实就是指网卡的标识符,每一块网卡的MAC地址都是唯一的。这种方法允许工作站移动到网络的其他物理网段,而自动保持原来的VLAN成员资格。在网络规模较小时,该方案可以说是一个好的方法,但随着网络规模的扩大,网络设备、用户的增加,则会在很大程度上加大管理的难度。 3. 基于路由的VLAN    路由协议工作在7层协议的第3层—网络层,比如基于IP和IPX的路由协议,这类设备包括路由器和路由交换机。该方式允许一个VLAN跨越多个交换机,或一个端口位于多个VLAN中。在按IP划分的VLAN中,很容易实现路由,即将交换功能和路由功能融合在VLAN交换机中。这种方式既达到了作为VLAN控制广播风暴的最基本目的,又不需要外接路由器。但这种方式对VLAN成员之间通信速度不是很理想。 4. 基于策略的VLAN    基于策略的VLAN的划分是一种比较有效而直接的方式,主要取决于在VLAN的划分中所采用的策略。 编辑本段常见的应用VLAN    Port vlan与Tag vlan    port vlan 基于端口的VLAN,处于同一VLAN端口之间才能相互通信。    tag vlan 基于IEEE 802.1Q(vlan标准),用VID(vlan id)来划分不同的VLAN 基于端口的VLAN优缺点    基于端口的VLAN,简单的讲就是交换机的一个端口就是一个虚拟局域网,凡是连接在这个端口上的主机属于同个虚拟局域网之中。基于端口的VLAN的优点为:由于一个端口就是一个独立的局域网。所以,当数据在网络中传输的时候,交换机就不会把数据包转发给其他的端口,如果用户需要将数据发送到其他的虚拟局域网中,就需要先由交换机发往路由器再由路由器发往其他端口;同时以端口为中心的VLAN中完全由用户自由支配端口,无形之中就更利于管理。但是美中不足的是以端口为中心的VLAN,当用户位置改变时,往往也伴随着用户位置的改变而对网线也要进行迁移。如果不会经常移动客户机的话,采用这一方式倒也不错。 静态VLAN的优缺点    可以说静态VLAN与基于端口的VLAN有一丝相似之处,用户可在交换机上让一个或多个交换机端口形成一个略大一些的虚拟局域网。从一定意义上讲静态虚拟局域网在某些程度上弥补了基于端口的虚拟局域网的缺点。缺陷方面,静态VLAN虽说是可以使多个端口的设置成一个虚拟局域网,假如两个不同端口、不同虚拟局域网的人员聚到一起协商一些事情,这时候问题就出现了,因为端口及虚拟局域网的不一致往往就会直接导致某一个虚拟局域网的人员就不能正常的访问他原先所在的VLAN之中(静态虚拟局域网的端口在同一时只能属于同一个虚拟局域网),这样就需要网络管理人员随时配合及时修改该线路上的端口。 动态VLAN的优缺点    与上面两种虚拟局域网的组成方式相比动态的虚拟局域网的优点真的是太多了。首先它适用于当前的无线局域网技术,其次,当用户有需要时对工作基点进行移动时完全不用担心在静态虚拟局域网与基于端口的虚拟局域网出现的一些问题在动态的虚拟局域网中出现,因为动态的虚拟局域网在建立初期已经由网络管理员将整个网络中的所有MAC地址全部输入到了路由器之中,同时如何由路由器通过MAC地址来自动区分每一台电脑属于那一个虚拟局域网,之后将这台电脑连接到对应的虚拟局域网之中。说起缺点,动态的虚拟局域网的缺点跟本谈不上缺点,只是在VLAN建立初期,网络管理人员需将所有机器的MAC进行登记之后划分出MAC所对应的机器的不同权限(虚拟局域网)即可。 编辑本段VLAN发展趋势    目前在宽带网络实现VLAN基本上能满足广大网络用户的需求,但其网络性能、网络流量控制、网络通信优先级控制等还有待提高。前面所提到的VTP技术、STP技术,基于三层交换的VLAN技术等在VLAN使用中存在网络效率的瓶颈问题,这主要是IEEE802.1Q、IEEE802.1D协议的不完善所致,IEEE正在制定和完善IEEE802.1S(Multiple Spanning Trees)和IEEE802.1W(Rapid Reconfiguration of Spanning Tree)来改善VLAN的性能。采用IEEE802.3z和IEEE802.3ab协议,并结合使用RISC(精简指令集计算)处理器或者网络处理器而研制的吉位VLAN交换机在网络流量等方面采取了相应的措施,大大提高了VLAN网络的性能。IEEE802.1P协议提出了COS(Class of Service)标准,这使网络通信优先级控制机制有了参考。 编辑本段VLAN的基本配置命令    1、创建vlan方法一:从VLAN配置模式建立VLAN    switch# vlan database (进入VLAN配置模式)    switch(vlan)# vlan 10 name wz (声明VLAN 10,并命名WX)    switch(vlan)#exit (退出VALN配置模式)    2、创建vlan方法二:从全局配置模式建立VLAN    switch# configure terminal (进入全局配置模式)    switch(config)# vlan 10 (声明VLAN 10)    switch(config-vlan)# name wz (命名WX)    3、删除vlan方法一:从VALN配置模式删除VLAN    switch(vlan)# no vlan 10 (删除VLAN 10)    switch(vlan)# exit (退出VLAN配置模式)    4、删除vlan方法二:从全局配置模式删除VLAN    switch(config)# no interface vlan 10 (将所有属于VLAN 10的接口删除)    switch(config)# no vlan 10 (删除VLAN 10)    5、删除vlan方法三:从配置文件中删除VLAN.DAT文件    switch# delete vlan.dat (从配置文件中删除DAT文件,可以彻底删除VLAN信息)    6、将端口加入到vlan中    switch(config-if)# switchport access vlan 10    7、将一组连续的端口加入到vlan中    switch(config)# interface range f0/1 –5    switch(config)# interface range f0/6-8,0/9-11,0/22 (将不连续多个端口加入到Vlan中)    switch(config-if-range)# switchport access vlan 10    8、将端口从vlan中删除    switch(config-if)# no switchport access vlan 10    switch(config-if)# switchport access vlan 1    switch(config-if-range)# no switchport access vlan 10    switch(config-if-range)# switchport access vlan 1    9、查看所有vlan的摘要信息    switch# show vlan brief    10、查看指定vlan的信息    switch# show vlan id 10 (查看指定VLAN号为10的信息)    11、指定端口成为trunk    switch(config-if)# switchport mode trunk (配置接口为TRUNK模式)    12、Trunk的自动协商    switch(config-if)#switchport mode dynamic desirable     switch(config-if)#switchport mode dynamic auto    注意:如果中继链路两端都设置成auto将不能成为trunk    13、查看端口状态    switch# show interface f0/2 switchport    14、在trunk上移出vlan    switch(config-if)# switchport trunk allowed vlan remove 20    15、在trunk上添加vlan    switch(config-if)# switchport trunk allowed vlan add 20 编辑本段VLAN的划分实例    对于每个公司而言都有自己不同的需求,下面我们给出一个典型的公司的VLAN的实例,这样也可以成为我们以后为公司划分VLAN的依据。    某公司现在有工程部、销售部、财务部。VLAN的划分:工程部VLAN10,销售部VLAN20,财务部VLAN30,并且各部门还可以相互通讯。现有设备如下:Cisco 3640路由器,Cisco Catalyst 2924交换机一台,二级交换机若干台。    交换机配置文件中的部分代码如下:    ……    !    interface vlan10    ip address 192.168.0.1    !    interface vlan20    ip address 192.168.1.1    !    interface vlan30    ip address 192.168.2.1    !    ……    路由器配置文件中的部分代码如下:    ……    interface FastEthernet 1/0.1    encapsulation isl 10    ip address 192.168.0.2    !    interface FastEthernet 1/0.2    encapsulation isl 20    ip address 192.168.1.2    !    interface FastEthernet 1/0.3    encapsulation isl 30    ip address 192.168.2.2    !    ……    !    router rip    network 192.168.0.0    !    【交换机的端口工作模式的利用】    交换机的端口工作模式通常可以分为三种,它们分别为Access模式、Multi模式、Trunk模式。允许多个vlan的是multi模式,而不是trunk模式。Access模式的交换端口往往只能属于1个VLAN,通常用于连接普通计算机的端口;Trunk模式的交换端口可以属于多个VLAN,能够发送和接收多个VLAN的数据报文,通常使用在交换机之间的级联端口上;multi模式的交换端口可以属于多个VLAN,能够发送和接受多个VLAN的数据报文,可以用于交换机之间的连接,也可以用于连接普通计算机的端口,所以access和trunk没有可比性。三种模式的交换端口能够共同使用在相同的一台交换机中,不过Trunk模式的交换端口和multi模式的交换端口相互之间不能直接切换,往往只能先将交换端口设置为Access模式,之后再设置为其他模式。 编辑本段vlan拓扑试验    实验: 划分VLAN 1. 实验目的    通过本实验,读者可以掌握如下技能:    (1)熟悉VLAN 的创建    (2)把交换机接口划分到特定VLAN 2. 实验拓扑 vlan试验拓扑图(1张)    实验拓扑图 3. 实验步骤    要配置VLAN,首先要先创建VLAN,然后才把交换机的端口划分到特定的端口上:    (1) 步骤1:在划分VLAN 前,配置R1 和R2 路由器的g0/0 接口,从R1ping192.168.12.2。    默认时,交换机的全部接口都在VLAN1 上,R1 和R2 应该能够通信    (2) 步骤2:在S1 上创建VLAN    S1#vlan database    //进入到VLAN 配置模式    S1(vlan)#vlan 2 name VLAN2    VLAN 2 added:    Name: VLAN2    //以上创建vlan,2 就是vlan 的编号,VLAN 号的范围为1~1001,VLAN2 是该VLAN 的名字:    S1(vlan)#vlan 3 name VLAN3    VLAN 3 added:    Name: VLAN3    S1(vlan)#exit    APPLY completed.    Exiting….    //退出VLAN模式,创建的VLAN立即生效:    【提示】交换机中的VLAN 信息存放在单独的文件中flash:vlan.dat,因此如果要完全清除    交换机的配置,除了使用“erase starting-config”命令外,还要使用“delete    flash:vlan.dat”命令把VLAN 数据删除。    【提示】新的IOS 版本中,可以在全局配置模式中创建VLAN,如下:    S1(config)#vlan 2    S1(config-vlan)#name VLAN2    S1(config-vlan)#exit    S1(config)#vlan 3    S1(config-vlan)#name VLAN3    (3)步骤3:把端口划分在VLAN 中    S1(config)#interface f0/1    S1(config-if)#switch mode access    //以上把交换机端口的模式改为access 模式,说明该端口是用于连接计算机的,而不是用    于trunk    S1(config-if)#switch access vlan 2    //然后把该端口f0/1 划分到VLAN 2 中    S1(config)#interface f0/2    S1(config-if)#switch mode access    S1(config-if)#switch access vlan 3    【提示】默认时,所有交换机接口都在VLAN 1 上,VLAN 1 是不能删除的。如果有多个接口    需要划分到同一VLAN 下,也可以采用如下方式以节约时,注意破折号前后的空格:    S1(config)#interface range f0/2 -3    S1(config-rang-if)#switch mode access    S1(config-rang-if)#switch access vlan 2    【提示】如果要删除VLAN,使用“no vlan 2”命令即可。删除某一VLAN后,要记得把该VLAN    上的端口重新划分到别的VLAN上,否则将导致端口的“消失”。 4. 实验调试    (1)查看VLAN    使用“show vlan”或者“show vlan brief”命令可以查看VLAN 的信息,以及每个    VLAN 上有什么端口。要注意这里只能看到的是本交换机上哪个端口在VLAN 上,而不能看到    其他交换机的端口在什么VLAN 上。如下:    SW1#show vlan    VLAN Name Status Ports    ---- -------------------------------- --------- -------------------------------    1.default active Fa0/1,Fa0/2,Fa0/3,Fa0/4    Fa0/5,Fa0/6,Fa0/7,Fa0/8    Fa0/9,Fa0/10,Fa0/11,Fa0/12    Fa0/13,Fa0/14,Fa0/16,Fa0/17    Fa0/18,Fa0/19,Fa0/20,Fa0/21    Fa0/22,Fa0/23,Fa0/24,Gi0/1    Gi0/2    2.VLAN2 active    3.VLAN3 active    1002 fddi-default act/unsup    1003 token-ring-default act/unsup    1004 fddinet-default act/unsup    (此处省略)    //在交换上,VLAN1是默认VLAN,不能删除,也不能改名。此外还有1002、1003等VLAN的存    在。    (2)VLAN 通信    由于f0/1 和f0/2 属于不同的VLAN,从R1 ping 192.168.12.2 应该不能成功了。 编辑本段互联方式    (1)边界路由。    (2)“独臂”路由。    (3)MPOA路由。    
CISCO交换机配置AAA、802.1X以及VACL CISCO交换机配置AAA、802.1X以及VACL 一 启用AAA、禁用Telnet 以及启用 ssh 1.启用aaa身份验证,以进行SSH访问: Switch# conf t Switch(config)# aaa new-model 2.配置主机名 Switch(config)# hostname sw1 3.配置本地用户名口令,以便在带外服务器不可用时能够访问交换机 sw1(config)# username cisco password cisco 4.配置SSH sw1(config)# ipdomain-name cisco.com sw1(config)# crypto key generate rsa 5.配置交换机,使得只能通过SSH以带内方式访问交换机 sw1(config)# line vty 0 15 sw1(config-line)# transport input ssh sw1(config-line)# exit sw1(config)# exit 二 配置vty的aaa身份验证方式,首先使用radius 服务器,如果服务器不可用,使用本地用户名口令数据库 sw1(config)# aaa authentication login TEST group radius line sw1(config)# line vty 0 15 sw1(config-line)# login authentication TEST sw1(config-line)# exit 三 在接口上配置802.1x 1.为radius身份验证启用802.1x sw1(config)# aaa authentication dot1x default group radius 2.全局启用802.1x sw1(config)#dot1x system-auth-control 3.在接口上配置802.1x sw1(config)# int range fa0/2 - 10 sw1(config-if-range)# swtichport access vlan 10 sw1(config-if-range)# dot1x port-control auto 四 配置vacl以丢弃所有通过tcp端口8889进入的桢 1.配置一个acl,以判断数据包是否通过tcp端口8889进入: sw1(config)# access-list 100 permit tcp any any eq 8889 2.配置vlan访问映射表: sw1(config)# vlan access-map DROP_WORM 100 sw1(config-access-map)# match ip address 100 sw1(config-access-map)# action drop sw1(config-access-map)# exit 3.将vlan访问表应用于合适的vlan sw1(config)#vlan filter DROP_WORM vlan 10-20 802.1x工程笔记 在某网络测试时,工作笔记。 一、802.1x协议起源于802.11协议,后者是标准的无线局域网协议,802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。现在已经开始被应用于一般的有线LAN的接入。为了对端口加以控制,以实现用户级的接入控制。802.1x就是IEEE为了解决基于端口的接入控制(Port-Based Access Control)而定义的一个标准。 1、802.1X首先是一个认证协议,是一种对用户进行认证的方法和策略。 2、802.1X是基于端口的认证策略(这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口,对于无线局域网来说个“端口”就是一条信道) 3、802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口,如果认证成功那么就“打开”这个端口,允许文所有的报文通过;如果认证不成功就使这个端口保持“关闭”,此时只允许802.1X的认证报文EAPOL(Extensible Authentication Protocol over LAN)通过。 二、802.1X的认证体系分为三部分结构: Supplicant System,客户端(PC/网络设备) Authenticator System,认证系统 Authentication Server System,认证服务器 三、认证过程 1、认证通过前,通道的状态为unauthorized,此时只能通过EAPOL的802.1X认证报文;2、认证通过时,通道的状态切换为authorized,此时从远端认证服务器可以传递来用户的信息,比如VLAN、CAR参数、优先级、用户的访问控制列表等等; 3、认证通过后,用户的流量就将接受上述参数的监管,此时该通道可以通过任何报文,注意只有认证通过后才有DHCP等过程。 4、Supplicant System- Client(客户端)是—需要接入LAN,及享受switch提供服务的设备(如PC机),客户端需要支持EAPOL协议,客户端必须运行802.1X客户端软件,如:802.1X-complain、Windows XP等 四、配置 1、先配置switch到radius server的通讯 全局启用802.1x身份验证功能 Switch# configure terminal Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x {default} method1[method2...] 指定radius服务器和密钥 switch(config)#radius-server host ip_add key string 2、在port上起用802.1x Switch# configure terminal Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# dot1x port-control auto Switch(config-if)# end 802.1x的安全机制 编者按:IEEE 802.1x作为一种新生的链路层验证机制协议,其原理、组成、工作进程以及功能等到底如何呢?本文揭示了这项协议在网络安全方面的运行机理及其突出应用。 虽然大多数组织的IT基础设施已经加强了边界防御,但其内部仍然容易受到攻击。这种脆弱性具体表现为内部用户可未经授权访问或者恶意破坏关键的IT资源。作为全面的“深层防御”安全架构的一部分,关键内部基础设施的访问权只能提供给授权用户。 局域网(LAN)历来是大门敞开。IEEE 802.1x这项最新标准定义了为LAN实施访问控制的机制,允许授权用户进来,而把非授权用户拒之门外。因此,有了802.1x,LAN便不再是一道敞开的门,其本身也成为安全架构和政策执行的一个重要部分,并有助于消除来自组织内部的安全威胁。 802.1x验证机制及其优点 IEEE 802.1x是一种链路层验证机制协议,控制着对网络访问端口即网络连接点的访问,如实施在无线接入点的物理交换端口或逻辑端口。通过控制网络访问,用户可以在多层安全架构部署第一道防线。在连接设备得到验证之前,网络访问权完全被禁止。得到验证之后,用户可以被提供第2层交换机通常提供的服务以外的附加服务。这些服务包括第3层过滤、速率限制和第4层过滤,而不仅仅是简单的“开/关(on/off)”服务。 链路层验证方案的一个优点是,它只要求存在链路层连接,客户端(在802.1x中称为请求者)不需要分配供验证用的第3层地址,因而降低了风险。此外,链路层验证涉及了所有能够在链路上工作的协议,从而不必为每种协议提供网络层验证。802.1x还能够使执行点尽可能地接近网络边缘,因此可以针对连接设备的特定需求定制细粒度访问规则。 IEEE 802.1x的组成 IEEE 802.1x定义了下列逻辑单元: 网络访问端口:即网络上的连接点,它可能是物理端口,也可能是逻辑端口。 请求者:连接到网络、请求其服务的设备,通常是终端站。请求者是请求验证的设备,但也有可能是一种网络设备。 验证者:为验证服务提供便利的网络单元,验证者实际上并不提供验证服务,它充当请求者和验证服务器之间的代理,并且充当政策执行点。 端口访问实体:参与验证过程的固件。请求者和验证者都拥有端口访问实体(PAE)单元,请求者的PAE负责对验证信息请求做出响应,验证者的PAE负责与请求者之间通信,代理授予通过验证服务器验证的证书,并且控制端口的授权状态。 验证服务器:提供向验证者申请验证服务的实体,它根据证书提供授权,既可以同验证者放在一起,也可以放在远地。 扩展验证协议(EAP) 由于使用了扩展验证协议(EAP),802.1x在请求者和验证者之间采用的实际验证机制相当灵活。EAP原先是为点对点(PPP)链路上的应用而定义的, 在因特网工程任务组的请求评论文档(RFC)2284中得到了明确定义。 基于以上所述,IEEE定义了一种封装模式,允许EAP通过LAN传输,EAP over LAN(EAPoL)于是应运而生。各种验证服务都可以通过这种协议运行,包括用户名/口令、Kerberos、数字证书、一次性口令和生物检测术等服务。EAP数据包在请求者和验证者之间的链路层上传输,并通过验证者与验证服务器之间的IP/RADIUS连接。 EAP本身并不为流量传输明确规定任何保护机制,如加密等。相反,EAP内运行的验证协议(在RFC 2284当中定义为验证类型)为安全操作提供了数据的机密性和完整性。验证类型的一个例子就是EAP传输层安全(EAP-TLS),它利用了在RFC 2246中明确定义的传输层协议(TLS)。 受控端口和不受控端口 802.1x标准定义了两种逻辑抽象:受控端口和不受控端口。这两种端口都连接到网络访问端口上。受控端口提供了访问请求者所用的网络服务的功能,根据验证操作成功与否实现打开或关闭操作。不受控端口始终处于连接状态,为验证服务的进行提供了始终连通的状态。受控端口需验证通过后才处于连接状态,从而提供给请求者网络服务。 802.1x的工作过程 802.1x的工作相当简单。值得注意的是请求者和验证者之间的流量通过EAPoL传输,验证者与验证服务器之间的流量则通过RADIUS传输。 开始时,受控端口处于中断状态,所以请求者无法访问LAN本身。请求者向验证者发出EAPoL起始消息,或者验证者会向请求者发出EAP请求身份消息。请求者接到请求身份消息后,就会把证书提供给验证者,然后验证者进行封装后把RADIUS数据包里面的消息发送给验证服务器。 RADIUS服务器随后向请求者发出质问请求,该请求由验证者充当代理。请求者对质问做出响应后,验证者又一次充当数据通过验证服务器的代理。验证服务器确认证书后,就会做出请求者可不可以使用LAN服务的决定。只要让受控端口由中断状态转换到连接状态,即可实现这一步。 增强授权功能 因为802.1x只明确规定了基本的开/关功能,其他功能甚少,大多数安全专家提到了AAA,即验证、授权和审计,而802.1x仅仅提供了最基本的验证功能,即开/关。部分厂商于是提供了另一层保护,因为许多组织需要比“开/关”所能够实现的更高一级的细粒度。厂商为受控端口增添逻辑以提高保真度,从而大大增强了授权功能。这种所谓的授权服务可以提供高保真度的第2、第3和第4层过滤功能,而且可以进行扩展,以获得动态自我配置的数据包过滤防火墙。授权服务可以提供如下的一些服务: ● 第2层协议过滤,去除了网络中不接受的第2层协议。 ● 第3层过滤,对提供特定单元访问权的网络执行逻辑视图。 ● 第4层过滤,禁止不允许的协议进入网络。 ● 速率限制,控制可能有害的信息进入网络的速率。 如果利用为每个端口进行编程的授权服务,就能针对特定用户或用户级制订相应的细粒度安全策略,为它们提供仅供访问所需服务的功能,其它服务一概禁止。 举一例,即使网络管理员能访问SNMP,会计部门的人却没有理由同样能访问。如果有可能确定一个用户属于哪个组,那么在验证期就可以实施特定的授权策略。就本例而言,SNMP访问权应该授予网络管理组的成员,不然需收回权限,从而防止网络管理员之外的人无意或恶意对网络设备乱加配置。 CISCO交换机配置AAA、802.1X以及VACL 一 启用AAA、禁用Telnet 以及启用 ssh 1.启用aaa身份验证,以进行SSH访问: Switch# conf t Switch(config)# aaa new-model 2.配置主机名 Switch(config)# hostname sw1 3.配置本地用户名口令,以便在带外服务器不可用时能够访问交换机 sw1(config)# username cisco password cisco 4.配置SSH sw1(config)# ipdomain-name cisco.com sw1(config)# crypto key generate rsa 5.配置交换机,使得只能通过SSH以带内方式访问交换机 sw1(config)# line vty 0 15 sw1(config-line)# transport input ssh sw1(config-line)# exit sw1(config)# exit 二 配置vty的aaa身份验证方式,首先使用radius 服务器,如果服务器不可用,使用本地用户名口令数据库 sw1(config)# aaa authentication login TEST group radius line sw1(config)# line vty 0 15 sw1(config-line)# login authentication TEST sw1(config-line)# exit 三 在接口上配置802.1x 1.为radius身份验证启用802.1x sw1(config)# aaa authentication dot1x default group radius 2.全局启用802.1x sw1(config)#dot1x system-auth-control 3.在接口上配置802.1x sw1(config)# int range fa0/2 - 10 sw1(config-if-range)# swtichport access vlan 10 sw1(config-if-range)# dot1x port-control auto 四 配置vacl以丢弃所有通过tcp端口8889进入的桢 1.配置一个acl,以判断数据包是否通过tcp端口8889进入: sw1(config)# access-list 100 permit tcp any any eq 8889 2.配置vlan访问映射表: sw1(config)# vlan access-map DROP_WORM 100 sw1(config-access-map)# match ip address 100 sw1(config-access-map)# action drop sw1(config-access-map)# exit 3.将vlan访问表应用于合适的vlan sw1(config)#vlan filter DROP_WORM vlan 10-20 802.1x工程笔记 在某网络测试时,工作笔记。 一、802.1x协议起源于802.11协议,后者是标准的无线局域网协议,802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。现在已经开始被应用于一般的有线LAN的接入。为了对端口加以控制,以实现用户级的接入控制。802.1x就是IEEE为了解决基于端口的接入控制(Port-Based Access Control)而定义的一个标准。 1、802.1X首先是一个认证协议,是一种对用户进行认证的方法和策略。 2、802.1X是基于端口的认证策略(这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口,对于无线局域网来说个“端口”就是一条信道) 3、802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口,如果认证成功那么就“打开”这个端口,允许文所有的报文通过;如果认证不成功就使这个端口保持“关闭”,此时只允许802.1X的认证报文EAPOL(Extensible Authentication Protocol over LAN)通过。 二、802.1X的认证体系分为三部分结构: Supplicant System,客户端(PC/网络设备) Authenticator System,认证系统 Authentication Server System,认证服务器 三、认证过程 1、认证通过前,通道的状态为unauthorized,此时只能通过EAPOL的802.1X认证报文;2、认证通过时,通道的状态切换为authorized,此时从远端认证服务器可以传递来用户的信息,比如VLAN、CAR参数、优先级、用户的访问控制列表等等; 3、认证通过后,用户的流量就将接受上述参数的监管,此时该通道可以通过任何报文,注意只有认证通过后才有DHCP等过程。 4、Supplicant System- Client(客户端)是—需要接入LAN,及享受switch提供服务的设备(如PC机),客户端需要支持EAPOL协议,客户端必须运行802.1X客户端软件,如:802.1X-complain、Windows XP等 四、配置 1、先配置switch到radius server的通讯 全局启用802.1x身份验证功能 Switch# configure terminal Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x {default} method1[method2...] 指定radius服务器和密钥 switch(config)#radius-server host ip_add key string 2、在port上起用802.1x Switch# configure terminal Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# dot1x port-control auto Switch(config-if)# end 802.1x的安全机制 编者按:IEEE 802.1x作为一种新生的链路层验证机制协议,其原理、组成、工作进程以及功能等到底如何呢?本文揭示了这项协议在网络安全方面的运行机理及其突出应用。 虽然大多数组织的IT基础设施已经加强了边界防御,但其内部仍然容易受到攻击。这种脆弱性具体表现为内部用户可未经授权访问或者恶意破坏关键的IT资源。作为全面的“深层防御”安全架构的一部分,关键内部基础设施的访问权只能提供给授权用户。 局域网(LAN)历来是大门敞开。IEEE 802.1x这项最新标准定义了为LAN实施访问控制的机制,允许授权用户进来,而把非授权用户拒之门外。因此,有了802.1x,LAN便不再是一道敞开的门,其本身也成为安全架构和政策执行的一个重要部分,并有助于消除来自组织内部的安全威胁。 802.1x验证机制及其优点 IEEE 802.1x是一种链路层验证机制协议,控制着对网络访问端口即网络连接点的访问,如实施在无线接入点的物理交换端口或逻辑端口。通过控制网络访问,用户可以在多层安全架构部署第一道防线。在连接设备得到验证之前,网络访问权完全被禁止。得到验证之后,用户可以被提供第2层交换机通常提供的服务以外的附加服务。这些服务包括第3层过滤、速率限制和第4层过滤,而不仅仅是简单的“开/关(on/off)”服务。 链路层验证方案的一个优点是,它只要求存在链路层连接,客户端(在802.1x中称为请求者)不需要分配供验证用的第3层地址,因而降低了风险。此外,链路层验证涉及了所有能够在链路上工作的协议,从而不必为每种协议提供网络层验证。802.1x还能够使执行点尽可能地接近网络边缘,因此可以针对连接设备的特定需求定制细粒度访问规则。 IEEE 802.1x的组成 IEEE 802.1x定义了下列逻辑单元: 网络访问端口:即网络上的连接点,它可能是物理端口,也可能是逻辑端口。 请求者:连接到网络、请求其服务的设备,通常是终端站。请求者是请求验证的设备,但也有可能是一种网络设备。 验证者:为验证服务提供便利的网络单元,验证者实际上并不提供验证服务,它充当请求者和验证服务器之间的代理,并且充当政策执行点。 端口访问实体:参与验证过程的固件。请求者和验证者都拥有端口访问实体(PAE)单元,请求者的PAE负责对验证信息请求做出响应,验证者的PAE负责与请求者之间通信,代理授予通过验证服务器验证的证书,并且控制端口的授权状态。 验证服务器:提供向验证者申请验证服务的实体,它根据证书提供授权,既可以同验证者放在一起,也可以放在远地。 扩展验证协议(EAP) 由于使用了扩展验证协议(EAP),802.1x在请求者和验证者之间采用的实际验证机制相当灵活。EAP原先是为点对点(PPP)链路上的应用而定义的, 在因特网工程任务组的请求评论文档(RFC)2284中得到了明确定义。 基于以上所述,IEEE定义了一种封装模式,允许EAP通过LAN传输,EAP over LAN(EAPoL)于是应运而生。各种验证服务都可以通过这种协议运行,包括用户名/口令、Kerberos、数字证书、一次性口令和生物检测术等服务。EAP数据包在请求者和验证者之间的链路层上传输,并通过验证者与验证服务器之间的IP/RADIUS连接。 EAP本身并不为流量传输明确规定任何保护机制,如加密等。相反,EAP内运行的验证协议(在RFC 2284当中定义为验证类型)为安全操作提供了数据的机密性和完整性。验证类型的一个例子就是EAP传输层安全(EAP-TLS),它利用了在RFC 2246中明确定义的传输层协议(TLS)。 受控端口和不受控端口 802.1x标准定义了两种逻辑抽象:受控端口和不受控端口。这两种端口都连接到网络访问端口上。受控端口提供了访问请求者所用的网络服务的功能,根据验证操作成功与否实现打开或关闭操作。不受控端口始终处于连接状态,为验证服务的进行提供了始终连通的状态。受控端口需验证通过后才处于连接状态,从而提供给请求者网络服务。 802.1x的工作过程 802.1x的工作相当简单。值得注意的是请求者和验证者之间的流量通过EAPoL传输,验证者与验证服务器之间的流量则通过RADIUS传输。 开始时,受控端口处于中断状态,所以请求者无法访问LAN本身。请求者向验证者发出EAPoL起始消息,或者验证者会向请求者发出EAP请求身份消息。请求者接到请求身份消息后,就会把证书提供给验证者,然后验证者进行封装后把RADIUS数据包里面的消息发送给验证服务器。 RADIUS服务器随后向请求者发出质问请求,该请求由验证者充当代理。请求者对质问做出响应后,验证者又一次充当数据通过验证服务器的代理。验证服务器确认证书后,就会做出请求者可不可以使用LAN服务的决定。只要让受控端口由中断状态转换到连接状态,即可实现这一步。 增强授权功能 因为802.1x只明确规定了基本的开/关功能,其他功能甚少,大多数安全专家提到了AAA,即验证、授权和审计,而802.1x仅仅提供了最基本的验证功能,即开/关。部分厂商于是提供了另一层保护,因为许多组织需要比“开/关”所能够实现的更高一级的细粒度。厂商为受控端口增添逻辑以提高保真度,从而大大增强了授权功能。这种所谓的授权服务可以提供高保真度的第2、第3和第4层过滤功能,而且可以进行扩展,以获得动态自我配置的数据包过滤防火墙。授权服务可以提供如下的一些服务: ● 第2层协议过滤,去除了网络中不接受的第2层协议。 ● 第3层过滤,对提供特定单元访问权的网络执行逻辑视图。 ● 第4层过滤,禁止不允许的协议进入网络。 ● 速率限制,控制可能有害的信息进入网络的速率。 如果利用为每个端口进行编程的授权服务,就能针对特定用户或用户级制订相应的细粒度安全策略,为它们提供仅供访问所需服务的功能,其它服务一概禁止。 举一例,即使网络管理员能访问SNMP,会计部门的人却没有理由同样能访问。如果有可能确定一个用户属于哪个组,那么在验证期就可以实施特定的授权策略。就本例而言,SNMP访问权应该授予网络管理组的成员,不然需收回权限,从而防止网络管理员之外的人无意或恶意对网络设备乱加配置。 发表于: 2010-03-01,修改于: 2010-03-01 08:56 已浏览168次,有评论0条 推荐 投诉
实验三 交换机VLAN实验 1. 规划ip地址 PCA的ip 地址: 10.65.1.1 PCB的ip 地址: 10.66.1.1 PCC的ip 地址: 10.65.1.3 PCD的ip 地址: 10.66.1.3 SWA的ip 地址: 10.65.1.7 SWB的ip 地址: 10.65.1.8 SWA的f0/5~f0/7 vlan 2 ,f0/8为trunk SWB的f0/5~f0/7 valn 2 ,f0/1为trunk 用ping命令测试,从PCA和PCB到各点的连通情况。由于交换机初始化为vlan 1, 所以同网段的可以通。即PCA到PCC、SWA、SWB是通的,而PCB只与PCD通。 2.设置VLAN 双击SwitchA,改名SwitchA为SWA,建立2 个vlan,分别为2、3 switch>en switch#sh vlan switch#conf t switch(config)#hosthame SWA switch(config)#exit SWA#vlan database SWA(vlan)#vlan 2 SWA(vlan)#vlan 3 SWA(vlan)#exit 将SWA交换机的f0/5,f0/6,f0/7 加入到vlan 2 SWA(config)#int f0/5 SWA(config-if)#switchport access vlan 2 SWA(config-if)#int f0/6 SWA(config-if)#switchport access vlan 2 SWA(config-if)#int f0/7 SWA(config-if)#switchport access vlan 2 SWA(config-if)# end SWA#sh vlan 在SWB上与SWA上类似,将SWB交换机f0/5,f0/6,f0/7 加入到vlan 2。 3.测试可通性 从PCA到PCC测试: [root@PCA root]# ping 10.65.1.3 (通) 从PCA到PCB测试: [root@PCA root]# ping 10.66.1.1 (不通,因为不同网段,不同VLAN) 从PCB到PCD测试: [root@PCB root]# ping 10.66.1.3 (不通,要求trunk) 从PCA到SWA测试: [root@PCA root]# ping 10.65.1.7(通,同一网段,同在vlan 1) 从PCA到SWB测试: [root@PCA root]# ping 10.65.1.8(通,同一网段,同在vlan 1) 从SWA到PCA测试: SWA#ping 10.65.1.1 (通) 从SWA到PCB测试: SWA#ping 10.66.1.1 (不通,因为不同网段,不同VLAN) 从SWA到SWB测试: SWA#ping 10.65.1.8 (通) 4. 设置干线trunk 将连接两个交换机的端口设置成trunk。 SWA(config)#int f0/8 SWA(config-if)#switchport mode trunk SWA(config-if)#switchport trunk allowed vlan 1,2,3 SWA(config-if)#switchport trunk encap dot1q SWA(config-if)#end SWA#sh run SWB(config)#int f0/1 SWB(config-if)#switchport mode trunk SWB(config-if)#switchport trunk allowed vlan 1,2,3 SWB(config-if)#switchport trunk encap dot1q SWB(config-if)#end SWB#sh run 交换机创建trunk时默认allowed all,所以上面的trunk allowed 命令可以不 用。 dot1q是vlan中继协议(802.1q),由于正确设置了trunk,两个交换机可以多 个vlan通过,所以PCA->PCC, PCB->PCD 可以通了。 [root@PCA root]# ping 10.65.1.3 (通,同在vlan 1) [root@PCB root]# ping 10.66.1.3(通,同在vlan 2) [root@PCA root]# ping 10.66.1.3 (不通,不同vlan需要路由) 5. 三个交换机的情况 再加入一个交换机switchC,将它串入switchA和switchB之间,连接方式: switchA:F0/8-->switchC:F0/3; switchC:F0/6-->switchB:F0/1 (1) 新加入的SwitchC 默认状态时,测试连通性。 从PCA->PCC,从PCB->PCD 测试: [root@PCA root]# ping 10.65.1.3 (不通) [root@PCB root]# ping 10.66.1.3 (不通) 由于新加入的交换机没有设置trunk,所有接口默认vlan 1,对于交换机而言, trunk 要成对出现,如果dot1q不能和另一端交换信息会自动down掉。 (2) 将交换机之间的连线都设置成trunk时,再测试连通性。 SWC(config)#int f0/3 SWC(config-if)#switchport mode trunk SWC(config-if)#switchport trunk encap dot1q SWC(config-if)#int f0/6 SWC(config-if)#switchport mode trunk SWC(config-if)#switchport trunk encap dot1q SWC(config-if)#end SWC#sh run 由于建立trunk时默认为trunk allowed vlan all,所以这里没设置。 现在有两条正确的trunk,再看一下联通情况: [root@PCA root]# ping 10.65.1.3 (通) [root@PCB root]# ping 10.66.1.3 (通) (3) 设置vtp VTP是vlan 传输协议,在VTP Server上配置的vlan 在条件允许条件下,可以 从VTP Client 端看到VTP Server上的vlan,并将自己端口加入到vlan中。 SWC(config)#vtp domain abc SWC(config)#vtp mode server SWC(config)#vtp password ok SWB(config)#vtp domain abc SWB(config)#vtp mode client SWB(config)#vtp password ok SWB#sh vlan SWA#sh vlan SWC#sh vlan 当口令和域名一致时,client端可以学习到server端的vlan,在VTP Server端还 可以有很多策略,这里只是说明最基本的问题。 VTP在企业、机关、学校的应用是很多的,在主交换机上设置好vlan以后,下级的 交换机不用再设置vlan,可以将client的某些端口添加到VTP Server中定义的vlan中 去,加强了管理。 名词解释: 什么是交换机的trunk功能   TRUNK是端口汇聚的意思,就是通过配置软件的设置,将2个或多个物理端口组合在一起成为一条逻辑的路径从而增加在交换机和网络节点之间的带宽,将属于这几个端口的带宽合并,给端口提供一个几倍于独立端口的独享的高带宽。Trunk是一种封装技术,它是一条点到点的链路,链路的两端可以都是交换机,也可以是交换机和路由器,还可以是主机和交换机或路由器。基于端口汇聚(Trunk)功能,允许交换机与交换机、交换机与路由器、主机与交换机或路由器之间通过两个或多个端口并行连接同时传输以提供更高带宽、更大吞吐量, 大幅度提供整个网络能力。   “TRUNK”的三个意思 不要混淆在技术领域中把TRUNK翻译为中文是“主干、干线、中继线、长途线” ,不过一般不翻译,直接用原文。而且这个词在不同场合也有不同的解释:   1、 在网络的分层结构和宽带的合理分配方面,TRUNK被解释为“端口汇聚”,是带宽扩展和链路备份的一个重要途径。TRUNK把多个物理端口捆绑在一起当作一个逻辑端口使用,可以把多组端口的宽带叠加起来使用。TRUNK技术可以实现TRUNK内部多条链路互为备份的功能,即当一条链路出现故障时,不影响其他链路的工作,同时多链路之间还能实现流量均衡,就像我们熟悉的打印机池和MODEM池一样   2、在电信网络的语音级的线路中,Trunk指“主干网络、电话干线”,即两个交换局或交换机之间的连接电路或信道,它能够在两端之间进行转接,并提供必要的信令和终端设备。   3、 但是在最普遍的路由与交换领域,VLAN的端口聚合也有的叫TRUNK,不过大多数都叫TRUNKING ,如CISCO公司。所谓的TRUNKING是用来在不同的交换机之间进行连接,以保证在跨越多个交换机上建立的同一个VLAN的成员能够相互通讯。其中交换机之间互联用的端口就称为TRUNK端口。与一般的交换机的级联不同,TRUNKING是基于OSI第二层摹<偕杳挥蠺RUNKING技术,如果你在2个交换机上分别划分了多个VLANVLAN也是基于Layer2的),那么分别在两个交换机上的VLAN10和VLAN20的各自的成员如果要互通,就需要在A交换机上设为VLAN10的端口中取一个和交换机B上设为VLAN10的某个端口作级联连接。VLAN20也是这样。那么如果交换机上划了10个VLAN就需要分别连10条线作级联,端口效率就太低了。 当交换机支持TRUNKING的时候,事情就简单了,只需要2个交换机之间有一条级联线,并将对应的端口设置为Trunk,这条线路就可以承载交换机上所有VLAN的信息。这样的话,就算交换机上设了上百个个VLAN也只用1个端口就解决了。   如果是不同台的交换机上相同id的vlan要相互通信,那么可以通过共享的trunk端口就可以实现,如果是同一台上不同id的vlan/不同台不同id的vlan它们之间要相互通信,需要通过第三方的路由来实现vlan的划分有两个需要注意的地方:   一是划分了几个不同的vlan组,都有不同的vlan id号;分配到vlan 组里面的交换机端口也有port id.比如端口1,2,3,4划分到vlan10,5,6,7,8划分到vlan20,我可以把1,3,4的端口的port id设置为10,而把2端口的 port id设置为20;把5,6,7端口的port id设置为20,而把8端口的port id设置为10.这样的话,vlan10中的1,3,4端口能够和vlan20中8端口相互通信;而vlan10中的2端口能够和vlan20中的5,6,7端口相互通信;虽然vlan id不同,但是port id相同,就能通信,同样vlan id相同,port id不同的端口之间却不能相互访问,比如vlan10中的2端口就不能和1,3,4端口通信。 VTP(VLAN Trunking Protocol):是VLAN中继协议,也被称为虚拟局域网干道协议。 它是一个OSI参考模型第二层的通信协议,主要用于管理在同一个域的网络范围内VLANs的建立、删除和重命名。在一台VTP Server 上配置一个新的VLAN时,该VLAN的配置信息将自动传播到本域内的其他所有交换机。这些交换机会自动地接收这些配置信息,使其VLAN的配置与VTP Server保持一致,从而减少在多台设备上配置同一个VLAN信息的工作量,而且保持了VLAN配置的统一性。 肇庆工商职业技术学院实训报告 项目名称:交换机VLAN 分组情况:1人/组 任课老师:孔宇强 实训指导老师:孔宇强 实训时 2009年 实训目的及理论依据 掌握交换机VLAN设置及其原理 实训要求及操作规程 正确使用交换机VLAN的设置命令 所用仪器设备/软件 运行windows xp的PC一台 思科路由器配置模拟软件 实训步骤 1.规划ip地址 2.设置VLAN 3测试可通性 4. 设置干线trunk 5. 三个交换机的情况 实训结果分析及体会
8.8.1 网络实验室设计 一.需求分析: 80台计算机,每40台一个VLAN,每10台PC连接到百兆交换机上,交换机之间互连,VLAN 通信通过三层交换机,80台计算机共享如下服务如FTP、代理和www服务器等,通过三 层交换机的上端千兆口连接到网络中心,通过网络中心实现外网的连接。 二、网络拓扑图: 下图是使用cisco packet tracer软件作成的拓扑图: 三、设计方案 (1)服务器设计: 1.FTP服务器:网络实验室需要该服务器提供文件传输功能,即网络用户可以从特定的服 务器上下载文件或者向该服务器上传数据,此时需要配置支持文件传输的FTP服务器。F TP服务的配置需要安装IIS服务组件,FTP服务器安装好之后,在服务器上有专门的目录 供网络用户访问、存储下载文件、接收上传文件,合理配置站点以有利于提供安全、方 便的服务。 对于FTP服务器的使用主要是分两个部分:第一步:设置IIS默认的FTP站点,建立FT P最快的方法就是直接利用IIS默认建立的FTP站点,把可供下载的相关文件,分门别类地 放在FTP相应的根目录下;第二步:添加或者删除站点,IIS允许在同一部计算机上同时 构架多个FTP站点。 2.www服务器:Web服务器的配置同样分为两个步骤:首先,使用IIS默认站点;其次,添 加新的Web站点。 3.代理的配置: (2)交换机设计与配置: 单臂路由和Trunk的配置:路由器需要配置两个子接口的封装和ip(物理口和子接口都需 要配置IP),交换机需要配置两个VLAN,把两个接口放进vlan,把与路由器连接接口配 置成trunk,交换机上的三个接口和两个相关vlan;pc1/pc2,配置网关,配置默认路由。 VLAN的配置: 『配置环境参数』 SwitchA端口E0/1属于VLAN2,E0/2属于VLAN3 『组网需求』 把交换机端口E0/1加入到VLAN2 ,E0/2加入到VLAN3 2 数据配置步骤 『VLAN配置流程』 1. 缺省情况下所有端口都属于VLAN 1,并且端口是access端口,一个access端口只能属于一个vlan; 2. 如果端口是access端口,则把端口加入到另外一个vlan的同时,系统自动把该端口从原 来的vlan中删除掉; 3. 除了VLAN1,如果VLAN XX不存在,在系统视图下键入VLAN XX,则创建VLAN XX并进入VLAN视图;如果VLAN XX已经存在,则进入VLAN视图。 8.8.2可靠、安全网络实验室方案 1.需求分析 首先,在网络实验室方案设计的基础上,做更进一步的技术改进;网络实验室办公楼到 网络中心办公楼要求高传输率和高可靠性,传输方案采用千兆到交换机,百兆到桌面的 相应方案,采用双交换机互为备份的连网方案,服务期互为数据备份,设置DMZ区确保 代理、FTP、www服务器的安全。 2.给出网络拓扑图 下图是使用cisco packet tracer软件作成的拓扑图: 3.给出详细设计方案 首先,要设立DMZ区,在DMZ区和Internet相连的区域设置相应的防火墙,并加入IDS 检测器1在DMZ区中放入IDS检测器2和千兆交换机,千兆交换机把Web服务器、DNS服务器 和Mail服务器连接起来,DMZ区外再另加一个IDS检测器以增强网络整体的安全程度,之 后连入路由器,接入内部网络。 其次,路由器连接一个千兆交换机,并由此交换机连接两个直通入楼宇的摆百兆交换 机,再由此连入桌面主机。 8.8.3 校园网方案的撰写 1.需求分析: (1)学校有18个学院,3个校区,其中网络中心、亚太楼、国教在北区,软件学院在西区 ,其余学院在南区。 (2)网络中心提供各种标准化信息服务,各个学院也自行向互联网发布学院信息,,每个 学院大概有1500台PC。 (3)学校拥有从CERNET申请的一段IPv4地址202.196.0.0/18,从CNC申请一段IPv4地址125 .10.0.0/21。 (4)采用三层架构设计,连接三个校区选用万兆网,各校区主干网络采用千兆网,作为园 区汇聚层,另选用百兆网接入桌面。 (5)校园网通过统一接口接入CERNET和CNC。 2.给出网络拓扑图: 3.给出详细的设计方案: 1.IP地址方案: 对于学生宿舍,通过锐捷身份认证系统对学生连网进行身份认证和计费管理,在认证 前统一动态分配私有IP 地址,认证后分配共有IP地址。通过NAT转换实现认证前可以通过私有IP访问校内外部分 服务。 对于学校信息中心机房,由于各机房机器众多,所以对各机房均采用静态分配私有I P 地址,通过代理服务器上NAT转换连接Internet网络,并且各个机房被划分为单独的VLA N 以利于管理和安全。 2.互联网接入方案: 由于互联网应用对于日常生活的重要性
综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第1页。综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第1页。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第1页。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第1页。 综合实验:中小型网络工程设计与实现 (课程设计) 实验(设计)内容 实施目标:为某企业构建一个高性能、可靠的网络。 简要需求: (1)该企业主要包括三个建筑:行政楼、销售部、生产厂区,中心机房设在行政楼。 (2)对外提供WWW服务、对内提供文件传输服务、内外均可访问的Email服务。 (3)行政楼上的用户约120人(每人一台计算机),分成若干部门,不同部门的用户可能处在不同楼层,每一层可能有不同的部门用户。要求部门之间内部可以相互通信,不同部门之间保持一定独立性和信息隔离。【建设经过调研可知:部门为5个。其中,部门1有10人,在同一楼层;部门2有30人,在不同楼层;部门3有20人,在同一楼层;部门4有30人,在同一楼层;部门5有30人,在不同楼层】 (4)销售部门约150人(每人一台计算机),分成5个团队。要求不同团队之间保持通信的独立性和隔离性。【经过调研可知:每个团队30人,每个团队的人员都在同一个楼层,不同团队可能在不同的楼层】 (5)生产厂区分成三个车,每个车约60个用户。 根据需求进行简要分析,可知: (1)划分VLAN,行政楼的部门需要跨交换机的VLAN划分。 (2)子网划分,不同的VLAN使用不同的子网,将子网和VLAN重叠使用。 (3)路由配置,不同子网(VLAN之间的路由配置。 (4)WEB、DNS、DHCP、FTP、E-Mail等服务器放在中心机房的DMZ区。 设计与实现过程: (1)需求分析:详细描述企业对网络的需求。 (2)概要设计:画出网络拓扑结构图,说明报告中主要功能的实现过程。 (3)详细设计:交换机和路由器配置过程和清单。 (4)调试分析:路由、交换之间进行通信测试。 实验(设计)步骤 1、(共20分)网络拓扑设计 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第2页。综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第2页。请根据给出的已知条件为该企业设计网络拓扑图(可以用手绘制或者请使用Cisco Packet Tracer模拟器绘制),要求按照分层结构进行设计。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第2页。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第2页。 要求: (1)每个VLAN/子网画出2台终端主机即可,跨交换机的VLAN需要说明或标识。将结果拍照或者截图插入到此处。(10分) 若图被遮挡,可在布局中将纸张大小调大 Vlan2 Vlan2 Vlan 1 Vlan 1 汇聚层 汇聚层 核心层 核心层 接入层 接入层 Vlan2 Vlan2 Vlan 1 Vlan 1 汇聚层 汇聚层 核心层 核心层 接入层 接入层 (2)设计表格列明所需设备,表格中需要有:设备名称、型号、数量(交换机按24口计算)、报价等。(10分) 器材 设备型号 数量 总价格(元) 硬件防火墙 5506 1 11000 核心交换机 S6730 1 24000 汇聚交换机 S5720 4 20000 交换机 S2596 24 70000 双绞线 光纤 服务器 RH2288 3 66000 无线路由器 2、(共20分)VLAN划分 假设企业网络拓扑中存在如下图1的结构,即存在含跨越交换机的VLAN划分。请对交换机进行VLAN划分的配置。只需完成如下两个交换机的配置即可。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第3页。综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第3页。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第3页。 综合实验(课程设计):中小型网络工程设计与实现毕业用资料全文共9页,当前为第3页。 图1 交换机中配置VLAN 注意:对于两台交换机,需首先更改其名称为自己姓名的拼音首字母,比如"zhang san"简写为"zs",然后进行其它配置(未完成此步骤,需扣分)。 Switch 0(左边交换机):配置的所有命令(无电脑的可以手写),并截关键命令的图佐证(10分)。 注:IP地址手动界面输入,这里不再使用命令输入。 名字简称修改命令如图: 使用如下命令在交换机上进行vlan的分配 Switch(config)#interface FastEthernet0/

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值