论：如何设计一个完整的互联网企业网络架构--初级篇3

最新推荐文章于 2024-05-28 22:13:44 发布

翱翔的狗

最新推荐文章于 2024-05-28 22:13:44 发布

阅读量1k

点赞数 15

分类专栏：网络技术网络安全文章标签：网络架构

本文链接：https://blog.csdn.net/u012196306/article/details/138065324

版权

网络技术同时被 2 个专栏收录

4 篇文章 1 订阅

订阅专栏

网络安全

3 篇文章 0 订阅

订阅专栏

前面的两篇文章，已经把我们在初级篇所需要使用的技术和基础的网络技术概念给大家分享了，这一篇主要就是做实验,也是我们初级篇中的最后一篇，对我们前面所学的理论做一下验证，以及对我们前面所掌握的做一些总结。

下面是本次实验的拓扑图，使用的是H3C的HCL模拟器，在上一篇中已经给大家提供官方的下载地址了，可以一起动手做一下，学习一个新东西最主要是要上手操练，这样记忆会比较深刻。

在这里插入图片描述

简单介绍一下拓扑结构，正常情况下是没有左边的Host和S5820的，在本次实验中主要用来做管理，以便大家更直观的看到实际的调试内容，在实际生产环境中，左边的Host相当于我们自己的笔记本，用console线登录设备，进行调试。

实验拓扑硬件：

1.F1090防火墙作为边界出口设备
2.S6850作为接入层交换机
3.两台VPC作为终端接入
4.一台S6850模拟互联网的网关

实验需求：

1.终端需要可以自动获取IP地址
2.所有的网络设备均可以远程管理
3.终端可以访问互联网

配置思路：

1.先配置好防火墙，防火墙作为网关设备使用，所有控制以及与外网通信
都由防火墙进行转发与控制，需要配置VLAN、ACL、DHCP、路由以及NAT，
开启HTTPS管理方式，配置远程管理账号密码。
2.接入交换机配置VLAN并透传至终端接入端口，配置基于SSH的远程登录
方式，配置远程管理账号密码。

业务地址

VLAN号	IP地址	备注	设备
100	10.21.10.254/24	业务VLAN	防火墙
100	10.21.10.253/24	业务VLAN	交换机
/	1.1.1.1/30	互联网IP	防火墙侧
/	1.1.1.2/30	互联网IP	运营商侧

开始配置
1先查看虚拟网卡的IP地址，以便可以连接到模拟器的网络
在这里插入图片描述
2配置S5820,修改设备名称

1.使用system-view进入设备的全局配置界面
2.sysname MGMT修改交换机名称为MGMT

在这里插入图片描述
3S5820配置VLAN,并配置IP

1.vlan 1000 #新建vlan100的vlan号
2.interface vlan 1000 #进入到vlan配置ip的视图
3.ip address 192.168.100.11 24 #配置交换机的IP以及子网掩码

在这里插入图片描述

4配置与本地终端互联的接口

在这里插入图片描述

5测试S5820与我们的虚拟网卡联通性

ping 192.168.100.10 #ping我们的虚拟网卡地址,通信正常

在这里插入图片描述
6配置防火墙,首先命令行登录防火墙,初始账号密码都是admin

在这里插入图片描述

7配置接口IP,防火墙默认为三层接口,修改IP为同网段

1.interface g1/0/1
2.ip address 192.168.100.12 24

在这里插入图片描述

8配置防火墙策略(实际生产环境不需要这一步)

1.security-zone name Management #进入Management安全域
2.import interface g1/0/1 #把g1/0/1接口加入安全域

在这里插入图片描述

9创建ACL访问策略

1.acl advanced 3000 #创建高级ACL策略
2.rule permit ip #允许所有的地址互访

在这里插入图片描述

10创建域间访问策略

1.zone-pair security source management destination local 
#配置management到local的策略
2.packet-filter 3000
#调用ACL 3000的策略
3.zone-pair security source local destination management
#配置local到management的策略
4.packet-filter 3000
#调用ACL 3000的策略

在这里插入图片描述

11测试与终端通信

ping 192.168.100.10 #通信正常

在这里插入图片描述

12进入用户视图查看一下有没有开启https登录,结果发现没有,手动加一下

1.local-user admin #进入用户admin视图
2.display this #查看当前视图的配置
3.service-type https #添加https协议登录

在这里插入图片描述

13浏览器输入https://192.168.100.12登录web界面,账号密码都是admin

在这里插入图片描述

14第一次登录会强制修改密码,修改自己记住的密码即可

在这里插入图片描述

15配置g1/0/0接口,该接口接的是内网,配置安全域为Trust,三层接口,开启对应协议允许访问和测试,其他默认

在这里插入图片描述

16切换至IP地址界面,对应的接口IP,这个IP是内网的网关地址

在这里插入图片描述

17g1/0/2一样的配置,把规划的地址配置上去

步骤1
步骤2
步骤3查看配置

18配置DHCP,自动下发g1/0/0的IP地址作为业务网段,导航至网络-DHCP,开启DHCP服务

19关闭其他接口的DHCP服务,保留内网口即可
其他未使用的端口不用做修改
添加一条策略使DHCP生效

20导航至地址池新建地址池
在这里插入图片描述
21创建需要分配的地址池网段

22配置地址池选项,添加网关,DNS等配置,点击确定,并点击右上角的配置保存,要习惯性的保存配置,很重要!!!

23导航至网络-路由-静态路由选项,新建静态路由

24配置目的地址,地址和掩码0.0.0.0/0,表示所有,下一跳选择g1/0/2因为是互联网接口,下一跳就写对方的IP地址,优先级可以修改,默认静态路由为60(优先级越低则路由优先越高),配置完后确定然后保存一下
在这里插入图片描述
25配置业务地址访问互联网策略

新建策略,配置名称,源地址和目的地址

在这里插入图片描述

选择服务和操作,服务选择any,操作选择允许

在这里插入图片描述

配置完成后点击提交,确认后在保存一下配置

在这里插入图片描述

26配置NAT策略,源地址选择10.21.10.0,目的地址选择Internet组(组内配置地址为0.0.0.0/0)互联网接口地址

在这里插入图片描述
27开始配置接入交换机,接入交换机就简单了,右键启动命令行终端,修改设备名称

在这里插入图片描述
28配置vlan和地址
29配置上联口

1.interface g1/0/1 #进入接口
2.port link-type access #配置access模式
3.port access vlan 100 #透传vlan100

在这里插入图片描述
30接口要习惯写描述,不然过一段时间想回来看就有可能忘了

31测试与防火墙通信

ping 10.21.10.254 #ping防火墙地址,通信正常

在这里插入图片描述

32写静态路由,下一跳写防火墙接口地址

ip route-static 0.0.0.0 0 10.21.10.254 
#0.0.0.0 0表示访问所有,10.21.10.254表示网关地址

在这里插入图片描述

33对下联接口配置,配置成access接口并放行vlan100

1.interface range g1/0/2 to g1/0/3 #同时进入多接口进行配置
2.port link-type access #配置接口为access类型
3.port access vlan 100 #放行vlan100

在这里插入图片描述

34生成RSA和DSA密钥对

1.public-key local create rsa #生成RSA密钥对
2.public-key local create dsa #生成DAS密钥对

在这里插入图片描述

35开启ssh服务并创建登录用户

开启服务

1.ssh server enable #开启ssh服务
2.local-user testuser #创建登录用户testuser

在这里插入图片描述
配置用户密码

在这里插入图片描述

允许用户使用的服务

在这里插入图片描述
配置用户级别

authorization-attribute user-role network-admin 
#配置用户角色

在这里插入图片描述

进入用户认证视图进行配置

1.user-interface vty 0 4 #进入用户视图
2.authentication-mode scheme #配置认证模式,使用AAA
3.protocol inbound ssh #允许使用的协议

在这里插入图片描述

全局配置下开启用户认证

ssh user testuser service-type stelnet authentication-type 
password

在这里插入图片描述

用笔记本测试登录,登录成功,交换机有日志提示

在这里插入图片描述

36查看VPC是否可以正常获取到地址,可以正常获取到地址

在这里插入图片描述

37打开命令行终端测试与网关的通信

ping 10.21.10.254 #通信正常

在这里插入图片描述
38终端测试与互联网地址通信

ping 1.1.1.1和1.1.1.2 #通信正常,现在已经可以访问互联网啦

在这里插入图片描述

PS:在上一篇提到的路由表和ARP表还有MAC地址表,我给大家看下区别

这是ARP表,该表记录着所有经过本设备的ARP记录,可以直观看到某个地址来自哪个接口哪个VLAN,MAC地址是什么
在这里插入图片描述

这是MAC地址表,记录了所有与本机直连的设备MAC地址表,包括互联接口信息,这是二层通信的重要表项,也是在中,高级排错技能中不可忽略的一个方向

在这里插入图片描述

这是路由表,路由表承载的是本设备所有的流量转发,可以很直观的看到我们的数据发送路径,关于路由表有几个参数大家一点要理解

1.Proto  #该参数代表路由类型,Static为静态路由,Direct为本地路由
2.Pre #这个是代表优先级,静态默认60
3.Cost #代表链路所有经过的路径开销,数字越大路径越差
4.NextHop #代表该目的地的下一跳路径,在路由追踪时可以判断是否正确
5.Interface #代表该路由所在子网
6.Destination/Mask #代表目的地地址