网络安全笔记-17-单臂路由

单臂路由

vlan的目的是减少广播量，不同vlan间通信是靠路由来实现的。

原理

如图，当10.1想跟20.1 通信时，由于他们不在同一个vlan，所以无法完成通信。此时，就需要通过路由器来共同完成。

F 0/3 为trunk链路。

在路由器的F 0/0接口中，我们可以为其创建两个子接口，来服务两个不同的vlan。配置子接口0.1为10.1的网关，配置子接口0.2为20.1的网关，IP分别为10.1.1.254，20.1.1.254。

当10.1要与20.1通信时，由于不在同一个网段，所以会将数据包发送给网关。交换机的F 0/1端口为vlan 10 ，数据包在经过trunk链路时，trunk链路会为其打上来自vlan 10 的标签，然后发送给网关。

一个三层端口可以识别且只能识别一种trunk标签。

为F 0/0.1接口配置为识别vlan 10 标签后，就可以对来自10.1的数据包进行解封装。然后匹配自己的路由表。

此时路由器中的路由条目是这样的：

C 10.1.1.0/24 F 0/0.1

C 20.1.1.0/24 F 0/0.2

匹配后发现20网段直连F 0/0.2接口，就会将数据转发到0.2接口，0.2接口也需要识别跟封装trunk标签的能力。

所以，此时0.2接口为数据封装vlan 20 的标签。然后将数据从0.2接口发送出去，trunk链路会为其打上来自vlan 20的标签。交换机根据自己的vlan表及MAC表将数据发送给20.1.1.1，此时，就完成了不同vlan之间的通信。

配置命令

conf t

int f0/0.1 ：创建0.1子接口

encapsulation dot1q 10 :识别和封装10标签

ip add 10.1.1.254 255.255.255.0 ：配置IP

no shutdown ：开启接口

exit

int f0/0.2 :创建0.2子接口

encapsulation dot1q 20 :识别和封装20标签

ip add 20.1.1.254 255.255.255.0 :配置IP

no shutdown

exit

int f 0/0

no shutdown ：不要忘了开启F0/0接口

实验

两个PC可以成功ping通。

单臂路由与DHCP中继

路由器作DHCP服务器

在小型网络中可以在路由器部署DHCP服务器，仅使用于小型网络。当网络规模较大时，路由器服务会过载。

conf t

ip dhcp excluded-address 10.1.1.1-10.1.1.99 ：IP地址排除

ip dhcp pool [v10] :地址池名称

network 10.1.1.0 255.255.255.0

default-router 10.1.1.254

dns-server 40.1.1.1

lease 2 2 2 :租期，2天，2小时，2分钟

exit

步骤

1. 先给交换机个端口配vlan
2. 配置trunk端口跟trunk链路
3. 给路由器创建子接口，各子接口配置不同的vlan，IP。

路由器分配IP地址准则：

看广播包从哪个接口进来，不同接口接收不同的vlan广播包，然后根据接口的网段给分配相应网段的地址。

服务器作DHCP服务器

当PC数量较多时，就不建议使用路由器当DHCP服务器。针对DHCP服务器需要广播的特点，破例路由器进行广播转发，只针对dhcp进行协议进行转发。

正常情况下，只有同一vlan才可以收到广播，包括网关也可以收到广播。所以路由器能听到所有人的广播，当vlan10使用DHCP协议进行广播请求IP地址时，被网关子接口vlan收到广播，然后路由器对DHCP协议的广播包单独转发给DHCP服务器。

配置命令

路由器配置：

conf t

int f0/0.1

ip helper-address 40.1.1.1

exit

int f0/0.2

ip helper-address 40.1.1.1

exit

int f0/0.3

ip helper-address 40.1.1.1 :对路由器子接口配置dhcp帮助（DHCP中继）

路由器在向DHCP服务器单播DHCP广播包时会在转发时打戳，标记来源接口vlan跟网段，所有的服务器都识别DHCP戳，由此给不同vlan跟网段分配不同的IP地址。

各个PC可以成功获取IP。

完成。