【CPT模拟项目】三层交换设备在与跨省路由进行交互时的做法

作者介绍

你好！ 这里是Lewis，前大厂运维工程师 / 技术支持，也是一名网络工程师，希望在接下来的日子，可以分享一些零碎的自己搞的小实验分享，给有需要的人。

项目拓扑

实现及思路

1.配置PC0和PC1 的IP地址分别为10.4.10.2 &10.4.20.2 （因为.1要作为网关来配置到pc网络设置里）
2.配置接入层交换机，先划分vlan10&20，然后将vlan分配给接入层交换机接入pc的接口,并将上联核心交换的接口配置为trunk模式，并允许vlan10，20通过
en
sw-huiju#conf t
sw-huiju(config)#vlan 10
sw-huiju(config)#vlan 20
sw-huiju(config)#int f0/1
sw-huiju(config)#switchport mode access
sw-huiju(config)#switchport access vlan 10
sw-huiju(config)#int f0/2
sw-huiju(config)#switchport mode access
sw-huiju(config)#switchport access vlan 20
sw-huiju(config)#int f0/3
sw-huiju(config)#switchport mode trunk
sw-huiju(config)#switchport trunk allowed vlan all
3. 配置三层交换机，将接二层和接入上联路由器的接口也一样配置为trunk，同时创建vlan10 20 30，分配ip为10.4.10.1 10.4.20.1 10.4.30.1，然后指给逻辑接口， 并允许vlan10 20 30通过,然后给三层上联路由的接口划归vlan30，最后开启核心交换机IP routing 功能 （非必选项，可以配置直连路由，图省事）
en
SW-hexin#conf t
SW-hexin(config)#int f0/1
SW-hexin(config-if)#switchport mode trunk
SW-hexin(config-if)#switchport trunk allowed vlan all
SW-hexin(config-if)#int f0/24
SW-hexin(config-if)#switchport mode trunk
SW-hexin(config-if)#switchport trunk allowed vlan all
SW-hexin(config)#vlan 10
SW-hexin(config)#vlan 20
SW-hexin(config)#vlan 30
SW-hexin(config)#int vlan 10
SW-hexin(config-if)#ip address 10.4.10.1 255.255.255.0
SW-hexin(config-if)#int vlan 20
SW-hexin(config-if)#ip address 10.4.20.1 255.255.255.0
SW-hexin(config)#int vlan 30
SW-hexin(config-if)#ip address 10.4.30.1 255.255.255.0
SW-hexin(config)#int f0/2
SW-hexin(config-if)#switchport mode access
SW-hexin(config-if)#switchport access vlan 10
SW-hexin(config)#int f0/3
SW-hexin(config-if)#switchport mode access
SW-hexin(config-if)#switchport access vlan 20
SW-hexin(config)#int f0/23
SW-hexin(config-if)#switchport mode access
SW-hexin(config-if)#switchport access vlan 30
SW-hexin(config)#ip routing
SW-hexin(config)#end
SW-hexin#w

4.给上联路由配置与交换机同网段的10.4.30.2作为互联IP，同时将下连的server 10.4.40.0 网段以及路由1链接路由2的接口一并配置,之后操作同理，先将对应的IP配置到设备上，R2 R3同理
en
R1#conf t
R1(config)#int F0/0
R1(config-if)#ip address 10.4.30.2 255.255.255.0
R1(config)#int F1/0
R1(config-if)#ip address 10.4.40.1 255.255.255.0
R1(config)#int F4/0
R1(config-if)#ip address 10.4.50.2 255.255.255.0
…

5. 配置完成之后，根据实训1&2要求，在R1上配置对应的访问控制
   R1(config)#ip access-list extended 100
   R1(config-ext-nacl)#deny ip 10.4.20.0 0.0.0.255 10.4.40.0 0.0.0.255
   R1(config-ext-nacl)#permit ip any any
   R1(config)#int f2/0
   R1(config-if)#ip access-group 100 in
   R1(config)#ip access-list extended 110
   R1(config-ext-nacl)#deny tcp 10.4.20.0 0.0.0.255 10.4.40.0 0.0.0.255 eg www
   R1(config-ext-nacl)#permit ip any any
   R1(config)#int f2/0
   R1(config-if)#ip access-group 110 in

配置完成之后测试，发现可以满足网路配置中禁止访问的要求，但此刻结合拓扑发现后续20网段的设备无法从10访问，故在三层进行路由配置互通设备配置命令，用到的命令如下：
Router(config)#ip route 目标网段地址 子网掩码 下一跳
此段需要注意的是，因为去程配置了逐节路由，所以需要配置回程路由到10.4.20.0，让其能通过三层交换的转发，使得10.4.20.0 下的pc可以访问后续20段的资源，