华为实训案例

案例下载

案例内包含空拓扑图、配置完整的拓扑、以及步骤脚本文档，可按需下载。

拓扑图

任务清单

（一）基础配置

1. 根据附录1拓扑图、附录2地址规划表、附录3设备编号表，配置设备接口及主机名信息。

2. 将所有终端超时时间设置为永不超时。

3. 在全网Trunk链路上做VLAN修剪，仅允许必要的流量通过，不允许VLAN1通过。

（二）有线网络配置

1. 北京总部BJ-SW1和BJ-SW2之间的互联链路（G0/0/1、G0/0/2、G0/0/7）启用链路聚合Eth-Trunk，聚合口编号为1，采取LACP动态聚合模式，根据目的MAC实现负载均衡。

2. ISP运营商区域ISP-R1、ISP-R2、ISP-R3、ISP-R4、ISP-R5、ISP-R6间运行IS-IS路由协议，进程号为1，IS-IS网络实体名称为10.0001.0000.0000.000X.00，其中X为设备ID，接口电路类型保持默认（L1-2），设备级别为L1-2，为了方便管理，Loopback0接口也需要发布进ISIS。

3. 北京总部汇聚交换机（BJ-SW1、BJ-SW2）配置MSTP防止二层环路，要求VLAN10、11数据流经过BJ-SW1转发，VLAN12、13数据流经过BJ-SW2转发。其中一台宕机时均可无缝切换至另一台进行转发。所配置的参数要求如下:region-name为test；revision版本为1；实例1，包含VLAN10，VLAN11；实例2，包含VLAN12，VLAN13；BJ-SW1作为实例0、1中的主根，实例2的从根；BJ-SW2作为实例0、1的从根，实例2的主根；主根优先级为4096，从根优先级为8192；在BJ-SW1和BJ-SW2上配置VRRP，实现主机的网关冗余。BJ-SW1、BJ-SW2各VRRP组中高优先级设置为150，低优先级设置为120。

4. 在BJ-SW3和BJ-SW4开启边缘端口和BPDU防护功能，检测到环路后处理方式为关闭端口。如果端口检测进入禁用状态，设置200秒后会自动恢复。

5. 北京总部BJ-FW1、BJ-FW2、BJ-SW1、BJ-SW2间运行OSPF，归属区域0，进程号1；上海分部SH-FW1、SH-SW1间运行OSPF，归属区域为0，进程号为2；深圳分部SZ-R1、SZ-SW1间运行OSPF，归属区域为0，进程号为2。

6. 为了方便管理，需要宣告Loopback地址，在OSPF进程下引入静态路由并下发默认路由给所有OSPF成员。禁止终端用户接受和发送OSPF报文，通过相关设置，加快OSPF收敛速度。

7. 上海分部配置端口安全（Port Security），通过将接口学习到的动态MAC地址转换为安全MAC地址，老化时间设置为300秒，一个端口最多绑定两个MAC地址。

（三）出口网络配置

1. 北京总部可以通过出口防火墙BJ-FW1、BJ-FW2 EasyIP方式访问互联网。

2. 上海分部可以通过出口防火墙SH-FW1 EasyIP方式访问互联网。

3. 深圳分部可以通过出口路由器SZ-R1 EasyIP方式访问互联网。

4. 在BJ-FW1和SH-FW1间、BJ-FW2和SZ-R1间启用GRE隧道，隧道内部承载OSPF协议，使北京总部和上海分部内网连通。

5. IPsec VPN针对GRE隧道内数据进行加密。

设备配置表

编号	虚拟设备型号
BJ-FW1	USG6000V
BJ-FW2	USG6000V
SH-FW1	USG6000V
BJ-FW1	S5700
BJ-FW2	S5700
SH-SW1	S5700
SZ-SW1	S5700
ISP-R1	AR2220
ISP-R2	AR2220
ISP-R3	AR2220
ISP-R4	AR2220
ISP-R5	AR2220
ISP-R6	AR2220
BJ-SW3	S3700
BJ-SW4	S3700
SH-SW2	S3700
SH-SW3	S3700
SZ-SW2	S3700

地址规划表

部分代码和实验效果图

2.1 部署Easy IP实现NAT

根据网络需求，公司总部内部服务器群（BJ-WEB、BJ-FTP、BJ-SQL、BJ-Storage）和主机群（BJ-PC1、BJ-PC2、BJ-PC3、BJ-PC4）可以通过BJ-FW1、BJ-FW2出口防火墙访问Internet，两个分部的主机也需要访问Internet。通过源NAT技术将私网IP地址转换为公网IP地址，使公司内部私网用户可以利用公网地址访问Internet。

（1）BJ-FW1上配置Easy IP

[BJ-FW1]nat-policy 
[BJ-FW1-policy-nat]nat-policy
[BJ-FW1-policy-nat]rule name BJ-to-ISP
[BJ-FW1-policy-nat-rule-BJ-to-ISP]source-zone trust
[BJ-FW1-policy-nat-rule-BJ-to-ISP]destination-zone untrust
[BJ-FW1-policy-nat-rule-BJ-to-ISP]source-address 192.168.8.0 21    # 子网汇聚