华三·交换机与路由器的综合实验

已于 2024-08-17 15:35:27 修改
阅读量1k 收藏 29
点赞数 20
文章标签： 网络 智能路由器 学习
于 2024-08-16 23:31:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_68115909/article/details/141269763
版权

前言

有关dhcp、ospf、nat、acl、telnet服务等配置的综合实验。边做边学习配置。

实验

实验环境：HCL模拟器

拓补图如下：
请添加图片描述

实验要求：
1、 SW3上开启DHCP，分别给Server1分配固定IP192.168.x.100/24，同时下发网关192.168.x.1；给PC2分配固定IP192.168.2.200，同时下发固定网关192.168.2.1。

2、SW3、RT4、RT5和RT6之间运行OSPF，将10.10.10.0/24段和20.20.20.0/24段宣告进area0；将30.30.30.0/24段、40.40.40.0/24段、192.168.x.0段和192.168.2.0段宣告进area1。---------这里x采用1

3、192段是需要去Internet上网访问202.1.1.1的，所以请在RT6上开启NAT实现上网需求，同时请在RT6上配置默认路由（整个实验要求只有这里建了一条默认路由，其他任何设备都不允许手动配置静态或者默认路由）。配置完毕后请使用Server1和PC2 ping 测试202.1.1.1。

4、Server1上开启telnet服务，启用账号密码认证，使得默认使用账号登陆的用户只能拥有低权限（不能配置类似OSPF这种命令），配置SSH登录认证，使得登录用户获得最高权限。

5、通过NAT配置实现Internet通过访问RT6的公网IP202.1.1.2可以访问到内部服务器Server1的telnet服务。

6、通过配置实现PC2能ping通Server1的IP192.168.x.100，但PC2不能直接访问Server1（192.168.x.100）的telnet服务，PC2只能通过公网IP202.1.1.2去访问Server1的telnet服务。

7、每台设备都开启如下配置，然后就可以发起tracert追踪路径了，方便验证测试选路需求。
[H3C] ip ttl-expires enable
[H3C] ip unreachables enable
请通过配置实现192段出去上网的流量优先走如下路径:
SW3->RT4->RT6
请通过配置实现外部回包给192段的流量优先走如下路径：
RT6->RT5->SW3

(这次要求比较多，但很详细，很适合一步一步做下来）

实验步骤

首先，第一步是很重要的一步，就是搭建拓补时，把信息写在旁边，方便后续配置。

先把信息已有的都配上去，就是配点简单的ip和网关。

设备重命名
RT6:
<H3C>sys
System View: return to User View with Ctrl+Z.
[H3C]sysname RT6
略。。。
**********************************************
基础接口ip配置
Internet7
[Internet7]int g0/2
[Internet7-GigabitEthernet0/2]ip add 202.1.1.1 24
[Internet7-GigabitEthernet0/2]

RT6
[RT6]int g0/2
[RT6-GigabitEthernet0/2]ip add 202.1.1.2 24
[RT6-GigabitEthernet0/2]int g0/1
[RT6-GigabitEthernet0/1]ip add 10.10.10.1 24
[RT6-GigabitEthernet0/1]int g0/0
[RT6-GigabitEthernet0/0]ip add 20.20.20.1 24
[RT6-GigabitEthernet0/0]

RT4
[RT4]int g0/1
[RT4-GigabitEthernet0/1]ip add 10.10.10.2 24
[RT4-GigabitEthernet0/1]int g0/0
[RT4-GigabitEthernet0/0]ip add 30.30.30.1 24
[RT4-GigabitEthernet0/0]

RT5
[RT5]int g0/0
[RT5-GigabitEthernet0/0]ip add 20.20.20.2 24
[RT5-GigabitEthernet0/0]int g0/1
[RT5-GigabitEthernet0/1]ip add 40.40.40.1 24
[RT5-GigabitEthernet0/1]

SW3
[SW3]vlan 10
[SW3-vlan10]port g1/0/1
[SW3-vlan10]qu
[SW3]vlan 20
[SW3-vlan20]port g1/0/2
[SW3-vlan20]qu
[SW3]vlan 30
[SW3-vlan30]port g1/0/3
[SW3-vlan30]qu
[SW3]vlan 40
[SW3-vlan40]port g1/0/4
[SW3-vlan40] 

[SW3]int vlan 10
[SW3-Vlan-interface10]ip add 192.168.1.1 24
[SW3-Vlan-interface10]int vlan 20
[SW3-Vlan-interface20]ip add 192.168.2.1 24
[SW3-Vlan-interface20]int vlan 30
[SW3-Vlan-interface30]ip add 30.30.30.2 24
[SW3]int vlan 40
[SW3-Vlan-interface40]ip add 40.40.40.2 24

配一下ospf吧。没有什么好说的。根据要求配就是了。
要求：SW3、RT4、RT5和RT6之间运行OSPF，将10.10.10.0/24段和20.20.20.0/24段宣告进area0；将30.30.30.0/24段、40.40.40.0/24段、192.168.x.0段和192.168.2.0段宣告进area1。

Ospf连通
RT4:
ospf 1
area 0
network 10.10.10.0 0.0.0.255
qu
area 1
network 30.30.30.0 0.0.0.255

RT5
ospf 1
area 0
network 20.20.20.0 0.0.0.255
qu
area 1
network 40.40.40.0 0.0.0.255

RT6:
ospf 1
area 0
network 10.10.10.0 0.0.0.255
net 20.20.20.0 0.0.0.255

[SW3]
ospf 1
area 1
net 30.30.30.0 0.0.0.255
net 40.40.40.0 0.0.0.255
net 192.168.1.0 0.0.0.255
net 192.168.2.0 0.0.0.255

//这里注明一下，图上的server机子是pc，后续改成路由器了！pc无法开服务。懒得dhcp分发了，就直接配地址上去了。如果进行dhcp配置，参考我写的上一篇《交换综合组网的简单配置》里面有讲，思路大差不差。后续的pc还是dhcp分配哈。
[SERVER1]int g0/0
[SERVER1-GigabitEthernet0/0]ip add 192.168.1.100 24
[SERVER1-GigabitEthernet0/0]qu
[SERVER1]ospf 1
[SERVER1-ospf-1]area 1
[SERVER1-ospf-1-area-0.0.0.1]net 192.168.1.0 0.0.0.255

-------------------还是配一下说明一下吧
[server1]dis interface g0/0
找到hardware address
[server1]int g0/0
[server1-GigabitEthernet0/0]ip add dhcp-alloc
[SW3-dhcp-pool-vlan10]dis this
#
dhcp server ip-pool vlan10
 gateway-list 192.168.1.1
 network 192.168.1.0 mask 255.255.255.0
 static-bind ip-address 192.168.1.100 hardware-address xxxxxxx
 就能获取到地址了，没获取到命令（ip add dhcp-alloc）取消重敲一下

开dhcp服务。

[SW3]dhcp enable----------别忘了

[SW3]dhcp server ip-pool vlan20
[SW3-dhcp-pool-vlan20]network 192.168.2.0 mask 255.255.255.0
[SW3-dhcp-pool-vlan20]dns-list 8.8.8.8
[SW3-dhcp-pool-vlan20]gateway-list 192.168.2.1
[SW3-dhcp-pool-vlan20]static-bind ip-address 192.168.2.200 client-identifier xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx(码)
[SW3-dhcp-pool-vlan20]
---------------这里说一下，我是如何获取pc的client-identifier。没找到pc的mac在哪。直接dhcp先自动分配了，pc就获取了一个地址。然后在交换机上，查看dis dhcp server ip-in-use，就能发现我需要分配地址pc的client-identifier。然后进行绑定地址，再分发就好了。有其他的方法，麻烦告诉我一下。

好，这里除了ping不通外网，都能ping通了。

要求1和2都完成了，来搞3吧。

RT6：
ip route-static 0.0.0.0 0 202.1.1.1（配置默认路由）

acl basic 2000
 rule 0 permit source 192.168.1.0 0.0.0.255
 rule 5 permit source 192.168.2.0 0.0.0.255

nat address-group 1//地址池用于地址转换
 address 202.1.1.10 202.1.1.20

interface GigabitEthernet0/2
--------进入公网口，将地址池1与acl 2000关联，并在接口的出方向应用NAT
 ip address 202.1.1.2 255.255.255.0
 nat outbound 2000 address-group 1 no-pat

提问，什么是no-pat
NO-PAT（No Port Address Translation）表示不进行端口转换，只转换IP地址。
Basic NAT是最简单的一种地址转换方式，它只对数据包的IP层进行转换。

好了，现在你认为pc能通外网吗？
怎么可能通啊！整个ospf网段都不知道外网怎么走，怎么转发呀？但是我整个拓补只配了一条默认路由，不能配置其余静态路由。该怎么办？
路由引用。

[RT6]ospf 1
[RT6-ospf-1]default-route-advertise
[RT6-ospf-1]qu

测试：
[SERVER1]ping 202.1.1.1
Ping 202.1.1.1 (202.1.1.1): 56 data bytes, press CTRL+C to break
56 bytes from 202.1.1.1: icmp_seq=0 ttl=252 time=4.000 ms
56 bytes from 202.1.1.1: icmp_seq=1 ttl=252 time=4.000 ms
56 bytes from 202.1.1.1: icmp_seq=2 ttl=252 time=4.000 ms
56 bytes from 202.1.1.1: icmp_seq=3 ttl=252 time=3.000 ms
56 bytes from 202.1.1.1: icmp_seq=4 ttl=252 time=4.000 ms

default-route-advertise 命令是用来控制路由器是否向OSPF区域内通告默认路由（也称为0.0.0.0/0路由）

命令功能与作用配置场景
default-route-advertise将默认路由通告到OSPF区域内通常配置在ASBR或希望通告默认路由的路由器上
import-route static将静态路由引入OSPF协议中路由器上同时配置了静态路由和OSPF协议，且希望OSPF能够感知到静态路由时

抓包分析

进行抓包查看！
[SERVER1]ping 202.1.1.1
<RT6>*Aug 16 15:00:43:793 2024 RT6 NAT/7/COMMON:
 PACKET: (GigabitEthernet0/2-out-config) Protocol: ICMP
   192.168.1.100:10973 -       202.1.1.1: 2048(VPN:    0) ------>
      202.1.1.13:10973 -       202.1.1.1: 2048(VPN:    0)
*Aug 16 15:00:43:794 2024 RT6 NAT/7/COMMON:
 PACKET: (GigabitEthernet0/2-in-session) Protocol: ICMP
       202.1.1.1:10973 -      202.1.1.13:    0(VPN:    0) ------>
       202.1.1.1:10973 -   192.168.1.100:    0(VPN:    0)


[H3C]ping 202.1.1.1
<RT6>*Aug 16 15:01:21:447 2024 RT6 NAT/7/COMMON:
 PACKET: (GigabitEthernet0/2-out-config) Protocol: ICMP
   192.168.2.200:  145 -       202.1.1.1: 2048(VPN:    0) ------>
      202.1.1.14:  145 -       202.1.1.1: 2048(VPN:    0)
*Aug 16 15:01:21:448 2024 RT6 NAT/7/COMMON:
 PACKET: (GigabitEthernet0/2-in-session) Protocol: ICMP
       202.1.1.1:  145 -      202.1.1.14:    0(VPN:    0) ------>
       202.1.1.1:  145 -   192.168.2.200:    0(VPN:    0)

看no-pat，端口都没有转换吧。

做4
4、Server1上开启telnet服务，启用账号密码认证，使得默认使用账号登陆的用户只能拥有低权限（不能配置类似OSPF这种命令），配置SSH登录认证，使得登录用户获得最高权限。

[SERVER1]telnet server enable
[SERVER1]line vty 0 63
[SERVER1-line-vty0-63]authentication-mode scheme----用户名密码方式
[SERVER1-line-vty0-63]qu
[SERVER1]local-user admin
[SERVER1-luser-manage-admin]password simple guihuaxianga1
[SERVER1-luser-manage-admin]service-type telnet------给服务
[SERVER1-luser-manage-admin]authorization-attribute user-role network-operator

[SERVER1]ssh server enable
[SERVER1]line vty 0 4
[SERVER1-line-vty0-4]authentication-mode scheme
[SERVER1-line-vty0-4]protocol inbound ssh-----设置远程用户登录为ssh
[SERVER1-line-vty0-4]qu
[SERVER1]local-user guihuaxiang
New local user added.
[SERVER1-luser-manage-guihuaxiang]password simple guihuaxianga1-------换个密码，之前没注意。下面提示报错了。
The new password cannot contain the username or reversed username.
[SERVER1-luser-manage-guihuaxiang]service-type ssh---------服务类型为ssh
[SERVER1-luser-manage-guihuaxiang]authorization-attribute user-role network-admin
[SERVER1-luser-manage-guihuaxiang]

测试ssh
<H3C>ssh 192.168.1.100
Username: guihuaxiang
Press CTRL+C to abort.
Connecting to 192.168.1.100 port 22.
guihuaxiang@192.168.1.100's password:
Enter a character ~ and a dot to abort.

******************************************************************************
* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent,                                 *
* no decompiling or reverse-engineering shall be allowed.                    *
******************************************************************************

<server1>

5、通过NAT配置实现Internet通过访问RT6的公网IP202.1.1.2可以访问到内部服务器Server1的telnet服务。

[RT6-GigabitEthernet0/2]nat server protocol tcp global 202.1.1.2 4433 inside 192.168.1.100 23
[RT6-GigabitEthernet0/2]qu
[RT6]int g0/0
[RT6-GigabitEthernet0/0]nat hairpin enable
[RT6-GigabitEthernet0/0]qu
[RT6]int g0/1
[RT6-GigabitEthernet0/1]nat hairpin enable
[RT6-GigabitEthernet0/1]
两个口都得配nat hairpin enable

测试
<H3C>telnet 202.1.1.2 4433
Trying 202.1.1.2 ...
Press CTRL+K to abort
Connected to 202.1.1.2 ...

******************************************************************************
* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent,                                 *
* no decompiling or reverse-engineering shall be allowed.                    *
******************************************************************************

Login: admin
Password:
<SERVER1>

6、通过配置实现PC2能ping通Server1的IP192.168.x.100，但PC2不能直接访问Server1（192.168.x.100）的telnet服务，PC2只能通过公网IP202.1.1.2去访问Server1的telnet服务。

未配置前：
<H3C>telnet 192.168.1.100
Trying 192.168.1.100 ...
Press CTRL+K to abort
Connected to 192.168.1.100 ...

******************************************************************************
* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent,                                 *
* no decompiling or reverse-engineering shall be allowed.                    *
******************************************************************************

Login:
<H3C>

配置如下：
[SERVER1]acl advanced 3000
[SERVER1-acl-ipv4-adv-3000]rule 0 deny tcp source 192.168.2.0 0.0.0.255 destinat
ion 192.168.1.100 0.0.0.0 destination-port eq 23
[SERVER1-acl-ipv4-adv-3000]rule permit ip
[SERVER1-acl-ipv4-adv-3000]qu
[SERVER1]int g0/0
[SERVER1-GigabitEthernet0/0]packet-filter 3000 inbound
[SERVER1-GigabitEthernet0/0]


配置后：
<H3C>telnet 192.168.1.100
Trying 192.168.1.100 ...
Press CTRL+K to abort
Connected to 192.168.1.100 ...
失败了，满足要求

<H3C>telnet 202.1.1.2 4433
Trying 202.1.1.2 ...
Press CTRL+K to abort
Connected to 202.1.1.2 ...

******************************************************************************
* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*
* Without the owner's prior written consent,                                 *
* no decompiling or reverse-engineering shall be allowed.                    *
******************************************************************************

Login:


<H3C>ping 192.168.1.100
Ping 192.168.1.100 (192.168.1.100): 56 data bytes, press CTRL_C to break
56 bytes from 192.168.1.100: icmp_seq=0 ttl=254 time=2.560 ms
56 bytes from 192.168.1.100: icmp_seq=1 ttl=254 time=1.105 ms
56 bytes from 192.168.1.100: icmp_seq=2 ttl=254 time=3.754 ms
56 bytes from 192.168.1.100: icmp_seq=3 ttl=254 time=2.411 ms
56 bytes from 192.168.1.100: icmp_seq=4 ttl=254 time=3.564 ms

--- Ping statistics for 192.168.1.100 ---
  1. ip ttl-expires:
    • 这个设置用于启用或禁用对TTL（Time to Live，生存时间）过期数据包的处理。TTL是一个IP数据包在网络中可以经过的最大跳数。当数据包的TTL值减到0时，它将被丢弃，并且通常会向发送方发送一个ICMP（Internet Control Message Protocol）消息，告知数据包已因TTL过期而被丢弃。启用这个设置可以确保网络设备正确处理这类ICMP消息。
  2. ip unreachables:
    • 这个设置用于启用或禁用对不可达目的地的ICMP不可达消息的发送。当一个路由器或主机收到一个数据包，但无法将其转发到目的地时（例如，因为目的地不可达或不存在），它会发送一个ICMP不可达消息给发送方。启用这个设置可以确保网络设备在遇到这种情况时发送适当的ICMP消息。
    这两个设置通常用于网络故障诊断和确保网络通信的可靠性。它们可以帮助网络管理员了解数据包在网络中的流动情况，以及在数据包无法到达目的地时提供反馈。

请通过配置实现192段出去上网的流量优先走如下路径:
SW3->RT4->RT6
请通过配置实现外部回包给192段的流量优先走如下路径：
RT6->RT5->SW3

[RT5]int g0/0
[RT5-GigabitEthernet0/0]ospf cost 100
[RT5-GigabitEthernet0/0]qu

[RT4]int g0/0
[RT4-GigabitEthernet0/0]ospf cost 100
[RT4-GigabitEthernet0/0]
-----------------在OSPF（Open Shortest Path First）选路过程中，Cost值的累加是看出接口的Cost值来计算的，而不是入接口的Cost值。
----------------所以应该明白我为什么这样配了。
----------------display ospf interface，可以看到接口优先级

<H3C>tracert 202.1.1.1
traceroute to 202.1.1.1 (202.1.1.1), 30 hops at most, 40 bytes each packet, press CTRL_C to break
 1  192.168.2.1 (192.168.2.1)  2.385 ms  0.872 ms  0.691 ms
 2  30.30.30.1 (30.30.30.1)  2.116 ms  3.133 ms  2.478 ms
 3  20.20.20.1 (20.20.20.1)  3.221 ms  2.675 ms  2.365 ms
 4  202.1.1.1 (202.1.1.1)  3.169 ms  2.997 ms  2.533 ms
<H3C>

[Internet7]tracert 192.168.2.200
traceroute to 192.168.2.200 (192.168.2.200), 30 hops at most, 40 bytes each packet, press CTRL+C to break
 1  202.1.1.2 (202.1.1.2)  1.000 ms  1.000 ms  2.000 ms
 2  20.20.20.2 (20.20.20.2)  1.000 ms  2.000 ms  1.000 ms
 3  40.40.40.2 (40.40.40.2)  3.000 ms  3.000 ms  3.000 ms
 4  * * *
 5  * *
[Internet7]

其实可以看到回包路径的，但未配置外网访问内网的配置，所以不能通

结语

终于写完报告了。希望对看到这篇文章的你有点用吧。

桂花香呀
关注
  • 20
    点赞
  • 踩
  • 29
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

桂花香呀

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值