基于ENSP的高校网络规划

项目概况

一、需求描述

        某新建校以光纤连接了全校近70栋楼宇。共布有2万多个有线网络端口。总体设计如下：
1、办公楼宇区域实现网络高可靠性设计，接入层交换机断掉任何一根链路，汇聚或核心交换机Down条任何一台设备，都不影响数据的正常转发；

2、总部服务器区和临潼分校同理；

3、汉中分校人数较少，所以使用单臂路由实现内网互通；

4、要求西安总校，临潼分校，汉中分校内网用户都能访问互联网；

5、要求公网用户能够访问西安总校服务器区域的HTTP Server和FTP Server；

6、要求西安总校和临潼汉中分校之间通过DSVPN能够实现内网互通。

二、实验拓扑        

三、配置过程

<一>西安总校配置

• 创建VLAN，加接口

PC1属于VLAN10，网段属于10.1.1.0/24网段。

PC2属于VLAN10，网段属于10.1.2.0/24网段。

PC3属于VLAN10，网段属于10.1.3.0/24网段。

        由上拓扑图可知，在西安总校的办公区域划分多个vlan，此拓扑西安总校办公区域中客户端所在的vlan区域分别为vlan10、20、30、40，与之对应的网段分别为：10.1.1.0/24、10.1.2.0/24、10.1.3.0/24、10.1.4.0/24。在SW1和SW2上分别创建vlan 11、12、13、14。交换机与终端连接的线路使用access链路，交换机互连的路线使用Trunk。同时将SW1和SW2之间的链路捆绑为e-trunk，做备份链路，链路类型为Trunk，允许所有的vlan通过。接入层交换机为SW3、SW4、SW5，上行交换机为SW1、SW2，可知在此处做冗余备份，以确保两台核心交换机任何一个故障时链路整体连通性仍旧畅通。

配置命令如下：

SW1上：

[SW1]v b 10 20 30 40 11 12 [SW1]int g0/0/5 [SW1-GigabitEthernet0/0/5]p l t [SW1-GigabitEthernet0/0/5]p t a v a [SW1-GigabitEthernet0/0/5]int g0/0/6 [SW1-GigabitEthernet0/0/6]p l t [SW1-GigabitEthernet0/0/6]p t a v a [SW1-GigabitEthernet0/0/6]int g0/0/7 [SW1-GigabitEthernet0/0/7]p l t [SW1-GigabitEthernet0/0/7]p t a v a [SW1-GigabitEthernet0/0/7]int g0/0/20 [SW1-GigabitEthernet0/0/20]p l a [SW1-GigabitEthernet0/0/20]p d v 11 [SW1-GigabitEthernet0/0/20]int g0/0/21 [SW1-GigabitEthernet0/0/21]p l a [SW1-GigabitEthernet0/0/21] p d v 12 [SW1-GigabitEthernet0/0/21]q [SW1]int  Eth-Trunk 1 [SW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/10 to 0/0/ [SW1-Eth-Trunk1]p l t [SW1-Eth-Trunk1]p t a v a [SW1-Eth-Trunk1]q

SW2上：

[SW2]v b 10 20 30 40 13 14 [SW2]int g0/0/5 [SW2-GigabitEthernet0/0/5]p l t [SW2-GigabitEthernet0/0/5]p t a v a [SW2-GigabitEthernet0/0/5]int g0/0/6 [SW2-GigabitEthernet0/0/6]p l t [SW2-GigabitEthernet0/0/6]p t a v a [SW2-GigabitEthernet0/0/6]int g0/0/7 [SW2-GigabitEthernet0/0/7]p l t [SW2-GigabitEthernet0/0/7]p t a v a [SW2-GigabitEthernet0/0/7]int g0/0/20 [SW2-GigabitEthernet0/0/20]p l a [SW2-GigabitEthernet0/0/20]p d v 13 [SW2-GigabitEthernet0/0/20]int g0/0/21 [SW2-GigabitEthernet0/0/21]p l a [SW2-GigabitEthernet0/0/21]p d v 14 [SW2-GigabitEthernet0/0/21]q [SW2]int Eth-Trunk 1 [SW2-Eth-Trunk1]trunkport GigabitEthernet 0/0/10 to 0/0/11     [SW2-Eth-Trunk1]p l t [SW2-Eth-Trunk1]p t a v a

SW3上：

[SW3]v b 10 20 30 40 //创建vlan [SW3]int g0/0/1 [SW3-GigabitEthernet0/0/1] p l a [SW3-GigabitEthernet0/0/1]p d v 10 [SW3-GigabitEthernet0/0/1]int g0/0/5 [SW3-GigabitEthernet0/0/5]p l t [SW3-GigabitEthernet0/0/5]p t a v a [SW3-GigabitEthernet0/0/5]int g0/0/6 [SW3-GigabitEthernet0/0/6]p l t [SW3-GigabitEthernet0/0/6]p t a v a

SW4上：

[SW4]v b 10 20 30 40 [SW4]int g0/0/1 [SW4-GigabitEthernet0/0/1]p l a [SW4-GigabitEthernet0/0/1]p d v 20 [SW4-GigabitEthernet0/0/1]int  g0/0/6 [SW4-GigabitEthernet0/0/6]p l t [SW4-GigabitEthernet0/0/6]p t a v a [SW4-GigabitEthernet0/0/6]int g0/0/7 [SW4-GigabitEthernet0/0/7]p l t [SW4-GigabitEthernet0/0/7]p t a v a

SW5上：

[SW5]v b 10 20 30 40 [SW5]int g0/0/1 [SW5-GigabitEthernet0/0/1]p l a [SW5-GigabitEthernet0/0/1]p d v 30 [SW5-GigabitEthernet0/0/1]int  g0/0/5 [SW5-GigabitEthernet0/0/5]p l t [SW5-GigabitEthernet0/0/5]p t a v a [SW5-GigabitEthernet0/0/5]int g0/0/7 [SW5-GigabitEthernet0/0/7]p l t [SW5-GigabitEthernet0/0/7]p t a v a

由上可知基本的vlan已经划分完成，下面检验查看是否有误（以SW1和SW3为例）：

SW1上：

SW3上：

• 配置MSTP—破环

        要求SW1成为VLAN10 20的根桥，VLAN30 40的次根，SW2成为VLAN 30 40的根桥，VLAN1020的次根。将连接接终端的接口配置为边缘端口。region-name SLG-group1x,x代表组编号。

在SW3和SW5上分别使用display stp region-configuration， display stp brief截图展示。相关配置命令如下：

SW1（SW2、3、4、5上相同）：

[SW1]stp  region-configuration [SW1-mst-region]region-name SLG-group113 //命名为SLG-group1+13（组号13） [SW1-mst-region]revision-level 1  //修订级别 [SW1-mst-region]instance 1 vlan 10  20 [SW1-mst-region]instance 2 vlan 30 40 [SW1-mst-region]active region-configuration  //激活region [SW1-mst-region]dis th # stp region-configuration  region-name SLG-group113  revision-level 1  instance 1 vlan 10 20  instance 2 vlan 30 40  active region-configuration # return

        因为要使得SW1成为VLAN 10 20的根桥，VLAN30 40的次根；SW2成为VLAN 30 40的根桥，VLAN1020的次根，所以下面将对二者上的instance的优先级进行更改（优先级越小越优先，默认为32768）：

SW1上：

SW1]stp instance  1 priority  0 [SW1]stp instance  2 priority  4096

SW2上：

[SW2] stp instance 2 priority 0 [SW2]stp instance  1 priority  4096

下面将对配置的结果进行查看：

        由上图可知，已经将vlan10 20 划分到instance1 中，vlan 30 40 划分到instance2中。且查看Stp的接口状态可知，在SW3上，SW1为根桥时，在instance 1中5是根端口，6是阻塞口，处于丢弃状态；SW2为根桥时，5口是阻塞口处于丢弃状态，6口为根端口。在SW5上同理。

• 配置边缘接口

下面将连接终端的接口配置成为边缘接口，配置命令如下：

SW3上：

[SW3]int g0/0/1 [SW3-GigabitEthernet0/0/1]stp edged-port en

SW4上：

[SW4]int g0/0/1 [SW4-GigabitEthernet0/0/1]stp edged-port enable

SW5上：

[SW5]int g0/0/1 [SW5-GigabitEthernet0/0/1]stp edged-port  enable

未曾配置之前：

配置完成之后：

• 配置VLAN间路由

利用SW1和SW2作为汇聚和核心的交换机，为了实现vlan间路由，为vlanif配置网关。

SW1上：

[SW1]int vlan10 [SW1-Vlanif10]ip add 10.1.1.1 24 [SW1-Vlanif10]q [SW1]int vlan20 [SW1-Vlanif20]ip add 10.1.2.1 24 [SW1-Vlanif20]q [SW1]int vlan30 [SW1-Vlanif30]ip add 10.1.3.1 24 [SW1-Vlanif30]q [SW1] int vlan40 [SW1-Vlanif40]ip add 10.1.4.1 24

SW2上：

[SW2]int vlan10 [SW2-Vlanif10]ip add 10.1.1.2 24 [SW2-Vlanif10]int vlan20 [SW2-Vlanif20]ip add 10.1.2.2 24 [SW2-Vlanif20]int vlan30 [SW2-Vlanif30]ip add 10.1.3.2 24 [SW2-Vlanif30]int vlan 40 [SW2-Vlanif40]ip add 10.1.4.2 24 [SW2-Vlanif40]q

• 配置VRRP        

此时可以将vlan10 20 的网关指向SW1，vlan 30 40的网关指向SW2 ，但是此操作下，若SW1或者SW2任意一个设备发生故障，则需手动更改网关，故我们利用VRRP将网关指向VRRP。让vlan10 20 30 40 分别虚拟一个.113 的IP，并将网关指向.113，并且让SW1成为vlan 10 20 的master，vlan 30 40 的backup；让SW2成为vlan 30 40 的master，vlan 10 20 的backup。此时，若SW1或者SW2发生故障，用户并不需要更改网关地址，会将backup上升成为master，从而使得链路依旧能够正常使用。以下为VRRP的相关配置：

SW1上：

[SW1-Vlanif10]vrrp vrid 1 virtual-ip 10.1.1.113 //虚拟网关指向.113 [SW1-Vlanif10]vrrp vrid 1 priority 200  //优先级更改为200 [SW1-Vlanif10]vrrp vrid 1 preempt-mode timer delay 60 //抢占延时60秒 [SW1-Vlanif10]vrrp vrid 1 track interface GigabitEthernet 0/0/20 //上行链路接口 [SW1-Vlanif10]vrrp vrid 1 track interface GigabitEthernet 0/0/20 re   [SW1-Vlanif10]vrrp vrid 1 track interface GigabitEthernet 0/0/20 reduced  120 //若上行接口down掉，优先级自动降低120，成为80，小于backup的优先级100，默认100，此时backup成为master [SW1-Vlanif10]dis th    //查看配置情况 # interface Vlanif10  ip address 10.1.1.1 255.255.255.0  vrrp vrid 1 virtual-ip 10.1.1.113  vrrp vrid 1 priority 200  vrrp vrid 1 preempt-mode timer delay 60  vrrp vrid 1 track interface GigabitEthernet0/0/20 reduced 120 # Return /SW1作为vlan10 20的根桥，所以10 20的VRRP配置相似，30 40 的优先级等相关不做更改/ [SW1-Vlanif10]int vlan20 [SW1-Vlanif20]vrrp vrid 2 virtual-ip  10.1.2.113 [SW1-Vlanif20]vrrp vrid 2 priority 200  [SW1-Vlanif20]vrrp vrid 2 preempt-mode timer  delay  60 [SW1-Vlanif20]vrrp vrid 2 track  interface GigabitEthernet  0/0/20 reduced  120 [SW1-Vlanif20]dis th # interface Vlanif20  ip address 10.1.2.1 255.255.255.0  vrrp vrid 2 virtual-ip 10.1.2.113  vrrp vrid 2 priority 200  vrrp vrid 2 preempt-mode timer delay 60  vrrp vrid 2 track interface GigabitEthernet0/0/20 reduced 120 # return [SW1-Vlanif20]int vlan30    [SW1-Vlanif30]vrrp vrid 3 virtual-ip 10.1.3.113 [SW1-Vlanif30]dis th # interface Vlanif30  ip address 10.1.3.1 255.255.255.0  vrrp vrid 3 virtual-ip 10.1.3.113 # Return [SW1-Vlanif30]int vlan40 [SW1-Vlanif40]vrrp vrid 4 virtual-ip 10.1.4.113 [SW1-Vlanif40]dis th # interface Vlanif40  ip address 10.1.4.1 255.255.255.0  vrrp vrid 4 virtual-ip 10.1.4.113 # return

SW2上与SW1上同理：

[SW2]int vlan10 [SW2-Vlanif10]vrrp vrid 1 virtual-ip 10.1.1.113 [SW2-Vlanif10]int vlan20 [SW2-Vlanif20]vrrp vrid 2 virtual-ip 10.1.2.113 [SW2-Vlanif20]int vlan30 [SW2-Vlanif30]vrrp vrid 3 virtual-ip 10.1.3.113 [SW2-Vlanif30]vrrp vrid 3 preempt-mode timer  delay 60 [SW2-Vlanif30]vrrp vrid 3 track interface GigabitEthernet 0/0/20 reduced  120 [SW2-Vlanif30]vrrp vrid 3 priority 200 [SW2-Vlanif30]dis th # interface Vlanif30  ip address 10.1.3.2 255.255.255.0  vrrp vrid 3 virtual-ip 10.1.3.113  vrrp vrid 3 priority 200  vrrp vrid 3 preempt-mode timer delay 60  vrrp vrid 3 track interface GigabitEthernet0/0/20 reduced 120 # return [SW2-Vlanif30]int vlan40 [SW2-Vlanif40]vrrp vrid 4 virtual-ip 10.1.4.113 [SW2-Vlanif40]vrrp vrid 4 priority 200  [SW2-Vlanif40]vrrp vrid 4 preempt-mode timer  delay 60  [SW2-Vlanif40]vrrp vrid 4 track interface  GigabitEthernet  0/0/20 reduced  120 [SW2-Vlanif40]dis th # interface Vlanif40  ip address 10.1.4.2 255.255.255.0  vrrp vrid 4 virtual-ip 10.1.4.113  vrrp vrid 4 priority 200  vrrp vrid 4 preempt-mode timer delay 60  vrrp vrid 4 track interface GigabitEthernet0/0/20 reduced 120 # return

下面对SW1和SW2上的VRRP配置结果进行查看：

此时已经完成了vlan间路由和VRRP的配置，办公区域之间的终端可以互通，下面将进行连通性测试：

由图可知，连通性良好，即完成了内网之间的互通。

• 配置三层互联接口

由上可知，已经将西安分校的办公区域的内网打通，下面需要做交换机上的三层互连，由拓扑图，定义交换机与防火墙、路由器之间的网段为192.168.X.X网段，相应的IP地址规划如配置命令中所示：

SW1上：

[SW1]int vlan11 [SW1-Vlanif11]ip add 192.168.11.254 24 [SW1-Vlanif11]int vlan12 [SW1-Vlanif12]ip add 192.168.12.254 24 [SW1-Vlanif12]q

SW2上：

[SW2]int vlan13 [SW2-Vlanif13]ip add 192.168.13.254 24 [SW2-Vlanif13]int vlan14 [SW2-Vlanif14]ip add 192.168.14.254 24 [SW2-Vlanif14]q

• 配置防火墙

FW1上：

首先在防火墙上划区域，分接口，加IP：

[FW1]firewall zone trust  [FW1-zone-trust]add interface GigabitEthernet 1/0/0 [FW1-zone-trust]add interface GigabitEthernet 1/0/1 [FW1-zone-trust]q [FW1]firewall zone untrust  [FW1-zone-untrust]add interface GigabitEthernet 1/0/5 [FW1-zone-untrust]q [FW1]firewall zone dmz  [FW1-zone-dmz]add interface GigabitEthernet 1/0/3 [FW1-zone-dmz]add interface GigabitEthernet 1/0/4 [FW1-zone-dmz]q [FW1]int g1/0/0 [FW1-GigabitEthernet1/0/0]ip add 192.168.11.1 24 [FW1-GigabitEthernet1/0/0]int g1/0/1 [FW1]int g1/0/1 [FW1-GigabitEthernet1/0/1]ip add 192.168.14.1 24 [FW1-GigabitEthernet1/0/1]int g1/0/3 [FW1-GigabitEthernet1/0/3]ip add 192.168.102.1 24 [FW1-GigabitEthernet1/0/3]int g1/0/4 [FW1-GigabitEthernet1/0/4]ip add 192.168.103.1 24 [FW1-GigabitEthernet1/0/4]int g1/0/5 [FW1-GigabitEthernet1/0/5]ip add 112.1.1.1 24 [FW1-GigabitEthernet1/0/5]q

区域划分结果：

接口IP配置结果：

R1上：

[R1]int g0/0/0 [R1-GigabitEthernet0/0/0]ip add 192.168.13.2 24 [R1-GigabitEthernet0/0/0]int g0/0/1 [R1-GigabitEthernet0/0/1]ip add 192.168.12.2 24 [R1-GigabitEthernet0/0/1]int g0/0/2 [R1-GigabitEthernet0/0/2]ip add 112.1.1.2 24

公网路由器R2：

[R2-GigabitEthernet0/0/0]ip add 12.1.1.254 24 [R2-GigabitEthernet0/0/0]int g4/0/0 [R2-GigabitEthernet4/0/0]ip add 24.1.1.254 24 [R2-GigabitEthernet4/0/0]int g3/0/0 [R2-GigabitEthernet3/0/0]ip add 23.1.1.254 24

• 配置DMZ服务器区域VLAN，MSTP，VLAN间路由，互联三层IP；

创建相应的vlan并加上对应的接口：

SW17上：

[SW17]v b 100 101 [SW17]int g0/0/1 [SW17-GigabitEthernet0/0/1]p l a [SW17-GigabitEthernet0/0/1]p d v 100 [SW17-GigabitEthernet0/0/1]int g0/0/2 [SW17-GigabitEthernet0/0/2]p l a [SW17-GigabitEthernet0/0/2]p d v 101 [SW17-GigabitEthernet0/0/2]int  g [SW17-GigabitEthernet0/0/8]p l t [SW17-GigabitEthernet0/0/8]p t a v a [SW17-GigabitEthernet0/0/8]int g0/0/9 [SW17-GigabitEthernet0/0/9]p l t [SW17-GigabitEthernet0/0/9]p t a v a

SW 12 上：

[SW12]v b 100 101 102 [SW12]int g0/0/8 [SW12-GigabitEthernet0/0/8]p l t [SW12-GigabitEthernet0/0/8]p t a v a [SW12-GigabitEthernet0/0/23]p l a [SW12-GigabitEthernet0/0/23]p d v 102 [SW12]int Eth-Trunk  1 [SW12-Eth-Trunk1]trunkport GigabitEthernet 0/0/05 to 0/0/6 [SW12-Eth-Trunk1]p l t [SW12-Eth-Trunk1]p t a v a

SW13上：

[SW13]v b 100 101 103 [SW13]int g0/0/9 [SW13-GigabitEthernet0/0/9]p l t [SW13-GigabitEthernet0/0/9]p t a v a [SW13-GigabitEthernet0/0/9]int g0/0/24 [SW13-GigabitEthernet0/0/24]p l a [SW13-GigabitEthernet0/0/24]p d v 103 [SW13-GigabitEthernet0/0/24]q [SW13]int Eth-Trunk  1 [SW13-Eth-Trunk1]trunkport GigabitEthernet 0/0/5 to 0/0/6 [SW13-Eth-Trunk1]p l t [SW13-Eth-Trunk1]p t a v a

• 配置MSTP

下面对MSTP进行配置，要求为vlan 100的根桥为SW12，vlan101 的根桥为SW13

SW17上（此配置SW12 SW13上相同）：

[SW17-mst-region]region-name SLG-group13 [SW17-mst-region]revision-level 1 [SW17-mst-region]instance 1 vlan 100 [SW17-mst-region]instance 2 vlan 101 [SW17-mst-region]active region-configuration

由于要使SW 12成为vlan 100的根桥，SW13成为vlan 101 的根桥，故在SW 12和SW 13上分别修改instance 1和instance 2的优先级：

SW12上：

[SW12]stp instance 1 priority  0 [SW12]stp instance 2 priority  4096

SW13上：

[SW13]stp instance 1 priority 4096 [SW13]stp instance  2 priority 0

在SW17上查看：

交换机与PC相连的端口配置成为边缘接口：

由于DMZ区域和vlan 100 以及 vlan 101之间需要通信，故使用三层交换机的vlanif接口实现vlan路由。下面配置vlan间路由：

SW12：

[SW12]intn vlan 100 [SW12-Vlanif100]ip add 10.1.1.100.1 24 [SW12-Vlanif100]int vlan101 [SW12-Vlanif101]ip add 10.1.101.1 24

SW13上：

[SW13]int vlan 100 [SW13-Vlanif100]ip add 10.1.100.2 24 [SW13-Vlanif100]int vlan 101 [SW13-Vlanif101]ip add 10.1.101.2 24

为了保证链路备份，需在dmz区域做VRRP：

SW12上：

[SW12]int vlan 100 [SW12-Vlanif100]vrrp vrid 1 virtual-ip 10.1.100.113 [SW12-Vlanif100]vrrp vrid 1 priority 200 [SW12-Vlanif100]vrrp vrid 1 preempt-mode  timer delay 60 [SW12-Vlanif100]vrrp vrid 1 track interface GigabitEthernet 0/0/23 reduced  120 [SW12-Vlanif100]dis th # interface Vlanif100  vrrp vrid 1 virtual-ip 10.1.100.113  vrrp vrid 1 priority 200  vrrp vrid 1 preempt-mode timer delay 60  vrrp vrid 1 track interface GigabitEthernet0/0/23 reduced 120 # return [SW12-Vlanif100]ip add 10.1.100.1 24 [SW12-Vlanif100]dis th # interface Vlanif100  ip address 10.1.100.1 255.255.255.0  vrrp vrid 1 virtual-ip 10.1.100.113  vrrp vrid 1 priority 200  vrrp vrid 1 preempt-mode timer delay 60  vrrp vrid 1 track interface GigabitEthernet0/0/23 reduced 120 # return [SW12-Vlanif100]int vlan 101 [SW12-Vlanif101]vrrp vrid 2 virtual-ip 10.1.101.113 [SW12-Vlanif101]dis th # interface Vlanif101  ip address 10.1.101.1 255.255.255.0  vrrp vrid 2 virtual-ip 10.1.101.113 # return

SW13上：

[SW13]int vlan 100 [SW13-Vlanif100]vrrp vrid 1 virtual-ip 10.1.100.113 [SW13-Vlanif100]int vlan 101 [SW13-Vlanif101]vrrp vrid 2 virtual-ip 10.1.101.113 [SW13-Vlanif101]vrrp vrid 2 preempt-mode timer delay  60 [SW13-Vlanif101]vrrp vrid 2 priority 200 [SW13-Vlanif101]vrrp vrid 2 track interface GigabitEthernet 0/0/24 reduced  120

查看dmz区域的内部通信：

• 配置全网路由

由拓扑可知，将西安总校的办公区域放置在OSPF的area0 区域，服务器区放在area1区域。临潼校区放置在area2区域，汉中校区放置在area 3 区域。OSPF配置即将自己的直连网段宣告即可。

SW1上：

[SW1]ospf 1 router-id  11.1.1.1 [SW1-ospf-1]area 0 [SW1-ospf-1-area-0.0.0.0]network  10.1.1.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.0]network  10.1.2.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.0]network  10.1.3.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.0]network  10.1.4.0 0.0.0.255    [SW1-ospf-1-area-0.0.0.0]network 192.168.11.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.0]network 192.168.12.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.0]dis th #  area 0.0.0.0   network 10.1.1.0 0.0.0.255   network 10.1.2.0 0.0.0.255   network 10.1.3.0 0.0.0.255   network 10.1.4.0 0.0.0.255   network 192.168.11.0 0.0.0.255   network 192.168.12.0 0.0.0.255 # return

SW2上

[SW2]ospf 1 router-id  22.1.1.1 [SW2-ospf-1]area 0  [SW2-ospf-1-area-0.0.0.0]network 10.1.1.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0]network 10.1.2.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0]network 10.1.3.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0]network 10.1.4.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0]network 192.168.13.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0]network 192.168.14.0 0.0.0.255 [SW2-ospf-1-area-0.0.0.0]dis th #  area 0.0.0.0   network 10.1.1.0 0.0.0.255   network 10.1.2.0 0.0.0.255   network 10.1.3.0 0.0.0.255   network 10.1.4.0 0.0.0.255   network 192.168.13.0 0.0.0.255   network 192.168.14.0 0.0.0.255 # return

FW1上：将0、1、3、4接口均宣告在area 0区域，使其成为DR，使SW12、SW13成为BDR：

[FW1]ospf 1 router-id 111.1.1.1 [FW1-ospf-1]area 0t     [FW1-ospf-1-area-0.0.0.0]network 192.168.11.0 0.0.0.255 [FW1-ospf-1-area-0.0.0.0]network 192.168.14.0 0.0.0.255 [FW1-ospf-1-area-0.0.0.0]network 192.168.102.0 0.0.0.255 [FW1-ospf-1-area-0.0.0.0]network 192.168.103.0 0.0.0.255

R1上：

[R1]ospf 1 router-id 112.1.1.1 [R1-ospf-1]area 0 [R1-ospf-1-area-0.0.0.0]net     [R1-ospf-1-area-0.0.0.0]network 192.168.12.0 0.0.0.255 [R1-ospf-1-area-0.0.0.0]network 192.168.13.0 0.0.0.255

SW12上：需要将23口宣告在area 0,8口宣告在area 1

[SW12]ospf 1 router-id 12.1.1.1 [SW12-ospf-1]area 0 [SW12-ospf-1-area-0.0.0.0]network  192.168.102.0 0.0.0.255 [SW12-ospf-1-area-0.0.0.0]q [SW12-ospf-1]area 1 [SW12-ospf-1-area-0.0.0.1]network 10.1.100.0 0.0.0.255 [SW12-ospf-1-area-0.0.0.1]network 10.1.101.0 0.0.0.255

SW13 上：

[SW13]ospf 1 router-id 133.1.1.1 [SW13-ospf-1]area 0 [SW13-ospf-1-area-0.0.0.0]network 192.168.103.0 0.0.0.255 [SW13-ospf-1-area-0.0.0.0]area 1     [SW13-ospf-1-area-0.0.0.1]network 10.1.100.0 0.0.0.255 [SW13-ospf-1-area-0.0.0.1]network 10.1.101.0 0.0.0.255

下面将vlanif静默：

SW1上：

[SW1-ospf-1]silent-interface  Vlanif  10 [SW1-ospf-1]silent-interface Vlanif 20 [SW1-ospf-1]silent-interface Vlanif 30 [SW1-ospf-1]silent-interface Vlanif 40

SW2上：

[SW2-ospf-1]silent-interface Vlanif  10 [SW2-ospf-1]silent-interface Vlanif 20 [SW2-ospf-1]silent-interface Vlanif 30 [SW2-ospf-1]silent-interface Vlanif 40

SW12上：

[SW12-ospf-1]silent-interface Vlanif 100 [SW12-ospf-1]silent-interface Vlanif 101

SW13上：

[SW13-ospf-1]silent-interface Vlanif100 [SW13-ospf-1] silent-interface Vlanif101

查看邻居关系

• 配置Trust到DMZ的安全策略

西安校区办公区域需要访问服务器，故需配置trust区域到dmz区域的安全策略：

FW1上：

[FW1]security-policy [FW1-policy-security]rule name t-to-dmz [FW1-policy-security-rule-t-to-dmz]source-zone trust [FW1-policy-security-rule-t-to-dmz]destination-zone dmz [FW1-policy-security-rule-t-to-dmz]source-address 10.1.0.0 16 [FW1-policy-security-rule-t-to-dmz]action  permit  [FW1-policy-security-rule-t-to-dmz] dis th 2023-07-24 08:12:24.140 #  rule name t-to-dmz   source-zone trust   destination-zone dmz   source-address 10.1.0.0 mask 255.255.0.0   action permit # return

查看是否能够访问：

• 配置NAT

    要求办公区域能够访问公网，由于没有公网的路由，故在此处配置源NAT转换，使得办公区域的PC能够访问公网。

NAT策略如下：

//NAT策略： [FW1]nat-policy [FW1-policy-nat]rule name to-isp    [FW1-policy-nat-rule-to-isp]source-zone trust [FW1-policy-nat-rule-to-isp]destination-zone untrust [FW1-policy-nat-rule-to-isp]source-address 10.1.0.0 16  [FW1-policy-nat-rule-to-isp]action source-nat  easy-ip [FW1-policy-nat-rule-to-isp]dis th 2023-07-24 16:54:17.020 #  rule name to-isp   source-zone trust   destination-zone untrust   source-address 10.1.0.0 mask 255.255.0.0   action source-nat easy-ip # return //安全策略： [FW1]security-policy [FW1-policy-security]rule name to-isp [FW1-policy-security-rule-to-isp]source-zone trust  [FW1-policy-security-rule-to-isp]destination-zone untrust [FW1-policy-security-rule-to-isp]source-address 10.1.0.0 16 [FW1-policy-security-rule-to-isp]action permit [FW1-policy-security-rule-to-isp]dis th 2023-07-24 08:16:18.960 #  rule name to-isp   source-zone trust   destination-zone untrust   source-address 10.1.0.0 mask 255.255.0.0   action permit # Return //配置默认路由并下发 [FW1]ip route-static 0.0.0.0 0 112.1.1.254 [FW1-ospf-1]default-route-advertise

NAT策略：

安全策略：

查看办公区域是否能够访问外网：

由上可知，办公区域能够正常访问外网。

• 公网访问dmz区域的http服务和STP服务

通过nat-server 进行映射

FW1上：

[FW1]nat server protocol  tcp global 112.1.1.10 80 inside 10.1.100.10 80 [FW1]nat server protocol tcp global 112.1.1.10 21 inside 10.1.101.10 21 [FW1]security-policy [FW1-policy-security]rule name un-to-dmz [FW1-policy-security-rule-un-to-dmz]source-zone untrust [FW1-policy-security-rule-un-to-dmz]destination-zone dmz [FW1-policy-security-rule-un-to-dmz]destination-address 10.1.100.10 32 [FW1-policy-security-rule-un-to-dmz]destination-address 10.1.101.10 32 [FW1-policy-security-rule-un-to-dmz]action permit [FW1-policy-security-rule-un-to-dmz]dis th 2023-07-24 08:25:31.610 #  rule name un-to-dmz   source-zone untrust   destination-zone dmz   destination-address 10.1.100.10 mask 255.255.255.255   destination-address 10.1.101.10 mask 255.255.255.255   action permit # return [FW1-policy-security-rule-un-to-dmz]q [FW1-policy-security]q [FW1]dis cu [FW1]dis current-configuration  | in nat 2023-07-24 08:28:17.180  nat server 0 protocol tcp global 112.1.1.10 www inside 10.1.100.10 www  nat server 1 protocol tcp global 112.1.1.10 ftp inside 10.1.101.10 ftp   destination-zone dmz   destination-zone untrust   destination-zone dmz   destination-address 10.1.100.10 mask 255.255.255.255   destination-address 10.1.101.10 mask 255.255.255.255 nat-policy   destination-zone untrust   action source-nat easy-ip

公网访问dmz区域的http服务和STP服务：

总部网络所有需求到此已经满足，下面将对分校区进行部署。

<二>、临潼分部配置

需求：

VLAN，MSTP，VLAN间路由、VRRP，OSPF路由配置。PC4属于VLAN 10，PC5属于VLAN20。

下面将在交换机上配置vlan并添加接口，交换机与客户端之间为access链路；接入层接入层与核心交换机之间为Trunk链路；核心交换机之间进行eth-trunk链路捆绑，并允许所有的vlan通过；核心交换机上行链路为access，加入到对应的vlan中。其中交换机7、8配置相似，交换9、10配置相似，具体配置如下：

SW7上：

// 创建vlan加接口 [R7]v b 10 20 47 [R7]int g0/0/5   [R7-GigabitEthernet0/0/5]p l t [R7-GigabitEthernet0/0/5]p t a v a [R7-GigabitEthernet0/0/5]int g0/0/6 [R7-GigabitEthernet0/0/6]p l t [R7-GigabitEthernet0/0/6]p t a v a [R7-GigabitEthernet0/0/6]q //对8、9口进行捆绑，并允许所有vlan通过 [R7]int Eth-Trunk 1 [R7-Eth-Trunk1]trunkport GigabitEthernet 0/0/8 to 0/0/9 [R7-Eth-Trunk1]dis th # interface Eth-Trunk1 # return [R7-Eth-Trunk1]p l t [R7-Eth-Trunk1]p t a v a [R7-Eth-Trunk1]q //上行链路加到vlan 47 中 [R7]int g0/0/1 [R7-GigabitEthernet0/0/1]p l a [R7-GigabitEthernet0/0/1]p d v 47

SW8上：

[R8]v b 10 20 48 [R8]int g0/0/5 [R8-GigabitEthernet0/0/5]p l t [R8-GigabitEthernet0/0/5]p t a v a [R8-GigabitEthernet0/0/5]int g0/0/6 [R8-GigabitEthernet0/0/6]p l t [R8-GigabitEthernet0/0/6]p t a v a [R8-GigabitEthernet0/0/6]int g0/0/2 [R8-GigabitEthernet0/0/2]p l a [R8-GigabitEthernet0/0/2] p d v 48 [R8-GigabitEthernet0/0/2]q [R8]int Eth-Trunk 1 [R8-Eth-Trunk1]trunkport GigabitEthernet 0/0/8 to 0/0/9 [R8-Eth-Trunk1]p l t [R8-Eth-Trunk1]p t a v a

SW9上：

[R9]v b 10 20 [R9]int g0/0/1 [R9-GigabitEthernet0/0/1]p l a [R9-GigabitEthernet0/0/1]p d v 10 [R9-GigabitEthernet0/0/1]int g0/0/5 [R9-GigabitEthernet0/0/5]p l t [R9-GigabitEthernet0/0/5]p t a v a [R9-GigabitEthernet0/0/5]int g0/0/6 [R9-GigabitEthernet0/0/6]p l t [R9-GigabitEthernet0/0/6]p t a v a

SW10上：

[R10]v b 10 20 [R10]int g0/0/1 [R10-GigabitEthernet0/0/1]p l a [R10-GigabitEthernet0/0/1]p d v 20 [R10-GigabitEthernet0/0/1]int g0/0/5 [R10-GigabitEthernet0/0/5]p l t [R10-GigabitEthernet0/0/5]p t a v a [R10-GigabitEthernet0/0/5]int g0/0/6 [R10-GigabitEthernet0/0/6]p l t [R10-GigabitEthernet0/0/6]p t a v a

下面对MSTP进行配置，使得SW7为VLAN10的根桥，VLAN 20的次根。SW8为VLAN20的根桥，VLAN10的次根。

SW7上：

R7]stp region-configuration     [R7-mst-region]region-name SLG-group13 [R7-mst-region]revision-level 1 [R7-mst-region]instance 1 vlan 10 [R7-mst-region]instance  2 vlan 20 [R7-mst-region]active region-configuration [R7-mst-region]dis th # stp region-configuration  region-name SLG-group13  revision-level 1  instance 1 vlan 10  instance 2 vlan 20  active region-configuration # return

此处配置，SW7、SW8、SW9、SW10上均一致：

SW8：

[R8]stp region-configuration [R8-mst-region] region-name SLG-group13 [R8-mst-region] revision-level 1 [R8-mst-region] instance 1 vlan 10 [R8-mst-region] instance 2 vlan 20 [R8-mst-region] active region-configuration [R8-mst-region]dis th # stp region-configuration  region-name SLG-group13  revision-level 1  instance 1 vlan 10  instance 2 vlan 20  active region-configuration # return

SW9：

[R9]stp region-configuration [R9-mst-region] region-name SLG-group13 [R9-mst-region] revision-level 1 [R9-mst-region] instance 1 vlan 10 [R9-mst-region] instance 2 vlan 20 [R9-mst-region] active region-configuration

SW10 ：

[R10-mst-region] region-name SLG-group13 [R10-mst-region] revision-level 1 [R10-mst-region] instance 1 vlan 10 [R10-mst-region] instance 2 vlan 20 [R10-mst-region] active region-configuration [R10-mst-region] [R10-mst-region]dis th # stp region-configuration  region-name SLG-group13  revision-level 1  instance 1 vlan 10  instance 2 vlan 20  active region-configuration # return

下面修改相关instance的优先级使得SW7成为vlan 10 的根，SW8成为vlan 20 的根：

SW7上 ：

[R7]stp instance 1 priority 0 [R7]stp instance 2 priority 4096

SW8上：

[R8]stp instance 1 priority 4096    [R8]stp instance 2 priority 0

查看配置是否达到需求：

将连接终端的接口配置为边缘端口。

SW9：

[R9-GigabitEthernet0/0/1]stp edged-port enable

SW10上：

[R10-GigabitEthernet0/0/1]stp edged-port enable

下面将对vlan间路由进行配置，使得SW7在VRRP中为VLAN10的Master,VLAN20的Backup。

SW8在VRRP中为VLAN20的Master,VLAN10的Backup。

SW7上：

[R7-Vlanif10]ip add 10.2.1.1 24 [R7-Vlanif10]vlan 20 [R7-Vlanif20]ip add 10.2.2.1 24 [R7-Vlanif10]vrrp vrid 1 virtual-ip 10.2.1.113 [R7-Vlanif10]vrrp vrid 1 priority 200 [R7-Vlanif10]vrrp vrid 1 preempt-mode timer delay 60        [R7-Vlanif10]vrrp vrid 1 track interface GigabitEthernet 0/0/1 reduced 120 [R7-Vlanif10]dis th # interface Vlanif10  ip address 10.2.1.1 255.255.255.0  vrrp vrid 1 virtual-ip 10.2.1.113  vrrp vrid 1 priority 200  vrrp vrid 1 preempt-mode timer delay 60  vrrp vrid 1 track interface GigabitEthernet0/0/1 reduced 120 # return [R7-Vlanif10]int vlan 20 [R7-Vlanif20]vrrp vrid 2 virtual-ip 10.2.2.113

SW8上：

[R8-Vlanif10]ip add 10.2.1.2 24 [R8-Vlanif10]int vlan 20 [R8-Vlanif20]ip add 10.2.2.2 24 [R8-Vlanif20]vrrp vrid 2 virtual-ip 10.2.2.113 [R8-Vlanif20]vrrp vrid 2 priority  200 [R8-Vlanif20]vrrp vrid 2 preempt-mode timer delay 60    [R8-Vlanif20]vrrp vrid 2 track interface GigabitEthernet 0/0/2 reduced  120 [R8-Vlanif20]dis th # interface Vlanif20  ip address 10.2.2.2 255.255.255.0  vrrp vrid 2 virtual-ip 10.2.2.113  vrrp vrid 2 priority 200  vrrp vrid 2 preempt-mode timer delay 60  vrrp vrid 2 track interface GigabitEthernet0/0/2 reduced 120 # return [R8-Vlanif20]int vlan 10 [R8-Vlanif10]vrrp vrid 1 virtual-ip 10.2.1.113

查看现象：

下面对全网路由进行配置:

SW7上：

[R7]int vlan 47 [R7-Vlanif47]ip add 192.168.47.254 24 [R7-ospf-1]area 2 [R7-ospf-1-area-0.0.0.2]network  192.168.47.0 0.0.0.255 [R7-ospf-1-area-0.0.0.2]network  10.2.1.0 0.0.0.255 [R7-ospf-1-area-0.0.0.2]network  10.2.2.0 0.0.0.255 [R7-ospf-1]silent-interface Vlanif 10 [R7-ospf-1]silent-interface Vlanif 20

SW8上;

[R8]int vlan 48 [R8-Vlanif48]ip add 192.168.48.254 24 [R8-Vlanif48]ospf 1 [R8-ospf-1]area 2   [R8-ospf-1-area-0.0.0.2]network 192.168.48.0 0.0.0.255 [R8-ospf-1-area-0.0.0.2]network  10.2.1.0 0.0.0.255 [R8-ospf-1-area-0.0.0.2]network  10.2.2.0 0.0.0.255 [R8-ospf-1]silent-interface Vlanif 10 [R8-ospf-1]silent-interface Vlanif 20

R4上：

[R4]ospf 1 [R4-ospf-1]area 2   [R4-ospf-1-area-0.0.0.2]network 192.168.47.0 0.0.0.255 [R4-ospf-1-area-0.0.0.2]network 192.168.48.0 0.0.0.255 [R4-ospf-1-area-0.0.0.2]q [R4]ip route-static 0.0.0.0 0 24.1.1.254 [R4-ospf-1]default-route-advertise

下面做源Nat地址转换，使临潼校区能够访问公网：

R4上：

[R4]acl 2000    [R4-acl-basic-2000]rule permit source 10.2.0.0 0.0.255.255 [R4-acl-basic-2000]q [R4]int g4/0/0  [R4-GigabitEthernet4/0/0]nat outbound 2000

访问公网联通性测试：

由上，临潼校区的所有需求已经满足，下面将对汉中分校的设备进行配置。

<三>、汉中分部配置（单臂路由,NAT配置）

创建vlan加接口，与客户端相连为access，上行口为Trunk，允许所有vlan通过。

SW11上：

[SW11]v b 10 20 [SW11]int g0/0/1 [SW11-GigabitEthernet0/0/1]p l a [SW11-GigabitEthernet0/0/1]p d v 10 [SW11-GigabitEthernet0/0/1]int g0/0/2 [SW11-GigabitEthernet0/0/2]p l a [SW11-GigabitEthernet0/0/2]p d v 20 [SW11-GigabitEthernet0/0/2]int g0/0/24 [SW11-GigabitEthernet0/0/24]p l t [SW11-GigabitEthernet0/0/24]p t a v a

R3上划分子接口：

[R3]int g0/0/0.10 [R3-GigabitEthernet0/0/0.10]dot1q termination vid 10 [R3-GigabitEthernet0/0/0.10]arp broadcast enable [R3-GigabitEthernet0/0/0.10]dis th [V200R003C00] # interface GigabitEthernet0/0/0.10  dot1q termination vid 10  arp broadcast enable # return [R3-GigabitEthernet0/0/0.10]q [R3]int g0/0/0.20 [R3-GigabitEthernet0/0/0.20]dot1q termination vid 20 [R3-GigabitEthernet0/0/0.20]arp broadcast enable [R3-GigabitEthernet0/0/0.20]ip add 10.3.2.113 24 [R3-GigabitEthernet0/0/0.20]q //公网接口 [R3]int  g3/0/0 [R3-GigabitEthernet3/0/0]ip add 23.1.1.3 24

访问公网配置：

R3上：

//配置默认路由 [R3]ip route-static 0.0.0.0 0 23.1.1.254 [R3]acl 2000 [R3-acl-basic-2000]rule permit source 10.3.0.0 0.0.255.255 [R3-acl-basic-2000]int g3/0/0   [R3-GigabitEthernet3/0/0]nat outbound 2000

访问公网测试：

<四>、总校分校DSVPN内网互联配置

为实现内网之间的互通，在总校的R1，临潼校区的R4和汉中校区的R3上配置DSVPN，其中R1作为hub端，R3、R4作为spoke端。三个设备的tunnel口设置在192.168.1.0 网段，R1为.1;R4为.2；R3为.3。下面是相关配置命令：

R1上：

[R1]int Tunnel 0/0/0    [R1-Tunnel0/0/0]tunnel-protocol gre p2mp [R1-Tunnel0/0/0]ip add 192.168.1.1 24 [R1-Tunnel0/0/0]source GigabitEthernet 0/0/2 [R1-Tunnel0/0/0]nhrp entry multicast d [R1-Tunnel0/0/0]dis th [V200R003C00] # interface Tunnel0/0/0  ip address 192.168.1.1 255.255.255.0  tunnel-protocol gre p2mp  source GigabitEthernet0/0/2  nhrp entry multicast dynamic # Return //调整优先级至最大，使其成为DR [R1-Tunnel0/0/0]ospf dr-priority 255

R3上：

[R3]int Tunnel 0/0/0    [R3-Tunnel0/0/0]tunnel-protocol gre p2mp [R3-Tunnel0/0/0]ip add 192.168.1.3 24 [R3-Tunnel0/0/0]source GigabitEthernet 3/0/0 [R3-Tunnel0/0/0]nhrp entry 192.168.1.1 112.1.1.2 register [R3-Tunnel0/0/0]ospf network-type broadcast [R3-Tunnel0/0/0]ospf dr-priority 0

R4上：

[R4]int Tunnel 0/0/0    [R4-Tunnel0/0/0]tunnel-protocol gre p2mp [R4-Tunnel0/0/0]ip add 192.168.1.2 24 [R4-Tunnel0/0/0]source GigabitEthernet 4/0/0 [R4-Tunnel0/0/0]nhrp entry 192.168.1.1 112.1.1.2 register [R4-Tunnel0/0/0]ospf network-type broadcast [R4-Tunnel0/0/0]ospf dr-priority  0

查看nhrp邻居表：

查看注册过程：

下面配置将tunnel 口宣告到area 0区域：

R1上：

[R1]ospf 1 [R1-ospf-1]area 0 [R1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255

R3上：

[R3-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255

R4上：

[R4-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255

在R1上查看ospf的邻居：

致此，所有业务需求均已满足。

总  结

        本项目涉及新建校园的网络搭建，包括西安总校、临潼分校和汉中分校的互联，以及对办公楼宇区域和服务器区域的高可靠性设计，利用双核心实现了稳定性。总体而言，该项目在满足新建校园网络需求的同时，重点关注了网络的高可靠性和安全性。通过冗余链路、协议配置和访问控制等手段，确保了网络的稳定运行和对外访问的安全性。同时，通过DSVPN连接实现校区之间的内网互通，提高了校园网络的整体互联性和通信效率。这样的设计方案为校园网络提供了稳健的基础架构，为未来的拓展和增长提供了良好的支持。

---

此过程中未包含无线接入部分，拓扑图可查看绑定资源！

---