1、課程設(shè)計(jì)任務(wù)書 課程設(shè)計(jì)題目：網(wǎng)絡(luò)工程與組網(wǎng)技術(shù)題目三 課程設(shè)計(jì)任務(wù)： 1、熟悉系統(tǒng)實(shí)現(xiàn)工具和上機(jī)環(huán)境 2、本課程設(shè)計(jì)的可行性分析、開發(fā)計(jì)劃，通過調(diào)研完成系統(tǒng)的需求分析 簡要敘述技術(shù)可行性、省略經(jīng)濟(jì)可行性和法律可行性等。制定項(xiàng)目開發(fā)計(jì)劃 完成項(xiàng)目需求分析。 3、系統(tǒng)設(shè)計(jì) 包括：系統(tǒng)總體設(shè)計(jì)，拓?fù)湓O(shè)計(jì)，物理設(shè)計(jì)（設(shè)備選型），IP設(shè)計(jì)。 4、針對不同設(shè)備選擇不同命令集，完成對設(shè)備的配置 5、設(shè)備安裝及調(diào)式 6書寫系統(tǒng)上述文檔和撰寫課程設(shè)計(jì)報(bào)告 課程設(shè)計(jì)目的： 網(wǎng)絡(luò)工程綜合實(shí)驗(yàn)是網(wǎng)絡(luò)工程及計(jì)算機(jī)相關(guān)專業(yè)的重要實(shí)踐環(huán)節(jié)之一，該內(nèi) 容可以培養(yǎng)學(xué)生理論聯(lián)系實(shí)際的設(shè)計(jì)思想，訓(xùn)練綜合運(yùn)用所學(xué)的計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)

2、理論知識(shí)，結(jié)合實(shí)際網(wǎng)絡(luò)設(shè)備，解決在設(shè)計(jì)、安裝、調(diào)試網(wǎng)絡(luò)中所遇到的問題， 從而使基礎(chǔ)理論知識(shí)得到鞏固和加深。學(xué)生通過綜合實(shí)驗(yàn)學(xué)習(xí)掌握網(wǎng)絡(luò)設(shè)計(jì)中的 一般設(shè)計(jì)過程和方法，熟悉并掌握運(yùn)用二層交換機(jī)、三層交換機(jī)、路由器和防火 墻的配置技術(shù)。 另外通過實(shí)驗(yàn)，可以掌握組建計(jì)算機(jī)網(wǎng)絡(luò)工程的基本技術(shù)，特別是網(wǎng)絡(luò)規(guī)劃、 交換機(jī)路由器等網(wǎng)絡(luò)設(shè)備的基本功能與選型以及網(wǎng)絡(luò)應(yīng)用服務(wù)器的基本設(shè)備，同 時(shí)提高學(xué)生的應(yīng)用能力和動(dòng)手實(shí)踐能力。 確立校園網(wǎng)建設(shè)的目標(biāo)，不僅要考慮技 術(shù)方面，而且還要考慮環(huán)境、應(yīng)用和管理等方面，必須與學(xué)校各方面改革、建設(shè) 長遠(yuǎn)發(fā)展相結(jié)合，科學(xué)論證和決策。根據(jù)這一要求：建設(shè)一個(gè)技術(shù)先進(jìn)、擴(kuò)展性 強(qiáng)、能覆

3、蓋全校主要樓宇的校園主干網(wǎng)絡(luò)，將校園的各種PC機(jī)、工作站、終端 設(shè)備和局域網(wǎng)連接起來，并與有關(guān)廣域網(wǎng)相連，形成結(jié)構(gòu)合理、內(nèi)外溝通的校園 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)。 指導(dǎo)教師（簽名） 年 月 第 1 章 課程設(shè)計(jì)題總體要求 - 1 - 1.1 課程設(shè)計(jì)任務(wù) - 1 - 1.2 課程設(shè)計(jì)內(nèi)容 - 1 - 第 2 章 系統(tǒng)環(huán)境配置 并將數(shù)據(jù)包發(fā) 往路由器2。 （3） 路由器2重復(fù)路由器1的工作，并將數(shù)據(jù)包轉(zhuǎn)發(fā)給路由器 5。 （4）路由器5同樣取出目的地址，發(fā)現(xiàn)12.0.0.5就在該路由器所連接的網(wǎng) 段上，于是將該數(shù)據(jù)包直接交給工作站 B。 （5）工作站B收到工作站A的數(shù)據(jù)包，一次通信過程宣告結(jié)束。 事實(shí)上，路

4、由器除了上述的路由選擇這一主要功能外，還具有網(wǎng)絡(luò)流量控制 功能。有的路由器僅支持單一協(xié)議，但大部分路由器可以支持多種協(xié)議的傳輸， 即多協(xié)議路由器。由于每一種協(xié)議都有自己的規(guī)則，要在一個(gè)路由器中完成多種 協(xié)議的算法，勢必會(huì)降低路由器的性能。因此，我們以為，支持多協(xié)議的路由器 性能相對較低。用戶購買路由器時(shí)，需要根據(jù)自己的實(shí)際情況，選擇自己需要的 網(wǎng)絡(luò)協(xié)議的路由器。 近年來出現(xiàn)了交換路由器產(chǎn)品，從本質(zhì)上來說它不是什么新技術(shù)，而是為了 提高通信能力，把交換機(jī)的原理組合到路由器中，使數(shù)據(jù)傳輸能力更快、更好。 2.1.3路由器的作用 路由器的一個(gè)作用是連通不同的網(wǎng)絡(luò)，另一個(gè)作用是選擇信息傳送的線路。 選

5、擇通暢快捷的近路，能大大提高通信速度，減輕網(wǎng)絡(luò)系統(tǒng)通信負(fù)荷，節(jié)約網(wǎng)絡(luò) 系統(tǒng)資源，提高網(wǎng)絡(luò)系統(tǒng)暢通率，從而讓網(wǎng)絡(luò)系統(tǒng)發(fā)揮出更大的效益來。 1、靜態(tài)路徑表 由系統(tǒng)管理員事先設(shè)置好固定的路徑表稱之為靜態(tài)(static)路徑表，一般 是在系統(tǒng)安裝時(shí)就根據(jù)網(wǎng)絡(luò)的配置情況預(yù)先設(shè)定的， 它不會(huì)隨未來網(wǎng)絡(luò)結(jié)構(gòu)的改 變而改變。 2、動(dòng)態(tài)路徑表 動(dòng)態(tài)(Dynamic)路徑表是路由器根據(jù)網(wǎng)絡(luò)系統(tǒng)的運(yùn)行情況而自動(dòng)調(diào)整的路 徑表。路由器根據(jù)路由選擇協(xié)議(Routing Protocol)提供的功能，自動(dòng)學(xué)習(xí)和記 憶網(wǎng)絡(luò)運(yùn)行情況，在需要時(shí)自動(dòng)計(jì)算數(shù)據(jù)傳輸?shù)淖罴崖窂健?2.2 二層交換機(jī)Switch 2.2.1二層交換機(jī)的

6、使用 二層交換技術(shù)發(fā)展比較成熟，二層交換機(jī)屬數(shù)據(jù)鏈路層設(shè)備，可以識(shí)別數(shù)據(jù) 包中的MAC地址信息，根據(jù) MAC地址進(jìn)行轉(zhuǎn)發(fā)，并將這些 MAC地址與對應(yīng) 的端口記錄在自己內(nèi)部的一個(gè)地址表中。 2.2.2二層交換機(jī)的原理 從二層交換機(jī)的工作原理可以推知以下三點(diǎn)： (1) 由于交換機(jī)對多數(shù)端口的數(shù)據(jù)進(jìn)行同時(shí)交換，這就要求具有很寬的交 換總線帶寬，如果二層交換機(jī)有 N個(gè)端口，每個(gè)端口的帶寬是 M,交換機(jī)總線帶 寬超過Nx m那么這交換機(jī)就可以實(shí)現(xiàn)線速交換。 (2) 學(xué)習(xí)端口連接的機(jī)器的 MAC地址，寫入地址表，地址表的大小(一般 兩種表示方式：一為BUFFER RAM為MAC表項(xiàng)數(shù)值)，地址表大小影響交

7、換 機(jī)的接入容量。 (3) 還有一個(gè)就是二層交換機(jī)一般都含有專門用于處理數(shù)據(jù)包轉(zhuǎn)發(fā)的ASIC (Application specific In tegrated Circuit)芯片，因此轉(zhuǎn)發(fā)速度可以做到 非常快。由于各個(gè)廠家采用 ASIC不同，直接影響產(chǎn)品性能。 以上三點(diǎn)也是評(píng)判二三層交換機(jī)性能優(yōu)劣的主要技術(shù)參數(shù)，這一點(diǎn)請大家在 考慮設(shè)備選型時(shí)注意比較。 2.2.3 路由工作方法 路由器工作在osi模型的第三層一一網(wǎng)絡(luò)層操作，其工作模式與二層交換相 似，但路由器工作在第三層，這個(gè)區(qū)別決定了路由和交換在傳遞包時(shí)使用不同的 控制信息，實(shí)現(xiàn) 功能的方式就不同。工作原理是在路由器的內(nèi)部也有一個(gè)表，

8、這個(gè)表所標(biāo)示的是如果要去某一個(gè)地方，下一步應(yīng)該向哪里走，如果能從路由表 中找到數(shù)據(jù)包下一步往哪里走，把鏈路層信息加上轉(zhuǎn)發(fā)出去；如果不能知道下一 步走向哪里，則將此包丟棄，然后返回一個(gè)信息交給源地址。 路由技術(shù)實(shí)質(zhì)上來說不過兩種功能： 決定最優(yōu)路由和轉(zhuǎn)發(fā)數(shù)據(jù)包。路由表中 寫入各種信息，由路由算法計(jì)算出到達(dá)目的地址的最佳路徑， 然后由相對簡單直 接的轉(zhuǎn)發(fā)機(jī)制發(fā)送數(shù)據(jù)包。接受數(shù)據(jù)的下一臺(tái)路由器依照相同的工作方式繼續(xù)轉(zhuǎn) 發(fā)，依次類推，直到數(shù)據(jù)包到達(dá)目的路由器。 2.3 三層交換機(jī)Switch 2.3.1三層交換機(jī)的使用 三層交換機(jī)就是具有部分路由器功能的交換機(jī)，三層交換機(jī)的最重要目的是 加快大型局域網(wǎng)

9、內(nèi)部的數(shù)據(jù)交換，所具有的路由功能也是為這目的服務(wù)的， 能夠 做到一次路由，多次轉(zhuǎn)發(fā)。對于數(shù)據(jù)包轉(zhuǎn)發(fā)等規(guī)律性的過程由硬件高速實(shí)現(xiàn)，而 像路由信息更新、路由表維護(hù)、路由計(jì)算、路由確定等功能，由軟件實(shí)現(xiàn)。三層 交換技術(shù)就是二層交換技術(shù)+三層轉(zhuǎn)發(fā)技術(shù)。傳統(tǒng)交換技術(shù)是在osi網(wǎng)絡(luò)標(biāo)準(zhǔn) 模型第二層一一數(shù)據(jù)鏈路層進(jìn)行操作的，而三層交換技術(shù)是在網(wǎng)絡(luò)模型中的第三 層實(shí)現(xiàn)了數(shù)據(jù)包的高速轉(zhuǎn)發(fā)，既可實(shí)現(xiàn)網(wǎng)絡(luò)路由功能，又可根據(jù)不同網(wǎng)絡(luò)狀況做 到最優(yōu)網(wǎng)絡(luò)性能。 2.3.2 三層交換機(jī)的工作原理 使用IP的設(shè)備A三層交換機(jī)一一使用IP的設(shè)備B 比如A要給B發(fā)送數(shù)據(jù)，已知目的IP，那么A就用子網(wǎng)掩碼取得網(wǎng)絡(luò)地址， 判斷目的I

10、P是否與自己在同一網(wǎng)段。 如果在同一網(wǎng)段，但不知道轉(zhuǎn)發(fā)數(shù)據(jù)所需的 MAC地址，A就發(fā)送一個(gè)ARP 請求，B返回其MAC地址，A用此MAC封裝數(shù)據(jù)包并發(fā)送給交換機(jī)，交換機(jī) 起用二層交換模塊，查找 MAC地址表，將數(shù)據(jù)包轉(zhuǎn)發(fā)到相應(yīng)的端口。 如果目的IP地址顯示不是同一網(wǎng)段的，那么 A要實(shí)現(xiàn)和B的通訊，在流緩 存條目中沒有對應(yīng)MAC地址條目，就將第一個(gè)正常數(shù)據(jù)包發(fā)送向一個(gè)缺省網(wǎng)關(guān)， 這個(gè)缺省網(wǎng)關(guān)一般在操作系統(tǒng)中 已經(jīng)設(shè)好，對應(yīng)第三層路由模塊，所以可見對 于不是同一子網(wǎng)的數(shù)據(jù)，最先在 MAC表中放的是缺省網(wǎng)關(guān)的 MAC地址；然后 就由三層模塊接收到此數(shù)據(jù)包，查詢路 由表以確定到達(dá)B的路由，將構(gòu)造一個(gè)

11、新的幀頭，其中以缺省網(wǎng)關(guān)的 MAC地址為源MAC地址，以主機(jī)B的MAC地 址為目的MAC地址。通過一定的識(shí)別觸發(fā)機(jī) 制，確立主機(jī)A與B的MAC地 址及轉(zhuǎn)發(fā)端口的對應(yīng)關(guān)系，并記錄進(jìn)流緩存條目表，以后的A到B的數(shù)據(jù)，就 直接交由二層交換模塊完成。這就通常所說的一次路由多次轉(zhuǎn)發(fā)。 2.3.3三層交換機(jī)的優(yōu)勢 除了優(yōu)秀的性能之外，三層交換機(jī)還具有一些傳統(tǒng)的二層交換機(jī)沒有的特 性，這些特性可以給校園網(wǎng)和城域教育網(wǎng)的建設(shè)帶來許多好處，列舉如下： 1、高可擴(kuò)充性 三層交換機(jī)在連接多個(gè)子網(wǎng)時(shí)，子網(wǎng)只是與第三層交換模塊建立邏輯連接， 不像傳統(tǒng)外接路由器那樣需要增加端口， 從而保護(hù)了用戶對校園網(wǎng)、城域教育網(wǎng) 的投

12、資。并滿足學(xué)校35年網(wǎng)絡(luò)應(yīng)用快速增長的需要。 2、高性價(jià)比 三層交換機(jī)具有連接大型網(wǎng)絡(luò)的能力，功能基本上可以取代某些傳統(tǒng)路由 器，但是價(jià)格卻接近二層交換機(jī)。現(xiàn)在一臺(tái)百兆三層交換機(jī)的價(jià)格只有幾萬元， 與高端的二層交換機(jī)的價(jià)格差不多。 3、內(nèi)置安全機(jī)制 三層交換機(jī)可以與普通路由器一樣，具有訪問列表的功能，可以實(shí)現(xiàn)不同 VLAN間的單向或雙向通訊。如果在訪問列表中進(jìn)行設(shè)置，可以限制用戶訪問特 定的IP地址，這樣學(xué)校就可以禁止學(xué)生訪問不健康的站點(diǎn)。 訪問列表不僅可以用于禁止內(nèi)部用戶訪問某些站點(diǎn)，也可以用于防止校園 網(wǎng)、城域教育網(wǎng)外部的非法用戶訪問校園網(wǎng)、 城域教育網(wǎng)內(nèi)部的網(wǎng)絡(luò)資源，從而 提高網(wǎng)絡(luò)的安全

13、。 4、適合多媒體傳輸 教育網(wǎng)經(jīng)常需要傳輸多媒體信息，這是教育網(wǎng)的一個(gè)特色。三層交換機(jī)具有 QoS （服務(wù)質(zhì)量）的控制功能，可以給不同的應(yīng)用程序分配不同的帶寬。 例如，在校園網(wǎng)、城域教育網(wǎng)中傳輸視頻流時(shí)，就可以專門為視頻傳輸預(yù)留 一定量的專用帶寬，相當(dāng) 于在網(wǎng)絡(luò)中開辟了專用通道，其他的應(yīng)用程序不能占 用這些預(yù)留的帶寬，因此能夠保證視頻流傳輸?shù)姆€(wěn)定性。 而普通的二層交換機(jī)就 沒有這種特性，因此在傳輸視頻 數(shù)據(jù)時(shí)，就會(huì)出現(xiàn)視頻忽快忽慢的抖動(dòng)現(xiàn)象。 另外，視頻點(diǎn)播（VOD ）也是教育網(wǎng)中經(jīng)常使用的業(yè)務(wù)。但是由于有些視 頻點(diǎn)播系統(tǒng)使用廣播來傳輸，而廣播包是不能實(shí)現(xiàn)跨網(wǎng)段的，這樣VOD就不能 實(shí)現(xiàn)跨網(wǎng)段

14、進(jìn)行；如果采用單播形式實(shí)現(xiàn) VOD，雖然可以實(shí)現(xiàn)跨網(wǎng)段，但是支 持的同時(shí)連接數(shù)就非常少，一般幾十個(gè)連接就占用了全部帶寬。 而三層交換機(jī)具 有組播功能，VOD的數(shù)據(jù)包以組播的形式發(fā)向各個(gè)子網(wǎng)， 既實(shí)現(xiàn)了跨網(wǎng)段傳輸， 又保證了 VOD的性能。 5、計(jì)費(fèi)功能 在高校校園網(wǎng)及有些地區(qū)的城域教育網(wǎng)中， 很可能有計(jì)費(fèi)的需求，因?yàn)槿龑?交換機(jī)可以識(shí)別數(shù)據(jù)包中的IP地址信息，因此可以統(tǒng)計(jì)網(wǎng)絡(luò)中計(jì)算機(jī)的數(shù)據(jù)流 量，可以按流量計(jì)費(fèi)，也可以統(tǒng)計(jì)計(jì)算機(jī)連接在網(wǎng)絡(luò)上的時(shí)間， 按時(shí)間進(jìn)行計(jì)費(fèi)。 而普通的二層交換機(jī)就難以同時(shí)做到這兩點(diǎn)。 2.4環(huán)境配置 處理器系列 英特爾 酷睿2雙核T5系列 處理器型號(hào)Intel 酷睿2雙

15、核T5670 標(biāo)稱主頻1.8GHz 前端總線800MHz 二級(jí)緩存2MB 內(nèi)核架構(gòu)Merom 主板芯片組In tel PM45 標(biāo)配內(nèi)存容量1GB 內(nèi)存類型DDRII 最大支持內(nèi)存4GB 硬盤/光驅(qū) 硬盤容量160GB 硬盤描述5400轉(zhuǎn) 光驅(qū)類型康寶 設(shè)計(jì)類型 光驅(qū)內(nèi)置 顯卡/音效 顯卡類型中低端獨(dú)立顯卡 顯卡芯片 NVIDIA GeForce 9300M GS 流處理器個(gè)數(shù)16 顯存 256MB/64bit 顯存類型DDRII 音頻系統(tǒng) In tel High Defin iti on Audio, 立體聲音效 揚(yáng)聲器立體聲揚(yáng)聲器 顯示屏 屏幕尺寸14.1英寸 屏幕比例是 屏幕分辨率128

16、0X 800 背光技術(shù)CCFL背光 尺寸/重量 筆記本重量2.5Kg 外形尺寸 336X 247X 34 -39mm 外殼描述鋼琴漆外殼 網(wǎng)絡(luò)通信 無線網(wǎng)卡 支持802.11b/g(54Mbps)無線協(xié)議 網(wǎng)卡描述1000Mbps以太網(wǎng)卡 支持藍(lán)牙無 調(diào)制解調(diào)器56K 鼠標(biāo)/鍵盤 指取設(shè)備ThinkPad UltraNav(指點(diǎn)桿和觸摸板) 接口 USB接口 4X USB2.0 擴(kuò)展接口 ExpressCard 讀卡器SD卡插槽 視頻輸出1個(gè)VGA 1個(gè)HDMI 其他接口 IEEE1394、1X RJ-11、1X RJ-45、1組音頻輸入輸出接口 電源描述 電池類型6芯鋰電池 續(xù)航時(shí)間2-3小

17、時(shí)，具體時(shí)間視使用環(huán)境而定 電源適配器100V/240V自適應(yīng)交流電源供應(yīng)器 第3章可行性分析和系統(tǒng)需求分析 3.1 劃分VLAN的分析 虛擬局域網(wǎng) VLAN(Virtual Local Area Network)的中文名為“虛擬局域 網(wǎng)”。VLAN是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個(gè)個(gè)網(wǎng)段，從而實(shí)現(xiàn)虛擬工 作組的新興數(shù)據(jù)交換技術(shù)。這一新興技術(shù)主要應(yīng)用于交換機(jī)和路由器中，但主流 應(yīng)用還是在交換機(jī)之中。但又不是所有交換機(jī)都具有此功能，只有VLAN協(xié)議的 第三層以上交換機(jī)才具有此功能，這一點(diǎn)可以查看相應(yīng)交換機(jī)的說明書即可得 知。 3.1.1 劃分VLAN的基本策略 從技術(shù)角度講，VLAN的劃分可依

18、據(jù)不同原則，一般有以下三種劃分方法： 1、基于端口的 VLAN劃分 這種劃分是把一個(gè)或多個(gè)交換機(jī)上的幾個(gè)端口劃分一個(gè)邏輯組，這是最簡 單、最有效的劃分方法。該方法只需網(wǎng)絡(luò)管理員對網(wǎng)絡(luò)設(shè)備的交換端口進(jìn)行重新 分配即可，不用考慮該端口所連接的設(shè)備。 2、基于MAC地址的VLAN劃分 MAC地址其實(shí)就是指網(wǎng)卡的標(biāo)識(shí)符， 每一塊網(wǎng)卡的MAC地址都是唯一且固化 在網(wǎng)卡上的。MAC地址由12位16進(jìn)制數(shù)表示，前6位為網(wǎng)卡的廠商標(biāo)識(shí)(OUI), 后6位為網(wǎng)卡標(biāo)識(shí)(NIC)。網(wǎng)絡(luò)管理員可按MACM址把一些站點(diǎn)劃分為一個(gè)邏 輯子網(wǎng)。 3、基于路由的 VLAN劃分 路由協(xié)議工作在網(wǎng)絡(luò)層，相應(yīng)的工作設(shè)備有路由器和路

19、由交換機(jī) (即三層交 換機(jī))。該方式允許一個(gè) VLAN跨越多個(gè)交換機(jī)，或一個(gè)端口位于多個(gè) VLAN中。 就目前來說，對于 VLAN的劃分主要采取上述第1、3種方式，第2種 方式為輔助性的方案。 3.1.2 VLAN的戈【J分 (1) 根據(jù)端口來劃分VLAN (2) 根據(jù)MAC地址劃分VLAN (3) 根據(jù)網(wǎng)絡(luò)層劃分VLAN (4) 根據(jù)IP組播劃分VLAN (5) 基于規(guī)則的VLAN 按用戶定義、非用戶授權(quán)劃分VLAN 3.1.3 VLAN的優(yōu)點(diǎn) (1) 廣播風(fēng)暴防范; 安全； 成本降低； 性能提高； 提高IT員工效率； (6) 簡化項(xiàng)目管理或應(yīng)用管理; (7) 增加了網(wǎng)絡(luò)連接的靈活性。 3.

20、2 ACL的相關(guān)分析 訪問控制列表簡稱為ACL訪問控制列表使用包過濾技術(shù)，在路由器上讀取 第三層及第四層包頭中的信息如源地址，目的地址，源端口，目的端口等，根 據(jù)預(yù)先定義好的規(guī)則對包進(jìn)行過濾， 從而達(dá)到訪問控制的目的。該技術(shù)初期僅在 路由器上支持，近些年來已經(jīng)擴(kuò)展到三層交換機(jī)，部分最新的二層交換機(jī)也開始 提供ACL的支持了。 訪問控制列表使用原則： 由于ACL涉及的配置命令很靈活，功能也很強(qiáng)大，所以我們不能只通過一個(gè) 小小的例子就完全掌握全部ACL的配置。在介紹例子前為大家將ACL設(shè)置原則羅 列出來，方便各位讀者更好的消化 ACL知識(shí)。 1、最小特權(quán)原則 只給受控對象完成任務(wù)所必須的最小的權(quán)限

21、。也就是說被控制的總規(guī)則是各 個(gè)規(guī)則的交集，只滿足部分條件的是不容許通過規(guī)則的。 2、最靠近受控對象原則 所有的網(wǎng)絡(luò)層訪問權(quán)限控制。也就是說在檢查規(guī)則時(shí)是采用自上而下在 ACL 中一條條檢測的，只要發(fā)現(xiàn)符合條件了就立刻轉(zhuǎn)發(fā)，而不繼續(xù)檢測下面的ACL 語句。 3、默認(rèn)丟棄原則 在CISCO路由交換設(shè)備中默認(rèn)最后一句為 ACL中加入了 DENY ANY ANY也 就是丟棄所有不符合條件的數(shù)據(jù)包。 這一點(diǎn)要特別注意，雖然我們可以修改這個(gè) 默認(rèn)，但未改前一定要引起重視。 由于ACL是使用包過濾技術(shù)來實(shí)現(xiàn)的，過濾的依據(jù)又僅僅只是第三層和第四 層包頭中的部分信息，這種技術(shù)具有一些固有的局限性，如無法識(shí)別到

22、具體的人， 無法識(shí)別到應(yīng)用內(nèi)部的權(quán)限級(jí)別等。 因此，要達(dá)到端到端的權(quán)限控制目的， 需要 和系統(tǒng)級(jí)及應(yīng)用級(jí)的訪問權(quán)限控制結(jié)合使用。 標(biāo)準(zhǔn)訪問列表： 訪問控制列表ACL分很多種，不同場合應(yīng)用不同種類的 ACL其中最簡單的 就是標(biāo)準(zhǔn)訪問控制列表，標(biāo)準(zhǔn)訪問控制列表是通過使用IP包中的源IP地址進(jìn)行 過濾，使用的訪問控制列表號(hào)1到99來創(chuàng)建相應(yīng)的ACL 3.3 RouterA 配置 NET 分析 1. 什么是NAT ? NAT即Network Address Translation,它可以讓那些使用私有地址的內(nèi)部 網(wǎng)絡(luò)連接到In ternet或其它IP網(wǎng)絡(luò)上。NAT路由器在將內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包發(fā)送 到公用

23、網(wǎng)絡(luò)時(shí)，在IP包的報(bào)頭把私有地址轉(zhuǎn)換成合法的IP地址。 2 .在NAT實(shí)驗(yàn)中需要理解的術(shù)語： 1) 內(nèi)部局部地址(In side Local)：在內(nèi)部網(wǎng)絡(luò)中分配給主機(jī)的私有IP地 址。 2) 內(nèi)部全局地址(In side Global): 一個(gè)合法的IP地址，它對外代表一 個(gè)或多個(gè)內(nèi)部局部IP地址。 3) 外部全局地址(Outside Global):由其所有者給外部網(wǎng)絡(luò)上的主機(jī)分 配的IP地址。 4) 外部局部地址(Outside Local):外部主機(jī)在內(nèi)部網(wǎng)絡(luò)中表現(xiàn)出來的 IP地址。 3. NAT的優(yōu)點(diǎn)和缺點(diǎn)： NAT的優(yōu)點(diǎn)： (1) 對于那些家庭用戶或者小型的商業(yè)機(jī)構(gòu)來說，使用NAT可

24、以更便宜， 更有效率地接入Interneto (2) 使用NAT可以緩解目前全球IP地址不足的問題。 (3) 在很多情況下，NAT能夠滿足安全性的需要。 (4) 使用NAT可以方便網(wǎng)絡(luò)的管理，并大大提高了網(wǎng)絡(luò)的適應(yīng)性。 NAT的缺點(diǎn)： (1) NAT會(huì)增加延遲,因?yàn)橐D(zhuǎn)換每個(gè)數(shù)據(jù)包包頭的IP地址,自然要增加延 遲.(2) NAT會(huì)使某些要使用內(nèi)嵌地址的應(yīng)用不能正常工作. 4. NAT的工作原理： 當(dāng)內(nèi)部網(wǎng)絡(luò)中的一臺(tái)主機(jī)想傳輸數(shù)據(jù)到外部網(wǎng)絡(luò)時(shí)，它先將數(shù)據(jù)包傳輸?shù)?NAT路由器上，路由器檢查數(shù)據(jù)包的報(bào)頭，獲取該數(shù)據(jù)包的源IP信息，并從它 的NAT映射表中找出與該IP匹配的轉(zhuǎn)換條目，用所選用的內(nèi)部全

25、局地址(全球 唯一的IP地址)來替換內(nèi)部局部地址，并轉(zhuǎn)發(fā)數(shù)據(jù)包。 當(dāng)外部網(wǎng)絡(luò)對內(nèi)部主機(jī)進(jìn)行應(yīng)答時(shí)，數(shù)據(jù)包被送到 NAT路由器上，路由器接收 到目的地址為內(nèi)部全局地址的數(shù)據(jù)包后，它將用內(nèi)部全局地址通過 NAT映射表 查找出內(nèi)部局部地址，然后將數(shù)據(jù)包的目的地址替換成內(nèi)部局部地址， 并將數(shù)據(jù) 包轉(zhuǎn)發(fā)到內(nèi)部主機(jī)。 5. NAT配置中的常用命令： ip nat inside|outside:接口配置命令。以在至少一個(gè)內(nèi)部和一個(gè)外部接口上啟用 NAT 0 ip nat in side source static local-ip global-ip :全局配置命令。在對內(nèi)部局部地址使 用靜態(tài)地址轉(zhuǎn)換時(shí)，用

26、該命令進(jìn)行地址定義。 access-list access-list-number permit|deny local-ip-address 使用該命令為內(nèi)部網(wǎng) 絡(luò)定義一個(gè)標(biāo)準(zhǔn)的IP訪問控制列表。 ip nat pool pool-name start-ip end-ip netmask netmask type rotary 使用該命令為 內(nèi)部網(wǎng)絡(luò)定義一個(gè)NAT地址池。 ip n at in side source list access-list -nu mber pool pool-name overload使用該命令定 義訪問控制列表與NAT內(nèi)部全局地址池之間的映射。 ip nat o

27、utside source list access-list-number pool pool-name overload：使用該命令 定義訪問控制列表與NAT外部局部地址池之間的映射。 ip nat in side dest in ati on list access-list -nu mber pool pool-name 使用該命令定義訪 問控制列表與終端NAT地址池之間的映射。 show ip nat translations顯示當(dāng)前存在的 NAT轉(zhuǎn)換信息。 show ip nat statistics 查看 NAT 的統(tǒng)計(jì)信息。 show ip nat translations ve

28、rbose顯示當(dāng)前存在的 NAT轉(zhuǎn)換的詳細(xì)信息。 debug ip na：跟蹤NAT操作，顯示出每個(gè)被轉(zhuǎn)換的數(shù)據(jù)包。 Clear ip nat translations *刪除NAT映射表中的所有內(nèi)容. 第4章系統(tǒng)總體規(guī)劃和拓?fù)湓O(shè)計(jì) 網(wǎng)絡(luò)拓?fù)鋱D如下： 為了保證網(wǎng)絡(luò)的穩(wěn)定性，接入層和匯聚層通過兩條鏈路相連， 匯聚層交換機(jī) 通過VLAN1中的接口 F0/1與Router A相連，Router A通過廣域網(wǎng)口和 Router B相連，Router B則通過以太網(wǎng)口連接到ISP，通過ISP連接到In ternet。通 過路由協(xié)議，實(shí)現(xiàn)全網(wǎng)的互通。 IP地址劃分： L3-Switch :VLAN 1:

29、188.55.1.1/24 VLAN 11:188.55.10.1/24 VLAN 12:188.55.20.1/24 VLAN 13:188.55.30.1/24 Route A : F0/0.11 : 188.55.32.1/24 F0/0.12 : 188.55.33.1/24 F0/0.13 : 188.55.34.1/24 Route B : S2/0: 200.211.21.2/24 F0/0 : 172.16.1.1/24 第5章 系統(tǒng)物理設(shè)計(jì)和IP設(shè)計(jì) 5.1 VLAN的劃分 在 L2-Switch 上劃分 VLAN 12, VLAN 13,在 L3-Switch 上劃分 VL

30、AN 11。 【設(shè)備】 三層交換機(jī)1臺(tái) 二層交換機(jī)1臺(tái) 【原理】 VLAN( Virtual Local Area Network，虛擬局域網(wǎng))是指在一個(gè)物理網(wǎng)段內(nèi)， 進(jìn)行邏輯的劃分，劃分成若干個(gè)虛擬局域網(wǎng)。 VLAN最大的特性是不受物理位置 的限制，可以進(jìn)行靈活的劃分。VLAN具備了一個(gè)物理網(wǎng)段所具備的特性。相同 VLAN內(nèi)的主機(jī)可以互相直接訪問，不同 VLAN間的主機(jī)之間互相訪問必須經(jīng)由 路由設(shè)備進(jìn)行轉(zhuǎn)發(fā)。廣播數(shù)據(jù)包只可以在本 VLAN內(nèi)進(jìn)行傳播，不能傳輸?shù)狡渌?VLAN 中。 Port Vian是實(shí)現(xiàn)VLAN的方式之一，Port Vian是利用交換機(jī)的端口進(jìn)行 VLAN的劃分，一個(gè)端口只

31、能屬于一個(gè) VLAN。 Tag Via n是基于交換機(jī)端口的另外一種類型，主要用于實(shí)現(xiàn)跨交換機(jī)的相同 VLAN內(nèi)主機(jī)之間可以直接訪問，同時(shí)對于不同VLAN的主機(jī)進(jìn)行隔離。Tag Vian 遵循了 IEEE802.1q協(xié)議的標(biāo)準(zhǔn)。在利用配置了 Tag vian的接口進(jìn)行數(shù)據(jù)傳輸時(shí)， 需要在數(shù)據(jù)幀內(nèi)添加4個(gè)字節(jié)的802.1q標(biāo)簽信息，用于標(biāo)識(shí)該數(shù)據(jù)幀屬于哪個(gè) VLAN，以便于對端交換機(jī)接收到數(shù)據(jù)幀后進(jìn)行準(zhǔn)確的過濾。 【步驟】 第一步：配置二層交換機(jī)的主機(jī)名稱 Switche nable Switch#configure terminai En ter con figurati on comma n

32、ds, one per line. End with CNTL/Z. Switch(co nfig)#host name L2-Switch L2-Switch(c on fig)#exit L2-Switch# 第二步：配置三層交換機(jī)的主機(jī)名稱 Switche nable Switch#configure terminai En ter con figurati on comma nds, one per line. End with CNTL/Z. Switch(co nfig)#host name L3-Switch L3-Switch(c on fig)#exit L3-Switch#

33、 第三步：在二層交換機(jī)上劃分 VLAN添加端口 L2-Switch(co nfig)#via n 12 L2-Switch(config-vlan)#name saleDep L2-Switch(co nfig-vla n) #vla n 13 L2-Switch(config-vlan)#name techDep L2-Switch(con fig-vla n)#exit L2-Switch(c on fig)#i nterface ran ge fastEthernet 0/6-12 L2-Switch(c on fig-if-ra nge)#switchport mode access

34、L2-Switch(config-if-range)#switchport access vlan 12 L2-Switch(con fig-if-ra nge)#exit L2-Switch(c on fig)#i nterface ran ge fastEthernet 0/13-19 L2-Switch(c on fig-if-ra nge)#switchport mode access L2-Switch(config-if-range)#switchport access vlan 13 L2-Switch(c on fig-if-ra nge)#exit L2-Switch(co

35、nfig)# L3-Switch(co nfig)#vla n 11 L3-Switch(config-vlan)#name adm in Dep L3-Switch(co nfig-vla n)#exit L3-Switch(c on fig)#i nterface ran ge fastEthernet 0/6-12 L3-Switch(c on fig-if-ra nge)#switchport mode access L3-Switch(config-if-range)#switchport access vlan 11 L3-Switch(c on fig-if-ra nge)#ex

36、it L3-Switch(co nfig)# 5.2 運(yùn)用OSPF配置全網(wǎng)路由 【原理】 OSPF (Open Shortest Path First，開放式最短路徑優(yōu)先)協(xié)議，是目前網(wǎng)絡(luò) 中應(yīng)用最廣泛的路由協(xié)議之一。屬于內(nèi)部網(wǎng)關(guān)路由協(xié)議，能夠適應(yīng)各種規(guī)模的網(wǎng) 絡(luò)環(huán)境，是典型的鏈路狀態(tài)(lin k-state)協(xié)議。 OSPF路由協(xié)議通過向全網(wǎng)擴(kuò)散本設(shè)備的鏈路狀態(tài)信息，使網(wǎng)絡(luò)中每臺(tái)設(shè)備 最終同步一個(gè)具有全網(wǎng)鏈路狀態(tài)的數(shù)據(jù)庫(LSDB)，然后路由器采用SPF算法, 計(jì)算到達(dá)其他網(wǎng)絡(luò)的最短路徑，最終形成全網(wǎng)路由信息。 在大模型的網(wǎng)絡(luò)環(huán)境中，OSPF支持區(qū)域的劃分，將網(wǎng)絡(luò)進(jìn)行合理規(guī)劃，劃 分區(qū)域時(shí)必

37、須存在areaO(骨干區(qū)域)。其他區(qū)域和骨干區(qū)域直接相連，或通過虛 鏈路的方式連接。 【步驟】 第一步：配置路由器的名稱 路由器A: Routere nable Router#c on figure termi nal En ter con figurati on comma nds, one per line. End with CNTL/Z. Router(c on fig)#host name RouterA RouterA(co nfig)# 路由器B： Routere nable Router#。on figure termi nal En ter con figurati on c

38、omma nds, one per line. End with CNTL/Z. Router(c on fig)#host name RouterB RouterB(co nfig)# 第二步：在三層交換機(jī)上配置IP地址 L3-Switche nable L3-Switch#co nfigure termi nal En ter con figurati on comma nds, one per line. End with CNTL/Z. L3-Switch(co nfig)#vla n 1 L3-Switch(co nfig-vla n)#exit L3-Switch(co nfig)

39、#vla n 11 L3-Switch(co nfig-vla n)#exit L3-Switch(co nfig)#vla n 12 L3-Switch(co nfig-vla n)#exit L3-Switch(co nfig)#vla n 13 L3-Switch(co nfig-vla n)#exit L3-Switch(co nfig)#i nterface fO/24 L3-Switch(c on fig-if)#switchport access vla n 1 L3-Switch(co nfig-if)#exit L3-Switch(co nfig)#i nterface fO

40、/3 L3-Switch(c on fig-if)#switchport access vla n 12 L3-Switch(co nfig-if)#exit L3-Switch(co nfig)#i nterface fO/9 L3-Switch(c on fig-if)#switchport access vla n 13 L3-Switch(co nfig-if)#exit L3-Switch(co nfig)#i nterface fO/15 L3-Switch(c on fig-if)#switchport access vla n 11 L3-Switch(co nfig-if)#

41、exit L3-Switch(co nfig)# L3-Switch(c on fig)# in terface vla n 1 L3-Switch(co nfig-if)#ip address 188.55.1.1 255.255.255.0 L3-Switch(config-if)#no shutdown L3-Switch(co nfig-if)#exit L3-Switch(co nfig)#i nterface vlan 11 upL3-Switch(co nfig-if)# L3-Switch(co nfig-if)#ip address 188.55.10.1255.255.25

42、5.0 L3-Switch(config-if)#no shutdown L3-Switch(co nfig-if)#exit L3-Switch(co nfig)#i nterface vlan 12 L3-Switch(co nfig-if)#ip address 188.55.20.1255.255.255.0 L3-Switch(config-if)#no shutdown L3-Switch(co nfig-if)#exit L3-Switch(co nfig)#i nterface vlan 13 L3-Switch(co nfig-if)#ip address 188.55.30

43、.1 255.255.255.0 L3-Switch(config-if)#no shutdown L3-Switch(co nfig-if)#exit L3-Switch(co nfig)# 第三步：在路由器B上配置IP地址 RouterBe nable RouterB#co nfigure termi nal En ter con figurati on comma nds, one per line. End with CNTL/Z. RouterB (con fig)# in terface fastEthernet 0/0 RouterB (con fig-if)#ip addres

44、s 172.16.1.1 255.255.255.0 RouterB (con fig-if)# no shutdow n state to up RouterB (con fig-if)#exit RouterB (con fig)# in terface serial 2/0 RouterB (config-if)#ip address200.211.21.12 255.255.255.0 RouterB (con fig-if)# no shutdow n RouterB (con fig-if)#exit RouterB (con fig)# 第四步：在路由A上配置IP地址 Route

45、rAe nable RouterA#c on figure termi nal En ter cn figurati on comma nds, one per line. End with CNTL/Z. RouterA (con fig)#i nterface serial 0/0.11 RouterA (con fig-if)#ip address 188.55.32.1 255.255.255.0 RouterA (con fig-if)# no shutdow n RouterA (con fig-if)#exit RouterA (con fig)#i nterface fastE

46、thernet 0/0.12 RouterA (con fig-if)#ip address 188.55.33.1 255.255.255.0 RouterA (con fig-if)# no shutdow n RouterA (con fig-if)#exit RouterA (con fig)#i nterface fastEthernet 0/0.13 RouterA (con fig-if)#ip address 188.55.34.1 255.255.255.0 RouterA (con fig-if)# no shutdow n RouterA (con fig-if)#exi

47、t RouterA (config)# 第五步：配置OSPF路由協(xié)議 L3-Switch(con fig)#router ospf 100 L3-Switch(co nfig-router)# network 188.55.1.0 0.0.0.255 area 0 L3-Switch(co nfig-router)# network 188.55.10.0 0.0.0.255 area 0 L3-Switch(co nfig-router)# network 188.55.20.0 0.0.0.255 area 0 L3-Switch(co nfig-router)# network 188.

48、55.30.0 0.0.0.255 area 0 L3-Switch(c on fig-router)#e nd L3-Switch# RouterB(c on fig-router)#router ospf 100 RouterB(c on fig-router)# network 200.211.21.2 0.0.0.255 area 0 RouterB(co nfig-router)# network 172.16.1.1 0.0.0.255 area 0 RouterB(c on fig-router)#e nd RouterB# RouterA(co nfig)#router osp

49、f 100 RouterA(co nfig-router)# network 188.55.32.0 0.0.0.255 area 0 RouterA(co nfig-router)# network 188.55.33.0 0.0.0.255 area 0 RouterA(co nfig-router)# network 188.55.34.0 0.0.0.255 area 0 RouterA(c on fig-router)#e nd RouterA# 第六步：配置路由器A的時(shí)鐘 RouterA#c on figure termi nal En ter con figurati on co

50、mma nds, one per line. End with CNTL/Z. RouterA(c on fig)# in terface serial 2/0 !進(jìn)入端口 S2/0的接口配置模式 RouterA(co nfig-if)#clock rate 64000 !設(shè)置串口的時(shí)鐘 RouterA(co nfig-if)# RouterA(c on fig-if)#exit RouterA(co nfig)# 第七步：驗(yàn)證測試 L3-Switch#show vla n VLAN NameStatus Ports I defaultactive Fa0/1, Fa0/2, Fa0/3, F

51、a0/4 Fa0/5, Fa0/11, Fa0/12, Fa0/13 Fa0/14, Fa0/15, Fa0/16, Fa0/17 Fa0/18, Fa0/19, Fa0/20, Fa0/21 Fa0/22, Fa0/24, Gig0/1, Gig0/2 II serveractive Fa0/6, Fa0/7, Fa0/8, Fa0/9 FaO/1O 12 VLAN0020 active 13 VLAN0030 active 1002 fddi-default act/un sup 1003 toke n-rin g-default act/un sup 1004 fddin et-defa

52、ult act/un sup 1005 trn et-default act/un sup VLAN Type SAID MTU Pare nt Ri ngNo BridgeNo Stp BrdgMode Transl Trans2 1enet 100001 1500 - - - - - 0 0 11 enet 100010 1500 - - - - - 0 0 12 enet 100020 1500 - - - - - 0 0 13 enet 100030 1500 - - - - - 0 0 1002 fddi 101002 1500 - - - - - 0 0 1003 tr101003

53、 1500 - - - - - 0 0 1004 fdnet 101004 1500 - - - ieee - 0 0 1005 trnet 101005 1500 - - - ibm - 0 0 Remote SPAN VLANs Primary Secon dary Type Ports L3-Switch# L3-Switch#show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA

54、- OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - can didate default, U - per-user static route, o - ODR P - periodic dow nl oaded

55、 static route Gateway of last resort is not set L3-Switch# 5.3 配置RSTP協(xié)議 配置RST協(xié)議，實(shí)現(xiàn)L2-Switch和L3-Switch之間的冗余鏈路，選取L3-Switch 為根。 【原理】 在交換網(wǎng)絡(luò)中，通過VLAN寸一個(gè)物理網(wǎng)絡(luò)進(jìn)行了邏輯劃分， 不同的VLAN之間 是無法直接訪問的，必須通過三層的路由設(shè)備進(jìn)行連接。一般利用路由器或三層 交換機(jī)來實(shí)現(xiàn)不同VLA之間的互相訪問。 將路由器和交換機(jī)相連，使用IEEE 802.1Q來啟動(dòng)一個(gè)路由器上的子接口成 為干道模式，就可以利用路由器來實(shí)現(xiàn) VLAN之間的通信。 路由器可以從某

56、一個(gè)VLAN接收數(shù)據(jù)包并且將這個(gè)數(shù)據(jù)包轉(zhuǎn)發(fā)到另外的一 個(gè)VLAN，要實(shí)施VLAN間的路由，必須在一個(gè)路由器的物理接口上啟用子接口， 也就是將以太網(wǎng)物理接口劃分為多個(gè)邏輯的、可編址的接口，并配置成干道模式, 每個(gè)VLAN對應(yīng)一個(gè)這種接口，這樣路由器就能夠知道如何到達(dá)這些互聯(lián)的 VLAN。 【步驟】 第一步：配置交換機(jī)的主機(jī)名、劃分VLAN添加端口、設(shè)置Trunk Switche nable Switch#configure terminal En ter con figurati on comma nds, one per line. End with CNTL/Z. Switch(co nfi

57、g)#host name L2-Switch 使用host name命令更改交換機(jī)的名稱 L2-Switch(co nfig)#vla n 12 L2-Switch(config-vlan)#name saleDep L2-Switch(co nfig-vla n) #vla n 13 L2-Switch(config-vlan)#name techDep L2-Switch(c on fig-vla n)#exit L2-Switch(c on fig)#i nterface ran ge fastEthernet 0/6-12 L2-Switch(c on fig-if-ra nge)#s

58、witchport mode access L2-Switch(config-if-range)#switchport access vlan 12 L2-Switch(c on fig-if-ra nge)#exit L2-Switch(c on fig)#i nterface ran ge fastEthernet 0/13-19 L2-Switch(c on fig-if-ra nge)#switchport mode access L2-Switch(config-if-range)#switchport access vlan 13 L2-Switch(c on fig-if-ra

59、nge)#exit L2-Switch(co nfig)# L2-Switch(c on fig)# in terface range fastEthernet 0/23-24 L2-Switch(c on fig-if)#switchport mode trunk L2-Switch(c on fig-if)# L2-Switch(c on fig-if)#e nd L2-Switch# L2-Switch# L3-Switch(co nfig)#i nterface ran ge fastEthernet 0/23-24 L3-Switch(config-if-range)#switchp

60、ort mode trunk L3-Switch(c on fig-if-ra nge)# 第二步：配置快速生成樹協(xié)議 L2-Switch#co nfigure termi nal En ter con figurati on comma nds, one per line. End with CNTL/Z. L2-Switch(con fig)#spa nnin g-tree L2-Switch(con fig)#spa nnin g-tree mode rstp /指定生成樹協(xié)議的類型為RSTP L2-Switch(co nfig)# L3-Switch#co nfigure termi