實驗?zāi)康模?
1. 在多層交換中實現(xiàn)VTP、STP的基本配置，以及掌握它們的工作原理；
2. 在多層交換中實現(xiàn)多VLAN之間的HSRP配置，以及掌握它的工作原理；
3. 在多層交換中實現(xiàn)ACL訪問控制列表的基本配置；
4. 在多層交換中實現(xiàn)NAT網(wǎng)絡(luò)地址轉(zhuǎn)換的基本配置以及工作原理；
實驗拓撲：
實驗連線：
Router1 E0/0 <----> VPCS V0/1
Router1 E0/1 <----> Switch1 F0/15
Router1 E0/2 <----> Switch2 F0/15
Switch1 F0/1 <----> Switch2 F0/2
Switch1 F0/2 <----> Switch2 F0/1
Switch1 F0/14 <----> Switch3 F0/14
Switch1 F0/13 <----> Switch4 F0/13
Switch2 F0/14 <----> Switch4 F0/14
Switch2 F0/13 <----> Switch3 F0/13
Switch3 F0/5 <----> VPCS V0/2
Switch4 F0/5 <----> VPCS V0/3
實驗步驟：
一、配置路由器：
1. 在路由器1上配置路由器各個接口的IP地址：E0/0模擬的是外網(wǎng)的接口，e0/1和e0/2模擬的是內(nèi)網(wǎng)接口的IP地址：配置E0/0外網(wǎng)的接口是為了NAT地址轉(zhuǎn)換，
r1(config)#interface e0/0
r1(config-if)#ip add 100.100.1.1 255.255.255.0
r1(config-if)#no sh
r1(config-if)#ex
r1(config)#interface e0/1
r1(config-if)#ip add 10.1.1.2 255.255.255.0
r1(config-if)#no sh
r1(config-if)#ex
r1(config)#interface e0/2
r1(config-if)#ip add 10.1.2.2 255.255.255.0
r1(config-if)#no sh
r1(config-if)#ex
2. 在路由器1上啟動OSPF宣告網(wǎng)絡(luò)的進程號，并為路由器1配置默認路由；配置默認路由的原因是因為我們在這里用路由器來模擬的公網(wǎng)所以要來配置默認路由：
r1(config)#router ospf 100
r1(config-router)#network 10.1.1.0 0.0.0.255 area 0
r1(config-router)#network 10.1.2.0 0.0.0.255 area 0
r1(config-router)#network 100.100.100.0 0.0.0.255 area 0
r1(config)#ip route 0.0.0.0 0.0.0.0 e0/0
二、配置交換機：
(1)、配置交換機的VTP協(xié)議：
VTP協(xié)議和工作原理：保持VLAN配置的一致性提供從一個交換機在整個管理域中的增加虛擬區(qū)域網(wǎng)的方法。在這里要注意的是：VTP域和VTP通告：
VTP的運行模式：服務(wù)器模式(SERVER)、客戶機模式(CLLENT)、透明模式(TRANSPARENT);
VTP的三種消息通告：來自客戶機的通告請求、匯總通告、子集通告：
2 在sw-3L1配置VTP并制定模式為SERVER以及在它的上面創(chuàng)建VLAN。配置VTP的具體優(yōu)點如下：
在SW-3L1上換分VLAN的原因是因為SW-3L1是服務(wù)器模式；通過VTP來讓不同的交換機學(xué)習(xí)；
sw-3L1(vlan)#vtp domain benet
sw-3L1(vlan)#vtp server
sw-3L1(vlan)#vlan 20
VLAN 20 added:
Name: VLAN0020
sw-3L1(vlan)#vlan 30
VLAN 30 added:
Name: VLAN0030
3. 在sw-3L2上配置VTP指定它的模式為SERVER；在一個網(wǎng)絡(luò)中可以配置多個SERVER所以.我們在這里所定義的是兩個服務(wù)器；
sw-3L2(vlan)#vtp domain benet
sw-3L2(vlan)#vtp server
4. 在sw-2L1上配置VTP指定它的模式為CLIENT；
sw-2L1(vlan)#vtp domain benet
sw-2L1(vlan)#vtp client
5. 在sw-2L2上配置VTP指定它的模式為CLIENT;
sw-2L2(vlan)#vtp domain benet
sw-2L2(vlan)#vtp client
(2)、配置交換機的TRUNK鏈路：
1．在Sw-3L1上配置TRUNK；
sw-3L1(config)#interface range f0/1 - 2
sw-3L1(config-if-range)#sw mo tr
sw-3L1(config-if-range)#no sh
sw-3L1(config-if-range)#ex
sw-3L1(config)#interface range f0/13 - 14
sw-3L1(config-if-range)#sw mo tr
sw-3L1(config-if-range)#no sh
2.在sw-3L2配置TRUNK；
sw-3L2(config)#interface range f0/1 - 2
sw-3L2(config-if-range)#sw mo tr
sw-3L2(config-if-range)#no sh
sw-3L2(config-if-range)#exit
sw-3L2(config)#interface range f0/13 - 14
sw-3L2(config-if-range)#sw mo tr
sw-3L2(config-if-range)#no sh
sw-3L2(config-if-range)#ex
3．在sw-2L1上配置TRUNK；
sw-2L1(config)#interface range f0/13 - 14
sw-2L1(config-if-range)#sw mo tr
sw-2L1(config-if-range)#no sh
sw-2L1(config-if-range)#ex
4．在sw-2L2上配置TRUNK；
sw-2L2(config)#interface range f0/13 - 14
sw-2L2(config-if-range)#sw mo tr
sw-2L2(config-if-range)#no sh
(3)、配置STP生成樹協(xié)議；首先要知道配置生成樹的原因就是要實現(xiàn)網(wǎng)絡(luò)的冗余。
STP的概述：叫做生成樹協(xié)議，就是把一個環(huán)形的結(jié)構(gòu)變成一個樹形的結(jié)構(gòu)。他是通過一種算法將物理上存在的環(huán)形網(wǎng)絡(luò)，通過一種算法，在邏輯上斷開一些端口，來生成一個邏輯上的樹形結(jié)構(gòu)；
STP的原理：雖然STP生成樹的算法很復(fù)雜，但是它步驟可以歸納為一下三種：選擇根網(wǎng)橋、選擇根端口、選擇指定端口；
選擇跟網(wǎng)橋：首先是選擇根網(wǎng)橋的網(wǎng)橋ID，如果網(wǎng)橋的IP相同則選擇優(yōu)先級，優(yōu)先級小的它則是根網(wǎng)橋，在優(yōu)先級相同的情況下則選擇MAC地址小的為根網(wǎng)橋。
選擇根端口：先是選擇網(wǎng)橋的根路徑成本，直連是網(wǎng)橋ID最小，端口ID最??！
選擇指定端口：根路徑成本較低所在的交換機的網(wǎng)橋的ID的值較小，端口ID的值較小。
BPDU(協(xié)議數(shù)據(jù)單元)：交換機之間通過BPDU來交換網(wǎng)橋的ID、根路徑成本等信息。它有兩種類型:一種是配置BPDU、一種是拓撲變更通告；
生成樹端口有五種狀態(tài)：禁用、阻塞、偵聽、學(xué)習(xí)、轉(zhuǎn)發(fā)。
配置以太網(wǎng)通道：主要的原因是希望兩條鏈路能夠?qū)崿F(xiàn)負載均衡，來提高鏈路帶寬，以及相互備份。但是參與以太網(wǎng)捆綁技術(shù)有一下幾個要求：雖然參于以太網(wǎng)隧道可以能提高鏈路帶寬并運行一種機制，將多個以太網(wǎng)端口捆綁成一條邏輯鏈路。它最多可以捆綁8條物理鏈路，如果參于捆綁的端口必須屬于同一個VLAN。如果一邊是中繼模式，那么兩邊必須要相同；
1.在sw-3L1上配置vlan 20的根網(wǎng)橋；sw-3L2上配置30的根網(wǎng)橋：
sw-3L1(config)#spanning-tree vlan 20 priority 4096
sw-3L1(config)#spanning-tree vlan 30 priority 8192
sw-3L2(config)#spanning-tree vlan 30 priority 4096
sw-3L2(config)#spanning-tree vlan 20 priority 8192
2.在三層交換上配置以太網(wǎng)隧道；
sw-3L1(config)#interface range f0/1 - 2
sw-3L1(config-if-range)#channel-group 1 mode .
sw-3L2(config)#interface range f0/1 - 2
sw-3L2(config-if-range)#channel-group 1 mode .
(4)、在三層交換上配置接口以及各Vlan的IP地址并用OSPF宣告；
首先我們要知道什么是三層交換技術(shù)？
三層交換機技術(shù)簡單的說就是二層交換技術(shù)+三層轉(zhuǎn)發(fā)技術(shù)；而且是為了解決路由器和交換機的瓶頸問題；對于三層交換來說它的性能比較好；三層交換技術(shù)在第三層實現(xiàn)了數(shù)據(jù)包的高速轉(zhuǎn)發(fā)，從而解決了傳統(tǒng)路由器的低速、復(fù)雜所造成的網(wǎng)絡(luò)瓶頸的問題；三層交換采用傳統(tǒng)的MLS技術(shù)和基于CEF的MLS技術(shù)進行。
1.配置三層交換接口的IP地址：
sw-3L1(config)#interface f0/15
sw-3L1(config-if)#no switchport
sw-3L1(config-if)#ip add 10.1.1.1 255.255.255.0
sw-3L1(config-if)#no sh
sw-3L1(config-if)#ex
sw-3L2(config)#interface f0/15
sw-3L2(config-if)#no switchport
sw-3L2(config-if)#ip add 10.1.2.1 255.255.255.0
sw-3L2(config-if)#no sh
sw-3L2(config-if)#ex
2.配置三層交換上各個VLAN的IP地址；配置VLAN的IP地址相當(dāng)于配置單臂路由的子接口的IP地址；
sw-3L1(config)#interface vlan 20
sw-3L1(config-if)#ip add 192.168.2.1 255.255.255.0
sw-3L1(config-if)#no sh
sw-3L1(config-if)#ex
sw-3L1(config)#interface vlan 30
sw-3L1(config-if)#ip add 192.168.3.1 255.255.255.0
sw-3L1(config-if)#no sh
sw-3L1(config-if)#ex
sw-3L2(config)#interface vlan 20
sw-3L2(config-if)#ip add 192.168.2.2 255.255.255.0
sw-3L2(config-if)#no sh
sw-3L2(config-if)#ex
sw-3L2(config)#interface vlan 30
sw-3L2(config-if)#ip add 192.168.3.2 255.255.255.0
sw-3L2(config-if)#no sh
sw-3L2(config-if)#ex
3.在三層交換上宣告OSPF進程；（我們在這里把三層交換看成了路由器，所以在它的上面配置了OSPF協(xié)議）
sw-3L1(config)#router ospf 100
sw-3L1(config-router)#network 10.1.1.0 0.0.0.255 area 0
sw-3L1(config-router)#network 192.168.1.0 0.0.0.255 area 0
sw-3L1(config-router)#network 192.168.2.0 0.0.0.255 area 0
sw-3L2(config)#router ospf 100
sw-3L2(config-router)#network 192.168.2.0 0.0.0.255 area 0
sw-3L2(config-router)#network 192.168.3.0 0.0.0.255 area 0
sw-3L2(config-router)#network 10.1.2.0 0.0.0.255
sw-3L2(config-router)#network 10.1.2.0 0.0.0.255 area 0
(5)、在二層交換上劃分指定的端口到不同的VLAN；
sw-2L1(config)#interface f0/15
sw-2L1(config-if)#sw mo acc
sw-2L1(config-if)#sw acc vlan 20
sw-2L1(config-if)#no sh
sw-2L2(config)#interface f0/15
sw-2L2(config-if)#sw mo acc
sw-2L2(config-if)#sw acc vlan 30
sw-2L2(config-if)#no sh
三、配置不同VLAN的HSRP；
HSRP的概述：熱備份路由協(xié)議是CISCO平臺上所特有的一種技術(shù)，它確保了當(dāng)前網(wǎng)絡(luò)出現(xiàn)故障時或者接入鏈路出現(xiàn)故障的時候，能夠快速的恢復(fù)，以此來實現(xiàn)網(wǎng)絡(luò)的冗余性。從而來滿足網(wǎng)絡(luò)的可靠性！
HSRP的工作原理：HSRP可以支持LAN網(wǎng)段上的一組路由器一起來工作，并作為一個虛擬路由器或者默認網(wǎng)關(guān)呈現(xiàn)給該網(wǎng)段上的所有主機；這樣當(dāng)其中的一臺路由器出現(xiàn)故障的時候就會進行快速的替換。尤其在進行關(guān)鍵應(yīng)用和設(shè)計容錯性的網(wǎng)絡(luò)環(huán)境中。熱備份路由協(xié)議特別有用，通過共同提供一個IP地址和MAC地址，兩個或者多個路由器可以作為一個虛擬路由器，當(dāng)某個路由器按照原計劃停止工作或者出現(xiàn)意想不到的故障的時候，其他的路由器能夠快速無縫地接替它進行路由選擇。這樣LAN內(nèi)的主機能持續(xù)的向同一個IP和MAC地址發(fā)送信息；而這個IP和MAC地址則是虛擬路由器的IP地址和MAC地址：路由器上的故障切換對主機和其上的會話是透明的。
HSRP的狀態(tài)：初始狀態(tài)、學(xué)習(xí)狀態(tài)、監(jiān)聽狀態(tài)、發(fā)言狀態(tài)、備份狀態(tài)、活躍狀態(tài)。
HSRP的端口追蹤：如果在HSRP中的活躍路由器連往外部的鏈路失效時，盡管對外部的端口不可以再用，該路由器仍然從其他的路由器發(fā)送Hello消息，指明該路由仍然是活躍的。因此將發(fā)送的數(shù)據(jù)包不能正確的到達外部網(wǎng)絡(luò)。我們利用端口跟蹤，活躍路由器的優(yōu)先級可以基于端口的可用性而自動的調(diào)整。當(dāng)活躍路由器上的一個被追蹤的端口不可用時，活躍路由器的HSRP將被降低。
1.配置sw-3L1上VLAN20和VLAN30虛擬的IP地址和端口的優(yōu)先級；
sw-3L1(config)#interface vlan 20
sw-3L1(config-if)#standby 100 ip 192.168.2.254
sw-3L1(config-if)#standby 100 priority 120
sw-3L1(config-if)#no sh
sw-3L1(config)#interface vlan 30
sw-3L1(config-if)#standby 200 ip 192.168.3.254
sw-3L1(config-if)#standby 200 priority 110
sw-3L1(config-if)#no sh
2.配置sw-3L2上VLAN20和VLAN30虛擬的IP地址和端口的優(yōu)先級；
sw-3L2(config)#interface vlan 20
sw-3L2(config-if)#standby 100 ip 192.168.2.254
sw-3L2(config-if)#standby 100 priority 110
sw-3L2(config-if)#no sh
sw-3L2(config-if)#ex
sw-3L2(config)#interface vlan 30
sw-3L2(config-if)#standby 200 ip 192.168.3.254
sw-3L2(config-if)#standby 200 priority 120
sw-3L2(config-if)#no sh
sw-3L2(config-if)#ex
3.配置端口追蹤：
sw-3L2(config)#interface vlan 30
sw-3L2(config-if)#standby 200 preempt
sw-3L2(config-if)#
4.查看sw-3L1上HSRP的基本信息：
sw-3L1#show standby brief
P indicates configured to preempt.
|
Interface Grp Prio P State Active Standby Virtual IP
Vl20 100 120 Active local 192.168.2.2 192.168.2.254
Vl30 200 110 Standby 192.168.3.2 local 192.168.3.254
四、定義ACL訪問控制列表；
訪問控制列表(ACL)的概述：訪問控制列表(ACL) 是應(yīng)用在路由器接口上的指令列表，具有同一個訪問控制列表表號或者Access-list語句組成了一個邏輯上的指令列表，這些路由器告訴路由表那些可以允許通過那些可以允許拒絕。它工作的基本原理是：ACL使用包過濾技術(shù)，在路由器上讀取OSI7層模型的第三層以及第四層包頭中的信息，從而達到訪問控制列表的目的。訪問控制列表分為：標準訪問控制列表和擴展訪問控制列表；
訪問控制列表(ACL)的工作原理：首先我們要知道ACL的作用：例如我們可以用訪問控制列表可以提高網(wǎng)絡(luò)訪問的基本安全手段；訪問控制列表可用于QOS對數(shù)據(jù)流量進行控制；提供對通信流量的控制手段。在這里我們以標準的訪問控制列表來舉例說明：
r1(config)access-list 1 permit 10.1.1.0 0.0.0.255
r1(config)access-list 1 permit 10.1.2.0 0.0.0.255
r1(config)access-list 1 permit 192.168.2.0 0.0.0.255
r1(config)access-list 1 permit 192.168.3.0 0.0.0.255
r1(config)access-list 1 deny any
關(guān)于訪問控制列表的入與出可以把他應(yīng)用在某一個接口上，可以用in或者out來定義訪問控制列表的入與出；對于入標準基于標準的訪問控制列表他的過程是這樣的：
當(dāng)接受到一個數(shù)據(jù)包時，路由器檢查數(shù)據(jù)包的源地址是否與訪問控制列表中的條目相符；如果訪問控制列表允許該地址那么，路由器將停止檢查訪問控制列表，繼續(xù)處理該數(shù)據(jù)包。如果訪問控制列表拒絕了這個地址，那么路由器將丟棄該數(shù)據(jù)包，并且返回到上一層消息協(xié)議；但是對出接口的訪問控制列表；在接受并將數(shù)據(jù)包轉(zhuǎn)發(fā)到相應(yīng)的受限制的接口后，路由器檢查數(shù)據(jù)包的源地址是否與訪問控制列表中的條目相符。如果允許那么將傳輸該數(shù)據(jù)包如果拒絕將丟棄數(shù)據(jù)包，那么他會返回到上一層的消息協(xié)議：
r1(config)#interface e0/1
r1(config-if)#ip access-group 1 in
r1(config-if)#ex
r1(config)#interface e0/2
r1(config-if)#ip access-group 1 in
r1(config-if)#ex
r1(config)#interface e0/0
r1(config-if)#ip access-group 1 out
r1(config-if)#ex
五、定義NAT網(wǎng)絡(luò)地址轉(zhuǎn)換：
r1(config)#ip nat inside source list 1 inter e0/0 overload
六、配置客戶端的IP地址；
VPCS 1 >ip 100.100.1.125 100.100.1.1 24
PC1 : 100.100.1.125 255.255.255.0 gateway 100.100.1.1
VPCS 2 >ip 192.168.2.125 192.168.2.254 24
PC2 : 192.168.2.125 255.255.255.0 gateway 192.168.2.254
VPCS 3 >ip 192.168.3.125 192.168.3.254 24
PC3 : 192.168.3.125 255.255.255.0 gateway 192.168.3.254
七、測試網(wǎng)絡(luò)的互通性；
VPCS 2 >ping 192.168.3.125
192.168.3.125 icmp_seq=1 time=141.000 ms
192.168.3.125 icmp_seq=2 time=109.000 ms
192.168.3.125 icmp_seq=3 time=63.000 ms
192.168.3.125 icmp_seq=4 time=47.000 ms
192.168.3.125 icmp_seq=5 time=63.000 ms
VPCS 3 >ping 100.100.1.125
100.100.1.125 icmp_seq=1 time=94.000 ms
100.100.1.125 icmp_seq=2 time=140.000 ms
100.100.1.125 icmp_seq=3 time=94.000 ms
100.100.1.125 icmp_seq=4 time=78.000 ms
100.100.1.125 icmp_seq=5 time=109.000 ms
VPCS 2 >ping 100.100.1.125
100.100.1.125 icmp_seq=1 time=94.000 ms
100.100.1.125 icmp_seq=2 time=125.000 ms
100.100.1.125 icmp_seq=3 time=125.000 ms
100.100.1.125 icmp_seq=4 time=78.000 ms
100.100.1.125 icmp_seq=5 time=78.000 ms
本文出自 “opsnotes.net” 博客，請務(wù)必保留此出處http://devliangel.blog.51cto.com/469347/137046
