【正文】 技職業(yè)學(xué)院 10 配置接入層交換機的訪問端口 接入層交換機為終端用戶提供接入服務(wù)。 Switch1（ config） interface rang fasteher0/110 Switch1（ configifrange） switchport mode access Switch1（ configifrange） switchport mode access vlan10 圖 213 設(shè)置接入層交換機 Switch1 的端口 110 設(shè)置接入層交換機 Switch1 端口 1120 如圖 214 所示，設(shè)置接入層交 換機 Switch1 的端口 1120 工作在接入層模式。 對于直接接入終端工作站的端口來說，用于阻塞和偵聽的時間是不必要的。同時，接入層交換機 Switch1 還通過FastEther 0/24 上連到分布層交換機 DistributeSwitch2 的端口 FastEther 0/24。同時，分別通過自己的 FastEther 0/23 、 FastEther 0/24 上連到分布層交換機 DistributeSwitchDistributeSwitch2 的端口 FastEther 0/24。 需要指出的是，為了提供主干道的吞吐量，可以采用鏈路聚合（快速以太網(wǎng)信道）技術(shù)增加可用帶寬。 接入層交換機的其它可選配置 Uplinkfast 接入層交換機 Switch1 通 過 兩 條 冗 余上 行 鏈 路 分別 接 入 分布 層 交 換 機DistributeSwitch1 和 DistributeSwitch2。 如圖 218 所示，是在接入層交換機 Switch1 上啟用 Uplinkfast 特性。所不同的是，Backbonefast 可以檢測到間接鏈路（非直連鏈路）故障并立即使得相應(yīng)阻塞端口的最大壽命計時器到時，從而縮短該端口可以開始轉(zhuǎn)發(fā)數(shù)據(jù)包的時間。 這里的分布層交換機采用的是 Cisco Catalyst 3550 交換機。這里，只給出實際的配置步驟 ，不再給出具體的解釋，如圖 221所示。工作量很大、過程很繁瑣，并且容易出錯。同時，有關(guān) vlan的刪除、 參數(shù)更改操作均可傳播到其他交換機。 配置 vtp 管理域 共享相同 vlan 定義數(shù)據(jù)庫的交換機構(gòu)成一個管理域。 DistributeSwitch1（ config） vtp domain liu 圖 223 設(shè)置 vtp 服務(wù)器 工作在 vtp 服務(wù)器模式下的交換機可以創(chuàng)建、刪除 vlan、修改 vlan 參數(shù)。有時，交換網(wǎng)絡(luò)中某臺交換機的所有端口都屬于同一 vlan 的成員，沒有必要接收其他 vlan 的用戶數(shù)據(jù)。同一 vtp 域下的所有其他交換機也將自動激活 vtp 剪裁功能。 如圖 226 所示，定義了 8 個 vlan，同時為每個 vlan 命名。 DistributeSwitch1(config)interface range fastether0/124 DistributeSwitch1(configifrange) duplex full DistributeSwitch1(configifrange) speed 100 DistributeSwitch1(configifrange)interface range fastether0/110 DistributeSwitch1(configifrange)switchport mode access DistributeSwitch1(configifrange)switchport access vlan 100 DistributeSwitch1(configifrange)spanningtreeportfast DistributeSwitch1(configifrange)interface range fastether0/2324 DistributeSwitch1(configifrange)switchport mode trunk DistributeSwitch1(configifrange) interface range fastether0/12 DistributeSwitch1(configifrange)switchport mode trunk 圖 227 設(shè)置分布層交換機 DistributeSwitch1 的各端口參數(shù) 配置分布層交換機 DistributeSwitch1 的 3 層交換功能 分布層交換機 DistributeSwitch1 需要為網(wǎng)絡(luò)中的各個 vlan 提供路由功能。 DistributeSwitch1（ config） interface vlan10 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 20 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 30 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 40 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 50 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 60 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 70 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 100 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown 圖 229 定義 vlan 的默認網(wǎng)關(guān)地址 此外，還需要定義通往 Inter 的路由。 此外，分布層交換機 DistributeSwitch2 還通過自己的千 兆端口 GigabitEther0/1 上連到核心交換機 Cswitch1 的 GigabitEther3/2. 為了實現(xiàn)冗余設(shè)計，分布層交換機 DistributeSwitch2 還通過自己的千兆端口GigabitEther0/2 連接到分布層交換機 DistributeSwitch1 的 GigabitEther0/2。本實例中的核心層交換機采用的是 Cisco Catalyst 4006 交換機，采用了 Catalyst 4500 SupervisorII Plus （ WSX4013+）作為交換機引擎。這里，只給出實際的配置步驟，不再給出具體的解釋，如圖 234 所示。這里核心層交換機 Cswitch1將通過 vtp 獲得在分布層交換機 DistributeSwitch1 中定義的所有 vlan 的信息。 如圖 237 所示，給出了對上述端口的配置命令。因此，需要啟用核心層交換機的路由功能。 Cswitch1（ config） ip route 圖 239 定義到 Inter 的缺省路由如圖所示。同時，對于配置核心層交換機 Cswitch2 下連的一系列交換機，其連接方法以及配置步驟和命令同圖 21 中核心層交換機 Cswitch1 下連的一系列交換機的連接方法以及配置步驟和命令類似。它通過自己的串行接 口 serial0/0 使用 DDN（ 128K）技術(shù)接入 Inter。這里，只給出實際的配置步驟，不再給出具體的解釋，如圖 32 所示。 到 Inter 上的路由需要定義一定缺省路由，如圖 34 所示。 Router（ config） ip route Router（ config） ip route 圖 35 定義到校園網(wǎng)內(nèi)部的路由 配置接入路由器上的 NAT 由于目前 ip 地址資源非常稀缺，不可能給校園網(wǎng)內(nèi)部的所有工作站都分配一個共有ip 地址。 NAT 的配置可以分為以下幾個步驟： 定義 NAT 內(nèi)部、外部接口 如圖 36 所示定義 NAT 內(nèi)部、外部接口 Router（ config） interface fasteher0/0 Router（ configif） ip nat inside Router（ configif） interface serial 0/0 Router（ configif） ip nat outside 圖 36 定義 NAT 內(nèi)部、外部接口 安徽中澳科技職業(yè)學(xué)院 22 定義允許進行 NAT 的工作站的內(nèi)部局部 ip 地址范圍 Router（ config） ip accesslist 1 permit 圖 37 定義工作站的內(nèi)部局部地址范圍 為服務(wù)器定義 靜態(tài)地址轉(zhuǎn)換 圖 38 顯示了如何為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換 Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static 圖 38 為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換 為其他工作站定義復(fù)用地址轉(zhuǎn)換 Router（ config） ip nat inside source list 1 interface serial0/0 overload 圖 39 為工作站定義復(fù)用地址轉(zhuǎn)換 配置接入路由器上的 ACL 路由器是外網(wǎng)進入校園網(wǎng)內(nèi)網(wǎng)的第一道關(guān)卡，是網(wǎng)絡(luò)防御的前沿陣地。 在本實例設(shè)計中，將針對服務(wù)器以及內(nèi)網(wǎng)工作站的安全給出廣域網(wǎng)接入路由器上ACL 的配置方案。 它有兩種服務(wù)類型：SNMP 和 SNMPTRAP。用戶在使用 tel 登錄網(wǎng)絡(luò)設(shè)備或服務(wù)器時所使用的用戶名和口令在網(wǎng)絡(luò)中是以明文傳輸?shù)?，很容易被網(wǎng)絡(luò)上的非法協(xié)議分析設(shè)備截獲。 Router（ config） accesslist 103 deny tcp any any range 512 514 Router（ config） accesslist 103 deny tcp any any eq 111 Router（ config） accesslist 103 deny udp any any eq 111 Router（ config） accesslist 103 deny tcp any any range 2049 Router（ config） accesslist 103 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 103 in 圖 312 對外屏蔽其它不安全的協(xié)議或服務(wù) 針對 DoS 攻擊的設(shè)計 針對 DoS 攻擊是一種非常常見而且極具破壞力的攻擊手段，它可 以導(dǎo)致服務(wù)器、網(wǎng)絡(luò)設(shè)備的正常服務(wù)進程停止，嚴重時會導(dǎo)致服務(wù)器操作系統(tǒng)崩潰。應(yīng)只允許來自服務(wù)器群的 ip 地址訪問并配置路由器。 Router（ config） ip classless Router（ config） ip subzero 圖 315 定義對無類別網(wǎng)絡(luò)以及全零子網(wǎng)的支持 第四章 遠程訪問模塊設(shè)計 遠程訪問也是園區(qū)網(wǎng)絡(luò)提供服務(wù)之一。不同的廣域網(wǎng)連接類型提供的服務(wù)質(zhì)量不同，花費也不相同。這里，設(shè)置遠程客戶從 ip 地址池 liuqing 中 獲取 ip 地址。 Router（ config） ip local pool liuqing 。如圖 44 所示，建立了一個名為 liuqing 的ip 地址池。 配置物理線路的基本參數(shù)