【正文】 技職業(yè)學(xué)院 10 配置接入層交換機(jī)的訪問端口 接入層交換機(jī)為終端用戶提供接入服務(wù)。 Switch1（ config） interface rang fasteher0/110 Switch1（ configifrange） switchport mode access Switch1（ configifrange） switchport mode access vlan10 圖 213 設(shè)置接入層交換機(jī) Switch1 的端口 110 設(shè)置接入層交換機(jī) Switch1 端口 1120 如圖 214 所示，設(shè)置接入層交 換機(jī) Switch1 的端口 1120 工作在接入層模式。 對(duì)于直接接入終端工作站的端口來說，用于阻塞和偵聽的時(shí)間是不必要的。同時(shí)，接入層交換機(jī) Switch1 還通過FastEther 0/24 上連到分布層交換機(jī) DistributeSwitch2 的端口 FastEther 0/24。同時(shí)，分別通過自己的 FastEther 0/23 、 FastEther 0/24 上連到分布層交換機(jī) DistributeSwitchDistributeSwitch2 的端口 FastEther 0/24。 需要指出的是，為了提供主干道的吞吐量，可以采用鏈路聚合（快速以太網(wǎng)信道）技術(shù)增加可用帶寬。 接入層交換機(jī)的其它可選配置 Uplinkfast 接入層交換機(jī) Switch1 通 過 兩 條 冗 余上 行 鏈 路 分別 接 入 分布 層 交 換 機(jī)DistributeSwitch1 和 DistributeSwitch2。 如圖 218 所示，是在接入層交換機(jī) Switch1 上啟用 Uplinkfast 特性。所不同的是，Backbonefast 可以檢測(cè)到間接鏈路（非直連鏈路）故障并立即使得相應(yīng)阻塞端口的最大壽命計(jì)時(shí)器到時(shí)，從而縮短該端口可以開始轉(zhuǎn)發(fā)數(shù)據(jù)包的時(shí)間。 這里的分布層交換機(jī)采用的是 Cisco Catalyst 3550 交換機(jī)。這里，只給出實(shí)際的配置步驟 ，不再給出具體的解釋，如圖 221所示。工作量很大、過程很繁瑣，并且容易出錯(cuò)。同時(shí)，有關(guān) vlan的刪除、 參數(shù)更改操作均可傳播到其他交換機(jī)。 配置 vtp 管理域 共享相同 vlan 定義數(shù)據(jù)庫(kù)的交換機(jī)構(gòu)成一個(gè)管理域。 DistributeSwitch1（ config） vtp domain liu 圖 223 設(shè)置 vtp 服務(wù)器 工作在 vtp 服務(wù)器模式下的交換機(jī)可以創(chuàng)建、刪除 vlan、修改 vlan 參數(shù)。有時(shí)，交換網(wǎng)絡(luò)中某臺(tái)交換機(jī)的所有端口都屬于同一 vlan 的成員，沒有必要接收其他 vlan 的用戶數(shù)據(jù)。同一 vtp 域下的所有其他交換機(jī)也將自動(dòng)激活 vtp 剪裁功能。 如圖 226 所示，定義了 8 個(gè) vlan，同時(shí)為每個(gè) vlan 命名。 DistributeSwitch1(config)interface range fastether0/124 DistributeSwitch1(configifrange) duplex full DistributeSwitch1(configifrange) speed 100 DistributeSwitch1(configifrange)interface range fastether0/110 DistributeSwitch1(configifrange)switchport mode access DistributeSwitch1(configifrange)switchport access vlan 100 DistributeSwitch1(configifrange)spanningtreeportfast DistributeSwitch1(configifrange)interface range fastether0/2324 DistributeSwitch1(configifrange)switchport mode trunk DistributeSwitch1(configifrange) interface range fastether0/12 DistributeSwitch1(configifrange)switchport mode trunk 圖 227 設(shè)置分布層交換機(jī) DistributeSwitch1 的各端口參數(shù) 配置分布層交換機(jī) DistributeSwitch1 的 3 層交換功能 分布層交換機(jī) DistributeSwitch1 需要為網(wǎng)絡(luò)中的各個(gè) vlan 提供路由功能。 DistributeSwitch1（ config） interface vlan10 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 20 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 30 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 40 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 50 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 60 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 70 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown DistributeSwitch1（ configif） interface vlan 100 DistributeSwitch1（ configif） ip address DistributeSwitch1（ configif） no shutdown 圖 229 定義 vlan 的默認(rèn)網(wǎng)關(guān)地址 此外，還需要定義通往 Inter 的路由。 此外，分布層交換機(jī) DistributeSwitch2 還通過自己的千 兆端口 GigabitEther0/1 上連到核心交換機(jī) Cswitch1 的 GigabitEther3/2. 為了實(shí)現(xiàn)冗余設(shè)計(jì)，分布層交換機(jī) DistributeSwitch2 還通過自己的千兆端口GigabitEther0/2 連接到分布層交換機(jī) DistributeSwitch1 的 GigabitEther0/2。本實(shí)例中的核心層交換機(jī)采用的是 Cisco Catalyst 4006 交換機(jī)，采用了 Catalyst 4500 SupervisorII Plus （ WSX4013+）作為交換機(jī)引擎。這里，只給出實(shí)際的配置步驟，不再給出具體的解釋，如圖 234 所示。這里核心層交換機(jī) Cswitch1將通過 vtp 獲得在分布層交換機(jī) DistributeSwitch1 中定義的所有 vlan 的信息。 如圖 237 所示，給出了對(duì)上述端口的配置命令。因此，需要啟用核心層交換機(jī)的路由功能。 Cswitch1（ config） ip route 圖 239 定義到 Inter 的缺省路由如圖所示。同時(shí)，對(duì)于配置核心層交換機(jī) Cswitch2 下連的一系列交換機(jī)，其連接方法以及配置步驟和命令同圖 21 中核心層交換機(jī) Cswitch1 下連的一系列交換機(jī)的連接方法以及配置步驟和命令類似。它通過自己的串行接 口 serial0/0 使用 DDN（ 128K）技術(shù)接入 Inter。這里，只給出實(shí)際的配置步驟，不再給出具體的解釋，如圖 32 所示。 到 Inter 上的路由需要定義一定缺省路由，如圖 34 所示。 Router（ config） ip route Router（ config） ip route 圖 35 定義到校園網(wǎng)內(nèi)部的路由 配置接入路由器上的 NAT 由于目前 ip 地址資源非常稀缺，不可能給校園網(wǎng)內(nèi)部的所有工作站都分配一個(gè)共有ip 地址。 NAT 的配置可以分為以下幾個(gè)步驟： 定義 NAT 內(nèi)部、外部接口 如圖 36 所示定義 NAT 內(nèi)部、外部接口 Router（ config） interface fasteher0/0 Router（ configif） ip nat inside Router（ configif） interface serial 0/0 Router（ configif） ip nat outside 圖 36 定義 NAT 內(nèi)部、外部接口 安徽中澳科技職業(yè)學(xué)院 22 定義允許進(jìn)行 NAT 的工作站的內(nèi)部局部 ip 地址范圍 Router（ config） ip accesslist 1 permit 圖 37 定義工作站的內(nèi)部局部地址范圍 為服務(wù)器定義 靜態(tài)地址轉(zhuǎn)換 圖 38 顯示了如何為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換 Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static 圖 38 為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換 為其他工作站定義復(fù)用地址轉(zhuǎn)換 Router（ config） ip nat inside source list 1 interface serial0/0 overload 圖 39 為工作站定義復(fù)用地址轉(zhuǎn)換 配置接入路由器上的 ACL 路由器是外網(wǎng)進(jìn)入校園網(wǎng)內(nèi)網(wǎng)的第一道關(guān)卡，是網(wǎng)絡(luò)防御的前沿陣地。 在本實(shí)例設(shè)計(jì)中，將針對(duì)服務(wù)器以及內(nèi)網(wǎng)工作站的安全給出廣域網(wǎng)接入路由器上ACL 的配置方案。 它有兩種服務(wù)類型：SNMP 和 SNMPTRAP。用戶在使用 tel 登錄網(wǎng)絡(luò)設(shè)備或服務(wù)器時(shí)所使用的用戶名和口令在網(wǎng)絡(luò)中是以明文傳輸?shù)?，很容易被網(wǎng)絡(luò)上的非法協(xié)議分析設(shè)備截獲。 Router（ config） accesslist 103 deny tcp any any range 512 514 Router（ config） accesslist 103 deny tcp any any eq 111 Router（ config） accesslist 103 deny udp any any eq 111 Router（ config） accesslist 103 deny tcp any any range 2049 Router（ config） accesslist 103 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 103 in 圖 312 對(duì)外屏蔽其它不安全的協(xié)議或服務(wù) 針對(duì) DoS 攻擊的設(shè)計(jì) 針對(duì) DoS 攻擊是一種非常常見而且極具破壞力的攻擊手段，它可 以導(dǎo)致服務(wù)器、網(wǎng)絡(luò)設(shè)備的正常服務(wù)進(jìn)程停止，嚴(yán)重時(shí)會(huì)導(dǎo)致服務(wù)器操作系統(tǒng)崩潰。應(yīng)只允許來自服務(wù)器群的 ip 地址訪問并配置路由器。 Router（ config） ip classless Router（ config） ip subzero 圖 315 定義對(duì)無(wú)類別網(wǎng)絡(luò)以及全零子網(wǎng)的支持 第四章 遠(yuǎn)程訪問模塊設(shè)計(jì) 遠(yuǎn)程訪問也是園區(qū)網(wǎng)絡(luò)提供服務(wù)之一。不同的廣域網(wǎng)連接類型提供的服務(wù)質(zhì)量不同，花費(fèi)也不相同。這里，設(shè)置遠(yuǎn)程客戶從 ip 地址池 liuqing 中 獲取 ip 地址。 Router（ config） ip local pool liuqing 。如圖 44 所示，建立了一個(gè)名為 liuqing 的ip 地址池。 配置物理線路的基本參數(shù)