【正文】 HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network GREVPN由于連接分公司的線路需要經(jīng)過公網(wǎng)，為了保證其流量的安全性，需要打一條虛擬的通道GREVPN（見圖6）圖 6 GREVPN首先要定義加密策略R1(config)crypto isakmp policy 1加密第一階段IKE1R1(configisakmp)authentication preshare設(shè)備認證，域共享 R1(configisakmp)encryption 3des 數(shù)據(jù)加密方式R1(configisakmp)group 2Diffie hellma 分發(fā)密鑰，產(chǎn)生公鑰和私鑰R1(configisakmp)hash md5檢驗數(shù)據(jù)包完整性 R1(configisakmp)exitR1(config)crypto isakmp key 0 cisco address 域共享的密鑰為ciscoR1(config)crypto ipsec transformset cisco esp3des espmd5hmac 加密第二階段，給數(shù)據(jù)包加密，指定加密方式R1(config)accesslist 101 permit ip 定義一個感興趣流R1(config)crypto map cisco 1 ipsecisakmp R1(configcryptomap)match address 101R1(configcryptomap)set peer R1(configcryptomap)set transformset ciscoR1(configcryptomap)exitR1(config)int tunnel 0進入TUNNEL 0口R1(configif)tunnel source 配置通道源地址R1(configif)tunnel destination 配置通道目的地址R1(configif)tunnel mode gre ip指定通道模式R1(configif)ip address 給通道接口配置虛擬IP地址R1(configif) crypto map cisco將VPN掛在通道接口下 R1(config)ip route 指一條靜態(tài)路由R2(config)crypto isakmp policy 1R2(configisakmp)authentication preshare R2(configisakmp)encryption 3des R2(configisakmp)group 2R2(configisakmp)hash md5 R2(configisakmp)exitR2(config)crypto isakmp key 0 cisco address R2(config)crypto ipsec transformset cisco esp3des espmd5hmac R2(config)accesslist 101 permit ip R2(config)crypto map cisco 1 ipsecisakmp R2(configcryptomap)match address 101R2(configcryptomap)set peer R2(configcryptomap)set transformset ciscoR2(configcryptomap)exitR2(config)int tunnel 0R2(configif)tunnel source R2(configif)tunnel destination R2(configif)tunnel mode gre ipR2(configif)ip address R2(configif) crypto map ciscoR2(configif)exit R2(config)ip route AAA服務(wù)器AAA 為了加強企業(yè)網(wǎng)的安全性，我們啟用AAA服務(wù)器。該配置在連接AAA服務(wù)器的HX2上做。HX2(config)aaa newmode 1HX2(config)aaa authentication dot1x default group radius HX2(config)dot1x systemauthcontrolHX2(config)interface f0/1HX2(configif)swichport mode accessHX2(configif)dot1x portcontrol autoHX2(configif)dot1x guestvlan 1HX2(configif)dot1x authfail vlan 1HX2(config)aaa authentication login telnet group tacacs+HX2(config)aaa authorization exec telnet group tacacs+HX2(config)aaa accounting exec telnet startstop group tacacs+HX2(config)tacacssever host HX2(config)tacacssever key cisco PBR 20M專線網(wǎng)管和管理部需要有特權(quán)去高速穩(wěn)定地訪問外網(wǎng)，我們需要在R1上配置20M專線去達到這一需求。R1(config)accesslist 112 permit ip any 創(chuàng)建訪問控制列表來抓住管理部VLAN的流量R1(config)accesslist 112 permit ip any R1(config)accesslist 112 denyip any any其他流量不允許通過R1(config)routemap zhuanxian permit 10創(chuàng)建路由映射表R1(configroutemap)match ip address 112匹配所抓住的流量R1(configroutemap)set ip nexthop 指定下一跳地址或端口R1(config)interface E0/1R1(configif)ip nat inside掛NAT入方向R1(config)interface E0/21(configif)ip nat insideR1(config)interface E0/3R1(configif)ip nat outside掛NAT出方向R1(config)ip nat pool wangtong netmask 設(shè)置對外訪問地址,創(chuàng)建地址池R1(config)access –list 100 permit ip any 指定NAT范圍，匹配IPR1(config)ip nat inside source list 100 pool wangtong overload設(shè)置過載，抓流量 網(wǎng)管控制為了方便管理員對企業(yè)網(wǎng)安全方便的管理控制，我們需要對坐配置使得管理員能都使用PC直接連接或遠程登陸到到交換機進行控制。HX2(config)line vty 0 4進入VTY線程下HX2(configline)password ca1配置遠程訪問交換機的密碼HX2(configline)login登陸驗證HX2(Configline)exectimeout 1 11配置登錄交換機虛擬終端線的超時時間為1分11秒鐘HX2(configline)line con 0HX2(configline)password ca2HX2(configline)loginHX2(configline)exectimeout 1 11R1(config)interface range E0/03R1(configifrange)duplex full可以設(shè)定某端口根據(jù)對端設(shè)備雙工類型自動調(diào)整本端口雙工模式，也可以強制將端口雙工模式設(shè)為半雙工或全雙工模式。在了解對端設(shè)備類型的情況下，建議手動設(shè)置端口雙工模式。因為路由器和交換機接口的雙工模式必須匹配才可通信。這里全部工作在全雙工模式。SW1(config)interface range fastethernet0/124SW1(configifrange)speed 100可以設(shè)定某端口根據(jù)對端設(shè)備速度自動調(diào)整本端口速度，也可以強制將端口速度設(shè)為10Mpbs或100Mbps。在了解對端設(shè)備速度的情況下，建議手動設(shè)置端口速度。這里全部工作在100Mbps.圖7 分布層交換機FB1(config)ip classlessFB1(config)ip subnetzero以實現(xiàn)對無類網(wǎng)絡(luò)和全零子網(wǎng)的支持（見圖7） 施工管理 施工前準(zhǔn)備 合同簽訂后，客戶和公司雙方派出項目負責(zé)人，共同協(xié)商制訂施工要求的原則性文件，通過后，一切照文件實行。施工前我公司將對所有參加本次工程的技術(shù)工作人員進行工人員守則、和與施工相關(guān)的文件的學(xué)習(xí)，以提高對工程的認知度和對崗位的責(zé)任感。我們將用明文確定貴校工程的項目負責(zé)團隊，明確權(quán)利和責(zé)任，在組織上一定保證工程的進度和質(zhì)量。 設(shè)備及材料為確保工程的質(zhì)量，對工程中所用到的所有設(shè)備及材料本公司將嚴格把關(guān)。選擇質(zhì)量可靠、性能良好的設(shè)備及材料、嚴格按合同進貨、貨到后有雙方工程負責(zé)人一同驗收。 施工過程管理根據(jù)貴校的情況，安排好施工進度，分配施工任務(wù)，加強隨工檢查，在施工過程中采取如下措施：1 加強對施工人員的管理2保證施工現(xiàn)場的衛(wèi)生3保證不影響到企業(yè)工作人員的正常工作4保證確保工程的質(zhì)量和進度5 在施工過程中接受企業(yè)相關(guān)人員的檢查指導(dǎo)，及時征求意見，改進工作，提高工作質(zhì)量，直到達到優(yōu)質(zhì)工程的要求。6絕對保證施工的安全 施工完成后質(zhì)量的檢查和驗收施工完成后，雙方派出有關(guān)人員進行全面的質(zhì)量檢查，進行系統(tǒng)的總驗收。完全達到雙方簽訂的合同要求后，進行工程的總移交。如在合同范圍內(nèi)，不達到要求的地方一定返工，直到達到要求為止。 施工步驟系統(tǒng)施工按順序主要分為以下幾個階段：1管道、線槽鋪設(shè)2穿線3設(shè)備安裝檢查：安裝前，要檢查各設(shè)備外觀及可動部分是否正常。固定：按照說明書中提供的方式、尺寸，正確安裝固定和末端裝置及設(shè)備，安裝后，檢查是否正確，是否牢固。4接線接線前，應(yīng)對各線路進行校驗，做好標(biāo)記、線號，正確無誤后，在按照接線圖進行端子接線，接線后，一定要核查、檢查，確保正確。5系統(tǒng)試運行6竣工交驗第5章 網(wǎng)絡(luò)效果驗證 關(guān)鍵三層設(shè)備路由表 接入路由器R1路由表圖51 接入路由器R1路由表路由器R1及R2是本網(wǎng)絡(luò)接入路由器,圖51中,“O(ospf)”路由條目為電信、網(wǎng)通運營商為本網(wǎng)絡(luò)提供的路由信息?！癉(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在路由器R1上，本網(wǎng)絡(luò)所涉及的所有網(wǎng)段均可達。 核心層交換機HX1路由表圖52 核心層交換機HX1路由表核心層交換機HX1及HX2是本網(wǎng)絡(luò)核心交換機,圖52中,“D(eigrp) ”為服務(wù)器網(wǎng)段信息。其余“D(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在交換機HX1上，本網(wǎng)絡(luò)內(nèi)部的所有網(wǎng)段均可達。 匯聚層交換機FB1路由表圖53 匯聚層交換機FB1路由表匯聚層交換機FB1及FBFBFB4是本網(wǎng)絡(luò)匯聚交換機，圖53中,“C(connected) ”及“D(eigrp) ”、 “D(eigrp) ”、 “D(eigrp) ”VLAN信息路由條目。其余“D(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在交換機FB1上，本網(wǎng)絡(luò)內(nèi)部的所有VLAN均可達。 本部接入層交換機SW1訪問服務(wù)器圖54本部接入層交換機向服務(wù)器發(fā)送數(shù)據(jù)請求如圖54所示，本地部門網(wǎng)絡(luò)用戶向服務(wù)器發(fā)送數(shù)據(jù)請求，測試結(jié)果暢通。 外地分公司R4訪問服務(wù)器圖55外地分公司接入路由器向服務(wù)器發(fā)送數(shù)據(jù)請求如圖55所示，外地分公司網(wǎng)絡(luò)用戶向本地服務(wù)器發(fā)送數(shù)據(jù)請求，測試結(jié)果暢通。 外地分公司SW10訪問本部接入交換機圖56外地分公司接入路由器向本部接入交換機發(fā)送數(shù)據(jù)請求如圖56所示，外地分公司網(wǎng)絡(luò)用戶向本地部門網(wǎng)絡(luò)用戶發(fā)送數(shù)據(jù)請求，測試結(jié)果暢通。 VPN效果驗證圖57 VPN連通性驗證 如圖所示，路由器R1以loopback 0端口為起點，向目標(biāo)