【正文】 outer)no autosummaryHX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network HX2(configrouter)network GREVPN由于連接分公司的線路需要經(jīng)過(guò)公網(wǎng)，為了保證其流量的安全性，需要打一條虛擬的通道GREVPN（見(jiàn)圖6）圖 6 GREVPN首先要定義加密策略R1(config)crypto isakmp policy 1加密第一階段IKE1R1(configisakmp)authentication preshare設(shè)備認(rèn)證，域共享 R1(configisakmp)encryption 3des 數(shù)據(jù)加密方式R1(configisakmp)group 2Diffie hellma 分發(fā)密鑰，產(chǎn)生公鑰和私鑰R1(configisakmp)hash md5檢驗(yàn)數(shù)據(jù)包完整性 R1(configisakmp)exitR1(config)crypto isakmp key 0 cisco address 域共享的密鑰為ciscoR1(config)crypto ipsec transformset cisco esp3des espmd5hmac 加密第二階段，給數(shù)據(jù)包加密，指定加密方式R1(config)accesslist 101 permit ip 定義一個(gè)感興趣流R1(config)crypto map cisco 1 ipsecisakmp R1(configcryptomap)match address 101R1(configcryptomap)set peer R1(configcryptomap)set transformset ciscoR1(configcryptomap)exitR1(config)int tunnel 0進(jìn)入TUNNEL 0口R1(configif)tunnel source 配置通道源地址R1(configif)tunnel destination 配置通道目的地址R1(configif)tunnel mode gre ip指定通道模式R1(configif)ip address 給通道接口配置虛擬IP地址R1(configif) crypto map cisco將VPN掛在通道接口下 R1(config)ip route 指一條靜態(tài)路由R2(config)crypto isakmp policy 1R2(configisakmp)authentication preshare R2(configisakmp)encryption 3des R2(configisakmp)group 2R2(configisakmp)hash md5 R2(configisakmp)exitR2(config)crypto isakmp key 0 cisco address R2(config)crypto ipsec transformset cisco esp3des espmd5hmac R2(config)accesslist 101 permit ip R2(config)crypto map cisco 1 ipsecisakmp R2(configcryptomap)match address 101R2(configcryptomap)set peer R2(configcryptomap)set transformset ciscoR2(configcryptomap)exitR2(config)int tunnel 0R2(configif)tunnel source R2(configif)tunnel destination R2(configif)tunnel mode gre ipR2(configif)ip address R2(configif) crypto map ciscoR2(configif)exit R2(config)ip route AAA服務(wù)器AAA 為了加強(qiáng)企業(yè)網(wǎng)的安全性，我們啟用AAA服務(wù)器。該配置在連接AAA服務(wù)器的HX2上做。HX2(config)aaa newmode 1HX2(config)aaa authentication dot1x default group radius HX2(config)dot1x systemauthcontrolHX2(config)interface f0/1HX2(configif)swichport mode accessHX2(configif)dot1x portcontrol autoHX2(configif)dot1x guestvlan 1HX2(configif)dot1x authfail vlan 1HX2(config)aaa authentication login telnet group tacacs+HX2(config)aaa authorization exec telnet group tacacs+HX2(config)aaa accounting exec telnet startstop group tacacs+HX2(config)tacacssever host HX2(config)tacacssever key cisco PBR 20M專線網(wǎng)管和管理部需要有特權(quán)去高速穩(wěn)定地訪問(wèn)外網(wǎng)，我們需要在R1上配置20M專線去達(dá)到這一需求。R1(config)accesslist 112 permit ip any 創(chuàng)建訪問(wèn)控制列表來(lái)抓住管理部VLAN的流量R1(config)accesslist 112 permit ip any R1(config)accesslist 112 denyip any any其他流量不允許通過(guò)R1(config)routemap zhuanxian permit 10創(chuàng)建路由映射表R1(configroutemap)match ip address 112匹配所抓住的流量R1(configroutemap)set ip nexthop 指定下一跳地址或端口R1(config)interface E0/1R1(configif)ip nat inside掛NAT入方向R1(config)interface E0/21(configif)ip nat insideR1(config)interface E0/3R1(configif)ip nat outside掛NAT出方向R1(config)ip nat pool wangtong netmask 設(shè)置對(duì)外訪問(wèn)地址,創(chuàng)建地址池R1(config)access –list 100 permit ip any 指定NAT范圍，匹配IPR1(config)ip nat inside source list 100 pool wangtong overload設(shè)置過(guò)載，抓流量 網(wǎng)管控制為了方便管理員對(duì)企業(yè)網(wǎng)安全方便的管理控制，我們需要對(duì)坐配置使得管理員能都使用PC直接連接或遠(yuǎn)程登陸到到交換機(jī)進(jìn)行控制。HX2(config)line vty 0 4進(jìn)入VTY線程下HX2(configline)password ca1配置遠(yuǎn)程訪問(wèn)交換機(jī)的密碼HX2(configline)login登陸驗(yàn)證HX2(Configline)exectimeout 1 11配置登錄交換機(jī)虛擬終端線的超時(shí)時(shí)間為1分11秒鐘HX2(configline)line con 0HX2(configline)password ca2HX2(configline)loginHX2(configline)exectimeout 1 11R1(config)interface range E0/03R1(configifrange)duplex full可以設(shè)定某端口根據(jù)對(duì)端設(shè)備雙工類型自動(dòng)調(diào)整本端口雙工模式，也可以強(qiáng)制將端口雙工模式設(shè)為半雙工或全雙工模式。在了解對(duì)端設(shè)備類型的情況下，建議手動(dòng)設(shè)置端口雙工模式。因?yàn)槁酚善骱徒粨Q機(jī)接口的雙工模式必須匹配才可通信。這里全部工作在全雙工模式。SW1(config)interface range fastethernet0/124SW1(configifrange)speed 100可以設(shè)定某端口根據(jù)對(duì)端設(shè)備速度自動(dòng)調(diào)整本端口速度，也可以強(qiáng)制將端口速度設(shè)為10Mpbs或100Mbps。在了解對(duì)端設(shè)備速度的情況下，建議手動(dòng)設(shè)置端口速度。這里全部工作在100Mbps.圖7 分布層交換機(jī)FB1(config)ip classlessFB1(config)ip subnetzero以實(shí)現(xiàn)對(duì)無(wú)類網(wǎng)絡(luò)和全零子網(wǎng)的支持（見(jiàn)圖7） 施工管理 施工前準(zhǔn)備 合同簽訂后，客戶和公司雙方派出項(xiàng)目負(fù)責(zé)人，共同協(xié)商制訂施工要求的原則性文件，通過(guò)后，一切照文件實(shí)行。施工前我公司將對(duì)所有參加本次工程的技術(shù)工作人員進(jìn)行工人員守則、和與施工相關(guān)的文件的學(xué)習(xí)，以提高對(duì)工程的認(rèn)知度和對(duì)崗位的責(zé)任感。我們將用明文確定貴校工程的項(xiàng)目負(fù)責(zé)團(tuán)隊(duì)，明確權(quán)利和責(zé)任，在組織上一定保證工程的進(jìn)度和質(zhì)量。 設(shè)備及材料為確保工程的質(zhì)量，對(duì)工程中所用到的所有設(shè)備及材料本公司將嚴(yán)格把關(guān)。選擇質(zhì)量可靠、性能良好的設(shè)備及材料、嚴(yán)格按合同進(jìn)貨、貨到后有雙方工程負(fù)責(zé)人一同驗(yàn)收。 施工過(guò)程管理根據(jù)貴校的情況，安排好施工進(jìn)度，分配施工任務(wù)，加強(qiáng)隨工檢查，在施工過(guò)程中采取如下措施：1 加強(qiáng)對(duì)施工人員的管理2保證施工現(xiàn)場(chǎng)的衛(wèi)生3保證不影響到企業(yè)工作人員的正常工作4保證確保工程的質(zhì)量和進(jìn)度5 在施工過(guò)程中接受企業(yè)相關(guān)人員的檢查指導(dǎo)，及時(shí)征求意見(jiàn)，改進(jìn)工作，提高工作質(zhì)量，直到達(dá)到優(yōu)質(zhì)工程的要求。6絕對(duì)保證施工的安全 施工完成后質(zhì)量的檢查和驗(yàn)收施工完成后，雙方派出有關(guān)人員進(jìn)行全面的質(zhì)量檢查，進(jìn)行系統(tǒng)的總驗(yàn)收。完全達(dá)到雙方簽訂的合同要求后，進(jìn)行工程的總移交。如在合同范圍內(nèi)，不達(dá)到要求的地方一定返工，直到達(dá)到要求為止。 施工步驟系統(tǒng)施工按順序主要分為以下幾個(gè)階段：1管道、線槽鋪設(shè)2穿線3設(shè)備安裝檢查：安裝前，要檢查各設(shè)備外觀及可動(dòng)部分是否正常。固定：按照說(shuō)明書(shū)中提供的方式、尺寸，正確安裝固定和末端裝置及設(shè)備，安裝后，檢查是否正確，是否牢固。4接線接線前，應(yīng)對(duì)各線路進(jìn)行校驗(yàn)，做好標(biāo)記、線號(hào)，正確無(wú)誤后，在按照接線圖進(jìn)行端子接線，接線后，一定要核查、檢查，確保正確。5系統(tǒng)試運(yùn)行6竣工交驗(yàn)第5章 網(wǎng)絡(luò)效果驗(yàn)證 關(guān)鍵三層設(shè)備路由表 接入路由器R1路由表圖51 接入路由器R1路由表路由器R1及R2是本網(wǎng)絡(luò)接入路由器,圖51中,“O(ospf)”路由條目為電信、網(wǎng)通運(yùn)營(yíng)商為本網(wǎng)絡(luò)提供的路由信息?！癉(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在路由器R1上，本網(wǎng)絡(luò)所涉及的所有網(wǎng)段均可達(dá)。 核心層交換機(jī)HX1路由表圖52 核心層交換機(jī)HX1路由表核心層交換機(jī)HX1及HX2是本網(wǎng)絡(luò)核心交換機(jī),圖52中,“D(eigrp) ”為服務(wù)器網(wǎng)段信息。其余“D(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在交換機(jī)HX1上，本網(wǎng)絡(luò)內(nèi)部的所有網(wǎng)段均可達(dá)。 匯聚層交換機(jī)FB1路由表圖53 匯聚層交換機(jī)FB1路由表匯聚層交換機(jī)FB1及FBFBFB4是本網(wǎng)絡(luò)匯聚交換機(jī)，圖53中,“C(connected) ”及“D(eigrp) ”、 “D(eigrp) ”、 “D(eigrp) ”VLAN信息路由條目。其余“D(eigrp)”路由條目為本網(wǎng)絡(luò)三層路由設(shè)備間的路由信息。此路由表信息顯示，在交換機(jī)FB1上，本網(wǎng)絡(luò)內(nèi)部的所有VLAN均可達(dá)。 本部接入層交換機(jī)SW1訪問(wèn)服務(wù)器圖54本部接入層交換機(jī)向服務(wù)器發(fā)送數(shù)據(jù)請(qǐng)求如圖54所示，本地部門(mén)網(wǎng)絡(luò)用戶向服務(wù)器發(fā)送數(shù)據(jù)請(qǐng)求，測(cè)試結(jié)果暢通。 外地分公司R4訪問(wèn)服務(wù)器圖55外地分公司接入路由器向服務(wù)器發(fā)送數(shù)據(jù)請(qǐng)求如圖55所示，外地分公司網(wǎng)絡(luò)用戶向本地服務(wù)器發(fā)送數(shù)據(jù)請(qǐng)求，測(cè)試結(jié)果暢通。 外地分公司SW10訪問(wèn)本部接入交換機(jī)圖56外地分公司接入路由器向本部接入交換機(jī)發(fā)送數(shù)據(jù)請(qǐng)求如圖56所示，外地分公司網(wǎng)絡(luò)用戶向本地部門(mén)網(wǎng)絡(luò)用戶發(fā)送數(shù)據(jù)請(qǐng)求，測(cè)試結(jié)果暢通。 VPN效果驗(yàn)證圖57 VPN連通性驗(yàn)證 如圖所示，路由器