中小型网络项目建设案例

转眼间已经混入IT这行3年了，感觉没啥意思，但是要真是不干这行了，还没想好自己要做什么。为什么会没啥意思，从我的个人经历来说，我工作过私营企业、国有企业，加薪受重视的部门我们排在最后，没有哪家公司愿意培养IT网络管理人员。我们也不怎么受到用人单位的重视，网络正常的时候，没人会想到你；出了问题，有人说你工作没做到位，工资、福利也不是很好！！

虽然有几家公司的工作经历，但是还是很少一进另外一家公司就让你搞网络工程的，很多思科的知识都忘记的差不多了，抽了几天时间把我的思考知识和一些资料进行了整理，写了一个网络案例。其中可能会有不足的地方，也可能有错误的地方，欢迎大家批评指正。





VLAN 及IP地址规划

vlan1 无（vlan名称） 192.168.0.0/24 （ip网段） 192.168.0.254（默认网关） 管理VLAN

vlan10 JWC 192.168.1.0/24 192.168.1.254

vlan20 XSSS 192.168.2.0/24 192.168.2.254

vlan30 CWC 192.168.3.0/24 192.168.3.254

vlan40 JGSS 192.168.4.0/24 192.168.4.254

vlan50 JZX 192.168.5.0/24 192.168.5.254

vlan60 GLX 192.168.6.0/24 192.168.6.254

vlan70 JSJX 192.168.7.0/24 192.168.7.254

vlan100 FWQQ 192.168.100.0/24 192.168.100.254 服务器群VLAN

一、接入层交换机配置，本次实验中接入层只有2台，本文只配置AWS1，像AWS2、AWS3、AWS4等

就不写成操作命令。

1.为访问层交换机命名为ASW1

Switch>enable

Switch#config terminal

Switch(config)#hostname ASW1

2.将交换机设置加密口令123

ASW1(config)#enable secret 123

3.设置登录交换机时的口令cisco

ASW1(config)#line vty 0 15

ASW1(config-line)#login

ASW1(config-line)#password cisco

4.设置终端线超时时间

ASW1(config-line)#line vty 0 15

ASW1(config-line)#exec-timeout 5 30

ASW1(config-line)#line con 0

ASW1(config-line)#exec-timeout 5 30

5.设置禁用IP地址解析特性

ASW1(config-line)#no ip domain-lookup

6.设置启用消息同步特性

ASW1(config)#line con 0

ASW1(config-line)#logging synchronous

ASW1(config-line)#exit

7.配置访问层交换机ASW1的管理IP和默认网关

ASW1(config)#interface vlan 1

ASW1(config-if)#ip address 192.168.0.5 255.255.255.0

ASW1(config-if)#no shutdown

ASW1(config)#ip default-gateway 192.168.0.254

8.配置访问层ASW1的VLAN及VTP

ASW1(config)#vtp mode client

ASW1(config)#interface range fastethernet0/1 - 24

ASW1(config-if-range)#duplex full

ASW1(config-if-range)#speed 100

9.配置访问层交换机ASW1的访问端口1-10

ASW1(config-if-range)#interface range fastethernet0/1 - 10

ASW1(config-if-range)#switchport mode access

ASW1(config-if-range)#switchport access vlan 10

ASW1(config-if-range)#exit

10.配置访问层交换机ASW1的访问端口11-20

ASW1(config)#interface range fastethernet0/11 - 20

ASW1(config-if-range)#switchport mode access

ASW1(config-if-range)#switchport access vlan 20

ASW1(config-if-range)#exit

11.设置快速端口

ASW1(config)#interface range fastethernet0/1 - 20

ASW1(config-if-range)#spanning-tree portfast

12.设置主干道端口

ASW1(config-if-range)#interface range fastethernet 0/23 - 24

ASW1(config-if-range)#switchport mode trunk

13.访问层交换机ASW2为VLAN30和VLAN40的用户提供接入服务。分别通过F0/23、F0/24

上连到分布层交换机DSW1、DSW2的端口F0/24

二、配置分布层交换机DSW1的基本参数。（直接写出命令，不再写出说明）

1.DSW1的基本参数。（直接写出命令，不再写出说明）

Switch>en

Switch#config terminal

Switch(config)#hostname DSW1

DSW1(config)#enable secret 456

DSW1(config)#line con

DSW1(config)#line console 0

DSW1(config-line)#logging synchronous

DSW1(config-line)#exec-timeout 5 30

DSW1(config-line)#line vty 0 15

DSW1(config-line)#password cisco

DSW1(config-line)#login

DSW1(config-line)#exec-timeout 5 30

DSW1(config-line)#exit

DSW1(config)#no ip domain-lookup

2.配置分布层交换机DSW1的管理IP、默认网关

DSW1(config)#interface vlan 1

DSW1(config-if)#ip address 192.168.0.3 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#exit

DSW1(config)#ip default-gateway 192.168.0.254

3.配置分布层交换机DSW1的VTP

（当网络中交换机数量很多时，需要分别在每台交换机上创建很多重复的VLAN。在实际工作中为了

避免出错，采用VLAN中继协议。在本次实验中，将分布层交换机DSW1设置为VTP服务器，其他交换机

为VTP客户端）

每一个vtp管理域都有个共同的VTP管理域域名，不同VTP管理域的交换机之间不交换VTP通告信息。

DSW1#config t

DSW1(config)#vtp domain 51cto--将vtp管理域名定义为“51cto”

DSW1(config)#vtp mode server

在一个vtp域下，只需要在VTP服务器上激活vtp裁剪功能。域下的所有其他交换机也将自动激活VTP裁剪功能。

DSW1(config)#vtp pruning

4.在分布层交换机DSW1上定义VLAN

(除了默认VLAN外又加了8个VLAN,使用VTP技术，所有VLAN信息都只需要在VTP服务器-DSW1上进行，分布层交换机DSW1的端口F0/1-F0/10为服务器提供接入服务。而F0/23、F0/24分别下连到访问层交换机

ASW1的端口F0/23以及ASW2的端口F0/23。分布层交换机DSW1还通过自己的千兆端口G0/1上连

到核心交换机CSW1的G3/1。为了实现冗余设计，分布层交换机DSW1还通过自己的千兆端口G0/2连接

另一台到分布层交换机DSW2的G0/2。

DSW1(config)#vlan 10

DSW1(config-vlan)#name JWC

DSW1(config-vlan)#EXIT

DSW1(config)#vlan 20

DSW1(config-vlan)#name XSSS

DSW1(config-vlan)#exit

DSW1(config)#vlan 30

DSW1(config-vlan)#name CWC

DSW1(config-vlan)#EXIT

DSW1(config)#vlan 40

DSW1(config-vlan)#name JGSS

DSW1(config-vlan)#exit

DSW1(config)#vlan 50

DSW1(config-vlan)#name JZX

DSW1(config-vlan)#EXIT

DSW1(config)#vlan 60

DSW1(config-vlan)#name GLX

DSW1(config-vlan)#EXIT

DSW1(config)#VLAN 70

DSW1(config-vlan)#name JSJX

DSW1(config-vlan)#EXIT

DSW1(config)#VLAN 100

DSW1(config-vlan)#NAME FWQQ

DSW1(config)#interface range fastethernet 0/1 - 24

DSW1(config-if-range)#duplex full

DSW1(config-if-range)#speed 100

DSW1(config-if-range)#interface range fastethernet 0/1 - 10

DSW1(config-if-range)#switchport mode access

DSW1(config-if-range)#switchport access vlan 100

DSW1(config-if-range)#spanning-tree portfast

DSW1(config-if-range)#interface range fastethernet 0/23 - 24

DSW1(config-if-range)#switchport mode trunk

DSW1(config-if-range)#interface range gigaoEthernet 0/1 - 2

DSW1(config-if-range)#switchport mode trunk

4.配置分布层DSW1的三层交换功能。

为网络中的各个VLAN提供路由功能

DSW1(config)#ip routing

5.配置每个VLAN中的网关地址

DSW1#config t

DSW1(config)#interface vlan 10

DSW1(config-if)#ip address 192.168.1.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 20

DSW1(config-if)#ip address 192.168.2.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 30

DSW1(config-if)#ip address 192.168.3.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 40

DSW1(config-if)#ip address 192.168.4.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 50

DSW1(config-if)#ip address 192.168.5.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 60

DSW1(config-if)#ip address 192.168.6.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 70

DSW1(config-if)#ip address 192.168.7.254 255.255.255.0

DSW1(config-if)#no shutdown

DSW1(config-if)#interface vlan 100

DSW1(config-if)#ip address 192.168.100.254 255.255.255.0

DSW1(config-if)#no shutdown

6.定义通往INTERNET路由器，这里使用一条缺省路由命令。

DSW1(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.254

7.配置分布层交换机DSW2

交换机DSW2的端口F0/23 、F0/24分别下连到访问层交换机ASW1的端口F0/24以及访问层交换机ASW2

的端口F0/24。

分布层交换机DSW2还通过自己的千兆端口 G0/1 上连接到核心交换机CSW1的G3/2。

为了实现冗余设计，分布层交换机DSW2还通过自己的千兆端口G0/2连接到分布层DSW1的G0/2

三、配置核心层交换机

1.基本参数配置

Switch>en

Switch#config t

Switch(config)#hostname CSW1

CSW1(config)#enable secret 789

CSW1(config)#line con 0

CSW1(config-line)#logging synchronous

CSW1(config-line)#exec-timeout 0 15

CSW1(config-line)#password abc

CSW1(config-line)#login

CSW1(config-line)#exec-timeout 5 30

CSW1(config-line)#exit

CSW1(config)#no ip domain-lookup

2.管理IP和默认网关

CSW1(config)#interface vlan 1

CSW1(config-if)#ip address 192.168.0.1 255.255.255.0

CSW1(config-if)#no shutdown

CSW1(config)#ip default-gateway 192.168.0.254

3.配置核心层交换机CSW1的vlan及vtp

设置核心层交换机CSW1为VTP客户机

CSW1(config)#vtp mode client

4.配置核心层交换机CSW1的端口参数

核心层交换机CSW1通过自己的端口F4/3同广域网接入模块（路由器）相连。同时，CSW1的端口G3/1-G3/2

分别下连到分布层交换机DSW1和DSW2的端口GigbitEthernet 0/1

CSW1(config)#interface range fastethernet4/1 - 32

CSW1(config-if-range)#duplex full

CSW1(config-if-range)#speed 100

CSW1(config-if-range)#switchport mode access

CSW1(config-if-range)#switchport access vlan 1

CSW1(config-if-range)#spanning-tree portfast

CSW1(config-if-range)#interface range fastethernet4/1 - 2

CSW1(config-if-range)#switchport mode trunk

5将核心交换机CSW1的千兆端口G2/1 、G2/2捆绑在一起实现2000Mbps的千兆以太网信道，然后再连接

到另一台核心层交换机CSW2

CSW1(config)#interface port-channel 1

CSW1(config-if)#switchport

CSW1(config-if)#interface range gigabitethernet 2/1 - 2

CSW1(config-if)#channel-group 1 mode desirable non-silent

CSW1(config-if)#no shutdowni

6.配置核心层交换机CSW1的路由功能

核心层交换机CSW1通过端口F4/3同广域网接入模块相连。需要启用核心层交换机的路由功能。

还要定义通往Internet的路由，这里使用了一条缺省路由命令。下一跳地址是internet 接入路由器的

快速以太网接口F0/0的IP地址。

CSW1(config)#ip routing

CSW1(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.254

7.核心交换机CSW2的配置

核心交换机CSW2的配置命令和CSW1的命令类似，不再做相关配置。

四、广域网接入模块设计

1.配置路由器基本参数

采用思科3640路由器，基本参数的配置步骤如下

Router>enable

Router#config t

Router(config)#hostname R

R(config)#enable secret cisco

R(config)#line con 0

R(config-line)#logging sys

R(config-line)#logging syn

R(config-line)#logging synchronous

R(config-line)#exec-timeout 5 30

R(config-line)#line vty 0 4

R(config-line)#password cisco

R(config-line)#login

R(config-line)#exec

R(config-line)#exec-timeout 5 30

R(config-line)#exit

R(config)#no ip domain-lookup

2.配置接入路由器R的各接口参数

主要针对接口F0/0以及接口S0/0的IP地址、子网掩码配置。

R(config)#interface fastEthernet 0/0

R(config-if)#ip address 192.168.0.254 255.255.255.0

R(config-if)#no shutdown

R(config-if)#interface serial 0/0

R(config-if)#ip address 193.1.1.1 255.255.255.252

R(config-if)#no shutdown

3.配置接入路由R的路由功能

对R路由器要定义两个方向上的路由：到校园网内部静态路由以及到外网上的

缺省路由。

到外网的缺省路由，下一跳从R路由器接口S0/0送出。

R(config)#ip route 0.0.0.0 0.0.0.0 serial 0/0

到校园网内部的路由条目可以经过路由汇总形成2条路由条目。

R(config)#ip route 192.168.0.0 255.255.248.0 192.168.0.3

R(config)#ip route 192.168.100.0 255.255.255.0 192.168.0.3

4.配置接入路由器R上的NAT

本校园网向当地ISP申请了9个IP，其中一个IP为193.1.1.1 分配给外网口

接入路由器的串行接口。另外8个202.205.222.1-202.206.222.8做NAT。

4.1定义NAT内部、外部接口

R(config)#interface fastEthernet 0/0

R(config-if)#ip nat inside

R(config)#interface serial 0/0

R(config-if)#ip nat outside

4.2定义允许进行NAT的工作站的内部局部IP地址范围。

R(config)#ip access-list 1 permit 192.168.0.0 0.0.7.255

4.3为服务器定义静态地址转换

R(config)#ip nat inside source static 192.168.100.1 202.206.222.1

R(config)#ip nat inside source static 192.168.100.2 202.206.222.2

R(config)#ip nat inside source static 192.168.100.3 202.206.222.3

R(config)#ip nat inside source static 192.168.100.4 202.206.222.4

R(config)#ip nat inside source static 192.168.100.5 202.206.222.5

R(config)#ip nat inside source static 192.168.100.6 202.206.222.6

R(config)#ip nat inside source static 192.168.100.7 202.206.222.7

R(config)#ip nat inside source static 192.168.100.8 202.206.222.8

4.4为其他工作站定义复用地址转换

R(config)#ip nat inside source list 1 interface serial 0/0 overload

5.配置接入路由器R上的ACL

5.1对外屏蔽简单网管协议，即SNMP(利用这个协议，远程主机可以监视、控制网络

上的其他网络设备，其服务类型：SNMP,SNMPTRAP)

R(config)#access-list 101 deny udp any any eq snmp

R(config)#access-list 101 deny udp any any eq snmptrap

R(config)#access-list 101 permit ip any any

R(config)#interface serial 0/0

R(config-if)#ip access-group 101 in

5.2对外屏蔽远程登录协议telnet

R(config)#access-list 101 deny tcp any any eq telnet

R(config)#access-list 101 permit ip any any

R(config)#interface serial 0/0

R(config-if)#ip access-group 101 in

5.3对外屏蔽其他不安全协议

主要有SUN OS 的文件共享协议端口2049，远程执行（rsh）、远程登录

（rlogin）和远程命令（rcmd）端口512、513、514，远程过程调用(SUNRPC)

端口111。

R(config)#access-list 101 deny tcp any any range 512 514

R(config)#access-list 101 deny tcp any any eq 111

R(config)#access-list 101 deny udp any any eq 111

R(config)#access-list 101 deny tcp any any range 2049

R(config)#access-list 101 permit ip any any

R(config)#ip access-group 101 in

5.4 针对DOS攻击的设计。

R(config)#access-list 101 deny icmp any any eq echo-request

R(config)#access-list 101 deny udp any any eq echo

R(config)#interface serial 0/0

R(config-if)#ip access-group 101 in

R(config-if)#interface fastethernet 0/0

R(config-if)#no ip directed-broadcast

5.5 保护路由器自身安全

只允许来自服务器群的IP地址访问并配置路由器，这时，可以使用ACCESS-CLASS

命令来进行VTY 访问控制。

R(config)#line vty 0 4

R(config-line)#access-class 2 in

R(config-line)#exit

R(config)#access -list 2 permit 192.168.100.0 0.0.0.255

6、远程访问模块设计

主要为家庭办公用户和出差在外的员工提供远程、移动接入服务。

远程访问有三种可选的服务类型：专线连接、电路交换和包交换。本例

采用异步拨号连接。

6.1对物理线路的配置包括线路速度（DTE、DCE之间的速率）、停止位数、流控

方式、允许呼入连接的协议类型、允许流量的方向等。

R(config)#line 97

R(config-line)#modem InOut

R(config-line)#transport input all

R(config-line)#stopbits 1

R(config-line)#speed 115200

R(config-line)#flowcontrol hardware

6.2 对接口配置包括：接口封装协议类型、接口异步模式、ip地址、为远程客户

分配IP地址的方式。

R(config)#interface async97

R(config-if)#ip address 192.168.200.100 255.255.255.0

R(config-if)#encapsulation ppp

R(config-if)#async mode dedicated

R(config-if)#peer default ip address pool rasclients

6.3建立一个本地的IP地址池，名为rasclients

R(config)#ip local pool rasclients 192.168.200.1 192.168.200.16

6.4配置身份认证

PPP提供了两种可选的身份认证方法：pap口令验证，chap质询握手协议。

本例中采用PAP

R(config)#username remoteuser password cisco

R(config)#interface a

R(config-if)#ppp authentication pap

至于服务器的配置我有时间再贴出来，51cto不错哦！

本文出自 “铁杆” 博客，请务必保留此出处http://tiegan.blog.51cto.com/1353922/443749