网络工程项目设计说明书

名目

概要分析

建立一个可扩展的、高速的、充分冗余的、基于标准的网络，该网络能够支持融合了话音、视频、图像和数据的应用程序。

----要害网络系统：Cisco3640路由器、CiscoCatalyst295024口交换机〔WS-C2950-24〕、CiscoCatalyst3550交换机、CiscoCatalyst4006交换机

----网络解决方法：

对校园网系统整体方案设计

对访咨询层交换机进行配置

对分布层交换机进行配置

对核心层交换机进行配置

对广域网接进路由器进行配置

对远程访咨询效劳器进行配置

对整个校园网系统进行诊断

分析：路由、交换与远程访咨询技术不仅仅是思科的CCNP课程及考试的重点。更是现代计算机网络领域中三大支撑技术体系。它们几乎涵盖了一个完整园区网实现的方方面面。经常有学员讲无法学以致用，事实上，CCNP课程中的每个章节都对应着实际工程中的每个小的案例。只只是，实际工程是各个小案例的综合。在碰到一个实际工程的时候，我们不防采纳自顶向下、模块化的方法、参考3层模型来进行工程的设计和实施。

路由技术：路由协议工作在OSI参考模型的第3层，因此它的作用要紧是在通信子网

间路由数据包。路由器具有在网络中传递数据时选择最正确路径的能力。除了能够完成要紧的路由任务，利用访咨询操纵列表〔AccessControlList，ACL〕，路由器还能够用来完成以路由器为中心的流量操纵和过滤功能。在本工程案例设计中，内网用户不仅通过路由器接进因特网、内网用户之间也通过3层交换机上的路由功能进行数据包交换。交换技术：传统意义上的数据交换发生在OSI模型的第2层。现代交换技术还实现了第3层交换和多层交换。高层交换技术的引进不但提高了园区网数据交换的效率，更大大增强了园区网数据交换效劳质量，满足了不同类型网络应用程序的需要。现代交换网络还引进了虚拟局域网〔VirtualLAN，VLAN〕的概念。VLAN将播送域限制在单个VLAN内部，减小了各VLAN间主机的播送通信对其他VLAN的妨碍。在VLAN间需要通信的时候，能够利用VLAN间路由技术来实现。当网络工程师人员需要治理的交换机数量众多时，能够使用VLAN中继协议〔VlanTrunkingProtocol，VTP〕简化治理，它只需在单独一台交换机上定义所有VLAN。然后通过VTP协议将VLAN定义传播到本治理域中的所有交换机上。如此，大大减轻了网络工程师人员的工作负担和工作强度。为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数据交换的部署是分层进行的。

园区网数据交换设备能够划分为三个层次：访咨询层、分布层、核心层。访咨询层为所有的

终端用户提供一个接进点；分布层除了负责将访咨询层交换机进行聚拢外，还为整个交换网络提供VLAN间的路由选择功能；核心层将各分布层交换机互连起来进行穿越园区网骨干的高速数据交换。在本工程案例设计中，也将采纳这三层进行分开设计、配置。

远程访咨询技术：远程访咨询也是园区网络必须提供的效劳之一。它能够为家庭办公用户和出差在外的职员提供移动接进效劳。远程访咨询有三种可选的效劳类型：专线连接、电路交换和包交换。不同的广域网连接类型提供的效劳质量不同，花费也不相同。企业用户能够依据

所需带宽、本地效劳可用性、花费等因素综合考虑，选择一种适合企业自身需要的广域网接进方案。〕在本工程案例设计中，分不采纳专线连接〔到因特网〕和电路交换〔到校园网〕两种方式实现远程访咨询需求。

作为一个较为完整的园区网实现，路由、交换与远程访咨询技术缺一不可。在后面的内容中，我们将就每一技术领域的常用技术的实现进行具体的讨论。通过本书后面章节的学习，相信读者能够系统地把握园区网的设计、实施以及维护技巧。

一系统总体设计方案概述

为了讲明要紧咨询题，在本设计方案中对实际校园网的设计进行了适当和必要的简化。同时，将重点放在网络主干的设计上，关于效劳器的架设只作简单介绍。

系统组成与拓扑结构

为了实现网络设备的统一，本设计方案中完全采纳同一厂家的网络产品，即Cisco公司的网络设备构建。全网使用同一厂商设备的好处是能够实现各种不同网络设备功能的互相配合和补充。本校园网设计方案要紧由以下四大局部构成：交换模块、广域网接进模块、远程访咨询模块、效劳器群。整个网络系统的拓扑结构图如图1-1所示。在后面的几节中我们将依据此图分块进行介绍。

图1-1校园网整体拓扑结构图

VLAN及IP地址规划

整个校园网中VLAN及IP编址方案如表所示。

表1-1VLAN及IP编址方案

除了表中的内容外，拨号用户从中动态取得IP地址。

为了简化起见，那个地方我们只规划了8个VLAN，同时为每个VLAN定义了一个由拼音缩写组成的VLAN名称。

二交换模块设计

为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数据交换的部署是分层进行的。

园区网数据交换设备能够划分为三个层次：访咨询层、分布层、核心层。传统意义上的数据交换发生在OSI模型的第2层。现代交换技术还实现了第3层交换和多层交换。高层交换技术的引进不但提高了园区网数据交换的效率，更大大增强了园区网数据交换效劳质量，满足了不同类型网络应用程序的需要。

现代交换网络还引进了虚拟局域网〔VirtualLAN，VLAN〕的概念。VLAN将播送域限制在单个VLAN内部，减小了各VLAN间主机的播送通信对其他VLAN的妨碍。在VLAN间需要通信的时候，能够利用VLAN间路由技术来实现。

当网络工程师人员需要治理的交换机数量众多时，能够使用VLAN中继协议〔Vlan TrunkingProtocol，VTP〕简化治理，它只需在单独一台交换机上定义所有VLAN。然后通过VTP协议将VLAN定义传播到本治理域中的所有交换机上。如此，大大减轻了网络工程师人员的工作负担和工作强度。

当园区网络的交换机数量增多、交换机间链路增加时，交换网络的复杂性可能会造成交换环路咨询题，这需要通过在各交换机上运行生成树协议〔SpanningTreeProtocol，STP〕来解决。

一个好的校园网设计应该是一个分层的设计。一般分为三层设计模型。

2.1访咨询层交换效劳的实现－配置访咨询层交换机

访咨询层为所有的终端用户提供一个接进点。那个地方的访咨询层交换机采纳的是CiscoCatalyst295024口交换机〔WS-C2950-24〕。交换机拥有24个10/100Mbps自习惯快速以太网端口，运行的是Cisco的IOS操作系统。我们以图1-1中的访咨询层交换机AccessSwitch1为例进行介绍。

如图2-1所示

图2-1访咨询层交换机AccessSwitch1

1．配置访咨询层交换机AccessSwitch1的全然参数

〔1〕设置交换机名称设置交换机名称，也确实是基本出现在交换机CLI提示符中的名字。一般我们会以地理位置或行政划分来为交换机命名。当我们需要Telnet登录到假设干台交换机以维护一个大型网络时，通过交换机名称提示符提示自己当前配置交换机的位置是非常有必的。如图2-2所示，为访咨询层交换机AccessSwitch1命名。

图2-2为访咨询层交换机AccessSwitch1命名

〔2〕设置交换机的加密使能口令当用户在一般用户模式而想要进进特权用户模式时，需要提供此口令。此口令会以MD5的形式加密，因此，当用户查瞧配置文件时，无法瞧到明文形式的口令。如图2-2所示，将交换机的加密使能口令设置为secretpasswd。

图2-3为交换机设置加密使能口令

〔3〕设置登录虚拟终端线时的口令关于一个差不多运行着的交换网络来讲，交换机的带内远程治理为网络工程师人员提供了许多的方便。然而，处于平安考虑，在能够远程治理交换机之前网络工程师人员必须设置远程登录交换机的口令。如图2-2所示，设置登录交换机时需要验证用户身份，同时设置口令为youguess。

图2-2为访咨询层交换机AccessSwitch1命名

〔4〕设置终端线超时时刻为了平安考虑，能够设置终端线超时时刻。在设置的时刻内，假如没有检测到键盘输进，IOS将断开用户和交换机之间的连接。如图2-2所示，设置登录交换

机的操纵台终端线路及虚拟终端线的超时时刻为5分30秒钟。

图2-2设置操纵台终端线路和虚拟终端线路的超时时刻

〔5〕设置禁用IP地址解析特性在交换机默认配置的情况下，当我们输进一条错误的交换机命令时，交换时机尝试将其播送给网络上的DNS效劳器并将其解析成对应的IP地址。利用命令noipdomain-lookup。能够禁用那个特性如图2-2所示，设置禁用IP地址解析特性。

图2-3设置禁用IP地址解析特性

〔6〕设置启用消息同步特性有时，用户输进的交换机配置命令会被交换机产生的消息打乱。能够使用命令loggingsynchronous设置交换机在下一行CLI提示符后复制用户的输进。如图2-2所示，设置启用消息同步特性。

图2-3设置启用消息同步特性

2．配置访咨询层交换机AccessSwitch1的治理IP、默认网关

访咨询层交换机是OSI参考模型的第2层设备，即数据链路层的设备。因此，给访咨询层交换机的每个端口设置IP地址是没意义的。然而，为了使网络工程师人员能够从远程登录到访咨询层交换机上进行治理，必要给访咨询层交换机设置一个治理用IP地址。这种情况下，实际上是将交换机瞧成和PC机一样的主机。

给交换机设置治理用IP地址只能在VLAN1，即本征VLAN中进行。按照表1-1，治理VLAN 所在的子网是：，那个地方将访咨询层交换机AccessSwitch1的治理IP地址设为：如图2-3所示，显示了为访咨询层交换机AccessSwitch1设置治理IP并激活本征VLAN。

图2-2设置访咨询层交换机AccessSwitch1的治理IP

为了使网络工程师人员能够在不同的子网治理此交换机，还应设置默认网关地址。如如下面图。

图2-2设置访咨询层交换机AccessSwitch1的默认网关地址

3．配置访咨询层交换机AccessSwitch1的VLAN及VTP

从提高效率的角度动身，在本校园网实现实例中使用了VTP技术。同时，将分布层交换机DistributeSwitch1设置成为VTP效劳器，其他交换机设置成为VTP客户机。

那个地方访咨询层交换机AccessSwitch1将通过VTP获得在分布层交换机DistributeSwitch1中定义的所有VLAN的信息。如如下面图，设置访咨询层交换机AccessSwitch1成为VTP客户机。

图2-2设置访咨询层交换机AccessSwitch1成为VTP客户机

4．配置访咨询层交换机AccessSwitch1端口全然参数

〔1〕端口双工配置

能够设定某端口依据对端设备双工类型自动调整本端口双工模式，也能够强制将端口双

工模式设为半双工或全双工模式。在了解对端设备类型的情况下，建议手动设置端口双工模式。如如下面图，设置访咨询层交换机AccessSwitch1的所有端口均工作在全双工模式。

图2-2设置访咨询层交换机AccessSwitch1的端口工作模式〔2〕端口速度能够设定某端口依据对端设备速度自动调整本端口速度，也能够强制将

端口速度设为10Mpbs或100Mbps。在了解对端设备速度的情况下，建议手动设置端口速度。如如下面图，设置访咨询层交换机AccessSwitch1的所有端口的速度均为100Mbps。

图2-4设置访咨询层交换机AccessSwitch1的端口速度

5．配置访咨询层交换机AccessSwitch1的访咨询端口

访咨询层交换机AccessSwitch1为终端用户提供接进效劳。在图中，访咨询层交换机AccessSwitch1为VLAN10、VLAN20提供接进效劳。

〔1〕设置访咨询层交换机AccessSwitch1的端口1～10如如下面图，设置访咨询层交换机AccessSwitch1的端口1～端口10工作在访咨询〔接进〕模式。同时，设置端口1～端口10为VLAN10的成员。

图2-2设置访咨询层交换机AccessSwitch1的端口1～10

〔2〕设置访咨询层交换机AccessSwitch1的端口11～20

如如下面图，设置访咨询层交换机AccessSwitch1的端口11～端口20工作在访咨询〔接进〕模式。同时，设置端口1～端口10为VLAN20的成员。

图2-2设置访咨询层交换机AccessSwitch1的端口11～20

〔3〕设置快速端口

默认情况下，交换机在刚加电启动时，每个端口都要经历生成树的四个时期：堵塞、侦听、学习、转发。在能够转发用户的数据包之前，某个端口可能最多要等50秒钟的时刻〔20秒的堵塞时刻＋15秒的侦听延迟时刻＋15秒的学习延迟时刻〕。

关于直截了当接进终端工作站的端口来讲，用于堵塞和侦听的时刻是不必要的。为了加速交换机端口状态转化时刻，能够设置将某端口设置成为快速端口〔Portfast〕。设置为快速端口的端口当交换机启动或端口有工作站接进时，将会直截了当进进转发状态，而可不能经历堵塞、侦听、学习状态〔假设桥接表差不多建立〕。

如如下面图，设置访咨询层交换机AccessSwitch1的端口1～端口20为快速端口。

图2-2设置快速端口

6．配置访咨询层交换机AccessSwitch1的主干道端口

如如下面图，访咨询层交换机AccessSwitch1通过端口FastEthernet0/23上连到分布层交换机DistributeSwitch1。同时，访咨询层交换机AccessSwitch1还通过端口FastEthernet0/24上连到分布层交换机DistributeSwitch2。

这两条上连链路将成为主干道链路，在这两条上连链路上将运输多个VLAN的数据。

如如下面图，设置访咨询层交换机AccessSwitch1的端口FastEthernet0/23、FastEthernet0/24为主干道端口。

图2-2设置主干道端口

Switch(config)#spanning-treeuplinkfast

7．配置访咨询层交换机AccessSwitch2

访咨询层交换机AccessSwitch2为VLAN30和VLAN40的用户提供接进效劳。同时，分不通过自己的FastEthernet0/23、FastEthernet0/24上连到分布层交换机DistributeSwitch1、

DistributeSwitch2。如如下面图，是访咨询层交换机AccessSwitch2的连接示意图。

图2-2访咨询层交换机AccessSwitch2的连接示意图

对访咨询层交换机AccessSwitch2的配置步骤、命令和对访咨询层交换机AccessSwitch1的配置类似。那个地方，不再具体分析，只给出最后的配置文件内容〔只留下了必要的命令〕。

需要指出的是，为了提供主干道的吞吐量，能够采纳链路捆绑〔快速以太网信道〕技术增加可用带宽。例如，能够将访咨询层交换机AccessSwitch1的端口FastEthernet0/21和FastEthernet0/22捆绑在一起实现200Mbps的快速以太网信道，然后再上连到分布层交换机DistributeSwitch1。同样，也能够将访咨询层交换机AccessSwitch1的端口FastEthernet0/23和FastEthernet0/24捆绑在一起实现200Mbps的快速以太网信道，然后再上连到分布层交换机DistributeSwitch2。具体的配置步骤和命令我们将在核心层交换机的配置一节中进行介绍。

8．访咨询层交换机的其它可选配置

〔1〕Uplinkfast

访咨询层交换机AccessSwitch1通过两条冗余上行链路分不接进分布层交换机DistributeSwitch1和、DistributeSwitch2。在生成树的作用下，其中一条上行链路处于转发状态，而另一条上行链路处于堵塞状态。当处于转发状态的链路因故障断开后，通过大约

50秒钟的时刻，处于堵塞状态的链路才能替代故障链路工作。

Uplinkfast特性能够使得当主上行链路失败后，处于堵塞状态的上行链路〔备份上行链路〕能够马上启用。如如下面图，是在访咨询层交换机AccessSwitch1上启用Uplinkfast特性。同样的步骤也能够在访咨询层交换机AccessSwitch2上进行配置。

图2-2启用Uplinkfast特性

注重，Uplinkfast特性只能在访咨询层交换机上启用。

〔2〕Backbonefast

Backbonefast的作用与Uplinkfast类似，也用于加快生成树的收敛。所不同的是，Backbonefast能够检测到间接链路〔非直连链路〕故障并马上使得相应堵塞端口的最大寿命计时器到时，从而缩短该端口能够开始转发数据包的时刻。如如下面图，是在访咨询层交换机AccessSwitch1上启用Backbonefast特性。同样的步骤需要在网络中的所有交换机上进行配置。图2-2启用Backbonefast特性注重，Backbonefast特性需要在网络中所有交换机上进行配置。

2.2分布层交换效劳的实现－配置分布层交换机

分布层除了负责将访咨询层交换机进行聚拢外，还为整个交换网络提供VLAN间的路由选择功能。

那个地方的分布层交换机采纳的是CiscoCatalyst3550交换机。作为3层交换机，CiscoCatalyst3550交换机拥有24个10/100Mbps自习惯快速以太网端口，同时还有2个1000Mbps 的GBIC端口供上连使用，运行的是Cisco的IntegratedIOS操作系统。我们以图1-1中的分布层交换机DistributeSwitch1为例进行介绍。如图2-1所示：

图2-1分布层交换机DistributeSwitch1

1．配置分布层交换机DistributeSwitch1的全然参数

对分布层交换机DistributeSwitch1的全然参数的配置步骤与对访咨询层交换机

AccessSwitch1的全然参数的配置类似。那个地方，只给出实际的配置步骤，不再给出解释。

图2-1配置分布层交换机DistributeSwitch1的全然参数

2．配置分布层交换机DistributeSwitch1的治理IP、默认网关

如图2-3所示，显示了为分布层交换机DistributeSwitch1设置治理IP并激活本征VLAN。同时，还设置了默认网关的地址。

图2-2分布层交换机DistributeSwitch1的治理IP、默认网关

3．配置分布层交换机DistributeSwitch1的VTP

当网络中交换机数量许多时，需要分不在每台交换机上创立许多重复的VLAN。工作量非常大、过程非常繁琐，同时轻易出错。我们常采纳VLAN中继协议〔VlanTrunkingProtocol，VTP〕来解决那个咨询题。

VTP答应我们在一台交换机上创立所有的VLAN。然后，利用交换机之间的互相学习功能，将创立好的VLAN定义传播到整个网络中需要此VLAN定义的所有交换机上。同时，有关VLAN的删除、参数更改操作均可传播到其他交换机。从而大大减轻了网络工程师人员配置交换机负担。

在本校园网实现实例中使用了VTP技术。同时，将分布层交换机DistributeSwitch1设置成为VTP效劳器，其他交换机设置成为VTP客户机。

〔1〕配置VTP治理域

共享相同VLAN定义数据库的交换机构成一个VTP治理域。每一个VTP治理域都有一个共同的VTP治理域域名。不同VTP治理域的交换机之间不交换VTP通告信息。如如下面图

9-4-2，将VTP治理域的域名定义为"nciae"。

图2-2设置VTP治理域的域名

〔2〕设置VTP效劳器

工作在VTP效劳器模式下的交换机能够创立、删除VLAN、修改VLAN参数。同时，还有责任发送和转发VLAN更新消息。如如下面图，设置分布层交换机DistributeSwitch1成为VTP 效劳器。

图2-2设置分布层交换机DistributeSwitch1成为VTP效劳器

〔3〕激活VTP剪裁功能

默认情况下主干道传输所有VLAN的用户数据。有时，交换网络中某台交换机的所有端口都属于同一VLAN的成员，没有必要接收其他VLAN的用户数据。这时，能够激活主干道上的VTP剪裁功能。当激活了VTP剪裁功能以后，交换机将自动剪裁本交换机没有定义的VLAN数据。

在一个VTP域下，只需要在VTP效劳器上激活VTP剪裁功能。同一VTP域下的所有其他交换机也将自动激活VTP剪裁功能。

如如下面图，设置激活VTP剪裁功能。

图2-2激活VTP剪裁功能

4．在分布层交换机DistributeSwitch1上定义VLAN

在本校园网实现实例中，除了默认的本征VLAN外，又定义了8个VLAN，如表1-1所示。由于使用了VTP技术，因此所有VLAN的定义只需要在VTP效劳器，即分布层交换机DistributeSwitch1上进行。

如如下面图，定义了8个VLAN，同时为每个VLAN命名。

图2-1定义VLAN

5．配置分布层交换机DistributeSwitch1的端口全然参数

分布层交换机DistributeSwitch1的端口FastEthernet0/1～FastEthernet0/10为效劳器群提供接进效劳，而端口FastEthernet0/23、FastEthernet0/24分不下连到访咨询层交换机AccessSwitch1的端口FastEthernet0/23以及访咨询层交换机AccessSwitch2的端口FastEthernet0/23。

此外，分布层交换机DistributeSwitch1还通过自己的千兆端口GigabitEthernet0/1上连到核心交换机CoreSwitch1的GigabitEthernet3/1。

为了实现冗余设计，分布层交换机DistributeSwitch1还通过自己的千兆端口GigabitEthernet0/2连接另一台到分布层交换机DistributeSwitch2的GigabitEthernet0/2。如如下面图，给出了对所有访咨询端口、主干道端口的配置步骤和命令。

图2-2设置分布层交换机DistributeSwitch1的各端口参数

6．配置分布层交换机DistributeSwitch1的3层交换功能

分布层交换机DistributeSwitch1需要为网络中的各个VLAN提供路由功能。这需要首先启用分布层交换机的路由功能。如如下面图。

图2-2启用路由功能

接下来，需要为每个VLAN定义自己的默认网关地址，如如下面图。

图2-2定义各VLAN的默认网关地址

此外，还需要定义通往Internet的路由。那个地方使用了一条缺省路由命令，如如下面图。其中，下一跳地址是Internet接进路由器的快速以太网接口FastEthernet0/0的IP地址。

图2-2定义到Internet的缺省路由

7．配置分布层交换机DistributeSwitch2

分布层交换机DistributeSwitch2的端口FastEthernet0/23、FastEthernet0/24分不下连到访咨询层交换机AccessSwitch1的端口FastEthernet0/24以及访咨询层交换机AccessSwitch2的端口FastEthernet0/24。

此外，分布层交换机DistributeSwitch2还通过自己的千兆端口GigabitEthernet0/1上连到核心交换机CoreSwitch1的GigabitEthernet3/2。

为了实现冗余设计，分布层交换机DistributeSwitch2还通过自己的千兆端口

GigabitEthernet0/2连接到分布层交换机DistributeSwitch1的GigabitEthernet0/2。如图

所示。

图2-1分布层交换机DistributeSwitch2

对分布层交换机DistributeSwitch2的配置步骤、命令和对分布层交换机DistributeSwitch1的配置类似。那个地方，不再具体分析。

8．其它配置

为了实现对无类不网络〔ClasslessNetwork〕以及全零子网〔Subnet-zero〕的支持，在充当3层交换机的分布层交换机DistributeSwitch1，还需要进行适当的配置，如如下面图。

图2-2定义对无类不网络以及全零子网的支持

系统硬件、软件选型及版本

2.3核心层交换效劳的实现－配置核心层交换机

核心层将各分布层交换机互连起来进行穿越园区网骨干的高速数据交换。

本实例中的核心层交换机采纳的是CiscoCatalyst4006交换机，采纳了

Catalyst4500SupervisorIIPlus〔WS-X4013+〕作为交换机引擎。运行的是Cisco的IntegratedIOS 操作系统，操作系统版本号是。

在作为核心层交换机的CiscoCatalyst4006交换机中，安装了WS-X4306-GB

〔Catalyst4000GigabitEthernetModule,6-Ports(GBIC)〕模块，该模块提供了5个千兆光纤上连接口，能够用来接进WS-G5484〔1000BASE-SXShortWavelengthGBIC(Multimodeonly)〕。我们以图1-1中的核心层交换机CoreSwitch1为例进行介绍。如图2-1所示

1.配置核心层交换机CoreSwitch1的全然参数

对核心层交换机CoreSwitch1的全然参数的配置步骤与对访咨询层交换机AccessSwitch1的全然参数的配置类似。那个地方，只给出实际的配置步骤，不再给出解释。

图2-1配置核心层交换机CoreSwitch1的全然参数

2．配置核心层交换机CoreSwitch1的治理IP、默认网关

如图2-3所示，显示了为核心层交换机CoreSwitch1设置治理IP并激活本征VLAN。同时，还设置了默认网关的地址。

图2-2核心层交换机CoreSwitch1的治理IP、默认网关

3.配置核心层交换机CoreSwitch1的的VLAN及VTP

在本实例中，核心层交换机CoreSwitch1也将作为VTP客户机。那个地方核心层交换机CoreSwitch1将通过VTP获得在分布层交换机DistributeSwitch1中定义的所有VLAN的

信息。如如下面图，设置核心层交换机CoreSwitch1成为VTP客户机。

图2-2设置核心层交换机CoreSwitch1成为VTP客户机

4.配置核心层交换机CoreSwitch1的端口参数

核心层交换机CoreSwitch1通过自己的端口FastEthernet4/3同广域网接进模块〔Internet路由器〕相连。同时，核心层交换机CoreSwitch1的端口GigabitEthernet3/1～GigabitEthernet3/2分不下连到分布层交换机DistributeSwitch1和DistributeSwitch2的端口GigabitEthernet0/1。

如如下面图，给出了对上述端口的配置命令。

图2-2设置核心层交换机CoreSwitch1的各端口参数

此外，为了提供主干道的吞吐量以及实现冗余设计，在本设计中，将核心层交换机CoreSwitch1的千兆端口GigabitEthernet2/1、GigabitEthernet2/2捆绑在一起实现2000Mbps的千兆以太网信道，然后再连接到另一台核心层交换机CoreSwitch2。如如下面图，是设置核心层交换机CoreSwitch1的千兆以太网信道的步骤。

图2-2设置核心层交换机CoreSwitch1的千兆以太网信道

5．配置核心层交换机CoreSwitch1的路由功能

核心层交换机CoreSwitch1通过端口FastEthernet4/3同广域网接进模块〔Internet路由器〕相连。因此，需要启用核心层交换机的路由功能。同时，还需要定义通往Internet的路由。那个地方使用了一条缺省路由命令，如如下面图。其中，下一跳地址是Internet接进路由

器的快速以太网接口FastEthernet0/0的IP地址。

图2-2定义到Internet的缺省路由如如下面图。

6．其它配置

为了实现对无类不网络〔ClasslessNetwork〕以及全零子网〔Subnet-zero〕的支持，在充当3层交换机的核心层交换机CoreSwitch1，还需要进行适当的配置，如如下面图。

图2-2定义对无类不网络以及全零子网的支持

7．核心层交换机CoreSwitch2的配置

关于图1-1-中的核心层交换机CoreSwitch2的配置步骤、命令和对核心层交换机CoreSwitch1的配置类似。那个地方，不再具体分析。同时，关于配置核心层交换机CoreSwitch2下连的一系列交换机，其连接方法以及配置步骤和命令同图1-1-中核心层交换机CoreSwitch1下连的一系列交换机的连接方法以及配置步骤和命令类似。那个地方，也不再赘述。

三广域网接进模块设计

在本设计中，广域网接进模块的功能是由广域网接进路由器InternetRouter来完成的。采纳的是Cisco的3640路由器。它通过自己的串行接口serial0/0使用DDN〔128K〕技术接进Internet。它的作用要紧是在Internet和校园网内网间路由数据包。除了完成要紧的路由任务外，利用访咨询操纵列表〔AccessControlList，ACL〕，广域网接进路由器InternetRouter还能够用来完成以自身为中心的流量操纵和过滤功能并实现一定的平安功能。

图3-1

3.1配置接进路由器InternetRouter的全然参数

对接进路由器InternetRouter的全然参数的配置步骤与对访咨询层交换机AccessSwitch1的全然参数的配置类似。那个地方，只给出实际的配置步骤，不再给出解释。

图2-1配置接进路由器InternetRouter的全然参数

3.2配置接进路由器InternetRouter的各接口参数

对接进路由器InternetRouter的各接口参数的配置要紧是对接口FastEthernet0/0以及接口Serial0/0的IP地址、子网掩码的配置。如图2-3所示，显示了为接进路由器InternetRouter的各接口设置IP地址、子网掩码。

图2-2接进路由器InternetRouter的治理IP、默认网关

3.3配置接进路由器InternetRouter的路由功能

在接进路由器InternetRouter上需要定义两个方向上的路由：到校园网内部的静态路由以及到Internet上的缺省路由。

到Internet上的路由需要定义一条缺省路由，如如下面图。其中，下一跳指定从本路由器的接口serial0/0送出。

图2-2定义到Internet的缺省路由

到校园网内部的路由条目能够通过路由汇总后形成两条路由条目。如如下面图。

图2-2定义到校园网内部的路由

3.4配置接进路由器InternetRouter上的NAT

由于目前IP地址资源特不稀缺，对不可能给校园网内部的所有工作站都分配一个公有IP 〔Internet可路由的〕地址。为了解决所有工作站访咨询Internet的需要，必须使用NAT〔网络地址转换〕技术。

为了接进Internet，本校园网向当地ISP申请了9个IP地址。其中一个IP地址：被分配给了Internet接进路由器的串行接口，另外8个IP地址：～用作NAT。NAT的配置能够分为以下几个步骤。

〔1〕定义NAT内部、外部接口

图3-3显示了如何定义NAT内部、外部接口。

图2-1定义NAT内部、外部接口

〔2〕定义答应进行NAT的内部局部IP地址范围

图3-3显示了如何定义答应进行NAT的内部局部IP地址范围。

图2-2定义内部局部IP地址范围

〔3〕为效劳器定义静态地址转换图3-3显示了如何为效劳器定义静态地址转换。

图2-1为效劳器定义静态地址转换

〔4〕为其他工作站定义复用地址转换

图3-3显示了如何为其他工作站定义复用地址转换。

图2-1为工作站定义复用地址转换

3.5配置接进路由器InternetRouter上的ACL

路由器是外网进进校园网内网的第一道关卡，是网络防备的前沿阵地。路由器上的访咨询操纵列表〔AccessControlList，ACL〕是保卫内网平安的有效手段。一个设计良好的访咨询操纵列表不仅能够起到操纵网络流量、流向的作用，还能够在不增加网络系统软、硬件投资的情况下完成一般软、硬件防火墙产品的功能。由于路由器介于企业内网和外网之间，是外网与内网进行通信时的第一道屏障，因此即使在网络系统安装了防火墙产品后，仍然有必要对路由器的访咨询操纵列表进行缜密的设计，来对企业内网包括防火墙本身实施保卫。

那个地方，在本实例中，我们将针对效劳器以及内网工作站的平安给出广域网接进路由器InternetRouter上ACL的配置方案。

在网络环境中还普遍存在着一些特不重要的、妨碍效劳器群平安的隐患。在尽大多数网络环境的实现中它们基本上应该对外加以屏蔽的。要紧应该做以下的ACL设计：

〔1〕对外屏蔽简单网管协议，即SNMP。

利用那个协议，远程主机能够监视、操纵网络上的其它网络设备。它有两种效劳类型：SNMP和SNMPTRAP。如如下面图，显示了如何设置对外屏蔽简单网管协议SNMP。

图2-1对外屏蔽简单网管协议SNMP

〔2〕对外屏蔽远程登录协议telnet

首先，telnet是一种不平安的协议类型。用户在使用telnet登录网络设备或效劳器时所使用的用户名和口令在网络中是以明文传输的，非常轻易被网络上的非法协议分析设备截获。其次，telnet能够登录到大多数网络设备和UNIX效劳器，并能够使用相关命令完全操纵它们。这是极其危险的，因此必须加以屏蔽。如如下面图，显示了如何对外屏蔽远程登录协议telnet

图2-1对外屏蔽远程登录协议telnet

〔3〕对外屏蔽其它不平安的协议或效劳

如此的协议要紧有SUNOS的文件共享协议端口2049，远程执行〔rsh〕、远程登录〔rlogin〕和远程命令〔rcmd〕端口512、513、514，远程过程调用〔SUNRPC〕端口111。

能够将针对以上协议综合进行设计，如如下面图。

图2-1对外屏蔽其它不平安的协议或效劳

〔4〕针对DoS攻击的设计DoS攻击〔DenialofServiceAttack，拒尽效劳攻击〕是一种非经常见而且极具破坏力的攻击手段，它能够导致效劳器、网络设备的正常效劳进程停止，严峻时会导致效劳器操作系统崩溃。图显示了如何设计针对常见DoS攻击的ACL

图2-1针对DoS攻击的设计

〔5〕保卫路由器自身平安作为内网、外网间屏障的路由器，保卫自身平安的重要性也是不言而喻的。为了阻止黑客进侵路由器，必须对路由器的访咨询位置加以限制。

应只答应来自效劳器群的IP地址访咨询并配置路由器。这时，能够使用ACCESS-CLASS命令进行VTY访咨询操纵。如如下面图。

图2-1保卫路由器自身平安

3.6其它配置

为了实现对无类不网络〔ClasslessNetwork〕以及全零子网〔Subnet-zero〕的支持，在充当3层交换机的核心层交换机CoreSwitch1，还需要进行适当的配置，如如下面图。

图2-2定义对无类不网络以及全零子网的支持

四远程访咨询模块设计

远程访咨询也是园区网络必须提供的效劳之一。它能够为家庭办公用户和出差在外的职员提供移动接进效劳。如图4-1所示。

图4-1远程访咨询效劳

远程访咨询有三种可选的效劳类型：专线连接、电路交换和包交换。不同的广域网连接类型提供的效劳质量不同，花费也不相同。在本设计中，由于面对的用户群规模、业务量较小，因此采纳了异步拨号连接作为远程访咨询的技术手段。

异步拨号连接属于电路交换类型的广域网连接，它是在传统公共交换网〔PublicSwitchedTelephoneNetwork，PSTN〕上提供效劳的。传统PSTN提供的效劳也被称为简易老式业务〔PlanOldTelephoneSystem，POTS〕。因为目前存在着大量安装好的线，因此如此的环境是最轻易满足的。因此，异步拨号连接也就成为最为方便和普遍的远程访咨询类型。

广域网连接能够采纳不同类型的封装协议，如HDLC、PPP等。其中，PPP除了提供身份认证功能外，还能够提供其他许多可选项配置，包括链路压缩、多链路捆绑、回喊等，因此更具优势。也是本设计所采纳的异步连接封装协议。

在本设计中采纳了能够集成在广域网接进路由器InternetRotuer中的异步Modem模块NM-16AM〔8PortAnalogModemNetworkModule〕提供远程访咨询效劳。它能够同时对最多16路拨号用户提供远程接进效劳。

以下介绍一下配置异步拨号模块NM-16AM的步骤。

1．配置物理线路的全然参数

对物理线路的配置包括配置线路速度〔DTE、DCE之间的速率〕、停止位位数、流控

方式、答应呼进连接的协议类型、答应流量的方向等。如如下面图，是对以上参数进行配置。

图2-1保卫路由器自身平安

2．配置接口全然参数

对接口全然参数的配置包括：接口封装协议类型、接口异步模式、IP地址、为远程客户分配IP地址的方式等。那个地方，设置远程客户从IP地址池rasclients中获得IP地址。

图2-1配置接口全然参数

接下来，需要建立一个本地的IP地址池。

如下所示，建立了一个名为rasclients的IP地址池。其IP地址范围是：～。

图2-1指定IP地址池

3．配置身份认证

PPP提供了两种可选的身份认证方法：口令验证协议PAP 〔PasswordAuthenticationProtocol，PAP〕和质询握手协议〔ChallengeHandshakeAuthenticationProtocol，CHAP〕。

PAP是一个简单的、有用的身份验证协议。PAP认证进程只在双方的通信链路建立初期进行。假如认证成功，在通信过程中不再进行认证。假如认证失败，那么直截了当释放链路。

CHAP认证比PAP认证更平安，因为CHAP不在线路上发送明文密码，而是发送通过

摘要算法加工过的随机序列，也被称为"挑战字符串"。如如下面图14-1-5。同时，身份认证能够随时进行，包括在双方正常通信过程中。因此，非法用户就算截获并成功破解了一次密码，此密码也将在一段时刻内失效。

CHAP对端系统要求非常高，因为需要屡次进行身份质询、响应。这需要消耗较多的CPU资源，因此只用在对平安要求非常高的场合。PAP尽管有着用户名和密码是明文发送的弱点，然而认证只在链路建立初期进行，因此节约了宝贵的链路带宽。

本设计中将采纳PAP身份认证方法。

〔1〕建立本地口令数据库

如如下面图建立本地口令数据库。

图2-2建立本地口令数据库

〔2〕设置进行PAP认证

图2-2建立本地口令数据库

五效劳器模块设计

效劳器模块用来对校园网的接进用户提供各种效劳。在本设计方案中，所有的效劳器

被集中到VLAN100构成效劳器群并通过分不层交换机DistributeSwitch1的端口fastethernet 1～20接进校园网。如如下面图。

图5-1效劳器群

校园网提供的常见的效劳〔效劳器〕包括：

WEB效劳器：提供WEB网站效劳。

DNS、名目效劳器：提供域名解析以及名目效劳。

FTP、文件效劳器：提供文件传输、共享效劳。

邮件效劳器：提供邮件收发效劳。

数据库效劳器：提供各种数据库效劳。

打印效劳器：提供打印机共享效劳。

实时通信效劳器：提供实时通信效劳。

流媒体效劳器：提供各种流媒体播放、点播效劳。

网管效劳器：对校园网网络设备进行综合治理。

如如下面图。显示了各效劳器IP地址配置情况。

图4-5-1"标准ACL"实验环境

表给出了所有的效劳器硬件平台、操作系统以及效劳软件的选型表。

表1-1VLAN及IP编址方案

限于篇幅，关于各种效劳器的安装、配置步骤以及运行维护方法，那个地方不再赘述，感爱好的读者能够参瞧有关参考书。

六总结〔其他、测试〕

6.1系统测试

前面几节中，我们对如何设计一个较为完整的校园网网络进行了具体的介绍。当校园网初具规模后，还应该对校园网的整体运行情况做一下细致的测试和评估。

要紧的测试内容应该包括：对治理IP地址的测试。

对相同VLAN内的通信进行测试。

对不同VLAN内的通信进行测试。

对冗余链路的工作状态进行测试。

对广域网接进路由器上的NAT进行测试。

对广域网接进路由器上的ACL进行测试。

对远程访咨询效劳进行测试。

对各种效劳器提供的效劳进行测试。

至于具体的测试步骤，限于篇幅那个地方不再赘述。需要讲明的是，一个完整的校园网网络系统设计不仅包含上述设备，还应该有计费系统、防火墙系统、进侵检测系统等组成局部。限于篇幅，在此不做介绍，感爱好的读者能够参瞧有关的参考书。

6.2相关测试、诊断命令

在本章的最后，我们按不同的功能按每种技术分类，给出相关的测试、诊断命令列表

同时还给出了命令的作用。

1．通用测试、诊断命令

〔1〕pingx.x.x.x标准ping命令。用于测试设备间的物理连通性。

〔2〕pingx.x.x.x扩展ping命令。用于测试设备间的物理连通性。扩展ping命令还支持灵活定义ping参数，如ping数据包的大小，发送包的个数，等待响应数据包的超时时刻等。

〔3〕traceroutex.x.x.x命令traceroute用于跟踪、显示路由信息。

〔4〕showrunning-config命令showrunning-config用于显示路由器、交换机运行配置文件的内容。

〔5〕showstartup-config命令showstartup-config用于显示路由器、交换机启动配置文件的内容。〔6〕showsessions命令showsessions用于显示从当前设备发出的所有呼出Telnet会话

〔7〕disconnect命令disconnect用于断开与远程目标主机的Telnet会话。

〔8〕showusers命令showusers用于查瞧呼进Telnet会话情况。

〔9〕clearline命令clearline用于断开远程主机的呼进Telnet连接。

〔10〕shutdown命令shutdown用于临时将某个接口关闭。

〔11〕noshutdown命令noshutdown用于手动启动〔激活〕处于治理性关闭的接口。

〔12〕showarp命令showarp用于显示ARP缓存〔ARP表〕的内容。

〔13〕showiparp命令showiparp用于显示IPARP缓存〔ARP表〕的内容。

〔14〕showinterfaces命令showinterface用于显示各接口的状态及参数信息。

〔15〕showipinterface命令showipinterface用于显示IP接口的状态及配置信息。

〔16〕showversion命令showversion用于显示路由器硬件配置、软件版本等信息。

〔17〕Ctrl+Shift+6+x该命令也被称为"退出序列"，用于终止正在执行的某条命令或操作，也用于从呼出Telnet会话中临时切换到本地连接。

〔18〕dirflash:命令dirflash:用于显示闪存中的文件清单。

〔19〕dirnvram:命令dirnvram:用于显示非易失性内存中的文件清单。

〔20〕showdebugging命令showdebugging用于显示正在进行的诊断过程清单。

〔21〕undebugall命令undebugall用于停止所有诊断过程。

2．CDP测试、诊断命令

〔1〕showcdp命令showcdp用于显示CDP全局参数信息。

〔2〕showcdpneighbors命令showcdpneighbors用于显示CDP邻居设备的摘要信息。

〔3〕showcdpneighborsdetail命令showcdpneighborsdetail用于显示CDP邻居设备的具体信息，包括：邻居设备名称、邻居设备接口IP地址、邻居设备软件版本信息、设备性能、设备平台、本地设备接口、邻居设备接口、CDP缓存条目维持时刻、CDP播送版本、接口双工方式等。〔4〕showcdpentry命令showcdpentry用于显示指定邻居设备的相关信息。

〔5〕showcdpinterface命令showcdpinterface用于显示本地设备各个接口的状态、接口封装格式、CDP包的周期发送时刻以及CDP维持时刻等。

〔6〕showcdptraffic命令showcdptraffic用于显示和CDP相关的流量统计信息，包括接收和发送的CDP包数量、包括头部错误、校验错误、封装错误等在内的错误数量等。

3．路由和路由协议测试、诊断命令

〔1〕showiproute命令showiproute用于显示当前路由表内容。

〔2〕showipprotocols命令showipprotocols用于显示动态路由协议的配置参数信息。4．VLAN、VTP测试、诊断命令

〔1〕showinterfacevlanvlan-num命令showinterfacevlanvlan-num用于显示VLAN是否已激活、交换机MAC基地址、接口参数等。

〔2〕showmac-address-table命令showmac-address-table用于显示CAM，即桥接表的内容。该命令可列出学习到的主机MAC地址及其所属VLAN、所处端口、条目类型〔静态STATIC、动态DYNAMIC等〕以及满足列表条件的MAC地址数目。

〔3〕showvlan命令showvlan用于查瞧VLAN创立情况。该命令能够显示系统所有的VLAN信息，包括VLAN编号、VLAN名称、VLAN状态、VLAN成员等信息。

〔4〕showvtpstatus命令showvtpstatus用于检查VTP配置情况。

5．生成树测试、诊断命令

〔1〕showspanning-tree命令showspanning-tree用于显示生成树协议中交换机及其端口的情况。〔2〕showspanning-treeblockedports命令showspanning-treeblockedports用于显示处于堵塞状态的端口。

〔3〕showspanning-treedetail命令showspanning-treedetail用于显示生成树具体信息。

〔4〕showspanning-treeinterface命令showspanning-treeinterface用于显示生成树中某端口相关状态。

〔5〕showspanning-treevlan当有多个VLAN时，Catalyst交换时机为每个VLAN运行一个生成树实例。此命令用于显示指定VLAN的生成树内容。

〔6〕showspanning-treesummary命令showspanning-treesummary用于显示生成树总结，包括本交换机是哪些VLAN的根网桥、端口快速特性是否启用、处于生成树各个端口状态的端口数量等信息。

6．NAT测试、诊断命令

〔1〕showipnattranslation命令showipnattranslation用于显示并瞧瞧当前正在进行的NAT情况。〔2〕showipnattranslationverbose命令showipnattranslationverbose用于显示并瞧瞧当前正在进行的NAT更为具体的情况。

〔3〕showipnatstatistics命令showipnatstatistics用于显示NAT运行情况统计。

〔4〕debugipnat命令debugipnat用于翻开对NAT的诊断。

7．ACL测试、诊断命令

〔1〕showaccess-lists命令showaccess-lists用于显示所有已定义的访咨询操纵列表内容及命中情

况。

〔2〕showipaccess-lists命令showipaccess-lists用于显示所有已定义的IP访咨询操纵列表内容及命中情况。

8．远程访咨询测试、诊断命令

〔1〕showline命令showline用于当前系统所有的线路及其状态。

〔2〕showmodemcap命令showmodemcap用于显示了当前路由器能够自动配置的Modem列表。

〔3〕debugpppnegotiation命令debugpppnegotiation用于翻开对PPP协议参数协商的诊断。〔4〕debugpppauthentication命令debugpppauthentication用于翻开对PPP身份认证过程的诊断。