大型企業網絡組網R&S配置

這幾個月學理論，回過頭來想寫個R&S總結，發現本身有點眼高手低，找了幾個綜合的cisco pt來練練，感受實操性的忘的挺快，配置兩次一次tab從頭至尾  一次手動補全所有命令。mark一下。

PT及需求分析非本人創做，爲本身大學老師的經驗所在。

典型企業網絡

需求分析

一、採用先進的網絡通訊技術完成集團企業網的建設，實現各分公司及異地子公司的信息化；
二、在整個企業集團內實現全部部門的辦公自動化，提升工做效率和管理服務水平；
三、在整個企業集團內實現資源共享、產品信息共享、實時新聞發佈，容許員工接入互聯網訪問相應資源；
四、在整個企業集團內實現財務電算化，集中式的供應鏈管理系統和客戶服務關係管理系統；
五、爲了知足企業電商及宣傳，需將相應服務器發佈到互聯網；
六、在整個企業集團內實現必定的安全控制，保障網絡的合理應用

 

分析1：全網採用光纖鏈接，並使用合理的三層設計結構，各分公司獨立成區域，防止個別區域發生問題影響整個網絡的穩定運行。

分析2：既要實現部門內部的辦公自動化，又要提升工做效率，建議整個網絡用VLAN隔離，須要各個部門通訊的使用VLAN間路由解決。

分析3，4：因爲要實現企業集團公司與各分公司的信息化，異地子公司採用幀中繼網絡與總公司鏈接，同時採用動態路由協議，下降網管的維護成本，使用PAT技術接入互聯網。

分析5：將服務器發佈到互聯網須要使用NAT技術。

分析6：實現安全控制主要包括對於應用服務器的訪問控制，對於網絡設備的統一安全管理，同時爲了保障網絡的合理應用，員工接入互聯網時應避免員工浪費網絡帶寬，只容許訪問指定資源。

具體技術要求

全網互通

VLAN隔離網段，VLAN間路由

frame-relay ospf point to point  實現總分公司互聯

公網使用PAT轉換

擴展ACL實現內網接入安全

禁止兩地分公司員工訪問集團總公司的FTP服務器。

 

R&S配置

接入層
建立啓用vlan 接入層指定vlan接入端口  switchport access vlan {ID} 

上聯鏈路 trunk模式  switch mode trunk (2950)

 

匯聚層

開啓 ip routing

建立vlan 設置下聯vlan 地址

互聯交換鏈路所有 switchport trunk encapsulation dot1q 

                                switchport mode trunk

上聯鏈路接入交互vlan switchport access vlan ID

一條默認路由交給上聯鏈路    ip route 0.0.0.0 0.0.0.0 {next hop}

 

核心層

開啓 ip routing

建立vlan

設置互聯鏈路vlan id  switchport access vlan ID

統一封裝模式

接入路由接口要求vlan （這裏不太懂，忘記當時要求，或許是作單臂路由) switchport access vlan ID

兩條默認路由來回

開啓ospf 路由  宣告路由

記錄鄰接路由協議日誌 log-adjacency-changes

 

集團總公司出口路由

osfp 宣告互聯路由

按要求開啓serial 端口 no shutdown

frame-relay 封裝  encapsulation frame-relay    指定模式 ip ospf network point-to-point

接入serial子接口   interface Serial0/2/0.1 point-to-point

配置ip  地址

指定dlci號 frame-relay interface-dlci {ID}

 

Nat Acl配置

PAT 爲PC上網作轉換  ip nat pool nat {global start IP –end IP }  netmask ….  ip nat inside source list {word} pool nat overload

按需求服務器作NAT 靜態轉換   

ip nat inside source static 172.16.200.1 202.104.101.18
ip nat inside source static 172.16.200.2 202.104.101.19

默認路由接入公網地址 

ACL配置

access-list 1 permit 172.16.0.0 0.0.255.255
access-list 101 permit tcp any any eq www
access-list 101 permit tcp any any eq smtp
access-list 101 permit tcp any any eq pop3
access-list 101 permit tcp any any eq 443
access-list 101 deny tcp any any
access-list 102 deny tcp any any eq ftp
access-list 102 permit tcp any any

 

公網接入口

作access-group 101 的out 出口

作ip nat outside 轉換

 

集團內部路由接口

作access-group 102 的out 出口

作ip nat intside 轉換

 

幀中繼配置

 

兩家分公司配置相似  vlan 號 與宣告網絡不一樣而已

 

總公司出口路由表

 

勿以浮沙築高臺  切忌勿好高騖遠 眼高手低