网络配置之不走寻常路

 

 

首先我来说下环境。

 

   这里有一个企业。他有N个办公地点。（这里我只写出东三环办公点）。办公地点通过二层交换机连接下面的PC。再通过FR连接到其总部的4506. 中间有一个透明防火墙。所有办公地点的网关全部落在4506上。这样整个公司的PC都是通过总部上网的。起到了一个统一管理的目的。前端的QQSG为一个透明的应用层分析设备。以此该公司可以查看高流量用户等。当然还有比如网康的控管类设备。

 

     但是整个大楼并非只有该公司总部，还有一些中小型公司。 这些中小型公司因为实力和技术原因并不想购买比如4506类型的设备。而且他们也没有分公司。他们只想依托楼内的接入和汇聚设备。所以这部分用户要把网关落在楼内接入商的汇聚设备上，也就是核心2.

 

总体来说有2中接入方式和需求。

 

最早配置方案

 

    分支机构很简单。只要FR （链路6）。加2层交换机。接上来落网关到4506就OK了。

 

    总部楼内用户跟别的中小公司有所区别。就是在接入到core2 的汇聚交换机时并没有落三层地址。而是走了2层的trunk 。在机房给一个从core2 到4506的接口。让他通过core2 到 4506.的线路2层上来将网关落在了4506上（通过链路2）。这样所有该公司的数据必须经过 4506.  4506 再连一条线到core1 （链路3） 。上面走三层。写默认路由指向 core1 。由core1 将数据发往外网。  之所以这样。

 

  有人会问。为什么不在楼内将总部的所有用户用一个单独的链路直接连接到4506.还要在core2上走一个trunk。 费2个接口。其实这是受物理条件限制。因为公司总部并不是整个楼层的唯一单位。 这么说吧 7 8 9 三层都是该公司总部。但可能 9层的一半 和7层的一半还有别的公司。 如果我想从物理上区分开来。我必须在 7 和 8 层再加一个交换机。让其和别的公司走不同的物理链路。这不符合统一规划。而且增加了成本。

 

现在我完全可以在7 9 楼层上只放一个交换机trunk 上来。 别的公司的数据2层停止于core 2 。并通过 core1 和core2 之间（链路1）去互联网。而 公司总部的则2层通明的发往4506.

 

也就是说 其他公司是通过 链路 4   、1 、9 去internet 的。

 

而公司总部是通过 4 、2、 3、 9 去internet 的。

 

 

新的需求改变一切

 

  现在公司有了新的需求。 要在4506 下新加一个服务器区。安装多个server 。该服务器

区使用IP 172 网段。为了秉承原有的统一管理。需要将它挂在4506下。可是有一个特殊的需求。就是他的网关必须落在core1 上。而不是自己的4506.（原因很特殊。但这里不便说明）

 

 

总之他既要做到统一管理。又要把网关落在core1 上。

 

这样问题就来了。因为4506 和core1（链路3）本来是3层相连（两端落三层地址）。现在如果172 的网关要落在core1 上该怎么做呢？

 

三种方案

 

第一种  直接把服务器区的server 布线连接到core1 上。直观而简单。可是这样总部就不能对其server段进行管控。这是不能接受的。

 

 

第二种 在4506 和 core1 间再建立一条物理连接。就像透明穿过core2 一样。让服务器区   段透明穿过4506 。将网关落在core1 。这样就可以不破坏统一管理。只是多浪费了两个端口。

 

第三种  只改配置。不动物理线路。也是我主要讲的方法。

 

 

首先 我将（链路3）这种两端接口落三层地址的方法改掉。（忘了说明一点。 用户PC和服务器端使用不同的vlan。 例如pc vlan 100 。服务器vlan200）

 

 

 

interface GigabitEthernet2/1
 description CONNECT TO XXXX
 no switchport
 ip address 192.168.1.1  255.255.255.248
 ip access-group 101 i

 

我把这种配置从 链路3 的两端 no 掉。改成走trunk。如下

 

interface GigabitEthernet2/1
 description CONNECT TO XXX
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan100，200
 switchport mode trunk

 

这样服务器区段的数据走200到core1.并在core1上落网关。

 

现在的问题是怎么让vlan 100的数据可以通过这个2层的链路。

 

 

首先我在两边分别新建2个vlan。比如vlan 300 并落三层地址。

 

interface Vlan300
 ip address 192.168.1.1 255.255.255.248
 ip access-group 101 in

 

其实这个vlan 就是一个在2层上的虚的链路。这样我将0.0.0.0 的下一条指向这个vlan 的对端地址。三层数据走上面的vlan 300 走。

 

OK了。 整个方案只是动几个配置就完成了需求。

 

 

小结

 

其实很多配置也是大智若愚。我最早接受这种配置的时候也是有些模棱两可。

 

因为我们总是习惯把接口要不二层。要不配地址三层。从来没想过一个接口可以又2层有三层。准确的说从来没有想过用这种只在2端起vlan落三层地址互联的方法。

 

 

教科书从来不讲这些。这些只有在对命令、技术、需求有了深刻认识的时候。才会被想出来。

 

这才是一个网络工程师真正的水平所在。

 

你操纵命令，而不是被命令操纵。