eNsp模拟器-综合实验练习

---

实验拓扑

---

实验需求

1.总部需求（左）：

• 所有内网用户均能通过DHCP SERVER（全局地址池）自动获取到ip地址
• 为保障可靠性，要求核心设备进行冗余
• 办公用户的主网关部署在核心1上，其他用户的主网关部署在核心2上
• 接入到核心要求部署mstp，实现用户到自己主网关走最优数据链路
• 核心之间要求进行二层数据链路聚合提高带宽
• 所有内网用户均能通过域名访问内网服务器（使用ping www.chenj.com 来实现）
• 除财务和网管外，所有用户均可访问公网
• 将内网服务器发布到公网，能被分部用户访问
• 网管可以通过telnet远程管理核心设备和DHCP SERVER

2.分部需求（右）：

• 分部没有核心交换机，直接用边界路由器给用户充当网关
• 将分部服务器发布到公网上，能被总部用户访问

3.地址规划：

• 总部可用网段为172.16.0.0/16
  分部可用网段为192.168.1.0/24
  总部公网ip为201.201.201.1/28
  分部公网ip为201.201.201.17/28

4.现有设备表：

办公	财务	人事	网管	服务器
800人	20人	40人	10人	2台

我做的地址规划表：

---

实验步骤与分析

总体配置步骤由简单到复杂

1.划分子网，划分vlan

• 具体划分见上表
• eNsp的三层交换机接口配不了IP地址，通过划分到vlan来赋予地址，实现三层功能

---

2.接入层配置vlan，核心层配置网关

• 配置Trunk接口，Access接口
• 两个核心，分别配置不同网关（过VRRP虚拟IP实现）

---

3.核心层链路聚合

• 分别在两个核心交换机创建聚合端口eth-trunk
• 进入物理接口，把接口加到聚合端口中

---

4.配置VRRP

1. 核心1上配置vlan 10 20 30 40 50 物理网关x.x.x.254
2. 核心2上配置vlan 10 20 30 40 50 物理网关x.x.x.253
3. 在两个核心创建VRRP组，每个VLAN对应一个组，一个组对应一个虚拟IP x.x.x.252，例如核心1的vlan10是vrrp vrid 10，核心2的vlan10也是vrrp vrid10，但是在核心1上配置优先级>100 (priority不配默认100)，就可实现master–backup功能
   
4. 最终实现办公vlan10的主网关在核心1，其它主网关在核心2
   
   

---

5.配置MSTP生成树

• 通过命令，指定接入层/核心层交换机为MSTP模式
  

• 配置域的名字，将vlan 10映射到实例1，vlan 20 30 40 50映射到实例2上，最后激活MSTP域的配置(这部分在所有参与STP计算的交换机都是一样的配置)
  

• 在域RG1内，配置实例1、2的根桥primary和备份根桥secondary（实例1—根桥—核心1；实例2—根桥—核心2）

核心1上 stp instance 1 root primary
核心1上 stp instance 2 root secondary

核心2上 stp instance 1 root secondary
核心2上 stp instance 2 root primary

将与终端相连的端口设置为边缘端口 
interface xxx
stp edge-port enable
quit

• 设备全局使能MSTP，在核心层和汇聚层交换机上启动MSTP（stp enbale）
  
• 最终实现LSW3上去往vlan10网关优先走E0/0/1，而阻塞E0/0/4，其它类似

---

6.配置DHCP

• 给DHCP_Server手动配置一个IP地址
• 创建每个VLAN对应的可分配的地址池

ip pool poolname
network x.x.x.x mask x.x.x.x
指定待分配vlan对应的虚拟网关---IP
指定DNS服务器地址

• 使能DHCP服务器，开启DHCP服务器功能（dhcp enable），配置接口下从全局地址池中获取IP地址

interface vlan x
dhcp select global

• 在核心层交换机上，使能dhcp服务，配置接口vlanif 10 20 30 40的中继功能

dhcp select relay
dhcp relay server-ip x.x.x.x

• 将LSW7的E0/0/3接口划入vlan50（即和dhcp服务器同一网段，以便dhcp服务器可达核心层）

• 在dhcp服务器写一条去往核心的静态路由，指向虚拟网关（回程路由，不写分配地址的包回来不知道怎么走）
  
  

---

7.配置DNS

• 启动53号端口，将内网服务器IP与域名进行绑定，实现通过ping 域名访问服务器
  
• 这里如果ping不通，检查DHCP分配的DNS服务器IP地址有没有错误

---

8.配置NAT和ACL

实现部分内网用户可访问外网（动态NAT），总部内网FTP服务器通过一个外网地址发布出去（静态NAT）供分部访问。
分部用户可访问外网，分部FTP服务器通过外网地址发布，可供总部访问。

• 在边界路由器AR1上，配置好各接口的IP（详见上表2），路由器是连接不同网段，所以每个接口都在不同网段

• 在AR1的g0/0/0和g0/0/2上分别配置一个属于vlan60 70的ip，核心1上g0/0/8不能直接配置IP，所以划分到vlan60，同理核心2划分到vlan70，从而能写分部访问总部进入总部内网的静态路由

• 核心1、2上写去往外网的静态路由,以及外网访问内网的静态路由，去往内网的静态路由，去vlan10走左边下一跳，去vlan 20 30 40 50走右边下一跳
  

• 内网FTP服务器使用201.201.201.3发布到外网，使用静态nat

inter g0/0/1
nat static global 外网IP inside 内网服务器IP

• 总部内网部分用户访问外网，使用NAT outbound

边界路由器AR1上使用 nat addres-group 命令设置NAT地址池，具体地址池范围见表2
创建基本ACL ，匹配内网的除财务和网管之外的网段
iv. 在接口g0/0/1与地址池相关联，使ACL中规定地址可以使用地址池进行池转换

• 分部用户访问外网，使用NAT outbound以及分部FTP服务器通过201.201.201.19发布
• 最终效果

总部内网用户访问公网，访问分部服务器
分部用户访问外网，访问总部服务器

---

9.配置Telnet远程登录，网管远程登录核心1、2、dhcp_server

• a. 分别在核心1、2、dhcp_server上开启Telnet服务器功能（Telnet server enable）

配置VTY用户界面的验证方式是3A认证（AAA认证）
Loca-user 用户名 password cipher 密码
ensp模拟器中pc无Telnet功能，用AR路由代替实验

---

实验拓扑打包文件

https://cloud.189.cn/t/QbuQfebuuAZr（访问码：ib66）

eNsp模拟器，加载StepOne.topo

---