华三及华为三层交换/VLAN实施笔记(一)

声明：此文内容为实施过程中的流水笔记记载，留此记录，谨做参考，各位朋友看到请勿见笑，谢绝转载！

--------------寒冰于2010.8

第一部分：华为3328&2326 VLAN的实现及网络应用故障排除

一、实现如下网络： 

说明：创建VLAN2（10.10.0.0/24），实现VLAN2与192.168.0.0/16互访

 

二、思路：
    1. 在HW3328上设置VLAN1的IP:192.168.0.10/16,以确保访问192.168.0.0/16网段

2. 在HW3328上设置VLAN2的IP:10.10.0.1/24,并将ethernet0/0/2加入VLAN2

3. 在ethernet0/0/1上设置TRUNK，并允许VLAN1\VLAN2通过

4. 建立一条缺省路由到192.168.0.2/16，以保证下方的电脑能到192.168.0.2的出口出去。

5. 在HW2326上设置管理VLAN1 IP:10.10.0.2/24

6. 在HW2326上设置缺省路由到10.10.0.1

7. 在HW2326上的ethernet0/0/1口设置trunk让VLAN1通过

三、实现过程：

    略，见以下配置信息

四、配置信息：
1. HW2326的配置信息：

#

sysname HW2326

#

 vlan batch 1

#

interface Vlanif1

ip address 10.10.0.2 255.255.255.0

#

interface Ethernet0/0/1

 port default vlan 1

 port trunk allow-pass vlan 1

 ntdp enable

 ndp enable

#

 ip route-static 0.0.0.0 0.0.0.0 10.10.0.1

#

return

<HW2326>dis ip rou  //路由配置信息

Route Flags: R - relay

------------------------------------------------------------------------------

Routing Tables: Public

        Destinations : 5        Routes : 5

 

Destination/Mask    Proto  Pre  Cost     Flags NextHop         Interface

 

        0.0.0.0/0   Static 60   0          R   10.10.0.1       Vlanif1

      10.10.0.0/24  Direct 0    0              10.10.0.2       Vlanif1

      10.10.0.2/32  Direct 0    0              127.0.0.1       InLoopBack0

      127.0.0.0/8   Direct 0    0              127.0.0.1       InLoopBack0

      127.0.0.1/32  Direct 0    0              127.0.0.1       InLoopBack0

   

2. HW3328的配置信息：

#

 sysname HW3328

#

 vlan batch 1 to 2

#

interface Vlanif1

 ip address 192.168.0.10 255.255.0.0

#

interface Vlanif2                        

 ip address 10.10.0.1 255.255.255.0

#

interface Ethernet0/0/1

 port default vlan 1

 port trunk allow-pass vlan 1 to 2

#

interface Ethernet0/0/2

 port default vlan 2

#

 ip route-static 0.0.0.0 0.0.0.0 192.168.0.2

#

return

 

<HW3328>dis ip rou

Route Flags: R - relay, D - download to fib

------------------------------------------------------------------------------

Routing Tables: Public

        Destinations : 7        Routes : 7

 

Destination/Mask    Proto  Pre  Cost     Flags NextHop         Interface

 

        0.0.0.0/0   Static 60   0          RD  192.168.0.2     Vlanif1

      10.10.0.0/24  Direct 0    0           D  10.10.0.1       Vlanif2

      10.10.0.1/32  Direct 0    0           D  127.0.0.1       InLoopBack0

      127.0.0.0/8   Direct 0    0           D  127.0.0.1       InLoopBack0

      127.0.0.1/32  Direct 0    0           D  127.0.0.1       InLoopBack0

    192.168.0.0/16  Direct 0    0           D  192.168.0.10    Vlanif1

   192.168.0.10/32  Direct 0    0           D  127.0.0.1       InLoopBack0

五、后续故障：

    1、完成上述配置后，从2326上可以PING 192.168.0.2,但无法PINT192.168.0.31(EXCHANGE服务器)与192.168.0.5（ISASERVER）。到192.168.0.31上发现该机没有配置网关（192.168.0.2），加入网关后，OK.

    而ISASERVER应该是ISA防火墙限制了，在ISA中，新建一条允许从VLAN2(10.10.0.0/24)访问ISA的规则。首先新建一个VLAN2的子网，然后创建一条允许从VLAN2子网访问”本地主机”的规则。如下图。

   

 

 在2326上测试OK:

 

 2、VLAN2的主机如何获取IP:

   思路及实现：

（1）在DHCP服务器上创建一个新的作用域10.10.0.0/24，制定其父域为dgqy.com,其DNS服务器为domainBK.dgqy.com(192.168.0.30),其网关（路由器）为3328的VLAN2 IP(10.10.0.1),然后将现有的作用域及刚建立的作用域加入到一个“超级作用域”（不加不知道是否可以，没测试）：

 

 （2）在3328上做DHCP中继：进入VLAN2接口，打开DHCP, 指定DHCP中继地址为DHCP服务器192.168.0.30，如下：（若网络中有多台DHCP，先在全局中将DHCP服务器加入到一个组，然后指定为一个组，而不是一个单个的DHCP地址）。

<HW3328>system-view

Enter system view, return user view with Ctrl+Z.

[HW3328]interface vlan 2

[HW3328-Vlanif2]dhcp enable

[HW3328-Vlanif2]dhcp select relay

[HW3328-Vlanif2]ip relay address 192.168.0.30

[HW3328-Vlanif2]quit

   故障：

完成上述设置后，在客户机上成功获取IP，并且能PING通192.168.0.0/16网段，但是在PING 文件服务器（fileserver）时，出现故障，无法PING通，但PING fileserver的IP是通的，则此为DNS故障。查看DNS服务器的记录，发现没有fileserver的记录，添加进去后，故障排除。

3、最后3328的配置信息：

<HW3328>dis cu

#

 sysname HW3328

#

 vlan batch 1 to 2#

interface Vlanif1

 ip address 192.168.0.10 255.255.0.0

#

interface Vlanif2                         

 ip address 10.10.0.1 255.255.255.0

 ip relay address 192.168.0.30

 dhcp select relay

#

interface Ethernet0/0/1

 port default vlan 1

 port trunk allow-pass vlan 1 to 2

 #

interface Ethernet0/0/2

 port default vlan 2

#

 dhcp enable

#                                         

 ip route-static 0.0.0.0 0.0.0.0 192.168.0.2

#

return

****************************************************************************************************

 后续将3328和2326挂到公司网络后，又出现了之前的未知故障，总结起来为以下两点:

1.       ISA 客户端用户无法上网；

2.       EMAIL 外邮账户无法发送邮件和公司的WEB 服务器。

3.       客户端能上网但无法经过ISA 收发netvigator 邮件问题。

故障搜索及排查：

解决ISA客户端无法上网问题：
客户端域用户已经具备上网的权限，客户端能正常访问（解析）ISA服务器，但却无法上网，打开INTERNET，输入网址后，提示ISA阻止，怀疑ISA阻止了VLAN2的网段上网。
到ISA服务器上，新建一个访问规则为”VLAN2 TO INTERNET”,设置允许VLAN2子网（10.10.0.0/24，之前已设置）到外网。设置一个规则允许本机访问VLAN2，如下图，成功解决问题：

 一、解决EMAIL外邮账户无法发送邮件和公司的WEB服务器:
客户机无法PING通外邮服务器的IP地址。
到外邮服务器上查看网络连接，外邮服务器有两个网卡，一个内网（192.168.0.98/16），一个外网（100.100.100.2/24）。由于WINDOWS只支持一个网卡的网关，所以只给外网设置了网关（100.100.0.1），而内网没有设置网关，以前只有一个LAN，采用广播模式所以能进行访问，现在有了VLAN，于是192.168.0.98地址在没有网关地址的情况下是无法访问到10.10.0.0/24网段了。
解决方案：
首先尝试给内网加网关，去掉外网的网关，这样内部可访问，但却无法访问INTERNET，失败。
之后找到正确的解决方案那就是应该要加条路由表到本机路由里面。使用route print命令查看本机的路由表，没有到10.10.0.0/24的路由及出口，所以没有办法访问VLAN2了。用ROUTE命令添加一条到10.10.0.0/24的路由，路由的下一跳地址为192.168.0.10，命令如下：
C:\>route ADD -P 10.10.0.0 MASK 255.255.255.0 192.168.0.10 metric 10 IF 0x5后面接的是网卡ID，用route print命令可查看到。metric 10 制定优先级别问哦10，-P参数使路由具有永久性，否则重启就没了。route命令的详细使用方法见其他介绍文档。

添加路由后，成功解决问题。

二、             客户端能上网但无法经过ISA 收发netvigator 邮件问题：

该问题在没有创建VLAN前就有过，不是VLAN问题。

        看来是ISA的套版问题，在ISA服务器上设置是可以收发邮件的，客户端也能上netvigator网站，也能Ping通pop服务器。只有将客户端转移到路由器上上网了。

        解决方法：

        在路由器上创建一个IP访问规则，允许192.168.0.10(vlan2出口地址)上网，然后再将该客户端的VLAN2 IP地址加入进去，也允许上网，解决故障，如图:

下次试验密码验证及开通TELNET服务，待续。。。

本文出自 “giantwong” 博客，谢绝转载！