企业组网
一、组网图
1 | 说明：接入交换机ACC1（S2750），核心/汇聚交换机CORE（ S5700 ）和出口路由器Router（AR系列路由器）为例。 |
二、数据规划
| 操作 | 准备项 | 数据 | 说明 |
|---|---|---|---|
| 配置管理IP和Telnet | 管理IP地址 | 10.10.1.1/24 | 管理IP用于登录交换机。 |
| 管理VLAN | VLAN 5 | 框式交换机管理口是Ethernet0/0/0。 | |
| 盒式交换机管理口是MEth0/0/1。 | |||
| 对于没有管理口的交换机使用VLANIF接口进行带内管理。 | |||
| 配置接口和VLAN | 端口类型 | 连接交换机的端口设置为trunk，连接PC的端口设置为access。 | trunk 类型端口一般用于连接交换机。 |
| access 类型端口一般用于连接PC。 | |||
| hybrid类型端口是通用端口，既可以用来连接交换机，也可用来连接PC。 | |||
| VLAN ID | ACC1：VLAN 10 20 | 交换机有缺省VLAN1。 | |
| CORE1： VLAN 10 、20、30、40、50、100、300 | 为二层隔离部门A和部门B，将部门Ａ划分到VLAN 10中，部门B划分到VLAN 20中。 | ||
| CORE1通过VLANIF100连接出口路由器。 | |||
| 配置DHCP | DHCP Server | CORE1、CORE2 | 在CORE1、CORE2上部署DHCP Server。 |
| 地址池 | VLAN 10：ip pool 10 | 部门A的终端从ip pool 10中获取IP地址。 | |
| VLAN 20：ip pool 20 | 部门B的终端从ip pool 20中获取IP地址。 | ||
| 地址分配方式 | 基于全局地址池 | 无 | |
| 配置核心交换机 | IP地址 | CORE1: | VLANIF100用于CORE1与园区出口路由器对接。VLANIF300用于CORE1与CORE2对接。 |
| VLANIF100 172.16.1.1/24 | CORE1上需要配置一条主用路由，下一跳指向出口路由器；一条备用路由，下一跳指向CORE2。 | ||
| VLANIF300 172.16.3.1/24 | 在CORE1上配置VLANIF10、VLANIF20的IP地址后，部门A与部门B之间可以通过CORE1互访。 | ||
| VLANIF10 192.168.10.1/24 | |||
| VLANIF20 192.168.20.1/24 | |||
| 链路聚合 | - | Eth-Trunk链路聚合有手工负载分担和静态LACP两种工作模式。 | |
| 配置出口路由器 | 公网接口 | GE0/0/0： | GE0/0/0为出口路由器连接Internet的接口，一般称为公网接口。 |
| IP地址 | 1.1.1.2/30 | ||
| 公网网关 | 1.1.1.1/30 | 该地址是与出口路由器对接的运营商设备的IP地址，出口路由器上需要配置一条缺省路由指向该地址，用于指导内网流量转发至Internet。 | |
| DNS地址 | 8.8.8.8 | DNS服务器用于将域名解析成 IP地址。 | |
| 内网接口 | GE0/0/1： | GE0/0/1、GE0/0/2为出口路由器连接内网的接口，GE0/0/1连接主设备，GE0/0/2连接备设备。 | |
| IP地址 | 172.16.1.2/24 | ||
| GE0/0/2： | |||
| 172.16.2.2/24 | |||
| 配置DHCP Snooping和IPSG | 信任接口 | GE0/0/3 | 配置信任接口后，用户只会接收从信任接口进入的DHCP报文，防止内网私接小路由器为主机分配IP地址。 |
| GE0/0/4 | |||
| 配置内网 | FTP服务器 | FTP服务器： | 1、出口路由器会通过NAT实现服务器公网地址和私网地址之间的映射。 |
| 服务器 | WWW服务器 | 192.168.50.10 | 2、外网用户可以通过访问公网地址访问服务器。 |
| WWW服务器： | |||
| 192.168.50.20 | |||
三、配置
1、登录设备（以交换机为例）
1.1 使用Console通信电缆连接交换机与PC
1.2 在PC上打开终端仿真软件，新建连接，设置连接的接口以及通信参数
1 | 连接的接口请根据实际情况进行选择。例如，在Windows系统中，可以通过在“设备管理器”中查看端口信息，选择连接的接口。 |
| 参数 | 缺省值 |
|---|---|
| 传输速率 | 9600bit/s |
| 流控方式 | 不进行流控 |
| 校验方式 | 不进行校验 |
| 停止位 | 1 |
| 数据位 | 8 |
1.3 在PC的终端仿真软件界面按Connect键，直到出现如下信息，提示用户设置登录密码
1 | Login authentication |
2、配置管理IP和Telnet
1 | 配置设备管理IP地址后，可以通过管理IP远程登录设备，下面以交换机CORE1为例说明配置管理IP和Telnet的方法。 |
2.1 配置管理IP地址
1 | <HUAWEI> system-view |
2.2 将管理接口加入到管理VLAN
1 | [HUAWEI] interface GigabitEthernet 0/0/8 //假设连接网管的接口为GigabitEthernet 0/0/8 |
2.3 配置Telnet
1 | [HUAWEI] telnet server enable //Telnet出厂时是关闭的，需要打开 |
2.4 在维护终端上Telnet到交换机。出现用户视图的命令行提示符表示登录成功
1 | C:\Documents and Settings\Administrator> telnet 10.10.1.1 //输入交换机管理IP，并回车 |
3、配置网络互连互通
3.1 配置接入层交换机
3.1.1 以接入交换机ACC1为例，创建ACC1的业务VLAN 10和20
1 | <HUAWEI> system-view |
3.1.2 配置ACC1连接CORE1和CORE2的GE0/0/3和GE0/0/4，透传部门A和部门B的VLAN
1 | [ACC1] interface GigabitEthernet 0/0/3 |
3.1.3 配置ACC1连接用户的接口，使各部门加入VLAN
1 | [ACC1] interface GigabitEthernet 0/0/1 //配置连接部门A的接口 |
3.1.4 配置BPDU保护功能，加强网络的稳定性
1 | [ACC1] stp bpdu-protection |
3.2 配置汇聚/核心层交换机
3.2.1 以汇聚/核心交换机CORE1为例，创建其与接入交换机、备份设备以及园区出口路由器互通的VLAN
1 | <HUAWEI> system-view |
3.2.2 配置用户侧的接口VLAN和VLANIF，VLANIF接口用于部门之间互访。以CORE1连接ACC1的GE0/0/1接口为例
1 | [CORE1] interface GigabitEthernet 0/0/1 |
3.2.3 配置连接出口路由器的接口VLAN和VLANIF
1 | [CORE1] interface GigabitEthernet 0/0/7 |
3.2.4 配置两个核心交换机直连的接口VLAN和VLANIF
1 | [CORE1] interface gigabitethernet 0/0/5 |
3.3 查看配置结果
3.3.1 执行display vlan命令检查ACC1上的VLAN配置结果
1 | [ACC1] display vlan |
3.3.2 执行display vlan命令检查CORE1上的VLAN配置结果
1 | [CORE1] display vlan |
3.4 配置出口路由器的接口地址
3.4.1 配置连接内网的接口地址
1 | <HUAWEI> system-view |
3.4.2 配置连接公网的接口地址
1 | [Router] interface GigabitEthernet 0/0/0 |
3.5 配置静态路由实现网络互通（可选）
1 | 若配置动态路由，此步骤则不需配置。 |
3.5.1 分别在CORE1和CORE2上面分别配置一条缺省静态路由指向出口路由器及其备份路由
1 | [CORE1] ip route-static 0.0.0.0 0.0.0.0 172.16.1.2 //CORE1指向出口路由器的缺省静态路由 |
3.5.2 在出口路由器配置一条缺省静态路由指向运营商
1 | [Router] ip route-static 0.0.0.0 0.0.0.0 1.1.1.1 |
3.5.3 在出口路由器配置到内网的主备路由，主路由下一跳指向CORE1，备路由下一跳指向CORE2
1 | [Router] ip route-static 192.168.10.0 255.255.255.0 172.16.1.1 |
3.6 配置VRRP主备备份实现虚拟网关冗余
1 | 正常情况下内网用户流量都上送到CORE1进行处理，只有当CORE1出故障之后，VRRP备份组切换CORE2为主设备，内网用户流量上送到CORE2 |
3.6.1 配置示例：在CORE1和CORE2上创建
1 | [CORE2] interface Vlanif 10 |
3.6.2 CORE2的优先级为缺省值，作为VLAN10和VLAN20的Backup设备
1 | [CORE2] interface Vlanif 10 |
3.7 配置出口路由器实现内网共享上网
3.7.1 配置允许上网的ACL。以VLAN 10和20的用户为例
1 | [Router] acl 2000 |
3.7.2 在连接公网的接口配置NAT转换实现内网上网
1 | [Router] interface GigabitEthernet 0/0/0 |
3.7.3 配置DNS地址解析功能，DNS服务器地址为运营商指定
1 | [Router] dns resolve |
4、配置DHCP
4.1 配置DHCP服务器
1 | 网络管理员为每个终端配置固定的IP地址，当网络规模逐渐增大，为终端手工配置地址变得繁琐和难以管理。为减轻管理负担，管理员决定所有终端用户全部改为自动从DHCP服务器获取地址，除了个别必须固定地址的终端。 |
4.1.1 配置CORE1作为主用DHCP服务器，分配地址段的前一半地址
1 | <CORE1> system-view |
4.1.2 配置CORE2作为备用DHCP服务器，分配地址段的后一半地址
1 | <CORE2> system-view |
4.1.3 配置部门A的用户从全局地址池获取IP地址
1 | [CORE1] interface vlanif 10 |
4.1.4 使用display ip pool命令，查看全局地址池10的配置和使用情况
1 | [CORE1] display ip pool name 10 |
1 | PS：在DHCP服务器配置完成后，需要设置终端电脑网卡为自动获取地址，这样终端才能正常从DHCP服务器获取到地址，正常上网。 |
4.2 配置DHCP Snooping和IPSG
1 | 配置了DHCP功能之后，部门内用户主机可以自动获取地址。但是为了防止员工在内网私自接一个小路由器并开启DHCP自动分配地址的功能，导致内网合法用户获取到了私接的小路由器分配的地址而不能正常上网，还需要配置DHCP Snooping功能。 |
4.2.1 在接入交换机ACC1上开启DHCP Snooping功能
1 | <ACC1> system-view |
4.2.2 在连接终端的接口上使能DHCP Snooping功能
1 | [ACC1] interface GigabitEthernet 0/0/1 //配置连接部门A的接口 |
4.2.3 在连接DHCP服务器的接口上使能DHCP Snooping功能，并将此接口配置为信任接口
1 | [ACC1] interface GigabitEthernet 0/0/3 //配置连接CORE1的接口 |
4.2.4 在接入交换机ACC1上开启VLAN10的IP报文检查功能
1 | ACC1] vlan 10 |
5、配置OSPF
1 | PS：由于内网互联使用的是静态路由，在链路出现故障之后需要管理员手动配置新的静态路由，造成网络长时间中断，影响业务。为了减少这种故障的发生，使用动态路由协议是一种不错的选择。动态路由有自己的算法，在链路出现故障之后动态路由根据自己的算法及时把流量切换到正常的链路，等到故障恢复之后流量又切过来。下面以动态路由协议OSPF为例进行配置： |
5.1 删除两台汇聚/核心交换机的静态路由配置
1 | [CORE1] undo ip route-static all |
5.2 删除出口路由器到内网的静态路由，保留到公网的缺省路由
1 | [Router] undo ip route-static 192.168.10.0 24 |
5.3 CORE1的OSPF配置
1 | [CORE1] ospf 100 router-id 2.2.2.2 |
5.4 CORE2的OSPF配置
1 | [CORE2] ospf 100 router-id 3.3.3.3 |
5.5 出口路由器的OSPF配置，为了连接内网和公网需要配置指向公网的静态缺省路由，在OSPF进程需要引入缺省路由，同时需要配置一条缺省静态路由指向运营商
1 | [Router] ospf 100 router-id 1.1.1.1 |
6、配置可靠性和负载分担
6.1 配置VRRP联动接口检测链路
1 | PS：当CORE1到出口路由器的链路出现故障后，流量会通过CORE1到CORE2的互联链路经由CORE2到达出口路由器，此时就增加了互联链路负担，对互联链路的稳定性和带宽负载要求都很高。现网环境中一般希望主备设备的上行接口出现故障的时候可以实现主备的快速切换，通过配置VRRP与接口状态联动功能可以实现此快速切换。在VRRP备份组中配置对上行接口进行检测，当检测到接口down了，设备会通过降低优先级来实现主备切换。 |
6.2 配置负载分担
1 | PS：随着业务的增长，经由CORE1的链路带宽占用率太高，但是经过CORE2的链路是闲置的，这样不但可靠性不好而且浪费资源，有效利用左右两边两条链路显得尤为重要。把VRRP主备备份配置为负载分担，一些VLAN以CORE1为主设备，另一些VLAN以CORE2为主设备，不同VLAN的流量被分配到了左右两条链路上，有效的利用现网资源。 此处CORE1继续作为VLAN10的主设备，修改CORE2的优先级使其成为VLAN20的主设备。 |
6.2.1 首先删除CORE1上面VRRP备份组2的优先级和抢占延时配置
1 | [CORE1] interface Vlanif 20 |
6.2.2 配置CORE2为VLAN20的主设备，抢占延时为20S
1 | [CORE2] interface Vlanif 20 |
6.2.3 配置VRRP备份组联动上行接口监视上行链路情况
1 | [CORE2-Vlanif20] vrrp vrid 2 track interface GigabitEthernet 0/0/7 reduced 100 |
7、配置链路聚合
1 | 当CORE1或者CORE2的上行发生故障时，流量经过CORE1和CORE2互联的链路，但是单条链路有可能带宽不够，因而造成数据丢失。为了增加带宽，把多条物理链路捆绑为一条逻辑链路，增加带宽的同时提高了链路的可靠性，具体配置如下： |
7.1 恢复接口默认配置（如果接口是默认配置，请直接进行配置即可），将接口恢复为默认配置的步骤和命令如下
1 | [CORE1] interface GigabitEthernet 0/0/5 |
7.2 V200R005及之后的版本可以用一条命令把接口恢复为初始配置，恢复之后接口被关闭了，需要手动undo shutdown来开启
1 | [CORE1-GigabitEthernet0/0/5] clear configuration this |
7.3 配置链路聚合，配置的步骤和命令如下
7.3.1 配置链路聚合模式
1 | 方式一：配置手工负载分担方式的链路聚合 |
7.3.2 在CORE1上配置系统优先级为100，使其成为LACP主动端
1 | [CORE1] lacp priority 100 |
7.3.3 在CORE1上配置活动接口上限阈值为2
1 | [CORE1] interface Eth-Trunk 1 |
7.3.4 在CORE1上配置接口优先级确定活动链路（配置GE0/0/5和GE0/0/6为活动链路）
1 | [CORE1] interface GigabitEthernet 0/0/5 |
1 | CORE2的配置同上，只是无需配置系统优先级，使用系统默认的优先级即可。 |
8、配置限速
8.1 基于IP地址限速
1 | 由于交换机配置每IP限速不是很方便而且需要消耗大量的硬件ACL资源，所以只能在AR路由器上配置每IP限速。 |
8.2 基于网段总流量限速
1 | 随着业务的增长，为了给部门A留有足够的带宽，需要对部门B进行网速限速，要求部门B访问互联网的网速不能超过2M，下载的网速不能超过4M。 |
8.2.1 在出口路由器使用ACL匹配部门B的网段数据流。
1 | [Router] acl 2222 |
8.2.2 在出口路由器LAN侧接口配置对访问互联网的流量和下载的流量进行限速
1 | [Router] interface GigabitEthernet 0/0/1 |
9、配置映射内网服务器和公网多出口
9.1 配置映射内网服务器
1 | 随着业务的发展，内网的WWW服务器和FTP文件服务器不能仅限于内网用户访问，对外也要提供服务，公网和内网用户都要通过公网地址来访问服务器提供的服务。 |
9.1.1 配置内部服务器，使公网用户通过公网地址访问内网服务器
1 | [Router] interface GigabitEthernet 0/0/0 |
9.1.2 由于FTP是一个多通道协议，需要在出口路由器使能ALG功能
1 | [Router] nat alg ftp enable |
9.1.3 配置内网用户使用公网地址访问内网服务器
1 | [Router] acl 3333 |
9.1.4 在内网接口做NAT转换
1 | [Router] interface GigabitEthernet 0/0/1 |
9.1.5 分别在内网接口下面做内部服务器映射。
1 | [Router] interface GigabitEthernet 0/0/1 |
9.2 配置公网多出口
1 | 刚开始企业在运营商只申请了一条链路，随着业务的发展，一条链路不能满足企业的网络带宽，需要在原有链路的基础上再申请一条链路，由原来的单出口改为双出口，对内网不同的网段进行控制让其走指定的链路上网。 |
9.2.1 配置需要进行NAT的ACL
1 | [Router] acl 2015 |
9.2.2 配置拨号访问控制列表
1 | [Router] dialer-rule |
9.2.3 配置拨号接口
1 | [Router] interface Dialer 0 |
9.2.4 配置使用接口IP地址进行NAT转换
1 | [Router] interface Dialer 0 |
9.2.5 配置TCP最大报文段长度为1200，如果使用默认的1460可能会出现访问网站慢的情况
1 | [Router] interface Dialer 0 |
9.2.6 在连接运营商线路的物理接口启用PPPoE功能
1 | [Router] interface GigabitEthernet 1/0/0 |
9.2.7 配置到公网的缺省静态路由，指定出接口为Dialer 0
1 | [Router] ip route-static 0.0.0.0 0 Dialer 0 |
9.2.8 配置ACL匹配数据流，需要把内网互访的数据流不要做重定向
1 | [Router] acl 3000 |
9.2.9 配置流分类c0、c1和c2，分别匹配ACL3000、ACL3001和ACL3002
1 | [Router] traffic classifier c0 |
9.2.10 配置流行为，对内网互访的数据流不做重定向操作，对内网192.168.10.0网段的数据重定向到下一跳1.1.1.1，对内网192.168.20.0网段的数据重定向到出接口Dialer0
1 | [Router] traffic behavior b0 |
9.2.11 配置流策略，分别将流分类和流行为组合起来
1 | [Router] traffic policy test |
9.2.12 将流策略应用到出口路由器互联内网交换机的接口
1 | [Router] interface GigabitEthernet 0/0/1 |
10、业务验证和保存配置
10.1 业务验证
1 | 从两个部门内各选一台PC进行ping测试，验证部门之间通过VLANIF实现三层互通是否正常。以部门A和部门B为例， PC1和PC2是通过CORE1（或CORE2）实现三层互通的。如果PC1和PC2之间互ping测试正常则说明三层互通正常。 |
10.2 保存配置
1 | 通过命令行配置的数据是临时性的。如果不保存，交换机重启后这些配置都会丢失。 |
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 悩姜！
