ABC网络工程项目实施文档.doc

ABC网络工程项目实施文档
网络拓扑图

IP地址规划表
VLAN信息规划表
防火墙端口安全规划表
设备配置流程步骤
Part 1 交换配置
1.1 VLAN配置
3560-01配置
3560- 02配置
S-3560-01(config)#VLAN 10
S-3560-01(config-vlan)#name OA
S-3560-01(config-vlan)#VLAN 20
S-3560-01(config-vlan)#name Server
S-3560-02(config)#VLAN 10
S-3560-02(config-vlan)#name OA
S-3560-02(config-vlan)#VLAN 20
S-3560-02(config-vlan)#name Server
2950-01配置
2950-02配置
S-2950-01(config)#VLAN 10
S-2950-01(config-vlan)#name OA
S-2950-01(config-vlan)#VLAN 20
S-2950-01(config-vlan)#name Server
S-2950-02(config)#VLAN 10
S-2950-02(config-vlan)#name OA
S-2950-02(config-vlan)#VLAN 20
S-2950-02(config-vlan)#name Server
1.2 STP配置
步骤1、配置trunk端口
3560-01配置
S-3560-01(config)#int range fa0/23-24
S-3560-01(config-if-range)#switchport trunk encapsulation dot1q
S-3560-01(config-if-range)#switchport mode trunk
S-3560-01(config-if-range)#switchport trunk allowed vlan 10,20
S-3560-01(config)#int range fa0/1-2
S-3560-01(config-if-range)#switchport trunk encapsulation dot1q
S-3560-01(config-if-range)#switchport mode trunk
S-3560-01(config-if-range)#switchport trunk allowed vlan 10,20
3560-02配置
S-3560-02(config)#int range fa0/23-24
S-3560-02(config-if-range)#switchport trunk encapsulation dot1q
S-3560-02(config-if-range)#switchport mode trunk
S-3560-02(config-if-range)#switchport trunk allowed vlan 10,20
S-3560-02(config)#int range fa0/1-2
S-3560-02(config-if-range)#switchport trunk encapsulation dot1q
S-3560-02(config-if-range)#switchport mode trunk
S-3560-02(config-if-range)#switchport trunk allowed vlan 10,20
2950-1配置
S-2950-01(config)#int range fa0/1-2
S-2950-01(config-if-range)#switchport mode trunk
S-2950-01(config-if-range)#switchport trunk allowed vlan 10,20
2950-02配置
S-2950-02(config)#int range fa0/1-2
S-2950-02(config-if-range)#switchport mode trunk
S-2950-02(config-if-range)#switchport trunk allowed vlan 10,20
步骤2、配置STP生成树
3560-01配置
3560-02配置
S-3560-01(config)#spanning-tree vlan 10 root primary
S-3560-01(config)#spanning-tree vlan 20 root secondary
S-3560-02(config)#spanning-tree vlan 10 root secondary
S-3560-02(config)#spanning-tree vlan 20 root primary
1.3 EtherChannel配置
3560-01配置
3560-02配置
创建逻辑接口：
S-3560-01(config)#int port-channel 1
S-3560-01(config-if)#switchport trunk encapsulation dot1q
S-3560-01(config-if)#switchport mode trunk
S-3560-01(config-if)#switchport trunk allowed vlan 10,20
将逻辑接口与物理接口绑定：
S-3560-01(config)#int range fa0/23-24
S-3560-01(config-if-range)#channel-protocol lacp
S-3560-01(config-if-range)#channel-group 1 mode active
逻辑接口流量负载均衡：
S-3560-01(config)#port-channel load-balance src-dst-ip
创建逻辑接口：
S-3560-02(config)#interface port-channel 1 vlan 20 root primary
S-3560-02(config-if)#switchport trunk encapsulation dot1q
S-3560-02(config-if)#switchport mode trunk
S-3560-02(config-if)#switchport trunk allowed vlan 10,20
将逻辑接口与物理接口绑定：
S-3560-01(config)#int range fa0/23-24
S-3560-01(config-if-range)#channel-protocol lacp
S-3560-01(config-if-range)#channel-group 1 mode active
逻辑接口流量负载均衡：
S-3560-01(config)#port-channel load-balance src-dst-ip
1.4 HSRP配置
3560-01配置
3560-02配置
VLAN10、20 地址配置：
S-3560-01(config)#int vlan 10
S-3560-01(config-if)#ip add 10、0、10、2 255、255、255、0
S-3560-01(config-if)#no shut
S-3560-01(config-if)#int vlan 20
S-3560-01(config-if)#ip add 10、0、20、2 255、255、255、0
S-3560-01(config-if)#no shut
HSRP浮动地址、优先级等信息配置：
S-3560-01(config)#int vlan 10
S-3560-01(config-if)#standby 10 ip 10、0、10、1
S-3560-01(config-if)#standby 10 priority 150
S-3560-01(config-if)#standby 10 preempt
S-3560-01(config-if)#int vlan 20
S-3560-01(config-if)#standby 20 ip 10、0、20、1
S-3560-01(config-if)#standby 20 priority 140
S-3560-01(config-if)#standby 20 preempt
VLAN10、20 地址配置：
S-3560-01(config)#int vlan 10
S-3560-01(config-if)#ip add 10、0、10、3 255、255、255、0
S-3560-01(config-if)#no shut
S-3560-01(config-if)#int vlan 20
S-3560-01(config-if)#ip add 10、0、20、3 255、255、255、0
S-3560-01(config-if)#no shut
HSRP浮动地址、优先级等信息配置：
S-3560-02(config-if)#int vlan 10
S-3560-02(config-if)#standby 10 ip 10、0、10、1
S-3560-02(config-if)#standby 10 priority 140
S-3560-02(config-if)#standby 10 preempt
S-3560-02(config-if)#int vlan 20
S-3560-02(config-if)#standby 20 ip 10、0、20、1
S-3560-02(config-if)#standby 20 priority 150
S-3560-02(config-if)#standby 20 preempt
1.5 二层交换配置
2950-01配置
2950-02配置
S-2950-01(config)#int range fa0/11-12
S-2950-01(config-if-range)#switchport mode access
S-2950-01(config-if-range)#switchport access vlan 10
S-2950-01(config-if-range)#spanning-tree portfast
S-2950-02(config)#int range fa0/11-12
S-2950-02(config-if-range)#switchport mode access
S-2950-02(config-if-range)#switchport access vlan 20
S-2950-02(config-if-range)#spanning-tree portfast
1.6 PC机配置IP并测试网关通畅性能
PC1配置
PC2配置

测试结果

1.7 路由配置
3560-01配置
3560-02配置
S-3560-01(config)#ip routing
S-3560-02(config)#ip routing
1.8 测试

Part2 路由器配置
Router(config)#hostname ISP-DianXin-2811-01
ISP-DianXin-2811-01(config)#
ISP-DianXin-2811-01(config)#int fa0/0
ISP-DianXin-2811-01(config-if)#ip add 220、0、0、2 255、255、255、248
ISP-DianXin-2811-01(config-if)#no shut
ISP-DianXin-2811-01(config)#int fa0/1
ISP-DianXin-2811-01(config-if)#ip add 130、0、0、2 255、255、255、252
ISP-DianXin-2811-01(config-if)#no shut
ISP-DianXin-2811-01(config)#int fa1/0
ISP-DianXin-2811-01(config-if)#ip add 121、0、0、1 255、255、255、0
ISP-DianXin-2811-01(config-if)#no shut
Part3 防火墙配置—基础配置
ASA5505-01
ASA5505-02
设置主机名
ciscoasa#conf t
ciscoasa(config)#hostname HQ-BeiJing-ASA5505-01
HQ-BeiJing-ASA5505-01(config)#
清除原有VLAN配置
HQ-BeiJing-ASA5505-01(config)#int vlan 1
HQ-BeiJing-ASA5505-01(config-if)#no nameif
HQ-BeiJing-ASA5505-01(config-if)#no security-level
HQ-BeiJing-ASA5505-01(config-if)#no ip add
HQ-BeiJing-ASA5505-01(config)#int vlan 2
HQ-BeiJing-ASA5505-01(config-if)#no nameif
HQ-BeiJing-ASA5505-01(config-if)#no security-level
HQ-BeiJing-ASA5505-01(config-if)#no ip add
配置VLAN数据
HQ-BeiJing-ASA5505-01(config-if)#int vlan 10
HQ-BeiJing-ASA5505-01(config-if)#nameif outside
HQ-BeiJing-ASA5505-01(config-if)#security-level 0
HQ-BeiJing-ASA5505-01(config-if)#ip add 220、0、0、1 255、255、255、248
HQ-BeiJing-ASA5505-01(config-if)#
HQ-BeiJing-ASA5505-01(config-if)#int vlan 20
HQ-BeiJing-ASA5505-01(config-if)#nameif inside
HQ-BeiJing-ASA5505-01(config-if)#security-level 100
HQ-BeiJing-ASA5505-01(config-if)#ip add 10、0、0、1 255、255、255、0
HQ-BeiJing-ASA5505-01(config-if)#no shut
HQ-BeiJing-ASA5505-01(config-if)#
HQ-BeiJing-ASA5505-01(config-if)#int vlan 30
HQ-BeiJing-ASA5505-01(config-if)#no forward interface vlan 20
HQ-BeiJing-ASA5505-01(config-if)#nameif dmz
HQ-BeiJing-ASA5505-01(config-if)#security-level 50
HQ-BeiJing-ASA5505-01(config-if)#ip add 172、16、10、1 255、255、255、0
VLAN与端口绑定
HQ-BeiJing-ASA5505-01(config-if)#int eth0/0
HQ-BeiJing-ASA5505-01(config-if)#switchport access vlan 10
HQ-BeiJing-ASA5505-01(config-if)#int eth0/1
HQ-BeiJing-ASA5505-01(config-if)#switchport access vlan 20
HQ-BeiJing-ASA5505-01(config-if)#
HQ-BeiJing-ASA5505-01(config-if)#int eth0/2
HQ-BeiJing-ASA5505-01(config-if)#switchport access vlan 30
配置静态路由
HQ-BeiJing-ASA5505-01(config)#route outside 130、0、0、0 255、255、255、252 220、0、0、2
设置主机名
ciscoasa#conf t
ciscoasa(config)#hostname Branch-NanJing-ASA5505-02
Branch-NanJing-ASA5505-02 (config)#
清除原有VLAN配置
Branch-NanJing-ASA5505-02(config)#int vlan 1
Branch-NanJing-ASA5505-02(config-if)#no nameif
Branch-NanJing-ASA5505-02(config-if)#no security-level
Branch-NanJing-ASA5505-02(config-if)#no ip add
Branch-NanJing-ASA5505-02(config)#int vlan 2
Branch-NanJing-ASA5505-02(config-if)#no nameif
Branch-NanJing-ASA5505-02(config-if)#no security-level
Branch-NanJing-ASA5505-02(config-if)#no ip add
配置VLAN数据
Branch-NanJing-ASA5505-02(config)#int vlan 10
Branch-NanJing-ASA5505-02(config-if)#name outside
Branch-NanJing-ASA5505-02(config-if)#security-level 0
Branch-NanJing-ASA5505-02(config-if)#ip add 130、0、0、1 255、255、255、252
Branch-NanJing-ASA5505-02(config-if)#no shut
Branch-NanJing-ASA5505-02(config-if)#
Branch-NanJing-ASA5505-02(config-if)#int vlan 20
Branch-NanJing-ASA5505-02(config-if)#name inside
INFO: Security level for "inside" set to 100 by default、
Branch-NanJing-ASA5505-02(config-if)#security-level 100
Branch-NanJing-ASA5505-02(config-if)#ip add 10、0、30、1 255、255、255、0
Branch-NanJing-ASA5505-02(config-if)#no shut
Branch-NanJing-ASA5505-02(config-if)#
VLAN与端口绑定
Branch-NanJing-ASA5505-02(config)#int eth0/0
Branch-NanJing-ASA5505-02(config-if)#switchport access vlan 10
Branch-NanJing-ASA5505-02(config-if)#int eth0/1
Branch-NanJing-ASA5505-02(config-if)#switchport access vlan 20
配置静态路由
Branch-NanJing-ASA5505-02(config)#route outside 220、0、0、0 255、255、255、248 130、0、0、2
防火墙配置—策略配置
1、dmz区web服务器静态映射
HQ-BeiJing-ASA5505-01(config)#object network 172、16、10、11/32-WebServer
HQ-BeiJing-ASA5505-01(config-network-object)#host 172、16、10、11
HQ-BeiJing-ASA5505-01(config-network-object)#nat (dmz,outside) static 220、0、0、3
2、定义ACL访问控制列表，放行外网进入ASA访问Web服务器得流量
HQ-BeiJing-ASA5505-01(config)#access-list Access-DMZ-Server permit icmp any object 172、16、10、11/32-WebServer
HQ-BeiJing-ASA5505-01(config)#access-group Access-DMZ-Server out interface dmz
3、定义dmz区其她服务器得动态映射
HQ-BeiJing-ASA5505-01(config)#object network 172、16、10、0/24-DMZ-Server
HQ-BeiJing-ASA5505-01(config-network-object)#subnet 172、16、10、0 255、255、255、0
HQ-BeiJing-ASA5505-01(config-network-object)#nat (dmz,outside) dynamic interface
4、定义ACL访问控制列表，放行外网进入ASA访问DMZ其她服务器得流量
HQ-BeiJing-ASA5505-01(config)#access-list Access-DMZ-Server permit icmp any object 172、16、10、0/24-DMZ-Server
说明：access-group与前面一样，不用再定义
5、inside区内网地址IP映射
HQ-BeiJing-ASA5505-01(config)#object network 10、0、0、0/24
HQ-BeiJing-ASA5505-01(config-network-object)#subnet 10、0、0、0 255、255、255、0
HQ-BeiJing-ASA5505-01(config-network-object)#nat (inside,outside) dynamic interface
6、3560配置缺省网关
S-3560-02(config)#ip route 0、0、0、0 0、0、0、0 10、0、0、1
7、ASA定义ACL访问控制列表，放行外网进入ASA访问inside得流量
定义地址对象组：
HQ-BeiJing-ASA5505-01(config)#object network 220、0、0、0/29
HQ-BeiJing-ASA5505-01(config-network-object)#subnet 220、0、0、0 255、255、255、248
HQ-BeiJing-ASA5505-01(config)#object network 10、0、0、0/24
HQ-BeiJing-ASA5505-01(config-network-object)#subnet 10、0、0、0 255、255、255、0
定义ACL：
HQ-BeiJing-ASA5505-01(config)#access-list Outside-Access-Inside permit icmp object 220、0、0、0/29 object 10、0、0、0/24
源IP 目标IP
应用ACL：
HQ-BeiJing-ASA5505-01(config)#access-group Outside-Access-Inside out interface inside
允许外网IP离开inside端口
8、3560配置OSPF，发布缺省路由
3560-01配置
3560-02配置
S-3560-01(config)#int loopback 0
S-3560-01(config-if)#ip add 10、0、0、1 255、255、255、0
S-3560-01(config-if)#exit
S-3560-01(config)#router ospf 1
S-3560-01(config-router)#router-id 10、0、0、1
S-3560-01(config-router)#network 10、0、10、0 0、0、0、255 area 0
S-3560-01(config-router)#network 10、0、20、0 0、0、0、255 area 0
S-3560-02(config)#int loo 0
S-3560-02(config-if)#ip add 1、0、0、2 255、255、255、0
S-3560-02(config-if)#exit
S-3560-02(config)#router ospf 1
S-3560-02(config-router)#router-id 1、0、0、2
S-3560-02(config-router)#network 10、0、10、0 0、0、0、255 area 0
S-3560-02(config-router)#network 10、0、20、0 0、0、0、255 area 0
S-3560-02(config-router)#default-information originate
9、3560-02对内网IP进行NAT
设置3560外网口
S-3560-02(config)#int gig0/1
S-3560-02(config-if)#ip nat outside
S-3560-02(config-if)#exit
设置3560内网口
S-3560-02(config)#int vlan 10
S-3560-02(config-if)#ip nat inside
S-3560-02(config-if)#int vlan 20
S-3560-02(config-if)#ip nat inside
设置NAT得访问控制列表ACL
S-3560-02(config)#ip nat inside source list 10 interface gig0/1 overload
10、验证测试
内网inside区PC测试
内网inside服务器测试

防火墙上验证
HQ-BeiJing-ASA5505-01#
HQ-BeiJing-ASA5505-01#show nat
Auto NAT Policies (Section 2)
1 (inside) to (outside) source dynamic 10、0、0、0/24 interface
translate_hits = 23, untranslate_hits = 23
2 (dmz) to (outside) source dynamic 172、16、10、0/24-DMZ-Server interface
translate_hits = 13, untranslate_hits = 13
3 (dmz) to (outside) source static 172、16、10、11/32-WebServer 220、0、0、3
translate_hits = 0, untranslate_hits = 0