(网络组建与管理)企业网络搭建及应用教程.doc

高职高专计算机网络技术实验实训教程前 言随着时代的迅速发展，网络信息化已成为社会发展必不可少的一部分，网络技术的应用已深入到社会生活的各个方面。为此，社会对计算机网络专业人才的需求也与日俱增。而网络专业知识的学习有两种完全不同的方法，其一是从原理和理论着手，侧重知识的学习；其二是从实用和应用着手，注重应用技能。本书从高职高专教育培养应用型、技能型人才的目标出发，向广大读者讲述“怎么使用网络设备”，而不着重介绍“网络设备的技术原理”，在理论知识上完全以实际实验是否需要为取舍原则，以达到应用目标为理论深度控制原则，做到必需、够用、能学，而真正的重心在于“怎么用”，以培养读者的实用能力，即采用“技能驱动”的写作方案，充分体现了高等职业教育的应用特色和能力本位。学习目标是“会不会用”，从而提高技能、增长知识、增加就业机会。教材建设在很大程度上影响着高职高专教学质量，作者以对职业教育事业的高度责任感，结合十年来教学经验，对高职高专实验实训教材开展研究工作，解决新形势下高职高专教育实验实训教材的有无问题，推动高职高专规划教材建设工作的发展与提高。本教程实验全部在星网锐捷公司的网络设备上实现，若读者所使用的网络设备非锐捷公司网络产品，请自行变通使用。在本书的编写过程中，锐捷网络大学的老师给予了莫大的技术支持和帮助，在此深表感谢。由于作者水平有限，书中错误或不当之处在所难免，恳请各位专家和广大读者及时批评指正。目 录交换机实验4实验一 交换机的访问方式4实验二 使用交换机的命令行界面9实验三 交换机端口的基本配置12实验四 交换机的系统配置信息14实验五 交换机端口隔离（Port Vlan）17实验六 跨交换机实现相同VLAN间的通信20实验七 端口聚合提供冗余备份链路23实验八 生成树协议STP(IEEE 802.1d)的配置26实验九 快速生成树协议RSTP(IEEE 802.1w)的配置31实验十 交换机端口镜像35路由器实验37实验一 路由器的访问方式37实验二 使用路由器的命令行界面42实验三 路由器端口的基本配置45实验四 路由器的系统和配置信息47实验五 三层交换机的端口配置51实验六 三层交换机不同vlan间的通信53实验七 三层交换机不同vlan间的通信56实验八 广域网协议的安装59实验九 PPP PAP认证61实验十 PPP CHAP认证64实验十一 利用动态NAPT实现局域网访问互联网68实验十二 利用NAT实现外网主机访问内网服务器71防火墙实验74实验一 通过CONSOLE 口命令行管理防火墙74实验二 通过WEB界面进行管理防火墙77实验三 防火墙首页84实验四 系统配置86实验五 管理配置89实验六 网络配置93实验七 VPN配置100实验八 防火墙对象定义配置107实验九 防火墙的安全策略120实验十 防火墙的用户认证131实验十一 系统监控配置134实验十二 防火墙实现DHCP139网络安全实验140实验一 交换机的端口安全配置140实验二 标准IP访问控制列表142实验三 扩展IP访问控制列表145实验四 基于时间的访问控制列表147实验五 防火墙的路由模式149实验六 防火墙的网桥模式151实验七 防火墙的NAT功能153实验八 防火墙的规则功能155实验九 防火墙实现P2P限制156综合实验习题157综合实验习题一157综合实验习题二158综合实验习题三159综合实验习题四1603交换机实验实验一 交换机的访问方式实验名称：交换机的访问方式实验目的：通过带内带外两种方法对交换机进行管理技术原理： 带外管理 l 通过带外对交换机进行管理(PC 与交换机直接相连) 带内管理l 通过Telnet 对交换机进行远程管理l 通过Web 对交换机进行远程管理l 通过SNMP 工作站对交换机进行远程管理 实现功能：熟练掌握交换机的各种管理方式。实验设备：S2126G一台，PC一台，直连线或控制线一根。实验拓朴：S2126 ConsoleF0/5com1NIC实验步骤：1带外交换机配置 连线 利用配置线将主机的COM口和交换机的console口相连 打开超级终端 打开超级终端程序：开始程序附件通讯超级终端 配置超级终端 为连接命名 选择合适的COM口 配置正确的参数2用TELNET对交换机进行管理交换机配置：Switch(config)#enable secret level 1 0 star ！配置远程登陆密码,level 1指级别（0至15级），0指明文口令（0或5，5指密文口令），star为口令。 Switch (config)#enable secret level 15 0 star ！配置进入特权模式密码，level 15指级别（0至15级），0指明文口令（0或5，5指密文口令），star为口令。Switch (config)#interface vlan 1 Switch (config-if)#no shutdownSwitch (config-if)#ip address 192.168.1.1 255.255.255.0 ！给交换机配置管理地址Switch (config-if)#end运行CMD，在命令行中输入telnet ip address：输入telnet密码和特权密码即可进入到交换机的配置界面3用WEB对交换机进行管理打开IE浏览器，在地址栏输入：http:/ip address4.用SNMP对交换机进行管理注意事项：1.在“新建连接”时按提示一步步操作。2.设置COM1属性时，单击“还原为默认值”即可。 3.第一次配置交换机时用带外管理方式。4.第2、3、4种管理方式为带内管理，要占用交换机的一个端口，并配置IP地址。实验二 使用交换机的命令行界面实验名称：使用交换机的命令行界面。实验目的：掌握交换机命令行各种操作模式的区别，各模式之间的切换以及交换机全局的基本配置。技术原理：交换机是一个具有简化、低价、高性能和高端口密集特点的交换产品，体现了桥接技术的复杂交换技术在OSI参考模型的第二层操作。与桥接器一样，交换机按每一个包中的MAC地址相对简单地决策信息转发。交换机提供了许多网络互联功能。交换机能经济地将网络分成小的冲突域，为每个工作站提供更高的带宽。协议的透明性使得交换机在软件配置简单的情况下直接安装在多协议网络中；交换机使用现有的电缆、中继器、集线器和工作站的网卡，不必作高层的硬件升级；交换机对工作站是透明的，这样管理开销低廉，简化了网络节点的增加、移动和网络变化的操作。实现功能：熟练掌握交换机的命令行操作模式，配置交换机名称和登录交换机时提示相关信息。实验设备：S2126G一台实验拓朴： S2126ConsoleF0/5com1NIC实验步骤：1.交换机命令行操作模式的进入。 Switchenable 14 ! 进入特权模式。Password:Switch#Switch# configure terminal ! 进入全局配置模式。Enter configuration commands, one per line. End with CNTL/Z.Switch(config)#Switch(config)#interface fastethernet 0/1 ! 进入交换机F0/1的接口模式。2007-06-24 13:32:41 5-CONFIG:Configured from outbandSwitch(config-if)#Switch(config-if)# exit ! 退回到上一级操作模式。2007-06-24 13:32:49 5-CONFIG:Configured from outbandSwitch(config)#Switch(config)# end ! 直接退回到特权模式。2007-06-24 13:32:54 5-CONFIG:Configured from outbandSwitch#Switch#exitPress RETURN to get started!2交换机命令行的基本功能。帮助信息 Switch ? ! 显示当前模式下所有可执行的命令。 disable Turn off privileged commands enable Turn on privileged commands exit Exit from the EXEC help Description of the interactive help system ping Send echo messages rcommand Run command on remote switch show Show running system information telnet Open a telnet connection traceroute Trace route to destinationSwitch# co? ! 显示当前模式下所有以co开头的命令。configureSwitch show ? ! 显示show命令后可执行的参数。命令的缩写Switch en ! 代表enable。Switch# conf ter ! 代表configure terminal。命令的自动补齐Switch# con ! 按下tab键自动补齐configure。l命令的快捷键Switch(config-if)# z ! ctrl+z 退回到特权模式。Switch#3.配置交换机设备名称。switch(config)#hostname kdyswitch !配置交换机设备名称kdyswitchkdyswitch(config)#4.登录交换机时提示信息的配置。kdyswitch(config)# banner motd & ! &为提示信息的结束符。2007-06-24 13:47:14 5-CONFIG:Configured from outbandEnter TEXT message. End with the character &.welcome to you!&注意事项：1.命令行操作进行命令缩写或命令自动补齐时，要求所简写的字母能唯一的区别该命令。如conf能代表configure 但 co 不能代表configure，因为co 开头的命令有copy和configure。2.注意区别每个操作模式下可执行命令的种类，交换机不能跨模式执行命令。3.交换机设备名称的有效字符是22个。4.提示信息中不能有结束符&。5.各种模式的提示符及功能列举如下： 用户模式 Switch 交换机信息的查看，简单测试命令 特权模式 Switch# 查看、管理交换机配置信息，测试、调试 全局配置 Switch(config)# 配置交换机的整体参数 端口模式 Switch(config-if)#配置交换机的接口参数 VLAN配置模式 Switch(config-vlan)#实验三 交换机端口的基本配置实验名称：交换机端口的基本配置。实验目的：掌握交换机端口的常用配置参数。技术原理：二层交换机属数据链路层设备，可以识别数据包中的MAC地址信息，并将这些MAC地址与对应的端口记录在自己内部的一个MAC地址表中，交换机初始化时MAC地址表是空的，主机之间互相发送数据，交换机会学习数据帧的源MAC地址，形成MAC地址表，并根据目的MAC地址进行包的转发，交换机有直通式、存储转发式、无碎片直通式（更高级的直通式转发） 三种转发方式。实现功能：配置交换机端口的速率，双工模式，进行有效查看。实验设备：S2126G一台，主机一台，直连网线或控制线一根。实验拓朴：S2126ConsoleF0/5com1NIC实验步骤：1.配置交换机端口参数。 Switchenable ! 进入特权模式。Password:Switch# configure terminal ! 进入全局配置模式。Switch(config)# interface fastethernet 0/1 ! 进入交换机F0/1的接口模式。Switch(config-if)# speed 10 ! 配置端口的速率为本10M。（参数有100，10，auto自适应） Switch(config-if)#duplex half !配置端口为半双工模式。（参数有full全双工，half,auto自适应）Switch(config-if)# no shutdown ! 开启该端口，使端口转发数据。2查看交换机端口的配置信息。switch# show interface fastethernet 0/1 ! Interface : FastEthernet100BaseTX 0/1Description :AdminStatus : upOperStatus : downMedium-type : copperHardware : 10Base-T/100Base-TXMtu : 1500LastChange : 0d:0h:27m:29sAdminDuplex : HalfOperDuplex : UnknownAdminSpeed : 10OperSpeed : UnknownFlowControlAdminStatus : OffFlowControlOperStatus : OffPriority : 0Broadcast blocked :DISABLEUnknown multicast blocked :DISABLEUnknown unicast blocked :DISABLE注意事项：1.交换机端口默认开启，AdminStatus是UP，如果该端口没连其它设备，OperStatus是DOWN。实验四 交换机的系统配置信息实验名称：交换机的系统配置信息。实验目的：掌握交换机的工作状态。技术原理：交换机的硬件结构由RAM、ROM、FLASH、CPU、INTERFACE构成。FLASH 闪存，存放交换机操作系统（RGNOS）、配置文件（config.text）；RAM 随机存储器，存放交换机当前运行的配置（running-config）；ROM 只读存储器，存放Mini OS、 BootStart实现功能：查看、保存、删除交换机的各项参数。实验设备：S2126G一台，主机一台，直连网线或控制线一根。实验拓朴：ConsoleF0/5com1NIC实验步骤：1.配置交换机端口参数。 Switchenable ! 进入特权模式。Password:Switch# configure terminal ! 进入全局配置模式。switch(config)# hostname kdyswitchkdyswitch(config)# interface fastethernet 0/1 ! 进入交换机F0/1的接口模式。kdyswitch(config-if)# speed 10 ! 配置端口的速率为本10M。kdyswitch(config-if)# duplex half !配置端口为半双工模式。kdyswitch(config-if)# no shutdown ! 开启该端口，使端口转发数据。2查看交换机各项信息。kdyswitch# show version ! 查看交换机的版本信息。System description : Red-Giant Gigabit Intelligent Switch(S2126G) By Ruijie NetworkSystem uptime : 0d:0h:5m:38sSystem hardware version : 3.3System software version : 1.66(8) Build Dec 22 2006 RelSystem BOOT version : RG-S2126G-BOOT 03-03-02System CTRL version : RG-S2126G-CTRL 03-11-02Running Switching Image : Layer2kdyswitch# show mac-address-table !查看交换机的mac地址表。Vlan MAC Address Type Interface- - - -kdyswitch# show running-config !查看交换机当前生效的配置信息。System software version : 1.66(8) Build Dec 22 2006 RelBuilding configuration.Current configuration : 237 bytes!version 1.0!hostname kdyswitchvlan 1!enable secret level 14 5 :H.Y*T2;C,tZVWH.8pu_;C,t:pU0D+S!interface fastEthernet 0/1 speed 10 duplex half!endkdyswitch# more flash:config.text ! 查看flash中配置文件内容!version 1.0!hostname Switchvlan 1!enable secret level 14 5 E,1u_;C2&-8U0Henable secret level 15 5 (9waeh8rdfimL8pbcknA:pzyglow!endkdyswitch#show configure ! 查看flash中配置文件内容!version 1.0!hostname Switchvlan 1!enable secret level 14 5 E,1u_;C2&-8U0Henable secret level 15 5 (9waeh8rdfimL8pbcknA:pzyglow!end3.保存配置,将当前运行的参数保存到flash 中用于系统初始化时初始化参数。kdyswitch#copy running-config startup-config kdyswitch#write memorykdyswitch#writekdyswitch#show configure!version 1.0!hostname kdyswitchvlan 1!enable secret level 14 5 _;C,tZ20H.Y*Tenable secret level 15 5 (9w1u_;C8r-8U0H!interface fastEthernet 0/1 speed 10 duplex half!end4.删除配置kdyswitch#delete flash:config.text ! 永久性的删除flash 中不需要的文件kdyswitch#delete flash:vlan.dat ! 永久性的删除flash 中VLAN数据库文件注意事项：1.show mac-address-table 和show running-config 都是查看交换机当前生效的配置信息，该信息存储在RAM里，断电重新启动后会生成新的MAC地址表和配置信息。实验五 交换机端口隔离（Port Vlan）实验名称：交换机端口隔离（Port Vlan）。实验目的：理解Port Vlan的配置。技术原理：在交换机组成的网络里所有主机都在同一个广播域内，通过VLAN技术可以对网络进行一个安全的隔离、分割广播域。VLAN （Virtual Local Area Network），是在一个物理网络上划分出来的逻辑网络，这个网络对应于OSI 模型的第二层网络。VLAN的划分不受网络端口的实际物理位置的限制。VLAN 有着和普通物理网络同样的属性。第二层的单播、广播和多播帧在一个VLAN内转发、扩散，而不会直接进入其他的VLAN之中，即通过VLAN的划分，不同VLAN间不能够直接访问。一个端口只属于一个VLAN， Port VLAN设置在连接主机的端口，这时MAC地址表多了一项VLAN信息。实现功能：通过划分Port Vlan实现本交换机端口隔离。实验设备：S2126G一台，主机四台，直连网线四根。实验拓朴：1234交换机广播帧广播域广播帧广播域实验步骤：1.创建VLAN。(此时四台PC都能PING通) Switchenable ! 进入特权模式。Switch# configure terminal ! 进入全局配置模式。switch(config)# vlan 100 !创建vlan 100switch(config-vlan)# name testvlan100 ! 将vlan 100命名为testvlan100.switch(config-vlan)# exit switch(config)# vlan 200 !创建vlan 200。Switch(config-vlan)# name testvlan200 ! 将vlan 200命名为testvlan200。switch(config-vlan)# end ! 直接退回到特权模式.switch# show vlan !查看已配置的vlan信息.默认所有端口都属于vlan1.VLAN Name Status Ports- - - -1 default active Fa0/1 ,Fa0/2 ,Fa0/3 Fa0/4 ,Fa0/5 ,Fa0/6 Fa0/7 ,Fa0/8 ,Fa0/9 Fa0/10,Fa0/11,Fa0/12 Fa0/13,Fa0/14,Fa0/15 Fa0/16,Fa0/17,Fa0/18 Fa0/19,Fa0/20,Fa0/21 Fa0/22,Fa0/23,Fa0/24100 testvlan100 active200 testvlan200 active2将接口分配到vlan。(做完后二个VLAN中的PC不能PING通)switch(config)# interface range fastethernet 0/1-2 switch(config-if-range)# switchport access vlan 100 !将端口fa0/1和fa0/2加入vlan 100 中。switch(config-if-range)# exitswitch(config)# interface range fastethernet 0/3-4switch(config-if-range)# switchport access vlan 200 !将端口fa0/3和fa0/4加入vlan 200 中。switch(config-if-range)# endswitch# show vlan VLAN Name Status Ports- - - -1 default active Fa0/5 ,Fa0/6 ,Fa0/7 Fa0/8 ,Fa0/9 ,Fa0/10 Fa0/11,Fa0/12,Fa0/13 Fa0/14,Fa0/15,Fa0/16 Fa0/17,Fa0/18,Fa0/19 Fa0/20,Fa0/21,Fa0/22 Fa0/23,Fa0/24100 testvlan100 active Fa0/1 ,Fa0/2200 testvlan200 active Fa0/3 ,Fa0/4switch# show running-config System software version : 1.66(8) Build Dec 22 2006 RelBuilding configuration.Current configuration : 510 bytes!version 1.0!hostname kdyswitchvlan 1!vlan 100 name testvlan100!vlan 200 name testvlan200!enable secret level 14 5 E,1u_;C2&-8U0Henable secret level 15 5 (9w.Y*T78r,tZV/8p+S(W&:p1X)sv!interface fastEthernet 0/1 speed 10 duplex half switchport access vlan 100!interface fastEthernet 0/2 switchport access vlan 100!interface fastEthernet 0/3 switchport access vlan 200!interface fastEthernet 0/4 switchport access vlan 200!End3测试VLAN100中的两台PC能相互拼通，VLAN200中的两台PC也能相互拼通，但VLAN100中的PC与VLAN200中的PC不能拼通。注意事项：1.交换机默认所有端口属于access口,switchport mode access/trunk可更改端口的vlan模式。2.vlan1属于系统默认的vlan,不能删除。3.用 switch(config)# no vlan 200 删除某个vlan.删除前要把该vlan中的端口加入到别的vlan。4除基于端口的VLAN外，还有基于协议和基于MAC地址的VLAN。5 其它知识Switch#write memory ！将VLAN信息保存到flash中Switch#delete flash:vlan.dat ！从flash中清除VLAN信息Switch(config)#no vlan VLAN-id ！从RAM中删除VLAN实验六 跨交换机实现相同VLAN间的通信实验名称：跨交换机实现相同VLAN间的通信（Tag VLAN）。实验目的：掌握交换机Tag VLAN的配置，理解相同VLAN主机通信，不同VLAN主机隔离的特点。技术原理：1Tag VLAN特点 传输多个VLAN的信息 实现同一VLAN跨越不同的交换机 要求Trunk至少要100M2IEEE802.1Q数据帧 标记协议标识（TPID）: 固定值0x8100,表示该帧载有802.1Q标记信息 标记控制信息（TCI）: Priority：3比特，表示优先级 Canonical format indicator：1比特，表示总线型以太网、FDDI、令牌环网 VlanID：12比特，表示VID，范围14094 802.1Q工作特点： 802.1Q数据帧传输对于用户是完全透明的。 Trunk上默认会转发交换机上存在的所有VLAN的数据。 交换机在从Trunk口转发数据前会在数据打上个Tag标签，在到达另一交换机后，再剥去此标签。实验功能：同一Vlan的计算机系统能跨交换机进行相互通信，Tag VLAN的配置和数据传输控制。实验设备：S2126G二台，主机三台，直连网线四根。实验拓朴：F0/5NICNICF0/15F0/5NICNICF0/5NICF0/24F0/24Tag VLAN实验步骤：1.在交换机switch1上创建Vlan10,并将fa0/5划分到Vlan10。 Switchenable ! 进入特权模式。Switch# configure terminal ! 进入全局配置模式。Switch(config)# hostname switch1 ! 命名Switch1(config)# vlan 10 !创建vlan 10Switch1(config-vlan)# name test10 ! 将vlan 10命名为test10.Switch1(config-vlan)# exit Switch1(config)# interface fastethernet 0/5 ! 接口模式。Switch1(congfig-if)# switchport access vlan 10 Switch1(config-if)# end Switch1# show vlan id 10 ! 查看vlan 10 的信息。VLAN Name Status Ports- - - -10 test10 active Fa0/52.在交换机switch1上创建Vlan20,并将fa0/15划分到Vlan20。Switch1(config)# vlan 20 !创建vlan 20。Switch1(config-vlan)# name test20 ! 将vlan 20命名为test20。Switch1(config-vlan)# e