网络建设项目竣工文档.doc

中国核工业第二二建设公司
网络系统建设项目
竣工文档

沈阳赛莫网络工程有限公司
2013年11月
目录
前言 4
一、网络设备的安装配置文档 5
1. VLAN及IP地址分配 5
2. 网络设备管理IP 5
3. 公网IP地址分配 6
4. 现网络设备连接图 7
5.后期规划网络拓扑图 8
二、网络设备的调试及命令 9
1.核心交换机命令: 9
1.1远程登陆交换机： 9
（1）创建DOS界面 9
（2）远程登入命令： 9
1.2．使用display cur查看配置 10
1．3交换机配置命令 11
(1)创建vlan 11
(2)将端口划入Vlan 11
(3)改变交换机名称 11
(4)指定VLAN Interface IP地址 11
2. 接入交换机命令 12
2.1 交换机远程登入: 12
（1）创建DOS界面 12
（2）远程登入命令： 12
2.2 使用Display查看配置 14
2．3 交换机配置命令 17
3．深信服防火墙登陆及配置 18
(1) 登陆防火墙 18
(2) 查看及修改物理端口 18
(3) 查看及创建路由 19
(4) VPN建立 20
4．上网行为管理 21
(1) 登陆设备 21
(2) 查看及创建物理端口IP地址 21
(3) 组与用户建立 24
(4)流量带宽控制 26
5．1 H3C-1配置： 29
5．2 H3C-2配置： 33
5．3 H3C-3配置： 37
5．4 H3C-4配置： 40
5．5 H3C-5配置： 44
5．6 H3C-6配置： 48
5．7 H3C-7配置： 52
5．9 H3C-9配置： 60
5．10 H3C-10 配置： 63
5．11 H3C-11 配置： 67
5．10 H3C-10 配置 ： 71
核心交换机配置： 78

前言
沈阳赛莫网络工程有限公司按照《中国核工业第二二建设公司网络系统建设项目设计方案》及中国核工业第二二建设公司网络系统建设项目的实际需求，对网络系统进行集成建设。
通过项目的实施，网络设备方面完成了上网行为管理、防火墙核心交换机、接入交换机、服务器等网络设备的安装调试；，公司内部互相连接和连接Internet，并按需求安装VPN。
下面，对项目实施中的相关文档进行整理总结。
一、网络设备的安装配置文档
1. VLAN及IP地址分配
VLAN ID
VLAN名称
VLAN IP地址段
子网掩码
备注
1
1
10.0.0.0
255.255.255.0
设备管理网段
2
10
10.20.10.0
255.255.255.0
服务器办公
3
20
10.20.20.0
255.255.255.0
办公
4
30
10.20.30.0
255.255.255.0
预留
5-20
10.20.40.0-10.20.200.0 预留网段

2. 网络设备管理IP
设备名称
管理IP地址
备注
AF1120
10.0.0.1
防火墙
AC1200
10.0.0.2
上网行为管理
H3C S5800
10.0.0.3
核心交换机
H3C-1
10.0.0.4
接入交换机
H3C-2
10.0.0.5
接入交换机
H3C-3
10.0.0.6
接入交换机
H3C-4
10.0.0.7
接入交换机
H3C-5
10.0.0.8
接入交换机
H3C-6
10.0.0.9
接入交换机
H3C-7
10.0.0.10
接入交换机
H3C-8
10.0.0.11
接入交换机
H3C-9
10.0.0.12
接入交换机
H3C-10
10.0.0.13
接入交换机
H3C-11
10.0.0.14
接入交换机
H3C-12
10.0.0.15
接入交换机
H3C-13
10.0.0.16
接入交换机

3. 公网IP地址分配
3.1 互联IP地址:
由电信运营商分配地址为: 221.202.160.206/255.255.255.252 为互连IP地址,设置在深信服AF1120防火墙设备外网口处.(如图):

3.2 业务IP地址
可使用业务IP地址段为: 10.20.*.*-10.20.*.*。

4. 现网络设备连接图

5.后期规划网络拓扑图

二、网络设备的调试及命令
1.核心交换机命令:
1.1远程登陆交换机：
（1）创建DOS界面
在WINDOWS操作系统，开始菜单→运行（见图1）→提示框内输入cmd 回车（见图2）弹出DOS界面（见图3）后可以输入命令操作
图1 图2

图3

（2）远程登入命令：
在DOS窗口下输入：telnet空格设备管理IP地址，回车。例：telnet 10.1.2.254
登陆成功后会提示输入密码,
输入密码时不会显示任何内容，输入完成后按回车键即可生效。
登陆交换机后：提示符为＜S5800＞”需输入：sys 回车进入用户模式，提示符为：【S5800】后可以使用命令进行操作
1.2．使用display cur查看配置
(1) [s5800] display cur查看当前交换机的配置
例：以下为输入命令后的部分输出，不是完整输出！只为更方便的介绍显示内容，具体输入见附件，交换机配置备份。
interface GigabitEthernet1/0/1………………………………交换机千兆以太网第1口
port link-mode bridge……………………………………….接口模式为bridge
port link-type trunk………………………………………….接口方式为trunk
port trunk permit vlan all……………………………………允许trunk通过所有VLAN
interface Vlan-interface10………………………………….进入交换机vlan10
ip address 10.20.10.254 255.255.255.0…………………..该VLAN的IP地址
(2) S5800 display vlan；查看vlan配置信息
dis vlan
Total 10 VLAN exist(s).
The following VLANs exist:
1(default), 5, 10, 15, 20, 30, 40, 50, 60, 70, ………….该交换机已经建立哪些vlan
Dis vlan 1……………………………………………………….查看具体某个vlan
VLAN ID: 1
VLAN Type: static
Route Interface: configured
IP Address: 10.0.0.3
Subnet Mask: 255.255.255.0
Description: VLAN 0001
Name: VLAN 0001
Tagged Ports: none
Untagged Ports:……………………………………............该vlan包含的端口
Bridge-Aggregation1
GigabitEthernet2/0/1 GigabitEthernet2/0/2 GigabitEthernet2/0/3
GigabitEthernet2/0/4 GigabitEthernet2/0/5 GigabitEthernet2/0/6
GigabitEthernet2/0/7 GigabitEthernet2/0/8 GigabitEthernet2/0/9
GigabitEthernet2/0/10 GigabitEthernet2/0/11 GigabitEthernet2/0/12
GigabitEthernet2/0/13 GigabitEthernet2/0/14 GigabitEthernet2/0/15
GigabitEthernet2/0/16 GigabitEthernet2/0/17 GigabitEthernet2/0/18
GigabitEthernet2/0/19 GigabitEthernet2/0/20 GigabitEthernet2/0/21
GigabitEthernet2/0/22 GigabitEthernet2/0/23 GigabitEthernet2/0/24
GigabitEthernet2/0/25 GigabitEthernet2/0/26 GigabitEthernet2/0/27
GigabitEthernet2/0/28 GigabitEthernet2/0/29 GigabitEthernet2/0/30
GigabitEthernet2/0/31 GigabitEthernet2/0/32 GigabitEthernet3/0/1
GigabitEthernet3/0/2 GigabitEthernet3/0/3 GigabitEthernet3/0/4
GigabitEthernet3/0/5 GigabitEthernet3/0/6 GigabitEthernet3/0/7
GigabitEthernet3/0/8 GigabitEthernet3/0/9 GigabitEthernet3/0/10
GigabitEthernet3/0/17 GigabitEthernet3/0/18 GigabitEthernet3/0/19
GigabitEthernet3/0/20
1．3交换机配置命令
(1)创建vlan
sys………………………………………………………….进入用户模式
[S5800]vlan 10……………………………………………………..建立vlan 10
(2)将端口划入Vlan
[S5800]vlan 10
[S5800-S-vlan10]port g1/0/1 to g1/0/24……………………….把1到24口划入该vlan
(3)改变交换机名称
sys
[H3C]sysname S5800……………………………………………..定义交换机名称
[S5800]

(4)指定VLAN Interface IP地址
[S5800] interface Vlan-interface30…………………………………………..进入vlan30
[S5800-S-Vlan-interface30] ip address 10.20.30.254 255.255.255.0……更改VLAN IP地址
2. 接入交换机命令
2.1 交换机远程登入:
（1）创建DOS界面
在WINDOWS操作系统，开始菜单→运行（见图1）→提示框内输入cmd 回车（见图2）弹出DOS界面（见图3）后可以输入命令操作
图1 图2

图3

（2）远程登入命令：
在DOS窗口下输入：telnet空格设备管理IP地址，回车。如下图：

登陆成功后会提示输入密码,
输入密码时不会显示任何内容，输入完成后按回车键即可生效。如下图：

登陆交换机后：提示符为“交换机名称
#
vlan 1……………………………………………………………………VLAN ID号
name FuWuQi……………………………………………………………VLAN名称
#
interface Vlan-interface2…………………………………………………VLAN2（管理VLAN）
ip address 10.1.2.1 255.255.255.0………………………………VLAN2地址（管理地址）
#
interface Ethernet1/0/1………………………………………………物理接口ID号（Ethernet1/0/1）
port access vlan 23…………………………………………………………端口归属与VLAN23
loopback-detection enable…………………………………………………环路检测打开
#
interface GigabitEthernet1/1/1……………………………………物理ID号（GIgabiEthernet1/1/1）
port link-type trunk……………………………………………………端口类型为trunk(中继模式)
port trunk permit vlan all…………………………………………………允许所有VLAN通过
description Connet-to-HX-4506E-1……………………………………描述为连接到HX-4506E-1
#

management-vlan 2………………………………………………规定交换机管理VLAN为VLAN2
#
ip route-static 0.0.0.0 0.0.0.0 10.1.2.254 preference 60…………………交换机默认路由指像网关
#
user-interface vty 0 4………………………………………………远程连接用户目录（0-4为数量）
set authentication password simple ********………………认证模式为密码认证，密码为：*********

(2)[H3C-1] display vlan all 查看VLAN信息及端口所归属VLAN信息
VLAN ID: 1
VLAN Type: static
Route Interface: not configured
Description: VLAN 0001
Name: FuWuQi、
Tagged Ports: none、
Untagged Ports:、
GigabitEthernet1/1/1 GigabitEthernet1/1/2 GigabitEthernet1/2/1
GigabitEthernet1/2/2
#
VLAN ID: 2
VLAN Type: static
Route
Interface: configured
IP Address: 10.1.2.1
Subnet Mask: 255.255.255.0
Description: VLAN 0002
Name: SheBeiGuanLi
Tagged Ports:
GigabitEthernet1/1/1 GigabitEthernet1/1/2
Untagged Ports: none

(3)[H3C-1]display brief interface Ethernet 查看物理接口状态
display brief interface Ethernet
Interface:
Eth - Ethernet GE - GigabitEthernet TENGE - tenGigabitEthernet
Loop - LoopBack Vlan - Vlan-interface Cas - Cascade
Speed/Duplex:
A - auto-negotiation

Interface Link Speed Duplex Type PVID Description
---------------------------------------------------------------------------
Eth1/0/1 DOWN A A access 23
Eth1/0/2 DOWN A A access 23
Eth1/0/3 DOWN A A access 23
Eth1/0/4 DOWN A A access 23
Eth1/0/5 DOWN A A access 23
Eth1/0/6 DOWN A A access 23
Eth1/0/7 DOWN A A access 23
Eth1/0/8 DOWN A A access 23
Eth1/0/9 DOWN A A access 23
Eth1/0/10 DOWN A A access 23
Eth1/0/11 DOWN A A access 23
Eth1/0/12 DOWN A A access 23
Eth1/0/13 DOWN A A access 23
Eth1/0/14 DOWN A A access 23
Eth1/0/15 DOWN A A access 23
Eth1/0/16 DOWN A A access 23
Eth1/0/17 DOWN A A access 23
Eth1/0/18 DOWN A A access 23
Eth1/0/19 DOWN A A access 23
Eth1/0/20 UP A100M Afull access 23
Eth1/0/21 DOWN A A access 23
Eth1/0/22 UP A100M Afull access 23
Eth1/0/23 DOWN A A access 23
Eth1/0/24 UP A100M Afull access 23
Eth1/0/25 DOWN A A access 23
Eth1/0/26 DOWN A A access 23
Eth1/0/27 DOWN A A access 23
Eth1/0/28 DOWN A A access 23
Eth1/0/29 DOWN A A access 23
Eth1/0/30 DOWN A A access 23
Eth1/0/31 DOWN A A access 23
Eth1/0/32 DOWN A A access 23
Eth1/0/33 DOWN A A access 23
Eth1/0/34 DOWN A A access 23
Eth1/0/35 DOWN A A access 23
Eth1/0/36 DOWN A A access 23
Eth1/0/37 DOWN A A access 23
Eth1/0/38 DOWN A A access 23
Eth1/0/39 DOWN A A access 23
Eth1/0/40 DOWN A A access 23
Eth1/0/41 DOWN A A access 23
Eth1/0/42 DOWN A A access 23
Eth1/0/43 DOWN A A access 23
Eth1/0/44 DOWN A A access 23
Eth1/0/45 DOWN A A access 23
Eth1/0/46 DOWN A A access 23
Eth1/0/47 DOWN A A access 23
Eth1/0/48 DOWN A A access 23

2．3 交换机配置命令
(1)创建vlan
super
system-view
System View: return to User View with Ctrl+Z.
[H3C1]vlan 10
[H3C-1-vlan10]
[H3C-1-vlan10]quit
[H3C-1]save
The configuration will be written to the device.
Are you sure?[Y/N]y
Please input the file name(*.cfg)(To leave the existing filename
unchanged press the enter key):
Now saving current configuration to the device.
Saving configuration. Please wait...
......
Unit1 save configuration flash:/config.cfg successfully

[H3C-1]
%Apr 14 03:20:19:104 2000 H3C-1 CFM/3/CFM_LOG:- 1 -Unit1 saved configuration suc
cessfully.
(2)将端口划入Vlan
[H3C-1]vlan 23
[H3C-1-vlan23]port Ethernet 1/0/48
[H3C-1]save

(3)改变交换机名称
[H3C-1]sysname H3C-1
[H3C-1]save

3．深信服防火墙登陆及配置
(1) 登陆防火墙
如下图：在浏览器地址栏内输入https://10.0.0.1后出现登陆界面输入用户名密码后点击”登录”登陆到防火墙主页

(2) 查看及修改物理端口
在防火墙主页面内点击 网络配置→接口/区域 可以看到所有物理。如下图
：

需看具体点击“具体接口”查看具体内容。如下图（比如点击ETH1）

(3) 查看及创建路由
在左侧点击“网络配置”→“路由”→“静态路由”查看或修改目的路由

(4) VPN建立
点击左侧“VPN”“连接管理”“新增”可建立新的VPN隧道如下图：

点击“本地子网列表”将内网网段添加到VPN子网。如下图：

4．上网行为管理
(1) 登陆设备
在浏览器地址栏内输入IP地址：10.0.0.2后出现用户、密码登陆框输入后可进入界面。如下图：

登陆后主界面如下图：

(2) 查看及创建物理端口IP地址
“网络配置”→“网口配置”如下图：

进入界面后如下图可查看IP地址及所在物理端口：

点击“网络配置”→“部署模式”来配置设备。如下图：

点击“开始配置”

选择部署模式点击下一步，本设备应选择网桥模式部署：

选择网桥模式，本设备为多网桥：

在此页面选择网桥接口，可任意选择，建议选择ETH2及ETH0作为网桥接口，此接口也为默认接口点击下一步配置网桥信息：

完成设备部署：

点击提交则设备重启配置生效。
(3) 组与用户建立
点击“用户与策略管理”

点击“上网策略”→“新增”建立上网策略。如下图：

做行为管理点击上网权限策略、做审计点击上网审计策略。如下图
上网权限策略点击新增

在右侧选择相对应用与时间段

上网设计策略点击新增点击添加选择需要审计的项目

两种策略建立完成均有选择使用组及用户选项

来按照需求对相应组及用户下发策略。
(4)流量贷款控制
点击“流量管理”→“线路带宽配置”设置总带宽

点击“通道配置”→“新增一级通道”来做流量控制。如下图：

点击左侧“通道使用范围”选择使用的组、用户及应用：

5．1 H3C-1配置：
sys
#
sysname H3C
#
loopback-detection enable
#
radius scheme system
#
domain system
#
local-user admin
password simple admin
service-type telnet terminal
level 3
#
vlan 1 to 200

#
interface Vlan-interface1
ip address 10.0.0.4 255.255.255.0
#
interface Aux1/0/0
#
interface Ethernet1/0/1
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/2
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/3
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/4
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/5
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/6
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/7
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/8
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/9
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/10
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/11
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/12
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/13
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/14
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/15
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/16
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/17
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/18
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/19
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/20
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/21
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/22
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/23
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/24
port access vlan 20
loopback-detection enable
#
interface GigabitEthernet1/1/1
port link-type trunk
port trunk permit vlan all
#
interface GigabitEthernet1/1/2
port link-type trunk
port trunk permit vlan all
shutdown
#
interface GigabitEthernet1/2/1
port link-type trunk
port trunk permit vlan all
#
interface GigabitEthernet1/2/2
port link-type trunk
port trunk permit vlan all
shutdown
#
interface NULL0
#
ip route-static 0.0.0.0 0.0.0.0 10.0.0.3 preference 60
#
user-interface aux 0
user-interface vty 0 4
authentication-mode scheme
#
return

5．2 H3C-2配置：
sys
#
sysname H3C
#
loopback-detection enable
#
radius scheme system
#
domain system
#
local-user admin
password simple admin
service-type telnet terminal
level 3
#
vlan 1 to 200
#
interface Vlan-interface1
ip address 10.0.0.5 255.255.255.0
#
interface Aux1/0/0
#
interface Ethernet1/0/1
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/2
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/3
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/4
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/5
port access vlan 20
loopback-detection enable
#
interface Ethernet1/0/6
port access vlan 20
loopback-detection enable
#
interface Ether