利用6506组建网络的案例.doc

利用6506组建网络的案例华为交换组建一个网络：核心是6506，楼层是3954P，示意图见附件。楼层交换机和主交换之间是单根光纤连接。1、VLAN如何划分，要求按部门进行VLAN划分。这个VLAN在核心交换上设置和分支交换上设置，哪一种方法实现比较简单。2、核心交换机上直接连接了两台服务器，这两台服务器要求与二部同在一个VLAN中。3、要实现IP、MAC和端口一起绑定，采用那种绑定方式。解答：如你所见，设立了VLAN 4000做为网管VLAN后是必须使用一个管理网段的，本网段只有本地意义，在不冲突其他网段的情况下可随意配置，在我的设计中，给你规划的是 192.168.254.0段，当然你也可以根据你的实际情况使用变长掩码，因为你的设备数量不多，可以考虑使用如255.255.255.224等，做了管理VLAN开启telnet 后，后续服务将变的很轻松，另外开启SNMP协议后可使用Quick View管理，也可以使用如MRTG等软件实现流量监控功能，帮助解决网络问题，有空我写一个MRTG的教程弄上来，可以给你参考。问题一：如果如果需要在核心交换机上面加一个防火墙做NAT，需要在6503上在划一个VLAN，作为和防火墙连接用VLAN，具体配置如下：vlan3999port g1/0/8int  vlan 3999ip add 192.168.253.1 255.255.255.252 # 说明一下，设备间互连的IP最好使用252掩码quitip route-stick 0.0.0.0 0.0.0.0 192.168.253.2  #不知道你是什么防火墙，但是工作原理一样防火墙上的设置给出一个eudmon 200的配置#sysname Eudemon#local-user eudemon password simple *local-user eudemon service-type telnetlocal-user eudemon level 3local-user *#tcp window 8#firewall packet-filter default permit interzone local untrust direction inboundfirewall packet-filter default permit interzone trust untrust direction outboundfirewall packet-filter default permit interzone trust DMZ direction inboundfirewall packet-filter default permit interzone trust DMZ direction outboundfirewall packet-filter default permit interzone DMZ untrust direction inboundfirewall packet-filter default permit interzone DMZ untrust direction outbound#nat address-group 0 1.1.1.3 1.1.1.6   #假设你的公网IP是1.1.1.3 到1.1.1.6nat server protocol tcp global 1.1.1.3 www inside 192.168.x.x  www      #顺便给出映射服务器方法nat alg enable ftpnat alg enable icmp#firewall statistic system enable#undo multicast igmp-all-enable#interface Aux0async mode flowlink-protocol ppp#interface Ethernet0/0/0description nei_wang_ipip address 192.168.253.2 255.255.255.252#interface Ethernet0/0/1description DMZ_ipip address 10.10.10.1 255.255.255.0#interface Ethernet1/0/0description wai_wang_ipip address 1.1.1.2 255.255.255.248#interface Ethernet1/0/1description wai_wang_ip#interface Ethernet2/0/0#interface NULL0#acl number 2rule 0 permit source 10.10.0.0 0.0.255.255rule 1 permit source 192.168.0.0 0.0.0.255rule 2 deny#firewall zone localset priority 100#firewall zone trustadd interface Ethernet0/0/0set priority 85#firewall zone untrustadd interface Ethernet1/0/0set priority 5#firewall zone DMZadd interface Ethernet0/0/1set priority 50#firewall interzone local trustpacket-filter 2 inboundpacket-filter 2 outbound#firewall interzone local untrustdetect ftp#firewall interzone local DMZdetect ftp#firewall interzone trust untrustpacket-filter sexmaxx inboundpacket-filter sexmaxx outboundnat outbound 2 address-group 0         #地址转换#firewall interzone trust DMZpacket-filter 2 inboundpacket-filter 2 outbound#firewall interzone DMZ untrust#ip route-static 0.0.0.0 0.0.0.0 1.1.1.1ip route-static 192.168.10.0 255.255.255.0 192.168.253.1ip route-static 192.168.20.0 255.255.255.0 192.168.253.1所有网段都加上，尽量使用精确路由，如果使用192.168.0.0，255.255.0.0，192.168.253.1容易产生路由环。#snmp-agentsnmp-agent local-engineid 000007DB7F00000100006C06snmp-agent community read  publicsnmp-agent community write  privatesnmp-agent sys-info version all#user-interface con 0authentication-mode passwordset authentication password simple eudemonuser-interface aux 0user-interface vty 0 4authentication-mode localuser privilege level 3set authentication password simple eudemon#return问题二：另外，说一下 刚才提到的路由环的问题。学习过华为课程都知道路由环路问题，比如RIP就可能产生，而OSPF就可以避免。至于什么是路由环，在华为课程里已经阐述的很清楚，我就不做过多介绍，这里我只是介绍一个很常见的问题：当在网络中有多个网段，使用三层交换机做核，使用一台路由器或防火墙做出口时，我们经常会如下配置：交换机配置到路由器的默认路由。路由器配置一条默认路由到我们的ISP，在配置一条汇聚后的内网路由，于是麻烦就产生了。比如，我们的内网有192.168.0.0，192.168.1.0，192.168.2.0，192.168.10.0，192.168.20.0，192.168.254.0 等几个自然网段。在路由器上我们就要为每一个网段配置一条静态路由，往往这样做又麻烦又不利于扩展，于是我们经常配置一条汇聚后的路由：192.168.0.0，255.255.0.0。这样做既简化了配置，而且在之后如果需要在核心交换机上增加网段也不需要改路由器了，而且在正常使用中也确实不会有什么问题。然而，当我们的网络中有病毒，或其他情况产生一些非正常数据包时，问题变产生了，首先，一些机器会发出到一些并不存在的网段的访问（冲击波，震荡波等病毒）。例如，在192.168.1.16 这台PC在中病毒后，不停向所有网段试图发包（包括其实并不存在的网段），如192.168.80.0。三层交换机受到这些去往并不存在的内网网段的数据包后会将其转发个路由器（走默认路由），而路由器收到后会将其在发回交换机（走汇聚后的路由），如此往复，灾难便发生了，大量这样的数据包回在我们的路由器和交换机之间往返，直到ttl=0后才被丢弃，占用网络带宽和设备资源，甚至导致我们的网络瘫痪。我们如何处理这个问题那？显而易见，我们在路由器上配置精确路由是可以避免的，但工作量回增大.还有一种方法就是，在核心交换机上配置黑洞路由，将去往内网不存在，网段的数据丢掉。具体配置：ip route-static 192.168.0.0 255.255.0.0 null 0 blackhole配置上面命令后，当交换机收到正确的本地网段数据后会通过直链路由或精确路由转发，而去往不存在的网段会被丢弃。