文档库 最新最全的文档下载
当前位置:文档库 › 使用三层交换机的ACL实现不同vlan间的隔离

使用三层交换机的ACL实现不同vlan间的隔离

使用三层交换机的ACL实现不同vlan间的隔离
使用三层交换机的ACL实现不同vlan间的隔离

使用三层交换机的ACL实现不同vlan间的隔离

建立三个vlan vlan10 vlan20 vlan30

PC1 PC3属于vlan10 PC2 PC4属于vlan20 PC5属于vlan30

Vlan10 vlan20 vlan30不能互访但是能上外网

Pc1 :172.16.10.2 pc2: 172.16.20.2 pc3:172.16.10.3 pc4:172.16.20.3 pc5: 172.16.30.2

配置R1

Int f0/0

Ip add 192.168.1.2 255.255.255.0 配置f0/0

No sh

Int lo0

Ip add 1.1.1.1 255.255.255.0 配置环回地址以测试各vlan与外网的连通性

No sh

配置静态路由到三层交换机各vlan的路由

# ip route 172.16.10.0 255.255.255.0 192.168.1.1

# ip route 172.16.20.0 255.255.255.0 192.168.1.1

# ip route 172.16.30.0 255.255.255.0 192.168.1.1

配置SW1

#conf t

#ip routing 启用三层路由功能

#int f0/0

#no switch

#ip add 192.168.1.1 255.255.255.0

#no sh

#

#ip route 0.0.0.0 0.0.0.0 192.168.1.2 添加到外部网络的默认路由

#

#vlan data

#vlan 10 name caiwu 建立vlan

#vlan 20 name it

#vlan 30 name manager

#vtp server 建立vtp server模式

#vtp domain cisco

#

#int range f0/1 –2 封装trunk接口

#sw mode trunk

#sw trunk en dot1q

#

#int f0/3 添加接口到vlan 30

#sw mode access

#sw access vlan 30

#

#int vlan10 给各vlan设置地址也是各个子网段的网关

ip address 172.16.10.1 255.255.255.0

# interface Vlan20

ip address 172.16.20.1 255.255.255.0

# interface Vlan30

ip address 172.16.30.1 255.255.255.0

#

# access-list 100 deny ip 172.16.10.0 0.0.0.255 172.16.20.0 0.0.0.255 建立100 101列表access-list 100 deny ip 172.16.10.0 0.0.0.255 172.16.30.0 0.0.0.255

access-list 100 permit ip any any

access-list 101 deny ip 172.16.20.0 0.0.0.255 172.16.10.0 0.0.0.255

access-list 101 deny ip 172.16.20.0 0.0.0.255 172.16.30.0 0.0.0.255

access-list 101 permit ip any any

access-list 102 deny ip 172.16.30.0 0.0.0.255 172.16.10.0 0.0.0.255

access-list 102 deny ip 172.16.30.0 0.0.0.255 172.16.30.0 0.0.0.255

access-list 102 permit ip any any

注:在vlan间的acl中当源地址段为应用vlan接口的ip段时,就是用in方向;当目的地址段为应用vlan接口的ip段时,就是用out方向举例说明

Host 1.1.1.1 vlan10(1.1.1.2)SW vlan20(2.2.2.2)host 2.2.2.1

禁止host 1.1.1.1访问2.2.2.1

方法一

Access-list 100 deny ip host 1.1.1.1 host 2.2.2.1

Access-list 100 permit ip any any

Int vlan 10

Ip access-list 100 in

方法二

Access-list 100 deny ip host 1.1.1.1 host 2.2.2.1

Access-list 100 permit ip any any

Int vlan 20

Ip access-list 100 out

#int vlan 10 将访问控制列表加载到各个vlan

#ip access-group 100 in

#int vlan 20

#ip access-group 101 in #int vlan 30

Ip access-group 102 in 配置SW2

#int f0/0

#sw m trunk

#sw t en dot1q

#

#vlan data

#vtp client

#vtp domain cisco

#

#int f0/1

#sw m acce

#sw access vlan 10

#int f0/2

#sw m acce

#sw access vlan 20

#

SW3 同上

三层交换机vlan接口

【实验步骤】 步骤1.为三层交换机配置ip地址: switchA#:configure terminal !进入全局配置模式 switchA(config)#:interface vlan 1 !进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.1.1 255.255.255.0 !为vlan1定义ip地址步骤2.创建vlan: switchA(config)#:vlan 10 创建vlan10 switchA(config-vlan)#exit switchA(config)#:vlan 20 创建vlan10 switchA(config-vlan)#exit switchA(config)#:vlan 30 创建vlan10 switchA(config-vlan)#exit switchA(config)#:vlan 40 创建vlan10 switchA(config-vlan)#exit switchA(config)#:vlan 50 创建vlan10 switchA(config-vlan)#exit switchA(config)#:vlan 60 创建vlan10 switchA(config-vlan)#exit switchA(config)#exit switchA#show run 查看所创建的vlan信息 步骤3.为新创建的vlan定义ip地址: switchA(config)#:interface vlan10进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.255.1 255.255.255.0为vlan定义ip地址switchA(config-if)#:exit switchA(config)#:interface vlan20进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.254.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#:exit switchA(config)#:interface vlan30进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.253.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#:exit switchA(config)#:interface vlan40进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.252.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#:exit switchA(config)#:interface vlan50进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.251.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#:exit switchA(config)#:interface vlan60进入vlan接口配置模式 switchA(config-if)#:ip address 192.168.250.1 255.255.255.0 为vlan定义ip地址switchA(config-if)#:exit switchA(config)#exit switchA#show run 查看vlan接口配置信息 步骤4.将新建的vlan定义到接口: switchA(config)#intErface fastethernet 0/1 !进入接口配置模式。

三层交换机配置实例

三层交换综合实验 一般来讲,设计方案中主要包括以下内容: ◆????? 用户需求 ◆????? 需求分析 ◆????? 使用什么技术来实现用户需求 ◆????? 设计原则 ◆????? 拓扑图 ◆????? 设备清单 一、模拟设计方案 【用户需求】 1.应用背景描述 某公司新建办公大楼,布线工程已经与大楼内装修同步完成。现公司需要建设大楼内部的办公网络系统。大楼的设备间位于大楼一层,可用于放置核心交换机、路由器、服务器、网管工作站、电话交换机等设备。在每层办公楼中有楼层配线间,用来放置接入层交换机与配线架。目前公司工程部25人、销售部25人、发展部25人、人事部10人、财务部加经理共15人。 2.用户需求 为公司提供办公自动化、计算机管理、资源共享及信息交流等全方位的服务,目前的信息点数大约100个,今后有扩充到200个的可能。 公司的很多业务依托于网络,要求网络的性能满足高效的办公要求。同时对网络的可靠性要求也很高,要求在办公时间内,网络不能宕掉。因此,在网络设计过程中,要充分考虑到网络设备的可靠性。同时,无论是网络设备还是网络线路,都应该考虑冗余备份。不能因为单点故障,而导致整个网络的瘫痪,影响公司业务的正常进行。 公司需要通过专线连接外部网络。 【需求分析】 为了实现网络的高速、高性能、高可靠性还有冗余备份功能,主要用于双核心拓扑结构的网络中。

本实验采用双核心拓扑结构,将三层交换技术和VTP、STP、EthernetChannel 综合运用。 【设计方案】 1、在交换机上配置VLAN,控制广播流量 2、配置2台三层交换机之间的EthernetChannel,实现三层交换机之间的高速互通 3、配置VTP,实现单一平台管理VLAN, 同时启用修剪,减少中继端口上不必要的广播信息量 4、配置STP,实现冗余备份、负载分担、避免环路 5、在三层交换机上配置VLAN间路由,实现不同VLAN之间互通 6、通过路由连入外网,可以通过静态路由或RIP路由协议 【网络拓扑】 根据用户对可靠性的要求,我们将网络设计为双核心结构,为了保证高性能,采用双核心进行负载分担。当其中的一台核心交换机出现故障的时候,数据能自动转换到另一台交换机上,起到冗余备份作用。 注意:本实验为了测试与外网的连通性,使用一个简单网络

实验5 交换机VLAN的划分和配置实验

实验5 交换机VLAN 的划分和配置实验 一、实验目的 1. 了解VLAN 的相关技术 2. 熟悉华为交换机VLAN 的划分和配置 3. 熟悉交换机VLAN Trunk 的配置 二、实验环境 1、使用Console 口配置交换机 Console 口配置连接较为简单,只需要用专用配置电缆将配置用主机通信串口和路由器的Console 口连接起来即可,其配置连接如图1所示: 图1 Console 口配置交换机 配置时使用Windows 操作系统附带的超级终端软件进行命令配置,其具体操作步骤如下: (1) 首先启动超级终端,点击windows 的开始 →程序→附件→通讯→超 级终端,启动超级终端; (2) 根据提示输入连接描述名称后确定,在选择连接时使用COM1后单击 “确定”按钮将弹出如图2所示的端口属性设置窗口,并按照如下参数设定串口属性后单击“确定”按钮。 图2 超级终端串口属性配置 此时,我们已经成功完成超级终端的启动。如果您已经将线缆按照要求连接 consol e

好,并且交换机已经启动,此时按Enter键,将进入交换机的用户视图并出现如下标识符: 2、实验环境搭建(使用华为网络配置模拟软件HW-RouteSim 3.0) 华为S3026交换机二台,Linux操作系统PC机四台,Console控制线二根,直连网络线及电源线若干。按照下图进行连接,并完成配置。 图1 VLAN配置实验网络拓扑图 三、实验原理 1、VLAN简介 ●VLAN(Virtual Local Area Network),是一种通过将局域网内的设备逻辑 地而不是物理地划分成一个个网段从而实现虚拟工作组的技术,IEEE于1999年颁布了用以标准化VLAN实现方案的IEEE 802.1Q协议标准。 ●VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播 域(或称虚拟LAN,即VLAN),每一个VLAN都包含一组有着相同需求的计算机,由于VLAN是逻辑地而不是物理地划分,所以同一个VLAN内的各个计算机无须放置在同一个物理空间里,即这些计算机不一定属于同一个物理LAN网段(跨交换机)。 ●VLAN的优势在于VLAN内部的广播和单播流量不会被转发到其它VLAN 中,从而有助于控制网络流量、减少设备投资、简化网络管理、提高网络安全性。 ●冲突域(广播域) ●

ROS三层交换机vlan三层教程

ROS+三层交换机vlan配置实例 请看下图: 环境介绍 在这里我用的是ROS CCR1009 代替原先防火墙,三层交换机神州数码DCN-6804E,需要实现的是,划分多vlan,且VLAN网关设置在三层交换机上,ROS 上只做NAT转发以及回程路由,下面我们根据上图做配置,我们先在ROS上配置好外网(118.114.237.X/24)内网ETH8(10.0.0.1/24)并保证可正常上网,与三层链接的口ETH24配置为Access口,并加入VLAN100,并设置IP(10.0.0.2/24) 1.ROS配置

2、NAT转换 /ip firewall nat add action=masquerade chain=srcnat 3、路由配置 /ip route add check-gateway=ping distance=1 dst-address=192.168.10.0/24 gateway=10.0.0.2 add check-gateway=ping distance=1 dst-address=192.168.20.0/24 gateway=10.0.0.2 add check-gateway=ping distance=1 dst-address=192.168.30.0/24 gateway=10.0.0.2 也可以用一条路由 192.168.0.0/16 10.0.0.2 这样也可以的。 3、DCN-6804 的配置 DCRS-6804E# DCRS-6804E#sh run spanning-tree spanning-tree mode rstp

实验二-交换机的端口配置及VLAN划分

实验二、交换机的端口配置及VLAN划分 一. 实验目的: 1. 掌握以太网交换机物理端口常见命令及配置方法 2. 掌握VLAN的原理和配置方法 二.实验设备 华为交换机,计算机 三. 实验内容及步骤: (一)交换机端口基础 随着网络技术的不断发展,需要网络互联处理的事务越来越多,为了适应网络需求,以太网技术也完成了一代又一代的技术更新。为了兼容不同的网络标准,端口技术变的尤为重要。端口技术主要包含了端口自协商、网络智能识别、流量控制、端口聚合以及端口镜像等技术,他们很好的解决了各种以太网标准互连互通存在的问题。以太网主要有三种以太网标准:标准以太网、快速以太网和千兆以太网。他们分别有不同的端口速度和工作模式。 1.进入以太网端口视图 2. 可以使用以下命令设置端口的描述字符串,以区分各个端口。在以太网端口视图下进行下列配置。 3.设置以太网端口双工状态 当希望端口在发送数据包的同时可以接收数据包,可以将端口设置为全双工属性;当希望端口同一时刻只能发送数据包或接收数据包时,可以将端口设置为半双工属性;当设置端口为自协商状态时,端口的双工状态由本端口和对端端口自动协商而定。在以太网端口视图 其设置。百兆以太网光端口由系统设置为全双工模式,不允许用户对其进行配置。其中,S3026 FM/S3026 FS以太网交换机的100Base-FX多模/单模以太网端口的双工模式可以设置为full (全双工)和auto(自协商)。 千兆以太网端口的双工模式可以设置为full(全双工)和auto(自协商)。其中, S3026E/S3026E FM/S3026E FS/S3050C-48的1000Base-T以太网端口可以工作在全双工、半双工或自协商模式下。但当速率设置为1000Mbit/s后,双工状态只可以设置为full(全双工)

三层交换机基本配置及利用三层交换机实现不同VLAN间通信

实验四 三层交换机基本配置及利用三层交换机实现不同VLAN 间通信 一、实验名称 三层交换机基本配置及VLAN/802.1Q -VLAN 间通信实验。 二、实验目的 理解和掌握通过三层交换机的基本配置及实现VLAN 间相互通信的配置方法。 三、实验内容 若企业中有2个部门:销售部和技术部(2个部门PC 机IP 地址在不同网段),其中销售部的PC 机分散连接在2台交换机上,配置交换机使得销售部PC 能够实现相互通信,而且销售部和技术部之间也能相互通信。 在本实验中,我们将PC1和PC3分别连接到SwitchA (三层交换机)的F0/5端口和SwitchB 的F0/5端口并划入VLAN 10,将PC2连接到SwitchA (三层交换机)的F0/15端口并划入VLAN 20,SwitchA 和SwitchB 之间通过各自的F0/24端口连接。配置三层交换机使在不同VLAN 组中的PC1、PC2、PC3能相互通信。 三、实验拓扑 四、实验设备 S3550-24(三层交换机)1台、S2126交换机1台、PC 机3台。 五、实验步骤 VLAN/802.1Q -VLAN 间通信: 1.按实验拓扑连接设备,并按图中所示配置PC 机的IP 地址,PC1、PC3网段相同可以通信,但是PC1、PC3和PC2是不同网段的,所以PC2(技术部)不能和另外2台PC 机(销售部)通信。 2.在交换机SwitchA 上创建VLAN 10,并将0/5端口划入VLAN 10中。 SwitchA(config)#vlan 10 !创建VLAN 10 SwitchA (config-vlan)#name sales ! 将VLAN 10 命名为sales SwitchA (config)#interface f0/5 !进入F0/5接口配置模式 SwitchA (config-if)#switchport access vlan10 !将F0/5端口划入VLAN 10 SwitchA #show vlan id 10 !验证已创建了VLAN 10并已将F0/5端口划入VLAN 10中 PC2

cisco vlan隔离

Cisco VLAN之间ACL和VACL的区别我们常说的VLAN之间的访问控制,它的实现方式是将ACL直接应用到VLAN的虚端口上,与应用到物理端口的ACL实现方式是一样的。而VLAN 访问控制(VACL),也称为VLAN访问映射表,它的实现方式与前者完全不同。它应用于VLAN 中的所有通信流,支持基于ETHERTYPE和MAC地址的过滤,可以防止未经授权的数据流进入VLAN。目前支持的VACL操作有三种:转发(forward),丢弃(drop),重定向(redirect)。VACL很少用到,在配置时要注意以下几点: 1) 最后一条隐藏规则是deny ip any any,与ACL相同。 2) VACL没有inbound和outbound之分,区别于ACL。 3) 若ACL列表中是permit,而VACL中为drop,则数据流执行drop。 4) VACL规则应用在NAT之前。 5) 一个VACL可以用于多个VLAN中;但一个VLAN只能与一个VACL关联。 6) VACL只有在VLAN的端口被激活后才会启用,否则状态为inactive。 下面,我以Cisco3550交换机作为实例来详细描述一下两者之间不同的实现方式。 网络拓扑图 网络基本情况是划分了三个vlan:vlan10、vlan20和vlan30瑅lan虚端口的IP地址分别为192.168.10.1/24、192.168.20.1/24和192.168.30.1/24。 访问控制要求:vlan10和vlan20之间不能访问,但都能访问vlan30。 (一)通过VLAN之间ACL方式实现 ******** 配置VLAN ******** Switch(config)# vlan 10 // 创建vlan 10 Switch(config-vlan)# vlan 20 Switch(config-vlan)# vlan 30 Switch(config-vlan)# int vlan 10 Switch(config-if)# ip address 192.168.10.1 255.255.255.0 // 配置vlan10虚端口IP Switch(config-if)# int vlan 20 Switch(config-if)# ip address 192.168.20.1 255.255.255.0 Switch(config-if)# int vlan 30 Switch(config-if)# ip address 192.168.30.1 255.255.255.0 ******** 配置ACL ******** Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 ******** 应用ACL至VLAN端口******** Switch(config)# int vlan 10 Switch(config-if)# ip access-group 101 in Switch(config)# int vlan 20 Switch(config-if)# ip access-group 102 in ******** 完毕******** (二)通过VACL方式实现 ******** 配置VLAN ******** (同上) ******** 配置ACL ******** Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 Switch(config)# access-list 101 permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 (不同之处:因为VACL对数据流没有inbound和outbound之分,所以要把允许通过某vlan

VLAN(三层交换机)配置

设置VTP domain(核心、分支交换机都设置) Switch>en Switch#config t Switch(config)#hostname switch-hx switch-hx(config)#exit switch-hx#vlan data switch-hx(vlan)#vtp domain com switch-hx(vlan)#vtp server switch-hx(vlan)# exit switch-hx#copy run start Switch>en Switch#config t Switch(config)#hostname switch-fz1 switch-fz1(config)#exit switch-fz1#vlan data switch-fz1(vlan)#vtp domain com switch-fz1(vlan)#vtp client switch-fz1(vlan)#exit switch-fz1#copy run start Switch>en Switch#config t Switch(config)#hostname switch-fz2 switch-fz2(config)#exit switch-fz2#vlan data switch-fz2(vlan)#vtp domain com switch-fz2(vlan)#vtp client switch-fz2(vlan)#exit switch-fz2#copy run start Switch>en Switch#config t Switch(config)#hostname switch-fz2 switch-fz4(config)#exit switch-fz4#vlan data switch-fz4(vlan)#vtp domain com switch-fz4(vlan)#vtp client switch-fz4(vlan)#exit

三层交换机划分个vlan实现其互相通迅

综合实验 一台思科三层交换机划分3个vlanvlan2:ip网段vlan3:ipvlan4ip各vlan之间能互相通迅.现在增加1台cisco路由想实现共享 我们的PC0、PC1处在VLAN2中,PC2、PC3处在VLAN3中,Server0处在VLAN4中。现在要使我们内网能够正常访问我们的Server0服务器,然后同时还要能够访问我们的ISP外网的WWW服务器。 三层交换机的配置 Switch#configt Switch(config)#vlan2创建VLAN2 Switch(config-vlan)#exi Switch(config)#vlan3创建VLAN3 Switch(config-vlan)#exi Switch(config)#vlan4创建VLAN4 Switch(config-vlan)#exit Switch(config)#intfa0/2将我们的fa0/2添加到VLAN2中 Switch(config-if)#swmoac

Switch(config-if)#swacvlan2 Switch(config-if)#exit Switch(config)#intfa0/3将我们的FA0/3添加到VLAN3中 Switch(config-if)#swmoac Switch(config-if)#swacvlan3 Switch(config-if)#exit Switch(config)#intfa0/4将我们的FA0/4添加到VLAN4中 Switch(config-if)#swmoac Switch(config-if)#swacvlan4 Switch(config-if)#exit Switch(config)#intvlan2给我们的VLAN2添加一个IP地址,用于不同网段之间互相访问 Switch(config-if)#ipadd Switch(config-if)#exit Switch(config)#intvlan3给我们的VLAN3添加一个IP地址 Switch(config-if)#ipadd

(经典)三层交换机实现VLAN通信:

. 三层交换机实现VLAN通信:1) 拓扑图: 2) 步骤: ?创建VLAN: l 创建vlan10: l 创建vlan20: l 查看

?把端口划分在VLAN中: l f0/1与f0/2划分在vlan10上: l f0/3与f0/4划分在vlan20上: l 查看:

?开启路由功能: 这时SW1就启用了三层功能 ?给VLAN接口配置地址: l vlan10接口配置地址: 在VLAN接口上配置IP地址即可,vlan10接口上的地址就是PC-1、PC2的网关了,vlan20接口上的地址就是PC-3、PC-4的网关了。 l vlan20接口配置地址:

l 查看SW1上的路由表: 和路由器一样,三层交换机上也有路由表 要配置三层交换机上启用路由功能,还需要启用CEF(命令为:ip cef),不过这是默认值。和路由一样,三层交换机上同样可以运行路由协议。 ?给PC机配置网关: 分别给PC-1、PC-2、PC-3、PC-4配置IP地址和网关,PC-1、PC-2的网关指向:192.168.1.254,PC-3、PC-4的网关指向:192.168.2.254。 如果计算机有两张或两张以上的网卡,请去掉其他网卡上设置的网关。 ?注意: 也可以把f0/1、f0/2、f0/3、f0/4接口作为路由接口使用,这时他们就和路由器的以太网接口一样了,可以在接口上配置IP地址。如果S1上的全部以太网都这样设置,S1实际上成了具有24个以太网接口的路由器了,不建议这样做,这样做太浪费接口了,配置实例: no switchport配置该接口不再是交换接口了,成为路由接口。

交换机VLAN划分实验

二、交换机VLAN划分实验 一、实验目的 1、了解VLAN原理; 2、熟练掌握二层交换机VLAN的划分方法; 3、了解如何验证VLAN的划分。 二、应用环境 学校实验楼中有两个实验室位于同一楼层,一个是计算机软件实验室,一个是多媒体实验室,两个实验室的信息端口都连接在一台交换机上。学校已经为实验楼分配了固定的IP地址段,为了保证两个实验室的相对独立,就需要划分对应的VLAN,使交换机某些端口属于软件实验室,某些端口属于多媒体实验室,这样就能保证它们之间的数据互不干扰,也不影响各自的通信效率。 三、实验设备 1、DCS-3926S交换机1台 2、PC机2台 3、Console线1根 4、直通网线2根 四、实验拓扑 使用一台交换机和两台PC机,还将其中PC1作为控制台终端,使用Console口配置方式;

使用两根网线分别将PC1和PC2连接到交换机的RJ-45接口上。 五、实验要求 在交换机上划分两个基于端口的VLAN:VLAN100,VLAN200。 VLAN 端口成员 1001~8 2009~16 使得VLAN100的成员能够互相访问,VLAN200的成员能够互相访问;VLAN100和VLAN200成员之间不能互相访问。 PC1和PC2的网络设置为: 设备IP地址Mask 交换机A 192.168.1.11 255.255.255.0 PC1 192.168.1.101 255.255.255.0 PC2 192.168.1.102 255.255.255.0 PC1、PC2接在VLAN100的成员端口1~8上,两台PC互相可以ping通;PC1、PC2接在VLAN的成员端口9~16上,两台PC互相可以ping通;PC1接在VLAN100的成员端口1~8上,PC2接在VLAN200的成员端口9~16上,则互相ping不通。 若实验结果和理论相符,则本实验完成 六、实验步骤 第一步:交换机恢复出厂设置 Switch#set default Switch#write Switch#reload 第一步:给交换机设置ip地址即管理ip Config t Interface vlan 1 Ip address 192.168.1.11 255.255.255.0

交换机在江湖之初窥门径—VLAN隔离篇

小编在上期为大家介绍了多种VLAN互通场景和方式,之后读者又有了新的问题:如何对同一VLAN下用户进行隔离呢,如果实现部分VLAN互通、部分VLAN隔离呢,如何针对某个用户、或某个网段用户进行隔离呢,下面就听小编一一道来。 场景一、同一VLAN下用户进行隔离 如果不希望同一VLAN下某些用户进行互通,可以通过配置端口隔离实现。 下面小编通过一个实验来详细讲解如何实现端口隔离: 如下图所示,三台PC属于同一VLAN、同一网段,配置完成后,三台PC都可以互访,现在要求PC1和PC2之间不能互通,PC1和PC3能够互通、PC2和PC3能够互通。 配置过程如下: 验证配置结果: PC1 ping PC2,无法ping通。 PC1 ping PC3,可以ping通。 OK!配置成功。 场景二、部分VLAN间可以互通、部分VLAN间隔离、VLAN内用户隔离——通过MUX VLAN实现 MUX VLAN只适用于二层网络中、对同一网段的用户进行互通和隔离。 MUX VLAN分为Principal VLAN和Subordinate VLAN,Subordinate

VLAN又分为Separate VLAN和Group VLAN。 ●Principal VLAN可以和所有VLAN互通。 ●Group VLAN可以和Principal VLAN和本VLAN内互通。 ●Separate VLAN只能和Principal VLAN互通,本VLAN内不能互通。下面小编通过一个例子详解介绍通过MUX VLAN进行VLAN互通和隔离。如下图所示,由于不同的PC属于不同的部门,需要对用户进行互通和隔离。 ●要求所有PC都可以访问服务器(Server),即VLAN20和VLAN3 可以访问VLAN10。 ●PC1和PC2之间可以互访,和PC3、PC4不能互访,即VLAN20和 VLAN30不能互访。 ●PC3和PC4之间隔离,不能互访,即VLAN30内用户不能互访。 详细配置步骤如下: OK,配置完成,让我们来验证一下配置结果吧。 ?所有PC都可以和Principal VLAN中的Server互通。 PC1 ping Server PC3 ping Server ?所有Group VLAN中的PC可以互通,但是不可以和Separate VLAN 中的PC互通。 PC1 ping PC2 PC1 ping PC3 ?Separate VLAN的PC隔离,不能互通。

三层交换机实现两Vlan间通信

三层交换机实现两V l a n间通信拓扑图: Switch0上的配置: Switch> Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#name v2 Switch(config-vlan)#exit Switch(config)#vlan 3 Switch(config-vlan)#name v3 Switch(config-vlan)#exit Switch(config)#int fa0/2 Switch(config-if)#sw access vlan 2 Switch(config-if)#no sh Switch(config-if)#exit Switch(config)#int fa0/1 Switch(config-if)#sw mode trunk

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up Switch(config-if)#no sh Switch(config-if)#exit Switch(config)# Switch1上的配置: Switch> Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#name v2 Switch(config-vlan)#exit Switch(config)#vlan 3 Switch(config-vlan)#name v3 Switch(config-vlan)#exit Switch(config)#int fa0/2 Switch(config-if)#sw acc vlan 3 Switch(config-if)#no sh Switch(config-if)#exit Switch(config)#int fa0/1 Switch(config-if)#sw mode trunk %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up Switch(config-if)#no sh Switch(config-if)#exit Switch(config)# 三层交换机上的配置: Switch> Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#vlan 2 Switch(config-vlan)#name v2 Switch(config-vlan)#exit Switch(config)#vlan 3

cisco三层交换机vlan间路由配置实例

cisco三层交换机vlan间路由配置实例 下面以cisco3560实例说明如何在一个典型的快速以太局域网中实现VLAN。所谓典型局域网就是指由一台具备三层交换功能的核心交换机接几台分支交换机(不一定具备三层交换能力)。我们假设核心交换机名称为:COM;分支交换机分别为:PAR1、PAR2、PAR3,分别通过Port 1的光线模块与核心交换机相连;并且假设VLAN名称分别为COUNTER、MARKET、MANAGING…… 需要做的工作: 1、设置VTP DOMAIN(核心、分支交换机上都设置) 2、配置中继(核心、分支交换机上都设置) 3、创建VLAN(在server上设置) 4、将交换机端口划入VLAN 5、配置三层交换 1、设置VTP DOMAIN。 VTP DOMAIN 称为管理域。 交换VTP更新信息的所有交换机必须配置为相同的管理域。如果所有的交换机都以中继线相连,那么只要在核心交换机上设置一个管理域,网络上所有的交换机都加入该域,这样管理域里所有的交换机就能够了解彼此的VLAN列表。 COM#vlan database 进入VLAN配置模式 COM(vlan)#vtp domain COM 设置VTP管理域名称 COM COM(vlan)#vtp server 设置交换机为服务器模式 PAR1#vlan database 进入VLAN配置模式 PAR1(vlan)#vtp domain COM 设置VTP管理域名称COM PAR1(vlan)#vtp Client 设置交换机为客户端模式 PAR2#vlan database 进入VLAN配置模式 PAR2(vlan)#vtp domain COM 设置VTP管理域名称COM PAR2(vlan)#vtp Client 设置交换机为客户端模式 PAR3#vlan database 进入VLAN配置模式 PAR3(vlan)#vtp domain COM 设置VTP管理域名称COM PAR3(vlan)#vtp Client 设置交换机为客户端模式 注意:这里设置核心交换机为Server模式是指允许在该交换机上创建、修改、删除VLAN 及其他一些对整个VTP域的配置参数,同步本VTP域中其他交换机传递来的最新的VLAN 信息;Client模式是指本交换机不能创建、删除、修改VLAN配置,也不能在NVRAM中存储VLAN配置,但可同步由本 VTP域中其他交换机传递来的VLAN信息。 2、配置中继为了保证管理域能够覆盖所有的分支交换机,必须配置中继。Cisco交换机能够支持任何介质作为中继线,为了实现中继可使用其特有的ISL标签。ISL (Inter-Switch Link)是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议,通过在交换机直接相连的端口配置 ISL封装,即可跨越交换机进行整个网络的VLAN分配和进行配置。 在核心交换机端配置如下: COM(config)#interface gigabitEthernet 2/1 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/2 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/3 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk 在分支交换机端配置如下: PAR1(config)#interface gigabitEthernet 0/1

计算机网络实践实验报告基本交换机使用及VLAN配置

计算机网络实践实验报告基本交换机使用及VLAN配置

计算机网络技术实践 实验报告

实验名称:基本交换机使用及VLAN配置 姓名:实验日期:2014年5月4日 学号:实验报告日期: 2014年5月4日 一.环境(详细说明运行的操作系统,网络平台,网络拓扑图) 操作系统:Windows7 网络平台:软件Dynamips环境下的虚拟网络网络拓扑:

二.实验目的 ?掌握以太网交换机的使用方法,能够在模拟 环境中使用以太网交换机组建局域网。 ?掌握以太网交换机的VLAN划分和配置方法, 能够在模拟环境中使用以太网交换机组建虚拟局域网。 三.实验内容及步骤(包括主要配置流程,重要部分需要截图) 1、设计网络物理拓扑和逻辑网段,如上图 2、修改拓扑文件 autostart = False

[localhost] port = 7200 udp = 10000 workingdir = ..\tmp\ [[router SW1]] image = ..\ios\unzip-c3640-js-mz.124-10.bin model = 3640 console = 3003 ram = 128 confreg = 0x2142 exec_area = 64 mmap = False slot1 = NM-16ESW f1/1 = SW2 f1/3 f1/2 = R1 f1/0 f1/11 = PC1 f0/0 f1/12 = PC2 f0/0 [[router SW2]]

image = ..\ios\unzip-c3640-js-mz.124-10.bin model = 3640 console = 3004 ram = 128 confreg = 0x2142 exec_area = 64 mmap = False slot1 = NM-16ESW f1/1 = SW4 f1/2 f1/2 = SW4 f1/1 f1/4 = R1 f1/1 f1/5 = SW3 f1/1 f1/6 = R2 f1/0 f1/11= PC3 f0/0 [[router SW3]] image = ..\ios\unzip-c3640-js-mz.124-10.bin model = 3640 console = 3005 ram = 128

多交换机VLAN隔离的基本配置

案例八跨越不同的交换机实现不同vlan间通信【背景描述】 某企业有两个主要部门:销售部和技术部,其中销售部的个人计算机系统分散连接在两台交换机上,他们之间需要相互进行通信,销售部和技术部也需要进行相互通信,现要在交换机上做适当配置来实现这一目标。 【实现功能】 使在同一VLAN里的计算机系统能跨交换机进行通信,而在不同VLAN里的计算机系统也能进行相互通信。 【使用设备】 设备类型设备名称设备数量 交换机switchB 1 路由器 三层交换机SwitchA 1 双绞线 4 计算机pc 4 【实验拓扑】 PC1 PC3属于VLAN10 PC2 PC4属于VLAN20

【实现步骤】 步骤1.在交换机SwitchA上创建vlan 10 ,并将0/5端口划分到vlan 10 中. SwitchA>enable SwitchA#configure terminal SwitchA(config)#vlan 10 SwitchA(config-vlan)#name sales SwitchA(config-vlan)#exit SwitchA(config)#interface fastEthernet 0/5 SwitchA(config-if)#switchport access vlan 10 SwitchA(config-if)#exit 步骤2.在交换机SwitchA上创建vlan 20 ,并将0/15端口划分到vlan 20 中. SwitchA(config)#vlan 20 SwitchA(config-vlan)#name technical SwitchA(config-vlan)#exit SwitchA(config-if)#exit SwitchA(config)#interface fastEthernet 0/15 SwitchA(config-if)#switchport access vlan 20 SwitchA(config-if)#exit 步骤3.把交换机SwichA和SwichB相连的端口定义为tag vlan模式 SwitchA(config)#interface fastEthernet 0/24 SwitchA(config-if)#switchport mode trunk !将F0/24端口定义为tag vlan模式 验证测试:验证F0/24端口已被设为tag vlan模式 SwitchA#show interfaces fastEthernet 0/24 switchport 步骤4.在交换机SwichB上创建vlan 10,并将0/5端口划分到vlan 10中..(连接PC3的口) SwichB(config)#vlan 10

CISCO三层交换机VLAN配置说明

CISCO三层交换机VLAN配置说明。 实验目标: (1) 第一步实现划分4个vlan,将相应port置入到vlan号中 (2) 第二步实现4个vlan间可以相互ping (3) 第三步实现sales,tech,manage不可以相互通讯,但允许和server通讯实现过程: 第 一步划分vlan如下: Switch#vlan data Switch(vlan)#vlan 10 name sales VLAN 10 added: Name: sales Switch(vlan)#vlan 20 name tech VLAN 20 added: Name: tech Switch(vlan)#vlan 30 name manage VLAN 30 added: Name: manage

Switch(vlan)#vlan 40 name server VLAN 40 added: Name: server Switch(vlan)# Switch(config)#int range fa 0/0 - 3 Switch(config-if-range)#switchport access vlan 10 Switch(config-if-range)#exit Switch(config)#int range fa 0/4 - 6 Switch(config-if-range)#switchport access vlan 20 Switch(config-if-range)#exit Switch(config)#int range fa 0/7 - 8 Switch(config-if-range)#switchport access vlan 30 Switch(config-if-range)#exit Switch(config)#int fa 0/9 Switch(config-if)#swit Switch(config-if)#switchport acce Switch(config-if)#switchport access vlan 40 Switch(config-if)#exit

相关文档
相关文档 最新文档