devbox
编程革命者
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

【计算机网络】期末课程设计 ENSP组网综合实验(附工程文件)

作者：编程革命者 | 2024-01-03 20:51:20

赞

踩

组网综合实验

目录

前言

前期准备

组网要求

开始组网

分公司1

分公司2

核心交换机配置

实现内部服务器的搭建

acl_deny部分用户与服务器出口

配置出口防火墙

（修正）防火墙实现上网限制

dhcp分配ip

结语

前言

本次的计网课程设计为河南某工程学院课程的实验部分，没办法课程太赶了中间完全没有做过组网实验，所以对于新手来说 难度稍大 可能完全无从下手。

好在两年前，我就接触到了这种组网操作（当时还是思科比较流行）。并且之后顺利拿到 计算机技术与软件专业技术资格(水平)考试 网路工程师证。由于也是过了知识的巅峰时刻，好多交换机路由器的操作命令都不太清楚了，我也是通过查阅各方资料，搞了一下午最终完成了本次组网实验。

d30017706b47499d99670b1ac0fbb7a4.png

前期准备

软件 Wireshark-win64-3.0.0.exe 抓包软件可以辅助实验 ，分析发包过程

WinPcap_4_1_3.exe 小补丁 ensp打不开时可以安装一下

VirtualBox-5.2.22-126460-Win.exe 安装虚拟网卡 可以实现虚拟机到ensp的连通 导入防火墙包也要用到

eNSP V100R003C00 Setup.exe 最重要的 华为模拟器 里面包含大量的华为设备

vfw_usg.vdi.vdi 模拟器里面usg防火墙的包 试图开启防火墙的时候它会提示你导入包，找到这个导入

5d64a4c588364da9926791ece58ea42c.png

 前面软件的安装就不细说了

回答几个新手常见的问题
1.软件的下载顺序无所谓
2.VirtualBox不兼容 版本太高 或者 打不开！换个版本既可（联系我QQ）
3.上来不要直接敲命令因为是用户页面 先system进入系统设置页面
4. 保存在用户页面下保存 >save （一定要保存否者前功尽弃 再次打开文件 设备重启 所有的配置全无）
5. 页面时不时弹出日志消息怎么让它不出现 undo in en 就可以了
6.我的跟你的不一样 接口端口不显示 ！进入设置
cd35bdc622154f41b492c29998e506de.png

组网要求

某公司有公司总部，另有两个分公司，申请到 22.22.22.0/27，网关 22.22.22.1 的公网 IP地址，总部大约有 10 台内部服务器，5 台财务服务器，100 名员工，20 名财务人员；分公司 1 有 150 名员工，5 名财务人员；分公司 2 有 200 名员工，8 名财务人员。
要求：
1、 总部、分公司 1 和分公司 2 的员工和财务人员使用的计算机分别有独立的广播域，内部服务器和财务服务器也有独立的广播域。
2、 员工的计算机能够访问互联网，财务人员的计算机、内部服务器和财务服务器不可以访问互联网。
3、员工、财务人员使用的计算机都可以访问内部服务器和财务服务器，并且相互可以访问。 根据下面给出的整体拓扑图，规划、设计出某公司的网络，并在 ENSP 模拟器中给出具体的配置。

1ca4b8283c90431bab44f3c161857a66.png

参考考一下文档里面的ip规划

5a7266be03b8476da82d43e74ec22d11.png

 注意防火墙的vlan 不论是内口还是外口 其实是可以不用配置vlan的。
我们把vlan50换成120 vlan60换成220 总部上联防火墙换成vlan50，保持两边的vlan一致。
按照表上的划分也可以，我为了思路更加清晰 就换这个用了 。

开始组网

我们准备这样 从需求出发一点点将设备搭建起来

分公司1

f9ce6f156a064391be21cf95668c8c9a.png

 财务clinet配置IP为192.168.110.2（1给网关）（这里网关配错了119改110）

6445b7d04cb44932801397b6401f4fdc.png

 员工pc1配置192.168.100.2（1给网关）

01ac9b5291a64f979e02155d3d6e21d5.png

1_5700的GE0/0/1配置接口vlan110 地址为192.168.110.1/24

1_5700的GE0/0/2配置接口vlan100 地址为192.168.100.1/24

1_5700的GE0/0/3配置接口vlan120 地址为10.10.10.1/30

1_5700要配置默认的静态路由 以实现与总部分公司网络的连通

1_5700配置命令参考

  1. vlan batch 110 100 120 //创建多个vlan 并配置ip地址
  2.  
  3. int vlanif 100 ip address 192.168.100.1 24
  4.  
  5. int vlanif 110 ip address 192.168.110.1 24
  6.  
  7. int vlanif 120 ip address 10.10.10.1 30

468d80288fdd4c0eab7acad8b5f94fd0.png

//进入接口配置

  1. int g 0/0/1
  2. port link-type access
  3. port default vlan 110
  4.  
  5. int g 0/0/2 port
  6. link-type access
  7. port default vlan 100
  8.  
  9. int g 0/0/3
  10. port link-type access
  11. ​​​​​​​port default vlan 120

1da037546d774b4396bc413d87c05f09.png

 //配置静态的默认路由

ip route-static 0.0.0.0 0.0.0.0 10.10.10.2

7efecb82a33e4a1eb5f797ae2eb21c25.png

 这组命令配置完后 Client1和pc1可以互通 两者都可访问自己的网关 而且有了默认路由可以路由到未知的网段（稍后测试）

6a1dfc2d46b5490aaa154a69c7dbd4be.png

分公司2

其实分公司2的配置和分公司1的配置思想是一样的

31096b9b023a4de0b607f2590f902f36.png

 财务clinet2配置IP为192.168.210.2（1给网关）

员工pc2配置192.168.200.2（1给网关）

2_5700的GE0/0/1配置接口vlan210 地址为192.168.210.1/24

2_5700的GE0/0/2配置接口vlan200 地址为192.168.200.1/24

2_5700的GE0/0/3配置接口vlan220 地址为10.10.10.5/30

2_5700要配置默认的静态路由 以实现与总部分公司网络的连通

2_5700配置命令参考

  1. vlan batch 210 200 220 //创建多个vlan 并配置ip地址
  2.  
  3. int vlanif 200 
  4. ip address 192.168.200.1 24
  5.  
  6. int vlanif 210 
  7. ip address 192.168.210.1 24
  8.  
  9. int vlanif 220 
  10. ip address 10.10.10.5 30

//进入接口配置

  1. int g 0/0/1
  2. port link-type access
  3. port default vlan 210
  4.  
  5. int g 0/0/2
  6. port link-type access
  7. port default vlan 200
  8.  
  9. int g 0/0/3
  10. port link-type access
  11. port default vlan 220

//配置静态的默认路由

ip route-static 0.0.0.0 0.0.0.0 10.10.10.6

总部

111ed747c95142e3aa97b5acc5770ef4.png

 注意总部开始不同了 总部的这台交换机是3700,而且没有参考的上联地址 所以我们可以这样配置 让核心交换机的g0/0/3成为pc3 client3的网关 interface Ethernet0/0/1配置为trunk口

财务clinet3配置IP为192.168.40.2（1给网关）

员工pc3配置192.168.30.2（1给网关）

总部交换机_3700配置参考

  1. vlan batch 30 40
  2.  
  3. interface Ethernet0/0/1
  4. port link-type trunk
  5. port trunk allow-pass vlan 30 40
  6.  
  7. interface Ethernet0/0/2
  8. port link-type access
  9. port default vlan 40
  10.  
  11. interface Ethernet0/0/3
  12. port link-type access
  13. port default vlan 30 

接下来配置它们的网关 

核心交换机配置

我们要把核心交换机的g 0/0/3接口配置为总部pc3的网关

还记得分公司的上联地址（下一跳）嘛

我们要把g 0/0/1 g 0/0/2 分别配置成vlan120:10.10.10.2 和vlan220:10.10.10.6

  1. vlan batch 30 40 120 220 50
  2.  
  3. int vlanif 30
  4. ip address 192.168.30.1 24
  5.  
  6. int vlanif 40
  7. ip address 192.168.40.1 24
  8.  
  9. int vlanif 120
  10. ip address 10.10.10.2 30
  11.  
  12. int vlanif 220
  13. ip address 10.10.10.6 30
  14.  
  15. int vlanif 50 (出接口)
  16. ip address 10.10.10.10 30
  17.  
  18. interface GigabitEthernet0/0/3
  19. port link-type trunk
  20. port trunk allow-pass vlan 30 40
  21.  
  22. int g 0/0/1
  23. port link-type access
  24. port default vlan 120
  25.  
  26. int g 0/0/2
  27. port link-type access
  28. port default vlan 220
  29.  
  30. int g 0/0/6
  31. port link-type access
  32. ​​​​​​​port default vlan 50

此配置后pc3 可以通clien3

但分公司pc1可以和分公司pc2 连通吗 这是不可以的 因为核心交换机还没有路由，这次咱就配置静态路由吧 当然可以配置动态路由但我不想再翻资料了

核心交换机的路由配置（最后增加一条默认路由）

  1. ip route-static 192.168.100.0 255.255.255.0 10.10.10.1
  2. ip route-static 192.168.110.0 255.255.255.0 10.10.10.1
  3. ip route-static 192.168.200.0 255.255.255.0 10.10.10.5
  4. ip route-static 192.168.210.0 255.255.255.0 10.10.10.5
  5. ​​​​​​​ip route-static 0.0.0.0 0.0.0.0 10.10.10.9

此路由配置好后 理论上可以实现总部和分公司的连通

实现内部服务器的搭建

我们有两台服务器分别为http 和 ftp 连接在核心交换机上 内部员工都可以访问到

a9d59fb39ce9432880297c1dd443a1c5.png

 所以再配置核心交换机

  1. vlan batch 10 20
  2. int vlanif 10
  3. ip address 192.168.10.1 24
  4. int vlanif 20
  5. ip address 192.168.20.1 24
  6.  
  7. int g 0/0/4
  8. port link-type access
  9. port default vlan 10
  10.  
  11. int g 0/0/5
  12. port link-type access
  13. port default vlan 20

此配置好后 内部http 和内部 ftp所有员工都可访问了(因为是直连 核心交换机的 )

acl_deny部分用户与服务器出口

要实现员工的计算机能够访问互联网，财务人员的计算机、内部服务器和财务服务器不可以访问互联网。 我们可以配置核心的交换机acl 让这几个主机不能出g 0/0/6接口

  1. acl number 2001
  2. rule 5 deny source 192.168.110.0 0.0.0.255
  3. rule 10 deny source 192.168.40.0 0.0.0.255
  4. rule 15 deny source 192.168.210.0 0.0.0.255
  5. rule 20 deny source 192.168.20.0 0.0.0.255
  6. rule 25 deny source 192.168.10.0 0.0.0.255
  7.  
  8. interface GigabitEthernet0/0/6
  9. ​​​​​​​traffic-filter outbound acl 2001

配置出口防火墙

核心交换机的 g 0/0/6接口已经配置好了（10.10.10.10/30）还有默认路由 都会送到10.10.10.9

我们用pc5 来模拟互联网的用户 选择任意一台内网主机的用户只要ping通pc5实验就算完成了

d5c4bb1dfb6c449faea84cb370ca3ee5.png

配置两个接口

  1. interface GigabitEthernet1/0/0
  2. undo shutdown
  3. ip address 10.10.10.9 255.255.255.252
  4. service-manage ping permit
  1. interface GigabitEthernet1/0/1
  2. undo shutdown
  3. ip address 22.22.22.2 255.255.255.224
  4. service-manage ping permit

增加trust与untrust

  1. firewall zone trust
  2. add int g1/0/0
  3. ​​​​​​​firewall zone untrust
  4. add int g1/0/1

让trust与untrust能走通

  1. security-policy
  2. rule name internet
  3. source-zone trust
  4. destination-zone untrust
  5. action permit

实现上网的端口转换

  1. nat-policy
  2. rule name internet
  3. source-zone trust
  4. destination-zone untrust
  5. action nat easy-ip

为有权上网的用户提供路由

  1. ip route-static 192.168.30.0 255.255.255.0 10.10.10.10
  2. ip route-static 192.168.100.0 255.255.255.0 10.10.10.10
  3. ​​​​​​​ip route-static 192.168.200.0 255.255.255.0 10.10.10.10

现在内网的普通用户是可以访问互联网 而互联网不能主动访问内网的用户 下图可以看到是做nat端口转换的

96f28d1a499e4102bd764b5a3c33dd68.png

(修正) 防火墙实现上网限制

之前不是acl_deny服务器出口出口了嘛！其实还可以用防火墙的这种方法 两者最后的目的都是一样的 。貌似任务书里面就是这样配置的，如果你配置了acl   没关系可以取消再行配置
进入核心交换机的g6口取消掉acl过滤
 

  1. int g 0/0/6
  2. undo ​​​​​​​traffic-filter outbound acl 2001
  3. dis this (查看当前接口下配置)

进入防火墙策略下 将可以上网的网段 做源网段匹配  就可以实现用户上网 服务器不可上网了

  1. security-policy
  2.   rule name internet
  3.   source-zone trust
  4.   destination-zone untrust
  5.   source-address 192.168.30.0 24
  6.   source-address 192.168.100.0 24
  7.   source-address 192.168.200.0 24
  8.   action permit
  9.  
  10. nat-policy
  11.   rule name internet
  12.   source-zone trust
  13.   destination-zone untrust
  14.   source-address 192.168.30.0 24
  15.   source-address 192.168.100.0 24
  16.   source-address 192.168.200.0 24
  17.   action nat easy-ip

最后在给防火墙加一条默认路由（之前也考虑了 想着已经进公网了 应该不用了有动态路由  但其实还并没有完全进入公网 还是的配下一跳地址）

ip route-static 0.0.0.0 0.0.0.0 22.22.22.1


dhcp分配ip

之前我们内部的pc都是手动配置的 接下来我们使用dhcp 分发要想实现这个功能需要在各个网段的网关接口上配置dhcp ,命令非常的简单 找到网关就行，

下面我以pc1为例 pc1的网关在分公司1_5700的g0/0/2配置vlan100下 所以我们进入vlan100

d2e32a0423e74ccfb4792220c5b0d49e.png

 就配置好了   用pc1测试一下

a803d83ec2ae4b3f83cbc003fb087423.png

77d04bd37b0d4514ab108c273f7426af.png

 可以看到已成成功获取ip 地址了  平且是192.168.100.254

结语

6b63aa308177437790865160361ae200.png

网络的复杂程度远超过于此 实践也是快速有效的方法。 由于本人知识水平有限 难免在配置上犯傻 如果你有什么更好的配置方法或想法，欢迎进行交流

最后附上本次的工程文件 作为参考学习 。(用核心交换机acl过滤 没有更改)
通过百度网盘分享的文件：ensp组网课程…
链接：https://pan.baidu.com/s/1WIWXh5hdAXScZReCiuT5wg?pwd=9uwn 
提取码：9uwn

命令 dis cu就可看到设备的全部配置了！

小伙伴们一定要多给我点赞 关注 收藏啊！

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/article/detail/37877
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号