网络工程与系统集成实验报告

1、word 格式文档网络工程与系统集成实验报告专业整理word 格式文档实验一Voice VLAN配置一. 实验目的1. 根据实验要求的物理拓扑结构连接局域网2. 根据实验要求的创建Voice VLAN ，并将用户的 IP电话划分到指定的Voice VLAN中3. 根据要求设置语音服务器参数4. 根据要求设置 DHCP 服务 。二. 实验内容1. 将交换机所连接IP Phone的接口加入 vioce vlan中2. 配置DHCP ，为IP Phone动态分配地址专业整理word 格式文档3. 配置路由器的电话服务功能，并配置一些参数4. 配置 IP 电话号码5. 验证 IP 语音服务三. 实验原

2、理 、方法和手段1. IP 电话的工作原理与其他网络设备一样， IP 电话也需要 IP 地址才能在网络中正常通信。 IP 电话获取 IP地址的方式有两种：通过 DHCP自动获取 ，通过用户手工配置在自动获取 IP 地址时 ， IP 电话还可以向 DHCP 服务器同时请求Voice VLAN信息 ，如果DHCP 服务器返回了Voice VLAN信息 ， IP 电话就可以直接发送携带有Voice VLAN Tag的语音流 （以下简称 tagged语音流 ）； 如果 DHCP 服务器没有返回Voice VLAN信息， IP电话就只能发送不带VLAN Tag的语音流 （以下简称 untagged语音流

3、 ）。同样 ，在用户在 IP 电话上手工设置IP 地址时 ，也可以设置或不设置Voice VLAN信息，IP 电话会根据用户的配置发出tagged/untagged语音流 。2. IP 电话自动获取 IP 地址的过程第一步 ： IP 电话发送不带 VLAN Tag的 DHCP 请求，并在该请求中携带Option184信息，即请求软件下载服务器（也称为 NCP ， Network Call Processor）地址以及 Voice VLAN信息 。第二步 ： DHCP server1收到该请求后 ，将根据自身的配置为IP 电话分配 IP 地址 ，同时回复 Voice VLAN 、软件下载服务器地

4、址及其他Option184选项信息 。第三步 ： IP 电话向软件下载服务器发出下载申请。专业整理word 格式文档第四步 ：软件下载服务器响应IP 电话的下载请求，向IP 电话发送软件 。第五步 ：软件下载完成后， IP 电话将通知 DHCP server1 ，释放第一次获取的IP 地址 。第六步 ： IP 电话利用从 DHCP server1获取的 Voice VLAN信息，重新构造 DHCP请求报文，并为该报文封装Voice VLAN的标签 ，在 Voice VLAN内进行广播 。第七步 ：位于 Voice VLAN内的 DHCP server2收到该请求后 ，根据自己的地址池配置，为I

5、P 电话分配新的IP 地址 。第八步 ： IP 电话使用新的IP 地址与语音网关进行注册，开始语音通信过程。3. 各类型端口与发送tagged语音流的 IP 电话配合IP 电话发送 tagged语音流需要具备的条件是该电话已经通过自动获取或手工配置的方式得到了 Voice VLAN信息 ，针对这种情况 ，不同类型的端口需要进行相应的配置，才能使语音报文能够在Voice VLAN中正常传输 ，同时不影响交换机对普通业务报文的转发处理 。4. 各类型端口与发送 untagged 语音流的 IP 电话配合IP 电话在以下两种情况下会发送/ 接收 untagged语音流 ：自动获取IP 地址，但没有获

6、取到Voice VLAN信息手工配置IP 地址，但没有配置Voice VLAN信息四. 实验组织运行要求1. 学生在实验前 ，请先对实验中的常用网络命令的功能和使用方法进行预习，并在预习报告中给出这些信息。2. 实验过程中 ，请记录每条命令使用后的显示信息 ，并在实验报告中对这些信息进行说明和解释 。专业整理word 格式文档五. 实验条件1. 以太网环境2. 思科 Catalyst 3560 、 2960 交换机3. 思科 7960 IP 电话六. 实验步骤Step 1 ：连接如图所示的网络环境Step 2 ：将交换机所连接IP Phone的接口加入 vioce vlan中Switch#co

7、nf tSwitch(config)#interface range f0/13Switch(configifrange)#switchport voice vlan 1Step 3 ：配置 DHCP ，为 IP Phone动态分配地址Router(config)#ip dhcp pool Router(dhcpconfig)#network Router(dhcpconfig)#defaultrouter Router(dhcpconfig)#option 150 ip 192.168.1

8、.1专业整理word 格式文档Step 4 ：配置路由器的电话服务功能，并配置相应参数Router(config)#telephonyserviceRouter(configtelephony)#auto assign 1 to 5Router(configtelephony)#maxephones 5Router(configtelephony)#maxdn 5Router(configtelephony)#ip source address port 2000Step 5 ：配置 IP 电话号码Router(config)#ephonedn 1Router(conf

9、igephone dn)#number 84401160Router(config)#ephonedn 2Router(configephone dn)#number 84401161Step 6 ：验证 IP Phone已从路由器上获取到IP 地址和电话号码Step 7 ：验证 IP Phone之间的语音服务是否可用七实验结果专业整理word 格式文档八. 思考题1. 如何对数据服务和语音服务提供合适的QoS ？QoS 旨在针对各种应用的不同需求，为其提供不同的服务质量。如：可以限制骨干网上FTP 使用的带宽 ，也可以给数据库访问以较高优先级。对于 ISP，其用户可能传送语音、视频或其他实时

10、业务， QoS 使 ISP 能区分这些不同的报文，并提供不同服务。可以为时间敏感的多媒体业务提供带宽和低时延保证，而其他业务在使用网络时，也不会影响这些时间敏感的业务。2. 配合了 Voice VLAN的交换机如何处理来自用户的tagged帧？1、下面是定义的各种端口类型对各种数据帧的处理方法；in= 进交换器out=出交换机2、所谓的 Untagged Port和 tagged Port不是讲述物理端口的状态，而是将是物理端口所专业整理word 格式文档拥有的某一个 VID 的状态 ，所以一个物理端口可以在某一个VID 上是 Untagged Port ，在另一个 VID 上是 tagged

11、 Port；3、一个物理端口只能拥有一个PVID ，当一个物理端口拥有了一个PVID 的时候 ，必定会拥有和 PVID 的 TAG 等同的 VID ，而且在这个 VID 上，这个物理端口必定是 Untagged Port；4、 PVID 的作用只是在交换机从外部接受到可以接受Untagged数据帧的时候给数据帧添加 TAG 标记用的 ，在交换机内部转发数据的时候PVID 不起任何作用 ；5、拥有和 TAG 标记一致的 VID 的物理端口 ，不论是否在这个 VID 上是 Untagged Port或者 tagged Port ，都可以接受来自交换机内部的标记了这个TAG 标记的 tagged数据

12、帧 ；6、拥有和 TAG 标记一致的 VID 的物理端口 ，只有在这个 VID 上是 tagged Port，才可以接受来自交换机外部的标记了这个TAG 标记的 tagged 数据帧 ；专业整理word 格式文档实验二PPP 协议配置一. 实验目的1. 根据实验要求的拓扑结构 ，利用路由器及交换机连接成网络2. 正确配置路由器接口参数 ，包括设置 IP 地址和 PPP 协议的绑定3. 掌握 PPP 中 PAP 验证的配置方法4. 掌握 PPP 中 CHAP 验证的配置方法二. 实验内容1. 配置 PPP协议的封装2. 配置 PAP验证方式3. 配置 CHAP 验证方式三. 实验原理 、方法和手

13、段PPP协议是目前广域网上应用最广泛的数据链路层协议之一，它的优点在于结构简单、具备用户验证能力、可以解决 IP分配等 。 PPP在经过多年的发现和扩充后，已成为一个功能相当完备 ，而且涵盖了许多其它协议的庞大协议系统。 PPP在串行线路中对上层数据包进专业整理word 格式文档行封装 ，用于建立 、配置和检测数据链路连接的链路控制协议(LCP)以及不同网络层协议的网络控制协议 (NCP) 协议簇 。 PPP封装用于消除上层多种协议数据包的歧义，加入帧头 、帧尾，使之成为互相独立的串行数据帧 PPP帧 。四. 实验组织运行要求1. 学生在实验前 ，请先对实验中的常用网络命令的功能和使用方法进行

14、预习，并在预习报告中给出这些信息。2. 实验过程中 ，请记录每条命令使用后的显示信息 ，并在实验报告中对这些信息进行说明和解释 。五. 实验条件1. 局域网环境2. 思科 2811 路由器 / 华为 3Com AR2811 路由器六. 实验步骤Step 1 ：为思科 2811路由器增加 WIC 2T 接口模块 ，并完成路由器之间的串行线路连接Step 2 ：设置串行口封装的链路层协议为PPP，配置 IP 参数并启动接口（注意 DCE 端clockrate的设置 ）Step 3 ：配置 PAP 验证方式 ，设定路由器的主验证和被验证角色Step 4 ：PAP 主验证端在全局配置模式下创建用户帐号

15、，在串行口模式下设置PPP 验证方式为 PAPStep 5 ：PAP 被验证端在串行口模式下设置PAP 发送的用户帐号信息专业整理word 格式文档Step 6 ：重起串行口 ，测试 PAP 验证的有效性Step 7 ：关闭 PAP 验证方式 ，配置 CHAP 验证方式 ，设定路由器的主验证和被验证角色Step 8 ：设置验证双方路由器的hostname ，用于确定在对端路由器中的账号Step 9 ：CHAP 主验证端在串行口模式下设置PPP 验证方式为 CHAPStep 10 ：两端路由器在全局模式下，为对端路由器增加账号信息Step 11 ：重新其中一台路由器的串行口，测试 CHAP 的有

16、效性配置示例1（ PAP 验证 ，假设主验证端为DCE）被验证端 ：Router0# config terminalRouter0(config)# interface se0/3/0Router0(configif)# encapsulation pppRouter0(configif)# ppp pap sentusernamejulychang password123456Router0(configif)# no shutdown主验证端 ：Router1# config terminalRouter1(config)# username julychang password 1234

17、56Router1(config)# interface se0/3/0Router1(configif)# clock rate 56000Router1(configif)# encapsulation pppRouter1(configif)# ppp authentication papRouter1(configif)# no shutdown配置示例 2（ CHAP 验证，假设主验证端为DCE）专业整理word 格式文档被验证端 ：Router0# config terminalRouter0(config)# hostname SlaveSlave(config)# userna

18、me Master password 123456Slave(config)# interface se0/3/0Slave(config if)# encapsulation pppSlave(config if)# no shutdown主验证端 ：Router1# config terminalRouter1(config)# hostname MasterMaster(config)# username Master password 123456Master(config)# interface se0/3/0Master(configif)# clock rate 56000Mas

19、ter(configif)# encapsulation pppMaster(configif)# ppp authentication chapMaster(configif)# no shutdown七实验结果专业整理word 格式文档PPP帧配置结果查看界面专业整理word 格式文档发送数据界面八. 思考题1. PPP 的验证过程发生在链路协议协商的什么阶段？ppp 链路建立的过程分为三个阶段 :创建阶段 、认证阶段和网络协商阶段 。 PPP的验证过程发生在认证阶段 。2. 在 CHAP 方式中 ，为什么双方在对端的账号密码必须一致？必须一致 ,被认证端在进行CHAP 认证时 ,需要根据

20、主仁政端发来的用户名查找相应的密码来对随机报文进行加密。专业整理word 格式文档实验三防火墙配置一. 实验目的1. 根据实验要求的拓扑结构 ，利用路由器及交换机连接成网络2. 根据要求对数据流进行分类 ，并配置相应的 ACL3. 选择最佳部署位置的路由器 ，开启基于包过滤的防火墙功能4. 将 ACL 绑定到正确接口 ，并指定其作用于接口的正确队列二. 实验内容1. 创建标准访问控制列表专业整理word 格式文档2. 创建扩展访问控制列表3. 将ACL绑定到路由器的接口三. 实验原理 、方法和手段建立用户和修改密码跟Cisco IOS 路由器基本一样。激活以太端口必须用enable 进入，然后

21、进入configure模式PIX525enablePassword:PIX525#config tPIX525(config)#interface ethernet0 autoPIX525(config)#interface ethernet1 auto在默认情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside,inside 在初始化配置成功的情况下已经被激活生效了，但是 outside必须命令配置激活。采用命令 nameifPIX525(config)#nameif ethernet0 outside security0security100sec

22、urity0是外部端口outside的安全级别 （ 100 安全级别最高）security100是内部端口inside 的安全级别 ,如果中间还有以太口，则 security10 ，security20等等命名 ，多个网卡组成多个网络，一般情况下增加一个以太口作为DMZ(Demilitarized Zones非武装区域 )。采用命令为 ： ip address如：内部网络为 ： 专业整理word 格式文档外部网络为 ： PIX525(config)#ip address inside 192.1

23、68.1.1 PIX525(config)#ip address outside 在默然情况下 ， PIX 的以太端口是不允许telnet 的，这一点与路由器有区别。 Inside 端口可以做 telnet 就能用了 ,但 outside 端口还跟一些安全配置有关 。PIX525(config)#telnet insidePIX525(config)#telnet outside测试 telnet在开始 - 运行 t

24、elnet PIX passwd:输入密码 ：cisco此功能与 Cisco IOS基本上是相似的 ，也是 Firewall 的主要部分 ，有 permit和 deny 两个功能，网络协议一般有IP|TCP|UDP|ICMP等等 ，如：只允许访问主机 :54 的 www,端口为 ： 80PIX525(config)#access-list 100permit ip any host 54 eq wwwdeny ip any anyPIX525(config)#access-group 100 in interface outsi

25、deNAT 跟路由器基本是一样的，首先必须定义IP Pool ，提供给内部IP 地址转换的地址段，接着定义内部网段。PIX525(config)#global (outside) 1 00-00 netmask PIX525(config)#nat (outside) 1 专业整理word 格式文档如果是内部全部地址都可以转换出去则：PIX525(config)#nat (outside) 1 则某些情况下 ，外部地址是很有限的，有些主机必须单独

26、占用一个IP 地址，必须解决的是公用一个外部IP(01), 则必须多配置一条命令，这种称为 （ PAT）， 这样就能解决更多用户同时共享一个IP,有点像代理服务器一样的功能。配置如下 ：PIX525(config)#global (outside) 1 00-00 netmask PIX525(config)#global (outside) 1 01 netmaskPIX525(config)#nat (outside) 1 0.0.0.

27、0在内部网络 ，为了维护的集中管理和充分利用有限IP 地址 ，都会启用动态主机分配IP 地址服务器 （ DHCP Server ）， Cisco Firewall PIX都具有这种功能，下面简单配置DHCP Server,地址段为00 00DNS: 主 8备 7主域名称 ：DHCP Client通过 PIX FirewallPIX525(config)#ip address dhcpDHCP Server 配置PIX525(config)#dhcpd address 00-192.

28、168.1.200insidePIX525(config)#dhcp dns 8 7PIX525(config)#dhcp domain静态端口重定向(Port Redirection with Statics)专业整理word 格式文档在 PIX 版本 6.0 以上 ，增加了端口重定向的功能，允许外部用户通过一个特殊的IP 地址 / 端口通过 Firewall PIX传输到内部指定的内部服务器。这种功能也就是可以发布内部WWW 、 FTP、 Mail 等服务器了 ，这种方式并不是直接连接，而是通过端口重定向，使得内部服务器很安全。命令格式 ：s

29、tatic(internal_if_name,external_if_name)global_ip|interfacelocal_ipnetmaskmaskmax_consmax_consemb_limitnorandomseqstatic(internal_if_name,external_if_name)tcp|udpglobal_ip|interfacelocal_ipnetmaskmaskmax_consmax_consemb_limitnorandomseq!- 外部用户直接访问地址9telnet 端口 ，通过 PIX 重定向到内部主机9的

30、 telnet 端口 （ 23）。PIX525(config)#static (inside,outside) tcp 9telnet 9 telnet netmask 55 0 0!- 外部用户直接访问地址9FTP，通过 PIX 重定向到内部 的 FTP Server 。PIX525(config)#static (inside,outside) tcp 9专业整理word 格式文档ftp ftp netmask 255.255.25

31、5.255 0 0!- 外部用户直接访问地址08www( 即 80 端口 )，通过 PIX 重定向到内部192.168.123的主机的www( 即 80 端口 )。www www netmask 55 0 0 !- 外部用户直接访问地址 01HTTP(8080 端口 )，通过 PIX 重定向到内部 的主机的 www( 即 80 端口 )。8080 www netmask 55 0 0!- 外部用户直接访问地址222.20.16.

32、5smtp(25端口 )，通过 PIX 重定向到内部 的邮件主机的smtp( 即 25 端口 )smtp smtp netmask 55 0 0显示命令show config保存命令 write memory四. 实验组织运行要求1. 学生在实验前 ，请先对实验中的常用网络命令的功能和使用方法进行预习，并在预习报告中给出这些信息。2. 实验过程中 ，请记录每条命令使用后的显示信息 ，并在实验报告中对这些信息进行说明和解释 。五. 实验条件1. 以太网环境2. 思科 2811 路由器专业整理word 格式文档3. 计算机及服

33、务器六. 实验步骤Step 1 ：创建标准 ACL，拒绝来自某 IP 子网的所有分组配置示例 ：Router0# config terminalRouter0(confg)# accesslist 1 deny 55Router0(config)# accesslist 1 permit anyStep 2 ：创建扩展 ACL，拒绝来自某套接字的分组配置示例 ：Router0# config terminalRouter0(config)# accesslist 100 deny tcp 0 0

34、 eqwwwRouter0(config)# accesslist 100 permit ip any anyStep 3 ：将 ACL 绑定到路由器接口上Router0(config)# interface fa0/0Router0(configif)# ip access group 100 inStep 4 ：测试网络的连通性并记录结果七实验结果专业整理word 格式文档八. 思考题1. ACL 在定义规则时 ，除了五元组以外还可以参考哪些信息？1、 huawei 设置 acl ：专业整理word 格式文档acl number 3000rule 0 permit ip so

35、urce服务器端的子网掩码的反码/ 允许哪些子网访问服务器rule 5 deny ip destination服务器端的子网掩码的反码/ 不允许哪些子网访问服务器 。2、绑定到端口 ：interface gig 0/1 /进入服务器所在的交换机端口GigabitEthernet0/1 firewall packet-filter 3000 inbound /把 acl 绑定到端口2. 放置标准 ACL 和扩展 ACL 的策略有什么不同 ？这两种 ACL 的区别是 ，标准 ACL 只检查数据包的源地址; 扩展 ACL 既检查数据包的源地址，也检查数据包的目的地址，同时还可以检查数据包的特定协议类

36、型、端口号等 。网络管理员可以使用标准ACL 阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者拒绝某一协议簇（比如 IP）的所有通信流量。扩展 ACL 比标准 ACL 提供了更广泛的控制范围。例如 ，网络管理员如果希望做到“允许外来的 Web 通信流量通过，拒绝外来的FTP 和 Telnet 等通信流量 ”，那么 ，他可以使用扩展ACL 来达到目的 ，标准 ACL 不能控制这么精确。在路由器配置中，标准 ACL 和扩展 ACL 的区别是由ACL 的表号来体现的，上表指出了每种协议所允许的合法表号的取值范围。专业整理word 格式文档实验四NAT配置一. 实验目的1.

37、 根据实验要求的拓扑结构 ，利用路由器及交换机连接成网络2. 根据要求对数据流进行分类 ，并配置相应的 ACL3. 掌握基于 EasyIP 的 NAT 配置方法4. 掌握基于地址池的 NAT 配置方法专业整理word 格式文档二. 实验内容1. 设置路由器接口的 inside 和 outside 角色2. 创建 IP地址池和 ACL3. 关联对应的 IP地址池和 ACL4. 配置套接字的静态映射关系三. 实验原理 、方法和手段在计算机网络中， NAT （网络地址转换、 Network Address Translation）是对 IP 包首部地址信息进行修改的过程。图 A1 NAT 原理如图

38、A1 ，运行 NAT功能的路由器会将它不同接口所连接的IP 网络分为 inside网络 （内网）和 outside网络 （外网）。 当IP 分组经过 NAT路由器时 ，若是从 inside网去向outside网，则 NAT路由器会修改 IP 包首部的源 IP 地址 （即 SA）； 若IP 分组是从 outside网去向inside网，则 NAT路由器会修改 IP 包首部的目的 IP 地址 （即 DA ）。最简单的 NAT 类型是提供 one to one （一对一 ）的 IP 地址转换 。 RFC 2663称之为 basicNAT（基本 NAT ）， basic NAT只对 IP 首部的 IP

39、 地址和校验和（checksum ）进行修改 ，首部的其它部分不进行改动（ at least for basic TCP/UDP functionality, some higher level专业整理word 格式文档protocols may need further translation）。 Basic NAT通常运用于这种需求，即互联的两个IP 网络在寻址上不兼容，如用户的网络使用私有地址空间，而运行商网络使用共有地址空间 ，私有地址在运营商的网络中是不兼容的，即无法寻址 。相较 basic NAT ，更通常的做法是将整个一段IP 地址空间 （通常是私有地址）隐藏在一个单独 IP 地

40、址或数量不多的一组IP 地址 （通常是公有地址）后。所以 ，这种转换是一种one to many （一对多 ）、 或 some to many （多对多 ）的模式 。 为了解决这两种模式可能带来的歧义性 ， NAT 不仅改动 IP 首部信息 ，还会修改 TCP/UDP 的首部信息 ，当 IP地址和 TCP/UDP端口被转换时 ， NAT还会将这些转换记录在转换表中（ translationtable ），以便数据流回发时能正确转换。这两种模式在RFC 2663中被称为 NAPT （ Network andPort Translation，地址及端口转换），在很多文献或书籍中也会用术语PAT（PortAddressTranslation ，端口地址转换）、 IP masquerading（IP 伪装）、 或 NAT Overload（ NAT过载 ）。前面几种类型 NAT只能使能由用户网络（ masqueraded network、即地址空间对于运营商网络是隐藏的）内发起的通信 ，如用户网络中某用户的浏览器可以浏览公网上某站点，但公网上的浏览器无法浏览用户网络的站点。 其实大多数运行NAT的设备都允许管理员手工配置 NAT转换表 ，这种特性被称为static NAT （静态 NAT ）或 po