锐捷RCNP路由与交换高级技术实战-2.1-课件 项目1 高校隔离网络的设计与实施

项目1高校隔离网络的设计与实施项目描述项目相关知识项目规划设计项目实践项目验证项目拓展目录项目描述项目描述某高校在教学楼2楼和5楼原有201、202、501、502共4个机房，每个课室有4台接入交换机和51台电脑。现计划对4间机房进行改造，将201、202、501作为日常上课使用的机房，502作为考试时使用的机房。原网络建设中，201、202使用同一IP地址段，501、502使用同一IP地址段。具体要求如下。（1）201和202的2个机房使用同一IP地址段，但要求机房之间相互隔离，防止教师广播投屏时互相影响。（2）501和502的2个机房作为考试机房，使用同一IP地址段，501的机电脑可以互相通信，502机房作为考试机房，要求电脑之间互相隔离。项目描述项目拓扑如图1-1所示。图1-1项目拓扑项目相关知识1.1VLAN聚合基本概念VLAN聚合（VLANAggregation），也称SuperVLAN。指在一个物理网络内，用多个SubVLAN隔离广播域，并将这些VLAN归属到一个逻辑SuperVLAN中，这些SubVLAN使用同一个IP子网和默认网关，进而达到节约IP地址的目的。VLAN聚合中，SuperVLAN只创建三层SVI口并配置对应的子网网关IP地址，不包含具体的物理接口。SubVLAN只包含物理接口，不创建三层SVI接口，用于隔离二层广播域，每个SubVLAN内的主机与外部的三层通信或者SubVLAN之间的通信是依赖于SuperVLAN下的ARP代理功能来实现。1.1VLAN聚合基本概念如图1-2所示。图1-2SuperVLAN结构图1.1VLAN聚合基本概念同一个SubVLAN属于同一个广播域，因此相同SubVLAN内的主机可以直接通信。如图1-3所示。图1-3同SubVLAN内的终端通信图1.1VLAN聚合基本概念不同SubVLAN之间的通信，需要借助网关SVI口的代理功能。如图1-4所示。SuperVLANSVI2开启ARP代理之后，PC1和PC2的通信过程如下。图1-4不同SubVLAN内终端的通信图1.1VLAN聚合基本概念（1）PC1发现PC2和自己在同一网段，且ARP表中无PC2的对应表项，则发送ARP广播包请求PC2的MAC地址。（2）

作为网关的SuperVLAN对应的SVI2口收到PC1的ARP请求，由于SVI2开启了ARP代理功能，则向SuperVLAN2内所有的SubVLAN接口发送ARP广播，请求PC2的MAC地址。（3）SubVLAN20内的主机PC2收到网关发的ARP广播包后，对此请求进行应答。（4）网关收到PC2的应答之后，就把自己的MAC地址回应给PC1。（5）PC1之后发给PC2的报文都先发给网关，由网关做转发。1.2VLAN聚合的应用场景随着企业网络规模的扩大和业务需求的增加，VLAN的应用越来越广泛。然而，在实际应用中，VLAN的管理和维护却面临着诸多挑战。为了解决这些问题，提高网络的稳定性和效率，VLAN聚合技术应运而生。在实际应用中，VLAN聚合的应用场景非常广泛，主要包括以下几个方面。1.2VLAN聚合的应用场景（1）在大型企业中，由于网络规模庞大、VLAN数量众多，管理和维护起来非常困难。通过VLAN聚合，可以将多个VLAN合并成一个逻辑上的大VLAN，从而减少VLAN的数量，降低管理难度。同时，聚合后的VLAN可以更好地利用带宽资源，提高网络传输效率。（2）在网络安全方面，VLAN聚合也发挥着重要作用。通过将多个VLAN聚合成一个逻辑上的大VLAN，可以更好地实现网络隔离和访问控制，提高网络安全性。同时，聚合后的VLAN可以更好地支持安全策略的实施，如防火墙、入侵检测等。1.3PrivateVLAN私有VLAN（PrivateVLAN）采用两层VLAN隔离技术，实现一个VLAN内的端口隔离。在PrivateVLAN中，每个VLAN的二层广播域被划分成多个子域，每个子域由一对VLAN组成：主VLAN（PrimaryVLAN）和辅助VLAN（SecondaryVLAN）。主VLAN是PVLAN的高级VLAN，每个PrivateVLAN中只有一个主VLAN；而辅助VLAN是PVLAN中的子VLAN，并且映射到一个主VLAN。每台接入设备都连接到辅助VLAN。1.3PrivateVLAN辅助VLAN包含两种类型：隔离VLAN（IsolatedVLAN）和团体VLAN（CommunityVLAN）。同一个隔离VLAN内的端口不能互相二层通信，而同一个团体VLAN内的端口可以互相二层通信，但团体VLAN之间的端口不能相互通信。在PrivateVLAN中，交换机端口有三种类型：Isolatedport、Communityport和Promiscuousport。它们分别对应不同的VLAN类型。

Isolatedport属于IsolatedVLAN。

Communityport属于CommunityVLAN。

Promiscuousport属于PrimaryVLAN。1.3PrivateVLAN在IsolatedVLAN中，Isolatedport只能和Promiscuousport通信，两个Isolatedport彼此之间不能交换流量；在CommunityVLAN中，Communityport不仅可以和Promiscuousport通信，而且彼此之间也可以交换流量。如图1-5所示。1-5PrivateVLAN流量传输图1.3PrivateVLANPrivateVLAN主要用于解决通信安全、防止广播风暴和浪费IP地址等问题。它通常用于企业内部网，用来防止连接到某些接口或接口组的网络设备之间的相互通信，但允许与默认网关进行通信。即使在不同的VLAN中，设备也可以使用相同的IP子网。项目规划设计项目规划设计在本项目中，学校计划在教学楼使用1台汇聚交换机、4台接入交换机和8台PC来搭建四个机房的隔离网络，各机房的终端分别接入机房内的交换机，其项目实施拓扑如图1-6所示。图1-6项目实施拓扑图项目规划设计具体配置步骤如下。（1）部署SuperVLAN，实现201、202机房的网络二层隔离，防止教师投屏时互相影响。（2）部署PrivateVLAN，实现501、502机房的网络隔离，同时实现502机房的电脑互相隔离。项目规划设计根据图1-6所示拓扑图进行项目的业务规划，项目1的VLAN规划、设备管理规划、端口互联规划、IP规划见表1-1~表1-3。表1-1项目1VLAN规划表VLAN-IDVLAN类型VLAN命名网段用途VLAN2SuperVLANGW-2172.16.2.0/24VLAN2网关VLAN5private-vlanprimaryGW-5172.16.5.0/24VLAN5网关VLAN20SubVLANUser-201-201机房网段VLAN21SubVLANUser-202-202机房网段VLAN50private-vlancommunityUser-501-501机房网段VLAN51private-vlanisolatedUser-502-502机房网段项目规划设计根据图1-6所示拓扑图进行项目的业务规划，项目1的VLAN规划、设备管理规划、端口互联规划、IP规划见表1-1~表1-3。表1-2项目1端口规划表本端设备本端端口端口配置对端设备对端端口SW1G0/1AccessSW2G0/24SW1G0/4AccessSW3G0/24SW1G0/7TrunkSW4G0/24SW1G0/10TrunkSW5G0/24SW2G0/24AccessSW1G0/1SW2G0/1AccessPC1Eth0/1SW2G0/2AccessPC2Eth0/1SW3G0/24AccessSW1G0/4项目规划设计根据图1-6所示拓扑图进行项目的业务规划，项目1的VLAN规划、设备管理规划、端口互联规划、IP规划见表1-1~表1-3。表1-2项目1端口规划表本端设备本端端口端口配置对端设备对端端口SW3G0/1AccessPC3Eth0/1SW3G0/2AccessPC4Eth0/1SW4G0/24TrunkSW1G0/7SW4G0/1private-vlanhostPC5Eth0/1SW4G0/2private-vlanhostPC6Eth0/1SW5G0/24TrunkSW1G0/10SW5G0/1private-vlanhostPC7Eth0/1SW5G0/2private-vlanhostPC8Eth0/1项目规划设计根据图1-6所示拓扑图进行项目的业务规划，项目1的VLAN规划、设备管理规划、端口互联规划、IP规划见表1-1~表1-3。表1-3项目1IP地址规划表设备接口IP地址用途PC1-172.16.2.3/24用户网络地址PC2-172.16.2.4/24用户网络地址PC3-172.16.2.63/24用户网络地址PC4-172.16.2.64/24用户网络地址PC5-172.16.5.3/24用户网络地址PC6-172.16.5.4/24用户网络地址PC7-172.16.5.63/24用户网络地址PC8-172.16.5.64/24用户网络地址SW1VLAN2172.16.2.254/24用户网段网关VLAN5172.16.5.254/24用户网段网关项目实践任务1-1部署SuperVLAN任务1-1部署SuperVLAN任务描述本任务中，要实现201和202机房之间的终端不能互相通信，同一个机房内的终端能够互相通信。案例的配置包括以下内容：1.SuperVLAN配置：创建VLAN,配置SuperVLAN和SubVLAN。2.端口配置：配置互联端口，并配置端口默认VLAN。3.IP地址配置：为交换机和PC配置IP地址。任务1-1部署SuperVLAN任务操作1.SuperVLAN配置（1）在交换机SW1上创建SuperVLAN和SubVLAN。Ruijie>enable//进入特权模式Ruijie#config

terminal//进入全局模式Ruijie(config)#hostnameSW1//将交换机名称更改为SW1SW1(config)#vlan20//创建VLAN20SW1(config-vlan)#nameUser-201//VLAN命名为User-201SW1(config-vlan)#exit//退出SW1(config)#vlan21//创建VLAN21SW1(config-vlan)#nameUser-202//VLAN命名为User-202SW1(config-vlan)#exit//退出任务1-1部署SuperVLAN任务操作1.SuperVLAN配置（1）在交换机SW1上创建SuperVLAN和SubVLAN。SW1(config)#vlan2//创建VLAN2SW1(config-vlan)#nameGW-2//VLAN命名为GW-2SW1(config-vlan)#supervlan//配置VLAN2为SuperVLANSW1(config-vlan)#subvlan20,21//关联SubVLAN20、21SW1(config-vlan)#noproxy-arp//关闭ARP代理SW1(config-vlan)#exit//退出任务1-1部署SuperVLAN任务操作1.SuperVLAN配置（2）在交换机SW2上创建VLAN。Ruijie>enable//进入特权模式Ruijie#config

terminal//进入全局模式Ruijie(config)#hostnameSW2//将交换机名称更改为SW2SW2(config)#vlan20//创建VLAN20SW2(config-vlan)#nameUser-201//VLAN命名为User-201SW2(config-vlan)#exit//退出任务1-1部署SuperVLAN任务操作1.SuperVLAN配置（3）在交换机SW3上进行VLAN配置。Ruijie>enable//进入特权模式Ruijie#configterminal//进入全局模式Ruijie(config)#hostnameSW3//将交换机名称更改为SW3SW3(config)#vlan21//创建VLAN21SW3(config-vlan)#nameUser-202//VLAN命名为User-202SW3(config-vlan)#exit//退出任务1-1部署SuperVLAN任务操作2.IP地址配置（1）在SW1上配置VLAN2的IP地址。SW1(config)#interfacevlan2//进入VLAN2接口SW1(config-if-VLAN2)#ipaddress172.16.2.254255.255.255.0//配置SuperVLAN的SVI地址SW1(config-if-VLAN2)#exit//退出任务1-1部署SuperVLAN任务操作3.端口配置

（1）在SW1上配置与接入交换机互联的端口，并配置端口默认VLAN。SW1(config)#interfacerangegigabitEtherne0/1-3//批量进入端口SW1(config-if-range)#switchportmodeaccess//修改端口类型为Access模式SW1(config-if-range)#switchportaccessvlan20//配置端口的默认VLAN为VLAN20SW1(config-if-range)#exit//退出任务1-1部署SuperVLAN任务操作3.端口配置

（1）在SW1上配置与接入交换机互联的端口，并配置端口默认VLAN。SW1(config)#interfacerangegigabitEtherne0/4-6//批量进入端口SW1(config-if-range)#switchportmodeaccess//修改端口类型为Access模式SW1(config-if-range)#switchportaccessVLAN21//配置端口的默认VLAN为VLAN21SW1(config-if-range)#exit//退出任务1-1部署SuperVLAN任务操作3.端口配置

（2）在SW2上配置与交换机和终端互联的端口，并配置端口默认VLAN。SW2(config)#interfacerangegigabitEtherne0/1-24//批量进入端口SW2(config-if-range)#switchportmodeaccess//修改端口类型为Access模式SW2(config-if-range)#switchportaccessvlan20//配置端口的默认VLAN为VLAN20SW2(config-if-range)#exit//退出任务1-1部署SuperVLAN任务操作3.端口配置

（3）在SW3上配置与交换机和终端互联的端口，并配置端口默认VLAN。SW3(config)#interfacerangegigabitEtherne0/1-24//批量进入端口SW3(config-if-range)#switchportmodeaccess//修改端口类型为Access模式SW3(config-if-range)#switchportaccessvlan21//配置端口的默认VLAN为VLAN21SW3(config-if-range)#exit//退出任务1-1部署SuperVLAN任务验证在SW1使用【showsupervlan】命令查看supervlan信息，如下所示。可以看到SuperVLAN2下有2个SubVLAN。SW1(config)#showsupervlansupervlanidsupervlanarp-proxybcastvlansubvlanidsubvlanarp-proxysubvlaniprange------------------------------------------------------------------------------------------2OFF20-21ON任务1-2部署PrivateVLAN任务1-2部署PrivateVLAN任务描述本任务中，要实现501机房内的终端之间能够互相通信，502机房内的终端之间不能够互相通信。案例的配置包括以下内容：1.PrivateVLAN配置：创建VLAN,配置主VLAN和辅助VLAN。2.IP地址配置：为交换机和PC配置IP地址。3.端口配置：配置互联端口，并配置端口默认VLAN。任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（1）在SW1上创建VLAN和PrivateVLAN。SW1(config)#vlan50//创建VLAN50SW1(config-vlan)#nameUser-501//VLAN命名为User-50SW1(config-vlan)#private-vlancommunity//创建团体VLAN50SW1(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（1）在SW1上创建VLAN和PrivateVLAN。SW1(config)#vlan51//创建VLAN51SW1(config-vlan)#nameUser-502//VLAN命名为User-502SW1(config-vlan)#private-vlanisolated//创建隔离VLAN51SW1(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（1）在SW1上创建VLAN和PrivateVLAN。SW1(config)#vlan5//创建VLAN5SW1(config-vlan)#nameGW-5//VLAN命名为GW-5SW1(config-vlan)#private-vlanprimary//创建主VLANSW1(config-vlan)#private-vlanassociation50，51//关联辅助VLANSW1(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（1）在SW1上创建VLAN和PrivateVLAN。SW1(config)#interfacevlan5//进入VLAN5接口SW1(config-VLAN5)#private-vlanmapping50,51//将辅助VLAN映射到主VLANSW1(config-VLAN5)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（2）在SW4上创建PrivateVLAN。Ruijie>enable//进入特权模式Ruijie#configterminal//进入全局模式Ruijie(config)#hostnameSW4//将交换机名称更改为SW4SW4(config)#vlan50//进入VLAN50SW4(config-vlan)#nameUser-501//VLAN命名为User-501SW4(config-vlan)#private-vlancommunity//创建团体VLAN50SW4(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（2）在SW4上创建PrivateVLAN。SW4(config)#vlan51//进入VLAN51SW4(config-vlan)#nameUser-502//VLAN命名为User-502SW4(config-vlan)#private-vlanisolated//创建隔离VLAN51SW4(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（2）在SW4上创建PrivateVLAN。SW4(config)#vlan5//创建VLAN5SW1(config-vlan)#nameGW-5//VLAN命名为GW-5SW4(config-vlan)#private-vlanprimary//创建主VLANSW4(config-vlan)#private-vlanassociation50,51//关联辅助VLANSW4(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（3）在SW5上创建PrivateVLAN。Ruijie>enable//进入特权模式Ruijie#configterminal//进入全局模式Ruijie(config)#hostnameSW5//将交换机名称更改为SW5SW5(config)#vlan50//进入VLAN50SW5(config-vlan)#nameUser-501//VLAN命名为User-501SW5(config-vlan)#private-vlancommunity//创建团体VLAN50任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（3）在SW5上创建PrivateVLAN。SW5(config)#vlan51//进入VLAN51SW5(config-vlan)#nameUser-502//VLAN命名为User-502SW5(config-vlan)#private-vlanisolated//创建隔离VLAN51SW5(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作1.PrivateVLAN配置（3）在SW5上创建PrivateVLAN。SW5(config)#vlan5//创建VLAN5SW1(config-vlan)#nameGW-5//VLAN命名为GW-5SW5(config-vlan)#private-vlanprimary//创建主VLANSW5(config-vlan)#private-vlanassociation50,51//关联辅助VLANSW5(config-vlan)#exit//退出任务1-2部署PrivateVLAN任务操作2.IP地址配置在SW1上配置VLAN5的IP地址。SW1(config)#interfacevlan5//进入VLAN5接口SW1(config-VLAN5)#ipaddress172.16.5.254255.255.255.0//配置IP地址SW1(config-VLAN5)#exit//退出任务1-2部署PrivateVLAN任务操作3.端口配置（1）在SW1上配置与接入交换机互联的端口，并配置端口默认VLAN。SW1(config)#interfacerangegigabitEtherne0/7-9//批量进入端口SW1(config-if-range)#switchportmodetrunk//修改端口类型为Trunk模式SW1(config-if-range)#switchportmodeprivate-vlanpromiscuous//配置混杂端口SW1(config-if-range)#switchporttrunkallowedvlanadd5,50//配置端口允许VLAN5,VLAN50通过SW1(config-if-range)#exit//退出任务1-2部署PrivateVLAN任务操作3.端口配置（1）在SW1上配置与接入交换机互联的端口，并配置端口默认VLAN。SW1(config)#interfacerangegigabitEtherne0/10-12//批量进入端口SW1(config-if-range)#switchportmodetrunk//修改端口类型为Trunk模式SW1(config-if-range)#switchportmodeprivate-vlanpromiscuous//配置混杂端口SW1(config-if-range)#switchporttrunkallowedvlanadd5,51//配置端口允许VLAN5,VLAN51通过SW1(config-if-range)#exit//退出任务1-2部署PrivateVLAN任务操作3.端口配置（2）在SW4上配置接入交换机与终端互联的端口，并配置端口默认VLAN。SW4(config)#interfacerangegigabitEtherne0/1-23//批量进入端口SW4(config-if-range)#switchportmodeprivate-vlanhost//修改端口类型为Host模式SW4(config-if-range)#switchportprivate-vlanhost-association550//将1-23端口加入团体VLAN50SW4(config-if-range)#exit//退出任务1-2部署PrivateVLAN任务操作3.端口配置（2）在SW4上配置接入交换机与终端互联的端口，并配置端口默认VLAN。SW4(config)#interfaceg0/24//进入G0/24端口SW4(config-if-GigabitEtherne0/24)#switchportmodetrunk//修改端口类型为Trunk模式SW4(config-if-GigabitEtherne0/24)#switchportmodeprivate-vlanpromiscuous//把接口属性改为PVLAN混杂模式SW4(config-if-GigabitEtherne0/24)#switchportprivate-vlanmapping5add50,51//指明该端口的PVALN属性SW4(config-if-GigabitEtherne0/24)#exit//退出任务1-2部署PrivateVLAN任务操作3.端口配置（3）在SW5上配置与汇聚交换机和终端互联的端口，并配置端口默认VLAN。SW5(config)#interfacerangegigabitEtherne0/1-23//批量进入端口SW5(config-if-range)#switchportmodeprivate-vlanhost//修改端口类型为Host模式SW5(config-if-range)#switchportprivate-vlanhost-association551//将G0/1-23端口加入隔离VLAN51SW5(config-if-range)#exit//退出任务1-2部署PrivateVLAN任务操作3.端口配置（3）在SW5上配置与汇聚交换机和终端互联的端口，并配置端口默认VLAN。SW5(config)#interfaceg0/24//进入G0/24端口SW5(config-if-GigabitEtherne0/24)#switchportmodetrunk//修改端口类型为Trunk模式SW5(config-if-GigabitEtherne0/24)#switchportmodeprivate-vlanpromiscuous//把接口属性改为PVALN混杂模式SW5(config-if-GigabitEtherne0/24)#switchportprivate-vlanmapping5add50,51//指明该端口的PVALN属性SW5(config-if-GigabitEtherne0/24)#exit//退出任务1-2部署PrivateVLAN任务验证在SW1使用【showvlanprivate-vlan】命令查看PrivateVLAN信息，如下所示。SW1(config)#showvlanprivate-vlan

VLANTypeStatusRoutedPortsAssociatedVLANs-------------------------------------------------------------------------------5primaryactiveEnabledGi0/1,Gi0/2,Gi0/350-51Gi0/4,Gi0/5,Gi0/650communityactiveEnabled551isolatedactiveEnabled5项目验证项目验证(1)使用201机房的主机PC1Ping本机房的主机PC2，如下所示。可以看到主机PC1能够Ping通主机PC2。PC1>ping172.16.2.4正在

Ping172.16.2.4具有32字节的数据:来自

172.16.2.4的回复:字节=32时间=2msTTL=63来自

172.16.2.4的回复:字节=32时间=2msTTL=63来自

172.16.2.4的回复:字节=32时间=2msTTL=63来自

172.16.2.4的回复:字节=32时间=2msTTL=63

172.16.2.4的Ping统计信息:数据包:已发送=4，已接收=4，丢失=0(0%丢失)，往返行程的估计时间(以毫秒为单位):最短

=2ms，最长=3ms，平均=2ms项目验证(2)使用201机房的PC1Ping202机房的PC3，如下所示。可以看到主机PC1不能Ping通主机PC3。PC1>ping172.16.2.63

正在

Ping172.16.2.63具有

32字节的数据:来自

172.16.2.3的回复:无法访问目标主机来自

172.16.2.3的回复:无法访问目标主机来自

172.16.2.3的回复:无法访问目标主机来自

172.16.2.3的回复:无法访问目标主机

172.16.2.63的

Ping统计信息:

数据包:已发送=4，已接收=4，丢失=0(0%丢失)，项目验证(3)使用501机房的主机PC5Ping本机房的主机PC6，如下所示。可以看到主机PC5能够Ping通主机PC6。PC5>ping172.16.5.4正在Ping172.16.5.4具有32字节的数据:来自172.16.5.4的回复:字节=32时间=2msTTL=63来自172.16.5.4的回复:字节=32时间=2msTTL=63来自172.16.5.4的回复:字节=32时间=2msTTL=63来自172.16.5.4的回复:字节=32时间=2msTTL=63172.16.5.4的Ping统计信息