---

前言

搭建一个小型园区网络的必备技术:

• 以太网链路聚合(Eth-Trunk)
• 生成树(stp)
• 虚拟局域网(VLAN)
• 网络地址转换(NAT)
• 域名系统(DNS)
• 安全相关配置(IPSG-DHCP Snooping-ACL)

一、拓扑图

二、数据规划

数据项	描述
VLAN	ACC1 VLAN 10，ACC2 VLAN 20，CORE VLAN 10 20 100
Eth-Tunk	CORE的Eth-Trunk 1 trunk模式，Eth-Trunk 2 access模式（了解两种配置）
DHCP Server	CORE
ip地址	CORE : vlan10 10.10.10.1/24,vlan20 20.1/24，vlan100 100.1/24
公网ip	5.5.5.10/24
公网网关	5.5.5.5/24
dns	8.8.8.8
内网接口	10.10.100.2/24

---

三、设备配置

ACC1	Eth-Trunk 1	trunk模式，加入vlan 10，配置为LACP模式，成员接口GE0/0/1,GE0/0/2,使能DHCP snooping，配置信任接口
	用户端	access模式，放行vlan10，配置为边缘端口，使能DHCP Snooping
	vlan 10	开启vlan 10的ip报文检查功能
	全局	配置BPDU保护，使能DHCP, 全局使能DHCP snooping
ACC2	Eth-Trunk 1	access模式，放行vlan 10，配置为LACP模式，成员接口GE0/0/1,GE0/0/2
	用户端	access模式，放行vlan10，配置为边缘端口,使能DHCP snooping
	全局	配置BPDU保护，使能DHCP, 全局使能DHCP snooping
CORE	Eth-Trunk 1	trunk模式，加入vlan 10，配置为LACP模式，成员接口GE0/0/2,GE0/0/4
	Eth-Trunk 2	access模式，放行vlan 20，配置为LACP模式，成员接口GE0/0/8,GE0/0/9
	vlan 10	10.10.10.1/24，配置从全局地址池获取ip
	vlan 20	10.10.20.1/24
	vlan 100	10.10.100.1/24
	上行接口G0/0/1	access模式，放行vlan100
	全局	DHCP使能，静态出口路由 0.0.0.0 0 10.10.100.2
	全局地址池 pool 10	可分配 10.10.10.0/24，部门地址10.10.10.1，dns 8.8.8.8 pc2固定ip10.10.10.88
AR1	接口	G0/0/0	10.10.100.2/24
		G0/0/1	5.5.5.10/24，ACL2000和nat关联
	ACL 2000	允许访问外网的地址
	全局	内网到公网的静态路由，DNS地址解析功能

四.配置命令

1.配置接入层交换机ACC1

1.1 设备命名，创建VLAN

#
sysname ACC1
#
vlan batch 10
#

1.2 配置eth-trunk 1

#
interface Eth-Trunk1
 port link-type trunk
 port trunk allow-pass vlan 10
 mode lacp-static  #该命令功能等同于命令mode lacp
#将成员加入Eth-Trunk 1
interface GigabitEthernet0/0/1
 eth-trunk 1
interface GigabitEthernet0/0/2
 eth-trunk 1
#

1.3 配置用户端

#
interface Ethernet0/0/2
 port link-type access
 port default vlan 10
 stp edged-port enable  #配置为边缘端口
#
interface Ethernet0/0/3
 port link-type access
 port default vlan 10
 stp edged-port enable
#

2.配置核心层交换机CORE

2.1设备命名

#
sysname ACC1
#
vlan batch 10 20 100
#

2.2配置Eth-Trunk

#
interface Eth-Trunk1
 port link-type trunk
 port trunk allow-pass vlan 10
 mode lacp-static
#
interface Eth-Trunk2
 port link-type access
 port default vlan 20
 mode lacp-static
#
#
interface GigabitEthernet0/0/2
 eth-trunk 1
interface GigabitEthernet0/0/4
 eth-trunk 1
lacp priority 100 #配置当前设备的LACP优先级，缺省为32768.值越小，优先级越高
#
interface GigabitEthernet0/0/8
 eth-trunk 2
 lacp priority 100  #当前接口的LACP优先级
interface GigabitEthernet0/0/9
 eth-trunk 2
 lacp priority 100
#

2.3 vlan配置ip

#
interface Vlanif10
 ip address 10.10.10.1 255.255.255.0
#
interface Vlanif20
 ip address 10.10.20.1 255.255.255.0
#
interface Vlanif100
 ip address 10.10.100.1 255.255.255.0
#

2.4 上行接口配置

#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 100
#

3.DHCP配置

3.1 CORE:

dhcp enable
# 基于全局地址池
ip pool 10
 gateway-list 10.10.10.1
 network 10.10.10.0 mask 255.255.255.0
 # 给PC2配置一个固定ip地址
 static-bind ip-address 10.10.10.88 mac-address 5489-98eb-56db
 dns-list 8.8.8.8
#
ip pool 20
 gateway-list 10.10.20.1
 network 10.10.20.0 mask 255.255.255.0
 dns-list 8.8.8.8
#
interface Vlanif10
 dhcp select global
#
interface Vlanif20
 dhcp select global
#

4.配置路由

4.1 CORE 静态路由:

# 让内网数据可以发到出口路由器AR1
ip route-static 0.0.0.0 0.0.0.0 10.10.100.2
#

4.2 出口路由器AR1相关配置

# 静态路由
ip route-static 0.0.0.0 0.0.0.0 5.5.5.5
ip route-static 10.10.10.0 255.255.255.0 10.10.100.1
ip route-static 10.10.20.0 255.255.255.0 10.10.100.1
# 允许上网的ip和不允许
acl number 2000  
 rule 5 permit source 10.10.10.0 0.0.0.255  
 rule 10 permit source 10.10.100.0 0.0.0.255 
 rule 15 deny source 10.10.20.0 0.0.0.255
#接口Ip
interface GigabitEthernet0/0/0
 ip address 10.10.100.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 5.5.5.10 255.255.255.0 
 nat outbound 2000
#DNS地址解析
 dns resolve  
 dns server 8.8.8.8 
 dns proxy enable
#

5.ACC1和ACC2的DHCP Snooping配置（防止私接路由器）

#  ACC1配置举例
dhcp enable
dhcp snooping enable  #全局使能DHCP Snooping
#
interface Eth-Trunk1
 dhcp snooping enable #接口使能DHCP Snooping
 dhcp snooping trusted  #配置为信任接口
# 连接用户端的接口
interface Ethernet0/0/2
 dhcp snooping enable
#
interface Ethernet0/0/3
 dhcp snooping enable
# 开启vlan 10报文检查功能,防止网络中仿冒源ip和MAC信息的非法用户访问
vlan 10
 ip source check user-bind enable

五、结尾

基础配置就这些，后面可以验证一下配置结果。

• 1.看pc能否正常通过DHCP获取Ip地址。
• 2.ping测试ping公网网关，正常是vlan 10能ping通，vlan 20不能ping通
• 3.在acc和core上dis eth-trunk + 数字 查看eth-trunk接口是否正常
• 4.dis ip routing-table 查看CORE和AR1路由表是否正常
• 5.dis ip pool name + 数字 查看CORE对应地址池使用信息
• 6.dis vlan 查看vlan的配置是否正确