easy nat 實驗、acl實驗、vlan實驗

NAT實驗

        NAT：NAT地址轉換，局域網向外暴露的是經過轉換的地址他不會暴露局域網內部主機的地址。

 

         R1路由左邊代錶局域網（10.1.1.0 24 ） 右邊接口代錶外網（192.168.1 24 ）;

         NAT命令就是讓 10.1.1.1 ——》 192.168.1.1 訪問的時候講自己的IP地址隱藏。

         路由器設置 ip add 10.1.1.254 24    給 g0/0/0接口

           ip add 192.168.1.254 24 給 g0/0/1接口

NAT 使用在外網網關入口（192.168.1.254）

  nat static global 100.1.1.1 inside 10.1.1.1 ;

//主機發送數據報抓包驗證

 

（2）外部主機限制進行ping命令

 

       外部服務器能訪問內部局域網這本身就是不合理的

       對路由器進行配置

acl實驗

搭建實驗環境及基本配置

AR1的IP配置
[AR1]interface g0/0/0
[AR1-GigabitEthernet0/0/0]ip address 192.168.1.1 24
[AR1-GigabitEthernet0/0/0]q
[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ip address 12.1.1.1 24
AR2的IP配置
[AR2]interface g0/0/0
[AR2-GigabitEthernet0/0/0]ip address 12.1.1.2 24
[AR2-GigabitEthernet0/0/0]q
[AR2]interface g0/0/1
[AR2-GigabitEthernet0/0/1]ip address 192.168.2.1 24
[AR2-GigabitEthernet0/0/1]q
[AR2]interface g0/0/2
[AR2-GigabitEthernet0/0/2]ip address 23.1.1.2 24
AR3的IP配置
[AR3]interface g0/0/0
[AR3-GigabitEthernet0/0/0]ip address 23.1.1.3 24
[AR3-GigabitEthernet0/0/0]
[AR3]int 
[AR3]interface g0/0/1
[AR3-GigabitEthernet0/0/1]ip address 192.168.3.1 24
PC1

PC2
PC3
二丶啟用RIP協議，在PC端查看是否全網通
AR1
[AR1]rip 1
[AR1-rip-1]version 2
[AR1-rip-1]network 12.0.0.0
[AR1-rip-1]network 192.168.1.0
AR2
[AR2]rip 1
[AR2-rip-1]version 2
[AR2-rip-1]network 12.0.0.0
[AR2-rip-1]network 192.168.2.0
[AR2-rip-1]network 23.0.0.0
AR3
[AR3]rip 1
[AR3-rip-1]version 2
[AR3-rip-1]network 23.0.0.0
[AR3-rip-1]network 192.168.3.0
在PC去Ping其他主機的IP，出現下圖則錶明已全網通

三丶通過ACL的配置使得PC1和PC2可以正常通信，但PC1不能和PC3通信
基本acl：在靠近目標的端口
方法一：在AR3的g0/0/1接口拒絕PC1的訪問
[AR3]acl 2000
[AR3-acl-basic-2000]rule deny source 192.168.1.2 0
[AR3-acl-basic-2000]q
[AR3]interface g0/0/1//在該接口調用
[AR3-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
[AR3-GigabitEthernet0/0/1]q
驗證結果：
方法二：在AR3上只允許PC2拒絕PC3
若先使用的方法一則需删掉原來的配置，删掉後仍然全網通
[AR3]undo acl 2000
[AR3]acl 2000 
[AR3-acl-basic-2000]rule permit source 192.168.2.2 0
[AR3-acl-basic-2000]rule deny source any
方法一已經調用過此處可不必調用
‘’’
[AR3]interface g0/0/1//在該接口調用
[AR3-GigabitEthernet0/0/1]traffic-filter outbound acl 2000
[AR3-GigabitEthernet0/0/1]q
‘’’
****此時結果同方法一的結果
四丶AR1遠程登錄到AR3，但兩者不能ping通，PC1，PC2仍能正常通信
高級acl
[AR3]undo acl 2000 //删掉原來的配置
在AR3設置遠程登錄
[AR3]user-interface vty 0 4 
[AR3-ui-vty0-4]authentication-mode password
Please configure the login password (maximum length 16):huawei
AR1遠程登錄
telnet 192.168.3.1 //此處也可換為23.1.1.3

<1>1-3被拒絕ping，但可以遠程登錄
[AR2]acl 3000
[AR2-acl-adv-3000]rule deny icmp source 12.1.1.1 0 destination 23.1.1.3 0
[AR2-acl-adv-3000]q
[AR2]interface g0/0/0
[AR2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[AR2-GigabitEthernet0/0/0]q

<2>1-3可以ping通，但不可以遠程登錄
[AR2]undo acl 3000 //删除之前的配置
[AR2]acl 3000
[AR2-acl-adv-3000]rule deny tcp source 12.1.1.1 0 destination-port eq 23
[AR2-acl-adv-3000]q
由於<1>中已經調用此處可不必調用
‘’’
[AR2]interface g0/0/0
[AR2-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[AR2-GigabitEthernet0/0/0]q
‘’’
結果正好與<1>相反

vlan實驗

說明：圖上當時把端口編號托錯比特置—互換LSW2和LSW3上相連端口編號。此圖下的圖上為正確圖

實驗要求：

1.PC1和PC3所在接口為access；PVLAN VLAN2
PC2/4/5/6 處於同一網段；其中PC2可以訪問PC4/5/6；但PC4可以訪問PC5，不能訪問PC6；

2.PC5不能訪問PC6

實驗配置思路：

1.PC2/4/5/6處於同一網段–DHCP下放IP地址 PC1/3–使用路由器子接口DHCP下放IP地址

2.為滿足實驗要求：

劃分VLAN：PC1/PC3處於VLAN2；PC2處於VLAN3；PC4/5處於VLAN4；PC6處於VLAN5

3.規劃端口模式：

配置
交換機上創建VLAN
[SW1]vlan batch 2 to 5
[SW2]vlan batch 2 to 5
[SW3]vlan batch 2 to 5

根據上圖配置端口模式

SW1：

interface GigabitEthernet0/0/1
port hybrid tagged vlan 2 
port hybrid untagged vlan 3 to 5

interface GigabitEthernet0/0/2
port link-type trunk //接口模式改為trunk模式
port trunk allow-pass vlan 2 to 5 //允許通過的VLAN

interface GigabitEthernet0/0/3
port link-type access
port default vlan 2

interface GigabitEthernet0/0/4
port hybrid pvid vlan 3
port hybrid untagged vlan 3 to 5

SW2:

interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 5

interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 2 to 5

interface GigabitEthernet0/0/3
port link-type access
port default vlan 2

interface GigabitEthernet0/0/4
port hybrid pvid vlan 4
port hybrid untagged vlan 3 to 4

SW3:

interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 2 to 5

interface GigabitEthernet0/0/2
port hybrid pvid vlan 4
port hybrid untagged vlan 3 to 4

interface GigabitEthernet0/0/3
port hybrid pvid vlan 5
port hybrid untagged vlan 3 5

配置DHCP，下放IP地址
display current-configuration
sysname R1

dhcp enable //全局開啟DHCP

ip pool a
gateway-list 172.16.1.1
network 172.16.1.0 mask 255.255.255.0
dns-list 8.8.8.8

ip pool b
gateway-list 192.168.1.1
network 192.168.1.0 mask 255.255.255.0
dns-list 8.8.8.8

interface GigabitEthernet0/0/0
ip address 192.168.1.1 255.255.255.0
dhcp select global

interface GigabitEthernet0/0/0.1 //子接口
dot1q termination vid 2
ip address 172.16.1.1 255.255.255.0
arp broadcast enable
dhcp select global

測試
1）PC使用DHCP自動獲取IP地址
例：PC1、PC2

2）測試連通性
PC1 ping PC3 相同VLAN的通信（PC1IP地址-172.16.1.253 PC3–172.16.1.254）

PC2 ping PC4可通（PC4IP地址為192.168.1.251）

PC2 ping PC5 -可通

PC2 ping PC6-可通（基於hybrid端口實現不同VLAN間進行通信）

PC4 ping PC5-可通（相同VLAN）

PC4 ping PC6 --不通（不同VLAN）

PC5 ping PC6–不通（不同VLAN間不能進行通信）