单元3、局域网安全隔离与互连互通

东莞职业技术学院计算机工程系东莞职业技术学院计算机工程系本单元需要完成的工作任务有：任务5：初始可网管交换机；任务6：子网划分任务7：在单交换机上构建安全隔离的部门间网络；任务8：在多交换机上构建安全隔离的部门间网络。任务9：构建互联互通的单位局域网东莞职业技术学院计算机工程系5.1任务描述随着学院信息化建设，校园网的规模也越来越大，为了有效地管理校园网，需要采用可网管的交换机，需要首先了解可网管的交换机和前面已经使用的交换机有何区别？可网管交换机是如何进行管理。东莞职业技术学院计算机工程系5.2相关知识按是否可以网管，交换机可以分为可网管交换机和不可网管交换机。网管交换机则可以被管理、监控，具有智能性，具有端口监控、划分VLAN等不可网管交换机不具备的特性。因此，安装可网管交换机的网络具有智能性和安全性。一台可网管的交换机在正面或背面一般有一个网管配置Console接口，现在的交换机控制台端口一般采用RJ-45端口，如图5.1所示。图5.1RJ-45控制端口东莞职业技术学院计算机工程系1.交换机的硬件构成（1）CPU（2）交换机背板的ASIC芯片（3）RAM、ROM（4）FLASH（5）交换机端口:交换机端口有RJ-45端口、光纤端口和Console端口。如图5.2所示。交换机的组成图5.2交换机接口Rj-45接口Gbic接口SFP接口Console接口东莞职业技术学院计算机工程系①RJ-45端口这种接口就是现在最常见的网络设备接口，俗称“水晶头”，专业术语为RJ-45连接器，属于双绞线以太网接口类型，如图5.2所示。②1000MGBIC接口CiscoGBIC（GigaStackGigabitInterfaceConverter）是一个通用的、低成本的千兆位以太网模块，可提供Cisco交换机间的高速连接，既可建立高密度端口的堆叠，又可实现与服务器或千兆位主干的连接。此外，借助于光纤，还可实现与远程高速主干网络的连接。如图5.2所示。在GBIC接口中可以插入1000Base-T模块（如图5.3所示，用于双绞线连接）和SC模块（如图5.4所示，用于光纤连接，支持1000Base-SX/LX/ZX技术）。东莞职业技术学院计算机工程系图5.31000Base-TGBIC模块图5.41000Base-SXGBIC模块东莞职业技术学院计算机工程系③SFP接口SFP（SmallForm-factorPluggables）可以简单的理解为GBIC的升级版本。SFP模块（如图5.5所示）体积比GBIC模块减少一半，可以在相同面板上配置多出一倍以上的端口数量。有些交换机厂商称为小型化GBIC（Mini-GBIC）。在SFP接口中插入SFP模块，支持1000Base-SX/LX/ZX技术。图5.5SFP模块东莞职业技术学院计算机工程系④Console端口可网管交换机上都有一个Console端口，它是专门用于对交换机进行配置和管理的端口。如图5.2所示。用于交换机配置的Console端口并不是所有交换机都一样，有的采用与Cisco路由器一样的RJ-45类型Console接口，而有的则采用串口作为Console接口。东莞职业技术学院计算机工程系2.交换机软件系统Ciscocatalyst系列交换机所使用的操作系统是IOS或COS（catalystOperatingsystem）。其中以IOS使用最为广泛，该操作系统和路由器所使用的操作系统都基于相同的内核和Shell。COS的优点在于命令体系比较易用。利用操作系统所提供的命令，可实现对交换机的配置与管理。CiscoIOS操作系统具有以下特点：支持通过命令行（CLI）或Web界面，来对交换机进行配置。支持通过交换机的控制端口或Telnet会话来登陆连接访问交换机提供用户模式和特权模式两种命令执行级别，并提供全局配置、接口配置、子接口配置和VLAN数据库配置等多种级别的配置模式，以允许用户对交换机的资源进行配置。东莞职业技术学院计算机工程系1.串行配置线串行配置线两端均为串行接口，两端可以分别插入计算机的串口和交换机的Console口。目前这种类型的配置线已不多见。交换机的配置线东莞职业技术学院计算机工程系2.RJ-45接头扁平配置线图5.7RJ-45接头扁平配置线图5.8DB9-RJ45的转接头RJ-45接头扁平配置线两端均为RJ-45接头（RJ-45-to-RJ-45），如图5.7所示。又称为反转线，实际内部是双绞线线序标准，一端为EIA/TIA568A或EIA/TIA568B标准，另一端为与此相反线序标准。计算机的串口和路由器的console口是通过反转线（rollover）进行连接的，反转线的一端接在路由器的console口上，另一端接到一个DB9-RJ45的转接头（如图5.8所示）上，DB9则接到计算机的串口上。图5.7RJ-45接头扁平配置线图5.8DB9-RJ45的转接头东莞职业技术学院计算机工程系有些RJ-45接头扁平配置线一端为RJ-45接头，另一端直接为串行接头（DB9）。如图5.9所示。3.USB接口配置线USB接口配置线一端和计算机USB接口连接，中间通过一个串口转换并口接头，另一端和交换机的Console接口连接。如图5.10所示。使用USB接口配置线一般需要在配置计算机上安装USB接口转并口的驱动程序，通过COM5或COM7端口连接。图5.9固定DB9接口配置线图5.10USB接口配置线东莞职业技术学院计算机工程系1.使用PC计算机通过Console口对交换机进行配置和管理新交换机在进行第一次配置时必须通过Console口访问交换机。2.通过Telnet对交换机进行远程管理如果管理员不在交换机跟前，可以通过telnet远程配置交换机，当然这需要预先在交换机上配置了IP地址和密码3.通过Web对交换机进行远程管理4.通过Ethernet上的SNMP网管工作站对交换机进行管理通过网管工作站进行配置，这就需要在网络中有至少一台运行Ciscoworks及CiscoView等的网管工作站，还需要另外购买网管软件。交换机的配置管理东莞职业技术学院计算机工程系1.用户模式当PC计算机和交换机建立连接，配置好仿真终端时，首先处于用户模式（UserEXEC模式）。在用户模式下，可以使用少量用户模式命令，命令的功能也受到一定限制。用户模式命令的操作结果不会被保存。用户模式状态：Switch交换机工作模式及其转换东莞职业技术学院计算机工程系2.特权模式要想在可网管交换机上使用更多的命令，必须进入特权模式（PrivilegedEXEC模式）。通常由用户模式进入特权模式时，必须输入进入特权模式的命令：enable。在特权模式下，用户可以使用所有的特权命令，可以使用命令的数目也增加了很多。特权模式状态：Switch＃东莞职业技术学院计算机工程系3.配置模式通过configureterminal命令，可以由特权模式进入配置模式。在配置模式下，可以使用更多的命令来修改交换机的系统参数。使用配置模式（全局配置模式，接口配置模式、VLAN配置模式、线程工作模式）的命令会对当前的配置产生影响。如果用户保存了配置信息，这些命令将被保存下来，并在系统重新启动时再次执行。要进入各种配置模式，首先必须进入全局配置模式。从全局配置模式出发，可以进入接口配置模式等各种配置子模式。如图5.11所示为交换机的不同工作模式以及各模式之间的关系。东莞职业技术学院计算机工程系Exit或Ctrl-ZExit或Ctrl-ZConfigureterminal各种特定配置模式switchswitch#switch（config）#用户EXEC模式特权EXEC模式全局配置模式图5.11交换机配置模式Enable东莞职业技术学院计算机工程系（1）接口配置模式在全局配置模式下，使用interface命令进入该模式。在interface命令中必须指明要进入哪一个接口配置子模式。使用该命令可以配置交换机的各种接口。（2）VLAN配置模式在全局配置模式下，使用vlanvlan-id命令进入该模式。使用该模式可以配置vlan参数。（3）线程配置模式在全局配置模式下，执行LineVTY或LineConsole命令，将进入Line配置模式。该模式主要用于对虚拟终端（VTY）和控制台接口进行配置，其配置主要是设置虚拟终端和控制台的用户级登录密码。Line配置模式的命令行提示符为：switch(config-line)#东莞职业技术学院计算机工程系1.使用“？”获得帮助在命令提示符下，输入问号（？），可以列出每个命令模式可以使用的命令。2.使用“Tab”键获得帮助用户也可以使用Tab键获得帮助，按下Tab键可以自动补齐命令剩余的字母。3.使用命令简写获得帮助交换机的操作命令可以使用命令的前几个字母，然后按回车键可以自动执行对应的操作。4.使用历史缓冲区加快操作可以使用“”和“”方向键将以前操作过的命令重新调出使用。如何使用帮助东莞职业技术学院计算机工程系新购进的可网管交换机第一次配置时必须通过控制台使用仿真终端来进行，通过反转线将交换机的控制台端口和计算机的串口连接起来，在计算机上启动超级终端，然后才能对交换机进行各种配置。在这里我们可以配置交换机的名称、访问的密码、端口、等信息，查看交换机版本信息、端口信息等。配置交换机的管理地址后，可以通过Telnet进入远程访问。5.3方案设计东莞职业技术学院计算机工程系通过工作任务的完成，掌握以下技能：（1）能够通过控制台端口对交换机进行初始配置；（2）能够配置交换机的各种口令；（3）能够对交换机进行基本配置；（4）能够利用show命令查看交换机的各种状态。5.4项目实施任务目标东莞职业技术学院计算机工程系用1台交换机和1台计算机来模拟本任务的实施。搭建如图5.12所示的网络环境。实训任务F0/0192.168.1.1/24图5.12交换机初始配置192.168.1.2/24交换机Console接口PC1东莞职业技术学院计算机工程系（1）Cisco2900交换机（1台）；（2）PC机1台；（3）双绞线（若干根）；（4）反转电缆一根。设备清单东莞职业技术学院计算机工程系步骤1：使用系统配置对话（1）硬件连接按照图5.11连接硬件和设置IP地址，通过反转线将交换机的Console口和计算机PC1的COM连接起来，采用直通线将交换机的f0/1和PC1的网卡的接口连接起来，PC1计算机是配置计算机又作TFTP服务器。（2）打开超级终端。执行“开始程序附件通讯超级终端”选项，弹出“新建连接”对话框，如图5.13示。设置新连接的名称，如cisco。单击“确定”按钮，弹出“设置连接端口”对话框，如图5.14所示的，“连接时使用”列表框中，选择终端PC机的连接接口，在本例中，连接到com1。实施过程东莞职业技术学院计算机工程系图5.13“新建连接”对话框图5.14“设置连接端口”对话框东莞职业技术学院计算机工程系（3）设置通信参数单击“确定”按钮，弹出“COM1属性”对话框，如图5.14所示。通常交换机出厂时，波特率为9600bps，因此在图5.15对话框中，点击“还原为默认值”按钮设置超级终端的通信参数；再点击“确定”按钮。看看超级终端窗口上是否出现路由器提示符或其他字符，如果出现提示符或者其他字符则说明计算机已经连接到交换机了，这时就可以开始配置交换机了。图5.15“COM1属性”对话框东莞职业技术学院计算机工程系（4）交换机开机C2950BootLoader(C2950-HBOOT-M)Version12.1(11r)EA1,RELEASESOFTWARE(fc1)CompiledMon22-Jul-0218:57bymiwangCiscoWS-C2950-24(RC32300)processor(revisionC0)with21039Kbytesofmemory.2950-24starting...BaseethernetMACAddress:0002.166C.C8CAXmodemfil