部门间网络的安全隔离

1计算机网络技术2学习情境二：构建中型网络项目四：部门间网络的安全隔离3交换机基本配置与管理单交换机上划分VLAN多交换机上划分VLAN4硬件系统CPU交换机背板的ASIC芯片RAM、ROMFLASH非易失性RAM交换机的组成5交换机的IOS交换机的IOS启动包括：Flash存储器、TFTP服务器、ROM（不完整的IOS软件）。6交换机的启动（1）确认交换机启动时对所有硬件进行了检测；（2）发现并装载交换机的操作系统CiscoIOS软件；（3）发现配置文件并应用各条配置语句，包括协议功能和接口地址。7配置模式通过Console口对交换机进行配置和管理通过Telnet对交换机进行远程管理通过Web对交换机进行远程管理通过Ethernet上的SNMP网管工作站对交换机进行管理8可网管交换机工作模式用户模式特权模式配置模式全局配置模式接口配置模式VLAN配置模式线程工作模式9当PC计算机和交换机建立连接，配置好仿真终端时，首先处于用户模式（UserEXEC模式）。在用户模式下，可以使用少量用户模式命令，命令的功能也受到一定限制。用户模式命令的操作结果不会被保存。用户模式状态：Switch用户模式10要想在可网管交换机上使用更多的命令，必须进入特权模式（PrivilegedEXEC模式）。通常由用户模式进入特权模式时，必须输入进入特权模式的命令：enable。在特权模式下，用户可以使用所有的特权命令，可以使用命令的数目也增加了很多。特权模式状态：Switch＃特权模式11通过configureterminal命令，可以由特权模式进入配置模式。在配置模式下，可以使用更多的命令来修改交换机的系统参数。使用配置模式（全局配置模式，接口配置模式、VLAN配置模式、线程工作模式）的命令会对当前的配置产生影响。如果用户保存了配置信息，这些命令将被保存下来，并在系统重新启动时再次执行。要进入各种配置模式，首先必须进入全局配置模式。从全局配置模式出发，可以进入接口配置模式等各种配置子模式。配置模式12Exit或Ctrl-ZExit或Ctrl-ZConfigureterminal各种特定配置模式switchswitch#switch（config）#用户EXEC模式特权EXEC模式全局配置模式Enable13任务1：交换机的基本配置与管理14某人受聘于一家公司网络中心做网络管理员，随着网络应用的逐步深入，公司陆续添置计算机和可管理的网络设备，现需要对新进的交换机进行配置和管理。任务1：交换机的基本配置与管理15任务1：交换机的基本配置与管理能够通过控制台端口对交换机进行初始配置；能够配置交换机的各种口令；能够对交换机进行基本配置；能够利用show命令查看交换机的各种状态。16任务1：交换机的基本配置与管理Cisco2900交换机（1台）；PC计算机1台；双绞线（若干根）；反转电缆一根。17F0/0192.168.1.1/24交换机初始配置192.168.1.2/24交换机Console接口PCA任务1：交换机的基本配置与管理18任务1：交换机的基本配置与管理步骤1：交换机启动;步骤2：用户模式、特权模式、全局配置模式的转换;步骤3：使用交换机的CLI;步骤4：配置交换机的主机名;19步骤5:配置交换机的口令;enablepassword和enablesecret区别步骤6：查看交换机信息;步骤7：配置2层交换机端口;步骤8：通过Telnet连接交换机；步骤9：测试。任务1：交换机的基本配置与管理20是由一些局域网网段构成的与物理位置无关的逻辑组，而这些网段具有某些共同的需求。虚拟局域网也称VLAN。采用IEEE802.1q标准21A3交换式集线器交换式集线器A4B1交换式集线器VLAN3C3B3VLAN1VLAN2C1A2A1C2B2交换式集线器三个虚拟局域网VLAN1,VLAN2和VLAN3的构成当B1向VLAN2工作组内成员发送数据时，工作站B2和B3将会收到广播的信息。B1发送数据时，工作站A1,A2和C1都不会收到B1发出的广播信息。虚拟局域网限制了接收广播信息的工作站数，使得网络不会因传播过多广播信息(即“广播风暴”)而引起性能恶化。交换式集线器A322VLAN的优点有利于优化网络性能提高了网络的安全性便于对网络进行管理和控制提供了基于第二层的通信优先级服务23组网方法静态VLAN动态VLAN基于MAC地址的VLAN基于路由的VLAN用IP广播组定义虚拟局域网VLAN的组网方式24静态VLAN配置在建立VLAN之前，必须考虑是否使用VLAN干线协议（VLANtrunkprotocol，VTP）来为你的网络进行全局VLAN的配置。大多数Catalyst桌面交换机支持最多64个激活的VLAN。Catalyst2950系列交换机在标准镜像上可以支持最多250个VLAN，并且最大可支持的VLAN号为4096。Catalyst交换机的默认配置是为每一个VLAN运行一个单独的生成树实例。25静态VLAN配置配置VLAN的ID和名字在全局配置模式下使用VLAN命令:Switch（config）#vlanvlan-id26其中：Vlan是-id配置要被添加的VLAN的ID，如果要安装增强的软件版本，范围为14096，如果安装的是标准的软件版本，范围为11005。每一个VLAN都有一个唯一的4位的ID（范围：00011005）。Switch（config-vlan）#namevlan-name27定义一个VLAN的名字，可以使用132个ASCII字符，但是必须保证这个名称在管理域中是唯一的。为了添加一个VLAN到VLAN数据库，需要给VLAN分配给一个ID号和名字。VLAN1（包括VLAN1002、VLAN1003、VLAN1004和VLAN1005）是一些厂家默认VLANID号。28默认配置中，交换机处在VTP服务器模式，所以可以添加、更改或删除VLAN。如果交换机设置为VTP客户模式，就不能添加、更改或删除VLAN。为了添加一个以太网VLAN，必须至少指定一个VLANID。如果不为VLAN输入一个名字，默认配置会在“VLAN”这个字母后自动添加VLAN的号码。例如，如果不加以命名，VLAN0004将使用VLAN4的默认名字。29分配端口在新创建一个VLAN之后，可以为之手工分配一个端口号或多个端口号。一个端口只能属于唯一一个VLAN。这种为VLAN分配端口号的方法称为静态－接入端口。在接口配置模式下，分配VLAN端口命令为：Switch（config-if）#switchportaccessvlanvlan-id默认情况下，所有的端口都属于VLAN1。30检验VLAN配置在特权模式下，可以检验VLAN的配置，常用的命令有：Switch#showvlan//显示所有VLAN的配置消息。Switch#showintefaceinterfaceswitchport//显示一个指定的接口的VLAN信息。31添加、更改和删除VLAN为了添加、更改和删除VLAN，需要把交换机设在VTP服务器或透明模式。当要为整个域内的交换机做一些VLAN更改时，必须处于VTP服务器模式，在VTP范围内更新的内容会自动传播到其他交换机上，在VTP透明模式下做的VLAN更改只能影响本地交换机，更改不会在VTP范围内传播。32为了修改VLAN的属性（如VLAN的名字），应使用全局配置命令vlanvlan-id，但不能更改VLAN编号，为了使用不同的VLAN编号，需要创建新的VLAN编号，然后再分配相应的端口到这个VLAN中。33当在一个VTP服务器模式的交换机上删除一个VLAN时，这个VLAN就会在所有这个VTP域中的交换机上被删除。当在一个VTP透明模式的交换机上删除一个VLAN，这个VLAN只是在这台交换机上被删除。在VLAN配置模式下，使用命令novlanvlan-id删除VLAN。删除VLAN之前，要确定原来在该vlan下的所有端口移到了另一个VLAN中。34任务2：单交换机上划分VLAN35某人受聘于一家网络公司做网络工程师，现公司有一客户提出要求，该客户公司建立了一小型局域网，包含财务部、销售部和办公室三个部门，公司领导要求各部门内部主机有一些业务可以相互访问，但部门之间为了安全完全禁止互访。任务2：单交换机上划分VLAN36任务2：单交换机上划分VLAN能够在单交换机进行VLAN划分；能够通过VLAN技术隔离网络。37Cisco2950交换机（1台）；PC计算机6台；双绞线（若干根）；反转电缆一根。任务2：单交换机上划分VLAN38任务2：单交换机上划分VLANSwitch1办公室：VLAN30F0/18-f0/24销售部：VLAN20F0/8-f0/18财务部：VLAN10F0/2-f0/8PC10PC11PC20PC21PC30PC3139任务2：单交换机上划分VLAN步骤1：硬件连接步骤2：分别打开设备，给设备加电，设备都处于自检状态，直到连接交换机的指示灯处于绿灯，表示网络处于稳定连接状态。步骤3：配置PC10、PC11、PC20、PC21、PC30、PC31的IP地址,如表所示。40设备IP地址子网掩码PC10192.168.10.2255.255.255.0PC11192.168.10.3255.255.255.0PC20192.168.20.2255.255.255.0PC21192.168.20.3255.255.255.0PC30192.168.30.2255.255.255.0PC31192.168.30.3255.255.255.0计算机IP地址配置表任务2：单交换机上划分VLAN41任务2：单交换机上划分VLAN步骤4：分别测试PC10、PC11、PC20、PC21、PC30、PC31这六台计算机之间的连通性。步骤5：配置交换机VLAN。步骤6：项目测试。42最后12位标志以太网帧属于哪个VLAN源地址FCS数据/填充长度/类型目的地址4字节46-1500字节2字节4字节6字节6字节VLAN标记最大长度1522个字节虚拟局域网的帧格式43带有VLAN3标签的以太网帧VLAN2VLAN3VLAN3VLAN2带有VLAN2标签的以太网帧不带有VLAN标签的以太网帧VLAN数据帧的传输44Access端口只能传送标准以太网帧的端口，一般是指那些连接不支持VLAN技术的端设备的接口，这些端口接收到的数据帧都不包含VLAN标签，而向外发送数据帧时，必须保证数据帧中不包含VLAN标签。45Trunk端口既可以传送有VLAN标签的数据帧也可以传送标准以太网帧的端口，一般是指那些连接支持VLAN技术的网络设备（如交换机）的端口，这些端口接收到的数据帧一般都包含VLAN标签（数据帧VLANID和端口缺省VLANID相同除外），而向外发送数据帧时，必须保证接收端能够区分不同VLAN的数据帧，故常常需要添加VLAN标签（数据帧VLANID和端口缺省VLANID相同除外）。46任务3：多交换机上划分VLAN47任务（1）某人受聘于一家网络公司做网络工程师，现公司有一客户提出要求，该客户公司建立了一小型局域网，包含财务部、销售部和办公室三个部门，分别位于两座办公楼。在每一座办公楼设置一台交换机，在每一座办公楼都有财务部、销售部和办公室。公司领导要求各部门内部主机有一些业务可以相互访问，但部门之间为了安全完全禁止互访。任务（2）公司领导要求办公室内部计算机可以相互访问，财务部、销售部两个部门的计算机只有同一座楼可以相互访问，不同楼的计算机不能相互访问，部门之间为了安全完全禁止互访。任务3：多交换机上划分VLAN48任务3：多交换机上划分VLAN能够实现跨交换机上实现VLAN方法；能够掌握将交换机端口分配到VLAN中的操作技巧。49任务3：多交换机上划分VLANCisco3560交换机（1台）；Cisco2950交换机（1台）；PC计算机6台；双绞线（若干根）；反转电缆一根。50任务3：多交换机上划分