实验三Internet接入

1、实验三 Internet 接入【实验目的】 通过本实验初步掌握 Internet 接入的组网方法、 基本配置和操作技能， 掌握组建 Internet 接入网的应用，包括如下几个方面：? 掌握 VLAN 接入的基本组网方法。? 掌握 VLAN 接入认证的基本配置方法。? 掌握采用 PVLAN 实现用户隔离的基本配置方法。? 了解认证服务器的管理方法。? 掌握窄带和宽带拨号接入网络的实现方法。 实验前学生应具备以下知识：? 了解交换机的工作原理和组网特点。? 了解交换机的安装和配置。? 了解 VLAN 的原理、划分方法和应用特点。? 了解电话和 ADSL 拨号网络的原理和特点。 实验过程中， 部分

2、实验内容需要与相邻的同学配合完成。 此外， 学生需要将实验的结果 记录下来，并回答相关思考题，填写到实验报告中。【实验类型】综合型实验【实验环境】实验设备：华为S2403H两台、S3050、S3526E、S8505各一台；PBX两台，电话MODEM 6台， R2631 一台； DSLAM MA5105 一台， ADSL MODEM 6 台， MA5200 一台。实验组成： 每四台 PC 为一组， 占用交换机的四个端口， 其中一个端口专用做管理接口， 剩余的三个端口用于 VLAN 接入实验；每组电话 MODEM 和 ADSL MODEM 各一个。 实验网络结构图参见实验内容。【实验内容】 以下实

3、验内容可根据实验室的具体情况和课时安排的变化进行适当的调整，实验内容 中的思考题以书面形式解答并附在实验报告的后面。需要注意的是，学生在实验过程中要严格按实验指导书的操作步骤和要求操作，且小 组成员应紧密配合，以保证实验过程能够顺利完成。本次实验的主要项目包括以下几个方面 ：Web 接入认证 配置 PVLAN ； 配置 802.1x 接入认证； 电话拨号接入； ADSL 拨号接入。 具体的实验内容和步骤如下：一、社区宽带接入实验 实验环境模拟一个宽带社区接入网络，网络结构如图 1，设备组成有：华为 S2403H 两台、 S3050、 S3526E、 S8505 各一台； MA5200 一台。其

4、中 S2403H 和 S3050 为模拟建筑物内连接家庭用户的交换机，S3526E用于VLAN透传，MA5200用于 Web认证和802.1x认证。经过认证的计算机可以通过MA5200接入S8505代表的运营商网络。S352SEVLAN 7Primary VLA100VLAN 4S24Q3HPrimary VLAN300S7403HSecorxiary VLAN101 Io 116Secondary VLAN 201 to 21flSecondary VLAN301 tn 316图1社区宽带接入Primary VLAN 200图2社区宽带接入模拟的实验室布局实验参数规划表设备端口连接设备VLA

5、NMA5200F1DSLAM2PPPoE认证3Web认证4802.1X认证S2403H-A1-16PC机每个PC 一个VLAN25S3526VLAN 100S30501-16PC机每个PC 一个VLAN25S3526VLAN 200S2403H-B1-16PC机每个PC 一个VLAN25S3526VLAN 300S352648DSLAMTRUNK1S2403HVLAN 22S3050VLAN 33S2403HVLAN 41. 实验准备依次对S2403H和S3050进行网络初始化配置，这一部分操作由指导教师和实验员预先进行设置。管理 ip 分别为 、。通过con sole接口配置管理 VLAN和

6、管理地址<Quidway> system-view#进入系统视图；Quidway in terface vla n-in terface 1# 建立 vla n 接口 1 ；Quidway-Vlan-interface1 ip address 10.1.1.251255.255.255.0#设置该接口 vlan 的 IP 地址；注：Quidway系列二层以太网交换机只能有一个管理VLAN接口。配置可以通过Tel net登录到以太网交换机#设置一个用户名；#设置一个明文密码；#设置tel net的级别；#设置5个用户可以同时tel net;#设置验证方式为用户名和密码；Quidway

7、 local-user huaweiQuidway-huawei password simple huawei Quidway-huawei service-type telnet level 3Quidway user- in terface vty 04Quidway-ui-vtyO authe nticati on-m ode scheme配置S3526E配置连接下级交换的 S3526E端口分别为 VLAN 2、VLAN 3和VLAN 4，配置向上级联 的端口为Trunk端口。Quidway vian 2Quidway- vian2 port ethernetO/21Quidway- v

8、lan2 quit Quidway vian 3Quidway- vian3 port ethernet0/22Quidway- vlan3 quitQuidway vian 4Quidway- vian4 port ethernet0/23#进入24端口；#将此接口类型设置为 trunk ；#此端口只允许 vian 2通过；Quidway- vlan4 quit Quidway in terface ethernet0/24Quidway-EthernetO/24 port iink-type trunk Quidway-EthernetO/24 port trunk permit vian

9、 2 to 4配置MA5200接入认证配置MA5200接入认证的基本方法和步骤如图32,详细配置方法参见附录。配置用户计算机2. Web认证接入S3526E上联到MA5200的端口改为 ethernetO/3,即 Web认证端口。在命令行模式下，用ipconfig/all查看自己的IP地址，并记录下自己的 IP地址和MAC 地址。然后ping相邻计算机的IP地址和S8505的ip地址。【思考题】ping相邻计算机和S8505的IP地址结果有何不同？为什么？打开IE浏览器，在地址栏输入，进入登录页面，输入用户名webuserhhh，密码123456，然后再次 ping相邻计算机和 S8505的I

10、P地址。【思考题】与 Web认证之前对比，ping相邻计算机和 S8505的IP地址结果有何不同？ 为什么？3. PVLANPVLAN即指isolate-user-vlan，采用二层VLAN技术，是华为公司系列以太网交换机的 一个新特性。它的功能是在小区接入中，通过将用户划入不同的VLAN ,实现用户之间二层报文的隔离。isolate-user-vlan采用二层VLAN 的结构，在一台以太网交换机上存在isolate-user-vlan( Primary VLAN )禾口 Secondary VLAN。一个 isolate-user-vlan 禾口多个 Secondary VLAN 对应，is

11、olate-user-vlan包含所对应的所有 Secondary VLAN 中包含的端口和上行端口， 这样对上层交换机来说，只须识别下层交换机中的isolate-user-vla n ,而不必关心 isolate-user-vlan中包含的Secondary VLAN，简化了配置，节省了VLAN 资源。用户可以采用isolate-user-vlan实现二层报文的隔离，为每个用户分配一个Secondary VLAN，每个VLAN中只包含该用户连接的端口和上行端口；如果希望实现用户之间二层报文的互通，可以将用户连接的端口划入同一个 Secondary VLAN中。实验步骤如下：将每组中的三个用户

12、端口配置成各自独立的VLAN，将上联端口配置为 Primary VLAN ,然后建立 Primary VLAN 和Secondary VLAN 之间的映射。配己置 isolate-user-vlan。Quidway vla n 100Quidway-vla n100isolate-user-vla n en ableQuidway-vla n100port ethernet 0/25配置 Secondary VLAN。Quidway vla n 101Quidway-vla n101port ethernet 0/1Quidway-vla n101 quitQuidway vla n 102Q

13、uidway-vla n102port ethernet 0/2Quidway-vla n102 quitQuidway vla n 116Quidway-vla n116port ethernet 0/16Quidway-vlan116 quit配置 isolate-user-vla n 和 Sec on dary VLAN 间的映射关系。Quidwayisolate-user-vla n100 seco ndary 102 to 116注：配置端口之前，查看本组计算机的MAC地址与端口号的对应关系。查看本机的IP地址，ping相邻计算机的IP地址。采用Web认证接入后，再 ping相邻计算

14、机的IP地址。【思考题】在 Web认证接入之前，在同一子网的相邻计算机能否ping通？为什么？4. 802.1X 认证将S3526E上联到 MA5200的端口改为ethernetO/4,即卩802.1x认证端口。将用户计算机的本地连接先禁用再启用，等待一会儿，查看并记录本机的IP地址，相邻计算机用ping测试通连。【思考题】相邻计算机属于同一个子网吗？能够 ping通吗？为什么 安装802.1X认证客户端程序，安装过程如下：选择安装目录为 D:802.1XClient。点击“下一步”，进入安装过程。安装完成后，在提示窗口中选择“Can cel”，即不重新启动。802.1X认证的网卡。运行802

15、.1X认证客户端程序，第一次运行要求配置要采用在登录界面，输入用户名testhhh,密码123456。802.1X认证通过前后，测试与同一子网的相邻计算机的通连。pi ng通？为【思考题】在802.1X认证接入之前和之后，在同一子网的相邻计算机能否 什么?、拨号接入拨号接入实验包括 ADSL虚拟拨号接入和电话拨号接入两个部分，每组学生可使用电话MODEM和ADSL MODEM 各一个。实验室中电话和 ADSL接入分布如图。电话和ADSL接口分布情况单号窄带双号ADSL113|4567e91011I121314161. ADSL虚拟拨号接入该实验模拟ADSL PPPoE虚拟拨号接入In tern

16、et,网络连接结构如图。ADSL PPPoE虚拟拨号接入实验学生计算机断开连接交换机的网线，连接ADSL MODEM连接方法如图。Internet如果是Windows XP系统，启动一个新建连接向导，选择“连接到然后选择“手动配置我的连接”向牙燈Ensssi二忒”斗胃OA屋冬翌擬 2打理是曲于动说章1£前连摄5$蜃垮芾霧了诋尸釜密碍毀I汀的电羽号丹乘佞帛曲号谨基“对于 宽帯除寸"慮牟窃要电常号诃ClftfflRA I5F 埠轴LDR上弋即币芳牺X | 密肖选择“用要求用户名和密码的宽带连接来连接”。然后为该连接命名。输入该连接所使用的用户名adsladslpppoe和密码1

17、23456。创建好的连接在桌面上建立快捷方式，就可使用了。对于 Windows 2000系统，必须安装 PPPoE虚拟拨号软件（如 EnterNet300），配置方法 同上。双击ADSL连接，启动登录界面，点击“连接”。建立连接后，检查本机的IP地址，并测试与 8505及其它PC的通连。2 .电话拨号接入整个实验环境由 8505、2631、PBX、MODEM 以及PC组成。每台PC可以构成一个拨号单元来进行拨号实验。但是由于在2631上只是一块6 口听接口卡，所以每次同时只能够有6名同学同时拨号上线。学生分组分别进行拨号验证来完成这个拨号实验。MODEM在学生PC上安装 MODEM然后，启动“

18、新建连接向导” 及其驱动程序。，选择“连接到In ternet选择“手动设置我的连接”选择“用拨号调制解调器连接”为该连接命名。在弋面延亡鞘心I注按眈執骨那8®Ik 11恻妙鬼町规总人期的工非地如SM创日踊軒靈£-心弋电汕卞一涉电；1 ( 躺 输入该连接使用的电话号码。创建好该拨号连接后，双击该连接的快捷方式，在登录界面中输入用户名test和密码test 。连養Net lab7JIP地址，并测试与8505及其它PC的通连。建立连接后，检查本机的【附录】一、MA5200F 配置1. Web认证配置IP地址池创建名为huawei地址池MA5200Fip pool huawei

19、local#建立一个名为 huawei 的地址池；配置huawei地址池的网关为 ，掩码为。MA5200F-ip-pool-huaweigateway 10.10.1.1 255.255.0.0# 设置地址池的网关；配置地址段0，地址范围为。MA5200F-ip-pool-huaweisection 0 10.10.1.2 10.10.4.100# 设置地址段的范围；配置认证方案进入AAA配置模式MA5200Faaa#进入AAA认证模式；创建一个名字为 auth1的认证方案：MA5200F-aaaauthentication-scheme auth1#建立名为 auth1 的认证方案；设置认证

20、方案"auth1 ”为RADIUS认证：MA5200F-aaa-authe n-auth1authe nticatio n-mode radius#设置认证模式为 radius；配置计费方案创建一个名字为acct1的计费方案：MA5200F-aaaaccounting-scheme acct1#建立名为 acct1 的计费方案；设置计费方案"acctl ”为radius计费：MA5200F-aaa-accounting-acct1accounting-mode radius#设置认证模式为 radius；查看名为 acct1 已配置的计费策略：MA5200F-aaadisp

21、lay accounting-scheme acct1 #查看 acct1 的计费策略； 配置 web 认证服务器：MA5200Fweb-auth-server 10.100.102.1 key huawei#配置 web 认证服务器地址及密钥；配置认证前的域：MA5200F-aaadomin default 0#设置一个域名为 default0；MA5200F-aaa-domin-default-0 ip pool first huawei #该域使用名为 huawei 的 IP 地址池； MA5200F-aaa-domin-default-0 ucl-group 1#设置域的 ucl 组号

22、；MA5200F-aaa-domin-default-0 web-authentication-server 202.11.1.2 #web 验证服务器地 址；配置认证时的域：MA5200F-aaadomin isp#设置一个名为 ISP 的域；MA5200F-aaa-domin-isp ip pool first huawei#该域使用名为 huawei 的地址池；MA5200F-aaa-domin-isp authentication-scheme auth1#使用名为 auth1 的认证方案；MA5200F-aaa-domin-isp accounting-scheme acc1#使用名

23、为 acc1 的计费方案；MA5200F-aaa-domin-isp radius-server group huawei#建 立一 个名为 huawei 的radius 组；MA5200F-aaa-domin-isp display domin isp#查看 ISP 域的信息；配置 ACL 策略MA5200F acl number 101 match-order auto#建立一个 101 的访问控制列表；MA5200F-acl-adv-101 rule user-net permit ip source 1 destination 202.11.1.2 0 #允许 ucl 组号为 1 的地

24、址访问该目的地址；MA5200F-acl-adv-101 rule user-net permit ip source 202.11.1.2 0 destination 1 #允许该源泉地址访问ucl 组号为 1 的地址；MA5200F-acl-adv-101 rule user-net permit ip source 1 destination 192.168.8.18 0 MA5200F-acl-adv-101 rule user-net permit ip source 192.168.8.18 0 destination 1 MA5200F-acl-adv-101 rule user

25、-net deny ip source 1#禁止其它 IP 访问 ucl 组号为 1 的地址；MA5200F access-group 101#应用 101 的访问控制列表；配置端口 VLANMA5200F portvlan Ethernet 1 vlan 2#设置端口 1 里面的 VLAN2 用户；MA5200F-ethernet1-1-vlan2-2 access-type layer2-subscriber #设置接入类型为二层普通接 入；MA5200F-ethernet1-1-vlan2-2 default-domin authentication force isp#配置认证域，并强

26、制使用该域的策略；MA5200F-ethernet1-1-vlan2-2 authentication-mode web#验证模式为 web；添加本地用户帐号MA5200F local-aaa-server #进入本地认证服务； MA5200F-local-aaa-server user huaweiisp password 123#添加用户名及密码；配置上行口 IP 地址MA5200F portvlan Ethernet 1 vlan 0 #设置端口 1 里面的 VLAN0 用户； MA5200F-ethernet1-1-vlan0-0 access-type interface#设置非管理

27、接入类型；MA5200F interface Ethernet1.0#创建并进入子接口；MA5200F-ethernet1.0 ip adderss 11.11.11.1 255.255.255.0#设置 IP 地址；配置路由MA5200F ip route 0.0.0.0 0.0.0.0 11.11.11.17#设置静态路由；内置 web 服务器的配置MA5200Fweb-server#创建 web 服务器；MA5200F-web-serverdirectory flash:/webfile/chn#设置路径；MA5200F-web-serverdefault-page /index.htm

28、l#选择使用 web 界面；1) web 页面所在的路由必须是绝对路径。2)内置 web server 的文件更新后需要使用 refresh page 命令更新 web 页面。2 802.1X 认证配置 802.1X 模板接口创建模板为 2 的 802.1X 模板。MA5200Fdot1x-template 2配置打开系统的触发 802.1X 认证开关。MA5200Fdot1x authentication trigger配置 IP 地址池创建名为 huawei 地址池MA5200Fip pool huawei local配置 huawei 地址池的网关为 ，掩码为 。 MA5200F-ip-

29、pool-huaweigateway 配置地址段0，地址范围为10.104100。MA5200F-ip-pool-huaweisection 0 10.10.1.2 10.10.4.100 配置认证方案进入 AAA 配置模式MA5200Faaa创建一个名字为 auth1 的认证方案：MA5200F-aaaauthentication-scheme auth1设置认证方案“ auth1 ”为 RADIUS 认证： MA5200F-aaa-authen-auth1authentication-mode radius 配置计费方案创建一个名字为 acct1 的计费方案：MA5200F-aaaacco

30、unting-scheme acct1设置计费方案“ acct1 ”为 radius 计费： MA5200F-aaa-accounting-acct1accounting-mode radius 查看名为 acct1 已配置的计费策略：MA5200F-aaadisplay accounting-scheme acct1配置 RADIUS创建名为“ huawei”的RADIUS配置项MA5200Fradius-server group huawei设置主 RADIUS 认证服务器的 IP 地址为 10.11.113.109 ，认证端口号为 1812；设置备 RADIUS 认证服务器的 IP 地址

31、为 ，认证端口号为 1645 。MA5200F-radius-huaweiradius-server authentication 10.11.113.109 1812 MA5200F-radius-huaweiradius-server authentication 10.11.113.110 1645 secondary 设置主 RADIUS 计费服务器的 IP 地址为 10.11.113.111 ，计费端口号为 1813；设置备 RADIUS 计费服务器的 IP 地址为 ，计费端口号为 1646 。MA5200F-radius-huaweiradius-server accounting

32、 10.11.113.111 1813 MA5200F-radius-huaweiradius-server accounting 10.11.113.112 1646 secondary 设共享密钥为“ hello ”。MA5200F-radius-huaweiradius-server key hello 设置名 RADIUS 服务器类型为“ iphotel ”： MA5200F-radius-huaweiradius-server type iphotel 设置需 RADIUS 服务器认证的用户名不带域名。MA5200F-radius-huaweiundo radius-server u

33、ser-name domain-included 配置以太口 1 下 VLAN2 的 NAS-PORT-TYPE 为 sdsl： MA5200F-ethernet-1-vlan2-2nas-port-type sdsl 配置域新建一个名为 isp 的域 :MA5200F-aaadomain isp将名字为 huawei 的地址池配置为新域的第一地址池 MA5200F-aaa-domain-ispip-pool first huawei 设置名为 auth1 认证方案为 isp 域内的认证方案： MA5200F-aaa-domain-ispauthentication-scheme auth1

34、设置名为 acct1 计费方案为 isp 域内的计费方案： MA5200F-aaa-domain-ispaccounting-scheme acct1 设置当前域的 radius 服务器为 huawei ： MA5200F-aaa-domain-ispradius-server group huawei 设置在域 isp 中绑定 802.1X 模板 2，命令如下： MA5200F-aaa-domain-ispdot1x-template 2 查看当前域的详细设置。MA5200F-aaa-domain-ispdisplay domain isp 配置端口 VLAN设置以太网接口 1，VLAN 2

35、 下的用户为二层普通用户接入类型。 MA5200Fportvlan ethernet 1 vlan 2MA5200F-ethernet1-1-vlan2-2access-type layer2-subscriber 设置后认证域为 isp 并强制使用该域的策略。MA5200F-ethernet1-1-vlan2-2default-domain authentication force isp 设置认证方式为 802.1X 认证和 Web 认证。MA5200F-ethernet1-1-vlan2-2authentication-method dot1x web 配置上行口 IP 地址配置端口 1

36、下 VLAN0 的接入类型为非管理类型。 MA5200Fportvlan ethernet 1 vlan 0 MA5200F-ethernet1-1-vlan0-0access-type interface 创建 VLAN 子接口：MA5200Finterface Ethernet 1.0 配置 VLAN 子接口 IP 地址 MA5200F-Ethernet1.0ip address 11.11.11.1 255.255.255.0 配置路由配置系统缺省路由。MA5200Fip route-static 0.0.0.0 0 11.11.11.17 preference 1003. PPPoE配

37、置配置虚模板接口 创建虚模板 1MA5200Finterface Virtual-Template 1 配置虚模板认证方式为 CHAP 认证 MA5200F-Virtual-Template1ppp authentication-mode chap 设置以太网接口 1 绑定虚模板 1 MA5200F-Ethernet1pppoe-server bind virtual-template 1 配置 IP 地址池 创建名为 huawei 地址池MA5200Fip pool huawei local配置 huawei 地址池的网关为 ，掩码为 255.255.0.0 。 MA5200F-ip-poo

38、l-huaweigateway 配置地址段0，地址范围为10.104100。 MA5200F-ip-pool-huaweisection 0 10.10.1.2 10.10.4.100 配置认证方案进入 AAA 配置模式 MA5200Faaa 创建一个名字为 auth1 的认证方案： MA5200F-aaaauthentication-scheme auth1 设置认证方案“ auth1 ”为 RADIUS 认证： MA5200F-aaa-authen-auth1authentication-mode local 配置计费方案创建一个名字为 acct1 的计费方案： MA5200F-aaaac

39、counting-scheme acct1 设置计费方案“ acct1 ”为 radius 计费： MA5200F-aaa-accounting-acct1accounting-mode local 查看名为 acct1 已配置的计费策略：MA5200F-aaadisplay accounting-scheme acct1 配置域新建一个名为 isp 的域 : MA5200F-aaadomain isp 将名字为 huawei 的地址池配置为新域的第一地址池 MA5200F-aaa-domain-ispip-pool first huawei 设置名为 auth1 认证方案为 ISP 域内的认

40、证方案：MA5200F-aaa-domain-ispauthentication-scheme auth1设置名为 acct1 计费方案为 ISP 域内的计费方案：MA5200F-aaa-domain-ispaccounting-scheme acct1 查看当前域的详细设置。MA5200F-aaa-domain-ispdisplay domain isp 配置端口 VLAN设置以太网接口 1，VLAN 2 下的用户为二层普通用户接入类型。 MA5200Fportvlan ethernet 1 vlan 2 MA5200F-ethernet1-1-vlan2-2access-type laye

41、r2-subscriber 设置后认证域为 isp 并强制使用该域的策略。MA5200F-ethernet1-1-vlan2-2default-domain authentication force isp 设置认证方式为 PPPoE 认证。MA5200F-ethernet1-1-vlan2-2authentication-method pppoe 配置上行口 IP 地址配置端口 1下 VLAN0 的接入类型为非管理类型。 MA5200Fportvlan ethernet 1 0 MA5200F-ethernet1-1-vlan0-0access-type interface 创建 VLAN

42、子接口：MA5200Finterface Ethernet 1.0配置 VLAN 子接口 IP 地址MA5200F-Ethernet1.0ip address 11.11.11.1 255.255.255.0 配置路由配置系统缺省路由。MA5200Fip route-static 0.0.0.0 0 11.11.11.17 preference 100二、MA5105 配置1. 配置端口工作模式 MA5105(config-LAN-0/0)#port mode <tagged-mode>tagged,untagged:tagged negotiate,non-negotiate:n

43、egotiateSet successfully.2. 配置管理 VLAN MA5105(config-LAN-0/0)#vlan 2Add VLAN successfully, VLANID = 23. 配置业务 VLAN MA5105(config-LAN-0/0)#vlan 18Add VLAN successfully, VLANID = 184. 配置下级级联的 MA5105 层数 MA5105(config-LAN-0/0)#cascade forward,number:number<num>0-3:1Set cascading number successfully.

44、5. 设置需要转发的下层设备 VLAN ID 范围MA5105(config-LAN-0/0)#cascadeforward,number:forwardvlan,all:vlan<start-vlanId>1-4095:10<end-vlanId>1-4095:25Set 16 cascading VLAN successfully.6. 设置流量模板MA5105(config)#traffic <average>64-65536:4086<index>4-20:5Adjust average bandwith to 4096.Add traf

45、fic item successfully, TID = 5.7. 建立 ADSL 到业务 VLAN 的 PVCMA5105(config)#pvcadsl,shdsl,lan:lan<FrameId/SlotId>(0)/(0):0/0untagged,tagged:tagged<vlanId>1-4095:181483b,ipoa:1483b<priority>0-7:3adsl,shdsl,lan:adsl<FrameId/SlotId/PortId>(0)/(1-2)/(1-16):0/1/7 <vpi>0-127:1<vci&g