《网络组建与互联（第2版）》-项目十四

任务1搭建公司内网实现全网通Ruijie（config-vlan）#exitRuijie（config）#hostnameL2SwitchL2Switch（config）#intfa0/1L2Switch（config-if-FastEthernet0/1）#switchportaccessvlan20L2Switch（config-if-FastEthernet0/1）#intfa0/11L2Switch（config-if-FastEthernet0/11）#switchportaccessvlan30L2Switch（config-if-FastEthernet0/11）#intfa0/24上一页下一页返回任务1搭建公司内网实现全网通L2Switch（config-if-FastEthernet0/24）#switchportmodetrunkL2Switch（config-if-FastEthernet0/24）#switchporttrunkallowedvlanall内网路由器配置：Ruijie>enRuijie#conftRuijie（config）#hostnameRouterIN上一页下一页返回任务1搭建公司内网实现全网通【步骤2】完成公司内网除无线网络部分的全网通配置，路由协议采用OSPF。汇聚交换机的配置：Ruijie>enRuijie#conft上一页下一页返回任务1搭建公司内网实现全网通Ruijie（config）#hostnameHJSwitchHJSwitch（config）#intfa0/22HJSwitch（config-if）#noswitchportHJSwitch（config-if）#ipaddHJSwitch（config-if）#shutdownHJSwitch（config-if）#noshutdownHJSwitch（config）#intfa0/1HJSwitch（config-if）#noswitchportHJSwitch（config-if）#ipadd54上一页下一页返回任务1搭建公司内网实现全网通HJSwitch（config-if）#shutdownHJSwitch（config-if）#noshutdownHJSwitch（config）#intfa0/2HJSwitch（config-if）#noswitchportHJSwitch（config-if）#ipadd54HJSwitch（config-if）#shutdownHJSwitch（config-if）#noshutdownHJSwitch（config）#intfa0/23HJSwitch（config-if）#noswitchportHJSwitch（config-if）#ipadd54上一页下一页返回任务1搭建公司内网实现全网通HJSwitch（config-if）#shutdownHJSwitch（config-if）#noshutdownHJSwitch（config-if）#exitHJSwitch（config）#routerospf1HJSwitch（config-router）#network55area0HJSwitch（config-router）#network55area0HJSwitch（config-router）#network55area0上一页下一页返回任务1搭建公司内网实现全网通HJSwitch（config-router）#network55area0HJSwitch（config-router）#network55area0内网路由器的配置：RouterIN（config）#routerospf1RouterIN（config-router）#network55area0RouterIN（config-router）#network55area0上一页下一页返回任务1搭建公司内网实现全网通RouterIN（config-router）#network55area0RouterIN#showiprouteO/24［110/2］via54，00：52：15，FastEthernet0/22O/24［110/2］via54，00：52：15，FastEthernet0/22C/24isdirectlyconnected，FastEthernet0/1C54/32islocalhost.C/24isdirectlyconnected，FastEthernet0/12C54/32islocalhost.上一页下一页返回任务1搭建公司内网实现全网通C/24isdirectlyconnected，FastEthernet0/22C/32islocalhost.C/24isdirectlyconnected，FastEthernet0/23C54/32islocalhost.O/24［110/2］via，02：22：28，FastEthernet0/1通过查看路由器的路由信息表可以发现已经完成了【步骤2】的操作要求。【步骤3】配置无线路由器，搭建无线局域网络。上一页下一页返回任务1搭建公司内网实现全网通为内网客户端4安装无线网卡驱动程序并通过无线方式接入无线网络的操作省略。在小组分工实战的过程中建议将无线路由器的SSID设置成不同的名称，比如“Stu1-Stun”。设置无线路由器端与汇聚交换机相连接的接口地址，注意此时只能使用无线路由器的WAN口，具体设置如图14-2所示。上一页返回任务2管理员首次进行防火墙设置【操作说明】在正确管理防火墙前，需要配置防火墙的管理主机、管理员账号和权限、网口上的可管理IP、防火墙管理方式。默认管理员账号为“admin”，密码为“firewall”；防火墙默认管理口为FE1口。防火墙可管理IP在FE1口上的默认地址为00/24。防火墙默认管理方式：①管理主机与FE1口连接；②用电子钥匙进行身份认证；③访问“https：//”防火墙可管理IP地址“6666”（注：若用USB电子钥匙证书进行认证，则访问“https：//”防火墙可管理IP地址“6667”）。下一页返回任务2管理员首次进行防火墙设置【工作过程2】（1）设置配置防火墙的计算机的TCP/IP参数：00/24，GW：00，如图14-3所示。（2）安装证书，双击证书所在文件夹中如图14-4所示的带钥匙的图标进行证书安装操作，出现图中的证书安装向导后按“下一步”，紧接着在图14-5所示的对话窗口从证书所在文件夹中选择要导入的“admin.p12”文件，再按“下一步”出现图14-6所示的对话窗口，在其中输入私钥密码，密码默认为“123456”。如图14-7所示设置证书存储区域，按“下一步”，即选择“根据证书类型，自动选择证书存储区（

）”。出现图14-8即表示证书导入成功。上一页下一页返回任务2管理员首次进行防火墙设置在IE浏览器中输入“https：//00：6666”，出现如图14-9所示的界面。如图14-9所示，直接按“确定”键就可以，此入也可以点击“查看证书”以了解证书的相关信息。如图14-10所示，按“是（

）”按钮继续就可以，接下来可能会出现图14-11所示的提示信息。此时选择“继续浏览此网站（不推荐）”，然后会弹出图14-11中的提示窗口，按“确定”后会出现图14-12所示的界面，输入账号“admin”、密码“firewall”，按“登录”按钮后就会打开如图14-13所示的防火墙WEB管理界面，到此首次登录防火墙就成功了。上一页下一页返回任务2管理员首次进行防火墙设置通过超级终端进入防火墙配置界面后的配置命令如下：Firewall>sysipaddfe100adminonpingontracerouteon将FE1口的IP地址设置为00/24，同时指定该接口为管理接口、允许ping和路由追踪。上一页返回任务3配置NAT以通过内网访问互联网【任务要求】设置防火墙，使公司内网中的计算机通过防火墙的NAT功能可以访问外网计算机。【工作过程3】（1）在防火墙“网络配置”的“接口IP”中新建GE1地址，如图14-15所示。（2）在防火墙“网络配置”的“接口IP”中设置GE2接口的地址，如图14-16所示。（3）各接口地址配置完成后的防火墙的接口信息如图14-17所示。下一页返回任务3配置NAT以通过内网访问互联网（4）按操作路径“对象定义→地址→NAT地址池”建设NAT地址池，如图14-18所示，公司内网中的计算机借助地址池中的公网地址转换后访问外网。（5）在防火墙中按路径“网络配置→策略路由”创建指向公司外网的策略路由，下一跳指向外网路由器的接口地址F0/0，如图14-19所示，以使防火墙学习到外网的路由信息。此处所创建的策略路由相当于一条指向外网的缺省路由，它使得防火墙能将内网需要访问外网的数据流转发出去。上一页下一页返回任务3配置NAT以通过内网访问互联网生成问题：此时检查一下内网的汇聚交换机和路由器的路由信息表，可以发现它们并没有学习到外网的路由信息（/24和/24），而且内网计算机无法ping通防火墙的内网接口GE1的地址。为了让公司内网中的计算机也能通过防火墙与外网计算机通信，需要让它们学习到外网路由信息，那应该如何操作？解决方法：如果可以在防火墙中也像在路由器或三层交换机中那样启用OSPF协议，就可以使汇聚交换机和路由器学到防火墙的路由，防火墙可以学到公司内网的路由。具体操作如下：上一页下一页返回任务3配置NAT以通过内网访问互联网按“网络配置→动态路由→OSPF设置”路径启用OSPF协议，然后分别添加网络区域和/24网段，如图14-20、图14-21和图14-22所示。启用和添加路由后的效果如图14-20所示，此时要记得重新启动。（6）在“安全策略——安全规则维护”中建NAT相应的规则，如图14-23所示，此时可以采用动态地址池的NAT或者PNAT（基于端口的地址转换方式）。如果采用PNAT，只需要将“源地址转换为”设置成“”即可。（7）添加OSPF包过滤规则，如图14-24所示。（8）添加ICMP包过滤规则，如图14-25所示。上一页下一页返回任务3配置NAT以通过内网访问互联网（9）用内网计算机ping外网计算机（/24）。通过测试，已经能使内网计算机ping通外网的计算机，但需要通过查看来更清楚地了解这是NAT地址转换的效果。按“系统监控→网络监控→实时监控”路径，点击图14-26所示的“显示符合条件的连接”，会出现转换后的信息。上一页返回任务4配置地址映射以使互联网访问指定内网信息IP映射规则是将需访问的目的IP转换为内部服务器的IP，一般用于外部网络到内部服务器的访问，内部服务器可使用保留IP地址。当管理员配置多个服务器时，就可以通过IP映射规则，实现对服务器访问的负载均衡。其一般的应用为：假设防火墙外网卡上有一个合法IP，内部有多个服务器同时提供服务，当将访问防火墙外网卡IP的访问请求转换为这一组内部服务器的IP地址时，访问请求就可以在这一组服务器内进行均衡。端口映射规则是将需访问的目的IP和目的端口转换为内部服务器的IP和服务端口，一般用于外部网络到内部服务器的访问，内部服务器可使用保留IP地址。下一页返回任务4配置地址映射以使互联网访问指定内网信息当管理员配置多个服务器时，都提供某一端口的服务，就可以通过配置端口映射规则，实现对服务器此端口访问的负载均衡。其一般的应用为：假设防火墙外网卡上有一个合法IP，内部有多个服务器同时提供服务，当将访问防火墙外网卡IP的访问请求转换为这一组内部服务器的IP地址时，访问请求就可以在这一组服务器内进行均衡。比较IP地址映射和端口映射，可以发现端口映射能更细致地控制具体的端口（服务），而IP地址映射只是针对某一IP地址（默认开放所有的端口），因此端口映射更具有安全性。【工作过程4】在防火墙中添加端口映射或者IP地址映射规则。创建端口映射，如图14-27所示上一页下一页返回任务4配置地址映射以使互联网访问指定内网信息添加完这条规则以后，读者可以在外网计算机中打开IE浏览器，并输入“http：//”，看能否访问内网的WWW服务器。关于内外网的Web服务器的安装，需要使用VMWare公司的VMWorkingStation或者VirtualBox-4.0.4-70112-Win软件，然后在该软件中安装WindowsServer2003系统虚拟机并在该虚拟机中安装IIS服务，创建一个最简单的WWW网站就可以。注意内网的Web服务器虚拟机的IP地址在本项目中应设置为/24网段的地址，在本项目中被设置