ACL-NAT-VLAN-DHCP综合实验配置

ACL-NAT-VLAN-DHCP综合实验配置

实验拓扑图：



实验目的：

（一）禁止pc3上网，其他局域网内主机不受影响

（二）使局域网内所有主机都能上网。(只有一个公网地址)

（三）局域网内主机ip地址自动获取。

（四）r1提供单臂路由和dhcp功能，实现vlan间通信

结合上面的要求，要让所有主机都能上网，并只有一个公网地址，所以要用NAT，因为要禁止pc3上网，要配置ACL，因为所有主机的ip地址是从dhcp自动获取，所以限制pc3不能基于ip地址（如果是静态分配的地址，那pc3也可以更改ip地址），可以划分vlan来实现。

因为要禁止pc3，所以把pc3单独放到vlan2里。然后禁止vlan2所有成员也就禁止了pc3，就算pc3更改ip地址也不能上网。

基本信息配置（略）

r1(config)#in f0/0

r1(config-if)#no ip add //主接口不能有ip地址

r1(config-if)#no shut //主接口必须激活,否则子接口不能激活

r1(config-if)#in f0/0.1 //进入子接口

r1(config-subif)#encapsulation dot1Q 1 //封装类型为dot1q并给vlan1使用

r1(config-subif)#ip add 192.168.1.1 255.255.255.0 //配ip地址，也是vlan的网关地址

r1(config-subif)#no shut //激活子接口

r1(config-subif)#in f0/0.2

r1(config-subif)#encapsulation dot1Q 2 //封装类型为dot1q并给vlan2使用

r1(config-subif)#ip add 192.168.2.1 255.255.255.0

r1(config-subif)#no shut

r1(config-subif)#in f0/0.3

r1(config-subif)#encapsulation d 3 //封装类型为dot1q并给vlan3使用

r1(config-subif)#ip add 192.168.3.1 255.255.255.0

r1(config-subif)#no shut

r1(config-subif)#exi
r1(config)#ip dhcp pool v1 //建一个名为v1的ip地址池

r1(dhcp-config)#network 192.168.1.0 /24 //要分配的ip地址池

r1(dhcp-config)#default-router 192.168.1.1 //网关地址

r1(dhcp-config)#lease 4 //租约为4天

r1(dhcp-config)#exi

r1(config)#ip dhcp pool v2

r1(dhcp-config)#netw 192.168.2.0 /25

r1(dhcp-config)#default-router 192.168.2.1

r1(dhcp-config)#lease 4

r1(dhcp-config)#exi

r1(config)#ip dhcp pool v3

r1(dhcp-config)#netw 192.168.3.0 /24

r1(dhcp-config)#default-router 192.168.3.1

r1(dhcp-config)#lease 4

r1(dhcp-config)#exi

r1(config)#ip dhcp excluded-address 192.168.1.1 //指定不分发的ip地址

r1(config)#ip dhcp excluded-address 192.168.2.1

r1(config)#ip dhcp excluded-address 192.168.3.1

vlan划分规划：vlan1（sw1和sw3）vlan2（pc3）vlan3（pc2和pc4）

sw1(config)#in vlan 1

sw1(config-if)#ip add dhcp //ip地址从dhcp获取

sw1(config-if)#exi

sw1(config)#vlan 2 //新建vlan2

sw1(config-vlan)#name v2 //给vlan2取名

sw1(config-vlan)#vlan 3

sw1(config-vlan)#name v3

sw1(config-vlan)#exi

sw1(config)#in f1/2

sw1(config-if)#switchport mode access //接口模式设为访问端口

sw1(config-if)#switchport access vlan 3 //接口加入vlan 3

sw1(config-if)#exi

sw1(config)#in f1/0

sw1(config-if)#swi m trunk //接口模式为中继端口

sw1(config-if)#swi t en d //封装类型为dot1q

sw1(config-if)#exi

sw1(config)#in f1/15

sw1(config-if)#swi m t

sw1(config-if)#swi t en d //必须和对端的封装类型一样

sw1(config-if)#exi

sw1(config)#vtp m server //vtp服务端

sw1(config)#vtp domain sw //vtp域名

sw1(config)#vtp pass abc //vtp密码

sw1(config)#vtp pruning //vtp修剪

sw2(config)#in f1/15

sw2(config-if)#swi m t

sw2(config-if)#swi t en d

sw2(config-if)#exi

sw2(config)#in vlan 1

sw2(config-if)#ip add dhcp

sw2(config-if)#exi

sw2(config)#vtp m c

sw2(config)#vtp domain sw

sw2(config)#vtp pass abc

sw2(config)#vtp pru
sw2(config)#in f1/1

sw2(config-if)#swi m a

sw2(config-if)#swi a v 3

sw2(config-if)#exi

sw2(config)#in f1/0

sw2(config-if)#swi m a

sw2(config-if)#swi a v 2

sw2(config-if)#exi

所有pc的配置一样，如下：

pc2(config)#in f0/0

pc2(config-if)#ip add dhcp //从dhcp获取

pc2(config-if)#no shut

pc2(config-if)#exi

测试：

pc2(config)#do p 192.168.3.3
Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.3.3, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/26/64 ms
pc2(config)#do p 192.168.2.2
Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.2.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/41/76 ms
相同vlan间能通信，不同vlan间也能通信。

r1(config)#in s1/0

r1(config-if)#ip add 219.146.0.1 255.255.255.0

r1(config-if)#no shut

r1(config-if)#exi
r2(config)#in s1/0

r2(config-if)#ip add 219.146.0.2 255.255.255.0

r2(config-if)#no shut

r2(config-if)#exi

测试pc2和外网的连通性：

pc2(config)#do p 219.146.0.2
Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

不能通信，因为路由没有私有地址的路由表

r1(config)#access-list 10 permit 192.168.1.0 0.0.0.255 //新建列表10，允许192.168.1.0网段的地址

r1(config)#access-list 10 permit 192.168.2.0 0.0.0.255 //添加列表10的项。允许192.168.2.0网段的地址

r1(config)#access-list 10 permit 192.168.3.0 0.0.0.255 //添加列表10的项。允许192.168.3.0网段的地址

r1(config)#in s1/0

r1(config-if)#ip nat out //标记为外部接口

r1(config-if)#in f0/0.1 //必须进入子接口，应用在主接口上没有作用

r1(config-subif)#ip nat in //标记为内部接口

r1(config-subif)#in f0/0.2

r1(config-subif)#ip nat in

r1(config-subif)#in f0/0.3

r1(config-subif)#ip nat in

r1(config-subif)#exi

测试：

r1(config)#ip nat inside source list 10 interface s1/0 overload
pc2(config)#do p 219.146.0.2
Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 60/113/188 ms

pc3(config)#do p 219.146.0.2
Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 28/65/148 ms
现在所有内网主机都能和外网通信。

现在要禁止pc3的上网服务，这里以telnet为例：
r1(config)#access-list 110 deny tcp 192.168.2.0 0.0.0.255 any eq telnet //拒绝192.168.2.0网段的主机和任何人telnet。

r1(config)#access-list 110 permit ip a a //允许所有人的所有服务
r1(config)#in f0/0.2

r1(config-subif)#ip access-group 110 in //必须在子接口应用

r1(config-subif)#exi

测试：
pc3(config)#do telnet 219.146.0.2

Trying 219.146.0.2 ...

% Destination unreachable; gateway or host down
已经不能telnet，测试一下其他服务：
pc3(config)#do p 219.146.0.2
Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 20/113/220 ms
可以，说明已经做成功了。
再测试一下其他主机：
pc2(config)#do telnet 219.146.0.2

Trying 219.146.0.2 ... Open

User Access Verification
Password:

r2>

r2>

r2>exi
[Connection to 219.146.0.2 closed by foreign host]
没问题。实验完成。

常用调试命令：

show vtp status: 查看vtp状态

show vlan-switch brief 查看vlan信息

show ip access-lists 查看ip访问列表

show access-lists 查看所有访问列表

show ip nat translations 查看所有活动的转换条目

show ip nat statisics 查看所有静态转换条目

clear ip nat translation * 清除所有动态的转换条目