路由交换笔记（28）--ACL-NAT-VLAN-DHCP综合实验配置

ACL-NAT-VLAN-DHCP综合实验配置

实验拓扑图：



实验目的：
（一）禁止pc3上网，其他局域网内主机不受影响
（二）使局域网内所有主机都能上网。(只有一个公网地址)
（三）局域网内主机ip地址自动获取。
（四）r1提供单臂路由和dhcp功能，实现vlan间通信

结合上面的要求，要让所有主机都能上网，并只有一个公网地址，所以要用NAT，因为要禁止pc3上网，要配置ACL，因为所有主机的ip地址是从dhcp自动获取，所以限制pc3不能基于ip地址（如果是静态分配的地址，那pc3也可以更改ip地址），可以划分vlan来实现。

因为要禁止pc3，所以把pc3单独放到vlan2里。然后禁止vlan2所有成员也就禁止了pc3，就算pc3更改ip地址也不能上网。

基本信息配置（略）

r1(config)#in f0/0
r1(config-if)#no ip add //主接口不能有ip地址
r1(config-if)#no shut //主接口必须激活,否则子接口不能激活
r1(config-if)#in f0/0.1 //进入子接口
r1(config-subif)#encapsulation dot1Q 1 //封装类型为dot1q并给vlan1使用
r1(config-subif)#ip add 192.168.1.1 255.255.255.0 //配ip地址，也是vlan的网关地址
r1(config-subif)#no shut //激活子接口
r1(config-subif)#in f0/0.2
r1(config-subif)#encapsulation dot1Q 2 //封装类型为dot1q并给vlan2使用
r1(config-subif)#ip add 192.168.2.1 255.255.255.0
r1(config-subif)#no shut
r1(config-subif)#in f0/0.3
r1(config-subif)#encapsulation d 3 //封装类型为dot1q并给vlan3使用
r1(config-subif)#ip add 192.168.3.1 255.255.255.0
r1(config-subif)#no shut
r1(config-subif)#exi
r1(config)#ip dhcp pool v1 //建一个名为v1的ip地址池
r1(dhcp-config)#network 192.168.1.0 /24 //要分配的ip地址池
r1(dhcp-config)#default-router 192.168.1.1 //网关地址
r1(dhcp-config)#lease 4 //租约为4天
r1(dhcp-config)#exi
r1(config)#ip dhcp pool v2
r1(dhcp-config)#netw 192.168.2.0 /25
r1(dhcp-config)#default-router 192.168.2.1
r1(dhcp-config)#lease 4
r1(dhcp-config)#exi
r1(config)#ip dhcp pool v3
r1(dhcp-config)#netw 192.168.3.0 /24
r1(dhcp-config)#default-router 192.168.3.1
r1(dhcp-config)#lease 4
r1(dhcp-config)#exi
r1(config)#ip dhcp excluded-address 192.168.1.1 //指定不分发的ip地址
r1(config)#ip dhcp excluded-address 192.168.2.1
r1(config)#ip dhcp excluded-address 192.168.3.1

vlan划分规划：vlan1（sw1和sw3）vlan2（pc3）vlan3（pc2和pc4）

sw1(config)#in vlan 1
sw1(config-if)#ip add dhcp //ip地址从dhcp获取
sw1(config-if)#exi
sw1(config)#vlan 2 //新建vlan2
sw1(config-vlan)#name v2 //给vlan2取名
sw1(config-vlan)#vlan 3
sw1(config-vlan)#name v3
sw1(config-vlan)#exi
sw1(config)#in f1/2
sw1(config-if)#switchport mode access //接口模式设为访问端口
sw1(config-if)#switchport access vlan 3 //接口加入vlan 3
sw1(config-if)#exi
sw1(config)#in f1/0
sw1(config-if)#swi m trunk //接口模式为中继端口
sw1(config-if)#swi t en d //封装类型为dot1q
sw1(config-if)#exi
sw1(config)#in f1/15
sw1(config-if)#swi m t
sw1(config-if)#swi t en d //必须和对端的封装类型一样
sw1(config-if)#exi
sw1(config)#vtp m server //vtp服务端
sw1(config)#vtp domain sw //vtp域名
sw1(config)#vtp pass abc //vtp密码
sw1(config)#vtp pruning //vtp修剪

sw2(config)#in f1/15
sw2(config-if)#swi m t
sw2(config-if)#swi t en d
sw2(config-if)#exi
sw2(config)#in vlan 1
sw2(config-if)#ip add dhcp
sw2(config-if)#exi
sw2(config)#vtp m c
sw2(config)#vtp domain sw
sw2(config)#vtp pass abc
sw2(config)#vtp pru
sw2(config)#in f1/1
sw2(config-if)#swi m a
sw2(config-if)#swi a v 3
sw2(config-if)#exi
sw2(config)#in f1/0
sw2(config-if)#swi m a
sw2(config-if)#swi a v 2
sw2(config-if)#exi

所有pc的配置一样，如下：
pc2(config)#in f0/0
pc2(config-if)#ip add dhcp //从dhcp获取
pc2(config-if)#no shut
pc2(config-if)#exi

测试：
pc2(config)#do p 192.168.3.3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.3.3, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/26/64 ms
pc2(config)#do p 192.168.2.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.2.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/41/76 ms
相同vlan间能通信，不同vlan间也能通信。

r1(config)#in s1/0
r1(config-if)#ip add 219.146.0.1 255.255.255.0
r1(config-if)#no shut
r1(config-if)#exi
r2(config)#in s1/0
r2(config-if)#ip add 219.146.0.2 255.255.255.0
r2(config-if)#no shut
r2(config-if)#exi

测试pc2和外网的连通性：
pc2(config)#do p 219.146.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

不能通信，因为路由没有私有地址的路由表

r1(config)#access-list 10 permit 192.168.1.0 0.0.0.255 //新建列表10，允许192.168.1.0网段的地址
r1(config)#access-list 10 permit 192.168.2.0 0.0.0.255 //添加列表10的项。允许192.168.2.0网段的地址
r1(config)#access-list 10 permit 192.168.3.0 0.0.0.255 //添加列表10的项。允许192.168.3.0网段的地址

r1(config)#in s1/0
r1(config-if)#ip nat out //标记为外部接口
r1(config-if)#in f0/0.1 //必须进入子接口，应用在主接口上没有作用
r1(config-subif)#ip nat in //标记为内部接口
r1(config-subif)#in f0/0.2
r1(config-subif)#ip nat in
r1(config-subif)#in f0/0.3
r1(config-subif)#ip nat in
r1(config-subif)#exi

测试：
r1(config)#ip nat inside source list 10 interface s1/0 overload
pc2(config)#do p 219.146.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 60/113/188 ms

pc3(config)#do p 219.146.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/65/148 ms
现在所有内网主机都能和外网通信。

现在要禁止pc3的上网服务，这里以telnet为例：
r1(config)#access-list 110 deny tcp 192.168.2.0 0.0.0.255 any eq telnet //拒绝192.168.2.0网段的主机和任何人telnet。
r1(config)#access-list 110 permit ip a a //允许所有人的所有服务
r1(config)#in f0/0.2
r1(config-subif)#ip access-group 110 in //必须在子接口应用
r1(config-subif)#exi

测试：
pc3(config)#do telnet 219.146.0.2
Trying 219.146.0.2 ...
% Destination unreachable; gateway or host down
已经不能telnet，测试一下其他服务：
pc3(config)#do p 219.146.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 219.146.0.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/113/220 ms
可以，说明已经做成功了。
再测试一下其他主机：
pc2(config)#do telnet 219.146.0.2
Trying 219.146.0.2 ... Open

User Access Verification
Password:
r2>
r2>
r2>exi
[Connection to 219.146.0.2 closed by foreign host]
没问题。实验完成。

常用调试命令：
show vtp status: 查看vtp状态
show vlan-switch brief 查看vlan信息
show ip access-lists 查看ip访问列表
show access-lists 查看所有访问列表
show ip nat translations 查看所有活动的转换条目
show ip nat statisics 查看所有静态转换条目
clear ip nat translation * 清除所有动态的转换条目