---

前言

搭建一个小型园区网络的必备技术:

• 以太网链路聚合(Eth-Trunk)
• 生成树(stp)
• 虚拟局域网(VLAN)
• 网络地址转换(NAT)
• 域名系统(DNS)
• 安全相关配置(IPSG-DHCP Snooping-ACL)

一、拓扑图

二、数据规划

数据项描述VLANACC1 VLAN 10，ACC2 VLAN 20，CORE VLAN 10 20 100Eth-TunkCORE的Eth-Trunk 1 trunk模式，Eth-Trunk 2 access模式（了解两种配置）DHCP ServerCOREip地址CORE : vlan10 10.10.10.1/24,vlan20 20.1/24，vlan100 100.1/24公网ip5.5.5.10/24公网网关5.5.5.5/24dns8.8.8.8内网接口10.10.100.2/24

---

三、设备配置

ACC1Eth-Trunk 1trunk模式，加入vlan 10，配置为LACP模式，成员接口GE0/0/1,GE0/0/2,使能DHCP snooping，配置信任接口用户端access模式，放行vlan10，配置为边缘端口，使能DHCP Snoopingvlan 10开启vlan 10的ip报文检查功能全局配置BPDU保护，使能DHCP, 全局使能DHCP snoopingACC2Eth-Trunk 1access模式，放行vlan 10，配置为LACP模式，成员接口GE0/0/1,GE0/0/2用户端access模式，放行vlan10，配置为边缘端口,使能DHCP snooping全局配置BPDU保护，使能DHCP, 全局使能DHCP snoopingCOREEth-Trunk 1trunk模式，加入vlan 10，配置为LACP模式，成员接口GE0/0/2,GE0/0/4Eth-Trunk 2access模式，放行vlan 20，配置为LACP模式，成员接口GE0/0/8,GE0/0/9vlan 1010.10.10.1/24，配置从全局地址池获取ipvlan 2010.10.20.1/24vlan 10010.10.100.1/24上行接口G0/0/1access模式，放行vlan100全局DHCP使能，静态出口路由 0.0.0.0 0 10.10.100.2全局地址池 pool 10可分配 10.10.10.0/24，部门地址10.10.10.1，dns 8.8.8.8 pc2固定ip10.10.10.88AR1接口G0/0/010.10.100.2/24G0/0/15.5.5.10/24，ACL2000和nat关联ACL 2000允许访问外网的地址全局内网到公网的静态路由，DNS地址解析功能

四.配置命令

1.配置接入层交换机ACC1

1.1 设备命名，创建VLAN

#
sysname ACC1
#
vlan batch 10
#

1.2 配置eth-trunk 1

#
interface Eth-Trunk1port link-type trunkport trunk allow-pass vlan 10mode lacp-static  #该命令功能等同于命令mode lacp
#将成员加入Eth-Trunk 1
interface GigabitEthernet0/0/1eth-trunk 1
interface GigabitEthernet0/0/2eth-trunk 1
#

1.3 配置用户端

#
interface Ethernet0/0/2port link-type accessport default vlan 10stp edged-port enable  #配置为边缘端口
#
interface Ethernet0/0/3port link-type accessport default vlan 10stp edged-port enable
#

2.配置核心层交换机CORE

2.1设备命名

#
sysname ACC1
#
vlan batch 10 20 100
#

2.2配置Eth-Trunk

#
interface Eth-Trunk1port link-type trunkport trunk allow-pass vlan 10mode lacp-static
#
interface Eth-Trunk2port link-type accessport default vlan 20mode lacp-static
#
#
interface GigabitEthernet0/0/2eth-trunk 1
interface GigabitEthernet0/0/4eth-trunk 1
lacp priority 100 #配置当前设备的LACP优先级，缺省为32768.值越小，优先级越高
#
interface GigabitEthernet0/0/8eth-trunk 2lacp priority 100  #当前接口的LACP优先级
interface GigabitEthernet0/0/9eth-trunk 2lacp priority 100
#

2.3 vlan配置ip

#
interface Vlanif10ip address 10.10.10.1 255.255.255.0
#
interface Vlanif20ip address 10.10.20.1 255.255.255.0
#
interface Vlanif100ip address 10.10.100.1 255.255.255.0
#

2.4 上行接口配置

#
interface GigabitEthernet0/0/1port link-type accessport default vlan 100
#

3.DHCP配置

3.1 CORE:

dhcp enable
# 基于全局地址池
ip pool 10gateway-list 10.10.10.1network 10.10.10.0 mask 255.255.255.0# 给PC2配置一个固定ip地址static-bind ip-address 10.10.10.88 mac-address 5489-98eb-56dbdns-list 8.8.8.8
#
ip pool 20gateway-list 10.10.20.1network 10.10.20.0 mask 255.255.255.0dns-list 8.8.8.8
#
interface Vlanif10dhcp select global
#
interface Vlanif20dhcp select global
#

4.配置路由

4.1 CORE 静态路由:

# 让内网数据可以发到出口路由器AR1
ip route-static 0.0.0.0 0.0.0.0 10.10.100.2
#

4.2 出口路由器AR1相关配置

# 静态路由
ip route-static 0.0.0.0 0.0.0.0 5.5.5.5
ip route-static 10.10.10.0 255.255.255.0 10.10.100.1
ip route-static 10.10.20.0 255.255.255.0 10.10.100.1
# 允许上网的ip和不允许
acl number 2000  rule 5 permit source 10.10.10.0 0.0.0.255  rule 10 permit source 10.10.100.0 0.0.0.255 rule 15 deny source 10.10.20.0 0.0.0.255
#接口Ip
interface GigabitEthernet0/0/0ip address 10.10.100.2 255.255.255.0 
#
interface GigabitEthernet0/0/1ip address 5.5.5.10 255.255.255.0 nat outbound 2000
#DNS地址解析dns resolve  dns server 8.8.8.8 dns proxy enable
#

5.ACC1和ACC2的DHCP Snooping配置（防止私接路由器）

#  ACC1配置举例
dhcp enable
dhcp snooping enable  #全局使能DHCP Snooping
#
interface Eth-Trunk1dhcp snooping enable #接口使能DHCP Snoopingdhcp snooping trusted  #配置为信任接口
# 连接用户端的接口
interface Ethernet0/0/2dhcp snooping enable
#
interface Ethernet0/0/3dhcp snooping enable
# 开启vlan 10报文检查功能,防止网络中仿冒源ip和MAC信息的非法用户访问
vlan 10ip source check user-bind enable

五、结尾

基础配置就这些，后面可以验证一下配置结果。

• 1.看pc能否正常通过DHCP获取Ip地址。
• 2.ping测试ping公网网关，正常是vlan 10能ping通，vlan 20不能ping通
• 3.在acc和core上dis eth-trunk + 数字 查看eth-trunk接口是否正常
• 4.dis ip routing-table 查看CORE和AR1路由表是否正常
• 5.dis ip pool name + 数字 查看CORE对应地址池使用信息
• 6.dis vlan 查看vlan的配置是否正确