交换机配置：三层核心+防火墙
楼层交换机及安全防火墙详细配置及技术要求
楼层交换机及安全防火墙详细配置及技术要求一、楼层交换机及安全防火墙等设备名称及数量二、技术规格需求1、接入交换机技术规格要求2、防火墙技术规格要求三、验收标准1、中标人应按采购方的指令，按批次将一套或多套设备运送至采购方指定的场地。
2、设备验收：设备及配件到场，按投标书要求由中标人提供设备清单，采购方根据投标书及设备清单对到场设备及配件的名称、型号、规格、数量等进行清点，并签字验收。
如不符合投标书要求，采购方不予签字验收，违约责任按中标合同相关条款执行。
3、项目验收：中标人完成设备的的安装、调试、开通、及人员培训，由中标人提供验收报告，交由采购方签字验收。
如不符合投标书要求，采购方不予签字验收，违约责任按中标合同相关条款执行。
4、如项目实施过程中无法按用户要求作出相应功能或服务的，或是按用户要求提交相关资料的，我方将拒绝或推迟验收。
四、售后服务需求1、免费保修期：防火墙设备提供壹年原厂售后服务，其他货物免费质保期壹年，时间自最终验收合格并交付使用之日起计算。
2、原厂服务：投标时提供防火墙设备原厂针对本项目的售后服务承诺函原件复印件，原件备查。
要求原厂质保的产品需能在厂商官网查询到该货物属于我单位的质保信息。
3、维修响应及故障解决时间：在保修期内，一旦发生质量问题，投标人保证在接到通知4小时内赶到现场进行修理或更换。
4、其他：投标人应按其投标文件中的承诺，进行其他售后服务工作。
5、培训要求：运维期限内需安排主要设备的原厂工程师为我方培训不少于四名的网络管理员，要求经过培训后网络管理员能够熟悉我单位业务系统，能够排除简单系统故障；6、驻场要求：用户方业务部署安装时，要求中标单位安排原厂网络工程师1-3人提供现场技术支持。
五、交货期投标人应在合同签订之日起20个日历日内完成全部设备交付，并按我方要求安装部署到位，方可通过验收。
六、投标人资格要求1、投标人必须是在中华人民共和国境内注册的具有合法经营资格的独立法人；2、投标人必须具有符合本项目要求的营业范围，提供证明文件；3、在政府集中采购招标项目中最近三年内无骗取中标、严重违约及重大质量问题之任何一项不良记录；4、投标人投标时必须提供防火墙设备厂商提供的针对本项目的原厂售后服务承诺函；5、本项目不接受联合体投标；6、提供（2015年度）国税或地税纳税证明材料。
两层三层交换机基本配置
两层三层交换机基本配置具有两层三层交换功能的交换机都是可管理的，在工程实施管理等方面它们起着重要的作用，目前我们在工程中用到的基本上都是具有两层三层交换能力的交换机。
一般我们把拥有三层交换的交换机作为核心交换机——起路由功能作为路由器使用，两层交换机主要用来实现工程需求的各个功能。
在工程中我们用到的交换设备主要是华为和思科的设备。
两层设备如华为的2403，Cisco的2950；三层设备如华为的3552，Cisco的3550。
下面我们简单的介绍一下这些设备的基本配置步骤和方法。
我们假设所有的两层三层智能交换设备在同一个局域网内，并且三层交换设备都做为核心路由设备，两层交换设备都作为可管理设备，并且局域网地址位启用192.168.*.*私有地址，根据习惯我们用vlan64作为设备管理vl an，其段地址相应的用192.168.64.*，其中核心路由设备地址我们用192.168.64.254，其余智能交换设备从192.168.64.230开始依次向后用，如果不够则再从230依次向前推。
核心交换设备的出口出在局域网防火墙的LAN（或者insi de）口上，根据习惯我们给局域网的LAN（或者insi de）配置端口地址是：192.168.64.253 netmask255.255.255.0，W AN（或者outsi de）配置端口地址为172.19.2.253 netmask 255.255.255.128，其外部最近的一跳路由地址为172.19.2.254，DMZ区配置端口地址为172.19.2.1 netmask 255.255.255.128。
以下的所有示例都基于以上的假设配置环境。
一：Cisco系列无论是两层还是三层设备，其基本配置步骤是一样的。
一步一步教你配置硬件防火墙
Dmz Int •192.168.1.1 •172.16.1.1
中兴防火墙） 端口映射策略截图（中兴防火墙）
允许从外网访问映射的服务
防火墙配置使用技巧
1 、单独配置一个接口做管理口 2 、只允许可管理 IP能直接访问防火墙 3 、VPN和阻止策略放在最前面 4、尽量定义一组对象并对组做策略 5 、监控防火墙的CPU及内存使用率、连接数是否有 异常，熟悉并利用防火墙的各类日志信息进行相应 管理 6 、对配置经常备份
防火墙（双机） DMZ区 区 外部服务器 (AM、电子 商务等) SDH专线 防火墙 核心三层交换机 路由器 路由器 三层交换机
一级骨干网络； 二级内部网络； 三级内部网络； 四级内部网络。
防火墙/VPN
防火墙 VPN
防火墙 VPN
双核心交换机冗 余
VPN
三层交换机
汇聚层交换机
双三层交换机冗 余
汇聚层交换机
终端
应用服务器
终端
应用服务器
终端
应用服务器
集团总部
二级公司
三级公司
• 1、连接防火墙（consol口或默认IP） • 2、设置防火墙内、外网接口IP • 3、配置路由 默认路由:电信或网通提供的网关IP 内网路由：内网三层接口IP
防火墙的管理:接口IP
防火墙的管理：配置路由
默认路由、静态路由、动态路由
一步一步配置 硬件防火墙
集团信息技术总部 2009年9月 年 月 苏亮
提纲
• 防火墙的配置准备(位置、接口IP、路由) • 防火墙的NAT策略
NAT上网、时间限制、服务限制、连接数限制、带 宽限制……..
• 防火墙的端口映射 备注：主要是中兴防火墙配置
防火墙的配置准备
防火墙以透明模式部署到路由器和三层交换机之间
H3C防火墙F1060透明模式部署到路由器和三层核心交换机之间如图，给路由器R1配置管理地址为192.168.33.1，三层核心交换机SW1管理地址为192.168.33.254，且开启DHCP服务，为PC1和PC2提供IP地址；防火墙F1以透明模式部署到路由器R1和三层交换机SW1之间。
下面是各个设备的配置过程。
一．首先我们配置三层交换机和与三层交换机相连的接入交换机，配置步骤如下：1.启动三层核心交换机SW1，接着启动命令行终端：<H3C>sysSystem View: return to User View with Ctrl+Z.[H3C]vlan 31 to 33[H3C]dhcp enable 开启DHCP服务[H3C]dhcp server ip-pool vlan31pool 创建DHCP地址池并命名[H3C-dhcp-pool-vlan31pool]network 192.168.31.0 mask 255.255.255.0 设置DCHP地址池[H3C-dhcp-pool-vlan31pool]gateway-list 192.168.31.254 设置网关地址[H3C-dhcp-pool-vlan31pool]dns-list 114.114.114.114 180.76.76.76 设置DNS地址[H3C-dhcp-pool-vlan31pool]quit[H3C]dhcp server ip-pool vlan32pool[H3C-dhcp-pool-vlan32pool]network 192.168.32.0 mask 255.255.255.0[H3C-dhcp-pool-vlan32pool]gateway-list 192.168.32.254[H3C-dhcp-pool-vlan32pool]dns-list 114.114.114.114 180.78.76.76[H3C-dhcp-pool-vlan32pool]quit[H3C]int vlan 31[H3C-Vlan-interface31]ip address 192.168.31.254 24[H3C-Vlan-interface31]dhcp select server 设置DHCP模式为server[H3C-Vlan-interface31]dhcp server apply ip-pool vlan31pool 指定应用的地址池[H3C-Vlan-interface31]quit[H3C]int vlan 32[H3C-Vlan-interface32]ip address 192.168.32.254 24[H3C-Vlan-interface32]dhcp select server[H3C-Vlan-interface32]dhcp server apply ip-pool vlan32pool[H3C-Vlan-interface32]quit[H3C]int g1/0/3[H3C-GigabitEthernet1/0/3]port link-type access[H3C-GigabitEthernet1/0/3]port access vlan 33[H3C-GigabitEthernet1/0/3]quit[H3C]int vlan 33[H3C-Vlan-interface33]ip address 192.168.33.254 24[H3C-Vlan-interface33]quit[H3C]int g1/0/1[H3C-GigabitEthernet1/0/1]port link-type trunk[H3C-GigabitEthernet1/0/1]port trunk permit vlan all[H3C-GigabitEthernet1/0/1]undo port trunk permit vlan 1[H3C-GigabitEthernet1/0/1]quit[H3C]int g1/0/2[H3C-GigabitEthernet1/0/2]port link-type trunk[H3C-GigabitEthernet1/0/2]port trunk permit vlan all[H3C-GigabitEthernet1/0/2]undo port trunk permit vlan 1[H3C-GigabitEthernet1/0/2]quit在三层交换机SW1上建立用户admin，并设置密码，用作远程登陆和web登陆。
三层交换机防火墙ACL设置
1.4 实验要求
在交换机A和交换机B上分别划分两个基于 端口的VLAN: VLAN100,VLAN200.
交换机A端口1设置成Trnuk口：
VLAN 100 200 Trunk IP 192.168.100.1 192.1689.200.1 Mask 255.255.255.0 255.255.255.0 1
1.2实验目的
1. 了解什么是标准的ACI； 2．了解标准ACL不同的实现方法。
1.3实验环境
ACL(Access Control List)是交换机实现的一 种数据包过滤机制，通过允许或拒绝特定的数据包进 出网络，交换机可以对网络访问进行控制，有效保障 网络的安全运行。用户可以基于报文中的特定信息制 定一组规则（rule）,每条规则都描述了对匹配了一定 信息的数据包所采取的动作：允许通过（permit）或 拒绝通过（deny）。用户可以把这些规则应用到特定 交换机的入口或出口方向，这样特定端口上特定方向 的数据流就必须依照指定的ACL规则进出交换机。通 过ACL，可以限制某个IP地址的PC或者某些网段的的 pc的上网活动。用于网络管理。
2. 研究方法
2.1 实验设备 2.2 实验拓扑 2.3 实验步骤
2.1实验设备
1．DCRS-7604或6804或5526S）交换机1台 2．DCRS-3926 S交换机1台 3．PC机2台 4．Console线1-2根 5．直通网线若干
2.2 实验拓扑
第一步：交换机全部恢复出厂设置，在交换机中 创建vlan100和vlan200，并添加端口
2.3 实验步骤
第二步：设置交换机Truck口 交换机B：
交换机A：
第三步：交换机A添加vlan地址。
第三步：交换机A添加vlan地址。 第四步：不配制ACL验证实验
园区出口配置举例(防火墙旁路)
1 大型园区出口配置示例（防火墙旁路部署）1.1 配置注意事项●本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为例、路由器以NE系列为例。
●本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“大型园区组网场景”。
●本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。
防火墙上的安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请参见《防火墙配置案例集》。
●本例仅涉及园区出口路由器与交换机的对接配置。
路由器在公网侧的配置示例请参见NE系列路由器《配置指南》。
1.2 组网需求在大型园区出口，核心交换机上行通过路由器访问外网。
防火墙旁挂于核心交换机，对业务流量提供安全过滤功能。
为了简化网络并提高可靠性，在核心层交换机通常部署集群。
在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一台。
核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。
为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台防火墙之间均通过Eth-Trunk互连。
如下图所示。
图1-1园区出口组网图（防火墙旁挂，双机热备）在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过FW1或FW2。
当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和根交换机Public。
Public作为连接出口路由器的交换机。
对于下行流量，它将外网进来的流量转发给FW 进行检测；对于上行流量，它接收经FW检测后的流量，并转发到路由器。
VRF-A作为连接内网侧的交换机。
对于下行流量，它接收经FW检测后的流量，并转发到内网；对于上行流量，它将内网的流量转发到FW去检测。
根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。
基于三层交换机做防火墙的校园网配置
基于三层交换机做防火墙的校园网配置江玉俭（大连广播电视大学旅顺分校辽宁大连１１６０４１）摘要：关键词：中图分类号：ＴＰ３文献标识码：Ａ文章编号：１６７１－７５９７（２０１２）０５１０１４７－０１三层交换机技术是近年来新兴的路由技术，将在今后主宰局域网已成为不争的事实。
阐述我校校园网拓扑结构中，使用三层交换机充当防火墙仅用来保护隔离区（ＤＭＺ）中的服务器群，以免受到来自Ｉｎｔｅｒｎｅｔ和校园内网的攻击。
三层交换机；防火墙；控制列表随着我国企业网、校园网以及宽带建设的迅速发展，网络安全问题日益突显。
防火墙通过它对数据包进行过滤，保护着网络的安全。
大型网络必须使用防火墙，但千兆专业防火墙价格昂贵，基于建设成本考虑，我校校园网采用交换机来充当防火墙，通过配置三层交换机的访问控制列表来达到防火墙的功能。
局域网发展到了千兆以太网，而网络结构却仍使用共享局域网，网络速度受到很大的制约，近年来采用的交换局域网则是以链路层帧为数据交换单位，允许多个结点同时进行通信，每个结点可以独占传输通道和带宽，很好地解决了第一层和第二层的速度问题。
从而解决了共享型以太网的制约速度问题。
但以往的路由器技术并没有随着信息传输量的增大而提高，再也不能满足对高速度的需求，由此便产生了三层交换技术的概念。
什么是三层交换技术呢？要理解这个技术必须从认识ＯＳＩ（开放系统互联模型）开始。
ＯＳＩ即开放系统互联模型，把网络系统从低到高分成七层：物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。
这里我们只需要介绍底三层。
物理层：物理层规范是有关传输介质的特性标准，是进行数据传输的基础，由硬件构成。
调制解调器和集线器都属于物理层的网络设备。
数据链路层：数据链路层定义了在单个链路上如何传输数据，提供的数据连路控制和差错校验功能，将不可靠的物理链路变成可靠的数据链路。
以往的交换机是数据链路层的网络设，它只能连接同一个子网的微机，如果ＩＰ地址不在同一个子网中则只依靠交换机不能实现通信，还需要第三层中的路由器。
交换机路由防火墙配置实例
在网络中，防火墙、交换机和路由器通常是网络安全的重要组成部分。
以下是一个简单的示例，演示如何配置一个具有防火墙功能的路由器和交换机。
请注意，实际配置可能会根据您的网络架构和设备型号而有所不同。
设备列表：路由器：使用Cisco设备作为示例，实际上可以是其他厂商的路由器。
路由器IP地址：192.168.1.1交换机：同样，使用Cisco设备作为示例。
交换机IP地址：192.168.1.2防火墙规则：允许内部网络向外部网络发出的通信。
阻止外部网络对内部网络的未经请求的通信。
配置示例：1. 配置路由器：Router(config)# interface GigabitEthernet0/0Router(config-if)# ip address 192.168.1.1 255.255.255.0Router(config-if)# no shutdownRouter(config)# interface GigabitEthernet0/1Router(config-if)# ip address [外部IP地址] [外部子网掩码]Router(config-if)# no shutdownRouter(config)# ip route 0.0.0.0 0.0.0.0 [外部网关]2. 配置防火墙规则：Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 anyRouter(config)# access-list 101 deny ip any 192.168.1.0 0.0.0.255Router(config)# access-list 101 permit ip any anyRouter(config)# interface GigabitEthernet0/1Router(config-if)# ip access-group 101 in3. 配置交换机：Switch(config)# interface Vlan1Switch(config-if)# ip address 192.168.1.2 255.255.255.0Switch(config-if)# no shutdown配置说明：路由器通过两个接口连接内部网络（192.168.1.0/24）和外部网络。
三层交换机配置教程
三层交换机配置教程三层交换机是一种具有路由功能的交换机，可以实现不同网段之间的互联。
下面是三层交换机配置教程：1. 连接三层交换机：首先，将三层交换机与其他设备（如路由器或防火墙）进行连接，可以使用网线将它们连接起来。
确保连接的端口是正确的并且连接松紧适中。
2. 访问三层交换机：使用终端或电脑连接到三层交换机的管理端口。
通常，可以通过SSH或Telnet协议访问交换机的管理接口。
3. 进入交换机的命令行界面：成功连接到三层交换机后，输入正确的用户名和密码，进入交换机的命令行界面。
用户名和密码通常是事先设置好的。
4. 设置主机名：在交换机命令行界面中，使用命令"hostname [名称]"来设置交换机的主机名。
主机名可以是任何你喜欢的名称，但通常建议使用简洁的描述性名称。
5. 配置IP地址：使用命令"interface [接口号]"进入交换机的接口配置模式。
然后，使用"ip address [IP地址] [子网掩码]"命令为每个接口设置IP地址和子网掩码。
确保IP地址和子网掩码与网络规划一致。
6. 启用接口：为了使接口生效，使用"no shutdown"命令启用每个接口。
这将使接口进入工作状态。
7. 配置路由：三层交换机可以实现不同网段之间的路由功能。
为了配置路由，使用"ip route [目标网络] [目标子网掩码] [下一跳地址]"命令。
这将指定该网络的下一跳地址。
可以添加多个路由以实现完整的路由表。
8. 保存配置：确认完成配置后，使用命令"copy running-config startup-config"保存配置。
这将保存当前正在运行的配置为交换机的启动配置，以便在重新启动后仍然有效。
以上就是三层交换机配置的基本步骤。
根据实际需求，还可以进行更复杂的配置，如VLAN划分、安全设置、负载均衡等。
三层交换机与防火墙对接上网
三层交换机与防火墙对接上网
防火墙的配置步骤（共5步） 第五步：配置NAT功能。
[USG] nat address-group 1 200.0.0.2 200.0.0.2 [USG] nat-policy interzone trust untrust outbound [USG-nat-policy-interzone-trust-untrust-outbound] policy 1 [USG-nat-policy-interzone-trust-untrust-outbound-1] [USG-nat-policy-interzone-trust-untrust-outbound-1] action source-nat [USG-nat-policy-interzone-trust-untrust-outbound-1] address-group 1 [USG-nat-policy-interzone-trust-untrust-outbound-1] quit [USGБайду номын сангаасnat-policy-interzone-trust-untrust-outbound] quit
三层交换机 与防火墙对 接上网
上机演示。
第二步：配置连接公网的接口对应的IP地址。
[USG] interface gigabitethernet0/0/2 [USG-GigabitEthernet0/0/2] [USG-GigabitEthernet0/0/2] quit
第三步：配置缺省路由和回程路由。
[USG] [USG]
三层交换机与防火墙对接上网
三层交换机与防火墙对接上网
交换机的配置步骤（共4步） 配置连接防火墙的接口和对应的VLANIF接口。 [Switch] vlan batch 100 [Switch] interface gigabitethernet0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 100 [Switch-GigabitEthernet0/0/1] quit [Switch] interface vlanif 100 [Switch-Vlanif100] ip address 192.168.100.2 24 [Switch-Vlanif100] quit
三层交换机与防火墙对接上网
使用光纤传输介质，通过光模块 和光纤跳线将三层交换机与防火 墙连接起来，提高数据传输的稳 定性和安全性。
配置文件对接方式
静态配置
在三层交换机和防火墙的配置文件中， 手动指定对方的IP地址、子网掩码等 信息，实现网络层面的对接。
动态配置
通过动态主机配置协议（DHCP）或 网络地址转换（NAT）等方式，自动 获取对方的网络参数，简化配置过程。
配置路由
在三层交换机上配置相应的路由信息，将特定VLAN的数据流量正确导向至防火墙设备， 以便进行安全过滤和转发。
数据传输控制
根据实际需求，在防火墙设备上配置相应的数据传输控制规则，如带宽限制、流量整形等 ，以确保网络数据传输的稳定性和安全性。同时，根据三层交换机和防火墙设备的实际性 能和网络规模，进行合理的设备性能调优和负载均衡配置。
配置防火墙的IP地址
为防火墙设备配置一个合理的IP地址，确 保该IP地址在所在网络的可用范围内。
VS
定义安全策略
根据网络安全需求，在防火墙设备上定义 相应的安全策略，如访问控制列表（ACL） 等，以实现网络流量的过滤和管控。
实现三层交换机与防火墙的数据传输控制
连接设备端口
使用合适的线缆将三层交换机的LAN口与防火墙的WAN口连接起来，确保物理连接畅通 。
入侵检测与防御（IDS/IPS）策略
总结词
IDS/IPS策略用于检测和防御网络攻击，是 三层交换机与防火墙对接上网的重要安全措 施之一。
详细描述
IDS/IPS设备可以实时监控网络流量和行为 ，检测并防御各种网络攻击，如拒绝服务攻 击、恶意软件感染、端口扫描等。通过配置 IDS/IPS策略，可以及时发现并处理网络攻 击，减少潜在的安全风险，保护网络安全稳
网络设备配置与管理：路由器、交换机与防火墙
• 监控网络流量
02
路由器配置与管理
路由器的硬件与软件结构
硬件结构
软件结构
• 处理器：负责数据处理和路由计算
• 操作系统：如Linux、Windows等
• 内存：存储路由表和配置信息
• 路由协议：如OSPF、BGP等
• 接口：包括有线接口和无线接口
• 配置文件：存储设备配置信息
• 电源：提供设备电力供应
• 开启远程管理功能
• 设置日志记录和监控
防火墙的高级配置与策略制定
01
02
高级配置
策略制定
• 配置入侵检测和防御系统
• 制定访问控制策略
（IDS/IPS）
• 实现数据加密和身份验证
• 实现虚拟专用网络（VPN）
• 定期审查和更新防火墙策略
• 配置内容过滤和应用程序控制
05
网络设备故障排除与性能优化
网络设备故障排除的基本方法
方法一：使用
设备自带的诊
断工具
方法二：使用
网络管理工具
方法三：查阅
设备的技术文
档和故障排除
指南
01
02
03
• 查看设备状态和日志信息
• 监控网络设备的状态和性能
• 了解设备的硬件和软件信息
• 进行设备自检和恢复
• 进行配置备份和恢复
• 按照故障排除指南进行操作
网络设备的性能优化策略
• 配置静态路由和动态路由协议
• 配置VLAN和QoS服务
• 实现VPN和负载均衡
• 实现链路聚合和冗余链路
• 设置防火墙规则和安全策略
• 设置端口安全和流量控制
交换机配置与管理案例分析
案例一：企业网核心交换机的配置
交换机与防火墙对接上网配置
21交换机与防火墙对接上网配置关于本章21.1 二层交换机与防火墙对接上网配置示例21.2 三层交换机与防火墙对接上网配置示例21.1 二层交换机与防火墙对接上网配置示例二层交换机简介二层交换机指的是仅能够进行二层转发，不能进行三层转发的交换机。
也就是说仅支持二层特性，不支持路由等三层特性的交换机。
二层交换机一般部署在接入层，不能作为用户的网关。
配置注意事项本举例中的交换机配置适用于S系列交换机所有产品的所有版本。
本举例中的防火墙配置以USG6650 V500R001C60为例，其他防火墙的配置方法请参见对应的文档指南。
组网需求如图21-1所示，某公司拥有多个部门且位于不同网段，各部门均有访问Internet的需求。
现要求用户通过二层交换机和防火墙访问外部网络，且要求防火墙作为用户的网关。
图21-1 二层交换机与防火墙对接上网组网图IP ：192.168.1.2/24PC1PC2IP ：192.168.2.2/24IP配置思路采用如下思路进行配置：1.配置交换机基于接口划分VLAN，实现二层转发。
2.配置防火墙作为用户的网关，通过子接口或VLANIF接口实现跨网段的三层转发。
3.配置防火墙作为DHCP服务器，为用户PC分配IP地址。
4.开启防火墙域间安全策略，使不同域的报文可以相互转发。
5.配置防火墙PAT功能，使内网用户可以访问外部网络。
操作步骤步骤1配置交换机# 配置下行连接用户的接口。
<HUAWEI> system-view[HUAWEI] sysname Switch[Switch] vlan batch 2 3[Switch] interface gigabitethernet 0/0/2[Switch-GigabitEthernet0/0/2] port link-type access//配置接口接入类型为access[Switch-GigabitEthernet0/0/2] port default vlan 2//配置接口加入VLAN 2[Switch-GigabitEthernet0/0/2] quit[Switch] interface gigabitethernet 0/0/3[Switch-GigabitEthernet0/0/3] port link-type access[Switch-GigabitEthernet0/0/3] port default vlan 3[Switch-GigabitEthernet0/0/3] quit# 配置上行连接防火墙的接口。
交换机路由器防火墙的基本配置
Switch>enable !进入特权模式 Switch#configure terminal !进入全局配置模式 Switch(config)#hostname S3550 !配置交换机名称"S3550" S3550(config)#interface vlan 1 !进入交换机管理接口配置模式 S3550(config-if)#ip address 192.168.0.1 255.255.255.0 !配置交换机接口管理IP地址 S3550(config-if)#no shutdown !打开交换机管理接口 S3550(config-if)#end !退回特权模式
实训预备 了解tftp软件的使用方法 tftp服务器的建立 掌握超级终端的应用
实训步骤
4.1.3 交换机配置的备份、恢复与升级实训
（１）配置tftp服务器
设置计算机的IP地址是。 启动tftp服务器，配置tftp服务器主目录的位置为F:\锐捷\S2100\21升级，如图4.4所示。
图4.4 tftp服务器
如果备份文件不在当前tftp服务器目录下，则需要选择tftp服务器的目录，使其指向备份文件所在的文件夹，如图4.5所示
（3）恢复交换机的备份
图4.5 tftp服务器
基本要求
4.2 路由器基本配置与应用 掌握路由器基本配置及配置文件的备份、恢复与主程序文件的升级
01
路由器的基本配置实训 路由器基本应用实训 路由器配置的备份、恢复与升级实训
02
交换机基本配置与应用
实训目的 学习使用超级终端配置路由器 掌握路由器的基本配置操作
（2）配置交换机B
在交换机SwitchB上创建vlan10，并将0/10端口划分到vlan10中 SwitchB(config)#vlan 10 SwitchB(config-vlan)#exit SwitchB(config)#interface fastEthernet 0/10 SwitchB(config-if)#switchport access vlan 10 SwitchB(config-if)#exit 把交换机SwitchB上与交换机SwitchA相连的端口0/24定义为tag vlan模式 SwitchB(config)#interface fastEthernet 0/24 SwitchB(config-if)#switchport mode trunk 将pc1和pc3的默认网关设置为，将pc2的默认网关设置为192.168.20.1. 验证pc1与pc3能互相通信， pc2与pc3能互相通信
华为三层交换机5700系列配置示例
华为三层交换机5700系列配置⽰例配置说明配置华为交换机的注意事项（针对5700系列）默认情况下，华为设备管理地址为192.168.1.253/24，账号 admin, 密码 admin@如果有web界⾯管理功能，可以尝试使⽤ETH⼝登陆，如果登陆不上，可以按住MODE键6s,重置，打开web登陆功能。
在配三层交换机配置vlan时，默认情况下不同的vlan⽹段是可以通过路由互通的，不⽤额外配置（如思科等设备需要开启ip routing）如果要对端⼝批量操作，如配置vlan，可以先创建⼀个组,使⽤ port-group GROUP-NAME命令创建组，并通过group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/20 来批量添加组员，以后需要对这些端⼝操作进⼊此group就可以了。
如果要对不同的vlan⽹络隔离，需要配置ACL策略。
在使⽤PC机进⾏测试时，要关闭⽆线和其他的虚拟⽹卡，并确认关闭防⽕墙，排除测试⼲扰因素。
实现⽅式三层核⼼交换机在配置多个不同⽹段互联时，有以下两种⽅式：1. 单臂路由⽅式: 三层核⼼交换机配置多⽹络vlan，与上联汇聚层设备接⼝使⽤trunk透传，上联防⽕墙或路由器创建⼦接⼝并对应VLAN作为⽹关，vlan间的数据路由在上联设备完成。
单臂路由⽅式：2. 静态路由⽅式: 三层核⼼交换机作为接⼊设备，配置多⽹络vlan，并创建⽹关，上联接⼝配置静态IP，交换机和上联设备添加静态路由，vlan之间的数据路由在接⼊交换机上完成。
静态路由⽅式：设备配置单臂路由⽅式（Trunk）路由器：LAN1: 192.168.1.1下⼀跳地址： 192.168.1.2SW1GE1/0/1: 192.168.1.2 VLAN 1GE1/0/2: TRUNK 允许 VLAN 2 3GE1/0/3: 192.168.4.1 VLAN 4SW2GE1/0/1: TRUNK VLAN 2 3GE1/0/23: 192.168.2.1/24 VLAN 2GE1/0/24: 192.168.3.1/24 VLAN 3SW3默认不⽤配置，充当⼆层交换机配置思路采⽤如下的思路配置汇聚层设备作为⽹关实现不同⽹段⽤户间的通信：配置接⼊交换机，基于接⼝划分VLAN，实现⼆层互通。
路由器防火墙交换机配置案例
路由器防火墙交换机配置案例综合实训二、交换机、路由器与防火墙的综合配置【实训条件】Cisco防火墙设备一台、路由器两台、三层交换机一台、二层交换机三台、PC机若干台及配套网线、安装有Windows XP操作系统及超级终端程序。
或者使用Boson Netsim For CCNP 7.0版本的模拟器软件和Cisco PIX模拟器软件。
实训背景某公司设有行政部、销售部和财务部，三个部门的电脑分别属于VLAN10、VLAN20和VLAN30三个不同的子网，现要求它们之间可以相互通信;公司为了上网向ISP申请了一段公网IP地址，范围为202.101.8.2-202.101.8.15，考虑到公司财务的安全，现要求公司除了财务部门的电脑外，另外两个部门的电脑都可以访问互联网;为了保证内网的安全，公司购买了一台Cisco PIX防火墙，并将公司的WEB服务器放在DMZ区域供内、外网用户访问。
假设你是该公司的网络管理员，你将如何解决以上问题呢?实训需求分析在接入层交换机sw-1和SW-2上将三个部门的电脑分别划分到不同的VLAN中，可实现对广播域的分隔;为了实现接入层交换机之间相同VLAN的电脑可以相互通信，为接入层交换机之间的链路配置为Trunk链路;为了实现公司三个部门间的电脑可以相互访问，将两台接入层(二层交换机)交换机连接核心交换机(三层交换机)之间的链路配置成Trunk链路，并在SW-A三层交换机上配置SVI接口实现三个不同VLAN间的电脑相互通信;为了避免环路可能造成的广播风暴，在交换网络内配置快速生成树协议(RSTP)，即指定SW-A交换机为根交换机;在三层交换机上启用路由接口，与路由器RA之间实现网络互通;为了阻止财务部的电脑访问互联网，在RA路由器的F0/0接口上配置访问控制列表，在RA路由器上配置默认路由指向防火墙LAN接口;为了实现内网中行政部和销售部的申脑上网，在防火墙中配置公网地址池，并将内网中的私有IP地址转换成公网IP地址访问互联网;考虑到公司WEB服务器的安全，将使用私有IP地址的WEB服务器连接于防火墙的DMZ(非军事区)接口，并指定一个公网IP地址将WEB服务器发布于互联网，配置防火墙的访问控制列表允许外部用户访问公司WEB服务器;Internet路由器用于模拟外网路由器，设置防火墙的默认路由指向internet 路由器:。
SonicWall防火墙透明模式配置(三层交换机)
SonicWall防火墙透明模式配置（三层交换机）用户要求防火墙配置成透明模式接入到网络，要求达到的配置
如下图示
配置步骤：
1、配置防火墙WAN网卡
2、建立透明模式下的地址对象
（注意：透明范围不能够包含了防火墙本身的地址（192.168.254.21）以及防火墙的网关地址(192.168.254.1) ，同时也不能够包含防火墙WAN口外面的地址，即如果防火墙WAN外面还有其他的地址如192.168.254.200 则Transparent Range 不能够包含该地址, 否则可能会引发安全问题！！）
3、建立内网地址对象（注意：本范例中仅示例了2 个内网网段，可根据实际情况增加）
4、建立地址对象组
5、配置内网3 层交换机的地址对象
6、配置完成后的界面显示如下：
7、配置内网地址访问外网的回程路由（必须配置！！）
8、配置防火墙LAN网卡配置透明模式
9、关闭防火墙DHCP服务器
配置完成！。
一步一步教你配置硬件防火墙
医 健药 康Fra bibliotek通 送
谢 谢！
九 万
州 家
JOINTOWN GROUP CO., LTD.
24
特点： 特点：
只有一个公有IP,具有三个不同 的服务器 内部网访问Internet需要做 NAT 内外网访问DMZ区的服务器需 要做SAT (端口映射）
61.156.37. 101/30 •61.156.37 Ext .102/30 NAT
Internet
SAT
WWW服务器 172.16.1.2 80 服务器
•
借助于NAT，私有(保留)地址的“内部”网络通过路由器发送数据包时，私 有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址(甚至是1 个)即可实现私有地址网络内所有计算机与Internet的通信需求。
•
NAT将自动修改IP报文头中的源IP地址和目的IP地址，Ip地址校验则在 NAT处理过程中自动完成。
主要是中兴防火墙配置防火墙双机internet接入switch核心三层交换机sdh专线防火墙路由器路由器三层交换机应用服务器终端防火墙vpn应用服务器终端集团总部二级公司三级公司vpnvpn应用服务器终端防火墙vpn双三层交换机冗汇聚层交换机三层交换机防火墙vpn外部服务器am电子商务等dmz区一级骨干网络
防火墙管理：管理员及管理IP设置
管理员权限：超级管理员、管理员、只读 管理IP：只有可信的管理IP才能直接访问防火墙
防火墙相关概念
什么是计算机端口
如果把IP地址比作一间房子 ，端口就是出入这间房子的门。真正的房子只有几个 门，但是一个IP地址的端口 可以有65536个之多！端口是通过端口号来标记的，端口 号只有整数，范围是从0 到65535。
如何设置数据中心网络的三层交换机和路由器
如何设置数据中心网络的三层交换机和路由器数据中心网络的三层交换机和路由器扮演着至关重要的角色，它们能够提供高性能、高可用性和高可扩展性的网络连接。
在设置数据中心网络的三层交换机和路由器时，需要考虑以下几个方面：设计网络拓扑结构、配置交换机和路由器、以及优化网络性能。
本文将逐一介绍这些方面，并提供一些建议和最佳实践。
一、设计网络拓扑结构设计网络拓扑结构是设置数据中心网络的关键步骤之一。
一个合理的拓扑结构能够确保数据中心网络的高性能和高可用性。
以下是一些常见的网络拓扑结构：1. 基于核心-汇聚-接入（Core-Aggregation-Access）的设计：这种设计模式通常用于大型数据中心。
核心层负责将不同的汇聚层连接起来，而汇聚层则将接入层和核心层连接起来。
2. 基于多层树状结构（Multi-Tier Tree）的设计：这种设计模式通常用于小型数据中心。
它使用多层交换机将网络连接成树状结构，每层交换机连接一定数量的服务器和其他交换机。
3. 基于超融合架构（Hyper-Converged Architecture）的设计：这种设计模式适用于虚拟化环境中的数据中心。
它将计算、存储和网络资源集成到一个单一的超融合设备中。
根据实际需求和资源限制，选择适合的网络拓扑结构对于数据中心网络的性能和可靠性至关重要。
在设计过程中，还需考虑网络的容错性、扩展性和管理复杂性。
二、配置交换机和路由器配置交换机和路由器是设置数据中心网络的关键环节之一。
以下是一些建议和最佳实践：1. VLAN划分：为不同的子网划分不同的VLAN，以提高网络性能和安全性。
通过VLAN划分，可以避免广播风暴和冲突，提高网络传输效率。
2. VRRP配置：使用虚拟路由冗余协议（VRRP）配置冗余路由器，以提供网络的冗余和容错能力。
冗余路由器能够在一台路由器发生故障时自动接管流量。
3. 交换机聚合：通过将多个物理链路聚合成一个逻辑链路，实现链路的冗余和带宽的增加。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Current configuration : 6061 bytes ! version 12.1 no service pad service timestamps debug uptime service timestamps log uptime no service password-encryption service compress-config ! hostname core_switch ! enable secret 5 $1$21p4$rcisbziyY7iFWx0w7jm6d. enable password kindy !
成都互联神州网络技术培训中心 成都思科华为网络技术论坛
! ip classless ip route 0.0.0.0 0.0.0.0 172.16.1.1 no ip http server ! ! ! line con 0 password ****** login stopbits 1 line vty 0 4 password ****** logi中心 成都思科华为网络技术论坛
switchport mode trunk ! interface GigabitEthernet2/4 description To PGZ switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet2/5 description To WLZ switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet2/6 switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet3/1 description To BACK_24 switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet3/2 switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet3/3
成都互联神州网络技术培训中心 成都思科华为网络技术论坛
vtp mode transparent ip subnet-zero ! spanning-tree extend system-id ! ! vlan 2 name vlan2 ! interface GigabitEthernet1/1 ! interface GigabitEthernet1/2 ! interface GigabitEthernet2/1 description To ZXC switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet2/2 description To HYS-310 switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet2/3 description To HYS-303 switchport trunk encapsulation dot1q
成都互联神州网络技术培训中心 成都思科华为网络技术论坛
交换机配置：三层核心+防火墙
三层的出口连接防火墙的内口 三层核心交换机最好别用 VLAN1 连接防火墙内口。可能会因为 IP 重定向问题导致内
网访问外网速度奇慢！！ 具体事例及解决办法如下： 某企业网核心为 4506，接入基本为 2950 系列。核心有一块 X 4548 GB&nbs p;-RJ 业务板， 其中 48 口上联到防火墙，其他下联到客户端。客户端网关指向核心交换机，上网速度奇慢。 指向防火墙则速度正常，防火墙地址为 172.16.1.1 核心配置如下：
成都互联神州网络技术培训中心 成都思科华为网络技术论坛
! interface GigabitEthernet3/4 ! interface GigabitEthernet3/5 ! interface GigabitEthernet3/6 ! interface GigabitEthernet4/1 switchport trunk encapsulation dot1q switchport mode trunk ! .... .... .... ! interface GigabitEthernet4/47 switchport trunk encapsulation dot1q switchport mode trunk ! interface GigabitEthernet4/48 ! interface Vlan1 ip address 172.16.1.121 255.255.255.0 ! interface Vlan2 ip address 172.16.2.1 255.255.255.0
-------------------------------------------因为上面的配置是把防火墙的内口直接接如了三层核心的 VLAN1 内，所以出现访问外网速度 奇慢的现象。。 解决办法如下： 1、关闭 VLAN 1 的重定向功能 int vlan 1 no ip redirects 2、将防火墙的内网线接如核心的其他 VLAN