华为ensp模拟校园网/企业网实例--中型企业无线网络的设计

文章简介：本文做了一个中型企业无线网络的设计，课题重点突出无线网络和高安全性，除了基础的功能要通，还需要实现无线AP，防火墙功能，VLAN技术，ACL访问控制实现过滤，生成树协议，负载分担，NAT技术实现私有网络IP地址转换为公有网络IP地址，无线技术，加密技术。GRE over IPSec VPN技术，部门的话设置为可以按楼层划分，总裁办，IT部门，市场发展部，行政部，财务部，人力资源部，工程技术部，外来人员办公室（外来人员办公使用外网，可通过VPN验证登录内网）

作者简介：网络工程师，希望能认识更多的小伙伴一起交流，可私信或QQ号：1686231613

-------------------------------------------------------------------------------------------------------------------

一、拓扑图

二、地址规划

配置思路与过程

1、接入层实现

对于接入层根据规划，分别设置为vlan10、vlan20、vlan30、vlan40、vlan50、vlan60，接入用户的端口加入相关VLAN，上行trunk口允许相关vlan通过。

[Cw-access]vlan batch 10 20 30 40 5060//创建vlan

//接入用户接口

[Cw-access-Ethernet0/0/1]port link-type access

[Cw-access-Ethernet0/0/1]port default vlan 10

//上行口

[Cw-access]port-group group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/2

[Cw-access-port-group]port link-type trunk

[Cw-access-port-group]port trunk allow-pass vlan 10 20 30 40 5060

（其他接入配置相同）

另在接入层交换机、汇聚交换机上配置MSTP多实例生成树，将相关vlan加入不同的实例。

stp region-configuration //进入MSTP模式

region-name huawei//配置域名为huawei

instance 1 vlan 102030//将vlan10、20、30加入实例1中

instance 2 vlan 405060//将vlan40、50、60加入实例2中

active region-configuration //激活配置

2、汇聚层实现

（1）DHCP实现

核心交换机上部署DHCP

配置DHCP：

dhcp enable //打开DHCP功能

ip pool vlan10//创建 IP 地址池取名为vlan10

network 10.0.10.0 mask 255.255.255.0 //配置地址池网段

gateway-list 10.0.10.254 //配置该地址池地址的网关地址

dns-list 114.114.114.114 //DNS网关

[SW-A-Vlanif10]dhcp select global //定义dhcp为全局模式

（2）MSTP+VRRP：

stp instance 1 root primary //指定本交换机为主根桥

stp instance 2 root secondary //指定本交换机为备份根桥

3）VRRP关键代码，其他网关配置同理：

以后勤部门vlan为例

interface Vlanif20 //后勤vlan网关

ip address 10.0.20.1255.255.255.0 //配置ip地址

//创建VRRP备份组20，并配置VRRP备份组的虚拟IP地址10.0.20.254

vrrp vrid 20 virtual-ip 10.0.20.254

//设置主交换机在VRRP备份组20中的优先级为120，高于备份交换机的优先级100

vrrp vrid 20 priority 120

（备份交换机配置相同）

（4）链路聚合

在两个核心交换机间设置链路聚合，关键代码如下：

interface eth-trunk 0//创建ID为0的Eth-Trunk接口

trunkport GigabitEthernet 0/0/23 to 0/0/24 将 2324号口加入到聚合组中

(对端配置完全相同)

3、网络出口实现

（1）部署NAT：

NAT关键代码如下：

//创建内网需要上网的源地址到外网的安全策略：

security-policy

rule name nat

source-zone trust

destination-zone untrust

action permit

//创建需要上网的源地址的安全NAT策略：

nat-policy

rule name nat

source-zone trust

destination-zone untrust

action source-nat easy-ip

//创建NAT server映射使外网用户访问内部特殊服务器

nat server 0 protocol tcp global 100.100.100.100 www inside 192.168.100.1 www

nat server 1 protocol tcp global 100.100.100.100 ftp inside 192.168.100.2 ftp

4、路由协议实现

核心交换机通过双上行与出口设备相连，通过三层OSPF路由技术

//此配置其他设备均相同宣告各自直连网段即可

[Core-A-ospf-1]area 0

[Core-A-ospf-1-area-0.0.0.0]network 10.0.0.0 0.0.255.255

5、WLan

[AC6605]vlan 200

[AC6605-vlan200]int vlan 200

[AC6605-Vlanif200]ip address 10.0.200.200 24

[AC6605]capwap source interface Vlanif 200

[AC6605-wlan-view]ssid-profile name wlan

[AC6605-wlan-ssid-prof-wlan]ssid wlan

[AC6605-wlan-view]security-profile name wlan

[AC6605-wlan-sec-prof-wlan]security wpa2 psk pass-phrase a1234567 aes

[AC6605-wlan-view]vap-profile name wlan

[AC6605-wlan-vap-prof-wlan]ssid-profile wlan

[AC6605-wlan-vap-prof-wlan]security-profile wlan

[AC6605-wlan-vap-prof-wlan]service-vlan vlan-id 30

[AC6605-wlan-view]ap-group name aps

[AC6605-wlan-ap-group-aps]vap-profile wlan wlan 1 radio all

5、VPN配置

(1) GRE over IPsec

interface Tunnel0 //配置隧道

ip address unnumbered interface GigabitEthernet1/0/0

tunnel-protocol gre

source 1.1.1.2 //隧道源

destination 4.4.4.2 //隧道终结点

ike proposal 1 //ike安全提议

encryption-algorithm aes-256

dh group14

authentication-algorithm sha2-256

authentication-method pre-share

integrity-algorithm hmac-sha2-256

prf hmac-sha2-256

ike peer fwc //ike对等体

undo version 1

pre-shared-key %^%#CT>/P"t8FF%ir#Q%+|y3uM147GeyFAr0)GD<iU%;%^%# //建立对等体使用的预共享密钥 =admin@123

ike-proposal 1 //绑定ike提议

remote-address 4.4.4.2 //协商的对端地址

ipsec proposal 1 //ipsec安全提议

esp authentication-algorithm sha2-256

esp encryption-algorithm aes-256

ipsec policy p1 1 isakmp

security acl 3000 //需要加密的流量

ike-peer fwc //绑定ike对等体

proposal 1 //ipsec安全提议

tunnel local 1.1.1.2 //隧道本端地址

//配置去往分部的路由指向GRE隧道

HRP_M[FW-A]ip route-static 10.1.10.0 24 Tunnel 0

HRP_M[FW-A]ip route-static 10.1.11.0 24 Tunnel 0

//分部同理

ip route-static 10.0.0.0 255.255.0.0 Tunnel0

（3）SSL vpn

测试结果截图请私信作者获取