網(wǎng)絡工程與系統(tǒng)集成實驗報告

網(wǎng)絡工程與系統(tǒng)集成實驗報告實驗一VoiceVLAN配置一.實驗目的1.根據(jù)實驗要求的物理拓撲結構連接局域網(wǎng)2.根據(jù)實驗要求的創(chuàng)建VoiceVLAN，并將用戶的IP劃分到指定的VoiceVLAN中3.根據(jù)要求設置語音服務器參數(shù)4.根據(jù)要求設置DHCP服務。二.實驗內容1.將交換機所連接IPPhone的接口加入viocevlan中2.配置DHCP，為IPPhone動態(tài)分配地址3.配置路由器的服務功能，并配置一些參數(shù)4.配置IP號碼5.驗證IP語音服務三.實驗原理、方法和手段1.IP的工作原理與其他網(wǎng)絡設備一樣，IP也需要IP地址才能在網(wǎng)絡中正常通信。IP獲取IP地址的方式有兩種：通過DHCP自動獲取，通過用戶手工配置在自動獲取IP地址時，IP還可以向DHCP服務器同時請求VoiceVLAN信息，如果DHCP服務器返回了VoiceVLAN信息，IP就可以直接發(fā)送攜帶有VoiceVLANTag的語音流（以下簡稱tagged語音流）；如果DHCP服務器沒有返回VoiceVLAN信息，IP就只能發(fā)送不帶VLANTag的語音流（以下簡稱untagged語音流）。同樣，在用戶在IP上手工設置IP地址時，也可以設置或不設置VoiceVLAN信息，IP會根據(jù)用戶的配置發(fā)出tagged/untagged語音流。2.IP自動獲取IP地址的過程第一步：IP發(fā)送不帶VLANTag的DHCP請求，并在該請求中攜帶Option184信息，即請求軟件下載服務器（也稱為NCP，NetworkCallProcessor）地址以及VoiceVLAN信息。第二步：DHCPserver1收到該請求后，將根據(jù)自身的配置為IP分配IP地址，同時回復VoiceVLAN、軟件下載服務器地址及其他Option184選項信息。第三步：IP向軟件下載服務器發(fā)出下載申請。第四步：軟件下載服務器響應IP的下載請求，向IP發(fā)送軟件。第五步：軟件下載完成后，IP將通知DHCPserver1，釋放第一次獲取的IP地址。第六步：IP利用從DHCPserver1獲取的VoiceVLAN信息，重新構造DHCP請求報文，并為該報文封裝VoiceVLAN的標簽，在VoiceVLAN內進行廣播。第七步：位于VoiceVLAN內的DHCPserver2收到該請求后，根據(jù)自己的地址池配置，為IP分配新的IP地址。第八步：IP使用新的IP地址與語音網(wǎng)關進行注冊，開始語音通信過程。3.各類型端口與發(fā)送tagged語音流的IP配合IP發(fā)送tagged語音流需要具備的條件是該已經(jīng)通過自動獲取或手工配置的方式得到了VoiceVLAN信息，針對這種情況，不同類型的端口需要進行相應的配置，才能使語音報文能夠在VoiceVLAN中正常傳輸，同時不影響交換機對普通業(yè)務報文的轉發(fā)處理。4.各類型端口與發(fā)送untagged語音流的IP配合IP在以下兩種情況下會發(fā)送/接收untagged語音流：自動獲取IP地址，但沒有獲取到VoiceVLAN信息手工配置IP地址，但沒有配置VoiceVLAN信息四.實驗組織運行要求1.學生在實驗前，請先對實驗中的常用網(wǎng)絡命令的功能和使用方法進行預習，并在預習報告中給出這些信息。2.實驗過程中，請記錄每條命令使用后的顯示信息，并在實驗報告中對這些信息進行說明和解釋。五.實驗條件1.以太網(wǎng)環(huán)境2.思科Catalyst3560、2960交換機3.思科7960IP六.實驗步驟Step1：連接如圖所示的網(wǎng)絡環(huán)境Step2：將交換機所連接IPPhone的接口加入viocevlan中Switch#conftSwitch(config)#interfacerangef0/1–3Switch(config‐if‐range)#switchportvoicevlan1Step3：配置DHCP，為IPPhone動態(tài)分配地址Step4：配置路由器的服務功能，并配置相應參數(shù)Router(config)#telephony‐serviceRouter(config‐telephony)#autoassign1to5Router(config‐telephony)#max‐ephones5Router(config‐telephony)#max‐dn5Router(config‐telephony)#ipsource‐addressport2000Step5：配置IP號碼Router(config)#ephone‐dn1Router(config‐ephone‐dn)#number84401160Router(config)#ephone‐dn2Router(config‐ephone‐dn)#number84401161Step6：驗證IPPhone已從路由器上獲取到IP地址和號碼Step7：驗證IPPhone之間的語音服務是否可用七．實驗結果八.思考題1.如何對數(shù)據(jù)服務和語音服務提供合適的QoS？QoS旨在針對各種應用的不同需求，為其提供不同的服務質量。如：可以限制骨干網(wǎng)上FTP使用的帶寬，也可以給數(shù)據(jù)庫訪問以較高優(yōu)先級。對于ISP，其用戶可能傳送語音、視頻或其他實時業(yè)務，QoS使ISP能區(qū)分這些不同的報文，并提供不同服務。可以為時間敏感的多媒體業(yè)務提供帶寬和低時延保證，而其他業(yè)務在使用網(wǎng)絡時，也不會影響這些時間敏感的業(yè)務。2.配合了VoiceVLAN的交換機如何處理來自用戶的tagged幀？1、下面是定義的各種端口類型對各種數(shù)據(jù)幀的處理方法；in=進交換器

out=出交換機

2、所謂的UntaggedPort和taggedPort不是講述物理端口的狀態(tài)，而是將是物理端口所擁有的某一個VID的狀態(tài)，所以一個物理端口可以在某一個VID上是UntaggedPort，在另一個VID上是taggedPort；

3、一個物理端口只能擁有一個PVID，當一個物理端口擁有了一個PVID的時候，必定會擁有和PVID的TAG等同的VID，而且在這個VID上，這個物理端口必定是UntaggedPort；4、PVID的作用只是在交換機從外部接受到可以接受Untagged數(shù)據(jù)幀的時候給數(shù)據(jù)幀添加TAG標記用的，在交換機內部轉發(fā)數(shù)據(jù)的時候PVID不起任何作用；

5、擁有和TAG標記一致的VID的物理端口，不論是否在這個VID上是UntaggedPort或者taggedPort，都可以接受來自交換機內部的標記了這個TAG標記的tagged數(shù)據(jù)幀；

6、擁有和TAG標記一致的VID的物理端口，只有在這個VID上是taggedPort，才可以接受來自交換機外部的標記了這個TAG標記的tagged數(shù)據(jù)幀；實驗二PPP協(xié)議配置一.實驗目的1.根據(jù)實驗要求的拓撲結構，利用路由器及交換機連接成網(wǎng)絡2.正確配置路由器接口參數(shù)，包括設置IP地址和PPP協(xié)議的綁定3.掌握PPP中PAP驗證的配置方法4.掌握PPP中CHAP驗證的配置方法二.實驗內容1.配置PPP協(xié)議的封裝2.配置PAP驗證方式3.配置CHAP驗證方式三.實驗原理、方法和手段PPP協(xié)議是目前廣域網(wǎng)上應用最廣泛的數(shù)據(jù)鏈路層協(xié)議之一，它的優(yōu)點在于結構簡單、具備用戶驗證能力、可以解決IP分配等。PPP在經(jīng)過多年的發(fā)現(xiàn)和擴充后，已成為一個功能相當完備，而且涵蓋了許多其它協(xié)議的龐大協(xié)議系統(tǒng)。PPP在串行線路中對上層數(shù)據(jù)包進行封裝，用于建立、配置和檢測數(shù)據(jù)鏈路連接的鏈路控制協(xié)議(LCP)以及不同網(wǎng)絡層協(xié)議的網(wǎng)絡控制協(xié)議(NCP)協(xié)議簇。PPP封裝用于消除上層多種協(xié)議數(shù)據(jù)包的歧義，加入幀頭、幀尾，使之成為互相獨立的串行數(shù)據(jù)幀——PPP幀。四.實驗組織運行要求1.學生在實驗前，請先對實驗中的常用網(wǎng)絡命令的功能和使用方法進行預習，并在預習報告中給出這些信息。2.實驗過程中，請記錄每條命令使用后的顯示信息，并在實驗報告中對這些信息進行說明和解釋。五.實驗條件1.局域網(wǎng)環(huán)境2.思科2811路由器/華為3ComAR2811路由器六.實驗步驟Step1：為思科2811路由器增加WIC‐2T接口模塊，并完成路由器之間的串行線路連接Step2：設置串行口封裝的鏈路層協(xié)議為PPP，配置IP參數(shù)并啟動接口（注意DCE端clockrate的設置）Step3：配置PAP驗證方式，設定路由器的主驗證和被驗證角色Step4：PAP主驗證端在全局配置模式下創(chuàng)建用戶帳號，在串行口模式下設置PPP驗證方式為PAPStep5：PAP被驗證端在串行口模式下設置PAP發(fā)送的用戶帳號信息Step6：重起串行口，測試PAP驗證的有效性Step7：關閉PAP驗證方式，配置CHAP驗證方式，設定路由器的主驗證和被驗證角色Step8：設置驗證雙方路由器的hostname，用于確定在對端路由器中的賬號Step9：CHAP主驗證端在串行口模式下設置PPP驗證方式為CHAPStep10：兩端路由器在全局模式下，為對端路由器增加賬號信息Step11：重新其中一臺路由器的串行口，測試CHAP的有效性配置示例1（PAP驗證，假設主驗證端為DCE）被驗證端：Router0#configterminalRouter0(config)#interfacese0/3/0Router0(config‐if)#encapsulationpppRouter0(config‐if)#ppppapsent‐usernamejulychangpassword123456Router0(config‐if)#noshutdown主驗證端：Router1#configterminalRouter1(config)#usernamejulychangpassword123456Router1(config)#interfacese0/3/0Router1(config‐if)#clockrate56000Router1(config‐if)#encapsulationpppRouter1(config‐if)#pppauthenticationpapRouter1(config‐if)#noshutdown配置示例2（CHAP驗證，假設主驗證端為DCE）被驗證端：Router0#configterminalRouter0(config)#hostnameSlaveSlave(config)#usernameMasterpassword123456Slave(config)#interfacese0/3/0Slave(config‐if)#encapsulationpppSlave(config‐if)#noshutdown主驗證端：Router1#configterminalRouter1(config)#hostnameMasterMaster(config)#usernameMasterpassword123456Master(config)#interfacese0/3/0Master(config‐if)#clockrate56000Master(config‐if)#encapsulationpppMaster(config‐if)#pppauthenticationchapMaster(config‐if)#noshutdown七．實驗結果PPP幀配置結果查看界面發(fā)送數(shù)據(jù)界面八.思考題1.PPP的驗證過程發(fā)生在鏈路協(xié)議協(xié)商的什么階段？ppp鏈路建立的過程分為三個階段:創(chuàng)建階段、認證階段和網(wǎng)絡協(xié)商階段。PPP的驗證過程發(fā)生在認證階段。2.在CHAP方式中，為什么雙方在對端的賬號密碼必須一致？必須一致,被認證端在進行CHAP認證時,需要根據(jù)主仁政端發(fā)來的用戶名查找相應的密碼來對隨機報文進行加密。實驗三防火墻配置一.實驗目的1.根據(jù)實驗要求的拓撲結構，利用路由器及交換機連接成網(wǎng)絡2.根據(jù)要求對數(shù)據(jù)流進行分類，并配置相應的ACL3.選擇最佳部署位置的路由器，開啟基于包過濾的防火墻功能4.將ACL綁定到正確接口，并指定其作用于接口的正確隊列二.實驗內容1.創(chuàng)建標準訪問控制列表2.創(chuàng)建擴展訪問控制列表3.將ACL綁定到路由器的接口三.實驗原理、方法和手段建立用戶和修改密碼跟CiscoIOS路由器基本一樣。激活以太端口必須用enable進入，然后進入configure模式PIX525>enablePassword:PIX525#configtPIX525(config)#interfaceethernet0autoPIX525(config)#interfaceethernet1auto在默認情況下ethernet0是屬外部網(wǎng)卡outside,ethernet1是屬內部網(wǎng)卡inside,inside在初始化配置成功的情況下已經(jīng)被激活生效了，但是outside必須命令配置激活。采用命令nameifPIX525(config)#nameifethernet0outsidesecurity0security100security0是外部端口outside的安全級別（100安全級別最高）security100是內部端口inside的安全級別,如果中間還有以太口，則security10，security20等等命名，多個網(wǎng)卡組成多個網(wǎng)絡，一般情況下增加一個以太口作為DMZ(DemilitarizedZones非武裝區(qū)域)。采用命令為：ipaddress55.0在默然情況下，PIX的以太端口是不允許telnet的，這一點與路由器有區(qū)別。Inside端口可以做telnet就能用了,但outside端口還跟一些安全配置有關。PIX525(config)#telnetinsidePIX525(config)#telnetoutside測試telnet在[開始]->[運行]PIXpasswd:輸入密碼：cisco此功能與CiscoIOS基本上是相似的，也是Firewall的主要部分，有permit和deny兩個功能，網(wǎng)絡協(xié)議一般有IP|TCP|UDP|ICMP等等，如：只允許訪問主機:54的www,端口為：80PIX525(config)#access-list100permitipanyhost54eqwwwdenyipanyanyPIX525(config)#access-group100ininterfaceoutsideNAT跟路由器基本是一樣的，首先必須定義IPPool，提供給內部IP地址轉換的地址段，接著定義內部網(wǎng)段。PIX如果是內部全部地址都可以轉換出去則：則某些情況下，外部地址是很有限的，有些主機必須單獨占用一個IP地址，必須解決的是公用一個外部IP(01),則必須多配置一條命令，這種稱為（PAT），這樣就能解決更多用戶同時共享一個IP,有點像代理服務器一樣的功能。配置如下：PIX525(config)#global(outside)101netmask主域名稱：DHCPClient通過PIXFirewallPIX525(config)#ipaddressdhcpDHCPServer配置insidePIX525(config)#dhcpdomain靜態(tài)端口重定向(PortRedirectionwithStatics)在PIX版本6.0以上，增加了端口重定向的功能，允許外部用戶通過一個特殊的IP地址/端口通過FirewallPIX傳輸?shù)絻炔恐付ǖ膬炔糠掌?。這種功能也就是可以發(fā)布內部WWW、FTP、Mail等服務器了，這種方式并不是直接連接，而是通過端口重定向，使得內部服務器很安全。命令格式：static[(internal_if_name,external_if_name)]{global_ip|interface}local_ip[netmaskmask][max_cons[max_cons[emb_limit[norandomseq]]]static[(internal_if_name,external_if_name)]{tcp|udp}{global_ip|interface}local_ip[netmaskmask][max_cons[max_cons[emb_limit[norandomseq]]]telnet端口，通過PIX重定向到內部主機9的telnet端口（23）。telnet9telnetnetmask5500FTP，通過PIX重定向到內部的FTPServer。ftpftpnetmask5500www(即80端口)，通過PIX重定向到內部192.168.123的主機的www(即80端口)。wwwwwwnetmask5500HTTP(8080端口)，通過PIX重定向到內部的主機的www(即80端口)。8080wwwnetmask5500smtp(25端口)，通過PIX重定向到內部的郵件主機的smtp(即25端口)smtpsmtpnetmask5500顯示命令showconfig保存命令writememory四.實驗組織運行要求1.學生在實驗前，請先對實驗中的常用網(wǎng)絡命令的功能和使用方法進行預習，并在預習報告中給出這些信息。2.實驗過程中，請記錄每條命令使用后的顯示信息，并在實驗報告中對這些信息進行說明和解釋。五.實驗條件1.以太網(wǎng)環(huán)境2.思科2811路由器3.計算機及服務器六.實驗步驟Step1：創(chuàng)建標準ACL，拒絕來自某IP子網(wǎng)的所有分組配置示例：Router0#configterminalRouter0(config)#access‐list1permitanyStep2：創(chuàng)建擴展ACL，拒絕來自某套接字的分組配置示例：Router0#configterminalRouter0(config)#access‐list100denytcp00eqwwwRouter0(config)#access‐list100permitipanyanyStep3：將ACL綁定到路由器接口上Router0(config)#interfacefa0/0Router0(config‐if)#ipaccess‐group100inStep4：測試網(wǎng)絡的連通性并記錄結果七．實驗結果八.思考題1.ACL在定義規(guī)則時，除了五元組以外還可以參考哪些信息？1、huawei設置acl：aclnumber3000rule0permitipsource服務器端的子網(wǎng)掩碼的反碼//允許哪些子網(wǎng)訪問服務器rule5denyipdestination服務器端的子網(wǎng)掩碼的反碼//不允許哪些子網(wǎng)訪問服務器。2、綁定到端口：interfacegig0/1//進入服務器所在的交換機端口[GigabitEthernet0/1]firewallpacket-filter3000inbound//把acl綁定到端口2.放置標準ACL和擴展ACL的策略有什么不同？這兩種ACL的區(qū)別是，標準ACL只檢查數(shù)據(jù)包的源地址;擴展ACL既檢查數(shù)據(jù)包的源地址，也檢查數(shù)據(jù)包的目的地址，同時還可以檢查數(shù)據(jù)包的特定協(xié)議類型、端口號等。

網(wǎng)絡管理員可以使用標準ACL阻止來自某一網(wǎng)絡的所有通信流量，或者允許來自某一特定網(wǎng)絡的所有通信流量，或者拒絕某一協(xié)議簇（比如IP）的所有通信流量。

擴展ACL比標準ACL提供了更廣泛的控制范圍。例如，網(wǎng)絡管理員如果希望做到“允許外來的Web通信流量通過，拒絕外來的FTP和Telnet等通信流量”，那么，他可以使用擴展ACL來達到目的，標準ACL不能控制這么精確。

在路由器配置中，標準ACL和擴展ACL的區(qū)別是由ACL的表號來體現(xiàn)的，上表指出了每種協(xié)議所允許的合法表號的取值范圍。實驗四NAT配置一.實驗目的1.根據(jù)實驗要求的拓撲結構，利用路由器及交換機連接成網(wǎng)絡2.根據(jù)要求對數(shù)據(jù)流進行分類，并配置相應的ACL3.掌握基于EasyIP的NAT配置方法4.掌握基于地址池的NAT配置方法二.實驗內容1.設置路由器接口的inside和outside角色2.創(chuàng)建IP地址池和ACL3.關聯(lián)對應的IP地址池和ACL4.配置套接字的靜態(tài)映射關系三.實驗原理、方法和手段在計算機網(wǎng)絡中，NAT（網(wǎng)絡地址轉換、NetworkAddressTranslation）是對IP包首部地址信息進行修改的過程。圖A‐1NAT原理如圖A‐1，運行NAT功能的路由器會將它不同接口所連接的IP網(wǎng)絡分為inside網(wǎng)絡（內網(wǎng)）和outside網(wǎng)絡（外網(wǎng)）。當IP分組經(jīng)過NAT路由器時，若是從inside網(wǎng)去向outside網(wǎng)，則NAT路由器會修改IP包首部的源IP地址（即SA）；若IP分組是從outside網(wǎng)去向inside網(wǎng)，則NAT路由器會修改IP包首部的目的IP地址（即DA）。最簡單的NAT類型是提供one‐to‐one（一對一）的IP地址轉換。RFC2663稱之為basicNAT（基本NAT），basicNAT只對IP首部的IP地址和校驗和（checksum）進行修改，首部的其它部分不進行改動（atleastforbasicTCP/UDPfunctionality,somehigherlevelprotocolsmayneedfurthertranslation）。BasicNAT通常運用于這種需求，即互聯(lián)的兩個IP網(wǎng)絡在尋址上不兼容，如用戶的網(wǎng)絡使用私有地址空間，而運行商網(wǎng)絡使用共有地址空間，私有地址在運營商的網(wǎng)絡中是不兼容的，即無法尋址。相較basicNAT，更通常的做法是將整個一段IP地址空間（通常是私有地址）隱藏在一個單獨IP地址或數(shù)量不多的一組IP地址（通常是公有地址）后。所以，這種轉換是一種one‐to‐many（一對多）、或some‐to‐many（多對多）的模式。為了解決這兩種模式可能帶來的歧義性，NAT不僅改動IP首部信息，還會修改TCP/UDP的首部信息，當IP地址和TCP/UDP端口被轉換時，NAT還會將這些轉換記錄在轉換表中（translationtable），以便數(shù)據(jù)流回發(fā)時能正確轉換。這兩種模式在RFC2663中被稱為NAPT（NetworkandPortTranslation，地址及端口轉換），在很多文獻或書籍中也會用術語PAT（PortAddressTranslation，端口地址轉換）、IPmasquerading（IP偽裝）、或NATOverload（NAT過載）。前面幾種類型NAT只能使能由用戶網(wǎng)絡（masqueradednetwork、即地址空間對于運營商網(wǎng)絡是隱藏的）內發(fā)起的通信，如用戶網(wǎng)絡中某用戶的瀏覽器可以瀏覽公網(wǎng)上某站點，但公網(wǎng)上的瀏覽器無法瀏覽用戶網(wǎng)絡的站點。其實大多數(shù)運行NAT的設備都允許管理員手工配置NAT轉換表，這種特性被稱為staticNAT（靜態(tài)NAT）或port轉發(fā)。StaticNAT允許由外部公網(wǎng)發(fā)起的通信，使其可以尋址到用戶網(wǎng)絡內的指定主機。在1990年代中期，NAT成為了緩和IPv4地址耗盡的有效工具，它成為了家用路由器、小型商業(yè)Internet接入的標準和必要的特性。但NAT也存在的一些缺陷，如Internet連接質量會下降（IP首部處理的額外處理開銷）、割斷了原先IP設想的end‐to‐end（端到端）連接模型（雙方無法尋址到對方的真實地址）。所以，NAT只是一種解決地址耗盡問題的過渡方法。四.實驗組織運行要求1.學生在實驗前，請先對實驗中的常用網(wǎng)絡命令的功能和使用方法進行預習，并在預習報告中給出這些信息。2.實驗過程中，請記錄每條命令使用后的顯示信息，并在實驗報告中對這些信息進行說明和解釋。五.實驗條件1.以太網(wǎng)環(huán)境2.思科2811路由器六.實驗步驟場景1及其配置圖A‐2由inside發(fā)起連接的NAT測試場景如圖A‐2，由用戶的計算機組成的LAN作為inside網(wǎng)絡，網(wǎng)關路由器的se0/1/0接口連接的Internet屬于outside網(wǎng)絡。LAN中的計算機通過共享網(wǎng)關路由器的IP地址池、即動態(tài)NAT，來獲得訪問Internet的合法公網(wǎng)地址。Step1：路由器的fa0/0接口作為NAT的inside接口配置示例：Router(config)#interfacefa0/0Router(config‐if)#noshutdownRouter(config‐if)#ipnatinsideStep2：路由器的se0/1/0接口作為NAT的outside接口配置示例：Router(config)#interfacese0/1/0Router(config‐if)#noshutdownRouter(config‐if)#ip