cisco 3750 vlan dhcp ACL需求配置

2014年4月28日 发表评论 阅读评论

公司一台cisco 3750内网交换机做核心交换机用,交换机上层为一台Juniper rtx550防火墙 。网络需求要需要配置vlan、DHCP、同时针对不同的vlan部门需要配置ACL规则 。具体需求如下

一、需求

1、划分三个vlan 

vlan2 server 1-8口 服务器所在网络 

vlan3 work01 9-16口 

vlan4 work02 17-24口 

2、网关配置 

192.168.2.1/24 

192.168.3.1/24 

192.168.4.1/24 

3、DHCP及预留 

每段开启DHCP,每段保留xx.2-xx.10段IP做预留用处  192.168.2.10/24 为AD域服务器,同时兼作DNS服务器,另外再增加两个备用DNS 114.114.114.114 8.8.8.8 

4、路由 

指定内网所有主机的下一跳路由为192.168.1.2,该IP为Juniper防火墙IP 。

5、ACL规则 

 VLAN 3和VLAN 4 不允许互相访问,但都可以访问服务器所在的VLAN 2,默认访问控制列表的规则是拒绝所有包。

二、配置命令及步骤

第一步:创建VLAN:

Switch>en
Switch#Vlan Database
Switch(Vlan)>Vlan 2 Name server
Switch(Vlan)>Vlan 3 Name work01
Switch(vlan)>Vlan 4 Name work02

第二步:设置VLAN IP地址:

Switch#config t
Switch(Config)>int Vlan 2
Switch(Config-vlan)Ip Address 192.168.2.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)>int Vlan 3
Switch(Config-vlan)Ip Address 192.168.3.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)>int Vlan 4
Switch(Config-vlan)Ip Address 192.168.4.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)Exit

注意:由于此时没有将端口分配置到VLAN2,3,4,所以各VLAN会DOWN掉,待将端口分配到各VLAN后,VLAN会起来

第三步:设置端口全局参数

Switch(Config)interface Range GigabitEthernet1/0/1 - 24
Switch(Config-if-range)Switchport Mode Access
Switch(Config-if-range)Spanning-tree Portfast

注:上面使用mode access这一段可以去掉,因为access模式主要用于PC、server等,即用在接入层模式时用可以参考百度文库上的相关文档

第四步:将端口添加到VLAN中

/*将端口1-8添加到VLAN 2*/
Switch(Config)interface Range GigabitEthernet1/0/1 - 8
Switch(Config-if-range)Switchport Access Vlan 2
/*将端口9-16添加到VLAN 3*/
Switch(Config)interface Range GigabitEthernet1/0/9 - 16
Switch(Config-if-range)Switchport Access Vlan 3
/*将端口17-24添加到VLAN 4*/
Switch(Config)interface Range GigabitEthernet1/0/17 - 24
Switch(Config-if-range)Switchport Access Vlan 4
Switch(Config-if-range)Exit
/*经过这一步后,各VLAN会起来*/

第五步:配置DHCP服务器及地址池

/*VLAN 2可用地址池和相应参数的配置,有几个VLAN要设几个地址池*/
Switch(Config)Ip Dhcp Pool Test01
/*设置可分配的子网*/
Switch(Config-pool)Network 192.168.2.0 255.255.255.0
/*设置DNS服务器*/
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
/*设置该子网的网关*/
Switch(Config-pool)Default-router 192.168.2.1
/*配置VLAN 3所用的地址池和相应参数*/
Switch(Config)Ip Dhcp Pool Test02
Switch(Config-pool)Network 192.168.3.0 255.255.255.0
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
Switch(Config-pool)Default-router 192.168.3.1
/*配置VLAN 4所用的地址池和相应参数*/
Switch(Config)Ip Dhcp Pool Test03
Switch(Config-pool)Network 192.168.4.0 255.255.255.0
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
Switch(Config-pool)Default-router 192.168.4.1

注:DHCP和VLAN之间是通过IP衔接的 ,VLAN的网关地址和DHCP池的默认网络地址和网关地址之间进行关联后,就可以知道具体插到某个物理口时,是否能通过DHCP获取到地址。

第六步:设置DHCP保留不分配的地址

Switch(Config)Ip Dhcp Excluded-address 192.168.2.2 192.168.2.10
Switch(Config)Ip Dhcp Excluded-address 192.168.3.2 192.168.3.10
Switch(Config)Ip Dhcp Excluded-address 192.168.4.2 192.168.4.10

第七步:路由及静态路由

/*配置该步后,各vlan间可以互访*/
Switch(config)#ip routing
/* 增加静态路由,所有机器的外网请求指向juniper防火墙 */
Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2 

第八步:配置访问控制列表

Switch(Config)access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
Switch(Config)access-list 103 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 103 permit udp any any eq bootpc
Switch(Config)access-list 103 permit udp any any eq tftp
Switch(Config)access-list 103 permit udp any eq bootpc any
Switch(Config)access-list 103 permit udp any eq tftp any
Switch(Config)access-list 104 permit ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
Switch(Config)access-list 104 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 104 permit udp any eq tftp any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq tftp any

第九步:应用访问控制列表

/*将访问控制列表应用到VLAN 3和VLAN 4,VLAN 2不需要*/
Switch(Config)int Vlan 3
Switch(Config-vlan)ip access-group 103 out
Switch(Config-vlan)int Vlan 4
Switch(Config-vlan)ip access-group 104 out

第十步:保存配置并确认

Switch#write memory
Switch#show run-config
/*会输出上面的所有配置信息*/

三、测试

按上面的配置完成后,通过将PC接入到相应的端口,查看是否能获取到地址,两台PC时,分别处于不同的vlan之间时是否可以互访 。




本站的发展离不开您的资助,金额随意,欢迎来赏!

You can donate through PayPal.
My paypal id: itybku@139.com
Paypal page: https://www.paypal.me/361way

分类: 平台架构 标签:
  1. 本文目前尚无任何评论.
  1. 本文目前尚无任何 trackbacks 和 pingbacks.