实验三接入交换机上的控制与限制.doc

实验 接入交换机上的控制与限制 【【实验目的】 【需求分析】 通过划分Port VLAN实现交换机的端口隔离，然后使在同一VLAN里的计算机系统能相互通信，而在不同VLAN里的计算机系统不能进行相互通信。【预备知识】 Vlan 和 trunk 已经介绍过。（trunk 默认通过所有的vlan 但它的本征vlan 是vlan 1 ，也就是trunk只接受特定vlan 1 的管理信息） ACL（Access Control List 访问控制列表）可以实现对流经路由器或交换机的数据包根据一定的规则进行过滤，从而提高网络可管理性和安全性。 ACL分为两种：标准访问控制列表和扩展访问控制列表。 标准访问控制列表可以根据数据包的源IP地址来定义规则，实现数据包的过滤。 扩展访问控制列表可以根据数据包的源IP、目的IP、源端口、目的端口、协议来定义规则，实现数据包的过滤。另外还有针对 mac地址进行控制的 Mac ACL。 ACL基于接口进行规则的应用，分为：入栈应用和出栈应用。入栈应用是指，对外部经由接口进入路由器或交换机的数据包，进行过滤。出栈应用是指，路由器或交换机从该接口向外转发数据时，进行数据包的过滤。ACL的配置有两种方式：按照编号的访问控制列表，按照命名的访问控制列表。 标准访问控制列表编号范围是1~99、1300~1999，扩展IP访问控制列表编号范围是100~199、2000~2699。 实验3.1 【实验步骤】 第一步 在交换机上划分VLAN 添加端口，并写明端口注释 Swtich#conf t // 进入全局配置模式 Swtich#(config)vlan 10 //在交换机上建立vlan 10 Swtich(config-vlan)#name vlan10 //注释vlan 10 的名称是 vlan10 Swtich(config-vlan)#vlan 20 //直接进入vlan 20 Swtich(config-vlan)#name vlan20 //注释vlan 20 的名称是 vlan20 Swtich(config-vlan)#exit Swtich(config)#interface range fastEthernet 0/1 - 2 //进入端口配置模式 Swtich(config-if)# sw ac vlan 10 // 设置这两个端口为vlan 10 Swtich(config-if)#exit Swtich(config)#interface range fastEthernet 0/11 - 12 //进入端口配置模式 Swtich(config-if)# sw ac vlan 20 // 设置这两个端口为vlan 20 Swtich(config-if)#exit Swtich(config-if)int ran fa 0/15 - 16 //进入15和16口的端口配置模式 Swtich(config-if)# switchport trunk encapsulation dot1q #有些交换机需用此命令，大部分交换机不用，可跳过这一步 Swtich(config-if)#switchport mode trunk //指明此端口为trunk模式 Swtich(config-if)sw trunk allowed vlan all //指明trunk 允许所有vlan通过，有些交换机的命令可能不一样，请用？学习 Swtich(config-if)des trunk //加注释说明此口为 trunk Swtich(config-if)#exit Swtich(config)#exit Swtich# sh run // 查看配置 Swtich# sh int status // 查看端口状态 注： 交换机上的其他端口要设置为默认的 vlan 1 第二步：验证配置 1 将一台电脑的ip 地址设置为 00 ，并把防火墙关闭；将另一台电脑的ip 地址设置为 00 ，并把防火墙关闭 2 用网线将两台电脑分别连接在交换机的第 1第2端口上，然后先ping 看能否 ping通；再互相ping对方看能否ping 通。 注：第一小组的ip 地址是00等 ，然后ping 第二小组 ip地址是 00等 然后 ping 后面小组依次类推，如是第x小组，ip就是 192.168.x.100。 3 通过以上的ping通的结果，可以得出什么结论？ 正常情况下，都不能ping通本组交换机的地址 （各组交换机ip 不同），而双方是可以相互ping通的。 因为第1和第2