CISCO配置大全.doc

网络地址转换(NAT)互联网如火如荼的应用，加剧了 IP 地址匮乏的问题，为了缓解这一问题，一个重要的应用：NAT(Network Address Translation―网络地址转换)，日益广泛地应用起来NAT 通过地址转换的方式，使企业可以仅使用较少的互联网有效 IP 地址，就能获得互联网接入的能力，有效地缓解了地址不足的问题，同时提供了一定的安全性NAT 的实现方案多种多样，本文以思科 2611 路由器为平台，通过一个实例描述了 NAT 的应用思科路由器上 NAT 通常有 3 种应用方式，分别适用于不同的需求： 1. 静态地址转换：适用于企业内部服务器向企业网外部提供服务（如 WEB，FTP 等） ，需要建立服务器内部地址到固定合法地址的静态映射2. 动态地址转换：建立一种内外部地址的动态转换机制，常适用于租用的地址数量较多的情况；企业可以根据访问需求，建立多个地址池，绑定绑定到不同的部门这样既增强了管理的粒度，又简化了排错的过程3. 端口地址复用：适用于地址数很少，多个用户需要同时访问互联网的情况 如上图所示，企业从 ISP 获得 6 个有效 IP 地址（202.103.100.128~202.103.100.135,掩码为255.255.255.248，128 和 135 为网络地址和广播地址，不可用） ，通过一台 2611 路由器接入互联网。

内部网络根据职能分成若干子网，并期望服务器子网对外提供 WEB 服务，财务部门使用独立的地址池接入互联网，其它部门共用剩余的地址池具体配置步骤如下： 1. 选择 E0 作为内部接口，S0 作为外部接口interface e0 ip address 192.168.100.1 255.255.255.0 ip nat inside /*配置 e0 为内部接口*/ interface s0 ip address 202.103.100.129 255.255.255.248 ip nat outside /*配置 s0 为外部接口*/ 2. 为各部门配置地址池（finance－财务部门；other－其它部门）：ip nat pool finance 202.103.100.131 202.103.100.131 netmask 255.255.255.248 ip nat pool other 202.103.100.132 202.103.100.134 netmask 255.255.255.248 3. 用访问控制列表检查数据包的源地址并映射到不同的地址池 ip nat inside source list 1 pool finance overload /*overload－启用端口复用*/ ip nat inside source list 2 pool other / *动态地址转换*/4. 定义访问控制列表 access-list 1 permit 192.168.20.0 0.0.0.255access-list 2 permit 192.168.30.0 0.0.0.2555. 建立静态地址转换，并开放 WEB 端口(TCP 80)ip nat inside source static tcp 192.168.10.2 80 202.103.100.130 80 6. 设置缺省路由ip route 0.0.0.0 0.0.0.0 s0 经过上述配置后，互联网上的主机可以通过 202.103.100.130:80 访问到企业内部 WEB 服务器192.168.10.2；财务部门的接入请求将映射到 202.103.100.131；其它部门的接入请求被映射到202.103.100.131~134 地址段。

至此，一个企业 NAT 互联网接入方案就完成了 典型以太网络建立多个 VLAN实例：典型以太网络建立多个 VLAN 所谓典型局域网就是指由一台具备三层交换功能的核心交换机接几台分支交换机（不一定具备三层交换能力）我们假设核心交换机名称为：com；分支交换机分别为：par1、par2、par3，分别通过 port 1 的光线模块与核心交换机相连；并且假设 vlan 名称分别为 counter、market、managing…… 需要做的工作： 1、设置 vtp domain（核心、分支交换机上都设置） 2、配置中继（核心、分支交换机上都设置） 3、创建 vlan（在 server 上设置） 4、将交换机端口划入 vlan 5、配置三层交换 1、设置 vtp domain vtp domain 称为管理域 交换 vtp 更新信息的所有交换机必须配置为相同的管理域如果所有的交换机都以中继线相连，那么只要在核心交换机上设置一个管理域，网络上所有的交换机都加入该域，这样管理域里所有的交换机就能够了解彼此的 vlan 列表 com#vlan database 进入 vlan 配置模式 com(vlan)#vtp domain com 设置 vtp 管理域名称 com com(vlan)#vtp server 设置交换机为服务器模式 par1#vlan database 进入 vlan 配置模式 par1(vlan)#vtp domain com 设置 vtp 管理域名称 com par1(vlan)#vtp client 设置交换机为客户端模式 par2#vlan database 进入 vlan 配置模式 par2(vlan)#vtp domain com 设置 vtp 管理域名称 com par2(vlan)#vtp client 设置交换机为客户端模式 par3#vlan database 进入 vlan 配置模式 par3(vlan)#vtp domain com 设置 vtp 管理域名称 com par3(vlan)#vtp client 设置交换机为客户端模式 注意：这里设置核心交换机为 server 模式是指允许在该交换机上创建、修改、删除 vlan 及其他一些对整个 vtp 域的配置参数，同步本 vtp 域中其他交换机传递来的最新的 vlan 信息；client 模式是指本交换机不能创建、删除、修改 vlan 配置，也不能在 nvram中存储 vlan 配置，但可同步由本 vtp 域中其他交换机传递来的 vlan 信息。

2、配置中继为了保证管理域能够覆盖所有的分支交换机，必须配置中继 cisco 交换机能够支持任何介质作为中继线，为了实现中继可使用其特有的 isl 标签isl（inter－switch link）是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个 vlan 信息及 vlan 数据流的协议，通过在交换机直接相连的端口配置 isl 封装，即可跨越交换机进行整个网络的 vlan 分配和进行配置 在核心交换机端配置如下： com(config)#interface gigabitethernet 2/1 com(config-if)#switchport com(config-if)#switchport trunk encapsulation isl 配置中继协议 com(config-if)#switchport mode trunk com(config)#interface gigabitethernet 2/2 com(config-if)#switchport com(config-if)#switchport trunk encapsulation isl 配置中继协议 com(config-if)#switchport mode trunk com(config)#interface gigabitethernet 2/3 com(config-if)#switchport com(config-if)#switchport trunk encapsulation isl 配置中继协议 com(config-if)#switchport mode trunk 在分支交换机端配置如下： par1(config)#interface gigabitethernet 0/1 par1(config-if)#switchport mode trunk par2(config)#interface gigabitethernet 0/1 par2(config-if)#switchport mode trunk par3(config)#interface gigabitethernet 0/1 par3(config-if)#switchport mode trunk …… 此时，管理域算是设置完毕了。

3、创建 vlan 一旦建立了管理域，就可以创建 vlan 了 com(vlan)#vlan 10 name counter 创建了一个编号为 10 名字为 counter 的 vlan com(vlan)#vlan 11 name market 创建了一个编号为 11 名字为 market 的 vlan com(vlan)#vlan 12 name managing 创建了一个编号为 12 名字为 managing 的 vlan 注意，这里的 vlan 是在核心交换机上建立的，其实，只要是在管理域中的任何一台 vtp 属性为server 的交换机上建立 vlan，它就会通过 vtp 通告整个管理域中的所有的交换机但如果要将具体的交换机端口划入某个 vlan，就必须在该端口所属的交换机上进行设置 4、将交换机端口划入 vlan 例如，要将 par1、par2、par3……分支交换机的端口 1 划入 counter vlan，端口 2 划入 market vlan，端口 3 划入 managing vlan…… par1(config)#interface fastethernet 0/1 配置端口 1 par1(config-if)#switchport access vlan 10 归属 counter vlan par1(config)#interface fastethernet 0/2 配置端口 2 par1(config-if)#switchport access vlan 11 归属 market vlan par1(config)#interface fastethernet 0/3 配置端口 3 par1(config-if)#switchport access vlan 12 归属 managing vlan par2(config)#interface fastethernet 0/1 配置端口 1 par2(config-if)#switchport access vlan 10 归属 counter vlan par2(config)#interface fastethernet 0/2 配置端口 2 par2(config-if)#switchport access vlan 11 归属 market vlan par2(config)#interface fastethernet 0/3 配置端口 3 par2(config-if)#switchport access vlan 12 归属 managing vlan par3(config)#interface fastethernet 0/1 配置端口 1 par3(config-if)#switchport access vlan 10 归属 counter vlan par3(config)#interface fastethernet 0/2 配置端口 2 par3(config-if)#switchport acce。