使用两台 三层交换机 来配置网络

VLAN 配置、 三层交换机 的 SVI 配置、 ACL 配置。假设使用两台 三层交换机 来配置网络

网络拓扑设计

首先，网络拓扑如下：

                          +---------------------------+
                          |       三层交换机1 (L3)      |
                          |    VLAN 10: 192.168.2.1/24  |
                          |    VLAN 20: 192.168.3.1/24  |
                          |    VLAN 30: 192.168.4.1/24  |
                          +------------|-----------------+
                                       |
                           trunk 链接 | trunk 链接
                                       |
                          +------------|-----------------+
                          |       三层交换机2 (L3)      |
                          |    VLAN 10: 192.168.2.2/24  |
                          |    VLAN 20: 192.168.3.2/24  |
                          |    VLAN 30: 192.168.4.2/24  |
                          +-----------------------------+
                                       |
                   +-------------------+-------------------+
                   |                   |                   |
       +------------------+  +------------------+  +-------------------+
       | 研发部门计算机    |  | 总裁办公室计算机    |  | 财务部门服务器    |
       |  IP: 192.168.2.x  |  | IP: 192.168.3.x    |  | IP: 192.168.4.x   |
       +------------------+  +------------------+  +-------------------+

配置目标

1. VLAN 配置：将不同部门划分到不同的 VLAN。
2. 三层交换机配置：为每个 VLAN 配置 SVI（虚拟接口），并启用 VLAN 间路由。
3. ACL 配置：禁止 研发部门 VLAN 10 访问 财务服务器（VLAN 30），但允许 总裁办公室 VLAN 20 访问 财务服务器。

步骤1：VLAN 配置

首先，在 三层交换机 1 和 三层交换机 2 上分别创建 VLAN 10、VLAN 20 和 VLAN 30。

三层交换机1配置

Switch1# configure terminal
# 创建VLAN
Switch1(config)# vlan 10
Switch1(config-vlan)# name R&D
Switch1(config-vlan)# exit
Switch1(config)# vlan 20
Switch1(config-vlan)# name CEO
Switch1(config-vlan)# exit
Switch1(config)# vlan 30
Switch1(config-vlan)# name Finance
Switch1(config-vlan)# exit

三层交换机2配置

Switch2# configure terminal
# 创建VLAN
Switch2(config)# vlan 10
Switch2(config-vlan)# name R&D
Switch2(config-vlan)# exit
Switch2(config)# vlan 20
Switch2(config-vlan)# name CEO
Switch2(config-vlan)# exit
Switch2(config)# vlan 30
Switch2(config-vlan)# name Finance
Switch2(config-vlan)# exit

步骤2：SVI（虚拟接口）配置

为了让不同的 VLAN 之间能够互相通信，我们需要在三层交换机上配置 SVI（Virtual Switch Interface），为每个 VLAN 分配一个 IP 地址。

三层交换机1配置

Switch1# configure terminal
# 配置VLAN 10 SVI
Switch1(config)# interface vlan 10
Switch1(config-if)# ip address 192.168.2.1 255.255.255.0
Switch1(config-if)# no shutdown
Switch1(config-if)# exit

# 配置VLAN 20 SVI
Switch1(config)# interface vlan 20
Switch1(config-if)# ip address 192.168.3.1 255.255.255.0
Switch1(config-if)# no shutdown
Switch1(config-if)# exit

# 配置VLAN 30 SVI
Switch1(config)# interface vlan 30
Switch1(config-if)# ip address 192.168.4.1 255.255.255.0
Switch1(config-if)# no shutdown
Switch1(config-if)# exit

三层交换机2配置

Switch2# configure terminal
# 配置VLAN 10 SVI
Switch2(config)# interface vlan 10
Switch2(config-if)# ip address 192.168.2.2 255.255.255.0
Switch2(config-if)# no shutdown
Switch2(config-if)# exit

# 配置VLAN 20 SVI
Switch2(config)# interface vlan 20
Switch2(config-if)# ip address 192.168.3.2 255.255.255.0
Switch2(config-if)# no shutdown
Switch2(config-if)# exit

# 配置VLAN 30 SVI
Switch2(config)# interface vlan 30
Switch2(config-if)# ip address 192.168.4.2 255.255.255.0
Switch2(config-if)# no shutdown
Switch2(config-if)# exit

步骤3：Trunk 配置

为了让两个三层交换机之间能够传递多个 VLAN 信息，我们需要配置 trunk 链接。

三层交换机1与三层交换机2之间的 trunk 配置

Switch1(config)# interface range fa0/1 - 2
Switch1(config-if-range)# switchport mode trunk
Switch1(config-if-range)# exit

Switch2(config)# interface range fa0/1 - 2
Switch2(config-if-range)# switchport mode trunk
Switch2(config-if-range)# exit

步骤4：ACL 配置

为了满足 禁止研发部门 VLAN 10 访问财务服务器 的需求，我们需要配置 访问控制列表（ACL）。

创建 ACL 来限制访问

我们将在 三层交换机1 上配置 ACL，禁止来自 VLAN 10 的流量访问 VLAN 30。同时，允许 总裁办公室 VLAN 20 访问 VLAN 30。

# 创建 ACL 100
Switch1(config)# access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
Switch1(config)# access-list 100 permit ip any any

将 ACL 应用到 VLAN 10 的入口流量

# 将 ACL 应用到 VLAN 10 的入口流量
Switch1(config)# interface vlan 10
Switch1(config-if)# ip access-group 100 in

步骤5：验证配置

验证 VLAN 配置

可以通过以下命令查看 VLAN 配置是否正确：

Switch1# show vlan brief
Switch2# show vlan brief

验证 SVI 配置

可以通过以下命令检查每个 VLAN 的 SVI 是否已经启用，并且 IP 地址配置是否正确：

Switch1# show ip interface brief
Switch2# show ip interface brief

验证 ACL 配置

通过以下命令检查 ACL 是否生效：

Switch1# show access-lists 100

测试通信

• 从 研发部门计算机（192.168.2.x） 尝试访问 财务服务器（192.168.4.x），应该被 ACL 拒绝。
• 从 总裁办公室计算机（192.168.3.x） 尝试访问 财务服务器（192.168.4.x），应该是允许的。

总结

1. VLAN 配置：我们在 三层交换机 上配置了 VLAN 10（研发部门）、VLAN 20（总裁办公室）和 VLAN 30（财务部门），并分配了对应的 IP 地址。

2. SVI 配置：每个 VLAN 配置了一个 SVI（虚拟接口），并为每个接口分配了 IP 地址，使得各 VLAN 之间可以进行路由。

3. Trunk 配置：两个三层交换机之间的 trunk 链接 配置确保了多个 VLAN 的信息能够互通。

4. ACL 配置：创建了一个访问控制列表，禁止 研发部门 访问 财务服务器，而允许 总裁办公室 访问财务服务器。

5. 验证：通过命令验证了每个配置的正确性，确保网络按预期工作。

这种配置能够满足企业对 安全性 和 访问控制 的需求，同时保证网络中的各部门能够根据需要进行互联和互通。

ACL的基本配置_acl配置-优快云博客