cisco 3750 vlan dhcp ACL需求配置

公司一台cisco 3750内网交换机做核心交换机用,交换机上层为一台Juniper rtx550防火墙 。网络需求要需要配置vlan、DHCP、同时针对不同的vlan部门需要配置ACL规则 。具体需求如下

一、需求

1、划分三个vlan

vlan2 server 1-8口 服务器所在网络

vlan3 work01 9-16口

vlan4 work02 17-24口

2、网关配置

192.168.2.1/24

192.168.3.1/24

192.168.4.1/24

3、DHCP及预留

每段开启DHCP,每段保留xx.2-xx.10段IP做预留用处  192.168.2.10/24 为AD域服务器,同时兼作DNS服务器,另外再增加两个备用DNS 114.114.114.114 8.8.8.8

4、路由

指定内网所有主机的下一跳路由为192.168.1.2,该IP为Juniper防火墙IP 。

5、ACL规则

VLAN 3和VLAN 4 不允许互相访问,但都可以访问服务器所在的VLAN 2,默认访问控制列表的规则是拒绝所有包。

二、配置命令及步骤

第一步:创建VLAN:

Switch>en
Switch#Vlan Database
Switch(Vlan)>Vlan 2 Name server
Switch(Vlan)>Vlan 3 Name work01
Switch(vlan)>Vlan 4 Name work02

第二步:设置VLAN IP地址:

Switch#config t
Switch(Config)>int Vlan 2
Switch(Config-vlan)Ip Address 192.168.2.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)>int Vlan 3
Switch(Config-vlan)Ip Address 192.168.3.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)>int Vlan 4
Switch(Config-vlan)Ip Address 192.168.4.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)Exit

注意:由于此时没有将端口分配置到VLAN2,3,4,所以各VLAN会DOWN掉,待将端口分配到各VLAN后,VLAN会起来

第三步:设置端口全局参数

Switch(Config)interface Range GigabitEthernet1/0/1 - 24
Switch(Config-if-range)Switchport Mode Access
Switch(Config-if-range)Spanning-tree Portfast

注:上面使用mode access这一段可以去掉,因为access模式主要用于PC、server等,即用在接入层模式时用可以参考百度文库上的相关文档。

第四步:将端口添加到VLAN中

/*将端口1-8添加到VLAN 2*/
Switch(Config)interface Range GigabitEthernet1/0/1 - 8
Switch(Config-if-range)Switchport Access Vlan 2
/*将端口9-16添加到VLAN 3*/
Switch(Config)interface Range GigabitEthernet1/0/9 - 16
Switch(Config-if-range)Switchport Access Vlan 3
/*将端口17-24添加到VLAN 4*/
Switch(Config)interface Range GigabitEthernet1/0/17 - 24
Switch(Config-if-range)Switchport Access Vlan 4
Switch(Config-if-range)Exit
/*经过这一步后,各VLAN会起来*/

第五步:配置DHCP服务器及地址池

/*VLAN 2可用地址池和相应参数的配置,有几个VLAN要设几个地址池*/
Switch(Config)Ip Dhcp Pool Test01
/*设置可分配的子网*/
Switch(Config-pool)Network 192.168.2.0 255.255.255.0
/*设置DNS服务器*/
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
/*设置该子网的网关*/
Switch(Config-pool)Default-router 192.168.2.1
/*配置VLAN 3所用的地址池和相应参数*/
Switch(Config)Ip Dhcp Pool Test02
Switch(Config-pool)Network 192.168.3.0 255.255.255.0
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
Switch(Config-pool)Default-router 192.168.3.1
/*配置VLAN 4所用的地址池和相应参数*/
Switch(Config)Ip Dhcp Pool Test03
Switch(Config-pool)Network 192.168.4.0 255.255.255.0
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
Switch(Config-pool)Default-router 192.168.4.1

注:DHCP和VLAN之间是通过IP衔接的 ,VLAN的网关地址和DHCP池的默认网络地址和网关地址之间进行关联后,就可以知道具体插到某个物理口时,是否能通过DHCP获取到地址。

第六步:设置DHCP保留不分配的地址

Switch(Config)Ip Dhcp Excluded-address 192.168.2.2 192.168.2.10
Switch(Config)Ip Dhcp Excluded-address 192.168.3.2 192.168.3.10
Switch(Config)Ip Dhcp Excluded-address 192.168.4.2 192.168.4.10

第七步:路由及静态路由

/*配置该步后,各vlan间可以互访*/
Switch(config)#ip routing
/* 增加静态路由,所有机器的外网请求指向juniper防火墙 */
Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2

第八步:配置访问控制列表

Switch(Config)access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
Switch(Config)access-list 103 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 103 permit udp any any eq bootpc
Switch(Config)access-list 103 permit udp any any eq tftp
Switch(Config)access-list 103 permit udp any eq bootpc any
Switch(Config)access-list 103 permit udp any eq tftp any
Switch(Config)access-list 104 permit ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
Switch(Config)access-list 104 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 104 permit udp any eq tftp any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq tftp any

第九步:应用访问控制列表

/*将访问控制列表应用到VLAN 3和VLAN 4,VLAN 2不需要*/
Switch(Config)int Vlan 3
Switch(Config-vlan)ip access-group 103 out
Switch(Config-vlan)int Vlan 4
Switch(Config-vlan)ip access-group 104 out

第十步:保存配置并确认

Switch#write memory
Switch#show run-config
/*会输出上面的所有配置信息*/

三、测试

按上面的配置完成后,通过将PC接入到相应的端口,查看是否能获取到地址,两台PC时,分别处于不同的vlan之间时是否可以互访 。

还没有评论,快来抢沙发!

发表评论

  • 😉
  • 😐
  • 😡
  • 😈
  • 🙂
  • 😯
  • 🙁
  • 🙄
  • 😛
  • 😳
  • 😮
  • emoji-mrgree
  • 😆
  • 💡
  • 😀
  • 👿
  • 😥
  • 😎
  • ➡
  • 😕
  • ❓
  • ❗
  • 71 queries in 0.395 seconds