备案控制台
探索云世界
开发者社区 数据库 文章 正文

策略路由案例（三）：交换机策略路由

2017-11-12 1261
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

用户需求如下：

vlan10和vlan11不能互访，但能访问vlan12服务器
vlan10只能通过RT5上网，vlan11只能通过RT6上网
vlan12不能上网
配置思路步骤：
1.基本信息配置（SW1、RT5、RT6）
2.边界网络对界（RT5静态路由）
3.SW1策略路由，RT6静态路由
4.边界设备INTERNET对界（缺省路由）
5.业务访问控制（VLAN10和VLAN11不能互访）
6.全网测试及排错
 
基本配置：
SW1>en
SW1#vlan data
SW1(vlan)#vtp tran
SW1(vlan)#vlan 10
SW1(vlan)#vlan 11
SW1(vlan)#vlan 12    //在VLAN数据库中添加VLAN
SW1(vlan)#exit
SW1#config t
SW1(config)#int vlan 10
SW1(config-if)#ip add 192.168.10.1 255.255.255.0
SW1(config-if)#no shut
SW1(config-if)#int vlan 11
SW1(config-if)#ip add 192.168.11.1 255.255.255.0
SW1(config-if)#no shut
SW1(config-if)#int vlan 12
SW1(config-if)#ip add 192.168.12.1 255.255.255.0
SW1(config-if)#no shut
SW1(config-if)#int f1/10
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 10
SW1(config-if)#int f1/11
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 11
SW1(config-if)#int f1/12
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 12
SW1(config-if)#int f1/12
SW1(config-if)#switchport mode access
SW1(config-if)#switchport access vlan 12
SW1(config-if)#int f1/1
SW1(config-if)#no switchport
SW1(config-if)#ip add 192.168.1.1 255.255.255.252
SW1(config-if)#no shut
SW1(config-if)#int f1/2
SW1(config-if)#no switchport
SW1(config-if)#ip add 192.168.1.5 255.255.255.252
SW1(config-if)#no shut
SW1(config-if)#exit
SW1(config)#ip routing
SW1(config)#ip route 192.168.0.0 255.255.0.0 null 0  //添加黑洞路由
SW1(config)#access-list 101 deny ip 192.168.10.0 0.0.0.255 192.168.0.0 0.0.255.255      //防止VLAN10访问内网的流量被策略路由
SW1(config)#access-list 101 permit ip 192.168.10.0 0.0.0.255 any
//区分VLAN11的流量
SW1(config)#access-list 102 deny ip 192.168.11.0 0.0.0.255 192.168.0.0 0.0.255.255    //防止VLAN11访问内网的流量被策略路由
SW1(config)#access-list 102 permit ip 192.168.11.0 0.0.0.255 any 
//区分VLAN11的流量
SW1(config)#access-list 103 deny ip  192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255  //VLAN10和VLAN11不能互访
SW1(config)#access-list 103 permit ip any any //允许VLAN10访问其它
SW1(config)#int vlan 10
SW1(config-if)#exit      
SW1(config)#route-map RT5 permit 10  //建立通过RT5访问INTERNET的ROUTE-MAP
SW1(config-route-map)#match ip address 101 //匹配IP地址
SW1(config-route-map)#set ip next-hop 192.168.1.2//为匹配流量设置下一跳
SW1(config-route-map)#exit
SW1(config)#route-map RT6 permit 10//建立通过RT6访问INTERNET的ROUTER-MAP
SW1(config-route-map)#match ip address 102//匹配IP地址
SW1(config-route-map)#set ip next-hop 192.168.1.6//为匹配流量设置下一跳
SW1(config-route-map)#exit
SW1(config)#int vlan 10
SW1(config-if)#ip policy route-map RT5 //在VLAN10中绑定ROUTE-MAP
SW1(config-if)#ip access-group 103 in //在IN方向启用访问控制列表
SW1(config-if)#int vlan 11
SW1(config-if)#ip policy route-map RT6//在VLAN11中绑定ROUTE-MAP
RT5(config)#int f2/0
RT5(config-if)#ip add 192.168.1.2 255.255.255.252
RT5(config-if)#no shut
RT5(config-if)#int f1/0
RT5(config-if)#ip add 202.202.1.2 255.255.255.252 
RT5(config-if)#no shut
RT5(config-if)#exit
RT5(config)#ip route 0.0.0.0 0.0.0.0 202.202.1.1//去往公网的路由
RT5(config)#ip route 192.168.0.0 255.255.0.0 192.168.1.1//去往内部的路由
  RT5(config)#access-list 10 permit 192.168.10.0 0.0.0.255//定义需NAT的流量
RT5(config)#int f1/0
RT5(config-if)#ip nat inside//定义NAT的内部接口
RT5(config-if)#int f2/0
RT5(config-if)#ip nat outside//定义NAT的外部接口
RT5(config)#ip nat inside source list 10 int f1/0 overload//启用NAT转换
RT6(config)#int f2/0
RT6(config-if)#ip add 192.168.1.6 255.255.255.252
RT6(config-if)#no shut
RT6(config-if)#int f1/0
RT6(config-if)#ip add 202.202.2.2 255.255.255.252
RT6(config-if)#no shut
RT6(config-if)#exit
RT6(config)#ip route 0.0.0.0 0.0.0.0 202.202.2.1
RT6(config)#ip route 192.168.0.0 255.255.0.0 192.168.1.5
RT6(config)#access-list 10 permit 192.168.11.0 0.0.0.255 //定义需NAT的流量
RT6(config)#int f1/0
RT6(config-if)#ip nat inside
RT6(config-if)#int f2/0
RT6(config-if)#ip nat outsid
RT6(config)#ip nat inside source list 10 int f1/0 overload
 
测试过程：
VPCS 1 >ping 202.202.1.2
202.202.1.2 icmp_seq=1 time=130.000 ms
202.202.1.2 icmp_seq=2 time=46.000 ms
202.202.1.2 icmp_seq=3 time=67.000 ms
202.202.1.2 icmp_seq=4 time=63.000 ms
202.202.1.2 icmp_seq=5 time=105.000 ms
*Mar  1 00:44:57.915: IP: tableid=0, s=192.168.10.100 (Vlan10), d=202.202.1.2 (FastEthernet1/1), routed via FIB
*Mar  1 00:44:57.919: IP: s=192.168.10.100 (Vlan10), d=202.202.1.2, len 84, policy match
*Mar  1 00:44:57.923: IP: route map RT5, item 10, permit
*Mar  1 00:44:57.923: IP: s=192.168.10.100 (Vlan10), d=202.202.1.2 (FastEthernet1/1), len 84, policy routed
*Mar  1 00:44:57.927: IP: Vlan10 to FastEthernet1/1 192.168.1.2
*Mar  1 00:44:57.931: IP: s=192.168.10.100 (Vlan10), d=202.202.1.2 (FastEthernet1/1), g=192.168.1.2, len84, forward
*Mar  1 00:44:58.027: IP: tableid=0, s=202.202.1.2 (FastEthernet1/1), d=192.168.10.100 (Vlan10), routed via FIB
*Mar  1 00:44:58.031: IP: s=202.202.1.2 (FastEthernet1/1), d=192.168.10.100 (Vlan10), g=192.168.10.100, len 84, forward
VPCS 2 >ping 202.202.2.2
202.202.2.2 icmp_seq=1 time=61.000 ms
202.202.2.2 icmp_seq=2 time=77.000 ms
202.202.2.2 icmp_seq=3 time=84.000 ms
202.202.2.2 icmp_seq=4 time=103.000 ms
202.202.2.2 icmp_seq=5 time=37.000 ms
*Mar  1 00:45:56.839: IP: tableid=0, s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/1), routed via FIB
*Mar  1 00:45:56.839: IP: s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/2), g=192.168.1.6, len 84, forward
*Mar  1 00:45:57.819: IP: tableid=0, s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/1), routed via FIB
*Mar  1 00:45:57.823: IP: s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/2), g=192.168.1.6, len 84, forward
*Mar  1 00:45:58.807: IP: tableid=0, s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/1), routed via FIB
*Mar  1 00:45:58.811: IP: s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/2), g=192.168.1.6, len 84, 
*Mar  1 00:45:59.847: IP: tableid=0, s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/1), routed via FIB
*Mar  1 00:45:59.851: IP: s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/2), g=192.168.1.6, len 84, forward
*Mar  1 00:46:00.827: IP: tableid=0, s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/1), routed via FIB
*Mar  1 00:46:00.831: IP: s=192.168.11.100 (Vlan11), d=202.202.2.2 (FastEthernet1/2), g=192.168.1.6, len 84, forward
：
 
实验总结：
 192．168．10．100访问INTERNET分析：
 192．168．10．100将数据交给SW1的SVI接口192.168.10.1,因为在VLAN10的SVI接口上做了策略路由，设置下一跳为192 .168.1.2，从VLAN10过来的数据将匹配策略路由，将数据发往192.168.1.2。在RT1上做NAT将192.168.10.0/24的数据转换成F1/0的IP 202.202.1.2，同时将转换的地址记录到NAT的转换表中，将数据发往INTERNET，回应的数据通过F1/0的NAT入处理，查找NAT转换表，找到对应的内网IP地址，通过查找路由，将数据从F2/0转发，最后数据交付给目的主机。
 

本文转自 tangfangxiao 51CTO博客，原文链接:
http://blog.51cto.com/tangfangxiao/631310
文章标签：
数据安全/隐私保护
网络虚拟化
数据库
科技小能手
目录
相关文章
m0_58076958
|
7月前
|
网络架构
路由器和静态路由的配置
路由器和静态路由的配置
m0_58076958
133 0
玥轩
|
7月前
|
网络架构
交换机与路由器技术-07-静态路由配置
交换机与路由器技术-07-静态路由配置
玥轩
30 0
玥轩
|
7月前
|
网络架构
交换机与路由器技术-12-单臂路由
交换机与路由器技术-12-单臂路由
玥轩
38 0
玥轩
|
7月前
|
网络架构
交换机与路由器技术-34-动态NAT
交换机与路由器技术-34-动态NAT
玥轩
40 1
玥轩
|
7月前
|
网络架构
交换机与路由器技术-14-三层交换机配置
交换机与路由器技术-14-三层交换机配置
玥轩
38 0
扯淡散人
|
安全 网络协议 Shell
交换机 路由器配置
交换机 路由器配置
扯淡散人
216 0
牧鸯人
|
网络协议 网络虚拟化 网络架构
多出口NAT策略路由案例
配置思路: 基础拓扑搭建. 划分VLAN，配置access/trunk/SVI，IP 地址 配置内网路由(汇聚于核心跑OSPF) 规划外网路由与NAT
牧鸯人
92 0
多出口NAT策略路由案例
技术小牛人
|
网络安全 网络虚拟化 数据安全/隐私保护
Cisco交换机做策略路由
技术小牛人
2252 0
技术小牛人
25.策略路由
技术小牛人
1021 0
科技小能手
|
iOS开发 网络架构
策略路由总结
科技小能手
960 0

热门文章

最新文章

  • 1
    疑犯追踪第一季/全集Person Of Interest迅雷下载
  • 2
    【直播系列之一】1篇文章看懂峰值带宽、流量、转码、连麦、截图五大直播计费方式
  • 3
    理解事务的4种隔离级别
  • 4
    阿里云网站域名备案流程全过程讲解(图文)
  • 5
    在服务器的raid1中安装windows server系统（踩坑记录）
  • 6
    如何用Vue实现简易的富文本编辑器，并支持Markdown语法
  • 7
    怎么才能快速提高小程序留存率！
  • 8
    程序员请放下浮躁的心
  • 9
    如何解决域中普通用户只限于10台客户机加入域的数量问题
  • 10
    博客园模板 样式优化
  • 1
    未来技术纵横谈：区块链、物联网与虚拟现实的融合与创新
    35
  • 2
    软件体系结构 - 缓存技术（9）缓存穿透
    30
  • 3
    提升Android应用性能的实用技巧
    33
  • 4
    工具变量法(两阶段最小二乘法2SLS)线性模型分析人均食品消费时间序列数据和回归诊断（下）
    34
  • 5
    软件体系结构 - 缓存技术（8）缓存雪崩
    36
  • 6
    软件体系结构 - 缓存技术（7）Redis持久化方法
    36
  • 7
    Python用KShape对时间序列进行聚类和肘方法确定最优聚类数k可视化
    26
  • 8
    软件体系结构 - 缓存技术（6）淘汰策略
    31
  • 9
    基于R语言股票市场收益的统计可视化分析
    34
  • 10
    软件体系结构 - 数据分片（2）一致性哈希分片
    36

    • 相关电子书

    更多
  • 子网路由介绍
  • 探索连接的最后十秒钟“落时”的网关
  • 低代码开发师（初级）实战教程
    • 下一篇
    部署LAMP环境（Alibaba Cloud Linux 3）