综合实验
需求分析
通过合理的三层网络架构，实现用户接入网络的安全、快捷，不允许VLAN10的用户去访问VLAN30的FTP服务，VLAN20不受限制；VLAN10的用户接口需要配置端口安全，设置最大连接数为3，如果违规则采取shutdown措施，VLAN20的用户接口需要配置端口安全，设置最大连接数为2，如果违规则采取shutdown措施；配置静态路由使用全网互通；配置NAT功能，使用内网用户使用200.1.1.3—200.1.1.6这段地址去访问互联网；将内网的FTP服务发不到互联网上，使用内网地址为192.168.13.254，公网地址为200.1.1.7，并要求可以通过内网地址访问FTP服务器，使用ACL防止冲击波病毒。

实验拓扑图
实验设备
二层交换机2台（Switch0，Switch1）。

三层交换机2台（Multilaye Switch1，Multilaye Switch0）
路由器2台（router0，router1）。

服务器一台（Server0）。

主机两台（PC0，PC1）。

IP地址规划
三层SW0：
VLAN10 192.168.11.1/24
VLAN20 192.168.12.1/24
VLAN30 192.168.13.1/24
三层SW1
VLAN10 192.168.11.2/24
VLAN20 192.168.12.2/24
VLAN30 192.168.13.2/24 F0/11 172.16.1.1/30
R0
F0/0 172.16.1.2/30
F0/1 200.1.1.1/28
R1
F0/1 200.1.1.2/28
主要三层交换机，路由器的配置：
Switch 0
Conf t
Int f0/1
//Switchport mode access
Switchport port-security
Switchport port-security maximum 3 Switchport port-security violation shutdown
Int f0/2
Switchport mode access
Switchport port-security
Switchport port-security maximum 2 Switchport port-security violation shutdown
Int vlan10
Ip add 192.168.11.1 255.255.255.0
No shut
Int vlan20
Ip add 192.168.12.1 255.255.255.0
No shut
Ip add 192.168.13.1 255.255.255.0
No shut
Int range f0/1
//Switchport mode access
Switchport access vlan 10
Int range f0/2
Switchport mode access
Switchport access vlan 20
Int range f0/3
Switchport mode trunk
Swithport trunk allowed vlan 1,10,20,30 Switchport trunk encapsulation dot1q
Int vlan2
Ip add 172.16.1.1 255.255.255.252
No shut
Int range f0/5
Switchport access vlan 2
Ip routing
Ip route 192.168.13.0 255.255.255.0 f0/3 Ip route 172.16.1.0 255.255.255.252 f0/3 Ip route 200.1.1.0 255.255.255.240 f0/3
End
Router rip
Network 192.168.11.0
Network 192.168.12.0
End
Switch 1
Conf t
Int vlan30
Ip add 192.168.13.1 255.255.255.0
No shut
Int range f0/1
Switchport access vlan 30
Int range f0/3
Switchport mode trunk
Swithport trunk allowed vlan 1,10,20,30 Switchport trunk encapsulation dot1q
Ip routing
Ip add 172.16.1.1 255.255.255.252
No shut
Access-list 102 192.168.11.0 0.0.0.255 192.168.13.0 0.0.0.255 Int vlan 30
Ip access-group 102 in
End
Int range f0/2
Switchport access vlan 2
Ip route 192.168.13.0 255.255.255.0 f0/1
Ip route 192.168.11.0 255.255.255.0 f0/3
Ip route 192.168.12.0 255.255.255.0 f0/3
Ip route 172.16.1.0 255.255.255.252 f0/2
Ip route 200.1.1.0 255.255.255.240 f0/2
End
Router rip
Network 192.168.13.0
Network 172.16.1.0
End
Router 0
Conf t
Int f0/0
Ip add 172.16.1.2 255.255.255.252
Ip nat inside
No shut
Int f0/1
Ip add 200.1.1.1 255.255.255.240
Ip nat outside
No shut
Access-list 1 permit 192.168.0.0 0.0.255.255
Ip nat pool test 200.1.1.3 200.1.1.6 netmask 255.255.255.240 Ip nat inside source list 1 pool test overload
Ip nat inside source static 192.168.13.254 200.1.1.7
Ip route 192.168.0.0 255.255.0.0 f0/0
Ip route 172.16.1.0 255.255.255.252 f0/0
Ip route 200.1.1.0 255.255.255.240 f0/1
End
Router rip
Network 172.16.1.0
Network 200.1.1.0
End
access-list 120 deny tcp any any eq 135
access-list 120 deny tcp any any eq 136
access-list 120 deny tcp any any eq 137
access-list 120 deny tcp any any eq 138
access-list 120 deny tcp any any eq 139
access-list 120 deny tcp any any eq 389
access-list 120 deny tcp any any eq 445
access-list 120 deny tcp any any eq 4444
access-list 120 deny udp any any eq 69
access-list 120 deny udp any any eq 135 access-list 120 deny udp any any eq 136 access-list 120 deny udp any any eq 137 access-list 120 deny udp any any eq 138 access-list 120 deny udp any any eq 139 access-list 120 deny udp any any eq snmp access-list 120 deny udp any any eq 389 access-list 120 deny udp any any eq 445 access-list 120 deny udp any any eq 1434 access-list 120 deny udp any any eq 1433 access-list 120 permit ip any any
int f0/0
ip access-group 120 in
end
验证测试
使用show vlan命令测试vlan的划分：
使用sh ip nat translations：
使用sh access—lists 查看：
输入sh ip route命令：
使用ping命令查看访问外网：
实验总结
通过做这个实验发现了自己的不足，上课应该认真听的。

刚开学时，上课随便翻了一下，网络设备与配置这本书，觉得书中讲的不行也就一直没有认真上课，到了真的要自己动手时才知道什么也不会，到处出问题。

做了几天才把这个实验的要求基本完成，有的要求还没有达到。