内容提要路由、交换与远程访问技术不仅仅是思科的CCNP课程及考试的重点。
更是现代计算机网络领域中三大支撑技术体系。
它们几乎涵盖了一个完整园区网实现的方方面面。
常常有学员说无法学以致用，其实，CCNP课程中的每个章节都对应着实际工程中的每个小的案例。
只不过，实际工程是各个小案例的综合。
在遇到一个实际工程的时候，我们不妨采用自顶向下、模块化的方法、参考3层模型来进行工程的设计和实施。
本文以实例的形式对校园网络的设计方案进行分析并给出校园网络关键设备的配置步骤、配置命令以及诊断命令和方法。
通过本文，相信读者能够系统地掌握中小型园区网的设计、实施以及维护方法及技巧。
关于作者天津大学计算机硕士，ChinaITLab 网校教研中心讲师，曾任华北航天工业学院网管、优秀教师。
具有近十年的系统集成项目设计及实施经验。
精通多种网络产品及技术，拥有 CCIE、CIW、MCSE 2000 等证书。
拥有扎实的计算机网络系统理论基础，在国家级出版社主编出版过多部网络著作。
公开发表过多篇网络安全相关的论文。
具有Visual Basic 、Visual Foxpro 、PowerBuilder 、Visual C++ 等编程开发经历。
曾作为主要技术负责人承担过多个网络安全管理、入侵检测等科研项目的开发工作。
拥有多年的成功授课及培训经验。
目录目录 (I)1 系统总体设计方案概述 (1)1.1 系统组成与拓扑结构 (2)1.2 VLAN及IP地址规划 (3)2 交换模块设计 (4)2.1 访问层交换服务的实现－配置访问层交换机 (5)2.1.1 配置访问层交换机AccessSwitch1的基本参数 (5)2.1.2 配置访问层交换机AccessSwitch1的管理IP、默认网关 (7)2.1.3 配置访问层交换机AccessSwitch1的VLAN及VTP (8)2.1.4 配置访问层交换机AccessSwitch1端口基本参数 (9)2.1.5 配置访问层交换机AccessSwitch1的访问端口 (9)2.1.6 配置访问层交换机AccessSwitch1的主干道端口 (11)2.1.7 配置访问层交换机AccessSwitch2 (11)2.1.8 访问层交换机的其它可选配置 (12)2.2 分布层交换服务的实现－配置分布层交换机 (13)2.2.1 配置分布层交换机DistributeSwitch1的基本参数 (14)2.2.2 配置分布层交换机DistributeSwitch1的管理IP、默认网关 (14)2.2.3 配置分布层交换机DistributeSwitch1的VTP (15)2.2.4 在分布层交换机DistributeSwitch1上定义VLAN (16)2.2.5 配置分布层交换机DistributeSwitch1的端口基本参数 (17)2.2.6 配置分布层交换机DistributeSwitch1的3层交换功能 (18)2.2.7 配置分布层交换机DistributeSwitch2 (19)2.2.8 其它配置 (20)2.3 核心层交换服务的实现－配置核心层交换机 (20)2.3.1 配置核心层交换机CoreSwitch1的基本参数 (21)2.3.2 配置核心层交换机CoreSwitch1的管理IP、默认网关 (21)2.3.3 配置核心层交换机CoreSwitch1的的VLAN及VTP (22)2.3.4 配置核心层交换机CoreSwitch1的端口参数 (22)2.3.5 配置核心层交换机CoreSwitch1的路由功能 (23)2.3.6 其它配置 (24)2.3.7 核心层交换机CoreSwitch2的配置 (24)3 广域网接入模块设计 (24)3.1 配置接入路由器InternetRouter的基本参数 (25)3.2 配置接入路由器InternetRouter的各接口参数 (25)3.3 配置接入路由器InternetRouter的路由功能 (26)3.4 配置接入路由器InternetRouter上的NAT (26)3.5 配置接入路由器InternetRouter上的ACL (28)3.6 其它配置 (31)4 远程访问模块设计 (31)4.1 配置物理线路的基本参数 (32)4.2 配置接口基本参数 (32)4.3 配置身份认证 (33)5 服务器模块设计 (34)6 系统测试 (36)6.1 系统测试 (36)6.2 相关测试、诊断命令 (36)6.2.1 通用测试、诊断命令 (36)6.2.2 CDP测试、诊断命令 (39)6.2.3 路由和路由协议测试、诊断命令 (41)6.2.4 VLAN、VTP测试、诊断命令 (41)6.2.5 生成树测试、诊断命令 (42)6.2.6 NAT测试、诊断命令 (43)6.2.7 ACL测试、诊断命令 (43)6.2.8 远程访问测试、诊断命令 (44)总结 (44)附录: 资源 (45)ChinaITLab网校名师原创作品系列 版权所有,盗版必究××（中小型）校园网设计方案实例本文以实例的形式对校园网络的设计方案进行分析并给出校园网络关键设备的配置步骤、配置命令以及诊断命令和方法。
通过本文，相信读者能够系统地掌握中小型园区网的设计、实施以及维护方法及技巧。
1 系统总体设计方案概述校园网络（COMPUS NETWORK，下文中也称为园区网络）是非常典型的综合网络实例。
为了阐明主要问题，在本设计方案中对实际校园网的设计进行了适当的和必要的简化。
同时，将重点放在网络主干的设计上，对于服务器的架设只作简单介绍，具体内容参考有关参考书。
如图1-1所示，是该校园网网络的总体拓扑结构图。
图1-1 ××校园网网络的总体拓扑结构ChinaITLab网校名师原创作品系列 版权所有,盗版必究在上面的拓扑图中，学校的6个主要集中接入点（计算机系、管理系、建筑系、财务处、教务处、学生宿舍）通过冗余的光纤链路上连到信息中心的核心层交换机上。
核心层交换机通过Cisco 3640路由器接入因特网。
此外，教工宿舍及移动办公用户通过拨号方式接入路由器3640来访问校园网内网及因特网。
图中，以计算机系为例展示了每个建筑物内部的网络设备拓扑结构，并给出了信息中心内部的网络设备拓扑结构。
在接下来的讨论中，我们将展开并详细讨论每个模块的设计内容。
1.1 系统组成与拓扑结构为了实现网络设备的统一，本设计方案中完全采用同一厂家的网络产品，即Cisco公司的网络设备构建。
全网使用同一厂商设备的主要好处在于可以实现各种不同网络设备功能的互相配合和补充。
本校园网设计方案主要由以下四大部分构成：交换模块、广域网接入模块、远程访问模块、服务器模块。
整个网络系统的拓扑结构图如图1-2所示。
ChinaITLab网校名师原创作品系列 版权所有,盗版必究图1-2 校园网整体拓扑结构图1.2 VLAN及IP地址规划在一个大、中型网络里，VLAN的划分是必不可少的步骤之一。
在本校园网设计实例中，整个校园网中VLAN及IP编址方案如表1所示。
表1 VLAN及IP编址方案ChinaITLab网校名师原创作品系列 版权所有,盗版必究除了表1中的内容外，拨号用户从192.168.200.0/27中动态取得IP地址。
为了简化起见，除了管理VLAN外，这里只规划了8个VLAN，同时为每个VLAN定义了一个由拼音缩写组成的VLAN名称。
2 交换模块设计一个好的校园网设计应该是一个分层的设计。
一般分为三层设计模型。
为了简化交换网络设计、提高交换网络的可扩展性，在园区网内部数据交换模块的部署是分层进行的。
园区网数据交换设备可以划分为三个层次：访问层、分布层、核心层。
传统意义上的数据交换发生在OSI模型的第2层。
现代交换技术还实现了第3层交换和多层交换。
高层交换技术的引入不但提高了园区网数据交换的效率，更大大增强了园区网数据交换服务质量，满足了不同类型网络应用程序的需要。
现代交换网络还引入了虚拟局域网（Virtual LAN，VLAN）的概念。
VLAN 将广播域限制在单个VLAN内部，减小了各VLAN间主机的广播通信对其他VLAN的影响。
在VLAN间需要通信的时候，可以利用VLAN间路由技术来实现。
当网络管理人员需要管理的交换机数量众多时，可以使用VLAN中继协议（Vlan Trunking Protocol，VTP）简化管理，它只需在单独一台交换机上定义所有VLAN。
然后通过VTP协议将VLAN定义传播到本管理域中的所有交换机上。
这样，大大减轻了网络管理人员的工作负担和工作强度。
当园区网络的交换机数量增多、交换机间链路增加时，交换网络的复杂性可能会造成交换环路问题，这需要通过在各交换机上运行生成树协议（Spanning Tree Protocol，STP）来解决。
ChinaITLab网校名师原创作品系列 版权所有,盗版必究2.1 访问层交换服务的实现－配置访问层交换机访问层为所有的终端用户提供一个接入点。
这里的访问层交换机采用的是Cisco Catalyst 2950 24口交换机（WS-C2950-24）。
该交换机拥有24个10/100Mbps自适应快速以太网端口，运行的是Cisco的IOS操作系统。
这里，以图2-1中的访问层交换机AccessSwitch1为例进行介绍。
如图2-1所示：图2-1 访问层交换机AccessSwitch12.1.1 配置访问层交换机AccessSwitch1的基本参数1、设置交换机名称设置交换机名称，也就是出现在交换机CLI提示符中的名字。
一般以地理位置或行政划分来为交换机命名。
当需要Telnet登录到若干台交换机以维护一个大型网络时，通过交换机名称提示符提示自己当前配置交换机的位置是很有必要的。
如图2-2所示，为访问层交换机AccessSwitch1命名。
图2-2 为访问层交换机AccessSwitch1命名ChinaITLab网校名师原创作品系列 版权所有,盗版必究2、设置交换机的加密使能口令当用户在普通用户模式而想要进入特权用户模式时，需要提供此口令。
此口令会以MD5的形式加密，因此，当用户查看配置文件时，无法看到明文形式的口令。
如图2-3所示，将交换机的加密使能口令设置为secretpasswd。
图2-3 为交换机设置加密使能口令3、设置登录虚拟终端线时的口令对于一个已经运行着的交换网络来说，交换机的带内远程管理为网络管理人员提供了很多的方便。
但是，出于安全考虑，在能够远程管理交换机之前网络管理人员必须设置远程登录交换机的口令。
如图2-4所示，设置登录交换机时需要验证用户身份，同时设置口令为youguess。