5.5 拓展训练 多分支机构 企业网互联
主要内容
1．项目描述
某企业在北京建设了自己的国内总部。为满足公司经营、管理的需要，现在需要建立公司信息化网络。总部办公区设有市场部、综合部、技术部等3个部门，并在广州和上海各设立一个分部。总部通过防火墙接入Internet，广州分部通过路由器RT3接入Internet。总部与上海分部之间部署了一条DDN专线，通过路由器RT1和RT2实现企业内部网络互联。广州分部与上海分部之间部署了一条SDH专线，通过路由器RT3和RT2实现两个分部的企业内部网络互联。
根据这个企业的建网需求，某系统集成公司进行网络规划和部署。为了确保部署成功，在前期进行仿真测试。请根据要求在网络设备上进行实际操作，完成IP 地址规划、VLAN 、VPN 、路由协议、网络安全与可靠性等配置任务，拓扑图如图5-48所示。
1.1拓扑设计
图5-48多分支机构企业网互联拓扑图
2．项目要求
（1）IP地址规划
北京总部信息点分布为：市场部100个、综合部50个、技术部20个。
上海分部信息点100个，广州分部信息点200个。
请根据信息点分布，规划各个设备的接口IP地址。
（2）链路可靠性配置
广域网链路可靠性：RT1 与 RT2 使用广域网串口线连接。为了安全起见，使用单向 CHAP 验证（用户名+密码的方式），上海分部为被验证方，北京总部为主验证方，验证口令为 123456。RT2 与 RT3 使用广域网串口线连接，使用单向PAP验证，上海分部为被验证方，广州分部为主验证方，用户名为pap，验证口令为123456。
链路聚合：数据中心交换机与 SW2 、SW3 的互连链路间采用链路聚合方式。
（3）OSPF路由配置
在所有三层设备上启用OSPF协议。OSPF 协议配置具体要求如下：
总部网络配置为OSPF的骨干区域，上海分部配置为 OSPF Area 100，广州分部配置为 OSPF Area 200 。UTM 和 RT1 为 ABR。SW2、SW3为Area 0区域内部路由器，RT2为Area 100区域内部路由器，RT3为Area 200区域内部路由器。
在RT1上，将E0/0、E0/1、Loopback0接口加入Area0，将S1/0接口加入Area100。在Firewall上，将G0/1、G0/2、G0/3、Loopback0接口加入Area0，将GRE隧道接口加入Area200。在RT2上，将S1/0、E0/0、Loopback0接口加入Area100。在RT3上，将GRE隧道接口、Loopback0、Loopback1接口加入Area200 。RT2 与 RT3 之间的 SDH 串口互联链路不要加入OSPF路由域中。
为Area 0配置区域间路由汇总，将总部路由汇总为172.20.0.0/16发布到其他区域。
（4）STP及VRRP配置
在交换机SW1、SW2、SW3、IRF上配置MSTP防止二层环路；在三层交换机SW2和SW3上配置VRRP，实现主机的网关冗余。要求如下：
综合部、技术部内主机的数据流经由三层交换机SW2转发，不允许经由SW3转发；当SW2的上行链路发生故障时，主机的数据流切换到经SW3转发；故障恢复后，主机的数据流又能够切换回去。
市场部内主机的数据流经由三层交换机SW3转发（不允许经由SW2转发）；当SW3的上行链路发生故障时，主机的数据流切换到经SW2转发；故障恢复后，主机的数据流能够切换回去。
（5）网络地址转换规划与配置
在防火墙上配置NAT。要求内网的所有私有地址（网络设备除外）均可经地址转换（使用地址池方式）后而访问公网。
（6）路由高级配置
通过配置静态路由，使广州、上海两个分部之间的流量优先经过两地之间的SDH专线转发，而不是经过GRE over IPSec隧道；使当发生路由器RT3的E0/1接口断开情况时，广州分部仍然要能够与北京总部（地址段为172.20.0.0/16）互通。
通过配置策略路由，使总部地址段172.20.10.0/24到两个分部的流量优先经过防火墙转发，经过GRE over IPSec隧道到达。而不是经过带宽较低的DDN专线。对总部其他地址段到两个分部的流量执行正常路由转发。
（7）VPN配置
总部与广州分部间通过GRE over IPSec VPN互访。要求如下：
总部与分部间（Firewall－RT3）采用IKE建立隧道，预共享密钥为123456。报文封装模式是传输模式，安全协议为ESP，加密算法为AES，验证算法为SHA-1。
3．实训步骤
本拓展项目基本覆盖了全书的所有技术，在进行设备配置时，要注意应该先配置什么，后配置什么。这里仅仅给出建议的配置顺序。
（1）交换机的配置步骤
对于交换机来说，建议采用以下顺序进行配置：配置链路聚合，创建VLAN，配置MSTP，配置端口（access、trunk），配置VLAN interface，配置VRRP，配置路由。
（2）路由器的配置步骤
对于路由器来说，建议采用以下顺序进行配置：配置接口IP，配置GRE VPN，配置路由，配置IPSec VPN，配置NAT，配置PPP身份验证，配置策略路由。
4．提交文档
提交IP地址分配及VLAN规划表，各设备的配置文档，网络测 试结果。
