HCIP-四、MUX-vlan&Super-vlan+端口安全

MissSun6362023-11-22 19:47

四、MUX-vlan&Super-vlan+端口安全

  • MUX-vlan
    • 实验拓扑
    • 实验需求及解法
      • [1. 在SW1/2/3分别创建vlan10 20 30 40](#1. 在SW1/2/3分别创建vlan10 20 30 40)
      • [2. SW1/2/3之间使用trunk链路，仅允许vlan10 20 30 40 通过。](#2. SW1/2/3之间使用trunk链路，仅允许vlan10 20 30 40 通过。)
      • [3. SW与PC/Server之间使用access链路。](#3. SW与PC/Server之间使用access链路。)
      • [4. ping验证：](#4. ping验证：)
  • Super-vlan+端口安全
    • 实验拓扑
    • 实验需求及解法
      • [1.SW1 创建 vlan10，vlan3001 和 vlan3002](#1.SW1 创建 vlan10，vlan3001 和 vlan3002)
      • [2.SW2/3 创建 vlan3001 和 vlan3002](#2.SW2/3 创建 vlan3001 和 vlan3002)
      • [3.SW1/2/3 之间使用 trunk 链路，并仅允许 vlan3001 和 3002 通过。](#3.SW1/2/3 之间使用 trunk 链路，并仅允许 vlan3001 和 3002 通过。)
      • [4.SW2/3 与 PC 之间使用 access 链路，并划入对应 vlan。](#4.SW2/3 与 PC 之间使用 access 链路，并划入对应 vlan。)
      • 5.验证通信：
      • [6.在网关 vlanif10 中开启 vlan 间代理 ARP 功能。](#6.在网关 vlanif10 中开启 vlan 间代理 ARP 功能。)
      • 7.验证通信：
      • [8.为保证企业内网安全，需要在 vlan3001 中开启端口安全，完成以下需求：](#8.为保证企业内网安全，需要在 vlan3001 中开启端口安全，完成以下需求：)

MUX-vlan

实验拓扑

实验需求及解法

  • 本实验模拟某企业内部网络，有财务、市场两个部门，另有访客网络。
  • 现需要对内网流量进行控制，完成以下需求：

1. 在SW1/2/3分别创建vlan10 20 30 40

javascript 复制代码 
 vlan40设置为mux-vlan
 vlan10和20设置为Group-vlan
 vlan30设置为Separate-vlan
SW1/2/3:
vlan batch 10 20 30 40
vlan 40
mux-vlan
subordinate separate 30
subordinate group 10 20

2. SW1/2/3之间使用trunk链路，仅允许vlan10 20 30 40 通过。

javascript 复制代码 
SW1:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 30 40
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 10 20 30 40
#
SW2:
interface GigabitEthernet0/0/5
port link-type trunk
port trunk allow-pass vlan 10 20 30 40
#
SW3:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 30 40

3. SW与PC/Server之间使用access链路。

javascript 复制代码 
 //财务部划入vlan10
 //市场部划入vlan20
 //访客划入vlan30
SW1:
interface GigabitEthernet0/0/3
port link-type access
port default vlan 40
port mux-vlan enable
#
SW2:
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
port mux-vlan enable
interface GigabitEthernet0/0/2
port link-type access
port default vlan 10
port mux-vlan enable
interface GigabitEthernet0/0/3
port link-type access
port default vlan 20
port mux-vlan enable
interface GigabitEthernet0/0/4
port link-type access
port default vlan 20
port mux-vlan enable
#
SW3:
interface GigabitEthernet0/0/2
port link-type access
port default vlan 30
port mux-vlan enable
interface GigabitEthernet0/0/3
port link-type access
port default vlan 30
port mux-vlan enable

4. ping验证：

  • 确保财务内部可以通信，市场内部可以通信，而财务与市场部不通。
  • 确保访客内部不能通信，且访客与财务/市场都不能通信。
  • 确保 Server1 可以与所有 PC 通信。

Super-vlan+端口安全

实验拓扑

实验需求及解法

本实验模拟某企业内网，多个部门分隔为不同的 vlan，但是每个部门主机数量都较少。

为了简化 IP 地址规划，节省 IP 地址，需配置 Super-vlan。请完成以下需求：

1.SW1 创建 vlan10，vlan3001 和 vlan3002

  • 将 vlan10 设置为 Super-vlan，vlan3001 和 3002 为子 vlan。
javascript 复制代码 
SW1:
vlan batch 10 3001 3002
vlan 10
aggregate-vlan
access-vlan 3001 to 3002

2.SW2/3 创建 vlan3001 和 vlan3002

javascript 复制代码 
SW2/3:
vlan batch 3001 3002

3.SW1/2/3 之间使用 trunk 链路，并仅允许 vlan3001 和 3002 通过。

javascript 复制代码 
SW1:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3001 to 3002
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 3001 to 3002
#
SW2:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3001 to 3002
#
SW3:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3001 to 3002

4.SW2/3 与 PC 之间使用 access 链路，并划入对应 vlan。

javascript 复制代码 
SW2:
interface GigabitEthernet0/0/2
port link-type access
port default vlan 3001
interface GigabitEthernet0/0/3
port link-type access
port default vlan 3001
#
SW3:
interface GigabitEthernet0/0/2
port link-type access
port default vlan 3002
interface GigabitEthernet0/0/3
port link-type access
port default vlan 3002

5.验证通信：

  • PC1 可以与 PC2 通信，PC3 可以与 PC4 通信
  • PC1/2 不能与 PC3/4 通信。

6.在网关 vlanif10 中开启 vlan 间代理 ARP 功能。

javascript 复制代码 
SW1:
interface Vlanif10
ip address 192.168.10.254 255.255.255.0
arp-proxy inter-sub-vlan-proxy enable

7.验证通信：

  • PC1 可以与 PC3 通信，且使用 tracert 命令验证需先经过网关。
  • PC1>tracert 192.168.10.3
bash 复制代码 
traceroute to 192.168.10.3, 8 hops max
(ICMP), press Ctrl+C to stop
	1 192.168.10.254 47 ms 47 ms 31 ms
	2 192.168.10.3 62 ms 109 ms 94 ms

8.为保证企业内网安全，需要在 vlan3001 中开启端口安全，完成以下需求：

  • 8.1 最大学习 mac 地址数量为 5 个。
  • 8.2 学习到的 mac 地址永不超时，且端口关闭或设备重启后不会删除。
  • 8.3 当学习的 mac 地址数量超过 5 个时，会自动关闭端口。
javascript 复制代码 
SW2:
interface GigabitEthernet0/0/2
port-security enable
port-security protect-action shutdown
port-security max-mac-num 5
port-security mac-address sticky
interface GigabitEthernet0/0/3
port-security enable
port-security protect-action shutdown
port-security max-mac-num 5
port-security mac-address sticky
相关推荐
用户962377954485 天前
VulnHub DC-3 靶机渗透测试笔记
安全
叶落阁主6 天前
Tailscale 完全指南：从入门到私有 DERP 部署
运维·安全·远程工作
用户962377954488 天前
DVWA 靶场实验报告 (High Level)
安全
数据智能老司机8 天前
用于进攻性网络安全的智能体 AI——在 n8n 中构建你的第一个 AI 工作流
人工智能·安全·agent
数据智能老司机8 天前
用于进攻性网络安全的智能体 AI——智能体 AI 入门
人工智能·安全·agent
用户962377954488 天前
DVWA 靶场实验报告 (Medium Level)
安全
red1giant_star8 天前
S2-067 漏洞复现：Struts2 S2-067 文件上传路径穿越漏洞
安全
用户962377954488 天前
DVWA Weak Session IDs High 的 Cookie dvwaSession 为什么刷新不出来？
安全
cipher10 天前
ERC-4626 通胀攻击：DeFi 金库的"捐款陷阱"
前端·后端·安全
一次旅行13 天前
网络安全总结
安全·web安全
热门推荐
01GitHub 镜像站点02OpenClaw 使用和管理 MCP 完全指南03本地部署 OpenClaw + DeepSeek-R1 完全指南04OpenClaw 连接飞书完整指南：插件安装、配置与踩坑记录05OpenClaw 飞书机器人不回复消息？3 小时踩坑总结06Window 10部署openclaw报错node.exe : npm error code 12807OpenClaw 接入 QQ Bot 完整实践指南08OpenClaw macOS 完整安装与本地模型配置教程（实战版）09npm-error code 128问题解决方法10Vue-skills的中文文档