HCIP-四、MUX-vlan&Super-vlan+端口安全

MissSun6362023-11-22 19:47

四、MUX-vlan&Super-vlan+端口安全

  • MUX-vlan
    • 实验拓扑
    • 实验需求及解法
      • [1. 在SW1/2/3分别创建vlan10 20 30 40](#1. 在SW1/2/3分别创建vlan10 20 30 40)
      • [2. SW1/2/3之间使用trunk链路，仅允许vlan10 20 30 40 通过。](#2. SW1/2/3之间使用trunk链路，仅允许vlan10 20 30 40 通过。)
      • [3. SW与PC/Server之间使用access链路。](#3. SW与PC/Server之间使用access链路。)
      • [4. ping验证：](#4. ping验证：)
  • Super-vlan+端口安全
    • 实验拓扑
    • 实验需求及解法
      • [1.SW1 创建 vlan10，vlan3001 和 vlan3002](#1.SW1 创建 vlan10，vlan3001 和 vlan3002)
      • [2.SW2/3 创建 vlan3001 和 vlan3002](#2.SW2/3 创建 vlan3001 和 vlan3002)
      • [3.SW1/2/3 之间使用 trunk 链路，并仅允许 vlan3001 和 3002 通过。](#3.SW1/2/3 之间使用 trunk 链路，并仅允许 vlan3001 和 3002 通过。)
      • [4.SW2/3 与 PC 之间使用 access 链路，并划入对应 vlan。](#4.SW2/3 与 PC 之间使用 access 链路，并划入对应 vlan。)
      • 5.验证通信：
      • [6.在网关 vlanif10 中开启 vlan 间代理 ARP 功能。](#6.在网关 vlanif10 中开启 vlan 间代理 ARP 功能。)
      • 7.验证通信：
      • [8.为保证企业内网安全，需要在 vlan3001 中开启端口安全，完成以下需求：](#8.为保证企业内网安全，需要在 vlan3001 中开启端口安全，完成以下需求：)

MUX-vlan

实验拓扑

实验需求及解法

  • 本实验模拟某企业内部网络，有财务、市场两个部门，另有访客网络。
  • 现需要对内网流量进行控制，完成以下需求：

1. 在SW1/2/3分别创建vlan10 20 30 40

javascript 复制代码 
 vlan40设置为mux-vlan
 vlan10和20设置为Group-vlan
 vlan30设置为Separate-vlan
SW1/2/3:
vlan batch 10 20 30 40
vlan 40
mux-vlan
subordinate separate 30
subordinate group 10 20

2. SW1/2/3之间使用trunk链路，仅允许vlan10 20 30 40 通过。

javascript 复制代码 
SW1:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 30 40
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 10 20 30 40
#
SW2:
interface GigabitEthernet0/0/5
port link-type trunk
port trunk allow-pass vlan 10 20 30 40
#
SW3:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 30 40

3. SW与PC/Server之间使用access链路。

javascript 复制代码 
 //财务部划入vlan10
 //市场部划入vlan20
 //访客划入vlan30
SW1:
interface GigabitEthernet0/0/3
port link-type access
port default vlan 40
port mux-vlan enable
#
SW2:
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
port mux-vlan enable
interface GigabitEthernet0/0/2
port link-type access
port default vlan 10
port mux-vlan enable
interface GigabitEthernet0/0/3
port link-type access
port default vlan 20
port mux-vlan enable
interface GigabitEthernet0/0/4
port link-type access
port default vlan 20
port mux-vlan enable
#
SW3:
interface GigabitEthernet0/0/2
port link-type access
port default vlan 30
port mux-vlan enable
interface GigabitEthernet0/0/3
port link-type access
port default vlan 30
port mux-vlan enable

4. ping验证：

  • 确保财务内部可以通信，市场内部可以通信，而财务与市场部不通。
  • 确保访客内部不能通信，且访客与财务/市场都不能通信。
  • 确保 Server1 可以与所有 PC 通信。

Super-vlan+端口安全

实验拓扑

实验需求及解法

本实验模拟某企业内网，多个部门分隔为不同的 vlan，但是每个部门主机数量都较少。

为了简化 IP 地址规划，节省 IP 地址，需配置 Super-vlan。请完成以下需求：

1.SW1 创建 vlan10，vlan3001 和 vlan3002

  • 将 vlan10 设置为 Super-vlan，vlan3001 和 3002 为子 vlan。
javascript 复制代码 
SW1:
vlan batch 10 3001 3002
vlan 10
aggregate-vlan
access-vlan 3001 to 3002

2.SW2/3 创建 vlan3001 和 vlan3002

javascript 复制代码 
SW2/3:
vlan batch 3001 3002

3.SW1/2/3 之间使用 trunk 链路，并仅允许 vlan3001 和 3002 通过。

javascript 复制代码 
SW1:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3001 to 3002
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 3001 to 3002
#
SW2:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3001 to 3002
#
SW3:
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3001 to 3002

4.SW2/3 与 PC 之间使用 access 链路，并划入对应 vlan。

javascript 复制代码 
SW2:
interface GigabitEthernet0/0/2
port link-type access
port default vlan 3001
interface GigabitEthernet0/0/3
port link-type access
port default vlan 3001
#
SW3:
interface GigabitEthernet0/0/2
port link-type access
port default vlan 3002
interface GigabitEthernet0/0/3
port link-type access
port default vlan 3002

5.验证通信：

  • PC1 可以与 PC2 通信，PC3 可以与 PC4 通信
  • PC1/2 不能与 PC3/4 通信。

6.在网关 vlanif10 中开启 vlan 间代理 ARP 功能。

javascript 复制代码 
SW1:
interface Vlanif10
ip address 192.168.10.254 255.255.255.0
arp-proxy inter-sub-vlan-proxy enable

7.验证通信：

  • PC1 可以与 PC3 通信，且使用 tracert 命令验证需先经过网关。
  • PC1>tracert 192.168.10.3
bash 复制代码 
traceroute to 192.168.10.3, 8 hops max
(ICMP), press Ctrl+C to stop
	1 192.168.10.254 47 ms 47 ms 31 ms
	2 192.168.10.3 62 ms 109 ms 94 ms

8.为保证企业内网安全，需要在 vlan3001 中开启端口安全，完成以下需求：

  • 8.1 最大学习 mac 地址数量为 5 个。
  • 8.2 学习到的 mac 地址永不超时，且端口关闭或设备重启后不会删除。
  • 8.3 当学习的 mac 地址数量超过 5 个时，会自动关闭端口。
javascript 复制代码 
SW2:
interface GigabitEthernet0/0/2
port-security enable
port-security protect-action shutdown
port-security max-mac-num 5
port-security mac-address sticky
interface GigabitEthernet0/0/3
port-security enable
port-security protect-action shutdown
port-security max-mac-num 5
port-security mac-address sticky
相关推荐
guts°1 小时前
10-ACL技术
网络·网络协议
群联云防护小杜1 小时前
深度隐匿源IP：高防+群联AI云防护防绕过实战
运维·服务器·前端·网络·人工智能·网络协议·tcp/ip
_丿丨丨_6 小时前
XSS（跨站脚本攻击）
前端·网络·xss
天天进步20156 小时前
前端安全指南：防御XSS与CSRF攻击
前端·安全·xss
一只栖枝7 小时前
HCIA-Security 认证精讲！网络安全理论与实战全掌握
网络·web安全·网络安全·智能路由器·hcia·it·hcia-security
FileLink跨网文件交换7 小时前
文件摆渡系统十大软件|文件摆渡系统如何构建网络安全呢？
网络
nington0110 小时前
面对微软AD的安全隐患，宁盾身份域管如何设计安全性
安全
晨欣10 小时前
大型语言模型（LLM）在网络安全中最具商业价值的应用场景（Grok3 回答 DeepSearch模式）
网络·web安全·语言模型
有书Show11 小时前
个人IP的塑造方向有哪些？
网络·网络协议·tcp/ip
HHRL-yx11 小时前
C++网络编程 5.TCP套接字（socket）通信进阶-基于多线程的TCP多客户端通信
网络·c++·tcp/ip
热门推荐
01全球最强模型Grok4，国内已可免费使用！（附教程）02Cursor Claude 模型无法使用的解决方法03KGG转MP3工具|非KGM文件|解密音频04【2025.7.18】更新vscode后所有.vue文件template标签后报红的临时解决办法，Vue - Official 插件3.0.2导致05【无标题】06集群聊天服务器---MySQL数据库的建立07突破限制：使用 Claude Code Proxy 让 Claude Code 自由连接任意模型08绿色建筑新态势：楼宇自控助力能效提升，推动成本优化新路径09使用Ruby接入实时行情API教程10Claude Code 最新版已经支持 Windows 安装使用！