公司一台cisco 3750内网交换机做核心交换机用，交换机上层为一台Juniper rtx550防火墙 。网络需求要需要配置vlan、DHCP、同时针对不同的vlan部门需要配置ACL规则 。具体需求如下 ：

一、需求

1、划分三个vlan

  • vlan2 server 1－8口 服务器所在网络
  • vlan3 work01 9－16口
  • vlan4 work02 17-24口

2、网关配置

  • 192.168.2.1/24
  • 192.168.3.1/24
  • 192.168.4.1/24

3、DHCP及预留

每段开启DHCP，每段保留xx.2-xx.10段IP做预留用处 192.168.2.10/24 为AD域服务器,同时兼作DNS服务器,另外再增加两个备用DNS 114.114.114.114 8.8.8.8

4、路由

指定内网所有主机的下一跳路由为192.168.1.2，该IP为Juniper防火墙IP 。

5、ACL规则

VLAN 3和VLAN 4 不允许互相访问，但都可以访问服务器所在的VLAN 2,默认访问控制列表的规则是拒绝所有包。

二、配置命令及步骤

第一步：创建VLAN：

1Switch>en
2Switch#Vlan Database
3Switch(Vlan)>Vlan 2 Name server
4Switch(Vlan)>Vlan 3 Name work01
5Switch(vlan)>Vlan 4 Name work02

第二步：设置VLAN IP地址：

 1Switch#config t
 2Switch(Config)>int Vlan 2
 3Switch(Config-vlan)Ip Address 192.168.2.1 255.255.255.0
 4Switch(Config-vlan)No Shut
 5Switch(Config-vlan)>int Vlan 3
 6Switch(Config-vlan)Ip Address 192.168.3.1 255.255.255.0
 7Switch(Config-vlan)No Shut
 8Switch(Config-vlan)>int Vlan 4
 9Switch(Config-vlan)Ip Address 192.168.4.1 255.255.255.0
10Switch(Config-vlan)No Shut
11Switch(Config-vlan)Exit

注意：由于此时没有将端口分配置到VLAN2，3，4，所以各VLAN会DOWN掉，待将端口分配到各VLAN后，VLAN会起来

第三步：设置端口全局参数

1Switch(Config)interface Range GigabitEthernet1/0/1 - 24
2Switch(Config-if-range)Switchport Mode Access
3Switch(Config-if-range)Spanning-tree Portfast

注：上面使用mode access这一段可以去掉，因为access模式主要用于PC、server等，即用在接入层模式时用可以参考百度文库上的相关文档。

第四步：将端口添加到VLAN中

 1/*将端口1-8添加到VLAN 2*/
 2Switch(Config)interface Range GigabitEthernet1/0/1 - 8
 3Switch(Config-if-range)Switchport Access Vlan 2
 4/*将端口9-16添加到VLAN 3*/
 5Switch(Config)interface Range GigabitEthernet1/0/9 - 16
 6Switch(Config-if-range)Switchport Access Vlan 3
 7/*将端口17-24添加到VLAN 4*/
 8Switch(Config)interface Range GigabitEthernet1/0/17 - 24
 9Switch(Config-if-range)Switchport Access Vlan 4
10Switch(Config-if-range)Exit
11/*经过这一步后，各VLAN会起来*/

第五步：配置DHCP服务器及地址池

 1/*VLAN 2可用地址池和相应参数的配置,有几个VLAN要设几个地址池*/
 2Switch(Config)Ip Dhcp Pool Test01
 3/*设置可分配的子网*/
 4Switch(Config-pool)Network 192.168.2.0 255.255.255.0
 5/*设置DNS服务器*/
 6Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
 7/*设置该子网的网关*/
 8Switch(Config-pool)Default-router 192.168.2.1
 9/*配置VLAN 3所用的地址池和相应参数*/
10Switch(Config)Ip Dhcp Pool Test02
11Switch(Config-pool)Network 192.168.3.0 255.255.255.0
12Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
13Switch(Config-pool)Default-router 192.168.3.1
14/*配置VLAN 4所用的地址池和相应参数*/
15Switch(Config)Ip Dhcp Pool Test03
16Switch(Config-pool)Network 192.168.4.0 255.255.255.0
17Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
18Switch(Config-pool)Default-router 192.168.4.1

注：DHCP和VLAN之间是通过IP衔接的 ，VLAN的网关地址和DHCP池的默认网络地址和网关地址之间进行关联后，就可以知道具体插到某个物理口时，是否能通过DHCP获取到地址。

第六步:设置DHCP保留不分配的地址

1Switch(Config)Ip Dhcp Excluded-address 192.168.2.2 192.168.2.10
2Switch(Config)Ip Dhcp Excluded-address 192.168.3.2 192.168.3.10
3Switch(Config)Ip Dhcp Excluded-address 192.168.4.2 192.168.4.10

第七步:路由及静态路由

1/*配置该步后，各vlan间可以互访*/
2Switch(config)#ip routing
3/* 增加静态路由,所有机器的外网请求指向juniper防火墙 */
4Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2

第八步:配置访问控制列表

 1Switch(Config)access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
 2Switch(Config)access-list 103 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
 3Switch(Config)access-list 103 permit udp any any eq bootpc
 4Switch(Config)access-list 103 permit udp any any eq tftp
 5Switch(Config)access-list 103 permit udp any eq bootpc any
 6Switch(Config)access-list 103 permit udp any eq tftp any
 7Switch(Config)access-list 104 permit ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
 8Switch(Config)access-list 104 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255
 9Switch(Config)access-list 104 permit udp any eq tftp any
10Switch(Config)access-list 104 permit udp any eq bootpc any
11Switch(Config)access-list 104 permit udp any eq bootpc any
12Switch(Config)access-list 104 permit udp any eq tftp any

第九步:应用访问控制列表

1/*将访问控制列表应用到VLAN 3和VLAN 4,VLAN 2不需要*/
2Switch(Config)int Vlan 3
3Switch(Config-vlan)ip access-group 103 out
4Switch(Config-vlan)int Vlan 4
5Switch(Config-vlan)ip access-group 104 out

第十步：保存配置并确认

1Switch#write memory
2Switch#show run-config
3/*会输出上面的所有配置信息*/

三、测试

按上面的配置完成后，通过将PC接入到相应的端口，查看是否能获取到地址，两台PC时，分别处于不同的vlan之间时是否可以互访 。