用访问控制列表跑双网

《用访问控制列表跑双网》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、用访问控制列表跑双网～教育资源库　　企业网络配置不是一成不变的，往往使用几年都会遇到应用瓶颈，需要对网络进行升级和改造。这些都可以通过添加新网络设备，以满足扩大的网络需求。但有时网络需要在规模上扩展，这时就非常棘手了。例如笔者负责的教育信息网在最近一次升级过程中就遇到了要在原有教育信息网络的基础上再引入金财网，保证在同一个物理网络中运行两个互相没有联系各自独立的网络。这种跑双网的情况在现实中还是比较常见的，那么我们该如何升级实现这种隔离与兼顾呢？笔者采用的是访问控制列表法来解决的，下面就将实现双网

2、的思路介绍给大家。由于很多内容都是基础命令，这里就不详细罗列出来了仅仅介绍实现思路。　　网络现状和需求　　当前网络环境：　　笔者所在教育信息网络是以区信息中心为核心，核心设备为CISCO6509。各个下属学校网络作为分支分散在全区147个网络中，分支网络通过电信提供的ATM技术与核心设备CISCO6509互连，每个学校都有一个路由器作为网络出口，路由器型号为华为3的2621设备。　　在升级之前学校的计算机要上网的话，首先发送数据包到本学校的交换机，然后交换机将数据传输到学校2621设备上，在262

3、1路由器上通过设置缺省路由指向CISCO6509的相应接口完成数据的路由工作，最后由CISCO6509把数据发送到全区网络出口对应的端口，通过光纤连接到北京市。数据接收也是一样的，只是上面过程的逆向传送而已。（如图1）　　　　图1　　双网环境需求：　　由于财政部门要求区网络中心对网络进行改造，对部分学校开通金财网络。而我们又不可能再花精力和财力用于新建一个网络，所以工作的重点就落在了对目前网络的升级上。如果在目前这样一个接入层与汇聚层组成的网络中再添加一个金财网呢？而且财政部门要求金财网与之前的教

4、育信息网是隔离的，也就是说学校连接金财网的终端是不能够访问连接教育信息网中的主机的。而不同学校之间同属一个网的用户是可以互相访问的，例如A学校金财网用户不能访问A学校的教育信息网终端，却可以访问B学校的金财网。　　实现双网运转　　实现步骤1运转双网：　　首先要实现的是在同一个网络中跑两个网络，之后再考虑隔离的问题。由于之前我们使用的网络地址为10.82.*.*，而金财网要求的IP地址信息为192.168.*.*，所以在初始阶段不会存在冲突的问题。另外由于区教育网络的结构比较简单但是分支众多，所以我

5、们只需要针对一个分支学校进行实验，成功后再推广到全区147所分支学校即可。　　交换机上设置：　　在学校端对于一个教育信息网的用户和一个金财网的用户来说，两者IP地址是不同的，但是他们有可能连接到同一个交换机上，这就需要交换机上设置两套IP地址，最有效的方法就是在交换机上启用VLAN设置，教育信息网络的终端放到VLAN10中，而对于金财网的终端放到VLAN20中，之后再给交换机相应VLAN设置一个IP地址即可，从而实现了在交换机上跑双网的功能。　　学校路由器上设置：　　由于学校端2621路由器采用的

6、是默认路由，也就是说不管你的数据包地址是多少，默认地址是多少，路由器都将依据默认路由把数据传输到下一跳地址。因此教育信息网用户的数据和金财网用户的数据都会由路由器发送到指定的地址，所以学校路由器上设置不用做任何修改。　　核心设备CISCO6509上的设置：（如图2）　　　　图2　　既然是跑双网，那么在核心设备上肯定是有两个网络出口的，一个是连接教育信息网的上层设备，一个是连接金财网的上层设备。所以说在核心设备6509上需要为走金财网的信息设置一个静态路由，将所有目标地址和源地址为金财网的数据包发送

7、到对应的金财网接口。　　至此我们就完成了在原有网络基础上跑双网的升级工作，在学校连接金财网接口的用户可以轻松的访问其他学校的金财网用户，也可以通过区核心设备连接到区财政局的金财网络中。不过这时虽然实现了一个物理网跑两个逻辑网的目的，但是连接金财网的终端依然可以访问教育信息网的终端，如何解决呢？就要靠下面的隔离手段了。　　实现双网隔离　　实现步骤2隔离双网：　　添加了双网后的关键步骤就是隔离了，否则我们跑双网就没有任何意义了，互相都能访问实际上还是一个网络。隔离双网也需要在多个设备上进行设置操作。　

8、　学校交换机上设置：　　正如前面提到的那样，在学校交换机上通过划分VLAN的手段实现对两个网络的分离。VLAN10教育信息网用户是不能够正常访问VLAN20中的金财网用户的。　　学校路由器上的设置：　　学校路由器上的隔离操作是非常关键的，在开始阶段这个设置就被笔者忽略了。由于华为32621路由器有两个接口，一个连接区级核心设备6509，另外一个连接学校的交换机，所以说下行接口是非常关键的，隔离两网的工作也主要由他来完成。　　我们通过访问控制列表来实现隔离操作，通过在这个接口上添加访