2022 年江西省职业院校技能大赛
网络系统管理赛项
模块 A：网络构建
目录
任务描述 3
任务清单 3
（一）基础配置 3
（二）有线网络配置 3
（三）无线网络配置 5
（四）出口网络配置 7
附录 1：拓扑图 8
附录 2：地址规划表 9
任务描述
CII 集团公司业务不断发展壮大，为适应 IT 行业技术飞速发展，满足公司业务发展需要，集团公司决定建设广州总部、吉林分部的信息化网络。你做为火星公司网络工程师前往 CII 集团完成网络规划与建设任务。
任务清单
（一）基础配置
1.根据附录 1、附录 2，配置设备接口信息。
2.所有交换机和无线控制器开启 SSH 服务，用户名密码分别为 admin、admin1234； 密码为明文类型,特权密码为 admin。
enable service ssh-server
username admin password admin 1234
enable password admin
line vty 0 4
transport input telnet
login local
3.交换机配置 SNMP 功能，向主机 172.16.0.254 发送 Trap 消息版本采用 V2C，读写的 Community 为“Test”，只读的 Community 为“public”，开启 Trap 消息。
snmp-server host172.16.0.254 traps version 2c Test
snmp-server host172.16.0.254 traps version 2c public
snmp-server enable traps
snmp-server community Test rw
snmp-server community public ro
（二）有线网络配置
1.在全网 Trunk 链路上做 VLAN 修剪。
2.为隔离部分终端用户间的二层互访，在交换机 S1/S2 的 Gi0/5-Gi0/16 端口启用端口保护。
S1和S2:
interface gigabitEthernet0/5-0/16
switchport protected
3.要求在吉林分部接入设备 S1/S2 进行防环处理。具体要求如下：终端接口开启BPDU 防护不能接收 BPDU 报文；终端接口下开启 RLDP 防止环路，检测到环路后处理方式为 Shutdown-Port；连接终端的所有端口配置为边缘端口；如果端口被BPDU Guard 检测进入 Err-Disabled 状态，再过 300 秒后会自动恢复（基于接口部署策略），重新检测是否有环路。
S1和S2:
Int g0/x
spanning-tree port
errdisable recovery interval 300
spanning-tree bpdufilter enable
rldp port loop-detect shutdown-port
4.在交换机 S3、S4 上配置 DHCP 中继，对 VLAN10 内的用户进行中继，使得本部 PC1 用户使用 DHCP Relay 方式获取 IP 地址。具体要求如下：DHCP 服务器搭建于 VSU 上，地址池命名为 Pool_VLAN10，DHCP 对外服务使用 loopback 0 地址；为了防御动态环境局域网伪 DHCP 服务欺骗，在 S1、S2 交换机部署 DHCP Snooping 功能。
S7:
service dhcp
!
ip dhcp pool Pool_VLAN10
network 192.1.10.0 255.255.255.0
default-router 192.1.10.254
ip route 192.1.10.0 255.255.255.0 10.1.0.1
ip route 192.1.10.0 255.255.255.0 10.1.0.5
S3:
service dhcp
ip helper-address 11.1.0.67
ip route 11.1.0.67 255.255.255.255 10.1.0.2
ip route 192.1.10.0 255.255.255.0 192.1.100.1
S4:
service dhcp
ip helper-address 11.1.0.67
ip route 11.1.0.67 255.255.255.255 10.1.0.6
ip route 192.1.10.0 255.255.255.0 192.1.100.2
S1和S2同配置：
service dhcp
ip dhcp snooping
int ran gi0/23-24
ip dhcp snooping trust
exit
ip route 0.0.0.0 0.0.0.0 192.1.100.252
5.为了防止伪 IP 源地址攻击， 导致出口路由器会话占满，要求 S1 交换机部署端口安全，接口 Gi0/1 只允许 PC1 通过。
Ruijie(config)#interface range gi 0/1 ------>同时进入1口和2口接口配置模式
Ruijie(config-if-range)#ip verify source port-security ------>开启源IP+MAC的报文检测，将DHCP Snooping形成的snooping表写入地址绑定数据库中，请正确配置ip verfiy soure port-security， 不要使用ip verify source（仅绑定IP），部分产品存在限制，只绑定IP的情况下可能出现异常。
6.在吉林分部交换机 S1、S2、S3、S4 上配置 MSTP 防止二层环路；要求所有数据
流经过 S4 转发，S4 失效时经过 S3 转发。所配置的参数要求如下：region-name 为 test；revision 版本为 1；S3 作为实例中的从根， S4 作为实例中的主根；主根优先级为 4096，从根优先级为 8192；在 S3 和 S4 上配置 VRRP，实现主机的网关冗余，所配置的参数要求如表 1；S3、S4 各 VRRP 组中高优先级设置为 150，低优先级设置为 120。
S3:
spanning-tree
spanning-tree mode mstp
spanning-tree mst configuration
revision 1
name test
!
spanning-tree mst 0 priority 8192
interface VLAN 10
vrrp 10 ip 192.1.10.254
vrrp 10 ipv6 FE80::254
ipv6 address 2001:193:10::252/64
ipv6 enable
no ipv6 nd suppress-ra
vrrp ipv6 10 priority 120
vrrp ipv6 10 accept_mode
vrrp 10 priority 120
!
interface VLAN 20
vrrp 20 ip 192.1.20.254
vrrp 20 ipv6 FE80::254
ipv6 address 2001:193:20::252/64
ipv6 enable
no ipv6 nd suppress-ra
vrrp ipv6 20 priority 120
vrrp ipv6 20 accept_mode
vrrp 20 priority 120
!
interface VLAN 30
vrrp 30 ip 192.1.30.254
vrrp 30 ipv6 FE80::254
ipv6 address 2001:193:30::252/64
ipv6 enable
no ipv6 nd suppress-ra
vrrp ipv6 30 priority 120
vrrp ipv6 30 accept_mode
vrrp 30 priority 120
!
interface VLAN 100
vrrp 100 ip 192.1.100.254
ipv6 enable
vrrp 100 priority 120
S4:
spanning-tree
spanning-tree mode mstp
spanning-tree mst configuration
revision 1
name test
!
spanning-tree mst 0 priority 4096
interface VLAN 10
vrrp 10 ip 192.1.10.254
vrrp 10 ipv6 FE80::254
ipv6 address 2001:193:10::253/64
ipv6 enable
no ipv6 nd suppress-ra
vrrp ipv6 10 priority 150
vrrp ipv6 10 accept_mode
vrrp 10 priority 150
!
interface VLAN 20
vrrp 20 ip 192.1.20.254
vrrp 20 ipv6 FE80::254
ipv6 address 2001:193:20::253/64
ipv6 enable
no ipv6 nd suppress-ra
vrrp ipv6 20 priority 150
vrrp ipv6 20 accept_mode
vrrp 20 priority 150
!
interface VLAN 30
vrrp 30 ip 192.1.30.254
vrrp 30 ipv6 FE80::254
ipv6 address 2001:193:30::253/64
ipv6 enable
no ipv6 nd suppress-ra
vrrp ipv6 30 priority 150
vrrp ipv6 30 accept_mode
vrrp 30 priority 150
!
interface VLAN 100
vrrp 100 ip 192.1.100.254
ipv6 enable
vrrp 100 priority 150
表 1 S3 和 S4 的 VRRP 参数表
VLAN VRRP 备份组号（VRID） VRRP 虚拟 IP
VLAN10 10 192.1.10.254
VLAN20 20 192.1.20.254
VLAN30 30 192.1.30.254
VLAN100(交换机间) 100 192.1.100.254
7.S6 和 S7 间部署虚拟化，其中 S7 为主，S6 为备；规划 S6 和 S7 间的 Gi0/48 端口作为双主机检测链路，配置基于 BFD 的双主机检；主设备：Domain id：1,switch id:2,priority 150, description: S6000-2;备设备：Domain id：1,switch id:1,priority 120, description: S6000-1。
S6:
Swithch virtual domain 1
switch 1
Switch 1 priority 150
Switch 1 description S6000-2
Exit
Vsl-port
port-member interface tenGigabitEthernet 0/49
port-member interface tenGigabitEthernet 0/50
exit
S7:
Swithch virtual domain 1
switch 2
Switch 2 priority 120
Switch2 description S6000-1
Exit
Vsl-port
port-member interface tenGigabitEthernet 0/49
port-member interface tenGigabitEthernet 0/50
exit
S6:
Write
switch convert mode virtual
S7:
Write
switch convert mode virtual
BFD检测：
interface range gigabitEthernet 1/0/48,2/0/48
no switchport
exit
switch virtual domain 1
dual-active detection bfd
dual-active bfd interface gigabitEthernet 1/0/48
dual-active bfd interface gigabitEthernet 2/0/48
8.广州总部与吉林分部内网均使用 OSPF 协议组网，访问互联网均使用默认路由。具体要求如下：总部 S5、AC1、AC2、EG1 间运行 OSPF，进程号为 10；吉林分部 EG2、S3、S4、S6/S7 间运行 OSPF，进程号为 10； 要求业务网段中不出现协议报文；要求所有路由协议都发布具体网段；为了管理方便，需要发布 Loopback 地址;优化OSPF 相关配置，以尽量加快 OSPF 收敛；重发布路由进 OSPF 中使用类型 1。
9.吉林分部部署 IPV6 网络实现内网 IPV6 终端通过无状态自动从网关处获取地址；
10.在 S3 和 S4 上配置 VRRP for IPv6，实现主机的 IPv6 网关冗余;VRRP 与 MSTP 的主备状态与 IPV4 网络一致；IPV6 地址规划如下表 2：
表 2 IPV6 地址规划表
设
备
接口
IPV6 地址 VRRP
组号
虚拟 IP
S3 VLAN10 2001:193:10::252/64 10 2001:193:10::254/64
VLAN20 2001:193:20::252/64 20 2001:193:20::254/64
VLAN30 2001:193:30::252/64 30 2001:193:30::254/64
S4 VLAN10 2001:193:10::253/64 10 2001:193:10::254/64
VLAN20 2001:193:20::253/64 20 2001:193:20::254/64
VLAN30 2001:193:30::253/64 30 2001:193:30::254/64
11.由于公司在吉林设有分部。为总部及分部之间互联互通，申请运营商专线业务。针对运营商组网部署要求如下：R1、R2、R3 直连接口封装 PPP 协议，部署 IGP 中
OSPF 动态路由进程号为 20，实现直连网段互联互通。
12.R1、R2、R3 间部署 BGP 联盟,联盟 AS 号为 100, 使用 Loopback 接口建立 Peer;R1 与 R2 的成员 AS 号为 64512，R3 的成员 AS 号为 64523。
13.运营商 R1、R2、R3 各自通告 EG1、EG2 的直连网段到 BGP 中，以汇总 B 段静态路由的方式进行发布，当运营商路由器与 EG 直连链路断开时，可通过其他路由器与 EG 互通。
14.考虑到数据分流及负载均衡的目的，具体要求如下：可通过修改 OSPF 路由 COST 达到分流的目的，且其值必须为 5 或 10；吉林分部有线 IPV4 用户与互联网互通主路径规划为：S4-S7-EG2;主链路故障时可无缝切换到备用链路上。
（三）无线网络配置
CII 集团公司拟投入 9.5 万元（网络设备采购部分），项目要求重点覆盖楼层、走廊和办公室。平面布局如图 1 所示。
图 1 平面布局图
1.绘制 AP 点位图（包括：AP 型号、编号、信道等信息，其中信道采用 2.4G 的 1、
6、11 三个信道进行规划）。
2.使用无线地勘软件，输出 AP 点位图的 2.4G 频道的信号仿真热图（仿真信号强度要求大于-65db）。
3.根据表 3 无线产品价格表，制定该无线网络工程项目设备的预算表。
表 3 无线产品价格表
产品型号 产品特征 传输速率
（2.4G/最大） 推荐/最大
带点数 功率 价格
（元）
AP1 双频双流 300M/1.167G 32/256 100mw 6000
AP2 双频双流 300M/600M 32/256 100mw 11000
AP3 单频单流 150M 12/32 60mw 2500
线缆 1 10 米馈线 N/A N/A N/A 1600
线缆 2 15 米馈线 N/A N/A N/A 2400
天线 双频单流/单频单流 N/A N/A N/A 500
Switch 24 口 POE 交换机 N/A N/A 240w 15000
AC 无线控制器 6*1000M 32/200 40w 50000
4.使用 S5 作为广州总部无线用户和无线 AP 的 DHCP 服务器。
5.创建财务部内网 SSID 为 test-CW_XX(XX 现场提供)，WLAN ID 为 1；创建研发部内网 SSID 为 test-YF_XX(XX 现场提供)，WLAN ID 为 2。
6.AP-Group 为 ZB，内网无线用户关联 SSID 后可自动获取地址。
7.本部 AC1 为主用，AC2 为备用。AP 与 AC1、AC2 均建立隧道，当 AP 与 AC1 失去连接时能无缝切换至 AC2 并提供服务。
8.研发部用户接入无线网络时需要采用 WPA2 加密方式，加密密码为 XX(现场提供)；
9.启用白名单校验，仅放通 PC2 无线终端。
10.要求内网无线网络均启用集中转发模式。
11.为了保障本部每个用户的无线体验，针对 WLAN ID 1 下的每个用户的下行平均速率为 800KB/s ，突发速率为 1600KB/s。
12.配置 AP3 最大带点人数为 30 人。
13.通过时间调度，要求每周一至周五的 21:00 至 23:30 期间关闭研发部无线服务。
14.设置 AP2 最小接入信号强度为-65dBm。
15.关闭低速率（11b/g 1M、2M、5M，11a 6M、9M）应用接入。
（四）出口网络配置
1.出口网关及出口路由器上进行 NAT 配置实现总部与分部的所有用户(ACL 110)均可访问互联网，通过 NAPT 方式将内网用户 IP 地址转换到互联网接口上。
2.广州总部 EG1 针对访问外网 WEB 流量限速每 IP 1000Kbps，内网 WEB 总流量不超过 50Mbps（策略名称 WEB）。
3.广州总部 EG1 基于网站访问、邮件收发、IM 聊天、论坛发帖、搜索引擎多应用启用审计功能。
4.广州总部 EG1 周一到周五工作时间 09：00-17:00（命名为 work）阻断并审计 P2P 应用软件使用（策略名称 P2P）。
5.为了实现总部与分部互访数据的安全性，要求使用 IPSec 对总部到分部的数据流进行加密 ACL（编号为 101）。为此规划如下：要求使用动态隧道主模式，预共享密码为 test，加密认证方式为 ESP-3DES、ESP-MD5-HMAC，DH 使用组 2;总分机构间数据通信及加密通过运营商 R1 联通节点作为中转设备；总部无线 IPV4 用户与分部 IPV4 用户互通主路径规划为：AC1-S5-EG1-EG2-S7-S4-S1/S2(EG1/EG2 间运行 VPN 隧道)。
6.本部与分部用户数据流匹配 EG 内置联通、电信与教育地址库，实现访问联通资源走联通线路，访问电信资源走电信线路，访问教育网资源走教育网线路。
6.除联通、电信、教育资源之外默认所有数据流在三条线路间进行负载转发。
附录 1：拓扑图
附录 2：地址规划表
设备 接口或 VLAN VLAN 名称 二层或三层规划 说明
S1 VLAN10 Yanfa Gi0/1 至 Gi0/4 研发部
VLAN20 Xiaoshou Gi0/5 至 Gi0/8 销售部
VLAN30 Caiwu Gi0/9 至 Gi0/12 财务部
Vlan100 Manage 192.1.100.1/24 管理与互联 VLAN
S2 VLAN10 Yanfa Gi0/1 至 Gi0/4 研发部
VLAN20 Xiaoshou Gi0/5 至 Gi0/8 销售部
VLAN30 Caiwu Gi0/9 至 Gi0/12 财务部
Vlan100 Manage 192.1.100.2/24 管理与互联 VLAN
S3 VLAN10 Yanfa 192.1.10.252/24 研发部
VLAN20 Xiaoshou 192.1.20.252/24 销售部
VLAN30 Caiwu 192.1.30.252/24 财务部
Vlan100 Manage 192.1.100.252/24 管理与互联 VLAN
Gi0/24 10.1.0.1/30
LoopBack 0 11.1.0.33/32
S4 VLAN10 Yanfa 192.1.10.253/24 研发部
VLAN20 Xiaoshou 192.1.20.253/24 销售部
VLAN30 Caiwu 192.1.30.253/24 财务部
Vlan100 Manage 192.1.100.253/24 管理与互联 VLAN
Gi0/24 10.1.0.5/30
LoopBack 0 11.1.0.34/32
S6/S7 Gi1/0/1 10.1.0.2/30
Gi2/0/1 10.1.0.6/30
Gi1/0/2 10.1.0.9/30
Gi2/0/2 10.1.0.13/30
LoopBack 0 11.1.0.67/32
EG1 Gi0/0 10.1.0.18/30
Gi0/2 20.1.0.1/29
Gi0/3 30.1.0.1/29
Gi0/4 40.1.0.1/29
LoopBack 0 11.1.0.11/32
EG2 Gi0/0 10.1.0.10/30
Gi0/1 10.1.0.14/30
Gi0/2 20.1.0.9/29
Gi0/3 30.1.0.9/29
Gi0/4 40.1.0.9/29
LoopBack 0 11.1.0.12/32
S5 VLAN10 AP 194.1.10.254/24
Gi0/1 至 Gi10
VLAN20 Caiwu_Wifi 194.1.20.254/24
VLAN30 Yanfa_Wifi 194.1.30.254/24
Vlan100 Manage 194.1.100.254/24
Gi0/24 10.1.0.17/30
LoopBack 0 11.1.0.5/32
AC1 Vlan100 Manage 194.1.100.251/24
LoopBack 0 11.1.0.204/32
AC2 Vlan100 Manage 194.1.100.252/24
LoopBack 0 11.1.0.205/32
R1 Gi0/0 20.1.0.6/29
Gi0/1 20.1.0.14/29
Se2/0 12.1.0.1/30
Loopback0 11.1.0.1/32
R2 Gi0/0 30.1.0.6/29
Gi0/1 30.1.0.14/29
Se2/0 12.1.0.2/30
Se3/0 23.1.0.1/30
Loopback0 11.1.0.2/32
R3 Gi0/0 40.1.0.6/29
Gi0/1 40.1.0.14/29
Se3/0 23.1.0.2/30
Loopback0 11.1.0.3/32
