最新资讯

8．利用BGP MPLS VPN 技术，RT1 与RT2 以太链路间运行 多 协议标签交换、标签分发协议。RT1 与RT2 间创建财务VPN 实 例， 名称为Finance，RT1 的RD 值为 1:1 ，export rt 值为 1:2 ，import rt 值 为2:1；RT2 的RD 值为2:2。通过两端loopback1 建立VPN 邻居 ，分 别实现两端loopback5 ipv4 互通和ipv6 互通。

RT1:
!                                                                               
ipv6 unicast-routing                                                            
ipv6 vrf Finance                                                                
 rd 1:1                                                                         
 route-target import 1:2                                                        
 route-target export 2:1                                                        
!                                                                                                                                                           
mpls ip                                                                         
mpls ldp router-id 10.13.5.1                                                    
!                                                                                                                                                           
ip vrf Finance                                                                  
 rd 1:1                                                                         
 route-target export 2:1                                                        
 route-target import 1:2   
!
interface Loopback1                                                                                                                               
 ipv6 enable                                                                    
 mpls ip encapsulate                                                            
!                                                                               
interface Loopback5                                                             
 ip vrf forwarding Finance                                                                                                                       
 ipv6 enable                                                                    
 ipv6 vrf forwarding Finance                                                    
 mpls ip encapsulate                                                            
!                                                                               
interface GigaEthernet0/0                                                                                                                       
 mpls ip                                                                        
 mpls ip encapsulate                                                            
 mpls ldp enable                                                                
!                                                                       
router bgp 65001                                                                
 no synchronization                                                             
 bgp log-neighbor-changes 

 address-family vpnv4                                                           
 neighbor 10.13.6.1 activate                                                    
 neighbor 10.13.6.1 send-community extended                                     
 exit-address-family                                                            
                                                                                                                                          
                                                                                
 address-family vpnv6                                                           
 neighbor 2001:10:13:6::1 activate                                              
 neighbor 2001:10:13:6::1 send-community extended                               
 exit-address-family    

 address-family ipv4 vrf Finance                                                
 no synchronization                                                             
 network 10.13.5.5/32                                                           
 exit-address-family                                                            
                                                                                
 address-family ipv6 vrf Finance                                                
 no synchronization                                                             
 network 2001:10:13:5::5/128                                                    
 exit-address-family                                                            
!                         

RT2:
!                                                                               
ipv6 unicast-routing                                                            
ipv6 vrf Finance                                                                
 rd 2:2                                                                       
 route-target import 1:2                                                        
 route-target export 2:1                                                                                                                                  
!                                                                               
mpls ip                                                                         
mpls ldp router-id 10.13.6.1                                                    
!                                                                                                                                                             
ip vrf Finance                                                                  
 rd 2:2                                                                      
 route-target export 2:1                                                        
 route-target import 1:2                                                        
!                                                                                                                                                           
interface Loopback1                                                                                                                              
 ipv6 enable                                                                    
 mpls ip encapsulate                                                            
!                                                                               
interface Loopback5                                                             
 ip vrf forwarding Finance                                                                                                                       
 ipv6 enable                                                                    
 ipv6 vrf forwarding Finance                                                    
 mpls ip encapsulate                                                            
!                                                                               
interface GigaEthernet0/0                                                                                                                      
 ipv6 enable                                                                    
 mpls ip encapsulate                                                            
 mpls ldp enable  

router bgp 65002                                                                
no synchronization  
bgp log-neighbor-changes     
                                                                                
 address-family vpnv4                                                           
 neighbor 10.13.5.1 activate                                                    
 neighbor 10.13.5.1 send-community extended                                     
 exit-address-family                                                            
                                                                                                                                          
                                                                                
 address-family vpnv6                                                           
 neighbor 2001:10:13:5::1 activate                                              
 neighbor 2001:10:13:5::1 send-community extended                               
 exit-address-family                                                            
                                                                                
 address-family ipv4 vrf Finance                                                
 no synchronization                                                             
 network 10.13.6.5/32                                                           
 exit-address-family                                                            
                                                                                
 address-family ipv6 vrf Finance                                                
 no synchronization                                                             
 network 2001:10:6::5/128                                                       
 exit-address-family                                                            
!                                                                               

四、无线部署

1．AC1 loopback1 ipv4 和ipv6 地址分别作为AC1 的ipv4 和ipv6管理地址。AP 二层自动注册，AP 采用MAC 地址认证。配置2 个ssid， 分 别为skills-2.4G 和skills-5G。skills-2.4G 对应vlan140，用network 140 和 radio1（模式为 n-only-g）, 用户接入无线网络时需要采用基于 WPA-personal 加密方式，密码为Key-1122。skills-5G 对应vlan150 ， 用network 150 和radio2（模式为n-only-a ），不需要认证，隐藏ssid， skills-5G 用倒数第一个可用VAP 发送5G 信号。

AC1:

wireless       //在全局模式下配置
enable         //启用无线功能
！
no auto-ip-assign  //关闭无线特性自动指定 IP 地址功能
！
static-ip  10.13.4.1   //设置IPv4管理地址
static-ipv6  2001:10:13:4::1   //设置IPv6管理地址
！
ap authentication mac  //采用MAC地址认证
ap database 00-03-0f-d9-cd-c0  //AP的MAC地址
！
discovery vlan-list 130  //配置二层广播发现
！
network 140  //设置SSID，采用WPA-personal加密方式，对应vlan140
security mode wpa-personal
wpa key Key-1122     //注意秘钥
ssid skills-2.4G
vlan 140
！
network 150
security mode none   //无认证
ssid skills-5G
hide-ssid         //隐藏SSID
vlan 150
！
ap profile 1
radio 1
mode n-only-g  //在模板内配置2.4G信号
vap 0
network 140
enable
！
radio 2
mode n-only-a    //在模板内配置5G信号
vap 15
network 150
enable

2．当AP 上线，如果AC 中储存的Image版本和AP 的Image版 本号不同时，会触发AP 自动升级。AP 失败状态超时时间及探测 到 的客户端状态超时时间都为2 小时。

AC1:
wireless
ap auto-upgrade               //AP自动升级
agetime ap-failure 2   //设置AP失败状态超时时间2小时
agetime detected-clients 2   //探测到的客户端状态超时时间都为2小时

3．MAC 认证模式为黑名单，MAC 地址为80-45-DD-77-CC-48 的无线终端采用全局配置MAC 认证。

AC1:
wreless
mac-authentication-mode black-list  // MAC认证模式为黑名单
known-client 80-45-DD-77-CC-48 action global-action    // MAC地址为80-45-DD-77-CC-48的无线终端采用全局配置MAC认证
!
network 140
mac authentication local
!
network 150
mac authentication local

4．防止多AP 和AC 相连时过多的安全认证连接而消耗CPU 资 源，检测到AP 与AC 10 分钟内建立连接5 次就不再允许继续连接， 2 小时后恢复正常。

AC1:
Wireless
wireless ap anti-flood                    //打开AP FLOOD防制功能
wireless ap anti-flood interval 10       //设置 AP FLOOD 反制功能检测时间
wireless ap anti-flood max-conn-count 5  //设置AP FLOOD反制功能的最大允许连接数
wireless ap anti-flood agetime 120       //2小时后恢复正常

5．配置vlan110 无线接入用户相互隔离，开启ARP 抑制功能， 限制每天早上0 点到4 点禁止终端接入。

AC1:
Wireless
network 110
arp-suppression   //开启ARP抑制功能
time-limit from 00:00 to 04:00 weekday all //限制每天早上0点到4点禁止终端接入
station-isolation  //启动同 VAP 关联的无线用户隔离功能
!
ap profile 1
station-isolation allowed vlan 110  //设置AP下属于VLAN110的VAP之间的隔离

6．配置vlan110 无线接入用户上下行最大带宽为800Mbps ，arp 上下行最大速率为6packets/s。

AC1:
wireless
ap client-qos                      //启用client-qos功能
network 110
client-qos enable      //启动Network QoS 功能
client-qos bandwidth-limit up 800000   //配置上行最大带宽
client-qos bandwidth-limit down 800000  //配置下行最大带宽
client-qos bandwidth-limit arp up 6  //配置ARP上行最大速率
client-qos bandwidth-limit arp down 6  //配置ARP下行最大速率

7．配置vlan110 无线接入用户上班时间（工作日09:00-17:00）访 问 Internet https 上下行 CIR 为 1Mbps，CBS 为20Mbps，PBS 为 30Mbps，exceed-action 和violate-action 均为drop 。时间范围名称、控 制列表名称、分类名称、策略名称均为 Skills。

AC1:
time-range Skills
periodic weekdays 09:00:00 to 17:00:00  //设置无线接入用户上班时间
!
ip access-list extended Skills     //按要求配置访问控制列表约束vlan110
permit tcp 10.1.140.0 0.0.0.255 any-destination d-port 443 time-range Skills
!
class-map Skills
match access-group Skills   //设置分类
!
policy-map Skills      //设置策略
class Skills
policy 1000 20000 30000 exceed-action drop violate-action drop
!
wireless
ap client-qos                                 //启用client-qos功能
!
network 110
client-qos enable                         //启动Network QoS 功能
client-qos diffserv-policy up Skills  //运用策略设置上下的CIR，CBS，PBS
client-qos diffserv-policy down Skills

8．AP 发射功率为90%。

AC1:
Wireless
ap database 00-03-0f-c1-a8-b0 //注意是AP的MAC地址
!
radio 1 power 90
radio 2 power 90
!
ap profile 1
radio 1
power default 90
!
radio 2
power default 90   // AP发射功率为90%

五、安全维护

说明：ip 地址按照题目给定的顺序用“ip/mask”表示，ipv4 any 地址用0.0.0.0/0，ipv6 any 地址用::/0 ，禁止用地址条目，否则按零分处理。

1．FW1 配置ipv4 nat，实现集团产品1 段ipv4 访问Internet ipv4，转 换ip/mask 为200.200.200.16/28，保证每一个源ip 产生的所有会话 将 被映射到同一个固定的IP 地址；当有流量匹配本地址转换规则时 产 生日志信息，将匹配的日志发送至 10.13.11.120 的 UDP 514 端口，记 录主机名，用明文轮询方式分发日志；开启相关特性，实现扩展 nat 转换后的网络地址端口资源。

2．FW1 配置nat64，实现集团产品 1 段ipv6 访问Internet ipv4， 转换为出接口IP ，ipv4 转ipv6 地址前缀为64:ff9b::/96。

3．FW1 和FW2 策略默认动作为拒绝，FW1 允许集团产品 1 段 ipv4 和ipv6 访问Internet 任意服务。

4．FW2 允许办事处产品ipv4 访问集团产品 1 段https 服务， 允 许集团产品 1 段访问办事处产品ipv4 、FW2 loopback1 ipv4 、SW3 模 拟办事处loopback2 ipv4。

5．FW1 与RT2 之间用Internet互联地址建立GRE Over IPSec VPN， 实现loopback4 之间的加密访问。

SW3:
ip route vrf Internet 0.0.0.0/0 200.200.200.6  
ip route vrf Internet 0.0.0.0/0 200.200.200.2  //转发实例达到互联互通

RT2：
ip route default 200.200.200.5
ip route 10.13.7.4 255.255.255.255 tunnel 4
//让Loopback4通过隧道加密访问
!
ip access-list extended ACL-VPN
permit gre 200.200.200.6 255.255.255.252 200.200.200.2 255.255.255.252 sequence 10
//配置ACL-VPN使特定流量通过
!
interface Tunnel4
 ip address 10.13.255.50 255.255.255.252
 tunnel source 200.200.200.6
 tunnel destination 200.200.200.2
//配置隧道源端口ip和目的端口ip
!
crypto isakmp key 0 Key-1122 address 200.200.200.2 255.255.255.252 
crypto isakmp policy 1
 authentication pre-share
 encryption 3des
 hash md5
 lifetime 4000
!
crypto ipsec transform-set SET-1 esp-3des esp-md5-hmac
!
crypto map MAP-1 10 ipsec-isakmp
 match address ACL-VPN
 set peer 200.200.200.2
 set transform-set SET-1     
//创建加密图
!
interface GigaEthernet0/2
 ipv6 enable
 crypto map MAP-1   
//调用加密图

FW1:
ip vrouter "trust-vr"
  ip route 0.0.0.0/0 200.200.200.1  //使路由器到达E1/0/17，达到FW2和RT2之间的访问
  ip route 10.13.6.4/32 10.4.255.50  //让Loopback4通过隧道加密访问
!
tunnel gre "GRE-1"
  source 200.200.200.2
  destination 200.200.200.6
  interface ethernet0/3
  next-tunnel ipsec IPSEC-1
exit
interface tunnel4
  zone  "VPNHub"
  ip address 10.4.255.49 255.255.255.252
  manage ping
  tunnel gre "GRE-1" gw 10.4.255.50   //调用gre ，gw为对端隧道ip
exit

6．FW1 要求内网每个IP 限制会话数量为300。

7．FW1 开启安全网关的TCP SYN 包检查功能，只有检查收到 的包为TCP SYN 包后，才建立连接，否则丢弃包；配置对TCP 三次 握 手建立的时间进行检查，如果 1 分钟内未完成三次握手，则断掉该 连 接；配置所有的TCP 数据包和TCP VPN 数据包每次能够传输的最 大数据分段为 1460 ，尽力减少网络分片。