計算机网络实验八DHCP_NAT_ACL的实现.docVIP

实验八 DHCP+NAT+ACL(case study) 【实验目的】 一、了解 DHCP 原理，掌握在路由器上配置 DHCP 服务器的方法 二、了解 IP Helper Address 原理和配置方法 三、掌握 NAT 原理，掌握静态和动态 NAT、PAT 的配置方法 四、理解和掌握 ACL 的作用；学会配置各种 ACL 五、参与网络的设计和实现 【实验拓扑及器材】 本实验需用到路由器 3 台，交换机 1 台，串行线、直通线、交叉线、console 线若干， 主机 7 台。实验拓扑如下： 场景描述： 上图为某小型公司的网络。 1. 拓扑描述： 1）3 个 VLAN，其中 VLAN2（PC1 所在 VLAN）为一般员工使用，VLAN4（PC2 所在 VLAN）为来访客户使用，VLAN3（Server1 所在 VLAN）有公司的 http 和 ftp 服务器。 2）LAN5（即 PC3 所在的 LAN），为网络管理员使用。 3）公司网络通过边界路由器 R3 连接到 ISP（用主机模拟）。 2. IP 地址： 1）在公司的网络内部，使用私有地址，地址范围为 /24 网段。VLAN3 的服 务器的 IP 地址为手动配置的固定地址；VLAN2、VLAN4、LAN5 的主机的 IP 地址由 DHCP - 92 -  自动获取，路由器 R2 上配置了 DHCP 服务，而路由器 R1 上配置了 IP Helper Address。 2）当公司内部需要和外部通信时，通过边界路由器 R3 进行 NAT 转换，可用的内部全 局地址为 28/26 网段。其中 VLAN3 的服务器使用的是静态 NAT 转换，以使外 部网络能对服务器进行访问；而 VLAN2、VLAN4、LAN5 的主机使用的是 PAT，以节省内 部全局地址。 3. 公司内部的路由器上配有 ACL，使得： 1）VLAN2 能访问 VLAN3、VLAN4、LAN5 以及 Internet，但不能被 VLAN4、Internet 的用户访问。 2）VLAN3 能被 VLAN2、LAN5 的用户访问，而被 VLAN4、Internet 的用户只能通过 http 和 ftp 访问 3）路由器的虚拟终端只允许 LAN5 用户的登录。 【实验重难点】 一、DHCP IP Helper Address 1. DHCP（动态主机配置协议） 网络管理员可以利用 DHCP 服务器从事先定义好的地址池里为客户机动态分配 IP 配置 以及 DNS 服务器、域名等参数。 DHCP 对客户端的配置过程主要包括以下四个步骤： 1）客户端需要 IP 配置的时候，向所有节点发送 DHCPDISCOVER 广播寻找 DHCP 服 务器； 2）服务器用单播方式向客户端发送 DHCPOFFER 响应，提供 IP 建议配置信息； 3）客户端如果觉得该建议配置可以接受，就向所有节点发 DHCPREQUEST 广播； 4）服务器向客户端单点传送一个 DHCPACK 以确认该配置的正式化。 2. IP Helper Address 网络中有多种类似 DHCP 这样需要通过广播寻找服务器的服务。而在大型的网络中， 往往不是所有客户都与这些主要服务器处于同一子网中。缺省情况下路由器不会将客户的广 播转发到他们的子网之外，因此这些定位服务器的广播包将无法到达服务器。 为了既能让客户能定位服务器而又避免在每一个子网上放置服务器，Cisco IOS 提供了 帮助地址特性。IP helper-address 命令可以让路由器中继这些主要 UDP 服务的广播请求，并 把它们转发到特定的服务器上，从而服务器能基于请求作出响应，给请求客户以它们所需要 的信息。 在 DHCP 包中有一个 GIADDR 字段，若需跨网域进行自动地址分配，则此字段为中继 代理的地址，否则为 0。DHCP 服务器可以从代理的地址识别该请求主机对应的网段，从而 能正确地分配地址。 二、NAT 1. 私有地址和地址转换 IANA 保留了下列三块 IP 地址空间作为私有地址： ～55(一个单独 A 类网络号码) ～55(16 个相邻的 B 类网络号) ～55(256 个相邻的 C 类网络号) - 93 -  任何组织可以不经 IANA 或因特网登记处的允许就可以使用私有地址。取得私有 IP 地 址的主机能和组织内部任何其他主机连接，但是如果不经过一个代理网关就不能和组织外的 主机连接。 地址转换，即 NAT 功能，就是指在一个组织网络内部，根据需要可以使用私有的 IP 地 址 (不需要经过申请)