本次实验是在企业园区网中典型案例

技术协议：

二层：MSTP、VLAN、链路聚合

三层：VRRP、DHCP、OSPF、静态路由

安全：防火墙双击热备、ip-link、link-group、安全策略、NAT策略、内容安全、带宽管理、IPSEC VPN、L2TP VPN

物理环境：ensp、vb虚拟机、vm虚拟机（win7、10、11系统镜像）、vpn登录软件

接入层设备

汇聚层

核心层

出口防火墙

网关部署在汇聚层，汇聚与核心通过ospf传递路由，防火墙双击热备模式为主备

L2TP vpn 从ISP1方向走

ipsec vpn从ISP2方向走

防火墙1为主墙，link-group组中包含（G1/0/0、G1/0/1、G1/0/3、G1/0/4），组内任意一个接口故障，整个组的接口全部失效，进行防火墙主备切换，防火墙的出口静态路由与ip-link进行联动，快速实现防火墙主备切换。

以下都测试内容

mstp验证测试

实例1映射vlan 10、20

实例2映射vlan 30、40

汇聚1为实例1的根，汇聚1为实例2的备份

汇聚2为实例1的备份，汇聚2为实例2的根

链路聚合验证测试

汇聚1  成员接口3、4口

汇聚2 成员接口3、4口

vrrp验证测试

汇聚1中实例1映射的vlanif为主网关，实例2映射的vlanif为备网关

汇聚2中实例1映射的vlanif为备网关，实例1映射的vlanif为主网关

dhcp验证测试

ospf验证测试

核心交换机1的4个ospf邻居

核心交换机2的4个ospf邻居

防火墙hrp验证测试

防火墙1

防火墙vrrp验证测试【注意：此处防火墙bug】

在防火墙初次启动后，vrrp的协商大概率都是失败的

解决办法：重启图中三台交换机

重启后再验证

此时vrrp状态回复，但主备与防火墙主备不一致，那是因为交换机重启后，防火墙的hrp主备发生了变化，导致vrrp主备颠倒，需要等待5分钟左右，hrp状态恢复即vrrp状态恢复

等待一段时间后，状态如下

nat验证测试

此时nat流量是主防火墙的G1/0/0，ISP1出口，抓包发现成功转换为源nat

ipsec验证测试

ipsec流量是从主防火墙的G1/0/2口 isp2方向建立的ipsec隧道，从抓包可以看到ipsec的源ip是200.254

l2tp验证测试

1、进入防火墙1的web界面（防火墙如何web桥接请看我往期博客），创建用户名（关于ssl和l2tp的用户，ensp关闭一次，用户随之消失一次，所以每次打开前，需要进入防火墙中创建）

2、开启vm虚拟机并登录win镜像系统内，测试虚拟机到防火墙vip的连通性（虚拟机的网关是连接路由器的接口地址）

3、开启vpn软件，开始登录

4、测试出差员工访问企业内网服务器

防火墙主备切，nat验证测试

防火墙主备切，ipsec验证测试

防火墙主备切，l2tp验证测试

在防火墙主备切换后，l2tp的连接失败，此时需要重新登录即可

全篇测试内容结束，感兴趣的可以私up

本次实验内容还有实验讲解视频

on

B站

白话聊网络