任务描述
CII集团公司业务不断发展壮大，为适应IT行业技术飞速发展，满足公司业务发展需要，集团公司决定进行网络信息化建设。你做为火星公司网络工程师前往CII集团完成网络规划与建设任务。
任务清单
（一）基础配置
1.根据附录1、附录2，配置设备接口信息。
2.所有交换机和无线控制器开启SSH服务，用户名密码分别为admin、admin1234；密码为明文类型,特权密码为admin。
3.交换设备配置SNMP功能，向主机172.16.0.254发送Trap消息版本采用V2C，读写的Community为“Test”，只读的Community为“public”，开启Trap消息。
（二）有线网络配置
1.在全网Trunk链路上做VLAN修剪。
2.在S7交换机使用Private Vlan。
3.在交换机S1、S2的Gi0/1-Gi0/16端口启用端口保护。
4.连接PC端口开启Portfast和BPDUguard防护功能；为防止接入交换机下联端口私接HUB设备引起环路，需要启用RLDP协议；终端接口检测到环路后处理方式为Shutdown-Port；端口检测进入Err-Disabled状态，设置300秒自动恢复机制（基于接口部署策略）。
5.在S3上只针对A公司涉密部门VLAN10网段与总部VLAN40网段流量（ACL编号100）做端口镜像，目的端口为Gi0/24，并且监控服务器也能正常访问互联网。
6.在交换机S3、S4上配置DHCP中继，对VLAN10内的用户进行中继。具体要求如下：DHCP服务器搭建于EG2上，DHCP对外服务使用loopback 0地址。
7.在（S1/S2）上部署DHCP Snooping+IP Source Guard+ARP-check解决方案。
8.在交换机S3、S4上配置MSTP防止二层环路。要求VLAN10、VLAN20、VLAN30、VLAN40、VLAN100数据流经过S3转发，VLAN50、VLAN60数据流经过S4转发，S3、S4其中一台宕机时均可无缝切换至另一台进行转发。所配置的参数要求如下：region-name为test；revision版本为1；实例1，包含VLAN10、VLAN20、VLAN30、VLAN40、VLAN100；实例2，包含VLAN50,VLAN60；S3作为实例0、1中的主根，S4作为实例0、1的从根；S4作为实例2中的主根，S3作为实例2的从根；主根优先级为4096，从根优先级为8192；在S3和S4上配置VRRP，实现主机的网关冗余。所配置的参数要求如表1；S3、S4各VRRP组中高优先级设置为200，低优先级设置为110。
9.S1和S2间的部署虚拟化，其中S1为主，S2为备；规划S1和S2间的Gi0/17端口作为双主机检测链路，配置基于BFD的双主机检测。
10.主设备：Domain id：1,switch id:1,priority 200；备设备：Domain id：1,switch id:2,priority 150。
11.OSPF进程号10，规划单区域，,区域0（S3、S4、EG2）；OSPF进程号20，规划多区域，区域0（R1、R2），区域2（R1、R2、R3）；OSPF进程号30，规划单区域，区域0（AC1、EG1）。
12.总部与A公司互联链路规划至区域0，并且不允许新增OSPF进程。
13.为了方便管理，所有运行OSPF的设备router-id必须为loopback口地址。
14.S5、S6、S7使用RIP协议，RIP协议使用版本2，并且关闭自动聚合。
15.S5、S6、R1、R2使用BGP协议，BGP协议中S5、S6使用AS号100， R1、R2使用AS号200，同AS号内使用loopback口建立iBGP邻居，不同AS号使用互联接口建立eBGP邻居。
16.AC2/S4、EG1/EG2间部署静态路由协议；重发布路由进OSPF中使用类型1。
17.由于172.17.0.0/24是涉密业务网段，仅允许A公司内部访问，并且考虑到数据分流及负载均衡的目的，针对本部与分部数据流走向要求如下：
OSPF可以通过修改COST值的方式实现数据分流，并且其值为1或2;
禁止将BGP的路由条目通过重发布BGP AS方式引入RIP及OSPF中；
禁止将RIP、OSPF的路由条目通过重发布整个进程方式引入BGP中；
总部有线网段与数据中心服务器互通主路径为S3-R1-R3;
总部无线网段与数据中心服务器互通主路径为S4-R2-R3;
总部有线网络与互联网互通主路径为S3-EG2；
总部无线网络与互联网互通主路径为S4-EG2。
18.A公司涉密部门VLAN10网段与总部VLAN40网段间的互通主路径为S3-R1-S5-S7;A公司涉密部门与数据中心服务器互通的主路径为S7-S5-R1-R3;数据中心服务器与互联网互通的主路径为R3-R1-S3-EG2。
（三）无线网络配置
CII集团公司拟投入16.5万元（网络设备采购部分），项目要求重点覆盖楼层、走廊和办公室。平面布局如图1所示。
1.绘制AP点位图（包括：AP型号、编号、信道等信息，其中信道采用2.4G的1、6、11三个信道进行规划）。
2.使用无线地勘软件，输出AP点位图的2.4G频道的信号仿真热图（仿真信号强度要求大于-65db）。
3.根据表2无线产品价格表，制定该无线网络工程项目设备的预算表。
- 使用S3、S4为无线用户与AP DHCP服务器，S3分配地址范围为其网段的1至100，S4分配地址为其网段的101至200（使用最短的命令实现）。 使用AC1为办事处无线用户与AP DHCP服务器。
- 创建SSID (WLAN-ID 1)为 test-ZB_XX(XX现场提供)，AP-Group为ZB，本部无线用户关联SSID后可自动获取地址。
- 创建SSID (WLAN-ID 2)为 test-BSC_XX(XX现场提供)，AP-Group为BSC，办事处无线用户关联SSID后可自动获取地址。
- 为了减轻AC1的负担，因此AC2为主用AC，AC1为备用AC。
- AP与AC1、AC2均建立隧道，当AP与主用AC失去连接时能无缝切换至备用AC并提供服务。
- 避免链路不稳定，导致AP工作不正常，总部启用无线AP边缘感知功能。
- 在同一个 AP 中的用户在某些时候出于安全性的考虑，需要将他们彼此之间进行隔离，实现用户之间彼此不能互相访问，配置同 下用AP户间隔离功能。
- 连接Fit AP的无线用户接入无线网络时采用WPA2加密方式，加密密码为XX(现场提供)。
（四）出口网络配置
1.总部出口网关上配置访问控制列表ACL 120，仅允许用户在周一到周五的上班时间（命名为work，9:00至17:00）通过NAPT访问互联网，NAPT映射到互联网接口上，服务器上网不受限制。
2.办事处出口网关上配置访问控制列表ACL120，允许用户通过NAPT访问互联网，NAPT映射到互联网接口上。
3.办事处网关上配置端口映射，使AC1（11.1.0.204）设备的SSH服务可以通过互联网被访问，映射地址为197.1.0.5:2222。
4.在总部网关上启用Web Portal认证服务，并创建user1、user2。
5.无线用户和服务器不需要进行WEB认证即可访问互联网。
6.部署L2TP隧道进行总部对办事处路由的对接验证，验证用户名密码均为test，L2TP隧道密码为test;L2TP用户地址池为10.1.2.1—10.1.2.254;L2TP隧道中承载OSPF协议，使其总部与办事处通过OSPF进行路由交互，区域号1。
7.部署IPsec对L2TP隧道中的业务数据加密；IPsec VPN需要采用传输模式，预共享密码为test，加密认证方式为ESP-3DES、ESP-MD5-HMAC，DH使用组2。
附录1：拓扑图
