阶段一：终端设备基础配置

首先，确保底层设备的“身份”和“网关”信息无误。

• PC0: IP 192.168.10.1 | 子网 255.255.255.0 | 网关 192.168.10.254 | DNS 200.0.0.1
• PC1: IP 192.168.20.1 | 子网 255.255.255.0 | 网关 192.168.20.254 | DNS 200.0.0.1
• Web Server: IP 200.0.0.1 | 子网 255.255.255.0 | 网关 200.0.0.254

阶段二：接入层交换机（Sw21 & Sw22）

任务：划分 VLAN 并建立向上连向核心交换机的“高速公路”（Trunk）。

Sw21 配置：

en
conf t
vlan 10
 name computer
exit
int fa0/1
 sw mode acc
 sw acc vlan 10
exit
int fa0/2           ! 连接Sw1的接口
 sw mode trunk      ! 允许VLAN 10通过

Sw22 配置：

en
conf t
vlan 20
 name accounting
exit
int fa0/1
 sw mode acc
 sw acc vlan 20
exit
int fa0/3           ! 连接Sw1的接口
 sw mode trunk      ! 允许VLAN 20通过

阶段三：核心交换机（Sw1）配置

核心逻辑：Sw1 是网络的中枢，它既要负责 VLAN 间的通信，又要作为路由器与 R1 通信。

en
conf t
ip routing          ! 【关键】开启三层转发功能，否则无法跨网段通信

! 1. 配置 VLAN 接口（作为 PC 的网关）
vlan 10
vlan 20
exit
int vlan 10
 ip add 192.168.10.254 255.255.255.0
int vlan 20
 ip add 192.168.20.254 255.255.255.0

! 2. 配置连接 R1 的三层接口
int fa0/24
 no switchport      ! 【关键】将二层口转为三层路由口
 ip add 192.168.40.1 255.255.255.0

! 3. 配置默认路由指向出口路由器 R1
ip route 0.0.0.0 0.0.0.0 192.168.40.2

! 开启 Telnet 远程登录
line vty 0 4
 password cisco
 login
exit
enable password cisco

阶段四：路由器（R1 & R3）配置

任务：实现外网打通、Loopback 接口以及远程登录功能。

R1 配置（中间跳）：

en
conf t
int fa0/0
 ip add 192.168.40.2 255.255.255.0
int fa0/1
 ip add 23.0.0.1 255.255.255.0
no shut
! 静态路由：告诉R1去内网和去服务器怎么走
ip route 192.168.10.0 255.255.255.0 192.168.40.1
ip route 192.168.20.0 255.255.255.0 192.168.40.1
ip route 200.0.0.0 255.255.255.0 23.0.0.2

R2 配置（出口端）：

en
conf t
hostname R3
int fa0/1
 ip add 23.0.0.2 255.255.255.0
int fa0/0
 ip add 200.0.0.254 255.255.255.0
int loopback 0      ! 配置Loopback接口
 ip add 3.3.3.3 255.255.255.0
no shut
! 默认路由指向 R1
ip route 0.0.0.0 0.0.0.0 23.0.0.1

阶段五：安全策略与服务（ACL）

任务：开启 Web 服务，并限制 PC0 访问。

1. Web 服务器配置

• 点击 Web 服务器 -> Services -> DNS：开启 DNS，添加 www.abc.com 对应 200.0.0.1。
• HTTP：确保为 On。

2. 在 Sw1 上应用 ACL（精准拦截）

en
conf t
! 创建 ACL：拒绝 PC0 访问任何主机的 HTTP(80) 和 HTTPS(443)
access-list 101 deny tcp host 192.168.10.1 any eq 80
access-list 101 deny tcp host 192.168.10.1 any eq 443
access-list 101 permit ip any any    ! 允许其他所有流量（包括PC1和Ping）

! 应用到 PC0 进入的网关接口
int vlan 10
 ip access-group 101 in

阶段六：最终验证清单

1. 全网通测试：PC1 应该能 Ping 通 R3 的 Loopback 接口 (3.3.3.3) 和 Web 服务器 (200.0.0.1)。
2. DNS 测试：PC1 的浏览器输入 www.abc.com 应当能看到 Cisco 欢迎页面。
3. 安全测试：PC0 访问 www.abc.com 应当超时失败，但 PC0 仍然能 Ping 通服务器（证明 ACL 只拦截了网页流量）。
4. 远程登录：在 PC1 的命令行输入 telnet 192.168.10.254，输入密码 cisco 即可登录 R3。