本文章没有找到对应的语言版本

VMware 虚拟局域网搭建实验指导

继上一篇基础网络模式教程之后，本次实验将搭建一个更为复杂的虚拟局域网环境，包含企业内部网络、中转路由和互联网侧的完整网络拓扑，并在此基础上配置VPN和NAT路由功能。

网络规划

本次实验使用三个VMnet虚拟网络，模拟企业内外网互联的完整场景：

虚拟网络网段用途
VMnet1192.168.11.0/24企业内部网络
VMnet2112.111.11.0/24中转连接段
VMnet3202.102.134.0/24互联网侧（模拟外网）

虚拟机角色分配：

主机名系统网络适配器角色IP地址
200301Windows Server 2003VMnet1 + VMnet2企业出口路由器192.168.11.1 / 112.111.11.11
200302Windows Server 2003VMnet2 + VMnet3互联网中转路由器112.111.11.12 / 202.102.134.1
XP01Windows XPVMnet1企业内网主机192.168.11.21
XP02Windows XPVMnet3VPN客户端202.102.134.100

网络逻辑：XP01（企���内部）→ 200301（出口路由器）→ 200302（中转路由器）→ XP02（互联网侧）

200301和200302各配有两张网卡，分别接入不同网段，充当路由器角色。

实验步骤

步骤一：虚拟网段配置

  1. 打开VMware Workstation → 编辑 → 虚拟网络编辑器
  2. 确认或配置以下三个虚拟网络：

VMnet1：仅主机模式

  • 子网地址：192.168.11.0
  • 子网掩码：255.255.255.0

VMnet2：仅主机模式

  • 子网地址：112.111.11.0
  • 子网掩码：255.255.255.0

VMnet3：仅主机模式

  • 子网地址：202.102.134.0
  • 子网掩码：255.255.255.0

注意：这三个虚拟网络都用仅主机模式即可，路由功能由虚拟机自身的Windows Server的"路由和远程访问"服务来实现。

虚拟网段配置

步骤二：各虚拟机配置

200301 — 企业出口路由器（双网卡）

网络适配器设置：

  • 网络适配器1：VMnet1（企业内网侧）
  • 网络适配器2：VMnet2（中转连接侧）

添加第二张网卡： 右键虚拟机 → 设置 → 添加 → 网络适配器 → 选择对应VMnet

IP配置：

进入200301，分别为两张网卡配置IP：

网卡1（企业侧）：
IP 地址：      192.168.11.1
子网掩码：     255.255.255.0
默认网关：     留空

网卡2（中转侧）：
IP 地址：      112.111.11.11
子网掩码：     255.255.255.0
默认网关：     留空

提示：200301作为企业出口路由器，需要两张网卡分别连接���域网和外部网络。在Windows 2003中，可以通过网络连接窗口确认哪张网卡对应哪个VMnet。

200302 — 互联网中转路由器（双网卡）

网络适配器设置：

  • 网络适配器1：VMnet2（中转连接侧）
  • 网络适配器2：VMnet3（互联网侧）

IP配置：

网卡1（中转侧）：
IP 地址：      112.111.11.12
子网掩码：     255.255.255.0
默认网关：     留空

网卡2（互联网侧）：
IP 地址：      202.102.134.1
子网掩码：     255.255.255.0
默认网关：     留空

XP01 — 企业内网主机（单网卡）

网络适配器： VMnet1

IP配置：

IP 地址：      192.168.11.21
子网掩码：     255.255.255.0
默认网关：     192.168.11.1（指向200301的VMnet1网卡）

XP02 — VPN客户端/互联网侧主机（单网卡）

网络适配器： VMnet3

IP配置：

IP 地址：      202.102.134.100
子网掩码：     255.255.255.0
默认网关：     202.102.134.1（指向200302的VMnet3网卡）

虚拟机配置总览

步骤三：启用Windows Server的路由功能

要让200301和200302充当真正的路由器，需要启用Windows Server 2003的"路由和远程访问"功能。

在200301和200302上分别操作：

  1. 开始 → 管理工具 → 路由和远程访问
  2. 右键服务器名称 → 配置并启用路由和远程访问
  3. 选择 自定义配置
  4. 勾选 LAN路由
  5. 完成向导并启动服务

启用后，200301应该能在192.168.11.0/24和112.111.11.0/24之间转发数据包，200302同样在112.111.11.0/24和202.102.134.0/24之间转发。

基础连通性测试：

此时网络拓扑应该已经互通。在XP01上测试：

# 测试与自己的网关通信
ping 192.168.11.1

# 测试与中转路由器通信
ping 112.111.11.11
ping 112.111.11.12

# 测试与互联网侧主机通信
ping 202.102.134.100

如果全部能ping通，说明基础路由配置成功。如果中间某些节点不通，检查对应网卡的IP配置和防火墙设置。

自定义添加VPN和NAT路由功能

在基础局域网连通之后，我们来配置VPN服务，让互联网侧的主机（XP02）能够通过VPN隧道访问企业内部网络资源。200301将作为VPN服务器和NAT网关。

操作环境： Windows Server 2003（200301虚拟机）

第一步：打开路由和远程访问

  1. 在200301上打开 管理工具 → 路由和远程访问
  2. 展开左侧树形目录，找到 服务器名称（本地）
  3. 如果服务已启用，需要先右键 → 禁用路由和远程访问
  4. 再次右键 → 配置并启用路由和远程访问

第二步：自定义配置

  1. 在配置向导中，选择 自定义配置
  2. 勾选以下两项：
✓ VPN访问
✓ NAT 和基本防火墙

自定义配置截图

  1. 点击下一步，完成向导
  2. 系统会提示是否启动服务，选择 是

第三步：配置NAT接口

启用NAT后，需要配置哪个网络接口连接到外部网络（互联网侧）。

  1. 在路由和远程访问控制台中，展开 IP 路由选择 → NAT/基本防火墙
  2. 右键 NAT/基本防火墙 → 新增接口
  3. 选择连接外网（互联网侧）的网卡，即VMnet2对应的那张网卡（IP为112.111.11.11）
  4. 在属性对话框中：
    • 选择 公用接口连接到 Internet
    • 勾选 在此接口上启用 NAT

NAT接口配置

  1. 对内网网卡（VMnet1，IP为192.168.11.1）也新增接口，选择 专用接口连接到专用网络

第四步：配置VPN静态地址池

VPN客户端连接时需要被分配IP地址，我们需要预设一个地址池。

  1. 右键服务器名称 → 属性
  2. 选择 IP 选项卡
  3. 在IP地址指派中，选择 静态地址池
  4. 点击 添加，设置一个地址范围：
起始 IP 地址：  192.168.11.200
结束 IP 地址：  192.168.11.210

这样VPN客户端拨入后会被分配192.168.11.200-210之间的一个IP，相当于接入了企业内部网络。

VPN地址池配置

第五步：配置VPN用户

VPN连接需要用户名和密码认证：

  1. 在200301上打开 计算机管理 → 本地用户和组 → 用户
  2. 新建一个用户，例如：
用户名：vpnuser
密码：  123456
  1. 右键该用户 → 属性 → 拨入 选项卡
  2. 在"远程访问权限（拨入或VPN）“中，选择 允许访问

VPN用户配置

第六步：重启服务

配置完成后，建议重启路由和远程访问服务以确保所有设置生效：

  1. 右键服务器名称
  2. 选择 所有任务 → 重新启动

实验结果测试

所有配置完成后，我们需要验证各项功能是否正常。

基础连通性测试

在XP01（企业内网主机）上：

ping 192.168.11.1       # ✓ 与网关通信
ping 112.111.11.11      # ✓ 与路由器中转侧通信
ping 202.102.134.100    # ✓ 与互联网侧主机通信（需路由正确）

在XP02（互联网侧主机）上：

ping 202.102.134.1      # ✓ 与自己的网关通信
ping 112.111.11.12      # ✓ 与中转路由器通信
ping 112.111.11.11      # ✓ 与出口路由器通信
ping 192.168.11.21      # ✓ 与企业内网主机通信（需NAT正确）

针对性问题排查

问题：XP02 ping 192.168.11.21 不通

排查思路：

  1. 检查200301和200302的路由功能是否启用
  2. 检查各虚拟机防火墙是否关闭
  3. 在200301上检查NAT是否正常工作
  4. 检查各节点IP配置有无错误

问题：XP02 ping 112.111.11.11 初始不通

这是一个常见的配置错误：

原因分析： 在200301的VPN设置中，选择"本地连接"时选错了网卡。VPN服务应该绑定到公网侧的网卡（即连接到VMnet2、IP为112.111.11.11的那个网卡），而不是内网侧（VMnet1）的网卡。如果选错了，VPN服务会监听错误的网络接口，导致公网上的客户端无法连接。

解决方法：

  1. 在路由和远程访问中，检查VPN端口属性
  2. 确认VPN绑定的是外部网络接口
  3. 如有必要，删除VPN配置重新设置，确保在新增接口步骤中选对了网卡

VPN客户端连接测试（XP02）

在XP02上创建VPN连接来测试：

创建VPN拨号连接：

  1. 控制面板 → 网络连接 → 创建一个新的连接
  2. 选择 连接到我的工作场所的网络（VPN）
  3. 选择 虚拟专用网络连接
  4. 公司名：随意填写（如"MyVPN”）
  5. 主机名或IP地址：112.111.11.11（200301的公网侧IP）
  6. 完成创建

拨号测试：

  1. 双击创建的VPN连接
  2. 输入用户名 vpnuser 和密码 123456
  3. 点击连接

如果连接成功，XP02会获得地址池中的IP（如192.168.11.200），此时它相当于接入了企业内部网络，可以直接访问192.168.11.0/24网段的所有资源。

在连接成功后测试：

ping 192.168.11.21   # 如果能通，说明VPN隧道正常工作

VPN连接测试

实验总结

通过本次实验，我们完成了以下内容：

  1. 规划并搭建了多网段的虚拟局域网，包含企业内部网、中转连接段和互联网侧三个逻辑区域
  2. 配置了双网卡路由器，利用Windows Server 2003的路由和远程访问功能实现跨网段通信
  3. 部署了NAT功能，让内网主机通过出口路由器访问外部网络
  4. 搭建了VPN服务，实现了互联网侧客户端通过加密隧道访问企业内网资源

关键知识点：

技术点说明
路由在不同网段之间转发数据包，需要启用并正确配置路由表
NAT将内网私有IP转换为外网IP，实现多台主机共享一个公网IP上网
VPN在公共网络上建立加密隧道，让远程用户安全访问内部网络
静态地址池为VPN客户端预设IP范围，确保客户端获得可路由的内网地址

常见踩坑点回顾：

  • 网卡绑定错误：配置VPN/NAT时一定要仔细确认绑定的网卡是内网侧还是外网侧
  • 防火墙拦截：实验时建议关闭所有虚拟机的Windows防火墙，避免ICMP被阻止
  • 服务未启动：配置完成后务必确认路由和远程访问服务处于"已启动"状态
  • IP地址冲突：手动分配IP时注意不要和其他主机或动态分配范围冲突

本文为网络空间安全课程实验的辅助教程，实际操作中请以教师要求为准。如有疑问，欢迎在评论区讨论交流。