★ FEATURED ARTICLE 网络综合实验做到内网配置这一步看着最简单翻起车来却一点不含糊。同一个实验环境里拓扑一样、设备一样有人半小时把三个网段全部打通有人折腾一下午还在跟ARP表较劲。差别往往不在命令熟练度而在动手之前有没有把这台路由器在这个网络里到底是什么角色、交换机上哪条链路该走什么口这两件事想明白。这篇文章就围绕一套典型的内网模拟环境——一台路由器、一台二层交换机、三个业务子网——把路由器交换与配置综合实验一内网配置完整拆开怎么规划网段和VLAN怎么在路由器上做子接口和DHCP怎么在交换机上划VLAN、接Trunk最后怎么把三个网段路由打通并做验证。适合刚学完网络基础、第一次做综合实验的同学也适合运维新人当一份内网配置的参考底稿。1. 动手前先画清拓扑网段规划与设备角色划分1.1 规划先行命令靠后内网配置难的不是敲命令而是你要先回答三个问题这个网络里有哪些区域每个区域占哪个网段网关放在哪里这三个问题想清楚后面的配置就是填空题。反过来先上设备敲两下试试大概率会陷入配了A忘了B通了C又断了D的泥潭。还有一个很容易被忽略的点VLAN和IP网段不是绑定的。VLAN是二层广播域的划分IP网段是三层寻址的划分两者可以一对一也可以多对一或一对多。但在内网配置里我们强烈建议做成一一对应——每个VLAN配一个独立网段网关放在路由器上。这样做的好处是广播域隔离清晰跨区域通信路径一目了然后续加访问控制规则时也只需要按网段写不需要逐个IP去匹配。1.2 一套经典的内网模拟拓扑这里给一个马上能照着搭的拓扑路由器R1做内网网关同时也是这台交换机的唯一上行。交换机S1是二层接入设备下面挂三组终端分别对应办公区、研发区、服务器区。物理连接很简单就一根网线R1的GigabitEthernet0/0/1接S1的GigabitEthernet0/0/1。R1另外留一个上行口这期实验用不上先空着——这个口是给后续扩展或者综合实验二用的。逻辑拓扑就不止一层了因为三个区域的网关都要放在R1上而R1面向交换机只有一个物理口所以要在这个物理口上切出三个子接口分别对应VLAN 10、VLAN 20、VLAN 30扮演三个网段的网关。这个方案在教材里叫单臂路由名字听起来高级本质就是一根物理链路逻辑上走多个网段的流量。VLAN与网段的规划可以直接套用这张表区域VLAN网段网关路由器子接口接入交换机端口办公区VLAN 10192.168.10.0/24192.168.10.1Gi0/0/2~Gi0/0/8研发区VLAN 20192.168.20.0/24192.168.20.1Gi0/0/9~Gi0/0/16服务器区VLAN 30192.168.30.0/24192.168.30.1Gi0/0/17~Gi0/0/241.3 为什么网关要放在路由器而不是交换机上三层网关放哪里决定了这个网络的扩展边界。如果把网关做在交换机上交换机就要承担三层转发这在大型网络里叫三层交换机做网关确实很常见。但本期实验的主角是路由器重点是先把路由器的角色用起来——所以让路由器来当所有子网的网关交换机专心做二层VLAN隔离。这样二三层职责分明排错的时候也方便二层问题看交换机三层问题看路由器不至于两层搅在一起无从下手。另外一个原因DHCP服务可以放在路由器上也可以单独放一台服务器。实验环境里直接启用路由器的DHCP功能最简单地址池按子接口分别建终端插到哪个VLAN就自动拿到哪个网段的地址省去手工配IP的麻烦也避免终端自己乱填IP导致地址冲突。2. 路由器端配置子接口、VLAN封装与DHCP地址池2.1 子接口的三步固定操作登录路由器后第一件事是进入系统视图改名然后逐个配置子接口。以某主流厂商的命令行风格为例VLAN 10对应的子接口是这样system-view sysname R1 interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit这三条配置每一行都不能省。dot1q termination vid 10意思是这个子接口只处理带着VLAN 10标签的数据帧相当于给子接口贴了个认领标签ip address就是把这个子接口设成192.168.10.0/24网段的网关arp broadcast enable这行最容易被漏掉——子接口在默认状态下不响应ARP广播请求终端根本找不到网关ping网关必然超时。VLAN 20和VLAN 30照葫芦画瓢把子接口编号、VLAN号、IP地址换成对应网段即可。2.2 三个DHCP地址池一个网段一个内网终端数量一多手工配IP不现实。路由器自带DHCP服务按子接口所在网段分别建池配置思路很简单开全局DHCP建三个池子每个池子指定网段、网关、DNS然后在对应的子接口上启用DHCP。dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 192.168.30.10 excluded-ip-address 192.168.10.1 192.168.10.20 lease day 7 quit interface GigabitEthernet0/0/1.10 dhcp select global quit这里有两个容易忽略的细节。第一DHCP默认会把整个网段都分出去包括网关和服务器地址所以要用excluded-ip-address把网关以及将来可能要静态指定的地址排除掉不给DHCP抢注的机会。第二dns-list里填的是内网DNS服务器地址我这里写的是服务器区的一台机器实际环境按你内网DNS的真实IP来填。2.3 配置完立即自检别等PC连上来再发现配置完子接口和DHCP先在路由器上看一眼结果。display ip interface brief可以确认每个子接口的IP与状态display ip pool可以看到地址池的分配情况。这一步花30秒能省掉后面PC拿不到地址时的大量猜测。在这个阶段路由器上不需要也不应该配置NAT。NAT是出口设备处理内网访问外部网络时才需要的动作本期实验范围到内网互通为止提前配NAT反而会让排错变复杂。等做到出口方向的配置实验时再回来补地址转换和访问控制不迟。3. 交换机端配置VLAN创建、Access与Trunk的分工3.1 先建VLAN再把终端端口划进去交换机的配置从系统视图开始。先一次性创建三个VLAN然后逐个进入接入端口把端口设置为Access模式并指定默认VLAN。system-view vlan batch 10 20 30 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quitAccess口对外表现很简单端口打上固定的VLAN标签终端设备收到的帧是普通数据帧不需要理解802.1Q。一个终端一个网段互不干扰。3.2 接路由器的口必须是Trunk交换机上所有端口都划成Access路由器那边三个子网的数据帧就过不来了。连接路由器的那条链路上面同时跑VLAN 10、VLAN 20、VLAN 30三种带标签的数据帧所以它必须设成Trunk口并在放行列表里明确放行这三个VLANinterface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 quitTrunk口的语义是这条链路可以承载多个VLAN的帧每个帧会携带自己的VLAN标签到达对端设备让路由器子接口能按VLAN号认领。放行列表建议只放需要的那几个VLAN没必要把默认VLAN 1也带进去保持控制面干净。3.3 端口角色最容易出问题的三个地方Access和Trunk选错是综合实验里出现频率最高的错。常见症状是接终端的口被配成TrunkPC收不到正常数据帧接路由器的口是Access只能放行一个VLAN另外两个子网直接失联Trunk放行列表漏了某个VLAN某个子网单独不通查这类问题最好用的命令是display vlan和display port vlan能直接看到每个端口属于哪个VLAN、端口模式是什么。端口角色这个环节半天排不完的错九成都是这里出的。4. 路由打通直连路由、静态路由与动态路由的适用边界4.1 子接口配完路由表已经自动有了有同学问为什么子接口配完IP、PC就能跨VLAN访问明明没配置任何路由。原因在于子接口配好IP后路由器自动生成对应的直连路由。在路由器上执行display ip routing-table能看到类似这样的条目192.168.10.0/24 Direct GigabitEthernet0/0/1.10 192.168.20.0/24 Direct GigabitEthernet0/0/1.20 192.168.30.0/24 Direct GigabitEthernet0/0/1.30凡是直连路由覆盖的网段路由器都知道该从哪个接口转发。所以只要网关挂在路由器上、VLAN封装一致、交换机侧Trunk放行正确三个网段互通就是水到渠成的结果——不是额外路由配置的功劳而是子接口架构的必然。4.2 多路由器场景下的静态路由怎么写如果实验拓展开到两台路由器比如总部核心R1和分部汇聚R2中间用一条互联链路连着子接口直连只能保证本机三个网段互通分部网段对R1来说是不可达的。此时需要静态路由。假设分部网段是192.168.50.0/24互联链路是192.168.100.0/30R1要学到去往分部的路径ip route-static 192.168.50.0 255.255.255.0 192.168.100.2这一条里最容易错的是下一跳。下一跳必须是对端设备在互联链路上的IP而不是自己想出来的一串地址。如果下一跳写错数据包进不了对端设备路由就是死的。另外还要确认互联链路这一段的路由双方都通否则下一跳不可达静态路由不会被激活。4.3 动态路由OSPF什么时候值得上静态路由在固定拓扑的小型内网里完全够用但如果网络里出现备份链路、多条路径、拓扑经常调整静态路由的维护会变成噩梦。这时候可以上OSPF。配置思路是启动OSPF进程声明区域0再把每个网段用反掩码宣告进去ospf 1 router-id 1.1.1.1 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.100.0 0.0.0.3 quit注意多台路由器的router-id不能重复宣告的网段最好和实际接口网段完全一致。OSPF比静态路由灵活但也比静态路由复杂。我的建议是本期先把直连路由和静态路由吃透等后续碰到冗余链路、拓扑经常调整的场景再切OSPF也不晚。5. 内网连通性验证与高频排错路径5.1 从PC开始的四层验证配置完成后不要急着欢呼先按顺序做验证。我习惯把验证分成四步每步对应一个排错区间验证步骤操作通了说明不通说明1. 查看PC地址ipconfig设备成功拿到DHCP地址DHCP没生效回去查地址池和子接口2. 通达本网段网关ping 192.168.10.1二层链路和VLAN封装正常交换端口、Trunk、子接口封装有错3. 通达其他VLAN的PCping 192.168.20.x路由和跨VLAN转发正常路由缺失或网关配置有误4. 路由器侧反向验证ping PC的IP双向可达PC防火墙拦截或物理链路异常这套顺序的核心逻辑是逐层剥洋葱先确认二层再确认三层永远不要在二层还没通的时候去改三层配置。5.2 三个高频故障的定位过程故障APC拿不到地址。排查顺序是先确认交换机连接路由器的口是否Trunk并且放行了对应VLAN再确认路由器上对应子接口是否启用了DHCP注意dhcp select global要挂在正确的子接口上而不是物理口最后确认地址池excluded-ip-address有没有把整个网段误排除。最常见的是前两个尤其是一些同学把DHCP启用配在了物理口上子接口依然没有DHCP服务终端发出来的DHCP Discover广播根本没人响应。故障B本VLAN内PC能互访但跨VLAN全部不通。这种症状一出现先把目光放回路由器。常见原因是子接口的dot1q termination vid和交换机侧的VLAN号对不上比如交换机的VLAN 20流量走到路由器GigabitEthernet0/0/1.10上路由器按VLAN 10处理自然认不出或者忘了配置arp broadcast enable子接口不响应终端的ARP请求。去路由器上display arp看看有没有该终端的ARP表项没有就基本锁定在子接口的封装或ARP应答上。故障CPC能ping通网关但ping不通另一个VLAN的PC。网关通说明二层链路、子接口封装、DHCP都没问题问题集中在三层路由和目的端。先在路由器上display ip routing-table确认去往目的网段的路由是否存在如果路由存在再把目标转向目的PC的防火墙很多实验里C场景的罪魁祸首就是终端防火墙默认拦截了ping网络配置本身完全正确。这种坑最让人恼火但也最值得记笔记。5.3 两张表快速定位的现场经验排错时别靠猜。路由表display ip routing-table和ARP表display arp足以定位九成内网问题。路由表告诉你去某网段有没有路ARP表告诉你相邻设备的MAC地址有没有学对。比如ping不通但路由表有条目且ARP表能解析到网关MAC那问题就在下一跳之后如果ARP表里连网关MAC都没有那问题就锁定在二层链路没必要去翻三层。6. 配置保存与后续扩展6.1 保存配置别让一下午白干实验做完第一件事是保存。在命令行执行save命令确认保存到启动配置文件。很多同学配完直接断电下次开机配置全丢又得重新敲一遍。保存前顺手用display current-configuration核对一下所有接口、VLAN、路由条目确认没有遗留的调试残留免得下次实验在一份有问题的配置上继续叠。6.2 后续实验的方向本期主题是内网配置也就是说网络的基础骨架已经立起来了真正发挥价值的方向还有很多出口方向的地址转换与访问控制、端口映射与内部服务发布、内网DHCP的冗余备份、更精细的业务隔离策略。做出口方向配置时本期特意留空的上行接口就会派上用场。最后说一点个人体会内网配置这类实验最值钱的往往不是配置本身而是排错的过程。我见过的案例里一次配通的人通常对为什么能通说不清楚反而是卡过壳、查过路由表、对过ARP表的人之后遇到真实网络的故障思路明显清楚得多。如果你正卡在某一步恭喜你这可能就是这期实验最划算的时刻。
阅读完成 · 觉得有帮助？
