1. 项目概述从零到一构建企业级模拟网络最近在带新人发现很多刚接触网络技术的朋友一听到“综合网配置”就有点发怵觉得这玩意儿肯定复杂得要命。其实它更像是在玩一个高自由度的“数字乐高”——给你一堆虚拟的华为设备路由器、交换机、防火墙让你在一个完全安全的环境里搭建出一个功能完整、逻辑清晰的小型企业网络。这个项目说白了就是利用华为官方的eNSPEnterprise Network Simulation Platform模拟器把书本上的VLAN、路由、NAT、ACL这些概念变成一个个可以点开、可以配置、可以测试的“活”设备。为什么我特别推荐用eNSP来做这个首先它免费对学习者极其友好不用动辄几十万的真实设备堆满实验室。其次它高度仿真华为设备的VRP系统你在模拟器里敲的命令和真机上几乎一模一样这为以后接触真实项目打下了坚实的肌肉记忆。最后通过完成一个综合配置你能把网络体系中那些孤立的知识点像拼图一样串联起来真正理解数据包从A点到B点中间到底经历了哪些“关卡”和“决策”。无论是为了准备华为认证比如HCIA、HCIP还是单纯想提升自己的网络实战能力这个“搭积木”的过程都价值连城。2. 实验环境搭建与前期规划2.1 eNSP的“避坑式”安装与部署工欲善其事必先利其器。eNSP的安装本身不复杂但网上很多教程只讲步骤不讲那些让人抓狂的“坑”。我结合带新人时遇到的各种报错给你梳理一条最稳的路径。首先绝对不要追求最新版。eNSP对Windows系统版本、虚拟网卡驱动、依赖软件版本极其敏感。经过大量实测最稳定的组合是Windows 10专业版/企业版21H2或稍早版本 eNSP V100R003C00SPC100 VirtualBox 5.2.44 WinPcap 4.1.3 Wireshark 3.6.x。你可以从华为企业网络的官方支持页面找到这个经典版本的打包下载链接里面通常包含了所有必需的依赖。安装顺序是铁律先关闭所有杀毒软件和防火墙临时然后安装WinPcap接着安装VirtualBox最后安装eNSP。安装路径务必全英文不要有空格和特殊字符。安装后打开eNSP第一件事不是拖设备而是点击菜单栏的“工具” - “注册设备”。把所有设备AR、S、CE等全部勾选并注册。如果遇到“注册失败错误码40”十有八九是VirtualBox版本太高或兼容性问题退回到5.2.44版本几乎能解决99%的此类问题。另一个高频错误是“The device is running”但设备面板灰显这通常是后台进程残留去任务管理器里把所有eNSP、VirtualBox相关的进程彻底结束再重启eNSP即可。2.2 拓扑设计与IP地址规划在动手敲命令之前在纸上或绘图工具里画好拓扑图规划好IP地址能节省你后面至少50%的排错时间。我们以一个典型的中小型企业网为蓝本进行设计拓扑结构核心层使用一台AR系列路由器如AR2220作为出口网关和核心路由设备。汇聚/接入层使用两台S系列三层交换机如S5700实现部门间隔离和内部路由。接入层使用多台S系列二层交换机如S3700连接终端用户。外部网络使用一台“Cloud”云设备连接一个虚拟的“Internet”和一台模拟外部服务器的PC。IP地址规划这是网络工程的“施工图纸”Loopback地址用于设备管理例如 Router: 1.1.1.1/32 SW1: 2.2.2.2/32 SW2: 3.3.3.3/32。互联链路地址设备之间点对点连接的地址通常使用30位掩码的小网段。Router G0/0/0 - SW1 G0/0/1: 10.0.12.0/30Router G0/0/1 - SW2 G0/0/1: 10.0.13.0/30SW1 G0/0/24 - SW2 G0/0/24: 10.0.23.0/30部门VLAN及网关地址VLAN 10研发部网段 192.168.10.0/24网关 192.168.10.254/24位于SW1。VLAN 20市场部网段 192.168.20.0/24网关 192.168.20.254/24位于SW1。VLAN 30财务部网段 192.168.30.0/24网关 192.168.30.254/24位于SW2。VLAN 40访客网网段 192.168.40.0/24网关 192.168.40.254/24位于SW2。出口地址Router连接“Cloud”的接口模拟公网IP例如 200.1.1.1/24。服务器地址模拟内网服务器例如 192.168.100.100/24单独一个VLANVLAN 100。这个规划表建议你单独存一个文本文件配置时随时对照避免配着配着自己都乱了。3. 基础网络与二层隔离配置3.1 设备基础配置与远程管理设备拖入拓扑后首先不是配业务而是配基础保证你能稳定地管理它们。这包括设备命名、时区、远程登录等。以核心路由器为例system-view sysname Core-Router // 修改设备名称 clock timezone CST add 08:00:00 // 设置时区 user-interface vty 0 4 // 进入虚拟终端接口 authentication-mode password // 设置认证模式为密码 set authentication password cipher YourStrongPassword // 设置密文密码 protocol inbound all // 允许所有协议SSH/Telnet idle-timeout 20 0 // 设置超时时间20分钟 quit ip address 1.1.1.1 255.255.255.255 // 配置loopback地址注意在实际生产环境中强烈建议使用authentication-mode aaa结合本地用户名密码或远程认证服务器并仅启用protocol inbound ssh来禁用不安全的Telnet。模拟实验为了简便用了密码认证但这个安全意识必须有。对于交换机除了上述配置还需要开启stelnet server enable来支持SSH。确保所有设备的loopback地址都能互相ping通这是后续动态路由协议能正常建立邻居的基础。3.2 VLAN划分与Trunk链路配置二层隔离是网络安全的基石。我们将根据规划在交换机上创建VLAN并将端口划入相应VLAN。在SW1上的配置system-view vlan batch 10 20 100 // 批量创建VLAN interface GigabitEthernet 0/0/1 port link-type trunk // 连接路由器的口配置为Trunk port trunk allow-pass vlan 10 20 100 // 允许相关VLAN通过 interface GigabitEthernet 0/0/24 port link-type trunk // 连接SW2的口配置为Trunk port trunk allow-pass vlan all // 允许所有VLAN通过简化配置 interface GigabitEthernet 0/0/2 port link-type access // 连接PC的口为Access port default vlan 10 // 划入VLAN 10 interface GigabitEthernet 0/0/3 port link-type access port default vlan 20 interface Vlanif 10 // 创建VLANIF接口作为该VLAN的网关 ip address 192.168.10.254 24 interface Vlanif 20 ip address 192.168.20.254 24在SW2上进行类似操作创建VLAN 30, 40并将对应端口划入。这里有一个关键点交换机之间的链路G0/0/24必须配置为trunk并且allow-pass了所有需要跨交换机通信的VLAN本例中是所有VLAN。只有这样连接在SW1上VLAN 10的PC才有可能与连接在SW2上VLAN 30的PC进行三层通信如果路由允许。实操心得在配置Trunk时我习惯使用port trunk allow-pass vlan all来快速放通所有VLAN在实验环境中很方便。但在生产网一定要遵循最小权限原则用port trunk allow-pass vlan 10,20,30这样的形式明确指定允许的VLAN列表避免不必要的广播域扩散或安全风险。4. 三层路由与网络互通实现4.1 静态路由与默认路由配置当VLAN网关配置好后同一台交换机下的同VLAN主机可以互访了但不同VLAN、不同交换机之间的通信还需要三层路由。我们首先用静态路由实现。在作为网关的交换机SW1、SW2上需要知道去往非直连网段的路由。例如SW1有VLAN 1020需要知道如何去往SW2上的VLAN 30192.168.30.0/24。# 在SW1上配置 ip route-static 192.168.30.0 255.255.255.0 10.0.23.2 // 下一跳是SW2的接口地址 ip route-static 192.168.40.0 255.255.255.0 10.0.23.2 # 在SW2上配置 ip route-static 192.168.10.0 255.255.255.0 10.0.23.1 ip route-static 192.168.20.0 255.255.255.0 10.0.23.1对于核心路由器Core-Router它需要知道所有内网网段同时需要配置一条默认路由指向“互联网”Cloud。# 在Core-Router上配置 ip route-static 192.168.10.0 255.255.255.0 10.0.12.2 ip route-static 192.168.20.0 255.255.255.0 10.0.12.2 ip route-static 192.168.30.0 255.255.255.0 10.0.13.2 ip route-static 192.168.40.0 255.255.255.0 10.0.13.2 ip route-static 0.0.0.0 0.0.0.0 200.1.1.254 // 默认路由下一跳为运营商网关此时使用display ip routing-table命令在所有设备上查看路由表应该能看到所有直连和非直连网段的路由条目。内网PC之间应该可以跨网段ping通了。4.2 动态路由协议OSPF的引入静态路由在小型网络中可行但网络稍大维护成本就急剧上升。动态路由协议是更优解。这里我们使用最常用的OSPF。首先在所有三层设备Core-Router SW1 SW2上配置OSPF进程并宣告直连网段。# 以Core-Router为例 ospf 1 router-id 1.1.1.1 // 启动OSPF进程指定Router-ID为loopback地址 area 0 // 进入骨干区域0 network 10.0.12.0 0.0.0.3 // 宣告与SW1的互联网段反掩码需计算 network 10.0.13.0 0.0.0.3 // 宣告与SW2的互联网段 network 1.1.1.1 0.0.0.0 // 宣告loopback地址在SW1上配置ospf 1 router-id 2.2.2.2 area 0 network 10.0.12.0 0.0.0.3 network 10.0.23.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 2.2.2.2 0.0.0.0配置完成后使用display ospf peer查看邻居状态应该能看到Full状态表示邻接关系已完全建立。此时可以删掉之前配置的静态路由除了Core-Router上的默认路由测试网络连通性。你会发现即使删除了静态路由全网依然互通这就是OSPF在自动学习和计算路径。注意事项OSPF中network命令使用的是反掩码wildcard mask它和子网掩码是“相反”的。计算方法是反掩码 255.255.255.255 - 子网掩码。例如对于网段192.168.10.0/24掩码255.255.255.0反掩码就是0.0.0.255。宣告loopback地址时通常用0.0.0.0的反掩码来精确宣告这一个IP。5. 网络地址转换与出口策略5.1 NAT基础与出口配置内网使用的是私有地址如192.168.x.x无法在互联网上路由。要让内网用户上网必须在出口路由器上做NAT网络地址转换将私网IP转换为公网IP。我们的Core-Router连接Cloud的接口G0/0/2已经配置了公网IP 200.1.1.1/24。假设运营商给我们的公网地址池是200.1.1.10到200.1.1.20。首先创建一个基本的ACL访问控制列表来匹配需要做NAT转换的内网流量。我们允许所有内网网段。acl number 2000 // 创建基本ACL 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 rule 15 permit source 192.168.30.0 0.0.0.255 rule 20 permit source 192.168.40.0 0.0.0.255 quit然后在出口接口上应用NAT Outbound策略。interface GigabitEthernet 0/0/2 ip address 200.1.1.1 255.255.255.0 nat outbound 2000 // 将ACL 2000匹配的流量进行NAT转换这种配置是Easy IP方式即直接使用出口接口的公网IP200.1.1.1作为转换后的地址。配置完成后内网PC将默认网关指向各自VLAN的网关交换机VLANIF地址理论上就应该能ping通Cloud对面的“互联网”PC假设地址为200.1.1.100了。5.2 服务器端口映射与访问控制企业内部通常有需要对外提供服务的服务器如Web服务器。它位于内网192.168.100.100外网用户需要通过公网IP访问。这就需要配置NAT Server端口映射。在Core-Router的出口接口上继续配置interface GigabitEthernet 0/0/2 nat server protocol tcp global current-interface 80 inside 192.168.100.100 80 // 映射Web服务 nat server protocol tcp global current-interface 443 inside 192.168.100.100 443 // 映射HTTPS服务这条命令的意思是当外网用户访问路由器G0/0/2接口的公网IP200.1.1.1的80端口时路由器会自动将请求转发给内网服务器192.168.100.100的80端口。同时安全至关重要。我们不应该让访客网络VLAN 40访问财务部VLAN 30和服务器区VLAN 100。这需要在交换机上配置ACL。在SW2上VLAN 30和40的网关所在配置高级ACLacl number 3000 // 创建高级ACL 3000 rule 5 deny ip source 192.168.40.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 // 禁止访客访问财务 rule 10 deny ip source 192.168.40.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 // 禁止访客访问服务器 rule 15 permit ip // 允许其他所有流量 quit然后将这个ACL应用在VLAN 40的网关接口Vlanif 40的入方向interface Vlanif 40 ip address 192.168.40.254 255.255.255.0 traffic-filter inbound acl 3000 // 入方向流量过滤这样从VLAN 40发出的、目的地是财务部和服务器区的数据包在进入网关时就被丢弃了。6. 高级特性与网络优化6.1 DHCP服务自动化IP分配手动为每台PC配置IP地址在大型网络中不现实。我们可以让交换机作为DHCP服务器自动为各个VLAN内的终端分配IP、网关和DNS。以SW1为例为VLAN 10和20配置DHCP# 开启DHCP服务 dhcp enable # 为VLAN 10创建地址池 ip pool vlan10 gateway-list 192.168.10.254 // 指定网关 network 192.168.10.0 mask 255.255.255.0 // 分配网段 excluded-ip-address 192.168.10.1 192.168.10.10 // 排除一段地址用于静态设备如打印机、服务器 dns-list 114.114.114.114 8.8.8.8 // 分配DNS服务器 lease day 3 hour 0 minute 0 // 租期3天 quit # 在VLANIF接口上启用DHCP interface Vlanif 10 ip address 192.168.10.254 255.255.255.0 dhcp select global // 从全局地址池分配为VLAN 20、30、40重复类似配置。配置完成后将PC的IP获取方式改为“DHCP”重启网卡或等待续约就能自动获取到正确的IP地址了。使用display ip pool name vlan10 used可以查看地址池的分配情况。6.2 链路聚合与生成树协议为了增加带宽和可靠性我们可以在SW1和SW2之间使用多条物理链路进行捆绑形成一条逻辑的Eth-Trunk链路。在SW1和SW2上分别配置# 创建Eth-Trunk接口 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan all quit # 将物理接口加入Eth-Trunk interface GigabitEthernet 0/0/23 eth-trunk 1 interface GigabitEthernet 0/0/24 eth-trunk 1配置后使用display eth-trunk 1查看聚合状态应能看到两个成员口都是“Selected”状态。这样SW1和SW2之间的带宽就翻倍了并且一条链路故障流量会自动切换到另一条。在复杂的二层网络中可能存在环路风险。虽然我们这个拓扑简单但养成好习惯配置生成树协议STP是必要的。华为交换机默认运行MSTP多生成树协议。# 在所有交换机上配置 stp region-configuration region-name LAB // 配置区域名 instance 1 vlan 10 20 // 将VLAN 10 20映射到实例1 instance 2 vlan 30 40 // 将VLAN 30 40映射到实例2 active region-configuration // 激活配置 quit stp instance 1 root primary // 在SW1上设置其为实例1的根桥 stp instance 2 root secondary // 在SW1上设置其为实例2的备份根桥在SW2上则配置stp instance 2 root primary和stp instance 1 root secondary。这样VLAN 10/20的流量主要走SW1为根的路径VLAN 30/40的流量主要走SW2为根的路径实现了流量的负载分担。7. 排错诊断与网络验证7.1 分层检查与常用诊断命令网络不通了怎么办不要慌按照“自底向上”的分层法系统排查。物理层/链路层display interface brief查看所有接口状态确认Physical和Protocol是否为UP。display eth-trunk 1查看聚合链路状态。display stp brief查看生成树状态确认指定端口、根端口是否正常。网络层display ip interface brief查看接口三层IP地址配置。display ip routing-table这是最重要的命令之一。查看路由表确认去往目标网段的路由是否存在下一跳是否正确。display ospf peer查看OSPF邻居状态是否为Full。ping [ip-address]测试连通性。可以从源设备一直ping到目标设备在哪一跳断了问题就在哪一跳或它的上一跳。tracert [ip-address]跟踪数据包路径非常直观。传输层/应用层display nat session all查看NAT会话表确认内网发起的连接是否成功进行了NAT转换。display acl [acl-number]查看ACL的匹配计数确认ACL规则是否按预期生效或阻止了流量。display dhcp server ip-in-use all查看DHCP地址分配情况。7.2 典型问题场景与解决实录场景一OSPF邻居无法建立状态卡在2-way/Exstart可能原因1接口网段未宣告或宣告错误。检查ospf进程下network命令宣告的网段和反掩码是否正确是否包含了与邻居互联的接口地址。可能原因2接口被静默silent。在接口视图下检查是否有ospf silent-interface命令它会禁止该接口收发OSPF报文。排查命令display ospf error查看OSPF错误信息display current-configuration interface [interface-name]查看接口详细配置。场景二内网PC可以互访但无法上网排查步骤在PC上ping自己的网关如192.168.10.254通→ 跳2不通→ 检查PC IP/网关配置、交换机VLANIF接口状态。在网关上ping出口路由器地址如10.0.12.1通→ 跳3不通→ 检查交换机上的路由静态或OSPF是否指向出口路由器。在出口路由器上ping外网地址如200.1.1.100通→ 跳4不通→ 检查出口物理链路、IP配置、默认路由。在出口路由器上使用display nat session all查看当内网PC发起上网请求时是否有对应的NAT会话生成。如果没有检查ACL 2000是否配置正确是否在出口接口应用了nat outbound。常见坑点出口路由器的默认路由下一跳写错NAT的ACL没有覆盖所有需要上网的内网网段内网PC的DNS配置错误能ping通IP但打不开网页。场景三外网无法访问内网服务器排查步骤确认内网其他PC可以访问该服务器如ping 192.168.100.100排除服务器本身问题。在出口路由器上使用display nat server确认端口映射配置正确且状态为active。在出口路由器上使用display firewall session table查看是否有外部到内部的会话被创建。华为设备有时需要配置域间策略或基础安全策略放行外部访问。模拟外网测试在eNSP中可以在“Cloud”连接的“Internet”PC上尝试访问http://200.1.1.1看是否跳转到内网服务器页面。场景四DHCP获取不到地址排查步骤在交换机上display dhcp server ip-in-use all看地址池是否有空闲地址。检查ip pool配置特别是network、gateway-list和excluded-ip-address是否有重叠或错误。检查VLANIF接口是否配置了dhcp select global。在PC端抓包或使用debugging dhcp server packet谨慎使用会打印大量信息查看DHCP交互过程看是Discover未发出还是Offer未回复。网络配置就是一个不断排错和验证的过程。每完成一个大的配置阶段就进行一次全面的连通性测试并养成随时保存配置save的好习惯。在eNSP中你可以利用“数据抓包”功能在任何链路上右键点击“开始抓包”像Wireshark一样直观地看到数据包的每一层封装和解封装过程这对于理解协议原理和定位问题有奇效。当你按照这个框架一步步把拓扑搭起来把协议配通把问题解决你会对“网络是如何工作的”有一个脱胎换骨的理解。这远不是看十本书能比拟的。
1. 项目概述从零到一构建企业级模拟网络最近在带新人发现很多刚接触网络技术的朋友一听到“综合网配置”就有点发怵觉得这玩意儿肯定复杂得要命。其实它更像是在玩一个高自由度的“数字乐高”——给你一堆虚拟的华为设备路由器、交换机、防火墙让你在一个完全安全的环境里搭建出一个功能完整、逻辑清晰的小型企业网络。这个项目说白了就是利用华为官方的eNSPEnterprise Network Simulation Platform模拟器把书本上的VLAN、路由、NAT、ACL这些概念变成一个个可以点开、可以配置、可以测试的“活”设备。为什么我特别推荐用eNSP来做这个首先它免费对学习者极其友好不用动辄几十万的真实设备堆满实验室。其次它高度仿真华为设备的VRP系统你在模拟器里敲的命令和真机上几乎一模一样这为以后接触真实项目打下了坚实的肌肉记忆。最后通过完成一个综合配置你能把网络体系中那些孤立的知识点像拼图一样串联起来真正理解数据包从A点到B点中间到底经历了哪些“关卡”和“决策”。无论是为了准备华为认证比如HCIA、HCIP还是单纯想提升自己的网络实战能力这个“搭积木”的过程都价值连城。2. 实验环境搭建与前期规划2.1 eNSP的“避坑式”安装与部署工欲善其事必先利其器。eNSP的安装本身不复杂但网上很多教程只讲步骤不讲那些让人抓狂的“坑”。我结合带新人时遇到的各种报错给你梳理一条最稳的路径。首先绝对不要追求最新版。eNSP对Windows系统版本、虚拟网卡驱动、依赖软件版本极其敏感。经过大量实测最稳定的组合是Windows 10专业版/企业版21H2或稍早版本 eNSP V100R003C00SPC100 VirtualBox 5.2.44 WinPcap 4.1.3 Wireshark 3.6.x。你可以从华为企业网络的官方支持页面找到这个经典版本的打包下载链接里面通常包含了所有必需的依赖。安装顺序是铁律先关闭所有杀毒软件和防火墙临时然后安装WinPcap接着安装VirtualBox最后安装eNSP。安装路径务必全英文不要有空格和特殊字符。安装后打开eNSP第一件事不是拖设备而是点击菜单栏的“工具” - “注册设备”。把所有设备AR、S、CE等全部勾选并注册。如果遇到“注册失败错误码40”十有八九是VirtualBox版本太高或兼容性问题退回到5.2.44版本几乎能解决99%的此类问题。另一个高频错误是“The device is running”但设备面板灰显这通常是后台进程残留去任务管理器里把所有eNSP、VirtualBox相关的进程彻底结束再重启eNSP即可。2.2 拓扑设计与IP地址规划在动手敲命令之前在纸上或绘图工具里画好拓扑图规划好IP地址能节省你后面至少50%的排错时间。我们以一个典型的中小型企业网为蓝本进行设计拓扑结构核心层使用一台AR系列路由器如AR2220作为出口网关和核心路由设备。汇聚/接入层使用两台S系列三层交换机如S5700实现部门间隔离和内部路由。接入层使用多台S系列二层交换机如S3700连接终端用户。外部网络使用一台“Cloud”云设备连接一个虚拟的“Internet”和一台模拟外部服务器的PC。IP地址规划这是网络工程的“施工图纸”Loopback地址用于设备管理例如 Router: 1.1.1.1/32 SW1: 2.2.2.2/32 SW2: 3.3.3.3/32。互联链路地址设备之间点对点连接的地址通常使用30位掩码的小网段。Router G0/0/0 - SW1 G0/0/1: 10.0.12.0/30Router G0/0/1 - SW2 G0/0/1: 10.0.13.0/30SW1 G0/0/24 - SW2 G0/0/24: 10.0.23.0/30部门VLAN及网关地址VLAN 10研发部网段 192.168.10.0/24网关 192.168.10.254/24位于SW1。VLAN 20市场部网段 192.168.20.0/24网关 192.168.20.254/24位于SW1。VLAN 30财务部网段 192.168.30.0/24网关 192.168.30.254/24位于SW2。VLAN 40访客网网段 192.168.40.0/24网关 192.168.40.254/24位于SW2。出口地址Router连接“Cloud”的接口模拟公网IP例如 200.1.1.1/24。服务器地址模拟内网服务器例如 192.168.100.100/24单独一个VLANVLAN 100。这个规划表建议你单独存一个文本文件配置时随时对照避免配着配着自己都乱了。3. 基础网络与二层隔离配置3.1 设备基础配置与远程管理设备拖入拓扑后首先不是配业务而是配基础保证你能稳定地管理它们。这包括设备命名、时区、远程登录等。以核心路由器为例system-view sysname Core-Router // 修改设备名称 clock timezone CST add 08:00:00 // 设置时区 user-interface vty 0 4 // 进入虚拟终端接口 authentication-mode password // 设置认证模式为密码 set authentication password cipher YourStrongPassword // 设置密文密码 protocol inbound all // 允许所有协议SSH/Telnet idle-timeout 20 0 // 设置超时时间20分钟 quit ip address 1.1.1.1 255.255.255.255 // 配置loopback地址注意在实际生产环境中强烈建议使用authentication-mode aaa结合本地用户名密码或远程认证服务器并仅启用protocol inbound ssh来禁用不安全的Telnet。模拟实验为了简便用了密码认证但这个安全意识必须有。对于交换机除了上述配置还需要开启stelnet server enable来支持SSH。确保所有设备的loopback地址都能互相ping通这是后续动态路由协议能正常建立邻居的基础。3.2 VLAN划分与Trunk链路配置二层隔离是网络安全的基石。我们将根据规划在交换机上创建VLAN并将端口划入相应VLAN。在SW1上的配置system-view vlan batch 10 20 100 // 批量创建VLAN interface GigabitEthernet 0/0/1 port link-type trunk // 连接路由器的口配置为Trunk port trunk allow-pass vlan 10 20 100 // 允许相关VLAN通过 interface GigabitEthernet 0/0/24 port link-type trunk // 连接SW2的口配置为Trunk port trunk allow-pass vlan all // 允许所有VLAN通过简化配置 interface GigabitEthernet 0/0/2 port link-type access // 连接PC的口为Access port default vlan 10 // 划入VLAN 10 interface GigabitEthernet 0/0/3 port link-type access port default vlan 20 interface Vlanif 10 // 创建VLANIF接口作为该VLAN的网关 ip address 192.168.10.254 24 interface Vlanif 20 ip address 192.168.20.254 24在SW2上进行类似操作创建VLAN 30, 40并将对应端口划入。这里有一个关键点交换机之间的链路G0/0/24必须配置为trunk并且allow-pass了所有需要跨交换机通信的VLAN本例中是所有VLAN。只有这样连接在SW1上VLAN 10的PC才有可能与连接在SW2上VLAN 30的PC进行三层通信如果路由允许。实操心得在配置Trunk时我习惯使用port trunk allow-pass vlan all来快速放通所有VLAN在实验环境中很方便。但在生产网一定要遵循最小权限原则用port trunk allow-pass vlan 10,20,30这样的形式明确指定允许的VLAN列表避免不必要的广播域扩散或安全风险。4. 三层路由与网络互通实现4.1 静态路由与默认路由配置当VLAN网关配置好后同一台交换机下的同VLAN主机可以互访了但不同VLAN、不同交换机之间的通信还需要三层路由。我们首先用静态路由实现。在作为网关的交换机SW1、SW2上需要知道去往非直连网段的路由。例如SW1有VLAN 1020需要知道如何去往SW2上的VLAN 30192.168.30.0/24。# 在SW1上配置 ip route-static 192.168.30.0 255.255.255.0 10.0.23.2 // 下一跳是SW2的接口地址 ip route-static 192.168.40.0 255.255.255.0 10.0.23.2 # 在SW2上配置 ip route-static 192.168.10.0 255.255.255.0 10.0.23.1 ip route-static 192.168.20.0 255.255.255.0 10.0.23.1对于核心路由器Core-Router它需要知道所有内网网段同时需要配置一条默认路由指向“互联网”Cloud。# 在Core-Router上配置 ip route-static 192.168.10.0 255.255.255.0 10.0.12.2 ip route-static 192.168.20.0 255.255.255.0 10.0.12.2 ip route-static 192.168.30.0 255.255.255.0 10.0.13.2 ip route-static 192.168.40.0 255.255.255.0 10.0.13.2 ip route-static 0.0.0.0 0.0.0.0 200.1.1.254 // 默认路由下一跳为运营商网关此时使用display ip routing-table命令在所有设备上查看路由表应该能看到所有直连和非直连网段的路由条目。内网PC之间应该可以跨网段ping通了。4.2 动态路由协议OSPF的引入静态路由在小型网络中可行但网络稍大维护成本就急剧上升。动态路由协议是更优解。这里我们使用最常用的OSPF。首先在所有三层设备Core-Router SW1 SW2上配置OSPF进程并宣告直连网段。# 以Core-Router为例 ospf 1 router-id 1.1.1.1 // 启动OSPF进程指定Router-ID为loopback地址 area 0 // 进入骨干区域0 network 10.0.12.0 0.0.0.3 // 宣告与SW1的互联网段反掩码需计算 network 10.0.13.0 0.0.0.3 // 宣告与SW2的互联网段 network 1.1.1.1 0.0.0.0 // 宣告loopback地址在SW1上配置ospf 1 router-id 2.2.2.2 area 0 network 10.0.12.0 0.0.0.3 network 10.0.23.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 2.2.2.2 0.0.0.0配置完成后使用display ospf peer查看邻居状态应该能看到Full状态表示邻接关系已完全建立。此时可以删掉之前配置的静态路由除了Core-Router上的默认路由测试网络连通性。你会发现即使删除了静态路由全网依然互通这就是OSPF在自动学习和计算路径。注意事项OSPF中network命令使用的是反掩码wildcard mask它和子网掩码是“相反”的。计算方法是反掩码 255.255.255.255 - 子网掩码。例如对于网段192.168.10.0/24掩码255.255.255.0反掩码就是0.0.0.255。宣告loopback地址时通常用0.0.0.0的反掩码来精确宣告这一个IP。5. 网络地址转换与出口策略5.1 NAT基础与出口配置内网使用的是私有地址如192.168.x.x无法在互联网上路由。要让内网用户上网必须在出口路由器上做NAT网络地址转换将私网IP转换为公网IP。我们的Core-Router连接Cloud的接口G0/0/2已经配置了公网IP 200.1.1.1/24。假设运营商给我们的公网地址池是200.1.1.10到200.1.1.20。首先创建一个基本的ACL访问控制列表来匹配需要做NAT转换的内网流量。我们允许所有内网网段。acl number 2000 // 创建基本ACL 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 rule 15 permit source 192.168.30.0 0.0.0.255 rule 20 permit source 192.168.40.0 0.0.0.255 quit然后在出口接口上应用NAT Outbound策略。interface GigabitEthernet 0/0/2 ip address 200.1.1.1 255.255.255.0 nat outbound 2000 // 将ACL 2000匹配的流量进行NAT转换这种配置是Easy IP方式即直接使用出口接口的公网IP200.1.1.1作为转换后的地址。配置完成后内网PC将默认网关指向各自VLAN的网关交换机VLANIF地址理论上就应该能ping通Cloud对面的“互联网”PC假设地址为200.1.1.100了。5.2 服务器端口映射与访问控制企业内部通常有需要对外提供服务的服务器如Web服务器。它位于内网192.168.100.100外网用户需要通过公网IP访问。这就需要配置NAT Server端口映射。在Core-Router的出口接口上继续配置interface GigabitEthernet 0/0/2 nat server protocol tcp global current-interface 80 inside 192.168.100.100 80 // 映射Web服务 nat server protocol tcp global current-interface 443 inside 192.168.100.100 443 // 映射HTTPS服务这条命令的意思是当外网用户访问路由器G0/0/2接口的公网IP200.1.1.1的80端口时路由器会自动将请求转发给内网服务器192.168.100.100的80端口。同时安全至关重要。我们不应该让访客网络VLAN 40访问财务部VLAN 30和服务器区VLAN 100。这需要在交换机上配置ACL。在SW2上VLAN 30和40的网关所在配置高级ACLacl number 3000 // 创建高级ACL 3000 rule 5 deny ip source 192.168.40.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 // 禁止访客访问财务 rule 10 deny ip source 192.168.40.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 // 禁止访客访问服务器 rule 15 permit ip // 允许其他所有流量 quit然后将这个ACL应用在VLAN 40的网关接口Vlanif 40的入方向interface Vlanif 40 ip address 192.168.40.254 255.255.255.0 traffic-filter inbound acl 3000 // 入方向流量过滤这样从VLAN 40发出的、目的地是财务部和服务器区的数据包在进入网关时就被丢弃了。6. 高级特性与网络优化6.1 DHCP服务自动化IP分配手动为每台PC配置IP地址在大型网络中不现实。我们可以让交换机作为DHCP服务器自动为各个VLAN内的终端分配IP、网关和DNS。以SW1为例为VLAN 10和20配置DHCP# 开启DHCP服务 dhcp enable # 为VLAN 10创建地址池 ip pool vlan10 gateway-list 192.168.10.254 // 指定网关 network 192.168.10.0 mask 255.255.255.0 // 分配网段 excluded-ip-address 192.168.10.1 192.168.10.10 // 排除一段地址用于静态设备如打印机、服务器 dns-list 114.114.114.114 8.8.8.8 // 分配DNS服务器 lease day 3 hour 0 minute 0 // 租期3天 quit # 在VLANIF接口上启用DHCP interface Vlanif 10 ip address 192.168.10.254 255.255.255.0 dhcp select global // 从全局地址池分配为VLAN 20、30、40重复类似配置。配置完成后将PC的IP获取方式改为“DHCP”重启网卡或等待续约就能自动获取到正确的IP地址了。使用display ip pool name vlan10 used可以查看地址池的分配情况。6.2 链路聚合与生成树协议为了增加带宽和可靠性我们可以在SW1和SW2之间使用多条物理链路进行捆绑形成一条逻辑的Eth-Trunk链路。在SW1和SW2上分别配置# 创建Eth-Trunk接口 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan all quit # 将物理接口加入Eth-Trunk interface GigabitEthernet 0/0/23 eth-trunk 1 interface GigabitEthernet 0/0/24 eth-trunk 1配置后使用display eth-trunk 1查看聚合状态应能看到两个成员口都是“Selected”状态。这样SW1和SW2之间的带宽就翻倍了并且一条链路故障流量会自动切换到另一条。在复杂的二层网络中可能存在环路风险。虽然我们这个拓扑简单但养成好习惯配置生成树协议STP是必要的。华为交换机默认运行MSTP多生成树协议。# 在所有交换机上配置 stp region-configuration region-name LAB // 配置区域名 instance 1 vlan 10 20 // 将VLAN 10 20映射到实例1 instance 2 vlan 30 40 // 将VLAN 30 40映射到实例2 active region-configuration // 激活配置 quit stp instance 1 root primary // 在SW1上设置其为实例1的根桥 stp instance 2 root secondary // 在SW1上设置其为实例2的备份根桥在SW2上则配置stp instance 2 root primary和stp instance 1 root secondary。这样VLAN 10/20的流量主要走SW1为根的路径VLAN 30/40的流量主要走SW2为根的路径实现了流量的负载分担。7. 排错诊断与网络验证7.1 分层检查与常用诊断命令网络不通了怎么办不要慌按照“自底向上”的分层法系统排查。物理层/链路层display interface brief查看所有接口状态确认Physical和Protocol是否为UP。display eth-trunk 1查看聚合链路状态。display stp brief查看生成树状态确认指定端口、根端口是否正常。网络层display ip interface brief查看接口三层IP地址配置。display ip routing-table这是最重要的命令之一。查看路由表确认去往目标网段的路由是否存在下一跳是否正确。display ospf peer查看OSPF邻居状态是否为Full。ping [ip-address]测试连通性。可以从源设备一直ping到目标设备在哪一跳断了问题就在哪一跳或它的上一跳。tracert [ip-address]跟踪数据包路径非常直观。传输层/应用层display nat session all查看NAT会话表确认内网发起的连接是否成功进行了NAT转换。display acl [acl-number]查看ACL的匹配计数确认ACL规则是否按预期生效或阻止了流量。display dhcp server ip-in-use all查看DHCP地址分配情况。7.2 典型问题场景与解决实录场景一OSPF邻居无法建立状态卡在2-way/Exstart可能原因1接口网段未宣告或宣告错误。检查ospf进程下network命令宣告的网段和反掩码是否正确是否包含了与邻居互联的接口地址。可能原因2接口被静默silent。在接口视图下检查是否有ospf silent-interface命令它会禁止该接口收发OSPF报文。排查命令display ospf error查看OSPF错误信息display current-configuration interface [interface-name]查看接口详细配置。场景二内网PC可以互访但无法上网排查步骤在PC上ping自己的网关如192.168.10.254通→ 跳2不通→ 检查PC IP/网关配置、交换机VLANIF接口状态。在网关上ping出口路由器地址如10.0.12.1通→ 跳3不通→ 检查交换机上的路由静态或OSPF是否指向出口路由器。在出口路由器上ping外网地址如200.1.1.100通→ 跳4不通→ 检查出口物理链路、IP配置、默认路由。在出口路由器上使用display nat session all查看当内网PC发起上网请求时是否有对应的NAT会话生成。如果没有检查ACL 2000是否配置正确是否在出口接口应用了nat outbound。常见坑点出口路由器的默认路由下一跳写错NAT的ACL没有覆盖所有需要上网的内网网段内网PC的DNS配置错误能ping通IP但打不开网页。场景三外网无法访问内网服务器排查步骤确认内网其他PC可以访问该服务器如ping 192.168.100.100排除服务器本身问题。在出口路由器上使用display nat server确认端口映射配置正确且状态为active。在出口路由器上使用display firewall session table查看是否有外部到内部的会话被创建。华为设备有时需要配置域间策略或基础安全策略放行外部访问。模拟外网测试在eNSP中可以在“Cloud”连接的“Internet”PC上尝试访问http://200.1.1.1看是否跳转到内网服务器页面。场景四DHCP获取不到地址排查步骤在交换机上display dhcp server ip-in-use all看地址池是否有空闲地址。检查ip pool配置特别是network、gateway-list和excluded-ip-address是否有重叠或错误。检查VLANIF接口是否配置了dhcp select global。在PC端抓包或使用debugging dhcp server packet谨慎使用会打印大量信息查看DHCP交互过程看是Discover未发出还是Offer未回复。网络配置就是一个不断排错和验证的过程。每完成一个大的配置阶段就进行一次全面的连通性测试并养成随时保存配置save的好习惯。在eNSP中你可以利用“数据抓包”功能在任何链路上右键点击“开始抓包”像Wireshark一样直观地看到数据包的每一层封装和解封装过程这对于理解协议原理和定位问题有奇效。当你按照这个框架一步步把拓扑搭起来把协议配通把问题解决你会对“网络是如何工作的”有一个脱胎换骨的理解。这远不是看十本书能比拟的。
