簡介《計(jì)算機(jī)網(wǎng)絡(luò)思科綜合性實(shí)驗(yàn)報(bào)告》是一份面向高校網(wǎng)絡(luò)課程學(xué)生的實(shí)驗(yàn)文檔以校園網(wǎng)通過三層交換機(jī)連接出口路由器并實(shí)現(xiàn)內(nèi)外互通的典型場景為主線完整介紹了VLAN2至VLAN6劃分、DHCP地址池配置、子網(wǎng)劃分、路由器接口參數(shù)設(shè)定以及RIPv2動(dòng)態(tài)路由協(xié)議部署等核心內(nèi)容方便讀者理解常見局域網(wǎng)拓?fù)渑c設(shè)備操作邏輯。壓縮包內(nèi)僅含1個(gè)doc文件大小223KB文檔采用分步驟描述并附有關(guān)鍵命令代碼適合結(jié)合Cisco Packet Tracer等模擬環(huán)境邊讀邊練。目前已有2077人學(xué)習(xí)這份文檔其中不僅給出了從總體設(shè)計(jì)到具體配置的完整流程還包含針對生物政管學(xué)院與物理化學(xué)學(xué)院不同主機(jī)數(shù)量的子網(wǎng)規(guī)劃思路、pc5靜態(tài)地址172.16.1.2的特別處理以及DHCP、VLAN、RIP之間的聯(lián)動(dòng)關(guān)系可作為計(jì)算機(jī)網(wǎng)絡(luò)課程設(shè)計(jì)、實(shí)驗(yàn)復(fù)習(xí)或思科入門考證的實(shí)用參考資料。1. 思科綜合性實(shí)驗(yàn)報(bào)告到底在考什么一份實(shí)驗(yàn)報(bào)告背后的完整閉環(huán)計(jì)算機(jī)網(wǎng)絡(luò)思科綜合性實(shí)驗(yàn)報(bào)告這個(gè)詞通常是兩類人在搜一類是期末要交報(bào)告的網(wǎng)工方向?qū)W生一類是準(zhǔn)備面試、想拿一套完整實(shí)驗(yàn)找手感的在職工程師。它本質(zhì)上不是一份文檔任務(wù)而是把計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)課里的知識點(diǎn)串成一張網(wǎng)的檢驗(yàn)——VLAN、VLAN間路由、OSPF、HSRP、ACL、NAT五六個(gè)組件要在同一張拓?fù)淅飬f(xié)同工作。做明白這件事的人才算真正把「計(jì)算機(jī)網(wǎng)絡(luò)」從卷面分?jǐn)?shù)變成了能動(dòng)手的技能。這篇筆記就按我自己的實(shí)驗(yàn)習(xí)慣從環(huán)境搭建講到配置命令再講報(bào)告里哪些坑值得寫進(jìn)去。適合正在做思科綜合實(shí)驗(yàn)、或者想用一套實(shí)驗(yàn)復(fù)盤路由交換核心知識的讀者。2. 實(shí)驗(yàn)環(huán)境與拓?fù)湓O(shè)計(jì)三層架構(gòu)里藏著的報(bào)告骨架綜合性實(shí)驗(yàn)區(qū)別于單點(diǎn)實(shí)驗(yàn)的地方是設(shè)備多、協(xié)議多、依賴關(guān)系多。如果一上來就開配置窗口配到一半發(fā)現(xiàn)拓?fù)淙痹O(shè)備、接口對不上返工成本比寫十頁報(bào)告還高。所以先把環(huán)境和拓?fù)涠ㄏ聛磉@一步也是報(bào)告里「實(shí)驗(yàn)環(huán)境」與「拓?fù)浣Y(jié)構(gòu)」兩個(gè)章節(jié)的素材。2.1 思科模擬器選型Packet Tracer 還是 GNS3搜「思科模擬器下載」能拿到的工具主流是 Cisco Packet Tracer 和 GNS3 這兩類。Packet Tracer 是思科官方出的模擬器設(shè)備模型和命令集覆蓋 VLAN、trunk、OSPF、HSRP、NAT 這些核心知識點(diǎn)開箱即用適合以驗(yàn)證拓?fù)浜团渲眠壿嫗槟康牡木C合性實(shí)驗(yàn)。GNS3 和 EVE-NG 走的是另一條路它們加載真實(shí)的 IOS 鏡像命令行為跟真機(jī)幾乎一致但需要自己準(zhǔn)備鏡像、配置虛擬機(jī)資源學(xué)習(xí)成本高不少。我的建議很直接如果實(shí)驗(yàn)要求里寫明了設(shè)備型號先看 Packet Tracer 的設(shè)備列表里有沒有同型號沒有再考慮 GNS3。綜合性實(shí)驗(yàn)報(bào)告的重點(diǎn)是「拓?fù)渫暾?、配置正確、能驗(yàn)證」不是「命令和真機(jī)逐字符一致」。Packet Tracer 里一臺 3560 三層交換機(jī)、兩臺 2960 二層交換機(jī)、一臺 2811 路由器足以撐起絕大多數(shù)課程設(shè)計(jì)的綜合性實(shí)驗(yàn)。選定工具后先建一個(gè)兩臺設(shè)備互 ping 的最小工程確認(rèn)模擬器本身沒裝出問題再開始搭正式拓?fù)洹＿@一步能擋掉后面一半的玄學(xué)故障。2.2 設(shè)備清單與拓?fù)浣Y(jié)構(gòu)讓報(bào)告的第一張圖能講出故事綜合性實(shí)驗(yàn)的拓?fù)湮乙话惆慈龑蛹軜?gòu)搭接入層負(fù)責(zé)終端接入?yún)R聚/核心層負(fù)責(zé) VLAN 間路由和網(wǎng)關(guān)冗余出口路由器負(fù)責(zé)連接外網(wǎng)。這樣設(shè)計(jì)不是因?yàn)檎n程要求而是生產(chǎn)環(huán)境本來就長這樣——接入層設(shè)備多、故障多匯聚層承載策略和路由核心層保持簡潔和穩(wěn)定。報(bào)告里畫拓?fù)鋱D時(shí)這張圖要能講出「數(shù)據(jù)從 PC 出發(fā)經(jīng)過接入、匯聚、核心、出口到達(dá)外網(wǎng)」的完整故事而不是一堆設(shè)備隨便連線。設(shè)備清單可以按下表規(guī)劃這也是報(bào)告「實(shí)驗(yàn)環(huán)境」一節(jié)的標(biāo)準(zhǔn)寫法設(shè)備型號角色接口規(guī)劃R12811 路由器出口路由器連接外網(wǎng)G0/0 接外網(wǎng)G0/1 接核心交換機(jī)Core-SW13560 三層交換機(jī)核心/匯聚主設(shè)備G0/1 接 R1G0/2 接 Core-SW2G0/3 接接入交換機(jī)Core-SW23560 三層交換機(jī)核心/匯聚備設(shè)備G0/1 接 R1G0/2 接 Core-SW1G0/3 接接入交換機(jī)Access-SW12960 二層交換機(jī)接入層FA0/1-24 接終端G0/1 上聯(lián)核心Access-SW22960 二層交換機(jī)接入層FA0/1-24 接終端G0/1 上聯(lián)核心PC1-PC4終端分屬不同 VLAN接接入交換機(jī)接口編號一定要寫進(jìn)拓?fù)鋱D。很多報(bào)告里拓?fù)鋱D畫得挺漂亮但設(shè)備間的接口標(biāo)號是空的配置表跟圖對不上評審老師要一邊看配置一邊猜這條鏈路接在哪個(gè)口上。接口編號補(bǔ)齊之后配置部分可以按「設(shè)備名 接口名」逐條對應(yīng)可讀性完全不一樣。2.3 命名規(guī)范與接口約定報(bào)告可讀性的第一道門檻設(shè)備命名我習(xí)慣按角色而不是按型號Core-SW1、Access-SW1、R1一聽就知道這臺設(shè)備在拓?fù)淅锔墒裁?。見過不少實(shí)驗(yàn)報(bào)告用 Router0、Switch1、Switch2 這種模擬器默認(rèn)名配置本身沒問題但報(bào)告讀起來像在看一堆編號很難形成整體印象。接口約定也提前定好。設(shè)備間的 P2P 互聯(lián)地址統(tǒng)一用 /30 網(wǎng)段各 VLAN 的網(wǎng)關(guān)地址統(tǒng)一用網(wǎng)段里最后一個(gè)可用地址Loopback 地址專門留給 OSPF Router-ID 和模擬外網(wǎng)。這些約定不是死規(guī)矩是為了讓后面的 IP 規(guī)劃表和配置命令能對得上。你在報(bào)告里寫一句「互聯(lián)地址統(tǒng)一采用 /30 前綴以節(jié)約地址空間網(wǎng)關(guān)地址固定在每個(gè)網(wǎng)段的 .254」評審就知道你不是在瞎配。3. IP 規(guī)劃與 VLAN 劃分把計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)的編址原則落成表配置命令可以進(jìn)模擬器再敲但 IP 規(guī)劃必須在打開設(shè)備之前完成。計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)課里講 IP 地址、子網(wǎng)掩碼、廣播域到了綜合實(shí)驗(yàn)里的第一道落地題就是「給你一個(gè)機(jī)房場景你怎么切網(wǎng)段」。這一步做的表就是報(bào)告里「地址規(guī)劃」那一節(jié)的核心內(nèi)容。3.1 地址規(guī)劃表先算好網(wǎng)段再動(dòng)手配置規(guī)劃順序我一般是先劃廣播域再定子網(wǎng)再定網(wǎng)關(guān)最后留互聯(lián)和管理地址。按照前面拓?fù)淅锏膱鼍翱梢砸?guī)劃成下面的表用途網(wǎng)段網(wǎng)關(guān)說明VLAN 10 辦公終端192.168.10.0/24192.168.10.254PC1、PC2 所在網(wǎng)段VLAN 20 服務(wù)器192.168.20.0/24192.168.20.254PC3、PC4 所在網(wǎng)段后續(xù)可掛策略VLAN 30 管理192.168.30.0/24192.168.30.254僅用于設(shè)備管理與業(yè)務(wù)流量隔離R1 與核心交換機(jī)互聯(lián)10.0.0.0/30—P2P 鏈路兩個(gè)可用地址Loopback 0模擬外網(wǎng)10.0.1.1/32—R1 上模擬互聯(lián)網(wǎng)可達(dá)地址辦公終端和服務(wù)器分開是 VLAN 劃分的第一原則廣播域隔離、故障域隔離、策略域隔離。管理網(wǎng)段單獨(dú)用 /24是為了把設(shè)備的管理流量和業(yè)務(wù)流量徹底分開?；ヂ?lián)用 /30 是因?yàn)辄c(diǎn)對點(diǎn)鏈路只需要兩個(gè)可用地址用 /24 是浪費(fèi)這也是《計(jì)算機(jī)網(wǎng)絡(luò)》教材里 VLSM 最典型的應(yīng)用場景。Loopback 地址永遠(yuǎn) UP用它做 OSPF Router-ID路由鄰居的穩(wěn)定性比拿物理接口地址扛著強(qiáng)得多。3.2 VLAN 劃分廣播域怎么切才合理VLAN 10、20、30 的劃分依據(jù)不是隨便編的號。辦公終端數(shù)量多、變動(dòng)頻繁單獨(dú)一個(gè)廣播域接入層出問題只影響這個(gè)域服務(wù)器群需要穩(wěn)定的地址和獨(dú)立的訪問策略單獨(dú)放管理流量如果混在業(yè)務(wù) VLAN 里網(wǎng)絡(luò)設(shè)備自己的通信會跟用戶數(shù)據(jù)搶帶寬排障時(shí)也很難分清哪條流量是哪類。接入交換機(jī)上的端口配置可以用下面這段最小命令來看效果在 Access-SW1 上執(zhí)行! Access-SW1將終端接口劃分進(jìn)不同 VLAN vlan 10 name OFFICE vlan 20 name SERVER vlan 30 name MGMT interface fa0/1 switchport mode access switchport access vlan 10 interface fa0/2 switchport mode access switchport access vlan 20這里把 fa0/1 劃給辦公網(wǎng)段fa0/2 劃給服務(wù)器網(wǎng)段。switchport mode access是把這個(gè)接口固定成二層接入口不允許動(dòng)態(tài)協(xié)商switchport access vlan指定該接口屬于哪個(gè) VLAN。注意 Cisco 設(shè)備默認(rèn)所有接口都在 VLAN 1如果不顯式劃分配置終端之間會互相可見等于沒做隔離。3.3 網(wǎng)關(guān)放在哪二層接入交換機(jī)與三層匯聚的分工主機(jī)的默認(rèn)網(wǎng)關(guān)不是隨便填的。在綜合性實(shí)驗(yàn)里網(wǎng)關(guān)要落在支持 VLAN 間路由的設(shè)備上通常是三層交換機(jī)上的 SVISwitch Virtual Interface即 interface vlan。接入層的 2960 默認(rèn)是純二層設(shè)備只有轉(zhuǎn)發(fā)能力沒有路由能力VLAN 間通信必須上送到三層設(shè)備處理。如果把網(wǎng)關(guān)配置在接入交換機(jī)上VLAN 10 的 PC 想訪問 VLAN 20 的服務(wù)器數(shù)據(jù)包到了接入層沒人能路由直接丟包。這也是很多新手第一次做綜合實(shí)驗(yàn)時(shí)翻車的地方所有設(shè)備都配好了VLAN 也通了但跨 VLAN ping 不通最后發(fā)現(xiàn)網(wǎng)關(guān)地址寫在了一個(gè)二層交換機(jī)上。三層交換機(jī)上啟用 VLAN 間路由需要顯式開啟ip routing這一行不敲交換機(jī)即使有 SVI 地址也不會轉(zhuǎn)發(fā)跨網(wǎng)段流量。網(wǎng)關(guān)和 VLAN 間路由這兩件事應(yīng)該是設(shè)計(jì)階段想清楚而不是排障階段靠猜。4. 從接入到出口一套能跑通全網(wǎng)的思科配置命令拓?fù)浜?IP 都定好之后配置就是按層逐臺往下推。我從接入層開始寫一直寫到出口路由器命令可以直接照抄但每段背后的參數(shù)你最好理解因?yàn)榫C合實(shí)驗(yàn)的答辯和報(bào)告評審都會盯著這些細(xì)節(jié)問。4.1 接入層配置VLAN、trunk 與 allowed vlan接入交換機(jī)做完終端接口劃分之后上聯(lián)接口必須配置成 trunk否則數(shù)據(jù)幀沒法帶著 VLAN 標(biāo)簽走到核心交換機(jī)。以 Access-SW1 上聯(lián) Core-SW1 的接口為例! Access-SW1 上聯(lián)接口把 VLAN 標(biāo)簽交給核心交換機(jī) interface gi0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20,30switchport trunk encapsulation dot1q是指定 trunk 封裝協(xié)議為 802.1QCisco 私有的 ISL 封裝已經(jīng)很少用了如果你的模擬器版本里不支持這條命令說明該型號默認(rèn)就是 dot1q直接跳過即可。switchport mode trunk把接口改成 trunk 模式。switchport trunk allowed vlan限制 trunk 上允許通過的 VLAN 列表這個(gè)參數(shù)我建議每次都顯式寫原因很簡單Cisco 默認(rèn)允許所有 VLAN 通過等你后面加了一個(gè)管理 VLAN 99 或測試 VLAN忘記回這里更新列表廣播域就悄悄串了。4.2 匯聚層啟用路由并配置 SVI核心交換機(jī)上先做兩件事打開路由能力給每個(gè) VLAN 創(chuàng)建 SVI 接口。Core-SW1 上的配置如下! Core-SW1 開啟三層路由并配置 VLAN 10 的 SVI ip routing interface vlan 10 ip address 192.168.10.252 255.255.255.0 no shutdownip routing是三層交換機(jī)的總開關(guān)不敲這一行后面所有的 SVI 都只是個(gè)能 ping 通自己的二層接口。SVI 的地址填的是 192.168.10.252 而不是 .254是因?yàn)?.254 要留給 HSRP 虛擬地址。這里體現(xiàn)了一個(gè)設(shè)計(jì)細(xì)節(jié)網(wǎng)關(guān)地址的規(guī)劃要反推配置SVI 真實(shí)地址和虛擬地址要落在同一個(gè)網(wǎng)段里并且不能沖突。報(bào)告里寫一句「SVI 采用 .252.254 保留給 HSRP 虛擬 IP 使用」就是專業(yè)性的體現(xiàn)。4.3 HSRP 網(wǎng)關(guān)冗余主備切換與搶占兩臺核心交換機(jī)要提供同一個(gè)網(wǎng)關(guān)地址必須跑 FHRP 協(xié)議Cisco 環(huán)境里就是 HSRP。在 Core-SW1 的 VLAN 10 接口下繼續(xù)配置! Core-SW1HSRP 主設(shè)備 interface vlan 10 standby 10 ip 192.168.10.254 standby 10 priority 110 standby 10 preemptstandby 10里的 10 是備份組編號跟 VLAN 號對應(yīng)是約定俗成的做法方便維護(hù)。standby ip指定虛擬網(wǎng)關(guān)地址。priority 110讓這臺設(shè)備成為主設(shè)備默認(rèn)值是 100。preempt是搶占開關(guān)——這個(gè)參數(shù)最容易漏漏掉的后果是主設(shè)備故障恢復(fù)后不會主動(dòng)搶回主角色流量繼續(xù)走在備用設(shè)備上冗余鏈路長期處于非最優(yōu)狀態(tài)。配置完之后在 Core-SW2 上只需要配置standby 10 ip 192.168.10.254和preempt優(yōu)先級保持默認(rèn) 100它自然會成為備用。驗(yàn)證用show standby brief能看到誰 Active 誰是 Standby。4.4 OSPF 動(dòng)態(tài)路由與默認(rèn)路由注入VLAN 間路由解決的是內(nèi)部通信核心交換機(jī)要訪問外網(wǎng)、或者說要讓全網(wǎng)學(xué)到彼此的路由需要跑動(dòng)態(tài)路由協(xié)議。這里用 OSPF配置貼在 Core-SW1 上! Core-SW1OSPF 進(jìn)程與網(wǎng)段宣告 router ospf 1 router-id 1.1.1.1 network 192.168.10.0 0.0.0.255 area 0 network 192.168.20.0 0.0.0.255 area 0 network 192.168.30.0 0.0.0.255 area 0 network 10.0.0.0 0.0.0.3 area 0network命令里的0.0.0.255是通配符掩碼表示匹配前 24 位跟子網(wǎng)掩碼 /24 對應(yīng)。每條network宣告一個(gè)網(wǎng)段進(jìn)入 OSPF area 0。router-id建議手動(dòng)指定不要依賴路由器自動(dòng)選出的接口地址否則接口地址一變鄰居關(guān)系就重啟。出口路由器 R1 上同樣啟用 OSPF并宣告互聯(lián)網(wǎng)段10.0.0.0/30同時(shí)注入默認(rèn)路由! R1OSPF 宣告互聯(lián)網(wǎng)段并下發(fā)默認(rèn)路由 router ospf 1 router-id 2.2.2.2 network 10.0.0.0 0.0.0.3 area 0 default-information originate ip route 0.0.0.0 0.0.0.0 gi0/0default-information originate讓 R1 向 OSPF 域內(nèi)通告一條默認(rèn)路由前提是路由器本身有一條靜態(tài)默認(rèn)路由ip route 0.0.0.0 0.0.0.0 gi0/0指向外網(wǎng)。沒有這條靜態(tài)路由default-information originate是不會生效的。這里有個(gè)排障點(diǎn)如果內(nèi)部設(shè)備 ping 不通外網(wǎng)先查 R1 上有沒有靜態(tài)默認(rèn)路由再查 OSPF 是否把默認(rèn)路由下發(fā)成功。4.5 ACL 與 NAT內(nèi)網(wǎng)訪問外網(wǎng)的最后一個(gè)閘門出口路由器上要做 NAT否則內(nèi)網(wǎng)私有地址出了公網(wǎng)就回不來。R1 上的最小配置! R1NAT 與接口方向 access-list 100 permit ip 192.168.0.0 0.0.255.255 any ip nat inside source list 100 interface gi0/0 overload interface gi0/0 ip nat outside interface gi0/1 ip nat insideaccess-list 100匹配內(nèi)網(wǎng)網(wǎng)段0.0.255.255是通配符掩碼匹配 192.168.0.0/16 范圍內(nèi)的所有地址。ip nat inside source list 100 interface gi0/0 overload把列表 100 匹配到的內(nèi)網(wǎng)地址轉(zhuǎn)換成 gi0/0 的接口地址overload表示端口復(fù)用也就是 PAT內(nèi)網(wǎng)多個(gè) PC 共用一個(gè)公網(wǎng)地址。接口方向必須標(biāo)對連內(nèi)網(wǎng)的口是ip nat inside連外網(wǎng)的口是ip nat outside方向和實(shí)際流量路徑不一致NAT 表就不會建立。提示ACL 100 在這里只負(fù)責(zé) NAT 匹配不要再拿它同時(shí)做數(shù)據(jù)過濾。如果實(shí)驗(yàn)里還要限制某網(wǎng)段的訪問權(quán)限單獨(dú)建一張新的 ACL 并應(yīng)用到具體接口上否則 NAT 行為會被過濾規(guī)則干擾出現(xiàn)「有的設(shè)備能上網(wǎng)有的不能」的詭異現(xiàn)象。5. 避坑指南綜合性實(shí)驗(yàn)里最容易翻車的 5 個(gè)配置點(diǎn)這一章寫給兩種人卡在實(shí)驗(yàn)里出不來的人和報(bào)告「問題總結(jié)」一欄沒有素材的人。以下 5 條都是我在模擬器和真實(shí)交換機(jī)上都遇到過的坑每一條都可以直接寫進(jìn)報(bào)告的問題分析部分。5.1 VLAN 之間 ping 不通但每臺 PC 都能 ping 通自己的網(wǎng)關(guān)現(xiàn)象PC1VLAN 10能 ping 通 192.168.10.254但 ping 不通 PC3VLAN 20。原因匯聚層和接入層之間的 trunk 沒有放行 VLAN 20或者兩端配置不一致。switchport trunk allowed vlan默認(rèn)只允許 VLAN 1如果忘了把業(yè)務(wù) VLAN 加進(jìn)去數(shù)據(jù)幀在 trunk 上就被丟棄了。解決在接入交換機(jī)上聯(lián)接口補(bǔ)上switchport trunk allowed vlan 10,20,30然后用show interfaces trunk確認(rèn)兩端都處于 trunking 狀態(tài)用show vlan brief確認(rèn) VLAN 列表和接口劃分正確。5.2 OSPF 鄰居一直卡在 2-WAY 或 EXSTART/EXCHANGE現(xiàn)象兩臺路由器上show ip ospf neighbor看鄰居狀態(tài)長期停在 2-WAY 或 EXSTART路由表里學(xué)不到對方網(wǎng)段。原因最常見的是 Router-ID 沖突或者直連接口 MTU 不一致——后者在真實(shí)設(shè)備上更常見模擬器里較少遇到。解決每臺設(shè)備手動(dòng)指定唯一且穩(wěn)定的router-id直連的兩端接口把 MTU 調(diào)成一致。這里有個(gè)隱藏坑修改router-id之后不會立即生效必須重啟 OSPF 進(jìn)程或用clear ip ospf process很多人改完發(fā)現(xiàn)鄰居還是老樣子就是差這一步。5.3 HSRP 主備不切換或者主設(shè)備恢復(fù)后搶不回來現(xiàn)象把 Core-SW1 的 uplink 拔掉PC 的網(wǎng)關(guān)沒有切換到 Core-SW2或者切換了但 Core-SW1 恢復(fù)后流量不回來。原因備用設(shè)備上的 HSRP 配置沒有正確關(guān)聯(lián)到 VLAN 10 接口或者主設(shè)備沒有配置preempt。解決檢查show standby brief確認(rèn)兩臺設(shè)備的standby 10 ip值完全一致主設(shè)備補(bǔ)上preempt。這條坑的典型性在于很多人配 HSRP 只關(guān)注虛擬 IP忽略了priority和preempt的配合導(dǎo)致冗余鏈路名存實(shí)亡。5.4 ACL 一應(yīng)用內(nèi)網(wǎng)連外網(wǎng)也斷了現(xiàn)象加了一條訪問控制列表之后所有終端 ping 不通外網(wǎng)但內(nèi)網(wǎng)互訪正常。原因ACL 應(yīng)用的方向搞反了或者把 NAT 匹配用的 ACL 和過濾用的 ACL 混用。解決先show access-lists看匹配計(jì)數(shù)確認(rèn)流量是否真的命中了規(guī)則再檢查接口方向和 in/out 的選擇。數(shù)據(jù)過濾和 NAT 匹配必須用兩張獨(dú)立的 ACL我在 4.5 里強(qiáng)調(diào)的教訓(xùn)在這里就是活生生的翻車現(xiàn)場。如果你的實(shí)驗(yàn)里還引入了 ACS 或 AAA 認(rèn)證服務(wù)器記得先查默認(rèn)憑據(jù)模擬器環(huán)境里這通常是一組固定的初始化值不要在這個(gè)地方浪費(fèi)半天。5.5 華為交換機(jī)與思科三層交換機(jī)對接鏈路 up 但轉(zhuǎn)發(fā)不通現(xiàn)象華為交換機(jī)連到思科三層交換機(jī)端口狀態(tài)是 up但跨設(shè)備 ping 不通。原因多廠商交換機(jī)對接時(shí)trunk 封裝、Native VLAN 和生成樹行為不一致。比如思科側(cè) trunk 默認(rèn)封裝 dot1q華為側(cè)也配了 dot1q但兩邊 Native VLAN 理解不同導(dǎo)致 untagged 幀走錯(cuò)了 VLAN或者生成樹協(xié)議因?yàn)?Bridge ID 優(yōu)先級差異把其中一個(gè)接口阻塞掉了。解決把兩邊的 Native VLAN 顯式配置成一致的值比如都保持 VLAN 1 不做特殊處理確認(rèn)封裝協(xié)議統(tǒng)一為 dot1q如果生成樹導(dǎo)致阻塞在對接端口上調(diào)整生成樹優(yōu)先級或按需關(guān)閉 BPDU 過濾。這條經(jīng)驗(yàn)寫在報(bào)告里就是「多廠商設(shè)備互聯(lián)兼容性」的實(shí)打?qū)嵃咐?. 驗(yàn)證方法進(jìn)階與報(bào)告成稿技巧讓實(shí)驗(yàn)報(bào)告不再是配置堆積配置全部敲完實(shí)驗(yàn)只完成了一半。報(bào)告的含金量在驗(yàn)證和分析不在配了多少行命令。驗(yàn)證要按順序來先物理層show ip interface brief確認(rèn)所有接口狀態(tài)都是 up/up再鏈路層ping 網(wǎng)關(guān)地址確認(rèn) SVI 工作正常然后網(wǎng)絡(luò)層跨 VLAN ping 確認(rèn)路由生效最后整網(wǎng)驗(yàn)證用traceroute看數(shù)據(jù)包實(shí)際走的路徑確認(rèn) OSPF 選路符合預(yù)期HSRP 虛擬地址在路徑中扮演了網(wǎng)關(guān)角色。模擬器自帶的 PDU 模式可以逐包看 ARP 解析過程你會看到一個(gè)細(xì)節(jié)PC ping 網(wǎng)關(guān)時(shí)ARP 請求的目標(biāo) MAC 是 HSRP 的虛擬 MAC0000.0c07.acXX而實(shí)際應(yīng)答來自主設(shè)備。這個(gè)細(xì)節(jié)就是 HSRP 生效的直接證據(jù)寫進(jìn)報(bào)告比貼十行配置截圖都有說服力。報(bào)告的結(jié)果與分析部分我建議把你踩過的坑按「現(xiàn)象 → 原因 → 解決」寫進(jìn)去哪怕只有兩三條。評審老師看過的實(shí)驗(yàn)報(bào)告里清一色是「配置正確、測試通過」你寫一條真實(shí)的排錯(cuò)記錄可信度立刻就不一樣。如果想引用理論支撐把謝希仁《計(jì)算機(jī)網(wǎng)絡(luò)》和《計(jì)算機(jī)網(wǎng)絡(luò)自頂向下方法》里對應(yīng) VLAN、IP 編址、路由協(xié)議的章節(jié)頁碼標(biāo)上報(bào)告的專業(yè)感會再上一個(gè)臺階。再往遠(yuǎn)一步說這套配置不要只留在模擬器里。把每臺設(shè)備的配置保存成文本模板下次換一批 IP、換一組 VLAN 號用腳本批量替換就能生成新環(huán)境的配置。DevOps 工程師學(xué)計(jì)算機(jī)網(wǎng)絡(luò)時(shí)最值得養(yǎng)成的習(xí)慣就是配置要能回讀、能比對、能復(fù)用而不是永遠(yuǎn)靠手敲。這份思科實(shí)驗(yàn)報(bào)告其實(shí)就是網(wǎng)絡(luò)基礎(chǔ)設(shè)施代碼化的第一份原型。我剛做網(wǎng)絡(luò)相關(guān)工作時(shí)交過一份實(shí)驗(yàn)報(bào)告清一色寫的「配置成功測試通過」后來被人問了一句 HSRP 虛擬 MAC 是怎么來的當(dāng)場卡住。從那以后我養(yǎng)成了一個(gè)習(xí)慣每次實(shí)驗(yàn)做完在報(bào)告里單開一節(jié)「排錯(cuò)記錄」哪怕只貼兩行 show 命令的輸出。這個(gè)習(xí)慣救過我很多次寫報(bào)告不再害怕被追問細(xì)節(jié)因?yàn)榇鸢冈缇蛯懺诶锩媪?。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取