在实际园区网络项目中VLAN 划分只是第一步真正让网络跑起来的是汇聚交换机与核心交换机之间的三层协作。很多配置过单台交换机的人第一次接触汇聚交换机和核心交换机时通常会碰到几类问题VLAN 明明建了PC 之间却 ping 不通静态路由下一跳写错核心交换机不知道怎么回包NAT 配完后内网能访问外部但回包路径又不通。下面用一个最小可复现的 eNSP 实验把 VLAN 间互通、静态路由、NAT 地址转换和远程管理限制这条链路完整走一遍。文章会从概念讲到配置、验证、排错最后补充生产环境落地的注意事项。1. 先理清场景VLAN 划分之后为什么需要汇聚交换机和核心交换机1.1 VLAN 能隔离广播域但也切断了二层路径VLAN即虚拟局域网作用是按二层域隔离广播。一个 VLAN 是一个广播域同一个 VLAN 内的设备可以二层互通不同 VLAN 之间默认不能直接二层转发。在企业办公网中通常按部门或业务划分 VLAN比如财务 VLAN 10、办公 VLAN 20。划分后的收益很直接广播报文被限制在各自 VLAN 内故障影响范围变小网络也更清晰。但代价也随之出现不同 VLAN 的设备必须经过三层路由才能互通。这个“必须经过三层”的节点就是网关。要实现 VLAN 间互通至少要有一台设备同时满足两个条件能终结多个 VLAN 的二层报文也就是为每个 VLAN 创建 VLANIF 接口能做三层转发也就是启用路由功能。常见做法是把网关放在汇聚交换机上。核心交换机则负责汇聚交换机之间的南北向流量、跨区域路由以及边界 NAT。1.2 汇聚交换机、核心交换机各自的职责不同规模园区网的设备角色会有差异但职责基本可以按层拆开。下表是一个小型园区网的职责划分也是本文实验采用的模型。网络层次常见位置典型职责本实验承担任务接入层靠近 PC、终端划分 VLAN、接入控制、少量安全策略接入交换机 SW1、SW2把 PC 划入 VLAN 10 / VLAN 20汇聚层楼宇或区域汇聚终结 VLAN 网关、VLAN 间路由、上行冗余汇聚交换机 SW3创建 VLANIF10、VLANIF20做业务网关核心层园区核心高速转发、跨区域路由、边界 NAT、安全策略核心交换机 SW4做静态路由和 NAT边界连接外网或运营商地址转换、安全防护、路由策略核心交换机对外接口连外部路由器 R1做 NAT很多小型项目会把网关直接放在核心交换机上省去汇聚。但在中大型项目中网关放在汇聚交换机可以分散三层转发压力核心只保留高速路由和策略。本实验采用“二层接入、三层汇聚、边界核心”的模型更接近可扩展的园区网结构。1.3 本实验的组网模型二层接入、三层汇聚、边界核心接入交换机只做二层 VLAN 划分汇聚交换机作为各 VLAN 的第一跳网关负责 VLAN 间路由核心交换机与汇聚之间通过三层互联连接核心负责把访问外网的流量转到 NAT 接口并保存到内网网段的回程路由。按这个模型数据流可以拆成三段理解PC1VLAN10访问 PC2VLAN20时路径是 PC1 - SW1 - SW3由 SW3 的 VLANIF10 和 VLANIF20 完成三层转发不需要经过核心。PC1 访问外部服务器时路径是 PC1 - SW1 - SW3 - SW4核心交换机做 NAT源地址从私有地址转换为对外接口地址。外部回包时路径反过来核心必须有到内网网段的路由否则回包会被丢弃表现为“有去无回”。这个模型里VLAN 间互通、静态路由、NAT 三个主题是串在一起的一条链路。下面进入实验环境规划。2. 环境与规划eNSP 拓扑、VLAN、IP 和路由设计2.1 实验拓扑与设备选型实验使用华为 eNSP。设备选型按“能支持三层功能”为最低要求。接入交换机 SW1、SW2 可以用 S5700 一类支持 VLAN 的交换机汇聚交换机 SW3 和核心交换机 SW4 需要支持 VLANIF 和三层层路由外部路由器 R1 使用 AR2220 或类似路由器用来模拟运营商侧或公网服务器。如果 eNSP 版本和设备包不同型号名称可能不完全一致但配置逻辑相同。拓扑关系如下PC1 接 SW1 的 GigabitEthernet0/0/1。PC2 接 SW2 的 GigabitEthernet0/0/1。SW1 的 GigabitEthernet0/0/2 上行接 SW3 的 GigabitEthernet0/0/1。SW2 的 GigabitEthernet0/0/2 上行接 SW3 的 GigabitEthernet0/0/2。SW3 的 GigabitEthernet0/0/24 接 SW4 的 GigabitEthernet0/0/24。SW4 的 GigabitEthernet0/0/1 接 R1 的 GigabitEthernet0/0/0。R1 的 Loopback0 接口用公网测试地址模拟公网服务器。注意eNSP 里接口编号以实际拓扑显示为准。真实设备上汇聚与核心之间通常使用多条链路做链路聚合本实验为最小连通性只使用一条链路。2.2 地址规划表地址规划要避免和网络中已有地址段重叠。实验地址可按下面的表格规划。业务网关放在汇聚交换机 SW3核心到汇聚互联使用 10.0.1.0/30核心到外部使用 RFC 5737 文档示例地址 203.0.113.0/24。对象接口 / VLAN地址说明PC1普通网卡192.168.10.1/24网关 192.168.10.254PC2普通网卡192.168.20.1/24网关 192.168.20.254SW1下行口 Access VLAN10无 IP只做二层转发SW2下行口 Access VLAN20无 IP只做二层转发SW3VLANIF10192.168.10.254/24VLAN10 网关SW3VLANIF20192.168.20.254/24VLAN20 网关SW3VLANIF10010.0.1.1/30与核心互联SW4VLANIF10010.0.1.2/30与汇聚互联SW4GigabitEthernet0/0/1203.0.113.1/24连接外部路由器NAT 出接口R1GigabitEthernet0/0/0203.0.113.2/24与核心互联R1Loopback0203.0.113.10/32模拟公网服务器规划时要注意三件事PC 和网关必须在同一网段网关的 VLANIF 要对应 PC 所在 VLAN核心与汇聚互联的网段不能和业务网段重叠。地址重叠是排错时最难发现的问题之一。2.3 路由和 NAT 设计思路先静态后动态静态路由适合拓扑规模小、路径明确的项目。把路由动作拆开看SW3 只需要一条默认路由把非本地网段的流量交给核心即 0.0.0.0/0 下一跳 10.0.1.2。SW4 需要两条内网回程路由把 192.168.10.0/24 和 192.168.20.0/24 的流量送回 10.0.1.1。SW4 还需要一条默认路由把去往公网的流量交给 R1即 0.0.0.0/0 下一跳 203.0.113.2。R1 在实验环境只需要能回应 Loopback 地址。真实环境由运营商骨干路由处理这不是本地设备配置能控制的。NAT 部分核心交换机作为边界设备把内网私有地址转换成访问外网所用的公网地址。实验只演示最常见的源 NAT也就是出接口方向转换。访问外部服务器时源 IP 会从 192.168.10.x 或 192.168.20.x 变成 203.0.113.1。R1 看到的是一台合法公网地址发出的请求回包也能回到核心。这种方式也叫 Easy IP是单公网地址场景下最常用的 NAT 形态。3. 逐段配置从接入 VLAN 到汇聚 VLANIF3.1 接入交换机 SW1、SW2Access 接口与 VLAN接入交换机划分 VLAN 时面向 PC 的口通常配置成 Access 接口。Access 口只属于一个 VLAN发向 PC 的帧会去掉 VLAN TagPC 侧不需要理解 VLAN。SW1 创建 VLAN10SW2 创建 VLAN20。先看 SW1 的配置SW1 system-view [SW1] vlan batch 10 [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1-GigabitEthernet0/0/1] quitSW2 的配置完全一样把 VLAN 编号改成 20 即可。这里要解释一个关键点如果 PC 加入的 VLAN 和后面网关所在的 VLAN 不一致后面的 Trunk、路由配置再对也没有用。配置完可以用display vlan brief查看 VLAN 和端口归属。新手最常见的错误是忘记port default vlan 10导致 PC 留在默认 VLAN1 里永远无法通过 VLANIF10 到达网关。3.2 接入到汇聚 Trunk为什么 PVID 要和业务 VLAN 一致接入交换机上行到汇聚的链路在真实项目中往往需要承载多个 VLAN所以上行口通常配成 Trunk而不是 Access。Trunk 的作用是允许带 VLAN Tag 的帧通过。SW1 的上行口配置如下[SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type trunk [SW1-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 [SW1-GigabitEthernet0/0/2] port trunk pvid vlan 10 [SW1-GigabitEthernet0/0/2] quit对应 SW3 的 G0/0/1 也要配置成 Trunk并允许 VLAN10 通过。为什么要把 Trunk 端口的 PVID 改成 VLAN10PVID 是 Trunk 口收到“不带 VLAN Tag 的帧”时给帧打上的默认 VLAN。正常情况下Trunk 两端发送的是带 Tag 的帧PVID 对这类帧没有影响。但如果链路两端有一侧是 Access 口或某个二层管理报文没有 TagPVID 不匹配时帧就会被归到 VLAN1导致用户看似在 VLAN10 里实际网关却收不到这个 VLAN 的报文。把两端 PVID 都设成业务 VLAN可以避免这种隐性故障。要注意 PVID 和 allow-pass 是两个配置port trunk allow-pass vlan 10决定允许哪些 VLAN 经过port trunk pvid vlan 10决定无 Tag 帧默认归入哪个 VLAN。不要只配置一个就认为 Trunk 已经正确。不要在 Trunk 端口盲目放通全部 VLAN。承载的 VLAN 越少广播域越小故障定位也越简单。SW2 到 SW3 的链路同理把 VLAN 编号改成 20。3.3 汇聚交换机 SW3VLANIF 网关与默认路由汇聚交换机 SW3 是本实验的“网关担当”。它需要创建 VLAN10、VLAN20、VLAN100连接接入的两条链路配成 Trunk再给三个 VLAN 分别创建 VLANIF 地址。先创建 VLAN 和 TrunkSW3 system-view [SW3] vlan batch 10 20 100 [SW3] interface GigabitEthernet0/0/1 [SW3-GigabitEthernet0/0/1] port link-type trunk [SW3-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 [SW3-GigabitEthernet0/0/1] port trunk pvid vlan 10 [SW3-GigabitEthernet0/0/1] quit [SW3] interface GigabitEthernet0/0/2 [SW3-GigabitEthernet0/0/2] port link-type trunk [SW3-GigabitEthernet0/0/2] port trunk allow-pass vlan 20 [SW3-GigabitEthernet0/0/2] port trunk pvid vlan 20 [SW3-GigabitEthernet0/0/2] quit [SW3] interface GigabitEthernet0/0/24 [SW3-GigabitEthernet0/0/24] port link-type trunk [SW3-GigabitEthernet0/0/24] port trunk allow-pass vlan 100 [SW3-GigabitEthernet0/0/24] port trunk pvid vlan 100 [SW3-GigabitEthernet0/0/24] quit然后创建 VLANIF 接口和默认路由[SW3] interface Vlanif10 [SW3-Vlanif10] ip address 192.168.10.254 255.255.255.0 [SW3-Vlanif10] quit [SW3] interface Vlanif20 [SW3-Vlanif20] ip address 192.168.20.254 255.255.255.0 [SW3-Vlanif20] quit [SW3] interface Vlanif100 [SW3-Vlanif100] ip address 10.0.1.1 255.255.255.252 [SW3-Vlanif100] quit [SW3] ip route-static 0.0.0.0 0.0.0.0 10.0.1.2 [SW3] quit这条默认路由是关键。SW3 已经知道本地直连的 192.168.10.0/24、192.168.20.0/24 和 10.0.1.0/30其他非本地网段都要交给核心。没有这条默认路由PC 访问外网时SW3 会因为没有匹配路由而直接把包丢弃。还有一个常见问题VLANIF 接口状态必须依赖 VLAN 和端口状态。如果 VLAN 已经创建但 VLAN 下没有任何 Access 口或 Trunk 口允许该 VLAN 通过VLANIF 接口可能一直是 down。VLANIF down 时网关地址就是悬空的PC 配置再正确也无法通信。4. 核心交换机三层互联、静态路由与 NAT4.1 汇聚与核心之间的三层互联核心交换机 SW4 侧连接汇聚的 G0/0/24 配置成 Trunk允许 VLAN100 通过然后创建 VLANIF100 作为三层互联地址SW4 system-view [SW4] vlan batch 100 [SW4] interface GigabitEthernet0/0/24 [SW4-GigabitEthernet0/0/24] port link-type trunk [SW4-GigabitEthernet0/0/24] port trunk allow-pass vlan 100 [SW4-GigabitEthernet0/0/24] port trunk pvid vlan 100 [SW4-GigabitEthernet0/0/24] quit [SW4] interface Vlanif100 [SW4-Vlanif100] ip address 10.0.1.2 255.255.255.252 [SW4-Vlanif100] quit三层互联也可以不用 VLANIF直接在两台设备的物理口上用undo portswitch把接口切成三层路由口再配置 IP。两种做法各有适用场景VLANIF 适合链路承载多个 VLAN 的情况逻辑更清晰路由口简单直接适合设备之间只有一条物理链路且不需要承载业务 VLAN 的情况。本实验使用 VLANIF100可以顺便展示“二三层混合链路”下的排错点两端 Trunk 必须允许 VLAN100 通过且 PVID 一致。4.2 核心交换机的静态回程路由核心交换机默认只知道直连网段也就是 10.0.1.0/30 和 203.0.113.0/24。要访问内网的 192.168.10.0/24 和 192.168.20.0/24必须配置回程静态路由下一跳都指向汇聚交换机 SW3 的 10.0.1.1[SW4] ip route-static 192.168.10.0 255.255.255.0 10.0.1.1 [SW4] ip route-static 192.168.20.0 255.255.255.0 10.0.1.1 [SW4] ip route-static 0.0.0.0 0.0.0.0 203.0.113.2第三行默认路由把去外部网络的流量交给 R1也就是 203.0.113.2。为什么核心既要有内网回程路由又要有默认路由因为数据转发是对称的。PC1 访问外网时核心在出接口做 NAT源地址变成 203.0.113.1包从 G0/0/1 发给 R1。外网服务器回包目标地址是 203.0.113.1核心能直接收到。但收到之后核心必须查路由表决定回包交给谁。如果核心没有到 192.168.10.0/24 的明细路由回包会被默认路由重新扔向外网导致通信中断。回程路由丢失的典型现象就是内网能发出请求外部回包到核心后找不到去往 PC 的路径表现为 ping 超时。4.3 核心交换机 NATACL 匹配与出接口转换NAT 配置分两步。第一步定义需要被转换的内网网段用 ACL 匹配第二步在连接外网的接口上调用。[SW4] acl number 2000 [SW4-acl-basic-2000] rule 5 permit source 192.168.10.0 0.0.0.255 [SW4-acl-basic-2000] rule 10 permit source 192.168.20.0 0.0.0.255 [SW4-acl-basic-2000] quit [SW4] interface GigabitEthernet0/0/1 [SW4-GigabitEthernet0/0/1] undo portswitch [SW4-GigabitEthernet0/0/1] ip address 203.0.113.1 255.255.255.0 [SW4-GigabitEthernet0/0/1] nat outbound 2000 [SW4-GigabitEthernet0/0/1] quitACL2000 匹配两台 PC 所在网段。通配符 0.0.0.255 等价于只匹配前 24 位。如果有更多网段继续增加 rule 即可。nat outbound 2000表示对该接口出去的、匹配 ACL2000 的流量做源地址转换。使用 Easy IP 时转换后的源地址是接口自身地址 203.0.113.1不需要单独配置公网地址池。如果运营商分配了一段公网地址可以改用地址池[SW4] nat address-group 1 203.0.113.100 203.0.113.110 [SW4] interface GigabitEthernet0/0/1 [SW4-GigabitEthernet0/0/1] nat outbound 2000 address-group 1地址池适合有固定公网地址段的场景Easy IP 适合只有一个公网地址或动态获取地址的场景。生产环境按运营商分配结果选择。需要特别注意NAT 功能不是所有交换机型号默认都支持。园区网真实项目中边界 NAT 通常由防火墙或路由器承担核心交换机专注路由转发。做实验时如果 eNSP 里的交换机型号没有 NAT 特性边界位置可以换用支持 NAT 的 AR 路由器配置思路一致。落地到真机前先确认设备型号和软件版本是否支持 NAT 特性。4.4 外部路由器 R1用 Loopback 模拟公网服务器R1 的配置很简单R1 system-view [R1] interface GigabitEthernet0/0/0 [R1-GigabitEthernet0/0/0] ip address 203.0.113.2 255.255.255.0 [R1-GigabitEthernet0/0/0] quit [R1] interface LoopBack0 [R1-LoopBack0] ip address 203.0.113.10 255.255.255.255 [R1-LoopBack0] quit这样 R1 的 Loopback0 地址等价于一个公网服务器。PC ping 203.0.113.10 时数据包到达核心核心做 NAT 后交给 R1R1 回包目标地址是 203.0.113.1走直连网络传回核心。真实项目中运营商侧不是简单一个 Loopback而是骨干路由本地 NAT 设备的默认路由必须指向运营商分配的网关地址。5. 从接入 PC 验证VLAN 互通、外网访问与远程管理5.1 验证 VLAN 间互通所有设备启动完成后先给两台 PC 配置 IP。PC1 的 IP 是 192.168.10.1/24网关是 192.168.10.254PC2 的 IP 是 192.168.20.1/24网关是 192.168.20.254。在 PC1 上 ping PC2PC ping 192.168.20.1如果网络配置正确会收到 Reply。也可以直接在 SW3 上验证网关和三层转发SW3 ping -a 192.168.10.254 192.168.20.1这里-a指定源地址为本机 VLANIF10 地址能确认 VLANIF10 和 VLANIF20 之间的三层转发是否正常。如果 PC 之间能通但从 SW3 用 VLANIF10 的地址 ping VLAN20 的 PC 不通说明 PC 侧网关或 VLAN 配置有问题。5.2 验证跨设备静态路由跨设备路由是否正常可以在 SW4 上 ping 汇聚网段SW4 ping -a 10.0.1.2 192.168.10.254 SW4 display ip routing-table protocol static第一条验证核心能不能通过回程路由到达内网网关。第二条查看静态路由是否出现在路由表中。如果配置了静态路由但路由表里没有常见原因是下一跳不可达也就是 10.0.1.1 不可达。也可以在 SW3 上 ping 核心互联地址 10.0.1.2确认底层链路正常。5.3 验证 NAT 转换与公网访问在 PC1 上 ping R1 的 Loopback 地址PC ping 203.0.113.10能看到回包后再在 SW4 上查看 NAT 会话SW4 display nat session all输出中会看到协议、源地址、目的地址和转换后的信息。正常情况下会话里的源地址是 192.168.10.1转换后的源地址是 203.0.113.1。如果 ping 通了但没有 NAT 会话说明流量没有走核心对外接口如果 ping 不通但有会话通常是回程路由或外部设备路由有问题。5.4 验证设备远程管理为什么 PC 不能直接登录交换机实际项目中经常遇到这样一个场景从核心交换机可以通过远程管理方式访问任何一台接入交换机但从接入 PC 直接远程登录设备却失败。这不是设备坏了而是管理平面和业务平面的隔离策略在起作用。在华为交换机上VTY 用户界面可以限制允许登录的源地址范围。以 SW1 为例如果 SW1 的管理地址放在 VLAN10VTY 只允许核心管理源地址 10.0.1.2 和管理终端所在的 192.168.10.0/24 段登录配置可以这样写[SW1] acl number 2001 [SW1-acl-basic-2001] rule 5 permit source 10.0.1.2 0.0.0.0 [SW1-acl-basic-2001] rule 10 permit source 192.168.10.0 0.0.0.255 [SW1-acl-basic-2001] quit [SW1] user-interface vty 0 4 [SW1-ui-vty0-4] acl 2001 inbound [SW1-ui-vty0-4] protocol inbound ssh [SW1-ui-vty0-4] quit这样只有核心互联地址和 VLAN10 内管理终端能登录 SW1其他 VLAN 的 PC 即使三层能直达管理地址也会被 VTY ACL 拒绝。使用 SSH 时还需要配置认证用户只把协议切换成 SSH 并不够。生产环境不建议使用 telnet因为明文传输口令和配置都能被抓包看到。建议关闭 telnet统一使用 SSH并配合本地用户或 AAA 认证。隔离管理面和业务面时不是简单“禁用某个服务”就够了。路由可达性、VTY ACL、认证方式、管理 VLAN 四个条件要一起看。6. 常见问题排查从现象倒推配置6.1 VLAN 间不通先查 VLAN、Trunk、网关和 PC 配置排查有固定顺序。第一步看 PC 的四项信息IP 地址、掩码、网关、所接接口的 VLAN。第二步在 SW3 上用display vlan brief确认 VLAN10、VLAN20 存在并且端口归属正确。第三步用display interface GigabitEthernet0/0/1看接口状态和 VLAN。第四步测试 VLANIF 自身是否互通。如果 VLANIF 能通但 PC 不能通重点检查 PC 的网关是不是 VLANIF 地址。常见坑有三个只创建了 VLAN没有创建 VLANIF导致 PC 网关失效Trunk 口只写了allow-pass vlan却忘了 PVID导致无 Tag 帧落入 VLAN1两台设备之间的 Trunk 口 PVID 不一致比如 SW1 侧 PVID10SW3 侧 PVID1。推荐做法是两端 Trunk 统一 PVID并只允许需要的 VLAN 通过。6.2 跨设备静态路由不通检查路由表、下一跳和回程路由静态路由排查的核心是“有去有回”。在 SW4 上用display ip routing-table查看目标网段路由是否存在下一跳是否可达。在 SW3 上同样检查默认路由。如果 A 到 B 通B 到 A 不通优先查回程路由。比如 PC 能 ping 通 203.0.113.10但外部无法访问内部业务要检查内部服务器是否有到 NAT 设备的默认路由以及核心是否有到服务器网段的回程路由。常见坑包括静态路由下一跳写成了对端设备的 Loopback 地址而该地址不是直连可达汇聚交换机只配了去往核心的默认路由没配去往外部的默认路由核心交换机没有配到内网业务网段的回程路由导致外部回包到达核心后又被默认路由重新扔向外网。6.3 NAT 不生效检查 ACL、接口调用和会话表NAT 不生效首先看流量有没有经过 NAT 接口。在 SW4 上执行display nat session all如果完全没有会话基本可以判断流量没有走到调用 NAT 的外接口或者 ACL 没有匹配到源地址。检查 ACL 规则里的通配符192.168.10.0 0.0.0.255只匹配 192.168.10.0/24如果要匹配整个 192.168.0.0/16应该写成192.168.0.0 0.0.255.255。还要看 ACL 是否被接口的nat outbound语句引用。如果接口上引用了 ACL但 ACL 里没有任何 rule所有流量都不会被转换。还有一种现象是 NAT 有会话但 PC ping 外网超时。这时要检查回程路由和外部设备的路由。回包目标地址是 203.0.113.1外部设备必须有一条到达该地址的路径。实验环境里 R1 与核心直接互联回包可达真实环境靠运营商路由保证。6.4 远程管理失败管理通道与业务通道要分开看远程管理失败可以分为几类现象能 ping 通管理地址但 SSH 连接被拒绝VTY 下没有启用 SSH 协议或 ACL 过滤了源地址。从核心能登录从普通 PC 不能登录VTY 配置了 ACL只放行了管理网段。这是策略不是故障。从业务 VLAN ping 不通管理地址业务 VLAN 到管理 VLAN 之间没有三层路由或设备管理地址本身没有配置。SSH 能连但提示认证失败没有配置本地用户或者用户名密码错误这与网络无关。排查时先做最小验证。从被允许的管理网段 PC 或核心设备用 SSH 登录一台接入交换机。如果能登录说明设备服务正常问题在访问控制或路由如果也不能登录再检查 VTY、ACL、认证方式和本地用户。6.5 排错小结问题现象优先检查可能原因处理建议VLAN 间不通display vlan brief、display interface、PC 网关VLAN 未创建、接口 VLAN 错、网关地址错按 PC-接入-汇聚-网关顺序逐层 ping跨设备不通display ip routing-table、ping -a下一跳不可达、回程路由缺失分别从两端用源地址 ping 定位断点NAT 无会话display nat session all、display acl流量未走 NAT 接口、ACL 未匹配检查 NAT 接口和 ACL 通配符外网通但回包超时display ip routing-table protocol static回程路由缺失添加内网回程静态路由远程登录被拒display current-configuration user-interface vtyVTY ACL 限制、未启用 SSH调整管理 ACL或从允许网段登录7. 最佳实践从实验到真实园区网7.1 学习环境与生产环境的差异eNSP 实验能帮助理解链路但真实设备有额外约束。实验里接口 up 后就能通生产环境还要考虑光纤衰减、端口协商、生成树、链路聚合和硬件转发。实验使用静态路由小规模项目可以接受中大型园区建议使用 OSPF避免路径多后维护工作量失控。实验里的 NAT 在核心交换机上做生产环境如果边界有防火墙通常建议把 NAT 和安全策略放在防火墙上核心交换机只负责路由转发。真实设备配置前要先确认型号和版本是否支持目标特性。某些接入交换机只有二层功能不支持 VLANIF网关必须放在上联汇聚或核心设备。不要假设所有华为交换机都支持相同特性。NAT 特性更是如此需要在设备规格表或模拟器设备包中确认。7.2 静态路由和 NAT 生产落地注意点静态路由在生产中最大的问题是可维护性。建议为每条静态路由写描述例如ip route-static 192.168.10.0 255.255.255.0 10.0.1.1 description To-AGGR-SW3-VLAN10没有描述的路由多了以后运维根本不知道哪条路由属于哪条业务。NAT 落地要注意地址规划和会话容量。公网地址少、并发高时要关注 NAT 会话表容量必要时拆分多个地址或引入负载均衡。不要把办公、服务器、管理三个区域的地址混在一个 ACL 里不加规划。建议至少按区域拆分使用不同的 ACL 或地址池方便后续做访问控制和故障分析。7.3 上线前检查清单无论实验还是生产配置完成后都建议按以下清单检查VLAN 规划各 VLAN 编号、网关地址、互联地址不重叠。接入链路Access 口 VLAN 正确Trunk 口允许 VLAN 和 PVID 两端一致。VLANIF每个业务 VLAN 都有网关VLANIF 状态为 up。路由各层设备有默认路由或明细路由回程路由完整。NATACL 匹配范围正确已在正确接口调用有测试地址可验证。远程管理管理 VLAN 独立VTY 启用 SSH 并限制源地址禁用明文 telnet。可运维性设备名、接口描述、路由描述、NTP、日志、备份、监控配置完成。7.4 后续扩展方向OSPF、VRRP、防火墙、IPSG如果要继续深入可以从三个方向扩展。第一是动态路由。用 OSPF 替换静态路由解决核心和汇聚之间多条路径的自动收敛问题也避免静态路由逐条手工维护。第二是网关冗余。用 VRRP 为 VLANIF 网关做主备解决汇聚交换机单点故障。网关本身不再是单设备地址而是一个虚拟 IP。第三是边界安全。把 NAT 和访问控制从核心交换机迁移到防火墙核心只负责转发。如果接入层有终端私接或伪造地址的问题可以启用 DHCP Snooping 和 IP Source Guard。这些方向都可以在 eNSP 里继续实验而且和本文的 VLAN、三层路由、NAT 基础是连贯的。最后回到实践建议无论实验还是生产先让一条最小链路通起来再逐步加 VLAN、加路由、加 NAT最后再收紧管理面访问。每加一层配置都回到 PC 上做一次连通性验证。这样故障范围不会扩大网络架构也会更清晰。
汇聚交换机与核心交换机三层协作实战：VLAN间互通、静态路由与NAT配置详解
在实际园区网络项目中VLAN 划分只是第一步真正让网络跑起来的是汇聚交换机与核心交换机之间的三层协作。很多配置过单台交换机的人第一次接触汇聚交换机和核心交换机时通常会碰到几类问题VLAN 明明建了PC 之间却 ping 不通静态路由下一跳写错核心交换机不知道怎么回包NAT 配完后内网能访问外部但回包路径又不通。下面用一个最小可复现的 eNSP 实验把 VLAN 间互通、静态路由、NAT 地址转换和远程管理限制这条链路完整走一遍。文章会从概念讲到配置、验证、排错最后补充生产环境落地的注意事项。1. 先理清场景VLAN 划分之后为什么需要汇聚交换机和核心交换机1.1 VLAN 能隔离广播域但也切断了二层路径VLAN即虚拟局域网作用是按二层域隔离广播。一个 VLAN 是一个广播域同一个 VLAN 内的设备可以二层互通不同 VLAN 之间默认不能直接二层转发。在企业办公网中通常按部门或业务划分 VLAN比如财务 VLAN 10、办公 VLAN 20。划分后的收益很直接广播报文被限制在各自 VLAN 内故障影响范围变小网络也更清晰。但代价也随之出现不同 VLAN 的设备必须经过三层路由才能互通。这个“必须经过三层”的节点就是网关。要实现 VLAN 间互通至少要有一台设备同时满足两个条件能终结多个 VLAN 的二层报文也就是为每个 VLAN 创建 VLANIF 接口能做三层转发也就是启用路由功能。常见做法是把网关放在汇聚交换机上。核心交换机则负责汇聚交换机之间的南北向流量、跨区域路由以及边界 NAT。1.2 汇聚交换机、核心交换机各自的职责不同规模园区网的设备角色会有差异但职责基本可以按层拆开。下表是一个小型园区网的职责划分也是本文实验采用的模型。网络层次常见位置典型职责本实验承担任务接入层靠近 PC、终端划分 VLAN、接入控制、少量安全策略接入交换机 SW1、SW2把 PC 划入 VLAN 10 / VLAN 20汇聚层楼宇或区域汇聚终结 VLAN 网关、VLAN 间路由、上行冗余汇聚交换机 SW3创建 VLANIF10、VLANIF20做业务网关核心层园区核心高速转发、跨区域路由、边界 NAT、安全策略核心交换机 SW4做静态路由和 NAT边界连接外网或运营商地址转换、安全防护、路由策略核心交换机对外接口连外部路由器 R1做 NAT很多小型项目会把网关直接放在核心交换机上省去汇聚。但在中大型项目中网关放在汇聚交换机可以分散三层转发压力核心只保留高速路由和策略。本实验采用“二层接入、三层汇聚、边界核心”的模型更接近可扩展的园区网结构。1.3 本实验的组网模型二层接入、三层汇聚、边界核心接入交换机只做二层 VLAN 划分汇聚交换机作为各 VLAN 的第一跳网关负责 VLAN 间路由核心交换机与汇聚之间通过三层互联连接核心负责把访问外网的流量转到 NAT 接口并保存到内网网段的回程路由。按这个模型数据流可以拆成三段理解PC1VLAN10访问 PC2VLAN20时路径是 PC1 - SW1 - SW3由 SW3 的 VLANIF10 和 VLANIF20 完成三层转发不需要经过核心。PC1 访问外部服务器时路径是 PC1 - SW1 - SW3 - SW4核心交换机做 NAT源地址从私有地址转换为对外接口地址。外部回包时路径反过来核心必须有到内网网段的路由否则回包会被丢弃表现为“有去无回”。这个模型里VLAN 间互通、静态路由、NAT 三个主题是串在一起的一条链路。下面进入实验环境规划。2. 环境与规划eNSP 拓扑、VLAN、IP 和路由设计2.1 实验拓扑与设备选型实验使用华为 eNSP。设备选型按“能支持三层功能”为最低要求。接入交换机 SW1、SW2 可以用 S5700 一类支持 VLAN 的交换机汇聚交换机 SW3 和核心交换机 SW4 需要支持 VLANIF 和三层层路由外部路由器 R1 使用 AR2220 或类似路由器用来模拟运营商侧或公网服务器。如果 eNSP 版本和设备包不同型号名称可能不完全一致但配置逻辑相同。拓扑关系如下PC1 接 SW1 的 GigabitEthernet0/0/1。PC2 接 SW2 的 GigabitEthernet0/0/1。SW1 的 GigabitEthernet0/0/2 上行接 SW3 的 GigabitEthernet0/0/1。SW2 的 GigabitEthernet0/0/2 上行接 SW3 的 GigabitEthernet0/0/2。SW3 的 GigabitEthernet0/0/24 接 SW4 的 GigabitEthernet0/0/24。SW4 的 GigabitEthernet0/0/1 接 R1 的 GigabitEthernet0/0/0。R1 的 Loopback0 接口用公网测试地址模拟公网服务器。注意eNSP 里接口编号以实际拓扑显示为准。真实设备上汇聚与核心之间通常使用多条链路做链路聚合本实验为最小连通性只使用一条链路。2.2 地址规划表地址规划要避免和网络中已有地址段重叠。实验地址可按下面的表格规划。业务网关放在汇聚交换机 SW3核心到汇聚互联使用 10.0.1.0/30核心到外部使用 RFC 5737 文档示例地址 203.0.113.0/24。对象接口 / VLAN地址说明PC1普通网卡192.168.10.1/24网关 192.168.10.254PC2普通网卡192.168.20.1/24网关 192.168.20.254SW1下行口 Access VLAN10无 IP只做二层转发SW2下行口 Access VLAN20无 IP只做二层转发SW3VLANIF10192.168.10.254/24VLAN10 网关SW3VLANIF20192.168.20.254/24VLAN20 网关SW3VLANIF10010.0.1.1/30与核心互联SW4VLANIF10010.0.1.2/30与汇聚互联SW4GigabitEthernet0/0/1203.0.113.1/24连接外部路由器NAT 出接口R1GigabitEthernet0/0/0203.0.113.2/24与核心互联R1Loopback0203.0.113.10/32模拟公网服务器规划时要注意三件事PC 和网关必须在同一网段网关的 VLANIF 要对应 PC 所在 VLAN核心与汇聚互联的网段不能和业务网段重叠。地址重叠是排错时最难发现的问题之一。2.3 路由和 NAT 设计思路先静态后动态静态路由适合拓扑规模小、路径明确的项目。把路由动作拆开看SW3 只需要一条默认路由把非本地网段的流量交给核心即 0.0.0.0/0 下一跳 10.0.1.2。SW4 需要两条内网回程路由把 192.168.10.0/24 和 192.168.20.0/24 的流量送回 10.0.1.1。SW4 还需要一条默认路由把去往公网的流量交给 R1即 0.0.0.0/0 下一跳 203.0.113.2。R1 在实验环境只需要能回应 Loopback 地址。真实环境由运营商骨干路由处理这不是本地设备配置能控制的。NAT 部分核心交换机作为边界设备把内网私有地址转换成访问外网所用的公网地址。实验只演示最常见的源 NAT也就是出接口方向转换。访问外部服务器时源 IP 会从 192.168.10.x 或 192.168.20.x 变成 203.0.113.1。R1 看到的是一台合法公网地址发出的请求回包也能回到核心。这种方式也叫 Easy IP是单公网地址场景下最常用的 NAT 形态。3. 逐段配置从接入 VLAN 到汇聚 VLANIF3.1 接入交换机 SW1、SW2Access 接口与 VLAN接入交换机划分 VLAN 时面向 PC 的口通常配置成 Access 接口。Access 口只属于一个 VLAN发向 PC 的帧会去掉 VLAN TagPC 侧不需要理解 VLAN。SW1 创建 VLAN10SW2 创建 VLAN20。先看 SW1 的配置SW1 system-view [SW1] vlan batch 10 [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1-GigabitEthernet0/0/1] quitSW2 的配置完全一样把 VLAN 编号改成 20 即可。这里要解释一个关键点如果 PC 加入的 VLAN 和后面网关所在的 VLAN 不一致后面的 Trunk、路由配置再对也没有用。配置完可以用display vlan brief查看 VLAN 和端口归属。新手最常见的错误是忘记port default vlan 10导致 PC 留在默认 VLAN1 里永远无法通过 VLANIF10 到达网关。3.2 接入到汇聚 Trunk为什么 PVID 要和业务 VLAN 一致接入交换机上行到汇聚的链路在真实项目中往往需要承载多个 VLAN所以上行口通常配成 Trunk而不是 Access。Trunk 的作用是允许带 VLAN Tag 的帧通过。SW1 的上行口配置如下[SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type trunk [SW1-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 [SW1-GigabitEthernet0/0/2] port trunk pvid vlan 10 [SW1-GigabitEthernet0/0/2] quit对应 SW3 的 G0/0/1 也要配置成 Trunk并允许 VLAN10 通过。为什么要把 Trunk 端口的 PVID 改成 VLAN10PVID 是 Trunk 口收到“不带 VLAN Tag 的帧”时给帧打上的默认 VLAN。正常情况下Trunk 两端发送的是带 Tag 的帧PVID 对这类帧没有影响。但如果链路两端有一侧是 Access 口或某个二层管理报文没有 TagPVID 不匹配时帧就会被归到 VLAN1导致用户看似在 VLAN10 里实际网关却收不到这个 VLAN 的报文。把两端 PVID 都设成业务 VLAN可以避免这种隐性故障。要注意 PVID 和 allow-pass 是两个配置port trunk allow-pass vlan 10决定允许哪些 VLAN 经过port trunk pvid vlan 10决定无 Tag 帧默认归入哪个 VLAN。不要只配置一个就认为 Trunk 已经正确。不要在 Trunk 端口盲目放通全部 VLAN。承载的 VLAN 越少广播域越小故障定位也越简单。SW2 到 SW3 的链路同理把 VLAN 编号改成 20。3.3 汇聚交换机 SW3VLANIF 网关与默认路由汇聚交换机 SW3 是本实验的“网关担当”。它需要创建 VLAN10、VLAN20、VLAN100连接接入的两条链路配成 Trunk再给三个 VLAN 分别创建 VLANIF 地址。先创建 VLAN 和 TrunkSW3 system-view [SW3] vlan batch 10 20 100 [SW3] interface GigabitEthernet0/0/1 [SW3-GigabitEthernet0/0/1] port link-type trunk [SW3-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 [SW3-GigabitEthernet0/0/1] port trunk pvid vlan 10 [SW3-GigabitEthernet0/0/1] quit [SW3] interface GigabitEthernet0/0/2 [SW3-GigabitEthernet0/0/2] port link-type trunk [SW3-GigabitEthernet0/0/2] port trunk allow-pass vlan 20 [SW3-GigabitEthernet0/0/2] port trunk pvid vlan 20 [SW3-GigabitEthernet0/0/2] quit [SW3] interface GigabitEthernet0/0/24 [SW3-GigabitEthernet0/0/24] port link-type trunk [SW3-GigabitEthernet0/0/24] port trunk allow-pass vlan 100 [SW3-GigabitEthernet0/0/24] port trunk pvid vlan 100 [SW3-GigabitEthernet0/0/24] quit然后创建 VLANIF 接口和默认路由[SW3] interface Vlanif10 [SW3-Vlanif10] ip address 192.168.10.254 255.255.255.0 [SW3-Vlanif10] quit [SW3] interface Vlanif20 [SW3-Vlanif20] ip address 192.168.20.254 255.255.255.0 [SW3-Vlanif20] quit [SW3] interface Vlanif100 [SW3-Vlanif100] ip address 10.0.1.1 255.255.255.252 [SW3-Vlanif100] quit [SW3] ip route-static 0.0.0.0 0.0.0.0 10.0.1.2 [SW3] quit这条默认路由是关键。SW3 已经知道本地直连的 192.168.10.0/24、192.168.20.0/24 和 10.0.1.0/30其他非本地网段都要交给核心。没有这条默认路由PC 访问外网时SW3 会因为没有匹配路由而直接把包丢弃。还有一个常见问题VLANIF 接口状态必须依赖 VLAN 和端口状态。如果 VLAN 已经创建但 VLAN 下没有任何 Access 口或 Trunk 口允许该 VLAN 通过VLANIF 接口可能一直是 down。VLANIF down 时网关地址就是悬空的PC 配置再正确也无法通信。4. 核心交换机三层互联、静态路由与 NAT4.1 汇聚与核心之间的三层互联核心交换机 SW4 侧连接汇聚的 G0/0/24 配置成 Trunk允许 VLAN100 通过然后创建 VLANIF100 作为三层互联地址SW4 system-view [SW4] vlan batch 100 [SW4] interface GigabitEthernet0/0/24 [SW4-GigabitEthernet0/0/24] port link-type trunk [SW4-GigabitEthernet0/0/24] port trunk allow-pass vlan 100 [SW4-GigabitEthernet0/0/24] port trunk pvid vlan 100 [SW4-GigabitEthernet0/0/24] quit [SW4] interface Vlanif100 [SW4-Vlanif100] ip address 10.0.1.2 255.255.255.252 [SW4-Vlanif100] quit三层互联也可以不用 VLANIF直接在两台设备的物理口上用undo portswitch把接口切成三层路由口再配置 IP。两种做法各有适用场景VLANIF 适合链路承载多个 VLAN 的情况逻辑更清晰路由口简单直接适合设备之间只有一条物理链路且不需要承载业务 VLAN 的情况。本实验使用 VLANIF100可以顺便展示“二三层混合链路”下的排错点两端 Trunk 必须允许 VLAN100 通过且 PVID 一致。4.2 核心交换机的静态回程路由核心交换机默认只知道直连网段也就是 10.0.1.0/30 和 203.0.113.0/24。要访问内网的 192.168.10.0/24 和 192.168.20.0/24必须配置回程静态路由下一跳都指向汇聚交换机 SW3 的 10.0.1.1[SW4] ip route-static 192.168.10.0 255.255.255.0 10.0.1.1 [SW4] ip route-static 192.168.20.0 255.255.255.0 10.0.1.1 [SW4] ip route-static 0.0.0.0 0.0.0.0 203.0.113.2第三行默认路由把去外部网络的流量交给 R1也就是 203.0.113.2。为什么核心既要有内网回程路由又要有默认路由因为数据转发是对称的。PC1 访问外网时核心在出接口做 NAT源地址变成 203.0.113.1包从 G0/0/1 发给 R1。外网服务器回包目标地址是 203.0.113.1核心能直接收到。但收到之后核心必须查路由表决定回包交给谁。如果核心没有到 192.168.10.0/24 的明细路由回包会被默认路由重新扔向外网导致通信中断。回程路由丢失的典型现象就是内网能发出请求外部回包到核心后找不到去往 PC 的路径表现为 ping 超时。4.3 核心交换机 NATACL 匹配与出接口转换NAT 配置分两步。第一步定义需要被转换的内网网段用 ACL 匹配第二步在连接外网的接口上调用。[SW4] acl number 2000 [SW4-acl-basic-2000] rule 5 permit source 192.168.10.0 0.0.0.255 [SW4-acl-basic-2000] rule 10 permit source 192.168.20.0 0.0.0.255 [SW4-acl-basic-2000] quit [SW4] interface GigabitEthernet0/0/1 [SW4-GigabitEthernet0/0/1] undo portswitch [SW4-GigabitEthernet0/0/1] ip address 203.0.113.1 255.255.255.0 [SW4-GigabitEthernet0/0/1] nat outbound 2000 [SW4-GigabitEthernet0/0/1] quitACL2000 匹配两台 PC 所在网段。通配符 0.0.0.255 等价于只匹配前 24 位。如果有更多网段继续增加 rule 即可。nat outbound 2000表示对该接口出去的、匹配 ACL2000 的流量做源地址转换。使用 Easy IP 时转换后的源地址是接口自身地址 203.0.113.1不需要单独配置公网地址池。如果运营商分配了一段公网地址可以改用地址池[SW4] nat address-group 1 203.0.113.100 203.0.113.110 [SW4] interface GigabitEthernet0/0/1 [SW4-GigabitEthernet0/0/1] nat outbound 2000 address-group 1地址池适合有固定公网地址段的场景Easy IP 适合只有一个公网地址或动态获取地址的场景。生产环境按运营商分配结果选择。需要特别注意NAT 功能不是所有交换机型号默认都支持。园区网真实项目中边界 NAT 通常由防火墙或路由器承担核心交换机专注路由转发。做实验时如果 eNSP 里的交换机型号没有 NAT 特性边界位置可以换用支持 NAT 的 AR 路由器配置思路一致。落地到真机前先确认设备型号和软件版本是否支持 NAT 特性。4.4 外部路由器 R1用 Loopback 模拟公网服务器R1 的配置很简单R1 system-view [R1] interface GigabitEthernet0/0/0 [R1-GigabitEthernet0/0/0] ip address 203.0.113.2 255.255.255.0 [R1-GigabitEthernet0/0/0] quit [R1] interface LoopBack0 [R1-LoopBack0] ip address 203.0.113.10 255.255.255.255 [R1-LoopBack0] quit这样 R1 的 Loopback0 地址等价于一个公网服务器。PC ping 203.0.113.10 时数据包到达核心核心做 NAT 后交给 R1R1 回包目标地址是 203.0.113.1走直连网络传回核心。真实项目中运营商侧不是简单一个 Loopback而是骨干路由本地 NAT 设备的默认路由必须指向运营商分配的网关地址。5. 从接入 PC 验证VLAN 互通、外网访问与远程管理5.1 验证 VLAN 间互通所有设备启动完成后先给两台 PC 配置 IP。PC1 的 IP 是 192.168.10.1/24网关是 192.168.10.254PC2 的 IP 是 192.168.20.1/24网关是 192.168.20.254。在 PC1 上 ping PC2PC ping 192.168.20.1如果网络配置正确会收到 Reply。也可以直接在 SW3 上验证网关和三层转发SW3 ping -a 192.168.10.254 192.168.20.1这里-a指定源地址为本机 VLANIF10 地址能确认 VLANIF10 和 VLANIF20 之间的三层转发是否正常。如果 PC 之间能通但从 SW3 用 VLANIF10 的地址 ping VLAN20 的 PC 不通说明 PC 侧网关或 VLAN 配置有问题。5.2 验证跨设备静态路由跨设备路由是否正常可以在 SW4 上 ping 汇聚网段SW4 ping -a 10.0.1.2 192.168.10.254 SW4 display ip routing-table protocol static第一条验证核心能不能通过回程路由到达内网网关。第二条查看静态路由是否出现在路由表中。如果配置了静态路由但路由表里没有常见原因是下一跳不可达也就是 10.0.1.1 不可达。也可以在 SW3 上 ping 核心互联地址 10.0.1.2确认底层链路正常。5.3 验证 NAT 转换与公网访问在 PC1 上 ping R1 的 Loopback 地址PC ping 203.0.113.10能看到回包后再在 SW4 上查看 NAT 会话SW4 display nat session all输出中会看到协议、源地址、目的地址和转换后的信息。正常情况下会话里的源地址是 192.168.10.1转换后的源地址是 203.0.113.1。如果 ping 通了但没有 NAT 会话说明流量没有走核心对外接口如果 ping 不通但有会话通常是回程路由或外部设备路由有问题。5.4 验证设备远程管理为什么 PC 不能直接登录交换机实际项目中经常遇到这样一个场景从核心交换机可以通过远程管理方式访问任何一台接入交换机但从接入 PC 直接远程登录设备却失败。这不是设备坏了而是管理平面和业务平面的隔离策略在起作用。在华为交换机上VTY 用户界面可以限制允许登录的源地址范围。以 SW1 为例如果 SW1 的管理地址放在 VLAN10VTY 只允许核心管理源地址 10.0.1.2 和管理终端所在的 192.168.10.0/24 段登录配置可以这样写[SW1] acl number 2001 [SW1-acl-basic-2001] rule 5 permit source 10.0.1.2 0.0.0.0 [SW1-acl-basic-2001] rule 10 permit source 192.168.10.0 0.0.0.255 [SW1-acl-basic-2001] quit [SW1] user-interface vty 0 4 [SW1-ui-vty0-4] acl 2001 inbound [SW1-ui-vty0-4] protocol inbound ssh [SW1-ui-vty0-4] quit这样只有核心互联地址和 VLAN10 内管理终端能登录 SW1其他 VLAN 的 PC 即使三层能直达管理地址也会被 VTY ACL 拒绝。使用 SSH 时还需要配置认证用户只把协议切换成 SSH 并不够。生产环境不建议使用 telnet因为明文传输口令和配置都能被抓包看到。建议关闭 telnet统一使用 SSH并配合本地用户或 AAA 认证。隔离管理面和业务面时不是简单“禁用某个服务”就够了。路由可达性、VTY ACL、认证方式、管理 VLAN 四个条件要一起看。6. 常见问题排查从现象倒推配置6.1 VLAN 间不通先查 VLAN、Trunk、网关和 PC 配置排查有固定顺序。第一步看 PC 的四项信息IP 地址、掩码、网关、所接接口的 VLAN。第二步在 SW3 上用display vlan brief确认 VLAN10、VLAN20 存在并且端口归属正确。第三步用display interface GigabitEthernet0/0/1看接口状态和 VLAN。第四步测试 VLANIF 自身是否互通。如果 VLANIF 能通但 PC 不能通重点检查 PC 的网关是不是 VLANIF 地址。常见坑有三个只创建了 VLAN没有创建 VLANIF导致 PC 网关失效Trunk 口只写了allow-pass vlan却忘了 PVID导致无 Tag 帧落入 VLAN1两台设备之间的 Trunk 口 PVID 不一致比如 SW1 侧 PVID10SW3 侧 PVID1。推荐做法是两端 Trunk 统一 PVID并只允许需要的 VLAN 通过。6.2 跨设备静态路由不通检查路由表、下一跳和回程路由静态路由排查的核心是“有去有回”。在 SW4 上用display ip routing-table查看目标网段路由是否存在下一跳是否可达。在 SW3 上同样检查默认路由。如果 A 到 B 通B 到 A 不通优先查回程路由。比如 PC 能 ping 通 203.0.113.10但外部无法访问内部业务要检查内部服务器是否有到 NAT 设备的默认路由以及核心是否有到服务器网段的回程路由。常见坑包括静态路由下一跳写成了对端设备的 Loopback 地址而该地址不是直连可达汇聚交换机只配了去往核心的默认路由没配去往外部的默认路由核心交换机没有配到内网业务网段的回程路由导致外部回包到达核心后又被默认路由重新扔向外网。6.3 NAT 不生效检查 ACL、接口调用和会话表NAT 不生效首先看流量有没有经过 NAT 接口。在 SW4 上执行display nat session all如果完全没有会话基本可以判断流量没有走到调用 NAT 的外接口或者 ACL 没有匹配到源地址。检查 ACL 规则里的通配符192.168.10.0 0.0.0.255只匹配 192.168.10.0/24如果要匹配整个 192.168.0.0/16应该写成192.168.0.0 0.0.255.255。还要看 ACL 是否被接口的nat outbound语句引用。如果接口上引用了 ACL但 ACL 里没有任何 rule所有流量都不会被转换。还有一种现象是 NAT 有会话但 PC ping 外网超时。这时要检查回程路由和外部设备的路由。回包目标地址是 203.0.113.1外部设备必须有一条到达该地址的路径。实验环境里 R1 与核心直接互联回包可达真实环境靠运营商路由保证。6.4 远程管理失败管理通道与业务通道要分开看远程管理失败可以分为几类现象能 ping 通管理地址但 SSH 连接被拒绝VTY 下没有启用 SSH 协议或 ACL 过滤了源地址。从核心能登录从普通 PC 不能登录VTY 配置了 ACL只放行了管理网段。这是策略不是故障。从业务 VLAN ping 不通管理地址业务 VLAN 到管理 VLAN 之间没有三层路由或设备管理地址本身没有配置。SSH 能连但提示认证失败没有配置本地用户或者用户名密码错误这与网络无关。排查时先做最小验证。从被允许的管理网段 PC 或核心设备用 SSH 登录一台接入交换机。如果能登录说明设备服务正常问题在访问控制或路由如果也不能登录再检查 VTY、ACL、认证方式和本地用户。6.5 排错小结问题现象优先检查可能原因处理建议VLAN 间不通display vlan brief、display interface、PC 网关VLAN 未创建、接口 VLAN 错、网关地址错按 PC-接入-汇聚-网关顺序逐层 ping跨设备不通display ip routing-table、ping -a下一跳不可达、回程路由缺失分别从两端用源地址 ping 定位断点NAT 无会话display nat session all、display acl流量未走 NAT 接口、ACL 未匹配检查 NAT 接口和 ACL 通配符外网通但回包超时display ip routing-table protocol static回程路由缺失添加内网回程静态路由远程登录被拒display current-configuration user-interface vtyVTY ACL 限制、未启用 SSH调整管理 ACL或从允许网段登录7. 最佳实践从实验到真实园区网7.1 学习环境与生产环境的差异eNSP 实验能帮助理解链路但真实设备有额外约束。实验里接口 up 后就能通生产环境还要考虑光纤衰减、端口协商、生成树、链路聚合和硬件转发。实验使用静态路由小规模项目可以接受中大型园区建议使用 OSPF避免路径多后维护工作量失控。实验里的 NAT 在核心交换机上做生产环境如果边界有防火墙通常建议把 NAT 和安全策略放在防火墙上核心交换机只负责路由转发。真实设备配置前要先确认型号和版本是否支持目标特性。某些接入交换机只有二层功能不支持 VLANIF网关必须放在上联汇聚或核心设备。不要假设所有华为交换机都支持相同特性。NAT 特性更是如此需要在设备规格表或模拟器设备包中确认。7.2 静态路由和 NAT 生产落地注意点静态路由在生产中最大的问题是可维护性。建议为每条静态路由写描述例如ip route-static 192.168.10.0 255.255.255.0 10.0.1.1 description To-AGGR-SW3-VLAN10没有描述的路由多了以后运维根本不知道哪条路由属于哪条业务。NAT 落地要注意地址规划和会话容量。公网地址少、并发高时要关注 NAT 会话表容量必要时拆分多个地址或引入负载均衡。不要把办公、服务器、管理三个区域的地址混在一个 ACL 里不加规划。建议至少按区域拆分使用不同的 ACL 或地址池方便后续做访问控制和故障分析。7.3 上线前检查清单无论实验还是生产配置完成后都建议按以下清单检查VLAN 规划各 VLAN 编号、网关地址、互联地址不重叠。接入链路Access 口 VLAN 正确Trunk 口允许 VLAN 和 PVID 两端一致。VLANIF每个业务 VLAN 都有网关VLANIF 状态为 up。路由各层设备有默认路由或明细路由回程路由完整。NATACL 匹配范围正确已在正确接口调用有测试地址可验证。远程管理管理 VLAN 独立VTY 启用 SSH 并限制源地址禁用明文 telnet。可运维性设备名、接口描述、路由描述、NTP、日志、备份、监控配置完成。7.4 后续扩展方向OSPF、VRRP、防火墙、IPSG如果要继续深入可以从三个方向扩展。第一是动态路由。用 OSPF 替换静态路由解决核心和汇聚之间多条路径的自动收敛问题也避免静态路由逐条手工维护。第二是网关冗余。用 VRRP 为 VLANIF 网关做主备解决汇聚交换机单点故障。网关本身不再是单设备地址而是一个虚拟 IP。第三是边界安全。把 NAT 和访问控制从核心交换机迁移到防火墙核心只负责转发。如果接入层有终端私接或伪造地址的问题可以启用 DHCP Snooping 和 IP Source Guard。这些方向都可以在 eNSP 里继续实验而且和本文的 VLAN、三层路由、NAT 基础是连贯的。最后回到实践建议无论实验还是生产先让一条最小链路通起来再逐步加 VLAN、加路由、加 NAT最后再收紧管理面访问。每加一层配置都回到 PC 上做一次连通性验证。这样故障范围不会扩大网络架构也会更清晰。
