1. 企业级网络搭建实战从零开始规划拓扑第一次用Cisco Packet Tracer搭建企业网络时我对着空白画布发呆了半小时——该用哪些设备怎么连线后来踩过几次坑才发现拓扑规划就像盖房子的地基前期规划越细致后期配置越轻松。1.1 设备选型与物理连接企业网络通常需要这些核心设备核心交换机建议用3560三层交换机支持VLAN间路由接入层交换机2960二层交换机就够用路由器1841型号性价比高支持NAT和动态路由服务器别忘了添加DHCP和DNS服务器连线时有个容易踩的坑路由器与交换机之间要用交叉线图中红色虚线而交换机和PC之间用直通线图中实线。我在早期实验中总用错线类型导致端口指示灯不亮。1.2 IP地址规划的艺术根据场景需求我们需要划分这些网段服务器区10.10.10.0/29可用IP10.10.10.1-10.10.10.6内网VLANVLAN10192.168.31.0/26主机需求50台VLAN20192.168.31.64/27主机需求25台Net1192.168.31.96/26主机需求60台这里有个实用技巧用IP计算器工具比如SolarWinds的子网计算器快速验证子网容量。曾经我手动计算时漏算网关地址导致最后少一个可用IP。2. 基础配置让设备开口说话2.1 交换机的VLAN魔法配置VLAN是隔离广播域的关键。以S1交换机为例Switch enable Switch# configure terminal Switch(config)# hostname S1 // 修改设备名 S1(config)# vlan 10 S1(config-vlan)# name Sales S1(config-vlan)# exit S1(config)# interface range f0/2-11 S1(config-if-range)# switchport mode access S1(config-if-range)# switchport access vlan 10 S1(config-if-range)# exit S1(config)# interface g0/1 S1(config-if)# switchport mode trunk // 配置中继端口常见坑点忘记配置trunk端口会导致VLAN跨交换机不通。有次排查两小时最后发现是这里漏配了。2.2 路由器的接口配置路由器是不同网络间的翻译官配置时要特别注意子网掩码Router enable Router# configure terminal Router(config)# hostname R1-zhangsan // 按要求命名 R1(config)# interface f0/0 R1(config-if)# ip address 192.168.31.1 255.255.255.192 // VLAN10网关 R1(config-if)# no shutdown R1(config-if)# interface f0/1 R1(config-if)# ip address 192.168.31.65 255.255.255.224 // VLAN20网关3. 高级服务配置让网络活起来3.1 DHCP服务自动化分配配置DHCP时最容易出错的是地址池范围。根据题目要求Net1需要60个地址R1(config)# ip dhcp pool Net1_Pool R1(dhcp-config)# network 192.168.31.96 255.255.255.192 R1(dhcp-config)# default-router 192.168.31.97 // 网关地址 R1(dhcp-config)# dns-server 10.10.10.1 R1(dhcp-config)# lease 7 // 租约7天避坑指南地址池要排除已静态分配的IP。有次测试时发现IP冲突就是因为没加这条R1(config)# ip dhcp excluded-address 192.168.31.97 // 排除网关地址3.2 RIP动态路由配置配置RIP时被动接口是关键否则会发送不必要的广播R1(config)# router rip R1(config-router)# version 2 // 一定要用版本2 R1(config-router)# network 192.168.31.0 R1(config-router)# passive-interface f0/0 // 禁止从VLAN接口发RIP R1(config-router)# default-information originate // 分发默认路由实测中发现如果漏配passive-interfaceWireshark会抓到大量无用RIP广播包。4. 安全与排错守护网络边界4.1 NAT配置让内网访问互联网NAPT配置需要ACL和NAT语句配合R2(config)# access-list 1 permit 192.168.31.0 0.0.0.255 // 定义内网网段 R2(config)# ip nat inside source list 1 interface f0/1 overload R2(config)# interface f0/0 R2(config-if)# ip nat inside // 指定内网接口 R2(config-if)# interface f0/1 R2(config-if)# ip nat outside // 指定外网接口排错技巧用show ip nat translations查看转换表有次发现NAT失效原来是ACL写错了网段。4.2 防火墙策略配置题目要求禁止外网访问内网这需要配置ACLR2(config)# access-list 100 deny ip any 192.168.31.0 0.0.0.255 R2(config)# access-list 100 permit ip any any R2(config)# interface f0/1 R2(config-if)# ip access-group 100 in // 应用在外网接口入方向最后测试时建议从内网PC执行四项关键测试ping同VLAN其他主机ping不同VLAN主机ping服务器区Web服务器浏览器访问www.sina.com.cn记得用copy running-config startup-config保存配置我有次做完实验忘保存重启模拟器后全没了。