1. 网络拓扑设计与基础环境搭建
这个实验网络拓扑采用了典型的企业级三层架构设计，包含核心层、汇聚层和接入层。核心路由器R1和R2之间通过OSPF协议实现动态路由，下联多台二层交换机提供终端接入服务。整个网络划分为多个VLAN实现逻辑隔离，并通过DHCP服务为不同网段自动分配IP地址。
拓扑图中可以看到，R1作为主路由器承担了DHCP Server、NAT转换、ACL控制等多重角色。R3作为辅助路由器专门负责特定VLAN的DHCP服务。两台交换机W1和W2通过Trunk链路与路由器互联，为不同VLAN提供接入服务。ISP模拟了外网环境，用于测试NAT转换和互联网访问功能。
在实际企业网络中，这种分层设计能够有效隔离广播域，提高网络稳定性和可管理性。建议在物理部署时，核心设备尽量采用双电源、双引擎等冗余配置。
2. DHCP服务配置详解
2.1 R1的DHCP配置解析
R1上配置了两个DHCP地址池，分别服务于VLAN 100和VLAN 200的客户端：
code复制ip dhcp pool VLAN100
network 192.168.100.0 255.255.255.0
default-router 192.168.100.1
dns-server 8.8.8.8
lease 7
ip dhcp pool VLAN200
network 192.168.200.0 255.255.255.0
default-router 192.168.200.1
dns-server 8.8.8.8
lease 7
关键配置说明：
- 地址池范围与对应VLAN的子网匹配
- 默认网关设置为对应VLAN的SVI接口地址
- 使用Google公共DNS服务器(8.8.8.8)
- 租期设置为7天，适合大多数办公场景
2.2 R3的DHCP特殊配置
R3专门为VLAN 300提供DHCP服务：
code复制ip dhcp pool VLAN300
network 192.168.300.0 255.255.255.0
default-router 192.168.300.1
dns-server 8.8.4.4
lease 3
与R1配置的主要区别：
- 使用备用的Google DNS(8.8.4.4)
- 租期缩短为3天，适合临时访客网络
- 需要确保与R1的DHCP服务范围不重叠
DHCP配置常见问题排查：
- 客户端获取不到IP：检查物理连接、VLAN配置、DHCP服务是否启用
- 获取到错误网段IP：确认DHCP中继配置正确
- 地址池耗尽：调整租期或扩大地址范围
3. 交换机配置最佳实践
3.1 W1交换机配置要点
W1作为核心接入交换机，主要配置包括：
- VLAN创建与端口分配：
code复制vlan 100
name HR
vlan 200
name Finance
- Trunk端口配置：
code复制interface GigabitEthernet0/1
switchport mode trunk
switchport trunk allowed vlan 100,200
- 接入端口配置示例：
code复制interface GigabitEthernet0/2
switchport mode access
switchport access vlan 100
spanning-tree portfast
3.2 W2交换机的特殊配置
W2除了基本VLAN配置外，还包含以下关键配置：
- VLAN 300专用配置：
code复制vlan 300
name Guest
- 端口安全策略：
code复制interface GigabitEthernet0/5
switchport port-security maximum 2
switchport port-security violation restrict
- STP优化配置：
code复制spanning-tree mode rapid-pvst
spanning-tree vlan 1-300 priority 4096
交换机配置经验分享：
- 生产环境中建议启用port-security防止MAC泛洪攻击
- 接入端口务必启用portfast避免STP收敛延迟
- 不同业务VLAN建议采用不同的STP实例实现负载均衡
4. OSPF路由协议配置
R1和R2之间采用OSPF协议实现动态路由，关键配置如下：
R1配置：
code复制router ospf 1
router-id 1.1.1.1
network 192.168.12.0 0.0.0.3 area 0
network 192.168.100.0 0.0.0.255 area 0
network 192.168.200.0 0.0.0.255 area 0
R2配置：
code复制router ospf 1
router-id 2.2.2.2
network 192.168.12.0 0.0.0.3 area 0
passive-interface default
no passive-interface GigabitEthernet0/0
配置要点解析：
- 使用/30子网作为路由器间互联链路
- 所有内网路由都宣告到骨干区域(area 0)
- 在R2上启用passive-interface default提高安全性
- 手动指定router-id确保稳定性
5. NAT与互联网访问配置
5.1 NAT基础配置
实现内网访问互联网的NAT配置：
code复制ip access-list standard NAT_ACL
permit 192.168.100.0 0.0.0.255
permit 192.168.200.0 0.0.0.255
permit 192.168.300.0 0.0.0.255
ip nat inside source list NAT_ACL interface GigabitEthernet0/1 overload
interface GigabitEthernet0/0
ip nat inside
interface GigabitEthernet0/1
ip nat outside
5.2 路由配置确保可达性
- 默认路由指向ISP：
code复制ip route 0.0.0.0 0.0.0.0 100.100.100.2
- 静态路由保证回包：
code复制ip route 192.168.100.0 255.255.255.0 192.168.12.1
ip route 192.168.200.0 255.255.255.0 192.168.12.1
ip route 192.168.300.0 255.255.255.0 192.168.23.3
NAT配置常见问题：
- 内网能ping通外网但无法上网：检查DNS配置和ACL规则
- 部分VLAN无法NAT：确认ACL包含所有需要转换的网段
- NAT会话数不足：考虑调整NAT超时时间或使用PAT优化
6. 访问控制与安全策略
6.1 ACL实现VLAN间隔离
限制VLAN 100访问PC1(假设PC1 IP为192.168.200.100)：
code复制ip access-list extended VLAN100_ACL
deny ip 192.168.100.0 0.0.0.255 host 192.168.200.100
permit ip any any
interface Vlan100
ip access-group VLAN100_ACL in
6.2 安全增强建议
- 控制平面保护：
code复制control-plane
service-policy input COPP-POLICY
- 禁用不必要服务：
code复制no ip http server
no cdp run
- 登录安全加固：
code复制line vty 0 4
transport input ssh
access-class MGMT_ACL in
7. 测试验证与排错指南
7.1 基础连通性测试
- VLAN内通信测试：
code复制PC2> ping 192.168.100.1
PC3> ping 192.168.200.1
- 跨VLAN通信测试：
code复制PC2> ping 192.168.200.100
- 互联网访问测试：
code复制PC2> ping 8.8.8.8
PC2> telnet google.com 80
7.2 高级验证方法
- 查看DHCP绑定信息：
code复制R1# show ip dhcp binding
- 检查NAT转换表：
code复制R1# show ip nat translations
- 验证OSPF邻居状态：
code复制R1# show ip ospf neighbor
- ACL命中统计：
code复制R1# show access-list VLAN100_ACL
排错经验分享：
- 采用分层排查法：物理层→数据链路层→网络层→上层协议
- 善用debug命令但需谨慎，建议在维护窗口期使用
- 复杂问题可考虑流量捕获分析
- 文档记录每次变更和排错过程
8. 配置备份与维护建议
- 定期配置备份：
code复制R1# copy running-config tftp://192.168.1.100/R1-config.cfg
- 配置版本管理：
code复制R1# configure terminal
R1(config)# archive
R1(config-archive)# path flash:/configs/$h-$t
R1(config-archive)# maximum 14
R1(config-archive)# write-memory
- 日志集中管理：
code复制logging host 192.168.1.200
logging trap debugging
- 性能监控基线：
code复制snmp-server community NetworkMonitor RO
snmp-server enable traps
在实际网络运维中，我发现配置文档的完整性和变更管理至关重要。建议为每个设备建立配置档案，记录每次变更的原因、时间和影响范围。对于关键业务网络，可以考虑部署配置管理工具实现自动化备份和合规性检查。