简介这份资源面向正在学习企业网络设计与仿真的网络专业学生及运维初学者聚焦接入层交换机的完整配置流程帮助读者理解从设备命名、安全加固到VLAN划分与端口绑定的实现思路。压缩包内共1个docx文档约1.43MB以图文结合的方式记录拓扑配置细节便于对照实验环境逐步复现。目前已有2503人学习下载具备一定的参考基础。文档围绕技术部接入交换机Jishubu-Switch展开涵盖hostname命名、enable secret与VTY登录口令、终端超时及关闭DNS解析等安全设置并讲解VTP客户端模式、管理VLAN地址分配、access与trunk端口配置、native VLAN设定以及通过MAC端口绑定防范ARP欺骗的具体命令。读者可据此掌握接入层交换机的配置逻辑与排错要点为课程实验、毕业设计或企业网络仿真提供可直接借鉴的配置范本。1. 从一份“能跑起来”的拓扑配置说起做企业网络仿真这类课设或毕设最尴尬的场面不是不会配而是设备全绿、ping 却不通翻遍笔记也说不清是哪一层断了。这份配套网络拓扑配置文件解决的正是这个痛点它把接入层、核心层、服务器群、边界路由到外网的一整套配置按设备逐条落下来读者拿到手就能对照拓扑复现。适合两类人——正在交网络设计课设、需要一份结构完整可参考配置的学生以及要出一版中小企业内网仿真交付方案的从业者。关键词“网络拓扑”在这里不是画一张图而是图、VLAN 规划、地址段、路由与 NAT 策略能互相对上号。2. 需求与总体设计双核心、三层结构、七个 VLAN 怎么落企业内网仿真最容易翻车的地方是拓扑画得漂亮但地址规划自相矛盾。这套方案先把需求钉死技术部、市场部、财务部、人事部四个业务部门加服务器群和网管区要求部门间二层隔离、跨部门三层互通、全员能自动拿地址、内网能访问外网且外网只能看到转换后的地址。围绕这些需求结构定为接入层—核心层—服务器群—边界—外网五段核心层放两台交换机做冗余这是整套配置的骨架。2.1 三层结构与设备角色划分接入层每部门一台交换机负责终端接入和端口安全核心层两台 Core-Switch 承担 VLAN 间路由、DHCP 中继和默认路由出口服务器群网段 192.168.0.0/24 集中放 DHCP、DNS、Web、FTP、Email边界路由器 Border-R 做 NAT 与内外网分界ISP 路由器模拟运营商。这个划分的好处是职责单一接入层只管“谁能进来”核心层只管“怎么转发”边界只管“怎么出去”。排障时按段定位不用一上来就怀疑全网。2.2 VLAN 与地址规划表VLAN 规划是整套配置的地基先定表再敲命令能省掉后面大量返工。下表按项目正文的 VLAN 编号与命名整理地址段按各部门独立子网、网管区单独成段的思路补全VLAN名称用途地址段网关位置2servers服务器群192.168.0.0/24核心层3shichang市场部192.168.1.0/24核心层 SVI4caiwu财务部192.168.2.0/24核心层 SVI5renshi人事部192.168.3.0/24核心层 SVI6jishu技术部192.168.8.0/24核心层 SVI7manager网管区192.168.5.0/24核心层 SVI网管主机固定 192.168.5.1 与 192.168.5.2接入交换机管理地址落在 192.168.5.0/24 段内如技术部接入交换机为 192.168.5.4这样远程登录和带外管理走同一网段维护路径清晰。地址表一旦定下来后面所有 DHCP 地址池、NAT 地址池、ACL 通配符都从这张表推导不再临时拍脑袋。2.3 冗余与转发路径设计核心层双机是这套方案的可靠性来源。两台 Core-Switch 之间用 G0/1、G0/2 做端口汇聚形成 Port-Channel 1 并配成 Trunk既提升带宽又避免单链路故障。接入交换机 f0/1 与 f0/4 分别上联两台核心两条 Trunk 同时存在native VLAN 统一设为 7。核心层开启ip routing各业务 VLAN 的 SVI 作为网关默认路由指向边界路由器 192.168.4.1边界路由器回程路由指向核心层 192.168.4.2。整条路径是“终端 → 接入 access 口 → Trunk → 核心 SVI → 默认路由 → 边界 → NAT → ISP”每一跳都有明确下一跳不存在悬空路由。提示双核心场景下两台核心的 VLAN 数据库、SVI 地址、路由配置必须保持一致否则终端漫游到另一台核心上联时会拿到错误网关。3. 接入层与核心层配置从命名到端口安全的逐条落地配置这件事顺序比命令本身更重要。我一般按“命名与安全 → VLAN 与 VTP → 端口角色 → 三层与中继 → 路由”推进每完成一段就write一次避免配到一半断电全丢。下面按这个顺序把接入层和核心层的关键配置拆开讲命令来自项目正文参数含义和改动点逐条说明。3.1 接入交换机基础安全配置先给设备起名维护人员登录第一眼就知道这是哪个部门的设备。技术部接入交换机命名为 Jishubu-Switch其余部门同理替换前缀即可Switchen Switch#config t Switch(config)#hostname Jishubu-Switch Jishubu-Switch(config)#enable secret cisco Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#password cisco Jishubu-Switch(config-line)#login Jishubu-Switch(config-line)#exec-timeout 5 0 Jishubu-Switch(config)#no ip domain-lookupenable secret是加密的特权口令优先级高于enable password实际交付时把 cisco 换成强口令line vty 0 4覆盖 5 个远程登录会话exec-timeout 5 0表示 5 分 0 秒无操作自动断开防止会话被占用no ip domain-lookup关掉拼错命令时的 DNS 解析等待敲错命令不再卡十几秒这是血泪经验里最不起眼但最省时间的一条。3.2 VTP 客户端与管理地址接入层不本地维护 VLAN 表而是作为 VTP client 从核心层学习减少手工同步出错Jishubu-Switch#vlan database Jishubu-Switch(vlan)#vtp mode client Jishubu-Switch(config)#int vlan 7 Jishubu-Switch(config-if)#ip add 192.168.5.4 255.255.255.0 Jishubu-Switch(config-if)#no shutVTP 模式必须在vlan database模式下设置client 模式只学习不修改域名要与核心层的gongsi一致否则学不到任何 VLAN。管理地址放在 VLAN 7 的 SVI 上no shut不能漏SVI 默认是 shutdown 状态漏了这条远程登录必然失败。3.3 访问端口与 Trunk 端口端口角色决定流量走向。终端接入口配成 access 并划入对应 VLAN上联口配成 trunk 承载多 VLANJishubu-Switch(config)#int range f0/2-3 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 6 Jishubu-Switch(config)#int range f0/23-24 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 7 Jishubu-Switch(config)#int f0/1 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7 Jishubu-Switch(config)#int f0/4 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7f0/2-3 划入 VLAN 6 接技术部终端f0/23-24 划入 VLAN 7 接网管设备f0/1 和 f0/4 分别上联两台核心native VLAN 统一为 7两端必须一致不一致时 Trunk 会报 native VLAN mismatch 并可能引发 VLAN 泄漏。这里有个容易忽略的点native VLAN 上的帧不打标签所以它天然是一个“无标签通道”把它单独划给管理流量比留给默认 VLAN 1 更安全。3.4 MAC 端口绑定防 ARP 欺骗重要终端做端口安全把 MAC 与端口锁死ARP 欺骗类攻击就难以从该口注入伪造应答Jishubu-Switch(config)#int f0/23 Jishubu-Switch(config-if)#switchport port-security Jishubu-Switch(config-if)#switchport port-security mac-address 0002.1628.24B9先开port-security再绑 MAC顺序反了会报错默认违规动作是 shutdown端口被攻击触发后会进入 err-disabled恢复需要shutdown再no shutdown。实际部署时建议同时配switchport port-security maximum 1把“一个口只允许一台设备”写死比只绑 MAC 更彻底。3.5 核心层 VLAN、VTP 与端口汇聚核心层是 VLAN 信息的源头先建 VLAN 再起 VTP server顺序不能反Core-Switch1(config)#vlan 2 Core-Switch1(config-vlan)#name servers Core-Switch1(config)#vlan 3 Core-Switch1(config-vlan)#name shichang Core-Switch1(config)#vlan 6 Core-Switch1(config-vlan)#name jishu Core-Switch1(config)#vlan 7 Core-Switch1(config-vlan)#name manager Core-Switch1#vlan database Core-Switch1(vlan)#vtp domain gongsi Core-Switch1(vlan)#vtp serverVLAN 命名用拼音缩写维护时一眼对应部门比纯数字友好得多。VTP 域名gongsi是全网点任何一台交换机域名不一致都会导致 VLAN 学习失败这是排查“核心有 VLAN、接入没有”时的第一检查项。端口汇聚把两条物理链路合成一条逻辑链路Core-Switch1(config)#int range G0/1-2 Core-Switch1(config-if-range)#channel-group 1 mode on Core-Switch1(config)#int port-channel 1 Core-Switch1(config-if)#switchport mode trunk Core-Switch1(config-if)#switchport trunk encapsulation dot1qmode on表示强制汇聚、不协商两端必须都配 on一端 on 一端 active 会起不来encapsulation dot1q要在配 trunk 模式之前或同时确认部分平台顺序错了会拒绝命令。汇聚口起来后带宽翻倍且单纤故障不断网这是双核心冗余真正生效的前提。3.6 DHCP 中继与三层路由终端跨网段拿地址靠的是核心层 SVI 上的 DHCP 中继把广播请求转成单播送给服务器 192.168.0.2Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 4 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#ip routing每个业务 VLAN 的 SVI 都要配 helper-address漏一个部门就整段拿不到地址ip routing是核心层能转发跨 VLAN 流量的开关不开的话 SVI 再多也只是摆设。Core-Switch2 按同样逻辑配置保证任一核心故障时业务不中断。4. 服务器群、边界 NAT 与全网路由内外网怎么打通内网通了只是半成品能不能按设计访问外网、外网能不能正确回包才是验收的分水岭。这一段把服务器群、边界 NAT 和静态路由串起来重点讲清楚“为什么这么配”而不是“照着敲”。4.1 服务器群的角色分工服务器群集中在 192.168.0.0/24DHCP 服务器地址 192.168.0.2负责给四个业务 VLAN 下发地址DNS 服务器维护内网域名到 IP 的映射Web 服务器承载公司站点与部门站点FTP 服务器按用户和权限区分员工区与技术部专区Email 服务器建用户邮箱。每台服务器先配静态 IP、掩码、网关网关指向核心层对应 SVI这一步错了后面全白搭。DHCP 地址池要与 2.2 的地址表严格对应池名、网段、网关、DNS 四项缺一不可。4.2 边界路由器的 NAT 三种玩法边界路由器 Border-R 的 f0/0 接内网 192.168.4.1/24s0/0/0 接 ISP 221.1.1.1/24。NAT 按需求分三类落地对外发布服务器用静态转换部门上网用动态地址池加端口复用Border-R(config)#ip nat inside source static 192.168.0.4 221.1.1.3 Border-R(config)#ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 Border-R(config)#access-list 1 permit 192.168.8.0 0.0.7.255 Border-R(config)#ip nat inside source list 1 pool shichang overload Border-R(config)#int s0/0/0 Border-R(config-if)#ip nat outside Border-R(config)#int f0/0 Border-R(config-if)#ip nat inside静态转换把内网 Web 服务器 192.168.0.4 固定映射到 221.1.1.3外网访问这个地址就等于访问内网站点动态池给市场部一段公网地址overload表示端口复用多个内网地址共用一个公网地址的不同端口节省地址ACL 1 的通配符0.0.7.255覆盖 192.168.8.0/21 范围写 ACL 时通配符算错是 NAT 不生效的头号原因。最后ip nat inside与ip nat outside必须分别落在内外接口上漏配任何一侧NAT 表都不会建立。4.3 全网静态路由收口路由收口的原则是“核心默认往外指边界明细往回指”Core-Switch1(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.1 Core-Switch1(config)#ip routing Border-R(config)#ip route 192.168.0.0 255.255.0.0 192.168.4.2 Border-R(config)#ip route 223.1.0.0 255.255.0.0 221.1.1.2核心层一条默认路由把未知流量全部交给边界边界用一条汇总路由 192.168.0.0/16 指回核心覆盖全部内网网段再加一条去往外网服务器段 223.1.0.0/16 的路由指向 ISP。三条路由构成闭环任何一条缺失都会表现为“单向通”能出去回不来或者能回来出不去。Core-Switch2 同样配默认路由保证冗余路径上的转发一致。5. 避坑与排查五类最容易翻车的配置问题仿真环境里设备状态全绿但业务不通八成栽在下面几类问题上。每条按“现象 → 原因 → 解决”给照着查比盲目重配快得多。5.1 Trunk 两端 native VLAN 不一致现象是部分 VLAN 通、部分不通日志里反复出现 native VLAN mismatch 告警。原因是接入层上联口 native VLAN 设为 7而核心层对应口仍是默认 VLAN 1无标签帧被归到不同 VLAN。解决办法是两端统一switchport trunk native vlan 7改完shutdown再no shutdown让端口重新协商。5.2 VTP 域名或模式配错导致 VLAN 学不到现象是核心层show vlan有全部 VLAN接入层只有默认 VLAN 1。原因通常是接入层 VTP 域名与核心层gongsi不一致或者误配成 transparent 模式。解决是先show vtp status核对域名与模式client 端域名改一致后等待通告同步必要时在核心层触发一次 VLAN 变更促使通告发出。5.3 DHCP 中继漏配或地址池网段错位现象是某部门终端拿不到地址显示 169.254 开头的自动私有地址。原因要么是该 VLAN 的 SVI 漏了ip helper-address要么 DHCP 地址池的网段、网关与 SVI 对不上。解决是逐 VLAN 核对 helper-address再在 DHCP 服务器上show ip dhcp binding看是否有该网段的租约记录两边对不上就改池。5.4 NAT 内外接口标反或 ACL 通配符算错现象是内网能 ping 通边界内口、ping 不通外网地址或者外网访问映射地址无响应。原因是ip nat inside与ip nat outside标在了错误接口或者 ACL 通配符范围没覆盖实际网段。解决是用show ip nat translations看有没有转换表项没有就查接口标记有表项但地址不对就重算通配符记住通配符是掩码取反不是掩码本身。5.5 端口安全触发 err-disabled 后不会恢复现象是某接入口突然不通show interfaces显示 err-disabled。原因是该口绑定了 MAC接入了一台非授权设备触发违规动作 shutdown。解决是先拔掉非授权设备再对该口执行shutdown和no shutdown恢复如果确实要换设备先no switchport port-security mac-address清掉旧绑定再重新绑。注意每次改完配置先write再测试仿真器崩溃或超时退出时未保存的配置会全部丢失这是最冤的一种返工。6. 验收与答辩用一张测试表把方案讲圆验收不是把设备点亮就完事而是拿证据证明“设计目标逐条达成”。我一般会做一张测试表按连通性、冗余、安全、外网访问四类各挑代表性用例逐条记录预期与实际。答辩时这张表就是你的讲解主线比从头念配置有说服力得多。测试项方法预期结果部门内互通同 VLAN 两台 PC 互 ping通延迟稳定跨部门互通技术部 ping 财务部通经核心层转发地址自动获取终端设为 DHCP 后ipconfig拿到对应网段地址与网关冗余切换断开一条上联 Trunk 后重测业务不中断端口安全非授权设备接入绑定口端口 err-disabled外网访问内网 PC 访问映射地址页面正常打开外网回程外网 PC 访问 221.1.1.3命中静态映射答辩时按“需求 → 设计 → 配置 → 测试”四段讲每段控制在两三分钟先讲为什么这么划分 VLAN 和双核心再挑接入层和 NAT 两处配置讲关键参数最后把测试表投出来逐行过。评委最爱问的两个问题是“为什么用 VTP 而不是手工建 VLAN”和“NAT 三种方式分别用在哪”提前把答案压在 2.3 和 4.2 的逻辑里答起来就顺。被问到没做的部分坦白说这是仿真范围的取舍比硬编强。有个习惯我后来一直保留每次交付前把整份配置从空设备重新敲一遍不看原稿敲到哪卡住就说明那里理解不牢。第一次这么干的时候我在 VTP 域名上卡了半小时才发现自己一直以为配对了。从那以后我每次做网络方案都强制走一遍“空机复现 测试表逐项打勾”的流程配置能跑只是及格能讲清楚每一跳为什么这么走才算交付。希望这套结构和配置能帮到你拿去改改部门名和地址段就是一份能交的完整方案。本文还有配套的精品资源点击获取