这类网络部署实战最核心的不是背命令而是理解每个配置动作到底解决了什么具体问题。很多人学完理论真到机房面对一堆交换机和服务器时还是不知道从哪根网线开始。这篇文章就围绕一个典型的“服务器上线”场景把 VLAN 划分、ACL 安全、静态路由、DNS 配置这几个关键环节串起来让你能按顺序、有重点地完成部署。整个过程的核心是先隔离、再控制、后连通、最后解析照着这个思路90分钟完成基础部署是可行的。适合谁看如果你是刚接触实际网络部署的运维、开发或初级网工或者需要自己搭建测试、演示环境这篇文章能帮你建立清晰的实操流程。最关键的价值在于我会把每个配置背后的“为什么”讲清楚比如为什么先划 VLAN 而不是先配路由ACL 的 inbound 和 outbound 在接口上怎么选这样你以后遇到变种需求也能自己调整。下面我们就从零开始假设要为一个新业务部署几台 Web 服务器、数据库服务器和一个管理终端手把手走一遍。1. 规划先行搞清楚你要部署什么再决定怎么划 VLAN动手敲命令之前必须先把网络拓扑和 IP 规划画在纸上或工具里。盲目配置是后期排错噩梦的根源。1.1 业务需求与 VLAN 规划假设我们有一个简单的业务系统Web 服务器对外提供 HTTP/HTTPS 服务需要能被外部访问。数据库服务器仅允许 Web 服务器访问绝对禁止外部直接连接。管理终端运维人员电脑需要能管理所有服务器。基于安全最小化原则我们至少需要三个 VLANVLAN 10 - 服务器接入层放置 Web 服务器和数据库服务器。它们之间通信频繁放在同一 VLAN 可以减少三层设备压力。但为了安全我们会用 ACL 在二层内部做限制。VLAN 20 - 管理网络放置运维管理终端。所有对服务器的管理流量SSH、RDP都从这个网络发起。VLAN 99 - 原生 VLAN (Native VLAN)或VLAN 1用于交换机之间的互联链路Trunk。强烈建议不要使用默认的 VLAN 1 作为业务 VLAN将其保留给管理或 Trunk 专用或创建一个如 VLAN 99 作为 Native VLAN。为什么这么划核心是广播域隔离和安全管理。把 Web 和 DB 放在一起它们的 ARP 广播互不影响管理网络。而管理网络独立出来可以严格控制访问源为后续配置 ACL 打下基础。1.2 IP 地址规划规划 IP 地址段时要预留增长空间。这里使用私网地址示例VLAN 编号VLAN 名称网段网关地址用途10Server192.168.10.0/24192.168.10.1/24Web DB 服务器20Management192.168.20.0/24192.168.20.1/24运维管理终端99Native192.168.99.0/30192.168.99.1/30交换机互联 (Point-to-Point)注意点网关地址通常是该网段的第一个或最后一个可用 IP例如.1或.254。交换机互联链路用一个/30的网段就够了只包含两个可用 IP.1和.2节省地址。为每台服务器和管理终端分配固定的 IP并记录在案。2. 第一步实操在接入交换机上划分 VLAN 并配置端口我们假设使用两台支持 VLAN 的二层交换机如锐捷、华为、H3C、Cisco概念通用。接入交换机直接连接服务器和终端。2.1 创建 VLAN 并分配 Access 端口首先登录到连接服务器的接入交换机Switch-Access。# 进入系统视图 system-view # 创建 VLAN 10 和 VLAN 20并给它们起个名字方便管理 vlan batch 10 20 vlan 10 description Server-Network vlan 20 description Management-Network # 假设服务器连接在交换机的 GigabitEthernet 0/0/1 到 0/0/4 口 # 将这些端口划入 VLAN 10并配置为 Access 模式 interface range GigabitEthernet 0/0/1 to GigabitEthernet 0/0/4 port link-type access # 端口模式设为 Access表示这个端口只属于一个 VLAN port default vlan 10 # 将该 Access 端口划入 VLAN 10 description Connect-to-Servers # 假设管理终端连接在 GigabitEthernet 0/0/24 口 interface GigabitEthernet 0/0/24 port link-type access port default vlan 20 description Connect-to-Management-PC关键解释Access 端口连接终端设备服务器、PC、打印机。设备感知不到 VLAN 的存在它发送和接收的都是不带 Tag 的“普通”以太网帧。交换机收到帧后会打上该 Access 端口所属 VLAN 的 Tag 在内部转发。PVID (Port VLAN ID)在华为/华三命令行中port default vlan 10就设置了端口的 PVID 为 10。它表示当交换机从这个端口收到一个不带 Tag 的帧时应该给这个帧打上哪个 VLAN 的 Tag。对于 Access 端口PVID 就是它所属的 VLAN ID。VLAN ID 与 PVID 的区别VLAN ID 是标签本身的编号。PVID 是端口的一个属性决定了如何给“入方向无标签流量”打标。在 Access 端口上两者值相同概念容易混淆。但在 Trunk 端口上PVID即 Native VLAN ID和该端口允许通过的 VLAN ID 列表就是两个不同的集合了。2.2 配置 Trunk 端口连接核心或另一台交换机接入交换机需要上行连接到核心交换机或另一台接入交换机以传递多个 VLAN 的流量。这条链路需要配置为 Trunk。# 假设上行端口是 GigabitEthernet 0/0/48连接核心交换机 interface GigabitEthernet 0/0/48 port link-type trunk # 端口模式设为 Trunk port trunk allow-pass vlan 10 20 # 允许 VLAN 10 和 20 的流量通过此 Trunk description Uplink-to-Core-Switch关键解释Trunk 端口用于交换机之间互联承载多个 VLAN 的流量。数据帧在 Trunk 链路上传输时会携带 VLAN Tag802.1Q 标签。port trunk allow-pass vlan指定允许通过此 Trunk 的 VLAN 列表。只允许规划好的 VLAN不要用all更安全。Native VLANTrunk 端口上可以设置一个 Native VLAN默认是 VLAN 1。属于 Native VLAN 的帧在 Trunk 链路上传输时不带 Tag。这可能导致安全风险如 VLAN 跳跃攻击因此最佳实践是将 Native VLAN 设置为一个不用于任何业务数据的专用 VLAN如我们规划的 VLAN 99。在 Trunk 链路两端交换机上将 Native VLAN 配置为一致。# 配置 Trunk 端口的 Native VLAN 为 99 interface GigabitEthernet 0/0/48 port link-type trunk port trunk pvid vlan 99 # 设置该端口的 PVID (即 Native VLAN) 为 99 port trunk allow-pass vlan 10 20 99 # 允许 VLAN 10, 20, 99 通过在另一端的核心交换机上也需要对相应的互联端口做镜像的 Trunk 配置并且 Native VLAN 也要设为 99。3. 第二步实操在三层交换机或路由器上配置 VLAN 接口与静态路由VLAN 之间要通信必须依赖三层设备。通常核心交换机具备三层路由功能我们就在核心交换机上操作。3.1 创建 VLAN 并配置 VLANIF 接口SVI登录核心交换机Core-Switch。system-view # 创建 VLAN如果接入层通过 Trunk 学习到了这里可能已存在但显式创建更稳妥 vlan batch 10 20 99 # 为每个 VLAN 创建三层虚拟接口SVI并配置 IP 地址作为该网段的网关 interface Vlanif 10 description Gateway-for-Server-VLAN ip address 192.168.10.1 24 # 配置网关 IP interface Vlanif 20 description Gateway-for-Management-VLAN ip address 192.168.20.1 24 interface Vlanif 99 description Link-to-Access-Switch ip address 192.168.99.1 30 # 与接入交换机互联地址关键解释Vlanif / SVI (Switch Virtual Interface)这是在交换机内部创建的一个逻辑三层接口。当交换机收到一个目的 IP 是192.168.10.1的数据包时如果它属于 VLAN 10就会被路由到 Vlanif 10 接口处理。此时连接在接入交换机 VLAN 10 下的服务器将其默认网关设置为192.168.10.1它发出的去往其他网段如192.168.20.0/24的流量就能被送达核心交换机进行路由。3.2 配置静态路由我们的核心交换机可能需要访问外部网络如互联网或者网络中有其他路由器。假设核心交换机的上行端口连接出口路由器IP 是10.0.0.2/30出口路由器的接口 IP 是10.0.0.1/30出口路由器连接互联网其公网出口 IP 我们不关心。首先在核心交换机上配置上行接口interface GigabitEthernet 0/0/1 description Uplink-to-Internet-Router ip address 10.0.0.2 30然后在核心交换机上配置默认路由指向出口路由器ip route-static 0.0.0.0 0.0.0.0 10.0.0.1命令解释0.0.0.0 0.0.0.0是默认路由匹配所有目标网络。10.0.0.1是下一跳地址即出口路由器的接口 IP。意思是“所有我不知道怎么走的数据包都发给10.0.0.1去处理”。反过来出口路由器需要知道如何到达我们的内部网络192.168.10.0/24和192.168.20.0/24。需要在出口路由器上配置回程路由# 在出口路由器上配置 ip route 192.168.10.0 255.255.255.0 10.0.0.2 ip route 192.168.20.0 255.255.255.0 10.0.0.2命令解释目标网络是192.168.10.0/24下一跳是核心交换机的上行接口 IP10.0.0.2。意思是“所有去往192.168.10.0/24的数据包都发给10.0.0.2”。为什么需要双向路由路由是“有来有回”的。核心交换机知道出去的路默认路由出口路由器要知道进来的路回程路由通信才能建立。4. 第三步实操配置 ACL 实现安全访问控制网络通了接下来就要收紧安全口子。ACL访问控制列表就是防火墙规则。我们重点实现两个目标管理终端VLAN 20可以访问所有服务器。Web 服务器假设 IP 为192.168.10.10可以访问数据库服务器假设 IP 为192.168.10.20的 3306 端口但数据库服务器不能主动向外发起连接且禁止其他任何设备访问数据库。4.1 理解 ACL 方向Inbound 与 Outbound这是最容易出错的地方。ACL 应用在接口上方向是相对于该接口所在设备而言的。Inbound (入方向)数据包进入该接口时进行过滤。Outbound (出方向)数据包离开该接口时进行过滤。对于我们的需求最有效的做法是在数据库服务器所在 VLAN 的三层接口Vlanif 10的入方向Inbound施加限制。因为所有访问数据库的流量无论是从 Web 服务器来还是从管理终端来都必须先进入 Vlanif 10 这个网关接口。4.2 配置高级 ACL基于 IP 和端口我们使用基本 ACL仅基于源 IP和高级 ACL基于源/目 IP、协议、端口结合。# 1. 创建一个高级 ACL编号 30003000-3999 是高级 ACL 范围 acl number 3000 rule 5 permit tcp source 192.168.10.10 0 destination 192.168.10.20 0 destination-port eq 3306 rule 10 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.20 0 rule 100 deny ip source any destination 192.168.10.20 0 # 注意ACL 默认隐含拒绝所有rule 65535 deny ip但显式写一条拒绝规则更清晰。 # 2. 将 ACL 3000 应用到 Vlanif 10 接口的入方向 interface Vlanif 10 traffic-filter inbound acl 3000规则解释rule 5允许源 IP 为 Web 服务器 (192.168.10.10)访问目标 IP 为数据库 (192.168.10.20) 的 TCP 3306 端口MySQL。0表示通配符掩码0.0.0.0即精确匹配这个 IP。rule 10允许整个管理网段 (192.168.20.0/24) 访问数据库服务器 (192.168.10.20) 的任何 IP 协议包括 ICMP ping, SSH, RDP 等。0.0.0.255是反掩码对应子网掩码255.255.255.0。rule 100拒绝任何其他源 IP 访问数据库服务器。这条规则确保了只有 Web 服务器和管理网络能访问 DB。关键点ACL 规则按序号从小到大匹配匹配即停止。所以要把允许的规则510放在拒绝规则100前面。应用在inbound方向过滤的是进入 Vlanif 10 接口的流量即所有目的地是192.168.10.20的流量。这个配置不影响数据库服务器主动发起的出站流量因为那是从 Vlanif 10出方向的流量。如果你也想限制数据库出站需要另外的 ACL 应用在outbound方向。5. 第四步实操配置 DNS 并理解解析规律内网服务通了现在要让服务器和终端能解析域名比如访问互联网或者解析内网域名。DNS 配置规律很简单指向一个稳定可靠的 DNS 服务器地址。5.1 在服务器和终端上配置 DNS在 Linux 服务器上以 CentOS/RHEL 8 为例# 编辑网络配置文件假设网卡名为 ens192 sudo vi /etc/sysconfig/network-scripts/ifcfg-ens192 # 在文件中添加或修改静态IP配置示例 BOOTPROTOnone IPADDR192.168.10.10 NETMASK255.255.255.0 GATEWAY192.168.10.1 DNS1114.114.114.114 # 主 DNS DNS28.8.8.8 # 备 DNS修改后重启网络服务或更稳妥地重启服务器。在 Windows 客户端上通过“网络和共享中心” - “适配器设置” - 右键网卡 - “属性” - “Internet 协议版本 4 (TCP/IPv4)” - 手动设置 DNS 服务器地址。5.2 DNS 服务器地址选择与配置规律公共 DNS如114.114.114.114国内8.8.8.8Google1.1.1.1Cloudflare。选择延迟低、稳定性高的。可以用nslookup或dig命令测试响应速度。运营商 DNS通常由 DHCP 自动分配。如果遇到某些国内网站解析慢或异常可以尝试换用运营商 DNS如北京联通202.106.0.20。内网 DNS如果你在内网搭建了 DNS 服务器如 Windows AD DNS 或 Bind用于解析内网域名如server01.corp.local那么客户端的主 DNS 应该指向内网 DNS 服务器备 DNS 指向公共 DNS。配置规律主备分离不要将所有设备指向同一个 DNS。主备 DNS 最好来自不同运营商或服务商避免单点故障。就近原则选择物理位置或网络路径近的 DNS 服务器解析更快。内网优先有内网域名解析需求的必须将内网 DNS 设为主 DNS。避免过多一般配置 2 个 DNS 服务器足够最多不要超过 3 个。系统会按顺序查询过多反而可能因首个 DNS 响应慢而增加整体解析时间。5.3 验证 DNS 配置在 Windows 上使用nslookup在 Linux 上使用nslookup或dig。# Linux/Mac dig baidu.com # 或 nslookup baidu.com # Windows nslookup baidu.com如果返回了正确的 IP 地址说明 DNS 解析正常。常见问题排查解析慢或失败首先ping一下 DNS 服务器 IP 看是否通。如果不通检查路由和 ACL 是否放行了 UDP 53 端口的出站流量。修改 DNS 不生效Windows 上可能有 DNS 缓存用ipconfig /flushdns清除。Linux 上修改配置文件后务必重启网络服务 (sudo systemctl restart NetworkManager或sudo nmcli c reload)。想让 DNS 永久生效一定要修改网络配置文件如/etc/sysconfig/network-scripts/ifcfg-*或/etc/netplan/*.yaml而不是仅在命令行用nmcli临时修改重启会失效。6. 全流程联调与排错清单配置全部完成后不要以为就结束了。必须按照以下顺序进行系统化测试和排错。6.1 连通性测试顺序同 VLAN 内二层连通性在同一个 VLAN 下的两台设备如两台服务器互相 ping。如果不通检查交换机端口 VLAN 配置是否正确display port vlan。端口是否被shutdown。网线、网卡、防火墙如 Windows 防火墙、Linuxfirewalld/iptables是否阻止了 ICMP。跨 VLAN 三层连通性从管理终端 (192.168.20.x) ping 服务器网关 (192.168.10.1)。如果不通检查终端和服务器的 IP 地址、子网掩码、默认网关配置是否正确。核心交换机上对应的Vlanif接口是否up、IP 是否正确display ip interface brief。接入交换机与核心交换机之间的 Trunk 链路是否允许了这两个 VLANdisplay interface trunk。跨 VLAN 访问具体服务器从管理终端 ping 服务器 IP (192.168.10.10)。如果不通在检查上一步的基础上还需检查服务器本身的防火墙规则。核心交换机上是否有 ACL 阻止了该流量检查 ACL 应用接口和方向。互联网访问测试从任意内网设备 ping 一个公网 IP如8.8.8.8。如果不通检查设备本身的默认网关是否指向了核心交换机 VLAN 接口。核心交换机上的默认路由 (display ip routing-table) 是否正确指向出口路由器。出口路由器上的回程路由是否正确指向核心交换机。出口路由器本身的 NAT 和上网策略是否配置。DNS 解析测试在能 ping 通8.8.8.8的基础上执行nslookup baidu.com。如果不通检查设备的 DNS 配置。防火墙是否放行了 UDP 53 端口到 DNS 服务器的流量。6.2 关键排错命令华为/华三风格display vlan查看所有 VLAN 信息及包含的端口。display interface brief查看所有接口状态up/down。display port vlan查看指定端口的 VLAN 模式及 PVID。display interface trunk查看 Trunk 端口详细信息及允许的 VLAN 列表。display ip interface brief查看三层接口的 IP 和状态。display ip routing-table查看路由表确认路由是否学习到。display acl all查看所有 ACL 配置。display traffic-filter applied-record查看 ACL 应用记录。display current-configuration查看当前运行配置。ping -a source-ip dest-ip指定源 IP 进行 ping 测试用于测试往返路径。tracert dest-ip跟踪路由路径。6.3 部署后的优化与监控建议保存配置在所有交换机、路由器上执行save命令将当前配置保存到启动配置文件防止重启后丢失。文档化将最终的拓扑图、IP 地址分配表、VLAN 规划表、设备配置备份可通过display current-configuration导出归档。基础监控在核心交换机上配置 SNMP接入网管系统如 LibreNMS, Zabbix监控端口流量、错包、CPU/内存。在服务器上配置日志集中收集便于排查应用层问题。安全加固更改网络设备的默认管理密码。限制管理访问源通过 ACL 只允许管理网段访问设备的 SSH/Web 管理接口。定期审查 ACL 规则删除不必要的宽松规则。7. 常见误区与深度解析7.1 为什么抓包看不到 VLAN Tag使用 Wireshark 在连接 Access 端口的 PC 上抓包看不到 802.1Q 标签VLAN Tag这是正常的。因为 Access 端口在发送数据帧给终端设备前会剥离 VLAN Tag。终端网卡驱动通常也不处理带 Tag 的帧。要抓取带 Tag 的帧必须在 Trunk 链路上或者使用某些交换机的端口镜像功能将 Trunk 端口的流量镜像到一个配置为 Hybrid/Trunk 模式的监控端口并在 Wireshark 中启用“解析 802.1Q”之类的选项。7.2 ACL Inbound 与 Outbound 到底怎么选记住一个原则在离攻击源最近的入口处进行过滤。如果你想阻止某个网段访问服务器那么就在服务器所在网段的网关接口的入方向Inbound应用 ACL。因为所有去往服务器的流量都必须先进入这个网关接口。如果你想阻止服务器访问某个网段那么就在服务器所在网段的网关接口的出方向Outbound应用 ACL。因为所有从服务器发出的流量都会从这个网关接口离开。在接口的入方向过滤比出方向更节省设备资源因为无效数据包在进入时就被丢弃了不会消耗路由查找和转发资源。7.3 静态路由配置的“黑洞”与“环路”黑洞路由配置了路由但下一跳地址不可达。例如核心交换机有去往192.168.30.0/24的静态路由下一跳是10.0.0.3但10.0.0.3这个设备不存在或接口 down。此时去往192.168.30.0/24的流量会被不断尝试转发最终因 TTL 耗尽而丢弃。排查时用tracert可以看到流量在下一跳处中断。路由环路两台设备互相指向对方作为去往某个网络的下一跳。例如A 设备认为去往网络 X 要走 BB 设备认为去往网络 X 要走 A。数据包会在 A 和 B 之间来回转发TTL 递减至 0。避免环路需要清晰规划并在可能的情况下使用动态路由协议它们有防环机制。7.4 DNS 疑难杂症修改 DNS 后nslookup正常但浏览器无法上网这通常是浏览器或系统使用了DNS 缓存或DNS over HTTPS (DoH)导致的。清理浏览器缓存检查系统或浏览器是否开启了 DoH如 Firefox 的“网络设置”暂时关闭它进行测试。内网域名解析失败外网正常检查客户端 DNS 配置是否将内网 DNS 服务器设为了首选。在内网 DNS 服务器上检查正向区域和反向区域记录是否完整。DNS 解析时快时慢可能是多个 DNS 服务器响应速度不一致或者网络存在抖动。使用dig命令的stats选项或专用工具如dnsbenchmark测试各个 DNS 服务器的响应时间调整主备顺序。按照以上七个部分的顺序和要点进行部署与验证你就能在短时间内搭建起一个结构清晰、安全可控的基础网络环境。真正的熟练来自于在理解原理的基础上反复实操并在每次排错中积累经验。当你能清晰地说出每个配置项背后的“为什么”时面对更复杂的网络需求你也就有了拆解和实现的底气。 这类网络部署实战最核心的不是背命令而是理解每个配置动作到底解决了什么具体问题。很多人学完理论真到机房面对一堆交换机和服务器时还是不知道从哪根网线开始。这篇文章就围绕一个典型的“服务器上线”场景把 VLAN 划分、ACL 安全、静态路由、DNS 配置这几个关键环节串起来让你能按顺序、有重点地完成部署。整个过程的核心是先隔离、再控制、后连通、最后解析照着这个思路90分钟完成基础部署是可行的。适合谁看如果你是刚接触实际网络部署的运维、开发或初级网工或者需要自己搭建测试、演示环境这篇文章能帮你建立清晰的实操流程。最关键的价值在于我会把每个配置背后的“为什么”讲清楚比如为什么先划 VLAN 而不是先配路由ACL 的 inbound 和 outbound 在接口上怎么选这样你以后遇到变种需求也能自己调整。下面我们就从零开始假设要为一个新业务部署几台 Web 服务器、数据库服务器和一个管理终端手把手走一遍。1. 规划先行搞清楚你要部署什么再决定怎么划 VLAN动手敲命令之前必须先把网络拓扑和 IP 规划画在纸上或工具里。盲目配置是后期排错噩梦的根源。1.1 业务需求与 VLAN 规划假设我们有一个简单的业务系统Web 服务器对外提供 HTTP/HTTPS 服务需要能被外部访问。数据库服务器仅允许 Web 服务器访问绝对禁止外部直接连接。管理终端运维人员电脑需要能管理所有服务器。基于安全最小化原则我们至少需要三个 VLANVLAN 10 - 服务器接入层放置 Web 服务器和数据库服务器。它们之间通信频繁放在同一 VLAN 可以减少三层设备压力。但为了安全我们会用 ACL 在二层内部做限制。VLAN 20 - 管理网络放置运维管理终端。所有对服务器的管理流量SSH、RDP都从这个网络发起。VLAN 99 - 原生 VLAN (Native VLAN)或VLAN 1用于交换机之间的互联链路Trunk。强烈建议不要使用默认的 VLAN 1 作为业务 VLAN将其保留给管理或 Trunk 专用或创建一个如 VLAN 99 作为 Native VLAN。为什么这么划核心是广播域隔离和安全管理。把 Web 和 DB 放在一起它们的 ARP 广播互不影响管理网络。而管理网络独立出来可以严格控制访问源为后续配置 ACL 打下基础。1.2 IP 地址规划规划 IP 地址段时要预留增长空间。这里使用私网地址示例VLAN 编号VLAN 名称网段网关地址用途10Server192.168.10.0/24192.168.10.1/24Web DB 服务器20Management192.168.20.0/24192.168.20.1/24运维管理终端99Native192.168.99.0/30192.168.99.1/30交换机互联 (Point-to-Point)注意点网关地址通常是该网段的第一个或最后一个可用 IP例如.1或.254。交换机互联链路用一个/30的网段就够了只包含两个可用 IP.1和.2节省地址。为每台服务器和管理终端分配固定的 IP并记录在案。2. 第一步实操在接入交换机上划分 VLAN 并配置端口我们假设使用两台支持 VLAN 的二层交换机如锐捷、华为、H3C、Cisco概念通用。接入交换机直接连接服务器和终端。2.1 创建 VLAN 并分配 Access 端口首先登录到连接服务器的接入交换机Switch-Access。# 进入系统视图 system-view # 创建 VLAN 10 和 VLAN 20并给它们起个名字方便管理 vlan batch 10 20 vlan 10 description Server-Network vlan 20 description Management-Network # 假设服务器连接在交换机的 GigabitEthernet 0/0/1 到 0/0/4 口 # 将这些端口划入 VLAN 10并配置为 Access 模式 interface range GigabitEthernet 0/0/1 to GigabitEthernet 0/0/4 port link-type access # 端口模式设为 Access表示这个端口只属于一个 VLAN port default vlan 10 # 将该 Access 端口划入 VLAN 10 description Connect-to-Servers # 假设管理终端连接在 GigabitEthernet 0/0/24 口 interface GigabitEthernet 0/0/24 port link-type access port default vlan 20 description Connect-to-Management-PC关键解释Access 端口连接终端设备服务器、PC、打印机。设备感知不到 VLAN 的存在它发送和接收的都是不带 Tag 的“普通”以太网帧。交换机收到帧后会打上该 Access 端口所属 VLAN 的 Tag 在内部转发。PVID (Port VLAN ID)在华为/华三命令行中port default vlan 10就设置了端口的 PVID 为 10。它表示当交换机从这个端口收到一个不带 Tag 的帧时应该给这个帧打上哪个 VLAN 的 Tag。对于 Access 端口PVID 就是它所属的 VLAN ID。VLAN ID 与 PVID 的区别VLAN ID 是标签本身的编号。PVID 是端口的一个属性决定了如何给“入方向无标签流量”打标。在 Access 端口上两者值相同概念容易混淆。但在 Trunk 端口上PVID即 Native VLAN ID和该端口允许通过的 VLAN ID 列表就是两个不同的集合了。2.2 配置 Trunk 端口连接核心或另一台交换机接入交换机需要上行连接到核心交换机或另一台接入交换机以传递多个 VLAN 的流量。这条链路需要配置为 Trunk。# 假设上行端口是 GigabitEthernet 0/0/48连接核心交换机 interface GigabitEthernet 0/0/48 port link-type trunk # 端口模式设为 Trunk port trunk allow-pass vlan 10 20 # 允许 VLAN 10 和 20 的流量通过此 Trunk description Uplink-to-Core-Switch关键解释Trunk 端口用于交换机之间互联承载多个 VLAN 的流量。数据帧在 Trunk 链路上传输时会携带 VLAN Tag802.1Q 标签。port trunk allow-pass vlan指定允许通过此 Trunk 的 VLAN 列表。只允许规划好的 VLAN不要用all更安全。Native VLANTrunk 端口上可以设置一个 Native VLAN默认是 VLAN 1。属于 Native VLAN 的帧在 Trunk 链路上传输时不带 Tag。这可能导致安全风险如 VLAN 跳跃攻击因此最佳实践是将 Native VLAN 设置为一个不用于任何业务数据的专用 VLAN如我们规划的 VLAN 99。在 Trunk 链路两端交换机上将 Native VLAN 配置为一致。# 配置 Trunk 端口的 Native VLAN 为 99 interface GigabitEthernet 0/0/48 port link-type trunk port trunk pvid vlan 99 # 设置该端口的 PVID (即 Native VLAN) 为 99 port trunk allow-pass vlan 10 20 99 # 允许 VLAN 10, 20, 99 通过在另一端的核心交换机上也需要对相应的互联端口做镜像的 Trunk 配置并且 Native VLAN 也要设为 99。3. 第二步实操在三层交换机或路由器上配置 VLAN 接口与静态路由VLAN 之间要通信必须依赖三层设备。通常核心交换机具备三层路由功能我们就在核心交换机上操作。3.1 创建 VLAN 并配置 VLANIF 接口SVI登录核心交换机Core-Switch。system-view # 创建 VLAN如果接入层通过 Trunk 学习到了这里可能已存在但显式创建更稳妥 vlan batch 10 20 99 # 为每个 VLAN 创建三层虚拟接口SVI并配置 IP 地址作为该网段的网关 interface Vlanif 10 description Gateway-for-Server-VLAN ip address 192.168.10.1 24 # 配置网关 IP interface Vlanif 20 description Gateway-for-Management-VLAN ip address 192.168.20.1 24 interface Vlanif 99 description Link-to-Access-Switch ip address 192.168.99.1 30 # 与接入交换机互联地址关键解释Vlanif / SVI (Switch Virtual Interface)这是在交换机内部创建的一个逻辑三层接口。当交换机收到一个目的 IP 是192.168.10.1的数据包时如果它属于 VLAN 10就会被路由到 Vlanif 10 接口处理。此时连接在接入交换机 VLAN 10 下的服务器将其默认网关设置为192.168.10.1它发出的去往其他网段如192.168.20.0/24的流量就能被送达核心交换机进行路由。3.2 配置静态路由我们的核心交换机可能需要访问外部网络如互联网或者网络中有其他路由器。假设核心交换机的上行端口连接出口路由器IP 是10.0.0.2/30出口路由器的接口 IP 是10.0.0.1/30出口路由器连接互联网其公网出口 IP 我们不关心。首先在核心交换机上配置上行接口interface GigabitEthernet 0/0/1 description Uplink-to-Internet-Router ip address 10.0.0.2 30然后在核心交换机上配置默认路由指向出口路由器ip route-static 0.0.0.0 0.0.0.0 10.0.0.1命令解释0.0.0.0 0.0.0.0是默认路由匹配所有目标网络。10.0.0.1是下一跳地址即出口路由器的接口 IP。意思是“所有我不知道怎么走的数据包都发给10.0.0.1去处理”。反过来出口路由器需要知道如何到达我们的内部网络192.168.10.0/24和192.168.20.0/24。需要在出口路由器上配置回程路由# 在出口路由器上配置 ip route 192.168.10.0 255.255.255.0 10.0.0.2 ip route 192.168.20.0 255.255.255.0 10.0.0.2命令解释目标网络是192.168.10.0/24下一跳是核心交换机的上行接口 IP10.0.0.2。意思是“所有去往192.168.10.0/24的数据包都发给10.0.0.2”。为什么需要双向路由路由是“有来有回”的。核心交换机知道出去的路默认路由出口路由器要知道进来的路回程路由通信才能建立。4. 第三步实操配置 ACL 实现安全访问控制网络通了接下来就要收紧安全口子。ACL访问控制列表就是防火墙规则。我们重点实现两个目标管理终端VLAN 20可以访问所有服务器。Web 服务器假设 IP 为192.168.10.10可以访问数据库服务器假设 IP 为192.168.10.20的 3306 端口但数据库服务器不能主动向外发起连接且禁止其他任何设备访问数据库。4.1 理解 ACL 方向Inbound 与 Outbound这是最容易出错的地方。ACL 应用在接口上方向是相对于该接口所在设备而言的。Inbound (入方向)数据包进入该接口时进行过滤。Outbound (出方向)数据包离开该接口时进行过滤。对于我们的需求最有效的做法是在数据库服务器所在 VLAN 的三层接口Vlanif 10的入方向Inbound施加限制。因为所有访问数据库的流量无论是从 Web 服务器来还是从管理终端来都必须先进入 Vlanif 10 这个网关接口。4.2 配置高级 ACL基于 IP 和端口我们使用基本 ACL仅基于源 IP和高级 ACL基于源/目 IP、协议、端口结合。# 1. 创建一个高级 ACL编号 30003000-3999 是高级 ACL 范围 acl number 3000 rule 5 permit tcp source 192.168.10.10 0 destination 192.168.10.20 0 destination-port eq 3306 rule 10 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.20 0 rule 100 deny ip source any destination 192.168.10.20 0 # 注意ACL 默认隐含拒绝所有rule 65535 deny ip但显式写一条拒绝规则更清晰。 # 2. 将 ACL 3000 应用到 Vlanif 10 接口的入方向 interface Vlanif 10 traffic-filter inbound acl 3000规则解释rule 5允许源 IP 为 Web 服务器 (192.168.10.10)访问目标 IP 为数据库 (192.168.10.20) 的 TCP 3306 端口MySQL。0表示通配符掩码0.0.0.0即精确匹配这个 IP。rule 10允许整个管理网段 (192.168.20.0/24) 访问数据库服务器 (192.168.10.20) 的任何 IP 协议包括 ICMP ping, SSH, RDP 等。0.0.0.255是反掩码对应子网掩码255.255.255.0。rule 100拒绝任何其他源 IP 访问数据库服务器。这条规则确保了只有 Web 服务器和管理网络能访问 DB。关键点ACL 规则按序号从小到大匹配匹配即停止。所以要把允许的规则510放在拒绝规则100前面。应用在inbound方向过滤的是进入 Vlanif 10 接口的流量即所有目的地是192.168.10.20的流量。这个配置不影响数据库服务器主动发起的出站流量因为那是从 Vlanif 10出方向的流量。如果你也想限制数据库出站需要另外的 ACL 应用在outbound方向。5. 第四步实操配置 DNS 并理解解析规律内网服务通了现在要让服务器和终端能解析域名比如访问互联网或者解析内网域名。DNS 配置规律很简单指向一个稳定可靠的 DNS 服务器地址。5.1 在服务器和终端上配置 DNS在 Linux 服务器上以 CentOS/RHEL 8 为例# 编辑网络配置文件假设网卡名为 ens192 sudo vi /etc/sysconfig/network-scripts/ifcfg-ens192 # 在文件中添加或修改静态IP配置示例 BOOTPROTOnone IPADDR192.168.10.10 NETMASK255.255.255.0 GATEWAY192.168.10.1 DNS1114.114.114.114 # 主 DNS DNS28.8.8.8 # 备 DNS修改后重启网络服务或更稳妥地重启服务器。在 Windows 客户端上通过“网络和共享中心” - “适配器设置” - 右键网卡 - “属性” - “Internet 协议版本 4 (TCP/IPv4)” - 手动设置 DNS 服务器地址。5.2 DNS 服务器地址选择与配置规律公共 DNS如114.114.114.114国内8.8.8.8Google1.1.1.1Cloudflare。选择延迟低、稳定性高的。可以用nslookup或dig命令测试响应速度。运营商 DNS通常由 DHCP 自动分配。如果遇到某些国内网站解析慢或异常可以尝试换用运营商 DNS如北京联通202.106.0.20。内网 DNS如果你在内网搭建了 DNS 服务器如 Windows AD DNS 或 Bind用于解析内网域名如server01.corp.local那么客户端的主 DNS 应该指向内网 DNS 服务器备 DNS 指向公共 DNS。配置规律主备分离不要将所有设备指向同一个 DNS。主备 DNS 最好来自不同运营商或服务商避免单点故障。就近原则选择物理位置或网络路径近的 DNS 服务器解析更快。内网优先有内网域名解析需求的必须将内网 DNS 设为主 DNS。避免过多一般配置 2 个 DNS 服务器足够最多不要超过 3 个。系统会按顺序查询过多反而可能因首个 DNS 响应慢而增加整体解析时间。5.3 验证 DNS 配置在 Windows 上使用nslookup在 Linux 上使用nslookup或dig。# Linux/Mac dig baidu.com # 或 nslookup baidu.com # Windows nslookup baidu.com如果返回了正确的 IP 地址说明 DNS 解析正常。常见问题排查解析慢或失败首先ping一下 DNS 服务器 IP 看是否通。如果不通检查路由和 ACL 是否放行了 UDP 53 端口的出站流量。修改 DNS 不生效Windows 上可能有 DNS 缓存用ipconfig /flushdns清除。Linux 上修改配置文件后务必重启网络服务 (sudo systemctl restart NetworkManager或sudo nmcli c reload)。想让 DNS 永久生效一定要修改网络配置文件如/etc/sysconfig/network-scripts/ifcfg-*或/etc/netplan/*.yaml而不是仅在命令行用nmcli临时修改重启会失效。6. 全流程联调与排错清单配置全部完成后不要以为就结束了。必须按照以下顺序进行系统化测试和排错。6.1 连通性测试顺序同 VLAN 内二层连通性在同一个 VLAN 下的两台设备如两台服务器互相 ping。如果不通检查交换机端口 VLAN 配置是否正确display port vlan。端口是否被shutdown。网线、网卡、防火墙如 Windows 防火墙、Linuxfirewalld/iptables是否阻止了 ICMP。跨 VLAN 三层连通性从管理终端 (192.168.20.x) ping 服务器网关 (192.168.10.1)。如果不通检查终端和服务器的 IP 地址、子网掩码、默认网关配置是否正确。核心交换机上对应的Vlanif接口是否up、IP 是否正确display ip interface brief。接入交换机与核心交换机之间的 Trunk 链路是否允许了这两个 VLANdisplay interface trunk。跨 VLAN 访问具体服务器从管理终端 ping 服务器 IP (192.168.10.10)。如果不通在检查上一步的基础上还需检查服务器本身的防火墙规则。核心交换机上是否有 ACL 阻止了该流量检查 ACL 应用接口和方向。互联网访问测试从任意内网设备 ping 一个公网 IP如8.8.8.8。如果不通检查设备本身的默认网关是否指向了核心交换机 VLAN 接口。核心交换机上的默认路由 (display ip routing-table) 是否正确指向出口路由器。出口路由器上的回程路由是否正确指向核心交换机。出口路由器本身的 NAT 和上网策略是否配置。DNS 解析测试在能 ping 通8.8.8.8的基础上执行nslookup baidu.com。如果不通检查设备的 DNS 配置。防火墙是否放行了 UDP 53 端口到 DNS 服务器的流量。6.2 关键排错命令华为/华三风格display vlan查看所有 VLAN 信息及包含的端口。display interface brief查看所有接口状态up/down。display port vlan查看指定端口的 VLAN 模式及 PVID。display interface trunk查看 Trunk 端口详细信息及允许的 VLAN 列表。display ip interface brief查看三层接口的 IP 和状态。display ip routing-table查看路由表确认路由是否学习到。display acl all查看所有 ACL 配置。display traffic-filter applied-record查看 ACL 应用记录。display current-configuration查看当前运行配置。ping -a source-ip dest-ip指定源 IP 进行 ping 测试用于测试往返路径。tracert dest-ip跟踪路由路径。6.3 部署后的优化与监控建议保存配置在所有交换机、路由器上执行save命令将当前配置保存到启动配置文件防止重启后丢失。文档化将最终的拓扑图、IP 地址分配表、VLAN 规划表、设备配置备份可通过display current-configuration导出归档。基础监控在核心交换机上配置 SNMP接入网管系统如 LibreNMS, Zabbix监控端口流量、错包、CPU/内存。在服务器上配置日志集中收集便于排查应用层问题。安全加固更改网络设备的默认管理密码。限制管理访问源通过 ACL 只允许管理网段访问设备的 SSH/Web 管理接口。定期审查 ACL 规则删除不必要的宽松规则。7. 常见误区与深度解析7.1 为什么抓包看不到 VLAN Tag使用 Wireshark 在连接 Access 端口的 PC 上抓包看不到 802.1Q 标签VLAN Tag这是正常的。因为 Access 端口在发送数据帧给终端设备前会剥离 VLAN Tag。终端网卡驱动通常也不处理带 Tag 的帧。要抓取带 Tag 的帧必须在 Trunk 链路上或者使用某些交换机的端口镜像功能将 Trunk 端口的流量镜像到一个配置为 Hybrid/Trunk 模式的监控端口并在 Wireshark 中启用“解析 802.1Q”之类的选项。7.2 ACL Inbound 与 Outbound 到底怎么选记住一个原则在离攻击源最近的入口处进行过滤。如果你想阻止某个网段访问服务器那么就在服务器所在网段的网关接口的入方向Inbound应用 ACL。因为所有去往服务器的流量都必须先进入这个网关接口。如果你想阻止服务器访问某个网段那么就在服务器所在网段的网关接口的出方向Outbound应用 ACL。因为所有从服务器发出的流量都会从这个网关接口离开。在接口的入方向过滤比出方向更节省设备资源因为无效数据包在进入时就被丢弃了不会消耗路由查找和转发资源。7.3 静态路由配置的“黑洞”与“环路”黑洞路由配置了路由但下一跳地址不可达。例如核心交换机有去往192.168.30.0/24的静态路由下一跳是10.0.0.3但10.0.0.3这个设备不存在或接口 down。此时去往192.168.30.0/24的流量会被不断尝试转发最终因 TTL 耗尽而丢弃。排查时用tracert可以看到流量在下一跳处中断。路由环路两台设备互相指向对方作为去往某个网络的下一跳。例如A 设备认为去往网络 X 要走 BB 设备认为去往网络 X 要走 A。数据包会在 A 和 B 之间来回转发TTL 递减至 0。避免环路需要清晰规划并在可能的情况下使用动态路由协议它们有防环机制。7.4 DNS 疑难杂症修改 DNS 后nslookup正常但浏览器无法上网这通常是浏览器或系统使用了DNS 缓存或DNS over HTTPS (DoH)导致的。清理浏览器缓存检查系统或浏览器是否开启了 DoH如 Firefox 的“网络设置”暂时关闭它进行测试。内网域名解析失败外网正常检查客户端 DNS 配置是否将内网 DNS 服务器设为了首选。在内网 DNS 服务器上检查正向区域和反向区域记录是否完整。DNS 解析时快时慢可能是多个 DNS 服务器响应速度不一致或者网络存在抖动。使用dig命令的stats选项或专用工具如dnsbenchmark测试各个 DNS 服务器的响应时间调整主备顺序。按照以上七个部分的顺序和要点进行部署与验证你就能在短时间内搭建起一个结构清晰、安全可控的基础网络环境。真正的熟练来自于在理解原理的基础上反复实操并在每次排错中积累经验。当你能清晰地说出每个配置项背后的“为什么”时面对更复杂的网络需求你也就有了拆解和实现的底气。 
