简介这份笔记系统整理HCIA-Datacom核心技术面向具备一定网络基础、从事网络工程/管理/安全的技术人员以及自学学生覆盖网络基础、数据封装、ARP与IP编址、TCP/UDP端口、VRP系统基础、路由协议、网络服务、广域网、交换技术及200-500人企业网络设计。资源共1个PDF文件压缩包约8.56MB章节编排清晰从OSI/TCP/IP模型、抓包实验一路深入到子网掩码、静态路由、RIP/OSPF、NAT、ACL、VLAN、STP、链路聚合等配置示例。目前已有146人学习。读者可借助其中的实验分析和配置命令系统掌握协议原理与排错思路尤其是STP、MSTP、LACP等高级主题适合自学与培训也可作为企业网络规划设计的参考。1. HCIA-Datacom核心技术笔记写给要靠它上手干活的人这份《HCIA-Datacom核心技术笔记总结》我拆了两遍第一遍觉得是备考教材的压缩包第二遍才反应过来它真正值钱的地方所有知识点都是按“实验验证”的路线写的不是按 PPT 目录写的。比如讲到数据封装它直接带你打开 wireshark 抓包去看 TCP/IP 报文长什么样讲到 VRP它把“系统升级失败后怎么拯救”和“console 口密码破解”都写进去了这些东西不是能在官方文档首页找到的。如果你正准备考 HCIA-Datacom或者公司里一堆华为交换机、路由器需要你日常维护这本笔记能省掉不少“自己撞一遍才明白”的时间。适合有一定网络基础、想快速把概念落到命令行的从业者也适合刚转行、需要一条清晰实验路线的自学者。下面我按“先看懂封装再配路由再上交换最后落到整网设计”的顺序把这份笔记里的主干挑出来讲。2. 数据封装与 IP 编址抓包看懂网络基础2.1 从 OSI 到 TCP/IP先搞清楚数据包在哪一层变长笔记第 1 章把 OSI 七层模型和 TCP/IP 四层模型放在一起对比这一点对新手特别友好。OSI 七层是“法律”TCP/IP 四层是“现实”考试考七层抓包看的是四层。你只需要记住一件事数据从上往下走的过程叫封装每经过一层就多一个头部从下往上走叫解封装每经过一层剥一个头部。抓包软件里看到的那一长串协议头就是封装留下的痕迹。OSI 七层TCP/IP 四层典型协议/设备抓包时看到的字段应用层、表示层、会话层应用层HTTP、DNS、DHCP、TelnetGET、DNS query、DHCP Discover传输层传输层TCP、UDP源端口、目的端口、序列号网络层网络层IP、ICMP、ARP源 IP、目的 IP、TTL数据链路层、物理层网络接口层以太网、PPP源 MAC、目的 MAC、帧类型笔记里特别强调了网关的作用同一个网段内的通信靠 MAC 地址跨网段通信必须把数据包交给网关网关是“小区门口的门卫”。你在电脑上配的网关就是这台主机眼里唯一的出口 IP。判断一台主机能不能上网先看三件事IP 配没配对、掩码对不对、网关通不通。这三件事在笔记第 1 章和第 2 章里被反复练习因为后面所有的路由、VLAN 间通信都建立在这个基础上。2.2 抓包实验用 wireshark 验证一次完整封装笔记给了非常具体的实验路径先 ping 通网关再用 wireshark 抓包看 ARP 请求和 ICMP 回显。我这里把步骤整理成可以直接照抄的操作流程跟着走一遍就能直观理解“封装”这两个字。# 1. 打开 wireshark选择连网关的那块网卡开始抓包 # 2. 清空本地 ARP 缓存强制下次通信先发 ARP 请求 arp -d # 3. 在命令行 ping 网关地址例如网关是 192.168.1.1 ping 192.168.1.1 -n 4 # 4. 回到 wireshark在过滤器栏输入 icmp 回车第一眼看到的应该是这样一个序列先出现一个 ARP 请求问“谁是 192.168.1.1请告诉我你的 MAC 地址”紧接着网关回一个 ARP 应答然后才是四条 ICMP echo request 和四条 echo reply。这个顺序本身就是封装过程的证据主机在发 IP 包之前必须先通过 ARP 拿到下一跳的 MAC 地址再把 IP 包塞进以太网帧里发出去。wireshark 里展开 ICMP 那一条记录能看到三层结构——以太网帧头源 MAC、目的 MAC、IP 头源 IP、目的 IP、TTL、ICMP 数据部分。这里有个参数值得多看一眼TTL。Windows 默认发出来的 ping 包 TTL 是 128Linux 是 64经过一台路由器减 1。如果你抓包发现 TTL 是 127说明中间过了一台三层设备。笔记在讲路由优先级的时候会用到这个判断方法排查网络环路时尤其好用。2.3 IP 地址分类与子网掩码算不对网段就配不通笔记第 2 章花了大篇幅讲二进制和十进制互转、IP 分类、子网掩码、网络位和主机位。这章是整本笔记里最“数学”的部分但也是最不能跳过的。思科和华为的配置命令语法不同但“网段是否可达”这件事是通用的。先记住 IP 分类的边界A 类地址前 8 位是网络位默认掩码 255.0.0.0B 类前 16 位掩码 255.255.0.0C 类前 24 位掩码 255.255.255.0。私有地址段在这三类里各占一块10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。企业内网规划基本都在私有地址里选公网地址只在出口 NAT 和服务器映射时出现。关键是子网掩码怎么算。我给一个现场最常用的算法掩码里 1 的个数决定网络位网络位相同的 IP 才算同一网段。例如 192.168.1.0/25前 25 位是网络位后 7 位是主机位可用主机数就是 2 的 7 次方减 2等于 126 个。这个 /25 就代表你把原本的一个 C 类段劈成了两半从 .1 到 .126 是一段从 .129 到 .254 是另一段。笔记里强调“合法的 IP 地址”主机位全 0 的是网络地址全 1 的是广播地址这两个不能配给任何设备。我见过有人把 .255 配给服务器结果整段网络广播异常排查了半天最后发现是这台服务器的掩码和地址冲突。2.4 VLAN 与网关场景下的 IP 规划VLAN 和 IP 子网是一一绑定的一个 VLAN 一个网段。交换机的 VLANIF 口就是这个网段的网关。规划的原则是先定规模再定掩码。给一个 20 人的办公区分配地址用 /24 绰绰有余给 200 人的网络做规划就得按部门和网段切了比如研发部 10.10.10.0/24、财务部 10.10.20.0/24服务器区单独划 10.10.99.0/24。这样做的好处是后续写 ACL 策略时可以用网段做源地址匹配而不是逐个 IP 去加。笔记里 10-2 到 10-4 讲 200 人企业网络时用的就是这个思路STP 防环、Eth-Trunk 加带宽、VLAN 切广播域、SVI 做网关。总结一句第 2 章的内容是地基后面的 VLAN 间路由、静态路由、ACL 都是拿 IP 地址和掩码做运算的。如果你发现自己在配置路由时总在想“这条路由到底匹不匹配”多半是网络位和主机位的概念还没吃透回头把笔记里的二进制转换表再抄两遍比多敲十条命令都管用。3. VRP 系统与路由配置从命令行到 OSPF 落地3.1 VRP 文件系统先备份再动手笔记第 4 章讲 VRP 系统基础这部分是华为设备专属内容也是 HCIA-Datacom 和思科 CCNA 最大的分水岭。VRP 的命令行体系和文件系统和思科 IOS 完全两套逻辑。我见过从思科转过来的工程师在华为设备上第一反应打show running-config结果系统提示找不到命令——华为对应的是display current-configuration。记忆方法华为的查看命令是display思科是show配置保存华为是save思科是write。先记一组最常用的文件系统命令这组命令在升级和备份时必用# 进入系统视图配置类命令都在这里敲 system-view # 查看当前生效的配置 display current-configuration # 查看 Flash 里的文件列表确认系统文件和配置文件都存在 dir flash:/ # 把当前运行配置保存为启动配置 save # 备份配置文件到指定名称 copy flash:/vrpcfg.zip flash:/vrpcfg_backup.zipsave这条命令是新手最容易忽略的。在 eNSP 里配了一堆 VLAN、路由忘记 save 就关闭设备重新启动后配置全没了。华为的配置默认只存在于运行状态里掉电即失。保存之后会生成 .zip 格式的配置文件下次设备启动加载的就是这个文件。常规做法是每个月把配置备份一次我习惯把备份文件名带上日期比如vrpcfg_20250110.zip这样回滚的时候能一眼找到昨天和上周的版本差异。3.2 静态路由与缺省路由用优先级做备份笔记第 5 章从直连路由讲到静态路由、缺省路由再到浮动静态路由。华为体系里路由优先级preference数值越小越优先直连路由 0、OSPF 10、静态路由 60、RIP 100。这个数值表必须背下来因为在配置路由备份时你就是在利用这个数值做冗余。# 配置静态路由去往 10.1.2.0/24 网段下一跳 192.168.1.2 ip route-static 10.1.2.0 255.255.255.0 192.168.1.2 # 配置缺省路由所有目的地址都走出口运营商 ip route-static 0.0.0.0 0.0.0.0 192.168.1.254 # 浮动静态路由相同的目的网段管理距离调大作为备份链路 ip route-static 10.1.2.0 255.255.255.0 192.168.2.2 preference 70注意第三条命令里多了preference 70。主链路用默认优先级 60备份链路调到 70主链路故障时备份路由自动进入路由表主链路恢复后优先级高的路由又会被替换掉。这个机制就是企业双出口冗余的底层逻辑。笔记里“路由备份和冗余浮动静态路由”一节讲的正是这个。需要在真实设备上验证的话用display ip routing-table查看路由表看到 10.1.2.0/24 条目后面跟着的 preference 值就能确认当前走的是主链路还是备份。3.3 OSPF 基本配置单区域宣告与邻居验证OSPF 是 HCIA-Datacom 的必考内容也是企业网络里最常见的动态路由协议。笔记第 5 章从 OSPF 简介一路写到基本配置。配 OSPF 的步骤不难但有三个细节特别容易翻车Router ID 冲突、宣告网段写错、区域号不一致。# 进入 OSPF 进程进程号 1 ospf 1 router-id 1.1.1.1 # 进入区域 0 area 0.0.0.0 # 宣告本设备参与 OSPF 的网段及通配符 network 192.168.1.0 0.0.0.255 network 10.1.1.0 0.0.0.255通配符掩码和子网掩码是反的255.255.255.0 对应 0.0.0.255。如果你在华为设备上写成network 192.168.1.0 255.255.255.0系统不会报错但宣告的网段会变成主机地址邻居永远起不来。这是我见过最多的 OSPF 配置失误没有之一。配置完成后验证命令# 查看 OSPF 邻居状态Full 表示正常 display ospf peer # 查看本设备参与 OSPF 的接口和所属区域 display ospf interface # 查看 OSPF 路由表 display ospf routingOSPF 邻居状态卡在 Init 或 ExStart 就说明协商有问题优先检查两端 Router ID 是否冲突、区域号是否一致、接口是否都宣告进了 OSPF。如果邻居状态是 Full 但路由学不全多半是区域间缺少 ABR 或者有接口没宣告。笔记里 OSPF 基本配置一节写的实验建议照着敲一遍邻居起来之后再断开一条链路看路由切换比光记理论有用得多。3.4 静态路由和 OSPF 怎么选小规模网络20-50 人我一般全部用静态路由两条缺省路由就走完了没必要引入动态协议。网络规模到 200 人以上、存在多条链路和冗余需求时再考虑 OSPF。判断标准很简单路由条目超过 20 条、链路有主备关系、需要自动收敛就上 OSPF否则静态路由更可控故障排查也更快。笔记第 10 章 200 人企业网络设计里出口设备依然用静态缺省路由指向运营商内网核心之间才跑 OSPF——这种混合方案非常典型。4. 交换技术实战VLAN、STP、链路聚合与避坑4.1 VLAN 划分与 Trunk隔离广播域只是第一步笔记第 9 章从“构建冗余型企业网”切入然后进入 VLAN、Trunk、VLAN 间路由、STP 和链路聚合。VLAN 的核心价值是隔离广播域——默认情况下交换机所有端口在同一个广播域里广播报文会传遍全网一台设备发 ARP 请求全网交换机都得跟着转发。划分 VLAN 后广播只在同一个 VLAN 内传播。# 创建 VLAN 10 和 VLAN 20 vlan batch 10 20 # 把接口划入 VLAN 10Access 口用于接终端 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # 配置 Trunk 口放行 VLAN 10 和 20用于交换机互联 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20Access 口和 Trunk 口的区别一句话讲清Access 口接终端Trunk 口接交换机。终端发出去的帧不带 VLAN 标签Access 口收到后打上端口所属 VLAN 的标签转发Trunk 口在交换机之间传递帧用标签区分这个帧属于哪个 VLAN。配置里最容易漏的一步是 Trunk 口忘记放行对应 VLAN表现就是跨交换机同 VLAN 的主机 ping 不通。验证命令是display port vlan看 Trunk 口的放行列表是否包含目标 VLAN。4.2 VLAN 间路由单臂路由和 SVI 二选一不同 VLAN 之间默认是不能互访的因为它们在不同网段需要三层设备介入。笔记给了两条路单臂路由和 VLANIFSVI。单臂路由的思路是路由器用一个物理口通过子接口划分成多个逻辑口每个子接口接一个 VLANSVI 的思路是在交换机上直接建立 VLANIF 接口给它配 IP它就是该 VLAN 的网关。# 单臂路由路由器上配置子接口 interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/1.20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 arp broadcast enable单臂路由有个天生缺陷所有跨 VLAN 流量都走同一个物理口出去带宽受限所以现在企业里基本都是用 SVI 做网关单臂路由只在实验环境和特殊接入场景出现。SVI 配置更简单# 交换机上配置 VLANIF 接口作为终端网关 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0配置 SVI 后终端 PC 的网关指向 192.168.10.254交换机就能在 VLAN10 和 VLAN20 之间路由转发。这个方案在思科体系里叫 SVI华为体系里叫 VLANIF概念一样配置命令略有差异。200 人企业网络设计中用 SVI 做网关是主流因为交换机三层转发能力比路由器子接口强得多。4.3 STP 与 Edge Port防环和加速收敛冗余拓扑必然产生环路环路带来广播风暴和 MAC 地址漂移STP 就是用来解决这个问题的。笔记里 STP 简介、工作原理和 edge-port 各占一节。STP 通过选举根桥、确定根端口和指定端口把冗余链路中多余的那条阻塞掉逻辑上生成一棵无环树。当主链路故障时STP 重新收敛被阻塞的端口转为转发状态业务恢复。华为交换机默认 STP 模式是 MSTP符合 HCIA-Datacom 的要求。配置上有一个参数非常影响用户体验连接终端的端口如果被 STP 纳入计算终端插上网线要等 30 秒才能通信因为 STP 要经历 listening 和 learning 状态。解决办法是给这些端口开 Edge Port# 进入连接终端的交换机接口 interface GigabitEthernet0/0/1 # 开启边缘端口绕过 STP 的 listening/learning 阶段 stp edged-port enable开了 Edge Port 的端口如果收到 BPDU 报文会失去边缘端口属性自动切换回普通 STP 端口。所以把 Edge Port 开在所有接 PC 的口上是安全的但千万不要在交换机互联口上开。开了的话一旦出现环路STP 无法快速收敛广播风暴能直接把交换机 CPU 打满。4.4 链路聚合二层、三层 Eth-Trunk 配置链路聚合是把多条物理链路捆成一条逻辑链路增加带宽同时提供链路冗余。笔记 9-13 到 9-16 覆盖了二层聚合、三层聚合和 LACP 模式。二层链路聚合通常用在交换机之间三层链路聚合用在路由器和路由器、路由器与三层交换机之间。# 二层链路聚合创建 Eth-Trunk 并设置成员口 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 # 把两个物理口加成成员口 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 eth-trunk 1 # LACP 模式带协商推荐生产环境 interface Eth-Trunk1 mode lacp-static max active-linknumber 2静态聚合和 LACP 模式的区别静态聚合不协商两端配置一致就行LACP 模式通过报文协商能识别对端配置是否匹配。生产环境建议用 LACP排查问题时能通过display lacp statistics看到协商状态。配置三层链路聚合要注意成员口上不能配 IPIP 配在 Eth-Trunk 逻辑口上如果启用了 LACP两端模式必须一致一端 static 一端 active 会导致协商失败。4.5 避坑交换场景常见问题实录必看根据我自己踩过的坑和笔记里提到的重点整理如下最常见的交换场景问题按“现象 → 原因 → 解决”的顺序列出来坑一跨交换机同 VLAN 主机 ping 不通现象两栋楼各自接了一台交换机划了相同的 VLAN主机在各自交换机内能通跨交换机就丢包。 原因Trunk 口没放行对应 VLAN或者放行了但 PVID 不一致。查display port vlanTrunk 口默认 PVID 为 1如果对端发送的帧没打标签就按 PVID 处理会出现 VLAN 错配。 解决在 Trunk 口上用port trunk allow-pass vlan 10 20明确放行如果对端设备不支持 Trunk 协商还要把模式改成port link-type trunk强制为 trunk。坑二配置了 SVI 但跨 VLAN 还是不通现象VLANIF 接口 IP 配了终端网关也指过去了但不同 VLAN 的 PC ping 不通。 原因交换机是二层模式没开三层转发功能或者 SVI 所在的 VLAN 没有对应物理接口处于 up 状态。VLANIF 接口的状态取决于该 VLAN 内是否有 up 的物理端口。 解决先看display vlan 10确认端口都在线再看display ip interface brief确认 VLANIF 接口是 up若 VLANIF 显示 down说明没有物理口属于该 VLAN 或物理口被 shutdown。坑三STP 收敛慢终端上线要等 30 秒现象PC 插上网线网络要等半分钟才能用。 原因连接终端的端口参与了 STP 计算要经过 listening→learning→forwarding 三个状态默认转发延迟 15 秒两次就是 30 秒。 解决在终端口上开stp edged-port enable端口立即进入转发状态。如果终端数量大可以用批量配置port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/24一次性把一组口都配置成边缘端口。坑四Eth-Trunk 成员口状态异常现象链路聚合配好之后成员口一直 down或者只能起一个口。 原因成员口上残留了未清除的配置比如单独的 access/trunk 配置或者两端聚合模式不一致。 解决先undo interface GigabitEthernet0/0/1清掉端口原配置再加入 Eth-Trunk。两端统一配置 LACP 静态模式然后display eth-trunk 1查看 member 口状态确认所有口都处于 selected 状态。坑五MAC 地址漂移告警现象交换机日志频繁出现 MAC address flapping 提示网络时通时断。 原因环路导致同一个 MAC 地址从多个端口学到或者两台交换机之间同时存在两条可达链路而 STP 没有阻塞任何一条。 解决先查接口下是否误配了port link-type trunk且放行了错误 VLAN再使用display stp brief确认每个端口的状态找到该阻塞却没阻塞的端口最后将所有互联口统一加入 STP 计算范围确保冗余链路中只有一条处于 forwarding。5. 企业网络设计与验证从 20 人到 500 人的落地路径5.1 20 人规模网络一台路由器加一台交换机就够了先讲最小场景。20 人规模的公司通常一层的办公区需求就是终端上网、能访问内网服务器。按笔记第 8 章的思路设备选型很简单一台路由器出口、一台交换机接入、一台服务器内部应用。网络结构一条线连下来运营商光猫 → 路由器 WAN 口路由器 LAN 口 → 交换机交换机的口接终端和服务器。配置顺序是先把路由器的 LAN 口 IP 设为 192.168.1.1/24接终端的交换机划分 VLAN 10网关设在路由器上然后在路由器上配置 NAT 转换和缺省路由指向运营商终端 DHCP 获取地址。这个规模不需要开 STP不需要配 OSPF一条缺省路由加一个 NAT 策略就完整了。DHCP 配置直接开在路由器上比单独架一台 DHCP 服务器省事得多。5.2 200-500 人网络双核心加冗余架构规模上来之后单台设备扛不住就需要上冗余架构。笔记第 10 章给了完整的 200-500 人网络设计流程我按自己的实施经验强化了关键连接关系。设备角色分成四层出口路由器连接运营商做 NAT、核心交换机双机跑 VRRP 或堆叠、汇聚交换机按楼层或部门划分接入、接入交换机连接终端。服务器区单独划一个 VLAN放在核心下面。下表是常用的设备选型参考层级设备型号参考关键能力出口路由器AR2220 / AR6120支持 NAT、NAT Server、IPsec VPN核心交换机S5720 / S5730三层转发、VLANIF、OSPF、堆叠汇聚交换机S5700 系列VLAN 划分、Trunk、ACL 策略接入交换机S3700 / S5700端口接入、边缘端口、链路聚合成员配置顺序基本固定我建议按这个顺序执行避免做完 VLAN 再反过来调 STP 的尴尬。先做 STP 防环再做 Eth-Trunk 链路聚合再配 VLAN 和 Trunk然后在核心上配置 SVI 网关接着下发 DHCP最后在出口做 NAT 和端口映射。以下是六步流程的完整配置骨架# 步骤 1核心交换机开启 STP配置模式为 STP stp enable stp mode stp # 步骤 2核心交换机之间配置三层链路聚合承载 OSPF 或 VLANIF 互联 interface Eth-Trunk1 ip address 10.0.0.1 255.255.255.252 # 汇聚交换机相同位置配置 Eth-Trunk2IP 配 10.0.0.2/30 # 步骤 3核心交换机创建 VLAN 并配置 Trunk 放行 vlan batch 10 20 30 99 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 99 # 步骤 4核心交换机配置 VLANIF 作为各网段网关 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 interface Vlanif99 ip address 192.168.99.254 255.255.255.0 # 步骤 5核心交换机配置 DHCP 地址池 dhcp enable ip pool vlan10_pool network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.254 dns-list 223.5.5.5 119.29.29.29 interface Vlanif10 dhcp select global # 步骤 6出口路由器配置 NAT 和服务器映射 acl number 2001 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 interface GigabitEthernet0/0/0 ip address 100.64.1.2 255.255.255.0 nat outbound 2001 nat server protocol tcp global 100.64.1.2 443 inside 192.168.99.10 443步骤 5 里我用的是全局 DHCP 地址池通过 DHCP Simple IP在核心交换机上开启 dhcp enable 后每个 VLANIF 接口选择dhcp select global即可。如果你用的是华为 eNSP 做验证注意模拟器的 DHCP 服务不能和路由器的 WAN 口 IP 冲突否则终端获取到错误网关地址全网无法上网。5.3 eNSP 里跑一遍完整验证流程笔记和组织动手实战密不可分模拟器里验证和真机验证的思路是一致的先看接口状态再看路由表最后看业务连通性。我在 eNSP 里复现这套 200 人网络的步骤如下。# 检查核心交换机上所有 VLANIF 的接口状态 display ip interface brief # 检查核心和汇聚之间的 Eth-Trunk 成员口状态 display eth-trunk 1 # 检查 STP 各端口角色和状态 display stp brief # 检查出口路由器的 NAT 会话确认终端流量有转换记录 display nat session all # 完成配置后务必保存模拟器关闭再打开配置不会丢失 save验证的时候最容易忽略的是 STP 的角色确认。双核心冗余架构里核心交换机的互联口应该是 designated 端口接入交换机的上联口要么是 root 端口要么是指定端口如果出现 alternate 端口且能 ping 通说明冗余链路正常。如果所有端口都是 forwarding 且没有阻塞端口说明配置有误——没有备份链路生成逻辑拓扑仍然是个环。做完这套验证后我在实际项目里养成了一个习惯任何交换设备配置完成后先建立简单网络看 STP 是否阻塞了该阻塞的链路再谈功能测试。功能测试通过了再测冗余——断开一根链路看 ping 包的丢包数量能不能控制在个位数以内。从那以后每次交付企业网络方案我都会强制走一遍这个流程STP 状态 → Eth-Trunk 成员确认 → NAT 会话检查 → 冗余链路断连测试。这套流程帮我提前发现过不少“配置看着没问题但收敛要 40 秒”的隐患。希望帮到你。本文还有配套的精品资源点击获取 HCIA-Datacom核心技术笔记：数据封装、路由与交换实战指南
简介这份笔记系统整理HCIA-Datacom核心技术面向具备一定网络基础、从事网络工程/管理/安全的技术人员以及自学学生覆盖网络基础、数据封装、ARP与IP编址、TCP/UDP端口、VRP系统基础、路由协议、网络服务、广域网、交换技术及200-500人企业网络设计。资源共1个PDF文件压缩包约8.56MB章节编排清晰从OSI/TCP/IP模型、抓包实验一路深入到子网掩码、静态路由、RIP/OSPF、NAT、ACL、VLAN、STP、链路聚合等配置示例。目前已有146人学习。读者可借助其中的实验分析和配置命令系统掌握协议原理与排错思路尤其是STP、MSTP、LACP等高级主题适合自学与培训也可作为企业网络规划设计的参考。1. HCIA-Datacom核心技术笔记写给要靠它上手干活的人这份《HCIA-Datacom核心技术笔记总结》我拆了两遍第一遍觉得是备考教材的压缩包第二遍才反应过来它真正值钱的地方所有知识点都是按“实验验证”的路线写的不是按 PPT 目录写的。比如讲到数据封装它直接带你打开 wireshark 抓包去看 TCP/IP 报文长什么样讲到 VRP它把“系统升级失败后怎么拯救”和“console 口密码破解”都写进去了这些东西不是能在官方文档首页找到的。如果你正准备考 HCIA-Datacom或者公司里一堆华为交换机、路由器需要你日常维护这本笔记能省掉不少“自己撞一遍才明白”的时间。适合有一定网络基础、想快速把概念落到命令行的从业者也适合刚转行、需要一条清晰实验路线的自学者。下面我按“先看懂封装再配路由再上交换最后落到整网设计”的顺序把这份笔记里的主干挑出来讲。2. 数据封装与 IP 编址抓包看懂网络基础2.1 从 OSI 到 TCP/IP先搞清楚数据包在哪一层变长笔记第 1 章把 OSI 七层模型和 TCP/IP 四层模型放在一起对比这一点对新手特别友好。OSI 七层是“法律”TCP/IP 四层是“现实”考试考七层抓包看的是四层。你只需要记住一件事数据从上往下走的过程叫封装每经过一层就多一个头部从下往上走叫解封装每经过一层剥一个头部。抓包软件里看到的那一长串协议头就是封装留下的痕迹。OSI 七层TCP/IP 四层典型协议/设备抓包时看到的字段应用层、表示层、会话层应用层HTTP、DNS、DHCP、TelnetGET、DNS query、DHCP Discover传输层传输层TCP、UDP源端口、目的端口、序列号网络层网络层IP、ICMP、ARP源 IP、目的 IP、TTL数据链路层、物理层网络接口层以太网、PPP源 MAC、目的 MAC、帧类型笔记里特别强调了网关的作用同一个网段内的通信靠 MAC 地址跨网段通信必须把数据包交给网关网关是“小区门口的门卫”。你在电脑上配的网关就是这台主机眼里唯一的出口 IP。判断一台主机能不能上网先看三件事IP 配没配对、掩码对不对、网关通不通。这三件事在笔记第 1 章和第 2 章里被反复练习因为后面所有的路由、VLAN 间通信都建立在这个基础上。2.2 抓包实验用 wireshark 验证一次完整封装笔记给了非常具体的实验路径先 ping 通网关再用 wireshark 抓包看 ARP 请求和 ICMP 回显。我这里把步骤整理成可以直接照抄的操作流程跟着走一遍就能直观理解“封装”这两个字。# 1. 打开 wireshark选择连网关的那块网卡开始抓包 # 2. 清空本地 ARP 缓存强制下次通信先发 ARP 请求 arp -d # 3. 在命令行 ping 网关地址例如网关是 192.168.1.1 ping 192.168.1.1 -n 4 # 4. 回到 wireshark在过滤器栏输入 icmp 回车第一眼看到的应该是这样一个序列先出现一个 ARP 请求问“谁是 192.168.1.1请告诉我你的 MAC 地址”紧接着网关回一个 ARP 应答然后才是四条 ICMP echo request 和四条 echo reply。这个顺序本身就是封装过程的证据主机在发 IP 包之前必须先通过 ARP 拿到下一跳的 MAC 地址再把 IP 包塞进以太网帧里发出去。wireshark 里展开 ICMP 那一条记录能看到三层结构——以太网帧头源 MAC、目的 MAC、IP 头源 IP、目的 IP、TTL、ICMP 数据部分。这里有个参数值得多看一眼TTL。Windows 默认发出来的 ping 包 TTL 是 128Linux 是 64经过一台路由器减 1。如果你抓包发现 TTL 是 127说明中间过了一台三层设备。笔记在讲路由优先级的时候会用到这个判断方法排查网络环路时尤其好用。2.3 IP 地址分类与子网掩码算不对网段就配不通笔记第 2 章花了大篇幅讲二进制和十进制互转、IP 分类、子网掩码、网络位和主机位。这章是整本笔记里最“数学”的部分但也是最不能跳过的。思科和华为的配置命令语法不同但“网段是否可达”这件事是通用的。先记住 IP 分类的边界A 类地址前 8 位是网络位默认掩码 255.0.0.0B 类前 16 位掩码 255.255.0.0C 类前 24 位掩码 255.255.255.0。私有地址段在这三类里各占一块10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。企业内网规划基本都在私有地址里选公网地址只在出口 NAT 和服务器映射时出现。关键是子网掩码怎么算。我给一个现场最常用的算法掩码里 1 的个数决定网络位网络位相同的 IP 才算同一网段。例如 192.168.1.0/25前 25 位是网络位后 7 位是主机位可用主机数就是 2 的 7 次方减 2等于 126 个。这个 /25 就代表你把原本的一个 C 类段劈成了两半从 .1 到 .126 是一段从 .129 到 .254 是另一段。笔记里强调“合法的 IP 地址”主机位全 0 的是网络地址全 1 的是广播地址这两个不能配给任何设备。我见过有人把 .255 配给服务器结果整段网络广播异常排查了半天最后发现是这台服务器的掩码和地址冲突。2.4 VLAN 与网关场景下的 IP 规划VLAN 和 IP 子网是一一绑定的一个 VLAN 一个网段。交换机的 VLANIF 口就是这个网段的网关。规划的原则是先定规模再定掩码。给一个 20 人的办公区分配地址用 /24 绰绰有余给 200 人的网络做规划就得按部门和网段切了比如研发部 10.10.10.0/24、财务部 10.10.20.0/24服务器区单独划 10.10.99.0/24。这样做的好处是后续写 ACL 策略时可以用网段做源地址匹配而不是逐个 IP 去加。笔记里 10-2 到 10-4 讲 200 人企业网络时用的就是这个思路STP 防环、Eth-Trunk 加带宽、VLAN 切广播域、SVI 做网关。总结一句第 2 章的内容是地基后面的 VLAN 间路由、静态路由、ACL 都是拿 IP 地址和掩码做运算的。如果你发现自己在配置路由时总在想“这条路由到底匹不匹配”多半是网络位和主机位的概念还没吃透回头把笔记里的二进制转换表再抄两遍比多敲十条命令都管用。3. VRP 系统与路由配置从命令行到 OSPF 落地3.1 VRP 文件系统先备份再动手笔记第 4 章讲 VRP 系统基础这部分是华为设备专属内容也是 HCIA-Datacom 和思科 CCNA 最大的分水岭。VRP 的命令行体系和文件系统和思科 IOS 完全两套逻辑。我见过从思科转过来的工程师在华为设备上第一反应打show running-config结果系统提示找不到命令——华为对应的是display current-configuration。记忆方法华为的查看命令是display思科是show配置保存华为是save思科是write。先记一组最常用的文件系统命令这组命令在升级和备份时必用# 进入系统视图配置类命令都在这里敲 system-view # 查看当前生效的配置 display current-configuration # 查看 Flash 里的文件列表确认系统文件和配置文件都存在 dir flash:/ # 把当前运行配置保存为启动配置 save # 备份配置文件到指定名称 copy flash:/vrpcfg.zip flash:/vrpcfg_backup.zipsave这条命令是新手最容易忽略的。在 eNSP 里配了一堆 VLAN、路由忘记 save 就关闭设备重新启动后配置全没了。华为的配置默认只存在于运行状态里掉电即失。保存之后会生成 .zip 格式的配置文件下次设备启动加载的就是这个文件。常规做法是每个月把配置备份一次我习惯把备份文件名带上日期比如vrpcfg_20250110.zip这样回滚的时候能一眼找到昨天和上周的版本差异。3.2 静态路由与缺省路由用优先级做备份笔记第 5 章从直连路由讲到静态路由、缺省路由再到浮动静态路由。华为体系里路由优先级preference数值越小越优先直连路由 0、OSPF 10、静态路由 60、RIP 100。这个数值表必须背下来因为在配置路由备份时你就是在利用这个数值做冗余。# 配置静态路由去往 10.1.2.0/24 网段下一跳 192.168.1.2 ip route-static 10.1.2.0 255.255.255.0 192.168.1.2 # 配置缺省路由所有目的地址都走出口运营商 ip route-static 0.0.0.0 0.0.0.0 192.168.1.254 # 浮动静态路由相同的目的网段管理距离调大作为备份链路 ip route-static 10.1.2.0 255.255.255.0 192.168.2.2 preference 70注意第三条命令里多了preference 70。主链路用默认优先级 60备份链路调到 70主链路故障时备份路由自动进入路由表主链路恢复后优先级高的路由又会被替换掉。这个机制就是企业双出口冗余的底层逻辑。笔记里“路由备份和冗余浮动静态路由”一节讲的正是这个。需要在真实设备上验证的话用display ip routing-table查看路由表看到 10.1.2.0/24 条目后面跟着的 preference 值就能确认当前走的是主链路还是备份。3.3 OSPF 基本配置单区域宣告与邻居验证OSPF 是 HCIA-Datacom 的必考内容也是企业网络里最常见的动态路由协议。笔记第 5 章从 OSPF 简介一路写到基本配置。配 OSPF 的步骤不难但有三个细节特别容易翻车Router ID 冲突、宣告网段写错、区域号不一致。# 进入 OSPF 进程进程号 1 ospf 1 router-id 1.1.1.1 # 进入区域 0 area 0.0.0.0 # 宣告本设备参与 OSPF 的网段及通配符 network 192.168.1.0 0.0.0.255 network 10.1.1.0 0.0.0.255通配符掩码和子网掩码是反的255.255.255.0 对应 0.0.0.255。如果你在华为设备上写成network 192.168.1.0 255.255.255.0系统不会报错但宣告的网段会变成主机地址邻居永远起不来。这是我见过最多的 OSPF 配置失误没有之一。配置完成后验证命令# 查看 OSPF 邻居状态Full 表示正常 display ospf peer # 查看本设备参与 OSPF 的接口和所属区域 display ospf interface # 查看 OSPF 路由表 display ospf routingOSPF 邻居状态卡在 Init 或 ExStart 就说明协商有问题优先检查两端 Router ID 是否冲突、区域号是否一致、接口是否都宣告进了 OSPF。如果邻居状态是 Full 但路由学不全多半是区域间缺少 ABR 或者有接口没宣告。笔记里 OSPF 基本配置一节写的实验建议照着敲一遍邻居起来之后再断开一条链路看路由切换比光记理论有用得多。3.4 静态路由和 OSPF 怎么选小规模网络20-50 人我一般全部用静态路由两条缺省路由就走完了没必要引入动态协议。网络规模到 200 人以上、存在多条链路和冗余需求时再考虑 OSPF。判断标准很简单路由条目超过 20 条、链路有主备关系、需要自动收敛就上 OSPF否则静态路由更可控故障排查也更快。笔记第 10 章 200 人企业网络设计里出口设备依然用静态缺省路由指向运营商内网核心之间才跑 OSPF——这种混合方案非常典型。4. 交换技术实战VLAN、STP、链路聚合与避坑4.1 VLAN 划分与 Trunk隔离广播域只是第一步笔记第 9 章从“构建冗余型企业网”切入然后进入 VLAN、Trunk、VLAN 间路由、STP 和链路聚合。VLAN 的核心价值是隔离广播域——默认情况下交换机所有端口在同一个广播域里广播报文会传遍全网一台设备发 ARP 请求全网交换机都得跟着转发。划分 VLAN 后广播只在同一个 VLAN 内传播。# 创建 VLAN 10 和 VLAN 20 vlan batch 10 20 # 把接口划入 VLAN 10Access 口用于接终端 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # 配置 Trunk 口放行 VLAN 10 和 20用于交换机互联 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20Access 口和 Trunk 口的区别一句话讲清Access 口接终端Trunk 口接交换机。终端发出去的帧不带 VLAN 标签Access 口收到后打上端口所属 VLAN 的标签转发Trunk 口在交换机之间传递帧用标签区分这个帧属于哪个 VLAN。配置里最容易漏的一步是 Trunk 口忘记放行对应 VLAN表现就是跨交换机同 VLAN 的主机 ping 不通。验证命令是display port vlan看 Trunk 口的放行列表是否包含目标 VLAN。4.2 VLAN 间路由单臂路由和 SVI 二选一不同 VLAN 之间默认是不能互访的因为它们在不同网段需要三层设备介入。笔记给了两条路单臂路由和 VLANIFSVI。单臂路由的思路是路由器用一个物理口通过子接口划分成多个逻辑口每个子接口接一个 VLANSVI 的思路是在交换机上直接建立 VLANIF 接口给它配 IP它就是该 VLAN 的网关。# 单臂路由路由器上配置子接口 interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enable interface GigabitEthernet0/0/1.20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 arp broadcast enable单臂路由有个天生缺陷所有跨 VLAN 流量都走同一个物理口出去带宽受限所以现在企业里基本都是用 SVI 做网关单臂路由只在实验环境和特殊接入场景出现。SVI 配置更简单# 交换机上配置 VLANIF 接口作为终端网关 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0配置 SVI 后终端 PC 的网关指向 192.168.10.254交换机就能在 VLAN10 和 VLAN20 之间路由转发。这个方案在思科体系里叫 SVI华为体系里叫 VLANIF概念一样配置命令略有差异。200 人企业网络设计中用 SVI 做网关是主流因为交换机三层转发能力比路由器子接口强得多。4.3 STP 与 Edge Port防环和加速收敛冗余拓扑必然产生环路环路带来广播风暴和 MAC 地址漂移STP 就是用来解决这个问题的。笔记里 STP 简介、工作原理和 edge-port 各占一节。STP 通过选举根桥、确定根端口和指定端口把冗余链路中多余的那条阻塞掉逻辑上生成一棵无环树。当主链路故障时STP 重新收敛被阻塞的端口转为转发状态业务恢复。华为交换机默认 STP 模式是 MSTP符合 HCIA-Datacom 的要求。配置上有一个参数非常影响用户体验连接终端的端口如果被 STP 纳入计算终端插上网线要等 30 秒才能通信因为 STP 要经历 listening 和 learning 状态。解决办法是给这些端口开 Edge Port# 进入连接终端的交换机接口 interface GigabitEthernet0/0/1 # 开启边缘端口绕过 STP 的 listening/learning 阶段 stp edged-port enable开了 Edge Port 的端口如果收到 BPDU 报文会失去边缘端口属性自动切换回普通 STP 端口。所以把 Edge Port 开在所有接 PC 的口上是安全的但千万不要在交换机互联口上开。开了的话一旦出现环路STP 无法快速收敛广播风暴能直接把交换机 CPU 打满。4.4 链路聚合二层、三层 Eth-Trunk 配置链路聚合是把多条物理链路捆成一条逻辑链路增加带宽同时提供链路冗余。笔记 9-13 到 9-16 覆盖了二层聚合、三层聚合和 LACP 模式。二层链路聚合通常用在交换机之间三层链路聚合用在路由器和路由器、路由器与三层交换机之间。# 二层链路聚合创建 Eth-Trunk 并设置成员口 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 # 把两个物理口加成成员口 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 eth-trunk 1 # LACP 模式带协商推荐生产环境 interface Eth-Trunk1 mode lacp-static max active-linknumber 2静态聚合和 LACP 模式的区别静态聚合不协商两端配置一致就行LACP 模式通过报文协商能识别对端配置是否匹配。生产环境建议用 LACP排查问题时能通过display lacp statistics看到协商状态。配置三层链路聚合要注意成员口上不能配 IPIP 配在 Eth-Trunk 逻辑口上如果启用了 LACP两端模式必须一致一端 static 一端 active 会导致协商失败。4.5 避坑交换场景常见问题实录必看根据我自己踩过的坑和笔记里提到的重点整理如下最常见的交换场景问题按“现象 → 原因 → 解决”的顺序列出来坑一跨交换机同 VLAN 主机 ping 不通现象两栋楼各自接了一台交换机划了相同的 VLAN主机在各自交换机内能通跨交换机就丢包。 原因Trunk 口没放行对应 VLAN或者放行了但 PVID 不一致。查display port vlanTrunk 口默认 PVID 为 1如果对端发送的帧没打标签就按 PVID 处理会出现 VLAN 错配。 解决在 Trunk 口上用port trunk allow-pass vlan 10 20明确放行如果对端设备不支持 Trunk 协商还要把模式改成port link-type trunk强制为 trunk。坑二配置了 SVI 但跨 VLAN 还是不通现象VLANIF 接口 IP 配了终端网关也指过去了但不同 VLAN 的 PC ping 不通。 原因交换机是二层模式没开三层转发功能或者 SVI 所在的 VLAN 没有对应物理接口处于 up 状态。VLANIF 接口的状态取决于该 VLAN 内是否有 up 的物理端口。 解决先看display vlan 10确认端口都在线再看display ip interface brief确认 VLANIF 接口是 up若 VLANIF 显示 down说明没有物理口属于该 VLAN 或物理口被 shutdown。坑三STP 收敛慢终端上线要等 30 秒现象PC 插上网线网络要等半分钟才能用。 原因连接终端的端口参与了 STP 计算要经过 listening→learning→forwarding 三个状态默认转发延迟 15 秒两次就是 30 秒。 解决在终端口上开stp edged-port enable端口立即进入转发状态。如果终端数量大可以用批量配置port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/24一次性把一组口都配置成边缘端口。坑四Eth-Trunk 成员口状态异常现象链路聚合配好之后成员口一直 down或者只能起一个口。 原因成员口上残留了未清除的配置比如单独的 access/trunk 配置或者两端聚合模式不一致。 解决先undo interface GigabitEthernet0/0/1清掉端口原配置再加入 Eth-Trunk。两端统一配置 LACP 静态模式然后display eth-trunk 1查看 member 口状态确认所有口都处于 selected 状态。坑五MAC 地址漂移告警现象交换机日志频繁出现 MAC address flapping 提示网络时通时断。 原因环路导致同一个 MAC 地址从多个端口学到或者两台交换机之间同时存在两条可达链路而 STP 没有阻塞任何一条。 解决先查接口下是否误配了port link-type trunk且放行了错误 VLAN再使用display stp brief确认每个端口的状态找到该阻塞却没阻塞的端口最后将所有互联口统一加入 STP 计算范围确保冗余链路中只有一条处于 forwarding。5. 企业网络设计与验证从 20 人到 500 人的落地路径5.1 20 人规模网络一台路由器加一台交换机就够了先讲最小场景。20 人规模的公司通常一层的办公区需求就是终端上网、能访问内网服务器。按笔记第 8 章的思路设备选型很简单一台路由器出口、一台交换机接入、一台服务器内部应用。网络结构一条线连下来运营商光猫 → 路由器 WAN 口路由器 LAN 口 → 交换机交换机的口接终端和服务器。配置顺序是先把路由器的 LAN 口 IP 设为 192.168.1.1/24接终端的交换机划分 VLAN 10网关设在路由器上然后在路由器上配置 NAT 转换和缺省路由指向运营商终端 DHCP 获取地址。这个规模不需要开 STP不需要配 OSPF一条缺省路由加一个 NAT 策略就完整了。DHCP 配置直接开在路由器上比单独架一台 DHCP 服务器省事得多。5.2 200-500 人网络双核心加冗余架构规模上来之后单台设备扛不住就需要上冗余架构。笔记第 10 章给了完整的 200-500 人网络设计流程我按自己的实施经验强化了关键连接关系。设备角色分成四层出口路由器连接运营商做 NAT、核心交换机双机跑 VRRP 或堆叠、汇聚交换机按楼层或部门划分接入、接入交换机连接终端。服务器区单独划一个 VLAN放在核心下面。下表是常用的设备选型参考层级设备型号参考关键能力出口路由器AR2220 / AR6120支持 NAT、NAT Server、IPsec VPN核心交换机S5720 / S5730三层转发、VLANIF、OSPF、堆叠汇聚交换机S5700 系列VLAN 划分、Trunk、ACL 策略接入交换机S3700 / S5700端口接入、边缘端口、链路聚合成员配置顺序基本固定我建议按这个顺序执行避免做完 VLAN 再反过来调 STP 的尴尬。先做 STP 防环再做 Eth-Trunk 链路聚合再配 VLAN 和 Trunk然后在核心上配置 SVI 网关接着下发 DHCP最后在出口做 NAT 和端口映射。以下是六步流程的完整配置骨架# 步骤 1核心交换机开启 STP配置模式为 STP stp enable stp mode stp # 步骤 2核心交换机之间配置三层链路聚合承载 OSPF 或 VLANIF 互联 interface Eth-Trunk1 ip address 10.0.0.1 255.255.255.252 # 汇聚交换机相同位置配置 Eth-Trunk2IP 配 10.0.0.2/30 # 步骤 3核心交换机创建 VLAN 并配置 Trunk 放行 vlan batch 10 20 30 99 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 99 # 步骤 4核心交换机配置 VLANIF 作为各网段网关 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 interface Vlanif99 ip address 192.168.99.254 255.255.255.0 # 步骤 5核心交换机配置 DHCP 地址池 dhcp enable ip pool vlan10_pool network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.254 dns-list 223.5.5.5 119.29.29.29 interface Vlanif10 dhcp select global # 步骤 6出口路由器配置 NAT 和服务器映射 acl number 2001 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 interface GigabitEthernet0/0/0 ip address 100.64.1.2 255.255.255.0 nat outbound 2001 nat server protocol tcp global 100.64.1.2 443 inside 192.168.99.10 443步骤 5 里我用的是全局 DHCP 地址池通过 DHCP Simple IP在核心交换机上开启 dhcp enable 后每个 VLANIF 接口选择dhcp select global即可。如果你用的是华为 eNSP 做验证注意模拟器的 DHCP 服务不能和路由器的 WAN 口 IP 冲突否则终端获取到错误网关地址全网无法上网。5.3 eNSP 里跑一遍完整验证流程笔记和组织动手实战密不可分模拟器里验证和真机验证的思路是一致的先看接口状态再看路由表最后看业务连通性。我在 eNSP 里复现这套 200 人网络的步骤如下。# 检查核心交换机上所有 VLANIF 的接口状态 display ip interface brief # 检查核心和汇聚之间的 Eth-Trunk 成员口状态 display eth-trunk 1 # 检查 STP 各端口角色和状态 display stp brief # 检查出口路由器的 NAT 会话确认终端流量有转换记录 display nat session all # 完成配置后务必保存模拟器关闭再打开配置不会丢失 save验证的时候最容易忽略的是 STP 的角色确认。双核心冗余架构里核心交换机的互联口应该是 designated 端口接入交换机的上联口要么是 root 端口要么是指定端口如果出现 alternate 端口且能 ping 通说明冗余链路正常。如果所有端口都是 forwarding 且没有阻塞端口说明配置有误——没有备份链路生成逻辑拓扑仍然是个环。做完这套验证后我在实际项目里养成了一个习惯任何交换设备配置完成后先建立简单网络看 STP 是否阻塞了该阻塞的链路再谈功能测试。功能测试通过了再测冗余——断开一根链路看 ping 包的丢包数量能不能控制在个位数以内。从那以后每次交付企业网络方案我都会强制走一遍这个流程STP 状态 → Eth-Trunk 成员确认 → NAT 会话检查 → 冗余链路断连测试。这套流程帮我提前发现过不少“配置看着没问题但收敛要 40 秒”的隐患。希望帮到你。本文还有配套的精品资源点击获取