每年实训季我都会收到一堆让人头大的报告拓扑图贴得挺漂亮配置命令密密麻麻占了好几页但你随便挑一句问“为什么网关要放在核心交换机上”对方多半答不上来。实训报告既然叫“报告”它就不是配置命令的粘贴板。它真正要训练的是你对一张网络从需求拆解、地址规划、设备选型、配置落地到测试验证的完整推演能力。这篇文章我拿最常见的“某公司园区网”作为例子把整个流程从头到尾过一遍需求怎么分析、VLAN和IP怎么规划、关键配置怎么写、测试结果怎么记录、报告怎么组织以及验收答辩时最容易被问到的那些问题。准备交实训报告的同学可以直接按这个框架来整理第一次带实训的年轻同事也可以拿它当参考底稿。1. 实训需求与整体设计思路1.1 实训题目的真实意图很多同学把实训报告写成了“命令记录”这是一开始就走偏了。实训题目表面上是让你搭一个网络实际上考的是三件事懂原理、能配置、会表达。懂原理是说你能解释清楚为什么这样设计能配置是说你能在设备上把方案做出来会表达是说你能把设计思路和测试结果用文档讲明白让一个没看过你操作的人照着报告也能还原整个环境。同样一份running-config有人拿高分有人刚及格差别不在命令本身而在报告里的人有没有把自己的思考过程写出来。比如你写“划分了VLAN 10和VLAN 20”这只是陈述事实你写“办公区PC数量约60台研发区约40台所以划分两个VLAN隔离广播域同时便于后续做访问控制”这才叫报告。所以动笔之前先调整心态这份报告是一个微型项目的交付文档不是实验课的抄写作业。1.2 需求分析先行设计任何网络之前必须先有需求。没有需求分析后面的配置全是无源之水。我用一个虚构场景来演示。某公司租了一栋三层办公楼总共约120人分为办公区、研发区两个主要部门一楼有前台和访客区域机房在二楼。业务上需要满足各区域内部终端能互联互通办公区和研发区也可以互相访问但访客区域只能上外网不允许访问内部服务器服务器区集中部署文件服务器和网站服务器文件服务器只对办公区开放终端全部通过DHCP自动获取地址全公司共用一条运营商专线出口公网地址只有1个。这些需求看起来简单但每一条都会直接影响后面的设计决策。访客区不能访问内网意味着要单独划分VLAN并配置ACL只有1个公网地址意味着出口必须做NAT复用终端自动获取地址意味着要规划DHCP地址池。写报告的时候这一段需求分析不能省略它就是你后面所有配置的“立项依据”。1.3 网络架构与设备选型120人规模的园区不需要太复杂的架构。我采用两层接入加一层出口接入交换机负责把终端接入二层网络核心交换机做VLAN间路由和网关出口路由器负责NAT和访问外网。为什么不在这个规模引入汇聚层因为办公楼的终端数量有限接入交换机直接上联到核心交换机链路带宽和端口数量都够用。汇聚层的价值是在大规模组网中收敛线路、集中策略120人的环境引入汇聚层只会增加成本和排障复杂度。设备选型上核心交换机必须支持三层转发也就是能配置VLAN接口地址否则无法做VLAN间路由。出口路由器需要支持静态路由和NAT Overload。实训环境里用课程常见的图形化网络仿真软件就可以完成我下面的命令以思科IOS风格演示用其他厂商模拟器的同学思路完全一致只是命令措辞略有差异。2. 关键技术点拆解报告里必须讲透的原理2.1 VLAN 划分先解决广播域问题如果不做任何VLAN划分整个二层网络只有一个广播域。一台PC发送广播报文所有接入设备都会收到终端数量多了之后广播流量会占用大量带宽这就是广播风暴的雏形。按部门划分VLAN之后广播域被隔离同时部门之间的互访由三层设备控制安全性也提高了。具体划分如下办公区VLAN 10、研发区VLAN 20、访客区VLAN 30、服务器区VLAN 40、设备管理VLAN 99。每个VLAN对应一个网段对应关系在后面IP规划部分统一列出。端口类型是另一个高频考点。连接终端的端口用access模式只属于一个VLAN交换机之间互联的端口用trunk模式承载多个VLAN的流量。特别要注意trunk链路上的native VLAN默认是VLAN 1这个VLAN在trunk上不打标签。如果两端的native VLAN配置不一致一些无法识别标签的帧和控制报文就会跑错VLAN典型症状是链路状态up但数据不通或者STP出现异常。我见过有人把两台交换机native VLAN分别改成了不同值结果两边设备时通时断查了很久才发现是这里的问题。2.2 网关放在核心VLAN间路由的职责划分VLAN间通信需要三层路由。两种常见做法是单臂路由和三层交换机SVI。单臂路由用路由器的一个物理接口接交换机通过子接口终结多个VLAN适合流量极小的场景缺点是所有跨VLAN流量挤在一条链路上带宽不够。三层交换机方案在核心交换机上为每个VLAN创建一个SVI交换虚拟接口网关地址就是SVI的地址三层转发由交换机硬件完成性能和可靠性都更好。所以实训中我把网关全部放在核心交换机上。接入交换机只负责二层转发不承担网关职责。这样做的另一个好处是故障域隔离某个接入端口出问题只影响对应终端不会拖垮全网三层转发。配置层面的动作就是在核心交换机上创建VLAN、添加端口然后进入interface vlan 10这样的虚拟接口配置IP地址。很多人在仿真器里卡在SVI无法配置原因往往是VLAN还没创建或者没有把任何物理端口划入该VLANIOS不允许为不存在的VLAN创建SVI。2.3 DHCP 地址规划与中继终端自动获取地址需要通过DHCP。我的规划原则是一个VLAN一个地址池池里的网段和VLAN一一对应这样看到IP就能判断终端在哪个区域排障时非常直观。地址池必须包含三个关键参数网段、默认网关、DNS服务器。网关地址要和对应VLAN的SVI地址一致否则终端拿到地址也找不到出口。另外一定要在池里排除网关和服务器、网管设备的固定地址否则DHCP可能会把网关地址分给某台终端造成IP冲突。再讲一个容易混淆的知识点DHCP跨网段。如果DHCP服务器不在客户端所在网段客户端的Discover广播报文默认不会穿过路由器。解决办法是在VLAN的SVI接口上配置ip helper-address把广播转发为单播发给DHCP服务器服务器回包再从中继路径回来这个过程叫DHCP中继。本次实训为了方便管理直接在核心交换机上启用DHCP服务客户端广播到达作为网关的SVI后核心本机就能分配地址所以不需要额外配置中继。但原理部分要在报告里写清楚。2.4 ACL 与 NAT安全与出口的关键规则ACL的设计原则是“默认拒绝、按需放行”也就是先想清楚哪些流量不该走再放行正常流量。本次需求里访客区不能访问服务器区研发区也不能访问文件服务器办公区可以访问服务器区。用ACL表达就是三条规则拒绝VLAN 30访问VLAN 40拒绝VLAN 20访问VLAN 40允许其余流量配置位置放在核心交换机的VLAN 40接口入方向。这样任何非法流量在进入服务器区之前就被丢弃不会浪费服务器区的带宽。ACL有个容易被忽视的点规则按顺序匹配一旦命中就停止往下比对。所以要把精确的拒绝规则写在前面permit放行写在最后否则放行规则一旦先匹配后面的拒绝规则就形同虚设。关于ACL里的通配符掩码很多人不理解为什么写0.0.0.255而不是255.255.255.0。通配符掩码里的0表示必须匹配255表示不用管。0.0.0.255表示只匹配前24位后8位任意等价于匹配/24网段。理解了这一点ACL配置就不会写错。NAT部分因为公网地址只有1个必须使用PAT端口地址转换也叫NAT Overload。内网所有终端访问外网时出口路由器把源地址统一转换成那个公网IP同时用不同的源端口号区分不同的会话。配置上分三步界定inside和outside接口、定义需要转换的内网地址段、指定转换到出接口并且复用地址。3. 从拓扑到配置整网搭建实操记录3.1 拓扑结构与设备清单我的拓扑连接关系如下出口路由器R1的上联口接运营商模拟设备下联口接核心交换机SW-CoreSW-Core的若干千兆口分别下联办公区接入交换机SW-Access-1、研发区接入交换机SW-Access-2、服务器区接入交换机SW-Access-3以及无线控制器访客WiFi接入各接入交换机下联PC终端和服务器。画拓扑图时有几个硬性要求设备名一定要标注接口号一定要标注VLAN和IP信息要写清楚。很多同学直接截图一个仿真软件自动生成的拓扑上面没有任何标注老师根本看不出设计思路。我建议用Visio或者draw.io重新画一张把VLAN、网段、网关信息直接标在图上这张图会成为你报告里最值钱的一页。设备角色清单大概是这样设备角色接口要点R1出口路由器上联外网下联核心交换机SW-Core核心三层交换机配置所有VLAN SVI、ACL、DHCPSW-Access-1办公区接入交换机下联办公PC上联核心SW-Access-2研发区接入交换机下联研发PC上联核心SW-Access-3服务器区接入交换机下联文件服务器、Web服务器WLC/AP无线接入访客WiFi接入VLAN 303.2 IP 地址规划表地址规划是报告里最不能出错的表格。我采用/24掩码原因很简单当前每个区域的终端数量都在200以内/24够用/24和VLAN编号对齐后看到192.168.10.x就知道是办公区看到192.168.30.x就知道是访客区运维定位非常方便。VLAN网段掩码网关可用地址范围用途10192.168.10.0/24192.168.10.1.10-.250办公区终端20192.168.20.0/24192.168.20.1.10-.250研发区终端30192.168.30.0/24192.168.30.1.10-.250访客WiFi40192.168.40.0/24192.168.40.1.10-.250服务器区99192.168.99.0/24192.168.99.1.2-.20设备管理网关地址固定取各网段的.1服务器区预留.10给文件服务器、.11给Web服务器。为什么网关用.1而不是.254没有硬性规定但全公司统一用.1作为网关会让配置习惯保持一致减少记错的可能。这份规划表在报告里必须和拓扑图放在相邻位置让读者在看配置之前就清楚整个寻址体系。3.3 接入交换机配置接入交换机的配置相对简单核心动作是把终端端口划入对应VLAN把上联口改成trunk。! hostname SW-Access-1 ! ! 创建本接入交换机涉及的VLAN ! vlan 10 name office vlan 20 name rnd ! ! 上联核心交换机的端口必须为trunk ! interface gig0/1 switchport mode trunk switchport trunk allowed vlan 10,20 ! ! 办公终端端口 ! interface gig0/2 switchport mode access switchport access vlan 10 ! interface gig0/3 switchport mode access switchport access vlan 10trunk上我没有放行所有VLAN只放行了实际需要传输的VLAN 10和20。这样做的目的是缩小广播域跨设备传播的范围。默认情况下trunk放行VLAN 1如果你没有特殊需求建议在trunk上显式排除VLAN 1避免管理VLAN的流量被无谓地扩散。很多实训报告里直接把trunk allowed vlan all抄上去能通是真能通但设计上不够精细。新手最容易犯的错是接入端口忘记配置switchport access vlan。端口默认属于VLAN 1PC插上去能被VLAN 1的DHCP分配到地址看起来好像“通了”实际上终端根本不在你规划的VLAN里后面所有ACL策略都会失效。3.4 核心交换机配置核心交换机承载了大部分三层功能VLAN SVI、DHCP服务、ACL、默认路由。! hostname SW-Core ! ! 创建所有VLAN ! vlan 10 name office vlan 20 name rnd vlan 30 name guest vlan 40 name server vlan 99 name management ! ! 配置各VLAN网关 ! interface vlan 10 ip address 192.168.10.1 255.255.255.0 ! interface vlan 20 ip address 192.168.20.1 255.255.255.0 ! interface vlan 30 ip address 192.168.30.1 255.255.255.0 ! interface vlan 40 ip address 192.168.40.1 255.255.255.0 ! ! 连接出口路由器的三层互联口 ! interface gig0/1 no switchport ip address 192.168.0.2 255.255.255.252 ! ! 配置DHCP地址池 ! ip dhcp pool office network 192.168.10.0 255.255.255.0 default-router 192.168.10.1 dns-server 223.5.5.5 ! ip dhcp pool rnd network 192.168.20.0 255.255.255.0 default-router 192.168.20.1 dns-server 223.5.5.5 ! ip dhcp pool guest network 192.168.30.0 255.255.255.0 default-router 192.168.30.1 dns-server 223.5.5.5 ! ! 配置ACL只允许办公网访问服务器区 ! access-list 101 deny ip 192.168.20.0 0.0.0.255 192.168.40.0 0.0.0.255 access-list 101 deny ip 192.168.30.0 0.0.0.255 192.168.40.0 0.0.0.255 access-list 101 permit ip any any ! interface vlan 40 ip access-group 101 in ! ! 默认路由指向出口路由器 ! ip route 0.0.0.0 0.0.0.0 192.168.0.1里面有两个细节值得展开。第一连接路由器的接口我用了no switchport把它变成三层口然后配了一个/30的互联地址。核心交换机和出口路由器之间是一个点对点链路不需要给这段链路单独划分VLAN用/30掩码更节约地址也更符合实际工程习惯。第二因为核心和路由器之间用了独立互联网段路由器默认不知道内网各个VLAN的网段怎么走所以必须在R1上补一条回程静态路由指向192.168.0.2。3.5 出口路由器配置路由器上的配置集中在NAT和回程路由。! hostname R1 ! ! 上联运营商接口作为NAT outside ! interface gig0/0 ip address 203.0.113.1 255.255.255.248 ip nat outside ! ! 下联核心交换机接口作为NAT inside ! interface gig0/1 ip address 192.168.0.1 255.255.255.252 ip nat inside ! ! 定义内网需要转换的地址段 ! access-list 1 permit 192.168.0.0 0.0.255.255 ! ! 配置PAT复用出接口的公网地址 ! ip nat inside source list 1 interface gig0/0 overload ! ! 回程路由让路由器知道内网VLAN网段怎么走 ! ip route 192.168.0.0 255.255.0.0 192.168.0.2203.0.113.0/24是文档保留的测试地址段不指向任何真实公网设备非常适合用来在实训环境中模拟运营商分配的公网地址。如果你在Packet Tracer里做演示可以在外网侧再放一台模拟服务器地址用同网段的203.0.113.10这样测试外网连通性的时候就有明确目标。到这里整网配置就齐了。接入交换机处理二层核心交换机处理VLAN间路由和策略路由器处理出口NAT职责边界非常清晰。报告里如果能用这样一段话总结设备分工老师一眼就能看出你理解了这个架构。4. 测试验证报告里最能体现实训含量的部分4.1 连通性测试五步法配置完成后不能直接写“网络搭好了”要做完整的连通性测试。我习惯按五步走每一步都有明确目的。第一步PC ping自己的网关。这是最基本的验证网关不通就说明终端和三层设备之间有问题后面都不用测。第二步办公区PC ping研发区PC验证VLAN间路由是否生效。第三步终端上用ipconfig /all确认IP地址、网关、DNS都是DHCP池里规划好的值。第四步办公区PC访问文件服务器验证业务是否打通。第五步办公区PC ping外网模拟服务器地址验证NAT和默认路由链路。每一步的预期结果和失败含义最好在报告里做成一个表比如“PC ping网关失败排查接入端口VLAN配置、线缆状态、SVI是否up”。这种“测试-预期-失败排查”的对照结构是报告最拉分的地方。4.2 关键查看命令与结果解读测试过程中要用查看命令确认配置确实生效而不是“看起来没问题”。几个高频命令根据自己的设备平台略有差异但思路一致查看VLAN和端口成员关系确认终端端口在正确VLAN里。查看三层接口状态和地址确认所有SVI都是up状态地址配置正确。查看DHCP绑定表确认终端拿到了地址且租期正常。查看ACL命中次数确认拒绝规则确实有流量被匹配到。查看NAT转换表确认内网地址被转换成了公网地址。报告里写测试结果时不要只贴截图不解释。正确的写法是截图旁边写一句“从ACL命中数可以看到访客网段访问服务器区的报文被拒绝规则命中符合设计预期”。这句话比截图本身有价值得多。4.3 安全验证与需求对账ACL效果需要专门做一次验证而不是顺手测测。我在实训里的做法是先用访客区的PC去访问服务器区的文件服务器确认不通再用办公区PC操作同样的访问确认通。两次结果并列放在报告里ACL规则的作用一目了然。最后把所有需求和验证结果做成一个对账表。左边列出需求原文中间写验证方法右边写验证结果。这张表放在报告测试章节的末尾整个报告的逻辑链就闭合了。5. 实训报告怎么写才不像流水账5.1 报告结构与每章写作目标一份合格的实训报告可以参考下面的章节安排摘要、需求分析、方案设计、配置实施、测试验证、总结。摘要不是把题目抄一遍而是用三四句话说清楚“我在什么环境里、设计了什么架构、完成了哪些功能”。需求分析写用户的实际诉求体现你做过沟通和思考。方案设计放拓扑图、IP规划表、设备选型理由。配置实施部分只放关键配置和注释不要整段running-config堆上去。测试验证放五步法的结果和需求对账表。总结写遇到的问题和解决办法。判断一个章节是否合格有个简单标准如果把配置命令全部删掉读者靠你的文字和图表能不能还原整个网络如果能报告就是合格的。5.2 图表的正确姿势图表的作用是降低理解成本不是为了凑篇幅。拓扑图必须有完整的标注IP规划表必须和VLAN划分对齐配置清单必须配合文字说明设计意图。同样的一个图表在旁边加一句话解释价值完全不一样。配置截图方面我见过有人把几十张截图从头贴到尾每张图都没有说明老师翻几下就失去耐心。建议每个关键功能配2到3张图图下写清楚“从这张图可以看到什么”。测试截图更要注意包含时间、命令、结果三要素让看的人清楚这是在什么条件下测出的结论。5.3 验收答辩高频问题与回答思路实训验收环节老师通常会针对设计决策提问而不是让你背命令。高频问题我整理成下面这些回答套路网关为什么放在核心交换机因为核心是三层转发中心统一终结VLAN网关接入层只做二层便于管理和控制策略。DHCP中继解决了什么问题广播报文无法跨VLAN传输中继能把DHCP请求单播转发给服务器让不同网段的终端都能自动获取地址。ACL为什么把拒绝规则写在前面ACL按顺序匹配一旦命中就停止精确的拒绝规则必须先匹配最后才放行其他流量。NAT Overload怎么实现多个终端共用一个公网地址出接口转换时用不同源端口区分不同会话维持会话表回包时再根据端口映射找到对应内网主机。如果PC获取不到地址你从哪些地方排查先看PC和交换机端口状态再看交换机是否配置了DHCP地址池再看VLAN接口是否up最后看有没有启用DHCP中继。回答这些问题的关键是不要把配置背一遍而是指着拓扑图从需求开始讲。老师问什么你先回到需求再从架构和配置往下推这样很难答跑偏。6. 常见问题排查实录与避坑指南6.1 三类经典故障排查路径实训中最常见的故障可以归成三类。第一类所有PC都不通优先检查物理链路端口是否shutdown、网线类型是否接对、设备是否启动完成、STP是否还在收敛。仿真器里设备启动后端口状态需要时间稳定建议等两分钟再测试。第二类只有某个VLAN不通重点查trunk放行列表以及接入端口是否划入了正确的VLAN。第三类内网互通但上不了外网依次排查核心交换机默认路由、出口路由器NAT接口方向、ACL是否误阻断了出方向流量。排查顺序建议从底层往上层走物理层看端口状态数据链路层看VLAN和trunk网络层看IP和路由传输层看ACL和NAT。按这个顺序排查不会乱。6.2 仿真环境的特有坑图形化仿真软件和真实设备还是有不少差异。比如某些仿真器连接设备时线缆类型选错就不会通虽然真实环境里直通线和交叉线大多可以自适应设备启动需要时间刚开机马上ping会丢包模拟器里的ACL匹配机制和真实设备在细节上也有差别。我的建议是搭好环境后先保存一份干净的快照每完成一个功能就另存为一个版本。之后改坏了随时可以回退不用从头再来。6.3 实训时间管理的小窍门实训周期一般几天到两周不等时间分配很关键。我的个人做法是先花三分之一的时间做设计和规划包括画拓扑图、列IP地址表、画VLAN和ACL的逻辑关系然后再用三分之一的时间配置和排障最后三分之一留给测试和写报告。很多同学拿到底就开配置结果改了又改最后写报告的时候还得对着拓扑重画一遍反而更慢。配置文件也要养成命名习惯每个版本加日期时间比如config-core-0930-1400.cfg。这样报告里写“我做了哪几步调整”的时候有据可查。最后分享一点个人体会。带过不少实训之后我发现最打动人的报告往往是那些记录了自己排障过程的报告。哪怕方案本身不是最完美的但只要你能讲清楚“我为什么这么设计、中间遇到了什么问题、我怎么解决的”这份报告就已经达到了实训的目的。建议你把自己的配置文件、测试记录都完整保留以后进了项目组这份整理文档的习惯就是你的第一个专业积累。