帶學(xué)生做網(wǎng)絡(luò)實(shí)驗(yàn)這些年我最常被問(wèn)的問(wèn)題不是“這個(gè)命令怎么敲”而是“老師這個(gè)實(shí)驗(yàn)到底在模擬什么場(chǎng)景我配完了要怎么看結(jié)果”。這個(gè)問(wèn)題其實(shí)問(wèn)到點(diǎn)子上了。Cisco Packet Tracer以下簡(jiǎn)稱CPT作為思科官方免費(fèi)提供的網(wǎng)絡(luò)模擬器一直是高校《計(jì)算機(jī)網(wǎng)絡(luò)》課程里出場(chǎng)率最高的實(shí)驗(yàn)工具。它既能模擬路由器、交換機(jī)、終端設(shè)備又自帶圖形化拓?fù)浯罱ń缑孢€能用命令行敲真實(shí)的IOS指令對(duì)于剛接觸網(wǎng)絡(luò)協(xié)議棧、VLAN、路由協(xié)議的同學(xué)來(lái)說(shuō)幾乎是零成本入門的最佳選擇。這篇內(nèi)容我按自己帶實(shí)驗(yàn)課的習(xí)慣來(lái)寫不按課本目錄走而是從“拿到一個(gè)實(shí)驗(yàn)題目之后怎么設(shè)計(jì)拓?fù)?、怎么?guī)劃IP、怎么配、怎么看結(jié)果、踩了哪些坑”這條完整鏈路展開(kāi)。覆蓋VLAN劃分、跨交換機(jī)Trunk通信、靜態(tài)路由、DHCP自動(dòng)分配、ACL訪問(wèn)控制這幾個(gè)最?？家沧畛Ｓ玫膶?shí)驗(yàn)場(chǎng)景。無(wú)論是期末備考、自學(xué)入門還是準(zhǔn)備網(wǎng)絡(luò)工程師認(rèn)證這篇都能直接照著操作。1. 整體設(shè)計(jì)思路先想清楚“做什么”再動(dòng)手拖設(shè)備1.1 為什么首選Packet Tracer而不是其他模擬器市面上能模擬思科設(shè)備的工具不止一個(gè)但我給初學(xué)者推薦CPT理由很實(shí)在第一它免費(fèi)官方提供不存在版權(quán)和激活問(wèn)題第二它對(duì)硬件幾乎沒(méi)要求普通筆記本就能流暢跑十幾個(gè)設(shè)備第三它的拓?fù)浯罱ㄍ耆菆D形化拖拽線纜類型也分得很清楚對(duì)于建立“物理鏈路”的直覺(jué)非常有幫助。相比之下GNS3和EVE-NG這類模擬器更接近“虛擬化平臺(tái)”本質(zhì)上跑的是真實(shí)IOS鏡像功能更強(qiáng)但配置門檻也高——需要自己準(zhǔn)備鏡像文件、需要理解設(shè)備資源和虛擬網(wǎng)卡的映射很多同學(xué)在這一步就被勸退了。CPT雖然刪減了部分高級(jí)特性但本科和絕大多數(shù)認(rèn)證級(jí)別的實(shí)驗(yàn)需求它都能覆蓋。我的建議是初學(xué)階段踏實(shí)用CPT把原理吃透等以后做綜合項(xiàng)目、需要跑真實(shí)路由協(xié)議時(shí)再遷移到GNS3不遲。另外一個(gè)容易被忽視的優(yōu)點(diǎn)CPT內(nèi)置了實(shí)時(shí)模式和模擬模式兩種視圖。實(shí)時(shí)模式就是正常配置和通信模擬模式可以逐包查看數(shù)據(jù)包的轉(zhuǎn)發(fā)路徑、查看ARP請(qǐng)求、ICMP報(bào)文封裝過(guò)程這個(gè)對(duì)理解“數(shù)據(jù)包是怎么從一臺(tái)主機(jī)到另一臺(tái)主機(jī)”非常有幫助真實(shí)設(shè)備上反而看不到這些內(nèi)部細(xì)節(jié)。1.2 拿到實(shí)驗(yàn)題目后先做三件事我觀察很多同學(xué)拿到實(shí)驗(yàn)題直接就開(kāi)始拖路由器、連線結(jié)果往往是配到一半發(fā)現(xiàn)地址沖突、廣播域沒(méi)隔離、出口少了一條鏈路推倒重來(lái)。正確的打開(kāi)方式是按下面三步走第一步畫拓?fù)洳輬D。不要直接在CPT里畫先在紙上或者用繪圖工具把設(shè)備角色、鏈路關(guān)系、接口編號(hào)標(biāo)出來(lái)。比如一個(gè)最簡(jiǎn)單的實(shí)驗(yàn)兩臺(tái)交換機(jī)連接四臺(tái)PC那么交換機(jī)之間用哪條鏈路做Trunk、PC接在哪些接口上這些在設(shè)計(jì)階段就要定好。第二步做IP規(guī)劃表。把每個(gè)網(wǎng)段、網(wǎng)關(guān)、每臺(tái)設(shè)備接口的IP地址用表格列出來(lái)。這個(gè)動(dòng)作能消滅大約一半的配置錯(cuò)誤。IP規(guī)劃的原則是管理網(wǎng)段和業(yè)務(wù)網(wǎng)段分開(kāi)VLAN網(wǎng)段預(yù)留連續(xù)地址段方便后期匯總。第三步核對(duì)設(shè)備型號(hào)和所需模塊。CPT里不同型號(hào)的設(shè)備接口數(shù)量和類型差很多。比如做靜態(tài)路由實(shí)驗(yàn)路由器之間用串口連接的話需要提前添加串口模塊如WIC-1T交換機(jī)做三層SVI接口需要選擇三層交換機(jī)如3560系列二層交換機(jī)2960是不支持接口下配IP地址的。拖出設(shè)備之后先雙擊查看物理選項(xiàng)卡確認(rèn)接口夠用再開(kāi)始連線。1.3 拓?fù)湓O(shè)計(jì)里的關(guān)鍵決策用什么線、什么時(shí)候用三層設(shè)備CPT連線界面里有一堆線纜類型銅纜直通線、銅纜交叉線、光纖、串口線、console線。初學(xué)者最容易在這里犯錯(cuò)。規(guī)則其實(shí)很簡(jiǎn)單同類型設(shè)備互聯(lián)用交叉線不同類型設(shè)備互聯(lián)用直通線。這里的“類型”指的是設(shè)備角色——路由器連路由器是交叉線交換機(jī)連交換機(jī)是交叉線交換機(jī)和PC是直通線路由器和交換機(jī)是直通線路由器和PC也是直通線。不過(guò)實(shí)際配置中有個(gè)更穩(wěn)的技巧在CPT里用“自動(dòng)選擇連接類型”模式軟件會(huì)自動(dòng)判斷用直通還是交叉基本不會(huì)錯(cuò)。如果手動(dòng)選錯(cuò)了線纜類型鏈路指示燈會(huì)變紅或者不亮這也是排查物理層問(wèn)題時(shí)的第一反應(yīng)——先看兩個(gè)接口的指示燈是不是都是綠色。還有要不要用三層交換機(jī)的問(wèn)題。很多實(shí)驗(yàn)場(chǎng)景里需要VLAN間路由也就是讓不同VLAN的PC能互通。有兩種做法一種是路由器子接口Router-on-a-stick把Trunk鏈路接到路由器在路由器物理接口上劃分子接口并封裝802.1Q另一種是用三層交換機(jī)在交換機(jī)上創(chuàng)建VLAN虛擬接口SVI開(kāi)啟ip routing功能。我的經(jīng)驗(yàn)是接口數(shù)量夠的話優(yōu)先用三層交換機(jī)做VLAN間路由配置量小、邏輯清晰、排錯(cuò)也容易。子接口方案雖然經(jīng)典但要在子接口上反復(fù)配置encapsulation學(xué)生反而容易漏掉封裝命令。2. 核心細(xì)節(jié)解析VLAN劃分與跨交換機(jī)Trunk通信2.1 實(shí)驗(yàn)?zāi)繕?biāo)與拓?fù)湓O(shè)計(jì)這個(gè)實(shí)驗(yàn)是《計(jì)算機(jī)網(wǎng)絡(luò)》課程里最經(jīng)典的一個(gè)在一臺(tái)或多臺(tái)交換機(jī)上劃分VLAN實(shí)現(xiàn)廣播隔離。我慣用的場(chǎng)景是模擬某公司內(nèi)部網(wǎng)絡(luò)財(cái)務(wù)部PC分在VLAN 10技術(shù)部PC分在VLAN 20兩臺(tái)PC接在同一臺(tái)交換機(jī)上要求兩個(gè)部門之間二層隔離但都能訪問(wèn)各自的網(wǎng)關(guān)。拓?fù)湓O(shè)計(jì)如下一臺(tái)2960二層交換機(jī)連接兩部門PC如果難度升級(jí)再加一臺(tái)交換機(jī)讓兩個(gè)VLAN跨兩臺(tái)設(shè)備分布交換機(jī)之間用一條鏈路做Trunk。IP地址規(guī)劃參考下表設(shè)備接口IP地址所屬VLANPC-A財(cái)務(wù)網(wǎng)卡192.168.10.2/24VLAN 10PC-B技術(shù)網(wǎng)卡192.168.20.2/24VLAN 20交換機(jī)SW1端口F0/1AccessVLAN 10無(wú)交換機(jī)SW1端口F0/2AccessVLAN 20無(wú)交換機(jī)SW1端口F0/24Trunk無(wú)2.2 交換機(jī)配置步驟進(jìn)入交換機(jī)的命令行界面后先改主機(jī)名方便后續(xù)排錯(cuò)。然后是核心三步創(chuàng)建VLAN、把接口劃進(jìn)VLAN、檢查VLAN表。創(chuàng)建VLAN用以下命令Switch enable Switch# configure terminal Switch(config)# hostname SW1 SW1(config)# vlan 10 SW1(config-vlan)# name Finance SW1(config-vlan)# vlan 20 SW1(config-vlan)# name Technical注意進(jìn)入vlan配置模式后還可以給VLAN起個(gè)名字方便識(shí)別這個(gè)習(xí)慣非常好尤其是拓?fù)淅颲LAN數(shù)量多的時(shí)候show vlan brief出來(lái)滿屏數(shù)字根本看不出哪個(gè)VLAN對(duì)應(yīng)哪個(gè)業(yè)務(wù)。接下來(lái)把接口劃入對(duì)應(yīng)VLAN。這里有個(gè)新手必踩的坑單獨(dú)進(jìn)去一個(gè)個(gè)接口配的話容易漏配所以我通常用interface range批量選擇SW1(config)# interface range f0/1-2 SW1(config-if-range)# switchport mode access SW1(config-if-range)# switchport access vlan 10 SW1(config-if-range)# interface f0/3 SW1(config-if)# switchport mode access SW1(config-if)# switchport access vlan 20接口默認(rèn)是動(dòng)態(tài)自動(dòng)協(xié)商模式我們要明確指定為access模式否則后面接Trunk時(shí)容易產(chǎn)生模式和VLAN歸屬的歧義。如果實(shí)驗(yàn)是多臺(tái)交換機(jī)跨設(shè)備鏈路需要配TrunkSW1(config)# interface f0/24 SW1(config-if)# switchport mode trunk另一臺(tái)交換機(jī)SW2上同樣操作。配置完成后用show vlan brief和show interfaces trunk驗(yàn)證。2.3 驗(yàn)證方法與易錯(cuò)點(diǎn)驗(yàn)證VLAN實(shí)驗(yàn)是否成功最直觀的方法是讓兩臺(tái)不同VLAN的PC互ping。如果VLAN隔離生效ping是不通的因?yàn)閺V播域被分開(kāi)了。這里要跟同學(xué)強(qiáng)調(diào)一點(diǎn)實(shí)驗(yàn)做成功不是說(shuō)所有PC都能互通而是要達(dá)到“設(shè)計(jì)預(yù)期”——該通就通不該通就不通。如果發(fā)現(xiàn)本來(lái)應(yīng)該在同一個(gè)VLAN的兩臺(tái)PC ping不通按這個(gè)順序排查第一步show vlan brief確認(rèn)接口的VLAN歸屬是否正確第二步檢查兩端接口是否都是access模式且處于up狀態(tài)第三步確認(rèn)PC的IP地址和掩碼有沒(méi)有配錯(cuò)?？缃粨Q機(jī)場(chǎng)景有個(gè)經(jīng)典錯(cuò)誤Trunk鏈路兩端一端是access模式一端是trunk模式這種情況下鏈路狀態(tài)雖然可能顯示up但實(shí)際上VLAN信息透?jìng)饔袉?wèn)題。排錯(cuò)時(shí)用show interfaces trunk查看哪一端沒(méi)有進(jìn)入trunk狀態(tài)。另外思科交換機(jī)默認(rèn)Trunk允許多個(gè)VLAN通過(guò)要注意allowed vlan列表中是否已經(jīng)包含了你需要的VLAN雖然沒(méi)有特意配置的話默認(rèn)是all但如果之前在別的實(shí)驗(yàn)里改過(guò)就很容易踩雷。3. 實(shí)操走一遍靜態(tài)路由與默認(rèn)路由實(shí)驗(yàn)3.1 為什么教學(xué)場(chǎng)景下必須練靜態(tài)路由動(dòng)態(tài)路由協(xié)議OSPF、RIP雖然聽(tīng)起來(lái)更“高級(jí)”但本科實(shí)驗(yàn)的核心仍然是靜態(tài)路由。原因很簡(jiǎn)單靜態(tài)路由能讓你親眼看到路由表里每一條條目是怎么來(lái)的——目標(biāo)網(wǎng)段、掩碼、下一跳地址這三個(gè)字段的關(guān)系清楚了動(dòng)態(tài)路由協(xié)議本質(zhì)上做的也是這件事但它是靠算法算而不是管理員手寫。沒(méi)見(jiàn)過(guò)靜態(tài)路由的人直接上OSPF最容易出現(xiàn)“配置照抄但完全沒(méi)理解路由是怎么傳遞的”這種尷尬。這個(gè)實(shí)驗(yàn)我通常設(shè)計(jì)為三臺(tái)路由器首尾相連形成一個(gè)鏈?zhǔn)酵負(fù)鋬蛇吀鲯煲粋€(gè)網(wǎng)段路由器之間用串口連接。用串口有個(gè)好處——比以太網(wǎng)端口更貼近真實(shí)WAN環(huán)境也能順便練到clock rate、bandwidth這類串口特有命令。3.2 拓?fù)湓O(shè)計(jì)與IP規(guī)劃拓?fù)淙缦翿1-R2-R3串聯(lián)。R1的G0/0接口連接左邊PC1網(wǎng)段192.168.10.0/24R3的G0/0接口連接右邊PC2網(wǎng)段192.168.30.0/24。R1和R2之間網(wǎng)段是12.1.1.0/30R2和R3之間網(wǎng)段是23.1.1.0/30。用/30掩碼是有講究的點(diǎn)對(duì)點(diǎn)鏈路只需要兩個(gè)可用IP/30正好提供兩個(gè)可用主機(jī)地址不會(huì)浪費(fèi)地址空間也更接近真實(shí)工程設(shè)計(jì)習(xí)慣。設(shè)備接口IP地址接口類型R1G0/0192.168.10.1/24以太網(wǎng)口R1S0/0/012.1.1.1/30串口R2S0/0/012.1.1.2/30串口R2S0/0/123.1.1.2/30串口R3S0/0/023.1.1.1/30串口R3G0/0192.168.30.1/24以太網(wǎng)口R2通常還要加一個(gè)環(huán)回口Loopback0IP地址為10.2.2.2/32用來(lái)模擬R2上直連的一條“服務(wù)器網(wǎng)段”這樣可以測(cè)默認(rèn)路由的匯聚效果。3.3 串口配置與靜態(tài)路由命令細(xì)節(jié)串口接口在真實(shí)設(shè)備上需要設(shè)置時(shí)鐘頻率DCE端提供時(shí)鐘CPT也會(huì)模擬這個(gè)行為。連好線后要先確定哪一端是DCE端在接口配置模式下敲clock rate 64000學(xué)習(xí)用足夠。排錯(cuò)時(shí)注意如果串口一直down很可能是DCE端沒(méi)配clock rate。靜態(tài)路由命令格式是R1(config)# ip route 目標(biāo)網(wǎng)段 目標(biāo)掩碼 下一跳地址以R1為例它的直連網(wǎng)段是192.168.10.0/24和12.1.1.0/30要讓PC1能訪問(wèn)PC2R1需要知道192.168.30.0/24怎么走R1(config)# ip route 192.168.30.0 255.255.255.0 12.1.1.2這里目標(biāo)掩碼非常容易寫錯(cuò)。很多同學(xué)習(xí)慣寫成“反掩碼”那是因?yàn)锳CL里用的是反掩碼但路由表的掩碼是正常掩碼兩者不是一回事。另外下一跳地址必須是“跟自己直連的、能直接到達(dá)的”那個(gè)接口地址。比如R1上配置去192.168.30.0網(wǎng)段下一跳只能是12.1.1.2不能跨著寫12.1.1.2還要經(jīng)過(guò)R3——路由是一跳一跳傳遞的R1只需要知道“這個(gè)包交給鄰居R2即可”剩下的由R2自己決定。R2是中間路由器需要同時(shí)知道左邊和右邊的網(wǎng)段怎么走R2(config)# ip route 192.168.10.0 255.255.255.0 12.1.1.1 R2(config)# ip route 192.168.30.0 255.255.255.0 23.1.1.1R3的配置和R1對(duì)稱。配置完成后在R1上執(zhí)行show ip route看到“S”開(kāi)頭的條目就說(shuō)明靜態(tài)路由已經(jīng)寫進(jìn)路由表了。進(jìn)一步測(cè)試用ping 192.168.30.2 source 192.168.10.1注意這里用了source參數(shù)因?yàn)椴患觭ource的話路由器直接ping目標(biāo)地址時(shí)走的是出接口的源地址教學(xué)里為了測(cè)試完整鏈路明確源地址能更清楚地看到數(shù)據(jù)包往返路徑是否對(duì)稱。3.4 默認(rèn)路由的妙用默認(rèn)路由默認(rèn)網(wǎng)關(guān)路由寫成0.0.0.0 0.0.0.0 下一跳意思是“所有在路由表里找不到明確條目的目標(biāo)都丟給這個(gè)下一跳”。在這個(gè)實(shí)驗(yàn)里如果R1上想省掉寫192.168.30.0那條靜態(tài)路由可以只配一條默認(rèn)路由指給12.1.1.2效果一樣。但要跟學(xué)生講清楚一個(gè)原則默認(rèn)路由是“無(wú)奈的兜底”生產(chǎn)環(huán)境里只有在邊界設(shè)備上才有意義內(nèi)網(wǎng)路由器如果濫用默認(rèn)路由會(huì)導(dǎo)致數(shù)據(jù)包走向混亂。驗(yàn)證默認(rèn)路由是否生效同樣用show ip route注意觀察“S*”條目星號(hào)表示默認(rèn)路由。追蹤路徑用traceroute命令CPT里路由器上也是支持的能看到數(shù)據(jù)包逐跳經(jīng)過(guò)的IP地址比單看ping成功更有說(shuō)服力。4. 綜合實(shí)驗(yàn)落地DHCP自動(dòng)分配與ACL訪問(wèn)控制4.1 貼近真實(shí)辦公網(wǎng)的綜合場(chǎng)景設(shè)計(jì)單獨(dú)做DHCP實(shí)驗(yàn)或者單獨(dú)做ACL實(shí)驗(yàn)都太單薄我習(xí)慣把它們?nèi)噙M(jìn)同一個(gè)綜合場(chǎng)景模擬某公司辦公網(wǎng)接入層交換機(jī)連接員工PC核心三層交換機(jī)上開(kāi)啟DHCP服務(wù)自動(dòng)分發(fā)IP地址同時(shí)服務(wù)器區(qū)單獨(dú)劃分一個(gè)VLAN通過(guò)ACL控制哪些部門可以訪問(wèn)ERP服務(wù)器哪些部門禁止訪問(wèn)。拓?fù)湓O(shè)計(jì)為核心交換機(jī)三層交換機(jī)下聯(lián)兩臺(tái)接入交換機(jī)分別對(duì)應(yīng)財(cái)務(wù)部VLAN 10和訪客區(qū)域VLAN 30核心交換機(jī)另接一臺(tái)服務(wù)器VLAN 100。所有PC的IP地址都由核心交換機(jī)上的DHCP服務(wù)分配財(cái)務(wù)部允許訪問(wèn)服務(wù)器訪客區(qū)域禁止訪問(wèn)服務(wù)器。4.2 三層交換機(jī)的SVI與DHCP配置三層交換機(jī)要做VLAN間路由必須先創(chuàng)建VLAN并開(kāi)啟路由功能。2960是二層交換機(jī)不支持這個(gè)功能必須選3560或更高型號(hào)。關(guān)鍵命令如下SW3560(config)# ip routing SW3560(config)# vlan 10 SW3560(config)# vlan 30 SW3560(config)# vlan 100 SW3560(config)# interface vlan 10 SW3560(config-if)# ip address 192.168.10.1 255.255.255.0 SW3560(config-if)# no shutdown SW3560(config)# interface vlan 30 SW3560(config-if)# ip address 192.168.30.1 255.255.255.0 SW3560(config)# interface vlan 100 SW3560(config-if)# ip address 192.168.100.1 255.255.255.0SVI接口默認(rèn)是shutdown狀態(tài)忘了敲no shutdown這個(gè)坑我?guī)缀趺繉枚寄芤?jiàn)到。接著配置DHCP池。注意兩個(gè)細(xì)節(jié)排除地址一定要先配否則網(wǎng)關(guān)地址可能會(huì)被分給客戶端DNS服務(wù)器地址按實(shí)驗(yàn)要求填沒(méi)有真實(shí)DNS的話指向一個(gè)規(guī)劃地址即可。SW3560(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.10 SW3560(config)# ip dhcp pool VLAN10_POOL SW3560(dhcp-config)# network 192.168.10.0 255.255.255.0 SW3560(dhcp-config)# default-router 192.168.10.1 SW3560(dhcp-config)# dns-server 192.168.100.10接入交換機(jī)接到核心交換機(jī)的鏈路需要配置為Trunk接入交換機(jī)上的PC接口劃入對(duì)應(yīng)VLAN。PC端打開(kāi)DHCP自動(dòng)獲取模式幾秒鐘內(nèi)就能拿到IP地址。在PC的命令行里用ipconfig查看結(jié)果拿到的IP、網(wǎng)關(guān)、DNS如果和規(guī)劃一致說(shuō)明DHCP鏈路全通。4.3 ACL設(shè)計(jì)與放置位置ACL訪問(wèn)控制列表實(shí)驗(yàn)里最容易犯的錯(cuò)是把規(guī)則順序搞反思科ACL匹配是自上而下的一旦匹配就停止繼續(xù)檢查所以“拒絕”規(guī)則要放在“允許”規(guī)則之前。這個(gè)場(chǎng)景里我們要阻止VLAN 30訪問(wèn)VLAN 100但允許VLAN 10訪問(wèn)VLAN 100。標(biāo)準(zhǔn)ACL只能基于源地址匹配所以是寫“拒絕來(lái)自192.168.30.0網(wǎng)的流量”然后“允許其他所有流量”SW3560(config)# access-list 10 deny 192.168.30.0 0.0.0.255 SW3560(config)# access-list 10 permit any這里用的是反掩碼0.0.0.255表示只匹配前24位。應(yīng)用位置要選對(duì)ACL不是加在服務(wù)器接口上而是加在“從VLAN 30進(jìn)入三層交換機(jī)”的方向上。也就是說(shuō)在VLAN 30的SVI接口上應(yīng)用為入方向。SW3560(config)# interface vlan 30 SW3560(config-if)# ip access-group 10 in為什么放在VLAN 30的入口而不是服務(wù)器VLAN 100的入口因?yàn)锳CL放在離源端越近的地方無(wú)效流量就能越早被丟棄可以節(jié)省核心鏈路帶寬。這是ACL設(shè)計(jì)的一個(gè)基本原則我在實(shí)驗(yàn)課上會(huì)反復(fù)強(qiáng)調(diào)。配置完成后驗(yàn)證用VLAN 10的PC訪問(wèn)服務(wù)器正常用VLAN 30的PC訪問(wèn)服務(wù)器顯示超時(shí)。在接口上執(zhí)行show access-lists能看到匹配計(jì)數(shù)在增加說(shuō)明ACL確實(shí)在起作用。4.4 綜合驗(yàn)證可觀測(cè)點(diǎn)這個(gè)實(shí)驗(yàn)做完課堂上的驗(yàn)證點(diǎn)我通常會(huì)讓學(xué)生按順序執(zhí)行第一PC端ipconfig確認(rèn)DHCP拿到地址第二跨VLAN的PC互ping驗(yàn)證路由正常第三VLAN 10和VLAN 30分別訪問(wèn)服務(wù)器驗(yàn)證ACL生效第四核心交換機(jī)上show ip dhcp binding查看當(dāng)前DHCP綁定表。每一條命令想看什么結(jié)果我都要求學(xué)生在實(shí)驗(yàn)報(bào)告里寫清楚“預(yù)期結(jié)果”和“實(shí)際結(jié)果”這一步比配置本身更能體現(xiàn)是否真正理解。5. 常見(jiàn)問(wèn)題排查與速查表5.1 設(shè)備連不上和接口狀態(tài)異常實(shí)驗(yàn)中最常見(jiàn)的“設(shè)備連不上”發(fā)生在用終端軟件連接路由器時(shí)。很多同學(xué)用CPT自帶的終端點(diǎn)開(kāi)設(shè)備就能進(jìn)CLI但如果用的是真實(shí)軟件連接Console口波特率要設(shè)置成9600數(shù)據(jù)位8位停止位1位無(wú)校驗(yàn)。另外真實(shí)設(shè)備還有復(fù)位鍵操作、開(kāi)機(jī)時(shí)按CtrlBreak進(jìn)入ROMMON模式這些知識(shí)點(diǎn)CPT里雖然不涉及但考試時(shí)可能會(huì)考概念。接口不up的原因通常就三種線纜類型不對(duì)交叉線直通線選錯(cuò)、接口被手動(dòng)shutdown、對(duì)端設(shè)備沒(méi)開(kāi)機(jī)。CPT里設(shè)備默認(rèn)是開(kāi)機(jī)狀態(tài)所以重點(diǎn)檢查線纜。串口的話注意DCE端有沒(méi)有配置clock rate。5.2 ping不通的排查順序這個(gè)我自己總結(jié)了一個(gè)“三件套一看”的口訣。三件套是IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)。PC機(jī)上三樣配置都對(duì)才有繼續(xù)排查的價(jià)值。一看是看路由表中間路由器上show ip route確認(rèn)目標(biāo)網(wǎng)段有路由條目且下一跳正確。同網(wǎng)段ping不通核心是ARP問(wèn)題。CPT模擬模式下可以清楚看到ARP廣播是否得到回應(yīng)?？缇W(wǎng)段ping不通重點(diǎn)檢查網(wǎng)關(guān)所在設(shè)備的路由表、ACL是否誤傷。這里有一個(gè)非常典型的坑ACL里如果最后忘了寫permit any默認(rèn)規(guī)則是deny all所有流量都會(huì)被丟棄。這個(gè)時(shí)候ping意外不通show access-lists里匹配計(jì)數(shù)瘋狂漲基本就能定位。5.3 路由不生效的排查靜態(tài)路由配了也寫進(jìn)了路由表但數(shù)據(jù)還是不通這時(shí)候要看路由表的遞歸查找行為。思科路由器收到數(shù)據(jù)包后會(huì)查路由表確定下一跳和出接口如果下一跳地址本身不可達(dá)比如直連網(wǎng)段接口down這條路由在路由表中雖然有條目但不可用前面會(huì)出現(xiàn)“*”標(biāo)記。另外注意掩碼不要寫成反掩碼這是我前面提到的重點(diǎn)。如果traceroute顯示的跳數(shù)和預(yù)期不符比如R1到PC2只顯示一跳就終止說(shuō)明中間路由器沒(méi)有回包的路由也就是回程路由缺失。靜態(tài)路由實(shí)驗(yàn)的特點(diǎn)就是必須“雙向都配通”光配了正向忘了回向ping出去全是黑洞。5.4 問(wèn)題速查表現(xiàn)象可能原因排查思路解決參考接口指示燈紅色/不亮線纜類型選錯(cuò)或?qū)Χ嗽O(shè)備未開(kāi)機(jī)檢查線纜類型、確認(rèn)設(shè)備開(kāi)機(jī)換線纜類型或重新連接同VLAN的PC ping不通接口未劃入VLAN或PC網(wǎng)關(guān)配置錯(cuò)誤show vlan brief、檢查PC配置修正VLAN歸屬或PC網(wǎng)關(guān)不同VLAN的PC意外能通交換機(jī)開(kāi)啟了VLAN間路由或接口誤配為Trunk檢查SVI接口、show vlan刪除多余SVI、確認(rèn)Trunk鏈路跨網(wǎng)段ping不通缺少靜態(tài)路由或ACL阻止show ip route、show access-lists補(bǔ)路由、調(diào)整ACL規(guī)則順序DHCP獲取不到地址DHCP池配置錯(cuò)誤或scope耗盡show ip dhcp binding、檢查pool配置修正pool網(wǎng)段或擴(kuò)大地址池串口一直down缺少clock rateshow controllers在DCE端配置clock rateACL規(guī)則不生效應(yīng)用方向錯(cuò)誤或缺少permit anyshow access-lists查看匹配計(jì)數(shù)調(diào)整接口方向和規(guī)則順序5.5 幾個(gè)Packet Tracer特有的坑CPT和真實(shí)設(shè)備在某些細(xì)節(jié)上不完全一致這些差異要在實(shí)驗(yàn)課上說(shuō)清楚否則學(xué)生到真機(jī)上會(huì)懵。比如CPT里很多設(shè)備不支持真實(shí)IOS的某些命令常見(jiàn)的是HSPR、VRRP等冗余協(xié)議實(shí)驗(yàn)?zāi)M得比較粗糙再比如CPT里接口的命名和真實(shí)設(shè)備可能不同設(shè)備型號(hào)不一樣接口編號(hào)的規(guī)則也會(huì)不一樣。遇到命令敲不進(jìn)去的情況先檢查設(shè)備型號(hào)是否選對(duì)了然后再看是不是軟件版本不支持。還有保存配置的問(wèn)題。CPT關(guān)閉后配置默認(rèn)會(huì)丟失實(shí)驗(yàn)做完記得在CLI里執(zhí)行copy running-config startup-config或者通過(guò)“文件-保存”保存整個(gè)項(xiàng)目文件。很多學(xué)生辛辛苦苦配完結(jié)果軟件崩了重開(kāi)配置全沒(méi)了這種教訓(xùn)希望你們不要經(jīng)歷。寫在最后帶實(shí)驗(yàn)這些年我最大的體會(huì)是網(wǎng)絡(luò)實(shí)驗(yàn)最核心的技能不是“會(huì)敲命令”而是“知道敲完命令后該看什么輸出”。配置命令背得再熟如果看不懂show ip route里的路由條目、不理解show vlan brief里每個(gè)端口的狀態(tài)實(shí)驗(yàn)就是“照著博客做了一遍”而不是“做了一次自己的實(shí)驗(yàn)”。我建議剛開(kāi)始學(xué)的時(shí)候每敲一條配置緊跟著就是一條驗(yàn)證命令養(yǎng)成這種“配一個(gè)查一個(gè)”的習(xí)慣比什么都管用。另外一個(gè)小技巧做綜合實(shí)驗(yàn)之前先把每個(gè)設(shè)備的配置文件用TXT文檔存一份標(biāo)注清楚每臺(tái)設(shè)備上配了什么、為什么配出問(wèn)題的時(shí)候直接打開(kāi)文檔對(duì)照排錯(cuò)效率能提高一大截。Packet Tracer這個(gè)軟件雖然看著簡(jiǎn)單但它承載的“設(shè)計(jì)-配置-驗(yàn)證-排查”這套方法論才是以后走上網(wǎng)絡(luò)這條路的真正基本功。