1. 企业网络规划与IP地址划分构建企业网络的第一步是合理规划IP地址。就像盖房子需要先画图纸一样网络工程师拿到172.16.0.0/16这个地址块时要考虑如何划分才能满足不同部门的需求。我通常会采用区域化的划分思路把整个网络分成几个逻辑区域就像把办公楼分成不同楼层。以这个实验为例我们把整个地址空间划分为四个区域核心区域Area 0172.16.0.0/18分支机构1Area 1172.16.64.0/18分支机构2Area 2172.16.128.0/18数据中心Area 3172.16.192.0/18这种划分方式有三大优势管理清晰每个区域有独立的地址范围排查故障时能快速定位路由聚合OSPF可以在区域边界做路由汇总减少路由表大小安全隔离不同区域可以设置不同的访问策略实际配置时我习惯先配置环回地址Loopback这相当于给每台路由器发个身份证。比如R1的配置[R1]int LoopBack 0 [R1-LoopBack0]ip add 1.1.1.1 24环回地址要尽量简单好记通常用X.X.X.X/24格式X对应路由器编号。2. OSPF多区域部署实战OSPF就像网络世界的GPS导航系统而多区域设计则是它的精髓所在。在这个实验中我们部署了四个OSPF区域其中Area 0是必须存在的骨干区域。记得去年我给某客户部署网络时就因为没规划好区域导致路由更新风暴这次教训让我特别重视区域划分。区域认证配置是保证路由安全的关键步骤。想象一下如果随便一台设备都能加入你的OSPF网络那多危险我们在每个区域都启用了简单密码认证[R1-ospf-100-area-0.0.0.0]authentication-mode simple cipher 123虽然simple认证安全性不如MD5但在实验环境中完全够用。生产环境建议使用更复杂的认证方式。DR/BDR选举是另一个重点。在广播型网络中比如以太网OSPF会选举DR指定路由器和BDR备份指定路由器。这个实验要求R1作为DR且没有BDR这需要特殊配置[R2-GigabitEthernet0/0/0]ospf dr-priority 0 [R3-GigabitEthernet0/0/0]ospf dr-priority 0把其他路由器的优先级设为0它们就不会参与选举。DR就像小区里的物业管家负责转发所有邻居的信息减轻网络负担。3. 网络性能优化技巧网络不仅要能用还要好用。OSPF的默认Hello间隔是10秒这在快速变化的网络环境中可能响应不够及时。通过调整计时器可以显著提升收敛速度[R1-GigabitEthernet0/0/0]ospf timer hello 5把Hello时间从10秒改为5秒后邻居故障检测时间从40秒缩短到20秒。但要注意所有相连接口的计时器必须一致否则会导致邻居关系异常。另一个优化点是路由汇总。在ABR区域边界路由器上配置路由汇总能大幅减少LSDB规模[R1-ospf-100-area-0.0.0.1]abr-summary 172.16.64.0 255.255.192.0这就好比把一堆小包裹打包成一个大箱子既节省运输空间又提高效率。4. DHCP服务部署详解手动配置IP地址既麻烦又容易出错DHCP服务就是来解决这个痛点的。在这个实验中我们需要让PC2-5自动获取IP地址这需要路由器充当DHCP服务器。配置步骤分为三部分启用DHCP功能[R8]dhcp enable创建地址池[R8]ip pool vlan2 [R8-ip-pool-vlan2]network 192.168.1.0 mask 24 [R8-ip-pool-vlan2]gateway-list 192.168.1.1 [R8-ip-pool-vlan2]dns-list 8.8.8.8接口绑定[R8-GigabitEthernet0/0/1.1]dhcp select global [R8-GigabitEthernet0/0/1.1]dot1q termination vid 2 [R8-GigabitEthernet0/0/1.1]arp broadcast enable这里有个坑要注意子接口必须配置802.1Q封装否则DHCP请求无法正确转发。我曾经因为漏配这个导致客户端拿不到IP排查了半天才发现问题。5. 访问控制与NAT配置网络安全就像企业的门禁系统必须精细控制谁能进、能去哪。这个实验有几个特殊访问要求PC4能ping通R6但不能登录PC3能ping通PC5但反之不行这需要通过ACL访问控制列表来实现[R6]acl 3000 [R6-acl-adv-3000]rule deny tcp source 172.16.192.2 0.0.0.0 destination 172.16.64.1 0.0.0.0 destination-port eq telnet [R6-GigabitEthernet0/0/1]traffic-filter inbound acl 3000NAT配置让内网可以访问外网资源[R6]acl 2000 [R6-acl-basic-2000]rule permit source any [R6-GigabitEthernet0/0/0]nat outbound 2000这里有个实用技巧配置NAT前一定要先配默认路由否则数据包都不知道往哪转[R6]ip route-static 0.0.0.0 0 10.1.1.16. 远程登录与端口映射实验中有个有趣的需求PC1远程登录R7实际登录到R4。这需要通过NAT端口映射实现[R6-GigabitEthernet0/0/0]nat server protocol tcp global 10.1.1.3 telnet inside 4.4.4.4 telnet这相当于给R4开了个虚拟门牌号外部访问10.1.1.3的telnet请求会自动转到4.4.4.4。配置远程登录时要注意三点必须配置认证方式password或aaa要设置vty线路的权限级别最好配合ACL限制访问源[R4]user-interface vty 0 4 [R4-ui-vty0-4]authentication-mode password7. 网络连通性测试所有配置完成后必须做全面测试。我习惯按照以下顺序检查基础连通性ping测试各关键节点路由表检查确保所有网段都正确学习服务验证测试DHCP、远程登录等功能特殊策略验证ACL限制是否生效例如测试PC3与PC5的单向通信# 在PC3上 ping 192.168.4.1 # 应该成功 # 在PC5上 ping 192.168.2.1 # 应该失败如果遇到问题可以按这个流程排查检查物理连接状态查看接口IP配置验证OSPF邻居状态检查路由表查看ACL应用情况记得有次实验PC4就是无法ping通R6最后发现是中间有台路由器漏配了区域认证。这种问题通过逐步排查总能找到原因。