HCIA综合实验完整实战：从VLAN到NAT的企业网络配置与排错指南

做了这么多年网络，我一直觉得HCIA综合实验才是检验基础扎不扎实最狠的一道坎。很多证书考下来的人，单选多选能拿满分，题库刷得滚瓜烂熟，可一打开华为eNSP，看着拓扑图里三台交换机两台路由器，瞬间就不知道先配哪台、后配哪台。这个综合实验本质上就是把一个小型企业网从零到一搭起来，VLAN、Trunk、网关、OSPF、ACL、NAT全都要用上，任何一个环节断了，PC就ping不通。它不是考你背了多少条命令，而是考你有没有真的建立起“数据包从PC出发，经过交换机、路由器，最后到达外网，再原路返回”的完整链路思维。这篇文章我把整个HCIA综合实验的规划、配置、验证、排错过程完整拆开，适合三类人看：一是正准备考HCIA证书想练手的考生，二是培训课程结业要做大作业的学员，三是刚入行想提升实战能力的网络小白。

说实话，刷HCIA题库能帮你过笔试，但Hcia综合实验才是从“会做题”走向“会做项目”的分水岭。你在实验里踩过的每一个坑，在真实项目里大概率还会再踩一遍，所以认真做完一遍，比盲目刷三遍题更有价值。

1. HCIA综合实验核心解构：刷完题库为什么还要动手

1.1 一个典型题目背后藏着的完整网络

先看一道很典型的HCIA综合实验题长什么样。题目背景通常是这样的：某公司有三个部门，财务部、行政部、销售部，要求部门之间二层隔离，也就是VLAN分开，但三层可以互相访问；销售部出于安全考虑不允许主动访问财务部；全网自动获取IP地址；最终所有终端要能访问外网，网络设备支持远程管理。

设备清单一般是四台PC、两台二层接入交换机、一台三层汇聚交换机、一台企业出口路由器，再加一台模拟运营商侧的路由器。拓扑连接方式是PC分别接入两台二层交换机，二层交换机分别上联到汇聚交换机，汇聚交换机再和出口路由器互联，出口路由器连接运营商路由器，运营商侧做一个环回口模拟公网服务器。

这个题目不算复杂，但它把HCIA阶段最重要的技术全部串起来了：VLAN的划分、Access和Trunk口的区别、VLANIF三层网关、DHCP服务、OSPF动态路由、ACL访问控制、NAT地址转换、链路聚合、SSH管理。这就是为什么它叫“综合实验”，因为你不是在分别练习单个知识点，而是在一张拓扑上让所有知识点协同工作。

1.2 拆开看：这个综合实验到底考哪几块

很多人拿到题目第一个问题就是：我该从哪开始配？其实综合实验的配置顺序是有讲究的，原则上按“自下而上、先内后外”的顺序：

第一块是接入与二层通信，也就是在接入交换机上划分VLAN、设置接口类型、配置Trunk放行。这一块解决的是PC能不能在同一个VLAN内互通，以及VLAN标签能不能通过上联链路传到汇聚交换机。

第二块是三层网关，在汇聚交换机上创建VLANIF接口，给每个业务VLAN配一个网关地址，这样就打通了不同VLAN之间的路由。这一块解决的是跨VLAN通信。

第三块是动态路由，在核心交换机、出口路由器、运营商路由器之间运行OSPF，把内部网段和外部网段互相通告，让全网路由表完整。这一块解决的是路由器怎么知道去往各个网段走哪条路。

第四块是出口能力，在出口路由器上做NAT，让私网地址在访问公网时转换成公网地址；同时配合ACL控制哪些流量能做NAT。

第五块是附加项，包括链路聚合提升带宽冗余、DHCP自动分配地址、SSH远程管理。这些功能单独看都不难，但叠在一起时，配置顺序一旦乱掉，排错就会非常痛苦。

1.3 HCIA题库、实验、项目实战三者的关系

这里插一句我对HCIA题库的看法。题库是拿来过的，不是拿来理解的，它的作用是帮你熟悉考点，知道华为考试喜欢从哪个角度出题。但如果你只刷题库不做实验，遇到真实场景会完全抓瞎，因为题目不会告诉你“现在财务部ping不通销售部，请排查”。

HCIA综合实验正好补上这个断层。它逼着你去读命令输出，去思考为什么数据包走到某一步就丢了，去习惯“配置完必须验证”这个职业习惯。等你做完两到三遍综合实验，再去看一些项目实战的案例，比如多部门楼宇网络、大型园区网接入，你会发现思路基本一致，无非是设备更多、冗余要求更高、安全策略更复杂。所以我的建议很明确：题库保证你考得过，实验保证你入得了行，缺一不可。

2. 开局规划：工具、拓扑和IP地址不能凭感觉

2.1 用什么练：eNSP、真机箱还是云实验

HCIA综合实验最常见的练习环境是华为eNSP模拟器，免费、启动快、支持绝大多数HCIA阶段的命令，对新手非常友好。eNSP里你不需要考虑接线错误、模块松动的物理问题，但它的缺点也很明显，模拟器对OSPF收敛速度、链路聚合负载均衡这类性能细节表现得很理想化，真实设备上可能遇到的问题它模拟不出来。

如果你有预算，买个二手的华为真机实验箱也很好，两到三台S5700交换机加一台AR路由器，一套下来体验会完全不同。真机上你能看到风扇声、指示灯、控制台输出的真实节奏，也会遇到console线松动、设备配置文件被改乱这类意外情况。这些都是宝贵的现场经验。

从实战角度讲，我建议你用eNSP先把综合实验跑通，把命令和逻辑练熟；如果条件允许，再用真机做一遍，感受设备和模拟器之间的差异。eNSP选版本的时候尽量选带WLAN、USG6000V的完整版，后面的项目实战扩展会用得到。

2.2 从零设计一份能撑起整个实验的IP规划

IP规划是整个综合实验的地基，地基打歪了，后面所有配置都会摇摇晃晃。规划的核心原则是：网段清晰、不重叠、留好扩展空间、网关统一放在汇聚交换机上。

按照前面那道典型题目，我通常这样规划：

这里重点解释两个细节。第一个是用/30掩码做路由器间互联，因为这种P2P链路只需要两个可用IP，用/30最节省地址，如果全部用/24会造成地址浪费。第二个是VLAN100单独划出来做管理VLAN，不要和业务VLAN混在一起，这样网络设备的管理流量和业务流量就分开了，安全性和可维护性都会更好。

2.3 动手前的“三步自查”

配置前花五分钟做三个检查，能替我省下一整晚的排错时间。

第一步检查eNSP设备启动状态，所有设备的指示灯必须是绿色，如果显示红色说明没有正常启动，先关掉重启，不要急着配置。第二步检查接口编号，不同设备的接口编号规则不同，比如S5700交换机通常是GigabitEthernet0/0/1，AR路由器通常是GigabitEthernet0/0/0，配错接口是新手最常见的低级错误。第三步检查设备命名规划，我建议顶层设备用有意义的名称，比如SW1、SW2、SW3、R1、R2，并且把设备名写在纸上，配完一台保存一台，避免后面忘记哪台是哪台。

3. 分模块配置实操：照着敲一遍就会了

3.1 接入层：VLAN划分和Trunk放行

从接入交换机开始是最合理的顺序，因为终端PC先接触到的就是接入层设备。在SW1上，我规划GE0/0/1接PC1，属于VLAN10财务部；GE0/0/2接PC2，属于VLAN20行政部；GE0/0/3和GE0/0/4两条链路做Eth-Trunk上联到SW3。

先看SW1的基础配置：

sysname SW1 vlan batch 10 20 100 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 100 interface GigabitEthernet0/0/3 eth-trunk 1 interface GigabitEthernet0/0/4 eth-trunk 1

这里有三个容易出问题的点。

第一个是Access口和Trunk口的区别。接PC的端口要设成Access，因为PC发出来的是不带VLAN标签的普通数据帧，交换机收到后用port default vlan给它打上对应VLAN的标签。接交换机的上联端口要设成Trunk，因为Trunk口可以携带多个VLAN的数据帧，让VLAN10、VLAN20的流量都能跨交换机传输。

第二个是port trunk allow-pass的写法。很多新手只放行了VLAN10和20，忘了VLAN100，结果后面管理VLAN不通。这里我把VLAN100管理网段也一起放行了，方便后续远程管理。

第三个是Eth-Trunk的配置方式。我在物理接口GE0/0/3和GE0/0/4下执行eth-trunk 1，把它们加入了Eth-Trunk1这个逻辑接口。你也可以在Eth-Trunk1视图下执行trunkport GigabitEthernet0/0/3，效果一样。需要注意两端交换机必须都配置Eth-Trunk，且成员口数量、速率、双工模式要一致。

SW2的配置逻辑完全一样，区别只是PC接的VLAN不同，我让SW2的GE0/0/1接VLAN30销售部的PC3，GE0/0/2接VLAN20行政部的PC4，两个上联口同样做Eth-Trunk。配置完后，在SW1上执行display vlan，能看到VLAN10和VLAN20已经存在且有对应端口；在SW3上执行display eth-trunk 1，确认链路聚合状态为Up，就说明二层这一段通了。

3.2 汇聚层：VLANIF网关与DHCP自动分配

接入层配完后，终端还只能在同一个VLAN内部通信，要让不同VLAN的PC互通，必须把网关起在路由设备上。HCIA综合实验里这个角色通常是三层汇聚交换机SW3，我给它规划三种角色：二层交换机的汇聚点、业务VLAN的网关、DHCP服务器。

SW3的核心配置如下：

sysname SW3 vlan batch 10 20 30 100 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 100 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 eth-trunk 1 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 interface Vlanif30 ip address 192.168.30.1 255.255.255.0 interface Vlanif100 ip address 192.168.100.1 255.255.255.0

VLANIF接口的本质就是给VLAN创建一个三层逻辑接口，配好IP后就成了这个网段的网关。数据帧进入交换机后，交换机剥离VLAN标签，通过VLANIF接口查路由表进行三层转发。这也是“VLAN间路由”最常见的实现方式。

接下来配置DHCP，让终端自动获取地址。在SW3上先全局开启DHCP，再起地址池，最后在接口下调用：

dhcp enable ip pool vlan10 gateway-list 192.168.10.1 network 192.168.10.0 mask 255.255.255.0 dns-list 100.64.1.1 ip pool vlan20 gateway-list 192.168.20.1 network 192.168.20.0 mask 255.255.255.0 dns-list 100.64.1.1 ip pool vlan30 gateway-list 192.168.30.1 network 192.168.30.0 mask 255.255.255.0 dns-list 100.64.1.1 interface Vlanif10 dhcp select global interface Vlanif20 dhcp select global interface Vlanif30 dhcp select global

这里要注意，DHCP地址池的网段必须和接口的IP地址在同一网段，否则终端获取不到合法地址。我在地址池里指定的DNS是运营商模拟器上的环回地址100.64.1.1，实际项目中这里应该填运营商的DNS服务器地址，但在纯实验环境下只是为了打通流程，主要看的是PC能不能拿到正确的网关和IP。

PC接口设置成DHCP方式后，在模拟器里可以进入PC的命令行执行ipconfig查看获取情况。如果拿到的是192.168.10.x段的地址且网关是192.168.10.1，说明这一步就成功了。

3.3 路由层：OSPF把业务网段全部打通

VLAN间路由在SW3内部已经通了，但SW3只知道自己的直连网段和连接到出口路由器的10.0.1.0/30网段，它不知道外网100.64.1.1怎么走；同理出口路由器也不知道内网192.168.10.0/24、192.168.20.0/24这些网段在哪。这个时候就需要OSPF动态路由协议来交换路由信息。

在SW3上配置OSPF，宣告所有业务网段和互联网段：

ospf 1 router-id 3.3.3.3 area 0.0.0.0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 10.0.1.0 0.0.0.3

在出口路由器R1上配置：

sysname R1 interface GigabitEthernet0/0/1 ip address 10.0.1.1 255.255.255.252 interface GigabitEthernet0/0/0 ip address 10.0.2.1 255.255.255.252 ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.1.0 0.0.0.3 network 10.0.2.0 0.0.0.3

在运营商侧路由器R2上配置：

sysname R2 interface GigabitEthernet0/0/0 ip address 10.0.2.2 255.255.255.252 interface LoopBack0 ip address 100.64.1.1 255.255.255.255 ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 10.0.2.0 0.0.0.3 network 100.64.1.1 0.0.0.0

很多人对OSPF有两个困惑，我在实验里也反复给学员解释。第一个是network命令里的反掩码是怎么来的，/24的反掩码是0.0.0.255，/30的反掩码是0.0.0.3，反掩码的计算规则是把正掩码的0和1互换，不用死记，会换算就行。第二个是为什么要在接口所在的网段上宣告，因为OSPF只会把接口状态为Up且匹配network规则的网段放入链路状态数据库，漏掉任何一个网段，那部分路由就学不到。

配置完成后，在任意一台路由器上执行display ospf peer，看到邻居状态是Full，说明OSPF邻居已经建立。再执行display ip routing-table，能看到去往所有网段的OSPF路由条目，全网路由就真正打通了。

3.4 转发控制：ACL限制跨部门访问

路由打通之后，整个内网可以任意互访了，但题目要求销售部不能主动访问财务部。这就轮到ACL出场。ACL访问控制列表的本质是一组匹配规则，决定数据包是放行还是丢弃，就像小区门禁系统，不是所有人都能进每一栋楼。

我在SW3上配置高级ACL 3000，因为高级ACL可以同时匹配源IP和目的IP，适合做网段间的访问控制：

acl number 3000 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 permit ip interface Vlanif30 traffic-filter inbound acl 3000

配置思路是：先从销售部所在的VLAN30入口方向拦住去往财务部VLAN10的流量，再放行其他所有流量。这里有两个关键点。

第一是ACL匹配顺序问题，华为设备默认按照规则编号从小到大匹配，编号5的deny规则先起作用，所以销售部访问财务部的流量会在VLANIF30的入口被丢弃；如果没有rule 10 permit ip这条兜底规则，其他所有流量都会被隐含的deny all拦掉，导致网络直接瘫痪。第二是方向问题，我在Vlanif30下做的是inbound方向过滤，也就是从VLAN30内部进入三层交换机的流量，这个方向选对才能精准控制“销售部出去”的流量。

如果题目要求财务部也不能被其他部门访问，则在VLANIF10接口的inbound方向再挂一条ACL；如果要求双向限制，就分别在两个VLANIF下配置。做完后在PC3上ping PC1，如果ping不通，而在PC4上ping PC1正常，就说明ACL生效了。

3.5 出口边界：NAT让内网顺利访问外网

到目前为止，内网的路由已经通了，PC1也能ping通网关，但从PC1去ping运营商侧的100.64.1.1还是不通，原因很简单：私网地址192.168.10.1到了互联网上根本无法路由。解决办法就是在出口路由器R1上做NAT地址转换，把内网私网地址转换成出接口的公网地址。

首先配置一个基本ACL，匹配允许被NAT转换的内网地址段：

acl number 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 rule 15 permit source 192.168.30.0 0.0.0.255

然后在R1连接运营商的出接口GigabitEthernet0/0/0上应用：

interface GigabitEthernet0/0/0 nat outbound 2000

nat outbound 2000这条命令的意思很直观：凡是匹配ACL 2000的流量，在从这个接口出去的时候，把源IP替换成该接口的地址10.0.2.1。因为运营商路由器R2回包时只需要把数据包送到10.0.2.1，R1会维护一张NAT转换表，再把回包转换成内网地址发回去，整个过程对终端PC是透明的。

这里有个坑我必须提醒：做NAT之前要确保R1有去往100.64.1.1的路由。我们这个环境是通过OSPF学到的，所以没问题；但如果你用的是静态路由，一定记得写一条指向R2的默认路由或明细路由，否则数据包出不去。

配置完成后，在PC上ping 100.64.1.1，应该能通。如果想看得更清楚，可以在R1上执行display nat session all，能看到内网地址和公网地址的转换记录，比如源地址192.168.10.1转换成了10.0.2.1，这个过程就是典型的NAT会话。

3.6 加分项：链路聚合与SSH远程管理

前面的配置已经能让业务跑通了，但这道综合实验如果想做得完整，通常还会加两个加分项：链路聚合已经在前文提到过，另一个是SSH远程管理。

SSH配置的核心是认证方式和用户权限。在SW3上配置：

stelnet server enable aaa local-user admin password cipher Huawei@123 local-user admin privilege level 15 local-user admin service-type ssh user-interface vty 0 4 authentication-mode aaa protocol inbound ssh

这里解释一下几个关键点。stelnet server enable是开启SSH服务端功能，不开启的话远端无法连接。AAA视图下创建了一个本地用户admin，密码是Huawei@123，权限等级15表示最高权限，可以进入系统视图执行所有配置命令。最后在VTY用户界面下指定使用AAA认证，并且只允许SSH协议接入。

配完后，在PC1上可以打开命令行工具执行ssh admin@192.168.100.1，输入密码后就能登录到SW3上，这种感觉和真实项目里远程管理网络设备是一样的。如果你在真机上做实验，SSH还涉及生成RSA密钥的步骤，需要执行rsa local-key-pair create，但eNSP里一般不需要。

链路聚合这个加分项在3.1已经配置在SW1和SW3之间了，它的价值在于两点：一是把两条物理链路捆成一条逻辑链路，带宽翻倍；二是如果其中一条物理链路断开，流量自动切换到另一条，不会导致网络中断。在HCIA综合实验里能主动加上链路聚合，说明你对冗余设计是有意识的，这在面试里是很加分的点。

4. 验证与排错：HCIA综合实验避坑实录

4.1 验证命令速查：每个环节该看什么

实验做得再好，不会验证等于白做。我整理了一张高频验证命令表，放在手边随时查：

这些命令不一定要全部敲一遍，但关键节点一定要看。比如ACL配完，光看配置觉得没问题不行，你要在PC上发起一次ping，然后马上执行display acl 3000，看到计数器的匹配次数增加了，才能证明规则真的在起作用。

4.2 高频报错的排查思路

综合实验里最经典的一个问题就是：PC获取不到IP地址，或者获取的IP是169.254开头。169.254这个地址是Windows系统在没拿到DHCP地址时自动生成的链路本地地址，看到它基本可以断定DHCP出了问题。排查顺序是：先看交换机的VLANIF接口是否配置了IP，再看接口下有没有执行dhcp select global，三看地址池网段和接口网段是否一致，四查PC到交换机之间中间的Trunk链路有没有放行对应VLAN。

第二个高频问题是OSPF邻居起不来。最常见原因有两个，一是Router-ID冲突，比如三台设备都默认选用了同一个接口地址作为Router-ID；建议在每台设备上手动指定router-id，确保全局唯一。二是接口间的网段不一致，比如一边配了/30，一边配成了/29，两边不在同一个子网上，邻居自然建立不起来。排查时执行display ospf error，能看到错误类型统计，里面会有提示。

第三个高频问题是ACL明明配了但没效果。先检查是不是方向挂反了，很多人把inbound和outbound搞混；再检查规则编号顺序，deny规则必须排在permit规则前面；最后检查ACL有没有被接口引用，有时候配置了ACL但忘了在接口下用traffic-filter调用，等于白写。

4.3 一套通用的“五步定位法”

我在带人做实验的时候，遇到网络不通从来不直接给答案，而是教一套通用的五步定位法，这套方法在工作中也一样好用。

第一步看物理层，执行display interface brief，确认接口状态不是down。如果接口down了，检查线缆、接口编号是否接错。第二步看数据链路层，对于交换机之间的Trunk链路，确认display port vlan里两端的PVID和放行VLAN一致。第三步看网络层，从源设备逐跳ping到目的设备，哪一跳断了就说明问题出在哪一段，这个排查效率极高。第四步看路由表，如果直连通但跨设备不通，执行display ip routing-table，看看去往目标网段的路由是否存在。第五步看策略，路由表有路由还是不通，考虑ACL、NAT等策略是否拦截了流量。

这套方法看起来笨，但几乎能解决80%的实验故障。因为它遵循了OSI模型的层次关系，每一层都验证过了再往下一层走，绝不会像无头苍蝇一样乱试。

5. 从实验台到项目现场：HCIA之后怎么继续走

5.1 实验和真项目差在哪里

HCIA综合实验做得很溜，不代表到了项目现场就能独当一面，我这里说几个真实的差异点。

第一个差异是设备规模。实验里三五台设备，项目里可能是几十台上百台，网络规模上来之后，IP规划、VLAN规划、路由协议设计都会复杂很多，ACL策略也会几十条上百条地堆叠，顺序稍微不对就可能引发连锁问题。第二个差异是冗余和高可用。实验里链路断了，只要重新接上就好；项目里核心设备断了，整个业务就停了，所以项目还要考虑堆叠、链路聚合、双出口、VRRP等冗余方案，这些在HCIA阶段有一些概念，在HCIP阶段才是重点。第三个差异是真实业务流量。实验里ping通就算成功，项目里还要考虑带宽、时延、抖动、安全审计，设备CPU和内存占用率也要关注。

5.2 常见变体题与扩展方向

HCIA综合实验的题目虽然千变万化，但套路差不多，你做完一遍后可以试着改几个条件：把“销售部不允许访问财务部”改成“财务部只能被行政部访问”，ACL规则就要变；把单出口改成双出口，NAT、路由策略、等价路由就要重新设计；把二层接入改成带接入网关的旁挂防火墙，安全域的划分又成了核心；把OSPF改成静态路由和默认路由，又把路由设计逻辑整个翻了一次。

这些变体题练的不是命令，而是设计思路。你每改一个条件，就要问自己：这会影响哪一层？是二层放行VLAN的问题，还是三层路由的问题，还是出口NAT的问题？思路理顺了，再多的变体题也难不倒你。

5.3 一点个人的经验和建议

最后说说我自己这些年下来的一些经验。HCIA综合实验不要只做一遍，第一遍照抄命令跑通，第二遍不看任何文档从头配置，第三遍给自己加需求扩展功能，三遍下来才算真正掌握了。也不用急着追求一次全通，实验过程中故意犯错反而是好事，因为每一个错误都会让你对这个协议的理解更深。我在实际项目里验证过的排错经验，很多都是从实验里的坑积累起来的。如果你正在为这个综合实验头疼，别怕，把每一步验证命令养成习惯，一个月之后回头看，你会发现自己的网络思维已经完全不同了。