交换机路由器课程设计：VLAN、DHCP、ACL、NAT 配置实战与避坑指南

简介：这是一份面向计算机网络课程实训的「交换机和路由器的配置」课程设计文档，适合正在完成网络设备配置大作业或备考网络工程师实操环节的本科生与高职学生。文档以 Cisco Packet Tracer 5.0 模拟环境为基础，围绕两台 Cisco 2621 路由器与多台 2960/3560 交换机展开，完整覆盖需求分析、拓扑设计、VLAN 划分、生成树协议、三层交换与路由配置等关键内容，并详细讲解 ping 命令的跨网段工作流程与 show ip route 路由表查看方法，可直接作为设计报告框架与配置排错参考。资源为 1 个 doc 文件，压缩包大小 562KB，内含需求分析、概要设计、详细设计、调试与操作说明、参考文献及附录等完整章节，结构清晰、便于修改复用。该资料已有 460 人浏览学习，适合需要快速搭建课程设计报告结构并理解路由交换核心配置的学习者。

1. 它到底是什么：一次网络课程设计里的“企业级初体验”

交换机与路由器的配置课程设计，往往不是你想象中的“背命令、抄配置”。它是一个模拟真实企业网络从零到一的过程：分管不同部门的交换机、负责跨网段转发的路由器、保证内网能访问外网的NAT、限制非法访问的ACL……所有东西都要在同一个拓扑里协作。很多同学做完之后最大的感受是：单看每个设备都会配，但把VLAN、路由、DHCP、ACL、NAT全部串起来，才意识到“联通”和“可用”之间隔着多少细节。

这门课程设计的价值在于，它逼着你从“看懂配置”走向“设计配置”。你不再是照着老师的PPT敲一遍，而是要自己回答三个问题：业务怎么划分网段？流量怎么走？哪些访问必须被禁止？如果你正在准备华为、锐捷或思科的模拟器实验，这篇笔记会从规划开始，一步步带你走到最终验收，同时把最常见的翻车点提前排掉。后文统一用华为eNSP为演示环境，原因无它：上手门槛低，命令风格在企业里也通用。

2. 规划先行：把拓扑、VLAN 与 IP 地址一次性想清楚

2.1 拓扑结构怎么定：三层架构是默认答案

课程设计最常见的拓扑是三层的：核心层（路由器或三层交换机）、汇聚层（可选）、接入层（二层交换机）。如果题目没有硬性规定，我建议用一台路由器加两台二层交换机的结构：路由器连接两台交换机，PC分散在两台交换机下，模拟财务部、办公部两个部门。不要一上来就追求复杂，课程设计的评分重点在逻辑正确、配置规范、说明清楚，而不是设备数量堆砌。

拓扑思路大致是：

• R1：企业出口路由器，同时承担VLAN间路由和NAT功能
• SW1：接入二层交换机，承载VLAN 10（办公部）PC1、PC2
• SW2：接入二层交换机，承载VLAN 20（财务部）PC3、PC4
• R1与SW1、SW2之间用G0/0/1、G0/0/2接口连接，分别配置子接口

这里有一个关键决策点：VLAN间路由放在路由器还是三层交换机？如果课程设计里有三层交换机，就优先在交换机上起VLANIF接口，把路由放交换机侧；如果只有路由器加二层交换机，那就用路由器的子接口做单臂路由。两者原理不同，但目标一致。后者更常见，因为题目资源有限。

2.2 IP 与 VLAN 划分：先画表格再动手

在敲任何命令之前，先把IP规划表写出来，这是血泪经验。很多人在eNSP里配到一半发现地址冲突、网关不通，回头一看全是规划阶段偷懒。

这里有一个初学者容易懵的点：在单臂路由方案里，路由器物理接口只有一个，但逻辑上要分成多个子接口。交换机连路由器的那个口必须配成Trunk，不然VLAN标签过不去。PC侧接口必须是Access，指定到对应VLAN。规划表里把链路类型一起写清楚，后面配置时几乎不用动脑。

2.3 设备命名与版本选择：别在细节上丢分

eNSP里默认设备名称是AR1、SW1这种，课程设计报告里最好改成有意义的名称，例如R-Core、SW-Access-1。这只是sysname命令的事，但印象分差别很大。另外，如果设备型号选得太老，可能不支持某些特性；选得太新又和教程截图对不上。华为AR系列路由器在eNSP里功能足够，不必纠结。

3. 基础配置落地：从零把网络打通的最小命令集

3.1 交换机的 VLAN 配置与接口划分

交换机的配置分四步：改设备名、创建VLAN、把接口划入VLAN、配置Trunk。以SW1为例，完整配置如下：

# 进入系统视图 system-view # 修改设备名 sysname SW-Access-1 # 创建VLAN 10 vlan 10 description Office quit # 进入连接PC的接口，配置为Access模式并划入VLAN 10 interface GigabitEthernet 0/0/2 port link-type access port default vlan 10 quit # 进入上联路由器的接口，配置为Trunk interface GigabitEthernet 0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit

这段命令的逻辑是：先有VLAN，再把物理端口分配进去。Access口负责对接PC，Trunk口负责对接上级设备。需要注意的是，华为交换机默认VLAN 1是允许通过的，但这里显式放行了10和20，建议养成显式配置的习惯，避免后续排查时怀疑配置被隐式规则干扰。

SW2的配置思路完全一样，只是VLAN换成20。如果你希望交换机本身也能被远程管理，还要给VLANIF接口配IP地址，并保证路由可达。但在单臂路由方案里，交换机的VLANIF不是必需的，别画蛇添足。

3.2 路由器的子接口与单臂路由配置

路由器侧是重头戏。以R1为例，要完成子接口封装、IP地址配置和默认路由三项工作：

system-view sysname R-Core # 进入物理接口，先关闭该接口 interface GigabitEthernet 0/0/1 undo shutdown quit # 配置子接口 G0/0/1.10，封装VLAN 10 interface GigabitEthernet 0/0/1.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit # 配置子接口 G0/0/1.20，封装VLAN 20 interface GigabitEthernet 0/0/1.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable quit

子接口配置里有一个常见坑：忘记开 arp broadcast enable。华为路由器的子接口默认不主动处理广播报文，不开这条命令，PC ping网关大概率不通。另外，dot1q termination vid 这条命令把子接口和VLAN绑定，链路两端的VLAN ID必须一致，否则标签对不上，流量直接丢。

3.3 验证基础连通性：ping 网关是第一道关卡

配置到此为止，已经完成了VLAN间通信的物理基础和逻辑基础。先在PC上ping自己的网关（192.168.10.1或192.168.20.1），然后跨网段ping对方PC的IP。如果ping通，说明单臂路由生效；如果ping不通，从底层往上排查：PC的IP/掩码/网关配了没、交换机接口VLAN对不对、路由器子接口的ARP广播开了没。

这个小节的核心是：不要急着配置路由协议和NAT，基础联通性验证永远是第一步。此时你手里的网络还只能内网互访，下一步才能谈出口。

4. 让网络真正“可用”：DHCP、ACL 与 NAT 的协同配置

4.1 DHCP 配置：让 PC 不再手工填地址

课程设计里通常要求PC自动获取地址。在路由器上配置DHCP Server，同时排除网关地址不参与分配，这是标准做法：

system-view # 配置全局DHCP dhcp enable # 创建VLAN 10的地址池 ip pool pool-vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 223.5.5.5 114.114.114.114 quit # 同理创建VLAN 20的地址池，省略重复命令 # 在子接口下使能DHCP interface GigabitEthernet 0/0/1.10 dhcp select global quit interface GigabitEthernet 0/0/1.20 dhcp select global quit

这里有个值得注意的细节：dns-list 不能偷懒不配。很多课程设计在验收时，老师会直接在PC的命令行里ping www.xxx.com 来测试域名解析，DNS没配就是直接扣分项。DNS可以填运营商地址，也可以填8.8.8.8，但在国内演示环境下，223.5.5.5和114.114.114.114成功率更高。

配置完DHCP后，记得把PC的IP获取方式改成DHCP。eNSP里PC默认是静态IP，不改的话，永远拿不到地址，你以为配置错了，其实只是PC侧没有切换模式。

4.2 ACL 配置：用访问控制列表模拟企业安全边界

课程设计里的ACL需求往往很简单：财务部不允许被办公部访问，或者只允许办公部访问财务部的某台服务器。写ACL时要先想清楚两个问题：是控制“入方向”还是“出方向”？在哪个接口上应用？

常见需求是：办公部可以访问财务部，财务部不能访问办公部。这个场景在路由器上做最直接：

# 创建ACL 3000，拒绝源为192.168.20.0的数据 acl 3000 rule 5 deny ip source 192.168.20.0 0.0.0.255 rule 10 permit ip quit # 应用在G0/0/1.10子接口上，方向为入方向 interface GigabitEthernet 0/0/1.10 traffic-filter inbound acl 3000 quit

ACL的匹配顺序是自上而下，写deny时必须放在permit前面，否则规则永远轮不到deny生效。很多新手在这里翻车，是因为英语直觉告诉他们“permit应该放在最上面放行所有”，实际效果恰好相反。

从用户角度来说，ACL生效与否，直接决定课程设计的演示效果。一条deny规则配下去，ping的输出立刻从“通”变成“超时”，这个视觉冲击力在答辩时非常加分。但要注意：ACL只是工具，不是目的。报告里要说清楚这条ACL保护的是什么业务、为什么这么放行。

4.3 NAT 配置：让内网 PC 通过一个公网地址上网

NAT是课程设计的高频考点，也是最容易混淆概念的地方。华为设备上，做基本的源地址转换（内部主机访问外网）通常用Easy IP即可：

# 创建ACL 2000，匹配需要上网的内网网段 acl 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 quit # 配置NAT地址池复用出接口地址 interface GigabitEthernet 0/0/0 ip address 200.1.1.1 255.255.255.0 nat outbound 2000 quit # 配置默认路由指向运营商 ip route-static 0.0.0.0 0.0.0.0 200.1.1.254

Nat outbound 2000的意思很直白：凡是匹配ACL 2000的流量，从该接口出去时，源IP自动改写成接口IP。配合默认路由，内网PC就能访问外网。这里有一个概念区分要讲清楚：NAT是地址转换，路由是选路，两者缺一不可。只配NAT不配默认路由，流量到不了运营商；只配默认路由不配NAT，内网私网地址会被运营商直接丢弃。

4.4 三层交换机替代路由器的选型差异

如果你的题目环境是华为三层交换机（比如S5700），那VLAN间路由就不用单臂路由了，直接在交换机上启用VLANIF接口，然后把默认路由指向上游路由器。这种方式更贴近现网真实结构，也更容易扩展。命令层面的差异主要在于：

system-view vlan 10 quit vlan 20 quit # 创建VLANIF接口 interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quit

比单臂路由少了很多子接口的麻烦，但要注意：三层交换机要处理跨VLAN流量，必须保证VLAN 10和VLAN 20的接口都被创建了，且交换机本身有路由表项。如果是纯二层交换机（比如S3700），VLANIF配置不生效，这点选型时就要确认。

5. 避坑指南：课程设计里最常出现的 5 个配置事故

5.1 PC 能 ping 通网关，但跨网段不通

现象：PC1能ping通192.168.10.1，但ping 192.168.20.1失败。

原因：路由器虽然有子接口，但子接口的arp broadcast enable没有开启，导致路由器的ARP请求无法被PC响应。这个坑在华为eNSP里极其常见。

解决：在R1的两个子接口视图下，分别执行 arp broadcast enable，然后重新ping测试。

5.2 交换机接口反复 UP/DOWN

现象：交换机连接路由器的接口状态灯反复闪烁，ping时通时不通。

原因：链路两端的接口类型不匹配。路由器子接口要求交换机接口是Trunk，但有人误配成了Access；或者Trunk的允许VLAN列表里没包含对应的VLAN ID。

解决：检查交换机上联口的 port trunk allow-pass vlan 配置，确认10和20都在列表里。同时确认路由器子接口的dot1q termination vid和交换机侧VLAN一致。

5.3 DHCP 分配不到地址

现象：PC配置为DHCP获取，但一直显示「无可用IP地址」。

原因：路由器上启用了dhcp enable，但PC的网卡设置还是静态IP模式；或者子接口视图下没有执行 dhcp select global。

解决：先把PC改成DHCP模式，然后在R1子接口下逐条确认dhcp select global已经生效。用display this查看当前接口下配置，是最快的确认手段。

5.4 ACL 放行后还是被拒绝

现象：ACL配置了允许某网段访问，但实际业务还是不通。

原因：ACL没有应用在正确的接口或方向上，或者规则序号顺序不对。很多人在eNSP里配完ACL后忘记 traffic-filter inbound 这步，相当于规则躺在配置文件里但从未生效。

解决：用 display traffic-filter applied-record 查看ACL应用情况，确认是哪个接口的哪个方向。规则顺序问题，调整rule编号即可。

5.5 NAT 后外网访问仍然失败

现象：PC能ping通运营商网关200.1.1.254，但访问外网服务器超时。

原因：NAT配置没问题，但默认路由缺失或ACL匹配范围不完整，导致某些网段的流量没有走NAT翻译。

解决：用 display nat session 查看当前NAT会话表，看是否有转换记录。如果没有任何会话，说明流量根本没到NAT逻辑；检查ACL 2000里的规则是不是少了一条网段。

6. 不只做通，还要做好：验证与交付的进阶思路

当所有配置都能通，课程设计只完成了一半。剩下的一半在于能否证明“为什么这样设计”，以及在极端情况下系统的表现如何。常见的验证手段有三种：ping测试、tracert路径追踪、Wireshark抓包。在eNSP里，还可以直接在路由器上用 display ip routing-table 观察路由表变化，这个操作在答辩时非常加分。

进阶部分，我强烈建议在课程设计里加一个“冗余思考”：如果R1的G0/0/1接口故障，网络会发生什么？如果是真实环境，单点故障意味着整个内网都无法访问外网。你可以简单地在报告里提出浮动路由方案，或者说明引入VRRP的必要性，不需要把配置完整做出来，但要把思路写清楚。这就把一份平平无奇的课程设计，拉到了“有工程思考”的评价维度。

此外，配置规范本身就是加分项。把所有命令按设备整理成文本，在报告附录中按SW1、SW2、R1分目录贴出；每次配置前注释说明这一段实现什么功能。这样做的意义是：老师不需要在密密麻麻的配置里找你到底做了哪些事。

另一个实用习惯是，配置完一个功能就保存一次。在eNSP里是 save 命令，这个动作要养成肌肉记忆。很多人在调试ACL时把前面的配置弄乱了，结果无法回退，只能全部清空重做；如果每完成一个可验证的步骤就保存，等于给了自己一颗后悔药。

最后说一下：我在完成自己的课程设计时，最大的教训是不要把时间浪费在“追求更多功能”上，比如同时配上OSPF、BGP、策略路由，结果上课时自己都解释不清为什么要走BGP。把单臂路由、VLAN、DHCP、ACL、NAT这五件事做扎实，该通的流量通，该断的流量断，你交付的就不只是一份配置文档，而是一个能自洽的网络系统。希望这些经验能帮你在同样的设计里，少一点玄学排错，多一点确定性。

本文还有配套的精品资源，点击获取