学网络的朋友，十个有九个是用Cisco Packet Tracer入的门。这工具看起来简单，真想把指令玩明白，却得靠长期积累。我最早啃CCNA的时候，就在Packet Tracer里敲了不知多少遍命令，后来干脆把常用指令整理成笔记，边练边补，慢慢形成一套自己的查漏补缺方法。这篇文章就是把那份笔记重新梳理出来的版本，围绕华为、锐捷之外最常见的Cisco模拟环境，把交换机、路由器、排错相关的指令按场景拆开讲，适合正在备考、做课程设计、或者刚接触Cisco命令行的人直接参考。里面所有的命令都基于Packet Tracer 8.2版本的默认模拟器行为，遇到差异时我会特别说明。
很多人觉得Packet Tracer是玩具，比不上GNS3和EVE-NG，这个观点对一半。真机实验和高级模拟器确实能覆盖更多协议细节，但Packet Tracer的优势是零成本、上手快、拓扑拖拽方便，而且指令集覆盖CCNA全部考点。对一个还没形成"配置手感"的新手来说，先把Packet Tracer里的指令敲熟，再上真机或GNS3，效率会高很多。下面直接进入正题。
1. 为什么我推荐用 Packet Tracer 而不是真机练指令
1.1 模拟器那么多，Packet Tracer最接近"零门槛"
我见过两种极端：一种人死活不肯碰Packet Tracer，觉得GNS3才专业；另一种人只会在图形界面上点来点去，命令行基本不碰。这两种都走偏了。Packet Tracer虽然是模拟器，但它的IOS命令解析逻辑跟Cisco设备是一脉相承的，尤其是CCNA阶段那些核心命令，几乎可以无缝迁移到真机。对于学习指令这件事，最重要的是快速上手、反复试错，而不是一开始就纠结底层虚拟化性能。
另一个理由是Packet Tracer的拓扑构建速度快。一台电脑开三个交换机、两个路由器，拖拽几下就完成，配置好之后还能直接保存为.pkt文件，下次继续练。这种"随时能重来"的便利性是物理设备给不了的。真机实验要插线、要等启动、还要担心配置出错恢复麻烦，学习体验反而被打断。所以我给A同学的建议从来都是：第一遍用Packet Tracer刷敲命令，敲出肌肉记忆，再去碰真机验证细节。
1.2 它和GNS3、EVE-NG的真实差距在哪里
差距存在，但没有网传那么大。GNS3和EVE-NG跑的是真实IOS镜像或第三方设备镜像，对协议状态机的模拟更接近生产环境，适合学CCNP以上的内容，比如MPLS、DMVPN、丰富的QoS特性。Packet Tracer在这些高深特性上支持有限，很多命令敲进去会报"unrecognized command"。
但反过来，CCNA阶段学的VLAN、VLAN间路由、静态路由、OSPF单区域、ACL、NAT、DHCP、IPv6基础，这些Packet Tracer全部支持，且排错信息简洁清晰，对新手更友好。真要说差距，反而是Packet Tracer太"干净"了，很多生产环境的物理层告警、模块化硬件问题它模拟不出来，但这不是你现阶段该操心的。先把指令用熟，再说更复杂的工具。
1.3 环境准备中容易被忽略的细节
开始敲指令前，有两点值得注意。第一是关闭"端口始终开启"的默认假设，很多人第一次配置接口后不敲no shutdown，结果链路不通，还以为是命令错了，其实是接口处于管理性关闭状态。第二是合理使用模板拓扑，推荐自己建一个包含一台交换机、一台路由器、三台PC的标准拓扑，保存为"练习拓扑.pkt"，以后所有实验都在这个基础上改，能节省大量拖拽时间。另外别忘了在"Options-Preferences"里开启"Always show port labels"，不然你根本分不清FastEthernet0/1和GigabitEthernet0/1。
2. 玩转Cisco指令前必须搞懂的三种模式切换逻辑
2.1 用户模式与特权模式：先用show保命
Cisco设备的命令行之所以劝退很多人，是因为它不像Windows那样只有一个统一shell。它把命令分成多个模式，每个模式能执行的命令不同。最先接触的是用户模式，提示符长这样：
Switch>用户模式只能执行ping、telnet、traceroute这类基础命令，不能修改配置。要进入真正有"查看"权限的特权模式，需要输入enable：
Switch> enable Switch#特权模式的提示符是#。在这里可以使用所有show命令、debug命令、clear命令。记住一点：不管在哪一层，先学会在特权模式下用show查看现有配置，再动手修改。很多小白一上来直接configure terminal乱敲，把配置改坏了都不知道改了什么。我会在后面的排错章节详细讲show命令的使用逻辑。
2.2 全局配置模式的进入与退出，配置文件的保存时机
修改配置要进入全局配置模式，在特权模式下输入configure terminal，简写conf t：
Switch# configure terminal Switch(config)#此时可以设置主机名、启用的协议、默认网关等全局参数。要修改某个接口，则从全局配置模式进入接口子模式：
Switch(config)# interface fastEthernet 0/1 Switch(config-if)#注意接口编号必须与设备实际型号一致。Packet Tracer的2960交换机通常是fastEthernet 0/1到0/24；而较新的型号可能用gigabitEthernet 0/1，敲错会报错。退出时用exit退一级，用end或者快捷键Ctrl+Z直接退回特权模式。
保存配置是新手最容易忽略的一步。很多人在模拟器里配了半天，一关软件全没了。保存命令是：
Switch# copy running-config startup-config Switch# writewrite是旧版命令，效果一样。建议配置完成后习惯性敲wr（write的简写），防丢配置。还有一种情况需要"撤销"错误配置，可以直接把命令前面加no，比如no ip route、no vlan 10，这是Cisco指令系统里很有特色的设计。
2.3 用?和Tab键"偷懒"但别依赖
Cisco CLI支持命令简写和补全，这是提高效率的关键。不记得完整命令时，可以敲问号：
Switch# show ?它会列出所有带show的子命令。也可以敲开头几个字母后按Tab键自动补全，比如conf加Tab会变成configure。但我的建议是：学习阶段尽量手敲完整命令，考试和实际工作确实允许简写，但肌肉记忆一旦形成错误拼写，排错时会非常痛苦。我在教某开发者的时候，发现他总把shutdown简写成shut，结果接口配置时想敲no shutdown，简写后变成了no shut，虽然能用，但看到别人配置时反而反应不过来。
3. 交换机指令实战：VLAN、Trunk、端口安全一次讲透
3.1 VLAN创建与端口分配的完整命令流
交换机配置的起点是创建VLAN。以一台2960交换机为例，把端口1到10划到VLAN 10，端口11到20划到VLAN 20，命令如下：
Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name Office Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name Finance Switch(config-vlan)# exit Switch(config)# interface range fastEthernet 0/1-10 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 10 Switch(config-if-range)# exit Switch(config)# interface range fastEthernet 0/11-20 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 20用interface range批量配置非常高效，否则24个端口一个个敲，手都能敲酸。switchport mode access表示这个端口是接入端口，不承载多个VLAN；switchport access vlan 10把它分配给VLAN 10。查看VLAN划分情况，用：
Switch# show vlan brief输出了VLAN ID、名称和对应端口，一眼就能看出哪个端口在哪个VLAN，这也是排查"电脑明明插上了却不通"的第一选择。
3.2 Trunk链路与Native VLAN的正确配置
当交换机之间要传输多个VLAN的数据时，接入端口就不够用了，必须配置Trunk。两台交换机相连，以端口fa0/24为例：
SwitchA(config)# interface fastEthernet 0/24 SwitchA(config-if)# switchport mode trunk SwitchA(config-if)# switchport trunk allowed vlan 10,20这里allowed vlan指定了该Trunk允许哪些VLAN通过。如果不指定，默认放行所有VLAN，虽然实验里没问题，但实际部署中这是安全隐患。Cisco私有的DTP协议会自动协商Trunk，但建议显式配置switchport mode trunk，避免协商失败。
Native VLAN是个经典考点。默认情况下VLAN 1是Native VLAN，这个VLAN的帧在Trunk链路中不会被封装802.1Q标签。如果两端Native VLAN不一致，会收到"802.1Q native VLAN mismatch"告警，导致控制协议通信异常。修改Native VLAN的命令是：
SwitchA(config-if)# switchport trunk native vlan 99两端必须一致。检查Trunk状态的命令是：
SwitchA# show interfaces trunk我实测中遇到最多的问题是：Trunk两端的allowed vlan列表不一致，或者一端是access模式，另一端是trunk模式，结果数据帧在链路上被丢弃。排查时先用show interfaces trunk看状态，再用show interfaces fastEthernet 0/24 switchport看详细的交换机端口参数，基本都能定位。
3.3 端口安全与生成树相关的常用命令
端口安全是CCNA里必考的内容，它解决的是"非法设备接入"问题。配置思路是：指定端口最大MAC地址学习数量，超出的MAC就会被丢弃或触发保护动作。示例：
Switch(config)# interface fastEthernet 0/1 Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 2 Switch(config-if)# switchport port-security mac-address sticky Switch(config-if)# switchport port-security violation shutdownmac-address sticky会把动态学习到的MAC地址转化为"粘性"配置写入running-config，重启后依然生效；violation shutdown表示违规时直接关闭端口，这是最严格也最常用的保护方式。查看端口安全状态用show port-security interface fastEthernet 0/1。
生成树（STP）方面，Packet Tracer默认运行PVST，2960交换机上的命令主要是调整模式和优先级。比如快速生成树：
Switch(config)# spanning-tree mode rapid-pvst Switch(config)# spanning-tree vlan 10 priority 4096把某台交换机设为VLAN 10的根桥，优先级4096必须比默认的32768小。实验时观察STP状态可以用show spanning-tree，重点是看Root ID和Port Role。很多人在模拟器里搭两条冗余链路，发现交换机之间不通，八成就是STP把某条链路阻塞了，这是正常现象，别急着删链路，先看STP角色再说。
4. 路由器指令实战：静态路由、OSPF 与 NAT 的配置套路
4.1 静态路由的配置与AD值讲解
路由器的作用是转发跨网段数据包。在没有动态协议的情况下，需要手动告诉路由器"去某个网络走哪条路"，这就是静态路由。命令格式如下：
Router(config)# ip route 192.168.30.0 255.255.255.0 192.168.20.2意思是通过下一跳地址192.168.20.2到达192.168.30.0/24这个网络。还有一种写法是写出接口，比如ip route 192.168.30.0 255.255.255.0 fastEthernet 0/1，在多路访问网络中建议优先写下一跳地址。查看路由表：
Router# show ip route路由表里会有直连路由C、静态路由S、动态路由O等标识，非常直观。
静态路由配置中最容易踩坑的是"只配了去程，忘配回程"。比如两个路由器之间通信，A路由器必须知道去B网络的路径，B路由器也必须知道回A网络的路径，缺一条都不通。很多学生在做两个路由器的连通实验时，两边都配了静态路由还是ping不通，我用traceroute一查，发现数据包到了对端路由器就丢了，因为对端没有回程路由。记住：任何路由协议都需要保证往返路径都可达。
顺带提一下管理距离：Cisco中静态路由默认AD是1，OSPF内部路由AD是110，直连路由AD是0。AD值越小越优先。在Packet Tracer里可以用show ip route的括号里的数字看到，比如S 192.168.30.0/24 [1/0]，[1/0]就是AD/度量值。
4.2 OSPF基本配置及更新路由的检查方式
OSPF是链路状态协议，它比RIP更稳定，也是企业网里最常见的动态IGP。单区域OSPF配置很简单，核心两步：启用进程、宣告网段。wildcard mask是考点，它是反掩码，0表示必须精确匹配，255表示任意匹配。
Router(config)# router ospf 1 Router(config-router)# network 192.168.1.0 0.0.0.255 area 0 Router(config-router)# network 192.168.2.0 0.0.0.255 area 0注意router ospf 1中的进程号只在本地有效，两端不一致不影响邻居建立，但建议统一用1。配置完成后，查看邻居状态：
Router# show ip ospf neighbor看到Full/DR或Full/BDR状态，说明邻居建立成功。如果卡在Init或ExStart/Exchange，大部分原因是hello/dead计时器不一致、区域ID不一致、或者网络掩码不匹配。接着查看路由表，应该能看到O开头的OSPF路由条目。
在Packet Tracer里，把多台路由器的所有直连网段都宣告到area 0后，路由表会自动生成跨设备路由。排查OSPF不通时，我的固定流程是：先show ip ospf neighbor看邻居，再看show ip ospf interface看加入OSPF的接口，最后看show ip route ospf确认是否有路由。逐个环节看，基本没有查不出来的问题。
4.3 NAT/PAT内外网地址转换命令流
NAT是网络地址转换，常用在企业出口路由器上，让内网私有地址访问外网时映射为公网地址。这里说的是PAT（端口地址转换），也是家用宽带常用的方式。配置路线是：先定义哪些内网地址可以被转换，再配置出接口。
以R1作为出口路由器，内网G0/0/0接192.168.10.0/24，外网G0/0/1接公网地址为例：
Router(config)# access-list 1 permit 192.168.10.0 0.0.0.255 Router(config)# interface gigabitEthernet 0/0/0 Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# interface gigabitEthernet 0/0/1 Router(config-if)# ip nat outside Router(config-if)# ip nat inside source list 1 interface gigabitEthernet 0/0/1 overload最后一行命令的意思是：匹配ACL 1的内网流量，在出接口上做PAT，所有内网主机复用该接口的公网IP。在Packet Tracer中，为了让这个实验能ping通外网，还需要在出接口配置ip nat outside之后，确保公网侧的线路和网关正确。查看转换结果：
Router# show ip nat translations可以看到内网私有地址到公网地址的映射表。如果转换表里有记录但外网ping不通，多半是路由回程没写，也就是前面说的"回程路由"问题——外网路由器不知道怎么把回应包送回内网。生产环境中NAT和ACL结合使用时，ACL的permit顺序非常关键，这里先不展开，等你自己敲几次就理解了。
5. 排错不能只会 ping：show 与 debug 的使用逻辑
5.1 分层排查思路与对应指令
网络排错是有套路的，不是乱ping一通。我习惯按照"物理层→数据链路层→网络层→传输层/应用层"的顺序逐层排查，每一层对应不同的指令。
物理层先看端口状态：
Router# show ip interface brief这个命令列出所有接口的IP地址和状态。如果状态显示up但协议down，说明物理链路通了但二层协商有问题；如果状态是administratively down，说明接口被shutdown了，执行no shutdown即可恢复。Packet Tracer里最常见的情况是PC没插网线就直接配置，这时候接口状态全都不显示。
数据链路层用show interfaces查看错误计数、冲突、CRC错误等，交换机上用show mac address-table看MAC表，二层不通往往表现为MAC表缺失或Trunk没起来。网络层就看路由表show ip route以及ARP表show arp。传输层用telnet、nc测试端口连通性，在模拟器里ping通不代表TCP端口通，这也是很多人忽略的。
5.2 show ip route 和 show mac address-table 的阅读方法
show ip route是查看路由器转发决策的核心命令，但它输出的矩阵信息对新手很不友好。重点看三列：第一列是路由来源代码，C表示直连，S表示静态，O表示OSPF，B表示BGP；第二列是目标网络和子网掩码的缩写；第三列是括号里的管理距离和度量值。如果目标网络显示为[1/0]，但后面没有下一跳地址，那说明该路由可能被另一条更优路由掩盖。
show mac address-table是交换机的二层转发表，输出中包含VLAN、MAC地址、类型（Dynamic/Static）、端口。排查二层不通时，重点看目标设备的MAC是否出现在正确的端口上。如果MAC表里没有目标设备，说明交换机从未收到来自该设备的帧，大概率是物理层或VLAN配置问题；如果MAC地址出现在错误端口，则可能存在环路或非法设备接入。
5.3 ping 与 traceroute 结果的判断逻辑
很多人把ping通当成"网络正常"的唯一标准，这是大忌。ping通只能说明ICMP报文能往返，不能说明应用层正常。我的习惯是：ping失败时先用ping的源接口参数确定是从哪个接口发出，例如：
Router# ping 192.168.30.1 source 192.168.20.1这样能确认是不是选错了源地址。traceroute的价值在于定位路径上的断点。命令是：
Router# traceroute 8.8.8.8第一跳通了、第二跳超时、第三跳通了，这种"中间断档"通常意味着某台路由器禁用了ICMP或者ACL丢弃了报文，不一定是链路故障。
在Packet Tracer里有一个几乎必考的排错场景：PC能ping通网关，却ping不通远端PC。此时先ping网关，通；再ping中间路由器的直连接口，通；继续ping下一跳，不通——那就说明问题出在最后那条链路上，重点检查该路由器的路由表和接口配置。这种逐跳排查的方式配合show ip route，基本5分钟内能定位问题。
6. 被指令折磨过才知道的注意事项与复盘技巧
6.1 保存、覆盖、重载的坑
配置保存：copy running-config startup-config和write都能用，但Packet Tracer有个坑——如果你没有保存就关闭软件，它会弹出提示，但很多人习惯性直接关，下次打开发现配置全无。建议每完成一个小节实验就wr一次，这个习惯能救命。
覆盖配置指的是用已有配置文件覆盖当前配置。如果你导入了一个startup-config到路由器上，然后重启，当前running-config会被启动配置覆盖。在Packet Tracer里，如果需要清空配置重来，用：
Router# erase startup-config Router# reloadreload问你是否保存，选no，设备就会以无配置状态启动。很多新手不知道这个重置方法，宁可手动清配置，结果漏删一条导致各种奇怪问题。直接erase加reload，干净利落。
6.2 指令简写与完整命令之间的平衡
写conf t、int fa0/1确实快，但简写容易造成歧义。Cisco的简写规则是"只要能唯一确定即可"。比如show running-config可以简写为sh run，configure terminal为conf t，interface为int。但sh同时可以是show或shutdown的简写，所以Cisco要求简写必须唯一到某个子命令。
我的建议是：平时练习用完整命令，遇到?提示时注意观察有哪些简写可用；真正上真机时可以适度使用简写，因为真机的命令行没有自动补全那么友好，敲太长反而容易错。在Packet Tracer里不做练习的话，直接Tab补全其实也够用。关键是别在考试时纠结简写，错一个字母就前功尽弃。
6.3 向别人要配置时的"复盘检查法"
最后分享一个我常用的复盘方法。每次我参考别人的配置或者拿到一份示例配置，不是直接复制粘贴，而是按这个顺序检查：
第一，看接口配置有没有no shutdown；第二，看所有需要的VLAN是否创建并且相关端口是否分配正确；第三，看路由条目是否覆盖了所有非直连网段；第四，看ACL的permit/deny顺序是否把自己需要的流量挡住了；第五，看NAT的inside/outside接口方向是否正确。
这五个检查点，看似基础，却覆盖了我看到的大多数模拟器故障原因。配完之后做一轮"蛮力验证"：从PC1 ping PC2、PC3，从路由器ping远端回环口，再用show ip route、show vlan brief、show ip nat translations确认各个层面的状态。这套动作走完，一份配置是否合格，基本心里有数。
Packet Tracer练指令这件事，最忌讳的是"背命令"而不是"用命令"。命令背得再熟，没有在故障场景里敲过一遍，配置思路还是散的。我用这个方法从一个看见show就发怵的新手，变成了看到报错信息能反推出问题点的人，靠的就是反复敲、反复看show输出、反复问自己"这条命令为什么有效"。希望这份笔记，也能帮你把那些Cisco指令真正学到手。
到权值线段树)
