思科设备企业网络搭建实战：VLAN划分、单臂路由与NAT配置详解

最近刚完成一个挺典型的项目：用思科设备给一家几十人的公司搭一套完整的网络环境，并且要输出一张能直接看懂的网络简图。这个任务听起来不复杂，但真正上手你会发现，它几乎把企业网络里最常用的基础功能都串了一遍——VLAN划分、VLAN间路由、DHCP自动分配地址、NAT出口转换，再加上设备远程管理。做完之后我有一个很强烈的感受：这类“公司网络简图”级别的项目，恰恰是理解企业网络最值得从头过一遍的场景。

这篇文章我会以一个完整实操案例为主线，从需求拆解开始讲，然后是拓扑简图的画法、地址规划、交换机路由器的关键配置，最后是验证和排错。配置思路和命令都是基于常见的思科设备命令行环境，你在模拟器上就能完整复现。适合准备入行网络、正在学交换路由、或者接到类似实训或工作任务但一时不知从哪下手的朋友参考。

1. 先看清需求：公司网络要解决哪几件事

动手之前，我很建议先花半小时把需求聊清楚。这个项目里，对方只提了两个要求：一是网络要能用，二是维护的人要看得懂。“看得懂”其实比“能用”更难——如果你的网络拓扑和地址规划连自己都记不住，后面排错大概率要抓瞎。

1.1 部门隔离与互通，一个都不能少

公司规模不大，但部门是分明的：行政部、技术部、财务部。财务部肯定不希望普通员工随便进财务的网段，所以隔离是刚需；但同事之间又要传文件、走审批，所以跨部门通信也得支持。这个需求直接决定了你必须在二层做VLAN隔离，再通过三层把流量转起来。

注意，这里说的“隔离”不是物理隔离，而是逻辑隔离。每类终端放在不同的VLAN里，广播域被隔开，二层广播不会乱窜。但VLAN间默认是不通的，要让不同部门的终端能互相访问，就得到路由器或三层交换机上做VLAN间路由。所以哪怕是很简单的一张简图，你也得同时具备“二层交换”和“三层路由”的能力。很多新手在这里容易犯迷糊，以为VLAN一划就万事大吉，实际上隔离和互通从来都是两个问题，缺一个，这个网络环境就交不了差。

1.2 为什么选“二层交换机加单臂路由”而不是三层交换机

方案上我选了最经典的组合：一台路由器加一台二层交换机，通过单臂路由实现VLAN间通信。为什么不直接上三层交换机？因为这家公司终端数量不多，峰值流量也有限，三层交换机的优势主要体现在硬件转发性能和大规模三层接口上，在这个场景下有点浪费。路由器本身兼职网关和出口，一台设备就把三个功能都干了：路由、DHCP、NAT。设备越少，维护面越小，对“简图”级别的项目是最合适的。

单臂路由的原理简单说就是：交换机用Trunk口把多个VLAN的流量都送到路由器的同一个物理接口上，路由器把这个物理接口拆成多个子接口，每个子接口对应一个VLAN，分别配置网关地址。数据从VLAN 10到VLAN 20，会先从交换机Trunk进了路由器，路由器根据子接口的配置转发出去，再从Trunk回到交换机进入VLAN 20。这个过程听着绕，但配置起来其实非常直观，也特别适合教学和理解VLAN间路由的本质。

如果后面公司规模大起来，比如每个部门有上百台机器、跨VLAN流量很大，那就应该换成三层交换机来做VLAN间路由，把路由器解放出来专做出口。这个升级路径在架构上和单臂路由是一样的，所以现在把概念搞清楚，后面迁移会非常顺。

1.3 网关、DHCP、出口，全压在一台路由器上

公司网络还有一个实际需求：员工电脑不能手动配IP，最好是插上网线就能上网。所以路由器上要跑DHCP服务，给不同VLAN下发不同网段的地址，并且指向对应的网关。出口方面，公司虽然规模小，但也要访问外部网络，我用一台外部仿真设备模拟互联网侧的路由器，公司出口路由器跑一条默认路由加NAT地址转换，把内网地址转成出接口地址再出去。

把需求拆到这里，整张图的功能就已经很清楚了：二层交换机负责接入和VLAN隔离，路由器负责跨VLAN路由、DHCP和出口NAT。接下来要做的，就是把这些功能画成拓扑简图，再把地址空间规划好。这里我也多说一句：需求阶段不要怕问得细，宁可多问一个问题，也不要等配置做完了再返工。真机环境里返工的成本可比模拟器高太多了。

2. 网络简图怎么画，地址怎么分

所谓网络简图，重点在“简”字，但也别简到只剩几根线。以我的经验，一张能交付、能指导后续配置的简图，至少要有设备名、接口编号、VLAN编号、网段和网关这四类信息。缺了任何一样，后面配置时都要回头翻资料，排错更是无从下手。

2.1 一张能交付的简图，至少要画清四样东西

我画的拓扑大致是这样的：最上面是一台模拟外部网络的路由器，就当它是互联网侧；中间是公司出口路由器R1，R1的G0/0接口通过Trunk链路接到交换机SW1；SW1下面按VLAN分别接行政部、技术部、财务部的终端。终端不需要在图上画太细，画一台PC示意就可以了，但要标注它属于哪个VLAN、用什么网段。

画图的时候我会习惯把VLAN名称也标上去，比如“行政部 VLAN 10”，这样别人看一眼图就能明白。另外，接口的标注要具体到G0/0.10这种子接口级别，而不是只写一个“连交换机”。因为子接口和VLAN是一一对应的，配置人员看到子接口编号就能想到对应网段，排错时效率会高很多。有人会觉得画这么细太麻烦，但等你在一堆VLAN里找一根线的时候，就会感谢当初认真画图的那个自己。

另外要提醒一点：简图不等于草稿图。画完以后最好再用软件重新整理一遍，把线条拉直、把设备图标对齐、把文字标注清楚。交付给同事或客户看的图，整洁度直接影响别人对项目的信任感。

2.2 地址规划表：VLAN编号、网段、网关一一对应

地址规划是整个项目里最不能拍脑袋的部分。我给的分配如下：

为什么要单独留一个管理VLAN？因为交换机和路由器的远程管理地址都放在VLAN 99里，员工终端完全感知不到这个网段，管理员远程登录设备时也不会跟业务流量混在一起。管理VLAN的网段不要用在任何终端上，这算是企业网里的常规做法。

内网互连或者将来设备上联的网段，我习惯单独用一个/30的地址段，比如10.0.0.0/30，专门用于路由器和外部设备之间的链路，不占内网业务地址。这样整张地址表看起来就是业务地址段、管理地址段、互连地址段三部分，互不重叠、泾渭分明。

一个实用小技巧：尽量让VLAN编号和网段第三位一致。VLAN 10对应192.168.10.0/24，VLAN 20对应192.168.20.0/24。这样做最大的好处是，以后看到某个IP，不用查表就能猜到它在哪个VLAN，排错能省很多时间。这种看起来不起眼的约定，在项目规模变大之后特别有用。

2.3 链路类型先定好：Access还是Trunk

端口类型也要在配置前想清楚。接终端的端口用Access模式，这个端口只属于一个VLAN，进去的流量打上对应VLAN的标签，出来时再脱掉标签，终端完全感知不到VLAN标签。交换机互连的端口、交换机连接路由器子接口的端口则要用Trunk模式，Trunk链路上要同时承载多个VLAN的数据帧，所以必须以Tagged形式传输。

Cisco交换机端口默认是动态模式，有可能协商成不同的结果，所以配置里最好明确写成access或trunk，不要依赖默认值。Trunk配置里还可以限定允许通过的VLAN列表，如果你希望财务VLAN只在特定链路上走，可以在Trunk上用allowed vlan来过滤。不过在这个小项目里，直接放行所有VLAN最省事，也方便日后扩展。

这里有个常见误区：有人以为Trunk口和Access口接错了也能通，其实短距离可能看不出问题，但只要跨VLAN通信一多，就会出现“有的终端能上网、有的终端莫名其妙不通”的奇怪现象。配置前把每个端口的角色定好，能少走很多弯路。

3. 核心配置实操：一步步把网络搭起来

下面就是重头戏。我会按“交换机到路由器再到出口”的顺序来配置，每完成一步就在设备上验证一步，最后再整体联调。全程用思科设备命令行，你在模拟器里照着敲就能复现。

3.1 交换机侧：建VLAN、分端口、配Trunk

先给交换机起个名字，避免以后管理多台设备时分不清。然后创建VLAN，并把名称写清楚：

Switch> enable Switch# configure terminal Switch(config)# hostname SW1 SW1(config)# vlan 10 SW1(config-vlan)# name Admin SW1(config-vlan)# vlan 20 SW1(config-vlan)# name Tech SW1(config-vlan)# vlan 30 SW1(config-vlan)# name Finance SW1(config-vlan)# vlan 99 SW1(config-vlan)# name Management SW1(config-vlan)# exit

注意，创建VLAN后它默认是存在的，但如果不给端口分配，就没有任何实际意义。接下来把接终端的端口划进对应VLAN。比如行政部的几台PC接在交换机的F0/1到F0/5，配置如下：

SW1(config)# interface range FastEthernet0/1-5 SW1(config-if-range)# switchport mode access SW1(config-if-range)# switchport access vlan 10

这里有两个细节。一是switchport mode access一定要写，否则接口可能处于动态模式，协商结果不固定。二是把多个端口一起配置时用interface range，命令简洁，还避免漏配单个端口。

再配置交换机与路由器之间的上联端口，这个口要承载所有VLAN的流量，所以设置成Trunk。我习惯同时指定允许的VLAN列表，防止以后误把不该放的VLAN放上去：

SW1(config)# interface GigabitEthernet0/1 SW1(config-if)# switchport mode trunk SW1(config-if)# switchport trunk allowed vlan 10,20,30,99

配置完可以用show vlan brief确认VLAN和端口对应关系。这里顺便提醒一句：Cisco交换机的Trunk口上默认有Native VLAN（默认是VLAN 1），Native VLAN的帧在链路上不打标签。如果对端设备的Native VLAN不一致，会出现各种看似莫名其妙的不通。在这个场景里，可以在链路上显式指定switchport trunk native vlan 99，把原生VLAN改成管理VLAN，避免VLAN 1的管理流量混进来。但如果两侧设备配置不一致，反而会引发新问题，所以要么都改，要么都别动，保持一致最关键。

3.2 路由器侧：子接口实现VLAN间路由

路由器接交换机的物理接口不要直接配IP，要把它拆成若干个逻辑子接口，每个子接口对应一个VLAN。首先进入物理接口，把它激活：

R1(config)# interface GigabitEthernet0/0 R1(config-if)# no shutdown R1(config-if)# exit

然后创建子接口，并封装802.1Q。VLAN 10对应的子接口就命名为G0/0.10，这样看到编号就知道是给哪个VLAN用的：

R1(config)# interface GigabitEthernet0/0.10 R1(config-subif)# encapsulation dot1Q 10 R1(config-subif)# ip address 192.168.10.1 255.255.255.0

encapsulation dot1Q 10就是告诉路由器：从这个子接口进来的、带VLAN 10标签的帧，都当作VLAN 10的流量处理；出去的时候，往VLAN 10发的帧也要打上VLAN 10的标签。没有这条命令，子接口根本不会生效。我发现很多第一次做单臂路由的人都会漏掉封装，结果VLAN间路由怎么配都不通。

VLAN 20和VLAN 30的子接口依葫芦画瓢：

R1(config)# interface GigabitEthernet0/0.20 R1(config-subif)# encapsulation dot1Q 20 R1(config-subif)# ip address 192.168.20.1 255.255.255.0 R1(config)# interface GigabitEthernet0/0.30 R1(config-subif)# encapsulation dot1Q 30 R1(config-subif)# ip address 192.168.30.1 255.255.255.0 R1(config)# interface GigabitEthernet0/0.99 R1(config-subif)# encapsulation dot1Q 99 R1(config-subif)# ip address 192.168.99.1 255.255.255.0

配置完子接口后，路由器路由表里会自动出现这四条直连路由。不信可以敲show ip route看看，凡是状态为C的直连路由，都是VLAN间通行的基础。到这里，VLAN 10、20、30之间的通信其实已经通了，终端把网关指向各自网段的.1，跨网段报文就会先送到路由器，再由路由器转发。

3.3 给终端自动发地址：DHCP配置

终端数量多、手动配IP容易出错，DHCP是必须的。因为DHCP服务就运行在网关这台路由器上，终端广播的DHCP请求到达子接口后，路由器本机的DHCP服务可以直接响应，不需要额外配置中继。我分别给三个业务VLAN建了地址池：

R1(config)# ip dhcp pool VLAN10_POOL R1(dhcp-config)# network 192.168.10.0 255.255.255.0 R1(dhcp-config)# default-router 192.168.10.1 R1(dhcp-config)# dns-server 192.168.10.1 R1(config)# ip dhcp pool VLAN20_POOL R1(dhcp-config)# network 192.168.20.0 255.255.255.0 R1(dhcp-config)# default-router 192.168.20.1 R1(dhcp-config)# dns-server 192.168.10.1 R1(config)# ip dhcp pool VLAN30_POOL R1(dhcp-config)# network 192.168.30.0 255.255.255.0 R1(dhcp-config)# default-router 192.168.30.1 R1(dhcp-config)# dns-server 192.168.10.1

地址池名称我用了“VLAN编号_POOL”，跟前面子接口编号的命名逻辑一致。default-router必须填对，它是终端拿到地址后的默认网关。DNS这边，如果是纯模拟环境，可以直接填一个公网DNS；如果是真机环境，最好填公司内部DNS或者运营商下发的DNS，否则终端解析域名会出问题。

特别要留意：地址池里的网段不能跟路由器接口地址冲突。比如VLAN 10的网关是192.168.10.1，那么地址池分配的可用范围就自动排除了网关地址。Cisco的DHCP池不会把已经配在网络接口上的地址分给终端，这一点可以放心。但如果你在别的网段还配了一个同网段的IP，就可能出现分配冲突，配置前最好检查全设备有没有重复的地址段。

配置完成后，把一台PC切到DHCP获取，正常情况下它会拿到对应VLAN网段内的地址。可以用show ip dhcp binding查看路由器已经分配出去的地址记录。

3.4 打通出口：静态路由与NAT配置

公司网络最后一步是访问外部网络。我在外部模拟路由器上配置了一个公网地址段，比如203.0.113.0/24，这台外部设备就当互联网侧的仿真设备。公司出口路由器R1的出接口另外选一个接口，例如G0/1，配置一个互连地址：

R1(config)# interface GigabitEthernet0/1 R1(config-if)# ip address 203.0.113.2 255.255.255.252 R1(config-if)# no shutdown

为了让内网流量能找到去往外网的路径，需要配置默认路由。最简单的写法是直接指到对端设备的互连地址：

R1(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.1

但光有路由还不够。内网终端都是私有地址，外网设备收到源地址为192.168.x.x的报文，是不会回包的，必须做NAT地址转换。Cisco路由器上最常用的配置是PAT，也就是多对一的端口地址转换：

R1(config)# access-list 1 permit 192.168.10.0 0.0.0.255 R1(config)# access-list 1 permit 192.168.20.0 0.0.0.255 R1(config)# access-list 1 permit 192.168.30.0 0.0.0.255 R1(config)# access-list 1 permit 192.168.99.0 0.0.0.255 R1(config)# ip nat inside source list 1 interface GigabitEthernet0/1 overload R1(config)# interface GigabitEthernet0/0 R1(config-if)# ip nat inside R1(config-if)# interface GigabitEthernet0/1 R1(config-if)# ip nat outside

access-list 1在这里的作用是定义“哪些内网地址可以转换”，我用四条permit把内网四个网段都放进去，其它地址一概不转。overload关键字表示多台内网主机共享出接口的同一个公网地址，靠端口号区分不同连接，这是小网络最常用的地址复用方案。

配置顺序上，ACL要先于ip nat命令建立，而且ACL的编号要和ip nat里面引用的编号一致。很多新手把ACL编号写错，结果NAT一直不生效，排查时又只在接口下面打转，浪费时间。另外内外接口的ip nat inside/outside也要小心，一旦标反了，内网出不去、外网也进不来——虽然这个场景不接收外网主动访问，但方向错会导致NAT转换不产生任何效果。

4. 验证与排错：网络不是配完就算完

配置命令敲完不等于网络通了。我习惯的流程是：先验证二层，再验证三层，最后验证出口。每验证一级没问题，再进入下一级。这样做的好处是，一旦出问题，你能快速把故障范围缩小到某一层，而不是整张网抓瞎。

4.1 按层级验证：先二层，再三层，最后出口

先看二层。在交换机上执行show vlan brief，确认VLAN存在、端口划分正确。再看Trunk链路是否正常：

SW1# show interfaces trunk

输出里要重点看Trunk状态是否是trunking，允许的VLAN列表是否符合预期。如果端口down，常见原因是对端接口没有启用或者网线问题（模拟器里则是链路没连好）。二层没问题之后，在路由器上看三层：

R1# show ip interface brief R1# show ip route

show ip interface brief能直接看到G0/0.10、G0/0.20这些子接口状态是up还是down，IP地址有没有配上。show ip route重点确认四条直连路由都在。三层的验证，最直观的就是ping。从路由器ping每个VLAN的网关IP，通了说明子接口工作正常。

然后验证终端。模拟器里给PC配成DHCP获取，先看能不能拿到地址，再ping网关、ping其它VLAN的终端。比如行政部终端通了技术部终端，说明VLAN间路由已经正常工作。如果只有本VLAN通、跨VLAN不通，问题基本定位在路由器子接口上。

最后验证出口。从内网终端ping外部模拟设备的地址，比如203.0.113.1。通了之后，还应该在路由器上看NAT转换记录：

R1# show ip nat translations

能看到内网地址被转换成出接口的公网地址，说明NAT生效。如果ping不通外网但NAT表里没有记录，优先检查ACL和内外接口方向；如果NAT表里有记录但回包过不来，检查默认路由和对端路由是否互相可达。

4.2 高频故障速查表

我把这类项目里最常遇到的几个问题整理成一张速查表，配网时可以直接对着查：

这张表里最有意思的是最后一条：外网主动ping内网不通，在大多数情况下是正常的，因为PAT只维护由内向外发起的连接映射，外网主动发起的包根本没有对应转换记录。很多人误以为“NAT配错了”去查半天，实际上这是预期行为。如果你确实需要外网主动访问内网某台服务器，那就要用静态NAT或端口映射，那是另一个话题了。

下面说两个我实际踩过的坑。第一个是模拟器里经常出现的“接口明明no shutdown了却还是down”——这种情况八成是物理链路没连好，或者连接的是错误端口。模拟器里连线看似拉上了，实际上可能连到了旁边的口，检查show ip interface brief里down的接口编号，就能发现是不是接错位置。第二个坑是修改Trunk的allowed vlan后，忘了把管理VLAN放进去，导致远程管理地址从Trunk那边过不去。所以我有个习惯：改Trunk时先写switchport trunk allowed vlan all把链路跑通，再收敛成指定的VLAN列表。收敛之后必须马上验证一遍管理链路，而不是等到下次远程登录时才发现问题。

4.3 收尾动作：安全基线、保存配置、归档文档

网络通了，项目还不算完。交叉检查密码和远程管理配置也是一件容易被忽略但很重要的事情。至少要设enable密码，并且用enable secret而不是enable password，因为后者在配置里是明文存储的。远程登录方面，设备默认的VTY密码也要设上，否则别人Telnet进来不需要认证。生产环境建议直接用SSH替代Telnet，模拟环境里可以先了解机制，后面再落到安全配置。

全部配置验证通过之后，记得保存配置：

R1# write memory SW1# write memory

不少人在模拟器里配完直接关软件，下次打开发现配置全没了。write memory或者缩写wr，就是把你敲的所有配置写入startup-config，保证重启后配置还在。最后把最终版拓扑简图、地址规划表、关键配置片段一起归档，交给维护的人。我通常会把配置里比较容易被绕晕的地方，比如子接口和VLAN的对应关系、NAT的ACL编号，单独写一段注释。这份文档将来就是你排查故障时的第一份参考资料。

最后再说个个人习惯。我每次搭完这种小型企业网，都会把show run导出来留底，再对照拓扑检查一遍，“配置里出现的VLAN是否都能在墙上找到对应的线”。因为不是每次配置都是你亲手敲的，时间久了，一张图加一份配置，才是网络环境最可靠的“说明书”。这套从简图开始的流程，我一直用到现在，应对更大规模的网络时，思路也完全不变——就是把这张图画得再细一点、规划得再周全一点而已。