思科真机综合实验复盘：从设备选型到OSPF故障排查

站到真机面前的那一刻，我才发现自己之前那些在模拟器里刷出来的熟练度有多虚。敲了半年命令，背熟了各种协议细节，自信满满地打开思科设备的Console口，结果连设备型号都认不全，更别提不同板卡上的接口编号完全和模拟器对不上。这篇文章就是那次思科综合实验实机操作的全过程复盘，从实验设计、设备选型、环境搭建，到分层配置和一次完整的OSPF故障排查链路，全都有。适合正在备考认证、准备入职网络岗位，或者手里刚拿到一批真机却不知道从哪下手的同学。

1. 真机为什么不能省：模拟器永远教不会你的三件事

很多人问我，既然GNS3、Packet Tracer都能跑通实验，为什么非要折腾实机？我的回答是：综合实验的"综合"两个字，恰恰是模拟器最薄弱的地方。

1.1 物理层是你绕不过的第一关

模拟器里的端口永远都是Up/Up，但在实机上，接口编号、模块安装位置、线缆类型、协商模式全都需要你亲手确认。第一次开机时我连设备前面板都没看明白：2960交换机的24个百兆口和2个千兆上行口编号方式不同，3560的SFP光口模块需要单独插到固定槽位，2811路由器上还有WIC扩展槽，每个槽位的命名规则都不一样。这些细节在Packer Tracer里完全不存在，可到了真机排错阶段，第一件要做的事情就是看端口物理状态。VLAN配置得再漂亮，光纤没插稳、光模块没识别，一切都白搭。

1.2 综合实验的真正含义是技术栈的串联

所谓"综合"，指的是你在一个拓扑里同时体会二层交换和三层路由的协作，体会静态路由、动态路由和NAT之间的信息流动，体会一台设备故障如何影响整张网络的可用性。这跟一个一个做题库里的单项实验完全是两码事。单项实验只需要关注眼前这台设备；综合实验要求你脑子里始终装着一张全局拓扑图。一个VLAN没放行，可能会导致DHCP拿不到地址、OSPF邻居建不起来、全网PC无法通信，一连串问题同时出现。你可能花半小时去排查路由协议，结果发现是Trunk接口漏了allowed vlan。

1.3 真机上的故障信息才是真正的经验积累

实机开机时那个加载过程，交换机和路由器上闪烁的LED灯，console口输出的一行行启动日志，全都是有信息量的。设备自检失败、Flash文件系统损坏、IOS加载异常、配置文件校验失败，这些问题在模拟器里永远不会出现。处理过一次之后，你对设备运行机制的体感完全不同。后面章节里我会专门讲一次真实的OSPF排错过程，那种从物理层一路查到协议层的思维链路，只有实机才能让你真正建立起来。

2. 动手之前先动脑：一套可复用的实验设计方法

这次综合实验一开始我是直接搬设备的，结果面对四台思科设备时脑子一片空白，根本不知道从哪台配起。后来我重新做了设计，才明白前辈们为什么总说"先画图，再动手"。

2.1 拓扑怎么画：三层区块法

我采用的拓扑非常典型，适合绝大多数综合实验的框架：接入层、核心层、出口层三个区块。接入层放一台二层交换机，负责PC的VLAN接入；核心层放一台三层交换机，承担VLAN间路由和DHCP服务；出口层放一台路由器，负责接入运营商网络并做NAT。与路由器相连的再放一台模拟运营商的路由器，用于验证外网互通。实际连接关系是：PC连接到接入层交换机，接入层交换机上联核心层交换机，核心层交换机连接出口路由器，出口路由器连接运营商路由器。

这样的好处是每一层职责清晰，排查故障时可以快速定位问题范围。PC上不了网，先用ping定位是网关的问题、路由的问题，还是NAT和运营商链路的问题。逐段缩小排查范围，比在没有规划的拓扑里追着IP乱跑高效太多。

2.2 一张规划表解决大半问题

实机操作最忌讳的就是网段和VLAN编号混乱。我在动手之前把所有规划用一张表固定下来，配置的时候完全照着表走：

表格整理完，配置时的思路立刻清晰了。哪个接口配哪个地址，哪个VLAN对应哪个网段，一目了然。我还额外加了一列"验证方法"，比如配置完VLAN 20之后，必须用核心交换机ping网关地址确认SVI起来了，而不是急着去配NAT。

2.3 设备选型：不用追求高端，但要知道每台设备的定位

这次用的是思科经典的入门组合：Catalyst 2960做接入，Catalyst 3560做核心，2811做出口。这套组合在某个高校网络实验室里非常常见，市场上二手价格也不高，很适合个人搭建实验环境。

选型的关键不只是型号，还要看接口数量是否满足拓扑需求。2960有24个百兆电口和2个千兆光口，用来接PC和做上联非常合适；3560的千兆口数量更多，并且支持SVI三层转发，天然适合做核心；2811有两个10/100兆的FE口和一个WIC插槽，后期还可以加装模块扩充接口。接口评估不到位，最常见的翻车场景是：路由器的可用端口不够，NAT内外网口只能复用同一个接口，整个设计就变味了。

2.4 步骤划分：配置顺序本身就是一种排错手段

我把整个实验拆成了五个阶段，后面配置章节也按照这个顺序来写：先做接入层VLAN与端口安全，再做核心层SVI与VLAN间路由，然后配置DHCP服务，接着做出口NAT和路由协议，最后统一开启SSH、NTP、日志等运维管理功能。这个顺序的核心逻辑是：从数据链路层到网络层，从内网到外网，每一步验证完再进入下一步。任何一步验证失败，都能很确定地把问题限制在刚配置的范围内，不需要从头查起。

3. 实机环境搭建：从线缆到控制台的每个细节

拿到设备别急着上电。实机环境搭建有几个容易出错的地方，几乎每个人都会栽一次。

3.1 线缆与模块：先说清楚再连线

思科设备前面板和后面板上的接口区别经常把人搞晕。交换机一般用电口和SFP光口，路由器则用固定的FE/GE口加模块化插槽。连接PC和交换机用直通线，交换机之间、路由器和交换机之间，理论上需要交叉线，但现代思科设备的端口基本都支持MDIX自动协商，所以只要线缆本身没坏，直接用直通线也能跑通。真正容易出问题的是SFP光模块，插入之前要确认模块型号和光纤接口类型是否匹配，多模光纤配多模模块，单模光纤配单模模块，插反了光口不会起来。我第一次实验就遇到SFP模块没有完全卡到位，端口死活不亮，后来听到清脆的"咔嗒"声才算完。

3.2 控制台连接：乱码和没反应是两码事

Console线插入设备的Console口（通常标了CONSOLE字样），另一头连电脑的RS232串口，绝大多数笔记本没有串口，需要用USB转串口线，驱动没装好会导致端口识别不了。打开终端软件之后，关键的参数是波特率9600，数据位8位，无校验，停止位1位。波特率设置不对，屏幕上全是乱码，这不是设备坏了，是把115200当成了默认值。另外，如果终端一片空白，先检查线缆和驱动，再检查是不是按了Enter键没反应，最后才考虑设备本身是否还在启动。

3.3 设备初始化：让每台设备都从干净状态开始

实验机架上的设备不可能都是新出厂的，上一轮实验的配置文件可能还躺在NVRAM里。动手配置之前，我习惯性把每台设备全部恢复出厂：

# 思科交换机清配置 erase startup-config delete flash:vlan.dat reload # 思科路由器清配置 erase startup-config reload

这里有个新手特别容易忽略的坑：交换机上光删startup-config不够，VLAN信息还存在vlan.dat文件里，不删的话设备重启后老VLAN还是会回来。加载完默认配置之后，第一件事是确认IOS版本和模块状态：

show version show inventory show ip interface brief

确认版本信息非常关键。不同IOS版本支持的协议特性、命令语法都有差异，比如某些老版本不认"ip dhcp excluded-address"的缩写形式，需要写全命令。这一步看似浪费几分钟，实际上能避免后面配置过程中大量莫名的报错。

3.4 配置前的最后检查：命名规范与远程管理预留

我给每台设备都设置了hostname，并且启用了enable secret，这在多设备联调时特别重要。console口上配置了密码之后，每次切换设备都有一套标准的身份认证习惯，避免在哪个设备上执行命令都分不清。还有一个小技巧：第一时间在每台设备上配置环回接口Loopback0，地址用单独的网段规划。后面跑OSPF时，Router ID直接用环回地址，稳定性和可读性都更好。

4. 核心配置落地：我把综合实验拆成五步来写

配置是个体力活，但体力活也要讲究顺序。下面这五个步骤就是我在实验中实际执行的，每步配完都做了验证。

4.1 接入层交换：VLAN、Trunk与端口安全

接入层交换机SW1只做二层工作，先把VLAN建好，端口划分好，上联口设为Trunk，并且开启端口安全。

hostname SW1 ! vlan 10 name USER vlan 20 name SERVER ! interface range GigabitEthernet0/1-10 switchport mode access switchport access vlan 10 switchport port-security switchport port-security maximum 2 switchport port-security violation shutdown spanning-tree portfast ! interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan 10,20 switchport trunk native vlan 999

端口安全这块特别说明一下。violation shutdown意思是端口检测到超出预设数量的MAC地址后，直接进入err-disabled状态。在综合实验场景里，很多问题不是配置错误，而是你来回换PC测试时，端口上记录了多个MAC，触发了安全策略。进入err-disabled之后，需要手动执行"shutdown"再"no shutdown"恢复。这个机制理解到位，后面排错时就不会觉得是设备坏了。

VLAN 999作为一个专门的native VLAN，是为了避免默认VLAN 1的Trunk协商被不必要的协议流量干扰。配置Trunk时还有个容易被忽略的点：两端接口的模式必须匹配，一侧是"switchport mode trunk"，另一侧不能是默认的dynamic auto，否则可能出现协商不一致。我用的是手工Trunk模式，最稳定。

4.2 核心层交换：SVI与VLAN间路由

3560作为三层交换机，核心工作有两个：创建VLAN接口（SVI）作为网关，开启路由功能实现VLAN间通信。

hostname SW2 ! ip routing ! interface Vlan10 ip address 192.168.10.254 255.255.255.0 ! interface Vlan20 ip address 192.168.20.254 255.255.255.0 ! interface GigabitEthernet0/24 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20

"ip routing"这一条就是三层交换机与二层交换机的分水岭。不敲这条命令，即使配置了SVI接口，VLAN10和VLAN20之间也不会转发流量。我见过不少人配置了SVI，ping网关能通，但跨VLAN就是不通，最后发现就是少了这行命令。

验证VLAN间路由：在SW2上直接ping两个网关地址，再用PC去ping对端VLAN的PC。通了之后，再进入下一步。

4.3 DHCP服务：在核心层统一发放地址

综合实验里PC的IP最好用DHCP分配，否则PC手动配IP，一台设备的问题可能被掩盖成全网问题。DHCP我放在核心层SW2上做，比放在路由器上更简洁：

ip dhcp excluded-address 192.168.10.1 192.168.10.253 ip dhcp excluded-address 192.168.20.1 192.168.20.253 ! ip dhcp pool USER10 network 192.168.10.0 255.255.255.0 default-router 192.168.10.254 dns-server 10.0.0.1 ! ip dhcp pool SERVER20 network 192.168.20.0 255.255.255.0 default-router 192.168.20.254 dns-server 10.0.0.1

如果PC不在核心层设备直连的广播域内，DHCP请求没法直接到达SW2，这时需要在中继设备上配置"ip helper-address"指向DHCP服务器地址。接入层交换机的VLAN接口上没有配置IP，DHCP广播只能在本地VLAN泛滥。后来我把DHCP中继配置在核心层交换机的VLAN接口上，但在实际拓扑中PC的核心网关就是SW2，所以不需要中继。这个设计点需要根据自己拓扑调整。

4.4 出口路由：NAT与默认路由

R1连接内网和运营商模拟路由器R2，需要解决两个问题：内网访问外网时源地址转换，以及外网回程流量的路由返回。

hostname R1 ! interface GigabitEthernet0/0 ip address 192.168.100.1 255.255.255.252 description TO_SW2 no shutdown ! interface GigabitEthernet0/1 ip address 203.0.113.1 255.255.255.252 description TO_ISP_R2 no shutdown ! ip route 0.0.0.0 0.0.0.0 203.0.113.2 ! access-list 100 permit ip 192.168.10.0 0.0.0.255 any access-list 100 permit ip 192.168.20.0 0.0.0.255 any access-list 100 permit ip 192.168.100.0 0.0.0.3 any ! ip nat inside source list 100 interface GigabitEthernet0/1 overload ! interface GigabitEthernet0/0 ip nat inside ! interface GigabitEthernet0/1 ip nat outside

"overload"是PAT模式的关键，它让所有内网地址复用出口接口的同一个公网地址。ACL 100的作用是定义哪些源地址允许被NAT，注意通配符掩码的写法。如果漏掉192.168.100.0/30这个网段，内网和出口路由器之间的通信也会被NAT影响，可能引发路由协议邻居建立异常。

配置完成后，在R1上"show ip nat translations"应该能看到动态的映射记录，这就说明PC访问外网的流量已经经过NAT转发了。

4.5 动态路由：OSPF把全网的路由信息串起来

综合实验里静态路由能解决连通性问题，但缺少一种"网络自愈"的感觉。我在核心层的SW2和出口路由器R1之间配置了OSPF，把内网网段宣告进OSPF，R2上的回程路由依靠R1的默认路由通告传递。

router ospf 1 router-id 2.2.2.2 network 192.168.10.0 0.0.0.255 area 0 network 192.168.20.0 0.0.0.255 area 0 network 192.168.100.0 0.0.0.3 area 0 default-information originate

默认路由的注入靠的是"default-information originate"。R1上已经配置了指向运营商的默认路由，这个命令会把它以Type 2 LSA的形式传播给OSPF邻居，核心层SW2学习到默认路由后，才能把内网访问外网的流量交给R1。没有这条命令时，内网PC和外网之间的连通性也会有问题，但症状很隐蔽：VLAN间通信正常、网关能ping通，就是访问外网不通。

配置完OSPF后，建议用"show ip ospf neighbor"检查邻居状态，用"show ip route ospf"检查路由表，这是每个综合实验都必须跑的验证命令。

5. 排错实战：一次OSPF邻居起不来的完整排查链路

所有配置都写完之后，我以为网络应该通了，结果在核心层SW2上检查OSPF邻居时，发现无论如何都看不到R1这个邻居。这个问题整整耗了我两个小时，排错过程特别有价值，完整梳理给大家参考。

5.1 第一层：物理接口为什么是Down的

我先在SW2上执行了最基础的接口状态检查：

show ip interface brief

输出显示与R1相连的GigabitEthernet0/24是down/down。这是最底层的物理状态，接口没起来，后面所有协议问题都无从谈起。我检查了线缆是否松动，SFP模块是否插好，确认物理连接没毛病之后，接口依然是down/down。

接着我注意到，接口配置了"switchport mode trunk"，但是对面R1的接口是路由口。在思科三层交换机和路由器相连的场景里，需要把SW2的这个接口改成三层路由口，配置IP地址，而不是Trunk口。这是我整个实验里最关键的认知转折：

interface GigabitEthernet0/24 no switchport ip address 192.168.100.2 255.255.255.252 no shutdown

一旦改成路由口，接口状态立刻变成了up/up。物理层通了，OSPF邻居才有机会建立。

5.2 第二层：show interfaces Trunk与VLAN链路

接口恢复之后，我再次检查邻居状态，这次R1能看到SW2了，但邻居状态一直卡在EXSTART/EXCHANGE，没有进入FULL状态。这个状态很典型，说明Hello包已经通了，但数据库描述包的交换过程出了问题。

我分别在两台设备上跑"show ip ospf neighbor"和"show ip ospf interface"，对比后发现两边接口上的MTU值不一致。R1的GigabitEthernet0/1默认MTU是1500，而SW2的GigabitEthernet0/24在之前的配置中手工设置过MTU为1400。MTU不一致会导致DD报文在传输过程中分片或丢失，邻居关系永远建立不了。

interface GigabitEthernet0/24 ip mtu 1500

修改之后，邻居状态立刻从EXCHANGE进入FULL。这里必须说清楚：思科OSPF对MTU不匹配的处理并不是直接报错，而是卡在数据库同步阶段，看起来像路由协议配置错了，实际是链路层参数不匹配。

5.3 第三层：Hello计时器与网络类型

邻居建立之后，我又发现新问题——SW2和R1之间确实建立了邻居，但SW2上的OSPF路由表里始终看不到R1通告的默认路由。我把排查重点转向了网络类型。

思科默认的以太网接口OSPF网络类型是broadcast，会选举DR/BDR。如果一侧的网络类型被改成了point-to-point，而另一侧还是broadcast，双方协商出现问题，路由学习自然不正常。我用"show ip ospf interface"确认两边都是broadcast类型，排除了这个因素，然后把注意力放到了Hello和Dead计时器上：

interface GigabitEthernet0/24 ip ospf hello-interval 10 ip ospf dead-interval 40

其实默认值就是10秒和40秒，不需要改动，但检查一遍能避免因为之前实验遗留配置导致的不一致。两侧计时器一致之后，邻居关系从FULL开始保持稳定。

5.4 最终定位：passive-interface导致的静默

当我准备把剩下的路由问题归咎于R1配置时，重新检查R1的OSPF配置，发现一个问题：我在R1上配置OSPF时，把连接内网的接口GigabitEthernet0/0设置成了passive-interface，原本的意图是防止内网侧接口发送多余的Hello报文，但这条配置同时也禁用了该接口上的OSPF邻居关系。

问题是，连接外网的GigabitEthernet0/1也需要与SW2建立邻居，而我并没有单独把它设置为非passive。在"passive-interface default"的配置方式下，所有接口默认都是被动接口，需要显式地用"no passive-interface"把特定接口放出来。我的配置里恰恰少了这一步：

router ospf 1 passive-interface default no passive-interface GigabitEthernet0/1

这条"no passive-interface"加上后，R1和SW2之间的邻居关系彻底稳定，SW2也学到了一跳默认路由。综合实验里，静态路由和动态路由经常混用，passive-interface的误用是极其常见的问题。它不会影响已经配好的静态路由，只会悄悄切断动态路由邻居的建立，排查起来特别隐蔽。

6. 从模拟器到实机，我踩过的五个认知坑

这次实验让我对模拟器和实机的差距有了深刻的体感，总结成五个最常见的坑，给大家提前打个预防针。

6.1 接口默认状态不是Up

模拟器里端口默认都是Up/Up。实机不一样，路由器和交换机的接口默认是shutdown状态，必须显式配置"no shutdown"。很多综合实验失败的原因就是漏了这句。接口配置了IP、配了NAT、配了OSPF，就是忘了把接口拉起来，结果整条链路不通。建议配置完接口后，立即用"show ip interface brief"检查，看到up/up再继续下一步。

6.2 删除配置不只是no命令

在模拟器里，你输入"no vlan 10"就删干净了。实机上，VLAN信息会写入vlan.dat文件，光删配置文件是不够的；路由器的某些非易失配置也存在NVRAM里，恢复出厂时如果只执行"erase startup-config"而忘了处理vlan.dat，重启后旧配置就回来了。我在初始化时专门加了"delete flash:vlan.dat"这条命令，就是因为吃过这个亏。

6.3 IOS版本差异导致的命令语法区别

同一系列设备，不同IOS版本之间命令可能有细微差别。比如某些老版本交换机不支持"ip dhcp snooping"的某些子命令，或者SSH版本配置的keyword不同。排错时如果照着文档敲命令报错，先别急着改需求，用"show version"看看IOS版本，用"?"帮助提示确认正确语法。我这次实验里就遇到在2960上使用较老IOS时"crypto key generate rsa"和"ip ssh version 2"的配置顺序问题，顺序不对SSH就起不来。

6.4 输出速度和等待时间完全不同

在模拟器里，命令输出是瞬间完成的。实机上，尤其设备老了之后，"show running-config"可能要等好几秒，"write memory"也得几秒。我在连续输入多条命令时经常回车敲太快，结果下一条命令在上一条还没执行完时就发出去了，导致误操作。实机操作一定要养成慢一点、逐条确认的习惯。

6.5 物理线缆导致的诡异故障

模拟器里没有任何物理层故障。实机上，网线水晶头接触不良会导致间歇性down/up，光纤弯曲半径过大会导致光模块频繁告警，甚至Console线接触不良会导致终端动不动就断开。遇到"看起来哪里都对但就是不安稳"的故障时，一定要去物理层找问题。我在实验过程中因为一根水晶头没压紧，端口时通时断，排了半小时才发现是线的问题。

最后的几点实在心得

综合实验做完之后，我最大的体会是：实机操作的价值不在于命令多熟练，而在于你被迫面对物理层的真实约束、面对设备间配置的互相影响、面对那些文档里不会写的细节。建议所有用模拟器学习的同学，至少找机会在真机上完整跑一遍综合实验，哪怕只有两三台设备，收获也会很大。

最后分享一个我自己养成的习惯：每次改动核心配置之前，先用"show running-config"把当前配置备份一份，或者用"show start"确认保存状态。实验过程中改来改去，很容易忘记哪一步做了什么，有备份在手，回退和对比都方便得多。下次再碰到"莫名其妙就不通了"的故障，翻一翻备份配置和当前配置的差异，往往比从头排查更快。