真实企业网络不是单一技术的堆砌，而是 VLAN + 路由 + DHCP + NAT + 防火墙 的有机组合。本文从零搭建一套完整的企业组网拓扑，覆盖接入层 VLAN 划分、跨网段路由互通、DHCP 自动分配、NAT 上网与服务器发布、防火墙安全策略，带你走完从设计到配置到验证的全流程。
一、企业组网架构概述
企业网络采用层次化设计，自下而上分为三层：
| 层次 | 设备 | 职责 | 关键技术 |
|---|---|---|---|
| 接入层 | 二层交换机 | 终端接入、VLAN隔离 | VLAN、Trunk、STP |
| 汇聚/核心层 | 三层交换机/路由器 | 跨网段路由、DHCP中继 | OSPF、静态路由、VLANIF |
| 边界层 | 防火墙 | 安全隔离、NAT转换 | 安全策略、SNAT、DNAT |
设计原则：层次化设计让每层职责清晰——接入层只管接入，汇聚层只管路由，边界层只管安全。故障定位时按层排查，效率最高。
二、实验拓扑
Internet(8.8.8.8)
│
┌─── FW1 防火墙 ───┐
│ Untrust: 200.1.1.1│ Trust: 10.1.1.1
│ DMZ: 10.2.1.1 │
└────┬──────────┬────┘
│ │
AR1 路由器 Server(Web)
GE0/0/0:10.1.1.2 10.2.1.10
│
SW1 三层交换机
VLANIF10: 192.168.10.1 (办公)
VLANIF20: 192.168.20.1 (研发)
VLANIF30: 192.168.30.1 (服务器)
│
┌────┼────┐
PC1 PC2 PC3
VLAN10 VLAN20 VLAN30拓扑包含：1台防火墙（FW1）、1台路由器（AR1）、1台三层交换机（SW1）、1台Web服务器、3台终端PC，模拟完整企业组网。
三、VLAN 划分与 Trunk 配置
按业务需求划分三个 VLAN，实现广播域隔离：
| VLAN ID | 名称 | 网段 | 用途 | 网关 |
|---|---|---|---|---|
| VLAN 10 | Office | 192.168.10.0/24 | 办公区终端 | 192.168.10.1 |
| VLAN 20 | R&D | 192.168.20.0/24 | 研发区终端 | 192.168.20.1 |
| VLAN 30 | Server | 192.168.30.0/24 | 内部服务器 | 192.168.30.1 |
# SW1 创建VLAN
[SW1] vlan batch 10 20 30
# SW1 配置VLANIF接口（三层网关）
[SW1] interface Vlanif 10
[SW1-Vlanif10] ip address 192.168.10.1 24
[SW1] interface Vlanif 20
[SW1-Vlanif20] ip address 192.168.20.1 24
[SW1] interface Vlanif 30
[SW1-Vlanif30] ip address 192.168.30.1 24
# 接入端口划分VLAN（Access模式）
[SW1] interface GigabitEthernet 0/0/1
[SW1-GE0/0/1] port link-type access
[SW1-GE0/0/1] port default vlan 10
[SW1] interface GigabitEthernet 0/0/2
[SW1-GE0/0/2] port link-type access
[SW1-GE0/0/2] port default vlan 20
[SW1] interface GigabitEthernet 0/0/3
[SW1-GE0/0/3] port link-type access
[SW1-GE0/0/3] port default vlan 30
# 上行端口配置Trunk（连接路由器）
[SW1] interface GigabitEthernet 0/0/24
[SW1-GE0/0/24] port link-type trunk
[SW1-GE0/0/24] port trunk allow-pass vlan 10 20 30Trunk vs Access：终端端口用 Access（只属于一个VLAN），交换机互联端口用 Trunk（承载多VLAN流量）。上行到路由器的端口必须放行所有需要路由的VLAN。
四、跨网段路由配置
VLANIF 实现了同交换机上的三层互通，但跨设备通信还需配置路由。本实验用静态路由确保全网可达：
# SW1 默认路由指向AR1（所有未知流量交给路由器）
[SW1] ip route-static 0.0.0.0 0.0.0.0 10.1.1.2
# AR1 到内网各VLAN的回程路由
[AR1] ip route-static 192.168.10.0 255.255.255.0 10.1.1.1
[AR1] ip route-static 192.168.20.0 255.255.255.0 10.1.1.1
[AR1] ip route-static 192.168.30.0 255.255.255.0 10.1.1.1
# AR1 默认路由指向防火墙（上网流量交给防火墙）
[AR1] ip route-static 0.0.0.0 0.0.0.0 10.1.1.1
# 防火墙到内网网段的路由（回程流量）
[FW1] ip route-static 192.168.10.0 255.255.255.0 10.1.1.2
[FW1] ip route-static 192.168.20.0 255.255.255.0 10.1.1.2
[FW1] ip route-static 192.168.30.0 255.255.255.0 10.1.1.2
[FW1] ip route-static 0.0.0.0 0.0.0.0 200.1.1.2 # 默认路由指向ISPOSPF 替代方案：大型网络用 OSPF 更合适——`[AR1] ospf 1` → `[AR1-ospf-1] area 0` → 逐网段 `network` 宣告。本实验规模小，静态路由更直观。
五、DHCP 与 NAT 配置
DHCP 自动分配IP，终端无需手动配置；NAT 解决私网上网和服务器发布。
# SW1 配置DHCP服务器（基于VLANIF接口的地址池）
[SW1] dhcp enable
[SW1] interface Vlanif 10
[SW1-Vlanif10] dhcp select interface
[SW1-Vlanif10] dhcp server dns-list 8.8.8.8 114.114.114.114
[SW1-Vlanif10] dhcp server excluded-ip-address 192.168.10.1 192.168.10.10
[SW1] interface Vlanif 20
[SW1-Vlanif20] dhcp select interface
[SW1-Vlanif20] dhcp server dns-list 8.8.8.8 114.114.114.114
[SW1-Vlanif20] dhcp server excluded-ip-address 192.168.20.1 192.168.20.10
[SW1] interface Vlanif 30
[SW1-Vlanif30] dhcp select interface
[SW1-Vlanif30] dhcp server dns-list 8.8.8.8
[SW1-Vlanif30] dhcp server excluded-ip-address 192.168.30.1 192.168.30.10
# 防火墙 SNAT（内网上网）
[FW1] acl 3000
[FW1-acl-adv-3000] rule permit ip source 192.168.10.0 0.0.0.255
[FW1-acl-adv-3000] rule permit ip source 192.168.20.0 0.0.0.255
[FW1-acl-adv-3000] rule permit ip source 192.168.30.0 0.0.0.255
[FW1] interface GigabitEthernet 1/0/0 # Untrust接口
[FW1-GE1/0/0] nat outbound 3000 # Easy IP方式SNAT
# 防火墙 DNAT（发布DMZ区Web服务器）
[FW1] interface GigabitEthernet 1/0/0
[FW1-GE1/0/0] nat server protocol tcp global 200.1.1.1 80 inside 10.2.1.10 80DHCP地址池规划：排除网关和服务器等固定IP地址段（excluded-ip-address），避免DHCP分配冲突。DNS必须配置，否则终端无法解析域名。
六、防火墙安全策略
防火墙将网络分为三个安全区域：Trust（内网）、Untrust（互联网）、DMZ（服务器区）。安全策略按区域间流向控制访问。
| 源区域 | 目的区域 | 放行流量 | 说明 |
|---|---|---|---|
| Trust | Untrust | HTTP/HTTPS/DNS/Ping | 内网终端上网 |
| Untrust | DMZ | 仅 TCP 80 | 外网仅可访问Web服务 |
| Trust | DMZ | SSH/HTTP/ICMP | 内网管理服务器 |
| DMZ | Untrust | HTTP/DNS | 服务器需更新/解析 |
| Untrust | Trust | 拒绝所有 | 禁止外网主动访问内网 |
# Trust → Untrust 放行（内网上网）
[FW1] security-policy
[FW1-policy-security] rule name trust_to_untrust
[FW1-policy-security-rule-trust_to_untrust] source-zone trust
[FW1-policy-security-rule-trust_to_untrust] destination-zone untrust
[FW1-policy-security-rule-trust_to_untrust] action permit
# Untrust → DMZ 仅放行HTTP（外网访问Web服务器）
[FW1-policy-security] rule name untrust_to_dmz_http
[FW1-policy-security-rule-untrust_to_dmz_http] source-zone untrust
[FW1-policy-security-rule-untrust_to_dmz_http] destination-zone dmz
[FW1-policy-security-rule-untrust_to_dmz_http] service http
[FW1-policy-security-rule-untrust_to_dmz_http] action permit
# Trust → DMZ 放行管理流量
[FW1-policy-security] rule name trust_to_dmz_mgmt
[FW1-policy-security-rule-trust_to_dmz_mgmt] source-zone trust
[FW1-policy-security-rule-trust_to_dmz_mgmt] destination-zone dmz
[FW1-policy-security-rule-trust_to_dmz_mgmt] service ssh http icmp
[FW1-policy-security-rule-trust_to_dmz_mgmt] action permit
# 默认拒绝（Untrust → Trust）
[FW1-policy-security] rule name default_deny
[FW1-policy-security-rule-default_deny] source-zone untrust
[FW1-policy-security-rule-default_deny] destination-zone trust
[FW1-policy-security-rule-default_deny] action deny安全策略原则：默认拒绝、按需放行。先写最严格的默认拒绝规则，再逐条添加业务需要的放行规则。每条规则限定源/目的区域和具体服务端口，做到最小权限。
七、综合故障排查
综合组网涉及多层技术，故障排查采用分层排查法（自底向上）：
| 排查层级 | 检查内容 | 常用命令 |
|---|---|---|
| 物理层 | 接口状态、线缆连接 | `display interface brief` |
| 链路层 | VLAN配置、Trunk放行 | `display vlan`、`display port vlan` |
| 网络层 | 路由表、网关、NAT转换 | `display ip routing-table`、`display nat session` |
| 传输层 | 端口状态、防火墙策略 | `display firewall session table` |
| 应用层 | DNS解析、服务可达 | `ping`、`curl`、`nslookup` |
# 1. 检查接口状态（物理层）
[SW1] display interface brief
GE0/0/1 up up VLAN 10 ✅
GE0/0/24 up up Trunk ✅
# 2. 检查VLAN和Trunk（链路层）
[SW1] display vlan
VLAN 10: GE0/0/1(U) GE0/0/24(T) ✅
[SW1] display port vlan
GE0/0/24 Trunk PVID:1 Allow:10,20,30 ✅
# 3. 检查路由表（网络层）
[AR1] display ip routing-table
192.168.10.0/24 Static 10.1.1.1 ✅
0.0.0.0/0 Static 10.1.1.1 ✅
# 4. 检查防火墙会话（传输层）
[FW1] display firewall session table
icmp Trust→Untrust 192.168.10.10→8.8.8.8 ✅
# 5. 终端验证（应用层）
PC1> ping 192.168.20.1 # 跨VLAN网关可达 ✅
PC1> ping 8.8.8.8 # 上网可达 ✅
PC1> curl http://200.1.1.1 # 外网Web服务 ✅排查顺序很关键：不要一上来就查防火墙策略。先确认物理链路通→VLAN配置正确→路由可达→NAT转换正常→最后才查安全策略。跳层排查容易遗漏根因。
八、小结
- VLAN 实现二层隔离——接入层划分广播域，Trunk承载多VLAN上行
- 路由 实现三层互通——VLANIF做网关，静态路由/OSPF确保全网可达
- DHCP 实现自动分配——基于VLANIF接口地址池，排除固定IP防冲突
- NAT 实现公私网转换——SNAT上网、DNAT发布服务器
- 防火墙 实现安全管控——三区域隔离，默认拒绝+按需放行
- 分层排查 是综合组网故障定位的核心方法论——物理→链路→网络→传输→应用