驗(yàn)：從VLAN到NAT，打通HCIA數(shù)通全鏈路)
簡(jiǎn)介這是一份面向HCIA備考者的華為eNSP綜合實(shí)驗(yàn)拓?fù)浒诘湫蛨@區(qū)組網(wǎng)場(chǎng)景覆蓋VLAN劃分、RIP/OSPF動(dòng)態(tài)路由、ACL訪(fǎng)問(wèn)控制等核心知識(shí)點(diǎn)幫助學(xué)習(xí)者在仿真環(huán)境中完整體驗(yàn)從拓?fù)浯罱?、設(shè)備配置到連通性驗(yàn)證的流程。資源共8個(gè)文件包含topo拓?fù)湮募?、xml設(shè)備配置、efz設(shè)備鏡像以及txt配置步驟說(shuō)明壓縮包僅10KB輕巧易用。已有4838人學(xué)習(xí)適合正在備考華為認(rèn)證或想提升路由交換實(shí)操能力的初學(xué)者。通過(guò)該實(shí)驗(yàn)讀者可對(duì)照說(shuō)明文檔逐步完成初始化設(shè)備、配置VLAN間路由、部署動(dòng)態(tài)路由協(xié)議并應(yīng)用ACL安全策略從而加深對(duì)HCIA知識(shí)體系的理解為真實(shí)網(wǎng)絡(luò)運(yùn)維打下基礎(chǔ)。 華為eNSP拓?fù)渚C合實(shí)驗(yàn)這是我給準(zhǔn)備HCIA認(rèn)證的朋友們最常推薦的一道“開(kāi)胃菜”。很多人備考HCIA習(xí)慣按知識(shí)點(diǎn)一個(gè)個(gè)做小實(shí)驗(yàn)今天配個(gè)VLAN明天配個(gè)靜態(tài)路由單個(gè)拎出來(lái)都會(huì)但一到綜合題就懵。為什么因?yàn)橹R(shí)點(diǎn)是散的你腦子里沒(méi)有一張“網(wǎng)絡(luò)怎么從無(wú)到有跑通”的全景圖。這就像學(xué)游泳分解動(dòng)作練得再好不下水撲騰幾次永遠(yuǎn)不知道自己會(huì)嗆水。這篇內(nèi)容主要圍繞我搭建的一套HCIA綜合實(shí)驗(yàn)拓?fù)湔归_(kāi)覆蓋VLAN劃分、Trunk中繼、三層網(wǎng)關(guān)、靜態(tài)路由可以平滑切換到OSPF、NAT地址轉(zhuǎn)換、DHCP自動(dòng)分配以及遠(yuǎn)程登錄管理這幾個(gè)核心模塊幾乎把HCIA數(shù)通方向的路由交換考點(diǎn)都串起來(lái)了。實(shí)驗(yàn)工具用的是華為官方eNSP模擬器不需要真機(jī)一臺(tái)普通電腦就能跑。無(wú)論你是剛學(xué)完理論準(zhǔn)備上手的小白還是正在刷HCIA題庫(kù)想動(dòng)手驗(yàn)證的考生這篇文章都值得你跟著敲一遍。我會(huì)把每一步的配置思路、驗(yàn)證方法、還有我踩過(guò)的坑都交代清楚力求你拿去就能復(fù)現(xiàn)。1. 實(shí)驗(yàn)拓?fù)湓O(shè)計(jì)與整體思路1.1 從HCIA考點(diǎn)反推拓?fù)湫枨笞鼍C合實(shí)驗(yàn)最忌諱的是“為了連而連”先畫(huà)一堆設(shè)備然后隨便配配。我的習(xí)慣是倒推——先列HCIA核心考點(diǎn)再看每個(gè)考點(diǎn)需要什么網(wǎng)絡(luò)環(huán)境。HCIA-Datacom的核心考點(diǎn)大致有這幾塊VLAN的規(guī)劃與劃分、Trunk的封裝與放行、鏈路聚合Eth-Trunk、VLANIF三層網(wǎng)關(guān)、靜態(tài)路由與默認(rèn)路由、OSPF基礎(chǔ)、ACL包過(guò)濾、NAT的幾種實(shí)現(xiàn)方式尤其Easy IP、DHCP全局地址池和接口地址池、Telnet/SSH遠(yuǎn)程管理以及設(shè)備的系統(tǒng)基礎(chǔ)配置登錄密碼、設(shè)備命名、Console口/遠(yuǎn)程登錄權(quán)限。另外還有簡(jiǎn)單的網(wǎng)絡(luò)故障排查思路比如ping不通時(shí)在哪個(gè)設(shè)備上查什么表項(xiàng)這個(gè)其實(shí)比配置本身更能體現(xiàn)網(wǎng)工的功底。把這些考點(diǎn)羅列出來(lái)拓?fù)湫枨缶颓逦诵枰慌_(tái)出口路由器承載路由和NAT一臺(tái)三層交換機(jī)做內(nèi)網(wǎng)網(wǎng)關(guān)兩臺(tái)二層交換機(jī)做接入至少劃分兩個(gè)業(yè)務(wù)VLAN來(lái)模擬不同部門(mén)比如VLAN 10辦公網(wǎng)段、VLAN 20服務(wù)器網(wǎng)段還需要一臺(tái)PC充當(dāng)外網(wǎng)設(shè)備驗(yàn)證地址轉(zhuǎn)換效果。這套拓?fù)湟?guī)模不大但能把Layer 2到Layer 3再到出口的完整路徑全部走通。1.2 拓?fù)浣Y(jié)構(gòu)與IP地址規(guī)劃我的具體拓?fù)湓O(shè)計(jì)如下兩臺(tái)接入交換機(jī)LSW2、LSW3分別下掛PC1和PC2分別歸屬VLAN 10和VLAN 20兩臺(tái)接入交換機(jī)分別通過(guò)兩條鏈路向上聚合到核心交換機(jī)LSW1使用Eth-Trunk順帶練了鏈路聚合LSW1負(fù)責(zé)網(wǎng)關(guān)創(chuàng)建VLANIF 10和VLANIF 20AR1路由器通過(guò)物理口與LSW1互聯(lián)同時(shí)模擬運(yùn)營(yíng)商側(cè)的一臺(tái)設(shè)備用一臺(tái)ServerAR2模擬外網(wǎng)主機(jī)的網(wǎng)關(guān)。IP規(guī)劃遵循一個(gè)原則“先分業(yè)務(wù)網(wǎng)段再分互聯(lián)網(wǎng)段最后留出管理地址”這樣排錯(cuò)時(shí)一看地址就知道是哪一段。設(shè)備/接口VLAN/網(wǎng)段IP地址網(wǎng)關(guān)備注PC1VLAN 10192.168.10.10/24192.168.10.1模擬辦公終端PC2VLAN 20192.168.20.10/24192.168.20.1模擬服務(wù)器/辦公終端LSW1 VLANIF10VLAN 10192.168.10.1/24-核心網(wǎng)關(guān)LSW1 VLANIF20VLAN 20192.168.20.1/24-核心網(wǎng)關(guān)LSW1-VLANIF100-10.0.0.1/30-連AR1互聯(lián)地址AR1-G0/0/0-10.0.0.2/30-對(duì)端互聯(lián)AR1-G0/0/1-100.1.1.1/24-模擬公網(wǎng)出口AR2配置環(huán)回口-8.8.8.8/32-模擬互聯(lián)網(wǎng)某服務(wù)器互聯(lián)地址用30位掩碼是行業(yè)慣例只留2個(gè)可用地址干凈利落避免不必要的廣播占用。公網(wǎng)段用100.1.1.0/24測(cè)試地址轉(zhuǎn)換時(shí)內(nèi)網(wǎng)PC去ping 8.8.8.8效果一目了然。2. 實(shí)驗(yàn)環(huán)境準(zhǔn)備與關(guān)鍵工具細(xì)節(jié)2.1 eNSP安裝與啟動(dòng)的坑講配置之前先聊環(huán)境因?yàn)閑NSP這個(gè)模擬器雖然免費(fèi)好用但安裝和啟動(dòng)的門(mén)檻真能勸退一半人。eNSP依賴(lài)VirtualBox的虛擬化環(huán)境跑設(shè)備鏡像底層的CPU虛擬化、Windows Hyper-V沖突、防病毒軟件攔截這些任何一個(gè)環(huán)節(jié)出問(wèn)題都能讓設(shè)備啟動(dòng)失敗。新版eNSP建議搭配VirtualBox 5.2.x版本高版本VirtualBox往往不兼容會(huì)報(bào)40錯(cuò)誤。如果你用的Win11系統(tǒng)Hyper-V和WSL2默認(rèn)會(huì)占用虛擬化資源務(wù)必到控制面板把Windows功能里面的“虛擬機(jī)平臺(tái)”和“Hyper-V”選項(xiàng)關(guān)掉不然AR路由器啟動(dòng)基本必掛。設(shè)備啟動(dòng)失敗報(bào)錯(cuò)40還有一個(gè)高頻原因——eNSP安裝到了含有中文或空格的路徑。我見(jiàn)過(guò)太多人裝在“D:\軟件\華為模擬器”下面然后一路報(bào)錯(cuò)。老老實(shí)實(shí)裝到純英文目錄例如D:\eNSP能省掉80%的啟動(dòng)麻煩。再補(bǔ)充一個(gè)很多人忽略的細(xì)節(jié)eNSP啟動(dòng)設(shè)備時(shí)如果同時(shí)啟動(dòng)多臺(tái)路由器內(nèi)存占用會(huì)迅速飆升老一點(diǎn)的電腦直接卡死。我的習(xí)慣是分批次啟動(dòng)先啟動(dòng)交換機(jī)輕量確認(rèn)全部啟動(dòng)成功后再啟動(dòng)路由器重量級(jí)?？吹皆O(shè)備圖標(biāo)上的“啟動(dòng)小圓圈”變成穩(wěn)定的綠色再繼續(xù)下一步不要一次性全拉起來(lái)。2.2 Wireshark與VLC在實(shí)驗(yàn)中的真實(shí)用途eNSP自帶的抓包功能本質(zhì)上是集成Wireshark。華為設(shè)備接口上右鍵選擇“開(kāi)始抓包”可以捕獲該接口進(jìn)出的所有報(bào)文這是排查數(shù)據(jù)包問(wèn)題的第一利器比任何show命令都直觀(guān)。比如懷疑NAT沒(méi)生效就在AR1的G0/0/1接口公網(wǎng)口抓包看看源地址到底是192.168.10.10還是被轉(zhuǎn)換后的100.1.1.1一眼定位。VLC這個(gè)工具不少人不理解為什么eNSP會(huì)關(guān)聯(lián)它。實(shí)際上在安全實(shí)驗(yàn)里VLC可以作為流媒體的播放端配合eNSP模擬組播、音視頻傳輸時(shí)使用。但在HCIA層面的路由交換實(shí)驗(yàn)里VLC基本用不上。如果安裝時(shí)沒(méi)裝VLC不影響實(shí)驗(yàn)如果你已經(jīng)裝了在工具配置里關(guān)聯(lián)一下VLC的執(zhí)行文件路徑就行。這塊不用過(guò)度糾結(jié)跳過(guò)去就好。3. 核心配置實(shí)操與配置思路解析3.1 接入交換機(jī)配置VLAN劃分與Eth-Trunk鏈路聚合配置順序很有講究。我習(xí)慣從最底層往上配也就是先二層后三層先接入后核心最后才是出口路由和安全策略。這樣當(dāng)某一段ping不通時(shí)可以明確知道問(wèn)題不在更底層。先看兩臺(tái)接入交換機(jī)的配置。LSW2上面只跑VLAN 10LSW3上面只跑VLAN 20但為了模擬真實(shí)環(huán)境接入交換機(jī)上仍然要?jiǎng)?chuàng)建兩個(gè)VLAN并放行這樣以后任何一個(gè)接入端口都能靈活調(diào)整業(yè)務(wù)。# LSW2配置 sysname LSW2 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20接入側(cè)接口用access就夠連接PC不需要打標(biāo)簽向上走trunk放行業(yè)務(wù)VLAN。如果未來(lái)接入側(cè)還要跑多個(gè)VLAN再接一臺(tái)交換機(jī)那才改成trunk。LSW3的配置與LSW2對(duì)稱(chēng)只是PC口劃到VLAN 20。接著是LSW2和LSW3分別到LSW1的鏈路聚合。為什么要做鏈路聚合直觀(guān)的好處是帶寬疊加和鏈路冗余但HCIA實(shí)驗(yàn)里更大的意義在于練習(xí)這個(gè)必考配置點(diǎn)。鏈路聚合有兩種模式手工負(fù)載均衡和LACP模式實(shí)驗(yàn)里用手工模式最簡(jiǎn)單。# LSW2上配置Eth-Trunk將兩個(gè)物理口加入聚合組 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan 10 20 interface GigabitEthernet0/0/2 eth-trunk 1 interface GigabitEthernet0/0/3 eth-trunk 1需要特別提醒先創(chuàng)建Eth-Trunk邏輯口并配置好類(lèi)型再把物理口加入聚合組。如果順序反了物理口以access狀態(tài)加入兩個(gè)物理口的配置不一致Eth-Trunk可能無(wú)法正常協(xié)商或轉(zhuǎn)發(fā)異常。我見(jiàn)過(guò)很多新手在聚合后顯示Up但數(shù)據(jù)不通多半就是這個(gè)原因。3.2 核心交換機(jī)配置VLANIF網(wǎng)關(guān)與DHCP服務(wù)核心交換機(jī)LSW1承載了整個(gè)內(nèi)網(wǎng)的網(wǎng)關(guān)。VLANIF是三層接口它等于給VLAN這個(gè)二層廣播域配了一個(gè)IP地址這個(gè)IP就是該網(wǎng)段PC的網(wǎng)關(guān)。這里有一個(gè)理解誤區(qū)PC的網(wǎng)關(guān)并不需要單獨(dú)一臺(tái)路由器VLANIF在三層交換機(jī)上直接終結(jié)了二層網(wǎng)絡(luò)本地就完成了三層轉(zhuǎn)發(fā)。# LSW1配置 sysname LSW1 vlan batch 10 20 100 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 interface Vlanif100 ip address 10.0.0.1 255.255.255.0 # 與LSW2的Eth-Trunk 1 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan 10 20 # 與LSW3的Eth-Trunk 2注意編號(hào) interface Eth-Trunk 2 port link-type trunk port trunk allow-pass vlan 10 20 # 連接AR1的物理口 interface GigabitEthernet0/0/1 port link-type access port default vlan 100這里有兩個(gè)設(shè)計(jì)細(xì)節(jié)值得說(shuō)。第一為什么VLAN 100的VLANIF要建在核心交換機(jī)上而不是直接把物理口配成三層口因?yàn)槿绻鸏SW1的G0/0/1直接配IP該接口就變成了一個(gè)純?nèi)龑咏涌诤蚔LAN體系不搭界雖然也能通但失去了靈活性。做成accessVLANIF的方式將來(lái)若還要擴(kuò)展別的VLAN到路由器側(cè)只需trunk放行即可更符合實(shí)戰(zhàn)習(xí)慣。第二核心交換機(jī)連接兩臺(tái)接入交換機(jī)的Eth-Trunk編號(hào)必須不同1和2這是設(shè)備索引要求避免配置沖突。DHCP方面HCIA大綱里既要求接口地址池也要求全局地址池。實(shí)驗(yàn)里我用接口地址池最簡(jiǎn)單也最直觀(guān)# LSW1上啟用DHCP dhcp enable interface Vlanif10 dhcp select interface dhcp server dns-list 8.8.8.8 interface Vlanif20 dhcp select interface dhcp server dns-list 8.8.8.8PC端改成DHCP自動(dòng)獲取就能看到192.168.10.x/20.x的地址被分配下來(lái)。接口地址池的優(yōu)點(diǎn)是不需要額外配置network段和mask直接沿用接口IP所在網(wǎng)段不容易抄錯(cuò)。3.3 路由器配置靜態(tài)路由與NAT地址轉(zhuǎn)換AR1在整個(gè)拓?fù)淅锍袚?dān)兩個(gè)角色既是內(nèi)網(wǎng)的出口網(wǎng)關(guān)也是連接模擬InternetAR2的邊界。因此配置拆分兩塊往內(nèi)網(wǎng)方向需要一條回程路由讓公網(wǎng)回來(lái)的流量能找到內(nèi)網(wǎng)往外網(wǎng)方向需要做NAT源地址轉(zhuǎn)換。# AR1配置 sysname AR1 # 互聯(lián)接口與公網(wǎng)接口地址 interface GigabitEthernet0/0/0 ip address 10.0.0.2 255.255.255.252 interface GigabitEthernet0/0/1 ip address 100.1.1.1 255.255.255.0 # 回程路由目的網(wǎng)段是內(nèi)網(wǎng)兩個(gè)VLAN下一跳是核心交換機(jī) ip route-static 192.168.10.0 255.255.255.0 10.0.0.1 ip route-static 192.168.20.0 255.255.255.0 10.0.0.1關(guān)于路由設(shè)計(jì)這里有一個(gè)更高階的思路供你理解實(shí)際企業(yè)網(wǎng)絡(luò)中出口路由器通常只寫(xiě)一條默認(rèn)路由指向運(yùn)營(yíng)商而內(nèi)網(wǎng)明細(xì)路由都匯聚在核心設(shè)備上這樣出口路由器壓力小、維護(hù)簡(jiǎn)單。實(shí)驗(yàn)里我特意用兩條明細(xì)靜態(tài)路由是為了讓HCIA考生直觀(guān)看到“目標(biāo)網(wǎng)段下一跳”的表項(xiàng)含義。如果你之后學(xué)OSPF這里自然會(huì)變成network發(fā)布概念是相通的。NAT部分采用最經(jīng)典的Easy IP實(shí)現(xiàn)即借用出接口的公網(wǎng)IP做轉(zhuǎn)換家庭寬帶和企業(yè)小規(guī)模出口最常用因?yàn)檫\(yùn)營(yíng)商通常只分配一個(gè)公網(wǎng)IP# AR1上定義允許轉(zhuǎn)換的內(nèi)網(wǎng)網(wǎng)段ACL acl number 2000 rule 10 permit source 192.168.10.0 0.0.0.255 rule 20 permit source 192.168.20.0 0.0.0.255 # 在公網(wǎng)出接口上開(kāi)啟NAT Outbound interface GigabitEthernet0/0/1 nat outbound 2000配置完NAT最關(guān)鍵的一步是驗(yàn)證。在AR1上執(zhí)行display nat session all能看到內(nèi)網(wǎng)PC訪(fǎng)問(wèn)外網(wǎng)時(shí)的會(huì)話(huà)表項(xiàng)里面記錄著轉(zhuǎn)換前的源IP/端口和轉(zhuǎn)換后的源IP/端口。如果看到類(lèi)似100.1.1.1:1024 - 8.8.8.8:ICMP這樣的記錄說(shuō)明NAT生效了。3.4 遠(yuǎn)程登錄配置AAALocal認(rèn)證與Telnet/SSHHCIA考試中遠(yuǎn)程登錄實(shí)驗(yàn)幾乎是必考。實(shí)驗(yàn)里我配置Telnet加AAA本地認(rèn)證通過(guò)PC模擬終端遠(yuǎn)程管理核心交換機(jī)LSW1。# LSW1上配置 aaa local-user hcia password cipher Huawei123 local-user hcia privilege level 15 local-user hcia service-type telnet telnet server enable user-interface vty 0 4 authentication-mode aaa protocol inbound telnet這段配置的要點(diǎn)有幾個(gè)。第一privilege level 15意思是管理員的最高權(quán)限如果只給level 1那登錄后只能看沒(méi)法配第二service-type telnet不能漏漏了即使密碼正確也會(huì)提示認(rèn)證失敗第三VTY用戶(hù)界面下protocol inbound telnet是指定接入?yún)f(xié)議如果將來(lái)加配了SSH這條要改成ssh或者all。從PC上驗(yàn)證遠(yuǎn)程登錄在PC命令行工具里輸入telnet 192.168.10.1輸入用戶(hù)名hcia和密碼能進(jìn)系統(tǒng)視圖就算成功。如果你精力允許建議把SSH配置也一并練了核心差異在于需要先生成RSA密鑰對(duì)rsa local-key-pair create然后在VTY下改成protocol inbound ssh。實(shí)戰(zhàn)中SSH已經(jīng)全面取代Telnet但這個(gè)知識(shí)點(diǎn)在HCIA筆試?yán)镆廊怀霈F(xiàn)值得練習(xí)。4. 全網(wǎng)聯(lián)調(diào)驗(yàn)證與高頻故障排查4.1 端到端聯(lián)通性驗(yàn)證清單配置全部完成不等于實(shí)驗(yàn)做完最難也最考驗(yàn)功底的環(huán)節(jié)是“聯(lián)調(diào)排錯(cuò)”。我給每類(lèi)驗(yàn)證環(huán)節(jié)都設(shè)定了一個(gè)“檢查點(diǎn)”按順序走完如果所有檢查點(diǎn)都通過(guò)全網(wǎng)基本穩(wěn)了驗(yàn)證內(nèi)容操作命令/方法預(yù)期結(jié)果PC獲取IP地址PC上ipconfig192.168.10.10/192.168.20.10網(wǎng)關(guān)正確同VLAN互通PC1 ping 192.168.10.10對(duì)端同網(wǎng)段另一臺(tái)通跨VLAN互通PC1 ping 192.168.20.10通且路徑經(jīng)過(guò)LSW1三層轉(zhuǎn)發(fā)內(nèi)網(wǎng)到出口互通PC1 ping 10.0.0.2通證明路由可達(dá)邊界NAT轉(zhuǎn)換驗(yàn)證AR1上display nat session all能看到源地址被轉(zhuǎn)換為100.1.1.1外網(wǎng)模擬訪(fǎng)問(wèn)PC1 ping 8.8.8.8通全網(wǎng)最終目標(biāo)遠(yuǎn)程登錄管理PC1 telnet 192.168.10.1能進(jìn)入LSW1系統(tǒng)視圖建議每完成一個(gè)檢查點(diǎn)就在紙上打勾別急著跳。這種“逐層冒煙”的做法后續(xù)工作中排查網(wǎng)絡(luò)故障也一樣適用排查順序永遠(yuǎn)是從底層到高層、從內(nèi)到外。4.2 高頻故障啟動(dòng)失敗、VLAN不通、NAT不生效第一類(lèi)高頻問(wèn)題集中在模擬器環(huán)境層面AR設(shè)備啟動(dòng)報(bào)40失敗或者啟動(dòng)后一直“綠不了”。除了前面說(shuō)的路徑和Hyper-V原因之外還有一個(gè)非常容易被忽略的點(diǎn)——VirtualBox服務(wù)被占用或者安裝新版eNSP后和老版本VirtualBox組件沖突。解決思路是徹底卸載eNSP和VirtualBox后重裝eNSP默認(rèn)裝在C盤(pán)VirtualBox裝到C盤(pán)默認(rèn)位置然后以管理員身份運(yùn)行eNSP。啟動(dòng)順序上先啟動(dòng)AR1確認(rèn)成功再啟動(dòng)其余設(shè)備也能降低并發(fā)失敗概率。第二類(lèi)高頻問(wèn)題PC1能ping通同VLAN的PC但ping不同VLAN的PC。這種問(wèn)題路徑很明確逐個(gè)位置排查即可。先看PC網(wǎng)關(guān)是否配置正確或DHCP是否分配到正確網(wǎng)關(guān)在LSW1執(zhí)行display ip interface brief看VLANIF10/20是否物理Up和協(xié)議Up在接入交換機(jī)上查display port vlan確認(rèn)與核心相連的trunk口放行了哪些VLAN。80%的情況是trunk口只放行vlan 1 而漏掉了10和20。這個(gè)我屢見(jiàn)不鮮。第三類(lèi)高頻問(wèn)題內(nèi)網(wǎng)PC能訪(fǎng)問(wèn)AR1的G0/0/1接口地址但訪(fǎng)問(wèn)不了模擬外網(wǎng)的8.8.8.8。主要分兩種情況一是NAT沒(méi)生效看ACL是否匹配對(duì)了源網(wǎng)段注意反掩碼是否寫(xiě)成了正掩碼0.0.0.255是正確的寫(xiě)成255.255.255.0則ACL完全不匹配二是AR2上缺少回程路由或者沒(méi)有開(kāi)啟接口模擬器里AR2必須配置一個(gè)loopback地址作為8.8.8.8并且接口要啟動(dòng)默認(rèn)是開(kāi)啟的但確認(rèn)一下總是好的。5. 從綜合實(shí)驗(yàn)延伸到HCIA備考與真實(shí)網(wǎng)絡(luò)運(yùn)維5.1 綜合實(shí)驗(yàn)的正確練習(xí)姿勢(shì)很多人做完一遍綜合實(shí)驗(yàn)就扔一邊了這浪費(fèi)了這套拓?fù)涞膬r(jià)值。我建議的練習(xí)方法是“三遍法”第一遍照著配置敲跑通即可第二遍關(guān)掉所有配置保存文件從零開(kāi)始只給你一張IP規(guī)劃表憑記憶完成全流程配置這能暴露你的薄弱點(diǎn)第三遍去掉核心交換機(jī)的DHCP和VLANIF改用路由器單臂路由實(shí)現(xiàn)跨VLAN通信或者把靜態(tài)路由全部替換成OSPF驗(yàn)證不同方案下的效果差異。三遍下來(lái)HCIA的配置題基本爛熟于心。另外建議做個(gè)實(shí)驗(yàn)筆記模板記錄每個(gè)節(jié)點(diǎn)的核心命令、驗(yàn)證命令、預(yù)期結(jié)果后續(xù)無(wú)論是準(zhǔn)備HCIE面試還是工作中排查故障這份筆記都是最寶貴的資產(chǎn)。錯(cuò)題本比刷題題庫(kù)更有價(jià)值這個(gè)邏輯放在實(shí)驗(yàn)里同樣成立。5.2 實(shí)驗(yàn)?zāi)芰θ绾芜w移到真實(shí)網(wǎng)絡(luò)場(chǎng)景eNSP畢竟是模擬器達(dá)不到真實(shí)設(shè)備100%的性能但網(wǎng)絡(luò)原理和命令是100%一致的這就是它的價(jià)值。你在eNSP里養(yǎng)的思維方式——查路由表、查ARP表、查MAC地址表、腦內(nèi)還原數(shù)據(jù)包的轉(zhuǎn)發(fā)路徑——遷移到真實(shí)設(shè)備上沒(méi)有任何違和感。比如真實(shí)企業(yè)網(wǎng)絡(luò)里你拿到一臺(tái)華為交換機(jī)做接入第一件事往往是display interface brief查端口狀態(tài)、display vlan查業(yè)務(wù)VLAN劃分這些和eNSP里完全一樣。再比如排查“電腦能上網(wǎng)但打不開(kāi)公司服務(wù)器”的問(wèn)題在eNSP里養(yǎng)成的“先看二層隔離再看三層路由再看NAT/ACL過(guò)濾”的習(xí)慣會(huì)讓你少走很多彎路。這也是為什么我一直強(qiáng)調(diào)模擬器實(shí)驗(yàn)不能只追求“配置完事”一定要多問(wèn)自己幾個(gè)為什么為什么這里用trunk不用access為什么VLANIF的IP是網(wǎng)關(guān)為什么NAT要在出接口而不是入接口做把每個(gè)為什么想透你離一個(gè)獨(dú)立作戰(zhàn)的網(wǎng)絡(luò)工程師就不遠(yuǎn)了。我自己的體會(huì)是HCIA證書(shū)只是一張紙真正值錢(qián)的是你拿到證書(shū)之前在eNSP里反反復(fù)復(fù)敲爛的那幾千條命令和踩過(guò)的那幾十個(gè)坑。這套綜合實(shí)驗(yàn)如果真能按三遍法啃下來(lái)再回過(guò)去看HCIA題庫(kù)里的配置題和排錯(cuò)題基本都是降維打擊。希望這套拓?fù)浜团渲盟悸纺軒湍阍诰W(wǎng)絡(luò)工程師這條路上走得比當(dāng)年光看理論的我更順一點(diǎn)。本文還有配套的精品資源點(diǎn)擊獲取 華為eNSP綜合實(shí)驗(yàn)：從VLAN到NAT，打通HCIA數(shù)通全鏈路
簡(jiǎn)介這是一份面向HCIA備考者的華為eNSP綜合實(shí)驗(yàn)拓?fù)浒诘湫蛨@區(qū)組網(wǎng)場(chǎng)景覆蓋VLAN劃分、RIP/OSPF動(dòng)態(tài)路由、ACL訪(fǎng)問(wèn)控制等核心知識(shí)點(diǎn)幫助學(xué)習(xí)者在仿真環(huán)境中完整體驗(yàn)從拓?fù)浯罱?、設(shè)備配置到連通性驗(yàn)證的流程。資源共8個(gè)文件包含topo拓?fù)湮募?、xml設(shè)備配置、efz設(shè)備鏡像以及txt配置步驟說(shuō)明壓縮包僅10KB輕巧易用。已有4838人學(xué)習(xí)適合正在備考華為認(rèn)證或想提升路由交換實(shí)操能力的初學(xué)者。通過(guò)該實(shí)驗(yàn)讀者可對(duì)照說(shuō)明文檔逐步完成初始化設(shè)備、配置VLAN間路由、部署動(dòng)態(tài)路由協(xié)議并應(yīng)用ACL安全策略從而加深對(duì)HCIA知識(shí)體系的理解為真實(shí)網(wǎng)絡(luò)運(yùn)維打下基礎(chǔ)。 華為eNSP拓?fù)渚C合實(shí)驗(yàn)這是我給準(zhǔn)備HCIA認(rèn)證的朋友們最常推薦的一道“開(kāi)胃菜”。很多人備考HCIA習(xí)慣按知識(shí)點(diǎn)一個(gè)個(gè)做小實(shí)驗(yàn)今天配個(gè)VLAN明天配個(gè)靜態(tài)路由單個(gè)拎出來(lái)都會(huì)但一到綜合題就懵。為什么因?yàn)橹R(shí)點(diǎn)是散的你腦子里沒(méi)有一張“網(wǎng)絡(luò)怎么從無(wú)到有跑通”的全景圖。這就像學(xué)游泳分解動(dòng)作練得再好不下水撲騰幾次永遠(yuǎn)不知道自己會(huì)嗆水。這篇內(nèi)容主要圍繞我搭建的一套HCIA綜合實(shí)驗(yàn)拓?fù)湔归_(kāi)覆蓋VLAN劃分、Trunk中繼、三層網(wǎng)關(guān)、靜態(tài)路由可以平滑切換到OSPF、NAT地址轉(zhuǎn)換、DHCP自動(dòng)分配以及遠(yuǎn)程登錄管理這幾個(gè)核心模塊幾乎把HCIA數(shù)通方向的路由交換考點(diǎn)都串起來(lái)了。實(shí)驗(yàn)工具用的是華為官方eNSP模擬器不需要真機(jī)一臺(tái)普通電腦就能跑。無(wú)論你是剛學(xué)完理論準(zhǔn)備上手的小白還是正在刷HCIA題庫(kù)想動(dòng)手驗(yàn)證的考生這篇文章都值得你跟著敲一遍。我會(huì)把每一步的配置思路、驗(yàn)證方法、還有我踩過(guò)的坑都交代清楚力求你拿去就能復(fù)現(xiàn)。1. 實(shí)驗(yàn)拓?fù)湓O(shè)計(jì)與整體思路1.1 從HCIA考點(diǎn)反推拓?fù)湫枨笞鼍C合實(shí)驗(yàn)最忌諱的是“為了連而連”先畫(huà)一堆設(shè)備然后隨便配配。我的習(xí)慣是倒推——先列HCIA核心考點(diǎn)再看每個(gè)考點(diǎn)需要什么網(wǎng)絡(luò)環(huán)境。HCIA-Datacom的核心考點(diǎn)大致有這幾塊VLAN的規(guī)劃與劃分、Trunk的封裝與放行、鏈路聚合Eth-Trunk、VLANIF三層網(wǎng)關(guān)、靜態(tài)路由與默認(rèn)路由、OSPF基礎(chǔ)、ACL包過(guò)濾、NAT的幾種實(shí)現(xiàn)方式尤其Easy IP、DHCP全局地址池和接口地址池、Telnet/SSH遠(yuǎn)程管理以及設(shè)備的系統(tǒng)基礎(chǔ)配置登錄密碼、設(shè)備命名、Console口/遠(yuǎn)程登錄權(quán)限。另外還有簡(jiǎn)單的網(wǎng)絡(luò)故障排查思路比如ping不通時(shí)在哪個(gè)設(shè)備上查什么表項(xiàng)這個(gè)其實(shí)比配置本身更能體現(xiàn)網(wǎng)工的功底。把這些考點(diǎn)羅列出來(lái)拓?fù)湫枨缶颓逦诵枰慌_(tái)出口路由器承載路由和NAT一臺(tái)三層交換機(jī)做內(nèi)網(wǎng)網(wǎng)關(guān)兩臺(tái)二層交換機(jī)做接入至少劃分兩個(gè)業(yè)務(wù)VLAN來(lái)模擬不同部門(mén)比如VLAN 10辦公網(wǎng)段、VLAN 20服務(wù)器網(wǎng)段還需要一臺(tái)PC充當(dāng)外網(wǎng)設(shè)備驗(yàn)證地址轉(zhuǎn)換效果。這套拓?fù)湟?guī)模不大但能把Layer 2到Layer 3再到出口的完整路徑全部走通。1.2 拓?fù)浣Y(jié)構(gòu)與IP地址規(guī)劃我的具體拓?fù)湓O(shè)計(jì)如下兩臺(tái)接入交換機(jī)LSW2、LSW3分別下掛PC1和PC2分別歸屬VLAN 10和VLAN 20兩臺(tái)接入交換機(jī)分別通過(guò)兩條鏈路向上聚合到核心交換機(jī)LSW1使用Eth-Trunk順帶練了鏈路聚合LSW1負(fù)責(zé)網(wǎng)關(guān)創(chuàng)建VLANIF 10和VLANIF 20AR1路由器通過(guò)物理口與LSW1互聯(lián)同時(shí)模擬運(yùn)營(yíng)商側(cè)的一臺(tái)設(shè)備用一臺(tái)ServerAR2模擬外網(wǎng)主機(jī)的網(wǎng)關(guān)。IP規(guī)劃遵循一個(gè)原則“先分業(yè)務(wù)網(wǎng)段再分互聯(lián)網(wǎng)段最后留出管理地址”這樣排錯(cuò)時(shí)一看地址就知道是哪一段。設(shè)備/接口VLAN/網(wǎng)段IP地址網(wǎng)關(guān)備注PC1VLAN 10192.168.10.10/24192.168.10.1模擬辦公終端PC2VLAN 20192.168.20.10/24192.168.20.1模擬服務(wù)器/辦公終端LSW1 VLANIF10VLAN 10192.168.10.1/24-核心網(wǎng)關(guān)LSW1 VLANIF20VLAN 20192.168.20.1/24-核心網(wǎng)關(guān)LSW1-VLANIF100-10.0.0.1/30-連AR1互聯(lián)地址AR1-G0/0/0-10.0.0.2/30-對(duì)端互聯(lián)AR1-G0/0/1-100.1.1.1/24-模擬公網(wǎng)出口AR2配置環(huán)回口-8.8.8.8/32-模擬互聯(lián)網(wǎng)某服務(wù)器互聯(lián)地址用30位掩碼是行業(yè)慣例只留2個(gè)可用地址干凈利落避免不必要的廣播占用。公網(wǎng)段用100.1.1.0/24測(cè)試地址轉(zhuǎn)換時(shí)內(nèi)網(wǎng)PC去ping 8.8.8.8效果一目了然。2. 實(shí)驗(yàn)環(huán)境準(zhǔn)備與關(guān)鍵工具細(xì)節(jié)2.1 eNSP安裝與啟動(dòng)的坑講配置之前先聊環(huán)境因?yàn)閑NSP這個(gè)模擬器雖然免費(fèi)好用但安裝和啟動(dòng)的門(mén)檻真能勸退一半人。eNSP依賴(lài)VirtualBox的虛擬化環(huán)境跑設(shè)備鏡像底層的CPU虛擬化、Windows Hyper-V沖突、防病毒軟件攔截這些任何一個(gè)環(huán)節(jié)出問(wèn)題都能讓設(shè)備啟動(dòng)失敗。新版eNSP建議搭配VirtualBox 5.2.x版本高版本VirtualBox往往不兼容會(huì)報(bào)40錯(cuò)誤。如果你用的Win11系統(tǒng)Hyper-V和WSL2默認(rèn)會(huì)占用虛擬化資源務(wù)必到控制面板把Windows功能里面的“虛擬機(jī)平臺(tái)”和“Hyper-V”選項(xiàng)關(guān)掉不然AR路由器啟動(dòng)基本必掛。設(shè)備啟動(dòng)失敗報(bào)錯(cuò)40還有一個(gè)高頻原因——eNSP安裝到了含有中文或空格的路徑。我見(jiàn)過(guò)太多人裝在“D:\軟件\華為模擬器”下面然后一路報(bào)錯(cuò)。老老實(shí)實(shí)裝到純英文目錄例如D:\eNSP能省掉80%的啟動(dòng)麻煩。再補(bǔ)充一個(gè)很多人忽略的細(xì)節(jié)eNSP啟動(dòng)設(shè)備時(shí)如果同時(shí)啟動(dòng)多臺(tái)路由器內(nèi)存占用會(huì)迅速飆升老一點(diǎn)的電腦直接卡死。我的習(xí)慣是分批次啟動(dòng)先啟動(dòng)交換機(jī)輕量確認(rèn)全部啟動(dòng)成功后再啟動(dòng)路由器重量級(jí)?？吹皆O(shè)備圖標(biāo)上的“啟動(dòng)小圓圈”變成穩(wěn)定的綠色再繼續(xù)下一步不要一次性全拉起來(lái)。2.2 Wireshark與VLC在實(shí)驗(yàn)中的真實(shí)用途eNSP自帶的抓包功能本質(zhì)上是集成Wireshark。華為設(shè)備接口上右鍵選擇“開(kāi)始抓包”可以捕獲該接口進(jìn)出的所有報(bào)文這是排查數(shù)據(jù)包問(wèn)題的第一利器比任何show命令都直觀(guān)。比如懷疑NAT沒(méi)生效就在AR1的G0/0/1接口公網(wǎng)口抓包看看源地址到底是192.168.10.10還是被轉(zhuǎn)換后的100.1.1.1一眼定位。VLC這個(gè)工具不少人不理解為什么eNSP會(huì)關(guān)聯(lián)它。實(shí)際上在安全實(shí)驗(yàn)里VLC可以作為流媒體的播放端配合eNSP模擬組播、音視頻傳輸時(shí)使用。但在HCIA層面的路由交換實(shí)驗(yàn)里VLC基本用不上。如果安裝時(shí)沒(méi)裝VLC不影響實(shí)驗(yàn)如果你已經(jīng)裝了在工具配置里關(guān)聯(lián)一下VLC的執(zhí)行文件路徑就行。這塊不用過(guò)度糾結(jié)跳過(guò)去就好。3. 核心配置實(shí)操與配置思路解析3.1 接入交換機(jī)配置VLAN劃分與Eth-Trunk鏈路聚合配置順序很有講究。我習(xí)慣從最底層往上配也就是先二層后三層先接入后核心最后才是出口路由和安全策略。這樣當(dāng)某一段ping不通時(shí)可以明確知道問(wèn)題不在更底層。先看兩臺(tái)接入交換機(jī)的配置。LSW2上面只跑VLAN 10LSW3上面只跑VLAN 20但為了模擬真實(shí)環(huán)境接入交換機(jī)上仍然要?jiǎng)?chuàng)建兩個(gè)VLAN并放行這樣以后任何一個(gè)接入端口都能靈活調(diào)整業(yè)務(wù)。# LSW2配置 sysname LSW2 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20接入側(cè)接口用access就夠連接PC不需要打標(biāo)簽向上走trunk放行業(yè)務(wù)VLAN。如果未來(lái)接入側(cè)還要跑多個(gè)VLAN再接一臺(tái)交換機(jī)那才改成trunk。LSW3的配置與LSW2對(duì)稱(chēng)只是PC口劃到VLAN 20。接著是LSW2和LSW3分別到LSW1的鏈路聚合。為什么要做鏈路聚合直觀(guān)的好處是帶寬疊加和鏈路冗余但HCIA實(shí)驗(yàn)里更大的意義在于練習(xí)這個(gè)必考配置點(diǎn)。鏈路聚合有兩種模式手工負(fù)載均衡和LACP模式實(shí)驗(yàn)里用手工模式最簡(jiǎn)單。# LSW2上配置Eth-Trunk將兩個(gè)物理口加入聚合組 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan 10 20 interface GigabitEthernet0/0/2 eth-trunk 1 interface GigabitEthernet0/0/3 eth-trunk 1需要特別提醒先創(chuàng)建Eth-Trunk邏輯口并配置好類(lèi)型再把物理口加入聚合組。如果順序反了物理口以access狀態(tài)加入兩個(gè)物理口的配置不一致Eth-Trunk可能無(wú)法正常協(xié)商或轉(zhuǎn)發(fā)異常。我見(jiàn)過(guò)很多新手在聚合后顯示Up但數(shù)據(jù)不通多半就是這個(gè)原因。3.2 核心交換機(jī)配置VLANIF網(wǎng)關(guān)與DHCP服務(wù)核心交換機(jī)LSW1承載了整個(gè)內(nèi)網(wǎng)的網(wǎng)關(guān)。VLANIF是三層接口它等于給VLAN這個(gè)二層廣播域配了一個(gè)IP地址這個(gè)IP就是該網(wǎng)段PC的網(wǎng)關(guān)。這里有一個(gè)理解誤區(qū)PC的網(wǎng)關(guān)并不需要單獨(dú)一臺(tái)路由器VLANIF在三層交換機(jī)上直接終結(jié)了二層網(wǎng)絡(luò)本地就完成了三層轉(zhuǎn)發(fā)。# LSW1配置 sysname LSW1 vlan batch 10 20 100 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 interface Vlanif100 ip address 10.0.0.1 255.255.255.0 # 與LSW2的Eth-Trunk 1 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan 10 20 # 與LSW3的Eth-Trunk 2注意編號(hào) interface Eth-Trunk 2 port link-type trunk port trunk allow-pass vlan 10 20 # 連接AR1的物理口 interface GigabitEthernet0/0/1 port link-type access port default vlan 100這里有兩個(gè)設(shè)計(jì)細(xì)節(jié)值得說(shuō)。第一為什么VLAN 100的VLANIF要建在核心交換機(jī)上而不是直接把物理口配成三層口因?yàn)槿绻鸏SW1的G0/0/1直接配IP該接口就變成了一個(gè)純?nèi)龑咏涌诤蚔LAN體系不搭界雖然也能通但失去了靈活性。做成accessVLANIF的方式將來(lái)若還要擴(kuò)展別的VLAN到路由器側(cè)只需trunk放行即可更符合實(shí)戰(zhàn)習(xí)慣。第二核心交換機(jī)連接兩臺(tái)接入交換機(jī)的Eth-Trunk編號(hào)必須不同1和2這是設(shè)備索引要求避免配置沖突。DHCP方面HCIA大綱里既要求接口地址池也要求全局地址池。實(shí)驗(yàn)里我用接口地址池最簡(jiǎn)單也最直觀(guān)# LSW1上啟用DHCP dhcp enable interface Vlanif10 dhcp select interface dhcp server dns-list 8.8.8.8 interface Vlanif20 dhcp select interface dhcp server dns-list 8.8.8.8PC端改成DHCP自動(dòng)獲取就能看到192.168.10.x/20.x的地址被分配下來(lái)。接口地址池的優(yōu)點(diǎn)是不需要額外配置network段和mask直接沿用接口IP所在網(wǎng)段不容易抄錯(cuò)。3.3 路由器配置靜態(tài)路由與NAT地址轉(zhuǎn)換AR1在整個(gè)拓?fù)淅锍袚?dān)兩個(gè)角色既是內(nèi)網(wǎng)的出口網(wǎng)關(guān)也是連接模擬InternetAR2的邊界。因此配置拆分兩塊往內(nèi)網(wǎng)方向需要一條回程路由讓公網(wǎng)回來(lái)的流量能找到內(nèi)網(wǎng)往外網(wǎng)方向需要做NAT源地址轉(zhuǎn)換。# AR1配置 sysname AR1 # 互聯(lián)接口與公網(wǎng)接口地址 interface GigabitEthernet0/0/0 ip address 10.0.0.2 255.255.255.252 interface GigabitEthernet0/0/1 ip address 100.1.1.1 255.255.255.0 # 回程路由目的網(wǎng)段是內(nèi)網(wǎng)兩個(gè)VLAN下一跳是核心交換機(jī) ip route-static 192.168.10.0 255.255.255.0 10.0.0.1 ip route-static 192.168.20.0 255.255.255.0 10.0.0.1關(guān)于路由設(shè)計(jì)這里有一個(gè)更高階的思路供你理解實(shí)際企業(yè)網(wǎng)絡(luò)中出口路由器通常只寫(xiě)一條默認(rèn)路由指向運(yùn)營(yíng)商而內(nèi)網(wǎng)明細(xì)路由都匯聚在核心設(shè)備上這樣出口路由器壓力小、維護(hù)簡(jiǎn)單。實(shí)驗(yàn)里我特意用兩條明細(xì)靜態(tài)路由是為了讓HCIA考生直觀(guān)看到“目標(biāo)網(wǎng)段下一跳”的表項(xiàng)含義。如果你之后學(xué)OSPF這里自然會(huì)變成network發(fā)布概念是相通的。NAT部分采用最經(jīng)典的Easy IP實(shí)現(xiàn)即借用出接口的公網(wǎng)IP做轉(zhuǎn)換家庭寬帶和企業(yè)小規(guī)模出口最常用因?yàn)檫\(yùn)營(yíng)商通常只分配一個(gè)公網(wǎng)IP# AR1上定義允許轉(zhuǎn)換的內(nèi)網(wǎng)網(wǎng)段ACL acl number 2000 rule 10 permit source 192.168.10.0 0.0.0.255 rule 20 permit source 192.168.20.0 0.0.0.255 # 在公網(wǎng)出接口上開(kāi)啟NAT Outbound interface GigabitEthernet0/0/1 nat outbound 2000配置完NAT最關(guān)鍵的一步是驗(yàn)證。在AR1上執(zhí)行display nat session all能看到內(nèi)網(wǎng)PC訪(fǎng)問(wèn)外網(wǎng)時(shí)的會(huì)話(huà)表項(xiàng)里面記錄著轉(zhuǎn)換前的源IP/端口和轉(zhuǎn)換后的源IP/端口。如果看到類(lèi)似100.1.1.1:1024 - 8.8.8.8:ICMP這樣的記錄說(shuō)明NAT生效了。3.4 遠(yuǎn)程登錄配置AAALocal認(rèn)證與Telnet/SSHHCIA考試中遠(yuǎn)程登錄實(shí)驗(yàn)幾乎是必考。實(shí)驗(yàn)里我配置Telnet加AAA本地認(rèn)證通過(guò)PC模擬終端遠(yuǎn)程管理核心交換機(jī)LSW1。# LSW1上配置 aaa local-user hcia password cipher Huawei123 local-user hcia privilege level 15 local-user hcia service-type telnet telnet server enable user-interface vty 0 4 authentication-mode aaa protocol inbound telnet這段配置的要點(diǎn)有幾個(gè)。第一privilege level 15意思是管理員的最高權(quán)限如果只給level 1那登錄后只能看沒(méi)法配第二service-type telnet不能漏漏了即使密碼正確也會(huì)提示認(rèn)證失敗第三VTY用戶(hù)界面下protocol inbound telnet是指定接入?yún)f(xié)議如果將來(lái)加配了SSH這條要改成ssh或者all。從PC上驗(yàn)證遠(yuǎn)程登錄在PC命令行工具里輸入telnet 192.168.10.1輸入用戶(hù)名hcia和密碼能進(jìn)系統(tǒng)視圖就算成功。如果你精力允許建議把SSH配置也一并練了核心差異在于需要先生成RSA密鑰對(duì)rsa local-key-pair create然后在VTY下改成protocol inbound ssh。實(shí)戰(zhàn)中SSH已經(jīng)全面取代Telnet但這個(gè)知識(shí)點(diǎn)在HCIA筆試?yán)镆廊怀霈F(xiàn)值得練習(xí)。4. 全網(wǎng)聯(lián)調(diào)驗(yàn)證與高頻故障排查4.1 端到端聯(lián)通性驗(yàn)證清單配置全部完成不等于實(shí)驗(yàn)做完最難也最考驗(yàn)功底的環(huán)節(jié)是“聯(lián)調(diào)排錯(cuò)”。我給每類(lèi)驗(yàn)證環(huán)節(jié)都設(shè)定了一個(gè)“檢查點(diǎn)”按順序走完如果所有檢查點(diǎn)都通過(guò)全網(wǎng)基本穩(wěn)了驗(yàn)證內(nèi)容操作命令/方法預(yù)期結(jié)果PC獲取IP地址PC上ipconfig192.168.10.10/192.168.20.10網(wǎng)關(guān)正確同VLAN互通PC1 ping 192.168.10.10對(duì)端同網(wǎng)段另一臺(tái)通跨VLAN互通PC1 ping 192.168.20.10通且路徑經(jīng)過(guò)LSW1三層轉(zhuǎn)發(fā)內(nèi)網(wǎng)到出口互通PC1 ping 10.0.0.2通證明路由可達(dá)邊界NAT轉(zhuǎn)換驗(yàn)證AR1上display nat session all能看到源地址被轉(zhuǎn)換為100.1.1.1外網(wǎng)模擬訪(fǎng)問(wèn)PC1 ping 8.8.8.8通全網(wǎng)最終目標(biāo)遠(yuǎn)程登錄管理PC1 telnet 192.168.10.1能進(jìn)入LSW1系統(tǒng)視圖建議每完成一個(gè)檢查點(diǎn)就在紙上打勾別急著跳。這種“逐層冒煙”的做法后續(xù)工作中排查網(wǎng)絡(luò)故障也一樣適用排查順序永遠(yuǎn)是從底層到高層、從內(nèi)到外。4.2 高頻故障啟動(dòng)失敗、VLAN不通、NAT不生效第一類(lèi)高頻問(wèn)題集中在模擬器環(huán)境層面AR設(shè)備啟動(dòng)報(bào)40失敗或者啟動(dòng)后一直“綠不了”。除了前面說(shuō)的路徑和Hyper-V原因之外還有一個(gè)非常容易被忽略的點(diǎn)——VirtualBox服務(wù)被占用或者安裝新版eNSP后和老版本VirtualBox組件沖突。解決思路是徹底卸載eNSP和VirtualBox后重裝eNSP默認(rèn)裝在C盤(pán)VirtualBox裝到C盤(pán)默認(rèn)位置然后以管理員身份運(yùn)行eNSP。啟動(dòng)順序上先啟動(dòng)AR1確認(rèn)成功再啟動(dòng)其余設(shè)備也能降低并發(fā)失敗概率。第二類(lèi)高頻問(wèn)題PC1能ping通同VLAN的PC但ping不同VLAN的PC。這種問(wèn)題路徑很明確逐個(gè)位置排查即可。先看PC網(wǎng)關(guān)是否配置正確或DHCP是否分配到正確網(wǎng)關(guān)在LSW1執(zhí)行display ip interface brief看VLANIF10/20是否物理Up和協(xié)議Up在接入交換機(jī)上查display port vlan確認(rèn)與核心相連的trunk口放行了哪些VLAN。80%的情況是trunk口只放行vlan 1 而漏掉了10和20。這個(gè)我屢見(jiàn)不鮮。第三類(lèi)高頻問(wèn)題內(nèi)網(wǎng)PC能訪(fǎng)問(wèn)AR1的G0/0/1接口地址但訪(fǎng)問(wèn)不了模擬外網(wǎng)的8.8.8.8。主要分兩種情況一是NAT沒(méi)生效看ACL是否匹配對(duì)了源網(wǎng)段注意反掩碼是否寫(xiě)成了正掩碼0.0.0.255是正確的寫(xiě)成255.255.255.0則ACL完全不匹配二是AR2上缺少回程路由或者沒(méi)有開(kāi)啟接口模擬器里AR2必須配置一個(gè)loopback地址作為8.8.8.8并且接口要啟動(dòng)默認(rèn)是開(kāi)啟的但確認(rèn)一下總是好的。5. 從綜合實(shí)驗(yàn)延伸到HCIA備考與真實(shí)網(wǎng)絡(luò)運(yùn)維5.1 綜合實(shí)驗(yàn)的正確練習(xí)姿勢(shì)很多人做完一遍綜合實(shí)驗(yàn)就扔一邊了這浪費(fèi)了這套拓?fù)涞膬r(jià)值。我建議的練習(xí)方法是“三遍法”第一遍照著配置敲跑通即可第二遍關(guān)掉所有配置保存文件從零開(kāi)始只給你一張IP規(guī)劃表憑記憶完成全流程配置這能暴露你的薄弱點(diǎn)第三遍去掉核心交換機(jī)的DHCP和VLANIF改用路由器單臂路由實(shí)現(xiàn)跨VLAN通信或者把靜態(tài)路由全部替換成OSPF驗(yàn)證不同方案下的效果差異。三遍下來(lái)HCIA的配置題基本爛熟于心。另外建議做個(gè)實(shí)驗(yàn)筆記模板記錄每個(gè)節(jié)點(diǎn)的核心命令、驗(yàn)證命令、預(yù)期結(jié)果后續(xù)無(wú)論是準(zhǔn)備HCIE面試還是工作中排查故障這份筆記都是最寶貴的資產(chǎn)。錯(cuò)題本比刷題題庫(kù)更有價(jià)值這個(gè)邏輯放在實(shí)驗(yàn)里同樣成立。5.2 實(shí)驗(yàn)?zāi)芰θ绾芜w移到真實(shí)網(wǎng)絡(luò)場(chǎng)景eNSP畢竟是模擬器達(dá)不到真實(shí)設(shè)備100%的性能但網(wǎng)絡(luò)原理和命令是100%一致的這就是它的價(jià)值。你在eNSP里養(yǎng)的思維方式——查路由表、查ARP表、查MAC地址表、腦內(nèi)還原數(shù)據(jù)包的轉(zhuǎn)發(fā)路徑——遷移到真實(shí)設(shè)備上沒(méi)有任何違和感。比如真實(shí)企業(yè)網(wǎng)絡(luò)里你拿到一臺(tái)華為交換機(jī)做接入第一件事往往是display interface brief查端口狀態(tài)、display vlan查業(yè)務(wù)VLAN劃分這些和eNSP里完全一樣。再比如排查“電腦能上網(wǎng)但打不開(kāi)公司服務(wù)器”的問(wèn)題在eNSP里養(yǎng)成的“先看二層隔離再看三層路由再看NAT/ACL過(guò)濾”的習(xí)慣會(huì)讓你少走很多彎路。這也是為什么我一直強(qiáng)調(diào)模擬器實(shí)驗(yàn)不能只追求“配置完事”一定要多問(wèn)自己幾個(gè)為什么為什么這里用trunk不用access為什么VLANIF的IP是網(wǎng)關(guān)為什么NAT要在出接口而不是入接口做把每個(gè)為什么想透你離一個(gè)獨(dú)立作戰(zhàn)的網(wǎng)絡(luò)工程師就不遠(yuǎn)了。我自己的體會(huì)是HCIA證書(shū)只是一張紙真正值錢(qián)的是你拿到證書(shū)之前在eNSP里反反復(fù)復(fù)敲爛的那幾千條命令和踩過(guò)的那幾十個(gè)坑。這套綜合實(shí)驗(yàn)如果真能按三遍法啃下來(lái)再回過(guò)去看HCIA題庫(kù)里的配置題和排錯(cuò)題基本都是降維打擊。希望這套拓?fù)浜团渲盟悸纺軒湍阍诰W(wǎng)絡(luò)工程師這條路上走得比當(dāng)年光看理論的我更順一點(diǎn)。本文還有配套的精品資源點(diǎn)擊獲取