帶學(xué)生做網(wǎng)絡(luò)實(shí)驗(yàn)這些年我最常被問的問題不是“這個(gè)命令怎么敲”而是“老師這個(gè)實(shí)驗(yàn)到底在模擬什么場景我配完了要怎么看結(jié)果”。這個(gè)問題其實(shí)問到點(diǎn)子上了。Cisco Packet Tracer以下簡稱CPT作為思科官方免費(fèi)提供的網(wǎng)絡(luò)模擬器一直是高?！队?jì)算機(jī)網(wǎng)絡(luò)》課程里出場率最高的實(shí)驗(yàn)工具。它既能模擬路由器、交換機(jī)、終端設(shè)備又自帶圖形化拓?fù)浯罱ń缑孢€能用命令行敲真實(shí)的IOS指令對(duì)于剛接觸網(wǎng)絡(luò)協(xié)議棧、VLAN、路由協(xié)議的同學(xué)來說幾乎是零成本入門的最佳選擇。這篇內(nèi)容我按自己帶實(shí)驗(yàn)課的習(xí)慣來寫不按課本目錄走而是從“拿到一個(gè)實(shí)驗(yàn)題目之后怎么設(shè)計(jì)拓?fù)?、怎么?guī)劃IP、怎么配、怎么看結(jié)果、踩了哪些坑”這條完整鏈路展開。覆蓋VLAN劃分、跨交換機(jī)Trunk通信、靜態(tài)路由、DHCP自動(dòng)分配、ACL訪問控制這幾個(gè)最?？家沧畛Ｓ玫膶?shí)驗(yàn)場景。無論是期末備考、自學(xué)入門還是準(zhǔn)備網(wǎng)絡(luò)工程師認(rèn)證這篇都能直接照著操作。1. 整體設(shè)計(jì)思路先想清楚“做什么”再動(dòng)手拖設(shè)備1.1 為什么首選Packet Tracer而不是其他模擬器市面上能模擬思科設(shè)備的工具不止一個(gè)但我給初學(xué)者推薦CPT理由很實(shí)在第一它免費(fèi)官方提供不存在版權(quán)和激活問題第二它對(duì)硬件幾乎沒要求普通筆記本就能流暢跑十幾個(gè)設(shè)備第三它的拓?fù)浯罱ㄍ耆菆D形化拖拽線纜類型也分得很清楚對(duì)于建立“物理鏈路”的直覺非常有幫助。相比之下GNS3和EVE-NG這類模擬器更接近“虛擬化平臺(tái)”本質(zhì)上跑的是真實(shí)IOS鏡像功能更強(qiáng)但配置門檻也高——需要自己準(zhǔn)備鏡像文件、需要理解設(shè)備資源和虛擬網(wǎng)卡的映射很多同學(xué)在這一步就被勸退了。CPT雖然刪減了部分高級(jí)特性但本科和絕大多數(shù)認(rèn)證級(jí)別的實(shí)驗(yàn)需求它都能覆蓋。我的建議是初學(xué)階段踏實(shí)用CPT把原理吃透等以后做綜合項(xiàng)目、需要跑真實(shí)路由協(xié)議時(shí)再遷移到GNS3不遲。另外一個(gè)容易被忽視的優(yōu)點(diǎn)CPT內(nèi)置了實(shí)時(shí)模式和模擬模式兩種視圖。實(shí)時(shí)模式就是正常配置和通信模擬模式可以逐包查看數(shù)據(jù)包的轉(zhuǎn)發(fā)路徑、查看ARP請(qǐng)求、ICMP報(bào)文封裝過程這個(gè)對(duì)理解“數(shù)據(jù)包是怎么從一臺(tái)主機(jī)到另一臺(tái)主機(jī)”非常有幫助真實(shí)設(shè)備上反而看不到這些內(nèi)部細(xì)節(jié)。1.2 拿到實(shí)驗(yàn)題目后先做三件事我觀察很多同學(xué)拿到實(shí)驗(yàn)題直接就開始拖路由器、連線結(jié)果往往是配到一半發(fā)現(xiàn)地址沖突、廣播域沒隔離、出口少了一條鏈路推倒重來。正確的打開方式是按下面三步走第一步畫拓?fù)洳輬D。不要直接在CPT里畫先在紙上或者用繪圖工具把設(shè)備角色、鏈路關(guān)系、接口編號(hào)標(biāo)出來。比如一個(gè)最簡單的實(shí)驗(yàn)兩臺(tái)交換機(jī)連接四臺(tái)PC那么交換機(jī)之間用哪條鏈路做Trunk、PC接在哪些接口上這些在設(shè)計(jì)階段就要定好。第二步做IP規(guī)劃表。把每個(gè)網(wǎng)段、網(wǎng)關(guān)、每臺(tái)設(shè)備接口的IP地址用表格列出來。這個(gè)動(dòng)作能消滅大約一半的配置錯(cuò)誤。IP規(guī)劃的原則是管理網(wǎng)段和業(yè)務(wù)網(wǎng)段分開VLAN網(wǎng)段預(yù)留連續(xù)地址段方便后期匯總。第三步核對(duì)設(shè)備型號(hào)和所需模塊。CPT里不同型號(hào)的設(shè)備接口數(shù)量和類型差很多。比如做靜態(tài)路由實(shí)驗(yàn)路由器之間用串口連接的話需要提前添加串口模塊如WIC-1T交換機(jī)做三層SVI接口需要選擇三層交換機(jī)如3560系列二層交換機(jī)2960是不支持接口下配IP地址的。拖出設(shè)備之后先雙擊查看物理選項(xiàng)卡確認(rèn)接口夠用再開始連線。1.3 拓?fù)湓O(shè)計(jì)里的關(guān)鍵決策用什么線、什么時(shí)候用三層設(shè)備CPT連線界面里有一堆線纜類型銅纜直通線、銅纜交叉線、光纖、串口線、console線。初學(xué)者最容易在這里犯錯(cuò)。規(guī)則其實(shí)很簡單同類型設(shè)備互聯(lián)用交叉線不同類型設(shè)備互聯(lián)用直通線。這里的“類型”指的是設(shè)備角色——路由器連路由器是交叉線交換機(jī)連交換機(jī)是交叉線交換機(jī)和PC是直通線路由器和交換機(jī)是直通線路由器和PC也是直通線。不過實(shí)際配置中有個(gè)更穩(wěn)的技巧在CPT里用“自動(dòng)選擇連接類型”模式軟件會(huì)自動(dòng)判斷用直通還是交叉基本不會(huì)錯(cuò)。如果手動(dòng)選錯(cuò)了線纜類型鏈路指示燈會(huì)變紅或者不亮這也是排查物理層問題時(shí)的第一反應(yīng)——先看兩個(gè)接口的指示燈是不是都是綠色。還有要不要用三層交換機(jī)的問題。很多實(shí)驗(yàn)場景里需要VLAN間路由也就是讓不同VLAN的PC能互通。有兩種做法一種是路由器子接口Router-on-a-stick把Trunk鏈路接到路由器在路由器物理接口上劃分子接口并封裝802.1Q另一種是用三層交換機(jī)在交換機(jī)上創(chuàng)建VLAN虛擬接口SVI開啟ip routing功能。我的經(jīng)驗(yàn)是接口數(shù)量夠的話優(yōu)先用三層交換機(jī)做VLAN間路由配置量小、邏輯清晰、排錯(cuò)也容易。子接口方案雖然經(jīng)典但要在子接口上反復(fù)配置encapsulation學(xué)生反而容易漏掉封裝命令。2. 核心細(xì)節(jié)解析VLAN劃分與跨交換機(jī)Trunk通信2.1 實(shí)驗(yàn)?zāi)繕?biāo)與拓?fù)湓O(shè)計(jì)這個(gè)實(shí)驗(yàn)是《計(jì)算機(jī)網(wǎng)絡(luò)》課程里最經(jīng)典的一個(gè)在一臺(tái)或多臺(tái)交換機(jī)上劃分VLAN實(shí)現(xiàn)廣播隔離。我慣用的場景是模擬某公司內(nèi)部網(wǎng)絡(luò)財(cái)務(wù)部PC分在VLAN 10技術(shù)部PC分在VLAN 20兩臺(tái)PC接在同一臺(tái)交換機(jī)上要求兩個(gè)部門之間二層隔離但都能訪問各自的網(wǎng)關(guān)。拓?fù)湓O(shè)計(jì)如下一臺(tái)2960二層交換機(jī)連接兩部門PC如果難度升級(jí)再加一臺(tái)交換機(jī)讓兩個(gè)VLAN跨兩臺(tái)設(shè)備分布交換機(jī)之間用一條鏈路做Trunk。IP地址規(guī)劃參考下表設(shè)備接口IP地址所屬VLANPC-A財(cái)務(wù)網(wǎng)卡192.168.10.2/24VLAN 10PC-B技術(shù)網(wǎng)卡192.168.20.2/24VLAN 20交換機(jī)SW1端口F0/1AccessVLAN 10無交換機(jī)SW1端口F0/2AccessVLAN 20無交換機(jī)SW1端口F0/24Trunk無2.2 交換機(jī)配置步驟進(jìn)入交換機(jī)的命令行界面后先改主機(jī)名方便后續(xù)排錯(cuò)。然后是核心三步創(chuàng)建VLAN、把接口劃進(jìn)VLAN、檢查VLAN表。創(chuàng)建VLAN用以下命令Switch enable Switch# configure terminal Switch(config)# hostname SW1 SW1(config)# vlan 10 SW1(config-vlan)# name Finance SW1(config-vlan)# vlan 20 SW1(config-vlan)# name Technical注意進(jìn)入vlan配置模式后還可以給VLAN起個(gè)名字方便識(shí)別這個(gè)習(xí)慣非常好尤其是拓?fù)淅颲LAN數(shù)量多的時(shí)候show vlan brief出來滿屏數(shù)字根本看不出哪個(gè)VLAN對(duì)應(yīng)哪個(gè)業(yè)務(wù)。接下來把接口劃入對(duì)應(yīng)VLAN。這里有個(gè)新手必踩的坑單獨(dú)進(jìn)去一個(gè)個(gè)接口配的話容易漏配所以我通常用interface range批量選擇SW1(config)# interface range f0/1-2 SW1(config-if-range)# switchport mode access SW1(config-if-range)# switchport access vlan 10 SW1(config-if-range)# interface f0/3 SW1(config-if)# switchport mode access SW1(config-if)# switchport access vlan 20接口默認(rèn)是動(dòng)態(tài)自動(dòng)協(xié)商模式我們要明確指定為access模式否則后面接Trunk時(shí)容易產(chǎn)生模式和VLAN歸屬的歧義。如果實(shí)驗(yàn)是多臺(tái)交換機(jī)跨設(shè)備鏈路需要配TrunkSW1(config)# interface f0/24 SW1(config-if)# switchport mode trunk另一臺(tái)交換機(jī)SW2上同樣操作。配置完成后用show vlan brief和show interfaces trunk驗(yàn)證。2.3 驗(yàn)證方法與易錯(cuò)點(diǎn)驗(yàn)證VLAN實(shí)驗(yàn)是否成功最直觀的方法是讓兩臺(tái)不同VLAN的PC互ping。如果VLAN隔離生效ping是不通的因?yàn)閺V播域被分開了。這里要跟同學(xué)強(qiáng)調(diào)一點(diǎn)實(shí)驗(yàn)做成功不是說所有PC都能互通而是要達(dá)到“設(shè)計(jì)預(yù)期”——該通就通不該通就不通。如果發(fā)現(xiàn)本來應(yīng)該在同一個(gè)VLAN的兩臺(tái)PC ping不通按這個(gè)順序排查第一步show vlan brief確認(rèn)接口的VLAN歸屬是否正確第二步檢查兩端接口是否都是access模式且處于up狀態(tài)第三步確認(rèn)PC的IP地址和掩碼有沒有配錯(cuò)?？缃粨Q機(jī)場景有個(gè)經(jīng)典錯(cuò)誤Trunk鏈路兩端一端是access模式一端是trunk模式這種情況下鏈路狀態(tài)雖然可能顯示up但實(shí)際上VLAN信息透傳有問題。排錯(cuò)時(shí)用show interfaces trunk查看哪一端沒有進(jìn)入trunk狀態(tài)。另外思科交換機(jī)默認(rèn)Trunk允許多個(gè)VLAN通過要注意allowed vlan列表中是否已經(jīng)包含了你需要的VLAN雖然沒有特意配置的話默認(rèn)是all但如果之前在別的實(shí)驗(yàn)里改過就很容易踩雷。3. 實(shí)操走一遍靜態(tài)路由與默認(rèn)路由實(shí)驗(yàn)3.1 為什么教學(xué)場景下必須練靜態(tài)路由動(dòng)態(tài)路由協(xié)議OSPF、RIP雖然聽起來更“高級(jí)”但本科實(shí)驗(yàn)的核心仍然是靜態(tài)路由。原因很簡單靜態(tài)路由能讓你親眼看到路由表里每一條條目是怎么來的——目標(biāo)網(wǎng)段、掩碼、下一跳地址這三個(gè)字段的關(guān)系清楚了動(dòng)態(tài)路由協(xié)議本質(zhì)上做的也是這件事但它是靠算法算而不是管理員手寫。沒見過靜態(tài)路由的人直接上OSPF最容易出現(xiàn)“配置照抄但完全沒理解路由是怎么傳遞的”這種尷尬。這個(gè)實(shí)驗(yàn)我通常設(shè)計(jì)為三臺(tái)路由器首尾相連形成一個(gè)鏈?zhǔn)酵負(fù)鋬蛇吀鲯煲粋€(gè)網(wǎng)段路由器之間用串口連接。用串口有個(gè)好處——比以太網(wǎng)端口更貼近真實(shí)WAN環(huán)境也能順便練到clock rate、bandwidth這類串口特有命令。3.2 拓?fù)湓O(shè)計(jì)與IP規(guī)劃拓?fù)淙缦翿1-R2-R3串聯(lián)。R1的G0/0接口連接左邊PC1網(wǎng)段192.168.10.0/24R3的G0/0接口連接右邊PC2網(wǎng)段192.168.30.0/24。R1和R2之間網(wǎng)段是12.1.1.0/30R2和R3之間網(wǎng)段是23.1.1.0/30。用/30掩碼是有講究的點(diǎn)對(duì)點(diǎn)鏈路只需要兩個(gè)可用IP/30正好提供兩個(gè)可用主機(jī)地址不會(huì)浪費(fèi)地址空間也更接近真實(shí)工程設(shè)計(jì)習(xí)慣。設(shè)備接口IP地址接口類型R1G0/0192.168.10.1/24以太網(wǎng)口R1S0/0/012.1.1.1/30串口R2S0/0/012.1.1.2/30串口R2S0/0/123.1.1.2/30串口R3S0/0/023.1.1.1/30串口R3G0/0192.168.30.1/24以太網(wǎng)口R2通常還要加一個(gè)環(huán)回口Loopback0IP地址為10.2.2.2/32用來模擬R2上直連的一條“服務(wù)器網(wǎng)段”這樣可以測(cè)默認(rèn)路由的匯聚效果。3.3 串口配置與靜態(tài)路由命令細(xì)節(jié)串口接口在真實(shí)設(shè)備上需要設(shè)置時(shí)鐘頻率DCE端提供時(shí)鐘CPT也會(huì)模擬這個(gè)行為。連好線后要先確定哪一端是DCE端在接口配置模式下敲clock rate 64000學(xué)習(xí)用足夠。排錯(cuò)時(shí)注意如果串口一直down很可能是DCE端沒配clock rate。靜態(tài)路由命令格式是R1(config)# ip route 目標(biāo)網(wǎng)段 目標(biāo)掩碼 下一跳地址以R1為例它的直連網(wǎng)段是192.168.10.0/24和12.1.1.0/30要讓PC1能訪問PC2R1需要知道192.168.30.0/24怎么走R1(config)# ip route 192.168.30.0 255.255.255.0 12.1.1.2這里目標(biāo)掩碼非常容易寫錯(cuò)。很多同學(xué)習(xí)慣寫成“反掩碼”那是因?yàn)锳CL里用的是反掩碼但路由表的掩碼是正常掩碼兩者不是一回事。另外下一跳地址必須是“跟自己直連的、能直接到達(dá)的”那個(gè)接口地址。比如R1上配置去192.168.30.0網(wǎng)段下一跳只能是12.1.1.2不能跨著寫12.1.1.2還要經(jīng)過R3——路由是一跳一跳傳遞的R1只需要知道“這個(gè)包交給鄰居R2即可”剩下的由R2自己決定。R2是中間路由器需要同時(shí)知道左邊和右邊的網(wǎng)段怎么走R2(config)# ip route 192.168.10.0 255.255.255.0 12.1.1.1 R2(config)# ip route 192.168.30.0 255.255.255.0 23.1.1.1R3的配置和R1對(duì)稱。配置完成后在R1上執(zhí)行show ip route看到“S”開頭的條目就說明靜態(tài)路由已經(jīng)寫進(jìn)路由表了。進(jìn)一步測(cè)試用ping 192.168.30.2 source 192.168.10.1注意這里用了source參數(shù)因?yàn)椴患觭ource的話路由器直接ping目標(biāo)地址時(shí)走的是出接口的源地址教學(xué)里為了測(cè)試完整鏈路明確源地址能更清楚地看到數(shù)據(jù)包往返路徑是否對(duì)稱。3.4 默認(rèn)路由的妙用默認(rèn)路由默認(rèn)網(wǎng)關(guān)路由寫成0.0.0.0 0.0.0.0 下一跳意思是“所有在路由表里找不到明確條目的目標(biāo)都丟給這個(gè)下一跳”。在這個(gè)實(shí)驗(yàn)里如果R1上想省掉寫192.168.30.0那條靜態(tài)路由可以只配一條默認(rèn)路由指給12.1.1.2效果一樣。但要跟學(xué)生講清楚一個(gè)原則默認(rèn)路由是“無奈的兜底”生產(chǎn)環(huán)境里只有在邊界設(shè)備上才有意義內(nèi)網(wǎng)路由器如果濫用默認(rèn)路由會(huì)導(dǎo)致數(shù)據(jù)包走向混亂。驗(yàn)證默認(rèn)路由是否生效同樣用show ip route注意觀察“S*”條目星號(hào)表示默認(rèn)路由。追蹤路徑用traceroute命令CPT里路由器上也是支持的能看到數(shù)據(jù)包逐跳經(jīng)過的IP地址比單看ping成功更有說服力。4. 綜合實(shí)驗(yàn)落地DHCP自動(dòng)分配與ACL訪問控制4.1 貼近真實(shí)辦公網(wǎng)的綜合場景設(shè)計(jì)單獨(dú)做DHCP實(shí)驗(yàn)或者單獨(dú)做ACL實(shí)驗(yàn)都太單薄我習(xí)慣把它們?nèi)噙M(jìn)同一個(gè)綜合場景模擬某公司辦公網(wǎng)接入層交換機(jī)連接員工PC核心三層交換機(jī)上開啟DHCP服務(wù)自動(dòng)分發(fā)IP地址同時(shí)服務(wù)器區(qū)單獨(dú)劃分一個(gè)VLAN通過ACL控制哪些部門可以訪問ERP服務(wù)器哪些部門禁止訪問。拓?fù)湓O(shè)計(jì)為核心交換機(jī)三層交換機(jī)下聯(lián)兩臺(tái)接入交換機(jī)分別對(duì)應(yīng)財(cái)務(wù)部VLAN 10和訪客區(qū)域VLAN 30核心交換機(jī)另接一臺(tái)服務(wù)器VLAN 100。所有PC的IP地址都由核心交換機(jī)上的DHCP服務(wù)分配財(cái)務(wù)部允許訪問服務(wù)器訪客區(qū)域禁止訪問服務(wù)器。4.2 三層交換機(jī)的SVI與DHCP配置三層交換機(jī)要做VLAN間路由必須先創(chuàng)建VLAN并開啟路由功能。2960是二層交換機(jī)不支持這個(gè)功能必須選3560或更高型號(hào)。關(guān)鍵命令如下SW3560(config)# ip routing SW3560(config)# vlan 10 SW3560(config)# vlan 30 SW3560(config)# vlan 100 SW3560(config)# interface vlan 10 SW3560(config-if)# ip address 192.168.10.1 255.255.255.0 SW3560(config-if)# no shutdown SW3560(config)# interface vlan 30 SW3560(config-if)# ip address 192.168.30.1 255.255.255.0 SW3560(config)# interface vlan 100 SW3560(config-if)# ip address 192.168.100.1 255.255.255.0SVI接口默認(rèn)是shutdown狀態(tài)忘了敲no shutdown這個(gè)坑我?guī)缀趺繉枚寄芤姷健＝又渲肈HCP池。注意兩個(gè)細(xì)節(jié)排除地址一定要先配否則網(wǎng)關(guān)地址可能會(huì)被分給客戶端DNS服務(wù)器地址按實(shí)驗(yàn)要求填沒有真實(shí)DNS的話指向一個(gè)規(guī)劃地址即可。SW3560(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.10 SW3560(config)# ip dhcp pool VLAN10_POOL SW3560(dhcp-config)# network 192.168.10.0 255.255.255.0 SW3560(dhcp-config)# default-router 192.168.10.1 SW3560(dhcp-config)# dns-server 192.168.100.10接入交換機(jī)接到核心交換機(jī)的鏈路需要配置為Trunk接入交換機(jī)上的PC接口劃入對(duì)應(yīng)VLAN。PC端打開DHCP自動(dòng)獲取模式幾秒鐘內(nèi)就能拿到IP地址。在PC的命令行里用ipconfig查看結(jié)果拿到的IP、網(wǎng)關(guān)、DNS如果和規(guī)劃一致說明DHCP鏈路全通。4.3 ACL設(shè)計(jì)與放置位置ACL訪問控制列表實(shí)驗(yàn)里最容易犯的錯(cuò)是把規(guī)則順序搞反思科ACL匹配是自上而下的一旦匹配就停止繼續(xù)檢查所以“拒絕”規(guī)則要放在“允許”規(guī)則之前。這個(gè)場景里我們要阻止VLAN 30訪問VLAN 100但允許VLAN 10訪問VLAN 100。標(biāo)準(zhǔn)ACL只能基于源地址匹配所以是寫“拒絕來自192.168.30.0網(wǎng)的流量”然后“允許其他所有流量”SW3560(config)# access-list 10 deny 192.168.30.0 0.0.0.255 SW3560(config)# access-list 10 permit any這里用的是反掩碼0.0.0.255表示只匹配前24位。應(yīng)用位置要選對(duì)ACL不是加在服務(wù)器接口上而是加在“從VLAN 30進(jìn)入三層交換機(jī)”的方向上。也就是說在VLAN 30的SVI接口上應(yīng)用為入方向。SW3560(config)# interface vlan 30 SW3560(config-if)# ip access-group 10 in為什么放在VLAN 30的入口而不是服務(wù)器VLAN 100的入口因?yàn)锳CL放在離源端越近的地方無效流量就能越早被丟棄可以節(jié)省核心鏈路帶寬。這是ACL設(shè)計(jì)的一個(gè)基本原則我在實(shí)驗(yàn)課上會(huì)反復(fù)強(qiáng)調(diào)。配置完成后驗(yàn)證用VLAN 10的PC訪問服務(wù)器正常用VLAN 30的PC訪問服務(wù)器顯示超時(shí)。在接口上執(zhí)行show access-lists能看到匹配計(jì)數(shù)在增加說明ACL確實(shí)在起作用。4.4 綜合驗(yàn)證可觀測(cè)點(diǎn)這個(gè)實(shí)驗(yàn)做完課堂上的驗(yàn)證點(diǎn)我通常會(huì)讓學(xué)生按順序執(zhí)行第一PC端ipconfig確認(rèn)DHCP拿到地址第二跨VLAN的PC互ping驗(yàn)證路由正常第三VLAN 10和VLAN 30分別訪問服務(wù)器驗(yàn)證ACL生效第四核心交換機(jī)上show ip dhcp binding查看當(dāng)前DHCP綁定表。每一條命令想看什么結(jié)果我都要求學(xué)生在實(shí)驗(yàn)報(bào)告里寫清楚“預(yù)期結(jié)果”和“實(shí)際結(jié)果”這一步比配置本身更能體現(xiàn)是否真正理解。5. 常見問題排查與速查表5.1 設(shè)備連不上和接口狀態(tài)異常實(shí)驗(yàn)中最常見的“設(shè)備連不上”發(fā)生在用終端軟件連接路由器時(shí)。很多同學(xué)用CPT自帶的終端點(diǎn)開設(shè)備就能進(jìn)CLI但如果用的是真實(shí)軟件連接Console口波特率要設(shè)置成9600數(shù)據(jù)位8位停止位1位無校驗(yàn)。另外真實(shí)設(shè)備還有復(fù)位鍵操作、開機(jī)時(shí)按CtrlBreak進(jìn)入ROMMON模式這些知識(shí)點(diǎn)CPT里雖然不涉及但考試時(shí)可能會(huì)考概念。接口不up的原因通常就三種線纜類型不對(duì)交叉線直通線選錯(cuò)、接口被手動(dòng)shutdown、對(duì)端設(shè)備沒開機(jī)。CPT里設(shè)備默認(rèn)是開機(jī)狀態(tài)所以重點(diǎn)檢查線纜。串口的話注意DCE端有沒有配置clock rate。5.2 ping不通的排查順序這個(gè)我自己總結(jié)了一個(gè)“三件套一看”的口訣。三件套是IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)。PC機(jī)上三樣配置都對(duì)才有繼續(xù)排查的價(jià)值。一看是看路由表中間路由器上show ip route確認(rèn)目標(biāo)網(wǎng)段有路由條目且下一跳正確。同網(wǎng)段ping不通核心是ARP問題。CPT模擬模式下可以清楚看到ARP廣播是否得到回應(yīng)?？缇W(wǎng)段ping不通重點(diǎn)檢查網(wǎng)關(guān)所在設(shè)備的路由表、ACL是否誤傷。這里有一個(gè)非常典型的坑ACL里如果最后忘了寫permit any默認(rèn)規(guī)則是deny all所有流量都會(huì)被丟棄。這個(gè)時(shí)候ping意外不通show access-lists里匹配計(jì)數(shù)瘋狂漲基本就能定位。5.3 路由不生效的排查靜態(tài)路由配了也寫進(jìn)了路由表但數(shù)據(jù)還是不通這時(shí)候要看路由表的遞歸查找行為。思科路由器收到數(shù)據(jù)包后會(huì)查路由表確定下一跳和出接口如果下一跳地址本身不可達(dá)比如直連網(wǎng)段接口down這條路由在路由表中雖然有條目但不可用前面會(huì)出現(xiàn)“*”標(biāo)記。另外注意掩碼不要寫成反掩碼這是我前面提到的重點(diǎn)。如果traceroute顯示的跳數(shù)和預(yù)期不符比如R1到PC2只顯示一跳就終止說明中間路由器沒有回包的路由也就是回程路由缺失。靜態(tài)路由實(shí)驗(yàn)的特點(diǎn)就是必須“雙向都配通”光配了正向忘了回向ping出去全是黑洞。5.4 問題速查表現(xiàn)象可能原因排查思路解決參考接口指示燈紅色/不亮線纜類型選錯(cuò)或?qū)Χ嗽O(shè)備未開機(jī)檢查線纜類型、確認(rèn)設(shè)備開機(jī)換線纜類型或重新連接同VLAN的PC ping不通接口未劃入VLAN或PC網(wǎng)關(guān)配置錯(cuò)誤show vlan brief、檢查PC配置修正VLAN歸屬或PC網(wǎng)關(guān)不同VLAN的PC意外能通交換機(jī)開啟了VLAN間路由或接口誤配為Trunk檢查SVI接口、show vlan刪除多余SVI、確認(rèn)Trunk鏈路跨網(wǎng)段ping不通缺少靜態(tài)路由或ACL阻止show ip route、show access-lists補(bǔ)路由、調(diào)整ACL規(guī)則順序DHCP獲取不到地址DHCP池配置錯(cuò)誤或scope耗盡show ip dhcp binding、檢查pool配置修正pool網(wǎng)段或擴(kuò)大地址池串口一直down缺少clock rateshow controllers在DCE端配置clock rateACL規(guī)則不生效應(yīng)用方向錯(cuò)誤或缺少permit anyshow access-lists查看匹配計(jì)數(shù)調(diào)整接口方向和規(guī)則順序5.5 幾個(gè)Packet Tracer特有的坑CPT和真實(shí)設(shè)備在某些細(xì)節(jié)上不完全一致這些差異要在實(shí)驗(yàn)課上說清楚否則學(xué)生到真機(jī)上會(huì)懵。比如CPT里很多設(shè)備不支持真實(shí)IOS的某些命令常見的是HSPR、VRRP等冗余協(xié)議實(shí)驗(yàn)?zāi)M得比較粗糙再比如CPT里接口的命名和真實(shí)設(shè)備可能不同設(shè)備型號(hào)不一樣接口編號(hào)的規(guī)則也會(huì)不一樣。遇到命令敲不進(jìn)去的情況先檢查設(shè)備型號(hào)是否選對(duì)了然后再看是不是軟件版本不支持。還有保存配置的問題。CPT關(guān)閉后配置默認(rèn)會(huì)丟失實(shí)驗(yàn)做完記得在CLI里執(zhí)行copy running-config startup-config或者通過“文件-保存”保存整個(gè)項(xiàng)目文件。很多學(xué)生辛辛苦苦配完結(jié)果軟件崩了重開配置全沒了這種教訓(xùn)希望你們不要經(jīng)歷。寫在最后帶實(shí)驗(yàn)這些年我最大的體會(huì)是網(wǎng)絡(luò)實(shí)驗(yàn)最核心的技能不是“會(huì)敲命令”而是“知道敲完命令后該看什么輸出”。配置命令背得再熟如果看不懂show ip route里的路由條目、不理解show vlan brief里每個(gè)端口的狀態(tài)實(shí)驗(yàn)就是“照著博客做了一遍”而不是“做了一次自己的實(shí)驗(yàn)”。我建議剛開始學(xué)的時(shí)候每敲一條配置緊跟著就是一條驗(yàn)證命令養(yǎng)成這種“配一個(gè)查一個(gè)”的習(xí)慣比什么都管用。另外一個(gè)小技巧做綜合實(shí)驗(yàn)之前先把每個(gè)設(shè)備的配置文件用TXT文檔存一份標(biāo)注清楚每臺(tái)設(shè)備上配了什么、為什么配出問題的時(shí)候直接打開文檔對(duì)照排錯(cuò)效率能提高一大截。Packet Tracer這個(gè)軟件雖然看著簡單但它承載的“設(shè)計(jì)-配置-驗(yàn)證-排查”這套方法論才是以后走上網(wǎng)絡(luò)這條路的真正基本功。