絡(luò)設(shè)備安裝與調(diào)試實戰(zhàn)：機柜上架、VLAN規(guī)劃與鏈路聚合驗收)
1. 從機柜上電那一刻說起網(wǎng)絡(luò)設(shè)備安裝與調(diào)試到底在裝什么干了這些年我越來越覺得“網(wǎng)絡(luò)設(shè)備安裝與調(diào)試”這八個字被講窄了。很多人一聽標題腦子里浮現(xiàn)的畫面就是抱著交換機往機柜里一塞、擰螺絲、插網(wǎng)線、開機、看燈亮不亮——如果真這么簡單機房夜里就不會有人蹲在地上對著console口一根一根試串口線了。我理解的網(wǎng)絡(luò)設(shè)備安裝與調(diào)試是把一臺出廠狀態(tài)的硬件設(shè)備通過物理固定、供電規(guī)劃、端口布線、基礎(chǔ)配置、協(xié)議調(diào)優(yōu)、連通性驗證和長期可運維性設(shè)計變成一個能在真實業(yè)務(wù)環(huán)境里穩(wěn)定承載流量的節(jié)點。它涉及的東西比想象的要寬機柜空間與承重、風道與散熱、強弱電分離、標簽體系、傻瓜式開局和批量配置、二層環(huán)網(wǎng)與生成樹、三層路由與冗余網(wǎng)關(guān)、鏈路聚合、VLAN規(guī)劃、DHCP中繼、NTP與日志、SNMP監(jiān)控最后才是那句輕飄飄的“ping通了”。這篇內(nèi)容適合誰看剛?cè)胄?、第一次獨立接手一個機柜安裝任務(wù)的運維新人從服務(wù)器運維轉(zhuǎn)網(wǎng)絡(luò)、需要補一套完整落地流程的朋友還有中小項目里既管弱電又管IT的“全棧型”負責人。哪怕你目前只會在機柜前面擰螺絲、只會在瀏覽器里點開設(shè)備管理頁面照著這篇里的順序走也能把一個機房的接入層和匯聚層做得像樣。我下面講的所有步驟都基于一條主線先把物理和規(guī)劃做對再去碰配置。因為網(wǎng)絡(luò)設(shè)備的坑八成不是配置寫錯了而是坐標從一開始就沒對齊。物理層埋的雷后面用一百條命令也排不干凈。這是我的經(jīng)驗里最貴的一條也是我寫這篇東西最想讓你先拿到的一條。2. 安裝前的整體設(shè)計與方案取舍2.1 為什么規(guī)劃要走在螺絲刀前面我見過太多“先裝后想”的場景設(shè)備上架了、線也插了突然發(fā)現(xiàn)U位不夠、電源插排孔位不匹配、光模塊型號買錯、上行鏈路要走的橋架被空調(diào)管道擋死了。每一次返工都是把已經(jīng)捆好的線全部剪開重來。所以我的習慣是動設(shè)備之前先出一張“安裝任務(wù)單”不用多正式一張A4紙就夠但上面必須寫清楚這幾個坐標設(shè)備清單與U位占用每臺設(shè)備的型號、尺寸1U/2U、功耗、端口數(shù)量與類型在機柜里的具體U位。上行方向與走線路由上行到匯聚設(shè)備從哪一側(cè)出線走左走線架還是右走線架有沒有跨越強電。供電總賬整柜峰值功耗、單路電源容量、PDU插口類型與數(shù)量、是否需要雙路供電。地址與VLAN規(guī)劃每臺設(shè)備的管理地址、業(yè)務(wù)網(wǎng)段、VLAN ID分配、網(wǎng)關(guān)位置。命名與標簽規(guī)則設(shè)備名、端口描述、線纜標簽的統(tǒng)一格式。這張單子看著簡單但它是后面所有事情的基準。沒有它就沒有“調(diào)試”這回事只有“試”。我個人的經(jīng)驗是一張安裝任務(wù)單如果能在機柜前被另一個沒參與規(guī)劃的人看懂這個項目基本不會出大亂子。2.2 接入層、匯聚層、核心層怎么分而不亂標題里說“網(wǎng)絡(luò)設(shè)備”最常見的組合是接入交換機、匯聚交換機和路由器。小項目里匯聚和核心經(jīng)常合并成一臺這沒問題但角色的邊界還是得在心里劃清楚因為它決定了你的配置寫在哪兒、故障定位從哪一層開始。層級典型角色部署位置配置重心接入層終端接入、VLAN劃分、端口安全機柜頂部或中部端口速率/雙工、PoE、端口隔離、DHCP Snooping匯聚層策略集中、跨VLAN路由、冗余網(wǎng)關(guān)機房主柜鏈路聚合、生成樹、VRRP、ACL策略入口核心/出口內(nèi)外網(wǎng)邊界、NAT、策略與帶寬控制機房主柜上部或獨立機柜路由、NAT、策略路由、日志與流量鏡像我為什么強調(diào)這個分層因為同一臺設(shè)備在不同項目里角色可能不一樣。一臺24口千兆交換機放在小辦公室里就是“核心”放在園區(qū)樓棟里就是“接入”。角色決定配置思路不是型號決定。很多新手拿著型號去套配置模板套完發(fā)現(xiàn)圈環(huán)、丟包、策略失效根本原因是模板對應(yīng)的角色和他的實際拓撲對不上。2.3 獨立調(diào)試還是“邊裝邊調(diào)”兩種節(jié)奏的取舍實際操作里有兩套節(jié)奏我都用過各有適用場景。第一套是“裝完統(tǒng)一調(diào)”物理安裝全部完成、標簽打完、線纜理順之后再統(tǒng)一上電配配置。好處是現(xiàn)場干凈、節(jié)奏可控、能一次性做整體驗證壞處是如果單臺設(shè)備有硬件問題發(fā)現(xiàn)得晚返工時要拆線。第二套是“單機先驗再上架”每臺設(shè)備先在旁邊桌面完成開機自檢、固件升級、基礎(chǔ)配置、管理地址和遠程登錄驗證確認硬件和固件沒問題再上架、插線、聯(lián)調(diào)。好處是硬件故障在最早暴露固件版本能先統(tǒng)一壞處是需要額外的桌面空間和臨時電源現(xiàn)場管理更碎。我更傾向第二套尤其是設(shè)備數(shù)量超過五六臺的時候。理由很實在固件升級需要重啟重啟期間在機柜里做很別扭而且升級失敗時在桌面環(huán)境更好排查。另外單機先驗能讓你把設(shè)備名稱、管理地址、管理VLAN這些基礎(chǔ)項一次性配好上架后只剩物理連接和協(xié)議聯(lián)調(diào)效率高很多。2.4 設(shè)備選型與配件的幾個硬約束選型這件事我通常不從“哪個品牌好”入手而從約束條件倒推端口數(shù)與速率結(jié)構(gòu)不是看總口數(shù)而是看“接入千兆 上行萬兆”這類比例。上行口不夠后面加聚合就沒位置。供電與PoE預算如果接攝像頭或無線接入點PoE總功率預算必須留足30%以上余量否則滿配時設(shè)備會拒絕供電。散熱與風道方向機柜如果是前后風道設(shè)備進出風方向必須一致不能一臺前進后出、一臺后進前出否則熱風在柜內(nèi)打轉(zhuǎn)。管理方式是否支持console、帶外管理口、Web、命令行和批量配置下發(fā)。批量能力在十臺以上設(shè)備時價值極高。配件一致性光模塊、光纖跳線、DAC線、電源模塊、風扇模塊的型號要提前核對不同速率的光模塊混插是最常見的低級錯誤。這里給一個我自己常用的粗算示例方便你對照一臺24口接入交換機標稱功耗約30W若帶PoE且滿接12個單臺功耗10W的終端PoE部分約120W加上自身30W單臺峰值按150W~180W規(guī)劃一個機柜放6臺就是約1kW。再去核對PDU額定電流和機房單路供電容量留出余量這個賬必須在買之前算完。3. 物理安裝的核心細節(jié)與實操要點3.1 上架前的開箱檢查與固件統(tǒng)一設(shè)備開箱這一步很容易被跳過但它是后面所有排查的基礎(chǔ)。我的檢查順序固定是外包裝有無明顯擠壓變形、設(shè)備外殼有無磕碰、風扇和電源模塊是否插到位、序列號與裝箱單是否一致、配件掛耳、螺絲、腳墊、電源線、console線是否齊全。任何一項不對先拍照留證再繼續(xù)別急著上架。開箱完成后如果采用“單機先驗”的節(jié)奏就直接在桌面接電源和console線做三件事# 以常見的命令行設(shè)備為例查看設(shè)備基本信息與固件版本 show version show inventory show environment # 記錄管理口/MAC/序列號作為資產(chǎn)臺賬的初始數(shù)據(jù) show interface status查看固件的目的是把同批次設(shè)備的版本統(tǒng)一。版本不一致帶來的問題非常隱蔽同樣的配置命令在某臺設(shè)備上不生效、某臺設(shè)備生成樹收斂慢半拍、某臺設(shè)備日志時間戳格式不同。統(tǒng)一版本這件事在設(shè)備數(shù)量少的時候看不出價值在設(shè)備多的時候能救命。注意固件升級過程中千萬不要斷電也不要在升級過程中拔插電源模塊。升級前先確認設(shè)備所在環(huán)境的供電穩(wěn)定升級完成后再做一次配置保存。3.2 機柜U位規(guī)劃與承重、散熱U位規(guī)劃有幾個我認為必須遵守的原則都是踩過之后總結(jié)的重設(shè)備靠下輕設(shè)備靠上。2U或更重的設(shè)備放在機柜下半部降低重心減少傾覆風險1U交換機和配線架放中上部方便接線和維護。發(fā)熱設(shè)備之間留散熱間隙。高功耗設(shè)備上下至少留1U空隙或者用盲板把空U位封起來?？誙位不封板熱風會在柜內(nèi)回流形成局部熱點這個現(xiàn)象在滿柜設(shè)備時非常明顯。配線架與交換機交替布置。經(jīng)典做法是“配線架—交換機—配線架—交換機”交錯安裝跳線長度能控制在0.5米以內(nèi)柜內(nèi)整潔度完全不一樣。如果配線架全堆在最上面、交換機全堆在下面跳線就會像瀑布一樣掛在柜里后期換線是災難。進出風方向統(tǒng)一。上架前一定看清設(shè)備的風扇方向和機身標注的進出風箭頭。前后風道的機柜里混裝不同風道方向的設(shè)備散熱效率會明顯下降。一個實用提醒機柜頂部和底部盡量留出至少1U~2U空間用于走線和風道別把設(shè)備從第一U開始塞滿。這個余量在后期加設(shè)備時特別珍貴。3.3 供電、接地與強弱電分離供電這塊我的三條硬規(guī)矩雙電源設(shè)備必須接雙路。設(shè)備有兩個電源模塊就分別接到兩路不同的PDU或不同的供電回路上這樣單路掉電時設(shè)備不會整機斷電。只接一路等于白買雙電源。PDU插口要按“設(shè)備分組”分配不要按位置隨手插。同一臺設(shè)備的兩個電源插口物理上要分開但邏輯上要能一眼看出屬于哪臺設(shè)備。我通常在PDU上貼標簽標“設(shè)備名-PWR1/PWR2”。強電和弱電走線分離。網(wǎng)線、光纖不要和電源線在同一側(cè)走線架并排長距離捆在一起。如果必須交叉盡量垂直交叉。強弱電并行帶來的干擾在千兆以上速率和長距離布線上經(jīng)常以“偶發(fā)丟包”“速率協(xié)商不到萬兆”的形式表現(xiàn)出來排查起來非常費時間。接地這件事在小項目里最容易被忽略。機柜要有可靠的保護接地配線架的接地線要接好屏蔽線纜的屏蔽層要正確接地。我遇到過一次鏈路隨機閃斷最后查出來是配線架接地松動接好后問題消失。這種問題沒有任何配置層面的線索只能靠物理檢查。3.4 端口布線、標簽體系與整理布線這塊我按“先規(guī)劃標簽、再放線、后整理”的順序做絕不反過來。標簽規(guī)則統(tǒng)一。我的格式是源設(shè)備名:端口號 -- 目的設(shè)備名:端口號。例如ACC-SW-01:G1/0/24 -- AGG-SW-01:G1/0/8。兩端都貼標簽方向朝外便于查看。管理網(wǎng)線單獨用一種顏色標簽物理上就和業(yè)務(wù)線區(qū)分開。線纜長度按實際測量不靠估。跳線長了就繞圈塞在柜里短了就得返工。機柜內(nèi)的跳線我一般準備0.5米、1米、2米三種規(guī)格按實際距離取用多余的線全部用魔術(shù)貼固定不用扎帶勒死——扎帶一是會壓傷線纜、二是后期加線時必須剪斷非常麻煩。走線路徑先定再放線。左右兩側(cè)走線架各管一路方向一般左側(cè)走數(shù)據(jù)、右側(cè)走電源或者按上行走線和下行出線分開。放線時從一端開始邊放邊理不要全部放完再回頭理。典型機柜內(nèi)走線順序從下往上 1. 電源線 —— 走右側(cè)綁扎成束與數(shù)據(jù)線保持距離 2. 管理網(wǎng)線 —— 走左側(cè)單獨成束用不同顏色標簽 3. 業(yè)務(wù)網(wǎng)線 —— 走左右兩側(cè)就近路徑避免橫穿柜體正面 4. 光纖跳線 —— 單獨走線槽彎曲半徑不小于規(guī)范要求嚴禁硬折 5. 上行鏈路 —— 走頂部橋架預留檢修余量光纖跳線的彎曲半徑要特別注意。光纖看似柔軟但過度彎折會造成衰減增大甚至斷纖表現(xiàn)為鏈路能亮燈但速率不穩(wěn)定或高負載丟包。柜內(nèi)繞線時用大圈別用小圈硬塞。3.5 加電順序與上電自檢加電順序我是這樣定的先給PDU上電、確認電壓正常再逐臺設(shè)備上電每臺上電后觀察指示燈狀態(tài)再上下一臺。一次性全部上電看著爽但一旦某臺設(shè)備有短路或電源故障很難判斷是哪臺引起的。每臺設(shè)備上電后我在任務(wù)單上打勾并記錄電源指示燈狀態(tài)、風扇是否轉(zhuǎn)動、系統(tǒng)燈是否正常、端口燈是否按預期亮起。設(shè)備啟動完成后通過console或管理口登錄做一次基礎(chǔ)自檢# 上電后基礎(chǔ)自檢 show version # 固件版本與運行時間 show environment # 溫度、風扇、電源狀態(tài) show interface status # 端口狀態(tài)此時未插線應(yīng)多為down show logging # 啟動日志有無異常告警 # 保存初始配置 write memory確認無誤后才進入配置階段。這一步的價值在于把硬件問題和配置問題徹底分開如果設(shè)備本身有問題現(xiàn)在就能發(fā)現(xiàn)如果設(shè)備正常后面出問題就只可能是配置或布線。4. 調(diào)試環(huán)節(jié)的核心配置與關(guān)鍵環(huán)節(jié)實現(xiàn)4.1 開局三件事命名、管理地址、遠程登錄設(shè)備能登錄之后我做的第一件事永遠是這三件順序不變。設(shè)備命名。命名規(guī)則我建議帶層次信息比如樓層-角色-序號形如F3-ACC-SW-01。名字是給人看的越具體的名字在出故障時越快定位。別用默認名也別用純序列號。管理地址與帶外管理。管理VLAN單獨劃出來不和業(yè)務(wù)VLAN混。管理地址規(guī)劃要預留足夠空間我一般給管理網(wǎng)段留一個/24幾十臺設(shè)備夠用還有余量。如果設(shè)備支持獨立帶外管理口優(yōu)先用它業(yè)務(wù)口出問題時還能登錄進去。遠程登錄與賬號管理。至少配置兩級賬號管理員和只讀賬號。遠程登錄優(yōu)先用加密方式密碼復雜度按規(guī)范設(shè)置登錄超時和失敗次數(shù)限制一起配上。# 以常見命令行設(shè)備為例的配置骨架 hostname F3-ACC-SW-01 # 管理VLAN與管理地址 vlan 99 name MGMT interface vlan 99 ip address 10.10.99.11 255.255.255.0 no shutdown # 默認網(wǎng)關(guān)指向匯聚設(shè)備的管理地址 ip default-gateway 10.10.99.1 # 賬號與遠程登錄 username admin privilege 15 secret 強密碼 line vty 0 4 login local exec-timeout 10 0 transport input ssh # 管理口接入對應(yīng)端口 interface GigabitEthernet 1/0/1 description MGMT-UPLINK-TO-AGG switchport mode access switchport access vlan 99注意配置遠程登錄之前務(wù)必確認管理VLAN已經(jīng)放通到上行端口否則配完立刻把自己鎖在門外。我見過不止一次“配完ssh就再也連不上”的現(xiàn)場最后都是通過console救回來的。4.2 VLAN規(guī)劃與端口配置把廣播域切對VLAN規(guī)劃的出發(fā)點不是“切得多細”而是廣播域和故障域要可控。我的做法是按業(yè)務(wù)功能劃分而不是按物理位置劃分VLAN ID名稱用途地址段示例10OFFICE辦公終端10.10.10.0/2420VOICE語音終端10.10.20.0/2430CCTV視頻監(jiān)控10.10.30.0/2499MGMT設(shè)備管理10.10.99.0/24地址段規(guī)劃要和VLAN ID有對應(yīng)關(guān)系運維時看一眼地址就知道屬于哪個VLAN這個習慣能省掉大量查表時間。端口配置上接入端口就老老實實做access口上行端口做trunk口并明確允許的VLAN列表不要圖省事放通全部。# 接入端口 interface range GigabitEthernet 1/0/2-20 description ACCESS-OFFICE switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable no shutdown # 上行trunk端口 interface GigabitEthernet 1/0/24 description UPLINK-TO-AGG switchport mode trunk switchport trunk allowed vlan 10,20,30,99 switchport trunk native vlan 999 no shutdown幾個要點值得單獨說native VLAN改成非1的值并確保兩端一致。默認VLAN 1承載未打標簽的流量是很多安全問題的入口改掉它是最低成本的加固。接終端的端口開portfast和bpduguard。portfast讓終端接入時不用等生成樹收斂bpduguard防止有人把交換機接到接入口造成環(huán)路。未使用端口shutdown?？斩丝谌筷P(guān)閉既是安全要求也能避免誤插。端口描述必須寫。描述是給未來的自己和同事看的寫清楚接的是什么、到哪兒去故障排查時省一半時間。4.3 鏈路聚合與生成樹讓冗余真的有用**鏈路聚合LACP**是上行帶寬和冗余的常用手段。我配置時會注意三點第一兩端模式一致。都用LACP主動模式別一端靜態(tài)聚合、一端動態(tài)聚合。第二成員口的速率、雙工、VLAN配置必須完全一致否則聚合口起不來或者部分成員口不轉(zhuǎn)發(fā)。第三聚合組的負載均衡方式按流量特征選源目IP哈希在多數(shù)場景表現(xiàn)均衡若以單一大流量為主可考慮按源目MAC組合。# 聚合口配置骨架 interface range GigabitEthernet 1/0/23-24 description LAG-TO-AGG channel-group 1 mode active no shutdown interface Port-Channel 1 description LAG-TO-AGG switchport mode trunk switchport trunk allowed vlan 10,20,30,99 switchport trunk native vlan 999生成樹這塊我的核心原則是根橋手動指定別讓它自己選。生成樹的根橋默認按優(yōu)先級和MAC自動選舉選舉結(jié)果可能不是你想要的那臺設(shè)備拓撲也就不是你規(guī)劃的樣子。手動把匯聚設(shè)備設(shè)為根橋優(yōu)先級調(diào)低接入設(shè)備保持默認這樣拓撲可控。另外接終端的端口開portfast、開bpduguard接入交換機之間互聯(lián)的端口保持正常生成樹參與開啟環(huán)路保護功能防止單向鏈路造成環(huán)路。環(huán)路這事一旦發(fā)生就是全網(wǎng)癱瘓級別的故障防環(huán)配置不是可選項。4.4 三層互通與冗余網(wǎng)關(guān)跨VLAN通信需要三層網(wǎng)關(guān)。小項目里網(wǎng)關(guān)放在匯聚交換機上三層交換機做SVI大一點的項目可能在核心或防火墻上。不管放在哪兒配置思路是一致的每個業(yè)務(wù)VLAN一個網(wǎng)關(guān)地址網(wǎng)關(guān)地址就是該網(wǎng)段的第一個可用地址全項目統(tǒng)一。冗余網(wǎng)關(guān)用VRRP這類協(xié)議實現(xiàn)。主備兩臺匯聚設(shè)備各配一個虛擬地址作為網(wǎng)關(guān)終端指向虛擬地址主設(shè)備故障時備設(shè)備接管。配置時注意虛擬地址不能和任何真實接口地址沖突優(yōu)先級數(shù)值要明確設(shè)置搶占功能根據(jù)需要開啟。# 匯聚設(shè)備上的VRRP示例 interface vlan 10 ip address 10.10.10.2 255.255.255.0 vrrp 10 ip 10.10.10.1 vrrp 10 priority 120 vrrp 10 preempt # 備設(shè)備上 interface vlan 10 ip address 10.10.10.3 255.255.255.0 vrrp 10 ip 10.10.10.1 vrrp 10 priority 100這里有個細節(jié)主備設(shè)備的接口地址不同但虛擬地址相同終端網(wǎng)關(guān)必須全部指向虛擬地址。如果某臺終端配的是真實接口地址主設(shè)備一掛它就斷網(wǎng)冗余等于沒做。這個錯誤我在驗收時查到過不止一次。4.5 DHCP中繼與地址服務(wù)終端地址怎么來是調(diào)試階段最容易出問題的地方之一。如果DHCP服務(wù)器集中在一臺服務(wù)器或防火墻上而終端分散在多個VLAN就必須配DHCP中繼。配置中繼時關(guān)鍵是在網(wǎng)關(guān)接口上指定DHCP服務(wù)器地址并且確保中繼接口和DHCP服務(wù)器之間路由可達。# 在網(wǎng)關(guān)SVI上配置DHCP中繼 interface vlan 10 ip helper-address 10.10.99.50排查思路也很固定終端拿不到地址先看終端所在端口VLAN對不對再看網(wǎng)關(guān)接口有沒有配中繼再看DHCP服務(wù)器地址池有沒有對應(yīng)網(wǎng)段、地址池是否耗盡、服務(wù)器到網(wǎng)關(guān)的路由通不通。順序別亂一層層排除。4.6 NTP、日志與監(jiān)控讓設(shè)備“會說話”這部分是很多交付項目的空白區(qū)也是我認為最能體現(xiàn)專業(yè)度的地方。NTP時間同步。所有設(shè)備指向同一時間源保證日志時間戳可比對。設(shè)備之間時間差幾分鐘日志就沒法串起來分析。日志集中。設(shè)備本地日志容量有限重啟就清空。配置日志服務(wù)器把日志推送到集中位置出問題時能回溯。SNMP監(jiān)控。至少把設(shè)備加入監(jiān)控系統(tǒng)采集CPU、內(nèi)存、端口流量、端口up/down事件、溫度、電源狀態(tài)。端口down告警能在用戶報障之前發(fā)現(xiàn)問題。# NTP與日志配置骨架 ntp server 10.10.99.10 logging host 10.10.99.20 logging trap informational logging buffered 16384 snmp-server community 只讀團體名 ro snmp-server host 10.10.99.20 version 2c 團體名注意SNMP團體名不要用默認的public/private讀寫權(quán)限要嚴格區(qū)分。監(jiān)控只需要只讀不要圖省事給讀寫。5. 驗收測試與常見問題排查實錄5.1 分層的驗收測試怎么做調(diào)試完不能只看“能上網(wǎng)”。我的驗收測試是分層的從物理到應(yīng)用到管理逐層驗證測試層級測試內(nèi)容判定標準物理層端口燈狀態(tài)、光功率、線纜標簽全部鏈路正常亮燈標簽與任務(wù)單一致二層同VLAN互通、VLAN隔離、生成樹拓撲同VLAN通跨VLAN不通未配網(wǎng)關(guān)前三層跨VLAN路由、默認路由、冗余切換全網(wǎng)互通斷開主設(shè)備后備設(shè)備接管應(yīng)用層終端獲取地址、訪問業(yè)務(wù)系統(tǒng)終端正常獲取地址并訪問業(yè)務(wù)管理面遠程登錄、日志上報、監(jiān)控采集、時間同步均正常無告警冗余切換測試我會真的把主設(shè)備斷電或斷上行觀察備設(shè)備接管時間和終端感知。這個測試不做冗余配置就是紙面上的。5.2 常見問題速查實際項目里遇到的問題八成集中在這幾類。我整理成表方便你現(xiàn)場對照現(xiàn)象常見原因排查動作終端拿不到IP地址VLAN不對、中繼沒配、地址池耗盡查端口VLAN、查網(wǎng)關(guān)中繼、查地址池使用率跨VLAN不通網(wǎng)關(guān)未配、路由缺失、ACL攔截查SVI狀態(tài)、查路由表、查ACL命中計數(shù)鏈路聚合起不來成員口配置不一致、模式不匹配對比成員口速率/雙工/VLAN檢查兩端模式端口頻繁up/down線纜質(zhì)量、光模塊不匹配、雙工協(xié)商異常換線測試、核對光模塊型號、固定速率雙工偶發(fā)丟包強弱電干擾、接地不良、光衰過大查走線分離、查接地、測光功率環(huán)路導致全網(wǎng)卡頓誤接環(huán)路、防環(huán)配置缺失查生成樹阻塞端口、開bpduguard、定位環(huán)路點設(shè)備時間不對NTP未配或不可達查NTP配置與連通性遠程登錄失敗管理VLAN未放通、ACL攔截、賬號問題查VLAN放通、查ACL、console登錄核查5.3 我的幾條排查心法從物理到邏輯不要跳層。一上來就懷疑配置往往白折騰。先看燈、再查二層、再看三層、最后看應(yīng)用。物理層的問題占了我遇到的故障的一半以上。一次只改一個變量。同時改三個配置問題消失了你也不知道是哪條起的作用問題還在你也不知道是哪條沒用。改一條、驗一條、記錄一條。記錄現(xiàn)場。排查過程中的每條命令輸出、每次改動都記下來。故障復盤時這份記錄就是最好的材料。別在業(yè)務(wù)高峰期做大改。冗余切換測試、生成樹調(diào)整、聚合口重建都有短暫中斷風險安排窗口是基本職業(yè)素養(yǎng)。我踩過的最深的坑是一臺接入交換機上行口速率協(xié)商成了百兆業(yè)務(wù)“能用但慢”查了一下午配置都沒問題最后是線纜質(zhì)量問題導致千兆協(xié)商失敗。從那以后我驗收時一定核對每個上行口的實際協(xié)商速率而不是只看燈亮。6. 交付與長期可運維性把活做在別人看不見的地方6.1 文檔與資產(chǎn)臺賬交付時我必交三樣東西拓撲圖標注設(shè)備名、管理地址、互聯(lián)端口、VLAN、端口臺賬每個端口的描述、VLAN、對端設(shè)備、配置備份每臺設(shè)備的完整配置文本。這三樣東西的價值在設(shè)備故障、人員變動、擴容改造時體現(xiàn)得淋漓盡致。配置備份這件事我建議做成例行任務(wù)不是一次性動作。每次變更后備份一次文件名帶日期和設(shè)備名。有條件的接入自動備份機制但手工備份這個習慣不能丟。6.2 變更管理與回滾預案任何配置變更前我的動作固定是先備份、寫變更單、定回滾方案?；貪L方案要具體到命令比如“把某接口的trunk允許VLAN恢復為變更前的列表”而不是寫一句“恢復原配置”。尤其是遠程操作時回滾預案更重要。我通常會開兩個會話一個用于操作一個保持觀察或者在配置前設(shè)置定時回滾防止把自己鎖在設(shè)備外面。6.3 擴容余量與命名規(guī)范的前瞻性規(guī)劃時留余量是我這些年最慶幸的習慣。管理地址段留余量、VLAN ID留間隔、U位留空位、PDU插口留空口、光纖預留幾芯。這些東西在項目當下看不出價值在半年后加設(shè)備時就是救命稻草。命名規(guī)范也一樣一開始就定好層次化規(guī)則后面加設(shè)備只是套模板一開始隨手命名后面就是一堆switch1、switch2誰也不知道是哪臺。6.4 我個人在實際操作中的體會這套流程我走過很多遍最大的體會是網(wǎng)絡(luò)設(shè)備安裝與調(diào)試技術(shù)難度主要集中在“不出錯”而不是“很難”。真正難的配置沒幾個難的是把每一步都做扎實、把每個細節(jié)都想到、把每處冗余都驗證。我現(xiàn)在的習慣是安裝階段多花的時間調(diào)試階段都能省回來調(diào)試階段多做的驗證運維階段都能少熬的夜。設(shè)備是不會騙人的它給你的每個現(xiàn)象背后都有原因你只要按順序、按層次去查基本都能找到。最后分享一個我覺得特別值的小習慣每次項目結(jié)束后花十分鐘把這次遇到的問題和解決辦法補進自己的問題庫。一年下來這個庫就是你最值錢的東西比任何文檔都好用。 網(wǎng)絡(luò)設(shè)備安裝與調(diào)試實戰(zhàn)：機柜上架、VLAN規(guī)劃與鏈路聚合驗收
1. 從機柜上電那一刻說起網(wǎng)絡(luò)設(shè)備安裝與調(diào)試到底在裝什么干了這些年我越來越覺得“網(wǎng)絡(luò)設(shè)備安裝與調(diào)試”這八個字被講窄了。很多人一聽標題腦子里浮現(xiàn)的畫面就是抱著交換機往機柜里一塞、擰螺絲、插網(wǎng)線、開機、看燈亮不亮——如果真這么簡單機房夜里就不會有人蹲在地上對著console口一根一根試串口線了。我理解的網(wǎng)絡(luò)設(shè)備安裝與調(diào)試是把一臺出廠狀態(tài)的硬件設(shè)備通過物理固定、供電規(guī)劃、端口布線、基礎(chǔ)配置、協(xié)議調(diào)優(yōu)、連通性驗證和長期可運維性設(shè)計變成一個能在真實業(yè)務(wù)環(huán)境里穩(wěn)定承載流量的節(jié)點。它涉及的東西比想象的要寬機柜空間與承重、風道與散熱、強弱電分離、標簽體系、傻瓜式開局和批量配置、二層環(huán)網(wǎng)與生成樹、三層路由與冗余網(wǎng)關(guān)、鏈路聚合、VLAN規(guī)劃、DHCP中繼、NTP與日志、SNMP監(jiān)控最后才是那句輕飄飄的“ping通了”。這篇內(nèi)容適合誰看剛?cè)胄?、第一次獨立接手一個機柜安裝任務(wù)的運維新人從服務(wù)器運維轉(zhuǎn)網(wǎng)絡(luò)、需要補一套完整落地流程的朋友還有中小項目里既管弱電又管IT的“全棧型”負責人。哪怕你目前只會在機柜前面擰螺絲、只會在瀏覽器里點開設(shè)備管理頁面照著這篇里的順序走也能把一個機房的接入層和匯聚層做得像樣。我下面講的所有步驟都基于一條主線先把物理和規(guī)劃做對再去碰配置。因為網(wǎng)絡(luò)設(shè)備的坑八成不是配置寫錯了而是坐標從一開始就沒對齊。物理層埋的雷后面用一百條命令也排不干凈。這是我的經(jīng)驗里最貴的一條也是我寫這篇東西最想讓你先拿到的一條。2. 安裝前的整體設(shè)計與方案取舍2.1 為什么規(guī)劃要走在螺絲刀前面我見過太多“先裝后想”的場景設(shè)備上架了、線也插了突然發(fā)現(xiàn)U位不夠、電源插排孔位不匹配、光模塊型號買錯、上行鏈路要走的橋架被空調(diào)管道擋死了。每一次返工都是把已經(jīng)捆好的線全部剪開重來。所以我的習慣是動設(shè)備之前先出一張“安裝任務(wù)單”不用多正式一張A4紙就夠但上面必須寫清楚這幾個坐標設(shè)備清單與U位占用每臺設(shè)備的型號、尺寸1U/2U、功耗、端口數(shù)量與類型在機柜里的具體U位。上行方向與走線路由上行到匯聚設(shè)備從哪一側(cè)出線走左走線架還是右走線架有沒有跨越強電。供電總賬整柜峰值功耗、單路電源容量、PDU插口類型與數(shù)量、是否需要雙路供電。地址與VLAN規(guī)劃每臺設(shè)備的管理地址、業(yè)務(wù)網(wǎng)段、VLAN ID分配、網(wǎng)關(guān)位置。命名與標簽規(guī)則設(shè)備名、端口描述、線纜標簽的統(tǒng)一格式。這張單子看著簡單但它是后面所有事情的基準。沒有它就沒有“調(diào)試”這回事只有“試”。我個人的經(jīng)驗是一張安裝任務(wù)單如果能在機柜前被另一個沒參與規(guī)劃的人看懂這個項目基本不會出大亂子。2.2 接入層、匯聚層、核心層怎么分而不亂標題里說“網(wǎng)絡(luò)設(shè)備”最常見的組合是接入交換機、匯聚交換機和路由器。小項目里匯聚和核心經(jīng)常合并成一臺這沒問題但角色的邊界還是得在心里劃清楚因為它決定了你的配置寫在哪兒、故障定位從哪一層開始。層級典型角色部署位置配置重心接入層終端接入、VLAN劃分、端口安全機柜頂部或中部端口速率/雙工、PoE、端口隔離、DHCP Snooping匯聚層策略集中、跨VLAN路由、冗余網(wǎng)關(guān)機房主柜鏈路聚合、生成樹、VRRP、ACL策略入口核心/出口內(nèi)外網(wǎng)邊界、NAT、策略與帶寬控制機房主柜上部或獨立機柜路由、NAT、策略路由、日志與流量鏡像我為什么強調(diào)這個分層因為同一臺設(shè)備在不同項目里角色可能不一樣。一臺24口千兆交換機放在小辦公室里就是“核心”放在園區(qū)樓棟里就是“接入”。角色決定配置思路不是型號決定。很多新手拿著型號去套配置模板套完發(fā)現(xiàn)圈環(huán)、丟包、策略失效根本原因是模板對應(yīng)的角色和他的實際拓撲對不上。2.3 獨立調(diào)試還是“邊裝邊調(diào)”兩種節(jié)奏的取舍實際操作里有兩套節(jié)奏我都用過各有適用場景。第一套是“裝完統(tǒng)一調(diào)”物理安裝全部完成、標簽打完、線纜理順之后再統(tǒng)一上電配配置。好處是現(xiàn)場干凈、節(jié)奏可控、能一次性做整體驗證壞處是如果單臺設(shè)備有硬件問題發(fā)現(xiàn)得晚返工時要拆線。第二套是“單機先驗再上架”每臺設(shè)備先在旁邊桌面完成開機自檢、固件升級、基礎(chǔ)配置、管理地址和遠程登錄驗證確認硬件和固件沒問題再上架、插線、聯(lián)調(diào)。好處是硬件故障在最早暴露固件版本能先統(tǒng)一壞處是需要額外的桌面空間和臨時電源現(xiàn)場管理更碎。我更傾向第二套尤其是設(shè)備數(shù)量超過五六臺的時候。理由很實在固件升級需要重啟重啟期間在機柜里做很別扭而且升級失敗時在桌面環(huán)境更好排查。另外單機先驗能讓你把設(shè)備名稱、管理地址、管理VLAN這些基礎(chǔ)項一次性配好上架后只剩物理連接和協(xié)議聯(lián)調(diào)效率高很多。2.4 設(shè)備選型與配件的幾個硬約束選型這件事我通常不從“哪個品牌好”入手而從約束條件倒推端口數(shù)與速率結(jié)構(gòu)不是看總口數(shù)而是看“接入千兆 上行萬兆”這類比例。上行口不夠后面加聚合就沒位置。供電與PoE預算如果接攝像頭或無線接入點PoE總功率預算必須留足30%以上余量否則滿配時設(shè)備會拒絕供電。散熱與風道方向機柜如果是前后風道設(shè)備進出風方向必須一致不能一臺前進后出、一臺后進前出否則熱風在柜內(nèi)打轉(zhuǎn)。管理方式是否支持console、帶外管理口、Web、命令行和批量配置下發(fā)。批量能力在十臺以上設(shè)備時價值極高。配件一致性光模塊、光纖跳線、DAC線、電源模塊、風扇模塊的型號要提前核對不同速率的光模塊混插是最常見的低級錯誤。這里給一個我自己常用的粗算示例方便你對照一臺24口接入交換機標稱功耗約30W若帶PoE且滿接12個單臺功耗10W的終端PoE部分約120W加上自身30W單臺峰值按150W~180W規(guī)劃一個機柜放6臺就是約1kW。再去核對PDU額定電流和機房單路供電容量留出余量這個賬必須在買之前算完。3. 物理安裝的核心細節(jié)與實操要點3.1 上架前的開箱檢查與固件統(tǒng)一設(shè)備開箱這一步很容易被跳過但它是后面所有排查的基礎(chǔ)。我的檢查順序固定是外包裝有無明顯擠壓變形、設(shè)備外殼有無磕碰、風扇和電源模塊是否插到位、序列號與裝箱單是否一致、配件掛耳、螺絲、腳墊、電源線、console線是否齊全。任何一項不對先拍照留證再繼續(xù)別急著上架。開箱完成后如果采用“單機先驗”的節(jié)奏就直接在桌面接電源和console線做三件事# 以常見的命令行設(shè)備為例查看設(shè)備基本信息與固件版本 show version show inventory show environment # 記錄管理口/MAC/序列號作為資產(chǎn)臺賬的初始數(shù)據(jù) show interface status查看固件的目的是把同批次設(shè)備的版本統(tǒng)一。版本不一致帶來的問題非常隱蔽同樣的配置命令在某臺設(shè)備上不生效、某臺設(shè)備生成樹收斂慢半拍、某臺設(shè)備日志時間戳格式不同。統(tǒng)一版本這件事在設(shè)備數(shù)量少的時候看不出價值在設(shè)備多的時候能救命。注意固件升級過程中千萬不要斷電也不要在升級過程中拔插電源模塊。升級前先確認設(shè)備所在環(huán)境的供電穩(wěn)定升級完成后再做一次配置保存。3.2 機柜U位規(guī)劃與承重、散熱U位規(guī)劃有幾個我認為必須遵守的原則都是踩過之后總結(jié)的重設(shè)備靠下輕設(shè)備靠上。2U或更重的設(shè)備放在機柜下半部降低重心減少傾覆風險1U交換機和配線架放中上部方便接線和維護。發(fā)熱設(shè)備之間留散熱間隙。高功耗設(shè)備上下至少留1U空隙或者用盲板把空U位封起來?？誙位不封板熱風會在柜內(nèi)回流形成局部熱點這個現(xiàn)象在滿柜設(shè)備時非常明顯。配線架與交換機交替布置。經(jīng)典做法是“配線架—交換機—配線架—交換機”交錯安裝跳線長度能控制在0.5米以內(nèi)柜內(nèi)整潔度完全不一樣。如果配線架全堆在最上面、交換機全堆在下面跳線就會像瀑布一樣掛在柜里后期換線是災難。進出風方向統(tǒng)一。上架前一定看清設(shè)備的風扇方向和機身標注的進出風箭頭。前后風道的機柜里混裝不同風道方向的設(shè)備散熱效率會明顯下降。一個實用提醒機柜頂部和底部盡量留出至少1U~2U空間用于走線和風道別把設(shè)備從第一U開始塞滿。這個余量在后期加設(shè)備時特別珍貴。3.3 供電、接地與強弱電分離供電這塊我的三條硬規(guī)矩雙電源設(shè)備必須接雙路。設(shè)備有兩個電源模塊就分別接到兩路不同的PDU或不同的供電回路上這樣單路掉電時設(shè)備不會整機斷電。只接一路等于白買雙電源。PDU插口要按“設(shè)備分組”分配不要按位置隨手插。同一臺設(shè)備的兩個電源插口物理上要分開但邏輯上要能一眼看出屬于哪臺設(shè)備。我通常在PDU上貼標簽標“設(shè)備名-PWR1/PWR2”。強電和弱電走線分離。網(wǎng)線、光纖不要和電源線在同一側(cè)走線架并排長距離捆在一起。如果必須交叉盡量垂直交叉。強弱電并行帶來的干擾在千兆以上速率和長距離布線上經(jīng)常以“偶發(fā)丟包”“速率協(xié)商不到萬兆”的形式表現(xiàn)出來排查起來非常費時間。接地這件事在小項目里最容易被忽略。機柜要有可靠的保護接地配線架的接地線要接好屏蔽線纜的屏蔽層要正確接地。我遇到過一次鏈路隨機閃斷最后查出來是配線架接地松動接好后問題消失。這種問題沒有任何配置層面的線索只能靠物理檢查。3.4 端口布線、標簽體系與整理布線這塊我按“先規(guī)劃標簽、再放線、后整理”的順序做絕不反過來。標簽規(guī)則統(tǒng)一。我的格式是源設(shè)備名:端口號 -- 目的設(shè)備名:端口號。例如ACC-SW-01:G1/0/24 -- AGG-SW-01:G1/0/8。兩端都貼標簽方向朝外便于查看。管理網(wǎng)線單獨用一種顏色標簽物理上就和業(yè)務(wù)線區(qū)分開。線纜長度按實際測量不靠估。跳線長了就繞圈塞在柜里短了就得返工。機柜內(nèi)的跳線我一般準備0.5米、1米、2米三種規(guī)格按實際距離取用多余的線全部用魔術(shù)貼固定不用扎帶勒死——扎帶一是會壓傷線纜、二是后期加線時必須剪斷非常麻煩。走線路徑先定再放線。左右兩側(cè)走線架各管一路方向一般左側(cè)走數(shù)據(jù)、右側(cè)走電源或者按上行走線和下行出線分開。放線時從一端開始邊放邊理不要全部放完再回頭理。典型機柜內(nèi)走線順序從下往上 1. 電源線 —— 走右側(cè)綁扎成束與數(shù)據(jù)線保持距離 2. 管理網(wǎng)線 —— 走左側(cè)單獨成束用不同顏色標簽 3. 業(yè)務(wù)網(wǎng)線 —— 走左右兩側(cè)就近路徑避免橫穿柜體正面 4. 光纖跳線 —— 單獨走線槽彎曲半徑不小于規(guī)范要求嚴禁硬折 5. 上行鏈路 —— 走頂部橋架預留檢修余量光纖跳線的彎曲半徑要特別注意。光纖看似柔軟但過度彎折會造成衰減增大甚至斷纖表現(xiàn)為鏈路能亮燈但速率不穩(wěn)定或高負載丟包。柜內(nèi)繞線時用大圈別用小圈硬塞。3.5 加電順序與上電自檢加電順序我是這樣定的先給PDU上電、確認電壓正常再逐臺設(shè)備上電每臺上電后觀察指示燈狀態(tài)再上下一臺。一次性全部上電看著爽但一旦某臺設(shè)備有短路或電源故障很難判斷是哪臺引起的。每臺設(shè)備上電后我在任務(wù)單上打勾并記錄電源指示燈狀態(tài)、風扇是否轉(zhuǎn)動、系統(tǒng)燈是否正常、端口燈是否按預期亮起。設(shè)備啟動完成后通過console或管理口登錄做一次基礎(chǔ)自檢# 上電后基礎(chǔ)自檢 show version # 固件版本與運行時間 show environment # 溫度、風扇、電源狀態(tài) show interface status # 端口狀態(tài)此時未插線應(yīng)多為down show logging # 啟動日志有無異常告警 # 保存初始配置 write memory確認無誤后才進入配置階段。這一步的價值在于把硬件問題和配置問題徹底分開如果設(shè)備本身有問題現(xiàn)在就能發(fā)現(xiàn)如果設(shè)備正常后面出問題就只可能是配置或布線。4. 調(diào)試環(huán)節(jié)的核心配置與關(guān)鍵環(huán)節(jié)實現(xiàn)4.1 開局三件事命名、管理地址、遠程登錄設(shè)備能登錄之后我做的第一件事永遠是這三件順序不變。設(shè)備命名。命名規(guī)則我建議帶層次信息比如樓層-角色-序號形如F3-ACC-SW-01。名字是給人看的越具體的名字在出故障時越快定位。別用默認名也別用純序列號。管理地址與帶外管理。管理VLAN單獨劃出來不和業(yè)務(wù)VLAN混。管理地址規(guī)劃要預留足夠空間我一般給管理網(wǎng)段留一個/24幾十臺設(shè)備夠用還有余量。如果設(shè)備支持獨立帶外管理口優(yōu)先用它業(yè)務(wù)口出問題時還能登錄進去。遠程登錄與賬號管理。至少配置兩級賬號管理員和只讀賬號。遠程登錄優(yōu)先用加密方式密碼復雜度按規(guī)范設(shè)置登錄超時和失敗次數(shù)限制一起配上。# 以常見命令行設(shè)備為例的配置骨架 hostname F3-ACC-SW-01 # 管理VLAN與管理地址 vlan 99 name MGMT interface vlan 99 ip address 10.10.99.11 255.255.255.0 no shutdown # 默認網(wǎng)關(guān)指向匯聚設(shè)備的管理地址 ip default-gateway 10.10.99.1 # 賬號與遠程登錄 username admin privilege 15 secret 強密碼 line vty 0 4 login local exec-timeout 10 0 transport input ssh # 管理口接入對應(yīng)端口 interface GigabitEthernet 1/0/1 description MGMT-UPLINK-TO-AGG switchport mode access switchport access vlan 99注意配置遠程登錄之前務(wù)必確認管理VLAN已經(jīng)放通到上行端口否則配完立刻把自己鎖在門外。我見過不止一次“配完ssh就再也連不上”的現(xiàn)場最后都是通過console救回來的。4.2 VLAN規(guī)劃與端口配置把廣播域切對VLAN規(guī)劃的出發(fā)點不是“切得多細”而是廣播域和故障域要可控。我的做法是按業(yè)務(wù)功能劃分而不是按物理位置劃分VLAN ID名稱用途地址段示例10OFFICE辦公終端10.10.10.0/2420VOICE語音終端10.10.20.0/2430CCTV視頻監(jiān)控10.10.30.0/2499MGMT設(shè)備管理10.10.99.0/24地址段規(guī)劃要和VLAN ID有對應(yīng)關(guān)系運維時看一眼地址就知道屬于哪個VLAN這個習慣能省掉大量查表時間。端口配置上接入端口就老老實實做access口上行端口做trunk口并明確允許的VLAN列表不要圖省事放通全部。# 接入端口 interface range GigabitEthernet 1/0/2-20 description ACCESS-OFFICE switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable no shutdown # 上行trunk端口 interface GigabitEthernet 1/0/24 description UPLINK-TO-AGG switchport mode trunk switchport trunk allowed vlan 10,20,30,99 switchport trunk native vlan 999 no shutdown幾個要點值得單獨說native VLAN改成非1的值并確保兩端一致。默認VLAN 1承載未打標簽的流量是很多安全問題的入口改掉它是最低成本的加固。接終端的端口開portfast和bpduguard。portfast讓終端接入時不用等生成樹收斂bpduguard防止有人把交換機接到接入口造成環(huán)路。未使用端口shutdown?？斩丝谌筷P(guān)閉既是安全要求也能避免誤插。端口描述必須寫。描述是給未來的自己和同事看的寫清楚接的是什么、到哪兒去故障排查時省一半時間。4.3 鏈路聚合與生成樹讓冗余真的有用**鏈路聚合LACP**是上行帶寬和冗余的常用手段。我配置時會注意三點第一兩端模式一致。都用LACP主動模式別一端靜態(tài)聚合、一端動態(tài)聚合。第二成員口的速率、雙工、VLAN配置必須完全一致否則聚合口起不來或者部分成員口不轉(zhuǎn)發(fā)。第三聚合組的負載均衡方式按流量特征選源目IP哈希在多數(shù)場景表現(xiàn)均衡若以單一大流量為主可考慮按源目MAC組合。# 聚合口配置骨架 interface range GigabitEthernet 1/0/23-24 description LAG-TO-AGG channel-group 1 mode active no shutdown interface Port-Channel 1 description LAG-TO-AGG switchport mode trunk switchport trunk allowed vlan 10,20,30,99 switchport trunk native vlan 999生成樹這塊我的核心原則是根橋手動指定別讓它自己選。生成樹的根橋默認按優(yōu)先級和MAC自動選舉選舉結(jié)果可能不是你想要的那臺設(shè)備拓撲也就不是你規(guī)劃的樣子。手動把匯聚設(shè)備設(shè)為根橋優(yōu)先級調(diào)低接入設(shè)備保持默認這樣拓撲可控。另外接終端的端口開portfast、開bpduguard接入交換機之間互聯(lián)的端口保持正常生成樹參與開啟環(huán)路保護功能防止單向鏈路造成環(huán)路。環(huán)路這事一旦發(fā)生就是全網(wǎng)癱瘓級別的故障防環(huán)配置不是可選項。4.4 三層互通與冗余網(wǎng)關(guān)跨VLAN通信需要三層網(wǎng)關(guān)。小項目里網(wǎng)關(guān)放在匯聚交換機上三層交換機做SVI大一點的項目可能在核心或防火墻上。不管放在哪兒配置思路是一致的每個業(yè)務(wù)VLAN一個網(wǎng)關(guān)地址網(wǎng)關(guān)地址就是該網(wǎng)段的第一個可用地址全項目統(tǒng)一。冗余網(wǎng)關(guān)用VRRP這類協(xié)議實現(xiàn)。主備兩臺匯聚設(shè)備各配一個虛擬地址作為網(wǎng)關(guān)終端指向虛擬地址主設(shè)備故障時備設(shè)備接管。配置時注意虛擬地址不能和任何真實接口地址沖突優(yōu)先級數(shù)值要明確設(shè)置搶占功能根據(jù)需要開啟。# 匯聚設(shè)備上的VRRP示例 interface vlan 10 ip address 10.10.10.2 255.255.255.0 vrrp 10 ip 10.10.10.1 vrrp 10 priority 120 vrrp 10 preempt # 備設(shè)備上 interface vlan 10 ip address 10.10.10.3 255.255.255.0 vrrp 10 ip 10.10.10.1 vrrp 10 priority 100這里有個細節(jié)主備設(shè)備的接口地址不同但虛擬地址相同終端網(wǎng)關(guān)必須全部指向虛擬地址。如果某臺終端配的是真實接口地址主設(shè)備一掛它就斷網(wǎng)冗余等于沒做。這個錯誤我在驗收時查到過不止一次。4.5 DHCP中繼與地址服務(wù)終端地址怎么來是調(diào)試階段最容易出問題的地方之一。如果DHCP服務(wù)器集中在一臺服務(wù)器或防火墻上而終端分散在多個VLAN就必須配DHCP中繼。配置中繼時關(guān)鍵是在網(wǎng)關(guān)接口上指定DHCP服務(wù)器地址并且確保中繼接口和DHCP服務(wù)器之間路由可達。# 在網(wǎng)關(guān)SVI上配置DHCP中繼 interface vlan 10 ip helper-address 10.10.99.50排查思路也很固定終端拿不到地址先看終端所在端口VLAN對不對再看網(wǎng)關(guān)接口有沒有配中繼再看DHCP服務(wù)器地址池有沒有對應(yīng)網(wǎng)段、地址池是否耗盡、服務(wù)器到網(wǎng)關(guān)的路由通不通。順序別亂一層層排除。4.6 NTP、日志與監(jiān)控讓設(shè)備“會說話”這部分是很多交付項目的空白區(qū)也是我認為最能體現(xiàn)專業(yè)度的地方。NTP時間同步。所有設(shè)備指向同一時間源保證日志時間戳可比對。設(shè)備之間時間差幾分鐘日志就沒法串起來分析。日志集中。設(shè)備本地日志容量有限重啟就清空。配置日志服務(wù)器把日志推送到集中位置出問題時能回溯。SNMP監(jiān)控。至少把設(shè)備加入監(jiān)控系統(tǒng)采集CPU、內(nèi)存、端口流量、端口up/down事件、溫度、電源狀態(tài)。端口down告警能在用戶報障之前發(fā)現(xiàn)問題。# NTP與日志配置骨架 ntp server 10.10.99.10 logging host 10.10.99.20 logging trap informational logging buffered 16384 snmp-server community 只讀團體名 ro snmp-server host 10.10.99.20 version 2c 團體名注意SNMP團體名不要用默認的public/private讀寫權(quán)限要嚴格區(qū)分。監(jiān)控只需要只讀不要圖省事給讀寫。5. 驗收測試與常見問題排查實錄5.1 分層的驗收測試怎么做調(diào)試完不能只看“能上網(wǎng)”。我的驗收測試是分層的從物理到應(yīng)用到管理逐層驗證測試層級測試內(nèi)容判定標準物理層端口燈狀態(tài)、光功率、線纜標簽全部鏈路正常亮燈標簽與任務(wù)單一致二層同VLAN互通、VLAN隔離、生成樹拓撲同VLAN通跨VLAN不通未配網(wǎng)關(guān)前三層跨VLAN路由、默認路由、冗余切換全網(wǎng)互通斷開主設(shè)備后備設(shè)備接管應(yīng)用層終端獲取地址、訪問業(yè)務(wù)系統(tǒng)終端正常獲取地址并訪問業(yè)務(wù)管理面遠程登錄、日志上報、監(jiān)控采集、時間同步均正常無告警冗余切換測試我會真的把主設(shè)備斷電或斷上行觀察備設(shè)備接管時間和終端感知。這個測試不做冗余配置就是紙面上的。5.2 常見問題速查實際項目里遇到的問題八成集中在這幾類。我整理成表方便你現(xiàn)場對照現(xiàn)象常見原因排查動作終端拿不到IP地址VLAN不對、中繼沒配、地址池耗盡查端口VLAN、查網(wǎng)關(guān)中繼、查地址池使用率跨VLAN不通網(wǎng)關(guān)未配、路由缺失、ACL攔截查SVI狀態(tài)、查路由表、查ACL命中計數(shù)鏈路聚合起不來成員口配置不一致、模式不匹配對比成員口速率/雙工/VLAN檢查兩端模式端口頻繁up/down線纜質(zhì)量、光模塊不匹配、雙工協(xié)商異常換線測試、核對光模塊型號、固定速率雙工偶發(fā)丟包強弱電干擾、接地不良、光衰過大查走線分離、查接地、測光功率環(huán)路導致全網(wǎng)卡頓誤接環(huán)路、防環(huán)配置缺失查生成樹阻塞端口、開bpduguard、定位環(huán)路點設(shè)備時間不對NTP未配或不可達查NTP配置與連通性遠程登錄失敗管理VLAN未放通、ACL攔截、賬號問題查VLAN放通、查ACL、console登錄核查5.3 我的幾條排查心法從物理到邏輯不要跳層。一上來就懷疑配置往往白折騰。先看燈、再查二層、再看三層、最后看應(yīng)用。物理層的問題占了我遇到的故障的一半以上。一次只改一個變量。同時改三個配置問題消失了你也不知道是哪條起的作用問題還在你也不知道是哪條沒用。改一條、驗一條、記錄一條。記錄現(xiàn)場。排查過程中的每條命令輸出、每次改動都記下來。故障復盤時這份記錄就是最好的材料。別在業(yè)務(wù)高峰期做大改。冗余切換測試、生成樹調(diào)整、聚合口重建都有短暫中斷風險安排窗口是基本職業(yè)素養(yǎng)。我踩過的最深的坑是一臺接入交換機上行口速率協(xié)商成了百兆業(yè)務(wù)“能用但慢”查了一下午配置都沒問題最后是線纜質(zhì)量問題導致千兆協(xié)商失敗。從那以后我驗收時一定核對每個上行口的實際協(xié)商速率而不是只看燈亮。6. 交付與長期可運維性把活做在別人看不見的地方6.1 文檔與資產(chǎn)臺賬交付時我必交三樣東西拓撲圖標注設(shè)備名、管理地址、互聯(lián)端口、VLAN、端口臺賬每個端口的描述、VLAN、對端設(shè)備、配置備份每臺設(shè)備的完整配置文本。這三樣東西的價值在設(shè)備故障、人員變動、擴容改造時體現(xiàn)得淋漓盡致。配置備份這件事我建議做成例行任務(wù)不是一次性動作。每次變更后備份一次文件名帶日期和設(shè)備名。有條件的接入自動備份機制但手工備份這個習慣不能丟。6.2 變更管理與回滾預案任何配置變更前我的動作固定是先備份、寫變更單、定回滾方案?；貪L方案要具體到命令比如“把某接口的trunk允許VLAN恢復為變更前的列表”而不是寫一句“恢復原配置”。尤其是遠程操作時回滾預案更重要。我通常會開兩個會話一個用于操作一個保持觀察或者在配置前設(shè)置定時回滾防止把自己鎖在設(shè)備外面。6.3 擴容余量與命名規(guī)范的前瞻性規(guī)劃時留余量是我這些年最慶幸的習慣。管理地址段留余量、VLAN ID留間隔、U位留空位、PDU插口留空口、光纖預留幾芯。這些東西在項目當下看不出價值在半年后加設(shè)備時就是救命稻草。命名規(guī)范也一樣一開始就定好層次化規(guī)則后面加設(shè)備只是套模板一開始隨手命名后面就是一堆switch1、switch2誰也不知道是哪臺。6.4 我個人在實際操作中的體會這套流程我走過很多遍最大的體會是網(wǎng)絡(luò)設(shè)備安裝與調(diào)試技術(shù)難度主要集中在“不出錯”而不是“很難”。真正難的配置沒幾個難的是把每一步都做扎實、把每個細節(jié)都想到、把每處冗余都驗證。我現(xiàn)在的習慣是安裝階段多花的時間調(diào)試階段都能省回來調(diào)試階段多做的驗證運維階段都能少熬的夜。設(shè)備是不會騙人的它給你的每個現(xiàn)象背后都有原因你只要按順序、按層次去查基本都能找到。最后分享一個我覺得特別值的小習慣每次項目結(jié)束后花十分鐘把這次遇到的問題和解決辦法補進自己的問題庫。一年下來這個庫就是你最值錢的東西比任何文檔都好用。