各位啃网络的兄弟姐妹，我整理了一份 Cisco Packet Tracer 的指令大全笔记。今天不聊虚的，直接进入正题。Packet Tracer 是练手网络技术、准备认证考试最趁手的模拟器，没有之一。我见过太多人拿着指令表背得滚瓜烂熟，一开模拟器就卡在“为什么我的路由器敲不了这条命令”这种基础问题上，或者在配置 VLAN、NAT 时踩进深坑里半天爬不出来。
这份笔记不是把命令行手册抄一遍，而是把我在实际搭建模拟项目、排错、以及准备认证过程中真正用过、试过、踩过坑的指令按场景重新梳理了一遍。从最基础的三种命令模式，到交换机 VLAN 划分、路由协议配置、ACL 过滤、NAT 转换，再到最后的排错三板斧，我会在下面这几个大块头里拆开讲透。每个指令我都会告诉你为什么这么敲，敲完会看到什么，以及常见情况下会踩什么坑。不管你是刚接触网络的新手，还是准备冲刺认证的老手，这份笔记应该都能帮你省下不少瞎折腾的时间。
1. 项目概述与核心思路拆解
1.1 Packet Tracer 到底解决了什么问题
先搞清楚一个基础问题：为什么要在 Packet Tracer 上花时间敲指令，而不是直接买两台真机回来？真机当然好，但大多数学习者没有那个条件也没那个必要。Packet Tracer 的价值在于它把真实设备的命令行界面、协议运行机制、数据包转发过程全部搬到了你的电脑里，而且允许你随时暂停、拆解、查看数据包的每一跳。
举个例子，你在真机上配完 OSPF，如果邻居关系没起来，只能靠 show ip ospf neighbor 去猜问题。在 Packet Tracer 里，你可以直接切换到模拟模式，把数据包放出来，一步步看 Hello 包到底有没有发出去、卡在哪一跳、为什么没回应。这种“看得见”的特性，是它作为学习工具最不可替代的点。
这份指令笔记的核心思路不是我帮你把每一条指令敲一遍，而是把所有指令按照“什么时候用、用来干嘛、敲完怎么看结果”的逻辑组织起来。指令本身是死的，但使用场景是活的。你理解了场景，指令自然就记住了。
1.2 我整理这份笔记的筛选标准
思科设备的命令行指令有上千条，Packet Tracer 支持的就有好几百条，但实际高频使用的指令远没有那么多。我的筛选标准有三条：第一，认证考试里反复出现的必考指令；第二，日常搭建模拟环境时百分之百会用到的配置指令；第三，出了问题排错时最常用的排查指令。按这个标准筛下来，核心其实就一百多条。
这份笔记里我把它们拆成了几大块：模式切换与基础命令、交换机 VLAN 与链路聚合、路由协议配置、ACL 访问控制、NAT 地址转换、以及最后的排错指令。每一块我都会用实际场景串起来讲，不做干巴巴的罗列。
提示：Packet Tracer 对指令的支持和真实 IOS 有少量差异。主要是部分高级特性指令不支持，但基础交换路由指令和真实设备基本一致。用 Packet Tracer 练手完全没问题，但别把它当成所有真实特性的完整替代品。
2. 指令体系分类详解与实操要点
2.1 三种命令模式：你卡住的 80% 问题都在这
很多新手拿到 Packet Tracer 第一件事就是往路由器上敲指令，结果敲什么都是 “% Invalid input detected at ‘^’ marker.” 然后就懵了。原因很简单：你没搞清楚当前在哪个模式下。
思科设备的命令行分为三大层：用户模式、特权模式、全局配置模式。
用户模式是登录设备后默认所在的模式，它的提示符长这样：Router>。这个模式只允许你做一些最基本的查看操作，比如 ping、traceroute，但你敲不了任何配置指令。
特权模式是你在用户模式下输入 enable 后进入的模式，提示符变成 Router#。这个模式下你可以查看设备的全部运行状态、配置文件、接口信息，也能执行 debug 之类的调试指令，但还是不能改配置。
全局配置模式是你在特权模式下输入 configure terminal 后进入的模式，提示符变成 Router(config)#。从这一刻起，你才获得了真正修改设备配置的权限。
这里有个关键点：进入全局配置模式之后，你每进入一个子配置块，提示符都会继续变化。比如进入接口视图，会变成 Router(config-if)#；进入路由协议视图，会变成 Router(config-router)#。很多人敲完指令没反应，往往是没注意自己正待在哪个子视图里，指令敲错了层级。
我自己刚学的时候犯过一个蠢错误：在全局配置模式下直接敲 interface g0/0 进入了接口视图，配置完 IP 地址后忘了退出，接着敲 router ospf 1，结果设备报错。实际上 ospf 配置要在全局配置模式下才能启动。这个教训让我养成了一个习惯：每次敲指令前先看一眼提示符，确认自己在哪一层。
2.2 高频基础指令实战对照表
我把日常使用频率最高的基础指令整理成了对照表，方便你贴在旁边随时查。
| 操作目的 | 指令 | 模式要求 | 提示符变化 |
|---|---|---|---|
| 从用户模式进入特权模式 | enable | 用户模式 | Router> 变 Router# |
| 从特权模式退回用户模式 | disable | 特权模式 | Router# 变 Router> |
| 进入全局配置模式 | configure terminal | 特权模式 | Router# 变 Router(config)# |
| 修改设备名称 | hostname R1 | 全局配置模式 | Router(config)# 变 R1(config)# |
| 查看当前配置 | show running-config | 特权模式 | 显示全部运行配置 |
| 保存配置到启动文件 | write memory | 特权模式 | 提示 Building configuration... |
| 查看接口简要状态 | show ip interface brief | 特权模式 | 列出所有接口 IP 与状态 |
| 查看设备版本信息 | show version | 特权模式 | 显示 IOS 版本、运行时间、硬件信息 |
这里面最常见的一个问题是“保存配置”。Packet Tracer 里直接关掉设备窗口，你的配置其实还在，因为整个拓扑状态会被统一保存。但如果你把某台设备删了重建，配置就没了。在真实设备上，write memory 是绝对必要的操作，否则设备一重启配置就丢光。我建议你在 Packet Tracer 里也养成保存的习惯，毕竟你后面要敲的指令越来越多，不小心关错窗口重来一次太浪费时间。
另一个高频操作是 hostname。可能你觉得改名只是美观问题，但实际排错时，如果你有三台路由器和五台交换机，所有设备默认都叫 Router 或 Switch，show running-config 的时候你根本分不清谁是谁。我强烈建议你搭好拓扑的第一件事，就是给每台设备改一个有意义的名字，比如 R1、R2、SW1、SW2，或者按地理位置命名。
2.3 接口配置：IP 地址上不去的几个隐藏原因
接口配置是网络配置的基础工程，指令本身很简单，但坑特别多。基本的配置流程是进入接口视图、配置 IP 地址、开启接口。
比如给路由器的一个千兆接口配地址，指令是这样：
Router(config)# interface gigabitethernet0/0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)# end注意最后那条 no shutdown。很多新手配完 IP 地址发现 ping 不通，折腾半天，结果一看接口状态是 administratively down。思科设备的接口默认是关闭的，你配上 IP 地址并不会自动激活接口。no shutdown 的意思就是把接口从管理性关闭状态唤醒。
还有个问题是“为什么我在路由器上配了 IP 之后 ping 不通直连设备”。这种情况最常见的两个原因：一个是接口没激活，就是上面说的 no shutdown 没敲；另一个是 IP 地址段不在同一个网段。比如路由器接口配的是 192.168.1.1/24，而电脑配的是 192.168.2.10/24，跨网段了，没有路由协议的情况下自然不会通。这种基础问题在 Packet Tracer 里很常见，排查方式就是 show ip interface brief，先看接口状态，再看地址是否匹配。
Packet Tracer 里还有一个不太符合直觉的细节：某些型号的设备，接口名称写法不同。比如有的路由器支持 gigabitethernet0/0，有的模拟器旧版本只识别 fastethernet0/0。你敲接口名的时候如果 Tab 补全不出来，记得先 show ip interface brief 看看这台设备实际支持的接口名称。
3. 交换机核心指令：VLAN 划分、Trunk 与链路聚合实操
3.1 VLAN 划分完整流程与验证方法
交换机这一块，最基础也最重要的操作就是 VLAN 划分。它的核心指令看起来不多，但组合起来能玩出各种花样。一个标准的 VLAN 配置场景是这样的：一台交换机，24 个接口，其中 8 个接口划给财务部，8 个划给人事部，剩下 8 个做预留。
首先创建 VLAN：
Switch(config)# vlan 10 Switch(config-vlan)# name Finance Switch(config-vlan)# exit Switch(config)# vlan 20 Switch(config-vlan)# name HR Switch(config-vlan)# exit然后把接口划分进对应的 VLAN：
Switch(config)# interface range fastethernet0/1-8 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 20 Switch(config-if-range)# exit这里有一个我见过无数人踩坑的操作：interface range 这个指令。它的作用是一次性进入多个接口的视图，语法是 interface range 加上接口列表或范围。很多人不知道这个指令，一个个接口进去配置，既浪费时间又容易漏配。但如果你的模拟器设备不支持 range 批量操作，就只能单个接口逐个进了。
划分完 VLAN 之后的验证非常关键。你可以在特权模式下执行 show vlan brief，它会列出所有 VLAN 的编号、名称以及各自包含哪些接口。
Switch# show vlan brief VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active Fa0/9, Fa0/10, Fa0/11, Fa0/12 10 Finance active Fa0/1, Fa0/2, Fa0/3, Fa0/4 20 HR active Fa0/5, Fa0/6, Fa0/7, Fa0/8看到接口正确归类到对应的 VLAN 里，你的配置才算真正生效。我建议你每配置完一个 VLAN 就顺手 show 一次，养成即时验证的习惯，不要等到最后统一排查的时候再去翻日志找问题。
3.2 Trunk 链路配置：VLAN 跨交换机通信的关键
单台交换机的 VLAN 划分很简单，但真实场景里几乎不可能只有一台交换机。当两台交换机之间需要同时承载多个 VLAN 的流量时，就要用到 Trunk 链路。
Trunk 链路允许同一物理链路上传输多个 VLAN 的数据帧，它的实现原理是给数据帧打上 VLAN 标签。思科私有的封装协议是 ISL，但更通用、更标准的是 802.1Q。Packet Tracer 里默认使用 802.1Q，这和其他厂商设备也能互通。
配置 Trunk 的指令是关键中的关键：
Switch(config)# interface gigabitethernet0/1 Switch(config-if)# switchport mode trunk如果你希望某个 VLAN 的数据不允许通过这条 Trunk 链路传输，可以手动从允许列表里移除：
Switch(config-if)# switchport trunk allowed vlan remove 20验证 Trunk 状态用 show interfaces trunk。它会显示这条 Trunk 链路当前处于协商状态还是已经确立，以及允许通过的 VLAN 列表。最常见的 Trunk 问题是：链路两端一台配了 Trunk，另一台还处于 access 模式，结果两边 VLAN 根本不通。这种问题的排查方法就是两台设备上都执行 show interfaces trunk，对比两端的输出。
注意：配置 Trunk 时，两端交换机的 Trunk 模式需要一致或兼容。一端设成 trunk，另一端即使保持动态协商模式，通常也能协商成功。但如果一端明确设成 access，链路就会变成普通接入链路，Trunk 功能直接失效。在 Packet Tracer 里练手时，建议两端都明确设置 switchport mode trunk，避免动态协商带来的不确定性。
3.3 生成树与链路聚合：比你想的更常用
很多做实验的人会忽略生成树协议和链路聚合，觉得这是大型网络才需要的技术。但在 Packet Tracer 里练习这两块内容，性价比非常高。
生成树协议（STP）的核心价值是防止二层环路。它的配置指令不多，绝大多数情况下你不需要主动配置什么，因为交换机默认启用了 STP。你需要做的只是查看它的状态，理解它的选举过程。
查看生成树状态用 show spanning-tree。输出里最关键的一行是 Root ID 和 Port Role。如果你有两台交换机用两条线连在一起形成了环路，你会看到其中一台交换机的某个接口被阻塞，端口角色显示为 Altn（Alternate），状态显示为 BLK。这意味着环路已经被 STP 切断了。
链路聚合的配置相对复杂一点。 Packet Tracer 里支持 EtherChannel 的基础配置，指令是这样的：
Switch(config)# interface range gigabitethernet0/1-2 Switch(config-if-range)# channel-group 1 mode active Switch(config-if-range)# exit Switch(config)# interface port-channel 1 Switch(config-if)# switchport mode trunk链路聚合的原理是把多条物理链路绑定成一条逻辑链路，既增加带宽又提供冗余。channel-group 1 中的数字 1 是组号，两边交换机要用相同的组号才能正确协商。mode active 表示使用 LACP 主动协商，这是标准协议；也可以选 mode desirable 使用思科私有的 PAgP。在 Packet Tracer 里练习时，我建议你用 mode active，因为这是跨厂商通用的标准方式，也贴合真实环境的配置习惯。
配完之后验证用 show etherchannel summary，它会显示 Port-channel 的状态以及绑定了哪些物理接口。如果状态不是 SU（Layer2 正常）而是 SD（Down）或者显示接口未加入，多半是物理接口没有进入正确的模式，检查一下物理接口上的配置即可。
4. 路由指令实战：静态路由与动态路由协议怎么配
4.1 静态路由配置技巧与默认路由的妙用
路由配置是网络技术学习的重心。静态路由是理解路由表工作机制最直接的切入点，它的指令格式是：
Router(config)# ip route 目标网络 子网掩码 下一跳地址或出接口比如我的路由器直连了 192.168.1.0/24 这个网段，我又想让它能把数据包转发到另一端的 192.168.2.0/24 网段，而那个网段的下一跳路由器接口地址是 10.0.0.2，那么指令就是：
Router(config)# ip route 192.168.2.0 255.255.255.0 10.0.0.2这里有一个重要的设计问题：下一跳地址应该写什么？我见过不少新手在这里纠结。如果你知道对端路由器的接口 IP，直接写 IP 地址是最清晰的做法。但有些场景下你希望路由器“只要不是本机直连的网段，就全部扔给某一条路走”，这时候就要配置默认路由。
默认路由用 0.0.0.0 0.0.0.0 代替目标网络和掩码：
Router(config)# ip route 0.0.0.0 0.0.0.0 10.0.0.2默认路由在出口设备上极其常用。比如公司出口路由器连接运营商，内网用户上网的流量目标地址千变万化，不可能一条条写静态路由，一条默认路由就解决了所有问题。在模拟实验中，你可以在连接运营商的那台路由器上配置默认路由，体验一下它如何简化配置。
静态路由配置完一定要验证路由表。show ip route 会列出所有路由条目，你需要注意条目开头的字母：C 代表直连路由，S 代表静态路由，S* 代表默认静态路由。如果配置了静态路由但 show ip route 里没有出现，检查下一跳地址是否可达。路由器不会把一条下一跳不可达的静态路由放进路由表，这是它保护自己的一种方式。
4.2 OSPF 配置与邻居关系建立排查
动态路由协议里，OSPF 是学习和考试的重头戏。它的配置流程比静态路由复杂，但只要理解了“先宣告接口，再建立邻居，最后交换路由”这个逻辑，就不难。
OSPF 的基本配置如下：
Router(config)# router ospf 1 Router(config-router)# network 192.168.1.0 0.0.0.255 area 0 Router(config-router)# network 10.0.0.0 0.0.0.255 area 0这里有两个容易混淆的点。第一，router ospf 后面的数字是进程号，只要在同一台路由器上唯一即可，不要求两台路由器相同。所以 R1 可以用 router ospf 1，R2 可以用 router ospf 2，两者之间完全不受影响。第二，network 指令里的第二部分不是子网掩码，而是通配符掩码。通配符掩码的计算方式是 255.255.255.255 减去子网掩码。比如 255.255.255.0 对应的通配符就是 0.0.0.255。
配置完 OSPF 之后，立刻执行 show ip ospf neighbor 查看邻居状态。如果看到状态是 Full，恭喜，邻居关系建立成功。如果状态卡在 Init 或者 ExStart/Beyond，说明 Hello 包收发有问题。最可能的原因是：接口所在网段没有被正确的 OSPF network 指令宣告到，或者两台路由器所在的 area 不一致，或者 Hello 间隔和 Dead 间隔不匹配。
检查 OSPF 配置还有一个好用的指令：show ip ospf interface。它会显示路由器每个参与 OSPF 的接口状态、所属区域、Hello 间隔等参数。我排错时习惯先刷这个指令，快速确认宣告是否正确，然后再看邻居状态。
4.3 RIP 与 EIGRP 配置要点对比
虽然 OSPF 是当前企业网络的主流，但认证考试和基础教学中 RIP 与 EIGRP 仍然会涉及。这里简单对比一下它们的配置方式。
RIP 的配置和 OSPF 极其相似：
Router(config)# router rip Router(config-router)# version 2 Router(config-router)# network 192.168.1.0 Router(config-router)# network 10.0.0.0注意 RIP 的 network 指令后面不需要通配符掩码，它接受的是有类网络地址。这意味着你宣告 192.168.1.0，实际上宣告的是整个 192.168.1.0 这个有类网段。RIP 的路由更新方式也比较古老，它通过广播或组播周期性地发送整个路由表，收敛速度慢，跳数限制 15 跳，所以大型网络里已经被淘汰了。
EIGRP 是思科私有的路由协议，Packet Tracer 里支持它的基础配置：
Router(config)# router eigrp 100 Router(config-router)# network 192.168.1.0 0.0.0.255 Router(config-router)# no auto-summaryEIGRP 的 network 指令格式和 OSPF 一样，用的是通配符掩码。它比 RIP 复杂得多，支持非等价负载均衡、快速收敛，但也有一个历史遗留问题，就是自动汇总。所以配置 EIGRP 时一定要记得敲 no auto-summary，否则它会把子网自动汇总成有类网段，导致路由明细丢失。
我的个人建议是：如果只是做基础实验，重点吃透 OSPF 就够了。RIP 和 EIGRP 了解配置格式、能看懂输出就行，不用花太多时间深挖。
5. ACL 访问控制与 NAT 地址转换：两条改变命运的指令
5.1 ACL 配置从入门到熟练：过滤规则的执行逻辑
ACL（访问控制列表）是网络设备上最常用的安全过滤工具。它的核心作用是根据规则决定数据包是被允许还是被拒绝。理解 ACL 的配置，关键是理解它的匹配顺序。ACL 从上到下逐条匹配，一旦命中某条规则，就不再往下看后面的规则了。所以 ACL 的规则顺序决定了最终效果。
一个经典的标准 ACL 配置场景是：只允许 192.168.1.0/24 网段的设备访问服务器，其他网段全部拒绝。
首先创建 ACL：
Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255注意这里的 10 是 ACL 编号。标准 ACL 使用 1-99 和 1300-1999 的编号范围。标准 ACL 只能基于源地址过滤，所以规则里只需要写源地址和通配符掩码。如果你只写一条 permit 规则，根据“默认拒绝一切”的原则，ACL 末尾会有一条隐式的 deny any，所以其他网段的流量会被自动拒绝。
创建完 ACL 之后，要把它应用到接口上才会生效：
Router(config)# interface gigabitethernet0/0 Router(config-if)# ip access-group 10 in应用在 in 方向还是 out 方向，决定了过滤的是进入接口的流量还是从接口出去的流量。初学者最常犯的错是搞不清方向。这里给你一个判断技巧：站在路由器的角度看，in 就是流量从外部进入这台路由器，out 就是流量从这台路由器发往外部。绝大多数场景下，我们会把 ACL 应用在靠近源地址的那一侧，尽量在流量进入网络之前就把它拦截掉，节省不必要的带宽消耗。
高级 ACL 用编号 100-199，它可以同时基于源地址、目的地址、协议类型、端口号进行过滤。比如拒绝某个网段访问服务器的 Telnet 服务：
Router(config)# access-list 100 deny tcp 192.168.2.0 0.0.0.255 host 10.10.10.10 eq 23 Router(config)# access-list 100 permit ip any any第二行必须写，否则默认拒绝所有流量，整个网络就断了。我见过不少人在真实环境里配置了高级 ACL 忘记加 permit ip any any，导致业务全部中断，这种事故在网络运维圈被称为“一纸 ACL 干掉全网”。所以配置完 ACL 之后，一定要立刻验证。验证的方法是 show access-lists，它会显示每条规则的匹配次数。如果 permit 规则匹配次数是 0，而 deny 规则匹配次数一直在涨，说明你的过滤方向或者规则顺序写反了。
5.2 NAT 配置的核心命令与转换验证
NAT 的配置比 ACL 稍微复杂，但逻辑更清晰。它解决的核心问题是内网私有地址无法直接访问公网的问题。最常用的是 PAT，也就是很多人听过的端口地址转换。
一个典型场景：公司内网使用 192.168.1.0/24 网段，出口路由器有一个公网接口地址 200.1.1.1，内网所有设备通过这个接口共享上网。配置步骤如下。
第一步，定义内网哪些地址允许被转换：
Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255第二步，定义 NAT 转换关系，把内网地址映射到出接口的公网地址上：
Router(config)# ip nat inside source list 1 interface gigabitethernet0/0 overload第三步，在接口上标记内网和外网方向：
Router(config)# interface gigabitethernet0/0 Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# interface serial0/0/0 Router(config-if)# ip nat outside这里的 overload 关键字就是 PAT 的核心，它允许多个内网地址同时复用同一个公网地址。如果不加 overload，一个公网地址只能对应一个内网地址，这就是传统的动态 NAT，用起来很浪费。
配置完 NAT 之后，最关键的是验证。show ip nat translations 会显示当前的转换表，你能看到内网地址被转换成了哪个公网地址、对应哪个端口。如果内网设备访问外网失败，先查这个表。如果表里根本没有记录，说明流量压根没有经过 NAT 处理，检查接口的 ip nat inside / outside 方向是否标记正确，或者 access-list 里的源地址匹配范围是否写错。
提示：验证 NAT 时不要只看转换表，还要配合 show ip nat statistics 查看总共有多少次转换成功、多少次失败。如果失败次数持续增长，大概率是外部接口的 IP 地址配置错误，或者 access-list 的匹配范围没有覆盖到实际的源网段。我模拟实验时有一次怎么配都不通，后来发现是 access-list 里网段写成了 192.168.0.0，比实际网段大了一圈，看起来没毛病，但匹配逻辑完全对不上。
5.3 DHCP 配置：让网络自动分配地址
DHCP 是日常网络里最常用的服务之一，配置指令并不复杂。在路由器上配置 DHCP 服务，可以实现给终端自动分配 IP 地址的效果。
基本配置流程如下。第一步，创建一个地址池：
Router(config)# ip dhcp pool LAN_POOL Router(dhcp-config)# network 192.168.1.0 255.255.255.0 Router(dhcp-config)# default-router 192.168.1.1 Router(dhcp-config)# dns-server 8.8.8.8 Router(dhcp-config)# exit第二步，把不需要分配给终端的地址排除掉，比如路由器自己的地址、服务器地址：
Router(config)# ip dhcp excluded-address 192.168.1.1 192.168.1.50这样配置完之后，接在交换机下的电脑选择自动获取 IP，就能拿到 192.168.1.51 以上的地址。这里有一个 Packet Tracer 里常见的坑：交换机如果开启了 DHCP Snooping 之类的功能，可能会影响终端获取地址。但模拟器里默认不会开启这些功能，所以大多时候你不需要考虑这个问题。
查看 DHCP 分配情况用 show ip dhcp binding，它会显示哪些设备的 MAC 地址分配到了哪个 IP、租期还剩多久。如果你发现某台设备始终获取不到地址，先确认路由器的 dhcp pool 是否建立成功，再看电脑的 IP 配置是否选择了 DHCP。
6. 排查指令三板斧与常见问题实录
6.1 ping、traceroute、show：排错的三板斧
遇到网络故障，我个人的排查顺序永远是“先 ping 再 traceroute 最后 show 配置”。这个顺序保证了你能快速定位问题出在哪一层、哪一个节点。
ping 用于测试最基本的连通性。它的输出里有几个关键指标：丢包率和往返时延。如果你 ping 不通，不要急着重置所有配置，先按这个思路来：ping 自己的接口地址，通则本地协议栈正常； ping 直连设备的地址，通则二层链路正常； ping 远端地址，通则三层路由正常。这样一级级往后推，问题很快就能圈定范围。
traceroute 指令在思科设备上简写为 trace，它用于查看数据包从源到目的经过的每一跳路由器。如果 ping 不通，trace 可以告诉你数据包卡在哪一跳。比如数据包经过了 R1 到达 R2，但从 R2 之后就没有回应了，那么问题很可能出在 R2 的路由表或者 R2 与下一跳之间的链路。
show 指令则是你最终的取证工具。show running-config 看配置、show ip route 看路由表、show interfaces 看接口状态、show mac address-table 看二层转发表。我见过不少人排错时像无头苍蝇，刷了一堆 show 指令却不知道自己在找什么。正确的做法是：先用 ping 和 trace 缩小范围，再用 show 指令去验证具体的怀疑点。
6.2 直连不通、VLAN 不生效等现场问题实录
我在带模拟项目时，收集了一批出现频率最高的报错场景和处理过程，整理成了下面的速查表。
| 问题现象 | 可能原因 | 排查方法 | 解决方案 |
|---|---|---|---|
| 两台直连设备互相 ping 不通 | 接口未激活，或 IP 网段不匹配 | show ip interface brief 检查接口状态和地址 | 确认接口配了 no shutdown，确认地址在同一网段 |
| 配置了 VLAN 但同 VLAN 内仍不通 | 接口没有被正确划入 VLAN，或者没有创建 VLAN | show vlan brief 查看接口归属 | 使用 switchport access vlan 指令重新划分 |
| 跨交换机同 VLAN 不通 | Trunk 链路没有正确配置 | show interfaces trunk 查看两端状态 | 两端都配置 switchport mode trunk |
| 配置了静态路由但不生效 | 下一跳地址不可达 | show ip route 查看路由表 | 先确保直连链路正常，再配置路由 |
| OSPF 邻居状态卡在 Init | 网络宣告范围不对，或 Hello 时间不匹配 | show ip ospf interface 查看接口状态 | 修正 network 指令的宣告范围 |
| ACL 配置后全网都不通 | 缺少末尾的 permit any | show access-lists 查看匹配次数 | 补上 permit ip any any |
| NAT 不生效，转换表为空 | inside/outside 方向标记错误 | show ip nat translations 和 statistics | 检查接口方向标记，检查匹配 ACL |
上面这些问题是 Packet Tracer 实验里最典型的故障场景。每个问题对应的解决时间通常在五分钟以内，关键是你得知道从哪里下手。
举个例子，有一次我在模拟器里搭了两台路由器互联的实验，配置完静态路由后死活不通。我 ping 直连地址是通的，说明二层链路正常，问题出在路由选择上。我执行 show ip route，发现路由器根本没有学习到对端网段的路由。我重新检查静态路由配置，发现下一跳地址写成了对端路由器还没配置地址的那个接口。下一跳不可达，路由器自然不认这条路由。这种问题在你理解了路由器的行为逻辑之后会发现很简单，但如果你不知道 show ip route 里的 S 和 S* 是什么意思，可能排查半天也找不到方向。
还有一次，我在配置交换机 VLAN 时遇到一个更隐蔽的问题。我把接口划进 VLAN 10 之后，show vlan brief 显示的接口归属正确，但主机之间就是不通。后来发现，两台主机虽然 IP 地址都在 192.168.10.0/24 网段，但我忘了给交换机加上管理 VLAN 的 SVI 接口地址。实际上，同 VLAN 内的主机通信走的是二层交换，不需要三层网关介入，按道理不该受 SVI 影响。真正的问题是，模拟器里我用了一台三层交换机，它默认开启了 IP 路由，而我的主机网关指向了交换机的管理地址，但 SVI 没有配置，所以主机发的跨网段报文找不到网关，看起来就像 VLAN 内通信故障。这个案例提醒我：不要只看单条指令的配置结果，要从终端设备的视角去验证整条数据链路的完整性。
6.3 提高排查效率的几条心得
排错这件事，经验积累的差别极大。这里分享几个我在平时实验中形成的习惯，希望能帮你少走弯路。
第一，改配置之前先备份。在 Packet Tracer 里这体现为先保存一份原有配置，或者在关键操作前用 show running-config 把当前配置截图留底。改错了之后可以对照恢复。
第二，一次只改一处，然后立即验证。很多人排错时一次性改了五六处配置，结果问题还在，根本不知道哪一步有效。正确的做法是每次只改一个可疑点，立即测试效果，有效就继续，无效就回滚。在模拟器里做这种操作成本极低，但很多人被命令行交互界面唬住了，反而忘了排错本身就是个“控制变量法”的过程。
第三，善用模拟模式做可视化排错。这是 Packet Tracer 区别于真机的最大优势。遇到数据包转发路径的问题，切到模拟模式，把 ICMP 和 OSPF 的报文放出来，跟着数据包一步一步走，看到它在哪里被丢弃，比你在命令行里猜半天高效得多。
第四，搭好实验环境后先测基线。什么意思？就是所有配置都没动之前，先做一轮连通性测试，确保物理链路和基础地址配置是通的。在这个阶段排查掉低级错误，后续配置路由和策略时就会省事很多。很多人一上来就配一堆东西，出了问题不知道是刚配的还是之前就埋下的雷，排查起来痛苦不堪。
7. 最后再分享几个实操小技巧
整个 Packet Tracer 练手过程中，有几个不起眼但非常影响效率的小技巧，一起写出来。第一个是 Tab 键补全。敲指令时按 Tab，设备会自动补全命令。比如你敲 conf t 然后按 Tab，如果系统能唯一识别，就会自动补成 configure terminal。这个习惯能大幅降低敲错指令的概率。
第二个是问号帮助。在任何模式下输入问号，设备会列出当前位置支持的所有指令。如果你不确定下一步能敲什么，问号就是你最好的老师。真实环境中这个技巧同样适用。
第三个是 Ctrl+Shift+6。在 Packet Tracer 和真实设备上，如果某个指令卡住了，比如 ping 一个不可达的地址等了很久，这个组合键可以中断当前操作，让你回到提示符。不过模拟器里卡住的情况不多，真实设备上反而更常用。
第四个是 show running-config 的过滤查看。如果配置很长，你可以直接输入 show running-config | include interface，只看包含 interface 关键字的行。竖线加 include 的过滤语法在排错时非常实用，能让你在海量配置里快速找到关键信息。
