简介：这份资源面向正在学习企业网络设计与仿真的网络专业学生及运维初学者，聚焦接入层交换机的完整配置流程，帮助读者理解从设备命名、安全加固到VLAN划分与端口绑定的落地方法。压缩包共1个文件，为docx格式文档，大小约1.43MB，内容以图文结合方式呈现拓扑设计与命令行配置，便于对照实验环境逐步操作。文档围绕技术部接入交换机Jishubu-Switch展开，涵盖加密口令与VTY登录设置、终端超时与关闭DNS解析、VTP客户端模式及管理地址配置、access与trunk端口划分、native VLAN设定，以及通过MAC端口绑定防范ARP欺骗等要点，并延伸至核心层交换机的VLAN与VTP配置。已有2503人学习，适合作为课程实验、仿真练习或配置查阅的配套参考，帮助读者建立从接入层到核心层的整体配置思路。
1. 从一份 docx 开始：先把仿真环境装对，再谈配置
很多人拿到配套的网络拓扑配置文件.docx，第一反应是打开文档照着命令敲，结果在模拟器里连vlan database都敲不进去，或者 Trunk 起来了 VLAN 却不通。问题往往不在配置本身，而在环境没装对：模拟器版本、设备型号、模块插槽、串口时钟，任何一处对不上，后面全是玄学。这份资源是一套完整的企业网络设计与仿真配置记录，覆盖接入层交换机、双核心、服务器群、边界路由 NAT 和外网模拟，适合正在做网络课程设计、准备网络类认证实验，或者需要一套可复现拓扑练手的开发者。装不好会怎样？轻则 VTP 学不到 VLAN，重则整网不通还找不到黑匣子。下面按“装什么、怎么装、坏了怎么救”走一遍。
2. 装模拟器与建拓扑：版本、设备型号和模块先对齐
2.1 模拟器选型与版本取舍
这套配置里的命令风格是典型的 Cisco IOS 语法，vlan database模式、switchport trunk native vlan、channel-group 1 mode on这些写法，说明它面向的是较老的 IOS 版本。常见做法是选一款支持 Cisco IOS 的图形化网络模拟器，版本不要追最新，优先选社区里长期稳定、设备镜像齐全的版本。我一般会固定一个大版本不再升级，因为模拟器小版本更新经常换设备镜像，昨天能起来的 1841 今天可能就缺模块。
安装时注意两点：一是安装路径不要带中文和空格，二是首次启动后先别急着拖设备，去偏好设置里确认 IOS 镜像目录已经挂上。镜像文件通常需要单独准备，模拟器本体不带。版本差异上，新版本对串口和 NAT 的模拟更完整，老版本对vlan database这种旧模式兼容更好，如果文档里的命令敲不进去，先怀疑版本而不是手速。
2.2 按文档拓扑摆放设备与模块
拓扑里出现的设备类型很明确：接入层和核心层用以太网交换机，边界和 ISP 用 Cisco 1841 路由器，服务器群用普通服务器节点，终端用 PC。摆放时按图 4-1、图 4-5、图 4-8、图 4-26 的分区来，先放核心再放接入，最后接服务器和外网，这样连线不容易乱。
关键在模块。1841 默认没有串口，需要给它加 WIC 模块才能出现s0/0/0接口；交换机之间做端口汇聚要用到千兆口，选设备时确认有G0/1、G0/2。下面这段是检查设备接口是否就位的思路，不是配置命令，放在这里方便对照：
# 设备上电后进入特权模式，查看接口清单 enable show ip interface brief # 期望看到 f0/0、f0/1、s0/0/0 等接口，状态 initially down 属正常逻辑说明：show ip interface brief是排错第一命令，接口没出现说明模块没插或镜像不支持，接口出现但 protocol down 说明线没连对或对端没开。参数上不用改任何东西，纯粹是核对。我一般会把每个设备的接口清单截图存一份，后面配 Trunk 和 NAT 时直接对照，省得反复猜f0/4到底连的是哪台核心。
2.3 连线规则与串口时钟
交换机之间、交换机到路由器用以太网直连线，路由器到 ISP 的串口用串口线。串口有 DCE/DTE 之分，DCE 端要配时钟，文档里 ISP 的s0/0/0配了clock rate 2000000，说明 ISP 侧是 DCE。连线时如果两端都配时钟或都不配，链路起不来。
# ISP 路由器串口侧配置时钟（DCE 端） ISP(config)#interface s0/0/0 ISP(config-if)#clock rate 2000000 ISP(config-if)#no shutdown逻辑说明：clock rate只在 DCE 端生效，单位是 bps，2000000 即 2M。参数取舍上，仿真环境里这个值不影响功能，但两端速率不匹配时串口会报错。常见坑是把时钟配到了 DTE 端，命令能敲进去但不生效，链路依旧 down。建完拓扑先别配业务，逐条链路show interfaces看 up/up，这一步偷懒后面要还。
3. 接入层与核心层配置：VLAN、VTP 和 Trunk 的落地顺序
3.1 接入交换机的基础安全配置
文档里接入交换机先改名、配 enable secret、配 VTY 口令、设超时、关 DNS 解析。顺序有讲究：先改名再配口令，因为改名会重置提示符，口令配早了容易在旧提示符下敲错行。
enable configure terminal hostname Jishubu-Switch enable secret cisco line vty 0 4 password cisco login exec-timeout 5 0 exit no ip domain-lookup逻辑说明：enable secret是加密口令，优先级高于enable password，两者同时存在时 secret 生效；line vty 0 4表示 5 条远程登录线路；exec-timeout 5 0是 5 分 0 秒无操作自动断开，防止会话被占用；no ip domain-lookup关掉拼错命令时的 DNS 查询，否则敲错一个词要卡半分钟。参数上口令在生产环境当然不能是 cisco，仿真里保持和文档一致便于对照。这里有个血泪经验：exec-timeout配太短，配到一半被踢出去，未保存的配置全丢，我一般调试阶段先设 30 分钟，收尾再改回 5 分钟。
3.2 VTP 客户端与管理 VLAN
接入层通过 VTP 从核心学习 VLAN，所以接入交换机配成 client 模式，再给管理 VLAN 配地址。文档里管理地址在 VLAN 7，192.168.5.4/24。
vlan database vtp mode client exit configure terminal interface vlan 7 ip address 192.168.5.4 255.255.255.0 no shutdown exit逻辑说明：vlan database是旧版 IOS 的 VLAN 配置模式，新版本已改为全局vlan命令，这就是前面说的版本差异；vtp mode client让本机只学不建，VLAN 号必须和核心的 VTP 域一致才能同步。参数上管理地址要和核心的 VLAN 7 网关同网段，否则远程登录不通。常见坑是 VTP 域名没配或拼错，client 一直同步不到，show vtp status里域名显示为空就是它。
3.3 访问端口与 Trunk 端口
访问端口接终端，Trunk 端口上联核心。文档里f0/2-3划到 VLAN 6，f0/23-24划到 VLAN 7，f0/1和f0/4做 Trunk 且 native VLAN 为 7。
interface range f0/2-3 switchport mode access switchport access vlan 6 exit interface range f0/23-24 switchport mode access switchport access vlan 7 exit interface f0/1 switchport mode trunk switchport trunk native vlan 7 exit interface f0/4 switchport mode trunk switchport trunk native vlan 7 exit逻辑说明：switchport mode access强制端口为接入模式，避免协商成 Trunk 把终端流量打上标签；switchport trunk native vlan 7让未打标签的帧归到 VLAN 7，两端 native VLAN 必须一致，不一致会报 native VLAN mismatch 且部分流量静默丢弃。参数取舍上，native VLAN 默认是 1，改成 7 是为了管理流量走独立 VLAN，安全上更好，但要求所有 Trunk 对端同步改。我一般配完 Trunk 立刻show interfaces trunk看 native VLAN 那一列，两端对不上当场就能发现。
3.4 核心交换机 VLAN、VTP 与端口汇聚
核心是 VTP server，先建 VLAN 再配汇聚。文档里 VLAN 2 到 7 分别对应 servers、shichang、caiwu、renshi、jishu、manager。
vlan 2 name servers exit vlan 3 name shichang exit vlan 4 name caiwu exit vlan 5 name renshi exit vlan 6 name jishu exit vlan 7 name manager exit vlan database vtp domain gongsi vtp server exit逻辑说明：VLAN 命名是给人看的，但排查时show vlan brief一眼能认出部门，比记数字强；vtp domain gongsi是同步的前提，接入层 client 必须同域名。端口汇聚部分：
interface range G0/1-2 channel-group 1 mode on exit interface port-channel 1 switchport mode trunk switchport trunk encapsulation dot1q逻辑说明：channel-group 1 mode on是静态汇聚，不跑协商协议，两端都配 on 才生效；switchport trunk encapsulation dot1q在支持多种封装的老设备上必须先指定封装再配 Trunk，顺序反了会报错。参数上mode on简单但无协商保护，一端配错另一端不会告警，这是和 LACP 的主要差别。常见坑是汇聚成员口速率双工不一致，show etherchannel summary里显示 down，先把两端速率手工固定再试。
3.5 DHCP 中继与三层路由
核心上给各业务 VLAN 配ip helper-address指向 DHCP 服务器192.168.0.2，再开ip routing。
interface vlan 3 ip helper-address 192.168.0.2 exit interface vlan 4 ip helper-address 192.168.0.2 exit interface vlan 5 ip helper-address 192.168.0.2 exit interface vlan 6 ip helper-address 192.168.0.2 exit ip routing逻辑说明：DHCP 广播不能跨网段，ip helper-address把广播转成单播发给服务器；ip routing打开三层转发，核心才能给各 VLAN 做网关。参数上 helper 地址必须是 DHCP 服务器的真实地址，服务器换了要同步改。常见坑是只配了 helper 没开ip routing，PC 拿到地址却 ping 不通网关，现象很像 DHCP 故障，实际是路由没开。
4. 服务器群、边界路由与外网：NAT 和路由收口
4.1 服务器群地址规划
服务器网段192.168.0.1/24，DHCP、DNS、Web、FTP、Email 都在这段。文档里 DHCP 配地址池、DNS 加域名映射、Web 写 HTML、FTP 加用户和权限、Email 加用户。这些在模拟器里都是图形界面操作，没有命令行可抄，按图 4-9 到图 4-20 逐项填即可。
要点是地址别冲突：DHCP 服务器192.168.0.2，DNS 和 Web 各占一个，FTP 和 Email 再各占一个。我一般先画一张地址表再动手，比边配边想省事。域名映射里内网域名指向内网地址，外网域名指向 NAT 转换后的公网地址，这个区分后面测外网访问时很关键。
4.2 边界路由的 AAA 与接口
边界路由先配 AAA 本地认证，再配内外接口。
aaa new-model aaa authentication login default local username admin password admin interface f0/0 ip address 192.168.4.1 255.255.255.0 no shutdown exit interface s0/0/0 ip address 221.1.1.1 255.255.255.0 no shutdown逻辑说明：aaa new-model启用 AAA 框架，aaa authentication login default local表示登录认证走本地用户库；f0/0是内网侧，s0/0/0是外网侧。参数上本地用户名密码在仿真里够用，生产环境要接认证服务器。注意启用 AAA 后如果本地用户没建好就退出，可能把自己锁在外面，顺序是先建用户再开 AAA。
4.3 NAT 三种方式与端口标记
文档把静态、动态、端口复用都写了一遍，市场部用 overload。核心是地址池、访问列表、映射规则、内外端口四步。
ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 access-list 1 permit 192.168.8.0 0.0.7.255 ip nat inside source list 1 pool shichang overload interface s0/0/0 ip nat outside exit interface f0/0 ip nat inside exit逻辑说明：ip nat pool定义公网地址范围；access-list 1用通配符掩码匹配内网源地址，0.0.7.255对应192.168.8.0/21这个范围；overload启用端口复用，多个内网地址共用一个公网地址的不同端口；ip nat inside/outside标记方向，漏配任何一侧 NAT 都不生效。参数取舍上，静态 NAT 适合对外发布服务器，动态池适合部门分流，overload 适合地址紧张的场景。常见坑是访问列表写成了子网掩码而不是通配符，规则看着对但一条都匹配不上。
4.4 全网静态路由收口
最后把默认路由和回程路由补齐。
# 核心交换机指向边界路由 ip route 0.0.0.0 0.0.0.0 192.168.4.1 ip routing # 边界路由回指内网和外网 ip route 192.168.0.0 255.255.0.0 192.168.4.2 ip route 223.1.0.0 255.255.0.0 221.1.1.2逻辑说明：核心的默认路由下一跳是边界内口192.168.4.1；边界的回程路由指向核心192.168.4.2，外网段指向 ISP221.1.1.2。参数上掩码要和实际网段匹配，255.255.0.0覆盖整个192.168.x.x。常见坑是只配了去程没配回程，内网能出去但回不来，现象是 ping 外网超时、tracert 到边界就断。
5. 避坑与排查：五条装完才发现的坑
5.1 VTP 同步不到 VLAN
现象：接入交换机show vlan brief只有默认 VLAN，核心建的 VLAN 一个没学到。原因：VTP 域名不一致，或接入交换机配成了 transparent 模式，或 Trunk 没起来导致 VTP 通告过不去。解决：两端show vtp status对比域名和模式，先确保 Trunkshow interfaces trunk是 up，再核对域名拼写。
5.2 Trunk 两端 native VLAN 不一致
现象：部分 VLAN 通、部分不通，日志刷 native VLAN mismatch。原因：一端 native VLAN 是 7，另一端还是默认 1。解决：所有 Trunk 对端统一switchport trunk native vlan 7，改完show interfaces trunk确认 native VLAN 列一致。
5.3 端口汇聚起不来
现象：show etherchannel summary显示成员口 down 或独立。原因：两端 mode 不一致，或成员口速率双工不匹配，或成员口上还有残留的 access 配置。解决：两端都配mode on，成员口先清掉switchport access vlan之类配置，必要时手工固定速率双工。
5.4 NAT 配了但不转换
现象：内网 ping 外网不通，show ip nat translations为空。原因：访问列表通配符写错，或内外端口标记漏了一侧，或回程路由缺失。解决：先show access-lists看匹配计数有没有涨，再核对ip nat inside/outside，最后补回程路由。
5.5 串口链路 protocol down
现象：show interfaces s0/0/0物理 up、协议 down。原因：DCE 端没配时钟，或两端封装不一致。解决：确认哪端是 DCE 并配clock rate，两端封装保持默认 HDLC 一致。
6. 装完怎么验证：从 ping 到抓包逐层确认
验证不要一上来就 ping 外网，按层来。先看链路：每台设备show ip interface brief，所有应 up 的接口必须 up/up。再看二层：核心show vlan brief确认 VLAN 齐全，接入show vtp status确认已同步，所有 Trunkshow interfaces trunk确认允许列表包含业务 VLAN。然后看三层：核心show ip route应有直连网段和默认路由，边界应有内外回程。最后看服务：PC 用 DHCP 拿地址，ipconfig确认网关和 DNS 正确。
# 终端侧验证顺序 ipconfig /all # 确认 DHCP 拿到的地址、网关、DNS ping 192.168.5.1 # 先 ping 本 VLAN 网关 ping 192.168.0.2 # 再 ping 跨 VLAN 的 DHCP 服务器 ping 221.1.1.1 # 再 ping 边界外口，验证 NAT 前路径 ping 223.1.2.3 # 最后 ping 外网 Web，验证 NAT 和回程逻辑说明：逐跳 ping 能把故障定位到具体层，一次 ping 外网失败说明不了任何问题。参数上如果某跳不通，回到对应设备看接口、VLAN、路由、NAT 计数。我还会在边界路由上开debug ip nat看转换过程，确认地址池和列表真的命中，比盲猜快得多。
外网访问再补一步：外网 PC 访问公司域名，应解析到 NAT 转换后的221.1.1.3，能打开页面说明静态 NAT 和 DNS 映射都对。邮件和 FTP 用对应客户端或模拟器内置工具登录测试，重点看用户权限是否按文档配置生效。
从那以后我每次搭这类拓扑，都强制先跑一遍“接口清单—VLAN 同步—Trunk 一致—路由回程—逐跳 ping”这五步，任何一步没过就不往下配业务，省下的返工时间远比这五分钟多。这套配置文件和拓扑记录把每一步都留了痕迹，照着装、按层验，基本能一次跑通。希望帮到你。
本文还有配套的精品资源，点击获取
