小型园区网从零到精通

一、这个场景在解决什么问题

新园区开工，最常见的一组需求就这四条：

1. 两个部门（部门 A、部门 B）各自上网，二层要隔开，别让广播包互相串门；
2. 终端即插即用，IP 自动获取，不让IT天天填地址；
3. 内网用户能访问 Internet；
4. 有人私接小路由器或者随身 WiFi 时，网络不能被搞乱。

两台接入交换机（ACC1、ACC2）下挂各部门 PC，一台核心交换机（比如 S12700 这类框式设备）做汇聚和网关，再往上是一台出口路由器连运营商。核心同时兼任 DHCP Server。

二、组网拓扑说明

几个设计意图值得说清楚：

• 部门隔离靠 VLAN。部门 A 划进 VLAN 10，部门 B 划进 VLAN 20，二层就隔开了。CORE 上各建一个 VLANIF 当网关，三层互访走核心，可控可审计。
• 接交换机的口用 trunk，接 PC 的口用 access。多提一句：hybrid 是万能口，两种都能接，但新手建议别用，口径统一排查起来省事。
• ACC 到 CORE 用 Eth-Trunk 静态 LACP。两条链路捆一条逻辑链路，带宽翻倍，断一根线业务不掉。链路聚合有手工负载分担和静态 LACP 两种模式，这里选静态 LACP------有协商机制，两端配置不一致时会报出来，比手工模式更容易发现配置错误。
• CORE 与出口路由器之间走 VLAN 100（VLANIF100: x.x.100.1/24 对 Router 的 GE1/0/0: x.x.100.2/24），内外网互联就这一条三层链路，清晰。
• 管理面单独走。管理 VLAN 5，框式设备管理口是 Ethernet0/0/0，盒式是 MEth0/0/1。没有管理口的交换机，就用 VLANIF 做带内管理。

三、数据规划（先定表，再敲命令）

动手之前先把这张表填完，配置只是照表翻译：

项目	取值	备注
管理 VLAN	VLAN 5	管理 IP x.x.1.1/24
业务 VLAN	ACC1→VLAN 10，ACC2→VLAN 20	部门 A / 部门 B
CORE 互联 VLAN	VLAN 100	VLANIF100 对接出口路由器
Eth-Trunk 模式	静态 LACP	接入上行链路
DHCP Server	CORE	基于全局地址池
VLAN 10 地址池	ip pool 10	网关 x.x.10.1/24
VLAN 20 地址池	ip pool 20	网关 x.x.20.1/24
出口公网接口	GE0/0/1：1.1.1.2/30	运营商网关 1.1.1.1/30
DNS	8.8.8.8	按现网替换成运营商或内网 DNS
DHCP Snooping 信任口	Eth-Trunk1	只有上行口信任 DHCP 报文

说明一下地址写法：文中内网地址统一脱敏成 x.x.网段.主机位 的形式（比如核心与出口的互联地址写成 x.x.100.1 / x.x.100.2，部门 A 网段写成 x.x.10.0/24）。落地时按你们自己的地址规划把前两位补上即可，掩码、网关关系和命令结构不受影响。公网示例地址 1.1.1.1/30、DNS 8.8.8.8 也请一并替换。

四、配置步骤

以下命令按上面的数据规划整理，VRP 语法，字段和现网版本可能有出入，敲之前用 ? 核对一遍。

1. 登录设备、管理 IP 和 Telnet

新设备先用 Console 线进 CLI（缺省 9600bit/s、8 数据位、1 停止位、无流控无校验）。能进去之后，再配带内管理地址和 Telnet，以后就不用蹲机柜了。

做法是建一个管理 VLAN 5 并声明为 management-vlan，管理地址走 VLANIF5：

<HUAWEI> system-view
[HUAWEI] vlan 5
[HUAWEI-vlan5] management-vlan        //声明为管理VLAN
[HUAWEI-vlan5] quit
[HUAWEI] interface vlanif 5
[HUAWEI-vlanif5] ip address x.x.1.1 24
[HUAWEI-vlanif5] quit
[HUAWEI] interface GigabitEthernet 0/0/8      //假设此口连网管
[HUAWEI-GigabitEthernet0/0/8] port link-type trunk
[HUAWEI-GigabitEthernet0/0/8] port trunk allow-pass vlan 5
[HUAWEI-GigabitEthernet0/0/8] quit

Telnet 部分，新版本有两处坑，两条都得敲：

[HUAWEI] telnet server enable                 //出厂时是关闭的
[HUAWEI] telnet server-source -i vlanif 5     //V200R020及之后版本必配，否则Telnet不可用
[HUAWEI] user-interface vty 0 4
[HUAWEI-ui-vty0-4] protocol inbound telnet    //V200R007及之后缺省SSH，必须显式放开
[HUAWEI-ui-vty0-4] authentication-mode aaa
[HUAWEI-ui-vty0-4] idle-timeout 15
[HUAWEI-ui-vty0-4] quit
[HUAWEI] aaa
[HUAWEI-aaa] local-user admin password irreversible-cipher 你的密码
[HUAWEI-aaa] local-user admin privilege level 15
[HUAWEI-aaa] local-user admin service-type telnet

多提一句：Telnet 明文有安全风险，条件允许建议上 STelnet V2。内网管理网也罢，能加密就加密。

2. Eth-Trunk 与接口 VLAN

CORE 侧把去往 ACC1 的两条物理口捆成 Eth-Trunk1，模式选静态 LACP。推荐先建 Eth-Trunk，再进物理口把成员加进去（eth-trunk 1 这种从物理口"加入"的写法，比反过来在 trunk 下 trunkport 更不容易漏）：

[CORE] interface Eth-Trunk 1
[CORE-Eth-Trunk1] mode lacp
[CORE-Eth-Trunk1] port link-type trunk
[CORE-Eth-Trunk1] port trunk allow-pass vlan 10 20
[CORE-Eth-Trunk1] quit
[CORE] interface GigabitEthernet 0/0/1
[CORE-GigabitEthernet0/0/1] eth-trunk 1
[CORE-GigabitEthernet0/0/1] quit
[CORE] interface GigabitEthernet 0/0/2
[CORE-GigabitEthernet0/0/2] eth-trunk 1
[CORE-GigabitEthernet0/0/2] quit

ACC1 侧对称配置，下联 PC 的口是 access，顺手把边缘端口和 BPDU 保护也配上：

[ACC1] vlan batch 10
[ACC1] interface Eth-Trunk 1
[ACC1-Eth-Trunk1] mode lacp
[ACC1-Eth-Trunk1] port link-type trunk
[ACC1-Eth-Trunk1] port trunk allow-pass vlan 10
[ACC1-Eth-Trunk1] quit
[ACC1] interface GigabitEthernet 0/0/1
[ACC1-GigabitEthernet0/0/1] eth-trunk 1
[ACC1-GigabitEthernet0/0/1] quit
[ACC1] interface GigabitEthernet 0/0/3       //接PC的口
[ACC1-GigabitEthernet0/0/3] port link-type access
[ACC1-GigabitEthernet0/0/3] port default vlan 10
[ACC1-GigabitEthernet0/0/3] stp edged-port enable
[ACC1-GigabitEthernet0/0/3] quit
[ACC1] stp bpdu-protection

边缘端口这组配置别省。PC 口不设边缘端口，用户插拔网线或重启网卡时端口要经历 STP 收敛，终端要等 30 秒左右才有网；设了边缘端口立刻通。stp bpdu-protection 是给边缘端口上的保护------万一有人把交换机接到 PC 口，BPDU 会让端口 error-down 而不是形成环路。这个细节在第 5 节还会用到，它们是配套的。

CORE 上行连出口路由器的口是普通三层互联，用 access 口加 VLAN 100：

[CORE] vlan batch 100
[CORE] interface GigabitEthernet 0/0/20
[CORE-GigabitEthernet0/0/20] port link-type access
[CORE-GigabitEthernet0/0/20] port default vlan 100
[CORE-GigabitEthernet0/0/20] quit

容易踩的坑：LACP 是两端协商，一边 mode lacp 另一边保持默认手工模式，链路起不来或者只有部分成员转发。配完 display eth-trunk 1，两端 Selected 端口数对齐才算好。

3. DHCP：核心做 Server，全局地址池

[CORE] dhcp enable
[CORE] ip pool 10
[CORE-ip-pool-10] network x.x.10.0 mask 255.255.255.0
[CORE-ip-pool-10] gateway-list x.x.10.1
[CORE-ip-pool-10] dns-list 8.8.8.8
[CORE-ip-pool-10] quit
[CORE] ip pool 20
[CORE-ip-pool-20] network x.x.20.0 mask 255.255.255.0
[CORE-ip-pool-20] gateway-list x.x.20.1
[CORE-ip-pool-20] dns-list 8.8.8.8
[CORE-ip-pool-20] quit

网关接口上引用全局池（VLANIF20 同理，x.x.20.1/24 + dhcp select global）：

[CORE] interface Vlanif 10
[CORE-Vlanif10] ip address x.x.10.1 24
[CORE-Vlanif10] dhcp select global
[CORE-Vlanif10] quit

打印机、考勤机这类不适合地址浮动的东西，固定绑定一条命令搞定：

[CORE-ip-pool-10] static-bind ip-address x.x.10.254 mac-address a0b0-c0d0-e0f0

还有一个容易被当成"灵异事件"的现象：终端首次获取地址可能要等 30 秒甚至更久，但第二次就快了。原因在第 2 节埋过伏笔------STP 收敛。边缘端口能解决它。如果你们现场已经这样配了还慢，那就排查端口的 STP 状态，别急着重启 DHCP。

4. 路由：两台设备各一条缺省

CORE 上 VLANIF10、VLANIF20、VLANIF100 三个网关建好后，部门互访自动就通。去外网只差一条：

[CORE] ip route-static 0.0.0.0 0.0.0.0 x.x.100.2

出口路由器上，内网口、公网口、去运营商的缺省路由，然后是 NAT：ACL 2000 匹配内网网段，在公网口做 outbound 转换：

[Router] interface GigabitEthernet 1/0/0
[Router-GigabitEthernet1/0/0] ip address x.x.100.2 24
[Router-GigabitEthernet1/0/0] quit
[Router] interface GigabitEthernet 0/0/1
[Router-GigabitEthernet0/0/1] ip address 1.1.1.2 30
[Router-GigabitEthernet0/0/1] quit
[Router] ip route-static 0.0.0.0 0.0.0.0 1.1.1.1
[Router] acl 2000
[Router-acl-basic-2000] rule 5 permit source x.x.10.0 0.0.0.255
[Router-acl-basic-2000] rule 10 permit source x.x.20.0 0.0.0.255
[Router-acl-basic-2000] quit
[Router] interface GigabitEthernet 0/0/1
[Router-GigabitEthernet0/0/1] nat outbound 2000
[Router-GigabitEthernet0/0/1] quit

还有两条容易漏的：回程路由和 DNS。回程用明细路由，两个部门各一条（内网多了以后也可以汇总，但掩码别宽到把公网段盖进去）：

[Router] ip route-static x.x.10.0 255.255.255.0 x.x.100.1
[Router] ip route-static x.x.20.0 255.255.255.0 x.x.100.1
[Router] dns resolve
[Router] dns server 8.8.8.8
[Router] dns proxy enable

回程那条别漏。内网用户能发出去，但包回不来，现象是"ping 网关通、ping 8.8.8.8 不通"，新手经常在这里耗半小时。DNS 这三条让路由器自己当 DNS 代理，内网 PC 的 dns-list 指向网关也能解析，或者直接把 8.8.8.8 发给终端走运营商解析，两种都行，按现网口径选一种。

5. DHCP Snooping 和 IPSG：防私接的第一道闸

这是我认为这个案例里最值得学的一段。没有它，有人带个小路由器进办公室接上内网，PC 很可能从小路由拿到错误网关，半层楼的人上不了网，还查不出原因。

配置分三步，顺序别乱：先全局使能，再把上行口（Eth-Trunk1）设为信任口，最后在接 PC 的口启用 snooping。信任口的命令是 dhcp snooping trusted（不是 trust，很多老笔记里写的是旧写法）：

[ACC1] dhcp enable
[ACC1] dhcp snooping enable                  //全局使能，第一步
[ACC1] vlan batch 10
[ACC1] dhcp snooping enable                  //VLAN视图下也要使能
[ACC1] interface Eth-Trunk 1
[ACC1-Eth-Trunk1] dhcp snooping enable
[ACC1-Eth-Trunk1] dhcp snooping trusted      //上行口信任，第二步
[ACC1-Eth-Trunk1] quit
[ACC1] interface GigabitEthernet 0/0/3
[ACC1-GigabitEthernet0/0/3] dhcp snooping enable   //接PC口，第三步
[ACC1-GigabitEthernet0/0/3] quit

效果：非信任口收到的 DHCP 服务器报文（Offer、ACK）直接丢弃，私接的小路由发不出地址，终端只会从 CORE 拿到正确配置。

IPSG 再加一层，把"合法终端"固化下来。在 VLAN 视图里开，基于 DHCP 动态绑定：

[ACC1] vlan 10
[ACC1-vlan10] ip source check user-bind enable
[ACC1-vlan10] quit

开了之后，PC 口发出的报文会比对源 IP 和 MAC，跟绑定表对不上的直接丢。私设静态 IP 冒用别人地址、随便改网关这些路子，到这里就堵死了。

信任口一定设在上行。设反了，DHCP 报文全被丢，整个部门拿不到地址------这是这一步最常见的事故。另外注意顺序：snooping 配置要在终端正常获取地址之后不影响业务，但 IPSG 依赖绑定表，先通 DHCP 再开 IPSG，不然表是空的。

6. 业务验证与保存

验证思路是从二层到三层、从近到远，照着顺序来，哪里断一眼就能看出来：

先在接入层验证二层通：同一部门的 PC 互 ping（比如部门 A 两台终端互 ping，走 VLAN 10 内转发，不经过网关）。

再验证三层互访：部门 A 的 PC ping 部门 B 的 PC，能通说明 CORE 上的 VLANIF 网关都正常。

最后验证出口：PC ping 公网网关 1.1.1.1，通则 NAT 和路由都正常，浏览器开网页确认 DNS 解析没问题。

设备侧再看几眼：

display eth-trunk 1                   # LACP 协商状态，Selected 端口数
display ip pool name 10 used          # 地址池分配情况
display dhcp snooping configuration   # snooping 信任口与使能情况
display ip routing-table              # 路由表

都没问题之后，save 保存配置，确认 y。这条我不想多解释，只想说每一次"回头再存"的结局通常都不太好。

五、常见问题与注意事项

LACP 协商不起来。 九成是两端模式不一致，或者成员口的速率双工不一致。display eth-trunk 1 看 Selected 端口数，对不齐就查两端配置。

PC 拿到的是 169.254.x.x。 DHCP 链路断了。按顺序查：全局和 VLAN 视图的 snooping 是否都使能、信任口是不是设在上行 Eth-Trunk1、VLAN 有没有放行、地址池网段和 VLANIF 是否一致、display ip pool 里池子还剩多少。

终端第一次获取地址等了 30 秒。 这是 STP 收敛在起作用。接 PC 的口配 stp edged-port enable + 全局 stp bpdu-protection 就好，别去关 STP。

ping 通网关，ping 不通外网。 先看出口路由器有没有回程路由，再看 NAT 的 ACL 有没有放行你们网段。这是小型园区最经典的"半通"故障。

Telnet 死活连不上。 新版本三件事缺一不可：telnet server enable（出厂默认关）、telnet server-source -i vlanif 5（V200R020 之后必配）、vty 下 protocol inbound telnet（新版本缺省只放 SSH）。

私接小路由导致部分人断网。 就是没配 DHCP Snooping，或者信任口设错。配好后私接设备的 DHCP Offer 在接入端口就被丢了。

密码和设备版本。 案例里的密码、DNS、地址段全部要换成你们自己的；部分命令与设备版本有关（本文标注了几处），以设备上的 ? 帮助为准。

六、总结：本案例用到的华为技术

把整个案例拆完，其实就四件事：先规划、再隔离、后互通、加防护。数据规划表定好了 IP 和 VLAN，配置就只是照表翻译。按出场顺序，把用到的技术过一遍，每一项在现网出现频率都很高：

• VLAN / VLANIF：VLAN 把一台物理交换机切成多个广播域，部门隔离靠它；VLANIF 是 VLAN 的三层接口，充当网关。二层隔离、三层互访，园区网的地基。

• 链路聚合（Eth-Trunk + 静态 LACP）：把多条物理链路捆成一条逻辑链路，带宽叠加、单链路故障业务不中断；静态 LACP 有协商机制，两端配置对不上会报出来，比手工模式好排障。

• DHCP（全局地址池 + static-bind）：终端即插即用，IP 自动下发；打印机、考勤机这类地址不能浮动的设备，用 static-bind 按 MAC 绑死。

• 静态路由：CORE 和出口路由器各一条缺省路由打通内外网，出口路由器上再补两条回程明细。小规模网络里，静态路由简单可控。

• NAT（nat outbound + ACL）：ACL 2000 匹配内网网段，在公网口做 outbound 转换，让私网地址共享公网出口上网，中小园区最常用的出口方案。

• DHCP Snooping：在接入层把非信任口收到的 DHCP 服务器报文直接丢弃，私接小路由发不出地址，从源头杜绝错误网关。

• IPSG（ip source check user-bind）：基于 DHCP 绑定表校验报文的源 IP 和 MAC，对不上的直接丢包，私设静态 IP、冒用地址的路子全堵死。

• STP 边缘端口 + BPDU 保护：接终端的口设成边缘端口，跳过 30 秒收敛即插即通；bpdu-protection 防止有人把交换机误接到终端口形成环路。

• AAA + Telnet（server-source）：设备远程管理的基本盘。新版本要记三件事：telnet server enable、server-source 绑定管理接口、vty 下放开 protocol inbound，缺一不可。

七、下期预告

下一期把这个案例往上抬一级，升级成中小型园区网络，重点讲两块：

• OSPF 进场：组网从"单核心"变成"核心 + 汇聚"两层后，静态路由撑不住了。下一期讲 OSPF 怎么规划区域、network 怎么宣告、邻居起不来时按什么顺序排查，给出完整配置和排障命令。
• 链路聚合进阶：LACP 优先级怎么控制主动端、负载分担模式怎么按流量特征选、Eth-Trunk 当二层口和三层口两种用法分别适合什么场景。

如果你正好在做园区网改造，可以先把这一篇的骨架跑通，下期直接往上加。有疑问欢迎评论区交流。