简介：这份资源面向正在学习企业网络设计与仿真的网络专业学生及运维初学者，聚焦接入层交换机的完整配置流程，帮助读者理解从设备命名、安全加固到VLAN划分与端口绑定的实现思路。压缩包内共1个docx文档，约1.43MB，以图文结合的方式记录拓扑配置细节，便于对照实验环境逐步复现。目前已有2503人学习下载，具备一定的参考基础。文档围绕技术部接入交换机Jishubu-Switch展开，涵盖hostname命名、enable secret与VTY登录口令、终端超时及关闭DNS解析等安全设置，并讲解VTP客户端模式、管理VLAN地址分配、access与trunk端口配置、native VLAN设定，以及通过MAC端口绑定防范ARP欺骗的具体命令。读者可据此掌握接入层交换机的配置逻辑与排错要点，为课程实验、毕业设计或企业网络仿真提供可直接借鉴的配置范本。
1. 从一份“能跑起来”的拓扑配置说起
做企业网络仿真这类课设或毕设，最尴尬的场面不是不会配，而是设备全绿、ping 却不通，翻遍笔记也说不清是哪一层断了。这份配套网络拓扑配置文件，解决的正是这个痛点：它把接入层、核心层、服务器群、边界路由到外网的一整套配置按设备逐条落下来，读者拿到手就能对照拓扑复现。适合两类人——正在交网络设计课设、需要一份结构完整可参考配置的学生，以及要出一版中小企业内网仿真交付方案的从业者。关键词“网络拓扑”在这里不是画一张图，而是图、VLAN 规划、地址段、路由与 NAT 策略能互相对上号。
2. 需求与总体设计：双核心、三层结构、七个 VLAN 怎么落
企业内网仿真最容易翻车的地方，是拓扑画得漂亮但地址规划自相矛盾。这套方案先把需求钉死：技术部、市场部、财务部、人事部四个业务部门，加服务器群和网管区，要求部门间二层隔离、跨部门三层互通、全员能自动拿地址、内网能访问外网且外网只能看到转换后的地址。围绕这些需求，结构定为接入层—核心层—服务器群—边界—外网五段，核心层放两台交换机做冗余，这是整套配置的骨架。
2.1 三层结构与设备角色划分
接入层每部门一台交换机，负责终端接入和端口安全；核心层两台 Core-Switch 承担 VLAN 间路由、DHCP 中继和默认路由出口；服务器群网段 192.168.0.0/24 集中放 DHCP、DNS、Web、FTP、Email；边界路由器 Border-R 做 NAT 与内外网分界；ISP 路由器模拟运营商。这个划分的好处是职责单一：接入层只管“谁能进来”，核心层只管“怎么转发”，边界只管“怎么出去”。排障时按段定位，不用一上来就怀疑全网。
2.2 VLAN 与地址规划表
VLAN 规划是整套配置的地基，先定表再敲命令，能省掉后面大量返工。下表按项目正文的 VLAN 编号与命名整理，地址段按各部门独立子网、网管区单独成段的思路补全：
| VLAN | 名称 | 用途 | 地址段 | 网关位置 |
|---|---|---|---|---|
| 2 | servers | 服务器群 | 192.168.0.0/24 | 核心层 |
| 3 | shichang | 市场部 | 192.168.1.0/24 | 核心层 SVI |
| 4 | caiwu | 财务部 | 192.168.2.0/24 | 核心层 SVI |
| 5 | renshi | 人事部 | 192.168.3.0/24 | 核心层 SVI |
| 6 | jishu | 技术部 | 192.168.8.0/24 | 核心层 SVI |
| 7 | manager | 网管区 | 192.168.5.0/24 | 核心层 SVI |
网管主机固定 192.168.5.1 与 192.168.5.2，接入交换机管理地址落在 192.168.5.0/24 段内（如技术部接入交换机为 192.168.5.4），这样远程登录和带外管理走同一网段，维护路径清晰。地址表一旦定下来，后面所有 DHCP 地址池、NAT 地址池、ACL 通配符都从这张表推导，不再临时拍脑袋。
2.3 冗余与转发路径设计
核心层双机是这套方案的可靠性来源。两台 Core-Switch 之间用 G0/1、G0/2 做端口汇聚，形成 Port-Channel 1 并配成 Trunk，既提升带宽又避免单链路故障。接入交换机 f0/1 与 f0/4 分别上联两台核心，两条 Trunk 同时存在，native VLAN 统一设为 7。核心层开启ip routing，各业务 VLAN 的 SVI 作为网关，默认路由指向边界路由器 192.168.4.1；边界路由器回程路由指向核心层 192.168.4.2。整条路径是“终端 → 接入 access 口 → Trunk → 核心 SVI → 默认路由 → 边界 → NAT → ISP”，每一跳都有明确下一跳，不存在悬空路由。
提示：双核心场景下，两台核心的 VLAN 数据库、SVI 地址、路由配置必须保持一致，否则终端漫游到另一台核心上联时会拿到错误网关。
3. 接入层与核心层配置：从命名到端口安全的逐条落地
配置这件事，顺序比命令本身更重要。我一般按“命名与安全 → VLAN 与 VTP → 端口角色 → 三层与中继 → 路由”推进，每完成一段就write一次，避免配到一半断电全丢。下面按这个顺序把接入层和核心层的关键配置拆开讲，命令来自项目正文，参数含义和改动点逐条说明。
3.1 接入交换机基础安全配置
先给设备起名，维护人员登录第一眼就知道这是哪个部门的设备。技术部接入交换机命名为 Jishubu-Switch，其余部门同理替换前缀即可：
Switch>en Switch#config t Switch(config)#hostname Jishubu-Switch Jishubu-Switch(config)#enable secret cisco Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#password cisco Jishubu-Switch(config-line)#login Jishubu-Switch(config-line)#exec-timeout 5 0 Jishubu-Switch(config)#no ip domain-lookupenable secret是加密的特权口令，优先级高于enable password，实际交付时把 cisco 换成强口令；line vty 0 4覆盖 5 个远程登录会话，exec-timeout 5 0表示 5 分 0 秒无操作自动断开，防止会话被占用；no ip domain-lookup关掉拼错命令时的 DNS 解析等待，敲错命令不再卡十几秒，这是血泪经验里最不起眼但最省时间的一条。
3.2 VTP 客户端与管理地址
接入层不本地维护 VLAN 表，而是作为 VTP client 从核心层学习，减少手工同步出错：
Jishubu-Switch#vlan database Jishubu-Switch(vlan)#vtp mode client Jishubu-Switch(config)#int vlan 7 Jishubu-Switch(config-if)#ip add 192.168.5.4 255.255.255.0 Jishubu-Switch(config-if)#no shutVTP 模式必须在vlan database模式下设置，client 模式只学习不修改，域名要与核心层的gongsi一致，否则学不到任何 VLAN。管理地址放在 VLAN 7 的 SVI 上，no shut不能漏，SVI 默认是 shutdown 状态，漏了这条远程登录必然失败。
3.3 访问端口与 Trunk 端口
端口角色决定流量走向。终端接入口配成 access 并划入对应 VLAN，上联口配成 trunk 承载多 VLAN：
Jishubu-Switch(config)#int range f0/2-3 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 6 Jishubu-Switch(config)#int range f0/23-24 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 7 Jishubu-Switch(config)#int f0/1 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7 Jishubu-Switch(config)#int f0/4 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7f0/2-3 划入 VLAN 6 接技术部终端，f0/23-24 划入 VLAN 7 接网管设备；f0/1 和 f0/4 分别上联两台核心，native VLAN 统一为 7，两端必须一致，不一致时 Trunk 会报 native VLAN mismatch 并可能引发 VLAN 泄漏。这里有个容易忽略的点：native VLAN 上的帧不打标签，所以它天然是一个“无标签通道”，把它单独划给管理流量比留给默认 VLAN 1 更安全。
3.4 MAC 端口绑定防 ARP 欺骗
重要终端做端口安全，把 MAC 与端口锁死，ARP 欺骗类攻击就难以从该口注入伪造应答：
Jishubu-Switch(config)#int f0/23 Jishubu-Switch(config-if)#switchport port-security Jishubu-Switch(config-if)#switchport port-security mac-address 0002.1628.24B9先开port-security再绑 MAC，顺序反了会报错；默认违规动作是 shutdown，端口被攻击触发后会进入 err-disabled，恢复需要shutdown再no shutdown。实际部署时建议同时配switchport port-security maximum 1，把“一个口只允许一台设备”写死，比只绑 MAC 更彻底。
3.5 核心层 VLAN、VTP 与端口汇聚
核心层是 VLAN 信息的源头，先建 VLAN 再起 VTP server，顺序不能反：
Core-Switch1(config)#vlan 2 Core-Switch1(config-vlan)#name servers Core-Switch1(config)#vlan 3 Core-Switch1(config-vlan)#name shichang Core-Switch1(config)#vlan 6 Core-Switch1(config-vlan)#name jishu Core-Switch1(config)#vlan 7 Core-Switch1(config-vlan)#name manager Core-Switch1#vlan database Core-Switch1(vlan)#vtp domain gongsi Core-Switch1(vlan)#vtp serverVLAN 命名用拼音缩写，维护时一眼对应部门，比纯数字友好得多。VTP 域名gongsi是全网点，任何一台交换机域名不一致都会导致 VLAN 学习失败，这是排查“核心有 VLAN、接入没有”时的第一检查项。
端口汇聚把两条物理链路合成一条逻辑链路：
Core-Switch1(config)#int range G0/1-2 Core-Switch1(config-if-range)#channel-group 1 mode on Core-Switch1(config)#int port-channel 1 Core-Switch1(config-if)#switchport mode trunk Core-Switch1(config-if)#switchport trunk encapsulation dot1qmode on表示强制汇聚、不协商，两端必须都配 on，一端 on 一端 active 会起不来；encapsulation dot1q要在配 trunk 模式之前或同时确认，部分平台顺序错了会拒绝命令。汇聚口起来后，带宽翻倍且单纤故障不断网，这是双核心冗余真正生效的前提。
3.6 DHCP 中继与三层路由
终端跨网段拿地址，靠的是核心层 SVI 上的 DHCP 中继，把广播请求转成单播送给服务器 192.168.0.2：
Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 4 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#ip routing每个业务 VLAN 的 SVI 都要配 helper-address，漏一个部门就整段拿不到地址；ip routing是核心层能转发跨 VLAN 流量的开关，不开的话 SVI 再多也只是摆设。Core-Switch2 按同样逻辑配置，保证任一核心故障时业务不中断。
4. 服务器群、边界 NAT 与全网路由：内外网怎么打通
内网通了只是半成品，能不能按设计访问外网、外网能不能正确回包，才是验收的分水岭。这一段把服务器群、边界 NAT 和静态路由串起来，重点讲清楚“为什么这么配”而不是“照着敲”。
4.1 服务器群的角色分工
服务器群集中在 192.168.0.0/24，DHCP 服务器地址 192.168.0.2，负责给四个业务 VLAN 下发地址；DNS 服务器维护内网域名到 IP 的映射；Web 服务器承载公司站点与部门站点；FTP 服务器按用户和权限区分员工区与技术部专区；Email 服务器建用户邮箱。每台服务器先配静态 IP、掩码、网关，网关指向核心层对应 SVI，这一步错了后面全白搭。DHCP 地址池要与 2.2 的地址表严格对应，池名、网段、网关、DNS 四项缺一不可。
4.2 边界路由器的 NAT 三种玩法
边界路由器 Border-R 的 f0/0 接内网 192.168.4.1/24，s0/0/0 接 ISP 221.1.1.1/24。NAT 按需求分三类落地：对外发布服务器用静态转换，部门上网用动态地址池加端口复用：
Border-R(config)#ip nat inside source static 192.168.0.4 221.1.1.3 Border-R(config)#ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 Border-R(config)#access-list 1 permit 192.168.8.0 0.0.7.255 Border-R(config)#ip nat inside source list 1 pool shichang overload Border-R(config)#int s0/0/0 Border-R(config-if)#ip nat outside Border-R(config)#int f0/0 Border-R(config-if)#ip nat inside静态转换把内网 Web 服务器 192.168.0.4 固定映射到 221.1.1.3，外网访问这个地址就等于访问内网站点；动态池给市场部一段公网地址，overload表示端口复用，多个内网地址共用一个公网地址的不同端口，节省地址；ACL 1 的通配符0.0.7.255覆盖 192.168.8.0/21 范围，写 ACL 时通配符算错是 NAT 不生效的头号原因。最后ip nat inside与ip nat outside必须分别落在内外接口上，漏配任何一侧，NAT 表都不会建立。
4.3 全网静态路由收口
路由收口的原则是“核心默认往外指，边界明细往回指”：
Core-Switch1(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.1 Core-Switch1(config)#ip routing Border-R(config)#ip route 192.168.0.0 255.255.0.0 192.168.4.2 Border-R(config)#ip route 223.1.0.0 255.255.0.0 221.1.1.2核心层一条默认路由把未知流量全部交给边界，边界用一条汇总路由 192.168.0.0/16 指回核心，覆盖全部内网网段；再加一条去往外网服务器段 223.1.0.0/16 的路由指向 ISP。三条路由构成闭环，任何一条缺失都会表现为“单向通”：能出去回不来，或者能回来出不去。Core-Switch2 同样配默认路由，保证冗余路径上的转发一致。
5. 避坑与排查：五类最容易翻车的配置问题
仿真环境里设备状态全绿但业务不通，八成栽在下面几类问题上。每条按“现象 → 原因 → 解决”给，照着查比盲目重配快得多。
5.1 Trunk 两端 native VLAN 不一致
现象是部分 VLAN 通、部分不通，日志里反复出现 native VLAN mismatch 告警。原因是接入层上联口 native VLAN 设为 7，而核心层对应口仍是默认 VLAN 1，无标签帧被归到不同 VLAN。解决办法是两端统一switchport trunk native vlan 7，改完shutdown再no shutdown让端口重新协商。
5.2 VTP 域名或模式配错导致 VLAN 学不到
现象是核心层show vlan有全部 VLAN，接入层只有默认 VLAN 1。原因通常是接入层 VTP 域名与核心层gongsi不一致，或者误配成 transparent 模式。解决是先show vtp status核对域名与模式，client 端域名改一致后等待通告同步，必要时在核心层触发一次 VLAN 变更促使通告发出。
5.3 DHCP 中继漏配或地址池网段错位
现象是某部门终端拿不到地址，显示 169.254 开头的自动私有地址。原因要么是该 VLAN 的 SVI 漏了ip helper-address，要么 DHCP 地址池的网段、网关与 SVI 对不上。解决是逐 VLAN 核对 helper-address，再在 DHCP 服务器上show ip dhcp binding看是否有该网段的租约记录，两边对不上就改池。
5.4 NAT 内外接口标反或 ACL 通配符算错
现象是内网能 ping 通边界内口、ping 不通外网地址，或者外网访问映射地址无响应。原因是ip nat inside与ip nat outside标在了错误接口，或者 ACL 通配符范围没覆盖实际网段。解决是用show ip nat translations看有没有转换表项，没有就查接口标记；有表项但地址不对就重算通配符，记住通配符是掩码取反，不是掩码本身。
5.5 端口安全触发 err-disabled 后不会恢复
现象是某接入口突然不通，show interfaces显示 err-disabled。原因是该口绑定了 MAC，接入了一台非授权设备触发违规动作 shutdown。解决是先拔掉非授权设备，再对该口执行shutdown和no shutdown恢复；如果确实要换设备，先no switchport port-security mac-address清掉旧绑定再重新绑。
注意：每次改完配置先
write再测试，仿真器崩溃或超时退出时，未保存的配置会全部丢失，这是最冤的一种返工。
6. 验收与答辩：用一张测试表把方案讲圆
验收不是把设备点亮就完事，而是拿证据证明“设计目标逐条达成”。我一般会做一张测试表，按连通性、冗余、安全、外网访问四类各挑代表性用例，逐条记录预期与实际。答辩时这张表就是你的讲解主线，比从头念配置有说服力得多。
| 测试项 | 方法 | 预期结果 |
|---|---|---|
| 部门内互通 | 同 VLAN 两台 PC 互 ping | 通，延迟稳定 |
| 跨部门互通 | 技术部 ping 财务部 | 通，经核心层转发 |
| 地址自动获取 | 终端设为 DHCP 后ipconfig | 拿到对应网段地址与网关 |
| 冗余切换 | 断开一条上联 Trunk 后重测 | 业务不中断 |
| 端口安全 | 非授权设备接入绑定口 | 端口 err-disabled |
| 外网访问 | 内网 PC 访问映射地址 | 页面正常打开 |
| 外网回程 | 外网 PC 访问 221.1.1.3 | 命中静态映射 |
答辩时按“需求 → 设计 → 配置 → 测试”四段讲，每段控制在两三分钟：先讲为什么这么划分 VLAN 和双核心，再挑接入层和 NAT 两处配置讲关键参数，最后把测试表投出来逐行过。评委最爱问的两个问题是“为什么用 VTP 而不是手工建 VLAN”和“NAT 三种方式分别用在哪”，提前把答案压在 2.3 和 4.2 的逻辑里，答起来就顺。被问到没做的部分，坦白说这是仿真范围的取舍，比硬编强。
有个习惯我后来一直保留：每次交付前，把整份配置从空设备重新敲一遍，不看原稿，敲到哪卡住就说明那里理解不牢。第一次这么干的时候，我在 VTP 域名上卡了半小时，才发现自己一直以为配对了。从那以后我每次做网络方案，都强制走一遍“空机复现 + 测试表逐项打勾”的流程，配置能跑只是及格，能讲清楚每一跳为什么这么走才算交付。希望这套结构和配置能帮到你，拿去改改部门名和地址段，就是一份能交的完整方案。
本文还有配套的精品资源，点击获取
