HCIA企业级三层网络架构实战从规划到落地的10个关键配置步骤1. 企业网络架构设计基础现代企业网络通常采用经典的三层架构设计核心层、汇聚层和接入层。这种分层模型不仅提高了网络的可扩展性和管理效率还能更好地适应不同规模的业务需求。核心层作为网络的中枢主要负责高速数据转发和不同区域之间的流量交换。在本次实验中我们使用R1作为核心路由器承担内外网流量转发的关键角色。汇聚层通常部署在三层交换机上负责将接入层的流量进行汇总并转发到核心层。本实验中的S1交换机就承担了这一角色同时作为VLAN 10和VLAN 20的网关。接入层直接连接终端设备如PC、AP等。实验中的S2、S3和S4交换机属于这一层级负责终端设备的接入和基本的二层交换功能。提示在设计网络架构时应遵循80/20规则——80%的流量应在本地区域内完成只有20%的流量需要跨区域传输。2. VLAN规划与实施VLAN虚拟局域网是现代企业网络的基础技术之一它能有效隔离广播域提高网络的安全性和性能。在本实验中我们规划了以下VLANVLAN ID用途网关地址备注10内网用户10.1.10.7/24位于S1交换机20服务器区域10.1.20.7/24位于S1交换机254管理VLAN10.1.254.7/24用于网络设备管理17S1-R1互联10.1.17.7/24链路聚合专用VLAN关键配置步骤在S1上创建VLAN并配置网关接口vlan batch 10 20 254 17 interface Vlanif10 ip address 10.1.10.7 24 interface Vlanif20 ip address 10.1.20.7 24 interface Vlanif254 ip address 10.1.254.7 24在接入交换机上配置VLAN并分配端口# S2配置示例 vlan batch 10 254 interface GigabitEthernet0/0/1 port link-type access port default vlan 254 # AP连接端口3. 链路聚合与Trunk配置链路聚合LACP能提高带宽利用率和链路可靠性。本实验中我们在S1和R1之间部署了LACP链路聚合。配置步骤在R1上配置Eth-Trunk接口interface Eth-Trunk1 undo portswitch mode lacp-static trunkport GigabitEthernet0/0/1 trunkport GigabitEthernet0/0/2 ip address 10.1.17.1 24在S1上配置对应的Eth-Trunkinterface Eth-Trunk1 mode lacp-static trunkport GigabitEthernet0/0/1 trunkport GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 17交换机间Trunk配置以S1为例port-group group-member GigabitEthernet0/0/23 GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all4. OSPF路由协议部署OSPF作为企业网最常用的IGP协议能够提供高效的动态路由学习能力。本实验将所有设备部署在Area 0中。关键配置点S1上的OSPF配置ospf 1 area 0.0.0.0 network 10.1.10.0 0.0.0.255 network 10.1.17.0 0.0.0.255 network 10.1.20.0 0.0.0.255R1上的OSPF配置ospf 1 area 0.0.0.0 network 10.1.17.0 0.0.0.255 network 155.1.12.0 0.0.0.255优化建议在实际生产环境中应考虑划分多个OSPF区域减少LSDB规模提高收敛速度。5. 互联网接入与NAT配置企业网络访问互联网通常通过NAT技术实现既能节省公网IP地址又能提供一定的安全性。配置步骤在R1上配置默认路由和NAT地址池ip route-static 0.0.0.0 0 155.1.12.2 nat address-group 1 155.1.12.11 155.1.12.20配置出向NATacl 2000 rule permit source 10.1.10.0 0.0.0.255 interface GigabitEthernet0/0/0 nat outbound 2000 address-group 1发布内网服务器到公网interface GigabitEthernet0/0/0 nat server protocol tcp global 155.1.12.10 10080 inside 10.1.20.10 806. 无线网络部署现代企业网络离不开无线接入本实验采用ACAP的集中式架构部署WLAN。关键配置AC1上的基础配置vlan batch 10 254 interface Vlanif254 ip address 10.1.254.10 24WLAN业务配置capwap source interface Vlanif254 wlan ssid-profile name SSID_PRO ssid HUAWEI security-profile name SEC_PRO security wpa2 psk pass-phrase Huawei123 aes vap-profile name VAP_PRO forward-mode tunnel service-vlan vlan-id 10 ssid-profile SSID_PRO security-profile SEC_PROAP上线配置wlan ap AREA_1 ap-mac 00e0-fce6-3090 radio 0 vap-profile VAP_PRO wlan 1 radio 1 vap-profile VAP_PRO wlan 17. 访问控制与安全策略网络安全是企业网络设计中不可忽视的一环本实验通过ACL实现基本的安全控制。关键配置禁止外网ping和tracertacl 3000 rule deny icmp rule deny udp destination-port gt 33433 interface GigabitEthernet0/0/0 traffic-filter inbound acl 3000限制管理访问acl 2000 rule permit source 10.1.10.0 0.0.0.255 user-interface vty 0 4 acl 2000 inboundPPPoE安全认证# R4作为PPPoE服务器配置 aaa local-user USER password cipher HUAWEI local-user USER service-type ppp interface Virtual-Template1 ppp authentication-mode chap8. 广域网技术实现企业分支机构间通常通过广域网技术互联本实验实现了PPP和PPPoE两种典型配置。PPP配置R2作为PPP客户端配置interface Serial1/0/0 ppp pap local-user USER password simple HUAWEIR4作为PPP服务器配置aaa local-user USER password cipher HUAWEI interface Serial1/0/0 ppp authentication-mode papPPPoE配置R4作为PPPoE服务器interface Virtual-Template1 ip address unnumbered interface GigabitEthernet0/0/0 ppp authentication-mode chap interface GigabitEthernet0/0/0 pppoe-server bind virtual-template 1R5作为PPPoE客户端interface Dialer1 ip address ppp-negotiate ppp chap user USER ppp chap password simple HUAWEI mtu 1492 ppp ipcp default-route interface GigabitEthernet0/0/0 pppoe-client dial-bundle-number 19. DHCP服务部署自动分配IP地址能大大减少网络管理的工作量本实验在S1上部署了DHCP服务。配置步骤启用DHCP服务dhcp enable为AP分配固定IPinterface Vlanif254 dhcp select interface dhcp server static-bind ip-address 10.1.254.1 mac-address 00e0-fce6-3090为用户VLAN配置DHCPinterface Vlanif10 dhcp select interface dhcp server dns-list 155.1.2.1010. 网络优化与排错网络部署完成后还需要进行优化和排错确保网络运行在最佳状态。关键操作检查OSPF邻居状态display ospf peer验证NAT转换display nat session测试端到端连通性ping -a 10.1.10.10 155.1.12.10检查无线客户端状态display wlan client注意在实际网络运维中建议配置日志服务器和网络监控系统以便及时发现和解决问题。
HCIA综合实验：3层网络架构（内网/外网/个人网）组网实战与10大配置要点解析
HCIA企业级三层网络架构实战从规划到落地的10个关键配置步骤1. 企业网络架构设计基础现代企业网络通常采用经典的三层架构设计核心层、汇聚层和接入层。这种分层模型不仅提高了网络的可扩展性和管理效率还能更好地适应不同规模的业务需求。核心层作为网络的中枢主要负责高速数据转发和不同区域之间的流量交换。在本次实验中我们使用R1作为核心路由器承担内外网流量转发的关键角色。汇聚层通常部署在三层交换机上负责将接入层的流量进行汇总并转发到核心层。本实验中的S1交换机就承担了这一角色同时作为VLAN 10和VLAN 20的网关。接入层直接连接终端设备如PC、AP等。实验中的S2、S3和S4交换机属于这一层级负责终端设备的接入和基本的二层交换功能。提示在设计网络架构时应遵循80/20规则——80%的流量应在本地区域内完成只有20%的流量需要跨区域传输。2. VLAN规划与实施VLAN虚拟局域网是现代企业网络的基础技术之一它能有效隔离广播域提高网络的安全性和性能。在本实验中我们规划了以下VLANVLAN ID用途网关地址备注10内网用户10.1.10.7/24位于S1交换机20服务器区域10.1.20.7/24位于S1交换机254管理VLAN10.1.254.7/24用于网络设备管理17S1-R1互联10.1.17.7/24链路聚合专用VLAN关键配置步骤在S1上创建VLAN并配置网关接口vlan batch 10 20 254 17 interface Vlanif10 ip address 10.1.10.7 24 interface Vlanif20 ip address 10.1.20.7 24 interface Vlanif254 ip address 10.1.254.7 24在接入交换机上配置VLAN并分配端口# S2配置示例 vlan batch 10 254 interface GigabitEthernet0/0/1 port link-type access port default vlan 254 # AP连接端口3. 链路聚合与Trunk配置链路聚合LACP能提高带宽利用率和链路可靠性。本实验中我们在S1和R1之间部署了LACP链路聚合。配置步骤在R1上配置Eth-Trunk接口interface Eth-Trunk1 undo portswitch mode lacp-static trunkport GigabitEthernet0/0/1 trunkport GigabitEthernet0/0/2 ip address 10.1.17.1 24在S1上配置对应的Eth-Trunkinterface Eth-Trunk1 mode lacp-static trunkport GigabitEthernet0/0/1 trunkport GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 17交换机间Trunk配置以S1为例port-group group-member GigabitEthernet0/0/23 GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all4. OSPF路由协议部署OSPF作为企业网最常用的IGP协议能够提供高效的动态路由学习能力。本实验将所有设备部署在Area 0中。关键配置点S1上的OSPF配置ospf 1 area 0.0.0.0 network 10.1.10.0 0.0.0.255 network 10.1.17.0 0.0.0.255 network 10.1.20.0 0.0.0.255R1上的OSPF配置ospf 1 area 0.0.0.0 network 10.1.17.0 0.0.0.255 network 155.1.12.0 0.0.0.255优化建议在实际生产环境中应考虑划分多个OSPF区域减少LSDB规模提高收敛速度。5. 互联网接入与NAT配置企业网络访问互联网通常通过NAT技术实现既能节省公网IP地址又能提供一定的安全性。配置步骤在R1上配置默认路由和NAT地址池ip route-static 0.0.0.0 0 155.1.12.2 nat address-group 1 155.1.12.11 155.1.12.20配置出向NATacl 2000 rule permit source 10.1.10.0 0.0.0.255 interface GigabitEthernet0/0/0 nat outbound 2000 address-group 1发布内网服务器到公网interface GigabitEthernet0/0/0 nat server protocol tcp global 155.1.12.10 10080 inside 10.1.20.10 806. 无线网络部署现代企业网络离不开无线接入本实验采用ACAP的集中式架构部署WLAN。关键配置AC1上的基础配置vlan batch 10 254 interface Vlanif254 ip address 10.1.254.10 24WLAN业务配置capwap source interface Vlanif254 wlan ssid-profile name SSID_PRO ssid HUAWEI security-profile name SEC_PRO security wpa2 psk pass-phrase Huawei123 aes vap-profile name VAP_PRO forward-mode tunnel service-vlan vlan-id 10 ssid-profile SSID_PRO security-profile SEC_PROAP上线配置wlan ap AREA_1 ap-mac 00e0-fce6-3090 radio 0 vap-profile VAP_PRO wlan 1 radio 1 vap-profile VAP_PRO wlan 17. 访问控制与安全策略网络安全是企业网络设计中不可忽视的一环本实验通过ACL实现基本的安全控制。关键配置禁止外网ping和tracertacl 3000 rule deny icmp rule deny udp destination-port gt 33433 interface GigabitEthernet0/0/0 traffic-filter inbound acl 3000限制管理访问acl 2000 rule permit source 10.1.10.0 0.0.0.255 user-interface vty 0 4 acl 2000 inboundPPPoE安全认证# R4作为PPPoE服务器配置 aaa local-user USER password cipher HUAWEI local-user USER service-type ppp interface Virtual-Template1 ppp authentication-mode chap8. 广域网技术实现企业分支机构间通常通过广域网技术互联本实验实现了PPP和PPPoE两种典型配置。PPP配置R2作为PPP客户端配置interface Serial1/0/0 ppp pap local-user USER password simple HUAWEIR4作为PPP服务器配置aaa local-user USER password cipher HUAWEI interface Serial1/0/0 ppp authentication-mode papPPPoE配置R4作为PPPoE服务器interface Virtual-Template1 ip address unnumbered interface GigabitEthernet0/0/0 ppp authentication-mode chap interface GigabitEthernet0/0/0 pppoe-server bind virtual-template 1R5作为PPPoE客户端interface Dialer1 ip address ppp-negotiate ppp chap user USER ppp chap password simple HUAWEI mtu 1492 ppp ipcp default-route interface GigabitEthernet0/0/0 pppoe-client dial-bundle-number 19. DHCP服务部署自动分配IP地址能大大减少网络管理的工作量本实验在S1上部署了DHCP服务。配置步骤启用DHCP服务dhcp enable为AP分配固定IPinterface Vlanif254 dhcp select interface dhcp server static-bind ip-address 10.1.254.1 mac-address 00e0-fce6-3090为用户VLAN配置DHCPinterface Vlanif10 dhcp select interface dhcp server dns-list 155.1.2.1010. 网络优化与排错网络部署完成后还需要进行优化和排错确保网络运行在最佳状态。关键操作检查OSPF邻居状态display ospf peer验证NAT转换display nat session测试端到端连通性ping -a 10.1.10.10 155.1.12.10检查无线客户端状态display wlan client注意在实际网络运维中建议配置日志服务器和网络监控系统以便及时发现和解决问题。
