1. 企业级网络搭建实战：从零开始规划拓扑
第一次用Cisco Packet Tracer搭建企业网络时，我对着空白画布发呆了半小时——该用哪些设备？怎么连线？后来踩过几次坑才发现，拓扑规划就像盖房子的地基，前期规划越细致，后期配置越轻松。
1.1 设备选型与物理连接
企业网络通常需要这些核心设备：
- 核心交换机：建议用3560三层交换机，支持VLAN间路由
- 接入层交换机：2960二层交换机就够用
- 路由器：1841型号性价比高，支持NAT和动态路由
- 服务器：别忘了添加DHCP和DNS服务器
连线时有个容易踩的坑：路由器与交换机之间要用交叉线（图中红色虚线），而交换机和PC之间用直通线（图中实线）。我在早期实验中总用错线类型，导致端口指示灯不亮。
1.2 IP地址规划的艺术
根据场景需求，我们需要划分这些网段：
- 服务器区：10.10.10.0/29（可用IP：10.10.10.1-10.10.10.6）
- 内网VLAN：
- VLAN10：192.168.31.0/26（主机需求50台）
- VLAN20：192.168.31.64/27（主机需求25台）
- Net1：192.168.31.96/26（主机需求60台）
这里有个实用技巧：用IP计算器工具（比如SolarWinds的子网计算器）快速验证子网容量。曾经我手动计算时漏算网关地址，导致最后少一个可用IP。
2. 基础配置：让设备"开口说话"
2.1 交换机的VLAN魔法
配置VLAN是隔离广播域的关键。以S1交换机为例：
Switch> enable Switch# configure terminal Switch(config)# hostname S1 // 修改设备名 S1(config)# vlan 10 S1(config-vlan)# name Sales S1(config-vlan)# exit S1(config)# interface range f0/2-11 S1(config-if-range)# switchport mode access S1(config-if-range)# switchport access vlan 10 S1(config-if-range)# exit S1(config)# interface g0/1 S1(config-if)# switchport mode trunk // 配置中继端口常见坑点：忘记配置trunk端口会导致VLAN跨交换机不通。有次排查两小时，最后发现是这里漏配了。
2.2 路由器的接口配置
路由器是不同网络间的"翻译官"，配置时要特别注意子网掩码：
Router> enable Router# configure terminal Router(config)# hostname R1-zhangsan // 按要求命名 R1(config)# interface f0/0 R1(config-if)# ip address 192.168.31.1 255.255.255.192 // VLAN10网关 R1(config-if)# no shutdown R1(config-if)# interface f0/1 R1(config-if)# ip address 192.168.31.65 255.255.255.224 // VLAN20网关3. 高级服务配置：让网络"活"起来
3.1 DHCP服务自动化分配
配置DHCP时最容易出错的是地址池范围。根据题目要求，Net1需要60个地址：
R1(config)# ip dhcp pool Net1_Pool R1(dhcp-config)# network 192.168.31.96 255.255.255.192 R1(dhcp-config)# default-router 192.168.31.97 // 网关地址 R1(dhcp-config)# dns-server 10.10.10.1 R1(dhcp-config)# lease 7 // 租约7天避坑指南：地址池要排除已静态分配的IP。有次测试时发现IP冲突，就是因为没加这条：
R1(config)# ip dhcp excluded-address 192.168.31.97 // 排除网关地址3.2 RIP动态路由配置
配置RIP时被动接口是关键，否则会发送不必要的广播：
R1(config)# router rip R1(config-router)# version 2 // 一定要用版本2 R1(config-router)# network 192.168.31.0 R1(config-router)# passive-interface f0/0 // 禁止从VLAN接口发RIP R1(config-router)# default-information originate // 分发默认路由实测中发现，如果漏配passive-interface，Wireshark会抓到大量无用RIP广播包。
4. 安全与排错：守护网络边界
4.1 NAT配置让内网访问互联网
NAPT配置需要ACL和NAT语句配合：
R2(config)# access-list 1 permit 192.168.31.0 0.0.0.255 // 定义内网网段 R2(config)# ip nat inside source list 1 interface f0/1 overload R2(config)# interface f0/0 R2(config-if)# ip nat inside // 指定内网接口 R2(config-if)# interface f0/1 R2(config-if)# ip nat outside // 指定外网接口排错技巧：用show ip nat translations查看转换表，有次发现NAT失效，原来是ACL写错了网段。
4.2 防火墙策略配置
题目要求禁止外网访问内网，这需要配置ACL：
R2(config)# access-list 100 deny ip any 192.168.31.0 0.0.0.255 R2(config)# access-list 100 permit ip any any R2(config)# interface f0/1 R2(config-if)# ip access-group 100 in // 应用在外网接口入方向最后测试时，建议从内网PC执行四项关键测试：
- ping同VLAN其他主机
- ping不同VLAN主机
- ping服务器区Web服务器
- 浏览器访问www.sina.com.cn
记得用copy running-config startup-config保存配置，我有次做完实验忘保存，重启模拟器后全没了。
