思科综合实验报告：从拓扑设计到验收证据链的完整路线

简介：计算机网络思科综合性实验报告是一份面向网络工程专业学生与初学者的实验文档，完整记录校园网内外通信的配置过程。内容涵盖VLAN划分、DHCP服务配置、子网规划、路由器接口与时钟设置、RIPv2动态路由以及IP地址分配等核心知识点，并通过三层交换机、出口路由器Ri/Rj等设备命令给出可复现的实验步骤。报告从拓扑设计入手，逐步展示从设备连接、接口IP配置到交换端口模式设定的操作细节，适合用来对照学习思科设备基础命令、理解局域网常见组网方式。

该压缩包内共有1个doc文件，大小223KB，为一份完整实验报告文档。已有2077人浏览或学习，实用性获得一定认可。

通过这份报告，读者可以快速掌握交换机与路由器的基本配置方法，理解VLAN与子网划分在实际组网中的用途，并能模仿其思路规划小型校园网络。文档中详细的分步命令行记录，也为课后复习或课程作业参考提供了便利。

1. 思科综合实验报告到底是什么：一份拓扑、四类配置、两个小时验收压力的完整交付

期末前一周你才会拿到“综合性实验”的题目：一张 A4 纸，要求用思科设备搭一个多部门的企业网，VLAN、路由、DHCP、ACL 最好一样不少。计算机网络思科综合性实验报告，就是把这个拓扑从设计、配置到验收全流程留下来。很多同学最后交了一堆命令行截图，被老师一句话打回：“这是配置记录，不是实验报告。”这篇内容把这份报告从需求翻译、设备选型、配置路径、证据留痕到常见翻车点拆成一条能照做的路线，适合期末复习、实习考核，也适合正在准备网络方向面试、想用真实案例把八股题串起来的人。读完之后你会发现，综合实验报告值钱的不是命令本身，而是你证明“网络真的按设计跑起来”的那套证据链。

2. 动手前把方案定死：把题目要求翻译成网络拓扑、IP 规划与设备选型

2.1 从题目要求提取技术指标：VLAN 数量、路由协议、冗余与安全要求

综合性实验的题目一般不会直接写“给我配 VLAN”，而是给一段公司背景：两栋楼、三个部门、财务网要求隔离、内网自动获取地址、出口一条专线到总部。你得先把这段业务描述翻译成技术指标。我习惯的做法是拿一张草稿纸，把题目里每一个名词划出来，对应成一张功能列表。

比如“两栋楼”对应汇聚或核心层设备可能放在主楼，另一栋楼通过 Trunk 或路由连回来；“三个部门”对应至少三个 VLAN，部门之间默认可以不互通；“财务要求隔离”对应 ACL 或私有 VLAN；“自动获取地址”对应 DHCP 服务；“专线上行”对应边界路由器加一条默认路由或 OSPF 外部路由。把这些翻译成表格，报告第一章的需求分析就不用瞎编。

这一步做完，你已经比大多数直接开模拟器的人领先。实验报告最怕的就是配置做完了才发现题目要求“双出口冗余”而你只做了单出口，返工成本极高。需求提前锁死，后面所有的命令都是按表执行，不用临场改。

2.2 设备与模块怎么挑：2960 做接入、3560 做三层、2811 做边界的不对称搭配

思科模拟器里常见的设备就那么几款，但很多人把设备选错，导致后面命令敲不进去。综合实验的标配我一般这样搭：接入交换机用 Catalyst 2960，汇聚或三层交换机用 Catalyst 3560，边界路由器用 Cisco 2811。选型理由不是越贵越好，而是各干各的活。

2960 是纯二层设备，支持 VLAN、Trunk、STP，但不支持ip routing，你想在上面配 SVI 并让 VLAN 间路由，命令会被直接拒绝。3560 是三层交换机，支持ip routing、SVI、OSPF，适合做汇聚层，把 VLAN 间的路由压力留在交换侧。2811 是集成多业务路由器，带两个千兆电口，还能加 WIC 模块扩展串口，用来做出口 NAT、DHCP 和默认路由。选型的关键原则是：接口数量先数清楚，每个设备需要几个物理接口，再对照设备型号。

有个容易踩的坑：2811 默认没有串行接口，模拟器里你要先把设备拖进拓扑，再打开物理选项卡把 WIC-2T 模块拖进插槽，关掉设备电源才能安装模块。很多人在配置里写interface serial 0/0/0然后报错，就是因为没装模块。真实设备的选型同样看模块位置，思科路由器一旦开机再插模块往往需要重新加载，模拟器里则要求先关机再装。

2.3 IP 规划先于配置：网段划分、网关落位与地址分配表的写法

有了拓扑和功能表，下一步就是 IP 规划。综合实验报告里，这张表是老师第一眼会看的东西。规划的原则是：每个 VLAN 一个独立网段，网关地址统一落在三层交换机或路由器的 SVI 上，服务器和打印机用静态地址，终端用 DHCP。

以三部门为例，我常用一个最直观的规划：VLAN 10 行政用 192.168.10.0/24，VLAN 20 财务用 192.168.20.0/24，VLAN 30 技术用 192.168.30.0/24，三层设备互联用一个 10.0.0.0/30 的点到点网段。每个网段的 .1 做网关，.2 到 .100 做 DHCP 地址池，.100 以上留作静态设备。这样的好处是，后面 ACL 写来源和目的地址时，网段语义非常清楚，报告也能直接写“财务网段为 192.168.20.0/24，网关 .1”。

网段规划表（示例） ------------------------------------------------------------------ VLAN | 名称 | 网段 | 网关 | 地址分配方式 10 | Admin | 192.168.10.0/24 | 192.168.10.1 | DHCP 池 .10-.200 20 | Fin | 192.168.20.0/24 | 192.168.20.1 | DHCP 池 .10-.200 30 | Tech | 192.168.30.0/24 | 192.168.30.1 | DHCP 池 .10-.200 WAN | 出口 | 10.0.0.0/30 | 10.0.0.1 | 静态互联 ------------------------------------------------------------------

这份规划表同时决定了你在模拟器里的连线方式：终端的默认网关写 SVI 地址，而 SVI 的地址就来自这张表。不要把规划和配置混在一起做，否则后面 DHCP 地址池和 helper-address 会全部错位。我一般在报告里把这张表放到第二章，标题就叫“IP 地址规划表”，后面所有配置截图都引用这张表里的地址，这样整个报告是自洽的。

3. 从交换机到路由器逐条敲命令：VLAN、Trunk、SVI、OSPF、DHCP 与 ACL 的完整配置路径

3.1 接入层配置：VLAN 创建、Access 端口与 Trunk 链路的安全写法

接入层交换机是最先要配的。把 2960 命名为 SW-A，先创建 VLAN，再把连接终端的接口划进对应的 Access VLAN，最后上联接口做 Trunk。命令看起来简单，但顺序有讲究：先建 VLAN，再划接口，避免接口引用不存在的 VLAN。

# 接入交换机 SW-A 基础配置 Switch> enable Switch# configure terminal Switch(config)# hostname SW-A SW-A(config)# vlan 10 SW-A(config-vlan)# name Admin SW-A(config-vlan)# exit SW-A(config)# vlan 20 SW-A(config-vlan)# name Fin SW-A(config-vlan)# exit SW-A(config)# interface range fa0/1-10 SW-A(config-if-range)# switchport mode access SW-A(config-if-range)# switchport access vlan 10 SW-A(config-if-range)# exit SW-A(config)# interface range fa0/11-20 SW-A(config-if-range)# switchport mode access SW-A(config-if-range)# switchport access vlan 20 SW-A(config-if-range)# exit # 上联到汇聚交换机 SW-A(config)# interface fa0/24 SW-A(config-if)# switchport mode trunk SW-A(config-if)# switchport trunk allowed vlan 10,20,30 SW-A(config-if)# end

上面的命令要注意switchport mode trunk与switchport trunk allowed vlan的关系。很多初学同学只配了 mode trunk，但没有跑 allowed 命令，默认情况下 Trunk 会承载所有 VLAN，这在综合实验里不是错误，但如果你想让某个业务 VLAN 不过某条链路，就必须显式限制。报告里建议把这条命令写全，并加一句注释，说明“该 Trunk 只承载 10、20、30 三个业务 VLAN，避免管理 VLAN 和业务 VLAN 混跑”。这比光贴命令更有说服力。

3.2 三层交换与 SVI：用一台 3560 替代路由器做 VLAN 间通信

在综合实验里，VLAN 间路由优先放在三层交换机上做，而不是把每个 VLAN 的网关放到路由器子接口上。原因是三层交换机转发性能更好，也更贴近真实企业网的核心层设计。3560 上需要先开启ip routing，然后为每个 VLAN 创建 SVI 接口并配置 IP。

# 汇聚交换机 SW-C（3560） Switch> enable Switch# configure terminal Switch(config)# hostname SW-C SW-C(config)# ip routing SW-C(config)# vlan 10 SW-C(config-vlan)# name Admin SW-C(config-vlan)# exit SW-C(config)# vlan 20 SW-C(config-vlan)# name Fin SW-C(config-vlan)# exit SW-C(config)# vlan 30 SW-C(config-vlan)# name Tech SW-C(config-vlan)# exit SW-C(config)# interface vlan 10 SW-C(config-if)# ip address 192.168.10.1 255.255.255.0 SW-C(config-if)# no shutdown SW-C(config-if)# exit SW-C(config)# interface vlan 20 SW-C(config-if)# ip address 192.168.20.1 255.255.255.0 SW-C(config-if)# no shutdown SW-C(config-if)# exit SW-C(config)# interface vlan 30 SW-C(config-if)# ip address 192.168.30.1 255.255.255.0 SW-C(config-if)# no shutdown SW-C(config-if)# exit # 上联接口，与接入层之间走 Trunk SW-C(config)# interface gig0/1 SW-C(config-if)# switchport trunk encapsulation dot1q SW-C(config-if)# switchport mode trunk SW-C(config-if)# end

这里有一个关键参数：switchport trunk encapsulation dot1q只出现在部分交换机型号上。真实环境里，有的旧型号还支持 ISL 封装，如果你在下一条链路用的协议不一致，Trunk 就起不来。Packet Tracer 里的 3560 默认支持 dot1q，但 2960 上不需要也不允许敲这条命令。所以配置前先确认设备型号，不要同一套命令无脑粘贴。ip routing是整个三层交换的灵魂，漏掉它，SVI 地址配得再漂亮，VLAN 之间也是 ping 不通的。

3.3 边界路由：OSPF 动态宣告 + 默认路由 + NAT 的配合方式

汇聚交换机内部路由已经能跑，但跨三层设备和出口边界还需要动态路由。综合性实验里最稳的组合是：汇聚交换机与边界路由器之间跑 OSPF，边界路由器向内部宣告默认路由，内网用户通过 PAT 共享出口上网。这样报告既有动态路由协议的证据，又有 NET 的实用场景。

# 汇聚交换机 SW-C 上启用 OSPF SW-C(config)# router ospf 1 SW-C(config-router)# router-id 1.1.1.1 SW-C(config-router)# network 192.168.10.0 0.0.0.255 area 0 SW-C(config-router)# network 192.168.20.0 0.0.0.255 area 0 SW-C(config-router)# network 192.168.30.0 0.0.0.255 area 0 SW-C(config-router)# network 10.0.0.0 0.0.0.3 area 0 SW-C(config-router)# exit

# 边界路由器 Router 2811 Router> enable Router# configure terminal Router(config)# hostname Border-R Border-R(config)# interface gig0/0 Border-R(config-if)# ip address 10.0.0.2 255.255.255.252 Border-R(config-if)# no shutdown Border-R(config-if)# exit Border-R(config)# interface gig0/1 Border-R(config-if)# ip address 200.1.1.1 255.255.255.248 Border-R(config-if)# no shutdown Border-R(config-if)# exit # 回程路由：让出口下一跳能把流量带回内网 Border-R(config)# ip route 192.168.10.0 255.255.255.0 10.0.0.1 Border-R(config)# ip route 192.168.20.0 255.255.255.0 10.0.0.1 Border-R(config)# ip route 192.168.30.0 255.255.255.0 10.0.0.1 # OSPF 向内部宣告默认路由 Border-R(config)# router ospf 1 Border-R(config-router)# router-id 2.2.2.2 Border-R(config-router)# network 10.0.0.0 0.0.0.3 area 0 Border-R(config-router)# default-information originate Border-R(config-router)# exit # NAT 出口：内网网段共享公网地址 Border-R(config)# access-list 1 permit 192.168.0.0 0.0.255.255 Border-R(config)# ip nat inside source list 1 interface gig0/1 overload Border-R(config)# interface gig0/0 Border-R(config-if)# ip nat inside Border-R(config-if)# exit Border-R(config)# interface gig0/1 Border-R(config-if)# ip nat outside Border-R(config-if)# end

注意 OSPF 和静态路由不能互相冲突。这里内部网段通过 OSPF 宣告，出口默认路由由边界路由器注入，两边配合而不是重复配置。还有一个容易翻车的点：ip route的下一跳是 10.0.0.1，也就是汇聚交换机与边界路由器互联的接口地址；如果下一跳写错成 SVI 的网管地址，回程路由会在 OSPF 收敛前失效。NAT 配置里overload就是 PAT，多个内网地址共用一个出口 IP，这也是报告里需要写清楚的一句话：NAT 与 PAT 的区别在实验报告里是加分项。

3.4 DHCP 跨网段与 ACL 策略：让不同部门互相隔离又拿到地址

DHCP 服务放在边界路由器上，但业务 VLAN 的网关在三层交换机上，客户端发的是广播请求，过不了三层。你需要三层交换机上的 SVI 配置ip helper-address指向 DHCP 服务器，也就是边界路由器的地址。这个设计既符合真实网络对 DHCP 集中管理的要求，也能在报告里体现你对广播域的理解。

# 三层交换机 SW-C 上配置 DHCP 中继 SW-C(config)# interface vlan 10 SW-C(config-if)# ip helper-address 10.0.0.2 SW-C(config-if)# exit SW-C(config)# interface vlan 20 SW-C(config-if)# ip helper-address 10.0.0.2 SW-C(config-if)# exit SW-C(config)# interface vlan 30 SW-C(config-if)# ip helper-address 10.0.0.2 SW-C(config-if)# end

# 边界路由器 Border-R 上配置 DHCP 地址池 Border-R(config)# ip dhcp excluded-address 192.168.10.1 Border-R(config)# ip dhcp excluded-address 192.168.20.1 Border-R(config)# ip dhcp excluded-address 192.168.30.1 Border-R(config)# ip dhcp pool VLAN10-Pool Border-R(dhcp-config)# network 192.168.10.0 255.255.255.0 Border-R(dhcp-config)# default-router 192.168.10.1 Border-R(dhcp-config)# dns-server 200.1.1.2 Border-R(dhcp-config)# exit Border-R(config)# ip dhcp pool VLAN20-Pool Border-R(dhcp-config)# network 192.168.20.0 255.255.255.0 Border-R(dhcp-config)# default-router 192.168.20.1 Border-R(dhcp-config)# dns-server 200.1.1.2 Border-R(dhcp-config)# exit Border-R(config)# ip dhcp pool VLAN30-Pool Border-R(dhcp-config)# network 192.168.30.0 255.255.255.0 Border-R(dhcp-config)# default-router 192.168.30.1 Border-R(dhcp-config)# dns-server 200.1.1.2 Border-R(dhcp-config)# exit

注意excluded-address的作用：把网关地址排除在自动分配范围外，避免 DHCP 把网关地址发出去造成地址冲突。DNS 服务器地址我在这里写的是公网侧地址的下一跳，实际上如果你的模拟环境没有 DNS 服务，客户端获取地址后解析域名会失败，但不影响 DHCP 和路由实验验收。有人习惯把 DNS 写成 8.8.8.8，也可以，但报告里要说明这只是演示用的公网 DNS，不是实验环境的规划地址。

ACL 是“综合”实验里拉开差距的部分。以财务网段隔离为例，目标是禁止 VLAN 20 访问 VLAN 10 和 VLAN 30，但允许其他流量通行。ACL 的方向和位置决定了你写的是否有效：

# 在三层交换机 SW-C 上配置 ACL，并应用到 VLAN 20 的入方向 SW-C(config)# access-list 101 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 SW-C(config)# access-list 101 deny ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 SW-C(config)# access-list 101 permit ip any any SW-C(config)# interface vlan 20 SW-C(config-if)# ip access-group 101 in SW-C(config-if)# end

这里in方向表示检查从该 VLAN 进入三层交换机的流量，防止财务网段主动访问其他部门。但要注意，如果题目要求“其他部门也不能访财务”，这不是一条 ACL 能解决的，你需要在 VLAN 10 和 VLAN 30 的 SVI 入方向分别加策略。很多同学只配一条就认为双向隔离了，这在报告里会被老师一眼看穿。配置完成后，建议用show access-lists查看命中计数，用这个计数作为实验证据，比纯文字“我配了 ACL”有说服力得多。

4. 实验记录做成“可验收”：连通性验证、抓包证据与故障注入的报告写法

4.1 把验证步骤做全：ping、tracert、show 命令三种证据链

配置结束后，报告最薄弱的地方往往不是配置，而是验证。只贴ping成功的截图只能说明“通了”，不能说明“为什么通”。我会把验证分成三层：第一层用ping和tracert验证端到端连通性；第二层用show ip route、show vlan、show interface trunk验证控制平面；第三层用抓包验证数据平面行为。每一层都截图并配上简短说明。

先做连通性验证。在终端 PC 上 ping 不同 VLAN 的网关和服务器地址，在路由器上tracert跟踪路径。这里有一个容易被忽略的点：tracert的结果能证明报文经过哪些设备，也就是路由路径；而ping只证明可达。报告里如果你同时给出ping和tracert，就能回答“路由是怎么走的”。

PC-A 上验证 VLAN 10 到 VLAN 30 的路径： PC> ping 192.168.30.1 Reply from 192.168.30.1: bytes=32 time<1ms TTL=63 PC> tracert 192.168.30.1 Tracing route to 192.168.30.1 1 192.168.10.1 2 192.168.30.1

然后看交换机上的协议状态：

SW-C# show ip route SW-C# show ip ospf neighbor SW-C# show ip interface brief | include Vlan SW-C# show access-lists

这几条show命令是报告里最值钱的截图素材。show ip route可以同时看到直连路由和 OSPF 路由；show ip ospf neighbor证明动态邻居关系建立成功；show access-lists里如果命中的包计数在增长，说明 ACL 真的在起作用。技巧是：先执行ping制造流量，再执行show access-lists，计数会明显增加，截图也更有说服力。

4.2 用抓包证明广播域隔离和路由行为，而不是只贴 ping 结果

模拟器里抓包验证是综合性实验报告的加分项。Cisco Packet Tracer 的“模拟模式”或者仿真模式可以捕获不同接口的报文。我用抓包主要验证三个点：广播域隔离、VLAN Tag 变化、ACL 丢弃行为。

验证广播域隔离时，让 VLAN 10 的 PC 发起ping广播或 DHCP 请求，抓取接入交换机到汇聚交换机之间的 Trunk 口，你会看到带有 802.1Q 标记的帧，以及 VLAN 10 的广播没有出现在 VLAN 20 的接口上。这个截图比写一百句“VLAN 隔离了广播域”都管用。验证路由行为时，在边界路由器出接口抓一个 ping 包，你会看到源地址被改写成了出口 IP，这就是 PAT 的肉眼证据。验证 ACL 时，在 SVI 接口上抓包，对比show access-lists的计数，能直观看到被丢弃的包。

报告里这些截图不需要多，三到四张就够了，但每张下面要写清“抓包位置、观察到的现象、结论”三行字。我看到过不少报告截图一大堆，却没有一行解释，等于白贴。抓包的逻辑比你写满五页 ping 日志要有价值得多。老师判断你是不是真懂网络，看的不是你截了多少图，而是你能不能解释一个数据包从 PC 到服务器的全过程。

4.3 故障注入与恢复记录：报告里最能拉开差距的部分

综合实验报告的优秀模板里一定有一个章节叫“故障排查记录”，或者叫“实验过程中遇到的问题”。这个章节很多人只写一句“本实验一切正常”，这是最大的浪费。实际上在配置过程中你一定遇到过问题，把这些问题如实记录下来，并写出排查思路，报告的价值立刻不一样。

我一般会在报告里设计两到三个故障场景。第一个是接入层 Trunk 忘配导致终端拿不到地址，现象是 PC 的 DHCP 一直失败，排查过程是检查show interface trunk，发现接口状态不在 Trunk 模式，修复后恢复。第二个是 OSPF 路由不生效，现象是两个网段 ping 不通，排查show ip ospf neighbor发现邻居没建立，原因是互联地址网段不一致，修改后恢复。第三个是 ACL 方向写反，现象是财务网段照样能访问其他部门，排查show access-lists发现拒绝计数一直是 0，修改为入方向后恢复。

这三个故障是我在真实项目中反复见过的场景，模拟器里也完全能复现。医疗过程写的步骤越多，报告越可信。但注意，故障注入不是让你刻意破坏拓扑，而是在报告里说清楚“什么故障、怎么定位、怎么解决、恢复后怎么验证”。这个“故障——排查——解决——复验”闭环，就是实验报告从及格到优秀的分水岭。

5. 思科模拟器与综合实验的避坑清单：从 8001 端口到命令被拒的五个真实翻车点

5.1 模拟器打不开、8001 端口无法继续：服务被占用和版本不兼容

很多同学下载好思科模拟器，装完却发现设备启动不了，或者点击路由器时弹出提示说无法打开 8001 端口。这个“8001 端口”一般是模拟器内部服务需要绑定的本地端口，如果被其他程序占用，设备就不能正常启动。从老师的反馈看，这几乎是每年的常见问题。

遇到这个问题的做法是：在 Windows 命令行里执行netstat -ano | findstr :8001查看占用进程，再用tasklist找到 PID 对应的程序，结束进程后重启模拟器。如果端口没有占用还是报错，可能是模拟器版本和系统环境不兼容，卸载后换一个版本安装。注意，这个问题和你的网络配置完全无关，不要为这个原因去动操作系统防火墙，更不要折腾驱动和网络服务。

C:\Windows\system32>netstat -ano | findstr :8001 TCP 127.0.0.1:8001 0.0.0.0:0 LISTENING 8844 C:\Windows\system32>tasklist | findstr 8844 javaw.exe 8844 Console 1 245,678 K C:\Windows\system32>taskkill /PID 8844 /F

如果占用进程是 javaw.exe，基本就是另一个 Java 应用占用了端口。结束进程再启动模拟器一般就好了。如果重启模拟器后 8001 端口还是起不来，再查一次是否又被同一个进程抢回。这个坑讲清楚了，至少能省下半天安装时间。

5.2 命令敲不进去、接口不存在：模式、硬件模块和 IOS 版本三件事

“Invalid input detected” 是配置过程中最常见的报错。现象可能是你在接入交换机上敲ip routing，设备直接拒绝；也可能是敲interface serial 0/0/0，报接口不存在；还有人敲了命令但show running-config里看不到。原因无外乎三种：模式不对、硬件模块没装、IOS 不支持。

先说模式。只有进入全局配置模式才能配置接口和路由协议，接口模式下无法创建 SVI。看到提示符里的括号就能判断：(config)#才能敲全局命令，(config-if)#只能敲接口命令。再说硬件模块。2811 默认不带串口，Packet Tracer 里必须在关机状态下插入 WIC-2T 模块，开机后interface serial 0/0/0才会存在。最后说版本。Packet Tracer 内置的 2960 是纯二层设备，IOS 不支持ip routing，这时候换 3560 而不是硬敲。

修这个问题的顺序我一般是这样：先show version看设备型号，再show ip interface brief看接口列表，最后判断题目的设备角色应该是什么。不要为了一个设备型号卡住整个实验，设备选型是设计阶段的事，配置阶段发现型号不对直接在拓扑里更换即可。

5.3 拓扑连线变红、链路起不来：选错端口类型和 Trunk 封装

连线是 Packet Tracer 里最简单也最容易翻车的操作。现象是链路状态一直红色，或者设备启动后插网线显示 red 或 down。常见原因有两个：连接端口选错了，或者 Trunk 封装不匹配。

Packet Tracer 里点链路后要选端口类型，同一个设备上有多组接口，比如 2960 的 fa0/0 和 gi0/1 是不同介质，你选了设备 A 的 fa0 口，设备 B 上却选成 gi 口，模拟器会默认用交叉线或直连线，但状态可能不对。补救办法是删除链路后重新连接，注意先点源设备再点目标设备，或者反过来，保持一致。另一个常见原因是 Trunk 的两端需要一致的封装方式，3560 默认 dot1q，但如果对端 2960 的设置把 trunk 给限制掉了，接口会 down。看show interfaces trunk确认两端的 native VLAN 和 allowed VLAN 一致。

如果一端显示 trunk 而另一端是 down： 先查对端接口 shutdown 状态，再查两端封装，最后看 allow vlan。

还有一点，Packet Tracer 里链路刚连上时显示黄色，是 STP 收敛过程，几秒后变成绿色。不要看到黄色就删掉重连。综合实验里接入层设备一多，STP 收敛造成的延迟是正常现象，等待几秒即可。

5.4 ping 通但报告没有说服力：截图少了协议状态和关键信息

这是报告被批“太浅”的核心原因。现象是配置全对、终端互 ping 全通，但老师给的评语却是“实验过程不完整，缺少分析”。问题不在模拟器，在证据链。只有 ping 的反馈窗口，没有设备协议状态，就相当于你只给了结论，没给过程。

我见过最典型的翻车案例是：整篇报告贴了二十张 ping 截图，ACL 部分一句验证都没有。老师问“ACL 到底生效没有”，学生答不上来，因为根本没有show access-lists的计数截图。这里我给一个可直接照搬的清单：VLAN 部分截show vlan；Trunk 部分截show interfaces trunk；路由协议截show ip route和show ip ospf neighbor；NAT 部分截show ip nat translations；ACL 部分截show access-lists并保证计数器有数字。每个截图都要和本次实验的目标对应起来，和目标无关的截图不如不放。

5.5 实验内容和题目要求对不上：缺少安全策略、冗余或多出口

另一个让报告丢分的点不是配置错误，而是内容覆盖不全。题目写了“要求财务网段与其他网段隔离”，你只在文字里说“实现了隔离”，但拓扑里没有可见的证据，也没有抓包或 ACL 计数器。题目写“内网自动获取地址”，你只在路由器上配了 DHCP，但终端 PC 手动填了地址，没有一张 DHCP 成功获取的窗口截图。这些都是典型的“内容对不上”。

解决办法是：写报告前先按题目要求逐条列一个检查表，每一条配置后面必须有一张对应的验证截图。比如“自动获取地址”对应 PC 的ipconfig截图，“财务隔离”对应 ACL 测试前后的对比，“出口 NAT”对应终端 ping 外网后路由器的 NAT 翻译表。这样报告的结构和题目是一一对应的，老师验收时按表打钩就行。另外，如果你还想在报告里提到以后工作中可能碰到的真实交换机，比如烽火或华为设备，命令体系略有差异，但思科命令里的接口、VLAN、路由、ACL 这些概念是相通的，理解思科的综合实验，再看其他品牌设备的命令行，会容易很多。

6. 把报告从“及格”拉到“优秀”的最终验证：从接口状态到协议状态的逐层核对

说到验证，我有一套自己的强制习惯：配置完成后不急着截图交报告，而是按三层状态把所有设备过一遍。第一层看接口，第二层看协议，第三层看数据面。这个顺序不能乱，接口没起来，协议再配也是白配。

第一层接口检查，每一台设备都执行show ip interface brief，确认所有该 up 的端口都是 up/up 状态，Trunk 口没有显示 down。第二层协议检查，执行show vlan看 VLAN 是否创建，show interfaces trunk看链路封装，show ip route看路由表是否完整，show ip ospf neighbor看 OSPF 邻居是否 FULL。第三层数据面检查，让 PC 之间互相 ping，然后回到设备上执行show ip dhcp binding查看终端是否真的从 DHCP 获取到地址，show ip nat translations查看 NAT 表是否有动态条目，show access-lists查看策略计数器是否增长。

# 综合验收脚本（按设备顺序执行） SW-A# show vlan brief SW-A# show interfaces trunk SW-C# show ip interface brief SW-C# show ip route SW-C# show ip ospf neighbor SW-C# show access-lists Border-R# show ip dhcp binding Border-R# show ip nat translations

这些输出我不一定每张都截图，但会逐条盯一眼。特别是show ip dhcp binding，如果里面能看到终端的 MAC 地址和分配到的 IP，说明 DHCP 全链路是通的；如果表是空的，哪怕 PC 上 ping 通了，也说明客户端其实是手动配置的 IP，不符合题目“自动获取”的要求。这一步是我自己以前翻过车的地方：PC 手动配地址后将好几回想跳过 DHCP 验证，最后发现实验报告被老师点评“缺少自动获取证据”。

整套流程走完，再把报告里的测试段落和这几组输出对应起来，你的计算机网络思科综合性实验报告就不再是命令行抄录，而是一份从需求到验证的完整工程交付。希望这篇内容帮你在期末验收和面试准备里少走几条弯路。

本文还有配套的精品资源，点击获取