简介：这份资源面向正在学习企业网络设计与仿真的网络专业学生及运维初学者，聚焦接入层交换机的完整配置流程，帮助读者理解从设备命名、安全加固到VLAN划分与端口绑定的落地方法。压缩包共1个文件，为docx文档，大小约1.43MB，内容以图文结合的方式呈现拓扑设计与命令行配置，便于对照实验环境逐步操作。文档围绕技术部接入交换机Jishubu-Switch展开，涵盖加密口令与VTY登录、终端超时与关闭DNS解析、VTP客户端模式与管理地址配置、access端口划分VLAN 6和7、trunk端口及native VLAN设置，以及MAC端口绑定防ARP欺骗等要点，并延伸至核心交换机Core-Switch1的VLAN与VTP配置。已有2503人学习，适合作为课程实验、仿真练习或配置查阅的配套材料，帮助读者建立从接入层到核心层的整体配置思路。
1. 从一份 docx 说起：这套企业网络拓扑配置到底能跑出什么
拿到这份《配套的网络拓扑配置文件.docx》的时候，我第一反应是：这不是一份“文档”，而是一套可以直接照着敲进模拟器的工程配置底稿。它记录的是一个典型企业内网从接入层、核心层到边界路由器的完整落地过程——接入交换机怎么命名、VLAN 怎么划、Trunk 怎么打、NAT 怎么做、DHCP 中继指向哪、静态路由怎么写，全都以命令行片段的形式摊在纸面上。适合两类人：一是正在做企业网络课程设计、需要一份能跑通的拓扑配置参考的开发者；二是刚接触思科设备、想搞明白“一个数据包从部门 PC 到外网 Web 服务器到底经过哪些配置”的工程新手。它不教你理论，它给你的是能直接复现的配置序列。
2. 拓扑骨架拆解：三层结构里每台设备到底承担什么角色
这套配置最值得先看清楚的不是某一条命令，而是整体分层。接入层负责终端接入和端口安全，核心层负责 VLAN 间路由、VTP 域管理和 DHCP 中继，边界路由器负责 NAT 转换和内网到外网的路由出口。三层各司其职，配置顺序也基本遵循“先接入、再核心、后边界”的推进逻辑。下面把骨架拆开讲。
2.1 接入层交换机：终端入口与第一道安全闸
接入层交换机在这套配置里承担三件事：给终端提供 access 端口、通过 Trunk 上联核心、做基础的端口安全。以技术部接入交换机为例，命名、口令、VTP 客户端模式、管理地址、access 端口划分、Trunk 上联、MAC 绑定，一条线走下来，逻辑非常清晰。
# 接入交换机基础配置：命名 + 远程登录安全 Switch>en Switch#config t Switch(config)#hostname Jishubu-Switch Jishubu-Switch(config)#enable secret cisco Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#password cisco Jishubu-Switch(config-line)#login Jishubu-Switch(config-line)#exec-timeout 5 0 Jishubu-Switch(config)#no ip domain-lookup这段配置里，enable secret是加密的特权口令，比enable password更安全，因为它在配置文件里以密文存储。line vty 0 4进入虚拟终端线配置，password cisco设登录口令，login启用登录校验。exec-timeout 5 0把空闲超时设为 5 分 0 秒，防止控制台长时间挂起被人利用。no ip domain-lookup关掉 DNS 解析，避免敲错命令时设备卡在域名解析上——这个坑我后面会专门讲。
接着是 VTP 和管理地址。接入层交换机作为 VTP 客户端，从核心交换机学习 VLAN 信息，这样就不用在每台接入交换机上重复创建 VLAN。
# VTP 客户端模式 + 管理 VLAN 地址 Jishubu-Switch#vlan database Jishubu-Switch(vlan)#vtp mode client Jishubu-Switch(config)#int vlan 7 Jishubu-Switch(config-if)#ip add 192.168.5.4 255.255.255.0 Jishubu-Switch(config-if)#no shutvtp mode client表示这台交换机只接收 VLAN 信息、不主动创建，VLAN 数据库由核心层的 VTP Server 统一下发。管理地址配在 VLAN 7 接口上，192.168.5.4/24，这个网段就是网管 VLAN，后面网管主机也放在这里。注意int vlan 7要求 VLAN 7 已经存在，如果 VTP 还没同步过来，这个接口是起不来的，这是新手最容易卡住的地方。
端口划分和 Trunk 上联是接入层的核心动作：
# access 端口划分 + Trunk 上联 Jishubu-Switch(config)#int range f0/2-3 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 6 Jishubu-Switch(config)#int range f0/23-24 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 7 Jishubu-Switch(config)#int f0/1 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7 Jishubu-Switch(config)#int f0/4 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7f0/2-3 划到 VLAN 6（技术部），f0/23-24 划到 VLAN 7（管理）。f0/1 和 f0/4 分别上联两台核心交换机，配成 Trunk 模式，native VLAN 设为 7。native VLAN 的作用是承载未打标签的帧，两台设备两端必须一致，否则会出现 native VLAN 不匹配告警，严重时流量直接丢。这里把 native VLAN 设成管理 VLAN 7，是一种常见做法，但生产环境里更稳妥的是用一个独立的、不承载业务的 VLAN 做 native。
最后是 MAC 端口绑定，防 ARP 欺骗：
# 端口安全：MAC 地址绑定 Jishubu-Switch(config)#int f0/23 Jishubu-Switch(config-if)#switchport port-security Jishubu-Switch(config-if)#switchport port-security mac-address 0002.1628.24B9switchport port-security开启端口安全，mac-address指定允许通过的 MAC。这里有个细节：只配了 MAC 绑定，没配switchport port-security violation模式，默认是 shutdown，一旦有别的设备插上来，端口直接 err-disable。做实验时这很容易让人以为“端口坏了”，其实是安全策略触发了。
2.2 核心层交换机：VLAN 中枢、VTP Server 与 DHCP 中继
核心层是整个拓扑的中枢。两台核心交换机做冗余，VTP Server 模式统一下发 VLAN，端口汇聚提升带宽和可靠性，DHCP 中继把广播请求转给服务器，三层路由让 VLAN 间互通。
先看 VLAN 创建和 VTP 域配置：
# 核心交换机：VLAN 创建 + VTP Server Core-Switch1(config)#vlan 2 Core-Switch1(config-vlan)#name servers Core-Switch1(config)#vlan 3 Core-Switch1(config-vlan)#name shichang Core-Switch1(config)#vlan 4 Core-Switch1(config-vlan)#name caiwu Core-Switch1(config)#vlan 5 Core-Switch1(config-vlan)#name renshi Core-Switch1(config)#vlan 6 Core-Switch1(config-vlan)#name jishu Core-Switch1(config)#vlan 7 Core-Switch1(config-vlan)#name manager Core-Switch1#vlan database Core-Switch1(vlan)#vtp domain gongsi Core-Switch1(vlan)#vtp serverVLAN 2 到 7 分别对应服务器、市场、财务、人事、技术、管理。vtp domain gongsi定义 VTP 域，域内所有交换机必须一致，vtp server让这台核心交换机成为 VLAN 信息的源头。接入层交换机的vtp mode client就是从这里同步 VLAN 列表的。VTP 域名的坑在于：如果接入交换机先配了 client 但域名没对上，VLAN 永远同步不过来，而且不会有明显报错，只能靠show vtp status去查。
端口汇聚和 Trunk 配置：
# 核心交换机：端口汇聚 + Trunk Core-Switch1(config)#int range G0/1-2 Core-Switch1(config-if-range)#channel-group 1 mode on Core-Switch1(config)#int port-channel 1 Core-Switch1(config-if)#switchport mode trunk Core-Switch1(config-if)#switchport trunk encapsulation dot1qchannel-group 1 mode on把 G0/1 和 G0/2 捆成一个逻辑链路，mode on是不协商强制汇聚，两端必须都配 on 才能起来。port-channel 1是逻辑接口，Trunk 和封装类型都配在它上面。encapsulation dot1q指定 802.1Q 封装，这是 Trunk 的标准封装。如果两端封装不一致，Trunk 起不来，链路直接不通。
DHCP 中继和三层路由：
# DHCP 中继 + 开启三层路由 Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 4 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 5 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#ip routingip helper-address把各 VLAN 的 DHCP 广播请求转成单播，发给 192.168.0.2 的 DHCP 服务器。每个需要自动获取地址的 VLAN 接口都要配一条，漏一个 VLAN，那个部门的 PC 就拿不到 IP。ip routing开启三层路由，让核心交换机具备 VLAN 间路由能力，这是整个内网互通的前提。
2.3 边界路由器：NAT 转换与内外网路由出口
边界路由器是内网和外网的分界点，承担 NAT 转换、AAA 认证和路由出口三个职责。配置上先做基础安全和接口地址，再做 NAT 池和访问列表，最后指定 inside/outside 端口。
# 边界路由器：基础配置 + AAA router>en router#config t router(config)#hostname Border-R Border-R(config)#enable secret cisco Border-R(config)#line vty 0 4 Border-R(config-line)#password cisco Border-R(config-line)#exec-timeout 5 0 Border-R(config-line)#login Border-R(config)#aaa new-model Border-R(config)#aaa authentication login default local Border-R(config)#username admin password adminaaa new-model启用 AAA 认证框架，aaa authentication login default local表示登录认证走本地用户库，username admin password admin建一个本地账号。这里口令用了弱口令，实验环境无所谓，但真实项目里这是血泪教训级别的隐患。
接口地址和 NAT 配置：
# 接口地址 Border-R(config)#int f0/0 Border-R(config-if)#ip address 192.168.4.1 255.255.255.0 Border-R(config-if)#no shutdown Border-R(config)#int s0/0/0 Border-R(config-if)#ip address 221.1.1.1 255.255.255.0 Border-R(config-if)#no shutdown # NAT 地址池 + 访问列表 Border-R(config)#ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 Border-R(config)#ip nat pool caiwu 221.1.1.21 221.1.1.30 netmask 255.255.255.0 Border-R(config)#ip nat pool renshi 221.1.1.31 221.1.1.40 netmask 255.255.255.0 Border-R(config)#ip nat pool jishu 221.1.1.41 221.1.1.50 netmask 255.255.255.0 Border-R(config)#access-list 1 permit 192.168.8.0 0.0.7.255 Border-R(config)#access-list 2 permit 192.168.1.0 0.0.0.255 Border-R(config)#access-list 3 permit 192.168.2.0 0.0.0.255 Border-R(config)#access-list 4 permit 192.168.3.0 0.0.0.255 Border-R(config)#ip nat inside source list 1 pool shichang overload Border-R(config)#ip nat inside source list 2 pool caiwu Border-R(config)#ip nat inside source list 3 pool renshi Border-R(config)#ip nat inside source list 4 pool jishu Border-R(config)#int s0/0/0 Border-R(config-if)#ip nat outside Border-R(config)#int f0/0 Border-R(config-if)#ip nat insideNAT 池按部门划分，市场部用overload做端口复用，多个内网地址映射到一个公网地址的不同端口；其他部门用动态转换，一对一从池里取地址。访问列表用通配符掩码匹配网段，0.0.7.255对应 192.168.8.0/21 的范围。ip nat inside和ip nat outside必须分别配在内外接口上，漏配任何一个，NAT 都不生效，表现为内网能通边界、但出不了外网。
静态 NAT 用于服务器对外发布：
# 静态 NAT：服务器一对一映射 Border-R(config)#ip nat inside source static 192.168.0.4 221.1.1.3 Border-R(config)#ip nat inside source static 192.168.0.5 221.1.1.4 Border-R(config)#ip nat inside source static 192.168.0.6 221.1.1.5静态 NAT 把内网服务器地址固定映射到公网地址，外网访问 221.1.1.3 就等于访问内网 192.168.0.4。这套配置里公司网站 www 的 DNS 解析就指向 221.1.1.3，形成“域名→公网 IP→NAT→内网服务器”的完整链路。
2.4 路由收口：默认路由与回程路由怎么配
整个网络要通，路由必须双向可达。核心交换机指默认路由到边界路由器，边界路由器指回程路由到内网网段。
# 核心交换机默认路由 Core-Switch1(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.1 Core-Switch1(config)#ip routing Core-Switch2(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.1 Core-Switch2(config)#ip routing # 边界路由器回程路由 Border-R(config)#ip route 192.168.0.0 255.255.0.0 192.168.4.2 Border-R(config)#ip route 223.1.0.0 255.255.0.0 221.1.1.2核心交换机的默认路由下一跳是 192.168.4.1，也就是边界路由器的内网接口。边界路由器的回程路由指向 192.168.4.2，即核心交换机的接口地址。第二条ip route 223.1.0.0 255.255.0.0 221.1.1.2是去往外网服务器网段的路由，下一跳是 ISP 路由器。这三条路由构成闭环，缺一条就会出现“能 ping 通边界、ping 不通外网”或“外网能进来、回不去”的典型故障。
3. 从零复现：按顺序敲完这套配置的完整步骤
配置这东西，顺序错了比配错了更让人抓狂。这套拓扑的正确推进顺序是：先核心 VLAN 和 VTP，再接入层同步，然后核心三层和 DHCP 中继，接着边界 NAT 和路由，最后服务器和终端。下面按这个顺序拆成可执行的步骤。
3.1 环境准备与设备选型
模拟器用常见的网络仿真工具即可，设备型号按配置里的来：接入层和核心层用以太网交换机，边界路由器和 ISP 路由器用支持串口的型号（配置里出现了 s0/0/0 接口，说明用了串行连接模拟广域网）。服务器群用普通服务器设备模拟 DHCP、DNS、Web、FTP、Email 五类服务。
连接关系按拓扑来：接入交换机 f0/1 和 f0/4 分别上联两台核心交换机，核心交换机之间用 G0/1-2 做端口汇聚，核心交换机下联服务器群，边界路由器 f0/0 接核心、s0/0/0 接 ISP。串口连接时注意一端配 clock rate，配置里 ISP 的 s0/0/0 有clock rate 2000000，说明 ISP 侧是 DCE 端。
提示：搭拓扑时先把设备摆好、线连对，再开始敲配置。线连错了，后面排查会多花一倍时间。
3.2 核心层先行：VLAN、VTP、Trunk、汇聚一次配齐
核心层是 VLAN 信息的源头，必须先配。顺序是：命名和口令 → 创建 VLAN → 配 VTP Server → 配 Trunk 端口 → 配端口汇聚 → 配 VLAN 接口地址 → 开三层路由 → 配 DHCP 中继。
VLAN 接口地址这块原文没有逐条列出，但按配置逻辑，每个 VLAN 接口都需要一个网关地址。常见做法是 VLAN 2 用 192.168.0.1/24（服务器网段网关）、VLAN 3 用 192.168.1.1/24、VLAN 4 用 192.168.2.1/24、VLAN 5 用 192.168.3.1/24、VLAN 6 用 192.168.8.1/24、VLAN 7 用 192.168.5.1/24。这些地址和 NAT 访问列表里的网段是对应的，配的时候要保证一致。
# 核心交换机 VLAN 接口地址（按网段对应关系配置） Core-Switch1(config)#int vlan 2 Core-Switch1(config-if)#ip address 192.168.0.1 255.255.255.0 Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip address 192.168.1.1 255.255.255.0 Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip address 192.168.8.1 255.255.255.0 Core-Switch1(config)#int vlan 7 Core-Switch1(config-if)#ip address 192.168.5.1 255.255.255.0配完 VLAN 接口后，用show ip interface brief确认每个 VLAN 接口都是 up/up。如果某个 VLAN 接口 down，大概率是该 VLAN 下没有活跃端口，或者 VTP 没同步到该 VLAN。
3.3 接入层跟进：VTP 客户端同步与端口划分
核心层配好后，接入层再上电配置。先配 VTP 客户端，等 VLAN 同步过来，再配管理地址和端口。判断同步成功的标志是show vlan brief能看到 VLAN 2 到 7 的列表。
# 接入层验证 VTP 同步 Jishubu-Switch#show vtp status Jishubu-Switch#show vlan briefshow vtp status里看 VTP Domain Name 是否为 gongsi、VTP Operating Mode 是否为 Client、Number of existing VLANs 是否和核心一致。如果 VLAN 数是 5（默认 VLAN），说明没同步成功，检查 Trunk 是否起来、VTP 域名是否一致。
端口划分按部门来：技术部终端接 f0/2-3 划 VLAN 6，管理主机接 f0/23-24 划 VLAN 7。其他部门接入交换机配置相同，只是 VLAN 号不同。配完用show vlan brief确认端口归属。
3.4 边界与服务器：NAT、DNS、DHCP 的联动配置
边界路由器配完接口地址和 NAT 后，服务器群要跟上。DHCP 服务器地址 192.168.0.2，需要为 VLAN 3 到 6 各建一个地址池，网关指向对应 VLAN 接口地址，DNS 指向 DNS 服务器地址。DNS 服务器配域名到 IP 的映射，内网域名指向内网服务器地址，外网域名指向 NAT 后的公网地址。
# DHCP 地址池示例（服务器侧配置逻辑） # 地址池：jishu # 网段：192.168.8.0/24 # 网关：192.168.8.1 # DNS：192.168.0.3Web 服务器配 IP 和 HTML 页面，FTP 服务器配用户和权限，Email 服务器配用户账号。这些在模拟器里都是图形化配置，按原文的图操作即可。配完后终端 PC 设成 DHCP 自动获取，用ipconfig确认拿到对应网段的地址。
3.5 连通性验证：从部门 PC 到外网 Web 的完整链路测试
验证顺序从内到外：先同 VLAN 内 ping，再跨 VLAN ping，然后 ping 网关、ping 边界、ping 外网。技术部 PC ping 人事部 PC 能通，说明核心三层路由和 Trunk 正常；ping 192.168.4.1 能通，说明到边界没问题；ping 221.1.1.2 能通，说明 NAT 和串口链路正常；浏览器访问外网域名能打开，说明 DNS 和 NAT 静态映射都对了。
# 终端侧验证命令 ipconfig ping 192.168.3.x ping 192.168.4.1 ping 221.1.1.2如果某一步不通，就停在那一步查。ping 网关不通查 VLAN 接口和 access 端口，ping 边界不通查默认路由和 Trunk，ping 外网不通查 NAT 和 inside/outside 标记。这种分段排查比从头到尾瞎猜高效得多。
4. 避坑与排查：这套配置里最容易翻车的五个点
配置敲完不通，是最磨人的时候。下面这五个坑，是我照着这类拓扑配置复现时踩过或见别人踩过的，每条都按“现象→原因→解决”写清楚。
4.1 坑一：VTP 客户端 VLAN 同步不过来
现象：接入交换机show vlan brief只有默认 VLAN，配int vlan 7时报错或接口起不来。
原因：VTP 域名不一致，或者 Trunk 没起来导致 VTP 通告传不过来。VTP 同步依赖 Trunk 链路，Trunk 不通，VLAN 信息就到不了接入层。
解决：先在接入交换机show vtp status看域名和模式，再show interfaces trunk看 Trunk 是否 up。域名不对就重配vtp domain gongsi，Trunk 不对就检查两端switchport mode trunk和 native VLAN 是否一致。
4.2 坑二：Trunk 两端 native VLAN 不匹配
现象：控制台持续刷%CDP-4-NATIVE_VLAN_MISMATCH告警，跨交换机同 VLAN 通信时通时断。
原因：一端 native VLAN 是 7，另一端是默认的 1。native VLAN 承载未打标签的帧，两端不一致时，未标记流量会被归到不同 VLAN。
解决：两端统一switchport trunk native vlan 7。改完后show interfaces trunk确认 native VLAN 列一致。
4.3 坑三：DHCP 中继漏配某个 VLAN
现象：技术部 PC 能自动获取 IP，人事部 PC 拿不到地址，显示 169.254 开头的自动私有地址。
原因：核心交换机上人事部对应的 VLAN 接口没配ip helper-address，DHCP 广播出不了本 VLAN。
解决：逐个 VLAN 接口检查show running-config interface vlan x，补上ip helper-address 192.168.0.2。配完在 PC 上ipconfig /renew重新获取。
4.4 坑四：NAT inside/outside 标反或漏标
现象：内网能 ping 通边界路由器内网口，但 ping 不通外网；或者外网能访问进来但回包丢失。
原因：ip nat inside和ip nat outside配错接口，或者只配了一边。NAT 转换依赖接口标记来判断方向，标反了转换逻辑就乱了。
解决：show ip nat translations看有没有转换表项，没有就检查接口标记。show running-config interface f0/0和s0/0/0分别确认 inside 和 outside。
4.5 坑五：端口安全触发 err-disable 被当成硬件故障
现象：某台 PC 插上后端口灯不亮，换线换口都不行，show interfaces f0/23显示 err-disabled。
原因：配了switchport port-security mac-address但插的设备 MAC 不匹配，默认 violation 模式是 shutdown，端口直接被关。
解决：show port-security interface f0/23看触发原因，确认是 MAC 不匹配后，要么换回绑定 MAC 的设备，要么shutdown再no shutdown恢复端口，要么调整 violation 模式为 restrict 或 protect。
5. 二次开发与改造：把这套配置变成你自己的网络方案
这套配置的价值不在于照抄，而在于它提供了一个可改的骨架。真正上手二次开发时，我一般从三个方向动刀：规模扩展、安全加固、冗余增强。
规模扩展上，最直接的是加部门。新增一个 VLAN 8 给研发部，核心交换机上vlan 8+name yanfa，配 VLAN 接口地址 192.168.9.1/24，加 DHCP 中继，边界路由器加一条访问列表和 NAT 池映射。接入层新增一台交换机，VTP 客户端自动同步 VLAN 8，把对应端口划进去就行。整个过程不用动已有配置，这就是 VTP 集中管理的好处。
安全加固上，原文的配置有几处可以加强。VTY 登录用的是明文password cisco，改成login local配合本地用户名更稳妥；端口安全只绑了 MAC 没配 violation 模式，建议显式配switchport port-security violation restrict，避免误触发直接关端口；Trunk 端口可以配switchport trunk allowed vlan限制允许通过的 VLAN，减少不必要的广播扩散。这些改动不影响原有连通性，但安全基线会高不少。
冗余增强上，两台核心交换机目前是各自独立配默认路由，没有做网关冗余。如果要提升可靠性，可以引入首跳冗余协议，让两台核心交换机共享一个虚拟网关地址，一台挂了另一台接管。这个改造涉及 VLAN 接口配置变更，建议先在模拟环境里验证切换时间，再上真实环境。
| 改造方向 | 改动点 | 影响范围 | 验证方法 |
|---|---|---|---|
| 新增部门 | VLAN + 接口地址 + DHCP 中继 + NAT 池 | 核心、边界、接入 | 新部门 PC 获取地址并 ping 外网 |
| 安全加固 | VTY 本地认证、端口安全 violation、Trunk 白名单 | 接入层为主 | 非法设备接入被限制、合法终端正常 |
| 网关冗余 | 首跳冗余协议 | 核心层 | 断开一台核心，终端网关仍可达 |
改造完一定要做回归验证，别只测新功能。我吃过一次亏：加完新 VLAN 后只测了新部门，结果发现 Trunk 的 allowed vlan 列表把老 VLAN 挤掉了，整个技术部断网半小时。从那以后我每次改 VLAN 相关配置，都强制走一遍“新部门通、老部门通、跨部门通、出外网通”四步验证，一步都不省。希望这套拆解能帮到你，少走几个我走过的弯路。
本文还有配套的精品资源，点击获取
