50 人公司从零组网，一台三层交换机全部搞定（附完整配置）

文章目录

一、开场：新办公室，老板说“下周要搬进去，网你搞定”

周五快下班，老板把我叫到办公室，指着一张新办公区的平面图：“租的新办公室，50 来个人，下周就搬，你把网络弄好，别耽误大家办公。”

我去现场看了一圈，设备已经到位：一台三层交换机（核心）、两台接入交换机、一台出口防火墙，外加一堆网线。

这种小项目，看着简单，真要动手，很多人会犯一个毛病——上来就插线、配命令，结果配到一半发现 VLAN 没规划、地址打架、出口不通，越改越乱。

我的习惯是先当“装修工”，再当“接线工”：先画图纸（规划），再分区（VLAN），再布水电（地址、网关、路由），最后才通电验收。

这一课就把这个 50 人办公网从零搭起来，完整配置从空配置到能上网，一步不落地走一遍，你可以直接拿去改改用。

二、需求与设备清单

1. 需求

  • 50 人左右，分办公、财务、访客几个区域，互相隔离；
  • 所有电脑自动获取地址，能上网；
  • 财务区要和普通办公区隔开；
  • 出口走防火墙，统一管理。

2. 设备清单

角色设备说明
核心三层交换机（华为 S5735 一类）做网关、DHCP、路由
接入二层交换机 ×2下联电脑，Trunk 上联核心
出口防火墙带大家上网、做安全策略
终端电脑、打印机、AP自动获取地址

三、先画图纸：拓扑和地址规划

1. 拓扑

图1：50 人办公网拓扑，出口防火墙、核心三层交换机、两台接入交换机

2. VLAN 与地址规划

图2：VLAN 与地址规划表，办公、财务、访客、管理四个网段

VLAN用途网段网关说明
10办公192.168.10.0/24192.168.10.1员工电脑
20财务192.168.20.0/24192.168.20.1财务区，隔离
30访客192.168.30.0/24192.168.30.1会议室、访客
100管理192.168.100.0/24192.168.100.1设备管理
互联核心-防火墙192.168.1.0/30核心 .2 / 防火墙 .1出口互联

3. 类比

  • 核心交换机是大楼的“物业中心”：各部门（VLAN）有什么事、要出去，都先找它；
  • VLAN 是给不同部门划的独立办公区：各走各的门，不串门；
  • DHCP 是前台：谁来了自动给个工位号，不用自己抢；
  • 默认路由是公司大门：内部的事内部解决，要出去一律走大门（防火墙）。

财务区怎么隔离？

需求里特别提了财务要和办公隔开。这里要纠正一个常见误解：划了 VLAN，默认就是二层隔离的，不同 VLAN 之间要通信，必须经过三层网关转发。

  • 所以办公（VLAN10）和财务（VLAN20）即使在同一台核心上，默认也不能直接互相访问；
  • 但网关都在核心，三层是通的，要真正拦住，得在网关上加 ACL 或在防火墙上做策略，只放行财务需要的访问；
  • 这部分策略放在防火墙和核心 ACL 上，后面讲 ACL 的课会专门讲怎么写。

这也说明：VLAN 解决“分开”，访问控制解决“谁能找谁”，两件事别混为一谈。

四、核心交换机：完整配置

1. 初始化、建 VLAN、开 DHCP

<Huawei> system-view
[Huawei] sysname CORE
[CORE] vlan batch 10 20 30 100
[CORE] dhcp enable

2. 配置各 VLAN 网关（VLANIF）

[CORE] interface Vlanif10
[CORE-Vlanif10] ip address 192.168.10.1 255.255.255.0
[CORE-Vlanif10] dhcp select global
[CORE-Vlanif10] quit
[CORE] interface Vlanif20
[CORE-Vlanif20] ip address 192.168.20.1 255.255.255.0
[CORE-Vlanif20] dhcp select global
[CORE-Vlanif20] quit
[CORE] interface Vlanif30
[CORE-Vlanif30] ip address 192.168.30.1 255.255.255.0
[CORE-Vlanif30] dhcp select global
[CORE-Vlanif30] quit
[CORE] interface Vlanif100
[CORE-Vlanif100] ip address 192.168.100.1 255.255.255.0
[CORE-Vlanif100] quit

3. 建 DHCP 地址池

[CORE] ip pool VLAN10
[CORE-ip-pool-VLAN10] network 192.168.10.0 mask 255.255.255.0
[CORE-ip-pool-VLAN10] gateway-list 192.168.10.1
[CORE-ip-pool-VLAN10] dns-list 114.114.114.114
[CORE-ip-pool-VLAN10] lease day 7
[CORE-ip-pool-VLAN10] excluded-ip-address 192.168.10.2 192.168.10.10
[CORE-ip-pool-VLAN10] quit
[CORE] ip pool VLAN20
[CORE-ip-pool-VLAN20] network 192.168.20.0 mask 255.255.255.0
[CORE-ip-pool-VLAN20] gateway-list 192.168.20.1
[CORE-ip-pool-VLAN20] dns-list 114.114.114.114
[CORE-ip-pool-VLAN20] lease day 7
[CORE-ip-pool-VLAN20] quit
[CORE] ip pool VLAN30
[CORE-ip-pool-VLAN30] network 192.168.30.0 mask 255.255.255.0
[CORE-ip-pool-VLAN30] gateway-list 192.168.30.1
[CORE-ip-pool-VLAN30] dns-list 114.114.114.114
[CORE-ip-pool-VLAN30] lease day 2
[CORE-ip-pool-VLAN30] quit

访客网段租期设短（2 天），地址周转快；办公、财务设长。

地址池为什么要排除一段？

办公池里我排除了 192.168.10.2 到 192.168.10.10，这是故意留的：

  • 网关占了 .1，打印机、服务器、固定工位这些要固定地址的，从 .2 往后排；
  • 这些地址不进 DHCP 自动分配，就不会被随机发给别人，避免冲突；
  • 剩下的才交给 DHCP 动态发。

一个常见低级错误：地址池把网关、打印机的地址也包含进去，结果某天 DHCP 把打印机地址发给新电脑，两台设备打架，打印时好时坏。固定的先排除，动态的往后发，这个顺序不能乱。

4. 对接防火墙、写默认路由

把连防火墙的口改成路由口，配互联地址：

[CORE] interface GigabitEthernet0/0/1
[CORE-GigabitEthernet0/0/1] undo portswitch
[CORE-GigabitEthernet0/0/1] ip address 192.168.1.2 255.255.255.252
[CORE-GigabitEthernet0/0/1] quit
[CORE] ip route-static 0.0.0.0 0 192.168.1.1
[CORE] save
  • undo portswitch：把二层口切成三层路由口；
  • 互联段用 /30，只给两个地址，不浪费；
  • 默认路由指向防火墙内侧地址 192.168.1.1。

为什么用三层口对接，而不是直接塞个 VLAN？

核心和防火墙之间，我习惯用一个独立的三层互联段（/30），而不是让防火墙也接入业务 VLAN：

  • 一是边界清晰：这段路只走核心和防火墙之间的流量，不混业务，出问题好查；
  • 二是安全：防火墙内侧和业务网段隔开，内网广播不会直接冲到防火墙上。

undo portswitch 就是把交换机口从二层切成三层，让它能直接配 IP。老版本或不支持的设备，也可以用专门的互联 VLAN + VLANIF 实现，效果一样。

/30 只有两个可用地址（.1 和 .2），正好给两台设备，这是点对点互联的标准做法。

5. 核心验证

[CORE] display ip interface brief

Interface       IP Address        Physical   Protocol
Vlanif10        192.168.10.1       up         up
Vlanif20        192.168.20.1       up         up
Vlanif30        192.168.30.1       up         up
Vlanif100       192.168.100.1      up         up
GigabitEthernet0/0/1 192.168.1.2   up         up

[CORE] display ip routing-table protocol static

关键看默认路由 0.0.0.0/0 下一跳是 192.168.1.1，且接口 Up。

五、接入交换机：完整配置

1. 初始化、建 VLAN

<Huawei> system-view
[Huawei] sysname ACC1
[ACC1] vlan batch 10 20 30 100

2. 上联口配 Trunk

[ACC1] interface GigabitEthernet0/0/1
[ACC1-GigabitEthernet0/0/1] port link-type trunk
[ACC1-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 30 100
[ACC1-GigabitEthernet0/0/1] quit

3. 下联口配 Access

[ACC1] port-group group-member GigabitEthernet0/0/2 to GigabitEthernet0/0/20
[ACC1-port-group] port link-type access
[ACC1-port-group] port default vlan 10
[ACC1-port-group] quit
[ACC1] save

财务区的口把 default vlan 改成 20，访客口改成 30，按工位对应。

打印机、服务器这些固定设备怎么接？

  • 打印机、监控、门禁这类设备，地址要固定，不能今天一个明天一个；
  • 做法是把它们的口划到对应 VLAN，然后在核心上要么给它地址池里的固定绑定，要么直接在设备上配静态地址（用排除段的地址）；
  • 我一般给打印机用静态地址（从排除段拿），简单直接，换设备时改一下即可。

这些设备的口也可以顺手关掉一些不用的功能，只开必要的网络访问，减少被攻击的面，接入安全那一课讲过。

4. 接入验证

[ACC1] display port vlan

关键看上联口是 Trunk、放行 VLAN 正确，下联口是 Access、VLAN 对应。

六、上线流程与数据走向

图3：上线实施流程，从初始化、VLAN、网关、DHCP、路由到验证保存

一台电脑上网的完整路径

电脑接入

向DHCP申请地址

核心从对应地址池发地址

电脑拿到地址 网关 DNS

要上网 发给网关

核心查默认路由

发给防火墙

防火墙NAT后上网

回包原路返回

搬进去之前，先做这几件事

新办公室的网络，我不会等所有人都搬进去才第一次通电，而是提前一天：

  • 把核心、接入、防火墙都配好、上电，在空环境里先跑通；
  • 拿一台测试电脑，分别接到不同 VLAN 的口，验证拿地址、互通、上网；
  • 确认无误后 save，再把线缆标签打好，按工位对应；
  • 准备一份回退方案（配置备份、原始配置），万一现场出问题能快速恢复。

这样搬家当天，大家插上就能用，不会手忙脚乱。割接最怕现场第一次调试，提前验证是最省事的保险。

七、逐项验收（照着打勾）

验收项命令/动作正常标准
链路 Updisplay ip interface brief相关接口 up/up
能拿地址电脑 ipconfig拿到对应网段地址
网关可达电脑 ping 网关通
跨网段办公 ping 财务（按需）按策略通/不通
能上网打开网页正常
DNS 正常nslookup 域名能解析
路由正确核心看默认路由指向防火墙
配置已保存重启前确认已 save

这种小项目，我踩过的坑

  • Trunk 漏放行 VLAN：接入上联口 Trunk 没加新 VLAN，结果那个网段的人全不通，display port vlan 一看就知道；
  • VLANIF 没建就想发地址：网关接口都没配，DHCP 自然不工作；
  • 接口忘了 dhcp select global：地址池建好了，接口却没指定用全局池，设备不发地址；
  • 默认路由下一跳写成了不通的地址：能拿地址、能互通，就是上不了外网；
  • 核心没 save 就走人：第二天一重启，全回到解放前。

这几个坑命令本身都不报错，所以特别隐蔽。配完一定按验收清单逐项 ping 一遍，别想当然。

八、🔧 运维视角 & 📐 设计视角

🔧 运维视角：

  • 搬进去后若个别工位不通，先看接入口 VLAN 对不对、Trunk 放没放行；
  • 拿不到地址查核心 DHCP，上不了网查默认路由和防火墙；
  • 割接前先把配置跑一遍、保存，别等搬进去才发现没 save。

📐 设计视角：

  • 这种规模一台三层做核心最省心，网关、DHCP、路由集中，好维护；
  • 地址段按部门连续规划，为以后扩容和汇总留空间；
  • 关键链路（核心到防火墙、核心到接入）可考虑双上联或聚合，提高可靠性。

以后加人、加部门怎么办？

方案设计时我会留扩展余地，50 人不代表以后不扩：

  • 加人：地址池 /24 有 250 多个可用地址，50 人离上限还远，直接加终端即可；
  • 加部门：新建一个 VLAN（比如 VLAN40），配 VLANIF、建地址池，接入上把对应工位划过去，不用改现有结构；
  • 加设备：新增接入交换机，Trunk 上联核心，沿用同样的配置模板。

这就是为什么地址要按部门连续规划、核心要选端口和性能有余量的型号——不是为了现在，是为了以后改起来不动筋骨。 小网络要是一开始就乱划，扩容时往往要推倒重来。

还有一点：一台核心带 50 人很轻松，但以后要上无线、监控、大量 AP，选设备时也要看它的路由表容量、ARP 表项和转发性能，别等终端一多，设备自己先扛不住。

九、小结与命令速查表

  • 顺序：先规划（拓扑、VLAN、地址）→ 核心（VLANIF、DHCP、默认路由）→ 接入（Trunk、Access）→ 验收；
  • 核心是网关和 DHCP，接入只负责二层，防火墙负责出口；
  • 每步配完即验证，最后统一 save。

本篇命令速查表：

目的核心/接入关键命令
建 VLAN都做vlan batch 10 20 30 100
网关核心interface Vlanif10 + ip address ...
接口用全局池核心dhcp select global
地址池核心ip pool VLAN10
默认路由核心ip route-static 0.0.0.0 0 192.168.1.1
口改路由口核心undo portswitch + ip address ...
上联 Trunk接入port link-type trunk + port trunk allow-pass vlan ...
下联 Access接入port link-type access + port default vlan 10
看接口都做display ip interface brief
看 VLAN接入display port vlan

十、思考题 & 评论区接招

💬 互动题（评论区接招）：

照着这份配置，改改你公司的网。

如果你公司也是几十人的规模，可以对照这份方案检查：
1）你们的 VLAN 是怎么划的？地址段连续吗？
2）网关、DHCP 是集中在核心，还是分散在别的设备？
3）有问题的，把你的配置（记得打码密码和公网地址）贴在评论区，我帮你看哪里不对、哪里能优化。

组网这事，看懂别人的完整方案，比自己瞎琢磨快得多。

系列导航：

我是你们的老网工。到这一课，交换机、VLAN、VLANIF、DHCP、静态路由就全串起来了，几十人的网，你已经能独立交付。但网络再大、链路一多，纯靠手写静态就忙不过来——路由器一多，谁和谁连着、链路断了怎么自动绕开，得让设备自己商量。从下一课开始，我们进入动态路由，先讲最常用的 OSPF：邻居怎么建立、为什么会卡在某个状态、RouterID 是啥、Cost 怎么算。下一课《OSPF 基础》，我们看路由器怎么自动交朋友。

Logo
DAMO开发者矩阵

DAMO开发者矩阵，由阿里巴巴达摩院和中国互联网协会联合发起，致力于探讨最前沿的技术趋势与应用成果，搭建高质量的交流与分享平台，推动技术创新与产业应用链接，围绕“人工智能与新型计算”构建开放共享的开发者生态。

更多推荐

cover

AI 客服答到一半忘词：多轮对话断片的五步排查

avatar DAMO开发者矩阵
cover

机器人什么时候该认怂：转人工的四个触发信号设计

avatar DAMO开发者矩阵
cover

AgenticRoboRL：将“编程智能体”后训练引入智能体化机器人领域

avatar DAMO开发者矩阵