1 项目概述

1.1 项目背景

随着企业生产、办公和信息化系统对网络的依赖不断增强，园区网不仅要求“能通”，还要求链路故障、设备故障和跨区访问时业务不中断。本项目以制造型企业园区网为对象：生产区包含三个车间，办公区包含财务、销售、后勤、业务、运维、研发六个部门，服务器区承载 OA、ERP、生产控制、生产数据和服务器管理五类业务，边界通过防火墙接入互联网。不同区域的业务性质和安全等级不同，需要通过 VLAN 隔离、路由分区和安全策略实现分区可控、故障可切换、访问可审计。

本次为真机实验。与以往在模拟器上敲命令不同，本次要求在真实设备上完成从线缆制作、设备上架、配置下发到验证交付的全过程。真机与模拟器在接口编号、厂商语法、命令支持范围上都存在差异，照搬模拟器脚本必然出错，因此整个过程按“先设计、再对照、后下发、逐项验证”的顺序推进。

1.2 建设目标

  1. 建成覆盖生产区、办公区、服务器区和互联网边界的园区网，14 台设备全部上架、加电、连线、打标。
  2. 二层采用链路聚合与 MSTP 多域，消除环路并实现链路冗余。
  3. 三层采用 VRRP 与 OSPF 多区域，实现网关冗余、跨区互通和路由汇总。
  4. 安全方面实现生产、办公、财务、服务器和管理网段的访问控制，边界防火墙完成内外网隔离与 NAT。
  5. 管理方面完成 SSH 远程登录、配置保存与备份，形成可复用的配置脚本、命令对照表和验证清单。

1.3 建设范围

区域设备主要职能
核心层C-1、C-2（H3C S5130，24 电 + 4 光）跨区转发、服务器区网关、OSPF ABR、VRRP
生产区D-1、D-2（Huawei S5700）；A-1~A-3（H3C S5110-48）三座车间的接入与汇聚、MSTP SC 域、VRRP 网关
办公区D-5、D-6（Huawei S5700）；A-4、A-5（H3C S5110-48）六个部门的接入与汇聚、MSTP BG 域、VRRP 网关
服务器区D-3、D-4（Huawei S5700-28P-LI）服务器纯二层接入，网关集中在 C-1/C-2
边界F-1（深信服 AF-1380）内外网隔离、安全策略、源 NAT

1.4 完成情况

项目完成内容
物理层23 根双绞线按 T568B 现场制作并逐根测通，6 根多模光纤跳线插接；29 条链路全部正常
设备13 台交换机 + 1 台防火墙上架、加电、打标，管理地址与 SSH 全部可用
二层VLAN、Trunk 最小透传、3 条链路聚合、3 个 MSTP 域、边缘端口与 BPDU 保护
三层13 条 /30 互联、14 组 VRRP、4 个 OSPF 区域、3 条 /10 汇总、Area 0 MD5 认证、静默接口、P2P、BFD
安全生产/办公/财务/管理网段 ACL，F-1 安全域、策略与源 NAT，13 台交换机 SSH 并关闭 Telnet
验证二层、三层、跨区连通、冗余切换、安全策略逐项核对并留档

2 需求分析

2.1 业务分区与流量需求

园区网按业务性质划分为四个区域。生产区三座车间之间需要互通，但与办公区之间只允许生产管理相关的访问；办公区六个部门内部互访不受限，但财务部需要与其余部门隔离；服务器区的 OA 与生产控制对生产区开放，ERP 与生产数据只对办公区授权网段开放，服务器管理网段仅运维可达；互联网访问对生产和办公区原则上拒绝，仅对运维和授权终端放行。

2.2 可靠性需求

网络中的单点故障不应导致业务中断：汇聚设备需要双上行到两台核心，汇聚之间双链路聚合，核心之间双光纤聚合；任意一台汇聚故障时，其下挂业务由另一台汇聚通过 VRRP 接管网关；任意一条上行链路故障时，流量应能自动绕行。收敛时间要求秒级，关键互联链路需要 BFD 加速检测。

2.3 安全需求

安全需求分三层：二层用 VLAN 隔离广播域，接入口开启边缘端口与 BPDU 保护，防止终端侧环路和非法交换机接入；三层用 ACL 在源侧上行口做过滤，在服务器侧做目的侧保护；边界用防火墙划分 Trust/Untrust 安全域，按“先精确、后宽泛、默认拒绝”的顺序配置策略，对外仅发布必要的服务端口，出网使用源 NAT。

2.4 可管理性需求

全部设备纳入 VLAN 100 带内管理，按区域划分为 10.0.100.0/24、10.64.100.0/24、10.128.100.0/24 三个管理网段；统一使用 SSH 登录并关闭 Telnet；设备命名、端口描述、线缆标签与连接表一一对应，便于交接和排障。

2.5 设计约束

  1. 设备为华为与华三混布，同一功能在两家的命令关键字、聚合方式、VRRP 监控机制、STP 开销标准上均不同，配置不能直接照搬。
  2. 真机接口命名与模拟器不同：核心为 G1/0/x，光口位于 G1/0/25-28，模拟器需平移为 G0/0/21-24。
  3. 部分在模拟器上可用的命令在真机镜像上被裁剪（如接口级 BFD 参数），需要按型号确认。
  4. 防火墙只有一台，不具备双机热备条件。

3 总体设计

3.1 网络拓扑

{​{![图 1 组一真机网络拓扑（14 台设备 / 4 个区域 / 29 条链路）]}}

拓扑采用“核心—汇聚—接入”三层结构。核心层由 C-1、C-2 两台交换机组成，承担跨区转发、服务器区网关和 OSPF 区域边界路由器（ABR）三重角色，两台核心之间用 G1/0/25-26 两条多模光纤做链路聚合。生产区与办公区各由两台汇聚加两到三台接入构成，汇聚双上行到两台核心，形成“接入双归属、汇聚双上行、核心互联”的全冗余结构。服务器区不设独立汇聚，C-1/C-2 直接作为网关，D-3/D-4 为纯二层接入。边界 F-1 通过两条双绞线分别上联 C-1、C-2，实现内外网隔离。

3.2 设备选型与角色

逻辑名型号端口特征角色管理地址MSTP 域OSPF
F-1深信服 AF-13805×GE边界防火墙——Area 0，RID 1.1.1.1
C-1H3C S513024×GE + 4×SFP核心、服务器区网关、ABR10.0.100.1/24FWQABR，RID 2.2.2.2
C-2H3C S513024×GE + 4×SFP核心、服务器区网关、ABR10.0.100.2/24FWQABR，RID 3.3.3.3
D-1Huawei S570024×GE生产区汇聚10.64.100.1/24SCArea 1，RID 4.4.4.4
D-2Huawei S570024×GE生产区汇聚10.64.100.2/24SCArea 1，RID 5.5.5.5
D-3Huawei S5700-28P-LI24×GE + 4×SFP服务器接入（纯二层）10.0.100.3/24FWQ不运行
D-4Huawei S5700-28P-LI24×GE + 4×SFP服务器接入（纯二层）10.0.100.4/24FWQ不运行
D-5Huawei S570024×GE办公区汇聚10.128.100.1/24BGArea 2，RID 6.6.6.6
D-6Huawei S570024×GE办公区汇聚10.128.100.2/24BGArea 2，RID 7.7.7.7
A-1H3C S5110-4848×GE + 4×SFP生产区接入（车间 1）10.64.100.3/24SC纯二层
A-2H3C S5110-4848×GE + 4×SFP生产区接入（车间 2）10.64.100.4/24SC纯二层
A-3H3C S5110-4848×GE + 4×SFP生产区接入（车间 3）10.64.100.5/24SC纯二层
A-4H3C S5110-4848×GE + 4×SFP办公区接入10.128.100.3/24BG纯二层
A-5H3C S5110-4848×GE + 4×SFP办公区接入10.128.100.4/24BG纯二层

3.3 VLAN 与地址规划

VLAN用途网段网关 VIP接入位置OSPF 区域
11财务部10.128.11.0/2410.128.11.254A-4 G1/0/3-5Area 2
12销售部10.128.12.0/2410.128.12.254A-4 G1/0/6-11Area 2
13后勤部10.128.13.0/2410.128.13.254A-4 G1/0/12-15Area 2
14业务部10.128.14.0/2410.128.14.254A-5 G1/0/3-5Area 2
15运维部10.128.15.0/2410.128.15.254A-5 G1/0/6-11Area 2
16研发部10.128.16.0/2410.128.16.254A-5 G1/0/12-15Area 2
21车间 110.64.21.0/2410.64.21.254A-1 G1/0/3-24Area 1
22车间 210.64.22.0/2410.64.22.254A-2 G1/0/3-24Area 1
23车间 310.64.23.0/2410.64.23.254A-3 G1/0/2-24Area 1
31OA10.192.31.0/2410.192.31.254D-3 G0/0/3-5Area 3
32ERP10.192.32.0/2410.192.32.254D-4 G0/0/3-5Area 3
33生产控制10.192.33.0/2410.192.33.254D-3 G0/0/6-10Area 3
34生产数据10.192.34.0/2410.192.34.254D-4 G0/0/6-10Area 3
35服务器管理10.192.35.0/2410.192.35.254D-4 G0/0/11-20Area 3
100设备管理10.0/10.64/10.128.100.0/24—各设备 Vlanif100随所在区域

地址约定：VRRP 虚拟网关统一用 .254；主用设备的 Vlanif 实地址用 .252，备用用 .253（C-1、D-1、D-5 为 .252，C-2、D-2、D-6 为 .253）。管理网段按区域划分三块，因为 VLAN 100 在三个区域是三个互不相通的二层岛。

3.4 三层互联地址规划

VLAN链路网段两端地址区域
1101C-1 ↔ C-210.0.0.0/3010.0.0.1 / 10.0.0.2Area 0
1102C-1 ↔ F-110.0.0.4/3010.0.0.5 / 10.0.0.6Area 0
1103C-2 ↔ F-110.0.0.8/3010.0.0.9 / 10.0.0.10Area 0
1104D-1 ↔ D-210.64.0.0/3010.64.0.1 / 10.64.0.2Area 1
1105C-1 ↔ D-110.64.0.4/3010.64.0.5 / 10.64.0.6Area 1
1106C-1 ↔ D-210.64.0.8/3010.64.0.9 / 10.64.0.10Area 1
1107C-2 ↔ D-110.64.0.12/3010.64.0.13 / 10.64.0.14Area 1
1108C-2 ↔ D-210.64.0.16/3010.64.0.17 / 10.64.0.18Area 1
1109D-5 ↔ D-610.128.0.0/3010.128.0.1 / 10.128.0.2Area 2
1110C-1 ↔ D-510.128.0.4/3010.128.0.6 / 10.128.0.5Area 2
1111C-1 ↔ D-610.128.0.8/3010.128.0.9 / 10.128.0.10Area 2
1112C-2 ↔ D-510.128.0.12/3010.128.0.14 / 10.128.0.13Area 2
1113C-2 ↔ D-610.128.0.16/3010.128.0.17 / 10.128.0.18Area 2

说明：1110 与 1112 按现场校对结果取 C-1 .6 / D-5 .5、C-2 .14 / D-5 .13，其余互联地址按学生实验规划表执行。

3.5 OSPF 区域规划

区域类型覆盖网段设备设计要点
Area 0骨干10.0.0.0/30、10.0.0.4/30、10.0.0.8/30、10.0.100.0/24F-1、C-1、C-2核心与防火墙互联；接口 MD5 认证；P2P、hello 1s、BFD
Area 1Stub10.64.0.0/30 ~ 10.64.0.16/30、10.64.21-23.0/24、10.64.100.0/24C-1/C-2（ABR）、D-1/D-2生产区；ABR 侧 stub no-summary，汇总 10.64.0.0/10
Area 2Stub10.128.0.0/30 ~ 10.128.0.16/30、10.128.11-16.0/24、10.128.100.0/24C-1/C-2（ABR）、D-5/D-6办公区；ABR 侧 stub no-summary，汇总 10.128.0.0/10
Area 3普通10.192.31-35.0/24C-1/C-2（ABR）服务器区；汇总 10.192.0.0/10

路由设计遵循四条原则：一是精准宣告，互联链路用 /30、业务网段用 /24，ABR 再汇总为 /10；二是主路径可控，VRRP Master 与 MSTP 根桥对齐在同一台设备，配合 ABR 下发的 total stub 默认路由，使去回程落在同一台核心上；三是减少 LSDB，Area 1/2 用 stub no-summary，区内只保留默认路由和区内明细；四是快速收敛，互联口配置 ospf network-type p2p、ospf timer hello 1，并在两端同时启用 BFD。

3.6 二层高可用设计

链路聚合：D-1↔D-2、D-5↔D-6 各用 2 条双绞线做 LACP 动态聚合，C-1↔C-2 用 G1/0/25-26 两条多模光纤做动态聚合。聚合口配置为 Trunk，只放行本区业务 VLAN、管理 VLAN 和互联 VLAN。华为侧创建 Eth-Trunk，成员口用 eth-trunk 命令加入；华三侧创建 Bridge-Aggregation，成员口用 port link-aggregation group 加入。

MSTP 多域：生产区域名 SC，实例 1 映射 VLAN 21，实例 2 映射 VLAN 22/23/100；办公区域名 BG，实例 1 映射 VLAN 11/12/13，实例 2 映射 VLAN 14/15/16/100；服务器区域名 FWQ，实例 1 映射 VLAN 31/33/100，实例 2 映射 VLAN 32/34/35。三个域各自独立，避免跨域统一计算 CIST 时把互联链路算成阻塞。根桥与 VRRP 主备对齐：D-1 为 SC 域实例 0/1 主根、D-2 为实例 2 主根，D-5/D-6 在 BG 域同理，C-1/C-2 在 FWQ 域互为备份。

VRRP：汇聚设备为每个业务 VLAN 配置 VRRP，主用优先级 120、备用 100，抢占延时 20 秒，主用监控上行互联口，接口故障时优先级降低 20。VIP 与 MSTP 根桥同侧，保证上下行路径一致。

3.7 安全设计

二层侧，全部接入口配置为边缘端口（stp edged-port enable），系统视图开启 BPDU 保护；交换机互联口按最小 VLAN 透传原则配置放行列表，管理 VLAN 100 按区域放行。三层侧，生产区与办公区在汇聚设备的上行口用高级 ACL 做源侧过滤，服务器管理网段在 C-1/C-2 做目的侧保护，登录控制用 ACL 绑定 VTY 只允许管理网段。边界侧，F-1 划分 Trust/Untrust 安全域，配置源 NAT 实现授权网段出网，对外只发布 OA 的必要端口，默认策略为拒绝。

3.8 布线设计

按连接表共 29 条链路：双绞线 23 根（核心到生产与办公汇聚 8 根、汇聚间聚合 4 根、接入到汇聚 9 根、核心到防火墙 2 根），多模光纤 6 根（C-1↔C-2 两条聚合、C-1/C-2 到 D-3/D-4 四条服务器区上联）。双绞线全部现场按 T568B 制作；光纤使用成品跳线，核对光模块与跳线同为多模 850nm。每根线两端贴“本端设备-端口 ↔ 对端设备-端口”标签，与连接表一一对应。

4 实施过程

4.1 第 1 天（10.26）：线缆制作与测试

第一天完成全部物理链路准备。双绞线按 T568B 线序（橙白、橙、绿白、蓝、蓝白、绿、棕白、棕）现场制作：控制剥线长度避免伤到线芯，剪平后把线芯推到底，用压线钳压实，确保针脚刺破线皮与铜芯可靠接触。每根线做完立即用测线仪测试，1-8 号灯依次同步点亮为合格；对线序错乱、接触不良的剪掉水晶头重做，最终 23 根全部通过测试。

6 根多模光纤使用成品跳线，插接前核对光模块类型（多模 850nm）与跳线一致，端面污染时用无水酒精和无尘纸清洁。第一天的工作虽是纯物理层，但线序错误、水晶头压接不实会造成端口不亮、协商异常或丢包，这类故障在多设备组网中最难定位，因此坚持“做好一根、测通一根”。

4.2 第 2 天（10.27）：设备上架、打标与生产区初始配置

  1. 终端环境：PC 上安装 SecureCRT，用 Console 线连接设备，串口参数 9600 波特率、8 数据位、1 停止位、无校验、无流控，确认能正常进入命令行。
  2. 设备加电：13 台交换机与 F-1 逐台上电，观察启动过程，用 display version 核对型号、软件版本和运行状态。
  3. 线缆打标：按连接表给 29 根线两端贴标签，标注本端与对端设备及端口，例如 C-1 G1/0/2 ↔ D-1 G0/0/1；光纤额外标注“多模”。
  4. 插线与连通性：按连接表逐条插到位，观察两端 LINK 灯；对不亮的链路依次检查水晶头、光模块、跳线类型和端口状态，直到物理层全部正常。
  5. 生产区初始配置：修改主机名，配置管理 VLAN 100 与带内管理地址，创建本地账号，开启 SSH，为后续远程下发做准备。

真机接口与模拟器的对应关系是本阶段的重点认知：核心 G1/0/1 上联防火墙，G1/0/2-5 分别下联 D-1、D-2、D-5、D-6，G1/0/25-26 与对端核心聚合，G1/0/27-28 下联服务器区 D-3/D-4；汇聚 G0/0/1-2 上联核心、G0/0/3-4 汇聚间聚合、G0/0/5 起下联接层。模拟器里统一按“真机 G1/0/25-28 → eNSP G0/0/21-24”平移，真机落地必须按设备面板重新核对。

4.3 第 3 天（10.28）：生产区、办公区二层与网关

完成生产区与办公区的 VLAN、Trunk、链路聚合、MSTP 与 VRRP。

VLAN 与端口：生产区业务 VLAN 21/22/23，办公区 VLAN 11-16，管理 VLAN 100，互联 VLAN 1104-1113。接入口华为用 port link-type access 加 port default vlan，华三用 port link-type access 加 port access vlan；互联口配 Trunk，华为 port trunk allow-pass vlan、华三 port trunk permit vlan，只放行本区业务、管理与互联 VLAN。

链路聚合：D-1↔D-2、D-5↔D-6 双绞线聚合，C-1↔C-2 光纤聚合，均为 LACP 动态模式；用 display eth-trunk 或 display link-aggregation verbose 确认成员口 Selected、聚合口 Up。

MSTP：生产区 SC、办公区 BG 两个域，实例映射与根桥主备按设计配置，配置后执行 active region-configuration 激活；用 display stp brief 与 display stp region-configuration 确认根角色与阻塞口分布。

VRRP：生产区 VIP 10.64.21-23.254，办公区 VIP 10.128.11-16.254，主用 120、备用 100，抢占延时 20 秒，主用监控上行互联口，故障时降优先级 20；用 display vrrp brief 逐组核对主备状态，并 ping 网关 VIP 验证可达。

4.4 第 4 天（10.29）：服务器区

服务器区采用“核心兼网关、接入纯二层”的结构。C-1/C-2 创建 VLAN 31-35 与 100，D-3 创建 VLAN 31/33/100，D-4 创建 VLAN 32/34/35/100；C-1/C-2 通过 G1/0/27-28 光口分别连接 D-3、D-4，光口配 Trunk 放行服务器业务 VLAN 与管理 VLAN。接入口按规划划分：D-3 G0/0/3-5 接 OA、G0/0/6-10 接生产控制；D-4 G0/0/3-5 接 ERP、G0/0/6-10 接生产数据、G0/0/11-20 接服务器管理，全部配置为边缘端口并开启 BPDU 保护。

C-1/C-2 在服务器区 VLAN 上配置 VRRP：C-1 为 VLAN 31/33 主用、C-2 为 VLAN 32/34/35 主用，VIP 10.192.31-35.254；主用监控 Vlanif1101 与防火墙侧互联口，任一故障时降优先级，由另一台核心接管。这样服务器 VLAN 的网关和 VRRP 都集中在核心，D-3/D-4 不参与三层路由，故障域更小。

4.5 第 5 天（10.30）：配置修复与优化

前四天的配置能通，但存在“命令敲了没生效”和“跨厂商行为不一致”的问题，第五天集中修复：

  1. MSTP 域一致性：逐台核对域名、实例映射，修改过域配置的设备重新执行 active region-configuration。
  2. Trunk 放行列表：按最小 VLAN 透传原则逐条核对，补齐聚合口遗漏的业务 VLAN，这是解决 VRRP 双主与 Initialize 的关键。
  3. 聚合成员口：核对两端成员口、LACP 模式与聚合口放行列表，确保成员口 Selected。
  4. 华三 STP 开销：在华三设备配置 stp pathcost-standard dot1t，与华为默认的 802.1t 对齐。
  5. 三层互联口 STP：对接入模式的三层互联口执行 undo stp enable，避免跨域 CIST 把互联口阻塞。
  6. VRRP 监控：华三需先在系统视图创建 track 对象再在 VRRP 中引用，华为可直接 track interface；逐组核对优先级、抢占延时与 track 状态。
  7. OSPF stub：ABR 配置 stub no-summary 后，区内所有设备必须配置 stub，否则 E-bit 不匹配、邻居起不来。
  8. 配置保存：华为 save 后确认，华三 save force，再用 display saved-configuration 确认写入启动文件。

4.6 第 6 天（10.31）：二层收尾与备份

逐台核对 A-1~A-5、D-3/D-4 的 access 端口，确认 PVID、VLAN 与端口描述正确，接入口统一配置 stp edged-port enable，系统视图开启 stp bpdu-protection；核对全部 Trunk 放行列表并删除不必要的 VLAN；用 display eth-trunk、display link-aggregation verbose 复核三条聚合链路成员口全部 Selected；用 display stp brief 确认各实例根端口、指定端口、阻塞口分布符合设计，既没有全 FORWARDING 的环路，也没有全 DISCARDING 的断链。最后全部设备保存配置并导出 display current-configuration 作为备份，同步核对机柜位置、标签与连接表一致。

4.7 第 7 天（11.1）：OSPF、防火墙与策略

OSPF：C-1/C-2 作为 ABR 连接 Area 0/1/2/3，F-1 加入 Area 0，D-1/D-2 加入 Area 1，D-5/D-6 加入 Area 2，D-3/D-4 不运行 OSPF。互联链路精准宣告，Area 1/2 在 ABR 侧 stub no-summary、区内设备配置 stub，ABR 侧做三条 /10 汇总；Area 0 互联口配置 MD5 认证，业务 VLAN 配置 silent-interface 阻止网关间建立邻居，互联口配置 P2P 与 hello 1，核心与防火墙互联启用 BFD。验证时用 display ospf peer 确认邻居全部 Full（C-1/C-2 各 6 个，D-1/D-2/D-5/D-6 各 3 个，F-1 2 个），用 display ip routing-table protocol ospf 确认学到三条汇总。

防火墙：登录 F-1 修改默认密码，配置 ETH0/ETH1 为内网接口、ETH2/ETH3 为外网接口，划分 Trust/Untrust 安全域；配置与 C-1/C-2 的 /30 互联地址并在 Area 0 运行 OSPF；按“先精确、后宽泛、默认拒绝”配置安全策略，Trust→Untrust 只对授权网段放行，Untrust→内网默认拒绝、仅发布 OA 必要端口；配置源 NAT 实现授权网段出网。验证时从生产与办公终端访问互联网地址确认被拒绝，从外网测试未发布端口确认被拒绝，并查看策略命中计数与会话表。

ACL 与 SSH：按策略矩阵配置高级 ACL，生产区在 D-1/D-2、办公区在 D-5/D-6 上行口做源侧过滤，服务器管理网段在 C-1/C-2 做目的侧保护，登录控制用 ACL 绑定 VTY；全部交换机启用 SSH 并关闭 Telnet，用 SecureCRT 以 SSH2 登录逐台确认，非管理网段无法登录。

4.8 实施中的问题与处理

序号现象原因处理结果
1华三、华为命令互不识别permit/allow-pass、Bridge-Aggregation/Eth-Trunk、Vlan-interface/Vlanif 关键字不同按命令对照表逐条翻译，先小范围试配再批量下发命令生效
2VRRP 状态 Initialize 或双主聚合口漏放行业务 VLAN，VRRP 报文过不去聚合口改 Trunk 并补齐放行列表主备正常
3聚合成员口 Unselect两端成员口不一致、LACP 模式不同两端统一成员口与动态模式Selected、Up
4OSPF 邻居卡在 ExStart/2-WayABR 配了 stub no-summary，区内设备没配 stub，E-bit 不匹配区内设备全部补 stub邻居 Full
5三层互联口被 STP 阻塞跨域 CIST 统一计算，把互联口算成 ALTE/DISCARDING三层互联口 undo stp enable冗余路径恢复
6华三与华为 STP 开销不一致两家默认路径开销标准不同华三配置 stp pathcost-standard dot1t根端口符合设计
7华三 VRRP 监控不生效华三需先建 track 对象，不能直接 track interface系统视图建 track，VRRP 引用并设 reduced切换正常
8单条上行故障不切换120-20=100 与备机持平，不抢占由 OSPF 绕行兜底；如需切换则调大 reduced 或上 BFD业务不中断
9光纤链路不亮光模块与跳线类型不匹配、端面污染或端口 shutdown核对多模类型、清洁端面、undo shutdownLINK 亮
10设备重启后配置丢失未写入启动文件华为 save、华三 save force配置保留
11防火墙策略不生效策略顺序、方向或 NAT 匹配条件不对按先精确后宽泛、默认拒绝排序，核对源目与服务命中计数正常
12SSH 登录失败未生成密钥、用户服务类型不对或 VTY 未放行生成 RSA 密钥、service-type ssh、protocol inbound ssh登录成功

5 关键技术实现

5.1 最小 VLAN 透传

交换机之间的 Trunk 口只放行三类 VLAN：本区业务 VLAN、管理 VLAN 100、互联 VLAN。不必要的 VLAN 一律不透传，既能限制广播域范围，也避免某台设备的 VLAN 新增导致全网红树。实施中按“先列清单、再逐口核对”的方法，用 display port vlan active 与 display current-configuration 比对，把漏放行和多放行都找出来——VRRP 双主的根因就出在这里。

5.2 链路聚合

三条聚合链路都采用 LACP 动态模式，成员口必须同速率、同双工、同 VLAN 放行列表。华为侧建 Eth-Trunk、成员口 eth-trunk 加入；华三侧建 Bridge-Aggregation、成员口 port link-aggregation group 加入。聚合口本身配 Trunk 并放行业务与互联 VLAN，成员口不加任何 VLAN 配置。验证时看两点：成员口状态为 Selected、聚合口 Up；断开一条成员链路后业务不中断。

5.3 MSTP 多域与跨厂商开销

生产、办公、服务器三个二层域分别建域，实例按业务 VLAN 划分，根桥与 VRRP 主备同侧。跨域互联链路是三层口（access 模式划入互联 VLAN 并 undo stp enable），不参与 STP 计算，从根本上消除“跨域统一 CIST 把互联口阻塞”的问题。华为默认路径开销标准是 802.1t，华三需要显式配置 stp pathcost-standard dot1t，否则两端算出的开销不同，根端口和阻塞口就会与设计不符。

5.4 VRRP 主备与上行监控

每个业务 VLAN 一个 VRRP 组，vrid 与 VLAN 号一致，VIP 为 .254，主用 120、备用 100，抢占延时 20 秒。主用设备监控上行互联口，接口故障时优先级降 20，由备用接管。两家厂商的差异在监控机制：华为可直接在 VRRP 中 track interface，华三必须先在系统视图创建 track 对象（track 1 interface Vlan-interface 1110），再在 VRRP 中引用 track 1 priority reduced 20。配置完成后用 display vrrp brief 与 display vrrp 双向核对。

5.5 OSPF 多区域与优化

四个区域按业务划分，ABR 落在两台核心上。优化手段包括：互联口 P2P 网络类型（不选 DR/BDR，加快收敛）、hello 1 秒、Area 1/2 的 total stub（区内只保留默认路由）、三条 /10 汇总（减少跨区明细）、业务 VLAN 静默（不建立无谓邻居）、Area 0 接口 MD5 认证（防止非法设备加入骨干）、关键链路 BFD（毫秒级检测）。验证时对比优化前后的 display ospf lsdb 条目数，确认汇总与 stub 生效。

5.6 ACL 与防火墙策略

ACL 采用“源侧过滤 + 目的侧保护”的双向思路：生产与办公区在汇聚上行口对出方向做源侧过滤，把不该去的网段挡在源头；服务器管理网段在核心做目的侧保护，即使源侧漏配也不会被访问。华为用 acl number 加 traffic-filter，华三用 acl advanced 加 packet-filter，规则顺序遵循“先精确、后宽泛、末尾默认拒绝”。防火墙侧按安全域配置策略，出网用源 NAT，对外只做必要端口映射，并在策略中限制源地址范围。

5.7 SSH 安全管理

全部交换机启用 SSH 并关闭 Telnet：生成 RSA 本地密钥，创建权限 15 的本地用户并指定 service-type ssh，VTY 下认证方式改为 AAA、protocol inbound ssh，再用 ACL 限制登录源网段。验证方式是双面的：管理网段用 SSH 能登录、用 Telnet 登录失败、非管理网段 SSH 也被拒绝。

5.8 华为与华三命令差异

功能华为华三
创建 VLANvlan batch 10 20vlan 10 / vlan 20（不支持 batch 罗列）
Access 口port link-type access + port default vlanport link-type access + port access vlan
Trunk 放行port trunk allow-pass vlanport trunk permit vlan
链路聚合Eth-Trunk + eth-trunkBridge-Aggregation + port link-aggregation group
三层接口VlanifVlan-interface
VRRP 监控track interface Vlanif先建 track 对象再引用
STP 开销默认 802.1t需 stp pathcost-standard dot1t
保存savesave force

6 验证与测试

6.1 验证方法

采用三层验证：先核对配置（display 命令看实际配置与运行状态，与设计值逐项比对），再看协议状态（VLAN、聚合、MSTP、VRRP、OSPF 邻居与路由表是否真正收敛），最后做业务验证（ping/tracert 验证连通与路径，断链验证切换，策略测试验证允许与拒绝）。不以“命令执行成功”作为完成标准。

6.2 二层验证

检查项命令预期结果
VLAN 创建display vlan业务、管理、互联 VLAN 齐全，端口归属正确通过
端口类型与 PVIDdisplay port vlan activeAccess 口 PVID 为业务 VLAN，Trunk 放行符合最小透传通过
链路聚合display eth-trunk / display link-aggregation verbose成员口 Selected，聚合口 Up，成员数 2通过
MSTP 域display stp region-configuration域名 SC/BG/FWQ，实例映射一致通过
根桥与阻塞口display stp brief根桥、根端口、阻塞口符合规划，无环路无断链通过
边缘端口与 BPDU 保护display stp brief接入口为边缘端口，保护已开启通过

6.3 三层验证

检查项命令预期结果
Vlanif 状态display ip interface brief地址正确，Physical/Protocol 双 Up通过
VRRP 主备display vrrp briefMaster/Backup 与规划一致通过
VRRP 细节display vrrp优先级 120/100，抢占 20s，track Up通过
OSPF 邻居display ospf peer全部 Full（C-1/C-2 各 6、D 层各 3、F-1 2）通过
OSPF 接口类型display ospf interface互联口 P2P，无 DR/BDR通过
区域类型display ospf briefArea 1/2 为 Stub，ABR 侧 No-Summary通过
路由表display ip routing-table protocol ospf学到 10.64/10.128/10.192 三条 /10 汇总通过

6.4 跨区连通性

源目的说明结果
D-110.192.31.254生产 → 服务器区 OA 网关通
D-110.128.12.254生产 → 办公区销售网关通
D-510.64.21.254办公 → 生产区车间 1 网关通
D-510.192.35.254办公 → 服务器管理网关通
C-110.64.23.254核心 → 车间 3 网关通
C-210.128.16.254核心 → 研发部网关通

tracert 检查路径：生产区到服务器区经“接入→汇聚→核心→服务器接入”，办公区到生产区经“接入→汇聚→核心→生产汇聚”，无绕行。

6.5 冗余切换

项目方法预期结果
VRRP 双上行切换断开 D-1 两条上行D-2 接管 Master约 26 秒完成，通过
切换期间业务持续 ping 网关 VIP不中断通过
VRRP 回切恢复双上行D-1 抢回 Master约 29 秒，通过
OSPF 邻居收敛断开 C-1↔D-1 互联口路由改走 C-2约 3 秒，通过
单条上行故障只断一条上行不切换，经另一条转发通过（优先级 120→100）

说明：量化时间来自 eNSP 预演环境实测，用于验证设计逻辑；真机按同样断链方法验证，主备切换与邻居收敛均符合预期，具体秒数受设备性能与链路参数影响，报告不虚构精确数值。

6.6 安全策略验证

测试预期结果
生产终端访问办公区销售/研发允许通过
生产终端访问财务部拒绝通过
生产终端访问 OA、生产控制允许通过
生产终端访问互联网拒绝通过
办公部门互访允许通过
财务终端访问其他部门拒绝通过
办公终端访问服务器区 OA允许通过
办公终端访问 ERP、生产数据拒绝通过
办公终端访问互联网拒绝通过
运维终端访问服务器管理网段与 VLAN 100允许通过
普通终端访问管理网段拒绝通过
外网访问未发布端口拒绝通过
交换机 SSH 登录 / Telnet 登录成功 / 失败通过

6.7 验证结论

14 台设备全部上电、连线、打标，29 条链路物理层正常；三个 MSTP 域的根桥、实例映射与阻塞口符合设计，无环路无断链；14 组 VRRP 主备状态符合规划、网关 VIP 可达，双上行故障可切换、单条上行故障由 OSPF 兜底；OSPF 四区邻居全部 Full，跨区汇总与默认路由正确，六条跨区 ping 全通；ACL 与防火墙策略按矩阵生效；13 台交换机 SSH 正常、Telnet 已关闭。

7 项目总结

7.1 完成情况

七天完成了从物理层到应用层的完整实施：29 条链路（23 根双绞线现场制作并测通、6 根多模光纤插接）全部正常；VLAN、Trunk、三条链路聚合、三个 MSTP 域、边缘端口与 BPDU 保护落地；13 条 /30 互联、14 组 VRRP、四个 OSPF 区域、三条 /10 汇总、Area 0 认证、静默接口、P2P 与 BFD 配置完成；生产、办公、财务、管理网段的 ACL 与边界防火墙策略生效；13 台交换机统一 SSH 管理并关闭 Telnet。

7.2 技术收获

  1. 从“照着敲命令”转向“先理解设计”。MSTP 根桥为什么要与 VRRP Master 对齐、Trunk 为什么要最小透传、OSPF 为什么要分区域和 total stub，这些问题想清楚了，排障时才能从现象反推原因。
  2. 跨厂商能力是本次最大的收获。同样的功能，两家在命令关键字、聚合方式、VRRP 监控机制、STP 开销标准上全不相同，靠命令对照表加小范围试配，形成了可复用的做法。
  3. 建立了验证习惯。配置完成不等于业务可用，必须用 display 看协议状态、用 ping/tracert 看路径、用断链看冗余，才能避免“看起来配好了”的假象。
  4. 认识到物理层的基础作用。线序、水晶头、光模块、标签这些小事直接决定上层协议能否正常工作，前两天做扎实，后面排障成本明显降低。

7.3 不足与改进

  1. VRRP 切换是 20 秒级而非秒级：当前依靠优先级比较加 20 秒抢占延时，双上行故障约 26-33 秒完成切换。若要秒级，需调小抢占延时、增大 track 降低值或启用 BFD。
  2. 单条上行故障不触发切换：120-20=100 与备机持平，由 OSPF 绕行兜底。若设计要求“任一上行故障即切换”，需把 reduced 调到 30 或 40。
  3. 防火墙为单节点，无 HA，边界存在单点。
  4. 终端业务验证不足：本阶段主要验证到网关和跨区 ping，终端到终端的应用层验证不够。
  5. 自动化程度有限：下发、审计、故障测试仍是脚本加手工，后续可把验证清单做成自动化脚本。

7.4 后续扩展

补充防火墙双机热备与全网 BFD，把边界单点和秒级收敛两个问题一并解决；增加终端与业务流量测试、IPv6 与网管平台；把本次的配置整理成带注释、可复用的命令清单，做到换人也能照着下发。

8 心得体会

七天下来，最直接的变化不是多记住了几十条命令，而是对“做工程”这件事的理解变了。刚进实验室时，我以为网络配置就是把命令敲进设备，能 ping 通就算完成；真正上手之后才明白，敲命令是整个流程里最靠后、也最省事的一环，前面想没想清楚、线做得规不规范、验没验到位，才决定最后能不能一次做成。

8.1 先想明白，再动手

第一天拿到《设备连接表》，我的第一反应是赶紧把设备配起来，结果头两天几乎都在返工。后来按老师的要求，先把 29 条链路在纸上重画一遍，标清每台设备的角色、每根线两端落在哪个口、每个 VLAN 的网关该由谁承担，再回头看命令，很多参数突然有了来处：互联口为什么用 /30、VRRP 的 VIP 为什么必须和网关同网段、MSTP 的根桥为什么要和 VRRP 主对齐、OSPF 为什么要在 ABR 上做汇总。想清楚之后再敲，错误率明显下降，第五、第六天的返工量也比前两天少得多。

配置命令本质上是对设计的“翻译”。设计没想清楚，命令敲得再熟，也只是把一个错误稳定地固化在设备里，而且更难查。

8.2 最不起眼的环节最容易出事

第一天做 23 根双绞线，压接时有两根把白橙和橙排反了，测线仪一测 3、6 芯不通，只能剪掉重做。当时觉得这是没有技术含量的体力活，心里并不重视。可后面真正卡住进度的问题，追到最后大多在最底层：光纤不亮是光模块类型与跳线不匹配、端面有污染；聚合口成员 Unselect 是两端成员口对不上；业务不通是某台设备漏放行了一个 VLAN。

这些事教会我一点：网络工程里没有“低技术含量”的环节，只有“暂时还没出问题的环节”。把标签贴对、把线序做对、把每个口的用途写进表里，省下的是后面成倍的排障时间。

8.3 排障靠假设和验证，不靠重复敲命令

印象最深的是三层互联口被 STP 阻塞。发现跨区不通时，我第一反应是反复 undo shutdown、换线、重启，做了好几轮都没有效果。停下来改用“先看现象、再列可能、再逐条验证”的办法：display stp brief 看到互联口是 ALTE/DISCARDING，才想到 CIST 是跨域统一计算的，三层互联口本就不该参与 STP，加一条 undo stp enable 就解决了。后面的 VRRP 双主（聚合口没放行业务 VLAN）、OSPF 卡在 ExStart（区内设备没配 stub，E-bit 不匹配），都是同一个套路查出来的。

我给自己定了一条规矩：同一个动作做两次没效果，就停下换方法，而不是加大力度重复。排障的目的不是“多试几遍”，而是把现象一步步收敛到唯一的原因上。

8.4 命令是壳，机制才是核

这次最大的认知冲击来自华三和华为的差异。一开始我靠命令对照表硬背，背了就忘，还容易记串：把 port trunk permit 写到华为上，把 Bridge-Aggregation 记成 Eth-Trunk。后来改成先问“这件事的本质是什么”——Trunk 就是带标签放行哪些 VLAN，链路聚合就是把多条链路当成一个口来用，VRRP 就是两台设备对外共用一个虚拟网关和虚拟 MAC。想明白机制再去看两家的写法，对照表就从“要背的清单”变成了“查一下就行”的工具。

跨厂商、跨版本都不可怕，可怕的是只会背某一家的命令。真机上换个品牌、换个版本，背下来的东西立刻失效，理解下来的东西还能迁移。

8.5 规范和文档是给未来的自己看的

sysname 按“区域-角色-序号”命名、每根线两端贴标签、配置完 save、导出 current-configuration 存档、把命令整理成清单——做的时候琐碎又费时间，价值却在返工那天体现出来：能对着清单逐台核对，能在十几分钟内定位到是哪台设备的哪个口漏了 VLAN。写这份报告、整理附录时也是同样的感受，如果当时没有留记录，现在只能靠回忆估算。

可复核、可交接，是“工程”和“自己玩玩”的分界线。这也是我这次体会最深的一条。

8.6 关于团队和责任心

组内是按区域分工的，一个人配错，全组都要陪着返工：有一次 A 层的接入口漏了边缘端口和 BPDU 保护，接上终端后 STP 拓扑反复震荡，几个人一起查到晚上才定位。后来我们改成关键配置互相复核——Trunk 放行列表、VRRP 优先级、聚合成员口，交上去之前由另一个人对着表核一遍，效率反而更高。

冯老师几次强调“配置完必须验证、验证要留记录”，一开始我觉得多余，直到有一次口头上说“已经通了”，复验时发现跨区第二条路径其实没起来。网络是多人共用的，一条命令下去影响的是别人的业务，责任心比技术更先决。

8.7 不足与下一步

这七天让我确认了一件比较确定的事：我喜欢这种把复杂系统一点点理顺、最后让整张网按设计跑起来的工作。但短板也看得很清楚——OSPF 还停在“会用”的层面，LSA 类型、区域间防环这些机制说不透；防火墙只做到策略能通，NAT 细节和双机热备没深入；自动化只到脚本辅助检查，离真正的配置管理与持续验证还有距离。

下一步打算把 BFD、防火墙 HA 和自动化验证这三块补上，同时把这次的命令清单整理成带注释、换人也能照着下发的模板。也很感谢冯老师这几天在现场一次次把我们拉回到“先想清楚、再验证”的路子上，这些习惯比具体某条命令更有用。

附录 A 设备连接表（29 条）

序号源设备源端口目标设备目标端口说明
1C-1G1/0/1F-1G1/0/1双绞线
2C-1G1/0/2D-1G0/0/1双绞线
3C-1G1/0/3D-2G0/0/1双绞线
4C-1G1/0/4D-5G0/0/1双绞线
5C-1G1/0/5D-6G0/0/1双绞线
6C-1G1/0/25C-2G1/0/25多模光纤（聚合）
7C-1G1/0/26C-2G1/0/26多模光纤（聚合）
8C-1G1/0/27D-3G1/0/25多模光纤
9C-1G1/0/28D-4G1/0/25多模光纤
10C-2G1/0/1F-1G0/0/0双绞线
11C-2G1/0/2D-1G0/0/2双绞线
12C-2G1/0/3D-2G0/0/2双绞线
13C-2G1/0/4D-5G0/0/2双绞线
14C-2G1/0/5D-6G0/0/2双绞线
15C-2G1/0/27D-3G1/0/26多模光纤
16C-2G1/0/28D-4G1/0/26多模光纤
17D-1G0/0/3D-2G0/0/3双绞线（聚合）
18D-1G0/0/4D-2G0/0/4双绞线（聚合）
19D-1G0/0/5A-1G0/0/1双绞线
20D-1G0/0/6A-2G0/0/1双绞线
21D-2G0/0/5A-1G0/0/2双绞线
22D-2G0/0/6A-2G0/0/2双绞线
23D-2G0/0/7A-3G0/0/1双绞线
24D-5G0/0/3D-6G0/0/3双绞线（聚合）
25D-5G0/0/4D-6G0/0/4双绞线（聚合）
26D-5G0/0/5A-4G0/0/1双绞线
27D-5G0/0/6A-5G0/0/1双绞线
28D-6G0/0/5A-4G0/0/2双绞线
29D-6G0/0/6A-5G0/0/2双绞线
# 网络 # 服务器 # 运维
Logo
DAMO开发者矩阵

DAMO开发者矩阵，由阿里巴巴达摩院和中国互联网协会联合发起，致力于探讨最前沿的技术趋势与应用成果，搭建高质量的交流与分享平台，推动技术创新与产业应用链接，围绕“人工智能与新型计算”构建开放共享的开发者生态。

更多推荐

cover

超级具身智能集群协作研究（21）：群体智能涌现与宏观秩序调控机制详解

avatar DAMO开发者矩阵
cover

超级具身智能集群协作研究（18）：基于FRA的断点续传与状态一致性恢复机制

avatar DAMO开发者矩阵
cover

超级具身智能集群协作研究（24）：基于FRA的人机回环协同与可信干预机制

avatar DAMO开发者矩阵