驗(yàn)：用HCL模擬器串聯(lián)VLAN、DHCP、NAT與靜態(tài)路由)
說實(shí)話H3CNE 的官方教材我翻過不止一遍VLAN、DHCP、靜態(tài)路由、NAT 這些知識(shí)點(diǎn)單個(gè)拿出來都不算難PPT 上的配置命令也都能看懂。但到了自己動(dòng)手的時(shí)候才會(huì)發(fā)現(xiàn)真正的問題不是“這條命令怎么寫”而是“這條命令應(yīng)該出現(xiàn)在哪個(gè)環(huán)節(jié)”。我這個(gè) HCL_H3CNE綜合實(shí)驗(yàn)就是沖著這個(gè)問題去的。用官方 HCL 模擬器搭一套從終端、交換機(jī)、路由器到模擬互聯(lián)網(wǎng)的全鏈路網(wǎng)絡(luò)把 VLAN、Trunk、VLAN 間路由、DHCP、靜態(tài)路由、NAT、遠(yuǎn)程管理全部串在同一個(gè)場(chǎng)景里一步一步敲完、驗(yàn)證完你對(duì) H3CNE 核心內(nèi)容的理解會(huì)比刷十遍題都扎實(shí)。這篇文章會(huì)把整套實(shí)驗(yàn)從拓?fù)湟?guī)劃、地址分配、設(shè)備配置到排錯(cuò)思路完整拆開適合正在備考 H3CNE、或者剛接觸 H3C 設(shè)備想動(dòng)手拉通的讀者。1. 綜合實(shí)驗(yàn)的設(shè)計(jì)思路與知識(shí)串聯(lián)1.1 為什么一定要做“串聯(lián)型”實(shí)驗(yàn)H3CNE 的考試范圍很寬包括以太網(wǎng)技術(shù)、VLAN、STP、IP 地址規(guī)劃、靜態(tài)路由、動(dòng)態(tài)路由、ACL、NAT、DHCP、遠(yuǎn)程管理等。常見的復(fù)習(xí)方式是每個(gè)模塊單獨(dú)搭一個(gè)小實(shí)驗(yàn)比如今天練 VLAN明天練靜態(tài)路由。這種做法的好處是快壞處是知識(shí)是割裂的——考試也不會(huì)只考一個(gè)點(diǎn)它默認(rèn)你腦子里有一條完整的數(shù)據(jù)面路徑。我設(shè)計(jì)這套實(shí)驗(yàn)的初衷很簡單模擬一家小公司從零建設(shè)一張網(wǎng)絡(luò)。公司有兩個(gè)網(wǎng)段一個(gè)給辦公終端一個(gè)給服務(wù)器區(qū)出口接一臺(tái)邊界路由器通過運(yùn)營商專線訪問“互聯(lián)網(wǎng)”希望全網(wǎng)終端自動(dòng)獲取 IP同時(shí)辦公室能訪問互聯(lián)網(wǎng)。這就天然把 H3CNE 絕大多數(shù)知識(shí)點(diǎn)串了起來因?yàn)槿魏我粋€(gè)環(huán)節(jié)斷了最終聯(lián)網(wǎng)測(cè)試就過不了。1.2 數(shù)據(jù)包視角下的完整鏈路這套實(shí)驗(yàn)里最有價(jià)值的部分是你能用一個(gè)數(shù)據(jù)包的視角把整條鏈路講清楚。假設(shè)辦公網(wǎng)的一臺(tái) PC 要訪問互聯(lián)網(wǎng)上的某個(gè)地址數(shù)據(jù)包是這樣走的PC 根據(jù)本地路由把數(shù)據(jù)包交給網(wǎng)關(guān)也就是交換機(jī)上 VLAN 10 的虛擬接口地址。交換機(jī)收到數(shù)據(jù)包查找路由表發(fā)現(xiàn)默認(rèn)路由指向出口路由器。交換機(jī)把數(shù)據(jù)包從上游接口轉(zhuǎn)發(fā)給路由器。路由器再次查路由表發(fā)現(xiàn)目標(biāo)地址不在本地直連網(wǎng)段于是按照默認(rèn)路由轉(zhuǎn)發(fā)給下一跳也就是模擬運(yùn)營商的另一臺(tái)路由器。數(shù)據(jù)包從路由器出口接口出去之前被 NAT 處理源地址從辦公網(wǎng)段變成出口接口的公網(wǎng)地址。運(yùn)營商路由器收到數(shù)據(jù)包發(fā)現(xiàn)目標(biāo)地址是本地回環(huán)接口于是回包?；匕贩祷芈酚善髯?NAT 反向轉(zhuǎn)換交換機(jī)根據(jù) ARP 找到 PCPC 收到響應(yīng)。每一步都對(duì)應(yīng) H3CNE 教材里的一個(gè)章節(jié)。你做這個(gè)實(shí)驗(yàn)的時(shí)候每個(gè)命令都是在為這條路徑補(bǔ)一塊磚而不是孤立地在敲配置。1.3 實(shí)驗(yàn)組網(wǎng)模型與地址規(guī)劃本實(shí)驗(yàn)的設(shè)備清單很簡單都在 HCL 模擬器自帶列表里兩臺(tái)路由器型號(hào) MSR36-20一臺(tái)作為公司出口網(wǎng)關(guān)一臺(tái)模擬運(yùn)營商。兩臺(tái)交換機(jī)型號(hào) S5820V2-52QF其中核心交換機(jī)承擔(dān)三層轉(zhuǎn)發(fā)另一臺(tái)只做二層接入。兩臺(tái) PC 終端一臺(tái)接辦公網(wǎng)一臺(tái)接服務(wù)器區(qū)。拓?fù)潢P(guān)系如下PC1辦公終端── SW1三層核心── R1出口網(wǎng)關(guān)── R2模擬運(yùn)營商 PC2服務(wù)器── SW2二層接入 ──┘為了便于理解配置命令我給每臺(tái)設(shè)備都定了明確的角色SW1 是核心交換機(jī)所有 VLAN 的網(wǎng)關(guān)都在它身上SW2 是接入交換機(jī)負(fù)責(zé)把服務(wù)器網(wǎng)段的終端接入進(jìn)來R1 是出口路由器掌管 NAT 和默認(rèn)路由R2 完全模擬運(yùn)營商只做一個(gè)回環(huán)接口來代表互聯(lián)網(wǎng)上的一臺(tái)服務(wù)器。地址規(guī)劃是整個(gè)實(shí)驗(yàn)的地基我在搭之前先列了一張表保證每個(gè)網(wǎng)段之間沒有沖突也方便后續(xù)排查區(qū)域網(wǎng)段網(wǎng)關(guān)說明辦公終端 VLAN 10192.168.10.0/24192.168.10.254SW1DHCP 分配 10~200服務(wù)器終端 VLAN 20192.168.20.0/24192.168.20.254SW1DHCP 分配 10~200核心到出口互聯(lián)鏈路192.168.100.0/30192.168.100.1R1SW1 側(cè)為 .2出口到運(yùn)營商鏈路12.1.1.0/3012.1.1.1R1R2 側(cè)為 .2模擬互聯(lián)網(wǎng)服務(wù)器1.1.1.1/32無R2 回環(huán)接口這里有一個(gè)小設(shè)計(jì)思路值得注意核心交換機(jī)和出口路由器之間我特意用了 192.168.100.0/30 這個(gè)單獨(dú)網(wǎng)段而不是直接復(fù)用一個(gè)業(yè)務(wù) VLAN。這樣可以保證核心交換機(jī)上業(yè)務(wù)網(wǎng)段和上行網(wǎng)段是隔離的配置路由和排查問題的時(shí)候腦回路更清晰也符合實(shí)際工程里“互聯(lián)地址單獨(dú)規(guī)劃”的習(xí)慣。2. 基于 HCL 搭建實(shí)驗(yàn)環(huán)境與初始化2.1 HCL 模擬器安裝要點(diǎn)HCL 是 H3C 官方出的網(wǎng)絡(luò)模擬工具目前常見版本是 5.x 系列安裝包里通常帶 VirtualBox 環(huán)境。如果你是第一次裝有幾個(gè)容易踩坑的地方我先說清楚。第一建議用管理員身份安裝和運(yùn)行。模擬器底層要調(diào)用虛擬化組件權(quán)限不夠會(huì)出現(xiàn)設(shè)備啟動(dòng)失敗、控制臺(tái)無響應(yīng)的問題。第二Windows 自帶的 Hyper-V 或者其他虛擬機(jī)平臺(tái)如果開啟可能和 VirtualBox 沖突。我遇到的情況是設(shè)備能拖到拓?fù)淅锏珕?dòng)后一直停在“Starting”狀態(tài)后來關(guān)掉內(nèi)核級(jí)虛擬化相關(guān)功能才恢復(fù)正常。第三殺毒軟件對(duì)模擬器的進(jìn)程和虛擬網(wǎng)絡(luò)網(wǎng)卡有時(shí)會(huì)誤報(bào)安裝或運(yùn)行前最好把相關(guān)目錄加白名單。HCL 的使用邏輯和競品不太一樣它是靠拖動(dòng)設(shè)備圖標(biāo)到畫布上然后連接鏈路。連接鏈路的時(shí)候要特別注意接口名能不能對(duì)得上。你拖一臺(tái)交換機(jī)到畫布上雙擊能看到接口列表連接時(shí)鼠標(biāo)點(diǎn)住一個(gè)接口拖到另一臺(tái)設(shè)備的接口上系統(tǒng)會(huì)自動(dòng)識(shí)別鏈路類型。2.2 設(shè)備選型與啟動(dòng)順序我的設(shè)備選擇如下交換機(jī)用 S5820V2-52QF路由器用 MSR36-20。S5820V2 在 HCL 里是三層交換機(jī)能配置 VLAN 接口和路由這個(gè)很關(guān)鍵。如果選成了純二層交換機(jī)VLAN 間路由就做不了整個(gè)實(shí)驗(yàn)的轉(zhuǎn)發(fā)邏輯就斷了。模擬器里的設(shè)備不能一次性全部啟動(dòng)不然電腦資源很容易吃滿。我建議按網(wǎng)絡(luò)拓?fù)鋸纳系较碌捻樞騿?dòng)先啟動(dòng)最下層的終端 PC再啟動(dòng)交換機(jī)最后啟動(dòng)路由器。實(shí)際上 HCL 對(duì)啟動(dòng)順序沒有強(qiáng)制要求但后啟動(dòng)的設(shè)備會(huì)主動(dòng)完成鏈路協(xié)商日志看起來更干凈。啟動(dòng)完成后設(shè)備圖標(biāo)從紅色變成綠色雙擊控制臺(tái)能出現(xiàn)命令行提示符再開始配置。2.3 主機(jī)PC的初始化設(shè)置HCL 里的 PC 并不是真實(shí)操作系統(tǒng)而是一個(gè)可配置簡單 IP 和命令行測(cè)試的小工具。雙擊 PC 圖標(biāo)點(diǎn)擊“配置”可以看到網(wǎng)絡(luò)參數(shù)頁面。這里有兩種方式一種是手動(dòng)填 IP、掩碼、網(wǎng)關(guān)另一種是選擇 DHCP 自動(dòng)獲取。本實(shí)驗(yàn)里我用了 DHCP目的就是為了驗(yàn)證 DHCP 服務(wù)器配置是否正確。需要提醒的是HCL 的 PC 啟動(dòng)后并不會(huì)自動(dòng)觸發(fā) DHCP 請(qǐng)求。你要在配置頁面先選一次 DHCP 模式再點(diǎn)應(yīng)用終端才會(huì)重新請(qǐng)求地址。如果之后你改了 DHCP 服務(wù)器的地址池最好回到 PC 配置頁再應(yīng)用一次而不是直接 ping否則拿到的可能還是舊地址。3. 核心配置全流程實(shí)操3.1 接入層VLAN 與 Trunk 配置第一步是配置 VLAN 和端口類型。我先把核心交換機(jī) SW1 的基礎(chǔ) VLAN 建好再把終端和上行端口劃分到對(duì)應(yīng) VLAN。H3C system-view [H3C] sysname SW-Core [SW-Core] vlan 10 [SW-Core-vlan10] description Office_Network [SW-Core-vlan10] quit [SW-Core] vlan 20 [SW-Core-vlan20] description Server_Network [SW-Core-vlan20] quit [SW-Core] vlan 100 [SW-Core-vlan100] description To_R1 [SW-Core-vlan100] quitPC1 接到 SW1 的 1/0/1 口這個(gè)端口是接入模式劃分到 VLAN 10。PC2 接到 SW2 的 1/0/2 口屬于 VLAN 20。兩塊交換機(jī)之間的互聯(lián)鏈路我采用了 Trunk放行 VLAN 10 和 20。下面是 SW1 上的端口配置。[SW-Core] interface GigabitEthernet1/0/1 [SW-Core-GigabitEthernet1/0/1] port link-type access [SW-Core-GigabitEthernet1/0/1] port access vlan 10 [SW-Core-GigabitEthernet1/0/1] quit [SW-Core] interface GigabitEthernet1/0/24 [SW-Core-GigabitEthernet1/0/24] port link-type trunk [SW-Core-GigabitEthernet1/0/24] port trunk permit vlan 10 20 [SW-Core-GigabitEthernet1/0/24] quit這里有一個(gè)新手極易混淆的點(diǎn)Access 端口只屬于一個(gè) VLANTrunk 端口則需要在語句里明確放行哪些 VLAN。H3C 設(shè)備默認(rèn) Trunk 只放行 VLAN 1如果你寫了port trunk permit vlan all當(dāng)然也可以但實(shí)驗(yàn)里我更推薦顯式寫出vlan 10 20逼自己搞清楚哪些業(yè)務(wù)流量要過中繼鏈路。接入交換機(jī) SW2 的配置邏輯相同只需要把 VLAN 10 和 20 建好端口 1/0/2 劃到 VLAN 20上行口 1/0/24 做成 Trunk。H3C system-view [H3C] sysname SW-Access [SW-Access] vlan 10 [SW-Access-vlan10] description Office_Network [SW-Access-vlan10] quit [SW-Access] vlan 20 [SW-Access-vlan20] description Server_Network [SW-Access-vlan20] quit [SW-Access] interface GigabitEthernet1/0/2 [SW-Access-GigabitEthernet1/0/2] port link-type access [SW-Access-GigabitEthernet1/0/2] port access vlan 20 [SW-Access-GigabitEthernet1/0/2] quit [SW-Access] interface GigabitEthernet1/0/24 [SW-Access-GigabitEthernet1/0/24] port link-type trunk [SW-Access-GigabitEthernet1/0/24] port trunk permit vlan 10 20 [SW-Access-GigabitEthernet1/0/24] quit3.2 三層核心VLAN 接口與 VLAN 間路由所有 VLAN 的網(wǎng)關(guān)都放在 SW1 上。在 H3C 設(shè)備上VLAN 接口就是路由接口配置了 IP 地址之后二層廣播域之間就可以通過它路由。這是實(shí)現(xiàn) VLAN 間通信的關(guān)鍵一步。SW1 繼續(xù)配置[SW-Core] interface Vlan-interface10 [SW-Core-Vlan-interface10] ip address 192.168.10.254 255.255.255.0 [SW-Core-Vlan-interface10] quit [SW-Core] interface Vlan-interface20 [SW-Core-Vlan-interface20] ip address 192.168.20.254 255.255.255.0 [SW-Core-Vlan-interface20] quit [SW-Core] interface Vlan-interface100 [SW-Core-Vlan-interface100] ip address 192.168.100.2 255.255.255.252 [SW-Core-Vlan-interface100] quitVLAN 100 是我專門劃給 SW1 和 R1 互聯(lián)的鏈路網(wǎng)段。SW1 的 1/0/23 端口作為上行口接 R1同樣劃為 Access 并加入 VLAN 100。這樣一個(gè)核心交換機(jī)上就同時(shí)存在三個(gè)三層接口它自己就是一臺(tái)路由器只不過端口形態(tài)是 VLAN 接口。配置完成后核心交換機(jī)實(shí)際上具備了路由功能PC1 和 PC2 如果手動(dòng)指定靜態(tài) IP此時(shí)應(yīng)該已經(jīng)能互通。不過這臺(tái)實(shí)驗(yàn)里我依靠 DHCP所以還沒到驗(yàn)證時(shí)間。3.3 出口鏈路與靜態(tài)路由SW1 上需要寫一條默認(rèn)路由把所有非直連網(wǎng)段的數(shù)據(jù)都丟給 R1。命令很簡短[SW-Core] ip route-static 0.0.0.0 0 192.168.100.1這條命令的意思是目標(biāo)地址為任意、掩碼為 0 的流量全部轉(zhuǎn)發(fā)給下一跳 192.168.100.1。對(duì)于業(yè)務(wù)終端來說去往互聯(lián)網(wǎng)的所有流量都會(huì)先到 SW1再由 SW1 轉(zhuǎn)給 R1。R1 作為出口網(wǎng)關(guān)需要配置兩個(gè)三層接口。GigabitEthernet0/0 接 SW1地址是 192.168.100.1/30GigabitEthernet0/1 接 R2地址是 12.1.1.1/30。同時(shí) R1 要寫兩條靜態(tài)路由回到內(nèi)網(wǎng)網(wǎng)段再加一條默認(rèn)路由指向運(yùn)營商。H3C system-view [H3C] sysname R1-Gateway [R1-Gateway] interface GigabitEthernet0/0 [R1-Gateway-GigabitEthernet0/0] ip address 192.168.100.1 255.255.255.252 [R1-Gateway-GigabitEthernet0/0] quit [R1-Gateway] interface GigabitEthernet0/1 [R1-Gateway-GigabitEthernet0/1] ip address 12.1.1.1 255.255.255.252 [R1-Gateway-GigabitEthernet0/1] quit [R1-Gateway] ip route-static 192.168.10.0 24 192.168.100.2 [R1-Gateway] ip route-static 192.168.20.0 24 192.168.100.2 [R1-Gateway] ip route-static 0.0.0.0 0 12.1.1.2注意看這里我在 R1 上寫了兩類方向相反的靜態(tài)路由一類是回程路由把內(nèi)網(wǎng)網(wǎng)段指回 SW1另一類是默認(rèn)路由把外網(wǎng)流量交給運(yùn)營商 R2。靜態(tài)路由的方向性是很多人容易犯糊涂的地方配置之前先在草稿紙上標(biāo)好源和方向會(huì)少踩很多坑。R2 模擬運(yùn)營商只需要把連接 R1 的接口配上地址再創(chuàng)建一個(gè)回環(huán)接口當(dāng)作互聯(lián)網(wǎng)上的服務(wù)器。所謂“互聯(lián)網(wǎng)服務(wù)器”在實(shí)際實(shí)驗(yàn)里就是一個(gè)可以被 ping 通的目標(biāo)地址。H3C system-view [H3C] sysname R2-ISP [R2-ISP] interface GigabitEthernet0/0 [R2-ISP-GigabitEthernet0/0] ip address 12.1.1.2 255.255.255.252 [R2-ISP-GigabitEthernet0/0] quit [R2-ISP] interface LoopBack0 [R2-ISP-LoopBack0] ip address 1.1.1.1 255.255.255.255 [R2-ISP-LoopBack0] quit到這里為止如果只是配置靜態(tài) IPPC1 應(yīng)該能 ping 通 PC2也能 ping 通 R1 的 12.1.1.1 接口地址。但還差最后一塊拼圖NAT。3.4 DHCP 服務(wù)配置H3CNE 考綱里 DHCP 是重點(diǎn)實(shí)驗(yàn)里我也用 DHCP 來給辦公和服務(wù)器兩個(gè)網(wǎng)段自動(dòng)分配地址。DHCP 服務(wù)器放在核心交換機(jī) SW1 上因?yàn)樗?VLAN 接口都集中在它身上配置最方便。[SW-Core] dhcp enable [SW-Core] interface Vlan-interface10 [SW-Core-Vlan-interface10] dhcp select server [SW-Core-Vlan-interface10] dhcp server ip-range 192.168.10.10 192.168.10.200 [SW-Core-Vlan-interface10] dhcp server gateway-list 192.168.10.254 [SW-Core-Vlan-interface10] dhcp server dns-list 223.5.5.5 114.114.114.114 [SW-Core-Vlan-interface10] quit [SW-Core] interface Vlan-interface20 [SW-Core-Vlan-interface20] dhcp select server [SW-Core-Vlan-interface20] dhcp server ip-range 192.168.20.10 192.168.20.200 [SW-Core-Vlan-interface20] dhcp server gateway-list 192.168.20.254 [SW-Core-Vlan-interface20] dhcp server dns-list 223.5.5.5 [SW-Core-Vlan-interface20] quitdhcp server gateway-list在 HCL 里很關(guān)鍵它告訴 DHCP 客戶端“你的網(wǎng)關(guān)是哪個(gè)地址”。如果沒有這一條PC 只能拿到 IP但拿不到默認(rèn)網(wǎng)關(guān)后續(xù)跨網(wǎng)段訪問就會(huì)失敗。這里我寫的是模擬環(huán)境里的地址真實(shí)企業(yè)環(huán)境中 DNS 請(qǐng)按運(yùn)營商給的地址填寫。3.5 ACL 與 NAT 配置正常情況下PC 的源地址是私網(wǎng)地址運(yùn)營商不可能替你路由這些私網(wǎng)報(bào)文。所以 R1 出口上要做 NAT把私網(wǎng)地址轉(zhuǎn)換成出接口的地址也就是 12.1.1.1。實(shí)現(xiàn) NAT 需要綁定一個(gè) ACL用來匹配哪些源地址需要被轉(zhuǎn)換。我先創(chuàng)建一個(gè)基礎(chǔ) ACL放行整個(gè) 192.168.0.0/16 私網(wǎng)段。[R1-Gateway] acl basic 2000 [R1-Gateway-acl-ipv4-basic-2000] rule 5 permit source 192.168.0.0 0.0.255.255 [R1-Gateway-acl-ipv4-basic-2000] quit [R1-Gateway] interface GigabitEthernet0/1 [R1-Gateway-GigabitEthernet0/1] nat outbound 2000 [R1-Gateway-GigabitEthernet0/1] quitnat outbound 2000的意思就是從這個(gè)接口出去的流量如果匹配 ACL 2000就動(dòng)態(tài)轉(zhuǎn)換成該接口的地址。之所以強(qiáng)調(diào) ACL 用的反掩碼 0.0.255.255是因?yàn)?H3C 的 ACL 不是子網(wǎng)掩碼而是通配符掩碼。這一點(diǎn)在排查問題的時(shí)候非常容易踩坑如果寫成了 255.255.0.0NAT 會(huì)一直匹配不上。配置完 NAT 后從 PC 發(fā)出的內(nèi)網(wǎng)流量的源地址到了 R1 出口就會(huì)被轉(zhuǎn)換成 12.1.1.1運(yùn)營商路由器 R2 看到的就是一個(gè)普通的公網(wǎng)地址。3.6 遠(yuǎn)程管理Telnet 與 SSH為了把 H3CNE 的遠(yuǎn)程管理知識(shí)點(diǎn)也納入實(shí)驗(yàn)我在 R1 上同時(shí)配置了 Telnet 和 SSH 登錄。生產(chǎn)環(huán)境我強(qiáng)烈建議只開 SSHTelnet 的明文傳輸在真實(shí)網(wǎng)絡(luò)里等于裸奔。但實(shí)驗(yàn)里兩個(gè)都配上正好可以對(duì)比驗(yàn)證。先創(chuàng)建本地用戶用于遠(yuǎn)程登錄認(rèn)證。[R1-Gateway] local-user admin class manage [R1-Gateway-luser-manage-admin] password simple Admin123 [R1-Gateway-luser-manage-admin] service-type ssh telnet [R1-Gateway-luser-manage-admin] authorization-attribute user-role network-admin [R1-Gateway-luser-manage-admin] quit然后配置 VTY 用戶線讓遠(yuǎn)程登錄走本地用戶認(rèn)證。最后開啟 Telnet 和 SSH 服務(wù)生成 RSA 密鑰對(duì)。[R1-Gateway] line vty 0 4 [R1-Gateway-line-vty0-4] authentication-mode scheme [R1-Gateway-line-vty0-4] protocol inbound all [R1-Gateway-line-vty0-4] quit [R1-Gateway] telnet server enable [R1-Gateway] ssh server enable [R1-Gateway] public-key local create rsa執(zhí)行public-key local create rsa時(shí)模擬器會(huì)詢問是否生成默認(rèn)密鑰長度直接回車即可。生成密鑰是 SSH 能正常工作的前提漏了這一步SSH 服務(wù)即使 enable 了客戶端連接時(shí)也會(huì)報(bào)錯(cuò)。實(shí)驗(yàn)做完后可以從 SW1 上用ssh admin192.168.100.1嘗試登錄 R1既可以驗(yàn)證配置又能體會(huì)一次真實(shí)的跨設(shè)備管理操作。4. 驗(yàn)證方法與連通性測(cè)試4.1 從核心交換機(jī)開始檢查配置完成后先不要急著跑到 PC 上 ping建議從網(wǎng)絡(luò)中心往邊緣逐層驗(yàn)證。我在 SW1 上先檢查 VLAN 和三層接口。[SW-Core] display vlan [SW-Core] display ip interface briefdisplay vlan會(huì)列出 VLAN ID、端口成員和描述信息。我需要確認(rèn) VLAN 10、20、100 都存在且端口 1/0/1、1/0/23、1/0/24 分別屬于對(duì)應(yīng) VLAN。display ip interface brief則用來確認(rèn)三個(gè) VLAN 接口都配上了正確的 IP并且協(xié)議狀態(tài)是 UP。接下來看路由表。核心交換機(jī)應(yīng)該有一個(gè)默認(rèn)路由指向 192.168.100.1。[SW-Core] display ip routing-table如果發(fā)現(xiàn)默認(rèn)路由沒生效大概率是下一跳寫錯(cuò)或者是 192.168.100.1 這個(gè)地址根本不可達(dá)。4.2 在 R1 上確認(rèn)路由與 NATR1 作為出口路由器路由表里應(yīng)該同時(shí)有回程路由、默認(rèn)路由和直連路由。用下面命令快速檢查[R1-Gateway] display ip routing-table [R1-Gateway] display nat outbounddisplay nat outbound會(huì)顯示接口上綁定的 NAT 規(guī)則。如果不顯示內(nèi)容先檢查 ACL 是否包含正確的源網(wǎng)段再看接口是否配了nat outbound 2000。NAT 規(guī)則沒問題但 PC 仍然上不了網(wǎng)就要去看 NAT 轉(zhuǎn)換表現(xiàn)[R1-Gateway] display nat session brief這個(gè)命令能看到當(dāng)前正在進(jìn)行的 NAT 會(huì)話。如果 PC 有 ping 動(dòng)作但這里沒有任何會(huì)話條目說明流量根本沒走到出口接口問題大概率在路由或者交換機(jī)上。4.3 PC 側(cè) DHCP 獲取與逐跳 ping確認(rèn)網(wǎng)絡(luò)設(shè)備側(cè)都正常之后再回到 PC。打開 PC 配置頁選擇 DHCP 并應(yīng)用然后用命令行查看是否獲取到正確地址。ipconfig正常情況下PC1 會(huì)拿到 192.168.10.x/24 的地址網(wǎng)關(guān)是 192.168.10.254PC2 會(huì)拿到 192.168.20.x/24網(wǎng)關(guān)是 192.168.20.254。HCL 的 PC 命令行支持 ping 和 tracert我習(xí)慣按下面的順序逐條驗(yàn)證ping 192.168.10.254先測(cè) PC 到網(wǎng)關(guān)的連通性這一步過了說明二層鏈路和 VLAN 配置沒問題。接下來測(cè)試跨網(wǎng)段訪問ping 192.168.20.254這一條是驗(yàn)證 VLAN 間路由。如果 PC1 能 ping 通 VLAN 20 的網(wǎng)關(guān)說明核心交換機(jī)已經(jīng)在正常執(zhí)行三層轉(zhuǎn)發(fā)后面再去測(cè) PC2 是不是真的拿到了地址。然后再驗(yàn)證出口ping 12.1.1.1 ping 1.1.1.1ping 12.1.1.1測(cè)的是 PC 到 R1 出口接口的連通性ping 1.1.1.1才是真正測(cè)試 NAT 和互聯(lián)網(wǎng)路徑。如果前一條能通、后一條不通問題基本鎖定在 NAT 或者 R1 的默認(rèn)路由上如果前一條都不通就要回頭檢查 R1 和 SW1 之間的互聯(lián)段。HCL 的 PC 終端對(duì) ping 的結(jié)果展示比較簡潔中間可能出現(xiàn)幾次超時(shí)只要最終有成功回包就說明鏈路沒問題。如果連續(xù)丟包不要懷疑是模擬器性能問題先去查 ARP 緩存和路由表。4.4 用 tracert 觀察路徑為了讓實(shí)驗(yàn)更有畫面感我還會(huì)在 PC 上執(zhí)行一次 tracerttracert 1.1.1.1這條命令會(huì)顯示數(shù)據(jù)包經(jīng)過的每一跳地址。預(yù)期第一跳是網(wǎng)關(guān) 192.168.10.254第二跳是核心交換機(jī)上行接口對(duì)應(yīng)的路由地址 192.168.100.1 或者直接顯示 R1 的出口地址最后一跳是 1.1.1.1?？吹竭@條完整路徑整個(gè)綜合實(shí)驗(yàn)的價(jià)值就體現(xiàn)出來了——你不僅把各技術(shù)點(diǎn)配完了還能親眼看到它們?nèi)绾螀f(xié)作。5. 常見問題與排錯(cuò)實(shí)錄5.1 模擬器環(huán)境類問題HCL 用久了最先遇到的往往不是配置問題而是環(huán)境問題。最常見的現(xiàn)象是設(shè)備拖進(jìn)拓?fù)浜髥?dòng)失敗雙擊控制臺(tái)一直停在“Starting”或者直接報(bào)“Create process failed”。我遇到這類情況會(huì)按以下順序排查用管理員身份重新啟動(dòng) HCL。關(guān)閉 Windows 防火墻或者給 HCL 加白名單。暫時(shí)關(guān)閉其他虛擬化軟件比如 Vmware、Hyper-V防止虛擬網(wǎng)卡沖突。如果設(shè)備還在啟動(dòng)中多點(diǎn)幾次“啟動(dòng)”沒有用干脆右鍵設(shè)備選擇停止再慢慢啟動(dòng)。另外 HCL 的模擬設(shè)備和真實(shí)設(shè)備一樣配置如果不主動(dòng)保存關(guān)掉模擬器或者重啟設(shè)備之后就會(huì)丟。配置完成后一定要在設(shè)備命令行里執(zhí)行save force。我還會(huì)在 HCL 的設(shè)備列表里把運(yùn)行配置導(dǎo)出成文件放到實(shí)驗(yàn)筆記目錄里方便下次直接加載。對(duì)于備考的人來說每一次配置都留檔相當(dāng)于給自己攢了一套能回看的題庫。5.2 配置類問題與解決思路我把這次實(shí)驗(yàn)里最容易被卡住的地方整理成了表排查時(shí)可以當(dāng)速查表用現(xiàn)象可能原因快速排查命令PC 拿不到 DHCP 地址沒有全局開啟 dhcp地址池范圍配錯(cuò)PC 未重新應(yīng)用 DHCPdisplay dhcp server ip-in-usePC 能拿到地址但 ping 不通網(wǎng)關(guān)PC 網(wǎng)關(guān)參數(shù)不對(duì)VLAN 接口地址錯(cuò)誤display ip interface brief同一 VLAN 能通跨 VLAN 不通VLAN 接口未配置路由表缺少直連路由display ip routing-table內(nèi)網(wǎng)能通外網(wǎng)不通默認(rèn)路由缺失NAT 未綁定ACL 源網(wǎng)段錯(cuò)誤display nat outboundSSH 無法登錄未生成 RSA 密鑰用戶 service-type 未包含 sshVTY 認(rèn)證模式錯(cuò)誤display ssh server交換機(jī)上行鏈路不通對(duì)端接口未啟用VLAN 放行列表漏配display link-aggregation summary或者display interface brief有一個(gè)很隱蔽的坑是 NAT 的 ACL 通配符。很多初學(xué)者習(xí)慣寫成rule permit source 192.168.0.0 0.0.255.255這沒問題但如果照著網(wǎng)段模板寫成了192.168.10.0 0.0.0.255而實(shí)際 PC 所在網(wǎng)段是 192.168.20.0就會(huì)導(dǎo)致 VLAN 20 的流量沒有被 NAT。所以寫完 ACL 一定要回看一遍確認(rèn)display acl 2000里的規(guī)則覆蓋了所有業(yè)務(wù)網(wǎng)段。另一個(gè)坑在 DHCP 和 Trunk 的配合上。PC 在 DHCP 請(qǐng)求階段是廣播報(bào)文Trunk 鏈路必須放行對(duì)應(yīng) VLANDHCP 請(qǐng)求才能到達(dá)核心交換機(jī)。如果 PC2 拿不到地址我在 SW2 上執(zhí)行display vlan 20經(jīng)常能發(fā)現(xiàn) Trunk 口沒有放行 VLAN 20。這種情況下無論核心交換機(jī)配置多完美地址都發(fā)不出去。5.3 排錯(cuò)方法論從底層往上層走排錯(cuò)這件事最重要的是“分層”。我的習(xí)慣是從物理層開始逐層往上觀察。遇到任何網(wǎng)絡(luò)問題先做三件事。第一步確認(rèn)設(shè)備接口狀態(tài)。display interface brief能快速看到哪些接口 Up、哪些 Down。接口 Down 的情況下后面一切配置都是白搭。HCL 里鏈路連接后設(shè)備要等一會(huì)兒才會(huì)協(xié)商完成不要?jiǎng)傔B完線就急著 ping。第二步確認(rèn) ARP 和 MAC。display arp能看到交換機(jī)上有沒有正確學(xué)習(xí)到終端的 MAC 地址。如果 ARP 表里沒有終端說明二層鏈路有問題不要急著查路由。第三步確認(rèn)路由和轉(zhuǎn)發(fā)。display ip routing-table只是靜態(tài)快照真正要看的是流量走到哪一跳斷了。用 PC 上的 tracert 逐跳測(cè)試哪一跳消失問題就在哪一跳附近。這個(gè)方法雖然樸素但真的比漫無目的地改配置高效得多。我見過不少同學(xué)一上來就懷疑 NAT 寫錯(cuò)了反復(fù)改 ACL最后發(fā)現(xiàn)是交換機(jī)上連 R1 的接口根本沒配 VLAN。先把每一層跑通再談優(yōu)化。5.4 實(shí)驗(yàn)復(fù)盤建議整套實(shí)驗(yàn)做下來我建議你給自己留十分鐘復(fù)盤。核心就三個(gè)問題內(nèi)網(wǎng)互通依賴哪些配置外網(wǎng)訪問依賴哪些配置哪些命令刪掉之后網(wǎng)絡(luò)立刻會(huì)斷如果這三個(gè)問題都能不看筆記回答出來H3CNE 對(duì)你就不是死記硬背而是真正的理解。如果想增加難度還可以在這個(gè)基礎(chǔ)上做幾個(gè)延伸。比如把兩臺(tái)交換機(jī)之間的兩條鏈路做成 Eth-Trunk 聚合觀察帶寬和可靠性變化或者給核心交換機(jī)和接入交換機(jī)之間加一條冗余鏈路看 STP 如何計(jì)算根橋和阻斷端口又或者在內(nèi)網(wǎng)配置一個(gè)回環(huán)接口做 OSPF看動(dòng)態(tài)路由如何代替手工靜態(tài)路由。H3CNE 考綱里的每一個(gè)考點(diǎn)幾乎都可以在同一個(gè)拓?fù)渖贤ㄟ^加設(shè)備、加鏈路的方式繼續(xù)延伸下去這正是綜合實(shí)驗(yàn)最值錢的地方。我個(gè)人做完這套實(shí)驗(yàn)最大的體會(huì)是網(wǎng)絡(luò)工程師的排錯(cuò)能力不是靠背命令背出來的而是靠一遍一遍在實(shí)驗(yàn)環(huán)境里挖坑、填坑練出來的。HCL 最大的好處就是隨便你怎么折騰錯(cuò)了重啟設(shè)備再來不用擔(dān)心弄壞真實(shí)網(wǎng)絡(luò)。如果你能把上面的每一步都親手敲完再對(duì)照我列出的驗(yàn)證命令檢查結(jié)果這套綜合實(shí)驗(yàn)就真正變成你自己的東西了。 H3CNE綜合實(shí)驗(yàn)：用HCL模擬器串聯(lián)VLAN、DHCP、NAT與靜態(tài)路由
說實(shí)話H3CNE 的官方教材我翻過不止一遍VLAN、DHCP、靜態(tài)路由、NAT 這些知識(shí)點(diǎn)單個(gè)拿出來都不算難PPT 上的配置命令也都能看懂。但到了自己動(dòng)手的時(shí)候才會(huì)發(fā)現(xiàn)真正的問題不是“這條命令怎么寫”而是“這條命令應(yīng)該出現(xiàn)在哪個(gè)環(huán)節(jié)”。我這個(gè) HCL_H3CNE綜合實(shí)驗(yàn)就是沖著這個(gè)問題去的。用官方 HCL 模擬器搭一套從終端、交換機(jī)、路由器到模擬互聯(lián)網(wǎng)的全鏈路網(wǎng)絡(luò)把 VLAN、Trunk、VLAN 間路由、DHCP、靜態(tài)路由、NAT、遠(yuǎn)程管理全部串在同一個(gè)場(chǎng)景里一步一步敲完、驗(yàn)證完你對(duì) H3CNE 核心內(nèi)容的理解會(huì)比刷十遍題都扎實(shí)。這篇文章會(huì)把整套實(shí)驗(yàn)從拓?fù)湟?guī)劃、地址分配、設(shè)備配置到排錯(cuò)思路完整拆開適合正在備考 H3CNE、或者剛接觸 H3C 設(shè)備想動(dòng)手拉通的讀者。1. 綜合實(shí)驗(yàn)的設(shè)計(jì)思路與知識(shí)串聯(lián)1.1 為什么一定要做“串聯(lián)型”實(shí)驗(yàn)H3CNE 的考試范圍很寬包括以太網(wǎng)技術(shù)、VLAN、STP、IP 地址規(guī)劃、靜態(tài)路由、動(dòng)態(tài)路由、ACL、NAT、DHCP、遠(yuǎn)程管理等。常見的復(fù)習(xí)方式是每個(gè)模塊單獨(dú)搭一個(gè)小實(shí)驗(yàn)比如今天練 VLAN明天練靜態(tài)路由。這種做法的好處是快壞處是知識(shí)是割裂的——考試也不會(huì)只考一個(gè)點(diǎn)它默認(rèn)你腦子里有一條完整的數(shù)據(jù)面路徑。我設(shè)計(jì)這套實(shí)驗(yàn)的初衷很簡單模擬一家小公司從零建設(shè)一張網(wǎng)絡(luò)。公司有兩個(gè)網(wǎng)段一個(gè)給辦公終端一個(gè)給服務(wù)器區(qū)出口接一臺(tái)邊界路由器通過運(yùn)營商專線訪問“互聯(lián)網(wǎng)”希望全網(wǎng)終端自動(dòng)獲取 IP同時(shí)辦公室能訪問互聯(lián)網(wǎng)。這就天然把 H3CNE 絕大多數(shù)知識(shí)點(diǎn)串了起來因?yàn)槿魏我粋€(gè)環(huán)節(jié)斷了最終聯(lián)網(wǎng)測(cè)試就過不了。1.2 數(shù)據(jù)包視角下的完整鏈路這套實(shí)驗(yàn)里最有價(jià)值的部分是你能用一個(gè)數(shù)據(jù)包的視角把整條鏈路講清楚。假設(shè)辦公網(wǎng)的一臺(tái) PC 要訪問互聯(lián)網(wǎng)上的某個(gè)地址數(shù)據(jù)包是這樣走的PC 根據(jù)本地路由把數(shù)據(jù)包交給網(wǎng)關(guān)也就是交換機(jī)上 VLAN 10 的虛擬接口地址。交換機(jī)收到數(shù)據(jù)包查找路由表發(fā)現(xiàn)默認(rèn)路由指向出口路由器。交換機(jī)把數(shù)據(jù)包從上游接口轉(zhuǎn)發(fā)給路由器。路由器再次查路由表發(fā)現(xiàn)目標(biāo)地址不在本地直連網(wǎng)段于是按照默認(rèn)路由轉(zhuǎn)發(fā)給下一跳也就是模擬運(yùn)營商的另一臺(tái)路由器。數(shù)據(jù)包從路由器出口接口出去之前被 NAT 處理源地址從辦公網(wǎng)段變成出口接口的公網(wǎng)地址。運(yùn)營商路由器收到數(shù)據(jù)包發(fā)現(xiàn)目標(biāo)地址是本地回環(huán)接口于是回包?；匕贩祷芈酚善髯?NAT 反向轉(zhuǎn)換交換機(jī)根據(jù) ARP 找到 PCPC 收到響應(yīng)。每一步都對(duì)應(yīng) H3CNE 教材里的一個(gè)章節(jié)。你做這個(gè)實(shí)驗(yàn)的時(shí)候每個(gè)命令都是在為這條路徑補(bǔ)一塊磚而不是孤立地在敲配置。1.3 實(shí)驗(yàn)組網(wǎng)模型與地址規(guī)劃本實(shí)驗(yàn)的設(shè)備清單很簡單都在 HCL 模擬器自帶列表里兩臺(tái)路由器型號(hào) MSR36-20一臺(tái)作為公司出口網(wǎng)關(guān)一臺(tái)模擬運(yùn)營商。兩臺(tái)交換機(jī)型號(hào) S5820V2-52QF其中核心交換機(jī)承擔(dān)三層轉(zhuǎn)發(fā)另一臺(tái)只做二層接入。兩臺(tái) PC 終端一臺(tái)接辦公網(wǎng)一臺(tái)接服務(wù)器區(qū)。拓?fù)潢P(guān)系如下PC1辦公終端── SW1三層核心── R1出口網(wǎng)關(guān)── R2模擬運(yùn)營商 PC2服務(wù)器── SW2二層接入 ──┘為了便于理解配置命令我給每臺(tái)設(shè)備都定了明確的角色SW1 是核心交換機(jī)所有 VLAN 的網(wǎng)關(guān)都在它身上SW2 是接入交換機(jī)負(fù)責(zé)把服務(wù)器網(wǎng)段的終端接入進(jìn)來R1 是出口路由器掌管 NAT 和默認(rèn)路由R2 完全模擬運(yùn)營商只做一個(gè)回環(huán)接口來代表互聯(lián)網(wǎng)上的一臺(tái)服務(wù)器。地址規(guī)劃是整個(gè)實(shí)驗(yàn)的地基我在搭之前先列了一張表保證每個(gè)網(wǎng)段之間沒有沖突也方便后續(xù)排查區(qū)域網(wǎng)段網(wǎng)關(guān)說明辦公終端 VLAN 10192.168.10.0/24192.168.10.254SW1DHCP 分配 10~200服務(wù)器終端 VLAN 20192.168.20.0/24192.168.20.254SW1DHCP 分配 10~200核心到出口互聯(lián)鏈路192.168.100.0/30192.168.100.1R1SW1 側(cè)為 .2出口到運(yùn)營商鏈路12.1.1.0/3012.1.1.1R1R2 側(cè)為 .2模擬互聯(lián)網(wǎng)服務(wù)器1.1.1.1/32無R2 回環(huán)接口這里有一個(gè)小設(shè)計(jì)思路值得注意核心交換機(jī)和出口路由器之間我特意用了 192.168.100.0/30 這個(gè)單獨(dú)網(wǎng)段而不是直接復(fù)用一個(gè)業(yè)務(wù) VLAN。這樣可以保證核心交換機(jī)上業(yè)務(wù)網(wǎng)段和上行網(wǎng)段是隔離的配置路由和排查問題的時(shí)候腦回路更清晰也符合實(shí)際工程里“互聯(lián)地址單獨(dú)規(guī)劃”的習(xí)慣。2. 基于 HCL 搭建實(shí)驗(yàn)環(huán)境與初始化2.1 HCL 模擬器安裝要點(diǎn)HCL 是 H3C 官方出的網(wǎng)絡(luò)模擬工具目前常見版本是 5.x 系列安裝包里通常帶 VirtualBox 環(huán)境。如果你是第一次裝有幾個(gè)容易踩坑的地方我先說清楚。第一建議用管理員身份安裝和運(yùn)行。模擬器底層要調(diào)用虛擬化組件權(quán)限不夠會(huì)出現(xiàn)設(shè)備啟動(dòng)失敗、控制臺(tái)無響應(yīng)的問題。第二Windows 自帶的 Hyper-V 或者其他虛擬機(jī)平臺(tái)如果開啟可能和 VirtualBox 沖突。我遇到的情況是設(shè)備能拖到拓?fù)淅锏珕?dòng)后一直停在“Starting”狀態(tài)后來關(guān)掉內(nèi)核級(jí)虛擬化相關(guān)功能才恢復(fù)正常。第三殺毒軟件對(duì)模擬器的進(jìn)程和虛擬網(wǎng)絡(luò)網(wǎng)卡有時(shí)會(huì)誤報(bào)安裝或運(yùn)行前最好把相關(guān)目錄加白名單。HCL 的使用邏輯和競品不太一樣它是靠拖動(dòng)設(shè)備圖標(biāo)到畫布上然后連接鏈路。連接鏈路的時(shí)候要特別注意接口名能不能對(duì)得上。你拖一臺(tái)交換機(jī)到畫布上雙擊能看到接口列表連接時(shí)鼠標(biāo)點(diǎn)住一個(gè)接口拖到另一臺(tái)設(shè)備的接口上系統(tǒng)會(huì)自動(dòng)識(shí)別鏈路類型。2.2 設(shè)備選型與啟動(dòng)順序我的設(shè)備選擇如下交換機(jī)用 S5820V2-52QF路由器用 MSR36-20。S5820V2 在 HCL 里是三層交換機(jī)能配置 VLAN 接口和路由這個(gè)很關(guān)鍵。如果選成了純二層交換機(jī)VLAN 間路由就做不了整個(gè)實(shí)驗(yàn)的轉(zhuǎn)發(fā)邏輯就斷了。模擬器里的設(shè)備不能一次性全部啟動(dòng)不然電腦資源很容易吃滿。我建議按網(wǎng)絡(luò)拓?fù)鋸纳系较碌捻樞騿?dòng)先啟動(dòng)最下層的終端 PC再啟動(dòng)交換機(jī)最后啟動(dòng)路由器。實(shí)際上 HCL 對(duì)啟動(dòng)順序沒有強(qiáng)制要求但后啟動(dòng)的設(shè)備會(huì)主動(dòng)完成鏈路協(xié)商日志看起來更干凈。啟動(dòng)完成后設(shè)備圖標(biāo)從紅色變成綠色雙擊控制臺(tái)能出現(xiàn)命令行提示符再開始配置。2.3 主機(jī)PC的初始化設(shè)置HCL 里的 PC 并不是真實(shí)操作系統(tǒng)而是一個(gè)可配置簡單 IP 和命令行測(cè)試的小工具。雙擊 PC 圖標(biāo)點(diǎn)擊“配置”可以看到網(wǎng)絡(luò)參數(shù)頁面。這里有兩種方式一種是手動(dòng)填 IP、掩碼、網(wǎng)關(guān)另一種是選擇 DHCP 自動(dòng)獲取。本實(shí)驗(yàn)里我用了 DHCP目的就是為了驗(yàn)證 DHCP 服務(wù)器配置是否正確。需要提醒的是HCL 的 PC 啟動(dòng)后并不會(huì)自動(dòng)觸發(fā) DHCP 請(qǐng)求。你要在配置頁面先選一次 DHCP 模式再點(diǎn)應(yīng)用終端才會(huì)重新請(qǐng)求地址。如果之后你改了 DHCP 服務(wù)器的地址池最好回到 PC 配置頁再應(yīng)用一次而不是直接 ping否則拿到的可能還是舊地址。3. 核心配置全流程實(shí)操3.1 接入層VLAN 與 Trunk 配置第一步是配置 VLAN 和端口類型。我先把核心交換機(jī) SW1 的基礎(chǔ) VLAN 建好再把終端和上行端口劃分到對(duì)應(yīng) VLAN。H3C system-view [H3C] sysname SW-Core [SW-Core] vlan 10 [SW-Core-vlan10] description Office_Network [SW-Core-vlan10] quit [SW-Core] vlan 20 [SW-Core-vlan20] description Server_Network [SW-Core-vlan20] quit [SW-Core] vlan 100 [SW-Core-vlan100] description To_R1 [SW-Core-vlan100] quitPC1 接到 SW1 的 1/0/1 口這個(gè)端口是接入模式劃分到 VLAN 10。PC2 接到 SW2 的 1/0/2 口屬于 VLAN 20。兩塊交換機(jī)之間的互聯(lián)鏈路我采用了 Trunk放行 VLAN 10 和 20。下面是 SW1 上的端口配置。[SW-Core] interface GigabitEthernet1/0/1 [SW-Core-GigabitEthernet1/0/1] port link-type access [SW-Core-GigabitEthernet1/0/1] port access vlan 10 [SW-Core-GigabitEthernet1/0/1] quit [SW-Core] interface GigabitEthernet1/0/24 [SW-Core-GigabitEthernet1/0/24] port link-type trunk [SW-Core-GigabitEthernet1/0/24] port trunk permit vlan 10 20 [SW-Core-GigabitEthernet1/0/24] quit這里有一個(gè)新手極易混淆的點(diǎn)Access 端口只屬于一個(gè) VLANTrunk 端口則需要在語句里明確放行哪些 VLAN。H3C 設(shè)備默認(rèn) Trunk 只放行 VLAN 1如果你寫了port trunk permit vlan all當(dāng)然也可以但實(shí)驗(yàn)里我更推薦顯式寫出vlan 10 20逼自己搞清楚哪些業(yè)務(wù)流量要過中繼鏈路。接入交換機(jī) SW2 的配置邏輯相同只需要把 VLAN 10 和 20 建好端口 1/0/2 劃到 VLAN 20上行口 1/0/24 做成 Trunk。H3C system-view [H3C] sysname SW-Access [SW-Access] vlan 10 [SW-Access-vlan10] description Office_Network [SW-Access-vlan10] quit [SW-Access] vlan 20 [SW-Access-vlan20] description Server_Network [SW-Access-vlan20] quit [SW-Access] interface GigabitEthernet1/0/2 [SW-Access-GigabitEthernet1/0/2] port link-type access [SW-Access-GigabitEthernet1/0/2] port access vlan 20 [SW-Access-GigabitEthernet1/0/2] quit [SW-Access] interface GigabitEthernet1/0/24 [SW-Access-GigabitEthernet1/0/24] port link-type trunk [SW-Access-GigabitEthernet1/0/24] port trunk permit vlan 10 20 [SW-Access-GigabitEthernet1/0/24] quit3.2 三層核心VLAN 接口與 VLAN 間路由所有 VLAN 的網(wǎng)關(guān)都放在 SW1 上。在 H3C 設(shè)備上VLAN 接口就是路由接口配置了 IP 地址之后二層廣播域之間就可以通過它路由。這是實(shí)現(xiàn) VLAN 間通信的關(guān)鍵一步。SW1 繼續(xù)配置[SW-Core] interface Vlan-interface10 [SW-Core-Vlan-interface10] ip address 192.168.10.254 255.255.255.0 [SW-Core-Vlan-interface10] quit [SW-Core] interface Vlan-interface20 [SW-Core-Vlan-interface20] ip address 192.168.20.254 255.255.255.0 [SW-Core-Vlan-interface20] quit [SW-Core] interface Vlan-interface100 [SW-Core-Vlan-interface100] ip address 192.168.100.2 255.255.255.252 [SW-Core-Vlan-interface100] quitVLAN 100 是我專門劃給 SW1 和 R1 互聯(lián)的鏈路網(wǎng)段。SW1 的 1/0/23 端口作為上行口接 R1同樣劃為 Access 并加入 VLAN 100。這樣一個(gè)核心交換機(jī)上就同時(shí)存在三個(gè)三層接口它自己就是一臺(tái)路由器只不過端口形態(tài)是 VLAN 接口。配置完成后核心交換機(jī)實(shí)際上具備了路由功能PC1 和 PC2 如果手動(dòng)指定靜態(tài) IP此時(shí)應(yīng)該已經(jīng)能互通。不過這臺(tái)實(shí)驗(yàn)里我依靠 DHCP所以還沒到驗(yàn)證時(shí)間。3.3 出口鏈路與靜態(tài)路由SW1 上需要寫一條默認(rèn)路由把所有非直連網(wǎng)段的數(shù)據(jù)都丟給 R1。命令很簡短[SW-Core] ip route-static 0.0.0.0 0 192.168.100.1這條命令的意思是目標(biāo)地址為任意、掩碼為 0 的流量全部轉(zhuǎn)發(fā)給下一跳 192.168.100.1。對(duì)于業(yè)務(wù)終端來說去往互聯(lián)網(wǎng)的所有流量都會(huì)先到 SW1再由 SW1 轉(zhuǎn)給 R1。R1 作為出口網(wǎng)關(guān)需要配置兩個(gè)三層接口。GigabitEthernet0/0 接 SW1地址是 192.168.100.1/30GigabitEthernet0/1 接 R2地址是 12.1.1.1/30。同時(shí) R1 要寫兩條靜態(tài)路由回到內(nèi)網(wǎng)網(wǎng)段再加一條默認(rèn)路由指向運(yùn)營商。H3C system-view [H3C] sysname R1-Gateway [R1-Gateway] interface GigabitEthernet0/0 [R1-Gateway-GigabitEthernet0/0] ip address 192.168.100.1 255.255.255.252 [R1-Gateway-GigabitEthernet0/0] quit [R1-Gateway] interface GigabitEthernet0/1 [R1-Gateway-GigabitEthernet0/1] ip address 12.1.1.1 255.255.255.252 [R1-Gateway-GigabitEthernet0/1] quit [R1-Gateway] ip route-static 192.168.10.0 24 192.168.100.2 [R1-Gateway] ip route-static 192.168.20.0 24 192.168.100.2 [R1-Gateway] ip route-static 0.0.0.0 0 12.1.1.2注意看這里我在 R1 上寫了兩類方向相反的靜態(tài)路由一類是回程路由把內(nèi)網(wǎng)網(wǎng)段指回 SW1另一類是默認(rèn)路由把外網(wǎng)流量交給運(yùn)營商 R2。靜態(tài)路由的方向性是很多人容易犯糊涂的地方配置之前先在草稿紙上標(biāo)好源和方向會(huì)少踩很多坑。R2 模擬運(yùn)營商只需要把連接 R1 的接口配上地址再創(chuàng)建一個(gè)回環(huán)接口當(dāng)作互聯(lián)網(wǎng)上的服務(wù)器。所謂“互聯(lián)網(wǎng)服務(wù)器”在實(shí)際實(shí)驗(yàn)里就是一個(gè)可以被 ping 通的目標(biāo)地址。H3C system-view [H3C] sysname R2-ISP [R2-ISP] interface GigabitEthernet0/0 [R2-ISP-GigabitEthernet0/0] ip address 12.1.1.2 255.255.255.252 [R2-ISP-GigabitEthernet0/0] quit [R2-ISP] interface LoopBack0 [R2-ISP-LoopBack0] ip address 1.1.1.1 255.255.255.255 [R2-ISP-LoopBack0] quit到這里為止如果只是配置靜態(tài) IPPC1 應(yīng)該能 ping 通 PC2也能 ping 通 R1 的 12.1.1.1 接口地址。但還差最后一塊拼圖NAT。3.4 DHCP 服務(wù)配置H3CNE 考綱里 DHCP 是重點(diǎn)實(shí)驗(yàn)里我也用 DHCP 來給辦公和服務(wù)器兩個(gè)網(wǎng)段自動(dòng)分配地址。DHCP 服務(wù)器放在核心交換機(jī) SW1 上因?yàn)樗?VLAN 接口都集中在它身上配置最方便。[SW-Core] dhcp enable [SW-Core] interface Vlan-interface10 [SW-Core-Vlan-interface10] dhcp select server [SW-Core-Vlan-interface10] dhcp server ip-range 192.168.10.10 192.168.10.200 [SW-Core-Vlan-interface10] dhcp server gateway-list 192.168.10.254 [SW-Core-Vlan-interface10] dhcp server dns-list 223.5.5.5 114.114.114.114 [SW-Core-Vlan-interface10] quit [SW-Core] interface Vlan-interface20 [SW-Core-Vlan-interface20] dhcp select server [SW-Core-Vlan-interface20] dhcp server ip-range 192.168.20.10 192.168.20.200 [SW-Core-Vlan-interface20] dhcp server gateway-list 192.168.20.254 [SW-Core-Vlan-interface20] dhcp server dns-list 223.5.5.5 [SW-Core-Vlan-interface20] quitdhcp server gateway-list在 HCL 里很關(guān)鍵它告訴 DHCP 客戶端“你的網(wǎng)關(guān)是哪個(gè)地址”。如果沒有這一條PC 只能拿到 IP但拿不到默認(rèn)網(wǎng)關(guān)后續(xù)跨網(wǎng)段訪問就會(huì)失敗。這里我寫的是模擬環(huán)境里的地址真實(shí)企業(yè)環(huán)境中 DNS 請(qǐng)按運(yùn)營商給的地址填寫。3.5 ACL 與 NAT 配置正常情況下PC 的源地址是私網(wǎng)地址運(yùn)營商不可能替你路由這些私網(wǎng)報(bào)文。所以 R1 出口上要做 NAT把私網(wǎng)地址轉(zhuǎn)換成出接口的地址也就是 12.1.1.1。實(shí)現(xiàn) NAT 需要綁定一個(gè) ACL用來匹配哪些源地址需要被轉(zhuǎn)換。我先創(chuàng)建一個(gè)基礎(chǔ) ACL放行整個(gè) 192.168.0.0/16 私網(wǎng)段。[R1-Gateway] acl basic 2000 [R1-Gateway-acl-ipv4-basic-2000] rule 5 permit source 192.168.0.0 0.0.255.255 [R1-Gateway-acl-ipv4-basic-2000] quit [R1-Gateway] interface GigabitEthernet0/1 [R1-Gateway-GigabitEthernet0/1] nat outbound 2000 [R1-Gateway-GigabitEthernet0/1] quitnat outbound 2000的意思就是從這個(gè)接口出去的流量如果匹配 ACL 2000就動(dòng)態(tài)轉(zhuǎn)換成該接口的地址。之所以強(qiáng)調(diào) ACL 用的反掩碼 0.0.255.255是因?yàn)?H3C 的 ACL 不是子網(wǎng)掩碼而是通配符掩碼。這一點(diǎn)在排查問題的時(shí)候非常容易踩坑如果寫成了 255.255.0.0NAT 會(huì)一直匹配不上。配置完 NAT 后從 PC 發(fā)出的內(nèi)網(wǎng)流量的源地址到了 R1 出口就會(huì)被轉(zhuǎn)換成 12.1.1.1運(yùn)營商路由器 R2 看到的就是一個(gè)普通的公網(wǎng)地址。3.6 遠(yuǎn)程管理Telnet 與 SSH為了把 H3CNE 的遠(yuǎn)程管理知識(shí)點(diǎn)也納入實(shí)驗(yàn)我在 R1 上同時(shí)配置了 Telnet 和 SSH 登錄。生產(chǎn)環(huán)境我強(qiáng)烈建議只開 SSHTelnet 的明文傳輸在真實(shí)網(wǎng)絡(luò)里等于裸奔。但實(shí)驗(yàn)里兩個(gè)都配上正好可以對(duì)比驗(yàn)證。先創(chuàng)建本地用戶用于遠(yuǎn)程登錄認(rèn)證。[R1-Gateway] local-user admin class manage [R1-Gateway-luser-manage-admin] password simple Admin123 [R1-Gateway-luser-manage-admin] service-type ssh telnet [R1-Gateway-luser-manage-admin] authorization-attribute user-role network-admin [R1-Gateway-luser-manage-admin] quit然后配置 VTY 用戶線讓遠(yuǎn)程登錄走本地用戶認(rèn)證。最后開啟 Telnet 和 SSH 服務(wù)生成 RSA 密鑰對(duì)。[R1-Gateway] line vty 0 4 [R1-Gateway-line-vty0-4] authentication-mode scheme [R1-Gateway-line-vty0-4] protocol inbound all [R1-Gateway-line-vty0-4] quit [R1-Gateway] telnet server enable [R1-Gateway] ssh server enable [R1-Gateway] public-key local create rsa執(zhí)行public-key local create rsa時(shí)模擬器會(huì)詢問是否生成默認(rèn)密鑰長度直接回車即可。生成密鑰是 SSH 能正常工作的前提漏了這一步SSH 服務(wù)即使 enable 了客戶端連接時(shí)也會(huì)報(bào)錯(cuò)。實(shí)驗(yàn)做完后可以從 SW1 上用ssh admin192.168.100.1嘗試登錄 R1既可以驗(yàn)證配置又能體會(huì)一次真實(shí)的跨設(shè)備管理操作。4. 驗(yàn)證方法與連通性測(cè)試4.1 從核心交換機(jī)開始檢查配置完成后先不要急著跑到 PC 上 ping建議從網(wǎng)絡(luò)中心往邊緣逐層驗(yàn)證。我在 SW1 上先檢查 VLAN 和三層接口。[SW-Core] display vlan [SW-Core] display ip interface briefdisplay vlan會(huì)列出 VLAN ID、端口成員和描述信息。我需要確認(rèn) VLAN 10、20、100 都存在且端口 1/0/1、1/0/23、1/0/24 分別屬于對(duì)應(yīng) VLAN。display ip interface brief則用來確認(rèn)三個(gè) VLAN 接口都配上了正確的 IP并且協(xié)議狀態(tài)是 UP。接下來看路由表。核心交換機(jī)應(yīng)該有一個(gè)默認(rèn)路由指向 192.168.100.1。[SW-Core] display ip routing-table如果發(fā)現(xiàn)默認(rèn)路由沒生效大概率是下一跳寫錯(cuò)或者是 192.168.100.1 這個(gè)地址根本不可達(dá)。4.2 在 R1 上確認(rèn)路由與 NATR1 作為出口路由器路由表里應(yīng)該同時(shí)有回程路由、默認(rèn)路由和直連路由。用下面命令快速檢查[R1-Gateway] display ip routing-table [R1-Gateway] display nat outbounddisplay nat outbound會(huì)顯示接口上綁定的 NAT 規(guī)則。如果不顯示內(nèi)容先檢查 ACL 是否包含正確的源網(wǎng)段再看接口是否配了nat outbound 2000。NAT 規(guī)則沒問題但 PC 仍然上不了網(wǎng)就要去看 NAT 轉(zhuǎn)換表現(xiàn)[R1-Gateway] display nat session brief這個(gè)命令能看到當(dāng)前正在進(jìn)行的 NAT 會(huì)話。如果 PC 有 ping 動(dòng)作但這里沒有任何會(huì)話條目說明流量根本沒走到出口接口問題大概率在路由或者交換機(jī)上。4.3 PC 側(cè) DHCP 獲取與逐跳 ping確認(rèn)網(wǎng)絡(luò)設(shè)備側(cè)都正常之后再回到 PC。打開 PC 配置頁選擇 DHCP 并應(yīng)用然后用命令行查看是否獲取到正確地址。ipconfig正常情況下PC1 會(huì)拿到 192.168.10.x/24 的地址網(wǎng)關(guān)是 192.168.10.254PC2 會(huì)拿到 192.168.20.x/24網(wǎng)關(guān)是 192.168.20.254。HCL 的 PC 命令行支持 ping 和 tracert我習(xí)慣按下面的順序逐條驗(yàn)證ping 192.168.10.254先測(cè) PC 到網(wǎng)關(guān)的連通性這一步過了說明二層鏈路和 VLAN 配置沒問題。接下來測(cè)試跨網(wǎng)段訪問ping 192.168.20.254這一條是驗(yàn)證 VLAN 間路由。如果 PC1 能 ping 通 VLAN 20 的網(wǎng)關(guān)說明核心交換機(jī)已經(jīng)在正常執(zhí)行三層轉(zhuǎn)發(fā)后面再去測(cè) PC2 是不是真的拿到了地址。然后再驗(yàn)證出口ping 12.1.1.1 ping 1.1.1.1ping 12.1.1.1測(cè)的是 PC 到 R1 出口接口的連通性ping 1.1.1.1才是真正測(cè)試 NAT 和互聯(lián)網(wǎng)路徑。如果前一條能通、后一條不通問題基本鎖定在 NAT 或者 R1 的默認(rèn)路由上如果前一條都不通就要回頭檢查 R1 和 SW1 之間的互聯(lián)段。HCL 的 PC 終端對(duì) ping 的結(jié)果展示比較簡潔中間可能出現(xiàn)幾次超時(shí)只要最終有成功回包就說明鏈路沒問題。如果連續(xù)丟包不要懷疑是模擬器性能問題先去查 ARP 緩存和路由表。4.4 用 tracert 觀察路徑為了讓實(shí)驗(yàn)更有畫面感我還會(huì)在 PC 上執(zhí)行一次 tracerttracert 1.1.1.1這條命令會(huì)顯示數(shù)據(jù)包經(jīng)過的每一跳地址。預(yù)期第一跳是網(wǎng)關(guān) 192.168.10.254第二跳是核心交換機(jī)上行接口對(duì)應(yīng)的路由地址 192.168.100.1 或者直接顯示 R1 的出口地址最后一跳是 1.1.1.1?？吹竭@條完整路徑整個(gè)綜合實(shí)驗(yàn)的價(jià)值就體現(xiàn)出來了——你不僅把各技術(shù)點(diǎn)配完了還能親眼看到它們?nèi)绾螀f(xié)作。5. 常見問題與排錯(cuò)實(shí)錄5.1 模擬器環(huán)境類問題HCL 用久了最先遇到的往往不是配置問題而是環(huán)境問題。最常見的現(xiàn)象是設(shè)備拖進(jìn)拓?fù)浜髥?dòng)失敗雙擊控制臺(tái)一直停在“Starting”或者直接報(bào)“Create process failed”。我遇到這類情況會(huì)按以下順序排查用管理員身份重新啟動(dòng) HCL。關(guān)閉 Windows 防火墻或者給 HCL 加白名單。暫時(shí)關(guān)閉其他虛擬化軟件比如 Vmware、Hyper-V防止虛擬網(wǎng)卡沖突。如果設(shè)備還在啟動(dòng)中多點(diǎn)幾次“啟動(dòng)”沒有用干脆右鍵設(shè)備選擇停止再慢慢啟動(dòng)。另外 HCL 的模擬設(shè)備和真實(shí)設(shè)備一樣配置如果不主動(dòng)保存關(guān)掉模擬器或者重啟設(shè)備之后就會(huì)丟。配置完成后一定要在設(shè)備命令行里執(zhí)行save force。我還會(huì)在 HCL 的設(shè)備列表里把運(yùn)行配置導(dǎo)出成文件放到實(shí)驗(yàn)筆記目錄里方便下次直接加載。對(duì)于備考的人來說每一次配置都留檔相當(dāng)于給自己攢了一套能回看的題庫。5.2 配置類問題與解決思路我把這次實(shí)驗(yàn)里最容易被卡住的地方整理成了表排查時(shí)可以當(dāng)速查表用現(xiàn)象可能原因快速排查命令PC 拿不到 DHCP 地址沒有全局開啟 dhcp地址池范圍配錯(cuò)PC 未重新應(yīng)用 DHCPdisplay dhcp server ip-in-usePC 能拿到地址但 ping 不通網(wǎng)關(guān)PC 網(wǎng)關(guān)參數(shù)不對(duì)VLAN 接口地址錯(cuò)誤display ip interface brief同一 VLAN 能通跨 VLAN 不通VLAN 接口未配置路由表缺少直連路由display ip routing-table內(nèi)網(wǎng)能通外網(wǎng)不通默認(rèn)路由缺失NAT 未綁定ACL 源網(wǎng)段錯(cuò)誤display nat outboundSSH 無法登錄未生成 RSA 密鑰用戶 service-type 未包含 sshVTY 認(rèn)證模式錯(cuò)誤display ssh server交換機(jī)上行鏈路不通對(duì)端接口未啟用VLAN 放行列表漏配display link-aggregation summary或者display interface brief有一個(gè)很隱蔽的坑是 NAT 的 ACL 通配符。很多初學(xué)者習(xí)慣寫成rule permit source 192.168.0.0 0.0.255.255這沒問題但如果照著網(wǎng)段模板寫成了192.168.10.0 0.0.0.255而實(shí)際 PC 所在網(wǎng)段是 192.168.20.0就會(huì)導(dǎo)致 VLAN 20 的流量沒有被 NAT。所以寫完 ACL 一定要回看一遍確認(rèn)display acl 2000里的規(guī)則覆蓋了所有業(yè)務(wù)網(wǎng)段。另一個(gè)坑在 DHCP 和 Trunk 的配合上。PC 在 DHCP 請(qǐng)求階段是廣播報(bào)文Trunk 鏈路必須放行對(duì)應(yīng) VLANDHCP 請(qǐng)求才能到達(dá)核心交換機(jī)。如果 PC2 拿不到地址我在 SW2 上執(zhí)行display vlan 20經(jīng)常能發(fā)現(xiàn) Trunk 口沒有放行 VLAN 20。這種情況下無論核心交換機(jī)配置多完美地址都發(fā)不出去。5.3 排錯(cuò)方法論從底層往上層走排錯(cuò)這件事最重要的是“分層”。我的習(xí)慣是從物理層開始逐層往上觀察。遇到任何網(wǎng)絡(luò)問題先做三件事。第一步確認(rèn)設(shè)備接口狀態(tài)。display interface brief能快速看到哪些接口 Up、哪些 Down。接口 Down 的情況下后面一切配置都是白搭。HCL 里鏈路連接后設(shè)備要等一會(huì)兒才會(huì)協(xié)商完成不要?jiǎng)傔B完線就急著 ping。第二步確認(rèn) ARP 和 MAC。display arp能看到交換機(jī)上有沒有正確學(xué)習(xí)到終端的 MAC 地址。如果 ARP 表里沒有終端說明二層鏈路有問題不要急著查路由。第三步確認(rèn)路由和轉(zhuǎn)發(fā)。display ip routing-table只是靜態(tài)快照真正要看的是流量走到哪一跳斷了。用 PC 上的 tracert 逐跳測(cè)試哪一跳消失問題就在哪一跳附近。這個(gè)方法雖然樸素但真的比漫無目的地改配置高效得多。我見過不少同學(xué)一上來就懷疑 NAT 寫錯(cuò)了反復(fù)改 ACL最后發(fā)現(xiàn)是交換機(jī)上連 R1 的接口根本沒配 VLAN。先把每一層跑通再談優(yōu)化。5.4 實(shí)驗(yàn)復(fù)盤建議整套實(shí)驗(yàn)做下來我建議你給自己留十分鐘復(fù)盤。核心就三個(gè)問題內(nèi)網(wǎng)互通依賴哪些配置外網(wǎng)訪問依賴哪些配置哪些命令刪掉之后網(wǎng)絡(luò)立刻會(huì)斷如果這三個(gè)問題都能不看筆記回答出來H3CNE 對(duì)你就不是死記硬背而是真正的理解。如果想增加難度還可以在這個(gè)基礎(chǔ)上做幾個(gè)延伸。比如把兩臺(tái)交換機(jī)之間的兩條鏈路做成 Eth-Trunk 聚合觀察帶寬和可靠性變化或者給核心交換機(jī)和接入交換機(jī)之間加一條冗余鏈路看 STP 如何計(jì)算根橋和阻斷端口又或者在內(nèi)網(wǎng)配置一個(gè)回環(huán)接口做 OSPF看動(dòng)態(tài)路由如何代替手工靜態(tài)路由。H3CNE 考綱里的每一個(gè)考點(diǎn)幾乎都可以在同一個(gè)拓?fù)渖贤ㄟ^加設(shè)備、加鏈路的方式繼續(xù)延伸下去這正是綜合實(shí)驗(yàn)最值錢的地方。我個(gè)人做完這套實(shí)驗(yàn)最大的體會(huì)是網(wǎng)絡(luò)工程師的排錯(cuò)能力不是靠背命令背出來的而是靠一遍一遍在實(shí)驗(yàn)環(huán)境里挖坑、填坑練出來的。HCL 最大的好處就是隨便你怎么折騰錯(cuò)了重啟設(shè)備再來不用擔(dān)心弄壞真實(shí)網(wǎng)絡(luò)。如果你能把上面的每一步都親手敲完再對(duì)照我列出的驗(yàn)證命令檢查結(jié)果這套綜合實(shí)驗(yàn)就真正變成你自己的東西了。