Cisco Packet Tracer企业网络仿真：VLAN、VTP、NAT与端口安全配置详解

发布时间：2026/10/16 11:51:52
Cisco Packet Tracer企业网络仿真：VLAN、VTP、NAT与端口安全配置详解
简介这份资源是面向企业网络设计与仿真学习者的网络拓扑配置文件合集以docx文档形式呈现适合正在备考网络工程师、学习交换机配置或进行企业内网仿真实验的初、中级读者。压缩包内共1个docx文件约1.43MB内容围绕接入层与核心层交换机的完整配置展开涵盖设备命名、加密口令与VTY登录、终端超时与关闭DNS解析、VTP客户端与管理地址、访问端口与Trunk端口划分、MAC端口绑定防ARP欺骗等关键环节并配有拓扑图与命令行示例。目前已有2501人学习下载说明其在网络实验群体中具备一定参考价值。读者可借助这份配置文档对照拓扑图快速复现技术部接入交换机Jishubu-Switch及Core-Switch1、Core-Switch2的配置流程理解VLAN划分、VTP学习与端口安全策略的落地方式从而掌握企业网络从接入层到核心层的搭建思路与排错要点。1. 从一份 docx 说起企业网络仿真到底在配什么很多人拿到「配套的网络拓扑配置文件.docx」第一反应是这不就是一堆交换机命令的截图和粘贴吗但真把它丢进 Cisco Packet Tracer 里逐条敲一遍你会发现它其实是一套完整的企业内网仿真方案——接入层、核心层、服务器群、边界路由器、ISP 模拟、NAT、VTP、DHCP 中继、端口汇聚、端口安全全都在里面。它适合两类人一类是正在做网络课程设计、需要一份能跑通的参考配置的在校开发者另一类是刚接触企业网仿真、想搞明白「VLAN 信息怎么从核心下发到接入」的运维新手。整份文档围绕技术部、市场部、财务部、人事部四个部门展开核心交换机双机冗余接入交换机通过 VTP 客户端模式学习 VLAN边界路由器用 NAT 把内网服务器映射到外网最后用 ping 做连通性验证。下面我按「先看懂架构、再跑通配置、最后能改」的顺序拆一遍。2. 架构与目录拆解双核心 VTP 下发的企业内网长什么样2.1 三层结构怎么分的这套仿真的骨架是典型的「接入 - 核心 - 边界」三层。接入层放的是各部门的接入交换机文档里以技术部的Jishubu-Switch为例其它部门配置相同。接入交换机往上连两台核心交换机Core-Switch1和Core-Switch2f0/1 和 f0/4 分别做 Trunk 上联。核心层再通过 G0/1、G0/2 做端口汇聚形成一个逻辑的 port-channel 1往上接边界路由器Border-R的 f0/0。边界路由器再通过 s0/0/0 串口连到模拟 ISP 路由器外网侧挂 DNS 和 Web 服务器。内网服务器群单独放在 192.168.0.1/24 网段DHCP、DNS、Web、FTP、Email 都在这里。PC 终端通过 DHCP 自动获取地址网管主机则静态配置在 VLAN 7 的 192.168.5.1/24 网段。这个划分方式的好处是服务器区、管理区、业务区在逻辑上隔离但通过核心交换机的三层路由又能互通。2.2 VLAN 与 IP 的对应关系文档里一共划了 6 个业务 VLAN加上一个管理 VLAN整理成表更清楚VLAN ID名称用途对应网段2servers服务器群192.168.0.0/243shichang市场部192.168.1.0/244caiwu财务部192.168.2.0/245renshi人事部192.168.3.0/246jishu技术部192.168.8.0/247manager管理 VLAN192.168.5.0/24VLAN 7 同时被用作 Trunk 的 native VLAN这个设计在文档里反复出现后面讲避坑时会重点说。核心交换机Core-Switch1上通过vlan database进入 VLAN 配置模式把 VTP domain 设为gongsi模式设为 server接入交换机则设为 client自动学习这些 VLAN 信息。2.3 服务器群的角色分配服务器群这块文档把每个服务的配置都拆开了DHCP 服务器负责给各部门 PC 分配地址池DNS 服务器做域名到 IP 的映射Web 服务器写 HTML 页面FTP 服务器配用户和权限Email 服务器加邮件用户。核心交换机上每个 VLAN 接口都配了ip helper-address 192.168.0.2指向 DHCP 服务器这样跨网段的 DHCP 请求才能被正确转发。这个细节很多新手会漏导致 PC 拿不到地址。3. 接入层配置实操从主机名到端口安全的完整命令链3.1 基础安全配置接入交换机的配置从命名开始文档里叫Jishubu-Switch目的是让维护人员一眼看出这是哪个部门的设备。接着配 enable secret 和 VTY 口令再设超时、关 DNS 解析Switchen Switch#config t Switch(config)#hostname Jishubu-Switch Jishubu-Switch(config)#enable secret cisco Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#password cisco Jishubu-Switch(config-line)#login Jishubu-Switch(config-line)#exec-timeout 5 0 Jishubu-Switch(config)#no ip domain-lookupenable secret和enable password的区别在于前者是加密存储的文档用的是 secret这点没问题。exec-timeout 5 0表示 5 分 0 秒无操作就断开防止有人开着会话走人。no ip domain-lookup是血泪经验——不关的话你敲错一个命令交换机会以为你要 telnet 某个主机名然后卡在那里等 DNS 解析等半天才报错。3.2 VTP 客户端与管理地址接入交换机不自己建 VLAN而是通过 VTP 从核心学Jishubu-Switch#vlan database Jishubu-Switch(vlan)#vtp mode client Jishubu-Switch(config)#int vlan 7 Jishubu-Switch(config-if)#ip add 192.168.5.4 255.255.255.0 Jishubu-Switch(config-if)#no shut这里vtp mode client是关键设成 client 后本机不能增删 VLAN只能同步 server 的。管理地址放在 VLAN 7和网管主机同网段方便远程登录。注意vlan database是旧版 IOS 的写法新版直接config t下vtp mode client也行但文档用的是旧写法仿真环境里两种都能跑。3.3 访问端口与 Trunk 端口访问端口接终端Trunk 端口上联核心Jishubu-Switch(config)#int range f0/2-3 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 6 Jishubu-Switch(config)#int range f0/23-24 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 7 Jishubu-Switch(config)#int f0/1 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7 Jishubu-Switch(config)#int f0/4 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7f0/2-3 划到 VLAN 6 给技术部终端用f0/23-24 划到 VLAN 7 给管理用。f0/1 和 f0/4 做 Trunk 上联两台核心native VLAN 都设成 7。这里有个容易翻车的点两端 Trunk 的 native VLAN 必须一致否则会报 native VLAN mismatch虽然不一定影响业务但日志里一直刷警告。3.4 MAC 端口绑定防 ARP 欺骗文档在 f0/23 上做了端口安全Jishubu-Switch(config)#int f0/23 Jishubu-Switch(config-if)#switchport port-security Jishubu-Switch(config-if)#switchport port-security mac-address 0002.1628.24B9switchport port-security开启端口安全后面跟的 MAC 地址是手动绑定的合法终端。这样只有这个 MAC 能从这个口进来别的设备插上去要么触发 violation 要么被丢弃。文档里写的是防 ARP 欺骗严格说端口安全主要防的是 MAC 泛洪和未授权接入对 ARP 欺骗的防护有限但作为入门级安全措施够用了。4. 核心层与边界VLAN 划分、端口汇聚、NAT 和路由4.1 核心交换机建 VLAN 和 VTP server核心交换机是 VLAN 信息的源头Core-Switch1(config)#vlan 2 Core-Switch1(config-vlan)#name servers Core-Switch1(config)#vlan 3 Core-Switch1(config-vlan)#name shichang Core-Switch1(config)#vlan 4 Core-Switch1(config-vlan)#name caiwu Core-Switch1(config)#vlan 5 Core-Switch1(config-vlan)#name renshi Core-Switch1(config)#vlan 6 Core-Switch1(config-vlan)#name jishu Core-Switch1(config)#vlan 7 Core-Switch1(config-vlan)#name manager Core-Switch1#vlan database Core-Switch1(vlan)#vtp domain gongsi Core-Switch1(vlan)#vtp serverVTP domain 必须所有交换机一致否则学不到 VLAN。server 模式才能建 VLANclient 只能学。文档里 VLAN 命名用了拼音实际项目里建议用英文或统一规范不然接手的人得猜shichang是市场还是商场。4.2 端口汇聚与 Trunk 封装核心交换机之间做 EtherChannelCore-Switch1(config)#int range G0/1-2 Core-Switch1(config-if-range)#channel-group 1 mode on Core-Switch1(config)#int port-channel 1 Core-Switch1(config-if)#switchport mode trunk Core-Switch1(config-if)#switchport trunk encapsulation dot1qchannel-group 1 mode on是强制模式不跑协商协议。生产环境更推荐mode active配 LACP但仿真里on最简单。encapsulation dot1q指定 Trunk 封装为 802.1Q有些平台默认就是 dot1q但显式写出来更稳。4.3 DHCP 中继与三层路由每个业务 VLAN 都要指 DHCP 服务器Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 4 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 5 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config)#ip routingip helper-address把 UDP 广播转成单播发给 DHCP 服务器这是跨网段 DHCP 的标准做法。ip routing开启三层路由核心交换机才能在不同 VLAN 间转发。没这条命令VLAN 间就是孤岛。4.4 边界路由器 NAT 三种玩法边界路由器Border-R上配了静态 NAT、动态 NAT 和端口复用Border-R(config)#ip nat inside source static 192.168.0.4 221.1.1.3 Border-R(config)#ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 Border-R(config)#access-list 1 permit 192.168.8.0 0.0.7.255 Border-R(config)#ip nat inside source list 1 pool shichang overload Border-R(config)#int s0/0/0 Border-R(config-if)#ip nat outside Border-R(config)#int f0/0 Border-R(config-if)#ip nat inside静态 NAT 把内网 Web 服务器 192.168.0.4 映射到 221.1.1.3外网才能访问。动态 NAT 用地址池overload就是 PAT多个内网地址复用一个公网地址。access-list 1匹配的是 192.168.8.0/21反掩码 0.0.7.255 覆盖了 8 到 15 的网段。最后必须指定 inside 和 outside 接口不然 NAT 表建不起来。4.5 全网路由打通最后一步是路由Core-Switch1(config)#ip route 0.0.0.0 0.0.0.0 192.168.4.1 Core-Switch1(config)#ip routing Border-R(config)#ip route 192.168.0.0 255.255.0.0 192.168.4.2 Border-R(config)#ip route 223.1.0.0 255.255.0.0 221.1.1.2核心交换机指默认路由到边界路由器的 f0/0192.168.4.1边界路由器回指内网 192.168.0.0/16 到核心再去外网 223.1.0.0/16 走 ISP。这样内网 PC 能出去外网能访问映射的服务器。5. 避坑与排查仿真里最容易翻车的五个点5.1 PC 拿不到 IP 地址现象是 PC 设了 DHCP 但一直显示 APIPA 地址169.254.x.x。原因通常是核心交换机上对应 VLAN 接口没配ip helper-address或者 DHCP 服务器的地址池网段和 VLAN 网段对不上。解决方法是先在核心上show ip interface brief确认 VLAN 接口 up再show run int vlan X看 helper-address 在不在最后去 DHCP 服务器检查地址池的 gateway 和 DNS 是否配错。5.2 Trunk 两端 native VLAN 不一致现象是show interfaces trunk里看到 native VLAN 不匹配日志刷%CDP-4-NATIVE_VLAN_MISMATCH。原因是接入交换机设了 native VLAN 7核心交换机某端口没设或设成别的。解决方法是两端统一switchport trunk native vlan 7或者干脆都用默认 VLAN 1但文档里统一用了 7跟着配就行。5.3 VTP 学不到 VLAN现象是接入交换机show vlan只有默认 VLAN业务 VLAN 一个都没有。原因可能是 VTP domain 不一致、VTP 密码不匹配、或者接入交换机误设成了 transparent 模式。解决方法是show vtp status看 domain 和 mode确保核心是 server、接入是 clientdomain 都是gongsi。如果之前配错了改完 domain 后可能需要重启交换机才同步。5.4 NAT 不生效外网访问不了现象是内网能出去但外网 ping 不通映射的 221.1.1.3。原因通常是 NAT inside/outside 接口标反了或者 access-list 没匹配到源地址。解决方法是show ip nat translations看有没有转换记录没有的话检查ip nat inside和ip nat outside是否分别配在 f0/0 和 s0/0/0 上再show access-lists确认 ACL 的 permit 网段对不对。5.5 端口安全导致合法终端被阻断现象是绑了 MAC 的端口换台电脑就上不了网或者原电脑重启后也上不了。原因是 port-security 默认 violation 模式是 shutdown触发后端口直接 err-disable。解决方法是show port-security interface f0/23看状态如果是 err-disable 就shutdown再no shutdown恢复。如果经常需要换设备可以把 violation 改成 restrict 或 protect但安全性会降低。6. 二次开发与改造把这套配置变成你自己的实验平台这份文档最大的价值不是让你照抄而是给你一个可改的基线。我一般会从三个方向动手。第一是扩部门。文档里四个部门用了 VLAN 3 到 6你可以在核心交换机上加 VLAN 8、9命名成yanfa、ceshi然后在接入交换机上把空闲端口划进去。注意 VTP client 不能自己建 VLAN必须在 server 上建完等同步。同步后show vlan brief确认新 VLAN 出现再配 SVI 和 helper-address。第二是换路由协议。文档用的是静态默认路由适合小规模。如果你想练 OSPF可以把核心和边界之间的路由改成router ospf 1核心和边界都network对应网段。改之前先把静态路由no ip route掉不然会冲突。OSPF 配完用show ip ospf neighbor看邻居状态Full 才算通。第三是加 ACL 做访问控制。比如禁止市场部访问财务部可以在核心交换机上配扩展 ACLCore-Switch1(config)#access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 Core-Switch1(config)#access-list 100 permit ip any any Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip access-group 100 indeny那条挡住市场部到财务部的流量permit any any放行其它。应用在 VLAN 3 的入方向这样市场部发出的包先过 ACL。验证方法是市场部 PC ping 财务部 PC 应该不通ping 服务器应该通。改完记得write保存仿真环境里不保存重启就丢。另外每次改完 Trunk 或 VLAN习惯性show interfaces trunk和show vlan brief各看一眼确认没有意外断链。从那以后我每次动 VLAN 配置都强制先show vtp status确认 domain 和 mode再动手敲命令省得同步出玄学问题。希望帮到你。本文还有配套的精品资源点击获取