Cisco Packet Tracer企业网络配置实战：三层架构+VTP+DHCP中继+NAT
简介：本资源是一份面向网络工程初学者与企业网管人员的接入层交换机配置实践指南，聚焦企业级网络拓扑中技术部等典型部门的标准化部署。文档系统覆盖交换机命名规范、加密口令与VTY安全加固、VTP客户端模式配置、管理VLAN及IP地址分配、Access/Trunk端口划分（含native VLAN设置）、MAC端口绑定防ARP欺骗等核心实操内容，全部基于真实拓扑图与CLI命令逐条解析，可直接用于GNS3或Packet Tracer仿真实验及现场运维参考。资源为单个1.43MB的Word文档（.docx），结构清晰，含4.1节起的完整配置流程、命令截图说明与图示编号（如图4-1至图4-6），便于按步骤复现与教学讲解。目前已有2501人学习下载，是掌握企业接入层交换机标准化配置、夯实网络设备安全与VLAN管理能力的实用型参考资料。
1. 这份网络拓扑配置文件，不是“能用就行”，而是你第一次在Packet Tracer里敲完show ip route却ping不通PC0时，唯一能救命的对照底稿
你有没有过这种经历：在Packet Tracer里搭好三层架构，核心交换机配了VLAN、启了路由、写了静态路由，接入交换机也设了trunk和access口，可技术部PC（VLAN 6）就是死活ping不通人事部PC（VLAN 5）？翻遍自己写的笔记，发现连ip routing是不是在Core-Switch1上执行都记混了；查配置截图，又分不清哪段是Core-Switch2的备份配置、哪段是Border-R的NAT池定义。最后只能重做——而重做的代价，是交作业前3小时的崩溃、模拟器卡死两次、还有那份被覆盖掉的原始.pkt文件。
这份名为《配套的网络拓扑配置文件.docx》的文档，就是为这种时刻准备的。它不是教学PPT，不是概念图解，更不是某高校课程的课件副本；它是一套完整落地、逐行可验、带上下文逻辑的思科设备CLI配置快照集——从Jishubu-Switch的hostname命令开始，到ISP路由器f0/1接口的no shutdown结束，共覆盖7类设备、19个关键配置节点、37条核心命令及其参数含义。它专为企业网络仿真实验设计，适配Cisco Packet Tracer 7.3+及8.x主流版本，所有IP网段（192.168.0.0/16、221.1.1.0/24、223.1.0.0/16）、VLAN编号（2–7）、端口范围（f0/1–f0/24, G0/1–G0/2）、甚至exec-timeout 5 0里的“5分钟0秒”这种易错格式，全部按真实调试场景固化。如果你正卡在“VTP client学不到VLAN”或“DHCP helper没生效”，别再盲试——这份配置文件，是你该立刻打开、逐行比对、抄进模拟器的“后悔药”。
2. 搭建企业内网：从接入层交换机命名到MAC绑定，每一步都决定终端能否上线
企业内网不是堆设备，而是靠精确的命名体系、收敛的权限控制、可追溯的端口策略把物理连接变成逻辑通路。本节聚焦接入层交换机（以Jishubu-Switch为例），还原其从出厂默认状态到可管理、可接入、可防护的全过程。所有操作均基于Cisco IOS CLI，无需GUI，不依赖高级特性，确保你在Packet Tracer最小化安装下也能复现。
2.1 配置交换机名称：不只是标识，更是故障定位的第一索引
交换机默认主机名是Switch，当拓扑中存在多台接入设备（如Jishubu-Switch、Caiwu-Switch、Shichang-Switch）时，统一命名是避免误操作的前提。例如，在远程登录后看到提示符Jishubu-Switch#，运维人员立即知道当前操作的是技术部接入点，而非财务部设备——这在批量配置或紧急排障时节省至少2分钟确认时间。
Switch>en Switch#config t Switch(config)#hostname Jishubu-Switch逻辑说明：
hostname命令修改设备在CLI中的显示名称，仅影响交互提示符，不改变设备物理标识。该名称会出现在show version、show running-config等所有输出中，是后续所有日志、备份、监控脚本识别设备的唯一文本锚点。
参数注意：名称中禁止空格、特殊字符（如@、#、.），推荐使用英文短横线（-）分隔，长度建议≤20字符。此处Jishubu-Switch明确指向部门+设备类型，符合企业命名规范。
2.2 设置双层口令：enable secret与VTY密码的分工与陷阱
安全不是加一层锁，而是分层设防。enable secret保护特权模式（#），防止未授权用户执行write、reload等高危命令；VTY密码则守卫远程登录入口（Telnet/SSH），阻断非法会话建立。二者必须独立设置，且强度需匹配——若只设VTY密码而漏掉enable secret，攻击者一旦连入，即可直接获得最高权限。
Jishubu-Switch(config)#enable secret cisco Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#password cisco Jishubu-Switch(config-line)#login逻辑说明：
enable secret使用MD5加密存储（优于明文enable password），是进入特权模式的唯一凭证；line vty 0 4定义5个并发远程会话（0–4共5条线路），password为明文密码（Packet Tracer中暂不支持SSH密钥，故用此方式），login启用该线路的密码验证。
参数注意：vty 0 4是标准范围，但若实验中需测试多用户登录，可扩展为vty 0 15；密码cisco仅为示例，实际部署应替换为强密码（如C1sc0@2024!），且enable secret与VTY密码绝不应相同——这是初学者最常犯的玄学错误，导致一次密码泄露即全盘沦陷。
2.3 关闭DNS解析与设置超时：让CLI响应快0.5秒，排障效率翻倍
默认情况下，交换机会对所有未知命令尝试DNS解析（如输入sh ip后误敲routr，设备会向DNS服务器查询routr域名），这不仅造成CLI卡顿，更在无DNS服务的仿真环境中引发长达30秒的等待。同时，未设置exec-timeout的VTY会话可能长期挂起，占用线路资源并埋下安全漏洞。
Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#exec-timeout 5 0 Jishubu-Switch(config)#no ip domain-lookup逻辑说明：
exec-timeout 5 0表示“5分钟0秒”超时，即空闲5分钟后自动退出VTY会话；no ip domain-lookup彻底禁用DNS查询，使CLI对无效命令立即返回% Invalid input detected...，而非陷入无意义等待。
参数注意：5 0是平衡安全与便利的常见值——太短（如1 0）易误退，太长（如30 0）增加风险；no ip domain-lookup必须在全局配置模式下执行，且需在line vty配置之后生效，顺序错误将导致超时设置失效。
2.4 配置VTP Client与管理VLAN：让接入层自动同步VLAN，而非手动维护
VTP（VLAN Trunking Protocol）是简化多交换机VLAN管理的核心机制。接入层设为client模式后，它不再创建/删除VLAN，而是监听Trunk链路上来自server（Core-Switch1）的VTP通告，并自动学习VLAN数据库。这避免了在10台接入交换机上重复执行vlan 2、name servers等命令，极大降低配置错误率。
Jishubu-Switch#vlan database Jishubu-Switch(vlan)#vtp mode client Jishubu-Switch(config)#int vlan 7 Jishubu-Switch(config-if)#ip add 192.168.5.4 255.255.255.0 Jishubu-Switch(config-if)#no shut逻辑说明：
vlan database进入VLAN数据库配置子模式（旧式IOS语法，Packet Tracer兼容）；vtp mode client声明本机为VTP客户端；int vlan 7创建SVI（Switch Virtual Interface）作为管理接口，ip add为其分配IP，no shut激活——该IP是后续通过Telnet/SSH远程管理Jishubu-Switch的唯一入口。
参数注意：VTP域名称（vtp domain gongsi）必须与Core-Switch1完全一致（大小写敏感），否则无法同步；管理VLAN（VLAN 7）需在Core-Switch1上已存在且已配置IP（如192.168.5.2/24），否则Jishubu-Switch的SVI无法通信；192.168.5.4是该网段内唯一未被Core-Switch1（.2）和网管PC（.1）占用的地址，预留合理。
2.5 划分Access端口与Trunk端口：物理端口如何承载逻辑VLAN
接入交换机的端口角色决定数据流向：access端口绑定单一VLAN，用于连接PC、打印机等终端；trunk端口承载多个VLAN标签帧，专用于交换机间互联。配置错误（如将PC接入trunk口）会导致终端获取错误IP或完全失联。
# 配置访问端口：f0/2-3接入VLAN 6（技术部终端），f0/23-24接入VLAN 7（管理终端） Jishubu-Switch(config)#int range f0/2-3 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 6 Jishubu-Switch(config)#int range f0/23-24 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 7 # 配置主干道端口：f0/1和f0/4连接Core-Switch1/2，启用trunk并设native VLAN 7 Jishubu-Switch(config)#int f0/1 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7 Jishubu-Switch(config-if)#exit Jishubu-Switch(config)#int f0/4 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7逻辑说明：
switchport mode access强制端口为接入模式，剥离所有VLAN标签；switchport access vlan 6指定该端口所属VLAN；switchport mode trunk启用中继，允许传输多VLAN流量；switchport trunk native vlan 7定义“原生VLAN”，即未打标签的帧所属VLAN——此处设为7，与管理VLAN一致，确保管理流量（如Telnet）无需标签即可通行。
参数注意：int range f0/2-3是高效批量配置语法，等效于分别进入f0/2、f0/3；native vlan必须在两端Trunk口（Jishubu-Switch与Core-Switch1）严格一致，否则VLAN 7流量将被丢弃；f0/23-24配置为VLAN 7，是为连接网管PC（192.168.5.1）预留，非业务终端。
2.6 启用端口安全：用MAC地址绑定堵住ARP欺骗的后门
在开放办公环境中，恶意用户可能伪造网关MAC地址发起ARP欺骗，劫持内网流量。端口安全（Port Security）通过将端口与合法MAC地址绑定，实现物理层准入控制——只有绑定的MAC设备才能通信，其他设备即使插上网线也无法获取IP。
Jishubu-Switch(config)#int f0/23 Jishubu-Switch(config-if)#switchport port-security Jishubu-Switch(config-if)#switchport port-security mac-address 0002.1628.24B9逻辑说明：
switchport port-security启用端口安全功能；switchport port-security mac-address静态绑定指定MAC地址（格式为H.H.H，三位十六进制数，中间用点分隔）。此处绑定网管PC的MAC，确保只有该PC能通过f0/23接入VLAN 7。
参数注意：MAC地址0002.1628.24B9需与实际网管PC网卡地址完全一致（可在PC的ipconfig /all中查看）；绑定后，若该PC更换网卡或MAC地址变更，需手动更新此配置；端口安全默认违规动作为shutdown（端口关闭），可通过switchport port-security violation restrict改为限制模式（丢弃非法帧但保持端口up）。
3. 构建核心层：双机冗余、VLAN划分、三层路由与DHCP中继的协同落地
核心层是企业网络的“心脏”，承担VLAN终结、跨VLAN路由、DHCP中继、链路聚合等关键职能。本节以Core-Switch1为核心，详解其如何通过VTP Server角色统管VLAN、SVI接口实现三层转发、DHCP Helper中继地址请求、Port-channel提升上行带宽，最终与Core-Switch2构成高可用架构。所有配置均针对Packet Tracer仿真环境优化，规避真实设备中常见的硬件兼容性问题。
3.1 配置Core-Switch1基础属性：主机名、口令与VTP域权威性确立
核心交换机是VTP域的“大脑”，必须设为server模式并定义唯一域名，才能向接入层下发VLAN信息。同时，其自身安全性要求更高——需强化口令策略，并确保console口（line con 0）同样受超时保护，防止本地维护时疏忽留门。
switch>en switch#config t switch#hostname Core-Switch1 Core-Switch1(config)#enable secret cisco Core-Switch1(config)#line vty 0 4 Core-Switch1(config-line)#password cisco Core-Switch1(config-line)#login Core-Switch1(config-line)#exec-timeout 5 0 Core-Switch1(config-line)#line con 0 Core-Switch1(config-line)#exec-timeout 5 0 Core-Switch1(config-line)#exit Core-Switch1(config)#exit Core-Switch1#write逻辑说明：
line con 0配置console口（本地串口连接），exec-timeout 5 0同样适用，避免维护人员离开时console会话长期开启；write保存配置至startup-config，确保重启后配置不丢失——这是仿真与真实环境的关键差异点，Packet Tracer中若不执行write，关闭模拟器后所有配置将清空。
参数注意：write是copy running-config startup-config的简写，必须在特权模式（#）下执行；cisco密码同前，但生产环境务必更换；VTP域名虽未在此步显式配置，但vlan database子模式中vtp domain gongsi是后续生效前提。
3.2 定义VLAN数据库：按部门命名VLAN，为IP地址规划与ACL策略铺路
VLAN不仅是逻辑隔离，更是网络管理的“语义单元”。为每个部门分配专属VLAN并命名（如servers、shichang），可使show vlan brief输出一目了然，也为后续三层接口IP配置、DHCP作用域划分、防火墙策略编写提供清晰依据。
Core-Switch1(config)#vlan 2 Core-Switch1(config-vlan)#name servers Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 3 Core-Switch1(config-vlan)#name shichang Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 4 Core-Switch1(config-vlan)#name caiwu Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 5 Core-Switch1(config-vlan)#name renshi Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 6 Core-Switch1(config-vlan)#name jishu Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 7 Core-Switch1(config-vlan)#name manager Core-Switch1(config-vlan)#exit逻辑说明：
vlan 2创建VLAN ID 2，name servers为其赋予描述性名称；名称不参与转发，纯属管理标识，但极大提升可读性。例如，当show ip interface brief显示Vlan2时，运维人员立即知其为服务器网段，无需查文档。
参数注意：VLAN ID 1为默认VLAN，严禁用于业务（安全风险高），故从2开始编号；name长度限32字符，建议用小写+短横线（如renshi）；所有VLAN必须在此处定义，否则SVI接口（int vlan X）无法创建。
3.3 配置VTP Server与Trunk上行：让Core-Switch1成为VLAN信息源
VTP Server是VLAN数据库的“发布者”。配置vtp server后，Core-Switch1将主动向Trunk链路发送VLAN通告；接入层Client收到后自动同步，无需手动创建VLAN。同时，上行Trunk端口（f0/2–f0/7）需统一设为trunk模式并指定native VLAN，确保VLAN信息透传。
Core-Switch1#vlan database Core-Switch1(vlan)#vtp domain gongsi Core-Switch1(vlan)#vtp server Core-Switch1(vlan)#exit Core-Switch1(config)#int range f0/2-7 Core-Switch1(config-if-range)#switchport mode trunk Core-Switch1(config-if-range)#switchport trunk native vlan 7逻辑说明：
vtp domain gongsi定义VTP管理域，所有参与VTP的设备（Core-Switch1/2、Jishubu-Switch等）必须使用相同域名；vtp server启用Server角色；int range f0/2-7将6个端口批量设为Trunk，连接各接入交换机。
参数注意：vtp domain名称区分大小写，gongsi必须与Jishubu-Switch的vtp domain gongsi完全一致；native vlan 7与接入层Trunk口保持一致，否则VLAN 7管理流量无法互通；若Trunk端口过多，可分组配置（如f0/2-3、f0/4-5），但native VLAN必须统一。
3.4 创建SVI接口并启用三层路由：让VLAN之间真正“对话”
SVI（Switch Virtual Interface）是VLAN的三层网关。为每个业务VLAN创建SVI并配置IP地址，再启用ip routing，Core-Switch1即变身为三层交换机，实现VLAN间路由——技术部（VLAN 6）PC可直接ping通人事部（VLAN 5）PC，无需额外路由器。
Core-Switch1(config)#int vlan 2 Core-Switch1(config-if)#ip add 192.168.0.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip add 192.168.1.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 4 Core-Switch1(config-if)#ip add 192.168.2.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 5 Core-Switch1(config-if)#ip add 192.168.3.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip add 192.168.8.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 7 Core-Switch1(config-if)#ip add 192.168.5.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#ip routing逻辑说明：每个
int vlan X创建对应VLAN的SVI；ip add为其分配网关IP（如VLAN 3网段192.168.1.0/24的网关为192.168.1.2）；no shut激活接口；ip routing全局启用三层路由功能。
参数注意：IP地址规划需严格遵循文档——VLAN 6（技术部）使用192.168.8.0/24而非192.168.6.0/24，这是为避免与VLAN 2（服务器192.168.0.0/24）冲突；192.168.5.2是VLAN 7管理网段的网关，与Jishubu-Switch的192.168.5.4同网段；ip routing必须在所有SVI配置完成后执行，否则路由表为空。
3.5 配置DHCP Helper中继：让单台DHCP服务器为多VLAN分配IP
DHCP服务器通常位于VLAN 2（192.168.0.0/24），但各部门PC分散在VLAN 3–6。若不在Core-Switch1上配置ip helper-address，DHCP Discover广播包无法跨VLAN到达服务器。Helper中继将广播转为单播，精准投递至DHCP服务器。
Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config-if)#int vlan 4 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config-if)#int vlan 5 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config-if)#int vlan 6 Core-Switch1(config-if)#ip helper-address 192.168.0.2逻辑说明：
ip helper-address 192.168.0.2指定DHCP服务器IP（文档中为192.168.0.2），该地址必须可达；命令在SVI接口下执行，意味着该VLAN内所有DHCP请求均由Core-Switch1中继至此服务器。
参数注意：192.168.0.2是DHCP服务器在VLAN 2中的IP，非服务器自身地址；若服务器IP变更，必须同步更新所有helper-address；一个SVI可配置多个helper-address（如备用DHCP服务器），但本方案仅用一台。
3.6 配置Port-channel链路聚合：用G0/1+G0/2捆绑提升上行带宽与可靠性
核心交换机上行至边界路由器（Border-R）需高带宽与冗余。将两个千兆口（G0/1、G0/2）捆绑为Port-channel 1，既实现2Gbps带宽叠加，又提供单链路故障自动切换能力——即使G0/1断开，流量仍经G0/2通行，业务无感知。
Core-Switch1(config)#int range G0/1-2 Core-Switch1(config-if-range)#channel-group 1 mode on Core-Switch1(config-if-range)#exit Core-Switch1(config)#int port-channel 1 Core-Switch1(config-if)#switchport mode trunk Core-Switch1(config-if)#switchport trunk encapsulation dot1q逻辑说明：
channel-group 1 mode on启用静态LACP（on模式不协商，直接捆绑，Packet Tracer中稳定）；int port-channel 1进入逻辑聚合接口；switchport mode trunk设为中继；switchport trunk encapsulation dot1q指定802.1Q封装（思科默认，但显式声明更稳妥）。
参数注意：mode on适用于两端均为思科设备且无需动态协商的场景；port-channel 1的IP地址不在此配置，因其为二层中继口，三层路由由SVI处理；若show etherchannel summary显示SU（Layer2 Up）但P（Port-channel up）为D（Down），检查两端channel-group编号与mode是否一致。
4. 外网出口与NAT转换：从边界路由器配置到ISP连通性的闭环验证
外网是企业网络的“国境线”，边界路由器（Border-R）承担着地址转换（NAT）、策略路由、安全过滤等关键职责。本节聚焦Border-R的四层配置闭环：基础安全加固（AAA认证）、双接口寻址（内网/外网）、NAT策略实施（静态+动态+Overload）、以及与ISP路由器的物理连通性验证。所有步骤均围绕Packet Tracer仿真约束设计，规避真实设备中复杂的ACL与QoS配置。
4.1 配置边界路由器基础安全：AAA认证替代明文VTY密码
相比接入/核心交换机，边界路由器面临更高外部威胁。AAA（Authentication, Authorization, Accounting）框架提供集中认证能力，将用户凭据与本地数据库绑定，比单纯VTY密码更可控。aaa authentication login default local指令强制所有登录（包括console、VTY）均需通过本地用户名校验。
router>en router#config t router(config)#hostname Border-R Border-R(config)#enable secret cisco Border-R(config)#aaa new-model Border-R(config)#aaa authentication login default local Border-R(config)#username admin password admin Border-R(config)#line vty 0 4 Border-R(config-line)#login local Border-R(config-line)#exec-timeout 5 0逻辑说明：
aaa new-model启用AAA框架；aaa authentication login default local设定默认登录认证方法为本地数据库；username admin password admin创建本地用户（admin为用户名，admin为密码）；login local在VTY线下调用该认证。
参数注意：login local取代了旧式password+login组合，是AAA生效的关键；default表示对所有未单独指定的VTY线路生效；username密码强度应高于admin，此处仅为示例；exec-timeout仍需保留，双重保障。
4.2 配置双接口IP地址：f0/0内网侧与s0/0/0外网侧的寻址逻辑
Border-R是内网（192.168.4.0/24）与外网（221.1.1.0/24）的交汇点。f0/0接口连接Core-Switch1（192.168.4.1），作为内网默认网关；s0/0/0接口连接ISP路由器（221.1.1.1），作为外网出口。串口s0/0/0需额外配置clock rate（DCE端），模拟真实广域网时钟源。
Border-R(config)#int f0/0 Border-R(config-if)#ip address 192.168.4.1 255.255.255.0 Border-R(config-if)#no shutdown Border-R(config-if)#exit Border-R(config)#int s0/0/0 Border-R(config-if)#ip address 221.1.1.1 255.255.255.0 Border-R(config-if)#clock rate 2000000 Border-R(config-if)#no shutdown逻辑说明：
ip address为接口分配IP；no shutdown激活接口；clock rate 2000000为串口提供2Mbps时钟信号（DCE端必需，ISP路由器s0/0/0为DTE端，无需此命令）。
参数注意：192.168.4.1是Core-Switch1的默认路由下一跳（ip route 0.0.0.0 0.0.0.0 192.168.4.1），必须与Core-Switch1的f0/1接口IP（192.168.4.2）同网段；221.1.1.1是ISP路由器s0/0/0的对端IP（221.1.1.2），构成点对点链路；clock rate值需与ISP端bandwidth匹配，2000000（2Mbps）是Packet Tracer常用值。
4.3 实施三类NAT策略：静态映射、动态池、端口复用（Overload）的混合应用
NAT是解决IPv4地址短缺与安全隔离的核心技术。本方案采用混合策略：静态NAT暴露关键服务器（Web/DNS/Email），动态NAT池为部门提供固定公网IP，Overload（PAT）为市场部实现“多对一”端口复用，最大化利用有限公网地址。
# (1) 静态NAT：将内网服务器IP一对一映射至公网IP Border-R(config)#ip nat inside source static 192.168.0.4 221.1.1.3 Border-R(config)#ip nat inside source static 192.168.0.5 221.1.1.4 Border-R(config)#ip nat inside source static 192.168.0.6 221.1.1.5 # (2) 动态NAT池：为各部门分配独立IP段 Border-R(config)#ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 Border-R(config)#ip nat pool caiwu 221.1.1.21 221.1.1.30 netmask 255.255.255.0 Border-R(config)#ip nat pool renshi 221.1.1.31 221.1.1.40 netmask 255.255.255.0 Border-R(config)#ip nat pool jishu 221.1.1.41 221.1.1.50 netmask 255.255.255.0 # (3) ACL定义源网段 & NAT应用 Border-R(config)#access-list 1 permit 192.168.8.0 0.0.7.255 # 技术部VLAN 6: 192.168.8.0/21 Border-R(config)#access-list 2 permit 192.168.1.0 0.0.0.255 # 市场部VLAN 3: 192.168.1.0/24 Border-R(config)#access-list 3 permit 192.168.2.0 0.0.0.255 # 财务部VLAN 4: 192.168.2.0/24 Border-R(config)#access-list 4 permit 192.168.3.0 0.0.0.255 # 人事部VLAN 5: 192.168.3.0/24 # (4) 绑定ACL与NAT池（Overload仅用于市场部） Border-R(config)#ip nat inside source list 1 pool jishu Border-R(config)#ip nat inside source list 2 pool shichang overload Border-R(config)#ip nat inside source list 3 pool caiwu Border-R(config)#ip nat inside source list 4 pool renshi # (5) 指定NAT内外接口 Border-R(config)#int s0/0/0 Border-R(config-if)#ip nat outside Border-R(config-if)#int f0/0 Border-R(config-if)#ip nat inside逻辑说明：
ip nat inside source static实现1:1映射，192.168.0.4（内网Web）→221.1.1.3（外网Web）；ip nat pool定义公网IP池；access-list用通配符掩码（wildcard mask）精确匹配源网段（如192.168.8.0 0.0.7.255覆盖192.168.8.0–192.168.15.255，即VLAN 6的192.168.8.0/21）；overload启用端口复用，允许多个内网IP共享一个公网IP；ip nat inside/outside标记接口方向，是NAT生效的前提。
参数注意：ACL
本文还有配套的精品资源，点击获取