简介本资源是一份面向网络工程初学者与企业网管人员的接入层交换机配置实践指南聚焦企业级网络拓扑中技术部等典型部门的标准化部署。文档系统覆盖交换机命名规范、加密口令与VTY安全加固、VTP客户端模式配置、管理VLAN及IP地址分配、Access/Trunk端口划分含native VLAN设置、MAC端口绑定防ARP欺骗等核心实操内容全部基于真实拓扑图与CLI命令逐条解析可直接用于GNS3或Packet Tracer仿真实验及现场运维参考。资源为单个1.43MB的Word文档.docx结构清晰含4.1节起的完整配置流程、命令截图说明与图示编号如图4-1至图4-6便于按步骤复现与教学讲解。目前已有2501人学习下载是掌握企业接入层交换机标准化配置、夯实网络设备安全与VLAN管理能力的实用型参考资料。1. 这份网络拓扑配置文件不是“能用就行”而是你第一次在Packet Tracer里敲完show ip route却ping不通PC0时唯一能救命的对照底稿你有没有过这种经历在Packet Tracer里搭好三层架构核心交换机配了VLAN、启了路由、写了静态路由接入交换机也设了trunk和access口可技术部PCVLAN 6就是死活ping不通人事部PCVLAN 5翻遍自己写的笔记发现连ip routing是不是在Core-Switch1上执行都记混了查配置截图又分不清哪段是Core-Switch2的备份配置、哪段是Border-R的NAT池定义。最后只能重做——而重做的代价是交作业前3小时的崩溃、模拟器卡死两次、还有那份被覆盖掉的原始.pkt文件。这份名为《配套的网络拓扑配置文件.docx》的文档就是为这种时刻准备的。它不是教学PPT不是概念图解更不是某高校课程的课件副本它是一套完整落地、逐行可验、带上下文逻辑的思科设备CLI配置快照集——从Jishubu-Switch的hostname命令开始到ISP路由器f0/1接口的no shutdown结束共覆盖7类设备、19个关键配置节点、37条核心命令及其参数含义。它专为企业网络仿真实验设计适配Cisco Packet Tracer 7.3及8.x主流版本所有IP网段192.168.0.0/16、221.1.1.0/24、223.1.0.0/16、VLAN编号2–7、端口范围f0/1–f0/24, G0/1–G0/2、甚至exec-timeout 5 0里的“5分钟0秒”这种易错格式全部按真实调试场景固化。如果你正卡在“VTP client学不到VLAN”或“DHCP helper没生效”别再盲试——这份配置文件是你该立刻打开、逐行比对、抄进模拟器的“后悔药”。2. 搭建企业内网从接入层交换机命名到MAC绑定每一步都决定终端能否上线企业内网不是堆设备而是靠精确的命名体系、收敛的权限控制、可追溯的端口策略把物理连接变成逻辑通路。本节聚焦接入层交换机以Jishubu-Switch为例还原其从出厂默认状态到可管理、可接入、可防护的全过程。所有操作均基于Cisco IOS CLI无需GUI不依赖高级特性确保你在Packet Tracer最小化安装下也能复现。2.1 配置交换机名称不只是标识更是故障定位的第一索引交换机默认主机名是Switch当拓扑中存在多台接入设备如Jishubu-Switch、Caiwu-Switch、Shichang-Switch时统一命名是避免误操作的前提。例如在远程登录后看到提示符Jishubu-Switch#运维人员立即知道当前操作的是技术部接入点而非财务部设备——这在批量配置或紧急排障时节省至少2分钟确认时间。Switchen Switch#config t Switch(config)#hostname Jishubu-Switch逻辑说明hostname命令修改设备在CLI中的显示名称仅影响交互提示符不改变设备物理标识。该名称会出现在show version、show running-config等所有输出中是后续所有日志、备份、监控脚本识别设备的唯一文本锚点。参数注意名称中禁止空格、特殊字符如、#、.推荐使用英文短横线-分隔长度建议≤20字符。此处Jishubu-Switch明确指向部门设备类型符合企业命名规范。2.2 设置双层口令enable secret与VTY密码的分工与陷阱安全不是加一层锁而是分层设防。enable secret保护特权模式#防止未授权用户执行write、reload等高危命令VTY密码则守卫远程登录入口Telnet/SSH阻断非法会话建立。二者必须独立设置且强度需匹配——若只设VTY密码而漏掉enable secret攻击者一旦连入即可直接获得最高权限。Jishubu-Switch(config)#enable secret cisco Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#password cisco Jishubu-Switch(config-line)#login逻辑说明enable secret使用MD5加密存储优于明文enable password是进入特权模式的唯一凭证line vty 0 4定义5个并发远程会话0–4共5条线路password为明文密码Packet Tracer中暂不支持SSH密钥故用此方式login启用该线路的密码验证。参数注意vty 0 4是标准范围但若实验中需测试多用户登录可扩展为vty 0 15密码cisco仅为示例实际部署应替换为强密码如C1sc02024!且enable secret与VTY密码绝不应相同——这是初学者最常犯的玄学错误导致一次密码泄露即全盘沦陷。2.3 关闭DNS解析与设置超时让CLI响应快0.5秒排障效率翻倍默认情况下交换机会对所有未知命令尝试DNS解析如输入sh ip后误敲routr设备会向DNS服务器查询routr域名这不仅造成CLI卡顿更在无DNS服务的仿真环境中引发长达30秒的等待。同时未设置exec-timeout的VTY会话可能长期挂起占用线路资源并埋下安全漏洞。Jishubu-Switch(config)#line vty 0 4 Jishubu-Switch(config-line)#exec-timeout 5 0 Jishubu-Switch(config)#no ip domain-lookup逻辑说明exec-timeout 5 0表示“5分钟0秒”超时即空闲5分钟后自动退出VTY会话no ip domain-lookup彻底禁用DNS查询使CLI对无效命令立即返回% Invalid input detected...而非陷入无意义等待。参数注意5 0是平衡安全与便利的常见值——太短如1 0易误退太长如30 0增加风险no ip domain-lookup必须在全局配置模式下执行且需在line vty配置之后生效顺序错误将导致超时设置失效。2.4 配置VTP Client与管理VLAN让接入层自动同步VLAN而非手动维护VTPVLAN Trunking Protocol是简化多交换机VLAN管理的核心机制。接入层设为client模式后它不再创建/删除VLAN而是监听Trunk链路上来自serverCore-Switch1的VTP通告并自动学习VLAN数据库。这避免了在10台接入交换机上重复执行vlan 2、name servers等命令极大降低配置错误率。Jishubu-Switch#vlan database Jishubu-Switch(vlan)#vtp mode client Jishubu-Switch(config)#int vlan 7 Jishubu-Switch(config-if)#ip add 192.168.5.4 255.255.255.0 Jishubu-Switch(config-if)#no shut逻辑说明vlan database进入VLAN数据库配置子模式旧式IOS语法Packet Tracer兼容vtp mode client声明本机为VTP客户端int vlan 7创建SVISwitch Virtual Interface作为管理接口ip add为其分配IPno shut激活——该IP是后续通过Telnet/SSH远程管理Jishubu-Switch的唯一入口。参数注意VTP域名称vtp domain gongsi必须与Core-Switch1完全一致大小写敏感否则无法同步管理VLANVLAN 7需在Core-Switch1上已存在且已配置IP如192.168.5.2/24否则Jishubu-Switch的SVI无法通信192.168.5.4是该网段内唯一未被Core-Switch1.2和网管PC.1占用的地址预留合理。2.5 划分Access端口与Trunk端口物理端口如何承载逻辑VLAN接入交换机的端口角色决定数据流向access端口绑定单一VLAN用于连接PC、打印机等终端trunk端口承载多个VLAN标签帧专用于交换机间互联。配置错误如将PC接入trunk口会导致终端获取错误IP或完全失联。# 配置访问端口f0/2-3接入VLAN 6技术部终端f0/23-24接入VLAN 7管理终端 Jishubu-Switch(config)#int range f0/2-3 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 6 Jishubu-Switch(config)#int range f0/23-24 Jishubu-Switch(config-if-range)#switchport mode access Jishubu-Switch(config-if-range)#switchport access vlan 7 # 配置主干道端口f0/1和f0/4连接Core-Switch1/2启用trunk并设native VLAN 7 Jishubu-Switch(config)#int f0/1 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7 Jishubu-Switch(config-if)#exit Jishubu-Switch(config)#int f0/4 Jishubu-Switch(config-if)#switchport mode trunk Jishubu-Switch(config-if)#switchport trunk native vlan 7逻辑说明switchport mode access强制端口为接入模式剥离所有VLAN标签switchport access vlan 6指定该端口所属VLANswitchport mode trunk启用中继允许传输多VLAN流量switchport trunk native vlan 7定义“原生VLAN”即未打标签的帧所属VLAN——此处设为7与管理VLAN一致确保管理流量如Telnet无需标签即可通行。参数注意int range f0/2-3是高效批量配置语法等效于分别进入f0/2、f0/3native vlan必须在两端Trunk口Jishubu-Switch与Core-Switch1严格一致否则VLAN 7流量将被丢弃f0/23-24配置为VLAN 7是为连接网管PC192.168.5.1预留非业务终端。2.6 启用端口安全用MAC地址绑定堵住ARP欺骗的后门在开放办公环境中恶意用户可能伪造网关MAC地址发起ARP欺骗劫持内网流量。端口安全Port Security通过将端口与合法MAC地址绑定实现物理层准入控制——只有绑定的MAC设备才能通信其他设备即使插上网线也无法获取IP。Jishubu-Switch(config)#int f0/23 Jishubu-Switch(config-if)#switchport port-security Jishubu-Switch(config-if)#switchport port-security mac-address 0002.1628.24B9逻辑说明switchport port-security启用端口安全功能switchport port-security mac-address静态绑定指定MAC地址格式为H.H.H三位十六进制数中间用点分隔。此处绑定网管PC的MAC确保只有该PC能通过f0/23接入VLAN 7。参数注意MAC地址0002.1628.24B9需与实际网管PC网卡地址完全一致可在PC的ipconfig /all中查看绑定后若该PC更换网卡或MAC地址变更需手动更新此配置端口安全默认违规动作为shutdown端口关闭可通过switchport port-security violation restrict改为限制模式丢弃非法帧但保持端口up。3. 构建核心层双机冗余、VLAN划分、三层路由与DHCP中继的协同落地核心层是企业网络的“心脏”承担VLAN终结、跨VLAN路由、DHCP中继、链路聚合等关键职能。本节以Core-Switch1为核心详解其如何通过VTP Server角色统管VLAN、SVI接口实现三层转发、DHCP Helper中继地址请求、Port-channel提升上行带宽最终与Core-Switch2构成高可用架构。所有配置均针对Packet Tracer仿真环境优化规避真实设备中常见的硬件兼容性问题。3.1 配置Core-Switch1基础属性主机名、口令与VTP域权威性确立核心交换机是VTP域的“大脑”必须设为server模式并定义唯一域名才能向接入层下发VLAN信息。同时其自身安全性要求更高——需强化口令策略并确保console口line con 0同样受超时保护防止本地维护时疏忽留门。switchen switch#config t switch#hostname Core-Switch1 Core-Switch1(config)#enable secret cisco Core-Switch1(config)#line vty 0 4 Core-Switch1(config-line)#password cisco Core-Switch1(config-line)#login Core-Switch1(config-line)#exec-timeout 5 0 Core-Switch1(config-line)#line con 0 Core-Switch1(config-line)#exec-timeout 5 0 Core-Switch1(config-line)#exit Core-Switch1(config)#exit Core-Switch1#write逻辑说明line con 0配置console口本地串口连接exec-timeout 5 0同样适用避免维护人员离开时console会话长期开启write保存配置至startup-config确保重启后配置不丢失——这是仿真与真实环境的关键差异点Packet Tracer中若不执行write关闭模拟器后所有配置将清空。参数注意write是copy running-config startup-config的简写必须在特权模式#下执行cisco密码同前但生产环境务必更换VTP域名虽未在此步显式配置但vlan database子模式中vtp domain gongsi是后续生效前提。3.2 定义VLAN数据库按部门命名VLAN为IP地址规划与ACL策略铺路VLAN不仅是逻辑隔离更是网络管理的“语义单元”。为每个部门分配专属VLAN并命名如servers、shichang可使show vlan brief输出一目了然也为后续三层接口IP配置、DHCP作用域划分、防火墙策略编写提供清晰依据。Core-Switch1(config)#vlan 2 Core-Switch1(config-vlan)#name servers Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 3 Core-Switch1(config-vlan)#name shichang Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 4 Core-Switch1(config-vlan)#name caiwu Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 5 Core-Switch1(config-vlan)#name renshi Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 6 Core-Switch1(config-vlan)#name jishu Core-Switch1(config-vlan)#exit Core-Switch1(config)#vlan 7 Core-Switch1(config-vlan)#name manager Core-Switch1(config-vlan)#exit逻辑说明vlan 2创建VLAN ID 2name servers为其赋予描述性名称名称不参与转发纯属管理标识但极大提升可读性。例如当show ip interface brief显示Vlan2时运维人员立即知其为服务器网段无需查文档。参数注意VLAN ID 1为默认VLAN严禁用于业务安全风险高故从2开始编号name长度限32字符建议用小写短横线如renshi所有VLAN必须在此处定义否则SVI接口int vlan X无法创建。3.3 配置VTP Server与Trunk上行让Core-Switch1成为VLAN信息源VTP Server是VLAN数据库的“发布者”。配置vtp server后Core-Switch1将主动向Trunk链路发送VLAN通告接入层Client收到后自动同步无需手动创建VLAN。同时上行Trunk端口f0/2–f0/7需统一设为trunk模式并指定native VLAN确保VLAN信息透传。Core-Switch1#vlan database Core-Switch1(vlan)#vtp domain gongsi Core-Switch1(vlan)#vtp server Core-Switch1(vlan)#exit Core-Switch1(config)#int range f0/2-7 Core-Switch1(config-if-range)#switchport mode trunk Core-Switch1(config-if-range)#switchport trunk native vlan 7逻辑说明vtp domain gongsi定义VTP管理域所有参与VTP的设备Core-Switch1/2、Jishubu-Switch等必须使用相同域名vtp server启用Server角色int range f0/2-7将6个端口批量设为Trunk连接各接入交换机。参数注意vtp domain名称区分大小写gongsi必须与Jishubu-Switch的vtp domain gongsi完全一致native vlan 7与接入层Trunk口保持一致否则VLAN 7管理流量无法互通若Trunk端口过多可分组配置如f0/2-3、f0/4-5但native VLAN必须统一。3.4 创建SVI接口并启用三层路由让VLAN之间真正“对话”SVISwitch Virtual Interface是VLAN的三层网关。为每个业务VLAN创建SVI并配置IP地址再启用ip routingCore-Switch1即变身为三层交换机实现VLAN间路由——技术部VLAN 6PC可直接ping通人事部VLAN 5PC无需额外路由器。Core-Switch1(config)#int vlan 2 Core-Switch1(config-if)#ip add 192.168.0.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip add 192.168.1.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 4 Core-Switch1(config-if)#ip add 192.168.2.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 5 Core-Switch1(config-if)#ip add 192.168.3.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 6 Core-Switch1(config-if)#ip add 192.168.8.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#int vlan 7 Core-Switch1(config-if)#ip add 192.168.5.2 255.255.255.0 Core-Switch1(config-if)#no shut Core-Switch1(config-if)#exit Core-Switch1(config)#ip routing逻辑说明每个int vlan X创建对应VLAN的SVIip add为其分配网关IP如VLAN 3网段192.168.1.0/24的网关为192.168.1.2no shut激活接口ip routing全局启用三层路由功能。参数注意IP地址规划需严格遵循文档——VLAN 6技术部使用192.168.8.0/24而非192.168.6.0/24这是为避免与VLAN 2服务器192.168.0.0/24冲突192.168.5.2是VLAN 7管理网段的网关与Jishubu-Switch的192.168.5.4同网段ip routing必须在所有SVI配置完成后执行否则路由表为空。3.5 配置DHCP Helper中继让单台DHCP服务器为多VLAN分配IPDHCP服务器通常位于VLAN 2192.168.0.0/24但各部门PC分散在VLAN 3–6。若不在Core-Switch1上配置ip helper-addressDHCP Discover广播包无法跨VLAN到达服务器。Helper中继将广播转为单播精准投递至DHCP服务器。Core-Switch1(config)#int vlan 3 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config-if)#int vlan 4 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config-if)#int vlan 5 Core-Switch1(config-if)#ip helper-address 192.168.0.2 Core-Switch1(config-if)#int vlan 6 Core-Switch1(config-if)#ip helper-address 192.168.0.2逻辑说明ip helper-address 192.168.0.2指定DHCP服务器IP文档中为192.168.0.2该地址必须可达命令在SVI接口下执行意味着该VLAN内所有DHCP请求均由Core-Switch1中继至此服务器。参数注意192.168.0.2是DHCP服务器在VLAN 2中的IP非服务器自身地址若服务器IP变更必须同步更新所有helper-address一个SVI可配置多个helper-address如备用DHCP服务器但本方案仅用一台。3.6 配置Port-channel链路聚合用G0/1G0/2捆绑提升上行带宽与可靠性核心交换机上行至边界路由器Border-R需高带宽与冗余。将两个千兆口G0/1、G0/2捆绑为Port-channel 1既实现2Gbps带宽叠加又提供单链路故障自动切换能力——即使G0/1断开流量仍经G0/2通行业务无感知。Core-Switch1(config)#int range G0/1-2 Core-Switch1(config-if-range)#channel-group 1 mode on Core-Switch1(config-if-range)#exit Core-Switch1(config)#int port-channel 1 Core-Switch1(config-if)#switchport mode trunk Core-Switch1(config-if)#switchport trunk encapsulation dot1q逻辑说明channel-group 1 mode on启用静态LACPon模式不协商直接捆绑Packet Tracer中稳定int port-channel 1进入逻辑聚合接口switchport mode trunk设为中继switchport trunk encapsulation dot1q指定802.1Q封装思科默认但显式声明更稳妥。参数注意mode on适用于两端均为思科设备且无需动态协商的场景port-channel 1的IP地址不在此配置因其为二层中继口三层路由由SVI处理若show etherchannel summary显示SULayer2 Up但PPort-channel up为DDown检查两端channel-group编号与mode是否一致。4. 外网出口与NAT转换从边界路由器配置到ISP连通性的闭环验证外网是企业网络的“国境线”边界路由器Border-R承担着地址转换NAT、策略路由、安全过滤等关键职责。本节聚焦Border-R的四层配置闭环基础安全加固AAA认证、双接口寻址内网/外网、NAT策略实施静态动态Overload、以及与ISP路由器的物理连通性验证。所有步骤均围绕Packet Tracer仿真约束设计规避真实设备中复杂的ACL与QoS配置。4.1 配置边界路由器基础安全AAA认证替代明文VTY密码相比接入/核心交换机边界路由器面临更高外部威胁。AAAAuthentication, Authorization, Accounting框架提供集中认证能力将用户凭据与本地数据库绑定比单纯VTY密码更可控。aaa authentication login default local指令强制所有登录包括console、VTY均需通过本地用户名校验。routeren router#config t router(config)#hostname Border-R Border-R(config)#enable secret cisco Border-R(config)#aaa new-model Border-R(config)#aaa authentication login default local Border-R(config)#username admin password admin Border-R(config)#line vty 0 4 Border-R(config-line)#login local Border-R(config-line)#exec-timeout 5 0逻辑说明aaa new-model启用AAA框架aaa authentication login default local设定默认登录认证方法为本地数据库username admin password admin创建本地用户admin为用户名admin为密码login local在VTY线下调用该认证。参数注意login local取代了旧式passwordlogin组合是AAA生效的关键default表示对所有未单独指定的VTY线路生效username密码强度应高于admin此处仅为示例exec-timeout仍需保留双重保障。4.2 配置双接口IP地址f0/0内网侧与s0/0/0外网侧的寻址逻辑Border-R是内网192.168.4.0/24与外网221.1.1.0/24的交汇点。f0/0接口连接Core-Switch1192.168.4.1作为内网默认网关s0/0/0接口连接ISP路由器221.1.1.1作为外网出口。串口s0/0/0需额外配置clock rateDCE端模拟真实广域网时钟源。Border-R(config)#int f0/0 Border-R(config-if)#ip address 192.168.4.1 255.255.255.0 Border-R(config-if)#no shutdown Border-R(config-if)#exit Border-R(config)#int s0/0/0 Border-R(config-if)#ip address 221.1.1.1 255.255.255.0 Border-R(config-if)#clock rate 2000000 Border-R(config-if)#no shutdown逻辑说明ip address为接口分配IPno shutdown激活接口clock rate 2000000为串口提供2Mbps时钟信号DCE端必需ISP路由器s0/0/0为DTE端无需此命令。参数注意192.168.4.1是Core-Switch1的默认路由下一跳ip route 0.0.0.0 0.0.0.0 192.168.4.1必须与Core-Switch1的f0/1接口IP192.168.4.2同网段221.1.1.1是ISP路由器s0/0/0的对端IP221.1.1.2构成点对点链路clock rate值需与ISP端bandwidth匹配20000002Mbps是Packet Tracer常用值。4.3 实施三类NAT策略静态映射、动态池、端口复用Overload的混合应用NAT是解决IPv4地址短缺与安全隔离的核心技术。本方案采用混合策略静态NAT暴露关键服务器Web/DNS/Email动态NAT池为部门提供固定公网IPOverloadPAT为市场部实现“多对一”端口复用最大化利用有限公网地址。# (1) 静态NAT将内网服务器IP一对一映射至公网IP Border-R(config)#ip nat inside source static 192.168.0.4 221.1.1.3 Border-R(config)#ip nat inside source static 192.168.0.5 221.1.1.4 Border-R(config)#ip nat inside source static 192.168.0.6 221.1.1.5 # (2) 动态NAT池为各部门分配独立IP段 Border-R(config)#ip nat pool shichang 221.1.1.10 221.1.1.20 netmask 255.255.255.0 Border-R(config)#ip nat pool caiwu 221.1.1.21 221.1.1.30 netmask 255.255.255.0 Border-R(config)#ip nat pool renshi 221.1.1.31 221.1.1.40 netmask 255.255.255.0 Border-R(config)#ip nat pool jishu 221.1.1.41 221.1.1.50 netmask 255.255.255.0 # (3) ACL定义源网段 NAT应用 Border-R(config)#access-list 1 permit 192.168.8.0 0.0.7.255 # 技术部VLAN 6: 192.168.8.0/21 Border-R(config)#access-list 2 permit 192.168.1.0 0.0.0.255 # 市场部VLAN 3: 192.168.1.0/24 Border-R(config)#access-list 3 permit 192.168.2.0 0.0.0.255 # 财务部VLAN 4: 192.168.2.0/24 Border-R(config)#access-list 4 permit 192.168.3.0 0.0.0.255 # 人事部VLAN 5: 192.168.3.0/24 # (4) 绑定ACL与NAT池Overload仅用于市场部 Border-R(config)#ip nat inside source list 1 pool jishu Border-R(config)#ip nat inside source list 2 pool shichang overload Border-R(config)#ip nat inside source list 3 pool caiwu Border-R(config)#ip nat inside source list 4 pool renshi # (5) 指定NAT内外接口 Border-R(config)#int s0/0/0 Border-R(config-if)#ip nat outside Border-R(config-if)#int f0/0 Border-R(config-if)#ip nat inside逻辑说明ip nat inside source static实现1:1映射192.168.0.4内网Web→221.1.1.3外网Webip nat pool定义公网IP池access-list用通配符掩码wildcard mask精确匹配源网段如192.168.8.0 0.0.7.255覆盖192.168.8.0–192.168.15.255即VLAN 6的192.168.8.0/21overload启用端口复用允许多个内网IP共享一个公网IPip nat inside/outside标记接口方向是NAT生效的前提。参数注意ACL本文还有配套的精品资源点击获取