上一篇
互联网专线接入交换机怎么配置？企业宽带接入交换机配置教程
互联网专线接入交换机的配置是一项涉及网络架构、安全策略及服务质量（QoS）的系统工程，虽然“交换机”通常指二层或三层设备，但在互联网专线接入场景中，往往需要结合路由器或具备三层路由功能的交换机（L3 Switch）进行配置，以实现VLAN划分、路由转发及访问控制，以下将以通用的企业级三层交换机或网关设备为例,详细阐述配置流程。
前期准备与基础环境检查
在输入任何配置命令之前,必须明确物理连接和逻辑规划。
-
物理连接确认：
- WAN口：连接运营商提供的专线光猫或终端设备。
- LAN口：连接内部核心交换机或服务器集群。
- Console口：用于初始配置和故障排查。
-
IP地址规划：
- WAN侧IP：由运营商提供（静态IP或DHCP）。
- LAN侧IP：作为内部网络的网关（如 168.1.1/24）。
- 管理IP：用于远程SSH或Web管理。
基础网络配置
设备初始化与主机名设置
首先通过Console线登录设备，设置主机名以便识别,并关闭不必要的服务以增强安全性。
配置管理IP与远程访问
为了方便后续维护，配置SVI（Switch Virtual Interface）或物理接口IP,并启用SSH服务。
# 创建管理VLAN（假设VLAN 10） [Internet-Gateway] vlan 10 [Internet-Gateway-vlan10] quit # 配置管理接口IP [Internet-Gateway] interface Vlan-interface 10 [Internet-Gateway-Vlan-interface10] ip address 192.168.10.2 255.255.255.0 [Internet-Gateway-Vlan-interface10] quit # 配置默认网关（指向运营商网关） [Internet-Gateway] ip route-static 0.0.0.0 0.0.0.0 <运营商网关IP> # 启用SSH并配置用户 [Internet-Gateway] aaa [Internet-Gateway-aaa] local-user admin privilege level 3 [Internet-Gateway-aaa] local-user admin service-type ssh [Internet-Gateway-aaa] quit [Internet-Gateway] ssh user admin authentication-type password [Internet-Gateway] ssh user admin service-type stelnet
接口与VLAN配置
互联网专线接入通常要求内外网隔离,因此VLAN配置至关重要。
划分业务VLAN
根据部门或功能划分VLAN，
- VLAN 100：办公网
- VLAN 200：服务器区
- VLAN 300：访客网络
配置接入端口与Trunk
# 配置连接内部交换机的端口为Trunk，允许所有业务VLAN通过 [Internet-Gateway] interface GigabitEthernet 1/0/1 [Internet-Gateway-GigabitEthernet1/0/1] port link-type trunk [Internet-Gateway-GigabitEthernet1/0/1] port trunk permit vlan 100 200 300 [Internet-Gateway-GigabitEthernet1/0/1] quit # 配置连接运营商的WAN口（假设接口为GE1/0/24） [Internet-Gateway] interface GigabitEthernet 1/0/24 [Internet-Gateway-GigabitEthernet1/0/24] port link-type access [Internet-Gateway-GigabitEthernet1/0/24] port default vlan 1 # 通常WAN口独立VLAN或默认VLAN [Internet-Gateway-GigabitEthernet1/0/24] quit
路由与NAT配置
这是实现内网访问互联网的核心步骤。
配置静态路由
如果运营商提供的是静态IP,需配置指向运营商网关的默认路由。
[Internet-Gateway] ip route-static 0.0.0.0 0.0.0.0 <运营商网关IP>
配置NAT（网络地址转换）
由于内网使用私有IP,必须通过NAT将私有IP转换为公网IP才能访问互联网。
# 定义ACL，允许内网网段访问 [Internet-Gateway] acl number 3000 [Internet-Gateway-acl-adv-3000] rule 5 permit ip source 192.168.100.0 0.0.0.255 [Internet-Gateway-acl-adv-3000] rule 10 permit ip source 192.168.200.0 0.0.0.255 [Internet-Gateway-acl-adv-3000] quit # 在WAN口接口应用NAT [Internet-Gateway] interface GigabitEthernet 1/0/24 [Internet-Gateway-GigabitEthernet1/0/24] nat outbound 3000 [Internet-Gateway-GigabitEthernet1/0/24] quit
注：若运营商提供多个公网IP，可配置NAT Server（端口映射）以发布内部服务器。
安全策略与QoS优化
访问控制列表（ACL）
限制特定网段访问互联网,或禁止外部IP访问内部服务器。
# 禁止访客VLAN访问办公VLAN [Internet-Gateway] acl number 3001 [Internet-Gateway-acl-adv-3001] rule 5 deny ip source 192.168.300.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 [Internet-Gateway-acl-adv-3001] rule 10 permit ip [Internet-Gateway-acl-adv-3001] quit
服务质量（QoS）配置
确保关键业务（如VoIP、视频会议）带宽,限制P2P下载占用。
| 配置项 | 参数示例 | 说明 |
|---|---|---|
| 队列调度 | WRR (Weighted Round Robin) | 加权轮询，保证高优先级队列带宽 |
| 优先级映射 | DSCP 46 -> Queue 7 | 将音视频流量标记为最高优先级 |
| 带宽限制 | Car (Committed Access Rate) | 限制非关键业务最大带宽 |
# 示例：将VLAN 200（服务器）的流量标记为高优先级 [Internet-Gateway] traffic classifier c1 [Internet-Gateway-classifier-c1] if-match vlan-id 200 [Internet-Gateway-classifier-c1] quit [Internet-Gateway] traffic behavior b1 [Internet-Gateway-behavior-b1] remark dscp 46 [Internet-Gateway-behavior-b1] quit [Internet-Gateway] traffic policy p1 [Internet-Gateway-trafficpolicy-p1] classifier c1 behavior b1 [Internet-Gateway-trafficpolicy-p1] quit [Internet-Gateway] interface Vlan-interface 200 [Internet-Gateway-Vlan-interface200] traffic-policy p1 inbound
配置保存与验证
配置完成后，务必保存配置以防重启丢失,并进行连通性测试。
# 保存配置 [Internet-Gateway] save force # 验证测试 <Internet-Gateway> ping 8.8.8.8 # 测试外网连通性 <Internet-Gateway> display ip routing-table # 检查路由表 <Internet-Gateway> display nat session # 检查NAT会话
相关问题与解答
问题 1：互联网专线接入后，内网用户无法访问外网，但Ping网关通，可能的原因有哪些？
解答：
这种情况通常由以下原因导致,建议按顺序排查：
- NAT配置缺失或错误：检查是否在WAN口正确应用了NAT Outbound策略,以及ACL是否匹配了内网源IP。
- 默认路由缺失：检查路由表中是否存在指向运营商网关的默认路由（0.0.0 0.0.0.0）。
- DNS解析问题：虽然Ping IP通，但Ping域名不通可能是DNS配置错误,检查设备或DHCP服务器下发的DNS地址是否正确。
- 运营商侧限制：部分专线可能需要绑定MAC地址或进行PPPoE认证,确认物理链路协商状态及运营商侧配置是否完成。
问题 2：如何配置互联网专线以实现双线路负载均衡或故障切换？
解答：
实现双线路（如一条电信、一条联通）通常有两种主流方案：
- 策略路由（PBR）：
- 配置两条默认路由,分别指向电信和联通网关。
- 通过ACL定义不同源IP或目的IP的流量，使用ip policy-based-route将特定流量指向特定下一跳，将访问特定服务器的流量走电信线路,其余走联通线路。
- SD-WAN或专用多WAN路由器：
- 对于复杂场景，建议使用支持SD-WAN功能的设备，它们可以基于应用识别（如视频、网页）自动选择最佳链路,并具备毫秒级的故障切换能力。
- 若使用普通三层交换机，需结合VRRP（虚拟路由冗余协议）实现主备切换,而非真正的负载均衡。
