对第一次认真学思科网络基础的兄弟我想先说句实话别急着啃路由协议和OSPF真正让你在工位上卡住的内容往往是更底层的东西——模拟器装不上、console连不上、交换机的默认VLAN还搞不清是哪个。前几天群里一个同行就在这上面栽了跟头他在模拟器里折腾了两天NAT最后发现问题出在VLAN划分和接口类型上跟NAT本身一点关系都没有。这篇文章我把从搭建模拟环境、交换机初始化到源地址策略路由、ACS认证配置这条完整链路串一遍每个操作都写清楚为什么要这么做以及我实际踩过的坑。适合刚入行的网络工程师、准备考CCNA的人也适合那些已经会配VLAN但没系统练过PBR和AAA的朋友。内容不涉及太深的厂商原理全部是可落地的操作经验。1. 环境先行模拟器选型背后的真实逻辑刚学思科第一步就是找地方练手。但现在市面上的模拟器选项太多了Packet Tracer、GNS3、EVE-NG还有各种企业级虚拟化方案很多人一开始就选错了工具导致后面实验做不下去以为是自己的问题其实是环境没搭对。1.1 Packet Tracer、GNS3、EVE-NG到底怎么选我自己的判断标准很简单你的目标是学概念还是练真命令Packet Tracer是思科官方的教学工具优点是真的零门槛拓扑拖拽就能搭而且自带配置校验你配错了它会提示。但如果你以后要面对真机PT的环境和真实IOS差距不小很多命令在PT里根本没有学完会有一种纸上谈兵的感觉。我建议PT只用来做最基础的拓扑认知比如看看三层架构长什么样别在里面深挖细节。GNS3的优势是轻量用真实IOS镜像跑命令和真机完全一致。缺点是它要自己装镜像、调设备模板开局配置相对繁琐而且设备一多对电脑性能的消耗比较大。EVE-NG是我现在的主力。它在GNS3的基础上优化了管理方式所有设备都跑在虚拟机里通过网页控制台管理拓扑可以保存成项目文件特别适合做多设备的大型实验。它支持导入思科IOS、IOSv、ASA镜像还能跑其他厂商的设备比如用qemu模拟华为、H3C功能上比GNS3强很多。提示如果电脑内存小于16G不建议用EVE-NG跑大规模拓扑。EVE-NG每台设备单独占用内存一个三节点拓扑就可能吃掉4G以上内存。1.2 EVE-NG部署中的几个关键细节EVE-NG的安装本身不难下载OVA文件导入VMware Workstation或VirtualBox设置好用户名密码开机后在CLI里配置管理地址然后通过浏览器打开管理界面。但有几个细节很多人第一次会栽第一虚拟机网络适配器必须桥接模式NAT模式下你从宿主机访问不到管理界面。如果桥接后还是不通检查虚拟机防火墙和宿主机网段最好给EVE-NG固定一个和宿主机同网段的静态IP。第二上传镜像必须传到正确目录而且要用WinSCP或SFTP工具。不同的设备类型对应不同的子目录最常见的是/opt/unetlab/addons/qemu/下的子文件夹。镜像放错位置网页端根本识别不到设备模板。第三也是最容易漏的上传完镜像后必须执行一条权限修复命令否则所有设备都启动不了或中途崩溃/opt/unetlab/wrappers/unl_wrapper -a fixpermissions这条命令的作用是调整镜像文件的属主和可执行权限。很多教程只让你上传镜像没告诉你还要跑这一步导致设备起不来的情况非常普遍。1.3 镜像选择与ASA彩蛋如果你学习用推荐搞一套IOSv L2镜像和一套IOSv L3镜像。L2版本支持VLAN、trunk、STP这些二层功能L3版本支持路由、策略路由、ACL、NAT。网上流传的vios镜像文件命名一般带vios-adventerprisek9之类的标识导入EVE-NG后启动速度很快比传统3640镜像稳定得多。顺带说一句热搜里思科模拟器5505设备实验指的就是ASA 5505防火墙实验。在EVE-NG里可以导入ASA 5505的qemu镜像启动后和真机一样进setup模式做basic firewall初始化。如果你想提前练防火墙的NAT配置、安全级别调整这个镜像确实值得折腾但建议先把交换机基础弄扎实再碰。2. 交换机初始化的那些默认值陷阱很多人觉得交换机初始化就是改个主机名、配个IP简单得很。但日常排障中真正让人头疼的往往来自那些出厂默认值尤其是VLAN相关配置。这一章我把初始化流程一步步理顺同时把踩过的暗坑标出来。2.1 首次登录与基础配置拿到一台思科交换机第一步是通过console线登录而不是用网线。USB转console线插上后电脑可能出现未知设备COM端口的问题最根本的原因是USB转串口芯片驱动没装好。常见的芯片方案是CP210x、CH340、FTDI你打开设备管理器看是哪个芯片去对应厂商官网下驱动就行。终端软件我习惯用SecureCRT协议选Serial波特率9600、数据位8、停止位1其他默认。这里有个细节把流控里的XON/XOFF选项关掉。开着它以后show命令输出一多屏幕就会卡住你以为设备死了其实只是软件流控在等你按CtrlS继续输出。登录后进入配置模式先把设备基础信息梳理好Switch enable Switch# configure terminal Switch(config)# hostname CORE-SW01 CORE-SW01(config)# enable secret Cisc0#2024 CORE-SW01(config)# banner motd #Authorized Access Only#重点说下enable secret和enable password的优先级。思科IOS里如果你同时配了这两个enable secret会优先生效。原因是secret存的是MD5哈希值password是明文或弱加密secret安全性更高老设备上两个都配就会混淆建议只保留secret。2.2 VLAN 1的默认短板与本地管理VLAN很多刚上手的人会把管理IP直接配在VLAN 1上因为默认所有端口都在VLAN 1里配置简单省事。但这是一个非常值得警惕的习惯。VLAN 1是思科交换机的默认VLAN所有VLAN的trunk链路默认都承载VLAN 1而且VLAN 1里的广播流量不能被修剪。这意味着如果你把管理地址放VLAN 1任何接入交换机且处于外网的设备都可能通过trunk链路直接访问你的管理地址等于管理面暴露在网络流量里。我的做法是把本地管理VLAN单独拎出来比如VLAN 99CORE-SW01(config)# vlan 99 CORE-SW01(config-vlan)# name MGMT CORE-SW01(config-vlan)# exit CORE-SW01(config)# interface vlan 99 CORE-SW01(config-if)# ip address 10.10.99.1 255.255.255.0 CORE-SW01(config-if)# no shutdown CORE-SW01(config-if)# exit然后再给VLAN 1的管理地址补一个no ip address或者说干脆不放地址。这样规划之后只有被划入VLAN 99的端口才能管理交换机。这是很多生产环境的标准做法实验环境养成这个习惯以后进了真实网管环境就不会犯低级错误。2.3 trunk接口和native VLAN的配合接下来是VLAN落到端口上。这里有一个典型的误区把VLAN划分和trunk混在一起。简单的划分规则是这样Access口接终端设备比如电脑、打印机、服务器端口只属于单一VLAN。Trunk口接交换机与交换机之间、交换机与路由器之间承载多个VLAN的流量。配置方法CORE-SW01(config)# interface GigabitEthernet0/1 CORE-SW01(config-if)# switchport mode access CORE-SW01(config-if)# switchport access vlan 10 CORE-SW01(config-if)# exit CORE-SW01(config)# interface GigabitEthernet0/24 CORE-SW01(config-if)# switchport mode trunk CORE-SW01(config-if)# switchport trunk encapsulation dot1q CORE-SW01(config-if)# switchport trunk native vlan 99 CORE-SW01(config-if)# switchport trunk allowed vlan 10,20,99 CORE-SW01(config-if)# exittrunk native vlan的作用是定义trunk端口上不打802.1Q标签的帧属于哪个VLAN。两端交换机的native VLAN必须一致否则会出现VLAN不匹配的日志告警流量会串到意想不到的VLAN里。这是排障中最常见的问题之一两边配置看着一样实际却一个在native VLAN 1一个在native VLAN 99整个trunk链路收发混乱。注意思科早期设备默认native VLAN是1很多网工习惯永远不碰native VLAN。但如果你已经调整了管理VLAN建议把native VLAN也一起改掉或者保证两端完全一致二选其一。3. 实训重点基于源地址的策略路由PBR实操与查证热搜词里的基于源地址策略路由实训指导书指向一个很典型的实验场景流量来源不同走不同的出口路径。比如财务部门的流量走专线普通办公流量走宽带。传统路由只看目标地址而策略路由可以先看策略再看路由表这个能力在出口网关和防火墙场景中非常实用。3.1 策略路由与普通路由的本质区别普通路由转发时路由器只做一件事查目标IP在路由表中的最长匹配条目然后把报文从对应出接口扔出去。它不关心这个报文是哪个网段发出来的来自哪里无所谓。策略路由PBR则是在查路由表之前先检查报文特征。你可以按源IP、目的IP、端口号、协议类型来分类命中策略之后直接指令设备把报文交给指定下一跳或指定出接口不再走查路由表流程。你可以把它理解成一个插队规则普通员工进门先排队查路由表VIP客户进门直接走贵宾通道PBR。贵宾通道对应的是set ip next-hop配置了这条命令后命中的流量就直接被送往指定位置。3.2 完整配置过程演示实验拓扑大概长这样PC-A 网段 10.0.1.0/24 PC-B 网段 10.0.2.0/24 | | Gi0/1入口 | CORE-SW01三层交换机 | |-- Gi0/3 连出口1下一跳 192.168.10.2 |-- Gi0/4 连出口2下一跳 192.168.20.2需求让来自10.0.1.0/24的流量走出口1其他流量默认走出口2。首先创建ACL匹配源地址特征。这里有一个非常常见的坑用标准ACL匹配源地址时通配符掩码容易写反。比如access-list 10 permit 10.0.1.0 0.0.0.255才是正确的255.255.255.0这种子网掩码形式在ACL里是无效写法会被当作非法参数拒绝或匹配错误。CORE-SW01(config)# access-list 10 permit 10.0.1.0 0.0.0.255然后写route-mapCORE-SW01(config)# route-map PBR_TEST permit 10 CORE-SW01(config-route-map)# match ip address 10 CORE-SW01(config-route-map)# set ip next-hop 192.168.10.2 CORE-SW01(config-route-map)# exit最后把策略应用到流量进入的接口这里是Gi0/1CORE-SW01(config)# interface GigabitEthernet0/1 CORE-SW01(config-if)# ip policy route-map PBR_TEST CORE-SW01(config-if)# exit注意PBR策略应用在入口方向不是出口方向。流量从PC-A进到Gi0/1时立即被检查如果命中就改走出口1。如果你把ip policy route-map放在Gi0/3上是没有任何效果的大部分新手在这里翻车。另外还有一个关联配置如果路由器自己发出的流量也要走PBR比如你在交换机上用ping 8.8.8.8 source 10.0.1.1做测试此时流量本身由设备产生入口接口不存在需要加一条全局策略CORE-SW01(config)# ip local policy route-map PBR_TEST3.3 验证与排查顺序配完之后不要立刻下结论按下面链路逐项确认查ACL计数show access-lists看匹配次数是否在上涨。如果计数不变说明流量根本没匹配上ACL返过去检查ACL通配符和源网段。查策略应用状态show ip policy确认Gi0/1接口下能看到策略名称。这里显示的是interface output policy还是input policy一定要确认是input。查route-map命中情况show route-map PBR_TEST输出中会有匹配计数的统计。如果ACL计数涨而route-map计数不涨说明match语句和ACL之间映射出了问题。查下一跳可达性ping 192.168.10.2下一跳不可达时即使PBR命中也不会起任何作用流量会退回普通路由表转发。还有一个容易被忽略的点在开启CEF快速转发的设备上PBR的debug输出不一定实时可见。我建议别用debug ip policy来做验证它输出量大而且在高负载环境下会影响数据面性能。用show access-lists的计数器组合show route-map的计数器足够定位90%的问题。4. ACS 5.8认证配置默认密码传闻与AAA落地热搜词里思科acs5.8默认密码被搜得很多说明不少人在ACS初始化这一步卡住了。我配置ACS的经历比较曲折这里把真正的坑讲清楚。4.1 为什么说默认密码是个伪命题思科ACS 5.8并没有一个通用的出厂默认密码。ACS 5.8安装完成后第一次通过浏览器访问管理界面时系统会要求你设置管理员账号这个账号是在安装配置阶段创建的而不是出厂固定写死在系统里的。网上流传的admin/admin、admin/acsadmin等说法基本都是误传。如果你安装的是VMware虚拟机版本的ACS 5.8安装过程中会让创建admin账户并设置密码如果你跳过了这一步或安装中途断掉登录时看到用户名密码错误就再正常不过了。遇到这种情况不要在浏览器端反复尝试密码正确方式是回到ACS的CLI界面执行acs# application configure按提示重新配置网络参数、NTP和管理员账号。这是官方支持的恢复方式比重装省事得多。真正做到一半找不到密码了也可以看看安装时是否写了初始化文档很多项目规范里会把初始admin账号密码写在交付文档中。4.2 交换机接入RADIUS认证的完整配置ACS 5.8主要用于RADIUS认证和TACACS授权。网络设备作为客户端通过RADIUS协议向ACS做登录认证和命令授权。这里演示最常见的配置场景交换机把SSH登录认证交给ACS处理。先定义RADIUS服务器信息CORE-SW01(config)# aaa new-model CORE-SW01(config)# radius server ACS58 CORE-SW01(config-radius-server)# address ipv4 10.1.1.100 auth-port 1812 acct-port 1813 CORE-SW01(config-radius-server)# key MySecretKey#2024 CORE-SW01(config-radius-server)# exit然后配置AAA登录认证顺序注意local参数要放在最后作为ACS不可达时的逃生通道CORE-SW01(config)# aaa authentication login default group radius local CORE-SW01(config)# aaa authorization exec default group radius local CORE-SW01(config)# line vty 0 4 CORE-SW01(config-line)# login authentication default CORE-SW01(config-line)# transport input ssh CORE-SW01(config-line)# exit EVE-SW01(config)# exit这里有一个血泪教训给console口配置认证之前一定要确认本地账号存在且可用。曾经有一次我改完AAA配置后发现ACS服务器还没上线自己的SSH会话又已经断掉结果只能去机房用console线登录。避免这个问题的方法之一是先把aaa authentication login default里保留local并且在本地创建好备用账号CORE-SW01(config)# username adminsecret privilege 15 secret LocalAdmin#2024这样即使ACS全程离线本地admin账号也能保你进门。4.3 登录验证与鉴权失败排查配置完成后在交换机上做本机自测CORE-SW01# test aaa group radius user testuser password testpass new-code如果看到User was successfully authenticated说明RADIUS链路基本通了。接下来用这个ACS账号去SSH登录设备观察ACS页面的Authentication日志能看到认证成功或失败的具体原因。最常见的失败原因有三个共享密钥不一致交换机上key MySecretKey#2024必须和ACS里Network Device配置的共享密钥完全一致包括大小写和特殊字符。ACS不会告诉你哪边错了只会记录一个Authentication Failed。NAS IP配置错了ACS里添加网络设备时填的IP地址必须和交换机发RADIUS请求时用的源地址一致。多数情况交换机只有一个管理地址不会错但如果有多个接口地址就会发生从A接口发请求ACS只认识B接口的诡异问题。ACS里没有创建该用户或账号策略限制ACS 5.8的Identity Store可以是本地用户数据库也可以是AD域。本地用户需要手动创建并且启用状态。新装的ACS默认策略可能禁止空密码或简单密码登录。排查链路我建议从交换机侧向上查先show radius server-group确认服务器状态可用再debug radius authentication看收发报文最后回ACS看日志。不要一开始就在ACS界面里翻效率很低。5. 从实验到真机最常见故障与我的处理习惯最后分享一些从模拟器转到真机环境后必然会遇到的故障以及我的处理习惯。这些内容单看很简单但几乎每个月都能在群里看到新人卡住。5.1 连不上console的硬件陷阱USB转console口连不上九成不是配置问题是驱动问题。插上USB转串口线后打开设备管理器如果看到COM口带黄色感叹号就是驱动没装好。CH340芯片去搜CH340驱动CP210x去搜CP210x VCP driverFTDI芯片去搜FTDI VCP驱动识别芯片型号看线材包装或设备管理器里的描述。驱动装好后SecureCRT新建连接协议选SerialPort选对应COM口波特率9600。如果屏幕一片空白敲一下回车设备如果在线就会出现提示符。仍然空白的话把波特率切换到4800或115200试试——有的老设备或特定版本控制台波特率不是9600。5.2 双工不匹配和CRC错误自我协商不是万能的。当交换机端口配置成duplex auto而远端设备强制duplex full就出现了半双工/全双工不匹配。现象是远程管理偶尔通偶尔不通ping延迟忽高忽低show interface里计数出现大量runts和CRC errors。处理方式很简单两端都强制成同一双工模式更保险的是直接统一成全双工CORE-SW01(config)# interface GigabitEthernet0/2 CORE-SW01(config-if)# duplex full CORE-SW01(config-if)# speed 100 CORE-SW01(config-if)# no shutdown要注意的是配置完成后看show interface的Last input和Output queue这类指标如果持续跳变说明链路已经稳定了。还要去确认远端设备做了相同配置否则你这边强制那边还是auto问题依旧。5.3 实验操练建议和ASA彩蛋如果你准备把网工这条路走下去我的习惯是每个实验至少做两遍第一遍看着命令敲第二遍把配置全删了重新来。第二次才是最锻炼人的因为你会忘记某个配置细节从而触发真正的故障然后被迫学会排查。最后再说回思科模拟器5505设备实验。如果你已经在EVE-NG里导入了ASA 5505镜像第一次开机后会自动进入System Configuration Dialog。依次设置接口IP、默认网关、启用SSH后基本就跑起来了。ASA的配置逻辑和交换机不太一样它基于安全级别接口必须用nameif命名并设置security-level比如inside口100outside口0然后再做PATciscoasa(config)# interface vlan1 ciscoasa(config-if)# nameif inside ciscoasa(config-if)# security-level 100 ciscoasa(config-if)# ip address 192.168.1.1 255.255.255.0 ciscoasa(config-if)# no shutdown ciscoasa(config-if)# exit ciscoasa(config)# interface vlan2 ciscoasa(config-if)# nameif outside ciscoasa(config-if)# security-level 0 ciscoasa(config-if)# ip address 200.1.1.1 255.255.255.0 ciscoasa(config-if)# no shutdown ciscoasa(config-if)# exit ciscoasa(config)# object network INSIDE-ALL ciscoasa(config-network-object)# subnet 192.168.1.0 255.255.255.0 ciscoasa(config-network-object)# nat (inside,outside) dynamic interface这段配置跑通后你对ASA防火墙的接口安全模型会有非常直观的理解——为什么inside可以访问outside而outside默认无法访问inside。练到这里再回头看思科网络基础这几个字你会发现其实并没有那么玄乎。环境搭好、命令敲熟、踩过几个坑之后剩下的就是在大量实验里积累条件反射。真机环境迟早会遇到早点在模拟器里把故障前置真正上设备时候你反而不会慌。