先说个我最近遇到的场景新搭好的办公网核心交换机下面挂了四个业务网段出口路由器跟运营商专线对接。有人上来就想跑OSPF、划分区域我通常会按住他——你只需要在思科路由器上敲两行静态路由30秒搞定又稳又好查。静态路由这东西教科书上就一句话但真正在生产环境里配置成一套干净、可靠、不出环的路由表还是有很多细节值得掰扯。这篇就把思科路由器静态路由从原理到实战从头到尾拆一遍顺便用华为ensp里的设备做个命令对照适合刚接触路由器配置的新人也适合想系统梳理知识点的老手。1. 先把路由这件事讲明白1.1 路由表、下一跳与最长匹配原则路由器转发数据包靠的是路由表。路由表里每一行核心就是三样东西目标网段、子网掩码、下一跳地址。当一个数据包到达路由器时路由器拿数据包的目的IP跟路由表里的所有条目做比对按“最长前缀匹配”选出一条最精确的路径。这跟快递分拣有点像——你寄一个包裹到某小区3栋2单元快递员不会只看“这个城市是我负责的”就扔过去一定精确到哪栋楼、哪个单元越详细的分拣路径越优先。在思科路由器上用show ip route查看路由表开头会有C、S、O、R这些字母。C是直连路由Connected接口配置好IP并up就能自动生成S是静态路由Static就是我们手动敲进去的O是OSPFR是RIP。你手工配置的思科静态路由在表里就是S开头。这里有个容易忽略的点路由表的匹配是最长匹配而不是“越靠前越优先”。比如路由器上同时存在192.168.10.0/24和192.168.10.0/25这条路由目的地址是192.168.10.130的数据包会匹配/25而不是/24因为/25前缀更长、范围更精确。这一点在配置静态路由时特别重要尤其是当你用默认路由兜底又想用明细路由做策略分流的时候。1.2 静态路由的定位什么时候非它不可静态路由最大的优势有三点可控、稳定、可预测。可控意味着路由去向完全由你决定不会像动态协议那样因为邻居设备误配置导致整个网络路由震荡。稳定意味着它不占用带宽、不消耗CPU去跑协议报文不管网络多复杂只要链路在路由就在。可预测意味着排障的时候你清楚知道每条路由是谁配的、什么时候配的、目的是什么不需要去翻ACL或者协议属性。但它也有天生短板不能自动适应拓扑变化。链路断了静态路由不会自己切换到备用路径除非你提前配了浮动静态路由。所以静态路由最经典的适用场景是网络规模不大、拓扑固定、链路数量少或者作为动态路由的补充、最后兜底。比如分公司到总部的单一专线一台出口路由器上配一条默认静态路由简单直接完全没必要上BGP。1.3 管理距离AD值与度量值路由优选背后的数学逻辑你在思科路由器上配置两条到同一个目标网段的静态路由为什么只有一条生效这就涉及管理距离AD值Administrative Distance。AD值代表路由的可信度数值越小越可信。思科默认值里直连路由是0静态路由是1EIGRP是90OSPF是110RIP是120。当同一条目标网段存在多条来源不同的路由时路由器会比较AD值选最小的。两条都是静态路由呢那就比度量值Metric。思科静态路由默认metric是0如果两条静态路由AD相同、metric也相同就会形成等价负载均衡两个下一跳同时出现在路由表里。如果你不希望这样可以通过调整AD值来让一条成为主路径、另一条备用这就是后面要讲的浮动静态路由。顺带说一句AD值的作用是给不同来源的路由排优先级而不是给同一条链路“打分”。很多人刚接触时会把AD值和带宽、延迟混在一起其实它们不是一个维度。AD值是“我信谁”metric是“在同一个信源里哪条路更好”。2. 配置前的规划地址、掩码与拓扑2.1 一个典型的三网段拓扑静态路由配置失败的案例里一半以上是前期没想清楚拓扑直接上手敲命令。我建议你先在纸上画一个最简单的拓扑把路由器编号、接口编号、网段写清楚再开始配置。举个例子我们要打通三个网段PC1192.168.10.0/24— R1 — 192.168.1.0/30— R2 — 192.168.2.0/30— R3 — PC3192.168.30.0/24PC1在R1左侧PC3在R3右侧。R1和R2之间用192.168.1.0/30R2和R3之间用192.168.2.0/30。两个点对点网段都用30位掩码只留两个可用IP不浪费地址路由也不会因为掩码含糊而出问题。地址规划表大概长这样设备接口IP地址掩码说明R1G0/0192.168.10.1255.255.255.0接PC1侧R1G0/1192.168.1.1255.255.255.252接R2R2G0/1192.168.1.2255.255.255.252接R1R2G0/2192.168.2.1255.255.255.252接R3R3G0/2192.168.2.2255.255.255.252接R2R3G0/0192.168.30.1255.255.255.0接PC3侧这个规划表看着简单却是配置的前提。有了它你才知道每台路由器上该写哪些直连网段、哪些远程网段。注意掩码我用的是30位也就是255.255.255.252两个点对点地址刚好占用一个子网不会跟业务网段搅在一起。2.2 先把接口地址配上有直连路由才有下一步静态路由依赖下一跳而下一跳必须在直连网段内才能被解析。所以在敲任何ip route之前先把所有接口的IP地址配好并确认接口状态是up。在思科路由器上进入接口配置IP的命令是这样的Router enable Router# configure terminal Router(config)# hostname R1 R1(config)# interface GigabitEthernet0/0 R1(config-if)# ip address 192.168.10.1 255.255.255.0 R1(config-if)# no shutdown每台设备都配完后先做一件事在R1上用show ip route检查直连路由是否出现在路由表里。直连网段没出现说明接口没up或IP没生效这时候配静态路由只会踩坑。配IP这个步骤很多人觉得太基础但实际上生产环境里因为接口 shutdown、网线插错口、VLAN划分不对导致接口起不来的情况太常见了。不要跳步。2.3 下一跳还是出接口一个被低估的选择题思科静态路由的语法有两种常见写法# 写法一指定下一跳地址 ip route 192.168.30.0 255.255.255.0 192.168.1.2 # 写法二指定出接口 ip route 192.168.30.0 255.255.255.0 Serial0/0/0很多人觉得两种写法效果一样其实不然。对于以太网这类多点访问网络MA网络强烈建议写下一跳地址。原因是如果你只写出接口路由器会认为目标网段是直连的直接把数据包从该接口发出去并向全网发ARP请求这会带来两个问题——ARP请求广播范围过大、流量转发行为不可控。但在点对点串行链路比如T1、E1线路上用出接口写法没问题因为链路上只有对端一台设备不存在ARP广播问题。我的习惯是以太网接口一律配下一跳地址点对点串口才考虑出接口。这个习惯从教学环境到生产环境都适用。3. 思科静态路由命令实战3.1 基本配置三步让两个网段互通回到上面的拓扑目标是让R1左侧的PC1网段能访问R3右侧的PC3网段。路径是R1 → R2 → R3所以在R1上需要写一条指向192.168.30.0/24的路由下一跳是R2的接口地址192.168.1.1R1(config)# ip route 192.168.30.0 255.255.255.0 192.168.1.2在R2上既要写192.168.30.0/24的路由也要写192.168.10.0/24的路由因为R2处在中间必须知道两个方向怎么走R2(config)# ip route 192.168.30.0 255.255.255.0 192.168.2.2 R2(config)# ip route 192.168.10.0 255.255.255.0 192.168.1.2等等这里要仔细一点R2的G0/1接口地址是192.168.1.1接R1G0/2接口地址是192.168.2.1接R3。所以R2去往192.168.10.0/24应该把下一跳指到192.168.1.1也就是R1的接口地址而不是192.168.1.2。我把拓扑再理一遍。刚才表格里R1的G0/1是192.168.1.1R2的G0/1是192.168.1.2。所以R1和R2之间的网段是192.168.1.0/30R1是192.168.1.1R2是192.168.1.2。同理R2的G0/2是192.168.2.1R3的G0/2是192.168.2.2R2和R3之间的网段是192.168.2.0/30。那么R1要到达192.168.30.0/24下一跳应该是R2的G0/1地址也就是192.168.1.2。对。R2要到达192.168.30.0/24下一跳应该是R3的G0/2地址也就是192.168.2.2。对。R2要到达192.168.10.0/24下一跳应该是R1的G0/1地址也就是192.168.1.1。对。R3要到达192.168.10.0/24需要先到R2下一跳192.168.2.1再由R2转发到R1。所以R3上写ip route 192.168.10.0 255.255.255.0 192.168.2.1。看起来之前那句写错了我在正式输出时要保证正确。R2上两条路由分别是R2(config)# ip route 192.168.30.0 255.255.255.0 192.168.2.2 R2(config)# ip route 192.168.10.0 255.255.255.0 192.168.1.1R3上R3(config)# ip route 192.168.10.0 255.255.255.0 192.168.2.1这样就形成了双向路由。很多人只配了R1去往R3的方向忘了R3回去的路由结果ping不通这是静态路由配置中最典型的“去程通、回程丢”问题。3.2 默认路由出口路由器上的0.0.0.0默认路由是静态路由里最常用的一条语法是在思科路由器上指定一个“一切未知网段都走这里”的出口R1(config)# ip route 0.0.0.0 0.0.0.0 192.168.1.2这条路由表项会让所有没有更精确匹配的流量都发往192.168.1.2。对于分公司出口、接入层设备来说一条默认路由比几百条明细路由都划算。但要注意默认路由是“兜底”而不是“最高优”。数据包查表时始终先按最长匹配找明细路由找不到才走默认路由。如果明细路由和默认路由都指向同一个目标明细路由生效。这个逻辑搞清楚了你就不会在多条静态路由并存时犯迷糊。还有一点默认路由只在路由器的路由表里生效它不会自动告诉其他路由器“我是默认出口”。如果你想让全网设备都通过某台路由器走默认路由需要每台设备都写一条默认路由或者用动态路由协议广播。静态路由模式下没有“自动下发”这回事别指望一台设备配了默认路由其他设备就奇迹般地都能上网了。3.3 浮动静态路由给网络加一条保险丝生产网络最怕单点故障。物理链路只有一条的情况下静态路由配得再好也保护不了你。但如果有多条链路就可以用浮动静态路由实现主备切换。原理很简单给备用链路配置一条AD值更大的静态路由。正常时主链路AD1生效备用链路AD10也存在于配置里但不进路由表。一旦主链路down掉主路由从路由表消失备用链路自动顶上。配置示例# 主链路下一跳192.168.1.2AD默认1 ip route 10.1.1.0 255.255.255.0 192.168.1.2 # 备用链路下一跳192.168.100.2指定AD为10 ip route 10.1.1.0 255.255.255.0 192.168.100.2 10这里有个关键点AD值只影响路由优选不会让路由器提前探测链路质量。如果主链路只是变慢、抖动但接口没有down路由就不会切换。所以浮动静态路由适合做“链路失效保护”不适合做“性能负载均衡”。如果追求的是自动切换规避高延迟链路那该考虑动态路由协议而不是迷信浮动静态路由。3.4 删除、变更与保存路由的日常维护删除一条静态路由很简单在配置前加no即可R1(config)# no ip route 192.168.30.0 255.255.255.0 192.168.1.2修改时我习惯先删旧路由再写新路由而不是直接叠加。虽然IOS支持覆盖式的等价替换但手工操作时如果掩码或下一跳写错旧路由还在表里会导致流量走错路径不如先删再加逐条验证。配完之后别忘了保存配置。思科设备重启后如果不存配置所有配置都会清零教学环境里很多人在这上面吃过亏R1# copy running-config startup-config或者用简写R1# wr4. 验证与排障从show ip route到ping不通的完整思路4.1 验证组合拳show ip route、ping、traceroute配置完静态路由后我一般按顺序执行三个验证步骤。第一步在每台路由器上执行show ip route重点确认目标网段的路由条目是否出现在路由表里以及它前面的字母是不是S。如果路由条目没出现检查是不是下一跳接口没up、掩码是否写错、AD是否被其他路由挤掉了。第二步执行带源地址的ping。假如你想验证R1能否到达192.168.30.1这个地址可以这样R1# ping 192.168.30.1 source 192.168.10.1带源地址的好处是能精确模拟PC1的流量路径避免因为路由器默认源接口不对而误判。很多人直接ping 192.168.30.1结果源地址用的是出接口地址路径和PC1的流量路径不一样测试结果没有代表性。第三步用traceroute看数据包经过的每一跳R1# traceroute 192.168.30.1如果某一跳出现“* * *”或者明确反应超时定位就非常快。不过要小心有些网络设备出于安全考虑不回ICMP超时包traceroute显示星号不一定代表路径断了要结合路由表和ping结果综合判断。4.2 一个故障案例去程通了回程丢了有一次我在模拟器里搭了R1-R2-R3的链路配置完静态路由后R1上ping对端网段怎么都不通。我用show ip route检查R1、R2、R3上路由条目全在接口也都是up状态链路看起来一切正常。后来我改用ping 192.168.30.1 source 192.168.10.1在R1上测试发现通了。再仔细想我一开始在R1上没有指定源IP而R1默认拿的是192.168.1.1作为源地址走R1到R2的直连网段这样R2收到的是来自192.168.1.1的包回包路径确实没问题。真正的问题是在PC1上测试时PC1的网关必须指到R1的G0/0地址也就是192.168.10.1否则PC1发出的包压根不会交给路由器转发。这个案例看着简单但很能说明问题静态路由排障时不要只盯路由器也要看终端设备的网关配置。很多“路由器路由表没问题”的情况最后都是终端网关指错了。4.3 静态路由最容易踩的五个坑第一类坑是掩码写错。比如实际网段是192.168.30.0/24你写成255.255.0.0那等价于路由了192.168.0.0/16流量会被导到不该去的地方甚至形成环路。排查时一定要核对目标网段的掩码不要想当然。第二类坑是只配了去程路由没有配回程路由。经典症状是R1能ping通R3的接口地址但R1上的PC访问R3上的PC失败。因为ping通了路由器的接口地址只代表去程可达真正跨设备通信需要沿途所有路由器都具备双向路由。第三类坑是在以太网接口上写了出接口而不是下一跳地址。前面说过这会导致ARP行为异常或者转发路径诡异。如果你在敲命令时总写ip route x.x.x.x 255.255.255.0 GigabitEthernet0/0建议改掉这个习惯。第四类坑是下一跳地址不可达。比如R1上写ip route 192.168.30.0 255.255.255.0 192.168.100.1但R1和192.168.100.0/24根本不在同一个直连网段这条路由永远在路由表里处于“无效”状态路由器需要递归查找下一跳才能使用。第五类坑是浮动静态路由的AD值设置问题。有人想用备用链路但AD值设得跟主路由一样结果两条都进表流量来回横跳反而更不稳定。5. 从思科到华为ensp里的静态路由配置对照5.1 华为静态路由命令ip route-static很多人在学校或培训机构用的是思科模拟器工作后接触到华为设备发现命令不一样有点慌。其实思科和华为在高层的转发逻辑上是完全一致的只是语法表达不同。思科配置静态路由是ip route 192.168.30.0 255.255.255.0 192.168.1.2华为配置静态路由是ip route-static 192.168.30.0 255.255.255.0 192.168.1.2结构几乎一样只是思科用ip route华为用ip route-static。查看路由表思科是show ip route华为是display ip routing-table。接口配置上思科进入接口后写ip address 192.168.1.1 255.255.255.252华为进入接口后写ip address 192.168.1.1 255.255.255.252这个基本一致。华为设备还有一个概念叫“优先级”preference相当于思科的AD值。华为静态路由默认优先级是60比OSPF的10要大也就是说在华为设备上OSPF路由优先于静态路由被选中。而在思科设备上静态路由AD1默认比OSPFAD110更优先。如果你在用ensp做实验时发现“我明明配了静态路由为什么路由表里不生效”先检查是不是有OSPF或直连路由把静态路由挤掉了再查优先级配置。跨厂商迁移时这个差异非常容易踩坑。5.2 华为交换机多网段互通从VLANIF到静态路由在ensp里华为路由器配置方式跟思科很像但交换机场景有个细节交换机本身是二层设备要启用三层功能、配置静态路由你需要先把VLAN划分好再给VLANIF接口配置IP地址作为网关。假设一台华为交换机上划分了VLAN10和VLAN20分别是192.168.10.0/24和192.168.20.0/24这两个网段。要实现两个网段互通核心是创建VLANIF接口system-view vlan 10 quit vlan 20 quit interface Vlanif 10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif 20 ip address 192.168.20.254 255.255.255.0 quit这样交换机就同时拥有了两个网段的直连路由VLAN10和VLAN20的终端把网关分别指向192.168.10.254和192.168.20.254就能通过交换机三层转发互通。如果这台交换机还要访问更远的外部网络比如192.168.30.0/24在出口路由器后面那就需要配置静态路由指向出口路由器ip route-static 192.168.30.0 255.255.255.0 192.168.10.1这里的下一跳202.168.10.1是出口路由器跟交换机相连的接口地址。在华为交换机上如果没有特殊指定这种静态路由默认就属于公网路由表用于普通业务互访。实际交付场景里我经常遇到有人把交换机当纯二层设备用给下联终端的网关放在路由器上交换机不配VLANIF也不顺手做三层转发白白浪费了设备能力。5.3 跨厂商配置迁移时的几个注意点从思科迁移到华为或者反过来最大的注意点是路由优先级默认值不同其次是接口名称和查看命令不一样。思科用GigabitEthernet0/0华为用GigabitEthernet0/0/0端口编号多一位很多人在ensp里敲接口命令被系统提示错误就是因为少写了一个0。另一个容易忽略的点是保存命令思科是copy running-config startup-config华为是save而且ensp里保存时如果没指定文件名会提示The current configuration will be written to the device. Continue? [Y/N]:记得输Y。还有一个细节华为的ip route-static支持在后面跟preference参数用来指定路由优先级。配置浮动静态路由时可以这样写ip route-static 192.168.30.0 255.255.255.0 192.168.1.2 preference 80默认优先级是60如果主链路用默认优先级备用链路的优先级设成80那么当主链路失效时备用链路才会生效。这个参数相当于思科的AD值理解起来很直观。6. 静态路由的进阶玩法与我的习惯6.1 多出口场景多条静态路由的配合很多公司有多条出口线路比如一条电信、一条联通或者两个不同运营商的专线。这时候可以配置多条静态路由把特定目标网段的流量指向对应运营商的出口其他流量走默认路由。举例来说内网服务器放在192.168.50.0/24需要访问一个特定的对端业务系统目标网段是10.10.20.0/24走联通出口。你可以写# 通往特定业务系统的明细路由走联通出口 ip route 10.10.20.0 255.255.255.0 192.168.50.254 # 其余所有流量走电信出口 ip route 0.0.0.0 0.0.0.0 192.168.50.253因为明细路由的匹配优先级永远高于默认路由所以只有去往10.10.20.0/24的流量才会走联通其他流量走电信。这种思路就是“默认路由兜底 明细路由引流”简单高效完全是靠最长匹配原则在支撑。不过要注意如果出口路由器上有NAT别忘了一并处理对应的地址转换策略否则路由通了但访问和回来对不上号依然不通。6.2 路由汇总和黑洞路由小命令解决大问题当你有多个连续网段需要指到同一个下一跳时没必要逐条写。比如192.168.10.0/24、192.168.11.0/24、192.168.12.0/24、192.168.13.0/24这4个网段都是连着同一台下一跳设备可以汇总成一条ip route 192.168.10.0 255.255.252.0 192.168.1.2255.255.252.0是22位掩码刚好涵盖192.168.10.0到192.168.13.0这4个网段。这种汇总能减少路由表条目数量让网络看起来更干净。但前提是你确认这些网段一定都通过同一个下一跳可达如果其中某个网段走的是不同路径汇总就会造成路由黑洞。黑洞路由是另一种实用技巧。比如你有一个网段已经汇总发布出去了但内部有些地址并不存在为了防止环路可以给这个不存在地址写一条指向Null0的路由ip route 192.168.99.0 255.255.255.0 Null0指向Null0的数据包会被直接丢弃相当于在路由层面“吸收”掉不该转发的流量避免数据包在网内转圈。这在环形拓扑、回环地址防护场景里很常见。6.3 我这些年配置静态路由的几个习惯最后分享几个自己养成的习惯算是踩坑踩出来的教训。第一配置前先出地址规划表。哪怕只有三台设备也先在表格里把接口、IP、掩码、下一跳列出来再上设备敲命令。比起反复删改这个准备工作花不了五分钟但能省下一个小时。第二每配完一条静态路由立刻查看一下路由表和路由是否出现在正确的路径上。不要所有路由器配完之后一次性验证那样出了问题很难定位是哪台设备的问题。第三生产环境改动前一定备份配置文件改动后确认无误再保存。万一改错了至少还能快速回滚。第四静态路由不是“配完就完”它是一条条手工状态的路由信息。网络拓扑发生变化时记得同步更新相关路由配置。我见过不少网络跑着跑着出现问题最终发现是半年前某台设备上多了一条该删没删的静态路由。第五不要迷信静态路由。有些场景下比如复杂拓扑、多条等价链路、需要快速收敛的网络动态路由协议才是更优解。静态路由的优势是简单可控但当网络复杂度上去了过度使用静态路由反而会变成维护负担。技术选型没有绝对的好坏只有合适不合适。静态路由是基础中的基础也是每一台路由器、交换机上几乎必定会存在的配置。把这个基础吃透你在看动态路由、策略路由甚至更大规模网络架构时才有足够的底层底气。