汇聚交换机与核心交换机三层协作实战：VLAN间互通、静态路由与NAT配置详解

在实际园区网络项目中，VLAN 划分只是第一步，真正让网络跑起来的是汇聚交换机与核心交换机之间的三层协作。很多配置过单台交换机的人，第一次接触汇聚交换机和核心交换机时，通常会碰到几类问题：VLAN 明明建了，PC 之间却 ping 不通；静态路由下一跳写错，核心交换机不知道怎么回包；NAT 配完后，内网能访问外部，但回包路径又不通。下面用一个最小可复现的 eNSP 实验，把 VLAN 间互通、静态路由、NAT 地址转换和远程管理限制这条链路完整走一遍。文章会从概念讲到配置、验证、排错，最后补充生产环境落地的注意事项。

1. 先理清场景：VLAN 划分之后，为什么需要汇聚交换机和核心交换机

1.1 VLAN 能隔离广播域，但也切断了二层路径

VLAN，即虚拟局域网，作用是按二层域隔离广播。一个 VLAN 是一个广播域，同一个 VLAN 内的设备可以二层互通，不同 VLAN 之间默认不能直接二层转发。在企业办公网中，通常按部门或业务划分 VLAN，比如财务 VLAN 10、办公 VLAN 20。划分后的收益很直接：广播报文被限制在各自 VLAN 内，故障影响范围变小，网络也更清晰。但代价也随之出现：不同 VLAN 的设备必须经过三层路由才能互通。

这个“必须经过三层”的节点就是网关。要实现 VLAN 间互通，至少要有一台设备同时满足两个条件：能终结多个 VLAN 的二层报文，也就是为每个 VLAN 创建 VLANIF 接口；能做三层转发，也就是启用路由功能。常见做法是把网关放在汇聚交换机上。核心交换机则负责汇聚交换机之间的南北向流量、跨区域路由，以及边界 NAT。

1.2 汇聚交换机、核心交换机各自的职责

不同规模园区网的设备角色会有差异，但职责基本可以按层拆开。下表是一个小型园区网的职责划分，也是本文实验采用的模型。

很多小型项目会把网关直接放在核心交换机上，省去汇聚。但在中大型项目中，网关放在汇聚交换机可以分散三层转发压力，核心只保留高速路由和策略。本实验采用“二层接入、三层汇聚、边界核心”的模型，更接近可扩展的园区网结构。

1.3 本实验的组网模型：二层接入、三层汇聚、边界核心

接入交换机只做二层 VLAN 划分；汇聚交换机作为各 VLAN 的第一跳网关，负责 VLAN 间路由；核心交换机与汇聚之间通过三层互联连接，核心负责把访问外网的流量转到 NAT 接口，并保存到内网网段的回程路由。

按这个模型，数据流可以拆成三段理解：

• PC1（VLAN10）访问 PC2（VLAN20）时，路径是 PC1 -> SW1 -> SW3，由 SW3 的 VLANIF10 和 VLANIF20 完成三层转发，不需要经过核心。
• PC1 访问外部服务器时，路径是 PC1 -> SW1 -> SW3 -> SW4，核心交换机做 NAT，源地址从私有地址转换为对外接口地址。
• 外部回包时，路径反过来，核心必须有到内网网段的路由，否则回包会被丢弃，表现为“有去无回”。

这个模型里，VLAN 间互通、静态路由、NAT 三个主题是串在一起的一条链路。下面进入实验环境规划。

2. 环境与规划：eNSP 拓扑、VLAN、IP 和路由设计

2.1 实验拓扑与设备选型

实验使用华为 eNSP。设备选型按“能支持三层功能”为最低要求。接入交换机 SW1、SW2 可以用 S5700 一类支持 VLAN 的交换机；汇聚交换机 SW3 和核心交换机 SW4 需要支持 VLANIF 和三层层路由；外部路由器 R1 使用 AR2220 或类似路由器，用来模拟运营商侧或公网服务器。如果 eNSP 版本和设备包不同，型号名称可能不完全一致，但配置逻辑相同。

拓扑关系如下：

• PC1 接 SW1 的 GigabitEthernet0/0/1。
• PC2 接 SW2 的 GigabitEthernet0/0/1。
• SW1 的 GigabitEthernet0/0/2 上行接 SW3 的 GigabitEthernet0/0/1。
• SW2 的 GigabitEthernet0/0/2 上行接 SW3 的 GigabitEthernet0/0/2。
• SW3 的 GigabitEthernet0/0/24 接 SW4 的 GigabitEthernet0/0/24。
• SW4 的 GigabitEthernet0/0/1 接 R1 的 GigabitEthernet0/0/0。
• R1 的 Loopback0 接口用公网测试地址模拟公网服务器。

注意：eNSP 里接口编号以实际拓扑显示为准。真实设备上，汇聚与核心之间通常使用多条链路做链路聚合，本实验为最小连通性，只使用一条链路。

2.2 地址规划表

地址规划要避免和网络中已有地址段重叠。实验地址可按下面的表格规划。业务网关放在汇聚交换机 SW3，核心到汇聚互联使用 10.0.1.0/30，核心到外部使用 RFC 5737 文档示例地址 203.0.113.0/24。

规划时要注意三件事：PC 和网关必须在同一网段；网关的 VLANIF 要对应 PC 所在 VLAN；核心与汇聚互联的网段不能和业务网段重叠。地址重叠是排错时最难发现的问题之一。

2.3 路由和 NAT 设计思路：先静态后动态

静态路由适合拓扑规模小、路径明确的项目。把路由动作拆开看：

• SW3 只需要一条默认路由，把非本地网段的流量交给核心，即 0.0.0.0/0 下一跳 10.0.1.2。
• SW4 需要两条内网回程路由，把 192.168.10.0/24 和 192.168.20.0/24 的流量送回 10.0.1.1。
• SW4 还需要一条默认路由，把去往公网的流量交给 R1，即 0.0.0.0/0 下一跳 203.0.113.2。
• R1 在实验环境只需要能回应 Loopback 地址。真实环境由运营商骨干路由处理，这不是本地设备配置能控制的。

NAT 部分，核心交换机作为边界设备，把内网私有地址转换成访问外网所用的公网地址。实验只演示最常见的源 NAT，也就是出接口方向转换。访问外部服务器时，源 IP 会从 192.168.10.x 或 192.168.20.x 变成 203.0.113.1。R1 看到的是一台合法公网地址发出的请求，回包也能回到核心。这种方式也叫 Easy IP，是单公网地址场景下最常用的 NAT 形态。

3. 逐段配置：从接入 VLAN 到汇聚 VLANIF

3.1 接入交换机 SW1、SW2：Access 接口与 VLAN

接入交换机划分 VLAN 时，面向 PC 的口通常配置成 Access 接口。Access 口只属于一个 VLAN，发向 PC 的帧会去掉 VLAN Tag，PC 侧不需要理解 VLAN。SW1 创建 VLAN10，SW2 创建 VLAN20。先看 SW1 的配置：

<SW1> system-view [SW1] vlan batch 10 [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type access [SW1-GigabitEthernet0/0/1] port default vlan 10 [SW1-GigabitEthernet0/0/1] quit

SW2 的配置完全一样，把 VLAN 编号改成 20 即可。

这里要解释一个关键点：如果 PC 加入的 VLAN 和后面网关所在的 VLAN 不一致，后面的 Trunk、路由配置再对也没有用。配置完可以用display vlan brief查看 VLAN 和端口归属。新手最常见的错误是忘记port default vlan 10，导致 PC 留在默认 VLAN1 里，永远无法通过 VLANIF10 到达网关。

3.2 接入到汇聚 Trunk：为什么 PVID 要和业务 VLAN 一致

接入交换机上行到汇聚的链路，在真实项目中往往需要承载多个 VLAN，所以上行口通常配成 Trunk，而不是 Access。Trunk 的作用是允许带 VLAN Tag 的帧通过。SW1 的上行口配置如下：

[SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type trunk [SW1-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 [SW1-GigabitEthernet0/0/2] port trunk pvid vlan 10 [SW1-GigabitEthernet0/0/2] quit

对应 SW3 的 G0/0/1 也要配置成 Trunk，并允许 VLAN10 通过。为什么要把 Trunk 端口的 PVID 改成 VLAN10？PVID 是 Trunk 口收到“不带 VLAN Tag 的帧”时，给帧打上的默认 VLAN。正常情况下，Trunk 两端发送的是带 Tag 的帧，PVID 对这类帧没有影响。但如果链路两端有一侧是 Access 口，或某个二层管理报文没有 Tag，PVID 不匹配时，帧就会被归到 VLAN1，导致用户看似在 VLAN10 里，实际网关却收不到这个 VLAN 的报文。把两端 PVID 都设成业务 VLAN，可以避免这种隐性故障。

要注意 PVID 和 allow-pass 是两个配置：port trunk allow-pass vlan 10决定允许哪些 VLAN 经过，port trunk pvid vlan 10决定无 Tag 帧默认归入哪个 VLAN。不要只配置一个就认为 Trunk 已经正确。

不要在 Trunk 端口盲目放通全部 VLAN。承载的 VLAN 越少，广播域越小，故障定位也越简单。

SW2 到 SW3 的链路同理，把 VLAN 编号改成 20。

3.3 汇聚交换机 SW3：VLANIF 网关与默认路由

汇聚交换机 SW3 是本实验的“网关担当”。它需要创建 VLAN10、VLAN20、VLAN100，连接接入的两条链路配成 Trunk，再给三个 VLAN 分别创建 VLANIF 地址。先创建 VLAN 和 Trunk：

<SW3> system-view [SW3] vlan batch 10 20 100 [SW3] interface GigabitEthernet0/0/1 [SW3-GigabitEthernet0/0/1] port link-type trunk [SW3-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 [SW3-GigabitEthernet0/0/1] port trunk pvid vlan 10 [SW3-GigabitEthernet0/0/1] quit [SW3] interface GigabitEthernet0/0/2 [SW3-GigabitEthernet0/0/2] port link-type trunk [SW3-GigabitEthernet0/0/2] port trunk allow-pass vlan 20 [SW3-GigabitEthernet0/0/2] port trunk pvid vlan 20 [SW3-GigabitEthernet0/0/2] quit [SW3] interface GigabitEthernet0/0/24 [SW3-GigabitEthernet0/0/24] port link-type trunk [SW3-GigabitEthernet0/0/24] port trunk allow-pass vlan 100 [SW3-GigabitEthernet0/0/24] port trunk pvid vlan 100 [SW3-GigabitEthernet0/0/24] quit

然后创建 VLANIF 接口和默认路由：

[SW3] interface Vlanif10 [SW3-Vlanif10] ip address 192.168.10.254 255.255.255.0 [SW3-Vlanif10] quit [SW3] interface Vlanif20 [SW3-Vlanif20] ip address 192.168.20.254 255.255.255.0 [SW3-Vlanif20] quit [SW3] interface Vlanif100 [SW3-Vlanif100] ip address 10.0.1.1 255.255.255.252 [SW3-Vlanif100] quit [SW3] ip route-static 0.0.0.0 0.0.0.0 10.0.1.2 [SW3] quit

这条默认路由是关键。SW3 已经知道本地直连的 192.168.10.0/24、192.168.20.0/24 和 10.0.1.0/30，其他非本地网段都要交给核心。没有这条默认路由，PC 访问外网时，SW3 会因为没有匹配路由而直接把包丢弃。

还有一个常见问题：VLANIF 接口状态必须依赖 VLAN 和端口状态。如果 VLAN 已经创建，但 VLAN 下没有任何 Access 口或 Trunk 口允许该 VLAN 通过，VLANIF 接口可能一直是 down。VLANIF down 时，网关地址就是悬空的，PC 配置再正确也无法通信。

4. 核心交换机：三层互联、静态路由与 NAT

4.1 汇聚与核心之间的三层互联

核心交换机 SW4 侧，连接汇聚的 G0/0/24 配置成 Trunk，允许 VLAN100 通过，然后创建 VLANIF100 作为三层互联地址：

<SW4> system-view [SW4] vlan batch 100 [SW4] interface GigabitEthernet0/0/24 [SW4-GigabitEthernet0/0/24] port link-type trunk [SW4-GigabitEthernet0/0/24] port trunk allow-pass vlan 100 [SW4-GigabitEthernet0/0/24] port trunk pvid vlan 100 [SW4-GigabitEthernet0/0/24] quit [SW4] interface Vlanif100 [SW4-Vlanif100] ip address 10.0.1.2 255.255.255.252 [SW4-Vlanif100] quit

三层互联也可以不用 VLANIF，直接在两台设备的物理口上用undo portswitch把接口切成三层路由口，再配置 IP。两种做法各有适用场景：VLANIF 适合链路承载多个 VLAN 的情况，逻辑更清晰；路由口简单直接，适合设备之间只有一条物理链路且不需要承载业务 VLAN 的情况。本实验使用 VLANIF100，可以顺便展示“二三层混合链路”下的排错点：两端 Trunk 必须允许 VLAN100 通过，且 PVID 一致。

4.2 核心交换机的静态回程路由

核心交换机默认只知道直连网段，也就是 10.0.1.0/30 和 203.0.113.0/24。要访问内网的 192.168.10.0/24 和 192.168.20.0/24，必须配置回程静态路由，下一跳都指向汇聚交换机 SW3 的 10.0.1.1：

[SW4] ip route-static 192.168.10.0 255.255.255.0 10.0.1.1 [SW4] ip route-static 192.168.20.0 255.255.255.0 10.0.1.1 [SW4] ip route-static 0.0.0.0 0.0.0.0 203.0.113.2

第三行默认路由把去外部网络的流量交给 R1，也就是 203.0.113.2。为什么核心既要有内网回程路由，又要有默认路由？因为数据转发是对称的。PC1 访问外网时，核心在出接口做 NAT，源地址变成 203.0.113.1，包从 G0/0/1 发给 R1。外网服务器回包目标地址是 203.0.113.1，核心能直接收到。但收到之后，核心必须查路由表决定回包交给谁。如果核心没有到 192.168.10.0/24 的明细路由，回包会被默认路由重新扔向外网，导致通信中断。回程路由丢失的典型现象就是内网能发出请求，外部回包到核心后找不到去往 PC 的路径，表现为 ping 超时。

4.3 核心交换机 NAT：ACL 匹配与出接口转换

NAT 配置分两步。第一步定义需要被转换的内网网段，用 ACL 匹配；第二步在连接外网的接口上调用。

[SW4] acl number 2000 [SW4-acl-basic-2000] rule 5 permit source 192.168.10.0 0.0.0.255 [SW4-acl-basic-2000] rule 10 permit source 192.168.20.0 0.0.0.255 [SW4-acl-basic-2000] quit [SW4] interface GigabitEthernet0/0/1 [SW4-GigabitEthernet0/0/1] undo portswitch [SW4-GigabitEthernet0/0/1] ip address 203.0.113.1 255.255.255.0 [SW4-GigabitEthernet0/0/1] nat outbound 2000 [SW4-GigabitEthernet0/0/1] quit

ACL2000 匹配两台 PC 所在网段。通配符 0.0.0.255 等价于只匹配前 24 位。如果有更多网段，继续增加 rule 即可。nat outbound 2000表示对该接口出去的、匹配 ACL2000 的流量做源地址转换。使用 Easy IP 时，转换后的源地址是接口自身地址 203.0.113.1，不需要单独配置公网地址池。

如果运营商分配了一段公网地址，可以改用地址池：

[SW4] nat address-group 1 203.0.113.100 203.0.113.110 [SW4] interface GigabitEthernet0/0/1 [SW4-GigabitEthernet0/0/1] nat outbound 2000 address-group 1

地址池适合有固定公网地址段的场景；Easy IP 适合只有一个公网地址或动态获取地址的场景。生产环境按运营商分配结果选择。

需要特别注意：NAT 功能不是所有交换机型号默认都支持。园区网真实项目中，边界 NAT 通常由防火墙或路由器承担，核心交换机专注路由转发。做实验时，如果 eNSP 里的交换机型号没有 NAT 特性，边界位置可以换用支持 NAT 的 AR 路由器，配置思路一致。落地到真机前，先确认设备型号和软件版本是否支持 NAT 特性。

4.4 外部路由器 R1：用 Loopback 模拟公网服务器

R1 的配置很简单：

<R1> system-view [R1] interface GigabitEthernet0/0/0 [R1-GigabitEthernet0/0/0] ip address 203.0.113.2 255.255.255.0 [R1-GigabitEthernet0/0/0] quit [R1] interface LoopBack0 [R1-LoopBack0] ip address 203.0.113.10 255.255.255.255 [R1-LoopBack0] quit

这样 R1 的 Loopback0 地址等价于一个公网服务器。PC ping 203.0.113.10 时，数据包到达核心，核心做 NAT 后交给 R1，R1 回包目标地址是 203.0.113.1，走直连网络传回核心。真实项目中，运营商侧不是简单一个 Loopback，而是骨干路由；本地 NAT 设备的默认路由必须指向运营商分配的网关地址。

5. 从接入 PC 验证：VLAN 互通、外网访问与远程管理

5.1 验证 VLAN 间互通

所有设备启动完成后，先给两台 PC 配置 IP。PC1 的 IP 是 192.168.10.1/24，网关是 192.168.10.254；PC2 的 IP 是 192.168.20.1/24，网关是 192.168.20.254。在 PC1 上 ping PC2：

PC> ping 192.168.20.1

如果网络配置正确，会收到 Reply。也可以直接在 SW3 上验证网关和三层转发：

<SW3> ping -a 192.168.10.254 192.168.20.1

这里-a指定源地址为本机 VLANIF10 地址，能确认 VLANIF10 和 VLANIF20 之间的三层转发是否正常。如果 PC 之间能通，但从 SW3 用 VLANIF10 的地址 ping VLAN20 的 PC 不通，说明 PC 侧网关或 VLAN 配置有问题。

5.2 验证跨设备静态路由

跨设备路由是否正常，可以在 SW4 上 ping 汇聚网段：

<SW4> ping -a 10.0.1.2 192.168.10.254 <SW4> display ip routing-table protocol static

第一条验证核心能不能通过回程路由到达内网网关。第二条查看静态路由是否出现在路由表中。如果配置了静态路由但路由表里没有，常见原因是下一跳不可达，也就是 10.0.1.1 不可达。也可以在 SW3 上 ping 核心互联地址 10.0.1.2，确认底层链路正常。

5.3 验证 NAT 转换与公网访问

在 PC1 上 ping R1 的 Loopback 地址：

PC> ping 203.0.113.10

能看到回包后，再在 SW4 上查看 NAT 会话：

<SW4> display nat session all

输出中会看到协议、源地址、目的地址和转换后的信息。正常情况下，会话里的源地址是 192.168.10.1，转换后的源地址是 203.0.113.1。如果 ping 通了但没有 NAT 会话，说明流量没有走核心对外接口；如果 ping 不通但有会话，通常是回程路由或外部设备路由有问题。

5.4 验证设备远程管理：为什么 PC 不能直接登录交换机

实际项目中经常遇到这样一个场景：从核心交换机可以通过远程管理方式访问任何一台接入交换机，但从接入 PC 直接远程登录设备却失败。这不是设备坏了，而是管理平面和业务平面的隔离策略在起作用。

在华为交换机上，VTY 用户界面可以限制允许登录的源地址范围。以 SW1 为例，如果 SW1 的管理地址放在 VLAN10，VTY 只允许核心管理源地址 10.0.1.2 和管理终端所在的 192.168.10.0/24 段登录，配置可以这样写：

[SW1] acl number 2001 [SW1-acl-basic-2001] rule 5 permit source 10.0.1.2 0.0.0.0 [SW1-acl-basic-2001] rule 10 permit source 192.168.10.0 0.0.0.255 [SW1-acl-basic-2001] quit [SW1] user-interface vty 0 4 [SW1-ui-vty0-4] acl 2001 inbound [SW1-ui-vty0-4] protocol inbound ssh [SW1-ui-vty0-4] quit

这样只有核心互联地址和 VLAN10 内管理终端能登录 SW1，其他 VLAN 的 PC 即使三层能直达管理地址，也会被 VTY ACL 拒绝。使用 SSH 时，还需要配置认证用户，只把协议切换成 SSH 并不够。生产环境不建议使用 telnet，因为明文传输，口令和配置都能被抓包看到。建议关闭 telnet，统一使用 SSH，并配合本地用户或 AAA 认证。

隔离管理面和业务面时，不是简单“禁用某个服务”就够了。路由可达性、VTY ACL、认证方式、管理 VLAN 四个条件要一起看。

6. 常见问题排查：从现象倒推配置

6.1 VLAN 间不通：先查 VLAN、Trunk、网关和 PC 配置

排查有固定顺序。第一步看 PC 的四项信息：IP 地址、掩码、网关、所接接口的 VLAN。第二步在 SW3 上用display vlan brief确认 VLAN10、VLAN20 存在，并且端口归属正确。第三步用display interface GigabitEthernet0/0/1看接口状态和 VLAN。第四步测试 VLANIF 自身是否互通。如果 VLANIF 能通但 PC 不能通，重点检查 PC 的网关是不是 VLANIF 地址。

常见坑有三个：只创建了 VLAN，没有创建 VLANIF，导致 PC 网关失效；Trunk 口只写了allow-pass vlan，却忘了 PVID，导致无 Tag 帧落入 VLAN1；两台设备之间的 Trunk 口 PVID 不一致，比如 SW1 侧 PVID10，SW3 侧 PVID1。推荐做法是两端 Trunk 统一 PVID，并只允许需要的 VLAN 通过。

6.2 跨设备静态路由不通：检查路由表、下一跳和回程路由

静态路由排查的核心是“有去有回”。在 SW4 上用display ip routing-table查看目标网段路由是否存在，下一跳是否可达。在 SW3 上同样检查默认路由。如果 A 到 B 通，B 到 A 不通，优先查回程路由。比如 PC 能 ping 通 203.0.113.10，但外部无法访问内部业务，要检查内部服务器是否有到 NAT 设备的默认路由，以及核心是否有到服务器网段的回程路由。

常见坑包括：静态路由下一跳写成了对端设备的 Loopback 地址，而该地址不是直连可达；汇聚交换机只配了去往核心的默认路由，没配去往外部的默认路由；核心交换机没有配到内网业务网段的回程路由，导致外部回包到达核心后又被默认路由重新扔向外网。

6.3 NAT 不生效：检查 ACL、接口调用和会话表

NAT 不生效，首先看流量有没有经过 NAT 接口。在 SW4 上执行display nat session all，如果完全没有会话，基本可以判断流量没有走到调用 NAT 的外接口，或者 ACL 没有匹配到源地址。检查 ACL 规则里的通配符：192.168.10.0 0.0.0.255只匹配 192.168.10.0/24；如果要匹配整个 192.168.0.0/16，应该写成192.168.0.0 0.0.255.255。

还要看 ACL 是否被接口的nat outbound语句引用。如果接口上引用了 ACL，但 ACL 里没有任何 rule，所有流量都不会被转换。还有一种现象是 NAT 有会话，但 PC ping 外网超时。这时要检查回程路由和外部设备的路由。回包目标地址是 203.0.113.1，外部设备必须有一条到达该地址的路径。实验环境里 R1 与核心直接互联，回包可达；真实环境靠运营商路由保证。

6.4 远程管理失败：管理通道与业务通道要分开看

远程管理失败可以分为几类现象：

• 能 ping 通管理地址，但 SSH 连接被拒绝：VTY 下没有启用 SSH 协议，或 ACL 过滤了源地址。
• 从核心能登录，从普通 PC 不能登录：VTY 配置了 ACL，只放行了管理网段。这是策略，不是故障。
• 从业务 VLAN ping 不通管理地址：业务 VLAN 到管理 VLAN 之间没有三层路由，或设备管理地址本身没有配置。
• SSH 能连但提示认证失败：没有配置本地用户，或者用户名密码错误，这与网络无关。

排查时先做最小验证。从被允许的管理网段 PC 或核心设备，用 SSH 登录一台接入交换机。如果能登录，说明设备服务正常，问题在访问控制或路由；如果也不能登录，再检查 VTY、ACL、认证方式和本地用户。

6.5 排错小结

7. 最佳实践：从实验到真实园区网

7.1 学习环境与生产环境的差异

eNSP 实验能帮助理解链路，但真实设备有额外约束。实验里接口 up 后就能通，生产环境还要考虑光纤衰减、端口协商、生成树、链路聚合和硬件转发。实验使用静态路由，小规模项目可以接受，中大型园区建议使用 OSPF，避免路径多后维护工作量失控。实验里的 NAT 在核心交换机上做，生产环境如果边界有防火墙，通常建议把 NAT 和安全策略放在防火墙上，核心交换机只负责路由转发。

真实设备配置前，要先确认型号和版本是否支持目标特性。某些接入交换机只有二层功能，不支持 VLANIF，网关必须放在上联汇聚或核心设备。不要假设所有华为交换机都支持相同特性。NAT 特性更是如此，需要在设备规格表或模拟器设备包中确认。

7.2 静态路由和 NAT 生产落地注意点

静态路由在生产中最大的问题是可维护性。建议为每条静态路由写描述，例如：

ip route-static 192.168.10.0 255.255.255.0 10.0.1.1 description To-AGGR-SW3-VLAN10

没有描述的路由多了以后，运维根本不知道哪条路由属于哪条业务。

NAT 落地要注意地址规划和会话容量。公网地址少、并发高时，要关注 NAT 会话表容量，必要时拆分多个地址或引入负载均衡。不要把办公、服务器、管理三个区域的地址混在一个 ACL 里不加规划。建议至少按区域拆分，使用不同的 ACL 或地址池，方便后续做访问控制和故障分析。

7.3 上线前检查清单

无论实验还是生产，配置完成后都建议按以下清单检查：

1. VLAN 规划：各 VLAN 编号、网关地址、互联地址不重叠。
2. 接入链路：Access 口 VLAN 正确，Trunk 口允许 VLAN 和 PVID 两端一致。
3. VLANIF：每个业务 VLAN 都有网关，VLANIF 状态为 up。
4. 路由：各层设备有默认路由或明细路由，回程路由完整。
5. NAT：ACL 匹配范围正确，已在正确接口调用，有测试地址可验证。
6. 远程管理：管理 VLAN 独立，VTY 启用 SSH 并限制源地址，禁用明文 telnet。
7. 可运维性：设备名、接口描述、路由描述、NTP、日志、备份、监控配置完成。

7.4 后续扩展方向：OSPF、VRRP、防火墙、IPSG

如果要继续深入，可以从三个方向扩展。

第一是动态路由。用 OSPF 替换静态路由，解决核心和汇聚之间多条路径的自动收敛问题，也避免静态路由逐条手工维护。

第二是网关冗余。用 VRRP 为 VLANIF 网关做主备，解决汇聚交换机单点故障。网关本身不再是单设备地址，而是一个虚拟 IP。

第三是边界安全。把 NAT 和访问控制从核心交换机迁移到防火墙，核心只负责转发。如果接入层有终端私接或伪造地址的问题，可以启用 DHCP Snooping 和 IP Source Guard。这些方向都可以在 eNSP 里继续实验，而且和本文的 VLAN、三层路由、NAT 基础是连贯的。

最后回到实践建议：无论实验还是生产，先让一条最小链路通起来，再逐步加 VLAN、加路由、加 NAT，最后再收紧管理面访问。每加一层配置，都回到 PC 上做一次连通性验证。这样故障范围不会扩大，网络架构也会更清晰。