项目实战：办公网架构优化与二层接入安全加固

一、 项目背景与痛点分析

在企业日常运维中，公司内网曾频繁遭遇两类严重网络故障：

  1. 私接设备引发大面积断网：员工私自在办公位接入家用无线路由器，由于其自带的 DHCP Server 干扰，导致大量终端获取到错误的 IP 与网关（IP 冲突），进而无法上网。
  2. 静态路由环路引发核心瘫痪：核心网络由于在防火墙与核心交换机之间配置了汇总路由与缺省路由，在面对不存在的内网目标地址请求时，曾发生过严重的三层静态路由环路，耗尽设备性能。

针对上述问题，我主导实施了内网架构的优化与安全加固项目，从二层接入到三层路由进行了全方位的整改与防护部署。

二、 核心网络架构优化实战（三层改造）

步骤 1：核心交换机初始化与 VLAN 全局规划

首先对核心交换机进行基础命名与 VLAN 架构规划。业务网段的科学划分是内网安全管控的第一步。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
# 1. 登录核心交换机，进入系统视图
<Core_SW> system-view
[Core_SW] sysname Core_Switch

# 2. 批量创建业务 VLAN，区分不同部门
# 规划：VLAN10(研发部), VLAN20(市场部), VLAN30(访客区)
[Core_Switch] vlan batch 10 20 30

# 3. 为各个 VLAN 添加描述，规范工程实施
[Core_Switch] vlan 10
[Core_Switch-vlan10] description R&D_Dept
[Core_Switch] vlan 20
[Core_Switch-vlan20] description Marketing_Dept
[Core_Switch] vlan 30
[Core_Switch-vlan30] description Guest_Area
[Core_Switch-vlan30] quit

# 4. 配置下联接入交换机的 Trunk 级联口
[Core_Switch] interface GigabitEthernet 1/0/1
[Core_Switch-GigabitEthernet1/0/1] description Downlink_To_Access01
# 将端口链路类型改为 Trunk
[Core_Switch-GigabitEthernet1/0/1] port link-type trunk
# 允许所有业务 VLAN 通过
[Core_Switch-GigabitEthernet1/0/1] port trunk allow-pass vlan 10 20 30
[Core_Switch-GigabitEthernet1/0/1] quit

步骤 2：终结 VLAN 虚接口（SVI）与集中部署 DHCP 服务

为了规范 IP 地址分配并便于集中管控，我们将网关上移至核心交换机，在核心交换机上终结 VLAN 并统一部署 DHCP 服务。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
# 1. 全局开启 DHCP 服务
[Core_Switch] dhcp enable

# 2. 配置 VLAN 10 的虚拟接口 (SVI) 作为研发部终端的网关
[Core_Switch] interface Vlan-interface 10
[Core_Switch-Vlan-interface10] ip address 192.168.10.254 24
[Core_Switch-Vlan-interface10] quit

# 3. 创建 DHCP 全局地址池规范 IP 分配（以研发部为例）
[Core_Switch] dhcp server ip-pool RD_Pool
# 指定分配的 IP 网段和子网掩码
[Core_Switch-dhcp-pool-RD_Pool] network 192.168.10.0 mask 255.255.255.0
# 指定分配给终端的默认网关（即刚才配置的 SVI 地址）
[Core_Switch-dhcp-pool-RD_Pool] gateway-list 192.168.10.254
# 指定分配的主备 DNS 服务器地址
[Core_Switch-dhcp-pool-RD_Pool] dns-list 114.114.114.114 8.8.8.8
# 排除已经被静态占用的 IP 地址（如网关、打印机、门禁等），防止冲突
[Core_Switch-dhcp-pool-RD_Pool] forbidden-ip 192.168.10.1 192.168.10.20
# 设置租约时间（默认为1天，针对访客区等流动性大的VLAN可调短）
[Core_Switch-dhcp-pool-RD_Pool] expired day 1
[Core_Switch-dhcp-pool-RD_Pool] quit

# 4. 验证 DHCP 地址池分配情况
# 在终端连接后，可以通过以下命令查看当前 DHCP 地址池的利用率和分配明细
[Core_Switch] display dhcp server free-ip
[Core_Switch] display dhcp server ip-in-use

步骤 3：黑洞路由（Null0）彻底切断路由环路

此前，防火墙配置了汇总路由 192.168.0.0/16 指向核心交换机，核心交换机配置缺省路由 0.0.0.0/0 指向防火墙。为防止不存在的内网 IP 触发互相转发的“踢皮球”效应，利用“最长掩码匹配原则”配置黑洞路由。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
# 1. 在核心交换机上配置与防火墙汇总网段完全一致的 Null0 黑洞路由
[Core_Switch] ip route-static 192.168.0.0 16 NULL0

# 2. 配置缺省路由指向防火墙内网口，确保正常访问公网
# 假设防火墙内网口IP为 192.168.255.1
[Core_Switch] ip route-static 0.0.0.0 0 192.168.255.1

# 3. 路由表防环验证
[Core_Switch] display ip routing-table
# 此时如果向核心交换机发送目的IP为 192.168.99.99 (不存在的网段) 的包：
# 防环原理：核心交换机会优先匹配掩码更长的 192.168.0.0/16 黑洞路由将其直接丢弃，
# 而非匹配 0.0.0.0/0 退回给防火墙，从而从逻辑上彻底切断了环路。
# 如果是目的IP为 192.168.10.10 (真实的研发部网段)，由于核心交换机上有更长掩码的
# 直连路由 192.168.10.0/24，会正常转发给对应终端，不受黑洞路由影响。

三、 二层接入安全加固实战（物理防护）

为了应对私接家用路由器、小交换机等严重干扰内网稳定的设备，在所有二层接入交换机上全面启用了防御机制。

步骤 4：部署 DHCP Snooping 拦截非法网关（防私接路由器）

通过开启 DHCP Snooping，将所有接入端口默认设为非信任状态，仅放行合法上行端口的 DHCP 应答，彻底屏蔽私接路由器的 DHCP 干扰。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
# 1. 登录接入层交换机
<Access_SW> system-view
[Access_SW] sysname Access_Switch_01

# 2. 全局开启 DHCP Snooping 功能
[Access_Switch_01] dhcp snooping enable

# 3. 针对特定的业务 VLAN 开启 Snooping 过滤
[Access_Switch_01] vlan 10
[Access_Switch_01-vlan10] dhcp snooping enable
[Access_Switch_01-vlan10] quit

# 4. 将连接核心交换机（合法DHCP服务器方向）的上行端口配置为 Trust 信任状态
# 假设上行级联端口为 GE1/0/24
[Access_Switch_01] interface GigabitEthernet 1/0/24
[Access_Switch_01-GigabitEthernet1/0/24] description Uplink_To_Core_DHCP_Server
# 设为信任端口，允许此端口接收 DHCP Offer 和 Ack 报文
[Access_Switch_01-GigabitEthernet1/0/24] dhcp snooping trust
[Access_Switch_01-GigabitEthernet1/0/24] quit
# 注意：下行连接终端的端口 GE1/0/1 - GE1/0/23 默认保持 Untrust 状态，
# 硬件底层会自动丢弃任何由私接路由器发出的伪造 DHCP Offer 报文。

# 5. 验证 DHCP Snooping 绑定表
# 终端获取IP后，接入交换机会自动生成 IP-MAC-Port 的安全绑定表
[Access_Switch_01] display dhcp snooping binding
# 预期输出将显示终端的 MAC 地址、分配的 IP 地址、租约时间以及接入的物理端口。

步骤 5：配置 STP 边缘端口与 BPDU Guard 防私接交换机

为了防止员工私接小交换机导致生成树（STP）拓扑震荡甚至产生二层广播风暴，将下联终端的接口全部设置为边缘端口，并全局开启 BPDU 保护机制。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
# 1. 全局开启 BPDU 保护功能
[Access_Switch_01] stp bpdu-protection

# 2. 批量将连接终端的下行端口设置为边缘端口
[Access_Switch_01] port-group manual Access_Ports
# 将 GE1/0/1 到 GE1/0/23 端口加入端口组批量配置
[Access_Switch_01-port-group-manual-Access_Ports] group-member GigabitEthernet 1/0/1 to GigabitEthernet 1/0/23
# 开启边缘端口，跳过 STP 学习（Listening/Learning）状态，实现终端接入秒级转发
[Access_Switch_01-port-group-manual-Access_Ports] stp edged-port enable
# 还可以顺便开启根保护（可选）
[Access_Switch_01-port-group-manual-Access_Ports] stp root-protection
[Access_Switch_01-port-group-manual-Access_Ports] quit

# 3. 配置端口 Error-Down 自动恢复机制，降低运维负担
# 如果端口因收到私接交换机发来的 BPDU 被 Error-Down 禁用，配置为 60 秒后尝试自动恢复
[Access_Switch_01] error-down auto-recovery cause bpdu-protection interval 60

# 4. 故障排查验证
# 当有人私接交换机导致端口 Down 掉时，可通过以下命令查看被惩罚的端口
[Access_Switch_01] display error-down recovery
# 预期将显示被禁用的端口号、原因（bpdu-protection）以及距离下次自动恢复的剩余时间。

防御效果：边缘端口接入 PC 时可实现秒级转发；一旦该端口收到了私接交换机发来的 BPDU 报文，BPDU Guard 会立即将该端口置为 Error-Down（物理阻断），将网络隐患隔离在单点。

四、 项目总结与成效

项目落地实施后，办公网络迎来了质的飞跃：

  1. IP 分配规范化：核心交换机集中管理网关与 DHCP，终端寻址稳定可靠。
  2. 环路隐患清零：Null0 黑洞路由的引入，兵不血刃地化解了因路由汇总导致的三层环路顽疾。
  3. 二层防御坚如磐石：在 DHCP Snooping 与 BPDU Guard 的双重加持下，内网非法接入与私设网关的故障率下降了 90% 以上。

通过本次架构优化与安全加固，不仅保障了业务连续性，也极大地降低了 IT 运维团队日常排障的压力，实现了“网络可控、安全可见”的管理目标。