作者：博睿谷Eva

Q1: VLAN间无法通信，如何排查？‌

‌可能原因及解决方案：‌

1. ‌Trunk端口配置错误‌

    
   # 检查Trunk配置
   show interfaces trunk  
   # 正确配置示例
   interface GigabitEthernet0/1
     switchport mode trunk
     switchport trunk allowed vlan 10,20
   
   

2. ‌VLAN未创建‌

    
   # 查看VLAN列表
   show vlan brief  
   # 创建VLAN
   vlan 10
     name Sales
   
   

3. ‌三层交换机未启用路由功能‌

    
   # 启用IP路由
   ip routing  
   # 配置VLAN接口IP
   interface Vlan10
     ip address 192.168.10.1 255.255.255.0
   
   

Q2: OSPF邻居无法建立，如何解决？‌

‌排查步骤：‌

1. ‌检查网络连通性‌

   bashCopy Code
   ping <邻居IP>
   

2. ‌验证OSPF配置一致性‌

   		
    
   show ip ospf interface      # 查看接口OSPF参数
   show ip ospf neighbor       # 查看邻居状态
   
    
   

3. ‌常见问题点：‌

   • ‌区域ID不匹配‌：两端路由器必须属于同一区域
   • ‌认证不通过‌：检查明文/MD5密钥是否一致
   • ‌网络类型冲突‌：广播网络与点对点网络需配置一致

Q3: 交换机端口频繁up/down，可能原因？‌

‌原因及处理：‌

1. ‌物理层问题‌

    
   # 查看端口错误计数
   show interfaces GigabitEthernet0/1 counters errors  
   

   • 更换网线或光纤模块
   • 检查端口是否损坏

2. ‌生成树协议（STP）震荡‌

    
   # 查看STP状态
   show spanning-tree detail  
   # 优化方案：启用PortFast
   interface range GigabitEthernet0/1-24
     spanning-tree portfast
    
   

3. ‌广播风暴‌

    
   # 查看STP状态
   show spanning-tree detail  
   # 优化方案：启用PortFast
   interface range GigabitEthernet0/1-24
     spanning-tree portfast
   
   

Q4: 访问控制列表（ACL）未生效，如何调试？‌

‌排查流程：‌

1. ‌确认ACL应用方向‌

    
   # 查看接口ACL应用
   show ip interface GigabitEthernet0/1  
   # 正确应用示例（入口方向）
   interface GigabitEthernet0/1
     ip access-group 100 in
   
   

2. ‌检查ACL规则顺序‌

   # 显示ACL内容
   show access-lists 100  
   # 注意：规则按从上到下顺序匹配
   access-list 100 permit tcp any any eq 80
   access-list 100 deny   ip any any
   
   

3. ‌测试流量是否匹配‌

   # 启用ACL日志
   access-list 100 permit tcp any any eq 80 log 
   

Q5: 路由器无法进行NAT转换，如何解决？‌

‌关键检查点：‌

1. ‌NAT地址池配置‌

   ip nat pool MY_POOL 203.0.113.1 203.0.113.10 netmask 255.255.255.0
   
   

2. ‌内部全局地址绑定‌

   # 配置ACL定义内部地址
   access-list 1 permit 192.168.1.0 0.0.0.255  
   # 应用NAT
   ip nat inside source list 1 pool MY_POOL overload
   
   

3. ‌接口角色分配‌

   interface GigabitEthernet0/0
     ip nat inside   # 连接内网
   interface GigabitEthernet0/1
     ip nat outside  # 连接外网
   
   

Q6: 如何防止MAC地址表泛洪攻击？‌

‌防护方案：‌

1. ‌端口安全策略‌

   interface GigabitEthernet0/1
     switchport port-security
     switchport port-security maximum 5      # 允许最多5个MAC
     switchport port-security violation restrict  # 超限后丢弃并告警
   
   

2. ‌动态ARP检测（DAI）‌

   ip arp inspection vlan 10      # 在VLAN10启用DAI
   ip arp inspection validate src-mac dst-mac ip
   
   

3. ‌DHCP Snooping‌

   ip dhcp snooping vlan 10
   ip dhcp snooping trust         # 仅在合法DHCP服务器端口启用
   
   

Q7: 路由表存在冗余路径，如何优化？‌

‌负载均衡与路径选择：‌

1. ‌等价多路径（ECMP）‌

   # 查看路由协议支持情况
   show ip route 192.168.1.0  
   # 调整OSPF Cost值
   interface GigabitEthernet0/1
     ip ospf cost 10
   
   

2. ‌策略路由（PBR）‌

   route-map PBR permit 10
     match ip address 101
     set ip next-hop 203.0.113.1  
   interface GigabitEthernet0/1
     ip policy route-map PBR
   
   

Q8: 升级IOS后设备异常，如何恢复？‌

‌紧急恢复步骤：‌

1. ‌回退到旧版本‌

   # 查看启动镜像列表
   show boot  
   # 修改启动顺序
   boot system flash:old_image.bin
   reload
   
   

2. ‌配置文件对比‌

   # 使用diff工具比较新旧配置
   diff running-config startup-config
   
   

3. ‌TFTP恢复配置‌

   copy tftp://192.168.1.100/backup.cfg startup-config
   reload
   
   

附：实用排查命令速查表‌

注意事项：‌

1. 修改关键配置前务必备份 (copy running-config tftp://...)
2. 慎用debug命令，建议在维护窗口操作
3. 不同厂商设备命令存在差异（华为/H3C需用display替代show）