企业官网建设流程全解析

1. 网络基本功：弄懂这些模型，后面学什么都快

1.1 两个必背的分层模型，别再搞混了

打开任何一台网络设备的配置界面，你看到的每个命令背后都逃不开分层模型的思想。很多刚入行的朋友问我要不要背OSI七层模型，我的回答是：不仅要背，还得背到条件反射的程度。不过先别慌，实际干活中用得最多的是TCP/IP四层模型，OSI更多是用来帮助你理解“每一层到底干了什么事”。

我用四句话帮大家把这层窗户纸捅破。物理层和数据链路层管的是“这根网线、这个光模块、这个MAC地址怎么把比特流送到隔壁设备”；网络层管的是“数据包从你的电脑到服务器，路由怎么走”；传输层管的是“数据可靠不可靠、端口对不对”；应用层管的是“浏览器、邮件、FTP这些具体业务”。排障的时候，你按“从底层往上层”一层层查，问题基本跑不掉。

很多时候我们排查网络慢，第一反应是看带宽占用，结果用户说网页还是打不开。后来沿着模型往下查，发现是链路层有大量CRC错误，光模块接收光功率过低。所以，模型不只是考试题，它就是你和故障之间的地图。

1.2 IP地址与子网划分，算不对是真的会翻车

网络工程师可以不会写脚本，但IP地址和子网掩码之间的换算必须门清。为什么？因为你在配置接口地址、写静态路由、规划VLAN网段时，每一步都在跟二进制打交道。我见过不少同事，配地址全靠复制粘贴，结果把一个网段的广播地址配到服务器上，业务直接中断。

子网划分核心就三件事：网络位、主机位、广播地址。比如你拿到一个192.168.1.0/24的网段，掩码是255.255.255.0，网络位占了24位，主机位剩8位，可用地址范围就是192.168.1.1到192.168.1.254，其中192.168.1.255是广播地址。如果想让这个网段拆成两个子网，把掩码加长一位变成/25，每个子网就只有128个地址，可用主机数是126个。

这里有个很多新手容易踩的坑：子网掩码加长之后，两个子网之间默认是不通的。你想让192.168.1.0/25和192.168.1.128/25互相访问，必须在三层设备上写路由或者直接启用VLAN间路由，别以为同一个大网段就天然通。实际做园区网规划时，我习惯把每个VLAN的网关放在三层交换机上，掩码一般给/24，保证单个VLAN内能容纳250台左右的主机，预留扩容空间。

1.3 MAC地址与ARP，局域网通信的“门牌号”

每台设备的网卡出厂时就烧录了一个唯一的MAC地址，它工作在数据链路层，相当于这栋楼的房号。但网络通信靠的是IP地址，你手里只有对方的IP，怎么知道对应的MAC地址？靠ARP协议。ARP会发一个广播，问“谁是192.168.1.1，请把你的MAC地址告诉我”，目标设备收到后单播回应，之后通信双方就把这条映射关系缓存起来。

我总喜欢跟新人打个比方：IP地址是人的姓名，MAC地址是身份证号。你在小区里找人，喊名字（IP）就能得到回应，但要真正精准敲门，还是得靠身份证号（MAC）。

ARP在正常环境里很稳定，但一旦遇到ARP欺骗，网络就炸了。攻击者会伪造ARP响应，把网关的MAC地址换成自己的，所有流量都经过它中转，轻则上网卡顿，重则敏感信息被截获。解决办法是在交换机上配置DAI动态ARP检测，或者干脆做IP-MAC绑定。这个知识点在面试里出现频率极高，实操中更是安全排查的重点。

2. 交换技术：从傻瓜交换机到三层交换，你躲不开的这些协议

2.1 VLAN与Trunk，广播域隔离就靠它俩

一台傻瓜交换机把几十台电脑接在一起，大家共享一个广播域，谁发个广播帧全网络都能收到。设备一多，广播风暴一上来，整个网络全都卡死。要解决这个问题，最常用的手段就是划分VLAN。VLAN把一台物理交换机在逻辑上拆成多台虚拟交换机，不同VLAN之间默认二层隔离，广播域自然就被切小了。

配置VLAN本身不复杂，建VLAN、把接口划进去、配网关，就这三步。难点在于跨交换机怎么让同一个VLAN跑通。这时就要用Trunk接口，Trunk链路可以同时承载多个VLAN的流量，依靠802.1Q标签区分不同VLAN的帧。这里提醒一句：Trunk两端必须使用相同的封装协议，本征VLAN（Native VLAN）也要保持一致，否则两边虽然显示UP，但业务就是不通。

实际项目中，我会在核心交换机上启用VLAN间路由，给每个VLAN配一个网关接口（SVI，即交换虚拟接口）。终端用户配置好IP和网关后，跨VLAN访问就交给核心设备转发。像监控网段、办公网段、服务器网段都独立划分，一个广播域出问题不会拖垮全网，这种设计思路在300人以上的公司几乎是标配。

2.2 STP生成树，环路是网络的大敌

网络里最怕的不是断线，而是环路。两个交换机之间不小心多插了一根网线，广播帧就会在环路里无限循环，形成广播风暴，CPU占有率飙升，整个网络瘫痪。STP生成树协议就是为了解决环路问题而生的。

STP的原理简单说就是在二层网络中选举根桥，然后把多余的冗余链路阻塞掉，让整个网络变成一个无环的逻辑树状结构。当主链路断掉后，被阻塞的备份链路会自动激活，实现冗余切换。现在的网络设备大多默认运行RSTP或MSTP，收敛速度比老STP快得多。

配置STP时有两个关键参数：桥优先级和端口优先级。想让哪台设备成为根桥，就把它的桥优先级调小，比如设为4096。如果不调，设备会按MAC地址自动选举，结果很可能选到一台性能很差的入门交换机当根桥，导致全网转发路径不合理。另外，连接终端PC的接入端口建议开启PortFast（即快速端口）功能，让端口在接入终端时直接进入转发状态，不然的话，电脑插上线要等30到50秒才能上网，光这一条就够你被用户投诉的。

2.3 链路聚合，让带宽翻倍的同时别忘了冗余

当两个交换机之间的流量需求超过单条物理链路的能力时，除了换更高速率的接口，还有一个更灵活的办法：链路聚合。把两条甚至四条千兆物理链路逻辑上绑成一条，带宽成倍增加，同时某一条物理链路断掉后，流量自动切换到其余链路上，整个过程对业务无感知。

配置链路聚合时，无论是静态手工聚合还是LACP协议标准化聚合，关键要求是成员端口的速率、双工模式、VLAN配置必须一致。我处理过一个案例：两条链路聚合后流量分布不均，一条线跑满另一条空闲，排查后发现是负载均衡的哈希策略导致的。不同厂商设备默认的哈希因子不一样，有的基于MAC地址，有的基于IP地址。如果你的网络中有一个服务器集中访问的场景，建议把负载均衡模式改成基于IP和端口，分布会均匀很多。

3. 路由与互联：数据包怎么找路，还要怎么防偷跑

3.1 静态路由与默认路由，手动指路最实在

路由器的核心作用是为数据包选择路径。在小型网络中，手动配置静态路由是最直接、最可控的方式。静态路由的配置只有几条命令：目标网段、掩码、下一跳地址。比如要让内网192.168.10.0/24访问10.10.0.0/16，就往下一跳192.168.10.254写一条路由就行。

默认路由是一条特殊的静态路由，目标网段和掩码都是0.0.0.0/0，表示所有不在路由表里的流量统统交给这个下一跳。企业出口路由器上最常见的配置就是把内网私网地址的默认路由指到运营商设备，实现访问互联网。这里有个细节需要注意：下一跳地址必须是直连网段内可达的地址，否则路由不会生效。我之前帮人排障，他把下一跳写成对端路由器的环回口地址，结果路由始终不活跃，浪费了半天时间。

静态路由适合网络拓扑稳定的小型环境，一旦网络规模变大、链路出现冗余，静态路由的维护成本就上来了。这时候就需要动态路由协议自动学习、自动收敛，这就是OSPF登场的时机。

3.2 OSPF协议，链路状态协议是怎么选路的

OSPF（开放式最短路径优先）是目前企业内网用得最多的动态路由协议。它通过SPF算法计算最短路径树，能够快速响应网络拓扑变化，而且支持多区域设计，适合中大型网络。

OSPF配置中有几个必懂概念：Router ID（路由器标识）、区域（Area）、邻居关系、开销值（Cost）。Router ID一般手动指定为设备上最大的环回口地址，避免自动选举导致的不稳定。区域0是骨干区域，其他区域必须和骨干区域直连，否则路由学不到。邻居关系的建立靠Hello报文，广播网络类型下的Hello间隔是10秒，Dead间隔是40秒。如果邻居关系总是不起来，优先检查区域ID是否一致、认证是否匹配、Hello间隔和Dead间隔配置是否相同。

OSPF选路依据链路开销，开销值等于参考带宽除以接口带宽，默认参考带宽是100Mbps，所以千兆接口的开销就是100。当网络中存在多条等价路径时，OSPF默认支持4条等价负载分担，把流量分流到多个链路上。实际工作中，我还会用bandwidth-reference命令把参考带宽调到千兆级别，避免高速接口计算出不合理的开销值。

3.3 ACL访问控制列表，策略安全的第一道闸门

ACL全称访问控制列表，名字听着高大上，本质就是一张规则表：允许谁、拒绝谁、匹配什么协议、流向哪个方向。企业网络中最常见的安全需求就是“只让财务网段的电脑访问财务服务器，其他网段一律禁止”。这种需求用一个标准ACL加一个扩展ACL就能实现。

标准ACL范围在2000-2999，只能匹配源地址；扩展ACL范围在3000-3999，可以匹配源地址、目的地址、端口和协议类型。配置时注意ACL必须调用在接口的特定方向上，方向分为入方向（inbound）和出方向（outbound）。数据包进入接口时匹配入方向ACL，离开接口时匹配出方向ACL。最常用的经验法则是：ACL尽量靠近源地址部署，这样非法流量在源端就被丢弃，不浪费骨干链路带宽。

规规矩矩写ACL还有个隐藏的坑：访问控制列表默认最后有一条隐含的拒绝所有规则。也就是说，你只写了允许某几段地址的规则，没有单独放行其他流量，那其他流量全部会被丢弃。所以，ACL配置完一定要做验证测试，拿源、目的、协议各跑一遍，确认行为符合预期。

3.4 NAT地址转换，内网访问互联网的核心技术

还在坚持只能用公网IP才能上互联网？那你肯定还没搞懂NAT。NAT（网络地址转换）就是把内网的私有IP地址映射成公网IP地址，解决IPv4地址不够用的问题。企业出口路由器上最常见的做法是配置PAT（端口地址转换），让所有内网用户共享同一个公网IP，同时靠端口号区分不同会话。

NAT的配置核心是识别需要转换的流量，一般用ACL匹配内网网段，然后在出接口上启用ip nat inside和ip nat outside，最后绑定ACL关系。我遇到过不少新手把inside和outside接口搞反，导致内网PC能访问互联网，但服务器对公网提供服务完全不通。

NAT的类型不止PAT一种，还有静态NAT和动态NAT。静态NAT常用来把内网服务器映射到固定公网IP，方便外部访问。做这种映射时，注意公网IP和内网IP的对应关系要清晰，不然端口冲突和地址抢占会让你排查到怀疑人生。如果公司是双出口链路，还得考虑NAT的负载分担和故障切换，这块内容涉及策略路由，篇幅有限，先记下“多出口NAT要配合策略路由和IP地址探测使用”这个结论就好。

4. 应用层协议与网络服务：工作中天天打交道的那些

4.1 DHCP：自动分配IP，配置一次管一年

每次看到有人手工给几百台电脑设置IP地址，我都想劝他赶紧用DHCP。DHCP的全称是动态主机配置协议，它让终端设备开机后自动从服务器获取IP地址、子网掩码、网关和DNS。这不仅能避免地址冲突，还省去了大量手工配置工作。

DHCP的工作流程可以简化为四步：发现、提供、选择、确认。客户端广播发送DHCP Discover报文，服务器回应DHCP Offer，客户端选择后发送DHCP Request，服务器最后确认DHCP Ack。在企业网络中，一般直接在三层交换机或路由器上开启DHCP服务，按VLAN划分地址池。比如给办公VLAN规划一个192.168.10.0/24的地址池，排除掉网关地址和服务器静态绑定地址，剩下的动态分配给终端。

排障方面有一个高频问题：终端一直获取不到IP地址。排查思路依次是：确认VLAN三层接口地址是否配置、DHCP地址池是否创建、排除地址区间是否把该分配的段全占了、中继配置是否指向了正确的DHCP服务器。还有一个细节，如果启用了DHCP Snooping（即DHCP侦听），要记得把连接合法DHCP服务器的端口配置为信任端口，否则合法服务器发出的响应报文会被交换机丢弃，全网终端都拿不到地址。

4.2 DNS解析：为啥访问网站第一关总是它

你可以在浏览器里输入一串IP地址访问网站，但正常人记不住十几位的数字，所以DNS就出现了。DNS把域名转换成IP地址，相当于互联网的电话簿。DNS解析出错时，最典型的现象就是“能上微信但网页打不开”，因为部分应用使用IP直连，而浏览器依赖域名解析。

排查DNS问题时，我习惯先手动指定一个公共DNS，比如223.5.5.5或114.114.114.114，看问题是否复现。如果换了DNS就能打开，基本可以确定是原DNS服务器或解析链路有问题。如果换DNS还是打不开，那问题大概率不在DNS，而在TCP/IP连通性上。

企业内网中，DNS服务通常放在域控制器上，再配置转发器把外部域名转发给运营商DNS。内网业务建议使用内部域名和内部DNS，避免内部流量绕到公网解析浪费时间。如果你发现某些域名解析特别慢，可以用nslookup命令查一下解析耗时，再用dig看具体走的是哪台DNS服务器，定位是递归查询还是缓存命中导致的问题。

4.3 HTTP与HTTPS，Web服务背后的协议差异

HTTP和HTTPS是上网冲浪时最常接触的应用层协议。HTTP默认端口是80，传输内容明文；HTTPS默认端口是443，在HTTP和TCP之间加了一层TLS/SSL加密。用生活类比，HTTP像寄明信片，路上每个人都能看到内容；HTTPS像寄密封信封，只有收件人才能拆开。

排查Web访问故障时，要分层去看。第一层确认网络通不通，用ping测试web服务器IP；第二层确认端口通不通，用telnet IP 80或nc -vz IP 443探测；第三层才看HTTP状态码。状态码的意义必须记牢：200是成功，301/302是重定向，403是权限拒绝，404是资源不存在，500是服务器内部错误，502/504是网关或代理故障。

实际工作中，我发现很多网络工程师到第二层就停住了，实际上很多所谓的“网络问题”是应用层配置错误。比如反向代理配置漏了导致502，后端服务器超时导致504。这些虽然属于应用运维的范畴，但网工在排障时如果能看懂状态码，就能快速把问题分流给正确的团队。

4.4 Telnet与SSH，管理设备的两种登录方式

配交换机、路由器，总得上设备敲命令。老设备支持Telnet，新环境更推荐SSH。Telnet是明文传输，用户名密码在网络上裸奔，抓包就能看到。SSH是加密传输，即使抓包也拿不到有效信息。所以，凡是能支持SSH的设备，绝对不用Telnet。

配置SSH的关键步骤包括：生成本地密钥对、配置VTY线路认证方式为本地用户、启用SSH协议、配置登录超时和重试次数。我用华为设备举个例子：rsa local-key-pair create生成密钥，ssh user admin authentication-type password创建SSH用户，再把VTY线路下transport protocol改成ssh，最后aaa里创建本地账号。整套下来大概十行命令，非常熟练的话三分钟就能完成。

安全习惯上还有两点建议：管理VLAN单独划一个，不要把设备管理地址和业务地址混在一起；SSH登录之后记得保存配置，不然设备一重启，配置全部丢失。这个“忘记保存配置导致设备重启后失联”的案例，我已经听过太多遍了。

5. 排障与工具：网工真正拉开差距的地方

5.1 Ping和Tracert，最基础也最好用的连通性工具

我见过太多人一遇到网络慢就开抓包工具，实际上80%的问题用ping就能定位。Ping基于ICMP协议，用来测试主机到目标设备之间的网络连通性。关键看几个指标：丢包率、时延、TTL值。不同的操作系统默认TTL不一样，Windows通常128，Linux通常64， Cisco设备通常255。如果你Ping一个地址，返回的TTL是125，说明中间经过了3跳设备（128-125=3）。

Ping不通时，一定要区分“目标不可达”和“请求超时”。“目标不可达”通常说明路由缺失或ACL拦截；“请求超时”说明包发出去但没回应，可能是链路中断、设备丢弃，也可能是目标防火墙禁Ping。这里要注意，防火墙禁Ping不等于服务器故障，别一看到超时就断定机器挂了。搭配tracert（Linux下叫traceroute）可以更直观地看到路径上每一跳的延迟，迅速判断瓶颈在哪一跳。

5.2 抓包分析，靠Wireshark给网络做“CT”

如果说Ping是体温计，那抓包分析就是给网络做CT。Wireshark是每个网络工程师电脑里必备的工具。它能捕获网卡上的所有数据包，帮你看到真实流量里到底发生了什么。排查TCP重传、ARP异常、应用层协议交互都离不开它。

抓包的关键不是打开工具点开始，而是提前想清楚过滤条件。以太网帧层面用eth.addr过滤，IP层用ip.addr过滤，TCP/UDP层用tcp.port或udp.port过滤。比如排查某台服务器响应慢，过滤器写成ip.addr==192.168.10.10 and tcp.port==443，只看这台服务器443端口的流量，不至于被海量无关包淹没。再配合tcp.time_delta看每个包的时间间隔，就能判断是客户端发得慢还是服务端回得慢。

抓包也有禁忌：不要在核心链路上长期大流量抓包，否则可能影响设备转发性能。一般做法是在故障点两端分别抓包，然后做对比。比如用户说访问应用系统很慢，客户端抓一份包，服务器侧抓一份包，两相对照，问题出在哪一段链路上一目了然。这种方式定位问题非常高效，但需要一点耐心和相关经验积累。

5.3 TCP握手与状态，网络慢问题的重要线索

TCP三次握手和四次挥手是网工必考的基础，也是排查网络性能问题的重要抓手。第一次握手客户端发送SYN包，第二次握手服务器回应SYN+ACK包，第三次握手客户端回复ACK包。如果你在抓包里发现客户端持续重传SYN包，但服务器一直没有回应SYN+ACK，那可能是服务器端口没有监听、防火墙丢弃了包，或者中间的负载均衡器出了问题。

四次挥手过程稍复杂一些，主动关闭方发送FIN包，对方确认后，再由另一方发送FIN包并得到ACK。实际故障中经常出现大量TIME_WAIT状态的连接堆积，这通常是短连接并发过高导致的。如果服务器上netstat -an查询看到几万个TIME_WAIT，就要考虑调整内核参数。

还有个常见故障叫TCP重传。抓包里如果看到大量连续的TCP Retransmission，基本可以断定链路存在丢包或拥塞。先用ping测丢包率，如果丢包不严重，再看是不是双工不匹配或缓冲区溢出。我处理过一起无线网络案例，表面现象是下载速度不稳定，抓包发现大量TCP Dup ACK，最后排查到是AP的射频口和终端协商速率过低，换了信道后就恢复正常了。

5.4 故障排查的基本流程，先把问题范围圈起来

掌握工具很重要，但比工具更重要的是排查思路。我总结了一套自己用了多年的流程：确认现象、缩小范围、逐层排查、验证恢复。

确认现象时，多问一句“是什么时候开始的”“是全部终端还是部分终端”“访问什么业务有问题”。这三个问题能把问题范围圈掉一大半。比如“只有财务室的三台电脑无法访问ERP”，范围就锁定在这三台电脑和财务接入交换机这条路径上，而不是满网络瞎找。然后从接入交换机端口状态、所属VLAN、网关可达性逐层检查，定位到具体环节后再做针对性修复。

这种思路听起来简单，但真正遇到故障保持冷静的人不多。我见过有同事一上来就重启核心交换机，结果业务全断，后来发现只是某台接入交换机光模块脏了。所以，排障一定要按照“物理层、链路层、网络层、传输层、应用层”的顺序来。物理层的坑最多也最容易忽略：网线松动、光模块脏污、电源故障。很多“疑难杂症”最后查出来只是跳线水晶头接触不良，这类场景我亲身经历过不少次。

5.5 常用命令速查，记不住就直接抄走

排查网络时有些命令使用频率极高，我把常用的整理成一张速查表。ping -t是Windows下持续Ping，ping -c 100是Linux下指定次数；ipconfig /all查看本机完整IP配置；netstat -an查看本机所有连接状态；arp -a查看ARP缓存表；tracert和traceroute看路由路径；nslookup查域名解析记录；show ip interface brief查看设备接口状态；display this在华为设备上查看当前接口下的配置；display ip routing-table查看设备路由表。

需要强调一点：命令是工具，关键是理解输出。看到netstat -an里有大量SYN_SENT，你能联想到本机发出的连接没有被响应；看到路由表里多了一条奇怪的静态路由，你能想到可能是有人手动配置过。每个输出背后都对应一种网络状态，读懂了才能快速定位问题。这套思路在你面对任何厂商的设备时都通用，因为底层的TCP/IP协议栈是一样的。

做网工这行这些年，我自己最大的体会就是：知识点之间真的会互相串联。你VLAN划分不对，后面OSPF邻居可能就会起不来；你ACL写错一条，NAT转换可能就全乱了。所以别觉得基础知识点琐碎，恰恰是这些基本功决定了你在复杂故障面前是手忙脚乱还是胸有成竹。

最后再分享一个小技巧：建议每个知识点都亲手在模拟器或者真机上敲一遍配置，哪怕只是搭两台路由器的环境，做完立刻把配置文件导出来对照思考一遍。很多知识点看教程觉得懂了，实际配置时会发现各种意想不到的问题——比如接口没启用、掩码写错、VLAN没划进去。踩过这些坑之后，你才是真正掌握了，而不是“看过就是会了”。把这30个点吃透，再去接触MPLS、BGP、SDN这些进阶内容，会发现底子越扎实，学新东西越快。