企业官网建设流程全解析

网络工程原理这门课，我前前后后复习了三轮。第一轮拿着教材从第一章背到最后一章，背完感觉知识点全都见过，一合上书啥都想不起来。后来换了思路，不再按目录顺序死磕，而是先画一张“数据从一台电脑到另一台电脑”的完整旅程图，把协议栈、IP地址、交换、路由、NAT这些概念当成旅程的一站一站去理解，复习效率一下子高了很多。这篇文章就把我最终沉淀下来的复习框架完整写出来，内容包括OSI与TCP/IP协议栈的对应关系、IP地址与VLSM划分子网、交换与VLAN原理、静态路由与OSPF的选路逻辑、NAT与ACL的配置思路，最后再用一个小型企业组网模拟实验把全部知识点串起来。适合正在备考网络类课程的在校学生，也适合想系统重刷一遍网络基础、准备岗位面试的技术人员。

1. 复习网络工程原理，先让“数据旅程”的大框架进脑子

1.1 协议栈不是拿来背的：每一层到底在解决什么问题

很多人复习OSI七层模型，就是背“物理层、数据链路层、网络层、传输层、会话层、表示层、应用层”，背得滚瓜烂熟，一问“TCP三次握手为什么需要第三次”，直接愣住。这是把协议栈当成了背诵科目。

我复习时的做法是反过来的：先问一句“如果让我设计一套网络，我会怎么拆功能”，然后就会发现分层几乎是必然的。发送数据之前，得先确定对方进程是谁，这是传输层的端口号；在网络中找到对方设备，这是网络层的IP地址；在一段物理链路上完成帧传输和差错控制，这是数据链路层的MAC地址和FCS校验；最后变成电信号或光信号发出去，这是物理层。每一层专心解决一个问题，上层不用关心下层的实现细节，更换网线、光纤甚至无线，都不需要改TCP/IP软件。这就是为什么分层协议栈能延续几十年。

复习时我建议自己动手画一遍封装和解封装过程：应用层生成HTTP请求，传输层加TCP头（源端口、目的端口、序号），网络层加IP头（源IP、目的IP），数据链路层加以太网头尾（源MAC、目的MAC、FCS），物理层变成比特流。每一步都搞明白“谁加的、加在哪、对方哪一层把它拆掉”。数据经过每一层时叫的名字也不一样，传输层叫段，网络层叫包，链路层叫帧，物理层叫比特流，这个考点出现的频率非常高。

我在复习后期把OSI和TCP/IP的映射关系整理成了一张表，直接对着表回忆每层的协议和设备，查漏补缺很快：

这张表不需要死记，而是要做到“给我一个协议，我能说出它是哪一层的；给我一个设备，我能说出它工作在那一层、隔离什么域”。比如交换机能隔离冲突域，但不能隔离广播域；路由器既能隔离冲突域，又能隔离广播域。这些结论从设备工作的层级推导出来，比硬背省力得多。

1.2 七天复习路线：教材、抓包工具、模拟器怎么搭配

如果你问我复习网络工程原理最重要的是什么，我的答案不是刷题，而是实验。模拟器上搭一个三设备的小拓扑，比看十页文档都有用。但实验必须安排在理解了原理之后去做，否则敲完命令，你还是不知道命令是在干什么。

我整理过一个七天复习路线，不需要每天投入很多时间，但每天的任务都很明确：

1. 第1天：协议栈与数据封装，重点画“数据旅程图”，搞懂各层PDU名称和封装顺序。
2. 第2天：IP地址、子网掩码、二进制换算，做10道子网划分题。
3. 第3天：交换原理与VLAN，打开模拟器建两台交换机，配Access口和Trunk口，观察同VLAN与跨VLAN的通信差异。
4. 第4天：路由原理，配静态路由和OSPF，看路由表变化，用ping和tracert验证路径。
5. 第5天：NAT与ACL，在路由器上做PAT和访问控制，抓包看NAT转换表。
6. 第6天：综合实验，把前五天所有设备连起来组一套完整网络，按需求逐条配置。
7. 第7天：回归教材和错题，把实验里出现的现象和书上的原理对照一遍，补漏。

三天打鱼两天晒网式地复习最忌讳的就是“只看不练”。我见过很多人把协议栈背得特别溜，一到模拟器上配VLAN，连access和trunk的区别都想不明白。原理和实验是互相成就的：实验现象会让你记住原理，原理能让你在实验出问题时知道怎么排查。

2. IP地址与子网划分：把硬算公式变成画格子

2.1 私有地址与子网掩码：先把二进制这一关过了

IP地址这块内容，很多同学卡在子网掩码的运算上。一看到255.255.255.192这种掩码就发怵，其实是二进制不熟练。IPv4地址一共32位，写成点分十进制只是为了方便人看，真正做子网划分时一定要先回到二进制思考。

子网掩码的本质是告诉路由器“网络位占多长、主机位占多长”。掩码前面连续是1的部分叫网络位，后面连续是0的部分叫主机位。比如255.255.255.0，换算成二进制是24个1加8个0，所以也叫/24。这个/24决定了这个网段里有2^8=256个地址，去掉网络地址和广播地址，可用主机地址是254个。为什么总是要减2？因为主机位全0代表网络本身，全1代表广播地址，这两个地址不能分配给设备。

私有地址范围是必须记住的基础表，这个不靠理解，就是硬记：

私网地址之所以存在，是因为公网IPv4资源不够用，所以内部网络使用这些保留地址，出口通过NAT转换后再访问公网。做题时看到这些地址开头，心里要立刻反应出它们属于私有范围。

子网划分的实际意义可以从一个生活场景理解：假设一栋楼有200个房间，物业给整栋楼编了一个统一门牌前缀，结果访客要找具体房间只能在楼下喊。如果按楼层分成多个单元，每个单元用不同的前缀，访客就能快速定位。子网划分就是这种“分组管理”，它缩小了广播域，也让网络规划更清晰、更安全。

2.2 VLSM实战：一个 /16 怎么按部门切成不同大小的网段

可变长子网掩码VLSM是复习重点，也是面试爱问的点。它解决的核心问题是：不同部门需要的地址数量不一样，固化为统一大小的子网会造成浪费。

我拿一个实际场景演示一下。假设某公司从运营商那里拿到一段地址172.16.0.0/16，现在要给三个部门划分：研发部需要约1000个可用地址，市场部需要约200个，财务部需要约30个。如果全部按/24来分，研发部1000个地址至少要4个/24网段，管理上麻烦；如果全部按/22来分，市场部只有200个地址却分到1022个，浪费四个网段。VLSM的做法就是大部门分配大块、小部门分配小块。

先看研发部。1000个可用地址，意味着主机位至少有10位，因为2^10-2=1022，刚好大于1000。主机位10位，网络位就是32-10=22位，也就是/22。从172.16.0.0/16这个大块里，第一块就从172.16.0.0/22开始，它的地址范围是172.16.0.1到172.16.3.254，广播地址172.16.3.255。可用地址刚好1022个。

市场部需要200个地址。2^8-2=254，所以主机位8位就够了，对应/24。接着刚才的块继续往后分，下一块从172.16.4.0/24开始，范围是172.16.4.1到172.16.4.254。

财务部需要30个地址。如果按刚好够用的逻辑，2^5-2=30，主机位5位、/27也能装下，但我觉得生产环境通常要留一点余量，所以习惯切成/26，主机位6位，可用地址62个。下一块从172.16.5.0/26开始，范围是172.16.5.1到172.16.5.62。

这种“用完一块再往后切一块”的方法，能保证网段不重叠，也方便汇总。复习时看到这类题，先算需要的块大小，再决定从哪个起始地址开始切，不要跳着规划。顺序切分还有一个好处：最后可以把多个连续子网聚合，减少路由表条目，这在后面学路由汇总时很有用。

2.3 大家最容易翻车的三个IP计算细节

第一翻车点是忘记减2。很多人算每个子网可用地址，直接在2^主机位后面不减去网络地址和广播地址。每次算完，把结果填进表格对照一下，别只看总数，一定要分别确认网络地址、可用范围、广播地址这三个数。

第二翻车点是十进制掩码换算成前缀长度不熟练。我有个快速方法：十进制掩码最后一字节如果小于256，用256减去它，得到的就是一个块的地址数。比如255.255.255.192，最后一字节是192，256-192=64，说明每个块64个地址，前缀就是32-6=26，即/26。再比如255.255.255.248，256-248=8，前缀/29。这个办法做题时特别快，基本能心算。

第三翻车点是子网起始地址选错。拿到一个地址段做VLSM，一定要先判断“它的块大小是多少，就要按多少对齐”。比如/30的块大小是4，子网起始地址必须是4的倍数；/26的块大小是64，起始地址必须是64的倍数。很多人明明算法对，就因为起始地址没按块大小对齐，导致网段错位。做题时候养成习惯：拿到子网，先算块大小，再确认起始地址能被块大小整除，这两步做对了，后面基本不会错。

3. 交换与路由原理：VLAN、Trunk、OSPF到底在解决什么问题

3.1 交换机凭什么比集线器聪明：MAC地址表从诞生到更新

交换机的核心本事就两个字：学习。它在收到一个以太网帧之后，会把源MAC地址和收到该帧的接口绑定起来，写入MAC地址表。当要转发帧时，先查目的MAC地址在不在表里：在就直接从对应接口转发出去；不在就向除了接收接口之外的所有接口泛洪。目的设备回包时，交换机再学习一次，之后双方通信就直奔目的地，不再泛洪。

我第一次在模拟器里做实验时，用display mac-address观察这张表的变化，印象很深：一开始表里啥也没有，PC之间ping一下，交换机立刻学习到了两个MAC和对应的端口号。这就是交换机比集线器聪明的地方。集线器不管三七二十一，所有帧都往所有端口复制，既浪费带宽又容易冲突；交换机会维护一张动态表，让帧走最优路径。

但是交换机也有它解决不了的问题：广播帧。目标MAC是全FFFF的广播帧，交换机必须泛洪。如果网络里设备特别多，广播流量泛滥，所有设备都会被拖慢，这就是广播风暴。交换机隔离的是冲突域，不是广播域。要控制广播域，就得靠下面说的VLAN。

复习时记住这个对比表，能帮你迅速理解设备选型：

3.2 VLAN隔离广播域之后，Trunk和Tag是怎么协作的

VLAN的作用是把一个物理局域网，从逻辑上切成多个独立的广播域。不同VLAN之间默认不相通，想要互访必须通过三层路由。这样既能减少广播风暴影响，也能把财务、办公、访客等不同角色隔离开，管理更安全。

配置VLAN时，初学者最容易搞混的是Access口和Trunk口的区别。Access口一般接终端PC，它只属于一个VLAN，发给PC的帧会去掉VLAN标签，PC看到的还是传统无标签的以太网帧。Trunk口一般接交换机之间或交换机到路由器的链路，它在帧里保留VLAN标签，这样一条物理链路就能承载多个VLAN的帧，并且区分出各自的VLAN身份。

802.1Q是VLAN标签的标准格式，其中VLAN ID字段是12位，取值1到4094。Trunk口上每个帧都带着这个ID，收到帧的交换机一看标签就知道该往哪个VLAN转发。

一个最基础的配置示例，我用通用风格来写，重点看逻辑不看厂商：

# 在两台交换机上都创建VLAN 10和VLAN 20 vlan batch 10 20 # 接入交换机上，把下连PC的口划入VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # 交换机之间的互联口配置为Trunk，并只放行VLAN 10和20 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20

有人问为什么Trunk不直接允许所有VLAN，图省事用allow-all。配置上确实可以，但风险是：万一来个广播风暴或未知单播泛洪，所有VLAN都会被影响。只放行需要的VLAN，相当于给Trunk也做了一层隔离，这个习惯值得养成。

3.3 静态路由与OSPF：什么时候该信听说、什么时候该看地图

路由器的核心工作是转发数据包，但它得知道“目的网络走哪个接口、下一跳是谁”。这张知识表叫路由表。静态路由和动态路由，就是填充路由表的两条路径。

静态路由是管理员手写规则。适合网络规模小、拓扑稳定的场景。家用宽带接一个出口，写一条默认路由0.0.0.0/0指向运营商网关，是最常见的用法。它的好处是开销小、可控性强，但网络一变拓扑，就要手工改。

动态路由里，RIP和OSPF是两种典型思路。RIP属于距离矢量协议，它只告诉邻居“我到某网段跳数是几”，自己根据邻居的话拼出路径。它的核心缺陷是“坏消息传得慢”，某条链路断了要等更新周期慢慢传播，容易形成临时环路。

OSPF属于链路状态协议，它干的事情更像是画一张全城地图。每台路由器都把自己的链路状态（接口IP、掩码、开销）广播给全网，所有路由器收集到完整的链路状态数据库后，用SPF算法自己算最短路径。任何链路变化会立刻触发更新，收敛速度快，也不容易环。代价是配置和计算复杂度比RIP高。

我在模拟器里配OSPF时，配完后二话不说先看邻居关系是不是Full，再看路由表里有没有学到想要的网段。OSPF里区域0是骨干区域，所有非骨干区域都要直接或间接连接它，这个设计能有效抑制链路状态更新在全网泛滥。复习时抓重点：RIP看跳数、30秒更新周期；OSPF用SPF、区域化、收敛快。面试时如果问“相同目标两条路选哪条”，要知道OSPF会综合带宽算开销，而不是简单看跳数。

4. 从内到外的访问控制：NAT、ACL与网络安全基础

4.1 NAT原理：私网地址上公网的那道门

NAT全称网络地址转换，它的出现直接原因是公网IPv4地址不够用。私有地址在局域网内部随便用，但出了路由器，运营商的路由器根本不认识192.168.x.x，它只会告诉你这个地址不可达。所以出口设备必须把私网源地址替换成一个合法的公网地址。

NAT有三种常见形式。静态NAT是一个内网地址固定对应一个公网地址，适合服务器对外提供服务的场景；动态NAT是从地址池里临时选一个公网地址给内网设备，但当会话结束就收回，地址数量决定同时能有多少设备上网；PAT是端口地址转换，也是最常用的方式，让很多内网设备共用一个公网IP，靠TCP/UDP源端口来区分不同内网连接。

PAT能复用同一个公网IP的关键，在于转换表记录的是“内网IP:内网端口 → 公网IP:公网端口”的映射关系。比如两台内网主机同时访问一个网站，一个用源端口5000，一个用5001，路由器把它们的源端口改成6000和6001，网站的响应回来时，路由器一看目的端口就知道该转换回哪台主机。

一个典型的配置思路是先用ACL定义哪些内网流量需要做NAT，再在出口接口上关联地址池：

acl number 2000 rule 5 permit source 192.168.1.0 0.0.0.255 nat address-group 1 203.0.113.5 203.0.113.5 interface GigabitEthernet0/0/0 nat outbound 2000 address-group 1

注意这个ACL在这里的作用是匹配“哪些流量要转换”，不是安全过滤，这两个概念千万不要混。

4.2 ACL访问控制列表：先放行还是先拒绝，顺序决定一切

ACL是网络设备做访问控制的条目集合。它最常用来过滤数据包，也常作为NAT匹配流量的筛选工具、QoS分类的标记工具。复习时至少要分清楚标准ACL和扩展ACL：标准ACL只看源IP，规则编号通常2000到2999；扩展ACL可以同时看源IP、目的IP、源端口、目的端口和协议类型，规则编号通常3000到3999。

ACL最反直觉的一点是它的匹配顺序：设备从上往下逐条匹配，只要命中一条就停止，后面的规则不再生效。这意味着两条规则的前后顺序直接决定最终效果。我见过太多次配置里的permit ip any any写在开头，导致后面所有deny规则全部失效。正确习惯是：先写最具体、最严格的规则，再写宽松规则，最后留一条全放行的兜底。

举个例子，要求是禁止192.168.2.0/24访问财务服务器192.168.1.10的HTTP服务，但允许它访问其他任何服务：

acl number 3001 rule 5 deny tcp source 192.168.2.0 0.0.0.255 destination 192.168.1.10 0 destination-port eq 80 rule 10 permit ip

如果只写deny那一条，不写permit ip兜底，ACL末尾默认有一条隐含拒绝，意思是没有匹配到的流量全部丢弃，那办公网到所有网段的通信都会断。这条隐含拒绝是网络安全里双刃剑式的设计，保护了默认安全，但容易让新手踩坑。

4.3 网络安全基础复习：ARP欺骗、DHCP欺骗与端口安全

网络安全在基础课程里通常只会涉猎原理层面，但复习时值得认真对待。网络安全不只是防攻击，更核心的是理解网络协议被滥用的原理，反过来做好防御配置。

ARP协议的作用是把IP地址解析成MAC地址。PC发一个广播ARP请求，全网的人都能看到。正常情况下只有IP对应的设备回单播应答，但如果有人伪造应答，说“192.168.1.1的MAC地址是我”，那么数据就被骗走了，这叫ARP欺骗。防ARP欺骗可以在交换机上配置动态ARP检测，绑定IP与MAC的关系，并对来自错误来源的ARP报文直接丢弃。

DHCP欺骗的思路类似。正常的DHCP流程是DISCOVER、OFFER、REQUEST、ACK四步，谁先回OFFER，客户端可能就认谁。攻击者伪造一个DHCP服务器，给客户端分配错误的网关和DNS，流量就走到了不该走的地方。复习时至少要把DHCP四步交互名字记住，然后理解为什么接入层交换机上要做DHCP Snooping，对不可信端口的DHCP OFFER报文进行拦截。

端口安全是接入层防护的兜底措施。可以限制一个交换机端口最多学习几个MAC地址、超出的设备直接禁用端口。它的配置很简单，但运维价值很大，能有效防止私接设备。复习时把握住一个原则：网络安全的考题很少让人写攻击代码，更多是让你说明某种攻击的原理，以及应该在哪一层、用什么机制去防御。不要背攻击步骤，要背防御思路。

5. 用综合实验串联全部知识：小型企业组网全流程

5.1 实验拓扑与地址规划：先画网络再敲命令

复习到最后一个阶段，一定要做一次综合实验，把所有知识点串起来。我设计过一个很经典的小型企业网络场景：一台路由器接运营商出口，下面一台三层核心交换机，核心交换机下挂两台二层接入交换机。接入交换机一接办公区，接入交换机二接待客区，两个区域用VLAN隔离，一台服务器放在核心交换机旁边，供办公区访问。

地址规划是关键的第一步。我习惯把规划表先写在纸上再动手配置：

网关放在三层核心交换机上，这样VLAN 10和VLAN 20之间的互访直接在核心交换机内部完成，不用绕道路由器。路由器只负责上网，出口做NAT和默认路由。这里有一个隐含知识点：为什么不用路由器做单臂路由？因为三层交换机转发效率远高于路由器，同一个网络内部的跨VLAN流量本来就不需要出公网，三层交换是更合理的选型。

{ewm_content}

拓扑图我建议用手工画一遍再上模拟器。画图的过程，其实就是把“广播域怎么切、路由下一跳是谁、NAT在哪一层做”这些概念在脑子里过一遍的过程。自己画不出拓扑图，说明还有某个环节没想明白，这时候别急着配命令。

5.2 配置流程全记录：按顺序敲命令能少走弯路

配置顺序强烈建议按“自下而上、先内后外”的次序：先接入交换机VLAN，再核心交换机VLAN和网关，再接交换机之间的Trunk，然后配三层互联和路由，最后在路由器上做NAT和ACL，最后测试。顺序反了，排查时会非常痛苦。

接入层交换机上的配置，重点是VLAN划分和上联口放行：

vlan batch 10 20 # 办公区接入端口 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # 访客区接入端口 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 # 上联到核心交换机的Trunk口 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20

核心交换机上，除了同样的VLAN配置，还需要创建VLANIF网关，并开启三层路由：

vlan batch 10 20 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 # 与路由器互联 interface GigabitEthernet0/0/1 ip address 192.168.100.2 255.255.255.252

配置完先用display vlan、display ip interface brief确认VLAN和接口状态，再让PC之间互ping。第一次可能ping不通，不要慌，按“二层通不通、三层通不通、出口通不通”的顺序去查。同VLAN跨交换机不通，大概率是Trunk没放行；不同VLAN不通，大概率是VLANIF网关没配上或者没启用路由；出外网不通，重点查NAT和默认路由。

路由器上的出口配置，核心是默认路由加NAT：

ip route-static 0.0.0.0 0.0.0.0 203.0.113.1 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet0/0/0 ip address 203.0.113.5 255.255.255.0 nat outbound 2000

这里默认路由让路由器知道“去所有未知网段都交给运营商网关”，ACL则匹配内网所有流量到出口做PAT。配置完在PC上ping一个公网地址，通了就说明NAT链路没问题。

5.3 实验结果复盘：抓包看到的才是真正能留在脑子里的

模拟器配完一遍，只能说明命令敲对了；真正想让知识沉淀，一定要打开抓包工具，亲眼看看帧和包长什么样。我在复习时最爱做的一件事，就是在PC上用过滤器抓包，然后触发一次ping。报文序列非常清晰：第一条是ARP请求，广播出去，交换机会把它泛洪到所有端口；服务器回一个单播的ARP应答；之后PC才发包，里面是ICMP请求和ICMP应答。这四个包的顺序，把“先找MAC、再发数据”的过程演示得明明白白。

抓包过滤器用起来很简单，常用的是这三条：

# 只看ARP报文 arp # 只看ICMP报文 icmp # 只看某端口的TCP流 tcp.port == 80

再看一次HTTP请求，你能亲眼看到三次握手：PC发SYN，服务器回SYN+ACK，PC再回ACK。每一包的序号SEQ都是变化的，这就是可靠传输的实现基础。课本上写一百遍“TCP是面向连接的”，都不如你亲眼在抓包列表里看到这三行报文来得直观。

实验过程中我踩过几个典型的坑，这里记录一下。第一次配Trunk没放行VLAN，办公区PC在同一个VLAN里却ping不通，display trunk一看，允许列表只有VLAN 1，改掉之后立即通了。第二次在三层交换机上配好了VLANIF，可PC跨网段依然不通，查了接口状态发现三层接口被误操作，恢复后就好了。第三次做ACL实验，把permit ip any any放在了deny前面，结果规则匹配计数显示deny命中0次，调整顺序后规则才生效。这些坑都很小，但每踩一个，你对原理的理解就深一层。

6. 复习备考中常见问题与排查技巧实录

6.1 症状原因排查方向速查表

复习到最后，知识体系基本成型，剩下的工作就是对照错误场景自查。我把备考期常遇到的问题整理成了一张速查表，每次翻车先查表再动手：

这张表我自己考前看了不下五遍，每次都能从里面找到一两个自己忽略的细节。排查问题的核心方法论就是“分层定位”：先看物理状态，再看二层，再看三层，最后看出口策略，绝对不要一上来就怀疑是路由器坏了。

6.2 面试和答辩高频的五道原理题

整理高频题目的目的不是为了背答案，而是为了培养“用自己的话解释一个原理”的能力。光和标准答案一字不差地说出来，面试官反而会觉得你是背的。

第一题：TCP三次握手为什么不是两次？我的理解是，三次握手的本质是让双方都确认“自己能发、能收，对方也能发、能收”。第一次和第二次只确认了服务器的收发能力，只有第三次客户端发出后，服务器才能确定客户端也收到了自己的应答，不会出现历史连接请求错乱的问题。防止已失效的连接请求突然到达服务器，浪费资源。

第二题：ping的原理是什么？ping用的是ICMP协议，发送端发出一个回显请求报文，目的地收到后回一个回显应答报文。根据响应时间和成功率，判断网络通不通、延迟高不高。如果ping不通，还要用ping 127.0.0.1判断本机协议栈，ping网关判断本地网络，ping远端判断出口链路。

第三题：交换机怎么知道该往哪个端口转发？核心是查MAC地址表。交换机先学习源MAC和入端口的映射，再查询目的MAC所对应的出端口，查到就单播转发，查不到就泛洪。如果目的MAC是广播地址，也会泛洪。

第四题：子网划分到底有什么意义？缩小广播域、节省地址空间、方便管理、提升安全性，这几个点都很重要。展开时最好带上VLSM的例子，说不同部门分配不同大小的网段，能减少地址浪费，也能通过ACL在网段边界做更细粒度的控制。

第五题：HTTP和HTTPS有什么区别？HTTPS是在HTTP基础上加了TLS加密。HTTP传输是明文，中间设备都能看到或篡改内容，HTTPS通过证书验证服务器身份，并用对称加密和非对称加密组合的方式保证数据的机密性和完整性。面试官如果追问非对称加密，至少要能把公钥加密、私钥解密的流程说清楚。

6.3 我复盘时踩过的三次翻车现场

第一次翻车是ACL顺序。我信心满满地配了一条规则，想禁止某网段访问某Web服务器，结果测试发现该网段居然能正常访问，其他网段反而受到影响。我一度以为是设备出了故障，后来认真看了ACL命中计数，才发现permit ip any any写在了deny前面，流量全部走了permit，deny规则一票没中。调整规则顺序后立即正常。从那以后我养成了习惯：ACL规则配置前先在纸上把匹配顺序排好，再落到设备上。

第二次翻车是VLAN标签。我给两台交换机都创建了VLAN 10，接入端口也划进去了，但PC之间就是不通。检查了接入端口、IP地址，都没问题。最后在核心交换机上display vlan，发现Trunk口只允许了VLAN 1，VLAN 10的帧根本过不了中继链路。加上放行命令后通信恢复。这件事让我记住了，VLAN配置有四个环节都要检查：接入端口、Trunk允许列表、三层网关、路由表，缺一个都不行。

第三次翻车是三层交换。我在模拟器上给核心交换机配置了VLANIF 10的IP地址，觉得跨VLAN互访应该没问题了，但测试怎么都不通。排查了半天才发现，设备上三层接口因为误配置处于shutdown状态。用undo shutdown恢复后，ping就通了。后来我学会了在配置完成后立刻display ip interface brief，先确认所有三层接口都是up状态再进行测试，省掉大量无谓的排查时间。

复习网络工程原理这件事，我最大的体会是：原理不是用来背的，而是用来解释现象的。如果你能在敲实验命令时说出“这条命令为什么生效”，在ping不通时能按“二层→三层→出口”的次序去查，这门课的核心知识就已经长在你身上了。最后再分享一个小技巧：准备一个空白文档，把每次实验翻车的现象、原因和解决过程记录成自己的速查表，考试前翻一遍你自己的速查表，比翻十遍教材有效得多。