在中型企业中，常常有几台核心交换机与若干接入交换机，但也需要实现部门隔离、服务器安全访问、内网互通与动态路由。本文将以 华为交换机 为例，详细讲解从 VLAN 划分到 OSPF 动态路由的完整配置过程。
🧭一、网络拓扑概述
本次实验环境为：
三台核心交换机（Core1 / Core2 / Core3）
六台二层接入交换机（Access1~6）
多个业务部门（财务部、研发部、市场部等）
各 VLAN 对应不同网段
核心之间通过三层链路互联并运行 OSPF
📋网络设计目标
⚙️ 二、二层交换机配置
所有接入交换机仅进行 VLAN 划分与端口类型配置。
# 以 Access1 为例
# 将接入口划入 VLAN10
interface Ethernet 0/0/1
port link-type access
port default vlan 10
quit
interface Ethernet 0/0/2
port link-type access
port default vlan 10
quit
# 若有更多端口可批量配置
interface range Ethernet 0/0/3 to Ethernet 0/0/22
port link-type access
port default vlan 10
quit
上联核心交换机的接口则配置为 Trunk：
interface GigabitEthernet 0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20
quit
🧩 三、核心交换机 VLAN 与 IP 配置
每个核心交换机负责部分 VLAN 的网关与 DHCP 服务
# VLAN10：财务部
vlan 10
interface Vlanif 10
ip address 10.1.1.1 255.255.255.0
quit
# VLAN20：市场部
vlan 20
interface Vlanif 20
ip address 10.2.1.1 255.255.255.0
quit
📡 四、DHCP 自动分配地址
在核心交换机上配置 DHCP 地址池，实现自动分配。
# VLAN10 地址池
ip pool vlan10
network 10.1.1.0 mask 255.255.255.0
gateway-list 10.1.1.1
dns-list 8.8.8.8 114.114.114.114
lease day 0 hour 8 minute 0
quit
# VLAN20 地址池
ip pool vlan20
network 10.2.1.0 mask 255.255.255.0
gateway-list 10.2.1.1
dns-list 8.8.8.8 114.114.114.114
lease day 0 hour 8 minute 0
quit
# 启用接口 DHCP 功能
interface Vlanif 10
dhcp select global
quit
interface Vlanif 20
dhcp select global
quit
✅ 验证命令：
display ip pool
🔒 五、ACL 实现 VLAN 间访问隔离
根据安全需求，完全禁止 VLAN10 与 VLAN20 之间通信。
acl 3000
rule 5 deny ip source 10.1.1.0 0.0.0.255 destination 10.2.1.0 0.0.0.255
rule 10 deny ip source 10.2.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
rule 20 permit ip
quit
# 将 ACL 绑定到三层接口
interface Vlanif 10
traffic-filter inbound acl 3000
quit
interface Vlanif 20
traffic-filter inbound acl 3000
quit
✅ 验证：
display acl 3000
🌐 六、核心交换机间 OSPF 动态路由
三台核心交换机互联（假设互联网段为 10.100.1.0/24），每台配置如下：
1️⃣ 配置三层互联口
interface GigabitEthernet 0/0/1
undo portswitch
ip address 10.100.1.1 255.255.255.0
quit
2️⃣ 建立 Loopback 接口作为 Router ID
interface LoopBack0
ip address 1.1.1.1 255.255.255.255
quit
其他两台核心交换机使用 2.2.2.2 和 3.3.3.3。
3️⃣ 启用 OSPF 并宣告网段
ospf 1 router-id 1.1.1.1
area 0
network 10.100.1.0 0.0.0.255
network 10.1.1.0 0.0.0.255
network 10.2.1.0 0.0.0.255
quit
✅ 验证命令：
display ospf peer
display ospf routing
display ip routing-table
示例输出：
OSPF Process 1 with Router ID 1.1.1.1
Neighbors
Area 0.0.0.0 interface 10.100.1.2(Vlanif100)'s neighbors
Router ID: 2.2.2.2 State: Full
Router ID: 3.3.3.3 State: Full
🧱 七、最终验证
🚀 八、总结与心得
通过本次配置，实现了一个完整的中型企业网络架构：
✅ 各部门 VLAN 隔离
✅ 核心三层互通与动态路由
✅ DHCP 自动分配
✅ ACL 精细化安全控制
✅ 网络结构清晰、可扩展性强
在后期扩展中，只需在核心交换机增加 VLAN 接口并在 OSPF 中宣告新网段，即可快速扩展新部门或服务器区域。
疑问点：【OSPF】不是大型网络/企业才会用到的吗?
OSPF（开放式最短路径优先协议）确实是中大型网络中最常用的动态路由协议之一。
但同时，也确实越来越多的「中小企业」或「多核心结构写字楼」网络会用到它，原因并不是“追求高大上”，而是实用与可维护性。我们可以从实际角度来拆解说明。
🧭 一、OSPF 是为「多核心、多网段」设计的，但并不限于大型企业
OSPF 属于 IGP（内部网关协议）的一种，它的初衷确实是为大型企业或运营商网络而设计，解决以下问题：
👉 所以在“只有一台核心”的小公司网络中，确实用静态路由即可。但当你出现 三台核心设备互联、多个 VLAN、不同部门隔离 时 ——
静态路由就非常难维护。这时，OSPF 的优势完全显现出来。
🏢 二、三台核心 ≠ 大型企业，但确实属于「中型写字楼级网络」
可以简单分级来看：
所以：不是因为“企业大”，而是因为“网络逻辑多、链路多、可扩展性要求高”。
⚙️ 三、为什么 OSPF 是最合适的选择（而不是 RIP 或静态）
🧩 四、实际例子：如果不用 OSPF，会怎样？
假设你有 3 台核心设备：
Core1、Core2、Core3
互联网段是 10.100.1.0/24。
如果不用 OSPF，你得这样配置静态路由👇
# Core1 上
ip route-static 10.2.1.0 255.255.255.0 10.100.1.2
ip route-static 10.3.1.0 255.255.255.0 10.100.1.3
# Core2 上
ip route-static 10.1.1.0 255.255.255.0 10.100.1.1
ip route-static 10.3.1.0 255.255.255.0 10.100.1.3
# Core3 上
ip route-static 10.1.1.0 255.255.255.0 10.100.1.1
ip route-static 10.2.1.0 255.255.255.0 10.100.1.2
👉 每增加一个 VLAN 或部门，你就得重新改所有核心交换机的静态路由。如果有冗余链路，一旦某条光纤断了，还得手动切换下一跳。
但使用 OSPF，只需在各设备上宣告网络：
ospf 1
area 0
network 10.100.1.0 0.0.0.255
network 10.1.1.0 0.0.0.255
network 10.2.1.0 0.0.0.255
🛠️ 五、从“中小型”升级到“可成长型网络”的关键点
目前我这套架构具备了企业网络的“生长性”：
VLAN 可按需扩展；
DHCP 可分区分发；
OSPF 可动态路由；
ACL 可灵活隔离；
二层交换机接入简洁；
上层三层核心具备冗余。
这意味着：
即便以后公司再增加几层办公区、或者多一个服务器机房，都只需要——
增加一个 VLAN 接口 + 宣告 OSPF 网段，全网即可自动感知。
✅ 六、总结一句话
🧠 OSPF 并不是“大型企业专属”的协议，而是“多核心、多网段网络”的标准解决方案。
只要你的网络出现：
两台以上三层设备；
多个 VLAN 或子网；
存在链路冗余；
需要网络扩展；
就完全值得上 OSPF。
✍️ 九、附加优化建议
可在 OSPF 中配置认证（提高安全性）
可将 DHCP 集中在单台核心设备统一管理
建议开启 NTP 与 SNMP 以便监控与时钟同步
可搭配 Zabbix/ELK 平台实现网络监控与日志追踪（本人已做）
附录：为什么中小型企业也应该使用 OSPF
很多人提到 OSPF（开放最短路径优先协议）时，第一反应往往是“那不是大型企业或者运营商才会用的吗？”——事实上，这个观念在今天已经过时了。随着企业信息化的深入，即使是中小型公司，也越来越需要使用像 OSPF 这样的动态路由协议来保证网络的稳定、可扩展与可维护性。
1. 三台核心，就不再是“小网络”
一旦你的网络里出现了三台核心交换机、多个接入层、分部门 VLAN、服务器区、防火墙与外网出口，这就已经不是一个“简单的平面网络”了。此时如果还靠静态路由去维持网络互通，不仅配置复杂、风险高，而且排障效率会急剧下降。
举个例子：当你在核心 1 改了一个接口 IP，核心 2、核心 3 的静态路由都得手动改。如果你有十几条互联网段，这种人工维护几乎是灾难性的。而 OSPF 能自动发现邻居、自动学习路由，接口状态变化时立即收敛，大大降低人为错误。
2. 网络变化不再“牵一发而动全身”
中小企业的发展往往很快——部门扩展、新增机房、引入服务器集群都可能让网络拓扑变化频繁。
如果仍然采用静态路由，每次新增 VLAN、增加链路、或调整 IP 规划时，都需要在多个设备上同步修改配置。
而使用 OSPF，只需在新增设备上宣告相应网段，其余设备会自动更新路由表。对管理员而言，这意味着网络的自愈能力和灵活性显著增强。
3. 为未来留好成长空间
很多企业从“几台交换机的小网络”发展到“多层架构的企业级网络”，中间最大的问题之一就是早期设计过于简陋。
使用 OSPF，不仅能为现在的结构提供稳定的互联，更重要的是，它天然支持分区、区域划分、链路负载均衡与冗余设计。
等到公司未来要搭建异地分支、增加防火墙双活或引入 SD-WAN 时，OSPF 依然能继续作为骨干协议存在，而不用推翻重来。
4. 成本几乎为零，但收益巨大
在华为、H3C、锐捷等企业级设备中，OSPF 属于标准功能，不需要额外授权。
也就是说——你已经拥有它了，只差去启用它。
相比起后期频繁维护、远程登录修改静态路由的成本，OSPF 带来的自动化和可靠性几乎是“白捡”的收益。
✅ 结论：
对网络而言，OSPF 不再是“大型企业的奢侈品”，而是中小企业迈向专业化、标准化网络管理的起点。
让你的网络具备自学习、自恢复、自适应的能力，才是 IT 基础设施该有的样子。
.jpg)