• VLAN與IP規(guī)劃：

• VLAN 10 (行政部): 192.168.10.0/24， 網(wǎng)關(guān) .254

• VLAN 20 (技術(shù)部): 192.168.20.0/24， 網(wǎng)關(guān) .254

• VLAN 30 (服務(wù)器區(qū)): 192.168.30.0/24， 網(wǎng)關(guān) .254

• 交換管理VLAN 99: 192.168.99.0/24

• 互聯(lián)鏈路：Linux服務(wù)器與核心交換機(jī)之間使用192.168.100.0/30網(wǎng)段。

• 模擬互聯(lián)網(wǎng)出口：為L(zhǎng)inux服務(wù)器另一網(wǎng)卡配置一個(gè)公網(wǎng)IP（如100.1.1.2/30），上游路由器為100.1.1.1。

三、 系統(tǒng)集成實(shí)施步驟

階段一：基礎(chǔ)網(wǎng)絡(luò)搭建（交換部分）
1. 在三層交換機(jī)上創(chuàng)建VLAN 10, 20, 30, 99，并為各VLAN SVI接口配置上述規(guī)劃的IP地址作為該網(wǎng)段的網(wǎng)關(guān)。
2. 將連接接入交換機(jī)的端口配置為Trunk模式，允許相關(guān)VLAN通過；連接終端PC的端口配置為Access模式，劃入相應(yīng)VLAN。
3. 在三層交換機(jī)上配置指向Linux服務(wù)器內(nèi)網(wǎng)接口（192.168.100.2）的默認(rèn)路由。
4. 配置交換機(jī)的遠(yuǎn)程管理（SSH）及VLAN間訪問控制列表（ACL）基礎(chǔ)策略。

階段二：Linux服務(wù)器核心服務(wù)配置
1. 網(wǎng)絡(luò)接口與路由：配置多塊網(wǎng)卡IP地址（內(nèi)網(wǎng)、外網(wǎng)），并開啟IP轉(zhuǎn)發(fā)功能（net.ipv4.ip_forward = 1）。使用 ip route 命令配置靜態(tài)路由，確保能到達(dá)所有內(nèi)網(wǎng)網(wǎng)段，默認(rèn)路由指向互聯(lián)網(wǎng)上游網(wǎng)關(guān)（100.1.1.1）。
2. 配置動(dòng)態(tài)路由（可選高級(jí)內(nèi)容）：安裝 frr 軟件包，啟用并配置OSPF協(xié)議，與三層交換機(jī)建立鄰居關(guān)系，實(shí)現(xiàn)路由的自動(dòng)學(xué)習(xí)與冗余。
3. 配置防火墻與NAT：
- 使用 firewalld 或 iptables 配置策略，允許內(nèi)部VLAN之間必要的訪問（如服務(wù)器區(qū)可被訪問），同時(shí)禁止非必要的跨VLAN訪問。

• 配置源NAT（SNAT），將來自內(nèi)網(wǎng)VLAN 10、20、30的流量在出站時(shí)轉(zhuǎn)換為公網(wǎng)IP（100.1.1.2），實(shí)現(xiàn)互聯(lián)網(wǎng)共享接入。

1. 配置DHCP服務(wù)：安裝并配置 dhcpd，為VLAN 10和VLAN 20動(dòng)態(tài)分配IP地址、網(wǎng)關(guān)、DNS等信息，減輕網(wǎng)絡(luò)管理負(fù)擔(dān)。VLAN 30（服務(wù)器區(qū)）采用靜態(tài)IP綁定。
2. 配置DNS緩存服務(wù)：安裝并配置 bind，作為內(nèi)部DNS緩存服務(wù)器，轉(zhuǎn)發(fā)外部域名查詢至公共DNS（如114.114.114.114），提升解析效率并記錄日志。

階段三：系統(tǒng)聯(lián)調(diào)與測(cè)試
1. 連通性測(cè)試：
- 從VLAN 10和VLAN 20的PC，通過DHCP獲取地址，并測(cè)試到各自網(wǎng)關(guān)、到其他VLAN的服務(wù)器（如VLAN 30的Web服務(wù)器）、到Linux服務(wù)器本身的連通性（ping）。

• 在Linux服務(wù)器上測(cè)試到所有內(nèi)網(wǎng)網(wǎng)段及互聯(lián)網(wǎng)（如 ping 8.8.8.8）的連通性。

1. 服務(wù)功能測(cè)試：

• 測(cè)試DHCP分配是否正確。

• 測(cè)試內(nèi)部DNS解析是否正常（nslookup www.baidu.com）。

• 測(cè)試NAT功能：從內(nèi)網(wǎng)PC訪問外部網(wǎng)站，并在Linux服務(wù)器上通過 conntrack 或 firewall-cmd 查看NAT會(huì)話。

1. 安全策略驗(yàn)證：

• 驗(yàn)證ACL和防火墻規(guī)則是否生效，例如，測(cè)試技術(shù)部（VLAN 20）是否無法訪問行政部（VLAN 10）的特定服務(wù)端口。

• 嘗試從外部模擬攻擊，驗(yàn)證Linux防火墻是否丟棄非法入站連接。

四、 關(guān)鍵問題與解決方案

1. 問題：VLAN間無法通信。
解決：檢查三層交換機(jī)SVI接口狀態(tài)是否為UP，路由表中是否存在直連路由；檢查L(zhǎng)inux服務(wù)器是否開啟IP轉(zhuǎn)發(fā)，并確認(rèn)其路由表包含所有內(nèi)網(wǎng)網(wǎng)段的路由（指向三層交換機(jī)的SVI IP）。

2. 問題：內(nèi)網(wǎng)PC可以訪問內(nèi)網(wǎng)資源，但無法上網(wǎng)。
解決：逐步排查。首先在Linux服務(wù)器上測(cè)試是否能上網(wǎng)，若不能，檢查外網(wǎng)卡配置和默認(rèn)路由。若能，則檢查NAT規(guī)則是否正確配置并生效（sudo iptables -t nat -L -n -v 或 firewall-cmd --list-all）。最后檢查是否有防火墻規(guī)則阻斷了轉(zhuǎn)發(fā)流量。

3. 問題：DHCP服務(wù)不分配地址。
解決：檢查 dhcpd 服務(wù)狀態(tài)與日志（journalctl -u dhcpd）；確認(rèn)DHCP配置文件中聲明的子網(wǎng)與接口所在網(wǎng)絡(luò)匹配；檢查L(zhǎng)inux服務(wù)器連接交換機(jī)的端口是否在正確的VLAN中，并確保該VLAN的廣播報(bào)文能夠到達(dá)服務(wù)器。

五、 實(shí)訓(xùn)與心得

本次路由與交換網(wǎng)絡(luò)系統(tǒng)集成Linux實(shí)訓(xùn)，成功地將離散的網(wǎng)絡(luò)知識(shí)模塊整合為一個(gè)有機(jī)運(yùn)行的實(shí)體系統(tǒng)。通過動(dòng)手實(shí)踐，我深刻體會(huì)到：

1. 系統(tǒng)集成的系統(tǒng)性：網(wǎng)絡(luò)建設(shè)是一個(gè)系統(tǒng)工程，從底層的物理連接、VLAN劃分，到三層的路由規(guī)劃，再到應(yīng)用層的服務(wù)部署和安全策略，環(huán)環(huán)相扣，設(shè)計(jì)階段的周密規(guī)劃是后期順利實(shí)施的關(guān)鍵。
2. Linux的強(qiáng)大與靈活：Linux系統(tǒng)憑借其強(qiáng)大的命令行工具和開源軟件生態(tài)，完全可以勝任企業(yè)級(jí)網(wǎng)絡(luò)核心節(jié)點(diǎn)的角色，實(shí)現(xiàn)路由、防火墻、NAT及各種網(wǎng)絡(luò)服務(wù)的高度集成和靈活控制。
3. 理論與實(shí)踐的結(jié)合：課本上的路由協(xié)議、ACL、NAT等概念，在真實(shí)的配置和排錯(cuò)過程中變得無比具體和深刻。例如，一次排錯(cuò)過程就是對(duì)數(shù)據(jù)包生命周期（從源到目的，經(jīng)過的每一跳如何處理）的完整復(fù)盤。
4. 故障排查能力的重要性：集成過程中遇到的問題是寶貴的財(cái)富。熟練運(yùn)用 ping, traceroute, ip addr/route, tcpdump, netstat, ss, 以及各類服務(wù)的日志工具，是定位和解決問題的核心能力。

本次實(shí)訓(xùn)不僅鞏固和深化了路由交換與Linux網(wǎng)絡(luò)服務(wù)的專業(yè)知識(shí)，更極大地提升了我的工程實(shí)踐能力和解決復(fù)雜問題的綜合素養(yǎng)，為未來從事網(wǎng)絡(luò)系統(tǒng)集成、運(yùn)維等相關(guān)工作打下了堅(jiān)實(shí)的基礎(chǔ)。