1. 这一篇把网络工程师的“地基”彻底夯实做网络工程师这行有个很实际的感受很多故障排查到最后拼的不是配置命令熟不熟而是对基础协议和底层机制的理解深不深。物理层、数据链路层再加上VRP系统的基本操作这三块内容看似“简单”却是整个网络技术体系的承重墙。墙如果是有裂缝的砖砌的上面盖再漂亮的业务系统早晚要塌。这系列“网工基础”的第三篇正好卡在一个承上启下的关键节点——前两篇如果搞清了网络是什么、为什么需要分层那这一篇就要动手接触真正的介质、帧和命令行。写这篇东西的初衷很纯粹给刚入行或者准备考证的朋友一份能直接照着敲、照着查的资料把那些教材里写得云山雾罩、但实际工作中天天要用的东西用大白话和实操记录捋一遍。这篇博文不打算做成教科书式的逐条背诵而是想聊清楚三件事的底层逻辑物理层到底在传输什么为什么网线水晶头的线序错了就连不通数据链路层凭什么能把一堆电脑组织成一个局域网MAC地址和交换机到底怎么配合华为VRP系统作为最常见的网络设备操作系统入门命令行操作要掌握哪些保命技能另外如果你正在备考HCIA或者同类入门认证这篇里的若干个细节比如冲突域、广播域、MAC表老化都是高频考点。如果是纯自学、没设备练手我也整理了用模拟器搭建实验环境的具体方法。内容有基础也有坑边看边动手是最好的打开方式。2. 物理层比特在介质上的“高速公路”和“交规”2.1 物理层到底在干什么明明看不见摸不着却决定一切的上限很多人学网络上来就背OSI七层模型但问到“物理层具体负责什么”往往只记得一句“传输比特流”。这句话没错但太抽象了。我换个角度解释物理层就是解决“0”和“1”怎么变成电信号、光信号然后经过一段线缆或空间被另一端准确无误地读出来。它不关心这串比特流是什么含义只关心比特能不能过去、过去之后对不对。这里有个工程上的核心矛盾信号在介质里传输必然会有衰减、噪声和干扰。所以物理层真正在做的事情远比“传比特”复杂编码与调制把数字信号变成适合在介质上传送的物理波形。比如曼彻斯特编码用电平跳变的方向来表示“0”和“1”这样接收方可以从信号本身提取时钟不至于收发不同步。接口与介质标准RJ45水晶头长什么样、光纤用哪种接头SC、LC还是FC、线缆最长能拉多少米双绞线100米、多模光纤几百米、单模光纤几十公里这些都是物理层的规矩。收发器与信号再生信号传一段距离会衰减变形中继器Hub就是干这个的把衰减的信号放大整形再发出去。打个比方物理层就像一条高速公路规定了车道宽度带宽、限速速率、路面材质光纤还是铜缆以及红绿灯规则编码方式。物流公司上层协议只需要把货物打包好交给司机至于这条路今天修不修、有没有堵车那是物理层的事。2.2 网线和光缆怎么选双绞线线序、光纤类型与常见误区物理层最常打交道的介质就是双绞线和光纤这里面的坑我踩过不少。先说说双绞线。家用和办公环境最常见的超五类、六类网线内部是4对相互缠绕的铜线。为什么要绞在一起因为两根平行线靠近时会产生电磁干扰而绞合可以让两根线上的噪声信号互相抵消这叫“差分信号”原理。线序标准有两种T568A白绿、绿、白橙、蓝、白蓝、橙、白棕、棕T568B白橙、橙、白绿、蓝、白蓝、绿、白棕、棕制作直通线连接不同类型设备两端都用同一种标准一般用568B制作交叉线连接同类型设备一端568A一端568B。现在的交换机网卡基本都支持自动翻转交叉线用得少了但考试和排查问题偶尔还是会涉及。再说光纤。单模光纤芯径大概9微米传输距离远适合长距离骨干多模光纤芯径50或62.5微米传输距离短适合楼宇内或园区汇聚。判断方法很简单看光模块和尾纤的颜色通常也能区分黄色护套多为单模橙色或水蓝色护套多为多模。但最有把握的方式是看设备光模块上的标注别凭外观猜我见过有人把多模尾纤插到单模模块上光衰大到业务直接中断。实操心得手边没有测线仪时水晶头压好后先别急着打标拿个万用表量一下对应针脚的通断至少能排除压线不到位这种低级错误。另外剥线长度别超过1.5厘米外皮一定要压进水晶头的卡扣里不然用久了线芯容易松动。2.3 冲突域和CSMA/CD为什么Hub是古董交换机才是主流物理层有个概念绕不开冲突域。当时用集线器Hub组网时所有连接在Hub上的设备共享同一条总线任何两台设备同时发数据就会“撞车”。为了解决这个问题以太网设计了CSMA/CD机制先听后发、边发边听、冲突停发、随机重发。理解CSMA/CD有个生活化的类比一个会议室里很多人想发言大家都先安静听一下有没有人说话没人说就开口如果同时开口撞了就都停下来各自等一个随机时间再试。这个机制在老式共享式以太网里很关键但效率很低因为网络里只能有一个设备发数据其他人干等。交换机的出现从根上解决了这个痛点。交换机每个端口是一个独立的冲突域设备各说各的互不干扰从此CSMA/CD基本退居幕后。这也是为什么现在组网都用交换机不用Hub的根本原因。学习时知道这段演进历史很有用能帮助理解为什么现代网络要强调“交换”而不是“共享”。3. 数据链路层局域网的“交通警察”和“社区规则”3.1 MAC地址与以太网帧交换机到底在看什么跨过物理层的比特洪流数据链路层的任务是把比特组织成“帧”并且保证帧能在同一条链路上可靠送达。这一层最重要的两个词MAC地址和以太网帧格式。MAC地址是烧在网卡里的全球唯一标识48位二进制用十六进制表示成六组比如00:1A:2B:3C:4D:5E。前24位是厂商代码OUI后24位是序列号。MAC地址有单播、组播和广播三种类型全F的地址FF:FF:FF:FF:FF:FF就是广播地址发给它意味着局域网内所有设备都得收。以太网帧的典型结构分几个字段目的MAC6字节、源MAC6字节、类型2字节标识上层协议是IP还是ARP等、数据46到1500字节和帧校验序列FCS4字节。这里有两个数值得背住最小帧长64字节最大1518字节。小于64字节的帧叫 runt大于1518的叫 giant交换机通常会直接丢弃。交换机转发数据时靠的就是一张MAC地址表。这张表记录了“哪个MAC地址从哪个端口学习来的”。收到一个帧后交换机这样处理查目的MAC如果表里有就只从对应端口转发单播转发如果表里没有就向除接收端口外的所有端口泛洪未知单播泛洪如果目的MAC是广播地址同样泛洪这个机制让局域网变成了一个“各找各门”的社区而不是早年Hub那种“一人说话全村听见”的喇叭。3.2 交换机的基础工作原理MAC表学习、VLAN逻辑隔离交换机开机之后MAC表是空的。它每收到一个帧就会把源MAC和入端口对应关系记录下来这就是MAC地址学习。同时它还对每条表项设置老化时间默认300秒保证设备搬走后表项自动清除避免错转。但交换机不加节制地泛洪有个问题广播域太大。比如公司所有部门都在一个广播域里一台电脑发个ARP广播全楼人都得跟着处理既浪费资源又有安全隐患。这就要用到VLAN虚拟局域网。VLAN的核心价值就是在物理上是一台交换机逻辑上切割成多个独立的二层广播域。VLAN的划分通常在交换机接口视图下操作。给接口设定好PVID默认VLAN后接口收到的没有打标签的数据帧就被打上这个VLAN的标签在交换机内部只能转发到同一个VLAN的端口上。不同VLAN之间的通信要借助三层设备转发这就把二层问题和三层路由串联起来了。讲句实在话VLAN是数据链路层实操里面的“正餐”必须吃透。理解VLAN的关键不是背命令而是搞明白Access口和Trunk口的区别Access口连接终端设备电脑、打印机、服务器一般只允许一个VLAN通过收到不带标签的帧打上PVID发出去时剥掉标签。Trunk口连接交换机之间或交换机与路由器默认允许所有VLAN通过通过带802.1Q标签的帧来区分VLAN。实操建议多画拓扑图把“带标签帧”从接入交换机一路传到汇聚交换机的路径画明白命令不会忘。3.3 ARP协议二层和三层之间的“翻译官”既然聊到数据链路层ARP协议绕不开。网络层用的是IP地址数据链路层用的是MAC地址一台电脑要发IP包给另一台电脑必须先知道对方或下一跳网关的MAC地址。ARP就是干这个翻译工作的。具体过程源主机在局域网内广播一个ARP请求“谁的IP是192.168.1.1把你的MAC告诉我”。目标主机收到后单播回复自己的MAC。发完请求后源主机会把映射关系缓存起来ARP缓存避免每次都广播。而一个典型的安全风险ARP欺骗正是利用了这种信任机制——攻击者回复一个错误的MAC地址把流量引到自己的机器上。学习时多留个心眼后面学网络安全会反复碰到。实操上每次改完网络配置如果发现ping不通第一件事往往是清ARP缓存或查看ARP表。Windows下用arp -d清空、arp -a查看华为设备上对应的是reset arp all和display arp。4. VRP系统实操从命令行登录到设备管理4.1 认识VRP华为网络设备的统一“操作系统”VRPVersatile Routing Platform是华为数通设备的通用操作系统平台。和Windows、Linux一样VRP有文件系统、有用户权限管理、有进程和接口管理只不过它没有图形界面全部通过命令行交互。不同版本VRP的界面风格略有差异但核心思想一脉相承。学习VRP的路径我推荐“三层跳进”第一层搞定登录方式Console口、Telnet、SSH第二层搞定视图体系和基本查询命令第三层搞定常用配置和保存机制不夸张地说只要把这三层弄扎实后面学路由协议、交换技术命令再复杂也只是在这个框架上加量。4.2 视图体系与基础命令用户视图、系统视图、接口视图都是什么刚接触命令行最懵的往往是同一个设备怎么有时候输入的命令无效有时候又能配置原因是VRP把命令分到了不同视图。视图就是一个“权限上下文”不同视图下可执行的命令不一样。常见视图分为用户视图登录后默认所在用尖括号表示比如Huawei。只能看不能配能执行基础查询命令如display version、ping。系统视图用方括号表示比如[Huawei]。从这里开始可以修改全局配置进入方式是在用户视图输入system-view。接口视图配置某个具体接口比如GigabitEthernet0/0/1参数的地方用方括号加接口名表示比如[Huawei-GigabitEthernet0/0/1]。协议视图 / 其他视图进入某个具体协议如OSPF、VLAN或功能模块后的上下文可按需配置。视图切换靠一组命令来回跳system-view进系统视图interface GigabitEthernet0/0/1进接口视图quit退回上一级return直接从任何视图跳回用户视图。这组操作必须形成肌肉记忆。4.3 模拟器环境搭建没有真机也能练熟命令不少初学者卡在“没设备练手”上。其实完全可以用官方模拟器比如eNSP具体版本以官方渠道为准在电脑上跑虚拟路由器、交换机和终端做实验效果和真机非常接近。模拟器安装和使用的几个经验设备启动后如果出现命令行敲不出字先检查VirtualBox等底层虚拟化组件是否正常这是最常见的翻车点。刚拖出设备时必须等指示灯从红色变成绿色再操作否则系统还没初始化完敲命令容易无响应。拓扑连线时最好给每个接口做标注避免多条链路后自己都认不清哪根对哪根。打开设备后第一件事先system-view再把设备名改成有意义的比如sysname SW-Core-01从小养成好习惯。模拟器的价值不只是敲命令还能做抓包、做排障演练。很多复杂网络故障排查的练习我在模拟器上反复做过比如接口shutdown后STP重新收敛的现象模拟上很直观。4.4 配置管理六大保命命令改完配置一定要“保存”VRP里所有配置默认只存在运行配置running-config里一重启就全没了。真正要固化到设备里必须保存到配置文件saved-configuration中。这中间的大坑不少新手踩过改了半天配置高高兴兴下班晚上机房断电第二天全部配置归零还想不通为什么。配完必须掌握的保命命令组合system-view sysname SW-1 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit return savesave命令会让你确认是否覆盖当前配置文件输入y即可。有些设备版本会提示输入文件名直接回车用默认名就行。保存后可以用display saved-configuration查看设备下次启动加载的配置是不是自己想要的用display cudisplay current-configuration查看当前生效配置。注意跟网络设备打交道配完必须养成“一改二测三保存”的习惯。改完先验证业务是否正常确认没问题再保存。否则把错配置存进去下次上电反而带着问题启动。4.5 常用排障命令速查ping、tracert、display ip interface brief学完基础配置下一步是学怎么看设备状态、怎么排障。VRP里最常用的几把刷子display version查看设备型号、软件版本、运行时间。开局第一件事跑一下确认硬件和软件版本已知后面排障有底。display ip interface brief查看所有三层接口的IP地址和状态判断接口是up还是down、有没有配地址是排查“通不通”问题的起点。display interface查看指定接口的详细统计信息包括收发光衰、错误包计数、双工状态定位物理层和链路层问题靠它。ping最常用的连通性测试工具注意华为设备的ping默认连续打5个包加-c可以改次数。tracert查看数据包到达目的地的每一跳路径定位是“哪一段路由断了”。用这些命令的排查思路可以总结成一条线先看物理层接口up没up→再看链路层有没有错包→再看网络层IP通不通→再用tracert看路径。不要一上来就怀疑路由协议很多问题其实出在最基础的两层。经验提醒拿到一台设备先display clock看时间再display version看版本。如果设备时间不对证书、日志、调试信息全乱套后续安全审计和排障都会受影响。看似是小事实际是大隐患。5. 常见故障排查与避坑指南5.1 现象一接口显示up但ping不通这是入门阶段最煎熬的问题之一。接口是up的VLAN配了、IP也配了但是对端就是ping不通。排查步骤我建议按以下顺序在交换机上display ip interface brief确认两端接口状态都是up且都有IP。display vlan看端口划在哪个VLAN两端是不是同一个VLAN或VLAN间路由是否可用。检查物理链路是否真的能通display interface GigabitEthernet0/0/1看有没有大量CRC错误包或input errors。有错包优先怀疑水晶头、网线或光模块。若光模块光衰过大也会出现up但丢包严重的情况。ping时注意ping的是网关、直连接口还是跨设备的远端地址一步一步缩小范围。我之前遇到过一台设备接口状态是up但display interface里面Output方向疯狂报错查了半天发现是对端光模块收发光功率超标信号太强导致接收误码。所以不要只看up要看误码率和收发功率。5.2 现象二两台电脑互相能通但都上不了外网这种情况多半出在网关或路由环节而不是物理链路。按这个顺序查先确认两台电脑的IP地址、子网掩码、网关是不是都配置正确。网关地址一定得在同一个子网里且网关设备本身有路由能出去。在交换机上看看网关所在VLAN接口的ARP表能不能学到网关MAC。用display ip routing-table查看网关设备上有没有默认路由下一跳指向哪里。如果路由器WAN口是PPPoE拨号看会话还在不在有些光猫拨号会莫名掉线。典型情况是有人把网关IP地址写错或写成别的VLAN地址看起来是一个网段实际数据包根本发不到网关手里。这种低级错误排查时冷静看一遍IP配置就能发现但人在着急时往往跳过了最简单的一步。5.3 现象三配了VLAN之后部分设备突然不通新划VLAN后局部不通最常见的原因有这几个Access口PVID没设置或被后来配置覆盖导致终端发来的帧被分到错误VLAN。Trunk口没允许这个VLAN通过port trunk allow-pass vlan漏了。VLAN间路由缺失终端网关没指到三层设备上。思科和华为设备的Trunk默认VLAN行为有差异跨厂商对接出问题时先查这个。另外注意一件事华为交换机上创建VLAN后如果要把VLAN配置下发到接口port default vlan是用在Access口的port trunk pvid vlan是用在Trunk口的。这两个命令长得像、名字也像但作用完全不同出问题时先确认用的是不是对应的命令。5.4 实操室体验一个模拟环境下的真实排障记录分享一个我在模拟器上实际做过的故障演练拓扑是一个三层交换机下挂两台终端然后接到一台路由器上出口。我故意把三层交换机上接路由器的接口配置成了Access口且PVID设成VLAN 1而路由器那边是Trunk口结果终端之间能互通但所有跨三层访问全部失败。查询过程终端1去ping网关能通说明二层没问题。ping对端VLAN接口不通display ip interface brief看接口都是up。查路由表没有缺省路由。最后看接口状态发现PVID不匹配导致收到的标签帧被交换机剥掉或丢弃改掉PVID后一切恢复正常。这个案例想说明的是排障不是靠运气而是靠分层排查把问题范围一步步缩小。模拟器上练熟了真机上就不会手忙脚乱。6. 总结一下我平时上手网络设备时的几个习惯说真的技术文档到处都有命令手册翻翻就有但这个行业最值钱的反而是那些不起眼的“小习惯”。整理几个我工作里一直沿用的经验对新入行的朋友应该有点用第一永远先做基础检查。很多疑难杂症最后发现是网线没插紧、光模块脏了、接口被人shutdown了。不要一上来就抓包、开协议调试浪费的时间够重新排查三遍。第二改配置之前一定先save一份当前配置备份或者随手记下关键改动。出了事最怕回不到原来的状态。用文本保存配置是最朴素的版本控制别嫌麻烦。第三学着把问题“讲给别人听”。解释排查过程时经常会发现自己漏掉了某个环节。这是训练网络思维最有效的方法之一尤其适合准备面试和技术答辩的朋友。第四手里的模拟器别删。平时想养实验环境、测试新学协议模拟器比真机效率高太多。关注新拓扑、新需求的练手机会这是提升实战能力最快的路径。这篇网工基础的第三篇就到这里。物理层、数据链路层和VRP系统的内容看起来是“开胃菜”但后面不管是学路由交换、无线还是安全方向这些底子早晚都会回来找你。下一部分的内容大概率会接着聊网络层协议和IP编址那也是整个网络世界真正“跑起来”的地方。
