企业官网建设流程全解析

简介：单网卡同时上内外网的路由设置方案，面向同时接入单位内网与互联网、又不想依赖代理或双网卡的用户，通过修改路由表实现单物理网卡双IP访问。资源为一份PDF教程，共1个文件，大小约258KB，内容围绕双IP绑定、网关配置与批处理路由规则展开。教程给出完整操作流程：先为网卡绑定内网（如10.85.11.207）与外网（如192.168.10.135）两个IP，再通过route命令删除默认路由、分别添加指向外网与内网网段的转发规则，解决了传统代理逐程序配置繁琐、部分程序不支持代理的痛点。配套批处理脚本示例可直接参考，还包含连通性ping验证方法与常见掩码范围调整说明，适合网络管理员、机房运维人员及有内网外网并发需求的办公用户，已有94人学习。

1. 单网卡同时上内外网：两个网关一个出口，路由表里分道走

单网卡同时上内外网，听起来像玄学，其实核心就是几条route命令的事。很多学校、单位的办公电脑桌面只有一根网线，上内网时要把 IP 改成 10.85.11.x，上外网再改回 192.168.10.x，一天来回改七八遍，改到后面连掩码都背下来了。

这套路由设置方案要做的事很简单：给同一块网卡绑两个 IP，再用批处理把路由表分开指路——内网流量走 10.85.11.1，外网流量走 192.168.10.1。不需要双网卡，不需要代理服务器，也不用来回拔插网线。

适合两类人：一类是内网有业务系统、外网有办公需求的普通用户，另一类是要批量给同事配电脑的运维。这篇笔记会把绑定双 IP、批处理路由、常见坑和验证方法都拆开讲，看完你可以直接照抄配置。

2. 双IP绑定：一个网卡两个身份，网关先空着

先说原理：一块网卡在操作系统层面可以同时持有多个 IP 地址，每个 IP 属于不同网段时，这块网卡就同时具备了两个网段的“身份”。Windows 的 TCP/IP 设置里就提供了这个入口，不需要额外装任何软件。

2.1 高级TCP/IP设置里添加第二个IP

操作链路如下：

1. 按Win + R，输入ncpa.cpl回车，打开网络连接窗口。
2. 右键正在使用的网卡（一般是“以太网”或“本地连接”），点“属性”。
3. 双击“Internet 协议版本 4 (TCP/IPv4)”，点右下角“高级”。
4. 在“IP 设置”标签页的 IP 地址列表里，依次点“添加”，把两个 IP 都填进去。

IP 地址 1：192.168.10.135 子网掩码 1：255.255.255.0 IP 地址 2：10.85.11.207 子网掩码 2：255.255.255.0

外网 IP 放在第一条，内网 IP 放在第二条。Windows 会把列表第一条当作主 IP，某些对 IP 敏感的程序会优先读取主 IP。如果网卡之前是 DHCP 自动获取，高级列表里的“添加”按钮是灰的，要先在 TCP/IPv4 属性里改成“使用下面的 IP 地址”，填一个主 IP 后，再进高级添加第二个。

2.2 网关先空着：两个默认网关会让路由表打架

绑定双 IP 时最容易犯的错，就是在 TCP/IP 设置里把两个网关都填了。你填一个网关，Windows 就会自动生成一条0.0.0.0默认路由；填两个网关，系统会生成两条默认路由，然后按接口跃点数选一条用，另一条基本是死条目。

这时候你根本没法控制内网流量走哪个出口。很多教程让你在这里把网关留空，原因就在这里——先让路由表保持干净，后面由批处理脚本统一指定默认网关，而不是让操作系统随机选。

所以这一步的要求很明确：两个 IP 都只填地址和掩码，默认网关一栏保持空白。如果系统提示“你输入的 IP 地址和子网掩码与默认网关不在同一网段”，说明前面有残留配置，清掉再继续。

2.3 ping网关通过只是入场券，别急着下结论

接好网线后，用命令行验证两个网关的连通性：

ping 192.168.10.1 ping 10.85.11.1

两条命令都通，说明网卡到两个网段的二层链路是通的，交换机端口也放行了对应 VLAN。10.85.11.1 不通的话，多半是交换机这个端口没放行内网 VLAN，不用急着往下配路由。

注意，这一步只能证明物理链路就绪。此时默认网关还没设置，直接 ping 外网域名大概率是不通的，这很正常，不用纠结。真正判断路由配置是否成功，是后面脚本跑完以后的事。

3. 路由设置批处理：先删默认路由再分流，三行命令的背后逻辑

双 IP 绑定完成后，路由表里并没有自动形成“内网走内网网关、外网走外网网关”的规则。Windows 默认只会生成有限几条直连路由，跨网段的流量全靠默认路由转发。所以核心工作是用批处理手工往路由表里写规则。

3.1 批处理代码与逐行参数拆解

下面是完整脚本，我加了注释和回显提示：

@echo off echo ===== 查看当前路由表 ===== route print echo ===== 删除现有默认路由，避免出口冲突 ===== route delete 0.0.0.0 echo ===== 添加外网默认路由，流量走外网网关 ===== route add 0.0.0.0 mask 0.0.0.0 192.168.10.1 echo ===== 添加内网路由，10网段流量走内网网关 ===== route add 10.0.0.0 mask 255.0.0.0 10.85.11.1 echo ===== 路由设置完成 ===== pause

第一句route print是确认当前路由状态，方便对比前后差异。第二句route delete 0.0.0.0是删除所有默认路由。如果双 IP 绑定阶段不小心填过网关，这里能一并清掉。为什么要先删？因为route add 0.0.0.0加的是同一条默认路由，老条目还在的话，新加的条目不一定被系统采用，等于白加。

第三句route add 0.0.0.0 mask 0.0.0.0 192.168.10.1的格式是“目标网络 + 掩码 + 网关”。0.0.0.0 mask 0.0.0.0是通配写法，意思是除了下面专门指定的网段外，其余流量全部发给 192.168.10.1，也就是外网出口。

第四句route add 10.0.0.0 mask 255.0.0.0 10.85.11.1专门为内网网段指路。10.0.0.0 mask 255.0.0.0覆盖整个10.x.x.x地址段，凡目标是 10 开头的 IP，都交给内网网关 10.85.11.1。路由选路按最长前缀匹配，这条规则比默认路由更具体，所以内网流量不会走到外网去。

3.2 按实际网段改写脚本：内网不一定是10段

上面的脚本参数不是死写的。如果内网是172.16.20.30、网关是172.16.20.1，对应命令要改成：

route add 172.16.0.0 mask 255.255.0.0 172.16.20.1

这里掩码255.255.0.0对应172.16.0.0/16，覆盖172.16.x.x整个 B 段。如果内网只有一小段，比如192.168.200.0/24，则写成：

route add 192.168.200.0 mask 255.255.255.0 192.168.200.1

外网网关不确定时，先运行ipconfig，看当前网卡上的默认网关是哪个，route add 0.0.0.0 mask 0.0.0.0后面就填那个地址。掩码和目的网段必须一一对应，否则会出现“路由加进去了但不生效”的情况。

3.3 管理员权限跑bat，否则route命令会静默失败

route命令修改路由表属于系统级操作，Windows 的 UAC 默认会拦截。双击运行 bat 时，如果没提权，route delete和route add都会报“请求的操作需要提升”，而且窗口一闪而过，很多时候你根本来不及看。

所以 bat 文件必须右键选择“以管理员身份运行”。嫌每次右键麻烦，可以给 bat 创建快捷方式，点快捷方式属性 → 高级 → 勾选“用管理员身份运行”，以后双击快捷方式就行。不建议在 bat 里写runas /user:administrator这类提权语句，密码明文暴露在脚本里，有安全风险。

4. 避坑与排查：路由设置里最常见的五个翻车点

路由设置本身不复杂，但越简单的东西越容易在细节上翻车。这里按“现象 → 原因 → 解决”的顺序记录五个高频问题，都是我实际帮同事配置时踩过的。

4.1 内网掩码范围太窄：255.255.255.0只放行了一个子网

现象：批处理跑完，外网正常，ping 10.85.11.5能通，但访问同属内网的另一台服务器10.85.12.20就是不通。

原因：脚本里写的是route add 10.0.0.0 mask 255.255.255.0 10.85.11.1。10.0.0.0 mask 255.255.255.0只匹配10.0.0.0到10.0.0.255这个子网，10.85.11.x、10.85.12.x 全都不在匹配范围内。这些地址会按默认路由丢给外网网关，外网网关没有回内网的路由，所以表现为“部分内网通，部分内网不通”。

解决：掩码改成255.0.0.0，对应10.0.0.0/8，覆盖整个 10 段。这也是我见过最多人踩的坑，说句血泪经验：内网路由的掩码宁大勿小，范围写大了最多是多走一点路由匹配时间，写小了直接访问不了目标。

4.2 外网网关ping通了网页却打不开：先查默认路由和DNS

现象：脚本执行完，ping 192.168.10.1通，但浏览器访问外网页面一直转圈超时。

原因：这类现象十有八九是默认路由被删了但没加回来。route delete 0.0.0.0执行成功后，如果后面的route add 0.0.0.0因为权限或网关写错而失败，路由表里就只剩内网那条规则，所有非内网流量没有出口。另一个常见原因是 DNS 配置不对，ping 网关只能验证链路，验证不了域名解析。

解决：先跑route print，看路由表里有没有0.0.0.0开头的默认路由条目。没有就重新以管理员身份执行完整脚本。默认路由在但网页还是打不开，就ping 223.5.5.5测试公网 IP 连通性，通了再去 TCP/IP 设置里补 DNS 服务器。

4.3 重启后路由规则掉光：临时路由与永久路由的区别

现象：配置完当时内网外网都正常，电脑重启后内网又访问不了，外网反而正常。

原因：不带-p参数的route add添加的是临时路由，存在于内存里的路由表，重启后自动清空。Windows 只有带-p（persistent，持久化）参数的路由才会写入注册表，重启后仍然保留。

解决：要么每次开机手动运行一次 bat，要么把脚本放进启动目录（下一章会讲），要么把关键路由改成持久路由，例如：

route add 10.0.0.0 mask 255.0.0.0 10.85.11.1 -p

持久路由不是越多越好，网络环境变了要记得先route delete清理旧条目，不然新旧路由混在一起更难排查。

4.4 bat里的中文乱码：编码问题比路由还误事

现象：bat 文件双击运行，中文提示变成一串乱码，命令本身勉强能跑，但看着非常难受，容易把参数抄错。

原因：Windows 自带的记事本默认按 ANSI（GBK）保存文本，但很多人会用 VS Code 或其它编辑器保存成 UTF-8。cmd 解释器默认按 ANSI 解析 bat 文件，UTF-8 的中文编码就对不上了。

解决：用记事本另存为，编码选择“ANSI 编码”再保存。或者干脆把 bat 里的中文 echo 提示全部写成英文，一劳永逸。批处理里注释也尽量用英文，避免同样的问题。

4.5 改挂后怎么紧急恢复：把默认路由加回来

现象：手一抖把0.0.0.0默认路由删了，route add又没执行成功，整台电脑上不了网，内网外网全断。

原因：默认路由是网络流量的总出口，删除后没有任何兜底规则，所有非直连网段的数据包都找不到下一跳。

解决：在命令行补一条默认路由，网关填之前ipconfig里记录的原默认网关：

route add 0.0.0.0 mask 0.0.0.0 192.168.10.1

如果不知道原网关，也可以用route print看备份文件（见下一章的备份方案）。最粗暴的做法是拔插网线或重启网卡，让 DHCP 重新下发配置并重建默认路由。进入“网络连接”→ 右键网卡 → 禁用 → 重新启用，系统会重新生成一张相对干净的路由表。

5. 开机自启与后悔药：让路由脚本在登录时自动生效

配置一次容易，每次开机都要配置一次那就是折磨。把路由脚本做成开机自启，同时保留一份路由表备份，是正式落地这套方案的最后一步。

5.1 启动目录放bat：别忘了处理UAC提权

Windows 启动目录是登录时自动执行程序的入口。把 bat 直接丢进启动目录是第一步，但直接放进去会有一个致命问题：启动目录里运行的 bat 默认不带管理员权限，route add照样会失败。

正确做法是：

1. 在 bat 上右键 → 创建快捷方式。
2. 右键快捷方式 → 属性 → 快捷方式标签页 → 高级。
3. 勾选“用管理员身份运行”，确定。
4. 按Win + R输入shell:startup回车，把快捷方式复制进去。

这样每次登录系统，都会先弹一次 UAC 确认框，确认后 bat 自动以管理员身份执行。嫌弹窗麻烦的，可以用任务计划程序创建开机任务，触发器选“登录时”，操作里指定运行这个 bat，并勾选“使用最高权限运行”，比快捷方式方式更稳。

5.2 备份路由表：出问题时最管用的一道保险

改路由之前，先把当前完整路由表导出一份，这是管用的“后悔药”。在命令行执行：

route print > route_backup.txt

route print输出完整路由表，>重定向到当前目录下的route_backup.txt。想带日期的话可以稍微改一下：

route print > %USERPROFILE%\Desktop\route_backup_%date:~0,4%%date:~5,2%%date:~8,2%.txt

这段里%USERPROFILE%\Desktop是桌面路径，%date:~0,4%取当前年份，%date:~5,2%取月份，%date:~8,2%取日期。需要注意%date%的格式在不同语言系统里可能有差异，拿不准就直接用固定文件名，信息不会丢。

备份文件里记录的是你配置之前的默认网关、外网网段、内网网段。路由改挂了，打开这个文件就能知道原来的 0.0.0.0 默认路由走的是哪个网关，手动route add加回去就能快速恢复。

5.3 自启脚本和route add -p，选哪个更省心

开机自动跑 bat 和route add -p持久化路由，两条路都能解决重启失效问题，取舍点不太一样：

我自己的习惯是：办公室网络拓扑稳定、需求明确的机器用route add -p；今天可能要插内网、明天可能要换外网专线的同事，一律用启动目录脚本，改起来不用一台一台登进去删路由。多环境办公的机器，脚本方式通用性更强，也更容易排查。

6. 路由设置验证：tracert第一跳就是最终答案

路由配置完，验证环节最容易被忽略。很多人ping通网关就说成了，实际上 ping 通只能证明链路层通，证明不了数据包走了你想要的那条路。真正直观的验证手段是tracert，它能看到数据包实际路径上的每一跳。

6.1 用tracert -d同时验证内网与外网走向

假设内网有一台业务服务器10.85.12.5，外网随便找一个公网 IP，比如223.5.5.5。在命令行分别执行：

tracert -d 10.85.12.5 tracert -d 223.5.5.5

-d参数是关闭反向域名解析，默认情况下tracert会对每一跳 IP 做域名反查，在内网环境里经常超时，加了-d后会快很多，输出也干净。

看结果的时候只看第一跳：

• tracert 10.85.12.5的第一跳是10.85.11.1，说明内网路由生效；
• tracert 223.5.5.5的第一跳是192.168.10.1，说明默认路由正确。

如果内网地址的第一跳显示192.168.10.1，说明内网流量没有命中内网路由，跑去了外网网关，这时候要回头检查route add 10.0.0.0那条命令的掩码和网段。如果第一跳就显示请求超时，优先检查目标地址是否可达，而不是怀疑路由本身。

6.2 判断路由对错的边界：ping通不等于路由正确

ping 网关通了，只能说明这台机器和网关之间的链路没有问题。内网业务系统能 ping 通也不代表路由没配错——如果外网网关配了回程路由，数据包绕经外网走一圈也能到内网，只是延迟高、路径不对，等哪天外网网关调整了这条回程路由，业务立刻断掉。

所以我的判断标准一直是两个动作配合：route print看规则有没有落表，tracert -d看实际路径走没走对。规则在表里但不生效，通常是掩码范围或匹配顺序的问题；规则不在表里，基本就是管理员权限或执行时机的问题。

从那以后我每次给同事配完单网卡双 IP，都强制自己走一遍这两条tracert，第一跳不对就立刻回滚，绝不让对方带着半吊子配置去开工。这套流程虽然多花一分钟，但比事后被人拉去救火省力得多，希望帮到你。

本文还有配套的精品资源，点击获取