企业官网建设流程全解析

HCIA备考和刚入行做数通项目的人，十有八九都会碰到一个情况：VLAN和DHCP分开看都懂，合在一起就懵。特别是那些考完HCIA直接进项目的兄弟，开局就是"给几个VLAN下发IP"，一配就出问题。这篇就围绕DHCP与VLAN这对黄金组合，把原理、配置、排查讲透，一半是给考证的人垫底，一半是给真正做项目的人避坑。

1. 先把VLAN讲透：二层隔离这件事没那么玄

VLAN（Virtual Local Area Network）解决的核心问题，说白了就是"让不该互相打扰的设备互相看不见"。很多教材喜欢讲广播域、冲突域，听着很学术，落到实际就是三件事：广播风暴、安全隔离、管理变更。

1.1 VLAN到底解决了什么

想象一栋办公楼，所有部门的人都在一个大开间里。谁大喊一声，所有人都能听见，这就是一个广播域。问题来了：有人大喊"谁有打印机驱动？"，全楼的人都得停下来听一下，人越多越吵。网络也一样，广播报文会发给同一个广播域里的所有设备，设备数量一多，性能就被这些没营养的广播吃掉了。

更麻烦的是安全。行政部和研发部在一个二层网络里，行政的电脑直接就能访问研发的共享文件夹，因为二层网络默认互通的。VLAN一划，行政在VLAN 10，研发在VLAN 20，二层就隔开了，广播到不了对方，访问也到不了对方。

还有一个很实际的事：办公网里工位挪动太频繁了。今天这个人从A区搬到B区，如果不做VLAN，网管就得重新配IP、改VLAN划分信息。有了VLAN之后，只要交换机端口划对了，电脑一插就能落到正确的逻辑网络里，管理成本直线下降。

1.2 802.1Q标签与端口行为

VLAN要跨交换机传递信息，就得在以太网帧上加一个标记，这个标记就是802.1Q标准定义的标签。标签一共4字节，其中最关键的是12 bit的VID，也就是VLAN编号，取值1到4094。交换机转发帧时根据这个编号决定往哪些端口送。

这里就容易出现认知误区了。很多人以为"Access口只发不带标签的帧，Trunk口只发带标签的帧"，这是粗浅的理解，实际规则是：

• Access口：收到带标签的帧，检查VID是否等于自己所属VLAN，等于就收，不等于就丢；发出的帧一律剥掉标签。
• Trunk口：默认只放行自己的默认VLAN（通常是VLAN 1），其他VLAN需要通过命令一个个放行；发出的帧保留标签，让对端交换机识别。
• Hybrid口：华为设备特有，既可以像Access一样剥标签，也可以像Trunk一样保留标签，还可以在出口设置哪些VLAN剥标签、哪些保留。HCIA考试对Hybrid的要求是会用，不要求深究。

往细节里说，Trunk口收到帧时，如果这个帧没有标签（也就是对端发了个Access口常见的"干净帧"），Trunk会把这个帧视为属于本端口的"PVID"（默认VLAN）。所以两台交换机用Trunk互联，如果一边把PVID改了、另一边没改，就会出现VLAN错位的奇怪现象，这种坑在项目中踩过的人应该不陌生。

1.3 跨VLAN通信的两种经典姿势

VLAN划完了，但业务往往需要不同VLAN之间互访。二层不能通，就得上三层。HCIA体系里最常见的有两种：

第一种是单臂路由。用一台路由器的一个物理口接交换机，交换机的Trunk口连接路由器，路由器上把这个物理口拆成多个子接口，每个子接口对应一个VLAN的网关。注意子接口要封装dot1q vid，这是关键：报文从PC出发，打上VLAN标签到达路由器，路由器一看标签是10，就交给子接口10处理；回程也一样，子接口10打上VLAN 10的标签发回交换机。

第二种是三层交换机的VLANIF接口。三层交换机上配置VLAN之后，可以给每个VLAN创建一个VLANIF接口，直接在这个接口上配IP地址作为网关。这种方式最实用，也是企业里普遍用的，因为交换机转发效率远高于路由器。

HCIA考试里两者都可能考，但实验环境里最常见的还是VLANIF方案。考试排错题常给一个"不同VLAN无法互通"的场景，十有八九是VLANIF没建、IP配错，或者Trunk放行没做完。

2. DHCP原理：自动分配IP背后的完整链路

DHCP（Dynamic Host Configuration Protocol）的存在感很低，因为大家早就习惯了设备插上网线自动有IP。但真要排查"为什么这台PC拿不到地址"，就得把协议拆开看，每一个报文的去向都是排查线索。

2.1 动态获取IP的四个阶段

DHCP获取IP的核心交互是四步：Discover、Offer、Request、Ack，俗称DORA。

第一步Discover：客户端刚上线，没有IP，也不知道DHCP服务器在哪。它只能向本地广播一个Discover报文，源IP是0.0.0.0，目的IP是255.255.255.255。这个广播报文会在这个广播域里跑一遍。

第二步Offer：有DHCP服务器的网段里，服务器收到Discover后，从地址池里挑一个可用地址，发一个Offer给客户端。如果客户端跟服务器在同一网段，Offer通常也是广播发出（因为客户端此刻还没有IP，无法单播）；如果经过中继，中继会转成单播。

第三步Request：客户端收到Offer后，会广播一个Request报文。注意这里又是广播，这个广播有两个作用：一是告诉被选中的服务器"我要租这个地址"，二是告诉其他服务器"你们不用留地址了"。所以如果网络里配了两台DHCP服务器，也不会重复分配。

第四步Ack：服务器收到Request，确认地址可用，回复一个Ack报文，里面携带IP、掩码、网关、DNS、租期等参数。客户端收到Ack之后把IP配置到网卡上，完事。

这里有个常见误区：很多人以为客户端直接等服务器上门就行，其实客户端是先主动发广播的。一台PC如果一直拿不到IP，原因十有八九是"没有DHCP服务器回应它的Discover"，那就该顺着这个思路查。

2.2 地址池、租期和冲突检测

DHCP服务器本质上管理着一个IP资源池。华为设备上配置DHCP，有两种池：全局地址池和接口地址池。全局池是所有接口共享的，需要配合"dhcp select global"在每个接口上启用；接口地址池则直接在接口下配置，只服务这个接口所在的网段。

租期（Lease Time）是另一个考点。默认华为地址池租期是1天（86400秒），客户端会在租期过半时开始续租，也就是DHCP Request单播给服务器，服务器回Ack续租。如果服务器一直不回应，客户端在租期到87.5%时重新发Discover。理解这个节奏，对判断"为什么PC断网很久才掉IP"很有帮助。

DHCP服务器在分配地址之前，正规做法是先Ping一下这个地址，确认没人使用再分配。华为设备默认是有冲突检测的，但这需要时间，能不开就不开。真正项目里更常见的是地址池规划跟不上实际需求，导致地址不够分，这时就需要收缩租期或者扩大网段。

2.3 华为设备上DHCP的基本配置框架

一个最基础的DHCP配置框架是这样（以全局地址池为例）：

# 全局开启DHCP服务 [Core-Switch] dhcp enable # 创建全局地址池 [Core-Switch] ip pool vlan10 [Core-Switch-ip-pool-vlan10] network 192.168.10.0 mask 24 [Core-Switch-ip-pool-vlan10] gateway-list 192.168.10.1 [Core-Switch-ip-pool-vlan10] dns-list 114.114.114.114 [Core-Switch-ip-pool-vlan10] lease day 1 # 网关接口启用DHCP [Core-Switch] interface Vlanif10 [Core-Switch-Vlanif10] ip address 192.168.10.1 24 [Core-Switch-Vlanif10] dhcp select global

第3章会把这个框架放到完整组网里看。目前只需要记住三个核心：全局开关、地址池、接口选global。

3. DHCP与VLAN怎么组合：企业组网中最常见的三种玩法

这个章节才是真正的主题。HCIA考试会单独考DHCP，单独考VLAN，但上项目之后你会发现，从来没人是让你"单独配一个DHCP"的——几乎都是"这个VLAN的PC需要自动获取IP，那个VLAN也要自动获取IP，还要能互相访问"。下面三种组合逻辑是最经典的。

3.1 方案一：三层交换机 + 全局地址池（最常用）

这是企业办公网最典型的配置。拓扑是：核心交换机（三层）+ 接入交换机（二层）+ PC。核心交换机上创建VLANIF接口作为各VLAN的网关，然后配置多个全局地址池，每个VLANIF口指向对应的池。

关键点在于每个VLANIF接口下都要执行"dhcp select global"。没有这句话，哪怕全局池建得再好，这个网段的PC也拿不到地址。逻辑很清楚：VLANIF接口就是这个网段的网关，DHCP Offer从网关发出去，但PC的Discover广播能不能到达网关，取决于VLAN和Trunk有没有配好。所以这个方案本质上把DHCP和VLAN绑定在了一起。VLAN配错，DHCP必然失败。

这个方案的优点是好管理、好排查。所有地址池都在核心上，登录一台设备就能看完所有网段的分配情况。

3.2 方案二：路由器子接口 + 接口地址池（模拟器经典）

用eNSP做实验时，很多人拿一台AR路由器当网关，下面接一台S5700交换机。路由器上做单臂路由，每个子接口对应一个VLAN。

配置子接口时，除了封装dot1q vid，还要在这个子接口下创建一个接口地址池。注意接口地址池不需要单独命令去绑定，只要接口下做了"dhcp select global"且全局启用了DHCP，系统会自动使用这个接口所属网段作为地址池。但其实华为也允许在子接口下直接配置"dhcp select relay"，后面会细说。

这里有个很多人踩过的坑：子接口下配了IP和dhcp select global，PC还是拿不到IP，一查发现是交换机的Trunk口没放行对应的VLAN。PC发的Discover是广播，到了交换机，交换机得把这个广播往Trunk口送，Trunk口只放行VLAN 10和20，结果PC在VLAN 30，广播就被交换机吃了。这个问题在排错时非常隐蔽。

3.3 方案三：DHCP中继（跨网段分配的钥匙）

前面讲了，DHCP Discover是广播报文。广播报文默认过不了三层，也就是跨网段就没有了。那如果DHCP服务器放在核心三层交换机上，下面的PC在接入二层设备后面，这个链路是怎么通的？

关键就在三层设备上配置"dhcp select relay"，然后指定"ip helper-address"。当交换机收到一个VLAN内来的DHCP广播，它发现这个接口启用了relay，就把广播报文转成单播发给helper-address指向的DHCP服务器，同时把源IP改成自己这个接口的IP，这样服务器就知道客户端在哪个网段，从对应的池里挑地址。

这个机制在复杂网络里很重要。比如一个园区有很多楼栋，每栋楼的网关在汇聚交换机上，但DHCP服务器集中在机房的一台服务器上。不可能每个网段都配一个DHCP服务器，那就让网关设备做中继。

三条方案放一起对比，我建议备考者至少把方案一和方案三彻底练熟，因为考试和面试问得最多的就是全局池加VLANIF、以及跨VLAN的中继转发。

4. 完整实战：eNSP里搭一套VLAN + DHCP组网

只讲理论和命令不动手，永远记不住。拿eNSP做一套典型组网：一台核心交换机（S5700）、一台接入交换机（S3700）、两台PC，划分两个VLAN，核心上做网关，VLAN 10和VLAN 20的PC自动获取IP，并且能互相ping通。

4.1 拓扑设计与IP规划

拓扑关系很清晰：PC1接在接入交换机E0/0/1，属于VLAN 10；PC2接在接入交换机E0/0/2，属于VLAN 20。接入交换机用GE0/0/1上联核心交换机GE0/0/1。核心交换机上创建VLANIF 10和VLANIF 20作网关。DHCP全局开启，两个网段各建一个地址池。

IP规划如下：

4.2 配置全过程

先配置接入交换机：

# 接入交换机SW1 system-view sysname SW1 # 创建VLAN vlan batch 10 20 # 接口划入VLAN interface Ethernet0/0/1 port link-type access port default vlan 10 quit interface Ethernet0/0/2 port link-type access port default vlan 20 quit # 上联口放行VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit

这里要强调一个习惯：Ethernet0/0/1和Ethernet0/0/2用access模式，因为下连PC的端口只需要属于一个VLAN；上联口用trunk，因为要承载两个VLAN的流量。如果上联口忘了放行VLAN 20，那么PC2发的DHCP Discover广播不会到核心，表现就是PC2拿不到IP，而PC1正常。

再配置核心交换机：

# 核心交换机SW2 system-view sysname Core-Switch # 全局启用DHCP dhcp enable # 创建VLAN并配置VLANIF接口 vlan batch 10 20 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 dhcp select global quit interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select global quit # 配置与接入交换机互联 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 quit # 配置全局地址池 ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 192.168.10.1 lease day 1 quit ip pool vlan20 network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 192.168.20.1 lease day 1 quit

注意一下，核心和接入之间的互联口用了Trunk，但核心侧的PVID没有改。如果接入侧的上联口PVID不是1，而核心侧不匹配，就会出现打标签不一致的问题。通常情况下，Trunk双方放行的VLAN一致即可，PVID不一致只影响未打标帧的归属，建议明确约定两边PVID现状，避免瞎猜。

4.3 验证与抓包

配置完成后，把两台PC的IP获取方式改成DHCP，然后直接验证。

在PC1的命令行里执行"ipconfig"，能看到IP是192.168.10.x，网关192.168.10.1。PC2拿到192.168.20.x。PC1去ping PC2的IP，通了，说明VLAN间路由和DHCP都正常工作。

在核心交换机上可以执行：

display ip pool

这个命令会显示每个地址池的分配情况和剩余地址数。如果PC显示"未识别网络"或者169.254.x.x，说明DHCP交互没成功，需要往下排查。

要深入看DHCP交互过程，可以在PC1接的那个交换机接口上做镜像抓包，或者在核心交换机上用wireshark抓VLANIF口的报文。标准流程就是先看到Discover（源IP 0.0.0.0，目的255.255.255.255），然后Offer回来，再Request，再Ack。哪一步断了，故障就在哪一步。

这个实验做完，建议再试一次变体：把PC分别接到两个VLAN，但核心交换机不在VLANIF口下开"dhcp select global"，观察PC行为。你会发现PC一直停留在获取IP的状态，超时之后变成169.254.x.x。这个过程做一遍，比背十遍命令更有效。

5. 排错清单：VLAN + DHCP的典型故障实录

这段内容是实打实的项目经验，也是HCIA考试排错题的高频出题点。我按"现象—原因—排查方向"整理成速查表，再挑三个最隐蔽的坑仔细展开。

5.1 常见问题速查表

5.2 三个最容易被忽略的坑

第一个坑：忘开全局DHCP服务。很多人在接口下配了一堆dhcp select global，但最上面的"dhcp enable"没做，整个DHCP就是不生效。这个错误在考试里是典型的送分题，但实际工作时忙起来真的会忘。

第二个坑：Trunk放行VLAN不完整。核心上VLANIF建好了，地址池建好了，但核心和接入之间的Trunk只放行了VLAN 10，忘了VLAN 20。结果VLAN 20的PC发Discover广播，交换机收到广播，沿着Trunk口送的时候，Trunk检查自己的放行列表，发现VLAN 20不在里面，直接丢弃。你可能会说"Trunk口不是允许所有VLAN吗？"——华为交换机默认Trunk只放行PVID（VLAN 1），其余VLAN必须手工放行。这个机制跟其他厂商的习惯不同，特别容易踩。

第三个坑：接口类型选错。接入交换机连PC的口该用Access却配成了Trunk，或者连交换机上联的口该用Trunk却配成了Access。Access口默认会把所有发出的帧剥掉标签，上联口如果配成Access，多个VLAN的帧经过它时会全被剥成无标签，对端交换机就只能按PVID去理解，整个VLAN标识就乱了。

5.3 HCIA考试里的陷阱分析

HCIA考试中VLAN+DHCP的考点集中在选择、判断和配置题。常见的陷阱是：

它会给一张拓扑图，标注PC1在VLAN 10，PC2在VLAN 20，请选一个让PC2通过DHCP获取地址的配置片段。选项里可能给你正确的配置，也可能给你一个"dhcp select relay但没配ip helper-address"的半吊子配置，或者"接口地址池但接口在错误的VLANIF下"的配置。每一个选项都需要你同时懂得VLAN和DHCP，才能一眼剔掉错误项。

还有一个高频考法：给一段配置，问此配置有没有问题。比如：

# 配置片段 dhcp enable ip pool vlan20 network 192.168.20.0 mask 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0

这段配置就是漏了"dhcp select global"或"dhcp select relay"，只要你能看出来，这道排错题就拿下。

6. 经验总结与扩展方向

做这个实验或者实际排错，我的个人感受是：VLAN和DHCP必须当成一个整体来看，不要割裂地学。很多问题表面上是"DHCP有问题"，剥开看往往是"VLAN没配好导致DHCP报文根本没送到服务器"。

一个实用的习惯是：在拿到一个"PC获取不到IP"的报告时，先不要急着抓DHCP包，而是先在接入交换机上用display vlan和display port vlan确认端口VLAN划分无误，再沿着Trunk检查放行列表。如果这两步没问题，再去看DHCP配置。按这个顺序排错，效率能提升一截。

学有余力的同学，建议顺手看看DHCP snooping，这是接入层安全防护的重要功能，HCIA可能不深考，但真实项目里普遍要求。DHCP snooping可以定义信任端口，防止私接小路由器分发非法地址，这在办公网里几乎天天都要用。

另外扩展一个方向：DHCPv6和IPv6地址分配。现在的园区网络逐步在往IPv6走，DHCPv6的机制跟DHCPv4有些差异，比如前缀委派（PD）的概念。虽然HCIA的考试范围和实际项目不一定马上遇到，但趁早了解生态，后续学HCIP和做项目都顺很多。

最后说一句：把实验做熟到"闭着眼配完，PC开机自动上线"这个程度，再进考场或者上项目，你就不慌了。