ARTICLE DETAIL

建站实战干货

来自一线的建站与推广经验沉淀，每一条都经过真实交付验证。

首页 / 资讯中心 / 正文

VLAN间通信与DHCP接口地址池配置：华为eNSP三层交换机实验详解

2026/9/8 10:31:31 拓冰建站 浏览量
VLAN间通信与DHCP接口地址池配置：华为eNSP三层交换机实验详解 很多刚接触交换网络的读者会遇到一个很有代表性的场景VLAN 划分完成后不同部门之间的 PC 突然互相 ping 不通了接着想图省事让 PC 自动获取 IP结果 DHCP 配置了半天就是不生效。问题通常不是 VLAN 本身而是你把二层隔离和三层路由混在一起想又把 DHCP 地址池的类型选错了。这篇文章用一个可以在华为 eNSP 模拟器里完整复现的实验把 VLAN 间通信和 DHCP 基于接口地址池配置两件事串起来。跑通之后你会得到一个非常典型的小型园区网“接入层交换 核心层三层交换”模型这个模型在企业网络里很常见也是 HCIA/HCIP 考试里经常考察的组网场景之一。文章会先从概念入手解释为什么 VLAN 天然隔离二层通信、为什么需要三层设备来打通 VLAN然后给出整套拓扑规划和 ip 地址规划再用完整命令配置接入交换机、核心三层交换机和 DHCP 接口地址池最后补充验证方法、常见故障排查思路和工程环境下的最佳实践。内容偏实操建议打开 eNSP 跟着敲一遍。1. 这篇文章真正要解决的问题大家在配置 VLAN 时经常踩两个坑。第一个坑是“配了 VLAN 就以为大功告成”。VLAN 的核心作用是隔离广播域默认情况下不同 VLAN 之间是不通的。如果 PC1 在 VLAN 10、PC2 在 VLAN 20两边都配好 IP 后直接互 ping结果是失败。要让它们通信必须在二层之上增加三层路由能力最常见的方式是使用三层交换机的 VLANIF 接口作为网关或者使用路由器单臂路由子接口。很多人不知道 VLANIF 是什么更不知道为什么这个接口能当网关所以实验总是卡在“通不了”这一步。第二个坑是 DHCP 地址池选型混乱。华为交换机上 DHCP 地址池分为两种全局地址池和接口地址池。接口地址池必须在 VLANIF 或三层物理接口下配置它的网段由接口 IP 决定网关也默认是接口 IP适合“一个三层接口对应一个网段”的简单场景。如果客户机和 DHCP 服务器不在同一个网段则要改用全局地址池加 DHCP 中继。很多初学者一上来就抄全局地址池的配置模板忽略接口地址池的模型差异导致命令敲下去地址池不生效、PC 一直获取不到 IP。本文要解决的核心问题可以概括为在一个不需要 DHCP 中继的小型园区网里如何通过三层交换机的 VLANIF 实现 VLAN 间通信并通过 DHCP 基于接口地址池的方式让不同 VLAN 下的 PC 自动获取正确网段的 IP 地址和网关。读完这篇文章你应该能独立完成拓扑设计、地址规划、VLAN 划分、Trunk 放行、VLANIF 网关配置和 DHCP 接口地址池配置并且知道每个命令背后的意义。2. VLAN 为什么要管三层通信先把概念边界理清2.1 VLAN 到底隔离了什么VLAN 是 Virtual Local Area Network 的缩写中文叫虚拟局域网。它的本质是把一台或多台交换机上的物理端口在逻辑上划分成多个互相隔离的广播域。广播帧只在同一个 VLAN 内传播不会跨 VLAN 泛洪这样既能减少广播流量又能实现不同业务之间的隔离比如财务部、技术部、访客网络各走各的 VLAN。但“隔离”是一把双刃剑。VLAN 隔离广播域的同时也把不同 VLAN 之间的单播通信挡在了二层之外。PC1 属于 VLAN 10PC2 属于 VLAN 20两台设备即使在同一个交换机上它们之间的数据帧也不能直接二层转发。要实现跨 VLAN 通信必须有三层设备介入让报文先送到网关再由网关根据路由表转发到目标网段。很多人问“华为交换机划 VLAN 都是一样的吗”其实底层逻辑一致但不同系列、不同软件版本的命令风格和接口编号会有差异例如 eNSP 里的 S5700 大多用 GigabitEthernet 接口真实设备上可能还有 XGigabitEthernet 或 40GE 接口。学习时先掌握通用逻辑具体上设备前再看版本手册。2.2 VLAN 间通信的两条技术路线实现 VLAN 间通信常见有两条路线。一条是单臂路由。路由器的一个物理口连接交换机的 Trunk 口在路由器物理接口上创建多个子接口每个子接口用 dot1q 封装对应一个 VLAN并配置该 VLAN 的网关 IP。交换机把打了 VLAN 标签的帧发送到路由器路由器解开标签后按子接口路由转发。单臂路由的优点是原理清晰适合教学和小流量场景缺点是所有跨 VLAN 流量都挤在一条物理链路上路由器转发性能有限不适合作为园区网的核心方案。另一条是三层交换机 VLANIF。三层交换机内部集成路由转发硬件可以为每个 VLAN 创建一个 VLANIF 三层接口在接口上配置 IP 地址这个 IP 就是该 VLAN 内 PC 的网关。PC1 要访问 PC2 时先把报文发给 VLAN 10 的网关也就是 VLANIF 10 的 IP三层交换机查路由表发现目标网段直连在 VLANIF 20 上于是从 VLAN 20 侧转发出去。整个过程由交换机硬件完成性能远高于单臂路由这也是园区网络中更主流的做法。本文实验选择 VLANIF 方式因为这是当前企业网配置 VLAN 间通信的常态也更接近 HCIA/HCIP 考试的重点。2.3 DHCP 接口地址池和全局地址池的区别华为交换机 DHCP 有基于接口的地址池和基于全局的地址池两种模式。接口地址池interface address pool配置在某个三层接口下比如 VLANIF 接口。它的特点是网络号不用额外指定自动取接口 IP 所在网段下发给客户端的网关地址也默认为接口 IP地址分配跟接口绑定不会跨到其他网段。这种模式下客户端和 DHCP 服务器这里是交换机之间不需要跨三层DHCP Discover 广播可以直接到达接口。全局地址池global address pool则独立配置需要手动指定 network 网段和 gateway-list 网关不依赖某个具体接口。它适合 DHCP 服务器与客户端不在同一网段、需要跨三层分配地址的场景此时往往配合 DHCP 中继使用。初学者最容易犯的错误是在配置接口地址池时还想去配 network 和 gateway-list忽略接口地址池的自动推导逻辑或者在配置全局地址池时忘记配网关导致 PC 拿到 IP 却无法上网。做实验前先想清楚自己属于哪种场景能省下很多排错时间。2.4 Access 口和 Trunk 口的分工交换机端口有两种基本角色。Access 口一般连接终端设备只允许一个 VLAN 通过收到不带标签的帧时会给帧打上该端口的 PVID 对应 VLAN 标签转发到对端时如果 VLAN 不匹配则丢弃。Trunk 口用于交换机之间传递多个 VLAN 的流量可以放行多个 VLAN帧在 Trunk 上保留 VLAN 标签默认只放行 VLAN 1。这里有个容易被忽视的概念是 PVID。Trunk 口的 PVID 默认是 1收到不带 VLAN 标签的帧时交换机会给它打上 PVID 对应的标签。如果某台设备配置了类似 port trunk pvid vlan 10 的命令意味着该 Trunk 口收到未打标签的帧时会当作 VLAN 10 来处理。这个特性在某些特殊接入场景有用但如果没有充分理解就随意修改反而容易造成 VLAN 错乱所以常规 Trunk 配置建议保持 PVID 为默认值不要乱改。3. 实验环境与拓扑规划3.1 使用的模拟器和设备本实验在华为 eNSP 模拟器中完成不需要真实硬件。eNSP 中可用的交换机型号较多本文选择三层交换机 S5700 作为核心设备选择二层交换机 S3700 作为接入设备。如果你使用的 eNSP 版本中没有完全相同的型号选择具备 VLANIF 支持的三层交换机型号即可接口编号不同不影响整体思路。需要准备三台交换机和两台 PCLSW1 作为核心三层交换机同时承担网关和 DHCP 服务器角色LSW2 作为接入交换机下面连接 PC1PC1 属于 VLAN 10LSW3 作为接入交换机下面连接 PC2PC2 属于 VLAN 20。3.2 拓扑连接关系实验环境不会像生产环境那么复杂只保留最小必要链路。PC1 使用直连线连接 LSW2 的 GigabitEthernet0/0/1 口。LSW2 的 GigabitEthernet0/0/2 口上联 LSW1 的 GigabitEthernet0/0/1 口链路类型为 Trunk放行 VLAN 10。PC2 连接 LSW3 的 GigabitEthernet0/0/1 口。LSW3 的 GigabitEthernet0/0/2 口上联 LSW1 的 GigabitEthernet0/0/2 口链路类型为 Trunk放行 VLAN 20。LSW1 上分别创建 VLAN 10 和 VLAN 20并创建 VLANIF 10 和 VLANIF 20。两个 VLANIF 接口的 IP 分别作为两个 VLAN 内 PC 的网关。同时DHCP 接口地址池配置在 VLANIF 接口上。整个组网呈现典型的“接入层 核心层”结构核心交换机既做网关又做 DHCP 服务器接入交换机只负责二层转发。3.3 IP 地址与 VLAN 规划表实验前先把 IP 地址和 VLAN 规划好后面配置时直接按表填写也能减少错误。设备VLAN网段网关接口说明LSW1-Vlanif10VLAN 10192.168.10.0/24192.168.10.1Vlanif10PC1 所在网段LSW1-Vlanif20VLAN 20192.168.20.0/24192.168.20.1Vlanif20PC2 所在网段PC1VLAN 10DHCP 自动获取192.168.10.1接入 LSW2 G0/0/1自动获取PC2VLAN 20DHCP 自动获取192.168.20.1接入 LSW3 G0/0/1自动获取这个设计意图很明确VLAN 10 的 PC1 与 VLAN 20 的 PC2 所在网段不同正好验证三层设备参与下的 VLAN 间通信DHCP 接口地址池分别挂在 VLANIF 10 和 VLANIF 20 上验证不同 VLAN 内的 PC 获取到对应的网段地址。4. 接入层配置VLAN 划分与 Trunk 放行4.1 接入交换机 LSW2 的配置接入交换机的任务很单一连接 PC 的端口划到指定 VLAN上联口配置 Trunk 并放行对应 VLAN。下面先配置 LSW2。# 进入系统视图并修改设备名称 system-view sysname LSW2 # 创建 VLAN 10 vlan 10 quit # 配置连接 PC1 的接口为 Access 口划入 VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit # 配置上联 LSW1 的接口为 Trunk放行 VLAN 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 quit这里有几个关键点需要理解。第一连接 PC 的接口用 Access 模式是因为 PC 发出的帧本身不带 VLAN 标签交换机需要根据 Access 口的 PVID 给这些帧打上 VLAN 10 的标签。第二上联口用 Trunk 模式是因为这个接口需要承载从 PC1 方向进入交换机并带 VLAN 10 标签的帧Trunk 口负责把标签原样传递到对端。第三如果上联口放行的 VLAN 和 PC 所在的 VLAN 不一致VLAN 10 的帧会被丢弃直接表现为 PC1 拿不到 IP 或无法通信。4.2 接入交换机 LSW3 的配置LSW3 的逻辑和 LSW2 完全一样只是 VLAN 号改成 VLAN 20。# 进入系统视图并修改设备名称 system-view sysname LSW3 # 创建 VLAN 20 vlan 20 quit # 配置连接 PC2 的接口为 Access 口划入 VLAN 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 20 quit # 配置上联 LSW1 的接口为 Trunk放行 VLAN 20 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 20 quit配置完成后可以在 LSW2 和 LSW3 上执行 display port vlan 或 display vlan 确认端口归属正确。如果发现某个端口没有按预期划入 VLAN多半是漏了 port default vlan 命令或者 VLAN 还没创建创建 VLAN 的步骤不能省。接入层配置做完后PC1 和 PC2 仍然互相不通因为这里缺少三层网关。4.3 接入层常见的配置遗漏接入层最容易犯的错误是只配了 access 口忘记配置上联 Trunk 口或者 Trunk 口放行了 VLAN但是放行列表里少写了目标 VLAN。华为交换机的 Trunk 口默认只放行 VLAN 1当你在 Trunk 上只写了 port trunk allow-pass vlan 10 时VLAN 20 的帧就无法从这个口通过。因此接入层的每个 Trunk 口都必须明确放行它下面所有需要上送的 VLAN。如果你的网络里接入层接了多台终端、需要多个 VLAN 都上送核心可以在一条命令里一次放行多个 VLAN例如 port trunk allow-pass vlan 10 20。这个命令在实验中虽然没用到但实际项目里很常见。5. 核心层配置VLANIF 实现 VLAN 间通信5.1 创建 VLAN 和 Trunk 放行核心交换机 LSW1 需要同时管理 VLAN 10 和 VLAN 20所以先创建这两个 VLAN再把两个下联接入口都配置为 Trunk 并放行对应 VLAN。system-view sysname LSW1 # 批量创建 VLAN 10 和 VLAN 20 vlan batch 10 20 # 配置连接 LSW2 的接口为 Trunk放行 VLAN 10 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 quit # 配置连接 LSW3 的接口为 Trunk放行 VLAN 20 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 20 quit这里 vlan batch 10 20 的作用是一次性创建两个 VLAN华为交换机支持多条 VLAN 的批量创建。下联 LSW2 的口放行 VLAN 10下联 LSW3 的口放行 VLAN 20保证两个接入交换机上送的带标签帧都能被核心接收。如果核心这边的 Trunk 没有放行对应 VLAN即使接入交换机配置正确帧走到核心也会被丢弃。5.2 配置 VLANIF 三层接口接下来为 VLAN 10 和 VLAN 20 分别创建 VLANIF 接口并配置 IP 地址。# 创建 VLANIF 10 并配置 IP 地址作为 VLAN 10 内 PC 的网关 interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit # 创建 VLANIF 20 并配置 IP 地址作为 VLAN 20 内 PC 的网关 interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 quitVLANIF 接口是三层交换机实现 VLAN 间通信的关键。VLAN 10 内的 PC 把网关指向 192.168.10.1VLAN 20 内的 PC 把网关指向 192.168.20.1。PC1 访问 PC2 时PC1 发现目标 IP 不在本网段会把报文封装成目标 MAC 为网关 MAC、目标 IP 为 192.168.20.xxx 的帧发到 VLAN 10 的网关。LSW1 收到后剥离帧头查路由表发现 192.168.20.0/24 直连在 VLANIF 20 上于是从 VLAN 20 侧重新封装转发。整个过程不需要配置静态路由因为两个网段都是三层交换机的直连网段。配置完成后即使还没有配置 DHCP只要 PC 手动配置正确网段的静态 IP也应该能实现跨 VLAN 互通。可以先手动给 PC1 和 PC2 配一个同网段的临时 IP 做连通性验证例如 PC1 配 192.168.10.10/24、网关 192.168.10.1PC2 配 192.168.20.10/24、网关 192.168.20.1然后互 ping确认 VLANIF 配置没有问题。5.3 为什么 VLANIF 能同时充当网关VLANIF 的本质是一个三层逻辑接口它绑定在一个 VLAN 上。当这个接口配置了 IP 地址交换机会自动产生一条直连路由并且会在该 VLAN 内回应 ARP 请求让该 VLAN 的终端学习到网关的 MAC 地址。从终端视角看VLANIF 的 IP 就是一个普通网关的 IP从交换机视角看它同时具备二层 VLAN 终结和三层路由转发的功能。理解了这一点就不会再问“为什么要在交换机上配置类似于路由器的 IP 地址”这类问题。三层交换机把路由功能集成到了系统内部VLANIF 就是它面向每个 VLAN 提供网关服务的入口。6. DHCP 基于接口地址池的配置方法6.1 全局开启 DHCP 服务DHCP 配置的第一步是在核心交换机上全局开启 DHCP 服务。# 全局开启 DHCP 服务 dhcp enable这个命令很容易被忽略。如果不执行 dhcp enable后面即使配置了 dhcp select interface交换机也不会真正响应 DHCP 请求。在排错时第一件事就应该确认配置里有没有 dhcp enable可以用 display current-configuration 查看全局配置中是否包含这条。6.2 配置接口地址池VLANIF 10 和 VLANIF 20 已经作为网关存在现在直接在接口下启用接口地址池并配置 DNS 和排除地址。# 在 VLANIF 10 下启用接口地址池 interface Vlanif 10 dhcp select interface dhcp server dns-list 114.114.114.114 8.8.8.8 dhcp server excluded-ip-address 192.168.10.1 quit # 在 VLANIF 20 下启用接口地址池 interface Vlanif 20 dhcp select interface dhcp server dns-list 114.114.114.114 8.8.8.8 dhcp server excluded-ip-address 192.168.20.1 quit这段配置是本文的核心。dhcp select interface 表示使用接口地址池地址池的网段自动取接口 IP 所在网段也就是 192.168.10.0/24 和 192.168.20.0/24网关也自动取接口 IP也就是 192.168.10.1 和 192.168.20.1不需要手工配置网关列表。这与全局地址池必须手动配置 network 和 gateway-list 的流程完全不同是接口地址池最直观的使用区别。dhcp server dns-list 用来下发 DNS 服务器地址实际项目中应该改成企业内部的 DNS 地址或者运营商 DNS这里使用公共 DNS 作为演示。dhcp server excluded-ip-address 用来从地址池中排除某些地址避免分配给终端网关地址必须排除因为不能把网关 IP 动态分配出去。如果有服务器需要保留固定 IP也应该提前排除避免地址冲突。6.3 接口地址池不需要配置网段和网关的原因接口地址池的设计思路是“一个接口对应一个网段”它通过接口 IP 反推地址池的 network通过接口 IP 本身作为网关。这种绑定关系简化了配置但同时也带来限制接口地址池只能服务本接口所在网段的客户端不能跨网段分配地址。如果 DHCP 服务器和客户端之间跨了三层客户端发来的 DHCP Discover 广播无法直接到达服务器这种情况必须借助 DHCP 中继并把地址池切换到全局地址池。很多初学者在接口地址池模式下试图输入 gateway-list 或 network 命令会发现华为交换机提示不支持或者配置不生效原因就在于此。在做实验时不要混用两套配置逻辑。6.4 地址池配置完成后可以先查看状态配置完成后可以在 LSW1 上执行 display current-configuration interface Vlanif 10 查看 VLANIF 10 下的 DHCP 相关配置确认 dhcp select interface 和 dns-list 已经生效。如果 PC 已经启动并设置为自动获取交换机上可能出现租约记录可以通过 display dhcp server ip-in-use 查看地址分配情况。如果 PC 还没设置为自动获取或者 PC 的网卡没有重新请求 IP交换机上暂时看不到租约记录这是正常现象等 PC 端发起 DHCP 请求后再查看。7. 运行结果与验证7.1 验证 PC 获取到的 IP 地址在 eNSP 中双击 PC1进入命令行执行 ipconfig /all 查看 IP 地址。预期结果是 PC1 获取到 192.168.10.x 网段的地址子网掩码 255.255.255.0网关 192.168.10.1DNS 为前面配置的 114.114.114.114 和 8.8.8.8。PC2 应该获取到 192.168.20.x 网段的地址网关 192.168.20.1。如果 PC1 获取到的地址变成 192.168.20.x说明 PC1 被错误地划到了 VLAN 20或者 LSW2 上连接 PC1 的端口划错了 VLAN需要回到接入交换机检查 port default vlan 的配置。如果 PC 获取不到 IP先看交换机的全局 DHCP 开关是否打开再看对应 VLANIF 下是否有 dhcp select interface。7.2 验证跨 VLAN 通信在 PC1 上执行 ping 192.168.20.10这里 192.168.20.10 是 PC2 获取到的地址。如果配置正确PC1 能收到 PC2 的回包。这个结果说明 VLAN 间通信已经通过核心交换机 VLANIF 打通。如果 ping 不通不要急着改交换机命令先在 PC1 上确认网关是否正确。可以执行 ping 192.168.10.1 测试网关连通性如果网关都不通问题大概率出在核心交换机 VLANIF 或接入交换机 Trunk 放行上如果网关通而目标 PC 不通再检查 PC2 的 IP 和网关是否正确以及两台 PC 是否处于同一个广播域之外的正确网段。7.3 在核心交换机上查看 DHCP 租约PC 获取到 IP 后在 LSW1 上执行 display dhcp server ip-in-use可以看到地址池中已经分配的地址条目包含 IP 地址、客户机 MAC、租约剩余时间等信息。这说明 DHCP 接口地址池已经实际工作。要确认 VLANIF 接口状态和路由表可以执行 display ip interface brief 查看 VLANIF 10 和 VLANIF 20 的 IP 是否正常、物理状态是否为 up再执行 display ip routing-table 查看是否有 192.168.10.0/24 和 192.168.20.0/24 这两条直连路由。只要有直连路由三层交换机就能在 VLAN 之间完成路由转发。8. 常见问题与排查思路下面的表格按照实践经验整理了本实验中最容易出现的几类问题遇到报错时可以按顺序排查。问题现象可能原因排查方式解决方案PC 获取不到 IPDHCP 全局未开启或接口下未启用 dhcp select interfacedisplay current-configuration 查看 dhcp enable 是否存在进入对应 VLANIF 查看 dhcp select interface先全局开启 dhcp enable再到对应 VLANIF 下配置接口地址池PC 获取到错误网段 IPPC 接入的 Access 口划错 VLAN或接入交换机上联 Trunk 放行错误display port vlan 查看端口 VLANdisplay vlan 查看 VLAN 列表在接入交换机重新配置 port default vlan并核对上联 Trunk 的 allow-pass vlan同 VLAN 内能通跨 VLAN 不通VLANIF 未创建或未配置 IP 地址或核心交换机没有对应直连路由display ip interface brief 查看 VLANIF 状态display ip routing-table 查看直连路由在核心交换机创建 VLANIF 并配置 IP确认路由表中存在对应网段直连路由Trunk 配置后仍然不通Trunk 两端放行 VLAN 不一致或某端 PVID 被意外修改在 Trunk 两端分别执行 display port vlan 对比保持两端 allow-pass vlan 一致PVID 保持默认值 1PC 能获取 IP但无法 ping 通网关核心交换机 VLANIF 接口 down或接口 IP 配置错误display ip interface brief 查看接口状态检查 VLAN 是否创建、对应物理口是否放行、VLANIF 是否配置正确 IP获取到 IP 后无法上网没有默认路由或出口方向路由缺少 NATdisplay ip routing-table 查看默认路由在核心或出口设备补充默认路由和回程路由这几种问题里最常见的是前两种。很多人只关心接入交换机的 Access 口忘了核心交换机侧 Trunk 也需要放行 VLAN或者以为配置了 dhcp select interface 就不需要 dhcp enable。排错时不要靠猜一段一段检查 display current-configuration 的输出链路和 DHCP 问题基本都能定位。9. 最佳实践与工程建议9.1 明确接口地址池和全局地址池的使用边界这个实验使用的是接口地址池它很适合小型网络和单网段网关场景。但在中大型网络中DHCP 服务器往往部署在核心或独立服务器上客户端与服务器之间经常跨三层这时必须使用全局地址池并配合 DHCP 中继。真正做工程时建议先确认 DHCP 客户端和 DHCP 服务器是否处于同一广播域同一广播域可以直接用接口地址池跨广播域则需要全局地址池加中继或者使用支持 DHCP 中继的专业 DHCP 服务器。接口地址池的优势是配置简单、与接口绑定清晰但灵活性有限。如果你预见到后续要增加 VLAN、要做多网段统一管理直接上全局地址池会更合适集中管理地址池和租约也更方便。9.2 地址规划要预留和管理生产环境中尽量不要把一个网段全部交给 DHCP 动态分配。建议提前规划保留地址段网关地址、交换机管理地址、服务器地址、打印机地址都应该通过 excluded-ip-address 排除只把业务终端网段交给 DHCP。典型做法是每个 VLAN 一个 C 类网段网关固定在 .1管理地址和服务器地址固定在 .1 到 .50DHCP 动态分配范围从 .100 开始。这样即使地址池分配混乱也容易根据 IP 段判断设备角色。VLAN 编号也应该有规则例如 VLAN 10 对应用户网 10VLAN 20 对应办公网 20配置的时候一眼就能看出对应关系。9.3 生产环境注意 DHCP 安全和配置备份在交换机上直接开启 DHCP 接口地址池时要特别注意二层网络中的非法 DHCP 服务器风险。如果接入网络中存在私设的 DHCP 服务器终端可能获取到错误的 IP 地址。生产环境建议在接入交换机上开启 DHCP Snooping信任连接合法 DHCP 服务器的端口非信任端口丢弃 DHCP Offer 报文从源头上防止私设 DHCP 服务器的干扰。同时所有涉及核心交换机的配置变更都要先备份配置文件在测试环境验证后再落入生产。核心交换机通常是网络的单点故障位置配置错误可能导致整体断网。建议使用 save 命令保存配置或定期导出配置文件确保出现误操作时可以快速回滚。9.4 模拟器与真实设备的差异eNSP 模拟器主要用于学习和认证备考命令风格接近真实华为设备但接口编号、默认配置、软件版本细节可能有差异。你在模拟器上配的是 GigabitEthernet0/0/1真实设备上可能是 GigabitEthernet0/0/1也可能是其他编号关键要看设备型号和接口槽位。VLAN 划分、VLANIF、DHCP 接口地址池这些核心机制默认一致。如果以后接触华为 CloudEngine 系列或不同 VR 版本的设备个别命令可能略有调整例如部分版本 dhcp server dns-list 的写法相同但在线帮助中会给出当前版本支持的参数范围。上设备前先查对应版本的命令参考不要盲目照搬。9.5 建议下一步做的扩展实验这个实验跑通后建议再做两个扩展。第一个扩展是把接口地址池换成全局地址池。你在系统视图下创建 ip pool配置 network 和 gateway-list然后在 VLANIF 下改用 dhcp select global对比两种配置的差异理解为什么全局地址池更灵活。第二个扩展是模拟 DHCP 中继。增加一台路由器或三层交换机作为中继客户端在 VLAN 10DHCP 服务器在另一个网段中继设备上配置 dhcp relay server-ip观察跨网段获取 IP 的完整过程。做完这两个实验你对华为交换机 DHCP 地址池的理解会比单纯记命令深入很多。