企业官网建设流程全解析

上周半夜我被电话吵醒，值班同事说核心交换机到汇聚交换机之间有一条物理链路亮红灯了。我远程登进去看了一眼，业务流量一点没断，路由表干干净净，Eth-Trunk 1接口状态还是Up。同事有点懵，问我要不要紧急切换。我说不用，两根物理线绑成一个三层聚合口，一根断了流量自动走另一根，这就是当初没偷懒、老老实实做三层链路聚合和静态路由的价值。

很多刚接触网络的人容易把静态路由当成“入门知识”看完就扔，觉得现在都是OSPF、BGP的天下了。但真到了生产环境，小型园区网、分公司出口、设备互联段，静态路由依然是出现频率最高的选手之一。再加上三层链路聚合这个组合，既能解决带宽瓶颈，又能让路由表简洁到一眼看穿。这篇文章我打算把静态路由的原理、三层链路聚合的设计思路，以及一套完整的实验配置和验证过程全部拆开讲清楚，你照着搭一遍，基本就能在真实设备上干活了。

1. 为什么还需要静态路由：直连之外的互通逻辑

1.1 数据包不是“见谁问谁”，而是查表转发

很多人第一次接触路由时会有个错觉：数据包到了路由器上，路由器会“看一眼目的地然后问路”。实际完全不是这么回事。路由器的工作方式特别机械：收到一个数据包，解封装看到目的IP，然后去路由表里查，命中哪条就按哪条转发，查不到就直接丢弃并回一个ICMP不可达。它不会思考，不会学习，只会查表。

路由表的表项来源无非三种：直连路由、静态路由、动态路由协议学习来的路由。直连路由就是接口自己配置了IP地址后自动产生的网段路由，比如你在交换机上给VLANIF 10配了192.168.10.1/24，那192.168.10.0/24这条路由自动就有了，因为设备本身就连着这个网段。静态路由则是管理员手工告诉设备：去某个网段，你把包交给谁。动态路由则是设备之间通过协议互相交换信息算出来的。

这里有个关键点：直连路由只能告诉设备“我直接连着哪些网段”，它无法告诉设备“远处的网段怎么走”。一旦网络里有两个以上的三层网段需要互通，而且它们又不直连在同一台设备上，你就必须在中间设备上写路由。这就是静态路由存在的根本原因。

1.2 静态路由的适用场景：什么时候它比动态路由更靠谱

静态路由名字里带个“静态”，听上去好像很笨，但它有几个动态路由协议比不了的优势：配置简单、行为可预测、不占带宽、不受邻居状态影响。对于网络拓扑长期不变的小型网络，比如一个工厂园区、一栋办公楼、一个分支机构的内部互联，静态路由是效率最高的方案。它不会有路由震荡，不会因为协议计时器超时导致路由闪断，更不会出现“两台设备都想当下一跳”的诡异情况。

我见过不少生产事故，恰恰是动态路由协议配置失误导致的，比如OSPF区域ID配错、接口网络类型不匹配、BGP邻居反复震荡。这些在静态路由里几乎不存在，因为每条路由都是你亲手写上去的，你清楚每一个下一跳意味着什么。所以在很多出口设备上，哪怕是核心网络用了OSPF，到运营商那条默认路由往往还是静态写的，原因就是稳定、可控。

1.3 路由优先级和等价路由：静态路由那条“最后兜底”

路由表里还有个概念叫优先级（有的厂商叫管理距离）。不同来源的路由同时到达时，设备不是看谁先来，而是看优先级，数值越小越优先。直连路由优先级最高，静态路由次之，动态路由协议各有各的值。这意味着即使你配了静态路由，只要直连路由存在，静态路由不会覆盖直连的判定，这能避免很多“配了路由不生效”的困惑。

另外，如果你给同一个目的网段配了多条下一跳不同的静态路由，而且它们的优先级和开销一致，它们会同时进路由表形成等价路由。设备会基于流（五元组哈希）在这些下一跳之间做负载分担，这就是静态路由层面的ECMP。不过在实际场景里，我更推荐用三层链路聚合来解决链路冗余和负载分担问题，原因后面细说。

2. 三层链路聚合到底解决了什么问题

2.1 二层链路聚合和三层链路聚合的本质区别

链路聚合这个概念很多人不陌生，就是把两根或更多根物理线绑在一起，变成一个逻辑接口，带宽翻倍，还能冗余。但同样叫链路聚合，二层和三层有本质区别。

二层链路聚合，绑出来的逻辑口是一个二层接口，它工作在数据链路层，主要参与MAC地址表的学习和VLAN转发。交换机从聚合口收到数据帧后，会把这个聚合口的编号当成一个整体来学习MAC地址，这样就不会因为两条物理链路同时收到同一个MAC的帧导致MAC地址漂移。二层聚合面向的是局域网内部的VLAN流量转发。

三层链路聚合，绑出来的逻辑口是一个三层接口，直接配IP地址，当作一个路由接口来用。它不再关心VLAN，不再学习MAC地址，而是直接参与IP路由转发。三层聚合接口在路由表里就是一条直连路由，聚合口本身有一个IP，成员口全都是这个IP背后的物理通道。

这样说可能有点抽象，我打个比方。二层链路聚合像是把两股电线拧成一股，用来给同一个房间供电；三层链路聚合则像是把两条水管并成一条总管，阀门口只有一个，但水流可以从两条管子里同时过。这个“阀门”就是聚合接口的IP地址。

2.2 为什么三层聚合接口只需要一条路由

这是三层链路聚合最迷人的地方。没有聚合时，两台三层设备之间如果拉了两根物理线，你面临两个选择：要么给两个物理口分别配不同网段的IP，然后在路由表里写两条静态路由做负载分担；要么干脆一根线做主用、一根线做备用，还得靠检测机制去切换。无论哪种，配置都更复杂，而且容易出问题。

有了三层聚合口之后，两根物理线的IP配置全部收归到一个Eth-Trunk接口上，只占用一个网段、一个IP。路由表里只需要一条直连路由指向这个聚合口，既不需要为每条物理链路单独写路由，也不需要担心两条链路之间的环路问题。流量到了聚合口这个“总阀门”，设备自己根据哈希算法把不同流分到不同物理成员口上转发，这就是负载分担。

三层链路聚合和静态路由搭配起来就更舒服了。聚合口负责链路带宽和冗余，静态路由负责把远端网段指到聚合口这一侧。你根本不需要知道底下有几根物理线，路由层面永远是那么几条，逻辑清晰到可以闭着眼睛画出来。

2.3 聚合模式怎么选：LACP与手工模式的取舍

做链路聚合时，你会碰到两种模式：手工聚合和LACP（链路聚合控制协议）。手工模式简单粗暴，两边都配好聚合口、把物理口加进去，只要物理口Up，聚合口就Up，不管对端是不是真的也配了聚合。LACP模式则会在两端交互聚合协商报文，双方确认一致后聚合口才完全Up，能自动检测到对端配置不一致的问题。

我的建议是：能用LACP就用LACP。它多一层的协商机制，在生产环境里反而更安全。如果对端设备不支持LACP，或者你只是想快速验证实验，手工模式也可以。实验环境里两种模式我下面都会给命令，但主要演示LACP静态模式，让协商过程更明确。

还有个小提醒，聚合口的所有成员口的速率、双工模式最好保持一致。虽然现在的设备大多支持速率不一致的成员口，但实际转发时速率会受最慢成员口影响，负载分担效果会打折扣。实验环境里都是千兆口，这个问题不明显，但在生产环境里升级链路的时候经常踩这个坑。

3. 实验拓扑设计与地址规划

3.1 拓扑结构

实验不需要太复杂，两台三层交换机足够。我下面的示例用SW-A和SW-B表示，你可以对应成手头任何主流厂商的设备，命令关键字略有差异，但逻辑完全一样。拓扑如下：

PC-A属于VLAN 10，网段是192.168.10.0/24，网关指向SW-A的VLANIF 10；PC-B属于VLAN 30，网段是192.168.30.0/24，网关指向SW-B的VLANIF 30。SW-A和SW-B之间用两条物理链路（GE0/0/1和GE0/0/2）绑成三层Eth-Trunk 1互联，互联网段用10.0.12.0/30。

PC-A(192.168.10.10) --- SW-A(VLANIF 10) --- [Eth-Trunk 1] --- SW-B(VLANIF 30) --- PC-B(192.168.30.10) 10.0.12.1/30 10.0.12.2/30

这样设计的目的很明确：SW-A要把去往192.168.30.0/24的流量交给10.0.12.2，SW-B要把去往192.168.10.0/24和192.168.20.0/24的流量交给10.0.12.1。如果你还想验证更多网段，可以在SW-A上再加一个VLAN 20，让SW-B同时学两条静态路由，效果更明显。

3.2 IP规划表和路由规划

整个实验的IP规划参考这张表：

路由规划也很简单：SW-A上写一条静态路由，目标是192.168.30.0/24，下一跳10.0.12.2；SW-B上写一条静态路由，目标是192.168.10.0/24，下一跳10.0.12.1。如果你在SW-A上加了VLAN 20，那SW-B需要写两条静态路由，分别指向192.168.10.0/24和192.168.20.0/24，下一跳都是10.0.12.1。

3.3 设计理由：为什么用了30位掩码，为什么不等比链路也能绑

互联地址用30位掩码（也就是/30）是网络设计的基操。一个/30子网只有两个可用地址，刚好够两台设备的互联接口用，不会像/24那样白白浪费252个地址，还能避免互联网段被广播报文充斥。三层互联本来就只需要端到端的两个IP，你要是给它一个大网段，反而容易引起路由汇总和广播问题。

关于“不等比链路也能绑”，我在这里多说一句。有人会担心，两根千兆线绑在一起是不是一定要带宽一致？其实聚合机制并不要求成员口带宽完全一致，它只看成员口是不是都Up。但实际效果要看哈希算法，如果一根千兆加一根百兆，转发时按流哈希，部分流会撞到百兆口上，体验会差。所以实验和生产里，我还是建议同速率成员口，这能省去后面一堆解释不清的麻烦。

4. 交换机上完整配置过程：从VLAN到聚合再到静态路由

4.1 基础配置：VLAN和三层接口

登录设备后，先创建VLAN并配置VLANIF接口。以SW-A为例：

system-view vlan 10 quit interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit

SW-B上类似，创建VLAN 30并配置VLANIF 30。

system-view vlan 30 quit interface Vlanif 30 ip address 192.168.30.1 255.255.255.0 quit

到这里，两台交换机各自有了直连网段的路由，但互相之间还完全不通，因为它们之间连三层都没建立。接下来就是核心部分：创建三层聚合口，把两条物理线加进去配IP。

4.2 创建Eth-Trunk并加入成员口

创建Eth-Trunk聚合口，指定为LACP模式，然后配IP。SW-A的配置如下：

interface Eth-Trunk 1 mode lacp-static ip address 10.0.12.1 255.255.255.252 quit interface GigabitEthernet0/0/1 eth-trunk 1 quit interface GigabitEthernet0/0/2 eth-trunk 1 quit

SW-B的配置除了IP地址改为10.0.12.2，其他逻辑相同：

interface Eth-Trunk 1 mode lacp-static ip address 10.0.12.2 255.255.255.252 quit interface GigabitEthernet0/0/1 eth-trunk 1 quit interface GigabitEthernet0/0/2 eth-trunk 1 quit

这里有个细节要强调：成员口加入Eth-Trunk之后，就不能再单独配IP、不能单独配VLAN或trunk属性，因为它的所有配置都继承自聚合口。这也是很多人第一次实验时最容易报错的地方，在物理口上敲了配置，系统提示“该接口属于Eth-Trunk，请到Eth-Trunk下配置”。

还有一点，两台设备聚合口的编号不一定要一样。SW-A用Eth-Trunk 1，SW-B完全可以用Eth-Trunk 2，只要LACP协商参数匹配，它们一样能聚合成一条逻辑链路。不过为了维护方便，我还是建议两边编号一致，否则以后排障时对着两边的接口号还要换算，累。

4.3 配置静态路由

聚合口配好，三层链路就通了。这时你可以在SW-A上ping一下SW-B的互联地址10.0.12.2，应该能通。但要实现PC-A和PC-B跨网段互通，还差静态路由这一步。

SW-A上的静态路由：

ip route-static 192.168.30.0 255.255.255.0 10.0.12.2

这条命令的意思是：凡是目的IP在192.168.30.0/24这个网段的流量，都交给下一跳10.0.12.2。10.0.12.2是谁？就是SW-B的Eth-Trunk 1接口地址。因为10.0.12.0/30是SW-A的直连网段，这个下一跳直接可达，所以这条静态路由会被加入路由表并生效。

SW-B上的静态路由：

ip route-static 192.168.10.0 255.255.255.0 10.0.12.1

如果你在SW-A上还配置了VLAN 20（网段假设为192.168.20.0/24），那么SW-B需要再加一条：

ip route-static 192.168.20.0 255.255.255.0 10.0.12.1

这里有一个初学者几乎必踩的坑：静态路由的下一跳，必须是当前设备直连网段内的地址。有人会把下一跳写成对端的LoopBack地址，或者写成远端非直连的某个IP，结果路由表里那条静态路由永远是Inactive状态，因为设备根本不知道怎么把包送到那个“下一跳”去。记住一句话：下一跳是“交给谁”，而不是“目的地在哪里”，这个“谁”必须是你直接够得着的邻居。

4.4 完整命令序列：可以直接抄作业

为了让你实验时不漏配，我把SW-A和SW-B的完整配置贴出来，你按顺序敲即可。

SW-A完整配置：

system-view sysname SW-A vlan 10 quit interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 quit interface Eth-Trunk 1 mode lacp-static ip address 10.0.12.1 255.255.255.252 quit interface GigabitEthernet0/0/1 eth-trunk 1 quit interface GigabitEthernet0/0/2 eth-trunk 1 quit ip route-static 192.168.30.0 255.255.255.0 10.0.12.2

SW-B完整配置：

system-view sysname SW-B vlan 30 quit interface Vlanif 30 ip address 192.168.30.1 255.255.255.0 quit interface Eth-Trunk 1 mode lacp-static ip address 10.0.12.2 255.255.255.252 quit interface GigabitEthernet0/0/1 eth-trunk 1 quit interface GigabitEthernet0/0/2 eth-trunk 1 quit ip route-static 192.168.10.0 255.255.255.0 10.0.12.1

注意，真实设备的接口编号可能不一样，比如有的设备从0/0/0开始编号，有的叫TenGigabitEthernet，你换成实际接口名即可。另外，如果你的PC是用直连线接交换机，还要确认PC所在端口在正确的VLAN里，实验里PC-A在SW-A的VLAN 10、PC-B在SW-B的VLAN 30，这一步别漏。

5. 验证与排障：路由表、负载分担、断链切换

5.1 验证静态路由是否生效

配置完成后，第一步不是急着ping，先看路由表。在SW-A上执行查看路由表命令（不同厂商关键词略有差异，但逻辑一致）：

display ip routing-table

你会看到类似这样的关键条目：

Destination/Mask Proto Pre Cost NextHop Interface 192.168.10.0/24 Direct 0 0 192.168.10.1 Vlanif10 10.0.12.0/30 Direct 0 0 10.0.12.1 Eth-Trunk1 192.168.30.0/24 Static 60 0 10.0.12.2 Eth-Trunk1

看到最后一条，Proto是Static，NextHop是10.0.12.2，出接口是Eth-Trunk1，说明静态路由已经生效。如果这Proto一栏显示的是一条不可用状态，或者根本看不到这条路由，大概率就是下一跳不可达或者掩码写错了。

路由表没问题，再从PC-A去ping PC-B：

ping 192.168.30.10

通了就说明数据包的来回路径都通了。这里我再多提一句，ping通只是基本验证，我还建议你tracert一下，看清路径是否真的经过了Eth-Trunk。如果不通，先ping网关，再ping对端互联地址，逐段定位，不要上来就怀疑静态路由。

5.2 验证三层聚合的负载分担

很多人做完实验，看到ping通了就觉得万事大吉。但通了不代表聚合生效了。你要确认流量真的从两条物理线上分担了，才算把三层链路聚合玩明白。

在SW-A上查看Eth-Trunk的成员口状态：

display eth-trunk 1

输出里会列出两个成员口，状态都是Up，Selected为Yes，说明它们都被选中参与了数据转发。如果有一个成员口状态是Unselected或者Down，流量其实只走了一条线，聚合名存实亡。

更直观的办法是看接口计数器。在SW-A上分别查看两个成员口的流量统计：

display interface GigabitEthernet0/0/1 display interface GigabitEthernet0/0/2

然后让PC-A持续往PC-B传输数据（比如拷贝一个大文件），再看两个口的In/Out速率。正常情况两个口的流量都会上涨，只是数值可能不一样，因为哈希算法是“按流分担”而不是“按包轮流平分”。它根据源IP、目的IP、端口号等信息做哈希，把不同的会话分到不同成员口上，同一个会话的所有包都走同一个口，保证不乱序。

如果你发现只有一根线在跑，另一根完全没流量，常见原因是：流量类型太单一（比如只有一条TCP连接在下载）或者数据包太少，哈希结果全落到同一个成员口上了。这也解释了为什么我在前面的设计里建议加VLAN 20，目的就是制造更多网段间的会话，让负载分担效果看得更直观。

5.3 断链切换测试：静态路由的可靠性验证

到了这个环节，实验的核心价值才真正体现出来。在SW-A上手动把其中一个成员口shutdown，比如关闭GE0/0/1：

interface GigabitEthernet0/0/1 shutdown

这时候再看Eth-Trunk 1的状态，聚合口仍然是Up的，只是成员口少了一个。再去PC-A ping PC-B，业务完全不停。这就是聚合冗余的价值。

重新开启GE0/0/1：

interface GigabitEthernet0/0/1 undo shutdown

聚合口会自动把这条成员口重新协商回来，不需要人为干预。整个过程中，静态路由为什么不需要动？因为静态路由的下一跳指向的是Eth-Trunk 1的IP地址，而聚合口一直Up，路由一直有效。物理链路的变化被聚合层完全“消化”了，路由层面毫无感知。反过来，如果你当初没有做聚合，而是在两台设备之间拉了两根物理线、分别配了两个网段的IP、写了两个静态路由，断一根线时虽然也能靠等价路由继续转发，但对端地址如果变了，路由的活跃状态可能会出现瞬间波动，而且配置复杂度高得多。

5.4 常见问题排查清单

实验做不通，九成是下面这几类问题。我把它们整理成一张表，方便你对照排查：

排障时我建议遵循“从底层往上层”的思路：先物理链路，再聚合协商，再三层连通性，最后路由表。不要一上来就在路由表里纠结，很多静态路由“不生效”的案子，追到最后其实是对端设备压根没回包，也就是回程路由缺失。双向路由都确认了，问题基本就没了。

我自己做这套实验时，还有一个小习惯：在两台设备互联的三层聚合口上都敲一条描述信息，写明对端设备是谁、互联地址是哪一段。比如在SW-A的Eth-Trunk 1下面写“link to SW-B, 10.0.12.0/30”。几个月后回看配置，或者同事接手排障，一眼就能看懂这条链路是干嘛的。这不是什么高深技术，但能帮你在关键时刻省下大量时间。静态路由和三层链路聚合的组合，说到底就是一套“让网络更简单、更可控”的工程思路。你把这个实验彻底吃透，后面再看动态路由和更复杂的冗余设计，都会觉得从容很多。