出口路由 · 50 分钟
核心连接出口与默认路由
配置核心到出口的三层链路和默认路由，并验证双向回程。
1. 需求与验收
园区未知目的流量交给出口设备，管理网必须保留，且验收需覆盖回程路由。
学习目标
- 能够解释“核心连接出口与默认路由”的业务目标、技术前提和影响范围。
- 能够比较四厂商关键命令差异并按计划完成配置、验证与回滚。
- 能够根据设备状态和端到端业务证据定位常见错误，而不是依赖试错。
业务验收标准
- 服务器业务区 VLAN 50、备份网络 VLAN 80 的端口、VLAN 与地址状态和规划表一致。
- 验证清单全部达到预期，且未影响范围外业务。
- 能够使用变更前证据完成回滚并恢复原业务状态。
2. 范围、风险与窗口
范围约束
- 只变更本案例需求和步骤明确列出的对象。
- 管理连接中断、合法业务失败或输出偏离预期时立即停止并回滚。
不在范围
- 运营商公网、终端操作系统和应用内部配置不在本案例范围。
维护窗口：建议预留 90 分钟，最后 15 分钟只用于验收和回滚判断。
影响：可能中断范围内业务或放宽安全边界。
缓解：执行前按设备、接口、VLAN/前缀和方向四项交叉核对。
影响：交付后仍可能存在回程、策略或故障切换问题。
缓解：同时执行配置、协议/表项和业务正反例验收。
3. 现网与目标拓扑
现网状态
当前状态尚未满足“园区未知目的流量交给出口设备，管理网必须保留，且验收需覆盖回程路由。”；实施前必须用本案例前检命令记录真实设备、接口、协议和业务基线。
目标拓扑
4. 设备与接口
| 设备 | 接口 | 对端 | 用途 | 类型 |
|---|---|---|---|---|
| Access-SW1 | GE0/0/1 | Client-1 Ethernet0 | 业务终端接入与正反例测试 | Access |
| Access-SW1 | GE0/0/24 | Core-SW1 GE0/0/24 | 接入到核心的受控上联 | 三层 |
5. VLAN 与 IP 规划
| 区域 | VLAN | 网段 | 网关 |
|---|---|---|---|
| 设备管理网 | 99 | 10.10.99.0/24 | 10.10.99.1 |
6. 实施前检查
- 确认设备型号、软件版本、当前提示符和带外路径。
- 导出当前配置并采集相关接口、表项、协议和日志。
- 从真实终端保存变更前允许与禁止业务结果。
7. 实施步骤
- 确认范围并冻结基线
核对需求“园区未知目的流量交给出口设备，管理网必须保留，且验收需覆盖回程路由。”，采集设备、接口、配置、协议和业务现状，确认维护窗口、停止条件及带外路径。
- 配置三层物理接口
把目标上联转换为三层接口，配置 192.168.1.1/30，并确认接口和直连路由处于有效状态。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 配置默认路由
把 0.0.0.0/0 指向出口下一跳 192.168.1.2，并确认未知目的流量匹配该路由。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 按目标前缀查询路由
确认具体目标最终匹配的路由、下一跳与出接口 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 使用指定源地址 Ping
从指定网关或链路地址验证路由与回程路径 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 执行正反例和回滚演练
按案例验收项分别证明允许业务成功、禁止业务被拒绝；触发停止条件时只撤销本案例对象，并重复原测试。
- 提交证据并交接
提交实际配置差异、验证输出、故障记录、回滚结果和遗留风险，由实施人与审核人分别签字。
8. 四厂商配置
华为 · Campus-Core-1
VRP · V200R019 及以上（三层交换平台） / V200R019 及以上
system-view interface GigabitEthernet 0/0/1 ip address 192.168.1.1 255.255.255.252 system-view ip route-static 0.0.0.0 0.0.0.0 192.168.1.2 display ip routing-table 10.20.30.40 ping -a 10.10.10.1 10.10.254.1
华三 · Campus-Core-1
Comware · 7.1 及以上
system-view interface GigabitEthernet 0/0/1 ip address 192.168.1.1 255.255.255.252 system-view ip route-static 0.0.0.0 0.0.0.0 192.168.1.2 display ip routing-table 10.20.30.40 ping -a 10.10.10.1 10.10.254.1
思科 · Campus-Core-1
IOS · 15.2 及以上（三层交换平台） / 15.2 及以上
configure terminal interface GigabitEthernet0/1 ip address 192.168.1.1 255.255.255.252 configure terminal ip route 0.0.0.0 0.0.0.0 192.168.1.2 show ip route 10.20.30.40 ping 10.10.254.1 source 10.10.10.1
锐捷 · Campus-Core-1
RGOS · 11.x 及以上
configure terminal interface GigabitEthernet0/1 ip address 192.168.1.1 255.255.255.252 configure terminal ip route 0.0.0.0 0.0.0.0 192.168.1.2 show ip route 10.20.30.40 ping 10.10.254.1 source 10.10.10.1
9. 验证与验收
display ip interface brief确认接口地址和物理、协议状态，并检查直连路由。
display ip routing-table 0.0.0.0确认默认路由有效、下一跳和出接口正确。
display fib 10.20.30.40读取实际状态或计数器，确认“确认具体目标最终匹配的路由、下一跳与出接口”已经满足。
display ip routing-table 10.10.254.1读取实际状态或计数器，确认“从指定网关或链路地址验证路由与回程路径”已经满足。
10. 故障定位
接口原有 VLAN 和 Trunk 业务被移除，可能中断多个网段。；变更前备份接口配置、确认无二层成员关系并准备恢复 portswitch 的回退。
所有没有具体路由的外部流量都会失败。；检查上联接口、直连路由和 ARP，并准备备份默认路由或跟踪机制。
仅凭配置回显判断成功，可能遗漏接口状态、协议协商或上下游不一致。；执行 display fib 10.20.30.40，结合变更前基线和对端状态逐项复核；异常时使用本主题回滚命令恢复。
仅凭配置回显判断成功，可能遗漏接口状态、协议协商或上下游不一致。；执行 display ip routing-table 10.10.254.1，结合变更前基线和对端状态逐项复核；异常时使用本主题回滚命令恢复。
11. 回滚方法
华为
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
undo portswitch undo ip route-static 0.0.0.0 0.0.0.0 192.168.1.2 无需回滚（只读操作） undo ping -a 10.10.10.1 10.10.254.1
华三
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
undo portswitch undo ip route-static 0.0.0.0 0.0.0.0 192.168.1.2 无需回滚（只读操作） undo ping -a 10.10.10.1 10.10.254.1
思科
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
no switchport no shutdown no ip route 0.0.0.0 0.0.0.0 192.168.1.2 无需回滚（只读操作） no ping 10.10.254.1 source 10.10.10.1
锐捷
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
no switchport no shutdown no ip route 0.0.0.0 0.0.0.0 192.168.1.2 无需回滚（只读操作） no ping 10.10.254.1 source 10.10.10.1
12. 交付物
- 变更前基线、需求与影响范围确认记录。
- 实际配置差异及配置、协议/表项、业务三层验证证据。
- 异常、停止、回滚和复测记录，以及交接后的责任人与巡检项。