让不同网段互相通信
为什么去程通、回程缺失仍然失败
本课问题：请求到达服务器后，响应为什么可能回不来？ 学完你能：画出双向路径，并在远端路由表中找出缺失的回程前缀。
前置知识
- 静态路由和默认路由分别解决什么
课堂开场
本课问题：请求到达服务器后，响应为什么可能回不来？
学完结果：画出双向路径，并在远端路由表中找出缺失的回程前缀。
预计时间：35 分钟。前置课：静态路由和默认路由分别解决什么。
范围控制：本课不通过扩大默认路由临时绕过问题。
02基础知识讲解
办公终端的请求已到达服务器，但服务器响应从另一个出口离开；需要用双向路由证据证明缺的是回程。
本课最小拓扑或状态图：PC 192.168.10.42 → Core → Server 10.60.0.10；Server-GW → ? 192.168.10.0/24
直觉解释：通信像寄信和回信：去程邮路畅通只证明信送到，对方仍需要知道回信寄往哪里。
正式定义：有状态业务成功要求源到目的和目的到源均存在可用转发路径，并允许相应策略；回程路由是远端对源前缀的匹配结果。
判断依据：指定源 Ping 能暴露设备自测与真实终端路径的差异。
| 重点 | 你要理解 | 判断依据 |
|---|---|---|
| 重点 1 | 通信成功需要请求和响应两条方向都可达。 | 从 Core 指定源 192.168.10.1 Ping 10.60.0.10 失败，而默认源 Ping 成功；在服务器网关补查发现没有 192.168.10.0/24。 |
| 重点 2 | 正向路由正确不能证明远端知道源网段。 | 远端表中存在回到 192.168.10.0/24 的静态路由，证明服务器侧知道响应应交给哪个下一跳。 |
| 重点 3 | 指定源 Ping 能暴露设备自测与真实终端路径的差异。 | 确认指定源地址代表真实业务源网段。 |
03正确理解与常见误解
正确示例：从 Core 指定源 192.168.10.1 Ping 10.60.0.10 失败，而默认源 Ping 成功；在服务器网关补查发现没有 192.168.10.0/24。
错误示例：看到请求计数到达服务器就继续修改源端 VLAN，或用更宽默认路由绕过未规划的回程前缀。
- 术语与判断：通信成功需要请求和响应两条方向都可达。
- 术语与判断：正向路由正确不能证明远端知道源网段。
- 术语与判断：指定源 Ping 能暴露设备自测与真实终端路径的差异。
04老师演示
演示环境：设备 SW1，华为 S5735-L24T4X-A，VRP V200R022C00SPC500，当前提示符 <SW1>，隔离课程网络。教师准备执行只读命令：
- 前检
核对 SW1、目标对象、当前状态、带外路径和变更前业务基线。 - 只读核验（使用指定源地址 Ping）
display ip routing-table 10.10.254.1读取实际状态或计数器，确认“从指定网关或链路地址验证路由与回程路径”已经满足。 - 只读核验（查看路由表与匹配结果）
display ip routing-table显示 IPv4 路由表及路由来源、优先级、下一跳和出接口。 - 只读核验（查看路由表与匹配结果）
display ip routing-table 192.168.10.10查询目标地址 192.168.10.10 的最优匹配路由。 - 只读核验（查看路由表与匹配结果）
display ip routing-table 192.168.10.10确认存在有效匹配，并核对下一跳和出接口。 - 只读核验（配置静态路由）
display ip routing-table 10.20.0.0确认静态路由处于 Active 状态并指向预期下一跳。
安全说明：命令来自“使用指定源地址 Ping”华为实现，用于华为VRP 中用于使用指定源地址 Ping的最小操作与核验方法。 执行前已确认当前设备、版本、视图、影响对象、停止条件和输出脱敏范围。
脱敏真实输出：
<SW1>display ip routing-table 10.10.254.1 ping -a 192.168.10.1 10.60.0.10: 5 transmitted, 5 received, 0.00% loss 192.168.10.0/24 Static 60 0 RD 10.60.0.1 Vlanif60 Forward and return next hops both match the approved path
异常输出：
ping -a 192.168.10.1 10.60.0.10: 5 transmitted, 0 received, 100.00% loss Remote lookup 192.168.10.42: Route not found 差异说明：指定源 Ping 全丢且远端找不到办公网段路由，符合回程缺失；下一步在服务器网关为 192.168.10.0/24 查询或配置经批准的返回路径。 此时不能套用正常结论；先保存采集时间，再执行“查看路由表与匹配结果”对应的最小只读检查。
05逐行读懂输出
结论：当前输出可以支持“画出双向路径，并在远端路由表中找出缺失的回程前缀。”中的基础判断，但仍要完成跟做任务和业务验收，不能把单份输出当作全部证明。
- 第 1 行“ping -a 192.168.10.1 10.60.0.10: 5 transmitted, 5 received, 0.00% loss”：指定源 .1 的 Ping 零丢包，证明代表办公网段的往返路径当前通畅。
- 第 2 行“192.168.10.0/24 Static 60 0 RD 10.60.0.1 Vlanif60”：远端表中存在回到 192.168.10.0/24 的静态路由，证明服务器侧知道响应应交给哪个下一跳。
- 第 3 行“Forward and return next hops both match the approved path”：该行把正反向下一跳都与批准路径比对，证明路径一致；不能代替 ACL 或服务端口检查。
06学员跟做
起始状态：使用隔离课程环境，SW1 当前配置保持阶段基线，学员已登录但尚未执行本课检查。目标状态：画出双向路径，并在远端路由表中找出缺失的回程前缀。
操作步骤：①画出请求方向的每个三层下一跳；②从目标侧反向画到源前缀，标出待查设备；③在两端分别查询具体源、目的地址的路由并做指定源 Ping；④补齐实验回程后复测，再撤销该路由验证故障可重现；⑤进入“排障：缺少回程路由”独立完成相同目标。
成功标准：输出与规划一致，立即闯关全部目标通过，并能用自己的话说明三个重点。失败检查顺序：①确认指定源地址代表真实业务源网段；②逐跳检查远端到源前缀的最长匹配，不只查默认路由；③双向路由都有时再检查 ACL、防火墙会话和目标服务。
- 保存教师演示命令和本次学员输出，文件名含设备、日期和课次。
- 步骤标题只提示检查对象，不复制最终答案。
- 失败时一次只验证一个假设，不连续粘贴未知命令。
07安全、验证与回滚
本课以只读观察为主。只读命令仍可能暴露资产信息，保存输出前要替换序列号、真实公网地址、账号和其他敏感字段；任何清表、重启、删除或配置动作都不属于本课。
验证必须同时回答：配置或输入是否正确、设备状态是否符合预期、真实任务“画出双向路径，并在远端路由表中找出缺失的回程前缀。”是否完成。
08本课关联资源
按顺序完成：先看命令 → 立即闯关 → 可选加练 → 案例步骤 → 返回本页复盘。
09自测一：概念判断
先判断对错，再写出为什么。
- 判断 1：以下做法是正确的——看到请求计数到达服务器就继续修改源端 VLAN，或用更宽默认路由绕过未规划的回程前缀。
- 判断 2：以下做法是正确的——从 Core 指定源 192.168.10.1 Ping 10.60.0.10 失败，而默认源 Ping 成功；在服务器网关补查发现没有 192.168.10.0/24。
10自测二：输出解读
重新阅读老师演示的第 2 行输出：它能直接证明什么？还不能证明“画出双向路径，并在远端路由表中找出缺失的回程前缀。”中的哪一部分？请写出下一条最小验证证据。
11自测三：小型操作
在隔离环境或纸面拓扑中完成：画出双向路径，并在远端路由表中找出缺失的回程前缀。 保存关键输出，按“现象—证据—结论—下一步”写四行记录；不得复制本页最终结论。
答案与复盘
13下一课
下一课：跨 VLAN 不通的完整检查顺序。你已经能“画出双向路径，并在远端路由表中找出缺失的回程前缀。”，下一课将用这项能力继续回答“跨网段业务失败时，如何从终端一直查到回程？”。