简介《2023年全国职业院校技能大赛网络建设与运维赛项赛题详解》面向参赛学生、指导教师及参考企业网络运维实践的技术人员围绕赛题流程、设备配置与评分标准提供完整备赛参照。资源包为1个PDF文件约651KB单文件便于查阅已有285人学习。正文按网络理论测试、网络建设与调试、服务搭建与运维三个模块展开覆盖综合布线、交换机与路由器配置、无线网络部署、网络安全维护、Windows与Linux云服务配置及系统运维等任务。文中提供网络拓扑图、设备IP地址分配表、各任务操作步骤和评分细则读者可据此搭建实验环境、核对配置思路、复盘关键命令并梳理常见排错点帮助熟悉评分点、提升网络搭建、安全加固与云服务排障能力适合备赛训练与日常运维查阅。1. 先别急着开虚拟机某网络建设与运维赛题环境装错版本会卡在哪我见过最容易翻车的备赛现场不是路由协议配错而是虚拟机一开就卡在登录界面。某备赛小组把 ubuntu-desktop-amd64 镜像换成了自己惯用的桌面版结果 remmina 连不上 server1 上的虚拟机另一台 Kylin arm64 又因为宿主机没开虚拟化直接黑屏。网络建设与运维赛题环境安装配置这件事版本对不上后面 DHCP、OSPF、BGP 全是白忙。这套环境跨 x86 与 ARM 两套操作系统还要在 Windows Server 2022 上跑域和证书服务装不好最直接的表现就是邻居起不来、地址拿不到、HTTPS 一直告警。它适合正在复现赛题环境的参赛学生也适合想拿这套拓扑练网络建设、网络安全和路由协议的运维新手照着版本清单走比事后救火省时间。2. 环境清单与版本选择Ubuntu Desktop amd64、Kylin arm64 和 Windows Server 2022 怎么配这套赛题环境的第一道门槛不是技术而是版本。PC1 要装 ubuntu-desktop-amd64PC2 要从 U 盘启动安装 kylin-desktop-arm64Windows 侧要准备 windows2022 镜像并起出 windows1 到 windows9 这批实例。网络侧还有 SW1、SW2、SW3、RT1、RT2、FW1、FW2、AC1、AP1 这些设备角色。版本选错后面不是配置问题而是环境根本不按赛题预期跑。常见做法是先把镜像、虚拟机、网络设备模拟环境三件事分开核对再开始装系统不要一边装 Ubuntu 一边改拓扑最后出了问题连是镜像还是地址规划都分不清。2.1 硬件与虚拟化底座CPU 虚拟化、内存和双网卡宿主机先看三样CPU 虚拟化、内存、磁盘。内存 16GB 是能跑起来的底线想同时开 Windows Server 2022 实例和网络设备模拟环境32GB 更稳。磁盘建议留 100GB 以上Windows 实例、快照和镜像缓存都吃空间。网卡至少两块一块做管理一块做业务实验只有一块网卡时DHCP 中继和跨网段验证很容易把自己绕进去。CPU 虚拟化没开ARM 镜像和 x86 虚拟机都会出现启动黑屏或性能异常这类问题在日志里不明显属于典型的玄学翻车点。# 在宿主机上确认虚拟化标志输出大于 0 才说明 VT-x/AMD-V 已打开 egrep -c (vmx|svm) /proc/cpuinfo # 看内存和镜像目录剩余空间目录按自己的虚拟化平台实际路径替换 free -h df -h /var/lib/libvirt/images这段命令的逻辑是先排除底座问题。egrep -c统计 CPU 标志数量结果为 0 时不要急着装系统先进 BIOS 打开虚拟化。free -h看的是可用内存不是总内存Windows 实例一开缓存会迅速吃掉空间。df -h后面的路径要换成自己存放镜像的目录空间不足时先清旧快照不要删赛题镜像。提示ARM 镜像不要随便找一台 x86 机器硬跑先确认宿主机或实验环境支持 ARM 虚拟化否则安装器阶段就会卡住。2.2 镜像版本对照ubuntu-desktop-amd64、kylin-desktop-arm64、windows2022镜像不要混用。PC1 用 ubuntu-desktop-amd64安装时创建用户 xiao密码 Key-1122装完后配置该用户免密码执行 sudo。PC2 用 kylin-desktop-arm64从 U 盘启动安装语言选英文同样创建 xiao 用户并配置 sudo 免密。Windows 侧统一用 windows2022 镜像先按赛题要求删除云管理平台里已有的实例类型再创建名为 Skills 的类型4 vCPU、4096MB 内存、100GB 磁盘。实例名称、IPv4 地址和主机名要按表落地不要先起实例再改名域环境里改主机名会牵出 DNS 记录和证书主题问题。角色镜像/系统关键配置常见坑PC1ubuntu-desktop-amd64用户 xiaosudo 免密装 remmina换非指定桌面版导致远程连接异常PC2kylin-desktop-arm64U 盘启动英文安装用户 xiao宿主机不支持 ARM 虚拟化启动黑屏windows1/windows2windows2022域控、辅助域控、DNS、证书服务先改主机名再装域控顺序反了排错困难windows3-windows9windows2022加域使用 skills\Administrator 登录IP 和主机名表对不上DNS 解析失败网络设备赛题配套模拟环境SW1/SW2/SW3/RT1/RT2/FW1/FW2/AC1/AP1设备角色和接口编号录错后续全盘返工镜像校验不要省。拿到镜像后先看文件名、大小和校验值尤其是 U 盘里拷来拷去的 Kylin 镜像写盘失败很常见。常见做法是把镜像放在独立目录命名里带角色比如pc1-ubuntu-desktop-amd64、pc2-kylin-desktop-arm64、win2022-template不要用新建文件夹这种名字。后面做快照和回滚时文件名清楚能省很多时间。# 建立镜像和实例目录路径按自己的实验盘调整 mkdir -p /data/images/{pc1,pc2,windows} mkdir -p /data/vms/{pc1,pc2,windows} # 校验镜像sha256 值以资源包或镜像源提供为准 sha256sum /data/images/pc1/ubuntu-desktop-amd64.iso sha256sum /data/images/pc2/kylin-desktop-arm64.iso这段命令的逻辑是把镜像和实例分开存放避免快照把镜像目录撑满。sha256sum的输出要和资源提供方给的值一致不一致时不要继续安装先重新拷贝或重新写 U 盘。参数上/data要换成实际数据盘不要放在系统盘根目录下Windows 实例的磁盘文件增长很快。2.3 IP 规划表落地先画 VLAN 和地址池再开设备网络部分不要上来就敲路由协议。先把 IP 地址分配表落成一张可查的表至少要覆盖 Loopback1、业务 VLAN、互联地址和 DHCP 池。SW1 的 Loopback1 是 10.4.1.1/32IPv6 是 2001:10:4:1::1/128Vlan11 是 10.4.11.1/24对应 IPv6 2001:10:4:11::1/64。SW2 的 Loopback1 是 10.4.2.1/32Vlan21 是 10.4.21.1/24。SW3 的 Loopback1 是 10.4.3.1/32办事处 VLAN110 是 10.4.110.1/24VLAN120 是 10.4.120.1/24。RT1、RT2、FW1、FW2、AC1 也按同样方式先录表再配接口。这一步的取舍是不要把所有地址都塞进一张纸。按“设备名、接口、IPv4、IPv6、所属 VRF、备注”做表VRF 列先留空等 BGP/MPLS 那章再填。DHCP 池名称也要提前定PC1、PC2、AP1、POOLv4-VLAN11、POOLv4-VLAN21、POOLv4-VLAN130、POOLv4-VLAN140、POOLv4-VLAN150IPv6 池同理。池名称后面会跟保留地址绑定临时改名会让保留地址失效。注意虚拟主机的 IP 地址必须手动设置为该虚拟机自动获取到的 IP 地址不要随手写一个同网段地址否则云平台侧和系统侧会打架。3. 基础系统安装Ubuntu 免密 sudo、Kylin 串口和 Windows 2022 模板基础系统安装阶段最怕“装完能用但不符合赛题”。Ubuntu 要的是指定镜像和指定用户Kylin 要的是 ARM 架构和英文安装Windows 要的是能进域、能发证书的模板机。三套系统不要并行装装完一套先做快照再装下一套。这样后面配置 DHCP、OSPF、BGP 时至少系统层是干净的。3.1 Ubuntu Desktop amd64xiao 用户、sudo 免密和 remminaUbuntu 安装时创建用户 xiao密码 Key-1122。装完先确认系统能正常登录再配置 sudo 免密。不要直接编辑/etc/sudoers用visudo -f写 drop-in 文件写坏后还能用visudo -c检查。配置完成后装 remmina用它连接 server1 上的虚拟机。remmina 的协议、地址和凭据按赛题环境填写不要先连再猜。# 用 drop-in 文件配置 sudo 免密避免直接改主 sudoers sudo visudo -f /etc/sudoers.d/90-xiao # 文件内容 xiao ALL(ALL) NOPASSWD:ALL # 检查语法并确认权限 sudo visudo -c sudo chmod 0440 /etc/sudoers.d/90-xiao这段配置的逻辑是把免密规则单独放在90-xiao文件里主 sudoers 不动。NOPASSWD:ALL表示 xiao 执行 sudo 时不再输入密码赛题环境里常见这种做法。visudo -c是后悔药语法错的时候会直接报出来权限必须是 0440权限过宽 sudo 会拒绝加载。# 安装 remmina 并确认版本信息 sudo apt update sudo apt install -y remmina remmina --versionapt update先刷新索引apt install装 remmina。remmina --version只用于确认程序能启动不要求特定版本号赛题环境里不要为了追新版本去换软件源换源后依赖冲突反而更麻烦。连接 server1 上的虚拟机时地址、用户名和密码按赛题说明走未指定的密码统一用 Key-1122。3.2 Kylin Desktop arm64U 盘启动、英文安装和 minicomPC2 从 U 盘启动安装 kylin-desktop-arm64安装语言选英文创建用户 xiao密码 Key-1122。安装完成后同样配置 sudo 免密再装 minicom 连接网络设备。ARM 环境里最常见的问题是启动项选错U 盘插上后如果没有进启动菜单机器会直接进原来的系统看起来像镜像坏了。另一个坑是串口参数网络设备 console 常见 9600 8N1硬件流控要关否则 minicom 里能看到字符但敲命令没反应。# 安装 minicom 并进入配置界面 sudo apt install -y minicom sudo minicom -sminicom -s进入配置界面后串口设备按实际识别结果填比如/dev/ttyUSB0波特率 9600数据位 8停止位 1校验无硬件流控关。保存为默认配置后再启动。参数不要凭感觉改网络设备 console 口速率不匹配时表现就是乱码或空屏。# 查看串口设备是否被识别 dmesg | grep -i ttyUSB ls -l /dev/ttyUSB*dmesg用来确认 USB 转串口有没有被系统识别ls -l看设备节点权限。普通用户读不了/dev/ttyUSB0时把用户加入dialout组再重新登录。这个排查顺序比反复换线更有效。3.3 Windows Server 2022主机名、静态 IP 和域控前置Windows 侧先按实例表改主机名和 IP。windows1 是 10.4.210.101主机名 windows1windows2 是 10.4.210.102主机名 windows2windows3 到 windows9 按表落地有的实例带多个 IPv4 地址不要只配第一个。DNS 在域控装好之前可以先指向 windows1 的计划地址装完域控后再回头确认。所有 Windows 主机最终用skills\Administrator身份登录域控上安装 DNS 服务正反向区域在 Active Directory 中存储。# 改主机名重启后生效网卡名先用 Get-NetAdapter 查 Rename-Computer -NewName windows1 -Restart # 配静态 IP、网关和 DNS接口别名按实际网卡替换 New-NetIPAddress -InterfaceAlias Ethernet0 -IPAddress 10.4.210.101 -PrefixLength 24 -DefaultGateway 10.4.210.1 Set-DnsClientServerAddress -InterfaceAlias Ethernet0 -ServerAddresses 10.4.210.101这段 PowerShell 的逻辑是先改主机名再配地址。Rename-Computer带-Restart会立即重启所以先把要保存的工作做完。New-NetIPAddress里-PrefixLength 24对应 255.255.255.0网关是 10.4.210.1。Set-DnsClientServerAddress把 DNS 指向 windows1等域控和 DNS 服务装好后辅助域控 windows2 再指向自己或 windows1 做冗余。windows1 安装域控制器和 DNS 后windows2 配成辅助域控制器DNS 正反向区域同样在 Active Directory 中存储。其他 Windows 主机加入 skills.lan 域。证书服务在 windows1 上安装证书颁发机构有效期 10 年公用名 windows1.skills.lan。复制“计算机”证书模板名称为“计算机副本”申请并颁发供 Windows 服务器使用的证书友好名 pc有效期 5 年公用名 skills.lan国家 CN省某省城市某市组织 skills组织单位 system使用者可选名称包含*.skills.lan和skills.lan。浏览器访问 HTTPS 网站时不想看到证书警告SAN 里这两个名字都不能少。提示证书模板复制后先确认“使用者可选名称”可编辑否则申请出来的证书只有公用名浏览器访问根域或子域时仍会告警。4. 网络服务配置DHCP、OSPFv2/v3 与 BGP/MPLS VRF 的上手顺序网络配置的顺序建议是接口地址和 VLAN 先通DHCP 再发地址然后 OSPF/IS-IS/RIP 起邻居最后上 BGP 和 MPLS VRF。这个顺序反了排错会变成黑匣子BGP 邻居不起来可能只是底层直连不通DHCP 拿不到地址可能只是中继地址写错。配置前先把 SW1、SW2、SW3 的 VLAN 和二层链路放通只允许题目要求的 VLAN 通过不限制 VLAN1。4.1 先配 IP 和 DHCPVLAN 网关、地址池与中继SW2 负责 DHCPv4 和 DHCPv6为 Vlan11、Vlan21、Vlan130、Vlan140、Vlan150 分配地址。DHCPv4 地址池名称分别为 PC1、PC2、AP1、POOLv4-VLAN11、POOLv4-VLAN21、POOLv4-VLAN130、POOLv4-VLAN140、POOLv4-VLAN150排除网关DNS 为 10.4.210.101 和 10.4.220.101。DHCPv6 池名称分别为 POOLv6-VLAN11、POOLv6-VLAN21、POOLv6-VLAN130、POOLv6-VLAN140、POOLv6-VLAN150用网络前缀表示排除网关DNS 为 2400:3200::1。PC1 保留 10.4.11.9 和 2001:10:4:11::9PC2 保留 10.4.21.9 和 2001:10:4:21::9AP1 保留 10.4.130.9 和 2001:10:4:130::9。SW1、AC1 的中继地址指向 SW2 的 Loopback1。# SW2 上创建 DHCPv4 地址池池名称和赛题表一致 ip dhcp excluded-address 10.4.11.1 ip dhcp excluded-address 10.4.21.1 ip dhcp pool POOLv4-VLAN11 network 10.4.11.0 255.255.255.0 default-router 10.4.11.1 dns-server 10.4.210.101 10.4.220.101 ip dhcp pool PC1 host 10.4.11.9 255.255.255.0 client-identifier 01a0.b0c0.0001.09 default-router 10.4.11.1 dns-server 10.4.210.101 10.4.220.101这段配置的逻辑是先用excluded-address把网关排除再给普通池和保留池。network后面跟网段和掩码default-router是网关dns-server按赛题给两个地址。host用来做固定保留client-identifier要和客户端 MAC 对应如果只写hardware-address不同设备类型可能匹配不上。池名称不要改后面 SW1 的 DHCP snooping 和保留地址排查都要靠这个名字。SW1 启用 DHCPv4 和 DHCPv6 snooping如果 E1/0/1 连接 DHCPv4 服务器则关闭端口恢复时间 10 分钟。这个功能的原理是防止非法 DHCP 服务器发地址配置时要把连接合法服务器的端口设为信任其他端口不信任。常见误用是全局开了 snooping 却忘了信任上联口结果客户端一直拿不到地址。# SW1 上启用 DHCP snooping信任连接合法 DHCP 服务器的端口 ip dhcp snooping ip dhcp snooping vlan 11,21,130,140,150 interface Ethernet1/0/1 ip dhcp snooping trustip dhcp snooping打开全局功能vlan列表按业务 VLAN 填。trust只给合法 DHCP 服务器方向的上联口接 PC 的端口不要信任。E1/0/1 如果按赛题要求做异常关闭恢复时间 10 分钟要在对应端口策略里配不要和信任口混在一起。4.2 路由协议分层OSPFv2/v3、RIP/RIPng、IS-IS 的进程与区域OSPF 部分先分清进程和区域。SW1、SW2、SW3、RT1、RT2、FW1 之间跑 OSPFv2 和 OSPFv3process 1area 0发布 Loopback1 和产品路由FW1 通告 type1 默认路由。RT2 与 AC1 之间 OSPFv2 process 1 area 1 nssa no-summaryAC1 发布 Loopback1、管理、产品和营销路由并用 prefix-list 重发布 Loopback3名称 AC1-Loopback3-IPv4。OSPFv3 对应 area 1 stub no-summary。RT1、FW2、SW3 模拟办事处之间跑 OSPFv2 和 OSPFv3process 2area 2。SW3 模拟办事处发布 Loopback2、产品和营销路由FW2 发布 Loopback1RT1 发布 Loopback4 并向该区域通告 type1 默认路由。RT1 还要用 prefix-list 匹配 SW3 模拟办事处 Loopback2、产品路由、FW2 Loopback1名称分别为 SW3-FW2-IPv4 和 SW3-FW2-IPv6直连 IPv4 路由用 RT1-FW2-IPv4重发布到 process 1。# SW1 上 OSPFv2 process 1 area 0发布 Loopback1 和产品网段 router ospf 1 router-id 10.4.1.1 network 10.4.1.1 0.0.0.0 area 0 network 10.4.11.0 0.0.0.255 area 0 passive-interface Loopback1 # OSPFv3 对应配置互联接口用本地链路地址 ipv6 router ospf 1 router-id 10.4.1.1 passive-interface Loopback1 interface Vlan11 ipv6 ospf 1 area 0这段配置的逻辑是router-id用 Loopback1 地址network用反掩码passive-interface让 Loopback 不收发包但照样发布路由。OSPFv3 的接口下用ipv6 ospf 1 area 0挂区域互联接口 IPv6 用本地链路地址时不要再手动配全局地址。参数上process 号必须和题目一致area 号不能混重发布时 prefix-list 序号从 5 开始按 IP 地址从小到大递增 5route-map 序号从 10 开始递增 10这些细节在排错时能看出配置有没有按规范走。RIP 和 RIPng 用在 RT1 串行链路、RT2 串行链路、FW1、AC1 之间发布 Loopback2 地址路由FW1 的 RIPng 发布路由时用接口名称。RT1 配 offset 值 3 的路由策略让 RT1 S1/0 到 RT2 S1/1 成为主链路RT1 S1/1 到 RT2 S1/0 成为备份链路。IPv4 ACL 名称 ACL-RIP-IPv4IPv6 ACL 名称 ACL-RIP-IPv6。RT1 的 S1/0 与 RT2 的 S1/1 之间用 chap 双向认证用户名用对端设备名称密码 Key-1122。IS-IS 用在 RT1 以太链路、RT2 以太链路、FW1 之间instance 1实现 Loopback3 的 IPv4 和 IPv6 互通。RT1、RT2、FW1 的 NET 分别为 10.0000.0000.0005.00、10.0000.0000.0006.00、10.0000.0000.0007.00路由器类型 Level-2互联接口网络类型点到点。RT1 以太链路物理速率 2048000配置时注意接口带宽参数不要让别人一看就是默认值。4.3 BGP 与 MPLS VRF 隔离财务、办事处路由表怎么不串BGP 部分先把 AS 号记牢SW1、SW2、RT1 是 65001RT2 是 65002SW3 是 65003。SW1、SW2、SW3、RT1、RT2 之间通过 Loopback1 建立 IPv4 和 IPv6 BGP 邻居。SW1 和 SW2 之间财务通过 Loopback2 建立邻居Loopback2 IPv4 互通用静态路由IPv6 互通用 OSPFv3 process 2 area 2。SW1、SW2、SW3 分别只发布营销、法务、人力、财务等路由RT1 发布办事处营销路由RT2 发布分公司营销路由。SW3 营销与 SW1、SW2 营销互访优先走 SW1-SW3SW3 法务及人力与 SW1、SW2 法务及人力互访优先走 SW2-SW3主备相互备份。SW3 上用 prefix-list、route-map 和 BGP 路径属性选路新增 AS 65000。# SW1 与 SW2 通过 Loopback1 建 IPv4 BGP 邻居 router bgp 65001 bgp router-id 10.4.1.1 neighbor 10.4.2.1 remote-as 65001 neighbor 10.4.2.1 update-source Loopback1 address-family ipv4 unicast neighbor 10.4.2.1 activate network 10.4.11.0 mask 255.255.255.0router bgp后面的 AS 号必须和题目一致neighbor指向对端 Loopback1update-source保证更新源地址稳定。address-family ipv4 unicast下激活邻居并发布网段。SW3 做选路时prefix-list 名称要按题目写营销路由 SW1-SW2-YX-IPv4、SW1-SW2-YX-IPv6法务及人力路由 SW1-SW2-FWRL-IPv4、SW1-SW2-FWRL-IPv6SW3 侧营销路由 SW3-YX-IPv4、SW3-YX-IPv6法务及人力路由 SW3-FWRL-IPv4、SW3-FWRL-IPv6。名称写错route-map 匹配不上路由会按默认选路走看起来像“策略没生效”。财务和办事处路由表隔离用 VRF。财务 VRF 名称 FinanceRD 1:1RT1 的 export rt 1:2import rt 2:1RT2 的 RD 2:2。办事处 VRF 名称 OfficeRD 1:1模拟外网 VRF 名称 InternetRD 2:2。配置时先建 VRF再把接口划进去最后配 IP。顺序反了接口 IP 会被清掉这是血泪经验。# 创建 Finance VRF绑定 RD 和路由目标再把接口划入 ip vrf Finance rd 1:1 route-target export 1:2 route-target import 2:1 interface Vlan1024 ip vrf forwarding Finance ip address 10.4.255.1 255.255.255.252这段配置的逻辑是rd给 VRF 一个唯一标识route-target export/import控制哪些路由能进能出。ip vrf forwarding Finance会把接口原有 IP 清掉所以一定先绑 VRF 再配ip address。RT1 与 RT2 之间跑多协议标签交换和标签分发协议为 Finance VRF 建 BGP 邻居通过两端 Loopback1 建立邻居实现两端 Loopback5 的 IPv4 和 IPv6 互通。配置 MPLS 时先确认底层直连和 Loopback 可达再开 LDPLDP 邻居不起来时先看接口有没有启用 MPLS不要一上来就查 BGP。4.4 无线与安全策略WPA-personal、NAT 和证书无线部分在 AC1 上做。AC1 与 AP1 相连接口只允许 Vlan140 和 Vlan150 通过。AC1 的 Loopback1 IPv4 和 IPv6 地址分别作为管理地址。AP 二层自动注册采用 MAC 地址认证。配置两个 SSIDSKILLS-2.4G 对应 Vlan140用 Network 140 和 radio1profile 1mode n-only-g用户接入采用 WPA-personal 加密密码 Key-1122用第一个可用 VAP 发送 2.4G 信号SKILLS-5G 对应 Vlan150用 Network 150 和 radio2profile 1mode n-only-a不需要认证隐藏 SSID用倒数第一个可用 VAP 发送 5G 信号。隐藏 SSID 不等于加密5G 这个 SSID 按题目要求就是开放但不可见不要自作主张加密码。# AC1 上创建两个 SSID 模板2.4G 用 WPA-personal5G 隐藏 wlan ssid-profile SKILLS-2.4G ssid SKILLS-2.4G wlan ssid-profile SKILLS-5G ssid SKILLS-5G hide-ssidssid-profile只是 SSID 名字和隐藏属性加密和 VLAN 还要在 VAP 或安全模板里绑定。2.4G 的 WPA-personal 密码用 Key-11225G 不加认证。VAP 顺序按题目说的第一个和倒数第一个不要随便换换完无线客户端可能连到错的信号。安全策略部分FW1 配 IPv4 NATid 1实现集团产品 1 段 IPv4 访问外网 IPv4转换地址为 200.200.200.16/28保证每一个源 IP 产生的所有会话映射到同一个固定 IP。FW1 再配 NAT64id 2实现集团产品 1 段 IPv6 访问外网 IPv4转换为出接口 IPIPv4 转 IPv6 前缀本文还有配套的精品资源点击获取 网络建设与运维赛题环境安装配置：从镜像版本到DHCP/OSPF/BGP避坑
简介《2023年全国职业院校技能大赛网络建设与运维赛项赛题详解》面向参赛学生、指导教师及参考企业网络运维实践的技术人员围绕赛题流程、设备配置与评分标准提供完整备赛参照。资源包为1个PDF文件约651KB单文件便于查阅已有285人学习。正文按网络理论测试、网络建设与调试、服务搭建与运维三个模块展开覆盖综合布线、交换机与路由器配置、无线网络部署、网络安全维护、Windows与Linux云服务配置及系统运维等任务。文中提供网络拓扑图、设备IP地址分配表、各任务操作步骤和评分细则读者可据此搭建实验环境、核对配置思路、复盘关键命令并梳理常见排错点帮助熟悉评分点、提升网络搭建、安全加固与云服务排障能力适合备赛训练与日常运维查阅。1. 先别急着开虚拟机某网络建设与运维赛题环境装错版本会卡在哪我见过最容易翻车的备赛现场不是路由协议配错而是虚拟机一开就卡在登录界面。某备赛小组把 ubuntu-desktop-amd64 镜像换成了自己惯用的桌面版结果 remmina 连不上 server1 上的虚拟机另一台 Kylin arm64 又因为宿主机没开虚拟化直接黑屏。网络建设与运维赛题环境安装配置这件事版本对不上后面 DHCP、OSPF、BGP 全是白忙。这套环境跨 x86 与 ARM 两套操作系统还要在 Windows Server 2022 上跑域和证书服务装不好最直接的表现就是邻居起不来、地址拿不到、HTTPS 一直告警。它适合正在复现赛题环境的参赛学生也适合想拿这套拓扑练网络建设、网络安全和路由协议的运维新手照着版本清单走比事后救火省时间。2. 环境清单与版本选择Ubuntu Desktop amd64、Kylin arm64 和 Windows Server 2022 怎么配这套赛题环境的第一道门槛不是技术而是版本。PC1 要装 ubuntu-desktop-amd64PC2 要从 U 盘启动安装 kylin-desktop-arm64Windows 侧要准备 windows2022 镜像并起出 windows1 到 windows9 这批实例。网络侧还有 SW1、SW2、SW3、RT1、RT2、FW1、FW2、AC1、AP1 这些设备角色。版本选错后面不是配置问题而是环境根本不按赛题预期跑。常见做法是先把镜像、虚拟机、网络设备模拟环境三件事分开核对再开始装系统不要一边装 Ubuntu 一边改拓扑最后出了问题连是镜像还是地址规划都分不清。2.1 硬件与虚拟化底座CPU 虚拟化、内存和双网卡宿主机先看三样CPU 虚拟化、内存、磁盘。内存 16GB 是能跑起来的底线想同时开 Windows Server 2022 实例和网络设备模拟环境32GB 更稳。磁盘建议留 100GB 以上Windows 实例、快照和镜像缓存都吃空间。网卡至少两块一块做管理一块做业务实验只有一块网卡时DHCP 中继和跨网段验证很容易把自己绕进去。CPU 虚拟化没开ARM 镜像和 x86 虚拟机都会出现启动黑屏或性能异常这类问题在日志里不明显属于典型的玄学翻车点。# 在宿主机上确认虚拟化标志输出大于 0 才说明 VT-x/AMD-V 已打开 egrep -c (vmx|svm) /proc/cpuinfo # 看内存和镜像目录剩余空间目录按自己的虚拟化平台实际路径替换 free -h df -h /var/lib/libvirt/images这段命令的逻辑是先排除底座问题。egrep -c统计 CPU 标志数量结果为 0 时不要急着装系统先进 BIOS 打开虚拟化。free -h看的是可用内存不是总内存Windows 实例一开缓存会迅速吃掉空间。df -h后面的路径要换成自己存放镜像的目录空间不足时先清旧快照不要删赛题镜像。提示ARM 镜像不要随便找一台 x86 机器硬跑先确认宿主机或实验环境支持 ARM 虚拟化否则安装器阶段就会卡住。2.2 镜像版本对照ubuntu-desktop-amd64、kylin-desktop-arm64、windows2022镜像不要混用。PC1 用 ubuntu-desktop-amd64安装时创建用户 xiao密码 Key-1122装完后配置该用户免密码执行 sudo。PC2 用 kylin-desktop-arm64从 U 盘启动安装语言选英文同样创建 xiao 用户并配置 sudo 免密。Windows 侧统一用 windows2022 镜像先按赛题要求删除云管理平台里已有的实例类型再创建名为 Skills 的类型4 vCPU、4096MB 内存、100GB 磁盘。实例名称、IPv4 地址和主机名要按表落地不要先起实例再改名域环境里改主机名会牵出 DNS 记录和证书主题问题。角色镜像/系统关键配置常见坑PC1ubuntu-desktop-amd64用户 xiaosudo 免密装 remmina换非指定桌面版导致远程连接异常PC2kylin-desktop-arm64U 盘启动英文安装用户 xiao宿主机不支持 ARM 虚拟化启动黑屏windows1/windows2windows2022域控、辅助域控、DNS、证书服务先改主机名再装域控顺序反了排错困难windows3-windows9windows2022加域使用 skills\Administrator 登录IP 和主机名表对不上DNS 解析失败网络设备赛题配套模拟环境SW1/SW2/SW3/RT1/RT2/FW1/FW2/AC1/AP1设备角色和接口编号录错后续全盘返工镜像校验不要省。拿到镜像后先看文件名、大小和校验值尤其是 U 盘里拷来拷去的 Kylin 镜像写盘失败很常见。常见做法是把镜像放在独立目录命名里带角色比如pc1-ubuntu-desktop-amd64、pc2-kylin-desktop-arm64、win2022-template不要用新建文件夹这种名字。后面做快照和回滚时文件名清楚能省很多时间。# 建立镜像和实例目录路径按自己的实验盘调整 mkdir -p /data/images/{pc1,pc2,windows} mkdir -p /data/vms/{pc1,pc2,windows} # 校验镜像sha256 值以资源包或镜像源提供为准 sha256sum /data/images/pc1/ubuntu-desktop-amd64.iso sha256sum /data/images/pc2/kylin-desktop-arm64.iso这段命令的逻辑是把镜像和实例分开存放避免快照把镜像目录撑满。sha256sum的输出要和资源提供方给的值一致不一致时不要继续安装先重新拷贝或重新写 U 盘。参数上/data要换成实际数据盘不要放在系统盘根目录下Windows 实例的磁盘文件增长很快。2.3 IP 规划表落地先画 VLAN 和地址池再开设备网络部分不要上来就敲路由协议。先把 IP 地址分配表落成一张可查的表至少要覆盖 Loopback1、业务 VLAN、互联地址和 DHCP 池。SW1 的 Loopback1 是 10.4.1.1/32IPv6 是 2001:10:4:1::1/128Vlan11 是 10.4.11.1/24对应 IPv6 2001:10:4:11::1/64。SW2 的 Loopback1 是 10.4.2.1/32Vlan21 是 10.4.21.1/24。SW3 的 Loopback1 是 10.4.3.1/32办事处 VLAN110 是 10.4.110.1/24VLAN120 是 10.4.120.1/24。RT1、RT2、FW1、FW2、AC1 也按同样方式先录表再配接口。这一步的取舍是不要把所有地址都塞进一张纸。按“设备名、接口、IPv4、IPv6、所属 VRF、备注”做表VRF 列先留空等 BGP/MPLS 那章再填。DHCP 池名称也要提前定PC1、PC2、AP1、POOLv4-VLAN11、POOLv4-VLAN21、POOLv4-VLAN130、POOLv4-VLAN140、POOLv4-VLAN150IPv6 池同理。池名称后面会跟保留地址绑定临时改名会让保留地址失效。注意虚拟主机的 IP 地址必须手动设置为该虚拟机自动获取到的 IP 地址不要随手写一个同网段地址否则云平台侧和系统侧会打架。3. 基础系统安装Ubuntu 免密 sudo、Kylin 串口和 Windows 2022 模板基础系统安装阶段最怕“装完能用但不符合赛题”。Ubuntu 要的是指定镜像和指定用户Kylin 要的是 ARM 架构和英文安装Windows 要的是能进域、能发证书的模板机。三套系统不要并行装装完一套先做快照再装下一套。这样后面配置 DHCP、OSPF、BGP 时至少系统层是干净的。3.1 Ubuntu Desktop amd64xiao 用户、sudo 免密和 remminaUbuntu 安装时创建用户 xiao密码 Key-1122。装完先确认系统能正常登录再配置 sudo 免密。不要直接编辑/etc/sudoers用visudo -f写 drop-in 文件写坏后还能用visudo -c检查。配置完成后装 remmina用它连接 server1 上的虚拟机。remmina 的协议、地址和凭据按赛题环境填写不要先连再猜。# 用 drop-in 文件配置 sudo 免密避免直接改主 sudoers sudo visudo -f /etc/sudoers.d/90-xiao # 文件内容 xiao ALL(ALL) NOPASSWD:ALL # 检查语法并确认权限 sudo visudo -c sudo chmod 0440 /etc/sudoers.d/90-xiao这段配置的逻辑是把免密规则单独放在90-xiao文件里主 sudoers 不动。NOPASSWD:ALL表示 xiao 执行 sudo 时不再输入密码赛题环境里常见这种做法。visudo -c是后悔药语法错的时候会直接报出来权限必须是 0440权限过宽 sudo 会拒绝加载。# 安装 remmina 并确认版本信息 sudo apt update sudo apt install -y remmina remmina --versionapt update先刷新索引apt install装 remmina。remmina --version只用于确认程序能启动不要求特定版本号赛题环境里不要为了追新版本去换软件源换源后依赖冲突反而更麻烦。连接 server1 上的虚拟机时地址、用户名和密码按赛题说明走未指定的密码统一用 Key-1122。3.2 Kylin Desktop arm64U 盘启动、英文安装和 minicomPC2 从 U 盘启动安装 kylin-desktop-arm64安装语言选英文创建用户 xiao密码 Key-1122。安装完成后同样配置 sudo 免密再装 minicom 连接网络设备。ARM 环境里最常见的问题是启动项选错U 盘插上后如果没有进启动菜单机器会直接进原来的系统看起来像镜像坏了。另一个坑是串口参数网络设备 console 常见 9600 8N1硬件流控要关否则 minicom 里能看到字符但敲命令没反应。# 安装 minicom 并进入配置界面 sudo apt install -y minicom sudo minicom -sminicom -s进入配置界面后串口设备按实际识别结果填比如/dev/ttyUSB0波特率 9600数据位 8停止位 1校验无硬件流控关。保存为默认配置后再启动。参数不要凭感觉改网络设备 console 口速率不匹配时表现就是乱码或空屏。# 查看串口设备是否被识别 dmesg | grep -i ttyUSB ls -l /dev/ttyUSB*dmesg用来确认 USB 转串口有没有被系统识别ls -l看设备节点权限。普通用户读不了/dev/ttyUSB0时把用户加入dialout组再重新登录。这个排查顺序比反复换线更有效。3.3 Windows Server 2022主机名、静态 IP 和域控前置Windows 侧先按实例表改主机名和 IP。windows1 是 10.4.210.101主机名 windows1windows2 是 10.4.210.102主机名 windows2windows3 到 windows9 按表落地有的实例带多个 IPv4 地址不要只配第一个。DNS 在域控装好之前可以先指向 windows1 的计划地址装完域控后再回头确认。所有 Windows 主机最终用skills\Administrator身份登录域控上安装 DNS 服务正反向区域在 Active Directory 中存储。# 改主机名重启后生效网卡名先用 Get-NetAdapter 查 Rename-Computer -NewName windows1 -Restart # 配静态 IP、网关和 DNS接口别名按实际网卡替换 New-NetIPAddress -InterfaceAlias Ethernet0 -IPAddress 10.4.210.101 -PrefixLength 24 -DefaultGateway 10.4.210.1 Set-DnsClientServerAddress -InterfaceAlias Ethernet0 -ServerAddresses 10.4.210.101这段 PowerShell 的逻辑是先改主机名再配地址。Rename-Computer带-Restart会立即重启所以先把要保存的工作做完。New-NetIPAddress里-PrefixLength 24对应 255.255.255.0网关是 10.4.210.1。Set-DnsClientServerAddress把 DNS 指向 windows1等域控和 DNS 服务装好后辅助域控 windows2 再指向自己或 windows1 做冗余。windows1 安装域控制器和 DNS 后windows2 配成辅助域控制器DNS 正反向区域同样在 Active Directory 中存储。其他 Windows 主机加入 skills.lan 域。证书服务在 windows1 上安装证书颁发机构有效期 10 年公用名 windows1.skills.lan。复制“计算机”证书模板名称为“计算机副本”申请并颁发供 Windows 服务器使用的证书友好名 pc有效期 5 年公用名 skills.lan国家 CN省某省城市某市组织 skills组织单位 system使用者可选名称包含*.skills.lan和skills.lan。浏览器访问 HTTPS 网站时不想看到证书警告SAN 里这两个名字都不能少。提示证书模板复制后先确认“使用者可选名称”可编辑否则申请出来的证书只有公用名浏览器访问根域或子域时仍会告警。4. 网络服务配置DHCP、OSPFv2/v3 与 BGP/MPLS VRF 的上手顺序网络配置的顺序建议是接口地址和 VLAN 先通DHCP 再发地址然后 OSPF/IS-IS/RIP 起邻居最后上 BGP 和 MPLS VRF。这个顺序反了排错会变成黑匣子BGP 邻居不起来可能只是底层直连不通DHCP 拿不到地址可能只是中继地址写错。配置前先把 SW1、SW2、SW3 的 VLAN 和二层链路放通只允许题目要求的 VLAN 通过不限制 VLAN1。4.1 先配 IP 和 DHCPVLAN 网关、地址池与中继SW2 负责 DHCPv4 和 DHCPv6为 Vlan11、Vlan21、Vlan130、Vlan140、Vlan150 分配地址。DHCPv4 地址池名称分别为 PC1、PC2、AP1、POOLv4-VLAN11、POOLv4-VLAN21、POOLv4-VLAN130、POOLv4-VLAN140、POOLv4-VLAN150排除网关DNS 为 10.4.210.101 和 10.4.220.101。DHCPv6 池名称分别为 POOLv6-VLAN11、POOLv6-VLAN21、POOLv6-VLAN130、POOLv6-VLAN140、POOLv6-VLAN150用网络前缀表示排除网关DNS 为 2400:3200::1。PC1 保留 10.4.11.9 和 2001:10:4:11::9PC2 保留 10.4.21.9 和 2001:10:4:21::9AP1 保留 10.4.130.9 和 2001:10:4:130::9。SW1、AC1 的中继地址指向 SW2 的 Loopback1。# SW2 上创建 DHCPv4 地址池池名称和赛题表一致 ip dhcp excluded-address 10.4.11.1 ip dhcp excluded-address 10.4.21.1 ip dhcp pool POOLv4-VLAN11 network 10.4.11.0 255.255.255.0 default-router 10.4.11.1 dns-server 10.4.210.101 10.4.220.101 ip dhcp pool PC1 host 10.4.11.9 255.255.255.0 client-identifier 01a0.b0c0.0001.09 default-router 10.4.11.1 dns-server 10.4.210.101 10.4.220.101这段配置的逻辑是先用excluded-address把网关排除再给普通池和保留池。network后面跟网段和掩码default-router是网关dns-server按赛题给两个地址。host用来做固定保留client-identifier要和客户端 MAC 对应如果只写hardware-address不同设备类型可能匹配不上。池名称不要改后面 SW1 的 DHCP snooping 和保留地址排查都要靠这个名字。SW1 启用 DHCPv4 和 DHCPv6 snooping如果 E1/0/1 连接 DHCPv4 服务器则关闭端口恢复时间 10 分钟。这个功能的原理是防止非法 DHCP 服务器发地址配置时要把连接合法服务器的端口设为信任其他端口不信任。常见误用是全局开了 snooping 却忘了信任上联口结果客户端一直拿不到地址。# SW1 上启用 DHCP snooping信任连接合法 DHCP 服务器的端口 ip dhcp snooping ip dhcp snooping vlan 11,21,130,140,150 interface Ethernet1/0/1 ip dhcp snooping trustip dhcp snooping打开全局功能vlan列表按业务 VLAN 填。trust只给合法 DHCP 服务器方向的上联口接 PC 的端口不要信任。E1/0/1 如果按赛题要求做异常关闭恢复时间 10 分钟要在对应端口策略里配不要和信任口混在一起。4.2 路由协议分层OSPFv2/v3、RIP/RIPng、IS-IS 的进程与区域OSPF 部分先分清进程和区域。SW1、SW2、SW3、RT1、RT2、FW1 之间跑 OSPFv2 和 OSPFv3process 1area 0发布 Loopback1 和产品路由FW1 通告 type1 默认路由。RT2 与 AC1 之间 OSPFv2 process 1 area 1 nssa no-summaryAC1 发布 Loopback1、管理、产品和营销路由并用 prefix-list 重发布 Loopback3名称 AC1-Loopback3-IPv4。OSPFv3 对应 area 1 stub no-summary。RT1、FW2、SW3 模拟办事处之间跑 OSPFv2 和 OSPFv3process 2area 2。SW3 模拟办事处发布 Loopback2、产品和营销路由FW2 发布 Loopback1RT1 发布 Loopback4 并向该区域通告 type1 默认路由。RT1 还要用 prefix-list 匹配 SW3 模拟办事处 Loopback2、产品路由、FW2 Loopback1名称分别为 SW3-FW2-IPv4 和 SW3-FW2-IPv6直连 IPv4 路由用 RT1-FW2-IPv4重发布到 process 1。# SW1 上 OSPFv2 process 1 area 0发布 Loopback1 和产品网段 router ospf 1 router-id 10.4.1.1 network 10.4.1.1 0.0.0.0 area 0 network 10.4.11.0 0.0.0.255 area 0 passive-interface Loopback1 # OSPFv3 对应配置互联接口用本地链路地址 ipv6 router ospf 1 router-id 10.4.1.1 passive-interface Loopback1 interface Vlan11 ipv6 ospf 1 area 0这段配置的逻辑是router-id用 Loopback1 地址network用反掩码passive-interface让 Loopback 不收发包但照样发布路由。OSPFv3 的接口下用ipv6 ospf 1 area 0挂区域互联接口 IPv6 用本地链路地址时不要再手动配全局地址。参数上process 号必须和题目一致area 号不能混重发布时 prefix-list 序号从 5 开始按 IP 地址从小到大递增 5route-map 序号从 10 开始递增 10这些细节在排错时能看出配置有没有按规范走。RIP 和 RIPng 用在 RT1 串行链路、RT2 串行链路、FW1、AC1 之间发布 Loopback2 地址路由FW1 的 RIPng 发布路由时用接口名称。RT1 配 offset 值 3 的路由策略让 RT1 S1/0 到 RT2 S1/1 成为主链路RT1 S1/1 到 RT2 S1/0 成为备份链路。IPv4 ACL 名称 ACL-RIP-IPv4IPv6 ACL 名称 ACL-RIP-IPv6。RT1 的 S1/0 与 RT2 的 S1/1 之间用 chap 双向认证用户名用对端设备名称密码 Key-1122。IS-IS 用在 RT1 以太链路、RT2 以太链路、FW1 之间instance 1实现 Loopback3 的 IPv4 和 IPv6 互通。RT1、RT2、FW1 的 NET 分别为 10.0000.0000.0005.00、10.0000.0000.0006.00、10.0000.0000.0007.00路由器类型 Level-2互联接口网络类型点到点。RT1 以太链路物理速率 2048000配置时注意接口带宽参数不要让别人一看就是默认值。4.3 BGP 与 MPLS VRF 隔离财务、办事处路由表怎么不串BGP 部分先把 AS 号记牢SW1、SW2、RT1 是 65001RT2 是 65002SW3 是 65003。SW1、SW2、SW3、RT1、RT2 之间通过 Loopback1 建立 IPv4 和 IPv6 BGP 邻居。SW1 和 SW2 之间财务通过 Loopback2 建立邻居Loopback2 IPv4 互通用静态路由IPv6 互通用 OSPFv3 process 2 area 2。SW1、SW2、SW3 分别只发布营销、法务、人力、财务等路由RT1 发布办事处营销路由RT2 发布分公司营销路由。SW3 营销与 SW1、SW2 营销互访优先走 SW1-SW3SW3 法务及人力与 SW1、SW2 法务及人力互访优先走 SW2-SW3主备相互备份。SW3 上用 prefix-list、route-map 和 BGP 路径属性选路新增 AS 65000。# SW1 与 SW2 通过 Loopback1 建 IPv4 BGP 邻居 router bgp 65001 bgp router-id 10.4.1.1 neighbor 10.4.2.1 remote-as 65001 neighbor 10.4.2.1 update-source Loopback1 address-family ipv4 unicast neighbor 10.4.2.1 activate network 10.4.11.0 mask 255.255.255.0router bgp后面的 AS 号必须和题目一致neighbor指向对端 Loopback1update-source保证更新源地址稳定。address-family ipv4 unicast下激活邻居并发布网段。SW3 做选路时prefix-list 名称要按题目写营销路由 SW1-SW2-YX-IPv4、SW1-SW2-YX-IPv6法务及人力路由 SW1-SW2-FWRL-IPv4、SW1-SW2-FWRL-IPv6SW3 侧营销路由 SW3-YX-IPv4、SW3-YX-IPv6法务及人力路由 SW3-FWRL-IPv4、SW3-FWRL-IPv6。名称写错route-map 匹配不上路由会按默认选路走看起来像“策略没生效”。财务和办事处路由表隔离用 VRF。财务 VRF 名称 FinanceRD 1:1RT1 的 export rt 1:2import rt 2:1RT2 的 RD 2:2。办事处 VRF 名称 OfficeRD 1:1模拟外网 VRF 名称 InternetRD 2:2。配置时先建 VRF再把接口划进去最后配 IP。顺序反了接口 IP 会被清掉这是血泪经验。# 创建 Finance VRF绑定 RD 和路由目标再把接口划入 ip vrf Finance rd 1:1 route-target export 1:2 route-target import 2:1 interface Vlan1024 ip vrf forwarding Finance ip address 10.4.255.1 255.255.255.252这段配置的逻辑是rd给 VRF 一个唯一标识route-target export/import控制哪些路由能进能出。ip vrf forwarding Finance会把接口原有 IP 清掉所以一定先绑 VRF 再配ip address。RT1 与 RT2 之间跑多协议标签交换和标签分发协议为 Finance VRF 建 BGP 邻居通过两端 Loopback1 建立邻居实现两端 Loopback5 的 IPv4 和 IPv6 互通。配置 MPLS 时先确认底层直连和 Loopback 可达再开 LDPLDP 邻居不起来时先看接口有没有启用 MPLS不要一上来就查 BGP。4.4 无线与安全策略WPA-personal、NAT 和证书无线部分在 AC1 上做。AC1 与 AP1 相连接口只允许 Vlan140 和 Vlan150 通过。AC1 的 Loopback1 IPv4 和 IPv6 地址分别作为管理地址。AP 二层自动注册采用 MAC 地址认证。配置两个 SSIDSKILLS-2.4G 对应 Vlan140用 Network 140 和 radio1profile 1mode n-only-g用户接入采用 WPA-personal 加密密码 Key-1122用第一个可用 VAP 发送 2.4G 信号SKILLS-5G 对应 Vlan150用 Network 150 和 radio2profile 1mode n-only-a不需要认证隐藏 SSID用倒数第一个可用 VAP 发送 5G 信号。隐藏 SSID 不等于加密5G 这个 SSID 按题目要求就是开放但不可见不要自作主张加密码。# AC1 上创建两个 SSID 模板2.4G 用 WPA-personal5G 隐藏 wlan ssid-profile SKILLS-2.4G ssid SKILLS-2.4G wlan ssid-profile SKILLS-5G ssid SKILLS-5G hide-ssidssid-profile只是 SSID 名字和隐藏属性加密和 VLAN 还要在 VAP 或安全模板里绑定。2.4G 的 WPA-personal 密码用 Key-11225G 不加认证。VAP 顺序按题目说的第一个和倒数第一个不要随便换换完无线客户端可能连到错的信号。安全策略部分FW1 配 IPv4 NATid 1实现集团产品 1 段 IPv4 访问外网 IPv4转换地址为 200.200.200.16/28保证每一个源 IP 产生的所有会话映射到同一个固定 IP。FW1 再配 NAT64id 2实现集团产品 1 段 IPv6 访问外网 IPv4转换为出接口 IPIPv4 转 IPv6 前缀本文还有配套的精品资源点击获取