技术文章 （381 篇）
发布文章第9篇：单臂路由实现 VLAN 间通信
在上一篇文章中，我们了解到跨 VLAN 通信需要三层接口。最理想的方案是在三层交换机上配置 VLANIF 接口，但有些场景下，企业只有二层交换机和一台路由器，此时如何实现跨 VLAN 通信？
阅读全文 →
第8篇：跨 VLAN 通信为什么要三层接口
在上一篇文章中，我们详细讲解了同一 VLAN 内两台 PC 的通信过程——完全靠二层交换机的 MAC 地址转发，不经过网关。
阅读全文 →
第7篇：同一 VLAN 内两台 PC 如何通信
理解了 ARP 和 MAC 地址表后，我们就可以回答网络入门的一个经典问题：**同一 VLAN 内的两台 PC 是如何通信的？**
阅读全文 →
第6篇：一文读懂 ARP：广播请求与应答过程
在网络通信中，IP 地址是我们规划网络的"逻辑门牌号"，但数据真正在网线上传输时，靠的是 MAC 地址——交换机只认 MAC，不认 IP。那么问题来了：**当一台 PC 知道目的 IP 地址，但不知道目的 MAC 地址时，它怎么办？**
阅读全文 →
第5篇：二层交换机原理：MAC 地址表是如何学习的
交换机是局域网中最常见的设备，但它并非简单的"网线插线板"。当一台 PC 发送数据帧进入交换机后，交换机会做出一个精确的决策：这个帧应该从哪个端口发出去？这个决策的依据就是 MAC 地址表。
阅读全文 →
第50篇：console 线连接与设备初始化配置
当一台全新的华为交换机或路由器到货后，第一次接触设备必须通过 Console 线进行本地连接。Console 口是设备的"救命通道"——即使设备没有 IP 地址、网络完全不通，你仍然可以通过 Console 口登录设备进行配置。
阅读全文 →
第4篇：Ping 不通怎么办：基础连通性排查思路
"Ping 不通"是网络工程师收到的第一句话，也是出现频率最高的问题描述。但"Ping 不通"只是现象，背后的原因可能分布在 OSI 七层模型的任意一层：网线断了、IP 配错了、网关不通、ACL 拦截、ARP 失败……
阅读全文 →
第49篇：Telnet 与 SSH：远程管理的安全之选
网络工程师日常工作中，大部分时间是在远程管理设备。无论是配置修改、故障排查还是性能监控，都需要通过远程登录方式接入设备。Telnet 和 SSH 是最常用的两种远程管理协议，但它们在安全性上有着天壤之别。
阅读全文 →
第48篇：FTP 与 TFTP：配置文件备份与上传
在日常网络运维中，配置文件的备份和恢复是最基础也是最重要的操作之一。无论是设备升级前备份当前配置、故障后恢复配置文件，还是将标准配置模板批量下发到多台设备，都离不开文件传输协议。
阅读全文 →
第47篇：DHCP 中继：跨网段分配 IP 地址
在上一篇中，我们详细学习了 DHCP 的 DORA 四步交互过程。但 DHCP 有一个关键限制：Discover 报文是广播包（目的地址 255.255.255.255），广播包无法跨越路由器（三层边界）。这意味着 DHCP 服务器必...
阅读全文 →
第46篇：DHCP 原理：Discover→Offer→Request→ACK
DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）是网络中最常用的地址分配机制。每当一台笔记本电脑连接到 WiFi、一部手机切换到蜂窝网络，或者一台新服务器上架接入交换机，DHCP 都...
阅读全文 →
第45篇：NAT 穿越问题与 ALG
NAT 让内网设备可以访问外网，但它也带来了一个棘手问题：如果通信双方都在 NAT 后面，或者应用层协议本身携带了 IP 地址信息，简单的 NAT 就无法正常工作了。这就是 NAT 穿越（NAT Traversal）问题。
阅读全文 →
第44篇：NAT 服务器映射：内网服务器对外发布
在前几篇中，我们学习了 NAT 如何让内网主机主动访问外网。但在实际企业中，往往还需要将内网的服务器（Web、Mail、FTP 等）对外发布，让 Internet 上的用户能够访问。这就是 NAT 服务器映射（NAT Server）的功能。
阅读全文 →
第43篇：企业上网少不了 NAT：Easy-IP 配置
在上一篇中，我们学习了静态 NAT、动态 NAT 和 PAT 三种基本 NAT 类型。其中 PAT（端口地址转换）是企业上网最常用的方式。然而，很多中小企业通过 PPPoE 拨号获取公网 IP，这个 IP 不是固定的，每次拨号都会变化...
阅读全文 →
第42篇：NAT 基础：静态 NAT、动态 NAT、PAT
NAT（Network Address Translation，网络地址转换）是企业网络中最常用的功能之一。它的核心价值在于：将私网 IP 地址转换为公网 IP 地址，使得内网主机能够访问 Internet，同时节约了宝贵的公网 IP...
阅读全文 →
第41篇：用 ACL 实现简单流量过滤
在上一篇中，我们学习了 ACL 的两种匹配顺序：配置顺序和自动排序。有了 ACL 规则的定义，下一步就是把这些规则"挂"到具体的接口上，实现对流量的实际拦截与放行。ACL 本身只是一组匹配条件，只有应用到接口方向上，才能对数据包产生真...
阅读全文 →
第40篇：ACL 匹配顺序：配置顺序 vs 自动排序
在第39篇中，我们学习了 ACL 的类型、配置和应用。但 ACL 中最容易被忽视、也最容易出问题的一个细节是：**规则的匹配顺序**。ACL 按从上到下的顺序逐条匹配，第一条匹配的规则决定最终动作。如果规则顺序不合理，可能导致某些规则...
阅读全文 →
第3篇：终端怎么配IP：静态 IP 与 DHCP 获取
当一台电脑连上网线后，它首先需要解决的问题是：我在网络中的"门牌号"（IP 地址）是什么？除了 IP 地址，它还需要知道"网关"（出口在哪）和"DNS"（域名怎么解析）。
阅读全文 →
第39篇：ACL 基础：标准 ACL 与扩展 ACL
ACL（Access Control List，访问控制列表）是网络中最基础的流量控制工具。它通过定义一组规则来匹配报文，并对匹配到的报文执行允许（permit）或拒绝（deny）操作。ACL 的应用场景远超"访问控制"本身——它在路...
阅读全文 →
第38篇：最长匹配原则：路由查表的核心规则
在第37篇中，我们学习了优先级和度量值如何决定最优路由。但当路由器收到一个数据包时，它首先面临的问题是：**路由表中哪条路由与目的 IP 匹配？** 因为路由表中的路由通常不止一条能匹配同一个目的 IP——默认路由 `0.0.0.0/...
阅读全文 →
第37篇：路由优先级（Preference）与度量值（Metric）
路由表中可能同时存在多条到达同一目的网络的路由条目。路由器如何从这些候选路由中选择一条最优路由？这取决于两个关键参数：**优先级（Preference）**和**度量值（Metric）**。理解这两个参数的区别和协作关系，是掌握路由选...
阅读全文 →
第36篇：RIP 跳数限制导致的网络不可达故障
在第35篇中，我们学习了 RIP 协议的四种防环机制。然而，RIP 最大的限制之一是其**最大跳数 15** 的设计。当一个网络中源到目的的路由跳数超过 15 时，RIP 会将该网络标记为不可达。这种限制在小型网络中不是问题，但在中大...
阅读全文 →
第35篇：RIP 协议原理与防环机制
在第34篇中，我们了解了 RIP 作为距离矢量协议的基本特点：收敛慢、有环路风险、跳数限制。尽管如此，RIP 仍然是理解动态路由协议的最佳入门案例。本节深入讲解 RIP 的工作原理、报文格式，以及 RIP 为解决环路问题设计的四种防环机制。
阅读全文 →
第34篇：距离矢量 vs 链路状态：RIP 与 OSPF 的根本差异
在第33篇中，我们了解到动态路由协议分为 IGP 和 EGP 两大类。在 IGP 中，又有两种截然不同的设计理念：**距离矢量（Distance Vector）**和**链路状态（Link State）**。RIP 是距离矢量协议的代...
阅读全文 →
第33篇：动态路由协议分类：IGP 与 EGP 的区别
前面我们学习的静态路由和策略路由都需要人工逐条配置。当网络规模扩大时，手动维护路由信息变得不可行。动态路由协议让路由器之间自动交换路由信息，根据网络拓扑的变化自动调整转发路径。
阅读全文 →
第32篇：策略路由（PBR）：不按路由表走
在常规转发中，路由器根据路由表做决策：匹配目的 IP 地址，查找最长匹配的前缀，转发到对应的下一跳。但有时我们需要**更精细的转发控制**——比如将视频会议流量走专线，将普通上网流量走公网；或者根据源地址将不同部门的流量引导到不同的出口。
阅读全文 →
第31篇：路由环路是怎么产生的：TTL 与跳数限制
在第30篇中，我们学习了浮动静态路由如何实现链路主备切换。但如果主备路由配置不当，或者网络拓扑出现变化时路由信息未能及时更新，数据包就会在路由器之间反复传递，形成**路由环路（Routing Loop）**。路由环路不仅浪费带宽和设备...
阅读全文 →
第30篇：浮动静态路由：主备路径的最佳方案
在网络设计中，链路冗余是提高可用性的基本手段。浮动静态路由（Floating Static Route）通过配置不同优先级的静态路由，实现主备链路的自动切换。当主链路故障时，备用路由自动生效；主链路恢复后，流量自动切回。这是最简单的链...
阅读全文 →
第2篇：网线怎么做：T568A/T568B 线序标准
在网络工程师的日常工作中，制作网线是一项基本功。看似简单的八根彩色细线，如果线序排错，轻则网络不通，重则速率降档、间歇断线。
阅读全文 →
第29篇：默认路由（0.0.0.0/0）的应用场景
默认路由（Default Route），也称为缺省路由，是一条目标网络为 0.0.0.0、掩码为 0 的特殊路由。它的作用非常简单：当路由表中没有更具体的路由匹配时，数据包按照默认路由转发。默认路由是简化路由配置、减少路由表规模的重要...
阅读全文 →
第28篇：直连路由与静态路由对比
直连路由和静态路由是最基础的路由类型。直连路由在接口配置 IP 后自动生成，无需手动干预；静态路由由管理员手动指定转发路径，适用于小型网络或作为动态路由的补充。掌握这两种路由的配置方法和应用场景，是网络工程师的基本功。
阅读全文 →
第27篇：路由基础：什么是路由表，路由表关键字段
路由表是路由器的"地图"，记录了到达各个目标网络的路径信息。当路由器收到一个数据包时，它查阅路由表来决定将数据包从哪个接口发出、发送给哪个下一跳设备。理解路由表的结构和生成机制，是掌握所有路由技术的基础。
阅读全文 →
第26篇：堆叠分裂故障：双主检测与 MAD 机制
当堆叠系统的堆叠链路全部故障时，原本统一的逻辑设备分裂为两个独立的堆叠系统，每部分都选举出自己的主设备。这种"双主"（Split-Brain）状态会导致 IP 地址冲突、路由震荡等严重后果。MAD（Multipath Active D...
阅读全文 →
第25篇：iStack 堆叠的组建过程与角色选举
iStack 是华为智能堆叠技术，通过专用堆叠端口将多台交换机连接成一个逻辑设备。堆叠的建立涉及设备发现、成员 ID 分配、主备选举和配置同步等多个步骤。理解堆叠建立过程，有助于在堆叠组建和排错时快速定位问题。
阅读全文 →
第24篇：堆叠（Stack）与集群（Cluster）的区别
在企业网络中，当多台交换机需要协同工作时，传统方式需要在每台设备上进行独立配置和管理，操作繁琐且容易出错。堆叠（Stack）和集群（Cluster）技术将多台物理交换机"虚拟化"为一台逻辑交换机，实现了统一管理和高效协同。华为提供 i...
阅读全文 →
第23篇：端口镜像：用镜像抓包排查故障
当网络出现疑难故障时，最直接有效的排查手段就是"看报文"——通过抓包分析实际在网络中传输的数据。端口镜像（Port Mirroring）技术将指定端口的流量复制一份发送到连接抓包工具的端口，让网络工程师能够在不影响业务的情况下捕获和分...
阅读全文 →
第22篇：LACP 协商过程与优先级配置
LACP（Link Aggregation Control Protocol，链路聚合控制协议）是 IEEE 802.3ad 标准定义的链路聚合协商协议。通过 LACP，两端设备自动协商哪些端口可以聚合在一起、哪些端口作为活跃成员、哪...
阅读全文 →
第21篇：链路聚合 Eth-Trunk：手工模式与 LACP 模式
在第20篇中，我们看到某企业网络因冗余链路形成环路导致全网瘫痪，最终依靠 STP 阻塞一条冗余链路来消除环路。但这带来一个问题：被 STP 阻塞的链路在正常情况下不参与数据转发，链路带宽被白白浪费。
阅读全文 →
第20篇：交换网络故障案例：某企业网环路致全网瘫痪
在前面五篇文章中，我们系统学习了 STP、RSTP 和 MSTP 的原理与配置。但理论再完善，也抵不过实际网络中的配置疏漏和人为失误。生成树故障是网络工程师最常处理的紧急事件之一。本文通过三个真实的故障案例，涵盖根桥抢占、STP 震荡...
阅读全文 →
第1篇：认识网络设备：交换机、路由器、防火墙长什么样
走进任何一个企业的机房或配线间，映入眼帘的是各种不同形态的网络设备：有密密麻麻网口的小铁盒子，有多块业务插槽的大机箱，还有前面板布满指示灯的设备柜。这些设备虽然外观各异，但各自在网络中承担着明确的角色分工。
阅读全文 →
第19篇：MSTP 多生成树协议：VLAN 与实例的映射
RSTP 解决了收敛速度慢的问题，但它仍然有一个本质局限：整个网络只有**一棵**生成树。无论网络中有多少个 VLAN，所有 VLAN 共享同一棵生成树、同一条转发路径。这意味着：即使有两条并行链路，也只能使用其中一条，另一条被 ST...
阅读全文 →
第18篇：RSTP 快速生成树：边缘端口与 P/A 机制
传统 STP（802.1D）的 50 秒收敛时间在实际生产环境中是不可接受的。一次核心链路的故障恢复可能导致业务中断近一分钟，这对现代企业网络是不可容忍的。RSTP（Rapid Spanning Tree Protocol，IEEE ...
阅读全文 →
第17篇：STP 端口状态迁移：从 Disable 到 Forwarding
在上一篇文章中，我们学习了 STP 的选举算法，知道了端口被选举为根端口、指定端口或非指定端口。但端口从启动到能够转发数据帧，并不是瞬间完成的，而是要经过一系列状态迁移。这个迁移过程是 STP 防止临时环路的关键机制。本文将深入讲解 ...
阅读全文 →
第16篇：STP 生成树协议原理：根桥、根端口、指定端口选举
在上一篇文章中，我们目睹了环路导致的广播风暴如何瘫痪整个网络。要解决环路问题，最简单粗暴的方法是只保留一条物理链路——但这意味着失去了冗余能力。STP（Spanning Tree Protocol，生成树协议）的诞生，就是为了在保留冗...
阅读全文 →
第15篇：环路是怎么产生的：一次广播风暴故障实录
在上一篇文章中，我们了解了广播域的概念以及 VLAN 对广播域的限制。但即使划分了 VLAN，只要同一广播域内存在物理环路，广播帧就会在环路中无限循环，最终导致广播风暴。环路故障是网络工程师最常遇到的"杀手级"问题之一——它能让整个网...
阅读全文 →
第14篇：广播域与冲突域：交换机 vs 集线器
在网络基础面试中，"交换机和集线器的区别"是必考题。答案往往笼统地说"交换机隔离冲突域，集线器不隔离"。但这个答案没有触及本质：什么是广播域？什么是冲突域？为什么需要隔离它们？隔离后对网络性能有什么影响？本文将从底层原理出发，用直观的...
阅读全文 →
第13篇：Hybrid 端口：华为特有的灵活端口类型
在前两篇文章中，我们深入理解了 Access 和 Trunk 两种端口模式。Access 端口简单直接——收加标签、发去标签；Trunk 端口规范统一——非 PVID VLAN 带标签通过。但在实际组网中，经常遇到一些"非标准"场景：...
阅读全文 →
第12篇：Access 与 Trunk 的区别：谁在打标签
在上一篇文章中，我们快速了解了 Access 和 Trunk 两种端口模式。但在实际运维中，最让人困惑的问题往往是：到底谁在打标签？谁在剥标签？标签在什么情况下会被添加或删除？本文通过数据包在不同端口间流转的全过程，带你彻底搞懂 Ac...
阅读全文 →
第11篇：华为交换机 VLAN 创建与 Access/Trunk/Hybrid 端口配置
在第10篇中，我们学习了三层交换机通过 VLANIF 接口为不同 VLAN 提供网关服务。但 VLANIF 只是一个三层虚拟接口，要让终端真正归属到某个 VLAN，还需要在二层端口上做正确配置。华为交换机端口支持三种工作模式：Acce...
阅读全文 →
第10篇：三层交换机 VLANIF 接口实战配置
单臂路由虽然经典，但在实际企业网络中，更常用的方案是使用三层交换机的 VLANIF 接口实现跨 VLAN 路由。三层交换机兼具二层交换的高速转发和三层路由的智能选路能力，成为企业网络的"标准配置"。
阅读全文 →
网工成长曲线：从初级到专家，每个阶段该抓什么、放什么
数通工程师的 4 阶段成长地图：从 HCIA 到 HCIE、从执行到架构，每个阶段该学什么、放弃什么、抓住什么。
阅读全文 →
我给网站加了个全站搜索：3 个组件、4 个 API、5 个快捷键
从 0 到 1 实现带实时下拉、键盘导航、关键词高亮的全站搜索。包含 Django 视图、API 设计、前端 JS 全代码解析。
阅读全文 →
我用 Django 做了一个字符计数器：在线统计字符、单词、行数
一个简单但实用的在线字符计数器，支持中英文混排统计、行数、段落数、字节数统计。开发过程与原理分享。
阅读全文 →
案例：VLAN 间无法互通的排查过程
案例：VLAN 间无法互通的排查过程
现象
某分公司新部署网络后，财务部（VLAN 10）和业务部（VLAN 20）之间无法互通，但同部门内部通信正常。
排查思路
第一步：确认基础连通性
```bash
财务部 PC...
阅读全文 →
CIDR 子网计算器：数通工程师的每日必备
在线 CIDR 子网计算器：给定 IP + 掩码，自动计算网络/广播/可用范围/二进制表示，支持主机数反算和 VLSM 划分。
阅读全文 →
VLSM 子网规划器：一键划分多部门 IP
在线 VLSM 多子网自动划分工具。输入多个部门的主机需求，自动按贪心算法分配最优子网，避免地址碎片化。
阅读全文 →
第365篇：数通技术的未来：AI 与网络深度融合
这是本系列365篇文章的终篇。从第一篇的网络基础概念，到最后一篇的AI与网络融合，我们走过了从OSI七层模型到自动驾驶网络的完整旅程。今天，AI正在重塑网络技术的每一个角落，从故障预测到自动排障，从智能运维到意图驱动网络，AI与数通技...
阅读全文 →
第364篇：技术案例沉淀：如何写好一篇技术案例文章
技术案例文章是网络工程师知识沉淀的核心载体。一个好的技术案例不仅能帮助自己回顾和加深理解，更能帮助团队避免重复踩坑、加速新人成长。从第346篇到第363篇，我们已经完成了大量实战案例的编写，本篇回过头来总结"如何写好一篇技术案例文章"...
阅读全文 →
第363篇：从网工到架构师：网络设计思维的养成
从网络工程师到网络架构师，最大的差距不在技术深度，而在**思维方式**。工程师关注"如何配置实现功能"，架构师关注"为什么这样设计"和"系统长期演进的方向"。第362篇梳理了职业成长路径，本篇深入探讨网络设计思维的核心要素，帮助读者完...
阅读全文 →
第362篇：网络工程师的职业成长路径与技能树
网络工程师是一个需要持续学习的职业。从初入职场的排错新手到能够设计复杂网络的架构师，每一步成长都需要明确的技能目标和学习路径。第361篇讲解了新员工如何快速掌握排错方法论，本篇进一步梳理网络工程师的完整职业成长路径与技能树，帮助读者建...
阅读全文 →
第361篇：新员工如何快速掌握网络排错方法论
网络排错是网络工程师的核心能力。新员工往往具备理论知识，但在实际故障面前却手足无措。本文总结了一套系统化的网络排错方法论，帮助新员工在3个月内建立完整的排错思维框架。
阅读全文 →
第360篇：网络运维知识管理体系搭建
某大型企业的网络运维团队有30名工程师，负责管理覆盖全国200+站点的网络。团队面临以下痛点：
阅读全文 →
第359篇：400G 数据中心网络升级项目案例
某云服务商的数据中心现网运行200Gbps（CE6865）SPINE-LEAF架构已3年，随着虚拟机密度和东西向流量的持续增长，200Gbps链路利用率在高峰期已超过75%，逼近容量红线。需要进行400Gbps网络升级。
阅读全文 →
第358篇：HPC 高性能计算网络 InfiniBand 基础
某超级计算中心升级HPC集群，从传统的以太网RoCE网络迁移到InfiniBand（IB）网络。IB网络以其超低时延（<1μs）、超高吞吐（400Gbps/NDR）和原生RDMA支持，成为HPC领域的首选互联技术。本次案例记录IB网络...
阅读全文 →
第357篇：大模型训练集群的网络互联方案
某AI实验室部署了2048卡A800 GPU集群用于大语言模型（LLM）训练。训练过程中发现GPU利用率仅65%，远低于预期的90%以上。经分析，瓶颈在于网络通信——分布式训练中的AllReduce操作等待时间占比达30%。
阅读全文 →
第356篇：算网融合场景下的网络规划案例
某省级运营商启动"算网融合"项目，将分散在各地的算力资源（GPU集群、CPU集群、存储）通过统一网络平台进行整合，实现算力的统一调度和按需分配。网络层需要同时承载传统的IP业务和新型的算力调度业务。
阅读全文 →
第355篇：多云互联网络架构设计与实施
某大型企业采用了多云策略，业务分布在华为云、阿里云和AWS三个云平台。各云之间的数据同步、应用互联和统一管理成为亟待解决的问题。现网通过公网通信存在时延高、安全性差、成本高等问题。
阅读全文 →
第354篇：网络流量模型分析与容量规划
某云计算服务商计划在现有数据中心基础上扩建新的计算集群，需要对新集群的网络容量进行科学规划。现有的容量规划主要依赖经验估计，缺乏基于流量模型的科学分析方法，导致部分链路过度配置而部分链路容量不足。
阅读全文 →
第353篇：现网性能瓶颈分析与带宽扩容建议
某在线教育平台在疫情期间用户量暴增3倍，网络出现明显性能瓶颈。高峰期视频播放卡顿率从2%上升至15%，部分用户无法加载课程内容。IT团队需要在不中断业务的前提下，完成性能瓶颈分析和扩容方案制定。
阅读全文 →
第352篇：一次完整的网络健康检查（Health Check）
某互联网企业委托专业网络服务团队对其全网进行一次深度健康检查（Health Check）。该网络包含3个数据中心、15个办公地点、约200台网络设备。企业IT团队日常运维繁忙，缺乏系统性的健康检查机制，希望通过本次检查发现潜在风险。
阅读全文 →
第351篇：网络割接回滚方案与应急演练
某运营商在进行核心路由器升级割接时，遇到了未预见的兼容性问题。由于回滚方案准备充分，团队在30分钟内完成了回滚操作，避免了大规模业务中断。本次案例详细记录了回滚方案的设计、执行和演练过程。
阅读全文 →
第350篇：跨厂商设备互联互通排错案例
某跨国企业收购了一家海外公司后，需要将两家的网络进行整合。企业原有网络全为华为设备，被收购方使用Cisco和Juniper设备。在互联互通过程中，多个层面出现了兼容性问题。
阅读全文 →
第349篇：老旧网络设备替换与架构升级方案
某金融企业的核心网络设备已运行超过10年，型号为华为S9306（2012年部署）。设备达到EOL（End of Life）状态，厂商不再提供备件和技术支持。同时，现有网络架构为传统核心-汇聚-接入三层模型，无法支撑微服务和容器化业务的...
阅读全文 →
第348篇：全网 IP 地址梳理与重规划项目
某大型企业集团经过20年的发展，网络规模从最初的100人扩展到现在的15000人，拥有30个办公地点、5个数据中心。由于早期缺乏统一的IP地址规划，现网IP地址存在以下问题：
阅读全文 →
第347篇：Telemetry 发现现网隐藏拥塞点
某省级运营商骨干网运行稳定，SNMP监控未告警，网管报表各项指标均正常。但部分客户投诉业务时延偶发增高（从5ms增至50ms），传统监控手段未能定位问题。引入Telemetry流式遥测后，发现了隐藏的拥塞点。
阅读全文 →
第346篇：数据中心 PFC 死锁导致 RoCE 业务中断
某AI计算中心部署了RoCEv2（RDMA over Converged Ethernet）网络承载GPU训练集群的东西向通信。在一次模型训练任务中，整个集群突然出现大规模丢包，训练任务停滞超过30分钟。经排查，根因为PFC（Prio...
阅读全文 →
第345篇：无线网络频繁掉线的优化历程
某大型办公园区（3栋大楼，约2000人）的无线WiFi网络频繁出现掉线问题，员工投诉不断。故障表现为：
阅读全文 →
第344篇：IPsec VPN 频繁断连的排查过程
某跨国企业的中国区总部与海外3个分支机构（德国、日本、美国）之间建立了IPsec VPN连接，用于传输办公业务数据。近期，中国区与德国之间的IPsec VPN连接频繁断连，平均每4小时断连一次，每次断连持续约2-5分钟后自动恢复。其他...
阅读全文 →
第343篇：防火墙策略混乱导致业务访问异常
某制造企业的IT部门近期频繁接到业务部门投诉：部分业务系统时而可以访问，时而被阻断。特别是ERP系统、MES系统和OA系统的访问时断时续，严重影响生产运营。
阅读全文 →
第342篇：DHCP 网络频繁中断的根因定位
某大型连锁酒店的集团IT部门接到多地酒店的网络故障报告：客房WiFi频繁断连，客人需要反复断开重连才能恢复网络。故障表现为：
阅读全文 →
第341篇：VXLAN 流量负载不均案例分析
某互联网企业数据中心采用VXLAN架构承载容器业务，Underlay使用BGP路由+ECMP实现多路径负载分担。近期发现Underlay链路的流量负载严重不均：部分链路的利用率超过80%，而其他链路利用率不足20%。
阅读全文 →
第340篇：EVPN VXLAN 多活网关部署失败排错
某金融企业数据中心部署EVPN VXLAN架构，目标是实现服务器多归属接入和跨子网无缝漫游。在部署多活网关（Active-Active Gateway）模式时，发现部分服务器的跨Leaf通信出现丢包，ARP解析失败率高达60%。
阅读全文 →
第339篇：SRv6 TE 与现有 MPLS 网络的平滑演进
某省级运营商的骨干网已稳定运行MPLS TE（流量工程）多年，承载了包括MPLS L3VPN、IP-LAN、Carrier Ethernet等多种业务。随着5G、云计算等新兴业务的快速发展，现有MPLS TE网络面临以下挑战：
阅读全文 →
第338篇：IS-IS 微环路产生与防微环路方案
某省级运营商骨干网采用IS-IS Level-2作为IGP协议，全网约50台NE40E/NE8000设备组成网状拓扑。在某次链路故障恢复后，网管系统检测到出现了持续约15秒的微环路（Micro-loop），导致部分跨域流量出现丢包。
阅读全文 →
第337篇：OSPF 与 BGP 交互引起的次优路径
某大型企业集团在全国设有10个区域中心，各区域中心之间通过运营商MPLS VPN组网。企业自建数据中心位于北京，全国分支机构通过MPLS VPN接入。近期，华东区域的用户访问北京数据中心时，访问时延异常增高（平均150ms，正常值约4...
阅读全文 →
第336篇：BGP 路由黑洞导致业务中断分析
某省级运营商的城域网在某天凌晨2:15发生大规模用户断网故障，影响用户数超过15万。故障持续约45分钟后恢复。故障现象表现为：大量家庭宽带用户无法访问互联网，但本地业务（如IPTV、局域网访问）正常。
阅读全文 →
第335篇：MPLS VPN 跨域互通故障排查实录
某运营商省级MPLS VPN网络由三个域组成：骨干域（Provider Domain）和两个客户域（Customer Domain A和B）。近期，某银行客户（属于Customer Domain A）反映其无法访问位于Customer...
阅读全文 →
第334篇：数据中心骨干扩容与流量调优案例
某互联网企业的数据中心（以下简称DC1）承载了该企业的核心业务系统，包括电商平台、用户中心、支付系统等。随着业务量快速增长，现网出现以下问题：
阅读全文 →
第333篇：金融行业两地三中心容灾网络设计
某全国性商业银行（以下简称"该银行"）在监管要求与业务发展双重驱动下，启动"两地三中心"容灾网络建设项目。该银行现有1个生产中心（北京）和1个灾备中心（异地），按照监管要求需要建设第三个数据中心形成两地三中心架构。
阅读全文 →
第332篇：大型企业园区网搬迁与割接方案
某大型金融机构（5000人规模）因旧办公楼拆迁，需要将整个园区网络搬迁至新建大楼。该网络规模庞大，涉及：
阅读全文 →
第331篇：中小企业全场景组网方案设计实战
> **上篇回顾**：在第330篇《AI Ops 智能运维平台建设与落地实践》中，我们深入探讨了如何利用AI技术实现网络智能运维。从自动化的运维理念出发，我们认识到：再先进的运维工具也需要建立在扎实的网络架构基础之上。本文将从自动化运...
阅读全文 →
第330篇：AI Ops：智能网络运维的演进之路
网络运维经历了从"人工运维"到"自动化运维"的演进，如今正迈入"智能化运维"（AIOps, Artificial Intelligence for IT Operations）的新阶段。回顾整个第七篇章"自动化运维与编程"的发展脉络：
阅读全文 →
第329篇：网络知识图谱构建与应用
网络运维中涉及的数据极其分散：设备台账在 CMDB 系统、拓扑关系在网管平台、故障案例在工单系统、配置信息在 Git 仓库、告警数据在告警平台。这些异构数据之间的关联关系隐藏在人工经验中，无法被系统自动利用。
阅读全文 →
第328篇：大模型辅助网络故障诊断实践
大语言模型（Large Language Model, LLM）的出现为网络故障诊断带来了革命性的变化。传统故障排查高度依赖工程师个人经验，排障过程往往是"看告警 → 猜原因 → 试操作 → 验证"的循环。LLM 凭借其强大的自然语言...
阅读全文 →
第327篇：ChatOps：用飞书/钉钉机器人操作网络
ChatOps 的核心思想是：将运维操作从"登录服务器执行命令"转变为"在聊天工具中通过对话完成"。运维人员在飞书或钉钉群聊中发送一条消息，机器人自动执行对应的运维任务并返回结果。这种方式降低了运维操作的门槛，提高了操作的可追溯性和协...
阅读全文 →
第326篇：自动化测试：用 pytest 验证网络状态
在传统运维模式中，配置变更后是否"正确生效"，往往依赖工程师手工登录设备执行 `display` 命令逐一核对。这种方式不仅效率低下，而且容易因疲劳或疏忽遗漏检查项。
阅读全文 →
第325篇：配置变更审批与回滚流程自动化
网络变更是运维工作中风险最高的操作之一。据统计，超过 70% 的网络故障由配置变更引起。传统的变更审批流程依赖邮件或工单系统，审批周期长、信息传递不完整、回滚依赖手工执行。
阅读全文 →
第324篇：Git 版本控制管理网络配置
Git 是软件工程中最重要的工具之一，它解决了代码的版本管理、团队协作和变更追溯问题。当网络配置被纳入代码化管理（NaC，见第323篇）后，Git 自然成为网络配置版本控制的首选工具。
阅读全文 →
第323篇：网络即代码（Network as Code）理念
"基础设施即代码"（Infrastructure as Code, IaC）已被云计算领域广泛接受。从网络工程师的视角，Network as Code（NaC）将同样的理念应用到网络设备上：网络配置不再是通过 CLI 逐条输入的手工作...
阅读全文 →
第322篇：CI/CD 在网络变更中的应用
传统网络变更流程存在明显痛点：变更窗口集中在深夜、回滚困难、缺乏自动化验证、人工操作易出错。这些问题的根源在于网络变更长期被视为"手工操作"，而非"可验证的软件交付"。
阅读全文 →
第321篇：全网拓扑自动发现与绘图
在网络规模从几十台设备膨胀到上千台后，手工绘制拓扑图不仅效率极低，而且极难保持准确性。第320篇我们介绍了 IPAM 自动化的核心思路：将 IP 地址资源纳入程序化管控。而拓扑自动发现正是 IPAM 的自然延伸——当你知道哪些 IP ...
阅读全文 →
第320篇：IP 地址管理（IPAM）自动化
第319篇介绍了配置备份与合规检查。在网络运维中，IP 地址管理（IP Address Management, IPAM）是又一个高频且易出错的操作：随着网络规模扩大，手工维护的 Excel 表格不仅效率低下，而且极易出现地址冲突、记...
阅读全文 →
第319篇：配置备份与合规检查自动化工具
第318篇介绍了如何用 Python 自动化巡检设备运行状态。设备配置是网络运维的另一个核心资产——配置丢失可能导致网络中断，未授权变更可能引入安全隐患。因此，配置备份和合规检查是自动化运维的两大基石。
阅读全文 →
第318篇：用 Python 开发自动化巡检脚本
第317篇介绍了华为 MDA 框架的设备管理方式。在实际运维中，每日/每周对网络设备进行巡检是必不可少的工作：检查设备 CPU/内存利用率、接口错误计数、路由数量、协议状态、温度等指标，及时发现潜在故障。
阅读全文 →
第317篇：模型驱动编程（MDA）在华为设备上的实现
第315-316篇分别介绍了 gNMI/gNOI 协议和 Telemetry 流式数据推送。这些协议是模型驱动网络管理的传输层，但实际开发中，直接操作 gRPC 底层 API 过于繁琐。厂商通常会提供更高级的 SDK（软件开发工具包）...
阅读全文 →
第316篇：Telemetry 订阅与流式数据推送
第315篇介绍了 gNMI 协议的双向流式能力。在网络运维中，最核心的需求之一是实时采集设备指标——接口流量、CPU 利用率、内存使用、温度、光功率等。传统的 SNMP 轮询（Polling）方式存在固有缺陷：固定的轮询间隔导致要么数...
阅读全文 →
第315篇：gNMI/gNOI：谷歌开源的网络管理协议
第314篇介绍了 OpenConfig 和 IETF 标准模型。谷歌在大规模网络运营中发现，传统的 NETCONF（XML over SSH）和 RESTCONF（JSON over HTTP）在性能上无法满足超大规模数据中心的需求：...
阅读全文 →
第314篇：OpenConfig 与 IETF 标准模型
前几篇介绍了 NETCONF 和 RESTCONF 这两种协议如何将 YANG 模型作为操作蓝本。然而，YANG 模型本身需要有人来编写——谁来定义这些模型？不同厂商对同一个网络功能（如接口、路由、VLAN）的模型定义是否一致？
阅读全文 →
第313篇：用 RESTCONF 修改接口配置
第311篇介绍了 RESTCONF 作为基于 HTTP 的 YANG 数据操作协议，第312篇演示了 NETCONF 的配置采集。本篇聚焦 RESTCONF 最实用的场景——修改接口配置。
阅读全文 →
第312篇：用 NETCONF 采集设备配置
第311篇介绍了 NETCONF 协议的架构和操作模型。在实际运维中，NETCONF 最常见的应用场景之一就是采集设备配置——从网络设备的 running/candidate 数据区中读取结构化配置数据，用于备份、审计、对比分析等目的。
阅读全文 →
第311篇：NETCONF 与 RESTCONF 协议
第310篇介绍了 YANG 数据模型如何为网络配置提供结构化描述。然而，仅有数据模型还不够——我们需要一种协议来传输这些结构化数据、执行读写操作、并保证操作的原子性与一致性。这就是 NETCONF 和 RESTCONF 的使命。
阅读全文 →
第310篇：YANG 数据模型基础
在前几篇中，我们通过CLI命令、SSH连接和文本模板管理网络设备。CLI的本质是"自由文本协议"——不同厂商使用不同的命令语法、不同的输出格式。即便Netmiko和NAPALM做了大量适配工作，底层仍然依赖正则表达式解析文本。
阅读全文 →
第309篇：Ansible Tower/AWX——自动化调度
Ansible Playbook在命令行下运行十分高效，但当自动化规模扩大后，多个运维团队共享同一套Playbook时，纯命令行方式暴露出明显短板：无权限管控、无执行审计、无可视化调度、无集中式日志。
阅读全文 →
第308篇：Ansible 网络模块——Playbook 管理设备
在前几篇中，我们逐步积累了Python编程、SSH连接、多厂商抽象、模板引擎和结构化数据格式的能力。但这些能力分散在不同工具中，需要一个统一的框架来串联。
阅读全文 →
第307篇：YAML 与 JSON——结构化数据格式
网络自动化的数据流可以概括为：**读取数据 → 处理数据 → 输出配置 → 下发设备**。其中"数据"需要一个标准化的载体格式，既要方便人类编写和阅读，又要被程序高效解析。
阅读全文 →
第306篇：Jinja2 模板引擎——配置模板化
在前几篇中，我们掌握了连接设备、批量执行命令的方法。但当配置内容变得复杂——比如为50台交换机分别生成包含VLAN、接口、BGP、OSPF等数十行配置的完整配置时，逐条拼接字符串的方式既难以维护又容易出错。
阅读全文 →
第305篇：NAPALM——统一网络设备管理接口
Netmiko解决了"连接设备"的问题，但它仍然要求工程师针对不同厂商编写差异化的命令。如果需要采集路由表、接口统计信息、ARP表等结构化数据，工程师仍需自行解析不同厂商的CLI输出格式。
阅读全文 →
第304篇：Netmiko 批量执行配置命令
第303篇中，我们使用Paramiko直接管理SSH连接和Shell交互。然而，当需要对接华为、思科、Juniper等多品牌设备时，每个厂商的CLI提示符、配置模式、命令语法各不相同，手工编写适配代码的工作量巨大。
阅读全文 →
第303篇：Paramiko 库——SSH 连接网络设备
在网络自动化的工具链中，SSH协议是最基础、最通用的通信通道。无论设备品牌是华为、思科、Juniper还是Nokia，只要开启SSH服务，Python就能通过Paramiko库建立加密通道，远程执行命令或下发配置。
阅读全文 →
第302篇：Python 基础——网络工程师的第一行代码
如果说网络自动化是一座大厦，Python就是它的钢筋混凝土。在全部网络自动化工具中——无论是Paramiko、Netmiko、NAPALM还是Scapy——Python都是最底层、最通用的语言基座。
阅读全文 →
第301篇：网络运维自动化的 Why 与 How
承接第300篇对AI时代数据中心趋势的探讨，我们看到了数据中心正从传统"烟囱式"架构向云原生、智能化方向演进。然而，再先进的硬件与算法，若缺乏高效的运维体系支撑，也无法释放其真正的价值。当网络设备规模从几十台膨胀到数千台、配置项从数百...
阅读全文 →
第300篇：AI 时代的数据中心网络趋势
AI大模型的训练和推理正在重塑数据中心的网络架构。从GPT-3的1750亿参数到GPT-4的数万亿参数，再到未来万卡乃至十万卡规模的AI集群，数据中心网络不仅要承载传统的存储和计算流量，更要支撑海量的GPU间通信、分布式梯度同步和大规...
阅读全文 →
第299篇：工业互联网与 TSN 融合
工业互联网的核心愿景是将IT（信息技术）与OT（运营技术）深度融合，使工厂车间的机械设备、传感器和执行器能够像IT系统的服务器和工作站一样互联互通。然而，传统工业控制网络（如PROFINET、EtherCAT、EtherNet/IP）...
阅读全文 →
第298篇：TSN 时钟同步：802.1AS gPTP
在第297篇中，我们深入学习了802.1Qbv时间感知整形器的工作原理。然而，802.1Qbv的"时间门控"机制有一个根本前提：网络中所有交换机的本地时钟必须高度同步。如果交换机A认为当前是100μs（Q7门刚关闭），而交换机B认为当...
阅读全文 →
第297篇：确定性网络（802.1Qbv/TSN）入门
传统以太网的核心理念是"尽力而为"（Best-Effort）——网络尽可能快地转发每一帧，但不提供任何确定性保证。对于Web浏览、视频流媒体等应用，偶尔的抖动和丢包是可以容忍的。但对于工业自动化、车载网络、电力保护等场景，网络必须提供...
阅读全文 →
第296篇：算力感知路由与负载分发
在第295篇中，我们介绍了算力网络的整体架构和调度理念。然而，理念需要技术落地。无论算力调度引擎做出多么精妙的决策，如果底层网络无法将业务流量高效、可靠地输送到目标算力中心，整个算力调度体系就是空中楼阁。
阅读全文 →
第295篇：算力网络（Computing First Network）概念
在AI大模型、自动驾驶、科学计算等算力密集型应用的驱动下，计算资源的需求呈现指数级增长。然而，算力资源的分布极不均衡——东部沿海地区算力需求旺盛但土地和能源成本高昂，西部地区的能源充沛、土地廉价但本地算力需求有限。"东数西算"工程正是...
阅读全文 →
第294篇：CPRI/eCPRI 前传接口与无线云化
在5G网络架构中，基带处理单元被拆分为集中式单元（CU）和分布式单元（DU），射频拉远单元（AAU/RRU）则负责射频信号的收发。CU与DU之间、DU与AAU之间的接口构成了5G前传/中传网络的核心。
阅读全文 →
第293篇：400G/800G 光模块与高速互联
随着AI大模型训练、高性能计算和超大规模数据中心的爆发式增长，单机柜的端口聚合带宽已从10年前的数十Gbps飙升至如今的数Tbps。当传统100G光模块的容量天花板被触碰时，400G和800G高速互联成为了数据中心和承载网的必然选择。
阅读全文 →
第292篇：FlexE 硬切片与 QoS 保障
传统以太网基于分组交换，所有业务共享同一物理链路带宽。这种共享模式的本质是"软隔离"——通过QoS队列调度区分优先级，但在突发拥塞时，低优先级业务仍可能挤占高优先级业务的带宽。对于5G前传/中传、金融交易、工业控制等对时延和抖动极度敏...
阅读全文 →
第291篇：接入层 PTN/IPRAN 组网方案
在第290篇中，我们深入剖析了IPRAN回传网络的三层架构（汇聚-核心-接入）以及eNodeB/gNodeB到核心网的端到端回传路径。那篇文章聚焦于回传网络的整体架构和核心传输技术，但从现网部署的角度看，接入层（Access Laye...
阅读全文 →
第290篇：IP RAN 与移动回传网络
IP RAN（IP Radio Access Network）是移动网络回传的核心承载技术，负责将gNB/eNB基站的用户面和控制面流量可靠地传输到核心网。从2G到5G，回传网络经历了从TDM（时分复用）到PTN（分组传送网）再到IP...
阅读全文 →
第289篇：5G 核心网 N4 接口与 UPF 分流
在5G核心网架构中，N4接口是控制面网元SMF（Session Management Function）与用户面网元UPF（User Plane Function）之间的核心接口。N4接口基于PFCP（Packet Forwardin...
阅读全文 →
第288篇：5G 承载网：FlexE 与切片分组网
5G承载网面临着传统以太网无法解决的挑战：eMBB大带宽、uRLLC极低时延和高可靠性、mMTC海量连接，这些需求在同一张物理网络上共存时，需要更强的隔离和调度能力。
阅读全文 →
第287篇：网络切片（Network Slicing）基础
网络切片（Network Slicing）是5G网络的核心能力之一。它允许在同一个物理网络基础设施上，虚拟出多个逻辑隔离的网络"切片"，每个切片可以独立定制网络特性（带宽、时延、可靠性等），以满足不同业务的差异化SLA（Service...
阅读全文 →
第286篇：数据中心网络运维 AI 辅助分析
随着数据中心规模的持续增长和网络复杂度的不断提升，传统基于规则的网络运维方式已难以满足需求。告警风暴、故障定位慢、根因分析困难等问题日益突出。
阅读全文 →
第285篇：Telemetry 数据采集与模型驱动
第284篇介绍了Telemetry与gRPC的基础架构和部署方式。本节深入探讨Telemetry背后的核心基石——模型驱动（Model-Driven）理念，以及YANG数据模型如何在网络设备Telemetry采集中实现标准化和结构化。
阅读全文 →
第284篇：数据中心网络监控：Telemetry 与 gRPC
传统网络监控依赖于SNMP轮询或CLI抓取，采集频率低（分钟级）、开销大、数据粒度粗糙，无法满足数据中心高速网络（25G/100G/400G）的实时监控需求。
阅读全文 →
第283篇：ZTP（零接触部署）在数据中心的实践
ZTP（Zero Touch Provisioning，零接触部署）是数据中心网络自动化的核心能力之一。在新设备上电后，无需工程师现场登录每台设备进行手动配置，设备自动从网络中获取配置并上线运行。这一能力对于大规模数据中心（数百至上千...
阅读全文 →
第282篇：数据中心网络自动化：Ansible 批量配置
在数据中心网络运维中，手动逐台配置交换机不仅效率低下，还容易引入人为错误。Ansible作为最流行的IT自动化引擎，凭借其Agentless架构和声明式配置模型，成为网络设备批量配置的首选工具之一。
阅读全文 →
第281篇：华为 CloudFabric 数据中心方案简介
华为 CloudFabric 是基于 SDN（Software Defined Networking）理念的全新一代数据中心网络解决方案，旨在解决传统数据中心网络运维复杂、扩展困难、自动化程度低等痛点。CloudFabric 以华为 ...
阅读全文 →
第280篇：云原生网络策略 NetworkPolicy 实现
Kubernetes NetworkPolicy是K8s原生的网络安全策略API，用于控制Pod之间的网络访问权限。NetworkPolicy本身只是一个API规范，其实际执行依赖于CNI插件的数据面实现。
阅读全文 →
第279篇：容器网络的多租户隔离方案
在共享的Kubernetes集群中，多租户网络隔离是确保不同租户（团队、项目、客户）之间网络安全和资源隔离的关键。与虚拟机环境中的VPC隔离类似，容器网络也需要在共享基础设施上实现租户间的逻辑隔离。
阅读全文 →
第278篇：K8s Ingress 与 Service Mesh 网络
在Kubernetes集群中，Service提供了Pod间的基本负载均衡和服务发现能力，但对于外部流量的管理和微服务间的精细流量控制，需要更高级的网络抽象：Ingress和Service Mesh。
阅读全文 →
第277篇：Cilium eBPF 数据面与网络性能
eBPF（extended Berkeley Packet Filter）是Linux内核的一项革命性技术，它允许在内核中安全地运行沙箱程序。Cilium创新性地将eBPF应用于容器网络，用eBPF程序替代了传统的iptables/n...
阅读全文 →
第276篇：Flannel、Calico、Cilium 方案对比
Kubernetes的CNI插件机制允许用户选择不同的网络方案来实现Pod间的通信、服务发现和网络安全。Flannel、Calico和Cilium是Kubernetes生态中最流行的三大CNI方案，它们各自采用了不同的技术路线，适用于...
阅读全文 →
第275篇：Kubernetes 网络：CNI、Pod 网络与 Service
Kubernetes（K8s）作为容器编排的事实标准，其网络模型是整个平台的核心组件之一。Kubernetes定义了一套严格的网络模型要求，并通过CNI（Container Network Interface）插件机制实现灵活的网络方案。
阅读全文 →
第274篇：Overlay 网络中隧道终结与网关
在Overlay网络架构中，隧道终结（Tunnel Termination）和网关（Gateway）是实现虚拟网络与物理网络互通的核心机制。隧道终结点（VTEP）负责Overlay报文的封装和解封装，而网关则负责虚拟网络与外部物理网络...
阅读全文 →
第273篇：虚拟网络：VPC、子网、安全组、ACL
在云计算环境中，虚拟私有云（VPC, Virtual Private Cloud）是云网络的核心抽象概念。VPC为每个租户提供了一个逻辑隔离的网络环境，租户可以在其中自主规划子网、配置路由、设置安全策略，仿佛拥有一台专属的物理路由器。
阅读全文 →
第272篇：OpenStack Neutron 网络：Provider 与 Self-Service
OpenStack Neutron（原Nova Network的独立项目）是OpenStack平台的网络服务组件，为计算实例（VM）提供"网络即服务"（Networking as a Service）能力。Neutron通过抽象网络资...
阅读全文 →
第271篇：云计算网络基础：虚拟交换机（OVS）
在云计算环境中，虚拟机（VM）和容器需要通过网络进行通信。传统物理交换机无法直接连接运行在同一台物理服务器上的虚拟机，因此需要虚拟交换机（Virtual Switch）来实现虚拟机之间的二层连接以及虚拟机到外部网络的连接。
阅读全文 →
第270篇：NVMe over RoCEv2 部署案例
NVMe over RoCEv2结合了NVMe协议的高并发低延迟特性和RoCEv2 RDMA的零拷贝传输能力，是当前AI训练、高性能计算等场景下的最优存储网络方案。
阅读全文 →
第269篇：NVMe over Fabric 协议演进
NVMe（Non-Volatile Memory Express）协议是为固态存储（SSD/NVMe）设计的高性能接口协议。传统的SATA/SAS协议是为机械硬盘设计的，其命令队列深度和延迟已无法满足NVMe SSD的性能需求。
阅读全文 →
第268篇：FC 交换机基础：Domain ID、WWN、Zone
Fibre Channel（光纤通道，简称FC）是一种专为高速数据传输设计的高速网络技术，广泛应用于SAN（Storage Area Network）环境中。FC交换机是FC网络的核心设备，负责FC帧的交换和路由。
阅读全文 →
第267篇：存储网络基础：FC-SAN 与 IP-SAN（iSCSI）
存储网络是企业数据中心的核心基础设施之一。随着虚拟化、云存储和分布式存储的发展，存储网络经历了从直连（DAS）到网络附加（NAS），再到存储区域网络（SAN）的演进。
阅读全文 →
第266篇：数据中心 PFC（优先级流控制）死锁故障
PFC（Priority-based Flow Control，优先级流控）是构建RoCE无损以太网的关键技术。然而，PFC本身存在一些固有的缺陷，最严重的问题就是PFC死锁（PFC Deadlock）。PFC死锁一旦发生，受影响端口...
阅读全文 →
第265篇：RoCEv2 拥塞控制与流量监管
RoCEv2在以太网上实现RDMA通信，其性能高度依赖拥塞控制机制的正确配置和流量监管策略的合理设计。即使网络配置了PFC和ECN，如果DCQCN参数调优不当或流量监管策略不合理，仍然会出现性能瓶颈。
阅读全文 →
第264篇：RoCE 与无损网络：PFC、ECN、DCQCN
随着AI训练、大数据分析、分布式存储等高性能计算场景的爆发式增长，传统TCP/IP网络的高延迟和低吞吐量已无法满足需求。RoCE（RDMA over Converged Ethernet）技术通过在以太网上传输RDMA报文，实现了微秒...
阅读全文 →
第263篇：DCI 光传输基础：DWDM 与波分复用
数据中心互联（DCI）对传输带宽和延迟提出了极高要求。当两个数据中心之间的距离超过直连光纤的可行范围（通常>10km），但又需要数十Gbps到数百Gbps的带宽时，DWDM（Dense Wavelength Division Mult...
阅读全文 →
第262篇：数据中心互联（DCI）方案：VXLAN over WAN
随着企业数字化转型的深入，单一数据中心已无法满足业务的高可用性、弹性和规模需求。同城双活、异地灾备、多云互联等场景要求数据中心之间建立高速、可靠、灵活的互联通道，这就是DCI（Data Center Interconnect）。
阅读全文 →
第261篇：VXLAN over SR-MPLS 混合方案
在大型企业集团和云服务商的网络架构中，数据中心之间的互联（DCI）以及数据中心与广域网之间的连接，通常需要跨越多个自治域和地理区域。在这种情况下，纯VXLAN方案（依赖IP路由Underlay）可能无法满足运营商级网络的要求，而纯MP...
阅读全文 →
第260篇：BGP EVPN 的 RT/RD 规划
在前几篇中，我们系统学习了Spine-Leaf架构、VXLAN Overlay、BGP EVPN控制面、Type2/Type3路由、网关部署模式以及Anycast Gateway。这些技术共同构成了现代数据中心Overlay网络的技术...
阅读全文 →
第259篇：Anycast Gateway 与主机路由
第258篇对比了分布式网关和集中式网关的优劣，指出分布式网关虽然消除了三角流量，但带来了配置复杂和策略分散的问题。而一个更深层次的问题是：在分布式网关架构中，同一子网（如同一VNI下的所有VM）的网关IP应该部署在哪里？
阅读全文 →
第258篇：分布式网关与集中式网关对比
在数据中心VXLAN Overlay网络中，虚拟机不仅需要在同一子网内通信（同一VNI），还需要跨子网通信（不同VNI/VRF），以及访问外部网络（互联网、分支站点等）。这些场景都需要网关（Gateway）来实现三层路由转发。
阅读全文 →
第257篇：EVPN Type2/Type3 路由详解
第256篇中，我们介绍了BGP EVPN作为VXLAN控制面的整体架构和配置方法。BGP EVPN之所以能替代传统MAC自学习和静态VTEP配置，核心在于它定义了一套全新的路由类型，将这些二层网络信息作为BGP路由进行分发。
阅读全文 →
第256篇：DC EVPN 实现 VXLAN 控制面
第255篇中，我们深入剖析了VXLAN的报文封装格式、VTEP工作机制以及四大典型应用场景。但在实际生产环境中，一个绕不开的问题是：VXLAN隧道的端点（VTEP）如何彼此发现？一台VM的MAC地址如何被其他VTEP学习到？
阅读全文 →
第255篇：VXLAN 在数据中心的应用场景
第254篇中，我们深入分析了传统VLAN在数量、扩展性和控制面方面的局限性，并指出Overlay网络是突破这些限制的方向。在所有Overlay技术中，VXLAN（Virtual Extensible LAN）以其简单的设计哲学和强大的...
阅读全文 →
第254篇：数据中心 VLAN 规划与 Overlay 趋势
VLAN（Virtual Local Area Network）是数据中心二层隔离的基础技术。自IEEE 802.1Q标准在1998年发布以来，VLAN凭借其简单、高效、广泛兼容的特性，成为几乎所有数据中心网络的默认隔离手段。
阅读全文 →
第253篇：ECMP 在 Spine-Leaf 中的负载均衡
Spine-Leaf架构的核心优势之一是等臂路由——任意两台Leaf之间的所有转发路径跳数相同、度量相同。然而，仅有等臂路由还不够：路由器必须在多条等价路径上合理地分布流量，才能真正将多条链路的带宽聚合成可用容量。这一任务由ECMP（...
阅读全文 →
第252篇：Spine-Leaf 架构原理：为什么取代三层架构
第251篇中，我们梳理了数据中心网络从传统三层架构向Spine-Leaf架构演进的宏观脉络。我们看到，流量模型从南北向为主转变为东西向为主，是驱动架构变革的根本动力。但仅了解"发生了什么"还不够——工程师需要深入理解Spine-Lea...
阅读全文 →
第251篇：数据中心网络架构演进：传统三层到 Spine-Leaf
第250篇中，我们完整跟进了一次企业网安全渗透测试，从边界突破到内网横向移动，暴露了传统企业网架构在安全防护层面的短板。而安全防护的根基，首先在于网络架构本身是否具备清晰的区域划分和可控的流量走向。
阅读全文 →
第250篇：一次完整的企业网安全渗透测试案例
渗透测试（Penetration Testing）是模拟真实攻击者对目标系统进行的安全评估活动。与安全扫描不同，安全扫描只发现"已知漏洞"，而渗透测试关注的是"漏洞是否可被利用"以及"利用后能到达什么位置"。
阅读全文 →
第249篇：安全基线检查清单
安全基线（Security Baseline）是一组最低限度的安全配置要求，定义了网络设备在上线前必须满足的安全标准。没有基线的网络安全建设如同没有标准的建筑工程——每台设备的配置因人而异，安全隐患无法系统性排查，合规审计无从下手。
阅读全文 →
第248篇：禁用不安全协议：Telnet、SNMPv1/v2
在网络安全加固中，禁用不安全协议是最基础也是最有效的一项措施。Telnet 和 SNMPv1/v2c 作为早期网络管理协议，采用明文传输数据，密码、配置、设备状态等敏感信息在网络中"裸奔"。任何能够进行网络嗅探的攻击者，都可以轻松截获...
阅读全文 →
第247篇：网络设备密码恢复与安全加固
网络设备密码遗忘是每个运维人员都可能遇到的"噩梦"场景。当远程管理地址未知、AAA 服务器不可达、Console 密码遗忘时，如何恢复对设备的控制权，同时确保恢复过程本身不引入新的安全风险？
阅读全文 →
第246篇：安全策略变更管理流程
在网络安全运维中，80% 以上的安全事件与配置变更相关。一次未经充分评估的防火墙策略变更可能导致业务中断；一条错误的 ACL 规则可能打开不该开放的安全缺口；一次匆忙的策略调整可能违反合规要求。
阅读全文 →
第245篇：无线入侵检测（WIDS/WIPS）
即使部署了 WPA3 加密和 802.1X 认证，无线网络仍面临来自无线介质本身的独特威胁。攻击者可以在不连接有线网络的情况下，在 WiFi 信号覆盖范围内发起各类无线层攻击：部署 Rogue AP（非法接入点）、伪造 Evil Tw...
阅读全文 →
第244篇：无线网络安全：WPA2/WPA3/802.1X
无线网络的开放性使其天然面临比有线网络更严峻的安全挑战。攻击者不需要物理接触网络线缆，即可在信号覆盖范围内截获、注入甚至劫持无线通信。从早期的 WEP 到 WPA、WPA2，再到当前的 WPA3，无线网络加密认证技术经历了持续演进。
阅读全文 →
第243篇：企业内网威胁狩猎基础
在传统安全运营中，安全团队主要依赖 SIEM 告警和终端安全产品的事件通知来响应安全事件。然而，这种方式存在两个致命缺陷：
阅读全文 →
第242篇：蜜罐与诱捕技术在现网的应用
传统网络安全防御依赖防火墙、IDS/IPS、防病毒等被动防护设备，它们部署在攻击路径上，等待攻击到来后进行拦截。然而，被动防御存在固有缺陷：规则库永远滞后于新攻击、海量正常流量中难以发现精准攻击、内部威胁难以察觉。
阅读全文 →
第241篇：等保三级 VLAN 隔离的合规实现
等保三级（信息安全等级保护第三级）明确要求"应对网络进行分区，不同安全区域之间应采取隔离措施"。在第240篇安全域划分中，我们已经明确了DMZ、Trust、管理区、用户接入区等安全域的概念。本文将深入探讨如何基于 VLAN 技术落地等...
阅读全文 →
第240篇：安全域划分与边界防护策略
第239篇介绍了等保三级对网络架构的整体要求，其中核心之一就是安全域（Security Zone）的划分。安全域划分是网络安全设计的基石，将网络按照信任级别、业务类型和安全需求划分为不同的逻辑区域，在区域边界部署安全防护设备，实施差异...
阅读全文 →
第239篇：等保 2.0 三级网络架构要求
网络安全等级保护2.0（简称"等保2.0"）是中国网络安全领域最核心的法规标准体系。2019年12月1日，《网络安全等级保护基本要求》（GB/T 22239-2019）正式实施，覆盖了传统IT系统、云计算、移动互联、物联网和工业控制等...
阅读全文 →
第238篇：日志服务器 Syslog 与安全事件关联
第237篇介绍了防火墙日志的分类和配置方法。然而，日志的价值不在于收集，而在于分析和关联。单个防火墙的日志只能看到局部情况，只有将所有网络设备的日志集中到一个平台，才能进行跨设备、跨维度的安全事件关联分析。
阅读全文 →
第237篇：防火墙日志与审计方案
防火墙是企业网络安全的第一道防线，其日志记录了所有经过防火墙的网络流量、安全策略命中情况、攻击事件和管理操作。这些日志不仅是安全事件响应的关键证据，也是合规审计（等保、GDPR、SOX）的法定要求。
阅读全文 →
第236篇：STP 攻击：BPDU 泛洪与 TC 攻击
生成树协议（STP/RSTP/MSTP）是二层网络防环的基础，通过计算无环树形拓扑确保广播域中不存在环路。然而，STP协议本身几乎没有安全机制：任何BPDU报文都被交换机信任和处理，攻击者可以利用伪造的BPDU报文操控STP拓扑。
阅读全文 →
第235篇：VLAN Hopping 攻击与防护
VLAN（Virtual Local Area Network）将物理交换机划分为多个逻辑广播域，是二层网络隔离的基础。理论上，不同VLAN之间的通信必须经过三层设备（路由器或三层交换机），无法直接互通。
阅读全文 →
第234篇：DHCP 饿死攻击与防护
DHCP（Dynamic Host Configuration Protocol）是局域网中最基础也最重要的服务之一，负责自动分配IP地址。然而，DHCP协议在设计时几乎没有考虑安全性：所有消息以广播形式传输，客户端和服务器均不对报文...
阅读全文 →
第233篇：TCP 劫持与序列号预测攻击
TCP协议设计之初假设网络是可信的，任何能注入或修改IP报文的人都能对TCP连接施加影响。TCP劫持（TCP Hijacking）和序列号预测攻击正是利用了TCP协议的这一固有缺陷。
阅读全文 →
第232篇：HTTPS 过滤原理与挑战
在第231篇中，我们了解了SSL解密技术如何使防火墙获得对加密流量的检测能力。HTTPS过滤（HTTPS Filtering）正是基于SSL解密能力，对HTTPS流量中的URL、应用类型和内容进行精细化管控。
阅读全文 →
第231篇：SSL 解密与加密流量检测
如第230篇DLP所述，网络侧DLP需要对HTTP/HTTPS流量做深度内容检测。然而，当前互联网流量中超过95%已通过TLS加密。加密流量成为安全检测的"黑箱"：恶意软件下载、数据外泄、C2通信全部隐藏在HTTPS隧道中，传统基于特...
阅读全文 →
第230篇：数据防泄漏（DLP）的网络侧实现
数据防泄漏（Data Loss Prevention, DLP）的核心目标是防止敏感数据未经授权的流出组织边界。网络侧 DLP 在数据离开网络的出口位置进行实时检测和拦截，是保护数据安全的最后一道防线。
阅读全文 →
第229篇：终端检测与响应（EDR）在网络侧联动
EDR（Endpoint Detection and Response，终端检测与响应）专注于终端层面的威胁检测和响应。然而，仅靠 EDR 无法解决网络层面的安全问题。当 EDR 检测到终端感染时，网络侧设备（防火墙、交换机、WAF）...
阅读全文 →
第228篇：安全沙箱与未知威胁检测
传统安全设备依赖特征库检测已知威胁，面对变种恶意代码和 0day 攻击时束手无策。安全沙箱（Security Sandbox）通过在隔离环境中动态执行可疑文件，观察其行为特征，从而识别未知威胁。它是纵深防御体系中对抗高级持续性威胁（A...
阅读全文 →
第227篇：下一代防火墙（NGFW）与 UTM 区别
随着网络安全威胁的复杂化，传统防火墙（Stateful Firewall）基于 IP 和端口的访问控制已无法应对应用层攻击。UTM（Unified Threat Management，统一威胁管理）和 NGFW（Next-Genera...
阅读全文 →
第226篇：终端安全准入控制
终端安全准入控制（Network Access Control, NAC）在用户认证通过后，进一步检查终端自身的安全状态（如是否安装杀毒软件、操作系统补丁是否完整、是否存在恶意软件），只有满足安全策略的终端才被允许接入网络。这是纵深防...
阅读全文 →
第225篇：访客认证与 Portal 认证流程
在企业网络中，除了正式员工通过 802.1X 认证接入外，还有大量访客（客户、合作伙伴、临时人员）需要临时接入网络。Portal 认证通过 Web 页面完成身份验证，无需在终端安装专用客户端，是访客接入最常用的认证方式。
阅读全文 →
第224篇：802.1X 认证的 EAP 协议栈
802.1X 是 IEEE 制定的基于端口的网络访问控制标准，通过 EAP（Extensible Authentication Protocol，可扩展认证协议）实现灵活的认证方式。企业园区网中，802.1X 是端口安全的核心机制，只...
阅读全文 →
第223篇：内网安全：微隔离与零信任入门
传统网络安全采用"边界防御"模型，在网络边界部署防火墙进行防护，一旦攻击者突破边界进入内网，便可自由横向移动。微隔离（Micro-Segmentation）和零信任（Zero Trust）理念从根本上改变了这一模式：不再信任内网的任何...
阅读全文 →
第222篇：带宽管理与应用限速
在共享带宽的网络环境中，某些应用或用户可能占满全部带宽，导致关键业务体验下降。带宽管理通过对不同流量分配不同的带宽资源，确保关键业务获得保障带宽，非关键业务在不影响其他流量的前提下合理利用空闲带宽。
阅读全文 →
第221篇：应用层识别与深度包检测（DPI）
传统防火墙基于 IP 地址、端口和协议进行访问控制，但随着应用加密化、端口复用和动态端口技术的普及，仅靠四元组已无法准确识别流量所属的应用。深度包检测（Deep Packet Inspection, DPI）技术通过解析报文应用层内容...
阅读全文 →
第220篇：全局白名单与黑名单策略
在前面的文章中，我们依次学习了 IPsec VPN 的各种组网模式、GRE 隧道技术、DNS 安全防护、DDoS 攻击原理与防护机制。无论是 VPN 策略、DNS 过滤还是 Anti-DDoS 防护，其底层都依赖一个核心概念：基于地址...
阅读全文 →
第219篇：Anti-DDoS 防护机制
在第218篇中，我们学习了 SYN Flood 和 ICMP Flood 这两种经典 DoS 攻击的原理和防护方法。面对日益增长的 DDoS 攻击威胁，仅靠单机防护设备已无法满足安全防护需求。现代 DDoS 攻击规模可达 Tbps 级...
阅读全文 →
第218篇：网络攻击基础：SYN Flood、ICMP Flood
在第217篇中，我们学习了 DNS 过滤与防域名劫持的安全防护技术。DNS 攻击只是网络攻击的一个侧面。在网络安全的广阔领域中，拒绝服务攻击（Denial of Service, DoS）及其分布式变体（DDoS）是最直接、最常见的攻...
阅读全文 →
第217篇：防火墙场景的 DNS 过滤与防域名劫持
前面六篇文章系统介绍了 IPsec VPN 和 GRE 隧道的各种应用场景。从本篇开始，我们将视角转向网络安全攻击防护领域。DNS（Domain Name System）是互联网的基础设施，将人类可读的域名解析为 IP 地址。然而，D...
阅读全文 →
第216篇：GRE over IPsec 实现安全隧道
在第215篇中，我们学习了 GRE 隧道的基本原理和配置方法。GRE 提供了一种灵活隧道机制，可以承载任意网络层协议。然而，GRE 本身不提供任何加密和认证能力。当 GRE 隧道跨越公网时，所有传输的数据以明文形式暴露，存在严重的泄密风险。
阅读全文 →
第215篇：GRE 隧道与 Overlay 网络
前面几篇文章系统介绍了 IPsec VPN 的各种应用场景，包括站点到站点 VPN 和远程用户接入。IPsec 提供了加密和认证的安全通道，但其本身只能封装 IP 流量，且加密后的报文无法被中间设备检查。在实际网络中，有时需要在两个站...
阅读全文 →
第214篇：L2TP over IPsec 远程拨号
前三篇 IPsec VPN 文章分别介绍了封装模式、IKE 协商模式和 Hub-Spoke 组网。这些场景均面向站点到站点的组网需求。但在企业中，大量远程办公人员（销售人员、外勤工程师、居家办公员工）需要从任意网络接入企业内网。此时，...
阅读全文 →
第213篇：分支与总部 IPsec VPN 组网
在实际企业网络中，IPsec VPN 最常见的应用场景是总部与多个分支机构之间的组网互联。前几篇文章介绍了 IPsec 的封装模式、IKE 协商机制等底层技术。当网络规模从一个站点扩展到多个站点时，如何设计 VPN 拓扑、配置路由策略...
阅读全文 →
第212篇：IPsec VPN 野蛮模式与主模式
在第210篇和第211篇中，我们系统学习了 IPsec VPN 的工作原理、IKE 密钥协商流程、安全联盟建立以及隧道模式与传输模式的区别。IKE（Internet Key Exchange）协议是 IPsec VPN 的控制面协议，...
阅读全文 →
第211篇：IPsec VPN 隧道模式与传输模式
在第210篇中，我们系统学习了 IPsec VPN 的工作原理、IKE 密钥协商流程以及安全联盟（SA）的建立机制。IPsec 通过 IKE 完成密钥协商后，实际数据的加密和传输由 ESP 或 AH 协议承担。而 ESP/AH 对原始...
阅读全文 →
第210篇：IPsec VPN 原理：IKEv1/v2 与 SA 建立
IPsec（Internet Protocol Security）VPN 是实现两个远程站点之间安全通信的行业标准技术。与 SSL VPN 面向单个远程用户的接入场景不同，IPsec VPN 主要面向站点到站点（Site-to-Sit...
阅读全文 →
第209篇：SSL VPN 远程接入方案
随着远程办公和移动办公成为常态，企业需要为分布在全球的远程用户提供安全、便捷的远程接入方案。SSL VPN（Secure Socket Layer Virtual Private Network）利用广泛支持的 SSL/TLS 加密协...
阅读全文 →
第208篇：防火墙反病毒与 URL 过滤
在企业的网络安全防护体系中，防火墙的反病毒（Anti-Virus, AV）和 URL 过滤功能是防御终端感染恶意软件和阻断用户访问危险网站的第一道屏障。传统的基于主机的反病毒软件只能保护已部署的终端，而防火墙级的反病毒和 URL 过滤...
阅读全文 →
第207篇：防火墙入侵防御（IPS）基础
随着网络安全威胁的日益复杂化，传统的基于端口和协议的访问控制已不足以应对零日漏洞利用、Web 应用攻击、蠕虫传播等高级威胁。入侵防御系统（Intrusion Prevention System, IPS）作为防火墙的高级安全功能，通过...
阅读全文 →
第206篇：防火墙的虚拟化：虚拟防火墙（VSYS）
在企业网络日益复杂化的今天，一台物理防火墙需要同时为多个部门、多个业务系统甚至多个租户提供独立的安全防护。如果为每个部门配置一台独立防火墙，不仅硬件成本高昂，运维管理也极为繁琐。
阅读全文 →
第205篇：防火墙双机热备：主备与负载分担
在企业网络中，防火墙作为安全边界的关键设备，其可用性直接关系到业务的连续性。单台防火墙一旦出现故障，将导致整个网络中断。双机热备（High Availability, HA）通过在两台防火墙之间建立冗余关系，实现了设备级的故障自动切换...
阅读全文 →
第204篇：NAT 在防火墙上的实现差异
网络地址转换（NAT）最初的设计目标是缓解 IPv4 地址短缺问题，将私有地址映射为公网地址以实现内网主机访问互联网。但随着技术的发展，NAT 在防火墙上已演变为一项综合的地址转换工具，承载了远超"地址节省"的安全和业务功能。
阅读全文 →
第203篇：状态防火墙 vs 包过滤防火墙
防火墙的技术演进经历了从简单到复杂的漫长过程。早期的包过滤防火墙（Packet Filtering Firewall）仅基于 IP 头部信息做简单匹配，而现代状态防火墙（Stateful Firewall）则能够跟踪连接的完整生命周期...
阅读全文 →
第202篇：防火墙包过滤与会话表
防火墙的安全策略决定了"什么流量应该被允许"，而真正执行这个决策的底层机制是包过滤引擎和会话表。理解防火墙如何处理每一个数据包的完整生命周期，是掌握防火墙性能调优和故障排查的关键。
阅读全文 →
第201篇：防火墙安全区域与安全策略
在上一篇第200篇中，我们学习了广域网 NQA/BFD 监测技术，掌握了如何对关键链路实施毫秒级故障检测。链路连通性只是网络可靠性的基础，而真正的安全防护需要从边界开始构建。
阅读全文 →
第200篇：广域网链路质量监测：NQA 与 BFD
在第199篇中，我们学习了 MPLS OAM（LSP Ping 和 LSP Traceroute）如何检测标签交换路径的连通性与逐跳状态。LSP Ping 本质上是按需发起的故障排查工具——当问题出现时，运维人员手动触发检测。但在生产...
阅读全文 →
第199篇：MPLS OAM：LSP Ping 与 Traceroute
在第198篇中，我们深入学习了 MPLS QoS 的 EXP 标记继承与队列调度机制。然而，即使 QoS 设计再完美，如果 MPLS 标签交换路径（LSP, Label Switched Path）本身出现了故障——标签丢失、LSP ...
阅读全文 →
第198篇：MPLS QoS：EXP 位与隧道优先级
在第197篇中，我们为大客户专线设计了 CIR/PIR 限速策略和 WRR 队列调度。但限速只是 QoS（Quality of Service）的一部分——当网络拥塞时，如何决定哪些报文优先通过、哪些报文被丢弃？这就是 MPLS Qo...
阅读全文 →
第197篇：大客户专线 MPLS VPN 设计
在第196篇中，我们探讨了固网与移动网的融合架构，其中承载网通过 MPLS L3VPN 对不同业务进行逻辑隔离。现在我们将这种隔离思路应用到一个非常具体的商业场景——运营商面向政企大客户的专线业务。
阅读全文 →
第196篇：固网与移动网融合架构
在第195篇中，我们学习了 DS-Lite 如何在 IPv6 骨干网上承载 IPv4 流量。现在我们将视角扩展到更宏观的层面——运营商网络的整体架构演进。
阅读全文 →
第195篇：DS-Lite 轻量级双栈：IPv4 over IPv6
在第194篇中，我们深入剖析了 CGNAT 的工作原理和端口分配策略。CGNAT 虽然暂时缓解了 IPv4 地址短缺，但引入了多层 NAT、端口耗尽、端到端连通性受损等一系列问题。
阅读全文 →
第194篇：CGNAT（运营商级 NAT）原理与端口块分配
在第193篇中，我们了解了 BRAS 的部署架构和 CGNAT 在城域网中的位置。本篇将深入 CGNAT 的内部工作原理，从 NAPT（Network Address and Port Translation）的映射机制讲起，逐步深入...
阅读全文 →
第193篇：城域网 BRAS 与 CGNAT 部署
随着互联网用户的爆炸式增长和 IPv4 地址资源的日益枯竭，城域网面临着前所未有的挑战。BRAS（Broadband Remote Access Server，宽带远程接入服务器）作为城域网的核心接入设备，负责汇聚来自千家万户的宽带用...
阅读全文 →
第192篇：跨域骨干网互联方案
在第191篇中，我们完成了单一 AS 内 MPLS 骨干网的分层架构设计。然而，真实的运营商网络往往跨越多个省、多个自治域（AS），这就需要跨域互联方案来打通不同域之间的 L3VPN 业务。
阅读全文 →
第191篇：运营商 MPLS 骨干网设计案例
在前文（第190篇 SRv6 与 EVPN 融合）中，我们探讨了新一代网络如何以 SRv6 作为统一承载面、以 EVPN 作为控制面来实现灵活的服务编排。然而，对于当前仍大规模运行的传统 MPLS 骨干网来说，理解其经典架构与设计方案...
阅读全文 →
第190篇：SRv6 与 EVPN 的深度融合
EVPN（Ethernet VPN）在第173~177篇中已深入讨论，它是数据中心和广域网中虚拟二层/三层网络的事实标准。SRv6 与 EVPN 的融合，将 EVPN 的虚拟网络隔离能力与 SRv6 的源路由和网络编程能力结合，构建了...
阅读全文 →
第189篇：SRv6 网络编程：SID 的灵活编排
SRv6 最革命性的特性之一是"网络编程"能力。在 SR-MPLS 中，标签只是一个转发标识；而在 SRv6 中，SID 是一个 128 位的 IPv6 地址，可以编码复杂的函数逻辑和参数。这意味着每个 SID 不仅可以指定"转发到哪...
阅读全文 →
第188篇：SRv6 TE Policy 与 Color 选路
SRv6 TE Policy 是 SRv6 网络中实现流量工程的核心机制。与 SR-MPLS TE Policy 类似，SRv6 TE Policy 通过 Color 标识流量类型、通过 Endpoint 指定目的地、通过 Candi...
阅读全文 →
第187篇：SRv6 转发流程与 End/End.X SID
SRv6 的转发流程与传统 IPv6 转发有本质区别。在传统 IPv6 中，报文的目的地址就是最终目的地；在 SRv6 中，报文的目的地址是当前待处理的 Segment（中间节点或终点）。理解 SRv6 的转发流程，关键在于掌握 Se...
阅读全文 →
第186篇：SRv6 基础：IPv6 扩展头与 SID
SRv6（Segment Routing over IPv6）是 IETF 定义的 SR 在 IPv6 网络上的实现。与 SR-MPLS 使用 MPLS 标签编码 Segment 不同，SRv6 直接将 Segment 编码为 IPv...
阅读全文 →
第185篇：SR-BE（Best Effort）与 SR-TE（Traffic Engineering）
在 SR-MPLS 体系中，流量转发分为两种模式：SR-BE（Best Effort，尽力而为）和 SR-TE（Traffic Engineering，流量工程）。SR-BE 沿 IGP 最短路径转发，不关心链路带宽、负载等约束条件；...
阅读全文 →
第184篇：SR-MPLS 与 LDP 的区别与演进
LDP（Label Distribution Protocol，标签分发协议）是 MPLS 网络中最基础的标签分发协议，自 1999 年 RFC 3036 标准化以来，支撑了全球数百万条 LSP（Label Switched Path...
阅读全文 →
第183篇：SR-MPLS 基本概念与 Segment List
Segment Routing（SR，分段路由）是 IETF 在 2013 年提出的新型源路由架构，旨在解决传统 MPLS 网络中 LDP 和 RSVP-TE 协议并存带来的运维复杂度。SR-MPLS 是 SR 在 MPLS 网络中的...
阅读全文 →
第182篇：SD-WAN 分支与总部组网案例
在第181篇中，我们学习了 SD-WAN 控制面与数据面分离的基本概念。本节通过一个完整的企业组网案例，演示如何为一家拥有总部和多个分支机构的企业设计 SD-WAN 网络。该企业总部位于上海，在全国设有北京、广州、成都、武汉四个分支，...
阅读全文 →
第181篇：SD-WAN 基本概念：控制面与数据面分离
SD-WAN（Software-Defined Wide Area Network，软件定义广域网）将 SDN 理念延伸到广域网场景。传统企业广域网高度依赖 MPLS 专线，一条 100M 专线年费用可达数十万元，且开通周期长达数周。...
阅读全文 →
第180篇：VXLAN underlay/overlay 架构设计
VXLAN 网络由两个逻辑层面组成：Underlay（底层物理网络）和 Overlay（虚拟覆盖网络）。Underlay 提供 VTEP 之间的 IP 连通性，Overlay 构建跨物理网络的虚拟二层或三层网络。正确设计 Underl...
阅读全文 →
第179篇：VXLAN 隧道与 VTEP 发现
在 VXLAN 网络中，源 VTEP 需要知道目的 VTEP 的 IP 地址才能建立隧道并转发数据。VTEP 发现（VTEP Discovery）解决了"谁在同一个 VXLAN 网络中"这个问题。VTEP 发现分为静态发现和动态发现两...
阅读全文 →
第178篇：VXLAN 报文封装与 UDP 端口
VXLAN（Virtual Extensible LAN，虚拟可扩展局域网）是由 VMware 提出并由 IETF 标准化的 overlay 封装协议（RFC 7348）。它通过将二层帧封装在 UDP 数据报中，在 IP 网络上实现二...
阅读全文 →
第177篇：EVPN IRB（Integrated Routing and Bridging）
EVPN IRB（Integrated Routing and Bridging）是 EVPN 网络中实现二层到三层路由集成的核心技术。IRB 在同一个设备上同时运行二层桥接和三层路由功能，使 VXLAN overlay 网络能够作为...
阅读全文 →
第176篇：EVPN 多归（Multi-homing）与 DF 选举
在传统 VPLS 中，CE 设备只能通过单一 PE 接入（Single-homing），一旦该 PE 或连接链路故障，CE 将失去网络连接。EVPN 原生支持 CE 的多归属（Multi-homing）——将 CE 同时连接到多个 V...
阅读全文 →
第175篇：EVPN VXLAN 网关：集中式与分布式
在 EVPN VXLAN 网络中，VNI（Virtual Network Identifier）隔离了不同的二层广播域。当不同 VNI 之间的站点需要三层互通时，就需要部署 VXLAN 网关。VXLAN 网关提供 VXLAN 隧道与物...
阅读全文 →
第174篇：EVPN 的 MAC/IP 路由通告
EVPN Type 2 路由（MAC/IP 可达性路由）是 EVPN 控制平面的核心。它通过 MP-BGP 显式通告 MAC 地址和可选的 IP 地址绑定信息，使所有 VTEP 能够精确知道每个 MAC 地址位于哪个 VTEP 下。这...
阅读全文 →
第173篇：EVPN 基本概念：MP-BGP 与 NVO3
EVPN（Ethernet VPN）是 IETF Bess 工作组定义的新一代二层 VPN 技术标准（RFC 7432）。它使用 MP-BGP 作为控制平面，取代了传统 VPLS 中基于数据平面泛洪的 MAC 地址学习机制，解决了 V...
阅读全文 →
第172篇：H-VPLS 分层 VPLS 架构
VPLS 的全互联网格 PW 模型在 PE 数量超过 20 个时，PW 数量迅速膨胀（20 个 PE 需要 190 条 PW），导致配置管理复杂、故障影响面广。H-VPLS（Hierarchical VPLS，分层 VPLS）通过将网...
阅读全文 →
第171篇：VPLS 点到多点二层 VPN 原理
VPWS/VLL 提供点到点的二层连接，但当客户需要在多个站点之间实现以太网 LAN 级别的互通时（如总部和多个分支构成一个广播域），点到点的模型就力不从心了。VPLS（Virtual Private LAN Service，虚拟专用...
阅读全文 →
第170篇：VLL（Virtual Leased Line）点到点二层 VPN
VLL（Virtual Leased Line，虚拟租用线路）是运营商面向企业客户提供的点到点二层专线业务。它在 MPLS L2VPN 技术基础上，为客户构建一条逻辑上的"专线连接"，使远端的客户站点如同通过物理专线直连一样。VLL ...
阅读全文 →
第169篇：MPLS L2VPN 基础：VPWS 伪线仿真
MPLS L2VPN（Layer 2 Virtual Private Network）的核心目标是在 MPLS 骨干网上透明地传输二层帧。与 L3VPN 终结三层报文不同，L2VPN 需要在 PE 设备上终结二层帧，通过 MPLS 隧...
阅读全文 →
第168篇：跨域 L3VPN Option A/B/C 方案对比
在实际运营商网络中，L3VPN 常常需要跨越多个 AS（自治系统）或多个管理域。不同域之间可能属于不同的运营商，或者同一运营商的不同管理区域。跨域 L3VPN 的三种经典方案——Option A、Option B 和 Option C...
阅读全文 →
第167篇：Hub & Spoke VPN 拓扑设计
在典型的 L3VPN 应用中，全互联（Full-Mesh）拓扑允许所有站点之间直接互通。然而，许多企业的网络架构是星型拓扑——总部（Hub）需要与所有分支（Spoke）互通，但分支之间不需要也不应该直接通信。Hub & Spoke V...
阅读全文 →
第166篇：L3VPN 数据转发过程详解
理解了 L3VPN 的控制平面（VRF、RD、RT、MP-BGP）之后，深入了解 L3VPN 的数据转发过程同样重要。L3VPN 的数据转发采用"双层标签"机制：外层标签（公网 LDP 标签）负责将报文从 Ingress PE 传输到...
阅读全文 →
第165篇：PE-CE 路由协议选择：静态/OSPF/BGP
在 MPLS L3VPN 架构中，PE（Provider Edge）与 CE（Customer Edge）之间的路由协议选择直接影响 VPN 网络的规模、灵活性和运维复杂度。PE-CE 之间可以使用静态路由、OSPF、IS-IS 或 ...
阅读全文 →
第164篇：MP-BGP 在 L3VPN 中的角色
MP-BGP（Multiprotocol BGP，多协议 BGP）是 L3VPN 的控制平面核心。标准 BGP 只能承载 IPv4 单播路由，而 MP-BGP 通过扩展 AFI/SAFI（地址族标识符/子地址族标识符），使 BGP 能...
阅读全文 →
第163篇：MPLS L3VPN 基础：VRF、RD、RT
MPLS L3VPN（Layer 3 Virtual Private Network）是运营商网络中最核心的业务之一。它通过在 MPLS 骨干网上为客户构建逻辑隔离的三层虚拟网络，使客户的站点可以跨越不同的地理位置实现互联互通，同时确...
阅读全文 →
第162篇：MPLS TE 与 DiffServ 结合：DS-TE
标准 MPLS TE 使用单一带宽池进行带宽管理，所有 TE 隧道共享同一个"可用带宽"值。这种模型在业务种类单一的网络中工作良好，但当网络需要承载多种不同服务质量要求的业务时，单一带宽池就无法满足差异化需求。DS-TE（Differ...
阅读全文 →
第161篇：MPLS TE FRR（快速重路由）
在网络中，链路或节点故障是不可避免的。当一条 TE 隧道经过的链路发生故障时，如果等待 RSVP-TE 重新建立 LSP，通常需要数秒甚至数十秒的时间，这对于实时业务（如语音、视频）是不可接受的。MPLS TE FRR（Fast Re...
阅读全文 →
第160篇：TE 隧道路径计算与显式路径
TE 隧道的路径选择是流量工程中最灵活也最复杂的部分。MPLS TE 提供了三种路径选择模式：自动选路（完全依赖 CSPF）、手工选路（完全依赖显式路径）和混合选路（CSPF + 显式路径结合）。正确选择路径模式并合理配置显式路径，能...
阅读全文 →
第159篇：CR-LSP 的建立与带宽预留
CR-LSP（Constraint-based Routed Label Switched Path）是 MPLS TE 的核心产物，它在标准 LSP 的基础上增加了"约束"概念。带宽预留是 CR-LSP 最重要的约束机制之一——它确...
阅读全文 →
第158篇：MPLS 流量工程基础：RSVP-TE
LDP 建立的 LSP 严格遵循 IGP 最短路径，这在大多数场景下工作良好。然而，当网络需要精细的流量控制时——例如确保关键业务获得足够带宽、避免某些链路过载、或者为特定流量指定绕行路径——LDP 的"最短路径即一切"模型就显力不从...
阅读全文 →
第157篇：PHP（次末跳弹出）机制
在标准的 MPLS 转发模型中，标签弹出（Pop）操作由 Egress LER（出口边缘路由器）执行。然而，这种设计意味着 Egress LER 需要对每到达的标签报文执行一次标签弹出操作，增加了出口节点的转发负担。PHP（Penul...
阅读全文 →
第156篇：MPLS 转发过程：标签压入、交换、弹出
MPLS 的转发过程是标签交换网络的"心脏"。当一个 IP 数据包进入 MPLS 域时，它经历了从"IP 路由查找"到"标签查找"的转变。理解 MPLS 转发的每一步操作——标签压入（Push）、标签交换（Swap）和标签弹出（Pop...
阅读全文 →
第155篇：LDP 邻居建立与标签分发方式（DU/DoD）
LDP 邻居的建立和标签分发方式是 MPLS 网络中最基础的运维关注点。LDP 邻居关系决定了哪些 LSR 之间可以进行标签交换，而标签分发方式（DU 或 DoD）则直接影响网络的收敛速度和标签消息的开销。在实际网络部署中，正确配置 ...
阅读全文 →
第154篇：MPLS 标签分配协议：LDP 工作原理
LDP（Label Distribution Protocol，标签分发协议）是 MPLS 网络中最基础的标签分发协议。它运行在 IGP 之上，基于 IGP 计算的最短路径为每个 FEC 分配标签并建立 LSP。LDP 不执行路径计算...
阅读全文 →
第153篇：MPLS 基本概念：标签、LSP、FEC
MPLS（Multiprotocol Label Switching，多协议标签交换）是现代运营商网络和大型企业骨干网的核心技术。它巧妙地将二层交换的高速转发与三层路由的灵活选路相结合，通过简短的固定长度标签替代传统的 IP 最长前缀...
阅读全文 →
第152篇：PPPoE 拨号与企业宽带接入
PPPoE（Point-to-Point Protocol over Ethernet）是将 PPP 协议封装在以太网帧中传输的技术。它解决了传统 PPP 只能运行在点对点物理链路上的限制，使运营商能够在共享的以太网基础设施上实现用户...
阅读全文 →
第151篇：广域网接入技术：PPP、HDLC、Frame Relay 历史回顾
在现代 IP 网络中，以太网已成为绝对主导的接入技术。从第150篇 IPTV 组播的园区网部署中，我们看到二层交换网络如何在局域网内高效分发多媒体流量。然而，当业务跨越地理范围、连接不同城市甚至不同国家的站点时，就需要广域网技术来连接...
阅读全文 →
第150篇：IPTV 组播在园区网的落地
IPTV（Internet Protocol Television）通过 IP 网络传输广播电视信号，是园区网组播技术最成熟、最广泛的应用场景之一。与视频会议不同，IPTV 面向的是大规模用户并发接收：几十甚至几百个终端同时观看不同频...
阅读全文 →
第149篇：视频会议组播部署案例
视频会议是企业园区网中最重要的组播应用场景之一。与 IPTV 不同，视频会议对网络的实时性、稳定性和安全性要求更高：延迟需要控制在 150ms 以内，丢包率需要低于 0.1%，抖动需要小于 30ms。同时，视频会议通常涉及敏感信息，对...
阅读全文 →
第148篇：组播 VLAN 与跨 VLAN 组播复制
在园区网中，VLAN 是最基本的隔离手段。不同 VLAN 之间的通信需要通过三层路由。然而，组播流量跨 VLAN 传输时面临特殊挑战：组播 MAC 地址在 VLAN 间无法直接转发，组播组成员关系也无法跨 VLAN 传递。
阅读全文 →
第147篇：RP（汇集点）的选举与配置
第146篇介绍了 PIM-SM 的工作原理，其中 RP（Rendezvous Point，汇集点）是整个 PIM-SM 架构的核心。所有组播源通过 RP 注册组播流，所有接收者通过 RP 加入组播组。RP 的正确配置和高可用设计直接决...
阅读全文 →
第146篇：PIM-DM 与 PIM-SM 组播路由协议
第144篇和第145篇分别介绍了 IGMP 和 IGMP Snooping——它们解决的是局域网内主机与路由器之间、交换机感知组播的问题。但当组播流量需要跨越多个子网、经过多台路由器时，就需要组播路由协议来建立和维护跨子网的组播转发树。
阅读全文 →
第145篇：IGMP Snooping：交换机如何感知组播
第144篇介绍了 IGMP 协议——它运行在主机和路由器之间，用于管理组播组成员关系。但在一个典型的园区网中，主机连接在二层交换机上，而交换机默认不解析 IP 层的 IGMP 报文。这就产生了一个问题：交换机如何知道哪些端口连接了组播...
阅读全文 →
第144篇：组播基础：IGMP 与组播地址
在网络通信中，存在三种基本的传输模式：单播（Unicast）、广播（Broadcast）和组播（Multicast）。单播是一对一通信，广播是一对全部通信，而组播是一对"一组"通信——发送者将数据发给一个组播地址，只有加入该组播组的接...
阅读全文 →
第143篇：物理冗余与链路冗余的权衡
园区网高可用的核心手段有两条路径：物理冗余和链路冗余。物理冗余通过部署多台设备互为备份来实现，链路冗余通过在同一设备上绑定多条物理链路来提升带宽和可靠性。但在实际工程中，两者并非独立选择，而是需要综合权衡。
阅读全文 →
第142篇：大型校园网多出口设计
大型校园网面临着独特的网络挑战：用户数量庞大（数千至上万人）、应用类型多样（教学、科研、办公、生活）、对互联网出口的质量要求高。单一运营商出口在带宽受限、跨网访问质量差、故障无备份等问题上暴露无遗。多出口设计成为大型校园网的标配方案。
阅读全文 →
第141篇：中小型企业网设计与设备选型
第140篇介绍了经典三层架构（接入→汇聚→核心），但在实际工程中，企业规模千差万别。对于50到500人的中小型企业，三层架构往往过于复杂，带来不必要的采购成本和管理负担。两层级架构（接入→核心，也称 Spine-Leaf 简化版或 C...
阅读全文 →
第140篇：园区网整网架构设计：接入→汇聚→核心
在前面数十篇文章中，我们从 VLAN、STP、VRRP、QoS、AAA 认证、WLAN 等多个角度学习了园区网的各种技术。现在，让我们把所有这些技术串联起来，从一个全局视角审视园区网的整体架构设计。
阅读全文 →
第139篇：AC 双机热备与 AP 逃生
在第138篇中，我们了解到瘦 AP 完全依赖 AC 进行管理和配置下发。如果 AC 故障，所有关联的瘦 AP 将失去管理能力，WiFi 网络全面中断。对于企业级 WLAN 部署，AC 的高可用性（HA）是必须考虑的关键问题。
阅读全文 →
第138篇：胖 AP 与瘦 AP 架构对比
在第135篇中，我们介绍了 AP、AC 和 CAPWAP 隧道的基础架构。其中提到了胖 AP（FAT AP）和瘦 AP（FIT AP）两种运行模式。选择哪种模式，决定了整个 WLAN 的架构、管理方式和运维复杂度。
阅读全文 →
第137篇：无线信道规划与 5G/2.4G 差异
无线 Wi-Fi 使用的无线电频谱是共享资源，不像有线网络中每根网线独占一个物理通道。当多个 AP 使用相同或相邻信道时，会产生同频干扰（Co-Channel Interference, CCI）和邻频干扰（Adjacent-Chan...
阅读全文 →
第136篇：无线漫游：二层漫游与三层漫游
在第135篇中，我们学习了 AP、AC 和 CAPWAP 隧道的基础架构。但一个完整的企业 WLAN 部署中，用户会在大楼内移动：从会议室走到走廊、从一楼走到二楼、甚至从一个建筑走到另一个建筑。在这个过程中，手机和笔记本需要从一个 A...
阅读全文 →
第135篇：无线 LAN 基础：AP、AC、CAPWAP 隧道
无线 LAN（WLAN）已成为园区网的核心组成部分。从手机到笔记本，从 IoT 设备到视频会议终端，几乎所有终端都通过 Wi-Fi 接入网络。但在 Wi-Fi 的便捷背后，是一个复杂的基础设施体系：无线接入点（AP）、无线控制器（AC...
阅读全文 →
第134篇：访客网络与员工网络隔离方案
在园区网中，访客（客户、合作伙伴、临时工作人员）不可避免地需要接入网络使用互联网。但访客网络必须与员工内网严格隔离：访客不应访问内部服务器（ERP、财务、邮件系统），不应扫描内网设备，也不应成为攻击内网的跳板。
阅读全文 →
第133篇：RADIUS 与 HWTACACS 协议原理
在第132篇中，我们学习了 802.1X 和 MAC 认证的流程，发现它们都依赖一个关键组件：认证服务器（Authentication Server）。无论是 RADIUS 还是 HWTACACS，认证服务器是 AAA 体系的核心——...
阅读全文 →
第132篇：园区网 AAA 认证：802.1X 与 MAC 认证
QoS 解决了流量的优先级和带宽分配问题，但在此之前，网络首先要回答另一个基本问题：**谁可以接入网络？**
阅读全文 →
第131篇：重标记优先级：基于报文类型的 QoS 策略
在第130篇中，我们学习了 CAR（Committed Access Rate）限速技术，它能够对超限流量执行丢弃、通过或重标记动作。其中"重标记"（Remark）是一个极为关键的 QoS 手段。
阅读全文 →
第130篇：流量限速：CAR（Committed Access Rate）
第129篇介绍了 QoS 的队列调度和拥塞管理，解决了"拥塞发生时如何让关键业务优先"的问题。但在拥塞发生之前，对进入网络的流量进行限速（Policing）同样重要。
阅读全文 →
第129篇：园区网 QoS 基础：队列调度与拥塞管理
在园区网中，不同类型的业务对网络有着截然不同的要求：语音通话需要低延迟（< 150ms），视频会议需要低抖动（< 30ms），在线游戏需要低延迟和稳定带宽，而文件传输则需要高吞吐量但对延迟不敏感。
阅读全文 →
第128篇：NetStream/sFlow 流量采样与监控
SNMP 可以采集接口的总流量（入方向/出方向字节数），但无法回答"流量是谁发的、发了什么、发给谁"。要深入了解网络流量的构成，需要流量采样技术。
阅读全文 →
第127篇：SNMP MIB 与 OID：如何读取设备指标
SNMP 协议本身只是传输机制，真正定义"能管理什么"的是 MIB（Management Information Base，管理信息库）。MIB 以树状结构组织所有可管理的对象，每个对象通过 OID（Object Identifier...
阅读全文 →
第126篇：SNMP v1/v2c/v3：网络管理协议演进
SNMP（Simple Network Management Protocol，简单网络管理协议）自 1988 年诞生以来，一直是网络管理的基石协议。无论是 Zabbix、Prometheus、SolarWinds 还是华为 eSig...
阅读全文 →
第125篇：NTP 时间同步：网络设备的时钟校准
网络设备的时间同步看似不起眼，却是网络运维的基石。当故障发生时，运维人员需要依靠各设备日志的时间戳来还原事件序列；当进行安全审计时，需要精确的时间戳来追踪攻击路径；当运行 NVRAM 备份、DHCP 租约、证书校验等功能时，设备时间必...
阅读全文 →
第124篇：LLDP 与 CDP：邻居自动发现协议
在网络运维中，了解设备之间的物理连接关系是日常管理的基础工作。传统上，这依赖运维人员手动记录线缆走向、查阅施工图纸或到现场查看端口标签。当网络规模扩大到数百台交换机、上千条线缆时，人工维护的拓扑图很快与实际脱节。
阅读全文 →
第123篇：DLDP 单向链路检测：防光模块故障
在光纤网络中，最常见的故障是"两端全断"——光纤完全断开，两端设备都感知到链路 Down。但还有一种更隐蔽的故障："单向链路故障"——光纤两芯中只有一芯断裂，或光模块的发送/接收方向只有一方失效。
阅读全文 →
第122篇：Smart Link 主备切换与回流保护
第121篇介绍了 Smart Link 和 Monitor Link 的基本原理。但当链路故障发生并修复后，Smart Link 的行为就需要更加精细的控制：主端口恢复后是否立即切回？切换过程中如何防止产生临时环路？如果链路反复震荡（...
阅读全文 →
第121篇：Smart Link 与 Monitor Link 原理
第120篇介绍了堆叠与 VRRP 结合的高可用方案，解决了网关层冗余。但在接入层，大量场景只需实现"两条上行链路的主备切换"，此时部署完整的 STP/RSTP 显得过于复杂，且收敛速度无法满足语音和视频等实时业务的要求。
阅读全文 →
第120篇：堆叠与 VRRP 结合的高可用方案
在前一篇第119篇中，我们学习了 VRRP 如何跟踪上行接口实现联动切换。VRRP 是默认网关冗余的经典方案，但它存在一个固有局限：VRRP 只能实现主备模式，Backup 设备在正常运行时处于空闲状态，无法分担流量。
阅读全文 →
第119篇：VRRP 跟踪上行接口实现联动切换
在前一篇第118篇中，我们学习了 VRRP 的基本原理和主备切换机制。然而，VRRP 默认只检测路由器自身的存活状态。如果 Master 路由器的上行接口故障（如连接核心层的链路 Down），路由器本身仍然正常运行，VRRP 不会发生...
阅读全文 →
第118篇：VRRP 虚拟路由冗余协议：主备切换
在前几篇中，我们系统学习了 IPv6 的邻居发现、地址配置、路由协议和过渡技术。现在回到园区网高可用架构，学习默认网关冗余方案。
阅读全文 →
第117篇：IPv6 过渡技术：双栈、隧道、NAT64
在前几篇中，我们系统学习了 IPv6 的邻居发现、地址配置和路由协议。然而，现实世界中的网络并非一夜之间就能完成从 IPv4 到 IPv6 的切换。目前互联网上同时运行着 IPv4 和 IPv6 两套协议栈，如何让 IPv4 和 IP...
阅读全文 →
第116篇：IPv6 路由：静态与 OSPFv3 基础
在前一篇第115篇中，我们学习了 IPv6 地址的三种配置方式。地址配置完成后，终端需要正确的路由才能访问其他子网和外部网络。IPv6 的路由机制在概念上与 IPv4 类似，但在协议实现上存在显著差异。
阅读全文 →
第115篇：IPv6 地址配置：SLAAC、有状态 DHCPv6、无状态 DHCPv6
在前一篇第114篇中，我们深入学习了 NDP 协议，特别是 RA 报文在路由器发现和前缀通告中的作用。RA 报文中的 M 和 O Flag 决定了终端如何获取 IPv6 地址和其他网络参数。
阅读全文 →
第114篇：NDP 与 IPv6 邻居发现协议
在 IPv4 网络中，ARP 协议负责 IP 地址到 MAC 地址的解析，但其功能单一且缺乏安全机制。IPv6 引入了邻居发现协议（Neighbor Discovery Protocol, NDP），它不仅仅替代了 ARP，还承担了路...
阅读全文 →
第113篇：MAC 地址漂移检测与处理
在前一篇第112篇中，我们学习了端口安全如何通过 MAC 地址绑定限制非法设备接入。然而，即使没有非法接入，MAC 地址在交换机端口之间的异常变化（MAC 地址漂移）仍然是网络运维中最常见的问题之一。
阅读全文 →
第112篇：端口安全：MAC 地址绑定与 Sticky MAC
在前一篇第111篇中，我们学习了 DAI 如何防止 ARP 欺骗攻击。DAI 保护的是 ARP 协议的完整性，而端口安全（Port Security）解决的是更基础的问题：哪些设备允许接入到交换机端口上。
阅读全文 →
第111篇：ARP 欺骗攻击与 DAI（Dynamic ARP Inspection）
在前一篇第110篇中，我们学习了 IP Source Guard 如何防止 IP 地址欺骗。然而，即使源 IP 地址是合法的，攻击者仍然可以通过 ARP 欺骗篡改 ARP 表，将网关或其他主机的 IP 地址映射到自己的 MAC 地址上...
阅读全文 →
第110篇：IP Source Guard：防 IP 地址欺骗
在前一篇文章中，我们学习了 DHCP Snooping 如何防范非法 DHCP 服务器攻击并生成绑定表。然而，仅仅阻止非法 DHCP 服务器还不够。攻击者仍然可以手动配置一个合法的 IP 地址（如通过 ARP 扫描获取的 IP），然后...
阅读全文 →
第109篇：DHCP Snooping：防私设 DHCP 服务器
DHCP（Dynamic Host Configuration Protocol）是园区网中最重要的协议之一，它为终端自动分配 IP 地址、网关、DNS 等网络参数。然而，DHCP 协议本身缺乏安全机制，任何接入网络的设备都可以充当 ...
阅读全文 →
第108篇：灵活 QinQ：基于 VLAN 或优先级的外层标签
基于接口的 QinQ 对所有入方向报文统一添加外层标签，适用于客户只有一个 VLAN 或不需要区分客户内业务的场景。但当客户网络包含多个 VLAN，且运营商需要根据不同业务提供差异化服务时，基于接口的 QinQ 就无能为力了。
阅读全文 →
第107篇：QinQ 双层标签：运营商 VLAN 扩展
在企业园区网中，VLAN 通常使用 12 位标识，最多支持 4094 个 VLAN。这对于单个企业来说已经足够。但当运营商需要为成百上千的企业客户提供专线接入服务时，4094 个 VLAN 就远远不够了。
阅读全文 →
第106篇：MUX VLAN：隔离同 VLAN 内用户
在某些场景下，我们需要让同一 VLAN 内的部分用户之间互相隔离，同时又能让它们与某个"中心"用户（如服务器）通信。例如，银行柜员之间不能互相访问，但都需要访问后台服务器；医院的不同诊室之间需要隔离，但都能访问中央影像系统。
阅读全文 →
第105篇：Super VLAN 与 VLAN Aggregation
在前一篇文章中，我们学习了 VLAN 规划的基本原则：每个 VLAN 对应一个 IP 子网，业务与管理分离。这种规划方式简单清晰，但在某些场景下会面临一个问题：IPv4 地址浪费。当每个 VLAN 使用一个 /24 子网时，即使某个部...
阅读全文 →
第104篇：VLAN 规划原则：业务与管理分离
VLAN（Virtual Local Area Network）是园区网设计的基石。一个合理的 VLAN 规划不仅影响网络的日常管理效率，还直接关系到业务的安全性和可扩展性。很多网络问题的根因，追溯上去往往是 VLAN 规划不合理造成...
阅读全文 →
第103篇：TC 保护与拓扑变更优化
生成树协议的三种保护机制（BPDU 保护、根保护、环路保护）为网络构建了稳固的防御体系。但在网络运行过程中，拓扑变更（Topology Change, TC）事件的发生同样会带来影响。每次拓扑变更，交换机都会刷新 MAC 地址表和 A...
阅读全文 →
第102篇：BPDU 保护、根保护、环路保护配置
在上篇文章中，我们深入了解了 STP/RSTP/MSTP 的基本原理与根桥选举机制。然而，仅有生成树协议本身是远远不够的。在实际网络中，由于配置失误、非法设备接入或链路异常，生成树拓扑可能被恶意或意外破坏。本文介绍三种 STP 保护机...
阅读全文 →
第101篇：二层环路与 STP 保护机制再探讨
欢迎来到"第三篇章：局域网与园区网技术"的开篇。在二层交换网络中，为了提高可靠性，网络设计者常常会在交换机之间建立多条物理链路。然而，正是这些冗余链路，在缺乏有效管理机制的情况下，会形成致命的二层环路。二层环路一旦发生，轻则导致网络性...
阅读全文 →
第99篇：路由重分发原理：OSPF 与 BGP 互引
关键词：路由重分发、Route Redistribution、OSPF、BGP、互引、路由注入、属性转换
阅读全文 →
第98篇：BGP 大规模网络设计：AS 规划与 RR 层级
关键词：BGP、AS规划、路由反射器、RR层级、大规模网络、层次化设计、iBGP扩展
阅读全文 →
第97篇：BGP 团体属性在运营商网络中的应用
关键词：BGP、团体属性、运营商网络、流量工程、Multi-Exit、路由策略、Community 编号
阅读全文 →
第96篇：BGP 前缀限制与安全防护
关键词：BGP、前缀限制、Prefix Limit、安全防护、Route Leak、Max Prefix、BGP 安全
阅读全文 →
第95篇：BGP 软复位与路由刷新
关键词：BGP、软复位、路由刷新、Soft Reconfiguration、Route Refresh、Graceful Restart、策略变更
阅读全文 →
第94篇：eBGP 多跳与 TTL 安全
关键词：BGP、eBGP、多跳、TTL、TTL Safety、EBGP-Max-Hop、对等会话、TTL 检查
阅读全文 →
第93篇：BGP 路由黑洞的产生与避免
关键词：BGP、路由黑洞、Next_Hop不可达、iBGP、eBGP、路由黑洞、递归查找
阅读全文 →
第92篇：BGP 优选路径调优案例
关键词：BGP、选路优化、优选路径、LOCAL_PREF、MED、AS_PATH、Weight、路由调优
阅读全文 →
第91篇：BGP Community 属性与路由控制
关键词：BGP、Community、团体属性、路由控制、Standard Community、Extended Community、路由策略
阅读全文 →
第90篇：BGP 聚合与 AS_SET 属性
关键词：BGP、路由聚合、Aggregate、AS_SET、AS_RANGE、明细路由、汇总路由、路由优化
阅读全文 →
第89篇：联邦（Confederation）解决 IBGP 扩展问题
关键词：BGP、联邦、Confederation、子AS、iBGP扩展、联邦eBGP、联邦iBGP、AS_PATH
阅读全文 →
第88篇：RR 反射规则与 Cluster_List 防环
关键词：BGP、路由反射器、反射规则、Cluster_List、Originator_ID、防环机制、RR层级
阅读全文 →
第87篇：IBGP 全互联要求与路由反射器（RR）
关键词：BGP、iBGP全互联、路由反射器、RR、Route Reflector、Cluster、水平分割、扩展性
阅读全文 →
第86篇：BGP 同步规则（历史与现状）
关键词：BGP、同步规则、Synchronization、iBGP、IGP、历史演进、no-synchronization
阅读全文 →
第85篇：BGP 选路原则（13条规则）详解
关键词：BGP、选路原则、13条规则、BestPath、LOCAL_PREF、AS_PATH、MED、PrefVal
阅读全文 →
第84篇：BGP 路径属性：AS_PATH、Next_Hop、Origin
关键词：BGP、路径属性、AS_PATH、Next_Hop、Origin、LOCAL_PREF、MED、公认必遵、可选过渡
阅读全文 →
第83篇：BGP 状态机：Idle→Connect→Active→OpenSent→OpenConfirm→Established
关键词：BGP、状态机、Idle、Connect、Active、OpenSent、OpenConfirm、Established、故障排查
阅读全文 →
第82篇：BGP 报文类型：Open、Update、Keepalive、Notification
关键词：BGP、Open报文、Update报文、Keepalive、Notification、BGP消息、报文格式、错误码
阅读全文 →
第81篇：BGP 基础：AS 与 eBGP/iBGP 基本概念
关键词：BGP、AS、自治系统、eBGP、iBGP、外部网关协议、路径矢量、TCP 179
阅读全文 →
第80篇：IS-IS over SR-MPLS 的部署演进
关键词：IS-IS、SR-MPLS、Segment Routing、SRv6、TI-LFA、TE、Flex-Algorithm、部署演进
阅读全文 →
第79篇：IS-IS 开销类型：narrow 与 wide 模式
关键词：IS-IS、narrow metric、wide metric、cost-style、RFC 1576、TE、度量值
阅读全文 →
第78篇：IS-IS 路由泄露：Level-2 向 Level-1 注入
关键词：IS-IS、路由泄露、Route Leaking、Level-2 to Level-1、Filter-Policy、ATT 位、最优路径
阅读全文 →
第77篇：IS-IS 邻居建立条件：Area、SystemID、MTU
关键词：IS-IS、邻居建立、Level 匹配、Area 检查、System ID、MTU、认证、P bit
阅读全文 →
第76篇：IS-IS LSP 泛洪与 LSDB 同步
关键词：IS-IS、LSP 泛洪、LSDB 同步、CSNP、PSNP、数据库一致性、收敛
阅读全文 →
第75篇：IS-IS 报文类型：Hello、LSP、PSNP、CSNP
关键词：IS-IS、IIH、LSP、PSNP、CSNP、PDU 类型、泛洪、确认机制
阅读全文 →
第74篇：IS-IS 网络类型与 DIS 选举
关键词：IS-IS、网络类型、DIS 选举、Broadcast、P2P、优先级、抢占式、CSNP
阅读全文 →
第73篇：IS-IS 与 OSPF 的异同对比
关键词：IS-IS、OSPF、对比、TLV、LSA、DIS、DR、扩展性、收敛
阅读全文 →
第72篇：IS-IS 区域与路由等级：Level-1、Level-2、Level-1-2
关键词：IS-IS、Level-1、Level-2、Level-1-2、区域划分、Tier 区域、ATT 位
阅读全文 →
第71篇：IS-IS 协议基础：CLNS 与 OSI 协议栈
关键词：IS-IS、CLNS、OSI 协议栈、ISO 8802、NLSP、IP IS-IS、NET、SystemID
阅读全文 →
第70篇：多区域 OSPF 部署设计案例
关键词：OSPF、多区域设计、层次化、区域规划、路由汇总、ABR设计
阅读全文 →
第69篇：OSPF 特殊区域：Stub、Totally Stub、NSSA
关键词：OSPF、特殊区域、Stub、Totally Stub、NSSA、默认路由、LSA过滤
阅读全文 →
第68篇：OSPF 邻接震荡典型案例分析
关键词：OSPF、邻接震荡、Flapping、状态机震荡、链路不稳定、快速收敛
阅读全文 →
第67篇：OSPF 邻居故障排查：状态卡在 Init/ExStart
关键词：OSPF、故障排查、邻居状态、Init状态、ExStart状态、DBD、MTU
阅读全文 →
第66篇：OSPF 等价负载分担 ECMP
关键词：OSPF、ECMP、等价多路径、负载分担、并行链路、路径聚合
阅读全文 →
第65篇：OSPF 开销计算与带宽参考值
关键词：OSPF、Cost、开销计算、带宽参考值、参考带宽、接口开销、路径选择
阅读全文 →
第64篇：OSPF 路由选路：区域内 > 区域间 > 外部
关键词：OSPF、路由选路、优先级、区域内路由、区域间路由、外部路由、Metric
阅读全文 →
第63篇：NSSA 区域与 Type7 LSA 的转换
关键词：OSPF、NSSA、Type7 LSA、Not-So-Stubby Area、特殊区域、Type7转Type5
阅读全文 →
第62篇：Type4 ASBR-Summary LSA 的作用
关键词：OSPF、Type4 LSA、ASBR-Summary、ASBR位置、跨区域外部路由
阅读全文 →
第61篇：Type5 AS-External LSA 的外部路由注入
关键词：OSPF、Type5 LSA、AS-External、ASBR、外部路由、重分发、E1 E2
阅读全文 →
第60篇：Type3 Summary LSA 区域间路由传递
在第59篇中，我们深入解析了 Type1 Router LSA 和 Type2 Network LSA 如何描述 OSPF 区域内的拓扑。然而，Type1 和 Type2 LSA 有一个重要限制：它们仅在产生区域内泛洪，不跨越区域边界...
阅读全文 →
第59篇：Type1 Router LSA 与 Type2 Network LSA
在第58篇中，我们对 OSPF 的七种 LSA 类型进行了全面概览。Type1 Router LSA 和 Type2 Network LSA 是 OSPF 区域内拓扑描述的核心，它们共同构成了 SPF（Dijkstra）算法的输入数据...
阅读全文 →
第58篇：OSPF LSA 类型详解（Type1–Type7）
在第51篇中，我们初步了解了 LSA 是 OSPF 携带链路状态信息的基本单元。但从那篇的概要介绍到实际运用之间，还有一个关键环节：OSPF 定义了七种（Type1~Type7）不同类型的 LSA，每种 LSA 承载不同的拓扑信息，由...
阅读全文 →
第57篇：DR/BDR 选举机制与影响
在第56篇中，我们了解到 OSPF 在广播（Broadcast）和 NBMA 网络中需要选举 DR（Designated Router，指定路由器）和 BDR（Backup Designated Router，备份指定路由器）。DR/...
阅读全文 →
第56篇：OSPF 网络类型：广播、NBMA、P2P、P2MP
在第55篇中，我们通过虚链接解决了 Area 0 连续性问题。虚链接的正常运行依赖于对 OSPF 网络类型的深刻理解——因为虚链接本身被 OSPF 视为一种 P2P 网络类型。
阅读全文 →
第55篇：OSPF 虚链接（Virtual Link）解决区域分割
在第54篇中，我们确立了 OSPF 区域设计的一条铁律：所有非骨干区域必须直接连接到骨干区域（Area 0）。但在实际网络部署中，由于地理分布、设备选型变更或网络并购等原因，这条规则有时无法被物理拓扑满足。
阅读全文 →
第54篇：OSPF 区域设计：骨干区域与非骨干区域的约束
在第53篇中，我们深入分析了 OSPF Hello 报文的参数匹配规则，其中 Area ID 是最关键的匹配参数之一。Area ID 不仅用于邻居建立检查，更承载了 OSPF 协议中最重要的设计理念：层次化区域架构。
阅读全文 →
第53篇：OSPF Hello 报文与邻居建立条件
在第52篇中，我们详细分析了 OSPF 邻居状态机的七个状态及其转换条件。而邻居关系建立的起点，正是 OSPF Hello 报文的交互。Hello 报文是 OSPF 协议中最重要的控制报文，它不仅是邻居发现的"敲门砖"，还承担着参数协...
阅读全文 →
第52篇：OSPF 邻居状态机：从 Down 到 Full
在第51篇中，我们介绍了 OSPF 通过 LSA 泛洪和 LSDB 同步实现全网拓扑学习的基本原理。而这一切的前提是：路由器之间必须先建立邻居关系。
阅读全文 →
第51篇：OSPF 协议基础：链路状态通告与 LSDB
在前面的第50篇中，我们通过 console 线完成了华为设备的初始化配置，包括设置管理IP、配置接口地址等基础操作。有了这些底层连接能力之后，网络还需要解决一个核心问题：如何让多台路由器自动学习全网拓扑并计算出最优转发路径？
阅读全文 →
第100篇：路由重分发环路的防制：Tag 与 Filter-Policy
关键词：路由重分发、环路防制、Route Tag、Filter-Policy、路由回环、双向重分发、路由标记
阅读全文 →
飞书自动化同步：Django 后台一键同步文章到飞书云文档
之前一直困扰：用飞书 Open API 创建的文档属于 App，你不能拥有。OAuth user_access_token + lark-cli 完美解决。附完整代码。
阅读全文 →
案例：OSPF 邻居无法建立的常见原因
案例：OSPF 邻居无法建立的常见原因
背景
两台核心交换机之间运行 OSPF，但邻居状态卡在 ExStart 或 Attempt，路由学不到。
常见原因 TOP 5
1. Hello/Dead 时间不一致
```ci...
阅读全文 →
文本 diff 对比工具：可视化展示两段文本的差异
在线 diff 工具，基于 Python difflib。支持上下文格式、HTML 高亮，适合对比配置文件、日志差异等。
阅读全文 →
配置实战：H3C 交换机基础配置模板
配置实战：H3C 交换机基础配置模板
适用场景
新交换机上架后，按此模板完成基础配置。
完整配置
```h3c
1. 系统基础
system-view
sysname SW-Core-01
clock timezone ...
阅读全文 →
案例：BGP 路由震荡的排查与解决
案例：BGP 路由震荡的排查与解决
现象
某运营商互联BGP 会话中，特定路由频繁出现/消失（flapping），业务间歇性中断。
排查步骤
第一步：确认是哪个邻居的问题
```cisco
show ip bgp su...
阅读全文 →
Base64 编解码工具：附 6 个 Python 实操案例
在线 Base64 工具 + 6 个数通工程师真实场景示例：HTTP Basic Auth、邮件附件、URL 安全编码等。
阅读全文 →
进制转换工具：IP、DEC、BIN、HEX 互转
IP 地址与十进制、二进制、十六进制在线互转工具。一次输入 4 种格式同时显示，附带 Python 实现代码。
阅读全文 →
MAC 地址查询工具：内置 200+ 厂商 OUI 数据库
在线 MAC 地址厂商查询工具，支持任意分隔符输入、自动识别单播/组播、U/L 位判断，内置 OUI 数据库。
阅读全文 →
MAC 地址格式转换工具：Windows/Linux/Cisco/Hex 全覆盖
MAC 地址 9 种格式互转：Windows 风格(-)、Linux 风格(:)、Cisco 风格(001B.63AA.BBCC)、Hex Dump、十进制等。
阅读全文 →
文本批量处理工具：13 种操作一键搞定
在线文本批量处理工具，支持 13 种操作（去重/排序/清理/转换/编号等），可多选组合使用，配复制按钮。
阅读全文 →