路由器配置命令

路由器配置命令是网络管理的基石，掌握它不等于死记硬背，而是理解路由协议、接口状态与安全策略三者之间的联动关系，无论你是企业网管还是家庭高级用户，只要围绕“登录基础配置路由协议安全加固排障验证”这条主线，就能用最少的命令构建稳定、安全、可维护的网络，本文直接给出最常用的配置命令及其适用场景,并附真实云环境下的融合经验。

登录与基础安全配置：一切的前提

路由器首次配置必须通过Console口连接，使用超级终端或SecureCRT进入命令行界面。优先设置enable加密密码和console/vty登录密码,否则设备等于裸奔。

Router> enable
Router# configure terminal
Router(config)# hostname Core-Router
Router(config)# enable secret YourStrongPass@2024
Router(config)# line console 0
Router(config-line)# password ConsolePass@2024
Router(config-line)# login
Router(config-line)# line vty 0 4
Router(config-line)# password TelnetPass@2024
Router(config-line)# transport input ssh
Router(config-line)# login
Router(config)# service password-encryption

• 关键点：enable secret 使用MD5加密，优先级高于enable password；transport input ssh 直接禁用telnet,防止明文抓包。
• 独立见解：很多教程只让你设vty密码，却忽略service password-encryption，这个命令能让配置文件中所有明文密码变成密文,是审计合规的最低要求。

接口配置与三层通信：IP和掩码别只看前缀

接口是路由器工作的物理基础，配置IP时必须同时考虑子网掩码、描述信息和管理状态。

Router(config)# interface GigabitEthernet0/0
Router(config-if)# description Link-to-Switch-01
Router(config-if)# ip address 192.168.10.1 255.255.255.0
Router(config-if)# no shutdown
Router(config-if)# interface GigabitEthernet0/1
Router(config-if)# description Link-to-ISP
Router(config-if)# ip address 100.64.0.2 255.255.255.252
Router(config-if)# no shutdown

• 排障经验：no shutdown 必须显式执行，很多新手忘记开启接口导致ping不通。链路两端掩码必须一致，否则即使IP在同一网段,也会出现间歇性丢包。
• 酷番云融合案例：我们将酷番云VPC内网IP与客户分支机构路由器通过IPsec隧道打通时，本地接口必须配置一个与云上VPC不冲突的私网段（例如

  

  16.0.0/24），然后通过静态路由指向隧道接口。关键经验是：云上安全组要放行ESP和UDP 500/4500端口，否则命令再对也建立不了隧道。

静态路由与默认路由：小网络的命脉

对于中小网络，静态路由比动态协议更可控、更节省设备资源。

Router(config)# ip route 192.168.20.0 255.255.255.0 10.0.0.2
Router(config)# ip route 0.0.0.0 0.0.0.0 100.64.0.1

• 默认路由：0.0.0 0.0.0.0 表示所有未知目标都发往ISP网关,适合出口路由器。
• 浮动静态路由：加 distance 参数可做备份链路，ip route 0.0.0.0 0.0.0.0 100.64.0.1 和 ip route 0.0.0.0 0.0.0.0 100.64.0.5 200，主链路故障时自动切换,比动态协议更容易排障。
• 独立见解：很多管理员只用ping验证路由，却忽略traceroute逐跳分析，静态路由配置后，应在两端分别执行show ip route确认路由表中存在对应条目,同时检查下一跳ARP是否可达。

动态路由协议OSPF：命令虽多，核心只有三句

OSPF是内部网络最常用的动态协议,配置其实非常简洁。

Router(config)# router ospf 1
Router(config-router)# network 192.168.10.0 0.0.0.255 area 0
Router(config-router)# network 10.0.0.0 0.0.0.255 area 0
Router(config-router)# passive-interface default
Router(config-router)# no passive-interface GigabitEthernet0/1

• 重点解释：network后的反掩码是子网掩码按位取反，不是通配符乱写。passive-interface default 让所有接口不再发送OSPF hello包，只对连接路由器的接口单独放行，能有效防止邻居关系震荡。
• 专业建议：在点对点链路上使用 ip ospf network point-to-point 可避免DR/BDR选举，加快收敛速度。area规划尽量保持单区域(area 0)，多区域必须注意ABR的汇总和过滤,否则容易造成路由黑洞。

ACL与安全加固：用最小权限原则

访问控制列表既能做流量过滤，也能用于NAT和路由策略，但不要滥用,否则会变成排障噩梦。

Router(config)# access-list 100 permit tcp 192.168.10.0 0.0.0.255 any eq 80
Router(config)# access-list 100 permit icmp 192.168.10.0 0.0.0.255 any echo-reply
Router(config)# access-list 100 deny ip any any
Router(config)# interface GigabitEthernet0/1
Router(config-if)# ip access-group 100 in

• 注意顺序：ACL从上到下匹配，permit必须放在deny之前，最后一条deny ip any any是隐式的，其实不用写,写上更容易引起误解。
• 酷番云融合案例：一个客户通过酷番云托管电商网站，云上安全组负责入站过滤，本地路由器ACL只放行办公网段的SSH和数据库端口到云端内网。我们建议把云上安全组当作第一道防线，路由器ACL作为第二道防线，记得在ACL末尾加remark注释,否则三个月后你自己都看不懂这条规则在干什么。

NAT与端口映射：让私网访问互联网

家庭和小企业出口路由器几乎都要做NAT。

Router(config)# access-list 1 permit 192.168.10.0 0.0.0.255
Router(config)# ip nat inside source list 1 interface GigabitEthernet0/1 overload
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip nat inside
Router(config-if)# interface GigabitEthernet0/1
Router(config-if)# ip nat outside

• 端口映射： ip nat inside source static tcp 192.168.10.10 80 interface GigabitEthernet0/1 8080 可将内网Web服务发布到公网8080端口。
• 排障重点：overload 是PAT复用公网IP的关键，漏掉会直接导致内网无法上外网，配置后使用 show ip nat translations 查看映射是否生效。

保存与验证：命令配置完不等于完成

配置完成后必须保存,并做连通性和协议状态验证。

Router# copy running-config startup-config
Router# show running-config
Router# show ip interface brief
Router# show ip route
Router# show ip ospf neighbor
Router# show ip nat translations

• 保存：copy running-config startup-config 也可简写为 wr,很多老工程师习惯这个快捷命令。
• 独立建议：养成配置前先show startup-config备份、配置后立即验证的习惯，建议每周自动备份配置到TFTP/FTP服务器，copy startup-config tftp://192.168.10.100/router-backup.cfg,避免设备故障后人工重配。

常见问题排查思路

相关问答

问题1：配置静态路由时，下一跳地址必须是直连接口的IP吗？

答案：必须是直连接口的IP，路由器转发数据包时，要将下一跳IP解析为MAC地址，只有直连网段的IP才能在ARP表中找到对应条目，如果下一跳不是直连地址，路由器会返回“invalid next hop”错误，但有些场景下可以写本设备出接口（如ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/1），这会在该接口上做广播解析，但可能造成额外开销,建议优先使用下一跳IP。

问题2：如何快速判断ACL是否拦截了流量？

答案：使用show access-lists查看匹配计数，如果ACL中匹配计数递增，说明该规则命中，更精确的做法是配置日志关键字，例如在规则末尾添加log参数，然后show logging查看实时日志，另外登录酷番云控制台时，云安全组的拦截日志也可直接在平台里查看，本地路由器则可用debug ip packet（谨慎使用，生产环境慎用，会大量消耗CPU）来确认是否到达路由器。

路由器配置命令看似繁多，但核心逻辑就是接口、协议、策略、验证四步，如果你正在运维一个多云或混合云网络，建议将本地路由器的配置与云端VPC路由表统一规划，把静态路由、ACL和NAT都看作可审计的“网络策略”，而不是孤立的命令，我曾在酷番云上帮助多个企业完成“云上VPC + 本地IDC”的组网，最重要的经验是：先画拓扑图，再写命令，最后做回滚备份。

你在配置路由器时，最常踩的坑是什么？是NAT顺序还是OSPF邻居起不来？欢迎在评论区留言，我会逐一回复并给出针对性命令方案，如果觉得本文对你有用，不妨分享给正在学网络的同事,一起提升排障效率。