BDCOM路由器配置实战：从开局到NAT、策略路由与故障排查

1. 从一个真实场景说起为什么我要写这份配置笔记上周帮一个做弱电集成的朋友处理了个挺典型的问题。他们给一个园区做网络改造核心出口用的是一台BDCOM的路由器型号是那种带多个千兆口、支持NAT和策略路由的机架式设备。项目验收前一天客户突然说内网某些网段上不了外网但另外几个网段又是好的朋友急得不行打电话让我远程看看。我登上去敲了几条命令五分钟定位到问题——一条ACL的掩码写反了把本该放行的网段给拦了。改完保存重启接口通了。朋友在电话那头长舒一口气说你这套排查思路能不能给我整理一份我以后自己也能搞。这就是这篇博文的由来。BDCOM这个品牌在国内网络设备圈子里其实挺有存在感尤其是在园区网、企业出口、运营商末梢接入这些场景里性价比高、命令风格接近主流厂商、资料相对好找。但网上的配置教程要么太零散要么直接抄手册缺少为什么这么配和踩过什么坑的部分。我打算把自己这些年配BDCOM路由器积累的东西系统梳理一遍从开局到进阶从命令到思路尽量讲透。这篇文章适合谁看如果你是刚接触BDCOM设备的网络运维、弱电工程师、系统集成商的技术人员或者你手上正好有一台BDCOM路由器要配置但不知道从哪下手那这篇内容应该能帮到你。我会尽量用人话解释每一步在干什么参数为什么这么填以及我实际踩过的坑。有基础的朋友可以直接跳到感兴趣的章节新手建议从头顺着看。需要提前说明的是不同型号的BDCOM路由器比如常见的RouterOS系列、部分带交换口的融合型号在命令细节上会有差异我下面讲的是通用逻辑和常见命令形态具体到你手上的设备建议先用?补全和show类命令确认一下当前固件支持情况。这是我一贯的习惯——先摸清设备脾气再动手配。2. 开局之前BDCOM路由器的配置逻辑与准备工作2.1 先搞懂BDCOM的配置哲学很多人第一次配BDCOM会觉得命令怎么这么眼熟没错它的CLI风格和主流厂商高度相似都是分层的模式化操作用户模式、特权模式、全局配置模式、接口配置模式、路由协议配置模式等等。这种设计的好处是你不会误操作——在接口模式下敲不了全局命令在用户模式下改不了配置。但BDCOM有个特点值得单独拎出来说它的很多功能模块是先创建、再进入、后配置的三段式。比如你要配一条ACL不是直接敲规则而是先ip access-list standard 名字或编号创建并进入再往里加规则。配NAT地址池、配路由策略、配VLAN基本都是这个套路。理解了这个节奏后面看命令就不会觉得跳跃。另一个要建立的概念是配置的生效层级。BDCOM路由器上你敲完命令回车配置是立即写入运行配置running-config的但断电就没了。要持久化必须write或者copy running-config startup-config。我见过太多人配完测试通了一断电全白干又得重来。所以我的习惯是每完成一个逻辑模块就保存一次别等全部配完再存万一中间手滑敲错把前面覆盖了哭都来不及。2.2 连接设备与初始登录拿到一台新设备或者要接管一台在跑的BDCOM路由器第一步永远是建立连接。常见方式有三种Console口直连用配置线通常是USB转RJ45或者DB9转RJ45连到电脑用终端软件SecureCRT、PuTTY、Xshell都行打开串口。参数一般是波特率9600、数据位8、停止位1、无校验、无流控。这个参数记牢BDCOM默认就是这个改过的设备另说。Telnet/SSH远程设备已经配好管理IP的情况下直接远程登录。但注意很多出厂设备默认没开远程得先用Console进去配。Web界面部分型号支持Web管理但功能比CLI少而且不同固件版本界面差异大我一般只用来看看状态配置还是走CLI。Console连上后回车会看到提示符通常是或者设备名加。这时候你在用户模式权限最低只能看不能改。敲enable进特权模式提示符变成#。如果设了enable密码会让你输入。再敲configure terminal简写conf t进全局配置模式提示符变成(config)#。到这里你才算真正拿到了改配置的钥匙。提示如果设备是别人用过的enable密码不知道那就得走密码恢复流程——通常是重启时按特定键进BootROM或者monitor模式跳过配置文件启动再改密码。这个过程不同型号差异较大建议查对应型号的官方手册别硬试。2.3 配置前的信息盘点清单我每次配新设备或者接手改造项目都会先在纸上或者记事本里列一份清单把下面这些信息确认清楚。这一步花十分钟能省后面两小时信息项说明示例虚构设备型号与固件版本决定命令支持范围某型号版本号以show version为准管理IP与网关远程管理用192.168.1.1/24外网接入方式静态IP/PPPoE/DHCP静态IP内网网段规划各VLAN/网段及用途办公段、访客段、服务器段是否需要NAT内网访问外网需要是否需要策略路由多出口分流需要端口用途分配哪个口接什么见下表端口分配我一般会画个简单的表比如接口用途备注Gi0/0外网WAN接光猫或上级设备Gi0/1内网核心接核心交换机Gi0/2服务器区独立网段Gi0/3备用/管理预留这份清单不是形式主义。我见过一个项目施工的人把WAN口和LAN口接反了配了半天NAT不通最后发现是物理接错。先理清逻辑再动手这是网络配置的铁律。3. 基础配置实操从接口IP到内网互通3.1 接口配置给路由器装上门牌号接口配置是路由器的地基。没有接口IP路由器就是个铁盒子。BDCOM配接口的基本流程是进全局配置模式进指定接口配IP开接口有些默认是关的写描述。configure terminal interface GigabitEthernet 0/0 description TO-WAN ip address 203.0.113.2 255.255.255.248 no shutdown exit逐行解释一下。interface GigabitEthernet 0/0是进入千兆口0/0的配置模式具体接口命名要看设备有的是Gi0/0有的是GigabitEthernet0/0/0用?补全确认。description是描述强烈建议每配一个口都写不然过两个月你自己都忘了哪个口接什么。ip address后面跟IP和掩码注意BDCOM这里掩码可以用点分十进制255.255.255.248也可以用位数/29两种都认。no shutdown是激活接口很多接口默认是shutdown状态不敲这条不通。这里有个细节外网口的IP和掩码一定要跟运营商给的一致。上面例子是/29意味着可用地址有6个去掉网络号和广播号。如果你填错掩码可能出现能ping通网关但上不了网的诡异现象因为路由表算错了。内网口配置类似只是IP换成内网网段interface GigabitEthernet 0/1 description TO-LAN-CORE ip address 192.168.10.1 255.255.255.0 no shutdown exit配完用show ip interface brief看一眼确认IP上去了、状态是up。这个命令我几乎每配完一个口就敲一次比show running-config快得多。3.2 静态路由与默认路由告诉路由器往哪走接口配好直连网段自动进路由表。但非直连的网段得靠静态路由或者动态路由协议。出口路由器最常用的就是默认路由——把所有不知道往哪送的数据包都扔给外网网关。ip route 0.0.0.0 0.0.0.0 203.0.113.1这条命令的意思是目的地址0.0.0.0、掩码0.0.0.0代表所有下一跳是203.0.113.1运营商网关。配完用show ip route看应该有一条S* 0.0.0.0/0S代表Static星号代表候选默认路由。内网如果有多个网段比如服务器段192.168.20.0/24挂在另一台设备后面那就得加明细静态路由ip route 192.168.20.0 255.255.255.0 192.168.10.254意思是去192.168.20.0/24的包下一跳交给192.168.10.254那台设备的接口IP。注意静态路由的下一跳必须是直连可达的地址。如果你写了个下一跳自己都到不了这条路由不会生效或者生效了也是黑洞。我踩过这个坑——下一跳写成了对端设备的另一个网段地址结果路由表里有但流量全丢。3.3 内网互通验证别急着配NAT很多人配完接口和路由就急着上NAT结果NAT配好了内网还是不通。我的建议是分阶段验证先确保内网能通路由器再确保路由器能通外网最后才配NAT让内网通外网。验证步骤在路由器上ping 192.168.10.1自己的内网口通说明接口正常。在路由器上ping 203.0.113.1外网网关通说明外网链路正常。在内网一台PC上ping 192.168.10.1通说明PC到路由器正常。在内网PC上ping 203.0.113.1如果前几步都通但这步不通大概率是PC没配网关或者路由器没开代理ARP一般不需要开。这四步走完基础链路就通了。接下来才是NAT的事。4. NAT与上网配置让内网真正访问外网4.1 NAT的基本原理与BDCOM的实现方式NAT网络地址转换解决的是内网私有地址怎么访问公网的问题。原理说白了就是内网包出去的时候路由器把源IP换成自己的外网IP记下这个映射回包回来的时候再根据映射换回内网IP。这样公网只看到路由器的外网IP内网结构被隐藏了。BDCOM上配NAT核心是两件事定义哪些流量需要NAT用ACL匹配定义NAT成什么地址用地址池或者直接复用接口地址。最常见的出口场景是PAT端口复用也就是所有内网机器共用路由器外网口那一个IP靠端口号区分不同会话。4.2 配置ACL匹配内网流量先创建一条标准ACL匹配所有内网网段ip access-list standard NAT-INSIDE permit 192.168.10.0 0.0.0.255 permit 192.168.20.0 0.0.0.255 exit这里用的是反掩码wildcard mask不是普通掩码。0.0.0.255对应/24意思是前24位必须匹配后8位任意。这是新手最容易搞混的地方——把反掩码写成255.255.255.0结果匹配范围完全错了。我开头提到的那个朋友就是栽在这里。提示反掩码的计算方法是普通掩码取反。比如/24的掩码是255.255.255.0取反就是0.0.0.255。再比如/25是255.255.255.128取反是0.0.0.127。记不住就用计算器别凭感觉写。4.3 配置NAT规则ACL建好后进外网接口配NATinterface GigabitEthernet 0/0 ip nat outside exit interface GigabitEthernet 0/1 ip nat inside exit ip nat inside source list NAT-INSIDE interface GigabitEthernet 0/0 overload逐条看。ip nat outside标记外网口ip nat inside标记内网口这两个标记必须成对出现否则NAT不工作。最后一条是核心inside source list NAT-INSIDE表示内网源地址匹配NAT-INSIDE的流量interface GigabitEthernet 0/0表示转换成0/0口的地址overload表示端口复用也就是PAT。配完用show ip nat translations看内网机器上网时应该能看到转换表项。如果表是空的说明流量没匹配上回去检查ACL和inside/outside标记。4.4 端口映射让外网能访问内网服务有时候内网有服务器需要对外提供服务比如Web或者监控这就需要端口映射也叫DNAT、目的NAT。配置方式ip nat inside source static tcp 192.168.20.10 80 interface GigabitEthernet 0/0 8080意思是外网访问路由器0/0口的8080端口转发到内网192.168.20.10的80端口。这样外网用户访问外网IP:8080就能看到内网服务器的网页。这里有个坑端口映射和PAT可以共存但要注意ACL的顺序。如果ACL里把某个网段deny了那这个网段的端口映射也会失效。我一般会把端口映射单独用扩展ACL管理避免和NAT的ACL混在一起。5. 进阶配置策略路由、DHCP与多出口分流5.1 DHCP服务让内网机器自动拿地址手动配IP在小网络还行机器一多就是灾难。BDCOM路由器可以当DHCP服务器给内网自动分配地址。ip dhcp pool LAN-POOL network 192.168.10.0 255.255.255.0 default-router 192.168.10.1 dns-server 114.114.114.114 223.5.5.5 lease 1 0 0 exitnetwork定义地址池网段default-router是网关一般就是路由器内网口IPdns-server是DNSlease 1 0 0是租期1天。配完记得在接口上确认没有冲突如果内网已经有DHCP服务器就别在这台路由器上再开否则会打架。注意DHCP地址池的网段必须和接口IP在同一网段否则分配出去的地址网关不对机器上不了网。这个错误很隐蔽因为DHCP看起来是工作的机器也拿到了IP就是不通。5.2 策略路由多出口分流的利器园区网常见需求一条电信、一条联通或者一条主线路、一条备用线路希望不同流量走不同出口。这就用到策略路由PBR。思路是用ACL匹配特定源或目的然后用route-map指定下一跳最后在接口上应用。ip access-list extended PBR-TRAFFIC permit ip 192.168.10.0 0.0.0.255 any exit route-map PBR-MAP permit 10 match ip address PBR-TRAFFIC set ip next-hop 203.0.113.1 exit interface GigabitEthernet 0/1 ip policy route-map PBR-MAP exit这段配置的意思是从192.168.10.0/24来的流量下一跳强制走203.0.113.1。策略路由的优先级高于普通路由表所以即使路由表里有默认路由匹配策略的流量也会按策略走。策略路由的坑在于匹配顺序和隐含deny。route-map末尾默认有隐含deny如果你只写了permit 10其他流量不受影响继续走路由表但如果你写了deny规则又没写后续permit可能把流量全断了。我一般会在route-map最后加一条permit 20空匹配确保其他流量正常走路由表。5.3 多出口的健康检查与切换如果两条线路要做冗余光配策略路由不够还得有健康检查机制——主线路断了自动切备用。BDCOM部分型号支持Track功能可以跟踪某个目标的可达性track 1 ip route 203.0.113.1 255.255.255.255 reachability ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 1 ip route 0.0.0.0 0.0.0.0 198.51.100.1 10第一条track跟踪到主网关的可达性第二条默认路由绑定track 1track失效则这条路由失效第三条是备用默认路由管理距离10比默认的1大所以主路由优先。这样主线路断了track失效主路由撤销备用路由生效。这个配置我实测下来挺稳但要注意track的探测频率。太频繁浪费资源太慢切换不及时。一般默认就行特殊场景再调。6. 常见问题与排查技巧实录6.1 排查思路分层定位从物理到应用网络问题排查最忌讳东敲一下西敲一下。我的习惯是分层来物理层→数据链路层→网络层→应用层。对应到BDCOM路由器上层次检查项常用命令物理层接口up/down、光模块、网线show interface数据链路层MAC、VLAN、ARPshow arp、show mac网络层IP、路由、NATshow ip route、show ip nat translations应用层ACL、策略、端口show access-lists、show route-map从下往上查哪层断了就停在哪层解决。这样不会漏也不会绕远路。6.2 高频问题速查表下面这些是我这些年遇到最多的问题整理成表方便对照现象可能原因排查命令解决内网全部上不了网默认路由丢失/外网口downshow ip route、show interface补路由/查物理链路部分网段上不了网ACL反掩码写错show access-lists修正反掩码能ping通IP但打不开网页DNS没配show ip dhcp pool补DNS端口映射不生效inside/outside标记缺失show ip nat statistics补标记策略路由不生效route-map没应用/ACL不匹配show route-map检查应用接口设备重启后配置丢失没保存show startup-configwrite保存远程登录不上没配telnet/ssh或ACL拦截show runinclude telnet6.3 几个我踩过的坑和独家技巧坑一ACL反掩码写反。这个前面提过但值得再强调。我见过有人把permit 192.168.10.0 0.0.0.255写成permit 192.168.10.0 255.255.255.0结果匹配的是192.168.10.0这个地址且后8位必须是0等于只匹配了一个地址。内网其他机器全被隐含deny拦了。记住ACL用反掩码路由用正掩码。坑二NAT和ACL的顺序。BDCOM上NAT的ACL是在路由决策之后应用的但如果你同时配了接口ACLip access-group顺序就很重要。接口ACL先于NAT如果接口ACL把流量deny了NAT根本看不到。我一般不在NAT接口上配入方向ACL避免混淆。坑三保存配置的时机。有次我配完一半去接了个电话回来接着配结果手滑敲了个reload设备重启前面没保存的全没了。从那以后我养成了**每完成一个模块就write**的习惯。虽然麻烦但安全。技巧一用show run对比。配置出问题时show running-config和show startup-config对比一下能快速发现哪些改了没保存或者哪些是意外改动的。技巧二善用?和Tab。BDCOM的CLI支持命令补全不确定命令拼写就敲前几个字母按Tab不确定参数就敲?。这比翻手册快多了。技巧三配置前先备份。接管在跑的设备第一件事是show running-config把现有配置复制出来存好。万一改坏了还能对照恢复。这个习惯救过我好几次。7. 配置收尾与日常维护建议配置配完、测试通过别急着走人。我一般会做几件收尾的事把最终配置完整导出备份一份在设备上写好描述和备注比如description里写清楚用途和日期把管理密码改成强密码确认远程管理方式可用。这些看起来是小事但真出问题的时候有备份和没备份是天壤之别。日常维护方面BDCOM路由器其实挺省心但有几个点要定期看接口的错误计数show interface里的errors和drops如果持续增长说明链路有问题CPU和内存利用率show processes cpu、show memory异常高可能是环路或者攻击日志show logging能提前发现隐患。我个人在实际操作中的体会是BDCOM这套设备的配置逻辑一旦摸熟配起来是很快的命令风格统一资料也够用。真正花时间的不是敲命令而是想清楚网络要怎么走、流量要怎么分、故障要怎么切。把这些想明白了命令只是表达工具。新手容易陷入背命令的误区其实命令记不住可以查但网络设计的思路得自己建立起来。最后再分享一个小技巧如果你手上有闲置的BDCOM设备别让它吃灰搭个实验环境把VLAN、NAT、策略路由、DHCP这些挨个配一遍再故意配错几条看看现象。这种破坏性实验比看十篇教程都管用。我当年就是这么把BDCOM玩熟的踩过的坑现在都成了排查时的直觉。