网络配置删减规则¶

面向已经看完前两篇《主备堆叠三层网络总体理论 / 速成理解》，准备正式上设备做配置的同学。
这篇只关心一件事：在满足业务与安全的前提下，把配置“写得够用、好看、好维护”。

一、写在前面：为什么要做“配置精简”¶

降低心智负担：上线一两年后再回看配置，如果密密麻麻全是历史遗留命令，很难快速判断“哪些还在用、哪些早该删”。
降低变更风险：配置越复杂，越容易在改动时牵一发而动全身；精简后，改动影响范围更清晰。
便于交接和排障：接手的同事或半年后的自己，只要 5–10 分钟就能看懂整体思路和关键配置位置。

一句话原则：“能不配就不配，能共用就共用，能合并就合并；看不懂的配置要么加清晰备注，要么干脆不要上生产。”

二、整体配置风格与备注规范¶

1. 设备与接口命名规范¶

设备命名：
核心：CORE-STACK（堆叠逻辑名）
汇聚：AGG-xx（按楼栋/区域命名，例如 AGG-01F）
接入：ACC-xx（按楼层/机柜编号命名）
接口描述（description）统一格式：
终端口：DESC: 部门/用途-终端标识（如 DESC: OA-财务-PC01）
上联口：DESC: UPLINK-AGG01 / DESC: UPLINK-CORE
服务器 / 关键设备：DESC: SRV-系统名-用途（如 DESC: SRV-AD-域控）

要点：看到端口描述，就能大致猜到这口接了什么、是不是关键业务、能不能动。

2. 备注书写约定¶

只在三类地方写备注：
整体设计说明：如 VLAN 规划、网段作用、默认路由去向；
关键策略说明：如 ACL、NAT、安全策略的业务背景；
容易被误删/误改的配置：如 DAD、堆叠心跳、管理回程路由。
备注内容尽量做到：
一句话解释“为什么这样配”，而不是“这条命令是干嘛的”（命令本身说明“做什么”，备注补充“为什么要这样做”）；
标明**生效范围/影响对象**（例如“影响：所有办公网用户上外网”）。

示例（伪代码形式）：

// VLAN 10: 办公网，终端网段 192.168.10.0/24，网关在 CORE-STACK VLANIF 10
// 删除影响：整层办公用户无法访问内网 / 外网
vlan 10

三、VLAN 与网段规划的精简规则¶

1. 只保留“有明确用途”的 VLAN¶

建议分类：
业务 VLAN：如 办公 / 服务器 / 访客 / 监控 等；
管理 VLAN：如 VLAN 99 作为全网管理网；
预留 VLAN：可以少量保留 1–2 个（例如预留测试 VLAN），但要在备注中写明“预留”。
删减规则：
VLAN 在全网范围内不再有任何端口使用，且对应的网段 / 业务已经下线 → 可以整体删除；
VLAN 仅在实验阶段临时使用，投产后确认不再需要 → 删除并记录在变更单中。

建议：定期（如每半年）导出端口 VLAN 使用情况，清理“零端口 VLAN”。

2. VLANIF 与网关接口¶

一网段只保留一个权威网关位置：本拓扑下，统一放在核心堆叠 CORE-STACK 上。
不在汇聚 / 接入上“顺手”再建一套 VLANIF 网关，避免后期排错时出现“多网关抢答”。
如果历史上确实存在“汇聚也做网关”的情况：
在整合为“核心统一网关”前，先梳理业务依赖，逐步迁移；
迁移完成后，删除汇聚上的 VLANIF 与相关静态路由，并在变更记录中说明原因。

3. 网段命名与备注¶

建议在表格或配置开头统一罗列网段与用途：
192.168.10.0/24：办公终端
192.168.20.0/24：服务器区
192.168.30.0/24：访客无线
192.168.99.0/24：网络设备管理
删除某个网段时，同时：
删除对应 VLANIF；
删除相关静态路由 / ACL 条目；
更新这份“网段总览表”，避免“文档与配置不一致”。

四、接口配置精简规则¶

1. Access 口（终端口）¶

统一规则：
只做三件事：端口模式、VLAN、速率/双工（可选）；
能用缺省就用缺省，不堆叠无关的 QoS、ACL、日志等级等配置。
未使用端口：
统一个 VLAN（例如管理 VLAN 或专门的空闲端口 VLAN）；
统一 shutdown，防止误插设备造成未知环路或未授权接入；
统一描述：如 DESC: UNUSED-SHUTDOWN。

2. Trunk / 上联口¶

原则：只放行必要 VLAN，避免“全网广播乱飞”。
示例：接入 ↔ 汇聚仅放行该接入实际承载的 VLAN + 管理 VLAN；
汇聚 ↔ 核心放行所有上行需要的业务 VLAN + 管理 VLAN。
删减规则：
某 VLAN 在对应链路上已无业务（下游不再使用）→ 从 Trunk 放行列表中移除；
不再使用的 Eth-Trunk 成员口要么回收重新规划，要么统一描述并关闭。

3. 汇聚 / 核心上的链路聚合¶

聚合口（Eth-Trunk）上的配置尽量简洁：
只关注：Trunk / VLAN 放行 / STP 角色（如有）；
不在成员物理口上堆叠重复命令（能在聚合口配置的就不要分散到成员口）。
删除聚合时：
先下线 / 迁移上面承载的所有业务；
再删除 Trunk 配置与 VLAN 放行，最后删除 Eth-Trunk 本身；
避免只删物理口不删逻辑聚合，留下“半残配置”。

五、路由与缺省路由的精简规则¶

1. 路由规划基线¶

核心堆叠：
为各业务 VLANIF 建立直连路由（自动存在，无需额外配置）；
配置一条指向防火墙 / 出口路由器的 缺省路由 0.0.0.0/0；
仅在必要场景下增加少量静态路由（如到专线 / 远端分支）。
汇聚、接入层：
原则上不再承载额外三层路由逻辑，只做二层转发；
如历史上存在静态路由、策略路由，应评估是否能整体迁移到核心。

2. 静态路由删减规则¶

逐条确认：
目的网段是否仍有业务在使用；
有无等价或更合理的替代路径（如已经通过动态路由 / 新架构承载）。
可以删掉的典型情况：
历史测试用网段、迁移后废弃的服务器网段；
已经被更细粒度/新地址规划取代的“大网段兜底路由”。

操作建议：删前先在文档或配置备注中记录原路由与删除理由，并在变更窗口内随时准备回滚。

3. 动态路由协议（如 OSPF 等）¶

如当前拓扑只是“单区域 / 单核心出口”的小中型园区网：
首选方案往往是“核心静态路由 + 缺省路由”，不强行上动态路由；
防止后期排障时，多出来一堆邻居状态、LSA、选路细节。
如确有需要引入动态路由：
先在设计文档中明确“谁是汇总点、谁是 ABR / ASBR、哪些网段需要发布”；
路由过滤、汇总、重分发规则要写在文档里，并在配置旁加简短备注说明。

六、安全策略与 ACL 精简规则¶

1. ACL 规则合并与去重¶

建议习惯：
以“业务”为单位整理 ACL：如“办公上网”、“访客上网”、“服务器远程管理”等；
同一业务的多条规则，优先按网段 / 端口范围做合并。
典型可精简场景：
多条只差一个 /24 网段的规则，可合并为一个更大的聚合网段；
同一源 / 目的 / 端口的重复条目，可以删除冗余项；
已下线业务对应的 ACL 条目整体删除。

2. 策略方向与命名¶

统一命名风格：
ACL-OA-INTERNET-ALLOW、ACL-GUEST-TO-INTERNET 等；
在备注中写清楚：“影响对象 + 业务简述 + 风险提示”。
策略方向清晰：
出口策略：明确是“内到外放行 + 外到内限制”；
内部区划策略：标明“办公 ↔ 服务器”、“访客 ↔ 内部”的访问矩阵。

3. 安全相关“不要乱删”的配置¶

与 环路保护 / STP / BPDU Guard / Root Guard 相关的配置；
与 管理访问控制 相关的 ACL（限制仅运维网络能登录设备）；
与 日志 / 告警 / NetFlow / 采集 相关的配置。

如果确需调整，上线前务必在测试环境或维护窗口中验证，确保不会放大安全面或导致监控失效。

七、变更与验收时的检查清单（可打印）¶

可以在每次大规模删减或重构配置前后，对照以下清单逐项确认：

八、小结：让后来者“一眼就能看懂这张网”¶

拓扑在纸上是清晰的，配置里也应该同样清晰：结构简单、层次明确、备注到位。
在“主备堆叠三层网络”的框架下，尽量把复杂度收敛在核心，边缘只做该做的事。
每次删减配置前，问自己三句：
“这条配置现在还在用吗？”
“它影响哪些终端 / 业务？”
“删了之后，出了问题我能不能快速回滚？”

当你能在这些规则下自信地删掉一大堆历史遗留配置，并且网络依然稳定、可控，那就说明你不只是“会敲命令”，而是真的开始 管理一张企业级网络 了。