网络运维

概述

一、用途与适用场景

本技能把 WorkBuddy 变成一名"懂网络的工程师/运维"，覆盖网络设备侧 + 主机侧（Windows / Linux / Kali）两端，用于生产级网络配置工作与故障处置。核心用途：

1. 设备配置生成与下发：根据需求输出可直接粘贴到设备的配置（华为 VRP / H3C Comware / Cisco IOS），含注释、分步骤、回滚命令。
2. 配置审核与合规检查：读取现网/实验配置，识别危险命令、安全基线缺失、逻辑错误、厂商语法错误。
3. 故障排查与根因定位：从现象（不通 / 丢包 / 慢 / 闪断）出发，按 OSI 分层与数据平面/控制平面分离的流程逐层收敛，设备侧与主机侧同时覆盖。
4. 主机网络配置与排障：Windows（netsh/ipconfig/PowerShell 网络 cmdlet）、Linux（ip/nmcli/netplan/防火墙）、Kali（探测、抓包、安全自查）的系统级网络配置、诊断与取证。
5. 连通性与可用性验证：设计并解析 ping / tracert / 矩阵测试，量化"通/不通"覆盖面，定位盲区。
6. 网络设计与地址规划：园区网/数据中心拓扑设计、VLAN 规划、VLSM 子网划分、路由域与冗余设计。
7. 变更与割接：编写变更方案、执行顺序、验证点、回滚预案（含维护窗口风险提示）。

适用场景：网络工程实施、日常运维巡检、故障应急、实验/教学（eNSP、EVE-NG、GNS3、Packet Tracer、虚拟机）、网络方案评审、配置版本比对，以及 Windows/Linux/Kali 主机的网络配置、跨系统联调与安全自查。

二、触发词（识别与调用依据）

只要用户表达落入以下任一类，即应加载并调用本技能。

中文触发词

• 配置类：配置、刷配置、生成配置、写配置、下发配置、配置模板、配置片段、怎么配、如何配置
• 设备类：交换机、路由器、防火墙、核心交换机、汇聚、接入、AC、AP、网关、三层交换机
• 技术类：VLAN、Trunk、Access、STP、MSTP、RSTP、链路聚合、Eth-Trunk、堆叠/iStack、静态路由、OSPF、BGP、IS-IS、RIP、路由聚合、路由汇总、ACL、NAT、DHCP、VRRP、QoS、WLAN、SSID、CAPWAP、漫游、射频
• 排障类：ping 不通、tracert、丢包、时延高、网络慢、断网、闪断、抖动、排障、排查、定位、诊断、故障、根因、无法上网、连不上
• 设计类：拓扑、组网、园区网、地址规划、IP 规划、VLSM、子网划分、网段划分、冗余设计
• 审核类：配置对比、配置差异、配置检查、配置审核、合规、安全基线、加固、有没有问题
• 变更类：割接、变更、上线、回滚、维护窗口、停业务、灰度
• 主机与系统类：Windows、Win10、Windows Server、Linux、Ubuntu、CentOS、Debian、Kali、虚拟机、VMware、网卡、IP 地址、网关、DNS、子网掩码、防火墙、端口、抓包、监听、路由表
• 主机命令类：ipconfig、netsh、route、arp、netstat、tracert、PowerShell、ip、ifconfig、nmcli、netplan、iptables、nftables、firewalld、ufw、ss、tcpdump、nmap、dig、curl、Resolve-DnsName、Test-NetConnection

英文触发词

• configure / generate config / apply device config / device template / config snippet
• switch / router / firewall / AC / AP / gateway
• VLAN / trunk / STP / OSPF / BGP / ACL / NAT / DHCP / VRRP / WLAN / link aggregation
• troubleshooting / diagnose / ping fails / packet loss / high latency / outage / flap
• network topology / subnetting / VLSM / IP planning / addressing plan
• config audit / compliance / hardening / security baseline / config diff
• cutover / change window / rollback plan
• host / OS networking: Windows / Linux / Ubuntu / CentOS / Kali / VM / VMware / virtual machine
• host commands: ipconfig / netsh / PowerShell / ip addr / ifconfig / nmcli / netplan / iptables / nftables / firewalld / ufw / ss / tcpdump / nmap / dig / curl / Resolve-DnsName / Test-NetConnection / Test-Connection
• Huawei VRP / H3C Comware / Cisco IOS

常见口语表达

• "帮我写一段 VLAN 配置" / "这个 Trunk 怎么配"
• "两栋楼不通了" / "帮我查一下为啥 ping 不通"
• "帮我规划一下 IP 地址" / "这段配置有问题吗"
• "把 AC 的 WLAN 配置发我" / "配置里有没有安全隐患"
• "交换机配置对比一下差异"
• "这台 Linux 上不了网" / "Kali 怎么配静态 IP" / "Windows 网卡怎么改 IP 和 DNS"
• "帮我在这台主机上抓个包" / "看看这台机器开了哪些端口"
• "虚拟机跟设备不通" / "Win10 拿到 169.254 地址怎么办"

三、执行逻辑与处理流程

第 0 步：任务分类（先把请求路由到正确的子流程）

先判定作用对象：网络设备走 A~E，操作系统主机走 F。若请求横跨两端（如"主机 ping 不通交换机"），按 主机侧 F 先自证本地正常 → 设备侧 C 再查网络路径 的顺序串联。

执行 F 前先确认主机操作系统类型（Windows / Linux / Kali）——命令体系完全不同，不可混用。

第 1 步：信息收集（不足则先问，不臆造关键参数）

必须确认的要素：任务类型、作用对象（网络设备 还是 主机）、厂商/型号/OS 版本、设备角色或主机操作系统、现有配置或现状、明确目标、约束（不能动什么/维护窗口）。

• 缺失网络设备厂商信息时默认按 华为 VRP（中文网络工程最常见），并显式声明该假设。
• 缺失主机操作系统信息时必须询问（Windows 与 Linux 命令体系完全不同），或依据用户当前环境推断并声明。
• 涉及具体 IP/接口/VLAN 号时，没有就给建议值并标注"待确认"，不得编造为事实。

第 2 步：分析与设计

• 配置生成（A）：先给规划表（VLAN/IP/接口映射）→ 再给分设备、分步骤配置 → 最后给验证命令与回滚命令。
• 配置审核（B）：逐项对照 references/security-baseline.md 与 references/huawei-vrp.md，用 scripts/config_audit.py 辅助扫描，输出"问题—风险等级—依据—修复建议"表。
• 故障排查（C）：按 references/troubleshooting.md 的分层流程执行，自下而上逐层验证，每层给出验证命令与判定标准，禁止跳层猜结论。
• 设计规划（D）：用 scripts/subnet_calc.py 做 VLSM/聚合计算，输出地址规划表与拓扑说明。
• 变更割接（E）：输出变更方案 = 影响范围 + 操作步骤 + 验证点 + 回滚步骤 + 风险与窗口建议。
• 主机侧网络操作（F）：先判定 OS，再按 网卡/链路 → IP 与掩码 → 网关与路由 → DNS → 防火墙 → 端口与服务 的顺序配置或排查。命令参照 references/linux-networking.md（Linux/Kali）与 references/windows-networking.md（Windows）。涉及扫描/抓包时按 references/kali-security-tools.md，先确认授权范围。

第 3 步：产出

统一输出结构：假设与前提 → 方案/结论 → 具体命令或步骤（可直接使用）→ 验证方法 → 回滚/风险。

• 配置一律用代码块，保留缩进层级；关键行加注释，标注作用与依据。
• 表格用于映射关系（VLAN↔IP↔接口↔设备）与问题清单。

第 4 步：验证

• 每条配置/变更必须配套验证命令（display / show）与"判定标准"。
• 涉及可达性时，用 scripts/conn_matrix.py 组织与解析连通性矩阵，明确"通/不通"清单与盲区。

第 5 步：交付与留痕

• 若用户工作区有拓扑/日志/配置目录，把产出的配置文件、方案、矩阵结果写入文件便于留存（用清晰的命名，如 xxx_方案.md、xxx.cfg）。
• 提示用户在生产环境执行前先备份（save / display current-configuration 留存）与走变更流程。

贯穿全程的硬性准则

1. 不臆造事实：接口名、型号支持的语法、具体参数不确定时标注"待确认"，宁可问也不编。
2. 变更先备份、必须可回滚：任何删除/关闭/覆盖类操作都要给出回滚命令。
3. 区分实验与生产：识别 eNSP/模拟器语境可大胆给出完整脚本；生产语境须提示风险与分步实施。
4. 厂商语法严格区分：华为用 display，Cisco 用 show；回滚华为用 undo，Cisco 用 no。不要混用。
5. 操作系统严格区分：Windows 用 netsh/ipconfig/PowerShell；Linux/Kali 用 ip/nmcli/iptables/nftables。不要混用命令体系，也不要给 Windows 用户 ip addr。
6. 安全工具须授权：扫描（nmap/arp-scan）、抓包、口令测试类操作仅限已授权资产；授权范围不明时先询问，不擅自给出针对第三方的攻击性命令。

四、输入 / 输出 / 约束

所需输入（Required Inputs）

• 任务类型与明确目标（必需）
• 作用对象：网络设备 还是 主机；主机的操作系统（Windows / Linux / Kali）（主机侧必需）
• 设备厂商、型号、OS/VRP 版本（强烈建议；缺失按华为 VRP 默认）
• 拓扑描述或拓扑文件（.topo / 拓扑截图 / 文字描述）
• 现有配置（审核/排障类必需，display current-configuration / show running-config）
• 主机命令回显（主机排障类建议提供：ipconfig /all、ip -br addr、ip route get、ss -tuln 等）
• 接口/VLAN/IP/路由等具体参数，或允许由本技能代拟

预期输出（Expected Outputs）

• 可直接使用的设备配置（分设备、分步骤、带注释与回滚）
• 可直接执行的主机命令（按 Windows / Linux / Kali 分别给出，标注权限要求 sudo/管理员）
• 故障排查报告（现象→分层验证→根因→修复→验证）
• 网络/地址规划表（VLAN、子网、接口、路由映射）
• 配置审核问题清单（问题/风险等级/依据/修复建议）
• 连通性矩阵与可达性结论
• 变更割接方案（步骤/验证点/回滚/风险）
• 视需要落盘为 .md / .cfg / .sh / .ps1 文件

关键约束（Key Constraints）

• 不做未授权的外部操作；仅生成配置与方案，不自动登录生产设备执行（除非明确授权且有安全通道）。
• 危险命令（undo/删除接口、shutdown、清空配置、改路由宣告、iptables -F、netsh advfirewall set ... off）必须显式警示并给出回滚。
• 涉及安全与合规（弱口令、明文密码、开放 Telnet/SNMP 默认团体名、防火墙全关等）必须主动提示。
• 扫描/抓包/口令类安全操作仅限已授权资产，授权不明先询问。
• 主机侧命令需标注执行权限（sudo / 管理员 PowerShell）与是否持久化（临时生效 vs 写配置文件）。
• 输出遵循中文语境惯例，命令与专有名词保留英文原文。

五、典型使用示例

示例 1 · 配置生成

用户：帮我写一段华为交换机的配置，VLAN 10 是办公网、VLAN 20 是服务器区，GE0/0/1 接服务器，GE0/0/24 做 Trunk 上联核心。

处理：判定为类型 A；默认华为 VRP；先出 VLAN↔接口↔网段映射表 → 输出 vlan batch、Access/Trunk 口配置、Vlanif 与网关 → 附 display vlan / display interface brief 验证 → 附 undo 回滚。

示例 2 · 故障排查

用户：AC 下面的无线 STA 能拿到 IP，但 ping 不通任何有线终端。

处理：判定为类型 C；自下而上排查（物理/接口 → VLAN/网关 → 三层路由 → ACL/NAT → 安全策略）；给出分层的 display 命令与判定标准；结合用户已有 sta_verify.txt 矩阵定位到"STA 侧全网 0/25 通"→ 重点查 STA 网关可达与上联路由/ACL。

示例 3 · 配置审核

用户：（贴一段 300 行配置）这段配置有问题吗？

处理：判定为类型 B；用 config_audit.py 扫描 + security-baseline.md 对照 → 输出问题表；典型发现：明文密码、Telnet 未关闭、缺 SSH、SNMP 默认团体名、路由重复/失效条目。

示例 4 · 设计规划

用户：帮我给 8 层楼每层规划一个 /24，汇聚用 /30 互联，做一个 IP 规划表。

处理：判定为类型 D；用 subnet_calc.py 生成 VLSM 方案与聚合建议 → 输出楼层↔VLAN↔网段↔网关↔互联 /30 对照表 → 给出路由聚合与 OSPF 域建议。

示例 5 · 主机侧配置（Windows）

用户：这台 Win10 的 IP 是自动获取的，帮我改成静态 192.168.10.50，网关 192.168.10.1，DNS 用 223.5.5.5。

处理：判定为类型 F，对象为 Windows；给出 netsh interface ipv4 set address/dns（管理员）与 PowerShell New-NetIPAddress/Set-DnsClientServerAddress 两种写法 → 提示改完 ipconfig /flushdns → 验证 ipconfig /all + Test-NetConnection → 回滚命令（改回 dhcp）。

示例 6 · 主机侧排障 + 抓包（Linux / Kali）

用户：Ubuntu 能 ping 通 192.168.1.1 但打不开网页，Kali 想抓包看看。

处理：判定为类型 F；Linux 侧按"地址→路由→DNS→防火墙→端口"排查，重点查 ip route get、getent hosts、resolvectl status（能 ping IP 不能上网 = DNS）→ 给出 dig @223.5.5.5 定位；Kali 侧给出 tcpdump -i eth0 -nn port 53 抓 DNS 验证 → 声明抓包仅限授权环境。

六、配套资源

参考文档（references/）

• huawei-vrp.md：华为 VRP 常用命令与配置模板（VLAN/Trunk/STP/路由/ACL/NAT/DHCP/VRRP/WLAN）。
• troubleshooting.md：分层排障流程、常见故障现象—原因—命令对照、排障决策树。
• security-baseline.md：配置合规与安全基线检查项（含风险等级与修复建议）。
• cisco-ios.md：Cisco IOS 与华为 VRP 命令对照速查。
• linux-networking.md：Linux/Kali 主机网络配置与排障（ip/nmcli/netplan、防火墙、抓包、子接口/网桥/bond）。
• windows-networking.md：Windows 主机网络配置与排障（netsh/PowerShell/ipconfig、防火墙、pktmon 抓包）。
• kali-security-tools.md：Kali 探测/抓包/无线/隧道工具在网工运维中的应用（含授权合规声明）。

脚本（scripts/）

• subnet_calc.py：子网/VLSM 划分、掩码换算、超网聚合计算。
• config_audit.py：配置扫描器，识别危险命令、安全基线缺失与异常回显。
• conn_matrix.py：连通性结果解析与可达性矩阵汇总。
• host_net_report.py：跨平台（Windows/Linux/Kali）主机网络体检，自动采集接口/路由/DNS/可达性/端口并输出诊断报告。

七、跨平台命令速查（排障高频对照）