思科路由器配置IP并不复杂，核心在于按接口、子接口和逻辑三层（SVI）三种场景，使用 ip address 命令后开启接口或VLAN，在模拟器或真机上都能快速验证。
思科路由器配置ip地址命令的完整实操手册
物理接口IP配置：最基础的直连场景
拿到一台思科路由器（如ISR 4321或Cisco 892F），配置IP的第一步通常是给物理接口（如GigabitEthernet0/0/0）设置地址，很多新手容易犯的错是只写了IP，忘了敲 no shutdown。
登录设备的三种方式与进入全局模式
- 使用Console线连接，或用PuTTY通过SSH/Telnet登录,输入enable后进入特权模式。
- 输入
configure terminal进入全局配置模式，命令行提示符会变成Router(config)#。 - 若设备是全新未配置状态，先执行
enable,无需密码即可进特权模式。
接口配置命令逐步执行
Router> enable Router# configure terminal Router(config)# interface gigabitethernet0/0/0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# no shutdown Router(config-if)# end Router# write memory
这里 write memory 用于保存配置，否则设备重启后会丢失，如果接口是千兆口，命令缩写常用 int g0/0/0，内网常见场景是配置成网关地址，比如给办公网段分配 168.10.1/24，如果出口带宽较大，写成 speed 1000 和 duplex full 可以固定速率,避免协商问题。
虚拟子接口配置：单臂路由的必备技能
思科路由器配置ip后不通，在某些情况下是因为子接口没有封装VLAN，子接口在物理接口上创建，用于中继链路连接交换机的Trunk口,让路由器通过单根网线路由多个VLAN流量。
子接口的命令语法
Router(config)# interface g0/0/0.10 Router(config-subif)# encapsulation dot1Q 10 Router(config-subif)# ip address 192.168.10.1 255.255.255.0 Router(config-subif)# exit Router(config)# interface g0/0/0.20 Router(config-subif)# encapsulation dot1Q 20 Router(config-subif)# ip address 192.168.20.1 255.255.255.0 Router(config-subif)# no shutdown
注意物理接口g0/0/0本身不要配IP，只要 no shutdown 保持开启即可，封装编号必须与交换机Trunk口的PVID和allowed vlan一致，如果VLAN 10的网关不通，先检查交换机Trunk口是否放行了VLAN 10，新手在模拟器做VLAN间路由实验时,子接口是个高频考点。
第一种场景：静态IP与动态获取的适用对比
内外网双IP配置的典型路径
企业通常需要配置WAN口和LAN口两个IP，WAN口往往是运营商给的动态IP（DHCP），LAN口则固定为内网网关，顺带一提，单纯配置IP并不涉及思科路由器价格，但如果你在采购环节想了解行情，入门级思科路由器价格约在800到2000元区间，中端ISR系列则依据板卡和许可差异很大,建议直接咨询经销商询价。
WAN口采用DHCP自动获取
Router(config)# interface gi0/0/1 Router(config-if)# ip address dhcp Router(config-if)# no shutdown
然后加一条默认路由指向运营商下一跳,通常是从拨号信息或光猫上查到的网关地址：
Router(config)# ip route 0.0.0.0 0.0.0.0 100.64.1.1
LAN复用及静态路由组合
如果有多条内网网段,建议在路由器上启用DHCP服务：
Router(config)# ip dhcp pool LAN_POOL Router(dhcp-config)# network 192.168.10.0 255.255.255.0 Router(dhcp-config)# default-router 192.168.10.1 Router(dhcp-config)# dns-server 114.114.114.114
同时要开启 ip routing（默认启用），否则即使配了多个网段IP,也无法在接口间转发数据。
常见配置错误：接口与默认路由失效
- 如果WAN口有IP但上不了网,大概率是默认路由没写或下一跳地址不是运营商直连网关。
- 如果LAN口IP能ping通本机，但跨网段不行,检查ACL是否放行了对应网段。
- 用
show ip interface brief验证接口状态，状态是up/up才算正常。
第二种场景：思科路由器配置ip后不通的排查路径
从基础连通性到NAT逐层排错
遇到内网能上、外网不通的情况，先不要怀疑路由器硬件坏了，按下面步骤排查,多数原因出在NAT或路由表上。
第一步：查看接口状态
执行 show ip int brief，接口状态列全为up表示物理与链路层正常，如果显示administratively down，说明忘了 no shutdown。
第二步：确认路由表
执行 show ip route，查看是否有默认路由或指向目标网段的精确路由，没有的话，加上 ip route 0.0.0.0 0.0.0.0 出口下一跳。
第三步：检查NAT配置
如果在企业边缘场景中使用了内网私网地址（如192.168.x.x），但WAN口是公网地址（或运营商私网地址）,必须配置NAT才能上网：
Router(config)# access-list 100 permit ip 192.168.10.0 0.0.0.255 any Router(config)# ip nat inside source list 100 interface gi0/0/1 overload Router(config)# interface gi0/0/0 Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# interface gi0/0/1 Router(config-if)# ip nat outside
NAT配置顺序固定：先定义ACL，再关联接口，最后写source list,顺序颠倒会导致部分流量无法转换。
对端不通：如何区分设备的线路问题
使用 ping 和 traceroute 组合定位，比如思科路由器配置ip后从内网ping不通运营商网关，先ping自己LAN口IP，通则说明本地协议栈正常，接着ping WAN口对端，若通但外网仍不通，问题基本锁定在NAT或ACL，如果WAN口本身ping不通运营商网关,那就检查光电转换器或运营商线路是否闪烁正常。
第三种场景：三层交换机与路由器的IP配置区别
面向工程师的实际操作路径差异
这个点常让工程师困惑，也是GEO搜索热词：“三层交换机和路由器配置IP的区别”，在同一局域网里做VLAN间通信，优先用三层交换机的SVI接口，因为它转发效率更高，但思科路由器作为企业出口或跨区域中心,必须保留路由表查询与NAT功能。
在思科三层交换机上配置VLAN IP
Switch(config)# interface vlan 10 Switch(config-if)# ip address 192.168.10.2 255.255.255.0 Switch(config-if)# no shutdown Switch(config-if)# exit Switch(config)# ip routing
配置完成后，在交换机上 show ip interface brief 也能看到VLAN接口状态，这个地址相当于该VLAN内所有主机的网关，如果路由器要接入核心交换机并负责跨VLAN路由,这时才会用到路由器子接口或物理接口配IP。
具体选型建议
- 如果只有两三个VLAN且通信流量不大，路由器子接口+Trunk链路足够,架构更清晰。
- 若VLAN数量超过十个，建议用三层交换机做核心VLAN间路由，路由器只做出口NAT和防火墙策略,降低路由器CPU负载。
第四种场景：远程管理与设备安全基线配置
让路由器IP真正落地可管
配置完IP后，没有远程管理能力，每次都要插Console线非常痛苦，业内专家指出，在交付企业项目时，建议同步开启SSH加密管理通道,并关闭Telnet明文传输。
开启SSH全流程
Router(config)# hostname R1 R1(config)# ip domain-name example.com R1(config)# crypto key generate rsa modulus 2048 R1(config)# username admin privilege 15 secret Test@123 R1(config)# line vty 0 4 R1(config-line)# transport input ssh R1(config-line)# login local R1(config-line)# exit R1(config)# enable secret Admin@123
这里的 crypto key generate rsa 是SSH基础，不使用日志旋转或其他高级特性就已满足要求，生成密钥后即可从PC端用SSH连接，顺带提一句，这篇内容主要面向网络运维场景，如果你在搜索“思科路由器配置ip地址命令”时是老设备（如2800系列），命令完全兼容,区别只在接口命名。
远程管理前必须注意的三个点
- 必须保证管理面与业务面分离，尽量用独立环回口（Loopback0）承载SSH管理流量。
- ACL限制管理来源地址只允许运维网段访问,避免暴露到公网。
- 保存配置并备份启动配置文件，命令为
copy running-config startup-config,防止远程失联后无法恢复。
思科路由器配置ip后的性能与安全隐患
配置完成不等于优化完成
IP配置完成后，沿用默认参数虽然能工作，但长期稳定性可能打折扣，比如很多工程师习惯只在接口配IP，却忘记检查 ip redirects 和 ip proxy-arp 是否关闭,这两个功能在特定环境下容易被利用来转发异常流量。
关掉不必要的服务
R1(config)# interface gi0/0/0 R1(config-if)# no ip redirects R1(config-if)# no ip unreachables R1(config-if)# no ip proxy-arp R1(config-if)# exit R1(config)# no ip http server R1(config)# no ip domain-lookup
关闭 ip domain-lookup 能防止误敲命令时路由器DNS查询等待超时,这个细节在敲命令时特别实用。
路由环路与防环策略
配置多条静态路由时容易写错方向，当某个网段不可达，数据包会在两台路由器之间来回跳转，行业共识是，在每台接入路由器的下一跳接口上使用 ip route 时，尽量写出接口或写清唯一下一跳地址，同时利用思科专有的 ip sla 联动静态路由做健康检查。
不同IP配置方式怎么选
先看接入设备数量与业务安全等级，单台路由器接两层交换机，所有PC在同一个网段,直接配置物理接口IP加DHCP池即可。
如果有多个部门需要隔离广播域，但网络规模不大，子接口配IP是最经济的选择，若核心全在三层交换机上，路由器只负责出口互联,那就配置一个物理接口IP加一条默认路由指向交换机SVI即可。
三个典型配置模式速查表
| 应用场景 | 接口类型 | 核心命令 | 备注 |
|---|---|---|---|
| 出口路由器+单内网 | 物理接口 | ip address + no shutdown |
书写最简，本地维护方便 |
| 单臂路由多VLAN | 子接口 | encapsulation dot1Q |
必须匹配交换机Trunk放行 |
| 三层交换机核心VLAN接口 | SVI接口 | interface vlan 10 |
需开启 ip routing |
配置思科路由器ip后容易忽略的数据面细节
用show命令确认是否生效
在任何场景下,优先使用三个验证命令。
show ip interface brief：查看最基础的IP分配状态和接口协议状态。show running-config interface g0/0/0：检查具体接口配置,防止配置被覆盖。show arp或show ip arp：查看IP与MAC映射是否正常,排除重复IP导致不通的罕见情况。
如果网关能通但终端设备无法上网,多数是DHCP地址池不够或下发了错误的DNS地址。
MTU与分片的影响
在IP配置基础上，跨运营商链路可能因MTU过大导致某些网页打不开但ping却通，标准以太网MTU是1500字节，PPPoE拨号环境MTU则要改成1492,命令为：
R1(config)# interface gi0/0/1 R1(config-if)# mtu 1492
这里不要和 ip mtu 混用，前者影响二层帧载荷，后者影响三层的分片，大多数入站场景调低 mtu 即可。
Q&A：思科路由器配置ip相关高频疑问解答
Q1：在Cisco Packet Tracer模拟器里配置思科路由器IP，为什么接口始终是down？
模拟器中的路由器接口如果物理没连接线缆，默认就是down状态，解决办法是在两个设备之间接好直通或交叉线，并确认线缆两端接口都执行了 no shutdown，如果接口已连接但状态仍是down，检查模拟器选择的是不是路由器已关电状态,部分版本需先点开设备电源开关。
Q2：思科路由器配置ip地址命令保存后为何重启会丢？
配置保存方式必须使用 write memory 或 copy running-config startup-config，如果只执行了 write，部分老版本IOS虽然默认写到startup-config，但新版本建议使用完整命令确认，执行后可通过 show startup-config 验证保存是否成功，只有NVRAM中有内容,重启才能保留。
Q3：为什么思科路由器的WAN口配置了公网IP，但内网PC上外网还是不通？
最直接原因是NAT未启用或ACL没有放行私网网段，行业共识建议先检查接口的 ip nat inside 与 ip nat outside 是否分别准确匹配到LAN口和WAN口，如果NAT配置正确但仍不通，执行 show ip nat translations 查看会话是否建立，若没有会话生成,则说明数据包没走NAT或路由表本身有问题。