思科IP配置的核心就是进入全局配置模式，通过interface命令锁定接口，再用ip address命令赋予地址，最后用no shutdown激活接口。这条路径适用于路由器、交换机甚至防火墙，步骤固定，验证命令也一致，下面按场景拆解，直接对应你操作时最常遇到的疑问。
思科ip配置命令详解：从接口到路由的完整操作路径
配置思科设备IP,本质是两件事：给接口一个身份，让设备知道怎么把数据传出去，前者用ip address解决，后者用路由表解决，很多人只配了地址忘了加路由，结果接口up但ping不通远端。
思科路由器配置ip地址的两种方式（静态与DHCP）
进入接口视图是第一步,假设你面对一台思科ISR路由器，命令路径如下：
enable configure terminal interface GigabitEthernet0/0 ip address 192.168.1.1 255.255.255.0 no shutdown exit
interface GigabitEthernet0/0指定物理接口，千兆口写GigabitEthernet，百兆口写FastEthernet，新设备可能叫GigabitEthernet0/0/0，用show ip interface brief就能看到唯一完整名称。ip address 192.168.1.1 255.255.255.0中，IP地址和子网掩码缺一不可，漏掉掩码设备会提示语法错误。no shutdown是界面up的关键，思科接口默认处于shutdown管理关闭状态，配置IP后忘了这条命令，接口显示administratively down，数据根本出不去。
如果上层DHCP服务器想自动下发地址,把静态命令换成ip address dhcp，不过注意，路由器接口做DHCP客户端场景不多，更多用于WAN口拨号，行业共识是：内网接口坚决用静态IP，避免地址漂移导致路由混乱。
思科交换机vlan接口ip配置：管理地址与网关分离
二层交换机给VLAN配IP,目的是远程管理，不是转发流量，命令逻辑与路由器一致，但作用对象变成了虚拟接口：
interface vlan 10 ip address 192.168.10.2 255.255.255.0 no shutdown
这里有个易错点：VLAN接口默认shutdown吗？ 老式交换机默认开启，新型号如Catalyst 2960X，no shutdown
写上更保险，管理IP和网关必须同一网段，否则SSH/Telnet管理会超时，举例：交换机管理地址是168.10.2，网关就要写ip default-gateway 192.168.10.1，这条全局命令在二层模式下代替路由表。
如果你用的是三层交换机,比如Catalyst 3650，那么VLAN接口本身就是三层口，配置完IP后还要确认该VLAN已创建且端口分配正确，执行show vlan brief，如果VLAN不存在，先vlan 10创建，再用switchport access vlan 10把端口划进去。
思科ip配置后不能上网？排查思路与修复命令
“配置了IP但上不了网”是搜索频率极高的疑问，问题往往不在IP本身，而在路由、NAT或网关的配合，按下面顺序查，10分钟内能定位。
查看接口状态与IP地址是否生效
先看硬件层面：
show ip interface brief show interfaces status
第一条命令输出中,接口状态和协议状态必须是up，如果协议显示down，说明物理链路有问题，查网线和对端设备，第二条命令看端口是否被err-disabled或disabled，这类情况需要shutdown再no shutdown重置。
常见疏忽是配置在错误的接口上，很多路由器有多个GigaEthernet口，GigabitEthernet0/0和0/1外观一样，配错口后ping自己都通，但数据走不出去，此时用show run interface GigabitEthernet0/0对比实际配置即可。
静态路由与默认网关的联动检查
接口IP正常但跨网段失效,八成是路由表缺一条，思科路由器查询路径是：先匹配直连路由，再查静态路由，最后看默认路由，如果你配置了ip address 192.168.1.1 255.255.255.0，但内网客户端网关指向了192.168.1.2，那就要检查路由器是否配置了：
ip route 0.0.0.0 0.0.0.0 192.168.1.254
这条默认路由告诉路由器“所有不知道往哪去的包，丢给192.168.1.254”，多数情况下，思科设备自身不执行NAT，如果去往互联网的数据包在出接口时源地址是私有IP，运营商会直接丢弃，因此还要检查接口是否配置了：
ip nat inside ip nat outside
以及访问列表是否允许内网地址转换。IP配置只是第一步，NAT和路由是“能不能上网”的两根拐杖。 排查时用show ip route看是否有S开头的默认路由，用show ip nat translations看地址转换表。
思科三层交换机ip配置：跨VLAN通信的关键
三层交换机常被当成“带路由功能的交换机”来用，但默认情况下路由功能是关闭的，你要做两件事：打开路由开关，配置VLAN接口IP。
启用路由功能并配置SVI接口
ip routing interface vlan 10 ip address 192.168.10.1 255.255.255.0 no shutdown interface vlan 20 ip address 192.168.20.1 255.255.255.0 no shutdown
ip routing是全局命令，不在接口模式下执行，部分设备还要求ip cef开启快速转发，但这条命令在多数新机型上默认开启，完成上述配置后，VLAN10和VLAN20之间即可直接ping通，不需要额外配置静态路由，因为直连路由会自动生成。
如果三层交换机需要与上游路由器通信,必须为每个VLAN接口配上真实网关地址，例如与核心路由器相连的VLAN100，ip address 10.0.0.2 255.255.255.0，然后在交换机上加默认路由：
ip route 0.0.0.0 0.0.0.0 10.0.0.1
这样所有跨VLAN且目的地不明确的流量,都会交给上游路由器处理，用show ip route检查，你应该能看到C开头的直连网段和S开头的默认路由。
思科防火墙接口ip配置与安全策略的配合
防火墙（如ASA或Firepower）配置IP的逻辑与路由器非常像，但多了一个“安全级别”的概念，接口IP配好后，流量默认被安全策略拦截，很多人在思科防火墙上配置了IP却ping不通，不是地址写错，而是没有放行相应流量。
interface GigabitEthernet1/1 ip address 192.168.30.1 255.255.255.0 no shutdown nameif inside security-level 100
nameif必须设置，否则接口无法参与安全策略。security-level范围0到100，数值越高越可信，默认高安全级可以访问低安全级，反向需要放行。
操作时,如果你从内网（安全级100）ping外网（安全级0），默认允许，但从外网ping内网，则必须配置
access-list和access-group，这也是“配置了IP但内网通外网不通”的常见原因检查show run access-group，确认ACL已经应用到接口上。
思科IP配置时容易忽略的三个细节
很多配置错误源于细节,这里列几个实操中反复踩坑的点。
- 子网掩码类型：使用
255.255.0时，广播地址自动计算为168.1.255，如果误写为255.255.128，实际可用主机数缩减一半，IP冲突与路由黑洞随之而来。 - 管理距离：静态路由默认管理距离是1，比直连（0）稍差但优于动态路由，如果你同时配置了OSPF和静态路由，思科默认优先采用静态路由，容易造成路由选择与预期不符。
- 保存配置：配置完成后执行
copy running-config startup-config，否则设备重启后一切消失，这条命令比任何IP技能都实用。
Q&A：思科ip配置常见疑问解答
问：思科交换机配置ip地址后无法ping通网关，是什么原因？
答：先检查VLAN接口是否已创建且处于up状态，再确认交换机与网关之间链路是trunk还是access模式，如果是trunk，VLAN必须允许通过，执行show interfaces trunk查看允许列表，用switchport trunk allowed vlan add 10补充，确认交换机管理VLAN与实际连接的端口VLAN一致，否则流量根本入不了接口。
问：思科路由器配置ip address dhcp后获取不到地址，如何手动设置恢复？
答：接口上执行no ip address dhcp，然后重新配置静态地址，注意DHCP模式下，如果上游服务器未响应，接口会卡在init状态，手动配置静态地址后，还要检查ip route是否有指向出接口的默认路由，没有则补上，否则数据包有去无回。
问：思科三层交换机如何让两个VLAN互通？
答：只要启用了ip routing并为每个VLAN配置上不同网段的IP地址，三层交换机会自动生成直连路由，两个VLAN下主机的网关分别指向对应VLAN接口IP即可互通，如果仍然不通，检查各主机的子网掩码是否错误，以及交换机连接主机的端口是否已正确划入对应VLAN。