简介面向网络工程专业学生与备考网络工程师的IPv6校园网模拟实验包基于eNSP完成整体规划与配置。内容覆盖VLAN划分、单臂路由、VRRP6、OSPFv3、DHCPv6、防火墙安全策略、IPv6 over IPv4 GRE隧道及默认路由等关键技术从拓扑设计到设备配置形成完整闭环。压缩包共48个文件包含19个cfg配置文件、15个efz设备镜像文件、拓扑文件、地址规划表、配置命令文本及参考视频总大小633KB可按需导入eNSP快速复现实验环境。已有5023人学习使用。除可直接导入的配置外还提供带视图前缀与可粘贴版两套命令文档方便逐条对照理解配套录屏支持倍速观看适合课程设计、实验报告撰写或IPv6组网技术自学者参考。1. 基于eNSP的IPv6校园网实验为什么值得照着做一遍基于eNSP的IPv6校园网网络规划与设计实验光听名字会以为就是拖几台路由器配几行命令真做一遍你会发现最花时间的不是OSPFv3起不起来而是前缀怎么划分、邻居发现为什么失败、终端为什么死活拿不到IPv6地址。这份资源把校园网从核心层到接入层的拓扑、IPv6地址分配、双栈配置和排错流程串在一起适合正在做毕业设计、准备网络工程师认证实验或者要从IPv4往IPv6迁移的运维转岗者。它解决的核心问题只有一个怎样从一张校园网逻辑拓扑得到一张能ping通、能自动分配地址、能定位故障的IPv6网络。下面所有参数都是我在eNSP里实际复现过的命令可以直接抄坑也顺手写出来了。2. IPv6地址规划与eNSP环境搭建先理清前缀再动接口2.1 设备选型与全局IPv6使能eNSP环境里的第一个“开关”eNSP里做IPv6实验我一般用AR2220做出口路由器S5700做核心和汇聚交换机S3700做接入层。原因很直接AR2220对OSPFv3、DHCPv6和隧道模式的支持比较完整S5700支持三层Vlanif接口和OSPFv3S3700作为二层交换机做接入足够用。很多同学一上来就拖一台AR201或S3700想配IPv6结果发现接口下根本没有ipv6 address命令第一反应以为是模拟器不支持其实是用错了设备。比选型更基础的是全局使能。在华为VRP上IPv4地址可以直接配到接口IPv6必须先在系统视图执行ipv6全局使能否则接口下输入ipv6 enable或ipv6 address都会报错。这台设备需要转发IPv6报文但它不需要配置任何IPv6地址同样要先开全局开关。实际操作时我会在每台设备上统一先敲一遍ipv6省得后面接口配置翻车了才回头找原因。sys sysname CampusGW ipv6 interface GigabitEthernet0/0/0 ipv6 enable ipv6 address 2001:db8:cafe:1::1/64第一行进入系统视图ipv6是全局IPv6开关ipv6 enable在接口下自动生成链路本地地址然后才能配全局单播地址。注意/64不是随手写的IPv6的SLAAC要求前缀长度必须是64位如果写成/120终端不会基于RA自动配置地址。这个细节在2.2里会继续展开。2.2 校园网前缀划分从/48到楼宇和Vlan的映射IPv6地址规划是整个校园网设计的真正核心。很多人先配路由后画地址配到一半发现前缀乱七八糟路由汇总也做不成。正确顺序应该是先确定总体前缀再按楼宇和业务划分Vlan最后才落到接口。校园网一般会从出口获取一段前缀常见是/48或/56。以/48为例它可以划分出65536个/64子网校园网无论按楼栋还是按Vlan分配都够用。下面的表格是我在一份典型实验里用的分配方式前缀用文档地址段2001:db8:cafe::/48避免和真实生产地址冲突。区域VlanIPv6子网用途说明核心-出口互连12001:db8:cafe:1::/64出口路由器到核心交换机之间核心-汇聚互连22001:db8:cafe:2::/64核心交换机到各汇聚交换机链路教学楼A有线102001:db8:cafe:10::/64教师办公室和教室有线终端教学楼B有线112001:db8:cafe:11::/64备用教室和多媒体终端图书馆202001:db8:cafe:20::/64图书管理系统和查询终端宿舍区302001:db8:cafe:30::/64学生宿舍有线及无线终端实验楼402001:db8:cafe:40::/64实验室、实训服务器访客无线502001:db8:cafe:50::/64访客WLAN单独隔离网段这张表的好处是第三个cafe段用来标识校园网点位第四段用来标识子网或Vlan。排错时看到2001:db8:cafe:40::5立刻知道它在实验楼Vlan40里不用翻文档查地址归属。有一种情况要单独说明路由点对点链路不必占用一个完整的/64。我习惯在互联段里再借2位比如核心-出口互连的2001:db8:cafe:1::/64内部划分多个/126两端各取一个地址。链路不接终端不需要RA和SLAAC所以不存在/64限制。命令是这样的interface GigabitEthernet0/0/1 ipv6 enable ipv6 address 2001:db8:cafe:1::1/126对端配2001:db8:cafe:1::2/126。有些规范推荐/127但eNSP里部分版本对/127的邻居发现处理有差异我习惯用/126多留两个地址备用也不容易翻车。2.3 接口地址与链路本地地址手动指定还是EUI-64生成每个IPv6接口只要ipv6 enable就会自动生成一个fe80::开头的链路本地地址。NDP、OSPFv3报文都会用它作为源地址所以你在路由表里看到下一跳是fe80::开头的地址时不用紧张这是IPv6的正常行为。链路本地地址可以自动生成也可以手动指定。我一般给核心设备的重要接口手动配一个简短地址比如fe80::1或fe80::10。好处是排错效率高看邻居表和抓包时一眼就知道是哪个Vlan的网关不用对着fe80::4a3c:1234:abcd:ef01发懵。interface Vlanif10 ipv6 enable ipv6 address fe80::1 link-local ipv6 address 2001:db8:cafe:10::1/64link-local是关键字地址只能在同一条链路上使用不能跨路由转发。手动指定后接口不再自动生成EUI-64格式的链路本地地址。注意同一链路上链路本地地址必须唯一否则NDP邻居表会乱。和链路本地地址并列的另一个坑是OSPFv3的Router-ID。很多人问“ensp中router id 2.2.2.2是什么意思”它其实是OSPFv3进程的32位标识格式沿用IPv4地址格式但不是可路由的接口地址。OSPFv3不会像OSPFv2那样自动从接口IPv4地址选择Router-ID必须手动配置否则进程无法正常建立邻居。常见做法是给每台设备配一个Loopback接口来承载Router-IDinterface LoopBack0 ip address 2.2.2.2 255.255.255.255 ospfv3 1 router-id 2.2.2.2即使设备没有跑IPv4这个Loopback地址也可以作为Router-ID使用。在规划阶段就应该把每台设备的Router-ID写进表里避免出现重复ID否则OSPFv3邻居会一直在ExStart状态这个坑在4.3里还会遇到。3. 校园网双栈配置与OSPFv3核心、汇聚、接入三层怎么打通3.1 双栈接口与Vlan规划IPv4和IPv6共用一套Vlan校园网现在普遍是IPv4和IPv6并存做实验也不是推翻现网而是在现有Vlan结构上叠加IPv6。Vlan不变接入交换机根据端口划分Vlan汇聚和核心交换机用Vlanif接口同时配置IPv4和IPv6网关。这样终端拿到IPv4地址的同时也能通过RA自动获取IPv6地址。先定义Vlan并配置接入交换机vlan batch 10 20 30 40 50 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50接入侧终端口放在access口上联口用trunk把业务Vlan都放行。到汇聚或核心上三层网关落在Vlanif接口上。双栈环境下Vlanif同时作为IPv4和IPv6的网关所以地址是并存的interface Vlanif10 ip address 192.168.10.1 255.255.255.0 ipv6 enable ipv6 address 2001:db8:cafe:10::1/64IPv4地址和IPv6地址互不冲突ARP还是IPv4的ARPIPv6用NDP维护邻居表。如果你在纯二层交换机S3700上做这件事会发现Vlanif下根本没有ipv6 address命令这不是操作问题而是设备不支持三层功能。做IPv6实验时至少汇聚以上要选S5700或AR系列。无线校园网也是同样的思路。SSID绑定Vlan例如宿舍无线映射到Vlan30访客无线映射到Vlan50。eNSP里可以用ACAP模拟WLAN但很多毕业设计只做有线部分无线网段在规划表里预留Vlan就足够。3.2 OSPFv3邻居建立Router-ID、链路本地地址和Hello间隔OSPFv3和OSPFv2最大的区别是OSPFv3报文源地址使用接口的链路本地地址而不是全局IPv6地址。这意味着接口必须ipv6 enable生成链路本地地址OSPFv3进程才能在接口上工作。第二个区别就是Router-ID必须手动配置这一点在2.3已经强调过。在eNSP里核心和汇聚跑OSPFv3的配置模板是这样的ospfv3 1 router-id 1.1.1.1 area 0 interface Vlanif10 ospfv3 1 area 0 interface Vlanif20 ospfv3 1 area 0 interface Vlanif30 ospfv3 1 area 0 interface GigabitEthernet0/0/24 ospfv3 1 area 0先创建OSPFv3进程并指定Router-ID进入area 0然后在需要参与的接口下重复调用ospfv3 1 area 0。校园网规模不大单区域设计最简单所有设备都在area 0里路由收敛快排错也直观。Hello间隔默认是10秒。eNSP里如果没有开STP通常不会因为接口收敛慢导致邻居起不来。但如果你的拓扑里交换机端口用了STP端口从Blocking到Forwarding需要30秒OSPFv3邻居就可能迟迟不建立。遇到这种情况可以在面向终端的接入端口上配置边缘端口或者在实验里直接关闭STP简化问题。检查OSPFv3邻居的命令display ospfv3 1 peer display ospfv3 1 interface邻居状态最终应该为Full接口状态可能是DR/BDR或P2P。如果看到ExStart或Exchange参考第4章的排查记录。3.3 核心交换机配置实例从Vlanif到上行路由这一节给一份核心交换机上的完整配置拓扑是三台汇聚分别下挂教学楼、宿舍和实验楼核心通过一个接口连接出口路由器。配置里包含了Vlan、IPv6地址、OSPFv3和默认路由。sysname Core-SW vlan batch 10 20 30 100 ipv6 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 ipv6 enable ipv6 address 2001:db8:cafe:10::1/64 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 ipv6 enable ipv6 address 2001:db8:cafe:20::1/64 interface Vlanif30 ip address 192.168.30.1 255.255.255.0 ipv6 enable ipv6 address 2001:db8:cafe:30::1/64 interface Vlanif100 ip address 192.168.100.1 255.255.255.0 ipv6 enable ipv6 address 2001:db8:cafe:100::1/64 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 interface GigabitEthernet0/0/0 port link-type access port default vlan 100 ipv6 enable ipv6 address 2001:db8:cafe:100::2/64 ospfv3 1 router-id 1.1.1.1 area 0 interface Vlanif10 ospfv3 1 area 0 interface Vlanif20 ospfv3 1 area 0 interface Vlanif30 ospfv3 1 area 0 interface GigabitEthernet0/0/0 ospfv3 1 area 0 ipv6 route-static :: 0 2001:db8:cafe:100::1说明几个关键点Vlanif100是核心与出口路由器之间的三层互联段G0/0/0属于Vlan100对端出口路由器配2001:db8:cafe:100::1/64。ipv6 route-static :: 0是IPv6默认路由::代表全零前缀0是前缀长度等价于IPv4的0.0.0.0 0.0.0.0。在eNSP里OSPFv3和静态路由的下一跳在display ipv6 routing-table中经常显示成fe80::开头的链路本地地址这是正常的。看到路由表里有O标记的OSPFv3路由同时有S标记的默认路由核心上的路由就通了。汇聚交换机的配置可以更简单每个业务Vlan只配置一个IPv6网关地址然后通过上联trunk口把该Vlan的网段通告给核心。例如教学楼汇聚vlan batch 20 interface Vlanif20 ipv6 enable ipv6 address 2001:db8:cafe:20::254/64 ospfv3 1 area 0 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20网关地址用::254而不是::1是我自己的习惯。这样核心和汇聚的地址不会撞车排错时看网关IP就知道是哪台设备在响应。4. IPv6实验避坑排错eNSP启动与邻居发现最常见的四个坑4.1 eNSP启动路由器时报错40先检查VirtualBox版本现象在eNSP中拖入AR2220路由器启动后设备图标变红状态提示40控制台连不上。原因eNSP底层依赖VirtualBox很多Win10/Win11电脑装了新版VirtualBox后和eNSP自带的通信组件不兼容AR设备就无法启动。这是eNSP的老毛病和设备配置本身没关系。解决先卸载高版本VirtualBox装回eNSP配套的5.2.x版本然后重启电脑再以管理员身份打开eNSP。如果还是报40检查Windows功能里有没有开启Hyper-V。Hyper-V和VirtualBox存在冲突需要到“启用或关闭Windows功能”里关掉Hyper-V再试。这个坑我每次装新系统都会踩后来干脆把eNSP放在虚拟机里跑主机系统怎么升级都不受影响。4.2 PC获取不到IPv6地址RA没发出来DHCPv6 M/O位不对现象终端连接交换机端口后ipconfig里IPv4正常IPv6只有fe80::开头的地址没有全局单播地址。原因IPv6终端不会像DHCPv4那样主动广播找地址它必须收到网关发出的RA报文才会触发SLAAC或DHCPv6。如果网关Vlanif接口没有发布RA或者RA里的M/O标志配置不对终端就一直只有链路本地地址。很多人在交换机上配完IPv6地址就去看路由表完全没检查RA这是IPv6实验里最常见也最隐蔽的坑。解决在网关接口下确认RA已开启。不同VRP版本命令有差异我常用的方式是interface Vlanif10 ipv6 address 2001:db8:cafe:10::1/64 undo ipv6 nd ra-halt ipv6 nd ra-interval 30 60 ipv6 dhcp server pool v6poolundo ipv6 nd ra-halt是解除RA暂停确保接口周期性发送路由器通告ra-interval 30 60表示RA发送间隔在30到60秒之间随机参数后面的两个数字分别是最小和最大间隔。如果实验里想立刻看到效果可以在PC上执行ipconfig /renew6或者抓包看RS和RA报文。另一个容易忽略的点是如果打算用有状态DHCPv6分配地址RA中必须把M位managed flag置1终端才会向DHCPv6服务器请求地址。如果只配置了地址池而没有修改RA标志终端仍然会走SLAAC导致地址不在你规划的池里。4.3 OSPFv3邻居卡在ExStart/ExchangeMTU和Router-ID现象两端设备配置完OSPFv3后display ospfv3 1 peer一直看到邻居状态是ExStart或Exchange始终到不了Full。原因OSPFv3在邻接协商阶段检查Router-ID和接口MTU。常见原因是Router-ID没有配置或两台设备重复另一个原因是互联接口MTU不一致导致携带DBD描述信息的报文太大被丢弃。eNSP默认MTU一致但如果你在接口上手动改过MTU就会触发这个问题。解决先检查所有OSPFv3设备的Router-ID是否唯一确认每台设备都已经手动配置了Router-ID比如2.2.2.2、3.3.3.3。再在互联接口两端统一MTUinterface GigabitEthernet0/0/0 mtu 1500两端都必须配同样的值。如果还是卡住可以在实验环境下使用debugging ospfv3 packet观察报文交互但生产设备不要轻易开debug会影响业务转发。4.4 路由表有IPv6路由但ping不通NDP邻居表异常和ICMPv6过滤现象核心交换机上display ipv6 routing-table能看到目的网段路由下一跳地址也有但从终端或路由器上ping ipv6就是不通或者第一跳通后续全部超时。原因IPv6路由器转发报文前必须解析下一跳的MAC地址这个过程依赖NDP邻居表。如果邻居状态一直显示Incomplete或Failed说明NDP请求没有成功。另一个原因是设备配置了IPv6 ACL把ICMPv6的必要类型消息过滤掉了例如NA、NS报文或者目的不可达消息被丢弃导致终端能收到数据但回不了包。解决先看NDP邻居表display ipv6 neighbors重点检查下一跳地址对应的邻居状态正常应该为Reachable或Stale。没有学到的原因通常是二层链路问题比如trunk没放行对应Vlan或者接口没有ipv6 enable。然后检查IPv6 ACLdisplay acl ipv6 all看匹配计数如果丢弃规则在增长就需要调整ACL放行必要的NDP和ICMPv6类型。校园网里做访客隔离时最容易把NS/NA也误杀导致终端能上外网但互相解析不了邻居。ACL规则里通常先放行fe80::/10和ICMPv6关键类型再写业务限制规则这样不会影响基础协议运行。5. IPv6校园网安全与过渡功能ACL、防护和NAT64扩展5.1 IPv6 ACL用traffic-filter限制访客区访问教学区IPv6地址数量庞大不能靠NAT隐藏内网隔离访问只能靠ACL。校园网里最常见的需求是访客Vlan只能上外网不能访问图书馆、实验楼等内部网段。华为设备上配置IPv6 ACL和IPv4 ACL的语法差别很大初学者经常把acl写成acl ipv6少了一个关键字。下面是我在访客汇聚交换机上常用的配置acl ipv6 name deny-guest-to-internal rule 5 deny ipv6 source 2001:db8:cafe:50::/64 destination 2001:db8:cafe:20::/64 rule 10 deny ipv6 source 2001:db8:cafe:50::/64 destination 2001:db8:cafe:40::/64 rule 15 permit ipv6 interface Vlanif50 traffic-filter inbound ipv6 acl deny-guest-to-internalrule后面的编号决定匹配顺序小号先执行。source和destination后面都要写IPv6前缀比IPv4的ACL长很多。最后一条permit ipv6用于放行其他流量也就是让访客可以访问互联网。traffic-filter inbound表示过滤进入Vlanif50方向的流量即从访客终端发出来的报文。注意ACL只控制转发流量设备自身发送的NDP和OSPFv3报文不受普通traffic-filter影响。但这个规则只做了一层控制实验报告里还可以补充说明如果访客终端之间需要禁止互访需要在接入交换机二层端口上做隔离比如配置MFFMac-Forced Forwarding或者私有Vlan。5.2 DHCPv6 Guard与RA Guard防伪造地址和路由欺骗IPv6的NDP协议没有内置认证内网终端一旦接入交换机就可以伪造RA报文宣称自己是网关把同一Vlan下其他终端的IPv6流量引到攻击者设备上。这个问题在校园网里尤其严重因为宿舍区学生口非常容易被人接一台路由器。eNSP里可以模拟部分防护功能。DHCPv6 Snooping是其中一种和IPv4 DHCP Snooping思路类似把连接上游的端口设为信任端口连接终端的端口设为非信任端口非信任端口收到的DHCPv6服务器报文会被丢弃。dhcpv6 snooping enable dhcpv6 snooping option-allow interface GigabitEthernet0/0/24 dhcpv6 snooping trust interface GigabitEthernet0/0/1 dhcpv6 snooping check dhcpv6trust端口通常是上联到汇聚交换机或DHCPv6服务器的端口不检查DHCPv6报文check dhcpv6会在接入端口上检查非法的DHCPv6回应发现伪造服务器就直接丢弃。这个命令在真实华为交换机上存在eNSP里部分S5700型号也支持具体以你手上的模拟器版本为准。RA Guard在eNSP里可以通过IPv6 ACL配合traffic-filter实现因为接入端口上正常终端不应该发送RA报文。ICMPv6 type 134是Router Advertisement把它在终端口上过滤掉即可acl ipv6 name block-rd rule 5 deny icmpv6 type 134 interface GigabitEthernet0/0/1 traffic-filter inbound ipv6 acl block-rd这个方案不完美但足够作为实验报告里的安全设计要点。如果eNSP不直接支持RA Guard命令用ACL模拟也能体现思路。5.3 双栈过渡NAT64让IPv6-only终端访问IPv4服务器某些区域会规划成IPv6-only比如物联网终端或访客无线。但校园内部还有大量只提供IPv4的旧系统这时候需要NAT64和DNS64配合。NAT64的作用是把IPv6报文转换成IPv4报文DNS64负责把IPv4域名解析结果合成AAAA记录让终端以为目标也有IPv6地址。eNSP里可以用USG6000防火墙模拟NAT64部分AR路由器版本也支持。先启用NAT64并配置前缀nat64 enable nat64 prefix 2001:db8:64::/96 interface GigabitEthernet0/0/0 nat64 outboundnat64 prefix是转换前缀当IPv6-only终端访问2001:db8:64::c0a8:101时路由器会把低32位的c0a8:0101解析成IPv4地址192.168.1.1然后执行转换。outbound方向指从IPv6侧向IPv4侧转换。注意IPv4地址嵌入IPv6地址的换算很容易错。192.168.1.1对应的十六进制是c0a8:0101写入IPv6地址就是2001:db8:64::c0a8:101。我一般在实验报告旁边放一张换算小表避免现场计算。eNSP如果版本不支持NAT64可以在文档中画出功能框图标注NAT64和DNS64的位置不影响整个IPv6校园网规划的完整性。6. 验证实验收尾用抓包和路由表检查你的IPv6网络真的通IPv6校园网实验做到最后很多人发现路由表、OSPFv3邻居都正常但终端还是不通。我的验证顺序固定为四步先看接口再看路由再看邻居最后再ping。display ipv6 interface brief display ipv6 routing-table display ospfv3 1 peer ping -6 -c 4 2001:db8:cafe:30::1display ipv6 interface brief看接口是否拿到IPv6地址重点检查Vlanif接口有没有up/updisplay ipv6 routing-table确认路由表里有业务网段display ospfv3 1 peer确认邻居状态是Full最后从PC或路由器上ping目标地址。这个顺序保证每一步都能定位到是接口、路由、邻居还是防火墙的问题。如果PC拿不到地址我最常用的手段是在eNSP里对网关接口抓包。右键设备端口启动抓包然后在PC上执行ipconfig /renew6观察有没有RS和RA报文。如果只有RS没有RA问题在网关的RA配置如果RS都没有问题在二层Vlan或PC所在网络。这个习惯帮我省掉了很多“明明配置没问题但就是不通”的排查时间。验证完成后记得清理终端的IPv6地址缓存避免下一轮实验被旧地址干扰ipconfig /release6 ipconfig /renew6有一次我做完整个实验路由表、OSPFv3全部正常就是教学楼终端ping不通宿舍区折腾了一个下午最后发现是汇聚交换机上无意配置了ipv6 nd ra-haltRA消息根本没发出来。从那以后我每次配置完网关都会强制走一遍“抓包看RA→查IPv6邻居表→看OSPFv3邻居→从终端ping网关”的流程顺序不乱问题基本一小时以内定位。希望帮到你。本文还有配套的精品资源点击获取