尧图网页设计 
简介基于eNSP搭建的大型校园网络拓扑设计与源码实现是计算机网络课程设计、毕业设计及期末综合作业的配套参考方案难度定位中等覆盖校园网络典型架构与关键服务部署。压缩包共39个文件大小约307KB以eNSP工程文件为核心包含efz配置、cfg运行配置、topo拓扑、xml设备定义、md说明文档及zip备份包结构清晰便于按需提取。方案评审获得98分高分完整呈现核心层、汇聚层、接入层的协同组网思路源码均已本地编译测试可直接运行适合学生对照复盘设备选型、VLAN规划与路由配置也可作为课程报告和答辩的参考依据。目前已有87人学习下载资源来源于网络分享仅用于学习交流。1. 基于eNSP的校园网络拓扑设计与高分项目源码实现毕设答辩前的最后一道坎每到毕业季网络工程专业的学生都会面对同一个问题老师要一个“大型校园网络拓扑设计与实现”既要有拓扑图又要有完整配置还要能现场演示。于是eNSP就成了绕不开的选择。eNSP是华为的网络仿真平台能在一台电脑里跑起路由器、交换机、防火墙、AC、AP和终端校园网毕设、课程设计和华为认证实操都靠它。这篇文章要讲的就是从零规划一张校园网拓扑到把每台设备的配置写成“高分项目源码”的完整路径。这篇笔记不是泛泛介绍eNSP能做什么而是把“大型校园网络”拆成可落地的几层拓扑怎么分层、地址怎么规划、核心设备跑哪些协议、无线和安全怎么接、最后哪些坑一定会踩。无论你是应届生赶毕设还是刚入职要快速搭一套演示网络照着本文的配置思路走一遍比对着零散教程拼一个通宵要省得多。2. 校园网网络拓扑的三层结构与设备选型先定VLAN和IP再碰eNSP2.1 核心—汇聚—接入每一层的设备该选什么型号大型校园网络拓扑不是把几十台交换机串起来那么简单它必须能回答“故障域在哪”“广播域在哪”“扩展性怎么保证”三个问题。常见做法是三层结构核心层负责高速转发和路由汇总汇聚层按楼宇或区域隔离故障接入层负责终端接入。这样设计的好处是任何一台接入交换机坏了影响的只是那一个楼层或房间不会把整个校园网拖垮。设备选型要控制在eNSP能承载的范围内不要一上来就摆一堆高端框式设备。核心层我用两台华为S5700系列交换机支持三层路由、VRRP、Eth-Trunk和OSPF模拟器中稳定性和性能都够汇聚层用S5700或S3700做VLAN透传和链路汇聚足够接入层统一S3700即可。出口路由器选AR2220模拟运营商侧设备防火墙用USG6000V做安全边界。无线部分用一台AC6605加若干AP4050DN。在eNSP里设备型号不是越高级越好。设备开得越多内存占用越高启动越慢甚至直接报错启动失败。我一般控制全网设备在15台左右核心、汇聚、接入三层各司其职这样既能体现“大型校园网”的复杂度又不会把自己卡死在虚拟化资源的瓶颈上。层次设备型号数量职责核心层S5700 x22全网路由、VRRP网关、出口互联汇聚层S5700/S37003~4楼宇VLAN汇聚、双上行链路接入层S37004~6终端接入、Access端口划分无线控制AC66051CAPWAP管理、SSID下发出口USG6000V AR2220各1安全策略、NAT、模拟ISP服务器区Server x22DHCP/DNS/Web服务2.2 VLAN与IP地址规划把网段写进表格再动手拓扑设计完紧接着就是VLAN和IP地址规划。这一步最容易翻车因为很多人喜欢边配边想结果配到一半发现地址冲突、网关重复最后只能推倒重来。正确流程是先把整张规划表写好再打开eNSP画拓扑。VLAN规划要遵循“按功能区域划分”的原则管理VLAN单独隔离无线业务和AP管理必须分两个VLAN。这是我做过多个校园网项目后的经验无线业务VLAN用于用户上网AP管理VLAN用于AP和AC通信两者混在一起DHCP和Option 43会乱成一锅粥。下表是一个可以抄作业的规划方案区域VLAN ID网段网关VRRP主/备说明设备管理10192.168.10.0/24192.168.10.254核心1/核心2SSH、SNMP管理教学区20192.168.20.0/24192.168.20.254核心2/核心1教学楼终端宿舍A30192.168.30.0/24192.168.30.254核心1/核心2一栋宿舍楼宿舍B40192.168.40.0/24192.168.40.254核心2/核心1二栋宿舍楼食堂50192.168.50.0/24192.168.50.254核心1/核心2消费终端图书馆60192.168.60.0/24192.168.60.254核心2/核心1公共查询区无线访客70192.168.70.0/24192.168.70.254核心2/核心1只允许上外网AP管理170192.168.170.0/24192.168.170.254核心1/核心2无线AP管理地址服务器区100192.168.100.0/24192.168.100.254核心1/核心2DHCP/DNS/Web核心互联20010.0.200.0/30无无两台核心互通链路地址规划有个技巧IP第三位直接取VLAN号比如VLAN 30就用192.168.30.0/24。这样看地址就能反推VLAN排错时少花一半时间。网关地址统一用x.254广播地址x.255服务器、打印机这类固定设备用x.10到x.50的保留段DHCP动态分配从x.100开始。这些约定写进表格后面配置每台设备只需要查表不用现场计算。2.3 链路冗余与防环Eth-Trunk和MSTP怎么配合三层结构定下来后还要处理链路层的冗余和防环。汇聚交换机到两台核心之间各拉一条物理链路组成Eth-Trunk捆绑。这样既能增加带宽又能在一台核心宕机时自动切换到另一台。双核心之间也要有一条第链路用于心跳和流量转发。二层防环用MSTP而不是STP或RSTP。STP会让冗余链路直接阻塞浪费带宽RSTP收敛快但无法按VLAN负载分担。MSTP可以划分多实例让不同VLAN的流量走不同路径。在eNSP里配置MSTP相对简单核心1作为VLAN 10、30、50的根桥核心2作为VLAN 20、40、60的根桥两边都能转发没有阻塞链路。还有一个细节接入交换机连接终端的端口要配置边缘端口edged-port这样终端插上线就能立即通信不用等30秒STP收敛。如果不配PC开机后要等STP计算完才能拿到地址演示时会被老师看在眼里。3. 高分项目源码的核心配置VRRP、Eth-Trunk、OSPF与DHCP中继3.1 核心交换机初始化与Eth-Trunk先把物理链路和VLAN边界立住这一节开始进配置。eNSP里“项目源码”其实就是每台设备的命令行配置把这些命令按设备整理成文件就是最值钱的交付物。核心交换机是全网的中枢先做基础配置和互联接口。# SW-Core-1 核心交换机1基础配置 system-view sysname SW-Core-1 vlan batch 10 20 30 40 50 60 70 100 170 200 # 两台核心之间的互联链路捆绑两根物理口 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 60 70 100 170 200 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 eth-trunk 1这段配置逻辑很清晰先创建全局VLAN再建Eth-Trunk1并把两个物理口绑进去。trunk口放行所有业务VLAN核心互联的VLAN 200也在这条Eth-Trunk里。第二台核心做同样配置区别只在于sysname和接口编号可能不同。配置完可以用display eth-trunk 1查看端口成员和状态两个成员口都应该是Selected状态。这里有个选择问题为什么不直接用两个物理口分别接因为两台核心之间只有一条链路带宽瓶颈和单点故障都存在Eth-Trunk把这些物理口聚合成一个逻辑口既提高带宽又简化了后续VRRP和OSPF配置。3.2 VRRP双网关配置主备优先级和抢占延迟一个都不能少核心交换机的网关冗余靠VRRP实现。每台核心为每个业务VLAN配置一个VLANIF接口再在接口上启用VRRP虚拟网关。两台核心一个主一个备主机故障时备机接管终端无感知。# SW-Core-1 核心交换机1VLAN 30 的VRRP主网关 interface Vlanif30 ip address 192.168.30.2 255.255.255.0 vrrp vrid 30 virtual-ip 192.168.30.254 vrrp vrid 30 priority 120 vrrp vrid 30 preempt-mode timer delay 20 # SW-Core-2 核心交换机2VLAN 30 的VRRP备网关只配低优先级地址 interface Vlanif30 ip address 192.168.30.3 255.255.255.0 vrrp vrid 30 virtual-ip 192.168.30.254 vrrp vrid 30 priority 110VRRP的要点是虚拟IP必须和终端配置的网关一致两台核心的真实IP只是管理地址。优先级决定谁是主120比110高默认抢占开启。抢占延迟20秒很重要——如果主设备刚重启完立刻抢占回主会造成网络抖动让优先级切换稳定下来。我的习惯是奇数VLAN让核心1当主偶数VLAN让核心2当主这样两台核心都有流量在跑不浪费硬件。配置完一定要用display vrrp brief检查状态主备Standby和Master一目了然。3.3 OSPF全网互通router-id的作用和邻居状态排错网关在高可用之后接下来要做路由打通。核心设备之间跑OSPF把业务网段宣告进区域0。这里解释一个常见问题很多人在eNSP里看到配置“router-id 2.2.2.2”以为是某个接口的IP地址其实它是路由器在OSPF域内的身份标识相当于给路由器起的数字名字不占用任何接口。# SW-Core-1 核心交换机1 OSPF配置 ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.200.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.50.0 0.0.0.255 network 192.168.60.0 0.0.0.255 network 192.168.70.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 192.168.170.0 0.0.0.255 # SW-Core-2 核心交换机2 OSPF配置router-id不能相同 ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 10.0.200.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.50.0 0.0.0.255 network 192.168.60.0 0.0.0.255 network 192.168.70.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 192.168.170.0 0.0.0.255OSPF配置最容易翻车的点有三个。第一是忘了宣告互联网段10.0.200.0/30邻居会一直卡在ExStart状态第二是两台设备的router-id重复导致邻居关系反复震荡display ospf peer里看到的状态不停在Full和Down之间跳第三是反掩码写错写成255.255.255.0这种常规掩码OSPF直接不认。配置完先ping对端互联地址通了再看邻居能少走很多弯路。3.4 DHCP中继与接入交换机最后一跳配置决定终端体验业务VLAN有了网关但终端还需要自动获取IP地址。校园网规模大DHCP集中放在服务器区核心交换机做DHCP Relay把客户端的广播请求中继到DHCP服务器。这是比在每台交换机上配置DHCP更专业的做法。# SW-Core-1 核心交换机1开启DHCP中继 dhcp enable interface Vlanif30 dhcp select relay dhcp relay server-ip 192.168.100.10 interface Vlanif40 dhcp select relay dhcp relay server-ip 192.168.100.10接入交换机的配置相对简单核心在于端口VLAN划分和STP边缘端口# SW-Acc-1F 宿舍楼一层接入交换机 vlan batch 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 30 stp edged-port enable接入交换机到汇聚交换机的上行口用trunk放行对应业务VLAN。配置完成后从PC上用ipconfig如果能拿到地址说明中继链路通了。拿不到地址时优先检查DHCP服务器的地址池配置和核心交换机上dhcp relay server-ip是否指向了真正的DHCP服务器——这是最高频的排错方向。4. 从无线到出口ACAP无线网络配置实例、防火墙安全策略与ACL单向访问4.1 ACAP无线网络配置实例CAPWAP隧道、Option 43与SSID下发校园网的无线部分是最能体现“综合实验”含量的模块。AC6605作为无线控制器AP通过CAPWAP协议和AC建立隧道。AP接入到交换机时需要从DHCP获取管理地址并知道AC在哪里这个“AC在哪里”的信息由DHCP的Option 43字段下发。# AC6605 无线控制器配置 sysname AC6605 vlan batch 70 170 # AP管理网关同时作为DHCP服务器给AP下发地址 interface Vlanif170 ip address 192.168.170.254 255.255.255.0 dhcp select interface dhcp server option 43 sub-option 3 ascii 192.168.170.254 # 指定CAPWAP源接口让AP能找到AC capwap source interface vlanif170 # WLAN业务配置 wlan ssid-profile name campus-wifi ssid campus-wifi security-profile name wifi-sec security wpa2 psk pass-phrase campus123 aes vap-profile name student-vap forward-mode tunnel service-vlan vlan-id 70 ssid-profile campus-wifi security-profile wifi-sec ap-group name ap-group1 vap-profile student-vap wlan 1 radio 0 vap-profile student-vap wlan 1 radio 1这段配置要拆开理解VLAN 170是AP的管理VLANAC和AP都在这个网段通信VLAN 70是无线用户业务VLAN用户连上WiFi后得到的IP来自这个网段。用户在隧道模式下流量会被CAPWAP封装送到AC再转发所以VLAN 70的网关在核心交换机上AC要能路由到VLAN 70的网关。配置完成后在AC上执行display ap allState字段是Normal说明AP上线成功Fault则说明AP和AC之间有环节断开。排查顺序是AP能否拿到DHCP地址、Option 43是否正确、AP到AC的路由是否通、trunk口是否放行了VLAN 170。4.2 防火墙USG6000V安全区域划分与安全策略、NAT出口联动防火墙是校园网连接互联网的必经之路。在eNSP里使用USG6000V核心交换机出一个接口接防火墙的trust区域防火墙另一个接口接AR2220模拟的ISP对应untrust区域。安全区域划分后用安全策略控制哪些流量能穿越。# USG6000V 防火墙基础区域配置 firewall zone trust add interface GigabitEthernet1/0/0 firewall zone untrust add interface GigabitEthernet1/0/1 # 安全策略内网可以访问外网 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit # NAT内网访问外网时做地址转换 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet1/0/1 nat outbound 2000NAT出方向用easy-ip直接把防火墙接口的公网地址转换出去适合模拟环境。如果要在防火墙上发布内网Web服务器可以在untrust接口配置NAT Server把公网IP的80端口映射到服务器内网地址。防火墙配置完重点检查安全策略的匹配顺序华为防火墙策略按配置顺序匹配规则越靠前优先级越高。4.3 ACL“配了单向访问不管用”先搞清流量方向和下发位置校园网里有个典型需求访客WiFi只能上网不能访问内网服务器。于是大家都在核心交换机的VLAN 70接口上配置ACL规则写得很正确但测试发现访客还是能访问服务器。这就是被问烂了的“ensp交换机acl单向访问不管用”问题。# SW-Core-1 核心交换机1限制访客VLAN 70访问服务器VLAN 100 acl number 3000 rule 5 deny ip source 192.168.70.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 rule 10 permit ip interface Vlanif70 traffic-filter inbound acl 3000不生效的原因通常是方向搞错。ACL的inbound和outbound是相对接口而言的访客发出的流量从VLAN 70的终端进入VLANIF70接口所以要在interface Vlanif70上应用traffic-filter inbound。如果挂在服务器的VLANIF100接口上就需要用outbound方向很多人挂在VLANIF100的inbound上过滤的是访问服务器的入方向流量方向不对自然不生效。另一个坑是规则顺序。华为ACL按rule编号从小到大匹配匹配到就不再往下执行。如果rule 5 permit ip写在前面后面的deny永远不会被匹配。我写ACL的习惯是deny在前、permit在后编号留出间隔方便插入新规则。配置完用display acl 3000看匹配计数计数在增加说明规则在起作用。5. eNSP综合实验常见问题排查启动报40、CLI卡死、VRRP不切换与无线AP离线5.1 启动路由器时报错40全红设备的虚拟化之殇现象在eNSP中启动AR路由器或交换机设备图标一直红灯过一会儿弹出提示“错误40”设备无法启动。原因eNSP底层依赖VirtualBox设备启动报40绝大多数是虚拟化层面的问题。最典型的是Windows 11开启了Hyper-V或内核隔离抢占了CPU虚拟化指令也可能是VirtualBox版本和eNSP不匹配新版VirtualBox 6.x和eNSP V100R003C00系列兼容性很差。解决先到BIOS确认CPU虚拟化已开启然后在Windows功能里关闭Hyper-V和Windows虚拟机监控程序关闭内核隔离功能卸载VirtualBox换用5.2系列版本最后右键eNSP以管理员身份运行打开“工具→注册设备”重新注册后重启。这三种手段能解决九成以上的报错40。5.2 CLI窗口一直卡在“###”不是设备坏了是没等够现象点击设备图标选择CLI窗口打开后光标停在“####”不再动弹回车也没有反应像是死机。原因eNSP的设备启动是个加载过程“###”表示设备正在启动操作系统这个过程在电脑内存紧张时会持续一两分钟。还有一种情况是开发者同时打开了多个CLI窗口第二个窗口抢占不了Console口。解决先等90秒。如果还没反应关掉所有CLI窗口从设备图标重新打开第一个CLI。不要在设备完全启动前就频繁点CLI窗口开得越多越容易卡死。整个拓扑启动时不要全选所有设备一起开机先启动核心和汇聚交换机再启动接入、终端服务器分批启动反而稳定。5.3 VRRP主备不切换链路断了但网关还在旧设备上现象把核心1的VLAN 30接口shutdownVLAN 30的网关并没有切换到核心2终端断网。原因VRRP默认只检测自身接口状态VLANIF30接口没有downVRRP就认为主设备还活着不会触发切换。核心1的上联链路断了但VLANIF接口依然是UP状态。解决在VRRP配置里加track链路检测跟踪核心1到防火墙或上行核心的物理接口一旦接口down就降低优先级让备机接管# SW-Core-1 核心交换机1VRRP跟踪上行接口 interface Vlanif30 vrrp vrid 30 track interface GigabitEthernet0/0/0 reduced 30这样上行接口故障时VRRP优先级从120降为90备机110自然升主切换时间只要几秒。配置完用display vrrp brief验证核心2的VLAN 30状态应从Standby变成Master。5.4 无线AP一直Not connected先检查Option 43再检查VLAN现象AC上display ap all显示AP状态为Not connectedAP在拓扑中无法使用。原因AP上线要闯三关——获取管理IP、发现AC地址、建立CAPWAP隧道。最常见的问题有三个AP的DHCP范围没配好拿不到地址Option 43下发格式不对AP不知道AC在哪接入交换机trunk口没有放行管理VLAN 170CAPWAP报文被丢弃。解决先在AC上ping AP网段的地址确认三层可达然后在AP接入的交换机上看端口状态确认Access端口划分和trunk放行最后核对DHCP配置里的Option 43字段。eNSP中Option 43要用sub-option 3 ascii加上AC的管理地址写成十六进制容易出错用ASCII最稳。5.5 VLAN 70能访问服务器VLAN 100ACL方向与匹配顺序的连环坑现象按照4.3配置了ACL但访客还能ping通内网服务器规则形同虚设。原因不只是方向问题还可能是ACL下发位置错误。如果网关在核心1ACL却挂在核心2的VLANIF70上主网关根本不经过核心2ACL永远不会被匹配。另外ACL里如果没有rule 10 permit ip默认拒绝后全被丢弃连上外网都会断。解决先用display current-configuration interface Vlanif70确认ACL挂在哪台设备哪个接口再用display acl 3000查看计数计数为0说明流量没走这个接口方向和位置二选一出错。我排查这类问题从来不看理论直接看计数。6. 答辩前再补三块IPv6、QoS与全网验收脚本项目跑通只是及格高分要看你能不能在基础之上多走三步。第一步是IPv6双栈在核心交换机的业务VLAN接口上开启IPv6并配置地址展示校园网具备下一代网络覆盖能力# SW-Core-1 核心交换机1VLAN 30 开启IPv6 interface Vlanif30 ipv6 enable ipv6 address 2001:db8:30::254/64第二步是QoS优先级保障给特定业务打高优先级队列。这个配置对毕业设计来说属于加分展示不需要很复杂的策略核心是体现“你有服务质量控制的意识”。第三步是准备一个验收脚本把全网验证命令集中在一起# 验收脚本按顺序执行全绿就是全网正常 display vrrp brief display ospf peer display ap all display acl 3000 ping -a 192.168.30.254 192.168.100.10 ping -a 192.168.70.254 203.0.113.1答辩演示时我最常做的事是现场shutdown一台核心的上联接口让老师看到VRRP切换过程ping包只丢三四个然后恢复比任何PPT都直观。这个习惯我每次带项目都会用老师的关注点立刻从“方案对不对”转向“实现稳不稳”。另外交付时把每台设备的配置文件单独导出为文本文件名带上设备角色和VLAN信息和地址规划表放同一个目录这是“项目源码”最实在的形态。毕设评阅时老师翻开配置能找到你的命名规范、协议选择和冗余设计分数自然比随手乱配的同学高一档。希望这篇笔记能帮你把eNSP里的校园网从“能通”做成“能讲”答辩顺利。本文还有配套的精品资源点击获取 eNSP校园网络拓扑设计实战：从VRRP到OSPF完整配置与排错
简介基于eNSP搭建的大型校园网络拓扑设计与源码实现是计算机网络课程设计、毕业设计及期末综合作业的配套参考方案难度定位中等覆盖校园网络典型架构与关键服务部署。压缩包共39个文件大小约307KB以eNSP工程文件为核心包含efz配置、cfg运行配置、topo拓扑、xml设备定义、md说明文档及zip备份包结构清晰便于按需提取。方案评审获得98分高分完整呈现核心层、汇聚层、接入层的协同组网思路源码均已本地编译测试可直接运行适合学生对照复盘设备选型、VLAN规划与路由配置也可作为课程报告和答辩的参考依据。目前已有87人学习下载资源来源于网络分享仅用于学习交流。1. 基于eNSP的校园网络拓扑设计与高分项目源码实现毕设答辩前的最后一道坎每到毕业季网络工程专业的学生都会面对同一个问题老师要一个“大型校园网络拓扑设计与实现”既要有拓扑图又要有完整配置还要能现场演示。于是eNSP就成了绕不开的选择。eNSP是华为的网络仿真平台能在一台电脑里跑起路由器、交换机、防火墙、AC、AP和终端校园网毕设、课程设计和华为认证实操都靠它。这篇文章要讲的就是从零规划一张校园网拓扑到把每台设备的配置写成“高分项目源码”的完整路径。这篇笔记不是泛泛介绍eNSP能做什么而是把“大型校园网络”拆成可落地的几层拓扑怎么分层、地址怎么规划、核心设备跑哪些协议、无线和安全怎么接、最后哪些坑一定会踩。无论你是应届生赶毕设还是刚入职要快速搭一套演示网络照着本文的配置思路走一遍比对着零散教程拼一个通宵要省得多。2. 校园网网络拓扑的三层结构与设备选型先定VLAN和IP再碰eNSP2.1 核心—汇聚—接入每一层的设备该选什么型号大型校园网络拓扑不是把几十台交换机串起来那么简单它必须能回答“故障域在哪”“广播域在哪”“扩展性怎么保证”三个问题。常见做法是三层结构核心层负责高速转发和路由汇总汇聚层按楼宇或区域隔离故障接入层负责终端接入。这样设计的好处是任何一台接入交换机坏了影响的只是那一个楼层或房间不会把整个校园网拖垮。设备选型要控制在eNSP能承载的范围内不要一上来就摆一堆高端框式设备。核心层我用两台华为S5700系列交换机支持三层路由、VRRP、Eth-Trunk和OSPF模拟器中稳定性和性能都够汇聚层用S5700或S3700做VLAN透传和链路汇聚足够接入层统一S3700即可。出口路由器选AR2220模拟运营商侧设备防火墙用USG6000V做安全边界。无线部分用一台AC6605加若干AP4050DN。在eNSP里设备型号不是越高级越好。设备开得越多内存占用越高启动越慢甚至直接报错启动失败。我一般控制全网设备在15台左右核心、汇聚、接入三层各司其职这样既能体现“大型校园网”的复杂度又不会把自己卡死在虚拟化资源的瓶颈上。层次设备型号数量职责核心层S5700 x22全网路由、VRRP网关、出口互联汇聚层S5700/S37003~4楼宇VLAN汇聚、双上行链路接入层S37004~6终端接入、Access端口划分无线控制AC66051CAPWAP管理、SSID下发出口USG6000V AR2220各1安全策略、NAT、模拟ISP服务器区Server x22DHCP/DNS/Web服务2.2 VLAN与IP地址规划把网段写进表格再动手拓扑设计完紧接着就是VLAN和IP地址规划。这一步最容易翻车因为很多人喜欢边配边想结果配到一半发现地址冲突、网关重复最后只能推倒重来。正确流程是先把整张规划表写好再打开eNSP画拓扑。VLAN规划要遵循“按功能区域划分”的原则管理VLAN单独隔离无线业务和AP管理必须分两个VLAN。这是我做过多个校园网项目后的经验无线业务VLAN用于用户上网AP管理VLAN用于AP和AC通信两者混在一起DHCP和Option 43会乱成一锅粥。下表是一个可以抄作业的规划方案区域VLAN ID网段网关VRRP主/备说明设备管理10192.168.10.0/24192.168.10.254核心1/核心2SSH、SNMP管理教学区20192.168.20.0/24192.168.20.254核心2/核心1教学楼终端宿舍A30192.168.30.0/24192.168.30.254核心1/核心2一栋宿舍楼宿舍B40192.168.40.0/24192.168.40.254核心2/核心1二栋宿舍楼食堂50192.168.50.0/24192.168.50.254核心1/核心2消费终端图书馆60192.168.60.0/24192.168.60.254核心2/核心1公共查询区无线访客70192.168.70.0/24192.168.70.254核心2/核心1只允许上外网AP管理170192.168.170.0/24192.168.170.254核心1/核心2无线AP管理地址服务器区100192.168.100.0/24192.168.100.254核心1/核心2DHCP/DNS/Web核心互联20010.0.200.0/30无无两台核心互通链路地址规划有个技巧IP第三位直接取VLAN号比如VLAN 30就用192.168.30.0/24。这样看地址就能反推VLAN排错时少花一半时间。网关地址统一用x.254广播地址x.255服务器、打印机这类固定设备用x.10到x.50的保留段DHCP动态分配从x.100开始。这些约定写进表格后面配置每台设备只需要查表不用现场计算。2.3 链路冗余与防环Eth-Trunk和MSTP怎么配合三层结构定下来后还要处理链路层的冗余和防环。汇聚交换机到两台核心之间各拉一条物理链路组成Eth-Trunk捆绑。这样既能增加带宽又能在一台核心宕机时自动切换到另一台。双核心之间也要有一条第链路用于心跳和流量转发。二层防环用MSTP而不是STP或RSTP。STP会让冗余链路直接阻塞浪费带宽RSTP收敛快但无法按VLAN负载分担。MSTP可以划分多实例让不同VLAN的流量走不同路径。在eNSP里配置MSTP相对简单核心1作为VLAN 10、30、50的根桥核心2作为VLAN 20、40、60的根桥两边都能转发没有阻塞链路。还有一个细节接入交换机连接终端的端口要配置边缘端口edged-port这样终端插上线就能立即通信不用等30秒STP收敛。如果不配PC开机后要等STP计算完才能拿到地址演示时会被老师看在眼里。3. 高分项目源码的核心配置VRRP、Eth-Trunk、OSPF与DHCP中继3.1 核心交换机初始化与Eth-Trunk先把物理链路和VLAN边界立住这一节开始进配置。eNSP里“项目源码”其实就是每台设备的命令行配置把这些命令按设备整理成文件就是最值钱的交付物。核心交换机是全网的中枢先做基础配置和互联接口。# SW-Core-1 核心交换机1基础配置 system-view sysname SW-Core-1 vlan batch 10 20 30 40 50 60 70 100 170 200 # 两台核心之间的互联链路捆绑两根物理口 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 60 70 100 170 200 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 eth-trunk 1这段配置逻辑很清晰先创建全局VLAN再建Eth-Trunk1并把两个物理口绑进去。trunk口放行所有业务VLAN核心互联的VLAN 200也在这条Eth-Trunk里。第二台核心做同样配置区别只在于sysname和接口编号可能不同。配置完可以用display eth-trunk 1查看端口成员和状态两个成员口都应该是Selected状态。这里有个选择问题为什么不直接用两个物理口分别接因为两台核心之间只有一条链路带宽瓶颈和单点故障都存在Eth-Trunk把这些物理口聚合成一个逻辑口既提高带宽又简化了后续VRRP和OSPF配置。3.2 VRRP双网关配置主备优先级和抢占延迟一个都不能少核心交换机的网关冗余靠VRRP实现。每台核心为每个业务VLAN配置一个VLANIF接口再在接口上启用VRRP虚拟网关。两台核心一个主一个备主机故障时备机接管终端无感知。# SW-Core-1 核心交换机1VLAN 30 的VRRP主网关 interface Vlanif30 ip address 192.168.30.2 255.255.255.0 vrrp vrid 30 virtual-ip 192.168.30.254 vrrp vrid 30 priority 120 vrrp vrid 30 preempt-mode timer delay 20 # SW-Core-2 核心交换机2VLAN 30 的VRRP备网关只配低优先级地址 interface Vlanif30 ip address 192.168.30.3 255.255.255.0 vrrp vrid 30 virtual-ip 192.168.30.254 vrrp vrid 30 priority 110VRRP的要点是虚拟IP必须和终端配置的网关一致两台核心的真实IP只是管理地址。优先级决定谁是主120比110高默认抢占开启。抢占延迟20秒很重要——如果主设备刚重启完立刻抢占回主会造成网络抖动让优先级切换稳定下来。我的习惯是奇数VLAN让核心1当主偶数VLAN让核心2当主这样两台核心都有流量在跑不浪费硬件。配置完一定要用display vrrp brief检查状态主备Standby和Master一目了然。3.3 OSPF全网互通router-id的作用和邻居状态排错网关在高可用之后接下来要做路由打通。核心设备之间跑OSPF把业务网段宣告进区域0。这里解释一个常见问题很多人在eNSP里看到配置“router-id 2.2.2.2”以为是某个接口的IP地址其实它是路由器在OSPF域内的身份标识相当于给路由器起的数字名字不占用任何接口。# SW-Core-1 核心交换机1 OSPF配置 ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.200.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.50.0 0.0.0.255 network 192.168.60.0 0.0.0.255 network 192.168.70.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 192.168.170.0 0.0.0.255 # SW-Core-2 核心交换机2 OSPF配置router-id不能相同 ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 10.0.200.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.50.0 0.0.0.255 network 192.168.60.0 0.0.0.255 network 192.168.70.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 192.168.170.0 0.0.0.255OSPF配置最容易翻车的点有三个。第一是忘了宣告互联网段10.0.200.0/30邻居会一直卡在ExStart状态第二是两台设备的router-id重复导致邻居关系反复震荡display ospf peer里看到的状态不停在Full和Down之间跳第三是反掩码写错写成255.255.255.0这种常规掩码OSPF直接不认。配置完先ping对端互联地址通了再看邻居能少走很多弯路。3.4 DHCP中继与接入交换机最后一跳配置决定终端体验业务VLAN有了网关但终端还需要自动获取IP地址。校园网规模大DHCP集中放在服务器区核心交换机做DHCP Relay把客户端的广播请求中继到DHCP服务器。这是比在每台交换机上配置DHCP更专业的做法。# SW-Core-1 核心交换机1开启DHCP中继 dhcp enable interface Vlanif30 dhcp select relay dhcp relay server-ip 192.168.100.10 interface Vlanif40 dhcp select relay dhcp relay server-ip 192.168.100.10接入交换机的配置相对简单核心在于端口VLAN划分和STP边缘端口# SW-Acc-1F 宿舍楼一层接入交换机 vlan batch 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 30 stp edged-port enable接入交换机到汇聚交换机的上行口用trunk放行对应业务VLAN。配置完成后从PC上用ipconfig如果能拿到地址说明中继链路通了。拿不到地址时优先检查DHCP服务器的地址池配置和核心交换机上dhcp relay server-ip是否指向了真正的DHCP服务器——这是最高频的排错方向。4. 从无线到出口ACAP无线网络配置实例、防火墙安全策略与ACL单向访问4.1 ACAP无线网络配置实例CAPWAP隧道、Option 43与SSID下发校园网的无线部分是最能体现“综合实验”含量的模块。AC6605作为无线控制器AP通过CAPWAP协议和AC建立隧道。AP接入到交换机时需要从DHCP获取管理地址并知道AC在哪里这个“AC在哪里”的信息由DHCP的Option 43字段下发。# AC6605 无线控制器配置 sysname AC6605 vlan batch 70 170 # AP管理网关同时作为DHCP服务器给AP下发地址 interface Vlanif170 ip address 192.168.170.254 255.255.255.0 dhcp select interface dhcp server option 43 sub-option 3 ascii 192.168.170.254 # 指定CAPWAP源接口让AP能找到AC capwap source interface vlanif170 # WLAN业务配置 wlan ssid-profile name campus-wifi ssid campus-wifi security-profile name wifi-sec security wpa2 psk pass-phrase campus123 aes vap-profile name student-vap forward-mode tunnel service-vlan vlan-id 70 ssid-profile campus-wifi security-profile wifi-sec ap-group name ap-group1 vap-profile student-vap wlan 1 radio 0 vap-profile student-vap wlan 1 radio 1这段配置要拆开理解VLAN 170是AP的管理VLANAC和AP都在这个网段通信VLAN 70是无线用户业务VLAN用户连上WiFi后得到的IP来自这个网段。用户在隧道模式下流量会被CAPWAP封装送到AC再转发所以VLAN 70的网关在核心交换机上AC要能路由到VLAN 70的网关。配置完成后在AC上执行display ap allState字段是Normal说明AP上线成功Fault则说明AP和AC之间有环节断开。排查顺序是AP能否拿到DHCP地址、Option 43是否正确、AP到AC的路由是否通、trunk口是否放行了VLAN 170。4.2 防火墙USG6000V安全区域划分与安全策略、NAT出口联动防火墙是校园网连接互联网的必经之路。在eNSP里使用USG6000V核心交换机出一个接口接防火墙的trust区域防火墙另一个接口接AR2220模拟的ISP对应untrust区域。安全区域划分后用安全策略控制哪些流量能穿越。# USG6000V 防火墙基础区域配置 firewall zone trust add interface GigabitEthernet1/0/0 firewall zone untrust add interface GigabitEthernet1/0/1 # 安全策略内网可以访问外网 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit # NAT内网访问外网时做地址转换 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet1/0/1 nat outbound 2000NAT出方向用easy-ip直接把防火墙接口的公网地址转换出去适合模拟环境。如果要在防火墙上发布内网Web服务器可以在untrust接口配置NAT Server把公网IP的80端口映射到服务器内网地址。防火墙配置完重点检查安全策略的匹配顺序华为防火墙策略按配置顺序匹配规则越靠前优先级越高。4.3 ACL“配了单向访问不管用”先搞清流量方向和下发位置校园网里有个典型需求访客WiFi只能上网不能访问内网服务器。于是大家都在核心交换机的VLAN 70接口上配置ACL规则写得很正确但测试发现访客还是能访问服务器。这就是被问烂了的“ensp交换机acl单向访问不管用”问题。# SW-Core-1 核心交换机1限制访客VLAN 70访问服务器VLAN 100 acl number 3000 rule 5 deny ip source 192.168.70.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 rule 10 permit ip interface Vlanif70 traffic-filter inbound acl 3000不生效的原因通常是方向搞错。ACL的inbound和outbound是相对接口而言的访客发出的流量从VLAN 70的终端进入VLANIF70接口所以要在interface Vlanif70上应用traffic-filter inbound。如果挂在服务器的VLANIF100接口上就需要用outbound方向很多人挂在VLANIF100的inbound上过滤的是访问服务器的入方向流量方向不对自然不生效。另一个坑是规则顺序。华为ACL按rule编号从小到大匹配匹配到就不再往下执行。如果rule 5 permit ip写在前面后面的deny永远不会被匹配。我写ACL的习惯是deny在前、permit在后编号留出间隔方便插入新规则。配置完用display acl 3000看匹配计数计数在增加说明规则在起作用。5. eNSP综合实验常见问题排查启动报40、CLI卡死、VRRP不切换与无线AP离线5.1 启动路由器时报错40全红设备的虚拟化之殇现象在eNSP中启动AR路由器或交换机设备图标一直红灯过一会儿弹出提示“错误40”设备无法启动。原因eNSP底层依赖VirtualBox设备启动报40绝大多数是虚拟化层面的问题。最典型的是Windows 11开启了Hyper-V或内核隔离抢占了CPU虚拟化指令也可能是VirtualBox版本和eNSP不匹配新版VirtualBox 6.x和eNSP V100R003C00系列兼容性很差。解决先到BIOS确认CPU虚拟化已开启然后在Windows功能里关闭Hyper-V和Windows虚拟机监控程序关闭内核隔离功能卸载VirtualBox换用5.2系列版本最后右键eNSP以管理员身份运行打开“工具→注册设备”重新注册后重启。这三种手段能解决九成以上的报错40。5.2 CLI窗口一直卡在“###”不是设备坏了是没等够现象点击设备图标选择CLI窗口打开后光标停在“####”不再动弹回车也没有反应像是死机。原因eNSP的设备启动是个加载过程“###”表示设备正在启动操作系统这个过程在电脑内存紧张时会持续一两分钟。还有一种情况是开发者同时打开了多个CLI窗口第二个窗口抢占不了Console口。解决先等90秒。如果还没反应关掉所有CLI窗口从设备图标重新打开第一个CLI。不要在设备完全启动前就频繁点CLI窗口开得越多越容易卡死。整个拓扑启动时不要全选所有设备一起开机先启动核心和汇聚交换机再启动接入、终端服务器分批启动反而稳定。5.3 VRRP主备不切换链路断了但网关还在旧设备上现象把核心1的VLAN 30接口shutdownVLAN 30的网关并没有切换到核心2终端断网。原因VRRP默认只检测自身接口状态VLANIF30接口没有downVRRP就认为主设备还活着不会触发切换。核心1的上联链路断了但VLANIF接口依然是UP状态。解决在VRRP配置里加track链路检测跟踪核心1到防火墙或上行核心的物理接口一旦接口down就降低优先级让备机接管# SW-Core-1 核心交换机1VRRP跟踪上行接口 interface Vlanif30 vrrp vrid 30 track interface GigabitEthernet0/0/0 reduced 30这样上行接口故障时VRRP优先级从120降为90备机110自然升主切换时间只要几秒。配置完用display vrrp brief验证核心2的VLAN 30状态应从Standby变成Master。5.4 无线AP一直Not connected先检查Option 43再检查VLAN现象AC上display ap all显示AP状态为Not connectedAP在拓扑中无法使用。原因AP上线要闯三关——获取管理IP、发现AC地址、建立CAPWAP隧道。最常见的问题有三个AP的DHCP范围没配好拿不到地址Option 43下发格式不对AP不知道AC在哪接入交换机trunk口没有放行管理VLAN 170CAPWAP报文被丢弃。解决先在AC上ping AP网段的地址确认三层可达然后在AP接入的交换机上看端口状态确认Access端口划分和trunk放行最后核对DHCP配置里的Option 43字段。eNSP中Option 43要用sub-option 3 ascii加上AC的管理地址写成十六进制容易出错用ASCII最稳。5.5 VLAN 70能访问服务器VLAN 100ACL方向与匹配顺序的连环坑现象按照4.3配置了ACL但访客还能ping通内网服务器规则形同虚设。原因不只是方向问题还可能是ACL下发位置错误。如果网关在核心1ACL却挂在核心2的VLANIF70上主网关根本不经过核心2ACL永远不会被匹配。另外ACL里如果没有rule 10 permit ip默认拒绝后全被丢弃连上外网都会断。解决先用display current-configuration interface Vlanif70确认ACL挂在哪台设备哪个接口再用display acl 3000查看计数计数为0说明流量没走这个接口方向和位置二选一出错。我排查这类问题从来不看理论直接看计数。6. 答辩前再补三块IPv6、QoS与全网验收脚本项目跑通只是及格高分要看你能不能在基础之上多走三步。第一步是IPv6双栈在核心交换机的业务VLAN接口上开启IPv6并配置地址展示校园网具备下一代网络覆盖能力# SW-Core-1 核心交换机1VLAN 30 开启IPv6 interface Vlanif30 ipv6 enable ipv6 address 2001:db8:30::254/64第二步是QoS优先级保障给特定业务打高优先级队列。这个配置对毕业设计来说属于加分展示不需要很复杂的策略核心是体现“你有服务质量控制的意识”。第三步是准备一个验收脚本把全网验证命令集中在一起# 验收脚本按顺序执行全绿就是全网正常 display vrrp brief display ospf peer display ap all display acl 3000 ping -a 192.168.30.254 192.168.100.10 ping -a 192.168.70.254 203.0.113.1答辩演示时我最常做的事是现场shutdown一台核心的上联接口让老师看到VRRP切换过程ping包只丢三四个然后恢复比任何PPT都直观。这个习惯我每次带项目都会用老师的关注点立刻从“方案对不对”转向“实现稳不稳”。另外交付时把每台设备的配置文件单独导出为文本文件名带上设备角色和VLAN信息和地址规划表放同一个目录这是“项目源码”最实在的形态。毕设评阅时老师翻开配置能找到你的命名规范、协议选择和冗余设计分数自然比随手乱配的同学高一档。希望这篇笔记能帮你把eNSP里的校园网从“能通”做成“能讲”答辩顺利。本文还有配套的精品资源点击获取