1. 项目缘起从零到一用ENSP构建一个真实的园区网络最近在带几个新人学习网络技术发现他们看理论头头是道但一碰到实际组网就手忙脚乱。这让我想起自己刚入行那会儿对着命令行界面敲一个简单的VLAN配置都战战兢兢。网络这门手艺光说不练假把式必须得动手搭起来、配通了才能真正理解那些协议和命令背后的逻辑。对于想考取华为认证比如HCIA、HCIP的朋友或者是在校学生、刚入行的网络工程师来说一个能模拟真实环境的实验平台至关重要。华为的eNSPEnterprise Network Simulation Platform就是这样一个“网络工程师的虚拟实验室”。它允许我们在个人电脑上用软件模拟出华为的路由器、交换机、防火墙甚至无线设备然后像搭积木一样把它们连接起来进行各种网络配置和故障排查。今天我就以一个典型的“中小型企业园区网”为蓝本手把手带你走一遍从设备选型、拓扑搭建到业务配置的全过程。这个综合实验会覆盖VLAN划分、三层交换、静态路由、DHCP服务、Telnet远程管理等核心网络技术目标是构建一个结构清晰、功能完备、可管理的小型网络。无论你是为了备考、求职面试还是纯粹想提升实战能力这个实验都能帮你把零散的知识点串联成一张完整的网络。2. 实验环境准备与拓扑设计规划是成功的一半在打开eNSP软件之前我们必须先想清楚要构建一个什么样的网络。盲目动手只会导致配置混乱反复推倒重来。我设计这个综合实验的目标是模拟一个拥有多个部门、需要内部隔离与互访、并能连接互联网的典型公司网络。2.1 网络拓扑与设备选型我设计的拓扑结构如下它层次分明易于理解和扩展核心层使用一台三层交换机如S5700系列模拟设备作为网络的“心脏”负责高速数据交换和不同VLAN间的路由。接入层使用两台二层交换机如S3700系列模拟设备连接终端用户。它们下接各个部门的PC上联到核心三层交换机。出口层使用一台路由器如AR2220系列模拟设备模拟公司的出口网关连接内部网络和外部互联网用Cloud设备模拟公网。终端使用多台PC设备代表不同部门的员工。具体的连接关系是两台接入交换机SW2, SW3分别通过千兆以太网口如GigabitEthernet 0/0/1上联到核心交换机SW1的对应接口。核心交换机SW1通过一个三层路由口如GigabitEthernet 0/0/24连接到路由器R1的内网口如GigabitEthernet 0/0/0。路由器R1的另一个接口如GigabitEthernet 0/0/1连接到Cloud设备模拟连接互联网。注意在eNSP中连线时建议使用“Copper”铜缆连接交换机与交换机、交换机与PC使用“Serial”串口或“Copper”连接路由器与交换机如果做三层路由。串口需要配置时钟频率clock rate更适合模拟广域网链路这里我们用以太网直连即可。2.2 IP地址与VLAN规划清晰的规划是后续配置的蓝图。我们假设公司有三个部门技术部VLAN 10、市场部VLAN 20和财务部VLAN 30。此外还需要一个管理VLANVLAN 99用于远程管理网络设备。部门/用途VLAN ID网段网关地址说明技术部10192.168.10.0/24192.168.10.254接入交换机SW2市场部20192.168.20.0/24192.168.20.254接入交换机SW3财务部30192.168.30.0/24192.168.30.254接入交换机SW3设备管理99192.168.99.0/24192.168.99.254所有交换机管理IP核心-路由互联N/A192.168.100.0/30SW1: 192.168.100.1/30点对点链路R1: 192.168.100.2/30路由器出口N/A模拟公网IP202.100.1.1/24连接Cloud这个规划体现了几个关键思想子网划分便于管理VLAN隔离保障部门间安全管理VLAN将设备管理流量与业务流量分离使用**/30位掩码**用于点对点链路节约地址。2.3 eNSP软件准备与设备添加确保你已从华为官网或可信渠道下载并安装了最新兼容版本的eNSP。首次使用可能需要安装VirtualBox和对应设备包。启动eNSP后从左侧设备区拖拽所需的设备到拓扑区2台S37001台S57001台AR2220若干台PC1个Cloud。按照2.1节的规划使用线缆连接设备。连线后设备指示灯会从红色变为绿色启动后。选中所有设备右键点击“启动”。耐心等待所有设备完全启动命令行界面出现类似“ ”的提示符。踩坑提示eNSP启动设备失败如常见的“错误40”大多与VirtualBox驱动、防火墙拦截或设备镜像文件缺失有关。务必以管理员身份运行eNSP并检查VirtualBox中是否生成了对应的虚拟机网卡。如果问题依旧尝试重新注册设备包或更换VirtualBox版本。3. 接入层与核心层配置构建网络骨干网络配置通常遵循自底向上、从接入到核心的顺序。我们先从最靠近用户的接入层交换机开始。3.1 接入层交换机SW2, SW3基础配置接入层交换机的主要任务是将用户划分到不同的VLAN并上联到核心。以SW2连接技术部为例Huawei system-view //进入系统视图 [Huawei] sysname SW2 //修改设备名称 [SW2] vlan batch 10 99 //批量创建VLAN 10和VLAN 99 // 配置连接PC的接口为Access模式并划入对应VLAN [SW2] interface gigabitethernet 0/0/2 [SW2-GigabitEthernet0/0/2] port link-type access [SW2-GigabitEthernet0/0/2] port default vlan 10 [SW2-GigabitEthernet0/0/2] quit // 配置上联核心交换机的接口为Trunk模式允许所需VLAN通过 [SW2] interface gigabitethernet 0/0/1 [SW2-GigabitEthernet0/0/1] port link-type trunk [SW2-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 99 //只放行必要的VLAN安全最佳实践 [SW2-GigabitEthernet0/0/1] quit // 配置管理VLAN的IP地址并开启远程管理Telnet/SSH——此处先配IP后续详述 [SW2] interface vlanif 99 [SW2-Vlanif99] ip address 192.168.99.2 24 [SW2-Vlanif99] quit [SW2] ip route-static 0.0.0.0 0.0.0.0 192.168.99.254 //配置默认网关指向核心交换机的VLANIF 99SW3的配置类似需要创建VLAN 20, 30, 99并将对应接口划入VLAN 20和30上联Trunk口允许VLAN 20, 30, 99通过并配置管理IP如192.168.99.3/24。为什么Trunk口要明确指定允许的VLAN这是一种安全加固措施。默认情况下有些交换机Trunk口会允许所有VLAN通过这可能导致不必要的广播流量泛洪或安全风险。明确指定allow-pass vlan列表遵循了“最小权限原则”。3.2 核心层交换机SW1配置承上启下的关键核心交换机是网络的枢纽它既要作为接入交换机的汇聚点又要承担不同VLAN间的路由功能。[Huawei] sysname SW1 [SW1] vlan batch 10 20 30 99 //创建所有业务VLAN和管理VLAN // 配置连接接入交换机的接口为Trunk [SW1] interface gigabitethernet 0/0/1 //连接SW2 [SW1-GigabitEthernet0/0/1] port link-type trunk [SW1-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 99 [SW1-GigabitEthernet0/0/1] quit [SW1] interface gigabitethernet 0/0/2 //连接SW3 [SW1-GigabitEthernet0/0/2] port link-type trunk [SW1-GigabitEthernet0/0/2] port trunk allow-pass vlan 20 30 99 [SW1-GigabitEthernet0/0/2] quit // 配置SVI接口VLANIF作为各VLAN的网关 [SW1] interface vlanif 10 [SW1-Vlanif10] ip address 192.168.10.254 24 [SW1-Vlanif10] quit [SW1] interface vlanif 20 [SW1-Vlanif20] ip address 192.168.20.254 24 [SW1-Vlanif20] quit [SW1] interface vlanif 30 [SW1-Vlanif30] ip address 192.168.30.254 24 [SW1-Vlanif30] quit [SW1] interface vlanif 99 [SW1-Vlanif99] ip address 192.168.99.254 24 [SW1-Vlanif99] quit至此技术部、市场部、财务部的PC只要配置了同网段的IP如技术部PC配192.168.10.1/24网关192.168.10.254就应该能ping通自己的网关192.168.10.254。但此时不同VLAN之间还不能通信因为还需要在核心交换机上开启三层路由功能默认已开启并确保路由表正确。3.3 在核心交换机上配置DHCP服务手动为每台PC配置IP地址太麻烦我们可以让核心交换机充当DHCP服务器为各个VLAN自动分配IP地址。[SW1] dhcp enable //全局开启DHCP功能 // 为VLAN 10创建地址池 [SW1] ip pool vlan10_pool [SW1-ip-pool-vlan10_pool] network 192.168.10.0 mask 255.255.255.0 [SW1-ip-pool-vlan10_pool] gateway-list 192.168.10.254 [SW1-ip-pool-vlan10_pool] dns-list 8.8.8.8 114.114.114.114 //配置DNS服务器 [SW1-ip-pool-vlan10_pool] excluded-ip-address 192.168.10.254 //排除网关地址 [SW1-ip-pool-vlan10_pool] lease day 3 //租期3天 [SW1-ip-pool-vlan10_pool] quit // 在VLANIF 10接口上启用DHCP全局地址池模式 [SW1] interface vlanif 10 [SW1-Vlanif10] dhcp select global [SW1-Vlanif10] quit按照同样的方法为VLAN 20和VLAN 30创建地址池vlan20_pool,vlan30_pool并在对应的VLANIF接口上启用dhcp select global。配置完成后将PC的IP地址获取方式改为“DHCP”重启接口在eNSP PC上可执行ipconfig /renew模拟应该就能自动获取到规划网段内的IP地址了。实操心得在真实环境中DHCP服务器有时会部署在独立的服务器或防火墙上。在交换机上配置DHCP适用于中小型网络。务必记得配置dns-list否则终端可能能获取IP但无法解析域名。excluded-ip-address用于保留一些不想被自动分配的地址如网关、服务器地址等。4. 网络出口与路由配置打通内网与外网现在内网已经互通我们需要配置出口路由器让内网用户能够访问互联网模拟并配置路由让内网流量能到达出口。4.1 出口路由器R1基础与接口配置首先配置路由器的基础信息、内网口和外网口。Huawei system-view [Huawei] sysname R1 [R1] interface gigabitethernet 0/0/0 //内网口连接核心交换机 [R1-GigabitEthernet0/0/0] ip address 192.168.100.2 30 //点对点链路用30位掩码 [R1-GigabitEthernet0/0/0] quit [R1] interface gigabitethernet 0/0/1 //外网口连接Cloud互联网 [R1-GigabitEthernet0/0/1] ip address 202.100.1.1 24 //模拟公网IP [R1-GigabitEthernet0/0/1] quit4.2 配置静态路由与默认路由这是实现全网互通的核心。我们需要告诉网络设备去往未知目的地的数据包该往哪里送。在核心交换机SW1上它知道所有内网VLAN的直连路由。但它不知道如何到达互联网以及路由器另一侧可能存在的其他网络。因此需要在SW1上配置一条默认路由将所有非本地流量指向路由器R1的内网口。[SW1] ip route-static 0.0.0.0 0.0.0.0 192.168.100.2这条命令的意思是对于目的地不在本地路由表直连VLAN中的所有IP包0.0.0.0/0下一跳都交给192.168.100.2即R1的G0/0/0接口。在出口路由器R1上它知道直连的192.168.100.0/30和202.100.1.0/24网段。但它不知道如何到达内网的192.168.10.0/24、20.0/24、30.0/24等网段。因此需要在R1上配置一条汇总的静态路由指向核心交换机SW1。[R1] ip route-static 192.168.0.0 16 192.168.100.1这条命令利用了路由汇总192.168.10.0/24, 192.168.20.0/24, 192.168.30.0/24, 192.168.99.0/24 这些网段的前16位192.168是相同的。我们可以用一条192.168.0.0/16的路由条目来概括它们下一跳指向192.168.100.1即SW1的互联接口。这极大地简化了路由表。在接入层交换机SW2/SW3上它们只有管理VLAN的IP和一条指向核心交换机的默认路由我们在3.1节已配置这足以让它们被远程管理无需其他路由。为什么是“默认路由”和“汇总路由”的组合这是一种经典且高效的中小型网络路由设计。核心交换机作为所有内网流量的汇聚点只需一条默认路由指向出口出口路由器也只需一条回程路由指向核心而不必为内网每个子网都写一条路由。这降低了配置复杂度提高了路由效率。4.3 配置NAT实现内网访问互联网内网使用的是私有IP地址192.168.x.x无法在互联网上被路由。为了让内网用户能上网必须在出口路由器上配置网络地址转换NAT将内网私有IP转换为路由器外网口的公网IP202.100.1.1再发送出去。// 1. 创建ACL访问控制列表定义哪些内网地址需要做NAT转换 [R1] acl number 2000 //创建基本ACL 2000 [R1-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255 //允许192.168.0.0/16网段 [R1-acl-basic-2000] quit // 2. 在外网口上配置Easy IP方式的NAT Outbound [R1] interface gigabitethernet 0/0/1 [R1-GigabitEthernet0/0/1] nat outbound 2000 //将ACL 2000匹配的源IP转换为该接口的IP地址 [R1-GigabitEthernet0/0/1] quitnat outbound 2000是一种称为“Easy IP”的配置它非常简便直接使用接口的IP地址作为转换后的公网IP适合动态获取公网IP或只有一个公网IP的场景。配置完成后内网PC如技术部的PC尝试ping路由器外网口对端的地址如果Cloud配置了IP如202.100.1.254应该就能通了。这标志着内网到“互联网”的通道已经打通。踩坑提示NAT配置后内网仍无法上网常见原因有1. ACL规则写错没有覆盖到内网网段2. 路由配置错误内网流量无法到达路由器或路由器回程路由缺失3. 外网接口的NAT绑定错误。排查时可以先用display nat session命令在R1上查看是否有NAT会话生成这是判断NAT是否生效的直接证据。5. 网络管理与安全加固让网络更可控一个可用的网络搭建完成了但一个专业的网络还必须具备可管理性和基本的安全性。5.1 配置Telnet远程登录管理我们不可能每次都去机房连接console线管理设备。配置Telnet或更安全的SSH进行远程管理是必须的。我们在核心交换机SW1上配置让管理员可以从管理VLANVLAN 99的PC登录。[SW1] user-interface vty 0 4 //进入VTY虚拟终端用户界面0-4共5个会话 [SW1-ui-vty0-4] authentication-mode aaa //采用AAA认证方式 [SW1-ui-vty0-4] protocol inbound telnet //允许Telnet协议接入也可选ssh [SW1-ui-vty0-4] quit [SW1] aaa //进入AAA视图 [SW1-aaa] local-user admin password cipher Huawei123 //创建本地用户admin密码加密存储 [SW1-aaa] local-user admin privilege level 15 //赋予最高权限等级15 [SW1-aaa] local-user admin service-type telnet //指定用户服务类型为Telnet [SW1-aaa] quit配置完成后在管理VLAN内的PC上IP地址为192.168.99.x打开CMD或终端使用telnet 192.168.99.254命令输入用户名admin和密码Huawei123即可登录到核心交换机SW1进行管理。同样的配置需要在SW2、SW3和R1上做一遍并分别设置其管理VLAN接口IP为网关192.168.99.254。为什么使用AAA认证而不是简单的password认证AAA认证、授权、计费框架更灵活、更安全。它允许我们创建多个用户并分配不同权限便于审计和管理。privilege level 15是华为设备的最高权限相当于进入system-view的权限。5.2 配置端口安全与DHCP Snooping接入层是网络安全的薄弱环节。我们需要防止非法设备接入和常见的二层攻击。端口安全Port-Security可以将接入交换机的用户端口如连接PC的G0/0/2与特定的MAC地址绑定防止非法主机接入。[SW2] interface gigabitethernet 0/0/2 [SW2-GigabitEthernet0/0/2] port-security enable //开启端口安全 [SW2-GigabitEthernet0/0/2] port-security max-mac-num 1 //最多学习1个MAC地址 [SW2-GigabitEthernet0/0/2] port-security protect-action shutdown //违规后关闭端口 // port-security mac-address sticky //可选粘性学习将当前MAC绑定并保存到配置中 [SW2-GigabitEthernet0/0/2] quitDHCP Snooping防止内网出现伪DHCP服务器。在接入交换机SW2、SW3上配置将连接合法DHCP服务器核心交换机SW1的上联口设置为“信任端口”其他接入端口为非信任端口。[SW2] dhcp enable //全局开启DHCP功能Snooping依赖此功能 [SW2] dhcp snooping enable //全局开启DHCP Snooping [SW2] interface gigabitethernet 0/0/1 //上联口连接SW1 [SW2-GigabitEthernet0/0/1] dhcp snooping trusted //设置为信任端口 [SW2-GigabitEthernet0/0/1] quit // 默认情况下其他端口都是非信任端口会拦截DHCP Offer等服务器响应报文5.3 设备基础安全配置一些基础的安全配置是设备上线的标配// 1. 配置特权密码从用户视图进入系统视图时需要 [SW1] user-interface console 0 [SW1-ui-console0] authentication-mode password [SW1-ui-console0] set authentication password cipher YourConsolePass [SW1-ui-console0] quit // 2. 配置登录标语Banner提供法律警告 [SW1] header login information Warning: Authorized Access Only!\n // 3. 关闭不必要的服务如TCP/UDP小服务减少攻击面 [SW1] undo ip http server //关闭HTTP服务如果不用Web管理 [SW1] undo ip https server //关闭HTTPS服务 [SW1] undo service tcp-small-servers [SW1] undo service udp-small-servers // 4. 设置SSH比Telnet更安全推荐生产环境使用 [SW1] rsa local-key-pair create //生成RSA密钥对 [SW1] user-interface vty 0 4 [SW1-ui-vty0-4] authentication-mode aaa [SW1-ui-vty0-4] protocol inbound ssh //只允许SSH接入 [SW1-ui-vty0-4] quit [SW1] aaa [SW1-aaa] local-user admin service-type ssh //修改用户服务类型为SSH [SW1-aaa] quit [SW1] stelnet server enable //开启STelnet服务器6. 连通性测试与故障排查思路配置完成后必须进行系统性的测试验证网络是否按预期工作。6.1 分层测试法不要一上来就ping外网应该从底层到高层逐层测试物理层与链路层检查eNSP中设备连线是否绿色使用display interface brief查看端口状态是否为“UP”协议是否为“UP”。VLAN内连通性在同一VLAN内的两台PC之间互相ping应该通。这验证了接入层交换机的Access配置和Trunk链路。VLAN间连通性在不同VLAN的PC上ping自己所属VLAN的网关地址如技术部PC ping 192.168.10.254必须通。然后ping另一个VLAN的网关如技术部PC ping 192.168.20.254也应该通。这验证了核心交换机的SVI接口和三层路由功能。内网到出口路由在内网PC上ping出口路由器的内网口地址192.168.100.2应该通。这验证了核心交换机的默认路由和路由器内网口配置。内网到“互联网”在内网PC上ping路由器外网口对端的地址如Cloud的202.100.1.254应该通。这验证了路由器的NAT配置和回程路由。远程管理测试从管理VLAN的PC上分别telnet或SSH到核心交换机192.168.99.254、接入交换机192.168.99.2/3和路由器需为其配置管理IP如192.168.99.1验证管理功能。DHCP测试将PC设为DHCP自动获取重启接口用ipconfig或display ip interface brief查看是否获取到正确网段的IP、网关和DNS。6.2 常用排错命令当ping不通时别慌按顺序使用以下命令定位问题display ip interface brief查看所有接口的IP地址和状态确认接口UP且IP配置正确。display vlan查看VLAN创建情况和端口成员确认PC端口在正确的VLANTrunk口放行了正确的VLAN。display current-configuration interface [接口名]查看指定接口的当前运行配置确认模式Access/Trunk、PVID、允许的VLAN列表。display ip routing-table这是排错的重中之重查看设备的路由表确认是否有到达目的网段的路由条目。例如在SW1上ping 192.168.100.2不通就查看SW1的路由表里有没有默认路由0.0.0.0/0指向192.168.100.2。display nat session在路由器上查看NAT会话表如果内网PC访问外网后这里没有生成会话说明NAT没有生效或流量没有到达路由器。tracert [目标IP]在PC或设备上使用追踪数据包路径看是在哪一跳中断的。6.3 一个典型的排错案例VLAN间不通假设技术部VLAN 10PC无法ping通市场部VLAN 20PC的网关192.168.20.254。检查技术部PCIP地址是否为192.168.10.x/24网关是否为192.168.10.254能ping通自己的网关吗如果能进入下一步。在核心交换机SW1上检查display ip routing-table查看是否有192.168.10.0/24和192.168.20.0/24的直连路由Direct。如果没有VLANIF 20的路由检查interface vlanif 20是否创建且状态为UP。display vlan确认连接SW2和SW3的Trunk口G0/0/1, G0/0/2是否都放行了VLAN 10和20。display arp查看是否有192.168.20.254对应的ARP条目如果没有可能是VLANIF 20接口没起来或者二层链路Trunk不通导致ARP请求无法到达。在接入交换机SW2/SW3上检查确认连接PC的端口模式为Access并划入了正确的VLAN确认上联Trunk口配置正确。通过这样一层一层的排查绝大多数配置错误都能被定位和解决。这个综合实验几乎涵盖了中小型园区网从规划到实施、从业务到管理的所有核心环节。在eNSP中反复练习直到你能在不看文档的情况下独立完成全部配置和排错你对网络的理解将会达到一个新的高度。网络技术的学习就是在这一次次“搭起来、配通、弄断、再修复”的循环中不断深入的。
