看到“ENSP作业2”这个标题我估摸着又是哪位兄弟在华为eNSP模拟器上肝组网实验了。一个“作业2”背后通常意味着老师或教程已经给了你一个基础场景现在要在模拟器里把VLAN、路由、DHCP、ACL、防火墙安全策略这一整套东西串起来。说实话eNSP这个工具本身不难装真正让人头秃的是设备启动报错、路由器一直打井号、防火墙导入配置提示格式错误这些破事。这篇就把我自己做这类综合组网作业的完整思路、配置过程和踩坑记录都摊开来讲适合正在啃华为设备命令、或者马上要交网络实验报告的同学直接参考。1. 作业场景拆解与整体设计思路1.1 这个“作业2”到底在练什么网络工程课程里作业1通常是简单的二层交换比如划分VLAN、配个Trunk就完事了。到了“作业2”老师默认你已经会基础操作于是会把难度往上提要么加入三层路由、要么引入DHCP自动分配地址狠一点的可能还要你配ACL做访问控制、甚至拉一台防火墙进来做安全域隔离。我这次拿到的需求是模拟一个中小型办公园区网络分为业务部、技术部和访客区三类用户要求各部门之间默认互通但访客区只能访问外网不能访问内部服务器核心设备做冗余出口连运营商线路内网使用私有地址通过出口设备做NAT上网。整套拓扑里有交换机、路由器、AC控制器和AP还要预留一个服务器区域用于对外发布Web服务。这种题的套路其实很固定。先别急着敲命令把地址规划表画出来把VLAN编号定死把谁做网关、谁跑路由协议想清楚。很多同学在eNSP里越配越乱根本不是命令不熟而是拓扑图里设备一堆每台设备的角色没搞清楚就开始操作。一个合格的习惯是动手之前先在纸上或者用笔记软件把这四个问题回答清楚——每个VLAN的网段和网关是多少哪些接口划分到哪个VLAN哪几台设备之间跑OSPF或静态路由防火墙部署在哪个位置以及它的安全域怎么划分。1.2 拓扑规划与地址分配我用的设备型号都是eNSP里自带的老三样AR2220做出口路由器S5700做接入和核心交换USG6000v做防火墙AC6005做无线控制器AP用AP2050DN。为什么选这些型号倒不是性能多强主要是eNSP里这些镜像最稳定能兼容的配置命令最全。有些型号开起来CPU占用特别高或者某些命令敲进去不支持最后你会发现设备型号选对了能少踩一半的坑。地址规划我按以下原则做区域VLAN网段网关说明业务部VLAN 10192.168.10.0/24192.168.10.254内网用户技术部VLAN 20192.168.20.0/24192.168.20.254内网用户访客区VLAN 30192.168.30.0/24192.168.30.254仅允许上网服务器区VLAN 40192.168.40.0/24192.168.40.254内网服务器无线管理VLAN 100192.168.100.0/24192.168.100.254AP与AC之间通信互联地址-10.0.12.0/30-核心与防火墙之间网关我统一放在核心交换机或防火墙上而不是放在接入交换机上。这样接入层可以做得非常“傻”只负责透传VLAN配置少、出问题的概率低也符合实际网络中三层到核心的设计原则。像业务部、技术部、访客区这种用户网段默认网关都指向核心交换机的VLANIF接口服务器区的网关放在防火墙后面方便安全策略控制访问方向。1.3 eNSP软件选型与安装的冷知识既然热搜词里一堆“ensp下载”、“ensp安装”、“ensp pro离线版”我顺手多说一嘴软件选型。老版本的eNSP V100R003C00SPC100在Win10/Win11上装起来容易出问题最常见的就是安装后启动不了设备或丢包严重。个人建议优先找V100R003C00SPC100后续的配套补丁或者直接用新版eNSP有时叫eNSP Pro它对新系统兼容性会好一些。还有一点很多人不知道eNSP必须装WinPcap或npcap并且要把依赖的VirtualBox版本跟eNSP自带版本对齐否则启动设备时会报“启动设备AR1失败40”。我见过太多同学装完eNSP一启动路由器就报错来来回回卸载重装好几次最后发现是VirtualBox没卸载干净或者版本冲突。另一个容易忽视的点是防火墙或者杀毒软件会把eNSP的虚拟网卡、进程给拦了表现就是设备能启动但抓包抓不到、两台设备之间ping不通。遇到这种问题先把Windows Defender的防火墙临时关掉试试或者给eNSP和VirtualBox添加信任。2. 基础配置实操从零开始搭起一台能用的二层网络2.1 交换机命名与VLAN规划的规范操作在eNSP里敲命令的时候最忌边想边敲每台设备上去都不知道自己是谁。我习惯先把设备名字改掉让拓扑图和命令行窗口一一对应。比如核心交换机叫SW-Core接入交换机叫SW-Acc。sys sysname SW-Core vlan batch 10 20 30 40 100vlan batch可以一次创建多个VLAN不用一个个去敲。对于工程师来说VLAN编号要有含义10是业务部、20是技术部、30是访客、40是服务器、100是管理这种编号规则在实际项目里也是通用的别人一看你配置就知道这个网段是干什么用的。接入交换机上我提前建好对应的VLAN然后接口划分进去。以业务部接入交换机为例sys sysname SW-Acc-1 vlan batch 10 20 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 10通常我会把连接PC的接口设置成access模式这样PC完全感知不到VLAN的存在连接上联接口设置成trunk模式允许对应VLAN的流量通过。2.2 Trunk封装与Allowed VLAN的细节接入交换机连接核心交换机的上联口必须做Trunk。这里有个eNSP里特别容易踩的坑华为设备的Trunk默认只放行VLAN 1你必须在接口下敲port trunk allow-pass vlan all或者明确指定VLAN列表否则即便两边VLAN都建好了PC之间也无法跨交换机通信。interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all undo port trunk allow-pass vlan 1很多学生做完二层实验在接入交换机下ping不通网关十有八九就是Trunk口没放行VLAN。这里我顺带提醒一句在实际企业网络中虽然allow-pass vlan all很方便但出于安全考虑通常只放行必要的VLAN不能让旁路交换机随便把未授权的VLAN透传上来。2.3 核心交换机层面的配置VLANIF与DHCP核心交换机是整个内网的枢纽每个VLAN都要在核心上建一个三层接口也就是VLANIF口。VLANIF的IP地址就是该网段用户的网关。interface Vlanif10 ip address 192.168.10.254 24把10、20、30、40、100的VLANIF全部配完后核心就已经具备了三层转发能力。接下来为了让PC插上线就能上网不用手动配IP我在核心上启用DHCP服务dhcp enable ip pool vlan10 gateway-list 192.168.10.254 network 192.168.10.0 mask 255.255.255.0 dns-list 114.114.114.114 8.8.8.8然后在对应VLANIF接口下执行dhcp select global。这里注意访客区VLAN 30的地址池我特意没配DNS或者说把DNS指到出口网关为的是后续ACL做限制时行为更可控。在eNSP里做完DHCP配置后PC机点击命令行窗口的“PC”图标在DHCP配置里选择“自动获取”就能看到获取到的IP地址了。3. 路由与冗余设计让网络断了一台设备也能跑3.1 为什么这个“作业2”里我坚持用OSPF作业到了二层以上网络里至少会有三四台路由器或者三层交换机。如果每台设备之间都用静态路由撸一遍配置量不大但后续改IP或者新增网段时你会想哭。OSPF作为最常用的动态路由协议能自动学习路由、自动收敛在eNSP里敲起来也不复杂。核心交换机和出口路由器、防火墙之间我全部跑OSPF区域内宣告自己直连的网段。比如核心交换机上ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 10.0.12.0 0.0.0.3OSPF配置里最容易出问题的是“Network反掩码”写错。很多人习惯写成255.255.255.0在OSPF进程视图下执行命令就会报错。华为的反掩码规则是0代表严格匹配255代表不关心。声明网段时直接把子网掩码取反就行比如24位掩码的反掩码就是0.0.0.255。3.2 双核心加VRRP网关高可用的经典玩法很多“作业2”不会要求双核心但如果你能把VRRP加上作业档次直接上一个台阶。我这次就是两台核心交换机一主一备通过一条Eth-Trunk链路互联同时对VLAN 10、20、30等用户网段各自提供一个虚拟网关。VRRP的原理说白了就是一帮路由器竞选一个“老大”老大负责响应PC发来的网关ARP请求如果老大挂了老二自动顶上PC完全无感知。核心一上配置如下interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 10核心二上把priority改低一些比如100或者干脆保持默认。关键点是要保证两台交换机上VLANIF 10的IP地址不同但虚拟IP相同。PC的网关填虚拟IP不管哪台物理设备故障网关始终可用。3.3 出口链路备份浮动静态路由的妙用在作业里如果配的是单台出口路由器又想体现一点儿冗余思想可以用浮动静态路由做备份链路。思路是内网默认路由指向防火墙A链路优先级高如果A挂了自动切换走防火墙B。例如ip route-static 0.0.0.0 0.0.0.0 10.0.12.2 preference 60另一条备用路由的preference调大比如70数字越大优先级越低。这样平时走主链路主链路断掉后备用路由被激活。这种方案配置量小、逻辑简单容易被老师一眼看出你理解了“路由优先级”这个概念比写一堆复杂策略管用得多。4. 安全与业务下发ACL、NAT、防火墙和WiFi一次讲清4.1 用ACL限制访客访问内网服务器“访客区只能上网不能访问内部服务器”这个需求放在真实场景里就是给访客WiFi做隔离。在核心交换机或防火墙上写ACL就能搞定。我最常用的是在核心的VLANIF 30入方向上做过滤acl number 3001 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.40.0 0.0.0.255 rule 10 permit ip然后到VLANIF 30接口视图下执行traffic-filter inbound acl 3001。注意ACL的匹配顺序是自上而下deny语句要放在permit前面不然permit ip把流量全放过去了后写的那条deny根本没有执行机会。这里有一个很典型的易错操作在接口应用ACL时方向和网段容易搞混。访客区的流量从接入层进来进入核心交换机VLANIF 30的入方向所以是inbound如果你在VLANIF 40上配outbound也能实现类似效果但影响范围可能变大容易误伤正常访问。4.2 NAT实现内网访问互联网出口路由器或者防火墙上做NAT是整个实验里必不可少的模块。eNSP里最简单的方式是Easy IP直接借用出接口的公网地址做转换acl number 2001 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet0/0/0 nat outbound 2001意思是匹配ACL 2001的内网流量从GigabitEthernet0/0/0出去时自动把源IP转换成这个接口的公网IP。如果你用的防火墙还需要额外注意安全策略以及NAT策略的配置位置通常NAT策略只对untrust方向的流量生效。如果你在eNSP里做的是防火墙USG6000的Web登录实验那需要注意防火墙默认管理口是GE0/0/0地址是192.168.0.1/24。你要把电脑的网卡IP手动改成192.168.0.0/24网段例如192.168.0.10才能在浏览器里访问https://192.168.0.1。不过eNSP里默认的USG6000Web界面老是需要导入镜像很多人一导入就报“格式错误”这个问题我放到后面排查部分细讲。4.3 防火墙安全域划分与策略配置防火墙和交换机最大的区别是“默认拒绝”。华为USG6000v默认没有允许任何域间流量你光配好IP不通是正常的。常用的安全域有trust内网、dmz服务器、untrust外网。我的策略设计trust → untrust内网用户上网放行。trust → dmz内网用户访问服务器放行。untrust → dmz外部用户访问Web服务器放行指定端口。untrust → trust默认全部拒绝。在eNSP的防火墙CLI下域间策略用下面的命令firewall zone trust add interface GigabitEthernet1/0/0 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit关键是搞清楚流量是从哪个zone到哪个zone别把进出方向写反。很多同学在eNSP里配完防火墙CLI模式一切正常Web登录却发现页面打不开十有八九是忘放行HTTPS服务或者没把Web管理接口加入local域。USG6000上你得确保这类的管理流量在local和trust之间被允许否则浏览器根本连不上。4.4 无线网络配置实例AC加AP做漫游热搜里有个“ensp无线网络配置实例”正好这次作业里有这个模块。eNSP里的无线网络通常需要模拟AC和APAP通过CAPWAP协议自动寻找AC并下载配置。配置无线网络分三层第一层AC的基础配置。给AC配上管理IP并放行VLAN 100vlan batch 100 interface Vlanif100 ip address 192.168.100.254 24 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan all capwap source interface vlanif100 wlan ac source interface vlanif100第二层AP上线。eNSP里面AP有两种方式一种直接拖一台AP2050DN连线AC另一种是用AP的映射接口模拟。配置AP域、AP组和SSID模板wlan ap-group name ap-group1 regulatory-domain CN ssid-profile name guest_wifi ssid guest-wifi security-profile name guest_wifi security wpa2 psk pass-phrase 12345678 vap-profile name guest_vap forward-mode tunnel service-vlan vlan-id 30 ssid-profile guest_wifi security-profile guest_wifi ap-id 0 type-id 45 mac 00e0-fc12-3456 ap-group ap-group1第三层检查AP状态。在AC上敲display ap all如果AP的State是“nor”说明AP还没找到AC显示“run”并带有IP地址说明AP已经上线。这个过程中AP要能从DHCP服务器获取到管理地址因此VLAN 100的地址池必须可用且交换机Trunk必须放行VLAN 100。这里补充一句访客WiFi的流量虽然走的是VLAN 30但如果想把访客流量隔离出用户网络AC上必须把转发模式设置正确否则数据和管理的混合流量在交换机上很容易绕晕。简单的作业场景下用tunnel模式最省心所有数据流量都通过CAPWAP隧道走到AC再由AC根据VLAN去路由。4.5 通过STelnet管理设备比Telnet安全得多不少作业要求“配置交换机支持远程管理”现在如果还写Telnet老师基本会扣分。华为设备上更推荐的写法是SSH也就是STelnet。配置过程比Telnet多几步但逻辑很清楚rsa local-key-pair create stelnet server enable aaa local-user admin password cipher Admin123 local-user admin service-type ssh local-user admin privilege level 15 ssh user admin authentication-type password user-interface vty 0 4 authentication-mode aaa protocol inbound ssh远程管理地址通常用VLAN 100的管理网段。最终你可以在另一台PC上用命令行stelnet 192.168.100.254登录。注意SSH登录用的账号是AAA里创建的账号不是系统默认的admin如果提示认证失败先检查是service-type是否配成ssh以及密码策略是否满足要求。5. 常见问题与排查技巧实录5.1 启动AR失败4090%是VirtualBox问题“ensp启动设备ar1失败40”这个报错在热搜里出现频率很高基本属于装机老问题。报错40的原因通常是VirtualBox服务异常或者vbox虚拟网卡没有工作。我建议按这个顺序来排关闭所有eNSP实例退出eNSP和VirtualBox。在Windows服务中重启VirtualBox相关的服务VBoxSDS、VirtualBox NAT Service之类。打开VirtualBox在全局设定里的“网络”查看是否能够创建新网卡如果虚拟网卡列表是空的卸载VirtualBox重新安装装完后重启电脑。重新打开eNSP拖一台路由器出来启动。如果反复重启都不行最后的大招是把eNSP和VirtualBox都卸载干净手动删除C盘里的.VirtualBox目录和eNSP安装目录再重装一次。千万别嫌麻烦这一步能解决绝大多数莫名其妙的启动失败。5.2 路由器启动后一直显示井号等它一会儿很多同学第一次用eNSP会看到AR路由器启动后命令行窗口满屏都是#####################以为卡死了。其实这只是设备正在加载系统底下的进度条看上去太朴素而已。正常情况下等30秒到几分钟路由器就会进入控制台界面显示Huawei提示符。如果你等了很久还在刷井号说明设备的运行内存分配太低。右键设备选择“设置”把内存和CPU配额调高一些。AR2220一般给到512MB内存不过分VirtualBox本身也要保证能分配到足够资源。如果电脑本身内存只有8G还同时开多台设备就建议少开几台设备资源占用太满也会导致设备起不来。5.3 防火墙导入镜像提示“格式错误”“ensp 导入防火墙 报 格式错误”这个问题我猜很多人遇到的是USG6000v的镜像导入方式不对。eNSP里防火墙和其他设备不太一样USG6000v的镜像不是简单的拖拽设备就能用的需要在版本管理里单独导入。步骤是菜单栏“工具” - “设备管理” - “防火墙镜像”选择对应版本的.vfd文件进行导入。如果导入时提示格式错误先确认下载的镜像对应eNSP版本是否匹配。USG6000v有不同版本的镜像文件V100R003版本配套的不一定能通用于后续版本。另外在导入前别开着防火墙实例要先关掉所有正在运行的防火墙设备不然文件被占用也会导致导入失败。5.4 命令行清空与刷屏的小技巧eNSP的命令行窗口默认一堆日志刷刷往上滚想整理界面时用reset saved-configuration可以清空启动配置但只适合重置设备不适合正在通信的网络。如果你只是想让命令行窗口干净一点可以用screen-length 0 temporary关闭分屏显示或者直接在窗口里CtrlL清屏部分版本支持。更多时候你想删掉某条敲错的命令华为设备不支持直接“撤销回车”但是可以用undo命令比如undo ip address就是删除接口IP。早期版本也支持用CtrlZ退回用户视图这是我最常用的快捷方式。5.5 为什么防火墙Web登录不进去“ensp配置防火墙web登录”这个问题不仅牵扯到安全策略还牵扯到eNSP对摄像头、USB等外部设备的虚拟化支持。正常情况下USG6000v默认开启HTTPS管理地址是192.168.0.1你只需要把电脑网卡IP改成192.168.0.10浏览器输入https://192.168.0.1就行。打不开时按下面的顺序检查防火墙安全策略是否放行了local域到trust域的方向。如果Web管理接口划在trust域你得写一条rule name local_to_trust source-zone local destination-zone trust action permit。检查浏览器是否拦截了自签名证书建议点击“继续访问”而不是直接放弃。检查本机是否安装过多个版本的VirtualBox导致虚拟网卡冲突。用display ip interface brief确认防火墙的GE0/0/0地址是192.168.0.1并且端口为up状态。5.6 其他几个热搜问题的速查报错或需求处理要点一直井号等待或调大设备内存若长时间不结束检查VirtualBox服务启动AR失败40重置VirtualBox依赖重装eNSP并重启清空命令行窗口CtrlL临时清屏screen-length 0 temporary关分屏进入虚拟接口在接口视图下执行interface Vlanif10注意VLANIF接口必须已有对应VLAN无线AC不发现AP检查AP是否拿到管理地址、CAPWAP源接口是否配置、Trunk是否放行管理VLAN交换机SSH登录不上查看AAA账号是否启用ssh服务、VTY下protocol是否改成ssh6. 一点自己的总结做eNSP作业比跑通更重要的是一次跑通。我把这几次配置整理完发现绝大多数问题都出在基础细节上——VLAN忘放行、ACL顺序颠倒、防火墙域没放通。真正复杂的路由选路和VRRP逻辑反而不容易出错。最后分享两个小技巧。第一个做实验前把拓扑图和地址规划表截图存到本地配完一台设备就划掉一项避免漏配。第二个把常用命令写成片段放在笔记里下次做新实验直接复制修改能省大量敲键盘的时间。毕竟eNSP不是考试软件而是帮你熟悉设备行为的模拟器你要的不是背命令而是理解数据包在真实网络里怎么流转。 
长河君 · 2026/9/13 15:38:31 · 阅读 1.2k 华为eNSP综合组网实战：从VLAN划分到防火墙策略的全流程配置与排错
看到“ENSP作业2”这个标题我估摸着又是哪位兄弟在华为eNSP模拟器上肝组网实验了。一个“作业2”背后通常意味着老师或教程已经给了你一个基础场景现在要在模拟器里把VLAN、路由、DHCP、ACL、防火墙安全策略这一整套东西串起来。说实话eNSP这个工具本身不难装真正让人头秃的是设备启动报错、路由器一直打井号、防火墙导入配置提示格式错误这些破事。这篇就把我自己做这类综合组网作业的完整思路、配置过程和踩坑记录都摊开来讲适合正在啃华为设备命令、或者马上要交网络实验报告的同学直接参考。1. 作业场景拆解与整体设计思路1.1 这个“作业2”到底在练什么网络工程课程里作业1通常是简单的二层交换比如划分VLAN、配个Trunk就完事了。到了“作业2”老师默认你已经会基础操作于是会把难度往上提要么加入三层路由、要么引入DHCP自动分配地址狠一点的可能还要你配ACL做访问控制、甚至拉一台防火墙进来做安全域隔离。我这次拿到的需求是模拟一个中小型办公园区网络分为业务部、技术部和访客区三类用户要求各部门之间默认互通但访客区只能访问外网不能访问内部服务器核心设备做冗余出口连运营商线路内网使用私有地址通过出口设备做NAT上网。整套拓扑里有交换机、路由器、AC控制器和AP还要预留一个服务器区域用于对外发布Web服务。这种题的套路其实很固定。先别急着敲命令把地址规划表画出来把VLAN编号定死把谁做网关、谁跑路由协议想清楚。很多同学在eNSP里越配越乱根本不是命令不熟而是拓扑图里设备一堆每台设备的角色没搞清楚就开始操作。一个合格的习惯是动手之前先在纸上或者用笔记软件把这四个问题回答清楚——每个VLAN的网段和网关是多少哪些接口划分到哪个VLAN哪几台设备之间跑OSPF或静态路由防火墙部署在哪个位置以及它的安全域怎么划分。1.2 拓扑规划与地址分配我用的设备型号都是eNSP里自带的老三样AR2220做出口路由器S5700做接入和核心交换USG6000v做防火墙AC6005做无线控制器AP用AP2050DN。为什么选这些型号倒不是性能多强主要是eNSP里这些镜像最稳定能兼容的配置命令最全。有些型号开起来CPU占用特别高或者某些命令敲进去不支持最后你会发现设备型号选对了能少踩一半的坑。地址规划我按以下原则做区域VLAN网段网关说明业务部VLAN 10192.168.10.0/24192.168.10.254内网用户技术部VLAN 20192.168.20.0/24192.168.20.254内网用户访客区VLAN 30192.168.30.0/24192.168.30.254仅允许上网服务器区VLAN 40192.168.40.0/24192.168.40.254内网服务器无线管理VLAN 100192.168.100.0/24192.168.100.254AP与AC之间通信互联地址-10.0.12.0/30-核心与防火墙之间网关我统一放在核心交换机或防火墙上而不是放在接入交换机上。这样接入层可以做得非常“傻”只负责透传VLAN配置少、出问题的概率低也符合实际网络中三层到核心的设计原则。像业务部、技术部、访客区这种用户网段默认网关都指向核心交换机的VLANIF接口服务器区的网关放在防火墙后面方便安全策略控制访问方向。1.3 eNSP软件选型与安装的冷知识既然热搜词里一堆“ensp下载”、“ensp安装”、“ensp pro离线版”我顺手多说一嘴软件选型。老版本的eNSP V100R003C00SPC100在Win10/Win11上装起来容易出问题最常见的就是安装后启动不了设备或丢包严重。个人建议优先找V100R003C00SPC100后续的配套补丁或者直接用新版eNSP有时叫eNSP Pro它对新系统兼容性会好一些。还有一点很多人不知道eNSP必须装WinPcap或npcap并且要把依赖的VirtualBox版本跟eNSP自带版本对齐否则启动设备时会报“启动设备AR1失败40”。我见过太多同学装完eNSP一启动路由器就报错来来回回卸载重装好几次最后发现是VirtualBox没卸载干净或者版本冲突。另一个容易忽视的点是防火墙或者杀毒软件会把eNSP的虚拟网卡、进程给拦了表现就是设备能启动但抓包抓不到、两台设备之间ping不通。遇到这种问题先把Windows Defender的防火墙临时关掉试试或者给eNSP和VirtualBox添加信任。2. 基础配置实操从零开始搭起一台能用的二层网络2.1 交换机命名与VLAN规划的规范操作在eNSP里敲命令的时候最忌边想边敲每台设备上去都不知道自己是谁。我习惯先把设备名字改掉让拓扑图和命令行窗口一一对应。比如核心交换机叫SW-Core接入交换机叫SW-Acc。sys sysname SW-Core vlan batch 10 20 30 40 100vlan batch可以一次创建多个VLAN不用一个个去敲。对于工程师来说VLAN编号要有含义10是业务部、20是技术部、30是访客、40是服务器、100是管理这种编号规则在实际项目里也是通用的别人一看你配置就知道这个网段是干什么用的。接入交换机上我提前建好对应的VLAN然后接口划分进去。以业务部接入交换机为例sys sysname SW-Acc-1 vlan batch 10 20 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 10通常我会把连接PC的接口设置成access模式这样PC完全感知不到VLAN的存在连接上联接口设置成trunk模式允许对应VLAN的流量通过。2.2 Trunk封装与Allowed VLAN的细节接入交换机连接核心交换机的上联口必须做Trunk。这里有个eNSP里特别容易踩的坑华为设备的Trunk默认只放行VLAN 1你必须在接口下敲port trunk allow-pass vlan all或者明确指定VLAN列表否则即便两边VLAN都建好了PC之间也无法跨交换机通信。interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all undo port trunk allow-pass vlan 1很多学生做完二层实验在接入交换机下ping不通网关十有八九就是Trunk口没放行VLAN。这里我顺带提醒一句在实际企业网络中虽然allow-pass vlan all很方便但出于安全考虑通常只放行必要的VLAN不能让旁路交换机随便把未授权的VLAN透传上来。2.3 核心交换机层面的配置VLANIF与DHCP核心交换机是整个内网的枢纽每个VLAN都要在核心上建一个三层接口也就是VLANIF口。VLANIF的IP地址就是该网段用户的网关。interface Vlanif10 ip address 192.168.10.254 24把10、20、30、40、100的VLANIF全部配完后核心就已经具备了三层转发能力。接下来为了让PC插上线就能上网不用手动配IP我在核心上启用DHCP服务dhcp enable ip pool vlan10 gateway-list 192.168.10.254 network 192.168.10.0 mask 255.255.255.0 dns-list 114.114.114.114 8.8.8.8然后在对应VLANIF接口下执行dhcp select global。这里注意访客区VLAN 30的地址池我特意没配DNS或者说把DNS指到出口网关为的是后续ACL做限制时行为更可控。在eNSP里做完DHCP配置后PC机点击命令行窗口的“PC”图标在DHCP配置里选择“自动获取”就能看到获取到的IP地址了。3. 路由与冗余设计让网络断了一台设备也能跑3.1 为什么这个“作业2”里我坚持用OSPF作业到了二层以上网络里至少会有三四台路由器或者三层交换机。如果每台设备之间都用静态路由撸一遍配置量不大但后续改IP或者新增网段时你会想哭。OSPF作为最常用的动态路由协议能自动学习路由、自动收敛在eNSP里敲起来也不复杂。核心交换机和出口路由器、防火墙之间我全部跑OSPF区域内宣告自己直连的网段。比如核心交换机上ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.100.0 0.0.0.255 network 10.0.12.0 0.0.0.3OSPF配置里最容易出问题的是“Network反掩码”写错。很多人习惯写成255.255.255.0在OSPF进程视图下执行命令就会报错。华为的反掩码规则是0代表严格匹配255代表不关心。声明网段时直接把子网掩码取反就行比如24位掩码的反掩码就是0.0.0.255。3.2 双核心加VRRP网关高可用的经典玩法很多“作业2”不会要求双核心但如果你能把VRRP加上作业档次直接上一个台阶。我这次就是两台核心交换机一主一备通过一条Eth-Trunk链路互联同时对VLAN 10、20、30等用户网段各自提供一个虚拟网关。VRRP的原理说白了就是一帮路由器竞选一个“老大”老大负责响应PC发来的网关ARP请求如果老大挂了老二自动顶上PC完全无感知。核心一上配置如下interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 10核心二上把priority改低一些比如100或者干脆保持默认。关键点是要保证两台交换机上VLANIF 10的IP地址不同但虚拟IP相同。PC的网关填虚拟IP不管哪台物理设备故障网关始终可用。3.3 出口链路备份浮动静态路由的妙用在作业里如果配的是单台出口路由器又想体现一点儿冗余思想可以用浮动静态路由做备份链路。思路是内网默认路由指向防火墙A链路优先级高如果A挂了自动切换走防火墙B。例如ip route-static 0.0.0.0 0.0.0.0 10.0.12.2 preference 60另一条备用路由的preference调大比如70数字越大优先级越低。这样平时走主链路主链路断掉后备用路由被激活。这种方案配置量小、逻辑简单容易被老师一眼看出你理解了“路由优先级”这个概念比写一堆复杂策略管用得多。4. 安全与业务下发ACL、NAT、防火墙和WiFi一次讲清4.1 用ACL限制访客访问内网服务器“访客区只能上网不能访问内部服务器”这个需求放在真实场景里就是给访客WiFi做隔离。在核心交换机或防火墙上写ACL就能搞定。我最常用的是在核心的VLANIF 30入方向上做过滤acl number 3001 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.40.0 0.0.0.255 rule 10 permit ip然后到VLANIF 30接口视图下执行traffic-filter inbound acl 3001。注意ACL的匹配顺序是自上而下deny语句要放在permit前面不然permit ip把流量全放过去了后写的那条deny根本没有执行机会。这里有一个很典型的易错操作在接口应用ACL时方向和网段容易搞混。访客区的流量从接入层进来进入核心交换机VLANIF 30的入方向所以是inbound如果你在VLANIF 40上配outbound也能实现类似效果但影响范围可能变大容易误伤正常访问。4.2 NAT实现内网访问互联网出口路由器或者防火墙上做NAT是整个实验里必不可少的模块。eNSP里最简单的方式是Easy IP直接借用出接口的公网地址做转换acl number 2001 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet0/0/0 nat outbound 2001意思是匹配ACL 2001的内网流量从GigabitEthernet0/0/0出去时自动把源IP转换成这个接口的公网IP。如果你用的防火墙还需要额外注意安全策略以及NAT策略的配置位置通常NAT策略只对untrust方向的流量生效。如果你在eNSP里做的是防火墙USG6000的Web登录实验那需要注意防火墙默认管理口是GE0/0/0地址是192.168.0.1/24。你要把电脑的网卡IP手动改成192.168.0.0/24网段例如192.168.0.10才能在浏览器里访问https://192.168.0.1。不过eNSP里默认的USG6000Web界面老是需要导入镜像很多人一导入就报“格式错误”这个问题我放到后面排查部分细讲。4.3 防火墙安全域划分与策略配置防火墙和交换机最大的区别是“默认拒绝”。华为USG6000v默认没有允许任何域间流量你光配好IP不通是正常的。常用的安全域有trust内网、dmz服务器、untrust外网。我的策略设计trust → untrust内网用户上网放行。trust → dmz内网用户访问服务器放行。untrust → dmz外部用户访问Web服务器放行指定端口。untrust → trust默认全部拒绝。在eNSP的防火墙CLI下域间策略用下面的命令firewall zone trust add interface GigabitEthernet1/0/0 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit关键是搞清楚流量是从哪个zone到哪个zone别把进出方向写反。很多同学在eNSP里配完防火墙CLI模式一切正常Web登录却发现页面打不开十有八九是忘放行HTTPS服务或者没把Web管理接口加入local域。USG6000上你得确保这类的管理流量在local和trust之间被允许否则浏览器根本连不上。4.4 无线网络配置实例AC加AP做漫游热搜里有个“ensp无线网络配置实例”正好这次作业里有这个模块。eNSP里的无线网络通常需要模拟AC和APAP通过CAPWAP协议自动寻找AC并下载配置。配置无线网络分三层第一层AC的基础配置。给AC配上管理IP并放行VLAN 100vlan batch 100 interface Vlanif100 ip address 192.168.100.254 24 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan all capwap source interface vlanif100 wlan ac source interface vlanif100第二层AP上线。eNSP里面AP有两种方式一种直接拖一台AP2050DN连线AC另一种是用AP的映射接口模拟。配置AP域、AP组和SSID模板wlan ap-group name ap-group1 regulatory-domain CN ssid-profile name guest_wifi ssid guest-wifi security-profile name guest_wifi security wpa2 psk pass-phrase 12345678 vap-profile name guest_vap forward-mode tunnel service-vlan vlan-id 30 ssid-profile guest_wifi security-profile guest_wifi ap-id 0 type-id 45 mac 00e0-fc12-3456 ap-group ap-group1第三层检查AP状态。在AC上敲display ap all如果AP的State是“nor”说明AP还没找到AC显示“run”并带有IP地址说明AP已经上线。这个过程中AP要能从DHCP服务器获取到管理地址因此VLAN 100的地址池必须可用且交换机Trunk必须放行VLAN 100。这里补充一句访客WiFi的流量虽然走的是VLAN 30但如果想把访客流量隔离出用户网络AC上必须把转发模式设置正确否则数据和管理的混合流量在交换机上很容易绕晕。简单的作业场景下用tunnel模式最省心所有数据流量都通过CAPWAP隧道走到AC再由AC根据VLAN去路由。4.5 通过STelnet管理设备比Telnet安全得多不少作业要求“配置交换机支持远程管理”现在如果还写Telnet老师基本会扣分。华为设备上更推荐的写法是SSH也就是STelnet。配置过程比Telnet多几步但逻辑很清楚rsa local-key-pair create stelnet server enable aaa local-user admin password cipher Admin123 local-user admin service-type ssh local-user admin privilege level 15 ssh user admin authentication-type password user-interface vty 0 4 authentication-mode aaa protocol inbound ssh远程管理地址通常用VLAN 100的管理网段。最终你可以在另一台PC上用命令行stelnet 192.168.100.254登录。注意SSH登录用的账号是AAA里创建的账号不是系统默认的admin如果提示认证失败先检查是service-type是否配成ssh以及密码策略是否满足要求。5. 常见问题与排查技巧实录5.1 启动AR失败4090%是VirtualBox问题“ensp启动设备ar1失败40”这个报错在热搜里出现频率很高基本属于装机老问题。报错40的原因通常是VirtualBox服务异常或者vbox虚拟网卡没有工作。我建议按这个顺序来排关闭所有eNSP实例退出eNSP和VirtualBox。在Windows服务中重启VirtualBox相关的服务VBoxSDS、VirtualBox NAT Service之类。打开VirtualBox在全局设定里的“网络”查看是否能够创建新网卡如果虚拟网卡列表是空的卸载VirtualBox重新安装装完后重启电脑。重新打开eNSP拖一台路由器出来启动。如果反复重启都不行最后的大招是把eNSP和VirtualBox都卸载干净手动删除C盘里的.VirtualBox目录和eNSP安装目录再重装一次。千万别嫌麻烦这一步能解决绝大多数莫名其妙的启动失败。5.2 路由器启动后一直显示井号等它一会儿很多同学第一次用eNSP会看到AR路由器启动后命令行窗口满屏都是#####################以为卡死了。其实这只是设备正在加载系统底下的进度条看上去太朴素而已。正常情况下等30秒到几分钟路由器就会进入控制台界面显示Huawei提示符。如果你等了很久还在刷井号说明设备的运行内存分配太低。右键设备选择“设置”把内存和CPU配额调高一些。AR2220一般给到512MB内存不过分VirtualBox本身也要保证能分配到足够资源。如果电脑本身内存只有8G还同时开多台设备就建议少开几台设备资源占用太满也会导致设备起不来。5.3 防火墙导入镜像提示“格式错误”“ensp 导入防火墙 报 格式错误”这个问题我猜很多人遇到的是USG6000v的镜像导入方式不对。eNSP里防火墙和其他设备不太一样USG6000v的镜像不是简单的拖拽设备就能用的需要在版本管理里单独导入。步骤是菜单栏“工具” - “设备管理” - “防火墙镜像”选择对应版本的.vfd文件进行导入。如果导入时提示格式错误先确认下载的镜像对应eNSP版本是否匹配。USG6000v有不同版本的镜像文件V100R003版本配套的不一定能通用于后续版本。另外在导入前别开着防火墙实例要先关掉所有正在运行的防火墙设备不然文件被占用也会导致导入失败。5.4 命令行清空与刷屏的小技巧eNSP的命令行窗口默认一堆日志刷刷往上滚想整理界面时用reset saved-configuration可以清空启动配置但只适合重置设备不适合正在通信的网络。如果你只是想让命令行窗口干净一点可以用screen-length 0 temporary关闭分屏显示或者直接在窗口里CtrlL清屏部分版本支持。更多时候你想删掉某条敲错的命令华为设备不支持直接“撤销回车”但是可以用undo命令比如undo ip address就是删除接口IP。早期版本也支持用CtrlZ退回用户视图这是我最常用的快捷方式。5.5 为什么防火墙Web登录不进去“ensp配置防火墙web登录”这个问题不仅牵扯到安全策略还牵扯到eNSP对摄像头、USB等外部设备的虚拟化支持。正常情况下USG6000v默认开启HTTPS管理地址是192.168.0.1你只需要把电脑网卡IP改成192.168.0.10浏览器输入https://192.168.0.1就行。打不开时按下面的顺序检查防火墙安全策略是否放行了local域到trust域的方向。如果Web管理接口划在trust域你得写一条rule name local_to_trust source-zone local destination-zone trust action permit。检查浏览器是否拦截了自签名证书建议点击“继续访问”而不是直接放弃。检查本机是否安装过多个版本的VirtualBox导致虚拟网卡冲突。用display ip interface brief确认防火墙的GE0/0/0地址是192.168.0.1并且端口为up状态。5.6 其他几个热搜问题的速查报错或需求处理要点一直井号等待或调大设备内存若长时间不结束检查VirtualBox服务启动AR失败40重置VirtualBox依赖重装eNSP并重启清空命令行窗口CtrlL临时清屏screen-length 0 temporary关分屏进入虚拟接口在接口视图下执行interface Vlanif10注意VLANIF接口必须已有对应VLAN无线AC不发现AP检查AP是否拿到管理地址、CAPWAP源接口是否配置、Trunk是否放行管理VLAN交换机SSH登录不上查看AAA账号是否启用ssh服务、VTY下protocol是否改成ssh6. 一点自己的总结做eNSP作业比跑通更重要的是一次跑通。我把这几次配置整理完发现绝大多数问题都出在基础细节上——VLAN忘放行、ACL顺序颠倒、防火墙域没放通。真正复杂的路由选路和VRRP逻辑反而不容易出错。最后分享两个小技巧。第一个做实验前把拓扑图和地址规划表截图存到本地配完一台设备就划掉一项避免漏配。第二个把常用命令写成片段放在笔记里下次做新实验直接复制修改能省大量敲键盘的时间。毕竟eNSP不是考试软件而是帮你熟悉设备行为的模拟器你要的不是背命令而是理解数据包在真实网络里怎么流转。