eNSP校园网/企业网拓扑设计：从三层架构到可交付配置包

简介一份基于eNSP模拟器的校园网与企业网完整项目资源面向网络工程专业学生、毕业设计者及网络技术学习者。项目覆盖内网、外网与B校区子公司三个区域以三层交换机为核心组建园区网络资源中完整包含多VLAN规划、交换机间Trunk链路、双核心链路捆绑以及在核心交换机上部署的多生成树协议与虚拟路由冗余协议可实现链路冗余与负载均衡。同时在内网部分启用开放式最短路径优先协议利用动态主机配置协议为所有用户分配IP地址服务器区与出口路由器均配置网络地址转换防火墙划分DMZ区与TRUST区域出口部署访问控制列表并支持主备双出口链路贴近真实企业网部署需求。压缩包共28个文件包含15个eNSP工程文件、6个zip备份、3个xml参数文件、2个cfg设备配置、1个topo拓扑文件及1个txt说明文档全部资源仅349KB轻便易用。目前已有21594人学习下载导入eNSP即可复现整套拓扑与策略适合作为毕业设计、课程实训或企业网参考方案能帮助读者快速掌握多协议联动配置思路。1. eNSP校园网企业网详细拓扑设计从一张综合实验图到可交付的配置包eNSP校园网企业网详细拓扑设计很多人都误以为它只是一张把设备连起来的实验图。真跑过几个项目就知道这个标题背后是一套完整交付物拓扑结构怎么选、VLAN和IP怎么规划、每台设备的配置文件怎么组织、以及模拟器和真机行为不一致时怎么排查。它能解决的核心问题是让你在不用真机的情况下把园区网络从需求到上线完整走一遍。适合备考HCIA/HCIP做综合实验的人也适合做毕业设计和中小企业网改造预演的在职网工。资源包的价值不在图多而在配置能复现、坑能被标出来。2. 拓扑怎么定从校园网业务场景拆出三层结构、VLAN规划和设备选型2.1 先画业务流再画设备连线设计顺序决定成败很多人在eNSP里动手第一步是拖设备、拉线然后对着空拓扑发呆这是最容易翻车的起点。常见做法是先把业务场景拆清楚再决定哪些设备和链路出现在拓扑里。校园网的典型业务有办公区、教学区、宿舍区、无线接入和服务器区企业网基本同理把“教学”换成“研发/生产/财务”即可。你在图纸上规划出的每一个网段背后都要对应一类终端和一类访问策略否则后面画VLAN、写ACL时会完全无从下手。流量模型也要提前摆到台面上。南北向流量终端访问外网、终端访问服务器区会穿过核心层东西向流量同区域PC之间互访最好在汇聚层直接终结。这个选择直接决定VLANIF三层网关接口放在哪一层网关放在汇聚层汇聚交换机就是三层设备东西向流量在楼内消化网关放到核心层汇聚层就退化成纯二层交换机所有跨VLAN流量全压到核心。eNSP里都跑得动真机上核心设备会先扛不住这就是为什么很多校园网割接后核心CPU飙高。设计顺序我一般是四步走先列业务区域再定VLAN和IP段然后安排设备层级最后才连线。线是配置的骨架不是设计的起点。2.2 三层架构各层职责与冗余选型接入、汇聚、核心各管什么接入层是密度最高的地方。它直接面对PC、摄像头、AP常见做法是用24口或48口以太网交换机做VLAN划分和端口隔离上联汇聚用trunk。接入层不跑路由协议配错最多的反而是access口和trunk口的放行关系。在eNSP里接入交换机常用S5700-LI系列型号本身不重要行为上只要支持VLAN二层转发就够用。汇聚层是整套拓扑的技术核心。每个楼栋或功能区放一台到两台承担VLANIF网关、DHCP中继、ACL过滤以及VRRP网关冗余和Eth-Trunk链路聚合。eNSP里用S5700来当汇聚是比较稳妥的选型它支持三层转发和VRRP能模拟真机80%以上的行为。如果拿只能二层转发的S3700去当汇聚VLANIF根本起不来拓扑就要推翻重画。核心层只做两件事把各汇聚区域路由收敛起来然后统一出口。校园网规模小可以用静态路由规模稍大就上OSPF。冗余设计我一般至少做两处链路上接入到汇聚、汇聚到核心各留两条物理链路用Eth-Trunk捆成一条逻辑链路既提高带宽又获得故障切换网关上两台汇聚交换机跑VRRP主备切换时PC的默认网关地址不变网络对终端无感。设备选型参数上还要注意一点核心和汇聚之间的互联接口速率要和设备背板带宽匹配。eNSP不体现实际转发性能但真机选型时汇聚上联口至少是万兆否则核心到汇聚会成为整网的瓶颈。2.3 配套规划表VLAN、IP网段、VLANIF网关与互联地址在动任何一台设备之前先把下面这张表填完。它不是摆设后面每一段配置都从这里抄。区域VLAN ID网段VLANIF网关说明办公区10192.168.10.0/24192.168.10.254PC、打印机教学区20192.168.20.0/24192.168.20.254多媒体终端宿舍区30192.168.30.0/24192.168.30.254用户终端无线区40192.168.40.0/24192.168.40.254AP下终端服务器区50192.168.50.0/24192.168.50.254DNS/DHCP/Web互联段-192.168.255.0/30-核心与汇聚之间有三个点是我在交付这类配置资源包时反复强调的。第一互联地址单独划一段不要和业务网段混在一起否则路由表里出现大量垃圾条目排查时很难看清。第二网关地址用网段最后一个可用地址.254形成习惯后看配置文件能一眼认出哪是网关。第三VLAN ID从10开始留出余量不要从1开始编默认VLAN 1在模拟器和真机上都有特殊行为容易埋坑。配置文件资源包的组织方式我在交付这类方案时按三层放拓扑文件、设备配置文本、规划清单。拓扑文件负责复现连线关系配置文本负责快速恢复设备我习惯直接执行display current-configuration导出而不是手敲因为手敲容易漏默认参数规划清单负责让接手的人知道每个VLAN和网段是给谁用的。整套资源包这样组织以后即使换了新人也能完整接手不用对着空拓扑猜设备角色。3. 用eNSP把配置逐层下发接入、汇聚、核心三层的可运行配置配置文件资源包的核心是每台设备都能恢复出一份可运行配置。下面按接入、汇聚、核心三层分别给最小可用配置并标注每一行的作用和绕坑点。3.1 接入层配置文件VLAN划分与trunk放行接入交换机一般只需要两类配置面向终端的access口和面向汇聚的trunk口。下面这段配置覆盖一个24口接入交换机的基本场景。# 接入交换机 S5700-1eNSP 三层交换 vlan batch 10 20 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/3 port link-type access port default vlan 30 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30逻辑说明vlan batch一次性创建三个VLANaccess口接PC接口收到无标签帧就打成默认VLAN ID而上联汇聚的GigabitEthernet0/0/24必须用trunk并显式放行需要跨交换机传输的VLAN。参数上最容易翻车的点有两个一是allow-pass vlan写成AR路由器上的permit vlan命令直接报错二是漏掉某个VLAN导致跨交换机对应网段单通。配置完用display port vlan查看每个接口的PVID和放行列表比看配置文本更直观能一眼看出接口和VLAN的对应关系。接入层一般不配管理VLAN的IP如果要在eNSP里远程登录接入层另起VLAN 99并配上IP管理面单独挂一段。3.2 汇聚层配置文件VLANIF、Eth-Trunk链路聚合与VRRP网关冗余汇聚交换机承担三层网关和二层透传配置密度最高。一台汇聚的核心配置如下# 汇聚交换机 S5700-A vlan batch 10 20 30 50 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 interface Vlanif30 ip address 192.168.30.254 255.255.255.0 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 interface GigabitEthernet0/0/23 eth-trunk 1 interface GigabitEthernet0/0/24 eth-trunk 1VLANIF是三层接口地址就是对应网段的网关PC的默认网关填这里或填VRRP虚拟地址。Eth-Trunk把两条物理链路捆成一条逻辑链路eNSP里同样能模拟链路中断后的切换行为。这里有个容易忽略的点Eth-Trunk的两端必须都配置成trunk且放行VLAN一致否则即使链路聚合起来VLAN流量也过不去。VRRP部分在另一台汇聚S5700-B上做对称配置A为主、B为备# 汇聚交换机 S5700-A主 interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120 # 汇聚交换机 S5700-B备 interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 100注意一个细节VRRP的virtual-ip才是PC的默认网关上面VLANIF接口地址只是管理地址。很多人在eNSP里把VLANIF接口地址和virtual-ip配成同一个启动后地址冲突反而ping不通。检查VRRP状态用display vrrp主备状态稳定为Master/Backup才算正常如果状态在反复切换多半是两台优先级没拉开把主的priority设为120备保持100即可。3.3 核心层与出口配置文件OSPF、默认路由、DHCP与NAT核心层在eNSP里常用一台AR路由器或S5700三层交换机。走OSPF的话配置可以收敛得很干净# 核心路由器 AR-1 ospf 1 router-id 10.0.0.1 area 0.0.0.0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.50.0 0.0.0.255 network 192.168.255.0 0.0.0.3network 192.168.10.0 0.0.0.255里的反掩码要按网段真实长度写0.0.0.255对应/24网段0.0.0.3对应/30互联段。很多人习惯拿正掩码来填OSPF立刻起不来邻居。启动后用display ospf peer brief看邻居状态是否为Full不是Full就回头查反掩码和区域配置。出口方向两条命令缺一不可acl number 2001 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet0/0/0 ip address 202.100.1.1 255.255.255.0 nat outbound 2001 ip route-static 0.0.0.0 0 202.100.1.254ACL 2001的0.0.255.255表示只放行内网192.168.0.0/16的流量出接口做NAPT。缺省路由指向运营商下一跳没有这条路由内网再通也到不了外网。这里202.100.1.1是eNSP里随手写的公网地址真机上用的就是运营商分给你的固定IP。如果想模拟拨号上网的Easy IP场景把nat outbound 2001改成nat outbound 2001 address-group 1并配地址池即可。DHCP如果放在核心路由器上配置很轻dhcp enable interface Vlanif30 dhcp select interface dhcp server dns-list 192.168.50.10 dhcp server excluded-ip-address 192.168.30.1 192.168.30.10接口地址池直接用VLANIF所在网段分配省去全局地址池和绑定步骤。excluded-ip-address把前10个地址留给打印机等固定设备这是校园网里很实用的参数。DHCP排错时在PC上抓包看有没有DHCP Offer返回没有就检查VLANIF下的dhcp select interface是否生效。3.4 无线接入与服务器区的配置文件扩展eNSP里做无线校园网搭建一般是在接入层挂AP汇聚或核心上起AC。但eNSP的AC/AP设备型号受限无线模板配置比有线繁琐有个经验做法先把有线的VLAN、DHCP跑到全通再单独加无线VLAN和SSID模板不要把无线和有线混在同一个排错周期里。无线侧常用配置样式如下wlan ssid-profile name stu_40 ssid stu-40 security-profile name stu_40_sec security wpa2 psk pass-phrase xxxxxx aes vap-profile name stu_40_vap forward-mode direct-forward service-vlan vlan-id 40 ssid-profile stu_40 security-profile stu_40_sec ap-group name ap-group1 vap-profile stu_40_vap wlan 1 radio 0关键参数是两个service-vlan vlan-id 40把无线用户流量打上VLAN 40的标签之后DHCP、网关都走前面规划表里的无线网段forward-mode direct-forward是本地转发流量到AP直接进交换机适合中小型规模集中转发需要CAPWAP隧道eNSP支持度不高容易翻车。服务器区一般单独划VLAN 50在核心上做ACL控制只允许办公网段访问服务器端口。eNSP里用traffic-filter或在接口下配ACL都行但要注意ACL规则的匹配顺序默认从上到下先写允许再写拒绝否则后面的规则永远匹配不上。4. eNSP校园网企业网拓扑配置避坑5个最容易翻车的现场前面三层配置讲得再细上了eNSP还是会遇到一堆和模拟器行为绑定、和版本绑定的坑。下面五条是我在校园网综合实验和企业网拓扑里见过最频繁的现场每一条都按现象、原因、解决三步给到。4.1 设备启动失败AR1报40、USG6000V卡#号现象eNSP启动路由器时提示“AR1启动失败 40”或者安全设备一直卡在#号不开机。这几乎是eNSP安装后第一个拦路虎经常拖半天时间在启动上。原因eNSP的设备进程依赖VirtualBox虚拟化运行版本不匹配或系统残留旧版本会导致虚拟设备起不来Windows防火墙和杀毒软件拦截eNSP创建的虚拟网卡时症状也一样。内存不足时USG6000V这类设备会卡在启动#号属于资源问题。解决先把eNSP彻底卸载干净包括注册表项和VirtualBox残留再安装与当前eNSP配套的VirtualBox版本全程以管理员身份运行。关闭Windows防火墙或给eNSP相关进程放行虚拟网卡并检查任务管理器确认没有占用VirtualBox进程。如果还起不来在eNSP的设备属性里把内存从默认值调大再试。这里不用觉得玄学卸载和重装顺序就是这类问题的标准解。4.2 VLAN跨交换机不通trunk放行和PVID的坑现象同一台接入交换机下的PC能互通跨到另一台接入交换机就ping不通网关。原因八成是trunk口没有放行对应VLAN或者PVID被改动了。比如接入交换机的上联口是trunk但只放行了VLAN 10没有放行VLAN 20跨交换机的VLAN 20流量自然到不了。也有人误改了某个口的PVID导致数据帧被打上错误的VLAN标签整个方向都走错了。解决排错顺序是先在PC上确认ping不通的IP和网关再在接入交换机上执行display port vlan看PVID和放行列表然后在两台交换机之间分别执行display vlan比对确认放行一致。这里有个血泪经验eNSP里trunk口默认只放行VLAN 1新规划一个VLAN后忘记在两端上联口都改是最常见的低级错误排查时优先查这里。4.3 配置重启就丢save和导出配置两种后悔药现象eNSP里配好所有设备关掉工程再打开设备配置全没了只剩空配置整个拓扑等于白做。原因eNSP的设备配置默认存在内存里不执行save不会写入磁盘。工程文件只保存拓扑连线关系不替设备保存配置这是模拟器和真机的最大不一致点之一。解决每台设备配置完成后在系统视图下执行save按提示确认文件名。交付这类配置文件资源包时我一般还会执行display current-configuration把配置导出成文本和拓扑文件放一起。这样即使工程文件损坏也能靠文本配置快速重建。还有一个细节关闭eNSP时弹窗问是否保存设备配置要选是否则之前的save也白做。4.4 全网互通但出不了外网NAT和默认路由的排查顺序现象内网PC之间互相都能通ping外网地址不通整个网络像被一堵墙挡住了一样。原因常见三种。一是核心路由器上没配缺省路由二是NAT的ACL没匹配到内网网段三是NAT绑定错了出接口流量从口A出但NAT做在口B上。解决从PC开始逐跳排查。先ping核心的VLANIF网关能通则三层没问题再登录核心执行display ip routing-table看有没有缺省路由有的话再ping外网下一跳地址确认出口链路通最后ping外网地址不通就查display acl 2001的命中计数命中数为0说明ACL没匹配上内网流量。这套顺序能把路由问题和NAT问题快速分开比在PC上反复改IP瞎试靠谱得多。4.5 整个校园网突然断网广播风暴和STP的坑现象原本跑得好好的拓扑某次改动后整个网络突然全体断网PC获取不到地址交换机CPU占用飙高重启设备后过一会儿又复现。原因eNSP里模拟环路最常见的是在两台交换机之间拉了两条线而STP默认没开或模式不对广播帧在环里反复转发形成广播风暴把整网打瘫。这和企业网常见事故完全一致属于典型的设计阶段埋雷。解决在接入和汇聚上开启STP执行stp enable让冗余链路自动阻塞保留一条主路径如果已经配置了Eth-Trunk就不要再单独拉一条物理线做备份否则即使STP开了端口角色计算也容易震荡。排查时用display stp brief看端口角色和状态出现大量Discarding且频繁切换说明环路没被完全抑制。5. 交付前的验证清单ping、display和抓包怎么配合使用eNSP里拓扑能开起来、PC能ping通只代表“看起来通”不代表方案能交付。我一般按三条线做验收。第一业务验证每个VLAN选一台PC互相ping再ping网关和外网全通则南北向和东西向都OK再用display arp看网关的ARP表确认PC学到了网关MAC。第二冗余验证手动把汇聚到核心的一条链路down掉看PC是否还能通观察VRRP主备是否按预期切换这能检验前面做的Eth-Trunk和VRRP到底有没有在关键时刻顶上。第三细节验证在PC上开启eNSP的抓包抓DHCP四阶段握手和ping的ICMP报文能看到VLAN标签、源目MAC和往返时延这些是黑匣子排障时最好用的证据。扩展方向我一般建议两个。一是双出口NAT把两条运营商链路做成主备或负载分担eNSP里用带优先级的静态路由就能模拟适合企业网场景。二是OSPF多区域把汇聚和核心拆进不同area体验区域间路由和ABR行为对考HCIP很有帮助。至于无线建议放在有线验收后再动用上面3.4的AC模板把SSID和VLAN绑对再用无线终端连一次看能否拿到DHCP地址这一套走完整套校园网方案才算真正落地。我自己的习惯是每改一版配置就导出一次文本备份文件名带日期这个习惯救过我很多次。希望帮到你。本文还有配套的精品资源点击获取