开头拿到新电脑预装Windows 11想着装上eNSP练练华为路由交换的实验。结果装完之后兴冲冲双击启动AR1路由器屏幕上一个红字弹出来启动设备AR1失败错误40。当时第一反应是eNSP安装包坏了重新装了两次问题依旧。后来翻阅各种记录发现真正的原因根本不是eNSP也不是VirtualBox而是Windows 11默认开启的“基于虚拟化的安全性VBS”在背后和VirtualBox抢虚拟化资源。这个问题在Win10时代也有但Win11上默认开启的比例高得多几乎每个新出厂的机器都会中招。这篇文章就专门记录我在Windows 11上完整安装eNSP并正常跑通实验的整个过程包括VBS的关闭方法、eNSP和VirtualBox的版本选择、装完之后和VMware 17虚拟机的联动配置以及AR1启动失败、一直井号这类经典故障的排查思路。不管你是学生党、网络工程师还是公司内部搭实验环境这套流程基本都能照着抄。1. 为什么Windows 11跑eNSP总翻车VBS与VirtualBox的隐性冲突1.1 不是eNSP不行是VBS把硬件虚拟化占了很多人以为eNSP跑不起来是软件兼容性问题实际上eNSP本身兼容性没那么差问题出在一个底层环节Windows 11的系统级虚拟化安全机制。eNSP启动路由器时底层调用的是VirtualBox。VirtualBox是个典型的Type 2虚拟机管理器它需要直接使用CPU的虚拟化指令集VT-x/AMD-V来创建虚拟机。而Windows 11出于安全考虑默认开启的VBSVirtualization-Based Security基于虚拟化的安全性会把Windows内核放到一个用Hyper-V创建的隔离环境里运行。这个环境和VirtualBox完全不同VBS使用Hyper-V管理程序直接接管了CPU虚拟化层VirtualBox拿不到完整的硬件虚拟化能力于是虚拟机创建失败。表现出来的就是eNSP里面所有设备启动都失败错误码40是最典型的。打个比方VBS相当于Windows自己先开了一间带防弹玻璃的独立房间把系统内核的核心成员全部锁在里面还把走廊的进出权限全部把控在自己手里。VirtualBox这时候跑过来想开个门开个窗发现权限已经被那边拿走了自然什么事都做不成。1.2 “只关内存完整性”其实不够网上很多教程让你关闭“内存完整性”或者“内核隔离”说关完就能跑eNSP。实测下来这一步只解决了一半问题。Windows 11里和VBS相关的开关有好几层第一层Windows安全中心里的“内存完整性”属于核心隔离的一个功能第二层VBS本身它可能由固件、注册表或组策略启动第三层Hyper-V管理程序它不一定以“Windows功能”的形式显示但可能因为其它组件被间接启用。只关第一层后两层可能依然处于活动状态。用msinfo32查看“基于虚拟化的安全性”状态仍然会显示“正在运行”。所以我的建议是如果你确定这台机器不需要WSL2、不需要Docker Desktop、不需要Hyper-V虚拟机那就干脆把VBS彻底关掉一劳永逸。1.3 VBS不止影响VirtualBoxVMware也不会幸免标题里提到VMware 17这也是另一个常见场景Windows 11上用VMware 17跑虚拟机性能总觉得不对劲CPU占用高磁盘IO不稳定虚拟机里跑个Windows 10都卡。最常见的原因是VBS还开着VMware Workstation虽然比VirtualBox对新硬件兼容好些但同样无法完全绕开Hyper-V的底层占用。VMware 17本身是支持在“已启用Hyper-V的主机”上运行的这确实比VirtualBox 5.x强很多。但这种模式下性能损失明显实测虚拟机里跑Windows的时候磁盘和网络吞吐量大概下降10%到25%。所以我也建议如果是专门搞网络实验或者虚拟化环境主机上最好把VBS彻底关闭再用VMware 17或者VirtualBox都会舒服很多。提示关VBS之后如果不小心又装了WSL2或DockerWindows可能会重新启用Hyper-V相关组件。这种时候eNSP又会启动失败。别问我是怎么知道的反复折腾过好几次才彻底搞明白这个因果关系。2. 关闭VBS的完整操作路径从安全中心到注册表2.1 方法一通过Windows安全中心关闭内存完整性这是最温和的方式适合怕改注册表、又想快速尝试的用户。打开“Windows安全中心”进入“设备安全性”点击“内核隔离详情”把“内存完整性”的开关关闭重启电脑就行。这个方法关掉的其实是HVCIHypervisor-enforced Code Integrity基于管理程序强制执行的代码完整性保护它和VBS同根同源。对于一部分机器关掉之后VBS就跟着停了。但根据我测试的几台不同品牌笔记本有些机器即使关掉这个开关msinfo32里VBS依然在运行。所以这个方法适合作为第一步而不是最终方案。2.2 方法二用注册表彻底关闭VBS如果你需要确保VBS被完全禁用注册表是更可靠的方式。按下WinR输入regedit打开注册表编辑器定位到以下路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard在右侧新建一个DWORD32位值命名为EnableVirtualizationBasedSecurity数值数据设为0。接着再定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity如果Scenarios下面没有HypervisorEnforcedCodeIntegrity这个子项就新建一个。然后在里面新建DWORD32位值命名为Enabled数值数据设为0。改完之后重启电脑。这个方法在Win11家庭版和专业版上都有效。家庭版没有组策略编辑器注册表反而是最通用的路径。2.3 方法三通过命令行关闭Hyper-V管理程序如果注册表改完发现VBS还在很可能是Hyper-V管理程序本身被启动了。以管理员身份打开命令提示符执行bcdedit /set hypervisorlaunchtype off执行完之后重启。这条命令的作用是让Windows在启动时不加载Hyper-V管理程序VirtualBox和VMware都能更充分地使用CPU的虚拟化指令。如果你想反向操作恢复Hyper-V的自动启动执行bcdedit /set hypervisorlaunchtype auto注意一点bcdedit命令只管Hyper-V管理程序是否随系统启动VBS本身是否启用还要靠前面的注册表项控制。两个方法配合使用才能做到彻底关闭。2.4 如何确认VBS确实关了修改完之后最关键的一步是验证。很多用户只盯着任务管理器里的“虚拟化”状态发现显示“已启用”就以为没关成。实际上任务管理器里的“虚拟化”显示的是CPU固件层面的VT-x状态跟VBS是两回事。VT-x开启是好事VirtualBox和VMware才能正常工作。正确的验证方法是按WinR输入msinfo32打开系统信息。在“系统摘要”里找到“基于虚拟化的安全性”这一项。如果显示“未启用”说明已经关干净了。如果显示“正在运行”继续说需要继续排查。另外也可以在“系统摘要”里看最后一行“虚拟化兼容性”之类的字段但最准确的还是“基于虚拟化的安全性”。如果你习惯用命令行也可以管理员运行systeminfo输出的最后部分会有一栏“Virtualization-based Security Services”。如果这一栏是空的说明没有正在运行的相关服务如果列出了“Credential Guard”或“Hypervisor enforced Code Integrity”说明还没关完。2.5 关闭VBS前的取舍与注意关VBS本质上是在“安全”和“可用性”之间做取舍。VBS的好处是能阻止一部分内核级恶意软件篡改内存对于普通办公电脑有实际价值。但如果你这台机器的核心用途就是跑eNSP、跑虚拟机、做网络实验那VBS的收益远小于它带来的困扰。关掉VBS之后需要注意一个连带影响如果你日常还依赖WSL2或Docker Desktop那它们大概率会要求Hyper-V运行。在Hyper-V被关闭的情况下WSL2和Docker就起不来了。我个人的处理方式是实验主机专门用于eNSP和VMware开发用的环境放到另一台机器或者云端避免在同一台机器上同时纠结两端。3. eNSP三件套的安装顺序与版本红线3.1 为什么安装顺序必须是VirtualBox、WinPcap、eNSP关完VBS回到eNSP本身。安装顺序这件事很多教程提过但没说为什么。这里讲清楚逻辑eNSP运行时不自己实现虚拟化也没有自己的抓包引擎它靠的是三样东西——VirtualBox提供设备模拟WinPcap提供链路抓包和报文转发eNSP自身只负责图形化拓扑和配置下发。安装顺序颠倒会导致eNSP检测不到对应组件出各种莫名其妙的问题。推荐顺序先装VirtualBox再装WinPcap或者eNSP安装包自带的WinPcap版本最后装eNSP本体三者的关系就像盖房子VirtualBox是地基WinPcap是水电管线eNSP是地板和装修。顺序错了房子也能立起来但后续使用各种漏水断电。3.2 VirtualBox版本别追新5.2.44最稳关于VirtualBox的版本这里有个很容易踩的坑eNSP官方指定的是VirtualBox 5.2.x但很多人图省事装了个最新的7.x版本。装完之后启动eNSP设备大概率报“VirtualBox未安装”或者设备能启动但控制台连不上。原因在于eNSP在启动路由器时通过固定的命令行参数调用VirtualBox老版本eNSP对VirtualBox 6.0以上的接口适配并不完整。实测下来VirtualBox 5.2.44是配合eNSP最稳的版本网上几乎所有老教程也都指向这个版本。3.3 WinPcap别手滑装成NpcapWinPcap的坑相对小一点但不代表没有。eNSP安装包会附带WinPcap 4.1.3直接用自带的就好。如果你单独去网上下载抓包库很容易下到Npcap。Npcap是WinPcap的继任者功能更强但它默认不兼容老的WinPcap API。虽然Npcap在安装时可以勾选“WinPcap API兼容模式”但eNSP还是可能在启动路由器时提示“未安装Wincap”或者抓包时看不到任何数据。为了省事老老实实用WinPcap 4.1.3。3.4 eNSP安装时的路径和管理员权限eNSP本体推荐使用V100R003C00SPC100版本这个版本在Win11上运行稳定。安装的时候有两点必须注意第一安装路径不要出现中文或空格建议直接用默认路径或改成纯英文路径。模拟器内部会拼接多个文件路径中文路径经常导致设备镜像加载失败而且报错信息非常隐晦。第二eNSP和VirtualBox都需要以管理员身份运行。右键图标选择“以管理员身份运行”是常规操作。如果嫌麻烦可以设置兼容性属性把“以管理员身份运行此程序”勾上。安装完成后还有一个细节Windows 11的防火墙会拦截VirtualBox的虚拟网卡和eNSP的通信。第一次运行eNSP时Windows会弹出防火墙授权对话框一定记得勾选“专用网络”然后点允许访问。如果不小心点了取消后面所有设备之间都ping不通需要去防火墙高级设置里恢复。3.5 安全软件误报处理Win11自带的安全中心一般不会误报eNSP但如果你电脑上装了其它安全软件很可能会把eNSP的设备镜像文件或VirtualBox的程序当成可疑文件处理。eNSP在启动设备时需要临时释放一些文件到虚拟机目录如果被杀毒软件实时防护拦截AR1就会一直停留在井号状态或者直接报设备创建失败。遇到这种情况把这三个目录加入安全软件的白名单eNSP安装目录VirtualBox安装目录C:\Users\用户名.eNSP配置文件目录尤其第三个目录容易被忽略但实际上设备镜像和配置缓存都在那里。4. VMware 17虚拟机和eNSP联动一台机器跑通“模拟器真实系统”4.1 VMware Workstation 17的个人免费版本先把VMware 17本身的事说清楚。VMware Workstation Pro从17.x开始对个人用户已经免费了。你只需要在官网注册一个个人账号下载对应安装包登录之后就能拿到个人使用许可证。不需要找任何第三方激活工具也没必要翻以前的旧密钥。注册时选择“个人使用”即可下载链接和密钥都会发到注册邮箱。安装VMware 17本身没什么难度说明一点VMware 17的安装在Windows 11上默认会启用“基于虚拟化的安全性增强”相关选项但那是针对虚拟机内部的安全特性宿主机性能不受影响。前面关VBS的操作是关宿主机的和VMware 17安装无关。4.2 把eNSP拓扑接到VMware虚拟机里很多人问eNSP只能跑华为的虚拟设备怎么让虚拟机和模拟器里的设备互通这个问题的核心在于网络拓扑设计。eNSP里有一个“云”设备云设备的作用就是把模拟器内部的虚拟网络桥接到外部网络。操作为在eNSP左侧的“网络设备”列表中找到“云”拖到拓扑中双击云设备在“端口创建”里选择UDP模式然后在“绑定信息”里选择VMware的虚拟网卡比如VMnet1仅主机模式或VMnet8NAT模式。绑定之后云设备就相当于把eNSP的某个扇区和VMware的虚拟网络连接起来了。注意VMnet1和VMnet8在VMware里默认都有对应的虚拟网段需要提前规划好IP地址不然两边设备即使连线了也ping不通。4.3 网段规划与连通性验证以最常见的桥接为例VMware的VMnet1默认网段通常是192.168.159.0/24不同版本略有差异实际以VMware虚拟网络编辑器里显示的为准。我在VMware虚拟网络编辑器里把VMnet1改成192.168.10.0/24然后做如下配置VMnet1的宿主机IP192.168.10.1VMware虚拟机比如装的Ubuntu的静态IP192.168.10.10eNSP拓扑里云设备绑定VMnet1云设备的另一端连接AR1的GigabitEthernet0/0/0口AR1的G0/0/0接口配置IP192.168.10.2/24配置完成后从AR1 ping 192.168.10.10应该能通。如果ping不通优先排查虚拟机里的Windows防火墙或Ubuntu的iptables把ICMP放行。从真实虚拟机的角度来说能ping通eNSP里的路由器这个联动就算成功了。4.4 拿到打包好的VMware虚拟机之后的处理标题里那个“附可用的安装好的VMware17虚拟机”实际操作中可能是我从别人那里拿到一个现成的虚拟机包或者有人拿到了打包好的、里面已经装好各种环境虚拟机的压缩包。不管来源是哪种导入到自己的VMware 17之后都建议做三件事。第一删除快照或者调整快照大小。打包的虚拟机如果带着大量快照磁盘占用会非常大而且快照文件可能和原始硬件环境绑定导入后容易出现磁盘错误。建议先复制一份然后把不需要的快照全部删除。第二修改虚拟机的网络适配器设置。因为宿主机物理网卡变了原本桥接模式的网卡会失效。打开虚拟机设置把网络连接改成“桥接模式”重新选择物理网卡或者改成“仅主机模式”配合VMnet1路径使用。第三检查虚拟机里的VMware Tools版本。如果打开虚拟机之后屏幕分辨率无法自适应、鼠标移动卡顿、文件拖拽失效多半是VMware Tools版本不对去VMware菜单里重新安装或更新一下VMware Tools。4.5 性能参数与硬件加速设置VMware 17里跑虚拟机的性能优化重点看几个参数。内存方面实验性的Windows虚拟机建议至少分配2GBUbuntu之类的轻量系统1GB就够。CPU方面不要一股脑把宿主机所有核心都塞给虚拟机建议预留至少2个物理核心给宿主机。网络适配器类型里桥接模式通常用e1000e或者VMXNET3如果网络不通可以试着在两种类型之间切换一下。硬件加速方面VMware 17默认会自动启用VT-x/AMD-V。如果你之前已经在eNSP场景下把VBS关了VT-x是完全释放给VMware的虚拟机的GPU和CPU性能都会更稳定。5. AR1启动失败与井号卡死完整排查链路和验证方案5.1 错误40的排查顺序错误40是eNSP里最常见的启动失败报错。遇到它不要急着重装任何软件按这个顺序排查第一检查VBS是否真的关了。按WinR输入msinfo32看“基于虚拟化的安全性”是不是“未启用”。如果还显示正在运行回到第2章节注册表和bcdedit两条命令再走一遍。第二检查VirtualBox服务是否正常。管理员运行services.msc找到名称里带VirtualBox的服务项确认状态为“正在运行”如果停止则手动启动并设为自动启动。第三确认VirtualBox版本是否正确。打开VirtualBox主界面看标题栏的版本号如果是6.x或7.x建议卸载安装5.2.44。第四确认设备镜像是否放好。打开eNSP自带的安装目录查看.d