简介适合网络工程学习者的小型企业网ensp练习包基于华为企业网络仿真平台覆盖从网络规划、VLAN划分到OSPF/BGP路由配置、ACL安全策略等典型运维场景可用于课程设计或岗前技能训练。包内共19个文件主体为8个cfg设备配置、5个efz设备系统镜像、4个xml设备定义另含1个topo拓扑文件和1个zip附件整体仅20KB轻量且便于直接导入ensp模拟器复现网络结构。压缩包还配有拓扑总文件与多台设备的独立配置使用者可按设备UUID对应导入快速还原中小型企业的路由交换环境在此基础上练习STP冗余、QoS保障及故障排查等进阶操作。当前已有6447人在线学习浏览适合网络工程初学者及准备华为认证的考生作为实验参考。1. 用eNSP搭中小型企业网一套zip工程能省下三台真机如果你正准备做网络方向毕业设计或者刚入职的运维想在不拆机房设备的前提下练一遍真实组网那么搭建中小型企业网ensp.zip这类工程包是性价比最高的起点。eNSP是华为官方推出的网络模拟器能在普通电脑里同时跑起交换机、路由器、无线控制器、防火墙和终端而zip包里装的正是别人搭好并调通的企业网工程解压后用eNSP打开就能看到一套带完整配置的拓扑。它解决的痛点很直接没有真机也能把VLAN、DHCP、NAT、无线和一整套安全策略从头到尾配置一遍还能随时打包带走。这个方向尤其适合网络工程专业学生、备考HCIA/HCIP的从业者以及需要快速复现现网组网的运维。2. 把企业网拆成一张eNSP拓扑设备选型、VLAN与IP规划表2.1 为什么中小企业网要先分层接入层、汇聚层、核心层中小企业的规模其实很典型几十到两百台终端一个办公区一个财务区再加几台内部服务器和给访客用的无线。如果图省事把所有电脑插进一台交换机端口不够是一回事广播域一大ARP广播和DHCP发现报文会把整网性能拖垮故障时只能靠拔线排查。所以第一步不是急着打开eNSP拖设备而是把网络拆成接入层、汇聚层、核心层。接入层负责把PC、打印机、AP接进来端口密度高、成本低汇聚层负责VLAN路由、策略控制和DHCP服务核心层只做高速转发把所有模块串起来。中小企业不需要做数据中心级的复杂架构但逻辑上分清以后后面加设备、加VLAN都不用重新设计。eNSP里的设备选型很固定接入交换机用S5700核心交换机也用S5700出口路由器用AR2220无线部分用AC6605加两台AP2050DN如果想把服务器区单独保护起来再加一台USG6000V防火墙。这套组合的配置命令和真实华为设备基本一致实验做完再上手真机命令不会白学。2.2 一张可复用的VLAN与IP地址规划表动手配命令之前先把VLAN和IP网段写在纸上。规划阶段贪快后面改IP是所有配置里最痛苦的因为VLANIF、DHCP地址池、ACL、NAT、静态路由全都要跟着改一遍。下面这张表用于常见的中小型企业网项目拓扑不大时可以直接抄VLAN用途网段网关VLANIF说明10办公区192.168.10.0/24192.168.10.254普通员工有线接入20财务区192.168.20.0/24192.168.20.254独立隔离权限收紧30无线访客192.168.30.0/24192.168.30.254AP接入可单独限速40服务器区192.168.40.0/24192.168.40.254内部ERP、Web服务器100设备管理192.168.100.0/24192.168.100.254交换机、路由器管理地址IP规划有几个容易忽略的点。网关地址不要用192.168.10.1因为很多网络设备喜欢占用.1做管理地址终端网关和网管地址冲突会让交换机登录变得很混乱。网关尽量放在核心交换机的VLANIF接口上不要放在路由器上。VLAN之间的流量如果需要绕行路由器转发所有跨网段报文都要从出口设备过一遍转发性能是明显瓶颈核心交换机用VLANIF当网关VLAN间流量在交换机内部就转走了。DHCP服务也建议放在核心交换机上少一台服务器就少一个故障点。一个VLAN的主机数量最好控制在240台以内超过这个量广播流量会明显上涨正确做法是把办公区拆成多个VLAN再互访。2.3 拿到ensp.zip之后解压、导入与版本核对标题里的zip是工程包的常见交付形态。下载下来的ensp.zip解压后里面一般是一个.ens工程文件外加拓扑截图和配置文档。eNSP不直接打开zip必须先解压。有人直接把zip拖进eNSP窗口结果识别不了这就是先入为主的坑。建议把zip解压到没有中文和空格的目录里因为部分eNSP版本对中文路径的处理不稳定设备镜像路径带中文会导致启动失败。打开eNSP后用菜单里的“打开工程”找到.ens文件即可。如果打开后设备图标是灰色或红色的多半是版本或镜像问题。版本兼容性要提前确认eNSP的V100R003C00SPC100和V100R003C00SPC200T是目前流传比较广的版本SPC200T能打开SPC100做的工程反过来不行。交付工程给别人时最好在说明文档里写明两个版本号否则对方打开工程时设备起不来会先怀疑你的配置有问题。按顺序启动设备也值得养成习惯先启动核心交换机等它完全UP再启动接入交换机、路由器、防火墙和终端比一次点“全部启动”稳定得多。3. 交换机上网关与DHCP怎么配VLAN、Trunk和无线AP的落地命令3.1 创建VLAN并划分Access端口先接入层再核心层打开eNSP后我的习惯是先配置接入交换机因为它连接的是终端配置简单能快速验证端口通不通。以一台接入交换机LSW2为例办公区PC接到GigabitEthernet0/0/1到0/0/8财务区PC接到0/0/9到0/0/16上联核心交换机的口用0/0/24。命令如下# 进入系统视图sys 是 system-view 的缩写 system-view sysname LSW2-Office # 批量创建VLAN 10和20 vlan batch 10 20 # 把GE0/0/1和GE0/0/2划入办公VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit # 用端口组批量配置GE0/0/3到GE0/0/8 port-group 1 group-member GigabitEthernet0/0/3 to GigabitEthernet0/0/8 port link-type access port default vlan 10 quit # 用端口组把GE0/0/9到GE0/0/16划入财务VLAN 20 port-group 2 group-member GigabitEthernet0/0/9 to GigabitEthernet0/0/16 port link-type access port default vlan 20 quit这段配置的逻辑是access端口只属于一个VLAN直接连接终端的口必须用access终端进来的报文不带802.1Q tag端口组用于批量配置避免一条一条敲读起来也清楚。port default vlan指定端口所属VLANgroup-member … to …表示连续端口范围。如果你接的是打印机、监控这类固定设备同样划进对应VLAN不要把这类设备留在默认的VLAN 1里否则和终端混在一起后面做VLAN隔离时全是漏网之鱼。3.2 配置Trunk链路和VLANIF网关让所有VLAN都能到核心交换机接入交换机配好VLAN后要在它和核心交换机之间放行业务VLAN。上联口改成trunk模式允许多个VLAN带tag通过。接入交换机LSW2的0/0/24连到核心交换机配置如下interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit核心交换机上除了把下联口也配置成trunk还要给每个VLAN建三层网关VLANIF。核心交换机S5700接接入交换机的口是GE0/0/1接路由器用GE0/0/24命令如下system-view sysname Core-S5700 vlan batch 10 20 30 40 100 # 下联口配置成trunk放行所有业务VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 100 quit # 创建VLANIF接口作为各网段网关 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit interface Vlanif30 ip address 192.168.30.254 255.255.255.0 quit interface Vlanif40 ip address 192.168.40.254 255.255.255.0 quit interface Vlanif100 ip address 192.168.100.254 255.255.255.0 quitTrunk链路的关键参数是port trunk allow-pass只有被allow的VLAN才能从这条链路上过。默认VLAN 1放行业务VLAN必须显式写出来少写一个那个VLAN的终端就ping不通网关。VLANIF接口本质上是三层网关给接口配上IP后VLAN里的终端把所有跨网段访问都发给这个地址。财务VLAN 20如果不想被办公网访问后面在核心交换机上做ACL时方向是按VLANIF接口控制的所以网关放在核心交换机上才能做限制。3.3 配置DHCP让终端和无线AP自动获取IP网关配好之后终端可以手动配IP但这样在真实企业网里不可维护。DHCP直接放在核心交换机上省一台服务器。先开启全局DHCP再创建地址池最后把地址池绑定到VLANIFsystem-view dhcp enable # 办公网地址池 ip pool vlan10 network 192.168.10.0 mask 24 gateway-list 192.168.10.254 dns-list 223.5.5.5 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.10 lease day 3 quit # 把地址池绑定到VLANIF10 interface Vlanif10 dhcp select global quitDHCP在华为交换机上有global和interface两种模式。dhcp select global表示这个接口要从全局地址池里取地址便于集中管理所有VLANdhcp select interface则是每个接口配自己的地址池适合只有一两个VLAN、不想维护全局池的情况。excluded-ip-address必须给网关、打印机、服务器预留比如192.168.10.1到192.168.10.10不要分配出去否则打印机和服务器抢到网关的地址整个网段会乱套。lease day 3是租期3天办公网这个值合适访客无线建议租期短一点避免地址被长时间占用。无线AP也是走DHCP这一套。AP上电后从VLANIF30的地址池拿管理地址再通过发现机制找到AC6605。很多人把无线实验理解成“在AC上敲一条配SSID的命令”其实AC和AP之间的管理VLAN、业务VLAN要提前规划好这一步不做好后面无线客户端能连上但上不了网问题多半是AP拿到的地址和业务VLAN没分开。3.4 无线AC6605的基础配置SSID与VAP模板如果你把访客无线也纳入实验AC6605的配置并不复杂但和交换机命令不是一套逻辑。进入AC的wlan视图后先建SSID模板再建VAP模板把SSID和转发方式绑进去最后把AP加进AP组。下面是常见做法不同eNSP版本命令略有差异system-view wlan ac source interface Vlanif100 # 创建SSID模板 wlan ssid-profile name office-wifi ssid office-wifi quit # 创建VAP模板并绑定SSID vap-profile name office-vap forward-mode direct-forward service-set id 10 ssid-profile office-wifi quit # 把AP加入默认AP组并绑定射频 ap-group name ap-group1 vap-profile office-vap wlan 1 radio 0 quit quitwlan ac source interface指定AC的管理源接口AP注册时就从VLANIF100这个地址通信。forward-mode direct-forward表示业务流量直接从AP转发不走AC集中转发中小企业的访客网络够用了如果要做集中认证和控制再改成tunnel-forward。eNSP里的AP会自动注册不需要手工绑定序列号省掉一个坑。配置完SSID后无线终端能否上网还要取决于前面VLANIF30的DHCP和出口路由是否通畅很多人的无线问题其实出在交换机和路由器的连通性上最后背了AC配置的锅。4. 出口路由与NAT配置让内网访问外网并对外发布服务器4.1 核心交换机与路由器的三层互联网关放在核心交换机后出口路由器就不需要为每个VLAN建子接口了。路由器只承担两件事内网访问外网时做NAT转发外网访问内部服务器时做目的映射。核心交换机与路由器之间用一条三层链路互联网段规划为10.0.10.0/30核心侧10.0.10.1路由器侧10.0.10.2。核心交换机的GE0/0/24默认是二层口要先执行undo portswitch再配置IP# 核心交换机上 interface GigabitEthernet0/0/24 undo portswitch ip address 10.0.10.1 255.255.255.252 quit路由器AR2220的GE0/0/0连核心GE0/0/1连外网# 路由器上 interface GigabitEthernet0/0/0 ip address 10.0.10.2 255.255.255.252 quit interface GigabitEthernet0/0/1 ip address 100.64.1.2 255.255.255.0 quit100.64.0.0/10是运营商级NAT保留地址段在eNSP里用它模拟外网很合适不会和私网网段冲突。配完两个接口后用display ip interface brief看接口状态是否UP这条链路是后面所有路由和NAT的基础。如果你更熟悉单臂路由也可以让AR2220用子接口终结VLAN子接口里要执行dot1q termination vid 10和arp broadcast enable否则子接口无法收发带tag的报文。两种做法的差别在于单臂路由把所有跨VLAN流量引到路由器性能吃紧VLANIF方式让核心交换机内部完成三层转发路由器只处理南北向流量我更推荐后者。4.2 静态路由核心交换机指默认路由路由器指回程路由接下来写路由。核心交换机只需要一条默认路由把不认识的网段全扔给路由器ip route-static 0.0.0.0 0.0.0.0 10.0.10.2路由器上要写回程路由让去往内网192.168.0.0/16的报文回到核心交换机ip route-static 192.168.0.0 255.255.0.0 10.0.10.1用16位掩码把192.168.10.0/24、20.0/24、30.0/24、40.0/24一起汇总比逐条写四条方便也不会因为漏一条导致PC能上网但服务器访问不到。这里最容易翻车的是只配了NAT、忘了写回程路由内网报文能出去服务器响应报文却不知道回内网的路现象就是外网Client能发出包但一直超时。排查时用display ip routing-table看路由器上有没有Destination 192.168.0.0/16这条记录没有就补上。4.3 配置NATeasy-ip出站和NAT Server入站NAT配置分两个方向。内网主动访问外网用出站NAT把私网地址转换成路由器的公网出口地址# 先定义内部网段ACL acl number 2001 rule 5 permit source 192.168.0.0 0.0.255.255 quit # 在外网接口上应用出站NAT interface GigabitEthernet0/0/1 nat outbound 2001 quitnat outbound 2001用的是easy-ip方式直接借用接口的公网地址做转换不需要额外配置NAT地址池。对只有一个公网IP的中小企业网这是最实际的方案。ACL里的0.0.255.255是通配符匹配前16位等于把四个192.168网段全部包含进去。容易犯的错是ACL方向写反或者写了deny规则把内网挡在外面建议配完先display acl 2001检查规则。如果内部服务器要让外网访问比如Web服务器在192.168.40.10需要在公网接口上做一个服务器映射interface GigabitEthernet0/0/1 nat server protocol tcp global 100.64.1.2 80 inside 192.168.40.10 80 quit这条命令表示访问公网地址100.64.1.2的80端口路由器会把流量交给内部的192.168.40.10。如果服务器还要对外提供远程管理再补一条端口映射但生产环境不建议把管理端口直接暴露。验证时在外网侧放一台Client访问100.64.1.2看Web服务器是否响应没响应就检查display nat session all里有没有会话记录有记录说明NAT在工作问题在服务器本身。4.4 防火墙USG6000V的Web登录与安全策略加了防火墙后整体架构要重新想清楚防火墙可以放在核心交换机和路由器之间也可以旁挂保护服务器区。eNSP里最常见的是串联部署结构是核心交换机连防火墙防火墙再接出口路由器。串联系里最容易卡在Web登录上。USG6000V默认管理口是GE1/0/0地址192.168.0.1/24。启动后先用CLI确认管理口配置并开启Web管理interface GigabitEthernet1/0/0 ip address 192.168.0.1 255.255.255.0 service-manage https permit quit web-manager enable然后在拓扑里拖一台PC配192.168.0.2/24浏览器访问https://192.168.0.1:8443常见默认用户名是admin。防火墙默认安全策略是全拒绝的只把管理口开起来还不够内网访问外网还需要一条安全策略security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit quit quit这段意思是放行从trust区域到untrust区域的流量。防火墙的接口默认所属区域不一定是你想要的配策略前先看接口在哪个zone避免策略写了但接口区域不对报文仍然被丢。Web登录界面出来之前问题多半在管理口服务和8443端口上不要急着改安全策略先用display ip interface brief确认管理口UP。5. eNSP启动报40的排查虚拟化版本、蓝屏与Web登录的坑5.1 设备启动卡在40%并提示错误40现象点击路由器或交换机的启动按钮设备图标停在40%位置几秒后弹窗提示启动失败日志里出现错误40或AR设备相关报错。这个问题在AR系列路由器上出现频率最高因为eNSP的AR设备依赖VirtualBox虚拟化和Windows系统自带的Hyper-V、内核隔离功能互相冲突。原因VirtualBox版本与eNSP不匹配或者Windows虚拟化被Hyper-V占用。常见组合是eNSP V100R003C00SPC100配VirtualBox 5.2.x这个组合能稳定运行装了新版本VirtualBox或者在Win11上开启Hyper-V就很容易出现40错误。解决先打开任务管理器确认CPU虚拟化已启用没有的话进BIOS开启VT-x再以管理员身份打开PowerShell执行bcdedit /set hypervisorlaunchtype off并重启最后卸载重装VirtualBox换回eNSP要求的版本。注意这个命令会关闭Hyper-V如果你日常依赖Hyper-V跑别的虚拟机就不要关换成eNSP Pro或改用WSL不启用Hyper-V的模式。设备启动报40在你前面加防火墙实验时尤其常见因为USG6000V也是对虚拟化最敏感的一类设备。5.2 命令行窗口黑屏或日志刷屏看不清配置现象设备启动成功但CLI窗口一直黑屏按回车没反应或者显示大量调试信息display current-configuration还没看完就被端口UP/DOWN日志刷掉。原因黑屏一般是因为设备还在初始化或者没有点击窗口让焦点落在CLI上刷屏是因为设备默认开启终端调试和日志显示每次接口状态变化都会打印。这个现象不是配置错误别急着重启设备。解决先点CLI窗口多按几次回车等提示符出现。如果已经进入命令行但刷屏严重在用户视图下关掉日志和调试输出undo terminal monitor undo terminal debugging这两条命令只是关掉终端显示不影响设备运行。刷屏清掉后最有效的查看方式是display current-configuration配置比较长时直接在显示内容里找接口名或者用display vlan、display ip interface brief这些小视图定向查看。很多人问“eNSP清空命令行窗口”其实做的就是这个操作不是清屏技巧而是把会刷屏的日志关掉才能真正看清配置。5.3 多台设备同时启动导致蓝屏现象拓扑比较大点“全部启动”十几台设备一起转电脑风扇狂转接着直接蓝屏重启。原因这是eNSP最典型的资源瓶颈。AR路由器每台是一个VirtualBox虚拟机默认内存分配不低同时启动十台AR内存占用会达到十几GB普通16G内存的电脑完全扛不住S5700交换机相对轻量但多台一起运行也需要CPU资源。解决压规模、调内存。拓扑里能少用AR就少用接入层尽量用S5700代替AR只有出口和核心才用AR在设备属性里把AR的内存从默认值调低比如512MB每台能省下几百MB。启动顺序也要讲究先启动核心交换机等它完全起来再启动接入和终端不要在设备还没UP时点“全部启动”。如果实验规模确实大拆成多个工程分包跑或者用eNSP Pro这种更吃配置的版本前先评估自己电脑内存。蓝屏问题在早期版本尤其容易触发配置前保存一次工程相当于给自己一个后悔药。5.4 zip包解压后工程打不开或设备全是红色现象下载的ensp.zip解压后双击.ens工程文件提示无法识别或版本过低打开后设备图标红色启动时提示找不到镜像文件。原因eNSP工程文件本身是文本格式的拓扑描述但会记录设备镜像的运行路径。换了一台电脑后镜像安装目录不同工程里记录的路径失效另外高版本eNSP保存的工程老版本软件打不开这一点和很多工具软件不兼容规则一致。解决先确认eNSP版本。V100R003C00SPC100生成的工程用SPC200T能打开反过来不行。设备图标变红时检查eNSP的“工具”里的设备注册表看交换机、路由器镜像是否都显示“注册成功”如果显示未注册说明设备包没有正常安装重新安装对应设备包。打开别人给的zip工程前先看对方写的版本说明避免浪费时间反复导入。交付给别人的工程zip里最好放一个文本说明写明eNSP版本、VirtualBox版本和设备内存要求能省掉一大部分沟通成本。5.5 防火墙Web登录不上现象USG6000V启动正常但浏览器访问https://192.168.0.1:8443提示超时或无法访问。原因最常见的是防火墙管理口没有开启service-manage https permit或者测试PC和防火墙不在同一网段部分eNSP版本里防火墙Web服务还要用web-manager enable显式开启。解决先在防火墙CLI下执行display ip interface brief确认GE1/0/0地址是192.168.0.1再检查配置里有没有service-manage https permit和web-manager enable。测试PC的IP必须是192.168.0.2/24这类同网段地址浏览器地址栏必须带https://不要用http。如果本机访问一直登不上直接拖一个拓扑内PC配同网段地址去访问绕开本机网卡和系统代理的干扰这个办法在模拟器里成功率最高。6. 用ping与抓包验证整网再把工程打包成zip交付6.1 验证连通性的最小步骤配置全部完成后不要急着保存工程先按层次验证。在办公PC上ping 192.168.10.254通了说明接入交换机VLAN和trunk没问题再ping 192.168.40.10通了说明核心交换机VLANIF之间能路由在外网Client上ping 100.64.1.2通了说明出口路由和NAT工作正常。如果哪一步不通回到对应设备执行display vlan看端口VLAN、display ip routing-table看路由再用display nat session all看NAT会话是否建立。这个顺序能把故障范围从整网逐步缩小到某一条链路比从头到尾翻配置高效得多。6.2 抓包确认DHCP和NAT细节再打包交付验证连通性只是第一步DHCP能不能正确分到IP、NAT转换出来的源地址是什么单靠ping看不出来。在eNSP中对PC和交换机之间的连线开启数据抓包用Wireshark观察DHCP的Discover、Offer、Request、ACK四个过程能直接看到分配到的IP和网关在路由器外网接口抓包能看到内网地址被转换后的报文。我每次提交工程前必做这一步因为配置命令看着全对但DHCP地址池和VLANIF绑错接口这种事太隐蔽只有抓包能看到真实报文。打包交付时把工程文件.ens、验证截图和配置文档放进同一个目录用zip压缩。文件命名写成“中小型企业网eNSP工程_v1.0.zip”内部放一个README写明eNSP版本、VirtualBox版本和运行内存要求。对方按说明打开就不会被设备40错误和红叉卡住。我自己在第一次交付工程时就吃过版本亏用SPC100保存的工程发给同事对方也是SPC100却提示镜像缺失折腾半天才发现他的虚拟化环境不同。从那以后我养成两个习惯交付包一定写版本验证完一定删掉临时抓包文件和.ens的旧备份只留一份干净的最终工程。希望帮到你。本文还有配套的精品资源点击获取