提示文章写完后目录可以自动生成如何生成可参考右边的帮助文档文章目录前言一、项目背景二、拓扑规划与 IP 设计三、配置步骤1.核心配置步骤1.连通性测试验证四、安全策略部署与“踩坑”实录五、项目总结前言本文记录了一次基于华为 eNSP 模拟器的工厂网络规划实战。从零开始完成了 VLAN 划分、跨网段路由配置并通过 ACL 安全策略实现了生产区与办公区的单向隔离。其中记录了在 eNSP 模拟器下遇到的 ICMP 回包与版本限制等“天坑”希望能给同样在学网络技术的同学提供一些排错思路。一、项目背景在真实的制造企业中为了保证生产数据的安全通常需要将“生产区”与“办公区”的网络进行严格的逻辑隔离。本项目基于华为 eNSP 模拟器采用“核心-接入”两层架构规划了 VLAN 隔离并通过核心交换机实现跨网段路由最后利用高级 ACL 实现安全访问控制。二、拓扑规划与 IP 设计本项目采用“核心-接入”两层架构具体规划如下生产区VLAN10网段192.168.10.0/24网关地址192.168.10.1部署与核心交换机Vlanif 10 接口 办公区VLAN20网段192.168.20.0/24网关地址192.168.20.1部署与核心交换机Vlanif 20 接口三、配置步骤1.核心配置步骤配置如下① 接入层交换机配置以生产区 LSW2 为例配置思路创建对应VLAN将连接终端的接口配置为Access模式并划入VLAN将上行连接核心交换机的接口配置为Trunk模式并放行所有VLAN。Huawei sys [Huawei] sys prod-sw [prod-sw] vlan batch 10 //配置终端接入端口 [prod-sw] int e0/0/1 [prod-sw-Ethernet0/0/1] port link-type acc [prod-sw-Ethernet0/0/1] port def vlan 10 [prod-sw] int e0/0/2 [prod-sw-Ethernet0/0/2] port link-type acc [prod-sw-Ethernet0/0/2] port def vlan 10 //配置上联Trunk端口 [prod-sw] int g0/0/1 [prod-sw-GigabitEthernet0/0/1] port link-type tr [prod-sw-GigabitEthernet0/0/1] port tr allow-pass vlan all② 核心交换机网关配置LSW1配置思路创建所有业务VLAN配置上联接口为Trunk并通过Vlanif接口配置各网段的网关IP实现跨网段路由。Huawei sys [Huawei] sys Core-SW [Core-SW] vlan batch 10 20 //配置与接入层互联的Trunk接口 [Core-SW] int g0/0/1 [Core-SW-GigabitEthernet0/0/1] port link-type tr [Core-SW-GigabitEthernet0/0/1] port tr allow-pass vlan all [Core-SW] int g0/0/2 [Core-SW-GigabitEthernet0/0/2] port link-type tr [Core-SW-GigabitEthernet0/0/2] port tr allow-pass vlan all //配置VLANIF网关IP [Core-SW] int Vlanif 10 [Core-SW-Vlanif10] ip address 192.168.10.1 24 [Core-SW] int Vlanif 20 [Core-SW-Vlanif20] ip address 192.168.20.1 241.连通性测试验证注在PC1上使用ping命令测试跨网段通信验证核心交换机VLANIF路由生效。四、安全策略部署与“踩坑”实录需求办公区不能主动访问生产区但生产区可以访问办公区。[Core-SW] acl 3000 [Core-SW-acl-adv-3000] rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 [Core-SW] interface Vlanif 20 [Core-SW-Vlanif20] traffic-filter inbound acl 3000遇到的天坑与排错思路· 坑一ICMP 双向回包引发“全网瘫痪”初次在核心交换机Vlanif 20接口应用ACL后用PC3办公区去ping PC1生产区发现全部Request timeout这符合预期。但是反过来用PC1 ping PC3竟然也不通了排错思路深入分析ICMP协议后发现Ping是双向的。虽然PC1发出的“请求包Echo Request”能顺利到达PC3但 PC3 返回的“回应EchoReply”在出门时源地址是192.168.20.x触发了Vlanif 20上的deny ip规则被直接丢弃了。· 坑二核心Vlanif接口“假死”与模拟器底层限制解决方案为了解决回包被误杀的问题需要精细化匹配ICMP报文类型补充一条rule permit icmp … icmp-type echo-reply规则优先放行回包。 然而遇到了更深的坑在补全完美规则后重新下发到核心交换机Vlanif 20接口eNSP模拟器竟然提示Unrecognized command或出现“配置生效但底层直接无视放行”的假死Bug。尝试将策略绑定在物理Trunk接口又因Trunk带有 802.1Q VLAN标签导致普通ACL无法识别而失效。最终解决方案策略下沉经过反复排障确认这是eNSP模拟器特定镜像的底层限制。最终采用“策略下沉”方案将安全防线前移在办公区接入层交换机LSW3连接终端 PC3的Access物理接口入方向配置并调用全新的高级ACL编号3050。此处数据帧纯净无标签ACL能够精准识别并进行单向隔离。[Office-SW] acl number 3050 [Office-SW-acl-adv-3050] rule 5 permit icmp source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 icmp-type echo-reply [Office-SW-acl-adv-3050] rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 [Office-SW-acl-adv-3050] rule 20 permit ip [Office-SW] interface Ethernet 0/0/1 [Office-SW-Ethernet0/0/1] traffic-filter inbound acl 3050最终测试验证配置完成后进行双向连通性测试验证ACL单向隔离效果· 生产区访问办公区正常互通在PC上ping PC3结果显示Reply from…丢包率0%。· 办公区访问生产区成功阻断在PC3上ping PC1结果显示Request timed out…丢包率100%。结论ACL策略成功生效实现了“办公区无法访问生产区但生产区可正常访问办公区”的工厂安全需求。五、项目总结本次基于eNSP的工厂网络规划实战不仅是一次技术的串联更是对网络运维工程思维的一次全面锻炼主要收获如下1.夯实了数通底层逻辑掌握了华为VRP系统下VLAN划分和Access/Trunk 链路配置以及三层Vlanif路由的底层数据转发流程真正做到了从“理论”走向“实战”。2. 理解了工业安全隔离的工程意义在制造业工厂中生产控制区OT的安全性远高于办公区IT。本次通过高级ACL实现的“单向隔离”办公区不可见生产区生产区可管控办公区高度契合了真实工业网络的安全防护需求。3. 积累了宝贵的“排错”经验在eNSP模拟器中经历了Vlanif接口限制、MQC流策略不兼容、ICMP双向回包被误杀等一系列“天坑”。通过查阅文档、抓包分析和逻辑推理最终采用“物理接口下沉拦截”的方案破局。学会了脱离模拟器死板束缚、直击网络协议本质的排错能力。