★ FEATURED ARTICLE 简介这份资源面向备战华为ICT大赛网络赛道的高校学生与指导教师聚焦2022-2023年度国赛实验ESNP真题及完整详细答案帮助读者在赛前系统演练网络设计、设备配置与故障排查等核心技能。压缩包共34个文件约82KB以efz设备镜像、cfg配置文件、xml终端描述、topo拓扑及zip配置包为主并区分完整实验环境与仅拓扑两个版本前者含设备配置、服务器设置与所需网络服务便于还原真实赛场后者仅保留网络结构适合专注架构逻辑与数据流向分析。目前已有1034人学习下载可作为赛前训练与教学参考。读者可据此搭建模拟环境、对照答案复盘配置思路、检验排错能力并从宏观拓扑理解设备互联关系为深入掌握网络技术打下基础。1. 从一道国赛实验题说起eNSP 里到底在考什么很多人第一次接触华为 ICT 大赛网络赛道的国赛实验都是在 eNSP 里对着一份拓扑图发愣——设备不多连线也不复杂但要求里同时出现了 VLAN、OSPF、BGP、MPLS、防火墙策略、NAT 和链路聚合。你打开设备敲了两条命令发现邻居起不来回显里全是Down或者Init然后就开始怀疑自己是不是连 IP 都配错了。这个标题指向的是一套完整的园区加骨干网综合实验用 eNSP 模拟器搭出一张包含接入层、汇聚层、核心层和出口边界的小型网络然后在上面跑通二层隔离、三层互通、动态路由、策略控制和出口访问。它解决的不是某一个知识点而是“把十几个零散协议串成一条能通的路”这件事。适合已经学过 HCIA/HCIP 基础命令、但一上综合拓扑就不知道从哪下手的人也适合想复盘国赛实验思路的备赛者。2. 实验拓扑怎么拆先分清二层边界和三层边界2.1 拿到拓扑图先做三件事我一般不会急着敲命令而是先做三件事标接口、划广播域、定路由域。标接口是把拓扑图上每根线的两端设备名和接口号写下来比如LSW1-G0/0/1连LSW2-G0/0/1这一步能避免后面配 Trunk 时把接口搞反。划广播域是看哪些接口属于同一个 VLAN哪些接口要跑 Trunk哪些接口要跑三层路由。定路由域是看哪些设备属于同一个 OSPF 区域哪些设备之间要跑 BGP出口边界在哪里。这三件事做完你手里应该有一张表而不是一张图。表里至少包含设备名、接口、IP 地址、VLAN ID、链路类型、所属路由协议。没有这张表后面排错就是黑匣子。2.2 接入层和汇聚层的 VLAN 规划接入层通常放 Access 接口接终端或者模拟 PC。汇聚层放 Trunk 接口允许相关 VLAN 通过。国赛实验里常见的做法是接入交换机上创建业务 VLAN 和管理 VLAN上行口配 Trunk汇聚交换机上配对应的 VLANIF 作为网关。# 接入交换机 LSW1 配置示例 system-view sysname LSW1 vlan batch 10 20 100 # 连接终端的接口划入 VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit # 连接终端的接口划入 VLAN 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit # 上行 Trunk 接口允许业务 VLAN 和管理 VLAN 通过 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 100 quit这段配置的逻辑是终端接口不需要打标签所以用 Access上行接口要携带多个 VLAN 的标签所以用 Trunk。port trunk allow-pass vlan后面跟的 VLAN 列表必须和汇聚层的 VLANIF 对应否则流量到了汇聚层会被丢弃。参数上唯一容易翻车的是 PVID如果 Trunk 口没有显式配置port trunk pvid vlan默认是 VLAN 1管理流量可能会跑到错误的广播域里。2.3 汇聚层网关和 DHCP 怎么落汇聚交换机上要配 VLANIF 接口作为网关同时如果实验要求终端自动获取地址还要配 DHCP 池。这里有个细节DHCP 池的网关地址必须和 VLANIF 接口地址一致否则终端拿到地址也出不去。# 汇聚交换机 LSW2 配置示例 system-view sysname LSW2 vlan batch 10 20 100 # VLANIF 10 作为 VLAN 10 的网关 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 quit # VLANIF 20 作为 VLAN 20 的网关 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 quit # 开启 DHCP地址池给 VLAN 10 用 dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 quit # 在 VLANIF 接口上调用全局地址池 interface Vlanif10 dhcp select global quitdhcp enable是全局开关不开的话接口下配了dhcp select global也不生效。gateway-list写的是终端要访问的网关地址不是 DHCP 服务器自己的地址。如果实验里要求用接口地址池那就把dhcp select global换成dhcp select interface然后不需要单独建ip pool。两种方式不要混用混用会导致地址分配混乱。3. 路由协议怎么串OSPF 管内部BGP 管边界3.1 OSPF 区域划分和邻居建立条件国赛实验里 OSPF 通常跑在汇聚层和核心层之间有时也会延伸到出口路由器。区域划分一般是一个骨干区域 0加上若干非骨干区域。邻居建立不起来九成是下面几个条件没满足接口没使能 OSPF、区域 ID 不一致、Hello 和 Dead 定时器不一致、网络类型不一致、认证不匹配。# 核心交换机 LSW3 上启用 OSPF system-view sysname LSW3 ospf 1 router-id 3.3.3.3 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 10.0.0.0 0.0.0.255 quit quitrouter-id建议手工指定用环回口地址或者规划好的管理地址不要依赖自动选举。network命令后面的反掩码要算对0.0.0.255对应/24写错的话接口不会参与 OSPF。如果邻居卡在Init状态先查 Hello 报文有没有发出去卡在ExStart多半是 MTU 不一致卡在2-Way在广播网络里是正常的但在点对点网络里就不正常。3.2 BGP 邻居和路由宣告出口边界通常要跑 BGP和外部网络交换路由。eNSP 里配 BGP 邻居最常见的问题是peer地址写错或者connect-interface没指定。IBGP 邻居建议用环回口建立EBGP 邻居用直连接口地址。# 出口路由器 R1 配置 BGP system-view sysname R1 bgp 65001 router-id 1.1.1.1 peer 10.0.0.2 as-number 65002 peer 10.0.0.2 connect-interface GigabitEthernet0/0/1 ipv4-family unicast network 192.168.10.0 255.255.255.0 network 192.168.20.0 255.255.255.0 peer 10.0.0.2 enable quit quitpeer后面的地址是对端设备的接口地址as-number是对端所在的 AS 号。connect-interface指定用哪个本地接口去建立 TCP 连接EBGP 直连时通常不用改IBGP 用环回口时必须指定。network命令宣告的是本地路由表里已经存在的路由如果路由表里没有BGP 不会凭空产生一条路由。这一点和 OSPF 的network不一样OSPF 的network是接口使能BGP 的network是路由注入。3.3 路由引入和策略控制有时候实验要求把 OSPF 路由引入 BGP或者把 BGP 路由引入 OSPF。引入的时候如果不加策略很容易出现次优路径或者路由环路。常见做法是用route-policy或者filter-policy控制引入范围。# 在 R1 上把 OSPF 路由引入 BGP并打上 community 标记 system-view route-policy ospf-to-bgp permit node 10 if-match ip-prefix allow-ospf apply community 65001:100 quit ip ip-prefix allow-ospf index 10 permit 192.168.10.0 24 ip ip-prefix allow-ospf index 20 permit 192.168.20.0 24 bgp 65001 ipv4-family unicast import-route ospf 1 route-policy ospf-to-bgp quit quitroute-policy的节点号越小越先匹配permit表示允许通过if-match是匹配条件apply是执行动作。ip-prefix用来精确匹配网段比 ACL 更适合做路由过滤。如果引入后发现路由数量不对先看display bgp routing-table里有没有对应的条目再看display route-policy确认策略有没有生效。4. 出口和策略NAT、防火墙、链路聚合一个都不能少4.1 NAT 的几种模式和适用场景出口路由器上通常要配 NAT让内网地址能访问外部网络。eNSP 里支持 Easy IP、地址池 NAT 和 NAT Server。Easy IP 直接用接口地址做转换适合拨号或者地址不固定的场景地址池 NAT 适合有多个公网地址的场景NAT Server 用于把内网服务器映射出去。# R1 上配置 Easy IP system-view acl number 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quitacl 2000是基本 ACL只匹配源地址。nat outbound 2000表示匹配 ACL 2000 的流量做地址转换转换时用接口地址。如果实验要求用地址池就把nat outbound 2000改成nat outbound 2000 address-group 1然后提前配好nat address-group 1。注意 ACL 的规则顺序rule 5比rule 10先匹配写反了会导致部分网段不被转换。4.2 防火墙区域和策略配置如果拓扑里有防火墙通常要划分 Trust、Untrust、DMZ 区域然后配安全策略控制流量。防火墙默认拒绝所有流量所以策略必须显式放行。# 防火墙 FW1 配置示例 system-view sysname FW1 interface GigabitEthernet0/0/1 ip address 192.168.10.254 255.255.255.0 quit interface GigabitEthernet0/0/2 ip address 10.0.0.1 255.255.255.0 quit firewall zone trust add interface GigabitEthernet0/0/1 quit firewall zone untrust add interface GigabitEthernet0/0/2 quit security-policy rule name trust-to-untrust source-zone trust destination-zone untrust source-address 192.168.10.0 mask 255.255.255.0 action permit quit quitfirewall zone把接口加入区域security-policy里的rule name是策略名称source-zone和destination-zone定义流量的方向action permit表示放行。如果策略配了但不生效先看display security-policy rule all确认规则有没有命中再看display firewall session table看会话有没有建立。防火墙的坑在于区域划分和接口 IP 必须对应接口没加入区域的话策略匹配不到。4.3 链路聚合和 Eth-Trunk 配置核心层和汇聚层之间如果有多条链路通常会做链路聚合。eNSP 里支持手工负载分担和 LACP 两种模式。手工模式配置简单但无法检测链路故障LACP 模式可以协商更可靠。# 核心交换机 LSW3 上配置 Eth-Trunk system-view interface Eth-Trunk1 mode lacp-static port link-type trunk port trunk allow-pass vlan 10 20 100 quit interface GigabitEthernet0/0/1 eth-trunk 1 quit interface GigabitEthernet0/0/2 eth-trunk 1 quitmode lacp-static表示静态 LACP 模式两端都要配成一样的模式否则聚合口起不来。eth-trunk 1把物理接口加入聚合组加入之前物理接口上的配置会被清掉所以要先配 Eth-Trunk 逻辑口再把物理口加进去。如果聚合口状态是Down先看两端模式是否一致再看物理口有没有Up。5. 避坑排查那些让邻居起不来、路由不通的细节5.1 现象OSPF 邻居卡在 Init 或 Down原因通常是接口没使能 OSPF或者 Hello 报文被 ACL 过滤了。解决方法是先在接口下display ospf interface确认接口有没有加入 OSPF再用display ospf peer看邻居状态。如果接口加入了但邻居还是 Down检查两端区域 ID 和认证配置是否一致。5.2 现象BGP 邻居建立不起来原因可能是peer地址写错、connect-interface没指定、或者 TCP 179 端口被拦截。解决方法是先ping对端地址确认三层可达再用display bgp peer看状态。如果状态是Idle多半是 TCP 连接没建立如果是Active说明在尝试连接但没成功。5.3 现象VLAN 间能通但访问外网不通原因通常是 NAT 没配或者 ACL 没匹配到流量。解决方法是先在出口路由器上display nat session all看有没有会话再看display acl 2000确认规则有没有命中。如果 ACL 命中了但 NAT 没转换检查nat outbound有没有应用到正确的接口。5.4 现象链路聚合口起来但流量不通原因可能是两端模式不一致或者 Trunk 允许的 VLAN 列表不匹配。解决方法是display eth-trunk 1看成员口状态再display port vlan看 Trunk 口的 VLAN 允许列表。如果成员口是Unselect说明 LACP 协商失败检查两端模式。5.5 现象防火墙策略配了但不生效原因可能是接口没加入区域或者策略的源目地址写错。解决方法是display firewall zone确认接口所属区域再display security-policy rule all看规则有没有命中。如果规则命中了但流量还是不通检查display firewall session table看会话有没有建立。6. 复盘方法怎么用一套实验覆盖更多考点这套实验做完之后不要急着关掉 eNSP。我一般会做三件事第一把每台设备的配置文件导出来用文本对比工具看哪些配置是必须的哪些是冗余的第二把拓扑里的某一条链路断掉看路由能不能自动收敛收敛时间是多少第三把某个协议的参数改掉比如把 OSPF 的 Hello 时间从 10 秒改成 5 秒看邻居会不会重新建立。# 导出当前配置到本地 display current-configuration # 查看 OSPF 邻居和路由表 display ospf peer brief display ip routing-table protocol ospf # 查看 BGP 路由和邻居状态 display bgp routing-table display bgp peer # 查看 NAT 会话和防火墙会话 display nat session all display firewall session table这些命令不是敲一次就完事而是要在不同阶段反复看。比如 OSPF 邻居刚起来的时候看一次断掉一条链路之后再看一次对比display ospf peer里的状态变化和display ip routing-table里的路由增减。BGP 的路由表要看display bgp routing-table里的Status字段*表示有效最优*表示有效但不是最优*i表示从 IBGP 学到的。进阶一点的做法是把实验里的某个协议换成另一种实现方式。比如把 OSPF 换成 IS-IS把静态 NAT 换成 NAT Server把手工链路聚合换成 LACP。每换一次你都会遇到新的报错而排错的过程就是真正把知识点吃透的过程。我自己的习惯是每做完一套实验至少留出半小时专门用来“搞破坏”——断链路、改参数、删配置然后看设备怎么反应。这个习惯帮我省了很多后悔药因为真正比赛或者上生产的时候故障不会按实验手册来。希望帮到你。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
