★ FEATURED ARTICLE 简介一套基于华为ensp模拟器搭建的典型中小型企业网完整项目资源涵盖网络规划设计、优化与安全加固面向高校网络方向课设/毕设学生及准备网工考证的入门者。压缩包共21个文件含企业网.topo拓扑文件、1份配置文档.docx、9个设备flash镜像.efz、6个xml配置文件及3个备份zip等整体仅949KB可快速导入模拟器复现实验环境。配套报告详细阐述设计思路、拓扑结构、配置步骤与代码、功能测试过程并覆盖VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN及防火墙等主流技术功能综合性强。拓扑和配置代码可直接使用尤其适合不想从零敲命令的课设、毕设场景按文档逐步操作即可完成项目交付。已有5480人学习下载无论是参考设计完整企业网络还是作为网工实操练习素材都具备较高价值。1. eNSP里搭一套带无线版的企业网到底在解决什么问题刚接触eNSP的人十有八九是先照着单机实验敲几组命令ping通就觉得自己会了。真正把人卡住的是一套完整的典型中小型企业网有线无线混在一个拓扑里VLAN要划、DHCP要分、路由要通、NAT要出去无线AP还要能上线、终端要能漫游。整套东西在eNSP里不是能不能做的问题而是做完能不能稳定跑、出了问题从哪查的问题。我见过不少人按教程搭完后无线终端拿到地址却上不了网AC上AP一直显示未连接最后发现是VLAN放行和路由回指漏了这种问题不看全貌根本排查不出来。这篇文章就按实际交付一套企业网的顺序来先讲拓扑和地址规划为什么决定成败再讲有线侧和无线侧分别怎么配置最后把eNSP里最典型的几个坑一次性说透。适合还没完整搭过企业网的人也适合搭过但总是在无线侧翻车的人照着配置能少走很多弯路。2. 拓扑与地址规划先画对图再谈配置2.1 中小型企业网的分层结构与设备选型典型中小型企业网不追求数据中心级别的冗余但也不能所有设备挤在一个交换机上。常规做法是分三层出口层、核心层、接入层无线部分旁挂或直连核心。在eNSP里设备的选型跟你实际项目里选设备是一个逻辑并不是随手指一个设备就能搭出合理拓扑的。我通常会这样搭出口用AR路由器负责NAT和默认路由核心层用一台三层交换机做VLAN网关和DHCP服务器接入层用两台二层交换机分别接有线和无线终端无线部分用一台AC、两台APAC旁挂在核心交换机上AP接在接入交换机上。eNSP里对应设备是AR2220、S5700系列交换机、AC6005或AC6605、AP2050DN等。这里的核心思想是AC和AP必须能通过CAPWAP协议通信AP接入的交换机必须放行管理VLANAC与核心之间的链路必须允许业务VLAN通过否则无线终端就算连上SSID也拿不到地址。拓扑上最容易犯的错是把AC放在出口路由器的下面、核心交换机的上面以为无线流量都从AC绕一圈。其实中小型网里AC主要负责管理和控制数据流量可以直接走核心交换机转发。在eNSP里这种绕法会把链路带宽压死而且多一层故障点。所以我的习惯是AC用一条独立链路接到核心交换机只走管理AP的数据业务通过接入交换机上行到核心不强制经过AC。2.2 IP与VLAN规划表一张表避免后面所有返工地址规划是整个项目里最不能马虎的部分。很多人在eNSP里搭到一半发现VLAN重复、网段冲突然后删了重来就是因为没在配置前画一张完整的规划表。我一般会先定这样的规则管理VLAN单独用一段终端业务VLAN各用一段AP管理VLAN单独一段互连链路单独一段不要让任何两个网段重叠。下面这张表是我在一套模拟项目里实际使用的规划VLAN编号、网段、网关、用途一次定死后面所有配置都围绕这张表展开。VLAN IDIP网段网关用途VLAN 10192.168.10.0/24192.168.10.1办公有线终端VLAN 20192.168.20.0/24192.168.20.1访客无线终端VLAN 30192.168.30.0/24192.168.30.1员工无线终端VLAN 100192.168.100.0/24192.168.100.1AP管理VLAN 99910.0.99.0/3010.0.99.1核心-出口互连这张表里有几点值得注意。AP管理VLAN和业务VLAN必须分开否则AP上线广播会被业务VLAN的广播域干扰而且无线终端拿到管理地址会引发地址冲突。访客VLAN建议单独一个方便后面做访问控制也方便出问题时快速隔离。出口互连用30位掩码的点对点网段不占大段地址也方便静态路由写条目。地址规划定好后还要把交换机端口规划写清楚。接入交换机面向有线电脑的接口划入VLAN 10面向AP的接口划入VLAN 100并且端口类型设置为Trunk放行业务VLAN 20、30和管理VLAN 100。核心交换机上所有连接接入交换机和AC的接口都做Trunk网关地址配在核心上。这样划分后有线无线都在同一套网关体系里后续配置DHCP和路由会非常顺。3. 有线侧配置VLAN、DHCP、路由与NAT这样一步步做3.1 接入与核心交换机配置VLAN划分与Trunk放行先配置核心交换机。在eNSP里S5700的vlan配置语法比较直接核心交换机需要把所有VLAN都创建出来并给每个VLAN配置网关地址也就是VLANIF接口。VLANIF是三层接口用于终端网关和路由交换。# 核心交换机配置 sysname CoreSW vlan batch 10 20 30 100 999 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 # interface Vlanif20 ip address 192.168.20.1 255.255.255.0 # interface Vlanif30 ip address 192.168.30.1 255.255.255.0 # interface Vlanif100 ip address 192.168.100.1 255.255.255.0 # interface Vlanif999 ip address 10.0.99.1 255.255.255.252这里注意VLANIF 999是核心与出口路由器互连的网段掩码30位只有两个可用IP一个给核心一个给路由器。VLAN 100的VLANIF网段是AP管理地址的网关AC上配置的AP管理地址池要以它为准。核心交换机连接接入交换机的接口要做Trunk并且允许所有业务VLAN通过。因为接入交换机上有线终端在VLAN 10AP在VLAN 100无线终端上线后会在VLAN 20或30这些VLAN都要经过核心与接入之间的链路。interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 100 # interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 100接入交换机配置相对简单重点在于面向终端和AP的接口类型区分。面向有线电脑的接口是Access口划入VLAN 10面向AP的接口如果是直连单个AP也可以做Access口划入VLAN 100。但如果AP下面还要串接有线终端就需要把AP口做成Trunk并放行所有业务VLAN。在eNSP典型的带无线版企业网里AP单独接在交换机上用Access口划管理VLAN最省事。# 接入交换机配置示例 sysname AccessSW1 vlan batch 10 20 30 100 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # interface GigabitEthernet0/0/2 port link-type access port default vlan 100 # interface GigabitEthernet0/0/10 port link-type trunk port trunk allow-pass vlan 10 20 30 100这段配置里G0/0/1接有线电脑G0/0/2接APG0/0/10上连核心交换机。这里有个细节AP接入口划入VLAN 100后AP发出的CAPWAP发现报文就会带上VLAN 100的标签AC只要也在VLAN 100里就能收到。如果发现AP始终不上线先查这个口有没有划对VLAN其次查上联Trunk有没有放行VLAN 100。在eNSP里漏掉Trunk放行是最高频的错误。3.2 DHCP服务用核心交换机给终端和AP分发地址中小型网的DHCP服务我一般放在核心交换机而不是出口路由器上。原因是核心交换机离业务VLAN网关最近DHCP请求在同一个三层设备上处理不需要跨设备中继排错也简单。在eNSP里核心交换机配置DHCP需要先开启DHCP服务然后创建地址池最后在VLANIF接口上启用。# 核心交换机DHCP配置 dhcp enable # ip pool vlan10_pool network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 8.8.8.8 114.114.114.114 lease day 1 hour 0 minute 0 # ip pool vlan20_pool network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 8.8.8.8 114.114.114.114 # ip pool vlan30_pool network 192.168.30.0 mask 255.255.255.0 gateway-list 192.168.30.1 dns-list 8.8.8.8 114.114.114.114 # ip pool vlan100_pool network 192.168.100.0 mask 255.255.255.0 gateway-list 192.168.100.1 dns-list 8.8.8.8 114.114.114.114 # interface Vlanif10 dhcp select global # interface Vlanif20 dhcp select global # interface Vlanif30 dhcp select global # interface Vlanif100 dhcp select global参数说明dhcp select global表示接口使用全局地址池地址池名称可以自定义但网段、网关必须和VLANIF一致。DNS服务器地址在eNSP里可以填公网DNS模拟器里只要客户端能解析就行。lease默认是1天也可以不改。有一个关键点VLAN 100地址池是给AP用的。AC在管理AP时会从VLAN 100网段给AP分配IP所以这个地址池必须在核心上配好否则AP拿不到管理地址AC侧会一直显示AP离线。我在实际配置中遇到过AP反复重启的现象最后发现是VLAN 100地址池被误删AP每次起来都拿不到地址然后重新请求看起来就是一直在闪断。3.3 出口路由与NAT让内网访问外网有线侧最后一步是让内网能访问外网。出口路由器AR2220需要配置IP地址、静态路由回指内网以及NAT地址转换。核心交换机需要写一条默认路由指向出口路由器。# 出口路由器配置 interface GigabitEthernet0/0/0 ip address 10.0.99.2 255.255.255.252 # interface GigabitEthernet0/0/1 ip address 200.2.2.2 255.255.255.0 # ip route-static 192.168.10.0 255.255.255.0 10.0.99.1 ip route-static 192.168.20.0 255.255.255.0 10.0.99.1 ip route-static 192.168.30.0 255.255.255.0 10.0.99.1 ip route-static 192.168.100.0 255.255.255.0 10.0.99.1 # acl number 2001 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 rule 15 permit source 192.168.30.0 0.0.0.255 # interface GigabitEthernet0/0/1 nat outbound 2001核心交换机侧要补一条默认路由ip route-static 0.0.0.0 0.0.0.0 10.0.99.2这段配置里ACL 2001定义了允许被NAT转换的内网网段nat outbound 2001在出口接口上将匹配的源地址转换成公网IP。注意ACL只匹配了业务网段没有匹配VLAN100管理网段。管理网段不需要访问外网所以不用放进去。这里有个习惯问题有些人习惯把nat outbound放在ACL下面加一条rule 20 permit source 192.168.100.0我建议不放AP管理地址少一条外网路径更安全。配置完成后在核心交换机上ping出口路由器的互连地址再ping外网地址。如果ping不通优先查接口IP和静态路由。在eNSP里AR2220默认接口是打开的但需要确认ip route-static的目的网段写全少一条VLAN100的路由AP管理流量就出不去虽然不影响AC上线但在排错时会产生误导。4. 无线侧配置ACAP组网与漫游4.1 无线方案选型ACAP vs 胖APeNSP里怎么选中小型企业网的无线部分在eNSP里有两种常见做法一种是ACAP的瘦AP方案一种是直接用支持无线功能的AP当胖AP。胖AP配置简单但每个AP都要单独管理SSID、密码、信道都要挨个配不适合多AP场景。ACAP方案里AP不承载配置所有无线参数集中在AC上下发AP上线后自动获取配置这跟实际企业网的交付习惯一致。我建议在eNSP里直接选ACAP方案理由有两点。第一你以后写简历、做项目ACAP是主流技能胖AP只能算单机玩具第二eNSP里AC和AP之间的CAPWAP交互是现成的可以把上线、下发配置、漫游这一整条链路都验证明白。设备选型上AC选AC6005AP选AP2050DN这两个在eNSP里配合比较稳定。组网上AC旁挂在核心交换机上用三层方式管理AP。AP接到接入交换机的VLAN 100口通过DHCP拿到192.168.100.x的地址然后去发现AC。发现AC可以靠广播也可以直接指定AC源地址。三层组网时建议在AC上配置capwap source ip-address指定AC的管理IPAP侧通过DHCP下发的option 43或者直接在AP上配置静态AC地址来找AC。eNSP里最常见的方式是让AP和AC都在VLAN 100里用二层广播发现这样最简单。4.2 AC上配置WLANSSID、安全模板与AP上线AC配置是无线侧的核心也是新手最懵的部分。因为AC上的配置不是一条命令能搞定而是要拆成多个模板再把模板关联起来。配置时头脑要清楚顺序是先建VLAN再建DHCP或使用核心下发的地址然后配置AC的源接口让AP能上线最后才是配置SSID、安全策略和VAP。# ACAC6005配置 vlan batch 20 30 100 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20 30 100 # interface Vlanif100 ip address 192.168.100.254 255.255.255.0 # capwap source ip-address 192.168.100.254 # wlan ssid id 1 name EMPLOYEE security-profile name emp_sec security wpa2 psk pass-phrase admin123 aes quit ssid-profile name emp_ssid ssid EMPLOYEE quit vap-profile name emp_vap service-vlan vlan-id 30 ssid-profile emp_ssid security-profile emp_sec quit ap-group name default vap-profile emp_vap wlan 1 radio 0 vap-profile emp_vap wlan 1 radio 1 quit这段配置有几个关键参数要说明。ssid id 1 name EMPLOYEE定义了一个SSIDsecurity wpa2 psk pass-phrase admin123 aes使用WPA2-PSK加密密码注意长度在8到63位之间。service-vlan vlan-id 30指定无线用户的业务VLAN为VLAN 30核心交换机上VLAN 30的DHCP地址池会分给无线终端。ap-group把VAP模板绑定到AP的射频口上radio 0和radio 1分别对应2.4G和5G射频。在eNSP里常见的AP上线问题是AC上已经配置好了一切但AP还是一直显示未注册。这种时候要先检查AC的capwap source地址是否和AP能通信的地址一致。比如核心上给AP分的地址是192.168.100.1作为网关AC的Vlanif100地址是192.168.100.254那CAPWAP源地址就必须是192.168.100.254如果写成192.168.100.1AP能ping通AC但依然无法注册因为CAPWAP报文从错误的源发出AP会拒绝。4.3 让无线终端拿到地址并测试漫游无线终端在模拟器里怎么测试eNSP没有手机终端但可以用一台STA设备或者用PC模拟无线终端。常见做法是给PC加一块无线网卡连接到AP上然后在PC上DHCP获取地址。如果配置正常无线终端会拿到192.168.30.x网段的地址。在AC上可以查看AP和无线终端的关联信息display ap all display station assoc-info第一条命令查看AP是否处于正常在线状态。第二条命令查看已关联的无线终端正常输出会显示终端MAC、关联的AP名称和VLAN。如果终端关联上了但拿不到地址问题大概率在核心交换机的VLAN 30 DHCP配置或者在AC的VAP模板里service-vlan配错。我遇到过一次无线终端拿到VLAN 100的地址说明AC上VAP模板的service-vlan没生效或AC的trunk口没有放行VLAN 30。漫游测试在eNSP里也能做虽然模拟器不能像真实环境那样物理移动但可以通过手动切换终端的关联AP来验证。具体操作是在两张AP之间切换STA的关联然后看AC上的station assoc信息是否跟着变化以及切换过程中终端IP是否保持不变。只要业务VLAN一致、网关在核心上漫游后IP不会变因为DHCP地址池是整个VLAN共享的。如果你发现在切换后终端重新申请地址说明网络架构不是同一二层域AC上又没有开启快速漫游这在模拟器里也属于正常现象但可以作为判断漫游机制的参考。5. 常见问题与避坑eNSP里最容易被卡住的7个细节5.1 AP一直显示未注册AC发现不了现象AC上display ap all显示AP状态为未注册或离线AP侧指示灯不亮或一直重启。原因AP和AC不在同一VLAN或者AC的CAPWAP源地址配错也可能是接入交换机上AP所接端口没有放行VLAN 100。解决先查核心交换机上VLAN 100能否ping通AP再查AC上capwap source ip-address是否与AP侧网关一致最后确认AP接的交换机端口划在了VLAN 100且上联Trunk放行了VLAN 100。在eNSP里这三个位置按顺序查一般五分钟内能定位。5.2 无线终端连上SSID但拿不到IP地址现象终端能关联到AP显示已认证但DHCP一直超时IP始终是169.254.x.x。原因AC的VAP模板里service-vlan配置的VLAN和实际业务VLAN不一致或该VLAN在核心交换机上没有配置DHCP。另一个容易忽略的点是AC与核心之间的Trunk接口没有放行业务VLAN。解决在AC上看display vap确认业务VLAN回到核心交换机检查dhcp select global是否配置在对应VLANIF下同时检查AC上联口trunk allow-pass。5.3 无线正常但ping不通外网现象无线终端能拿到IP能ping通网关和核心但ping外网地址不通。原因出口路由器的NAT ACL里没有包含无线业务网段或者核心交换机没有配置指向出口的默认路由。解决在出口路由器上查看ACL 2001确认包含192.168.30.0网段再看nat outbound是否调用。如果路由和NAT都对在出口路由器上抓包看是否有无线网段的流量到达出口。5.4 有线终端和无线终端之间ping不通现象同一台核心交换机下VLAN 10的有线PC和VLAN 30的无线STA互ping失败。原因直接用trunk连接的不同VLAN默认不会互通因为网关在核心上核心交换机没有启用VLAN间路由或配置了acl拦截。解决在核心交换机上确认三个业务VLAN的VLANIF都已配置并且没有策略端到端拦截。在eNSP里默认VLAN间路由是通的如果ping不通优先检查两台交换机的Trunk是否放行了双方VLAN。5.5 保存配置后重启eNSP里所有配置丢失现象在eNSP里敲完所有配置关闭或重启设备后配置全没了。原因没有执行save命令或save时因为拓扑未完全关闭导致写入失败。解决在每台设备上执行save文件名带上设备名比如save coreSW.cfg确保所有设备都显示配置保存成功。eNSP里还建议在搭建实验时定期保存工程文件设备配置和拓扑文件分开保存避免一方损坏。5.6 VLAN 100地址池被业务网段占用AP地址冲突现象AP反复重启AC上AP状态频繁在注册和离线之间跳变。原因AP管理VLAN和无线业务VLAN地址重叠比如VLAN 100配了192.168.30.0网段AP和终端抢地址。解决这是地址规划问题只能重新划VLAN和网段。把VLAN 100单独设置为192.168.100.0/24同时检查核心交换机上有没有其他VLAN误用了相同网段。5.7 配置AC时找不到wlan命令现象进入AC设备后输入wlan提示命令不存在。原因AC没有进入无线控制模式或者vlan/接口配置还没创建。在eNSP里AC6005默认支持无线功能但要求先完成VLAN配置和接口放行。解决先配置VLAN和接口确保AC的系统视图下有wlan命令。如果仍不行检查设备型号是否选成了普通交换机有的版本里AR路由器不支持无线控制。6. 验证与进阶从能跑到能交付的几个额外动作整个拓扑搭完不要看到无线终端能上网就以为结束了。我习惯做一轮从用户角度的验收有线PC ping外网无线STA ping外网有线无线互访AC上查看AP和终端关联最后再验证一次重启后配置是否还在。这些动作看着简单但能暴露很多隐性坑。比如无线终端能上QQ但打不开网页多半是DNS没下发有线终端能互访但出口NAT不转换多半是ACL漏了网段。进阶一点建议给访客VLAN做访问控制。在核心交换机上配置ACL让VLAN 20只能访问外网不能主动访问VLAN 10和VLAN 30的内网资源。命令不复杂但对方案完整度提升很大面试或项目汇报时能讲出访客隔离这个点。还可以给AC开启漫游优化配置一个快速漫游参数让模拟测试更贴近真实场景。最后一个额外动作是导出配置做备份。在每台设备上执行save后打开eNSP的配置导出功能把各设备配置保存成独立文件。这样哪怕整个工程文件损坏也能根据配置文本快速重建。我个人的习惯是每完成一个阶段就保存一次并且把设备名写在文件名里像CoreSW.cfg、AC6005.cfg防止后面改串了。说实话eNSP里搭企业网不难难的是养成先规划、再配置、后验证的习惯。这套流程我反复做过很多次每次都能在无线侧或VLAN放行上踩到新细节。但只要你按拓扑、地址、有线、无线的顺序来出了问题就按VLAN放行、DHCP、路由、ACL的顺序查很快就能找到症结。希望这篇能帮你少走几步弯路把线有线和无线都稳定跑起来。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
