基于eNSP的简单企业网络规划与设计：从拓扑到VLAN、路由、NAT与ACL实战

基于eNSP的简单企业网络规划与设计：从拓扑到VLAN、路由、NAT与ACL实战

发布时间：2026/10/13 12:01:28
基于eNSP的简单企业网络规划与设计：从拓扑到VLAN、路由、NAT与ACL实战 简介这份资源面向网络工程初学者与课程设计学生提供一套基于eNSP仿真平台的完整企业网络规划与设计方案可帮助读者理解从需求分析到连通性测试的全流程。压缩包共33个文件约2.33MB以txt配置脚本、efz设备镜像、xml拓扑节点、zip配置归档及docx论文文档为主另含topo拓扑文件便于直接导入eNSP复现实验。内容围绕接入层、汇聚层、核心层三层架构展开涵盖VLAN、MSTP、VRRP、无线接入、DHCP、NAT、ACL等关键技术的原理介绍与具体配置并附有部门IP地址规划、端口划分及系统连通性测试记录。目前已有13059人学习下载适合作为课程设计、实验报告或自学练手的参考读者可据此掌握企业网拓扑搭建、地址规划与常见协议配置的完整思路。1. 从一台空配置的 AR 路由器开始企业网络规划到底在规划什么很多人第一次打开 eNSP拖出一台 AR2220、一台 S5700、两台 PC连上线配好 IP能 ping 通就以为“企业网络规划与设计”做完了。但真实的企业网络规划核心从来不是“能不能通”而是“怎么通才合理、出问题怎么查、以后怎么扩”。基于 eNSP 的简单企业网络规划与设计本质是用华为网络设备模拟器把一个小型企业的网络从需求分析、拓扑设计、地址规划、VLAN 划分、路由打通、出口接入到访问控制完整走一遍可复现的流程。它适合网络工程方向的学生做课程设计也适合刚入行的运维工程师拿来练手因为 eNSP 能让你在不碰真机的情况下把 VLAN、静态路由、OSPF、NAT、ACL 这些企业网高频技术全部跑一遍。我见过太多人拓扑画得漂亮一问地址为什么这么分、VLAN 为什么这么划就答不上来——这篇笔记就是要把这些“答不上来”的地方补上。2. 拓扑与地址规划先把纸上的事想清楚再拖设备2.1 典型小型企业拓扑该有哪些角色一个简单企业网络通常包含这几个角色出口路由器、核心/接入交换机、服务器区、办公终端区可能还有无线 AP 和访客区。在 eNSP 里我一般用一台 AR2220 做出口路由器一台 S5700 做核心交换机再挂一到两台 S3700 做接入交换机终端用 PC 和 Server。拓扑不用复杂但角色要齐因为后面 VLAN 和路由的划分都依赖这些角色。具体连接关系是AR2220 的 GE0/0/0 接 S5700 的 GE0/0/1S5700 的 GE0/0/2 接办公区 S3700GE0/0/3 接服务器区 S3700AR2220 的 GE0/0/1 模拟外网出口。办公区放两台 PC服务器区放一台 Server。这样一台路由器、两台交换机、三台终端就能覆盖 VLAN 间路由、DHCP、NAT、ACL 这些核心考点。拖设备时注意 eNSP 的型号选择AR2220 支持 GE 口和串口S5700 是三层交换机S3700 是二层交换机。如果你把 S3700 当核心后面做 VLAN 间路由会翻车因为它不支持三层接口。这个坑我踩过拓扑画完才发现核心交换机起不了 VLANIF只能推倒重来。2.2 地址规划表别等配到一半才想 IP地址规划是很多人忽略的一步但它是后面所有配置的基础。我习惯先画一张表把每个网段、VLAN ID、网关、用途写清楚再动手配。下面是一个可直接抄的规划示例区域VLAN ID网段网关用途办公区10192.168.10.0/24192.168.10.1PC 终端服务器区20192.168.20.0/24192.168.20.1内部服务器管理区30192.168.30.0/24192.168.30.1网络设备管理互联段—10.0.0.0/30—路由器与核心互联外网模拟—202.100.1.0/30—模拟运营商规划原则是办公区和服务器区分开管理区单独划互联段用 /30 节省地址。VLAN ID 从 10 开始留出空间以后扩展。网关统一用网段第一个可用地址方便记忆。提示地址规划表一旦定下来后面所有配置都以此为准不要中途改网段否则 ACL 和 NAT 的配置全部要重写。2.3 在 eNSP 里把拓扑连起来并标注接口规划完就动手连线。eNSP 的连线操作很直观但接口编号容易记混。我的习惯是连完线立刻在拓扑上标注接口比如“AR1-GE0/0/0 → SW1-GE0/0/1”。这样后面配命令时不用反复点设备看接口。连线时注意PC 和 Server 用 Copper 线接交换机交换机和路由器之间用 Copper 线接 GE 口路由器模拟外网的口可以接一台 PC 当外网测试机。所有设备先开机但先不配等拓扑和规划确认无误再统一配置。3. VLAN 划分与三层互通让办公区和服务器区各走各的路3.1 在接入交换机上划 VLAN 并配 Access 口先在办公区 S3700 上创建 VLAN 10把连接 PC 的接口配成 Access 口。命令如下Huawei system-view [Huawei] sysname SW-Office [SW-Office] vlan 10 [SW-Office-vlan10] description Office [SW-Office-vlan10] quit [SW-Office] interface GigabitEthernet0/0/1 [SW-Office-GigabitEthernet0/0/1] port link-type access [SW-Office-GigabitEthernet0/0/1] port default vlan 10 [SW-Office-GigabitEthernet0/0/1] quit [SW-Office] interface GigabitEthernet0/0/2 [SW-Office-GigabitEthernet0/0/2] port link-type access [SW-Office-GigabitEthernet0/0/2] port default vlan 10 [SW-Office-GigabitEthernet0/0/2] quit逻辑说明vlan 10创建 VLAN 并加描述方便后期识别。port link-type access把接口设为接入模式port default vlan 10把接口划进 VLAN 10。PC 接哪个口哪个口就配 Access。参数上VLAN ID 要和规划表一致description 写清楚用途别偷懒。服务器区 S3700 同理创建 VLAN 20把 Server 接的口划进去。管理区如果设备多也可以在核心交换机上划 VLAN 30。3.2 核心交换机上配 Trunk 和 VLANIF 实现互通接入交换机和核心交换机之间要配 Trunk让多个 VLAN 通过。核心交换机 S5700 上先创建 VLAN 10、20、30再把连接接入交换机的接口配成 Trunk。Huawei system-view [Huawei] sysname SW-Core [SW-Core] vlan batch 10 20 30 [SW-Core] interface GigabitEthernet0/0/2 [SW-Core-GigabitEthernet0/0/2] port link-type trunk [SW-Core-GigabitEthernet0/0/2] port trunk allow-pass vlan 10 [SW-Core-GigabitEthernet0/0/2] quit [SW-Core] interface GigabitEthernet0/0/3 [SW-Core-GigabitEthernet0/0/3] port link-type trunk [SW-Core-GigabitEthernet0/0/3] port trunk allow-pass vlan 20 [SW-Core-GigabitEthernet0/0/3] quit逻辑说明vlan batch批量创建 VLAN比一个个建快。Trunk 口用port trunk allow-pass vlan指定允许通过的 VLAN不写则默认只允许 VLAN 1。这里办公区口只放 VLAN 10服务器区口只放 VLAN 20管理区口放 VLAN 30按需放行别一股脑 allow-pass all。然后配 VLANIF 做网关[SW-Core] interface Vlanif10 [SW-Core-Vlanif10] ip address 192.168.10.1 24 [SW-Core-Vlanif10] quit [SW-Core] interface Vlanif20 [SW-Core-Vlanif20] ip address 192.168.20.1 24 [SW-Core-Vlanif20] quit [SW-Core] interface Vlanif30 [SW-Core-Vlanif30] ip address 192.168.30.1 24 [SW-Core-Vlanif30] quitVLANIF 是三层接口配了 IP 就能做网关VLAN 间流量直接在核心交换机上路由不用绕到出口路由器。参数上IP 地址用规划表里的网关地址掩码 24 位。3.3 用 DHCP 给终端自动下发地址手工配 PC 的 IP 太慢企业网一般用 DHCP。在核心交换机上配 DHCP 池[SW-Core] dhcp enable [SW-Core] ip pool office [SW-Core-ip-pool-office] network 192.168.10.0 mask 24 [SW-Core-ip-pool-office] gateway-list 192.168.10.1 [SW-Core-ip-pool-office] dns-list 114.114.114.114 [SW-Core-ip-pool-office] quit [SW-Core] interface Vlanif10 [SW-Core-Vlanif10] dhcp select global [SW-Core-Vlanif10] quit逻辑说明dhcp enable全局开启 DHCPip pool建地址池network指定网段gateway-list指定网关dns-list指定 DNS。最后在 VLANIF 接口上dhcp select global让接口使用全局地址池。服务器区照此再建一个 pool。PC 端设成 DHCP 模式就能自动拿到地址。注意如果 PC 拿不到地址先查 VLANIF 是否 up、DHCP 是否 enable、接口是否 select global这三步排查能解决八成问题。4. 路由与出口让内网能出去外网进不来4.1 核心与出口之间用静态路由打通核心交换机上联出口路由器互联段用 10.0.0.0/30。核心交换机配默认路由指向出口路由器[SW-Core] ip route-static 0.0.0.0 0 10.0.0.2出口路由器 AR1 上配回程路由指向内网各网段Huawei system-view [Huawei] sysname AR-Exit [AR-Exit] interface GigabitEthernet0/0/0 [AR-Exit-GigabitEthernet0/0/0] ip address 10.0.0.2 30 [AR-Exit-GigabitEthernet0/0/0] quit [AR-Exit] ip route-static 192.168.10.0 24 10.0.0.1 [AR-Exit] ip route-static 192.168.20.0 24 10.0.0.1 [AR-Exit] ip route-static 192.168.30.0 24 10.0.0.1逻辑说明核心交换机不知道外网怎么走所以配默认路由 0.0.0.0/0 指向出口路由器。出口路由器知道外网直连但不知道内网网段所以要配三条静态路由指回核心。参数上下一跳地址要写对/30 互联段只有两个可用地址别配错。如果内网网段多可以用一条汇总路由ip route-static 192.168.0.0 16 10.0.0.1代替三条但简单企业网里写明细更直观排查也方便。4.2 用 NAT 让内网访问模拟外网内网地址是私有的出去要转成公网地址。在出口路由器上配 Easy IP[AR-Exit] acl 2000 [AR-Exit-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255 [AR-Exit-acl-basic-2000] quit [AR-Exit] interface GigabitEthernet0/0/1 [AR-Exit-GigabitEthernet0/0/1] ip address 202.100.1.1 30 [AR-Exit-GigabitEthernet0/0/1] nat outbound 2000 [AR-Exit-GigabitEthernet0/0/1] quit逻辑说明ACL 2000 匹配内网所有 192.168.x.x 的流量nat outbound 2000在出口接口上做源地址转换Easy IP 直接用接口地址做转换地址不用额外配地址池。参数上ACL 的反掩码 0.0.255.255 匹配 192.168.0.0/16如果内网只有三个 /24也可以写三条精确匹配。外网测试机配 202.100.1.2/30网关 202.100.1.1内网 PC 就能 ping 通它。如果 ping 不通先在出口路由器上display nat session all看有没有会话再看 ACL 是否匹配。4.3 用 ACL 限制访客区访问服务器区企业网里访客区通常不能访问服务器区。假设访客区是 VLAN 40网段 192.168.40.0/24要禁止它访问 192.168.20.0/24。在核心交换机上配高级 ACL[SW-Core] acl 3000 [SW-Core-acl-adv-3000] rule deny ip source 192.168.40.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 [SW-Core-acl-adv-3000] rule permit ip [SW-Core-acl-adv-3000] quit [SW-Core] interface Vlanif40 [SW-Core-Vlanif40] traffic-filter inbound acl 3000 [SW-Core-Vlanif40] quit逻辑说明ACL 3000 先拒绝访客区到服务器区的流量再放行其他。traffic-filter inbound在访客区网关接口的入方向应用流量一进来就过滤效率高。参数上源和目的反掩码都要写对rule 顺序不能反否则 permit 在前deny 就失效了。提示ACL 配完可以用display acl 3000看规则用display traffic-filter applied-record看应用位置别配完就不管。5. 避坑与排查那些让你熬夜的典型问题5.1 坑一Trunk 口没放行 VLANPC 拿不到地址现象PC 设了 DHCP但一直拿不到地址ipconfig显示 169.254.x.x。原因接入交换机和核心之间的 Trunk 口没有port trunk allow-pass vlan 10VLAN 10 的流量过不去。解决在 Trunk 口补上 allow-pass或者直接port trunk allow-pass vlan all临时排查。我一般先查 Trunk 放行再查 DHCP这个顺序能省很多时间。5.2 坑二VLANIF 状态 down网关不通现象VLANIF 配了 IP但display ip interface brief看到 VLANIF 是 down。原因该 VLAN 下没有任何 up 的物理接口或者 Trunk 没放行该 VLAN。解决确认 VLAN 内有 Access 口 up且 Trunk 放行了该 VLAN。VLANIF 的 up 依赖 VLAN 内有活跃端口这是很多人忽略的玄学点。5.3 坑三NAT 配了但不生效内网出不去现象内网 PC ping 外网不通出口路由器上display nat session all没有会话。原因ACL 没匹配到流量或者 NAT 应用在了错误的接口方向。解决检查 ACL 的 source 网段是否覆盖内网检查nat outbound是否配在出口接口且方向是 outbound。如果 ACL 写的是rule permit source 192.168.10.0 0.0.0.255那 192.168.20.0 的流量就不匹配需要加规则或改网段。5.4 坑四静态路由下一跳写错回包丢失现象内网能 ping 通出口路由器但 ping 不通外网。原因出口路由器没有回程路由或者下一跳写错。解决在出口路由器上display ip routing-table看有没有 192.168.x.x 的路由下一跳是否是核心交换机的互联地址。如果写成了核心的 VLANIF 地址路由不会生效因为下一跳必须直连可达。5.5 坑五ACL 规则顺序反了该拦的没拦住现象访客区还是能访问服务器区。原因ACL 里rule permit ip写在了rule deny ip前面流量先被放行。解决调整规则顺序deny 在前permit 在后。华为 ACL 是按序号从小到大匹配配的时候注意 rule ID或者用rule 5 deny和rule 10 permit显式控制顺序。6. 进阶技巧用 OSPF 替代静态路由以及验证清单静态路由在简单企业网够用但网段一多维护成本就上来了。我一般会在核心交换机和出口路由器之间跑 OSPF让路由自动学习。配置如下[SW-Core] ospf 1 router-id 2.2.2.2 [SW-Core-ospf-1] area 0 [SW-Core-ospf-1-area-0.0.0.0] network 10.0.0.0 0.0.0.3 [SW-Core-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [SW-Core-ospf-1-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [SW-Core-ospf-1-area-0.0.0.0] network 192.168.30.0 0.0.0.255 [SW-Core-ospf-1-area-0.0.0.0] quit [SW-Core-ospf-1] quit [AR-Exit] ospf 1 router-id 1.1.1.1 [AR-Exit-ospf-1] area 0 [AR-Exit-ospf-1-area-0.0.0.0] network 10.0.0.0 0.0.0.3 [AR-Exit-ospf-1-area-0.0.0.0] quit [AR-Exit-ospf-1] quit逻辑说明OSPF 用反掩码宣告网段network 10.0.0.0 0.0.0.3宣告互联段network 192.168.x.0 0.0.0.255宣告内网网段。出口路由器只宣告互联段内网路由通过 OSPF 学到。这样加网段时只需在核心交换机上宣告出口路由器自动学习不用手工加静态路由。参数上router-id 要唯一area 0 是骨干区域简单企业网单区域就够。如果出口路由器也要跑 NATOSPF 和 NAT 不冲突但要注意 ACL 匹配的是转换前的源地址。验证清单我一般按这个顺序走先display ip interface brief看接口和 VLANIF 是否 up再display vlan看 VLAN 和端口然后display ip routing-table看路由是否齐全接着display nat session all看 NAT 会话最后用 PC ping 网关、ping 外网、ping 服务器区逐段验证。这个顺序能快速定位问题在哪一层。血泪经验是eNSP 里配置完记得save不然关掉模拟器全没了。还有eNSP 的 AR 路由器启动慢配完命令等几秒再测别急着下结论。我习惯每配完一个模块就测一次别全配完再测否则出问题不知道是哪一步的锅。希望帮到你。本文还有配套的精品资源点击获取