eNSP综合配置实战：从VLAN划分到NAT转换的完整网络搭建

1. 这个综合配置项目到底在练什么1.1 先看全景一张拓扑串起多少知识点很多人在eNSP里做过一个个零散的小实验今天配个VLAN明天跑个DHCP后天写两条静态路由。单独做都能通一合在一起就手足无措。这很正常因为零散实验从来没有逼你去考虑“设备之间怎么协作”的问题。eNSP网络综合配置说白了就是把平时单独练的十几个命令块拼成一张能自洽运行的完整网络。我这次搭的项目至少覆盖了六个核心知识点VLAN划分、Trunk链路、VLANIF三层网关、DHCP地址下发、静态路由、NAT地址转换。如果再往里加ACL还能把访问控制也算进去。每一项单独看都不难但把它们按真实网络的分层结构组合起来你会发现每一个配置位置都能牵动整张网。你完全可以把这个项目理解成“盖一栋楼”。VLAN是隔墙把不同部门的房间分开Trunk是走廊让隔墙里的数据能走到楼外VLANIF是每层楼的楼梯口负责把不同房间的人引导到公共区域路由是楼与楼之间的马路NAT则是小区门口的门卫把小区内部的称呼翻译成外面能认的地址。每一个环节缺了整条链路就断了。做综合配置真正的收获就是亲手把这些环节焊在一起。1.2 一张完整的项目场景长什么样我这次模拟的是一个小型办公网络的典型场景一家公司有两个办公区域A区是财务部B区是技术部另有一个服务器区放公司内部的办公系统。财务部和技术部虽然物理上共用同一套交换机设备但逻辑上必须隔离两边都要能访问服务器区也都要能访问“外网”。项目里的设备不多但每台都有明确的职责两台接入交换机分别接财务部和技术部的PC只负责打VLAN标签和把数据往上传。一台核心交换机负责跨VLAN通信也就是给每个VLAN配网关同时承担DHCP服务器的工作给终端自动发IP。一台出口路由器负责连接模拟的运营商网络做内网到外网的路由转发和NAT转换。一台服务器和两台PC终端以及一台模拟外网节点的PC。这个结构看起来简单但它是很多真实园区网的微观缩影。接入层、核心层、出口层三个层次各自干什么在这个小项目里能看得非常清楚。对刚入门的人来说做一遍这个综合项目等于把基础交换和基础路由里最核心的内容全部串了一遍。提示设备数量不需要多重在层次完整。宁可少一台接入交换机也不能省掉核心和出口否则路由和NAT就没地方练了。2. 动手前的规划别急着敲命令2.1 拓扑怎么搭哪里该用三层接口我在规划拓扑的时候遵循了一条基本原则接入层只做二层的VLAN透传网关统一放在核心交换机上出口路由器只处理跨网段和NAT的流量。这样每一台设备的配置职责非常单一出问题时也容易定位。具体拓扑连接是这样财务部PC1接到接入交换机SW2的0/0/1口SW2的0/0/2口上联核心交换机SW1的0/0/1口。技术部PC2接到接入交换机SW3的0/0/1口SW3的0/0/2口上联核心交换机SW1的0/0/2口。服务器Server1直连核心交换机SW1的0/0/3口单独划在一个VLAN里。核心交换机SW1的0/0/24口连接出口路由器AR1的0/0/0口这段链路用30位掩码的互联地址。出口路由器AR1的0/0/1口接模拟外网的PC或者再接一台设备模拟运营商端。这里有个关键点核心交换机和路由器之间的互联口要用三层接口直接配置IP而不是先加进某个VLAN再配VLANIF。很多新手在这里会踩坑把互联接口放进了某个VLAN里结果路由器的路由指向也跟着出错。还有一个容易被忽略的点交换机的管理地址。如果你希望之后能Telnet或者SSH到交换机上做远程管理就需要在核心交换机上单独划一个管理VLAN给交换机配一个管理IP。我这个项目里为了聚焦主题没有做远程管理但拓扑里我已经预留了扩展位置。等到你自己做更完整项目时这块最好加上。2.2 地址规划是后面所有配置的地基地址规划是整个综合配置里最不能急的一步。我在开始配之前先用表格把每个网段的用途、网关、地址池范围全部定好避免配到一半发现地址冲突或者网段不够用。我这次用到的规划如下用途VLAN网段网关DHCP范围说明财务部VLAN 10192.168.10.0/24192.168.10.1192.168.10.10 - 100终端开启DHCP自动获取技术部VLAN 20192.168.20.0/24192.168.20.1192.168.20.10 - 100终端开启DHCP自动获取服务器区VLAN 30192.168.30.0/24192.168.30.1不启用服务器手工配置静态IP核心与路由互联不涉及VLAN192.168.100.0/30核心侧192.168.100.2不启用路由器侧192.168.100.1模拟外网不涉及VLAN203.0.113.0/24203.0.113.1外网PC手工配置用文档测试网段模拟公网你可以直接照着这张表抄也可以按自己习惯改但有三个原则是通用的。第一互联链路用30位掩码。192.168.100.0/30这个网段只包含两个可用地址正好给两台设备用不会浪费地址空间。第二服务器用静态IP而不是DHCP。服务器要对外提供固定服务地址变来变去会带来一堆麻烦。第三终端地址池别设太大够用就行。地址池的默认网关必须和VLANIF接口地址一致这个细节最容易出问题。我把VLAN号从10开始编而不是用1、2、3是因为看起来更清晰也方便以后在中间插入新的VLAN而不用改动已有编号。这是很多企业网配置里的习惯做法不是必须但值得养成。3. 分设备配置从接入层一路敲到出口3.1 接入交换机VLAN划分和Trunk上联接入交换机在整个项目里是最“没存在感”的设备但它的配置反而最容易出错。原因很简单默认接口类型是hybrid很多人没意识到要改成access或者trunk结果划分的VLAN根本不起作用。先看SW2的完整配置思路。SW2接财务部的PCPC属于VLAN 10所以需要在交换机上创建VLAN 10把下行接口设置成access口并划入VLAN 10上联口设置成trunk口并放行所有需要经过的VLAN。配置命令如下system-view sysname SW2 vlan batch 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 quit这里有一个很多人搞不明白的地方SW2明明只接财务部的PC为什么上联trunk口要放行VLAN 20和30因为你PC1访问技术部的PC2VLAN 20或者访问服务器VLAN 30时数据要带着VLAN 10的标签先送到核心交换机核心再转换成VLAN 20或30的标签转发出去。这个转发过程要经过SW2的上联口如果trunk口没有放行这些VLAN数据就被拦在门口了。trunk口放行的是“这个口上允许通过的VLAN列表”不是“这个交换机里有哪些VLAN”。这两个概念一定不能混。SW3的配置跟SW2结构一模一样只是把VLAN换成20sysname换成SW3。敲完之后可以用display vlan检查一下看到VLAN 10和VLAN 20都已经创建并且对应端口列表正确就说明接入层没问题了。3.2 核心交换机把网关、DHCP和默认路由一次配齐核心交换机是整套配置里最重的设备。它的职责有三个给各VLAN做三层网关、给终端下发IP地址、把去往外网的流量交给路由器。我按顺序来配每一步都有明确目的。第一步创建VLAN并配置trunk下行口。这里要注意创建VLAN 10、20、30三个下行接SW2和SW3的口都要配置成trunk并放行所有相关VLAN。第二步给每个VLAN配VLANIF接口地址。这个地址就是终端的网关同时也是DHCP下发地址里要填的那个网关。配置命令system-view sysname SW1 vlan batch 10 20 30 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 quit interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 quit interface Vlanif10 ip address 192.168.10.1 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.1 255.255.255.0 quit interface Vlanif30 ip address 192.168.30.1 255.255.255.0 quit配完VLANIF后可以先在核心交换机上ping一下终端的网关地址确认三层口的通信没问题再往下走。注意display ip interface brief这个命令非常有用能一眼看到所有三层接口UP没UP、IP有没有配上去。第三步开启DHCP功能。DHCP有两种常见做法接口地址池和全局地址池。简单场景下接口地址池最省事地址池网段跟你VLANIF接口的网段自动对应不用再单独指定network和gateway。dhcp enable interface Vlanif10 dhcp select interface dhcp server dns-list 223.5.5.5 quit interface Vlanif20 dhcp select interface dhcp server dns-list 223.5.5.5 quit注意两个关键点全局的dhcp enable一定要先敲否则后面接口下的配置不会生效。DNS可以先用公共DNS实际生产环境里应该填企业内部DNS服务器地址。服务器所在的VLAN 30不需要开DHCP因为服务器是固定IP。但VLANIF30的接口地址必须配否则服务器没法和其他网段通信。第四步配置上联路由器的接口和默认路由。核心交换机的0/0/24口直连路由器AR1需要配一个互联IP然后写一条默认路由把所有去往外网的流量指向路由器。interface GigabitEthernet0/0/24 ip address 192.168.100.2 255.255.255.252 quit ip route-static 0.0.0.0 0 192.168.100.1核心交换机负责的是内网自己网段之间的互访去往外网它不知道路所以默认路由统一丢给路由器。这个默认路由如果不写PC能ping通网关也能互访但一访问外网就彻底不通而且排查起来很容易漏掉这里。3.3 出口路由器回程路由和NAT是成对出现的路由器的配置分为两个模块回程路由和NAT。回程路由解决的是“外网回来的包怎么回到内网”的问题NAT解决的是“内网出去的包源地址怎么转换”的问题。这两个必须同时配好缺一个都不通。先配上联核心的接口、下联外网的接口system-view sysname AR1 interface GigabitEthernet0/0/0 ip address 192.168.100.1 255.255.255.252 quit interface GigabitEthernet0/0/1 ip address 203.0.113.1 255.255.255.0 quit然后写回程路由。核心交换机把去往外网的流量交给路由器之后路由器收到外网回包也得知道怎么送回内网。我在这里写了三条明细路由分别指向三个内网网段ip route-static 192.168.10.0 255.255.255.0 192.168.100.2 ip route-static 192.168.20.0 255.255.255.0 192.168.100.2 ip route-static 192.168.30.0 255.255.255.0 192.168.100.2这里有一个取舍问题完全可以把三条路由合并成一条192.168.0.0 255.255.0.0写起来更省事。但我建议在实验里用明细路由因为看得清楚排查时也方便确认每一条路由都生效了。生产环境里如果内网网段很多再考虑聚合也不迟。最后配置NAT。NAT的作用是把内网私有地址转换成外网接口上的公网地址。我需要先定义一个ACL把允许做转换的内网地址段匹配出来然后在出接口上调用这个ACLacl number 2000 rule 5 permit source 192.168.0.0 0.0.0.255.255 quit interface GigabitEthernet0/0/1 nat outbound 2000这里的ACL写法有个经典坑2000是基本ACL匹配的是源地址。192.168.0.0 0.0.255.255这行里的反掩码是0.0.255.255意思是匹配所有192.168.x.x的地址这正好覆盖了VLAN 10、20、30三个网段。如果你把反掩码写成0.0.0.255那就只匹配192.168.0.0这一个网段其他两个网段的PC出去照样不通NAT根本不会生效。配完之后可以用display nat session all查看NAT转换记录看到内网到外网的会话条目就说明转换已经在工作了。3.4 进阶内容用ACL给访问控制加点戏综合配置做到能互通、能上网只是完成了基础部分。我通常还会在项目里加一个ACL控制的小需求让整个实验更有实战味道。这里我用一个典型场景技术部VLAN 20不允许访问服务器区的某台服务器但财务部VLAN 10正常访问。在核心交换机上配置ACL 3000用来过滤从VLAN 20方向进来的流量system-view acl number 3000 rule 5 deny icmp source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 rule 10 permit ip quit interface Vlanif30 traffic-filter inbound acl 3000 quit我把ACL调用在了VLANIF30接口的inbound方向也就是“站在服务器的角度看所有进入服务器的流量先过一遍这个过滤器”。方向是ACL配置里最要命的点。如果你把方向调成outbound过滤的流量方向就完全反了规则看起来配了但完全不生效。这个例子用的规则是技术部不能ping服务器但其他所有流量放行。你可以换成拒绝TCP访问某个端口的规则逻辑完全一样。ACL放进去之后用PC2去ping服务器你会发现不通而PC1去ping是通的ACL的效果就验证出来了。注意ACL规则里最后一条permit ip一定不能省。ACL默认是匹配不到就拒绝如果只有一条deny规则那其他所有流量都会在网关这里被拦掉办公区整个网络就瘫痪了。4. 验证和排障怎么确认配置真的全对了4.1 一套靠谱的验证流程按顺序来配置敲完只是第一步网络通不通才是硬道理。我习惯按“链路层 → 三层网关 → 跨VLAN → 外网”这个顺序逐层验证每一层通了再往下一层走。这样出问题的时候能迅速把故障范围定位到某个层次。PC1上的验证步骤如下在PC1的命令行里执行ipconfig看是否拿到了192.168.10.x网段的地址。拿不到就回头查DHCP这步不过后面都不用看。ping 192.168.10.1也就是ping自己的网关。能通则说明二层链路和接入交换机的VLAN划分没问题。ping 192.168.30.1这是服务器区的网关。能通则说明核心交换机的VLANIF和trunk转发没问题。ping 192.168.30.10这是服务器的地址。能通则说明三层路由和VLAN间通信没问题。ping 203.0.113.2这是模拟外网PC的地址。能通则说明路由器的回程路由、NAT全都正常工作。每台PC都要完整走一遍这套流程。别嫌麻烦很多配置问题就是藏在“PC1通了、PC2不通”这种不对称现象里。设备侧还有一个万能命令display current-configuration。配置有问题时先导出配置文件看一遍比在脑子里猜快得多。特别是在检查ACL规则、trunk放行列表、路由条目这些细节时直接看配置文件最可靠。4.2 高频故障和排查方法速查表综合配置的故障无外乎那么几类我把实际项目里最容易碰到的故障整理成了表格按出现的概率排序故障现象常见原因排查顺序PC拿不到IP地址DHCP全局没开启或VLANIF下没执行dhcp select interface或接入交换机端口类型配错display dhcp server查看地址池状态检查接入交换机access口所属VLANPC能ping通网关但ping不通另一VLAN的PC核心交换机上VLANIF配置缺失或trunk口没有放行目标VLAN在核心交换机上ping目标VLAN的网关display port vlan查看trunk放行列表内网PC能互相ping通但ping不通外网核心交换机缺默认路由或路由器缺回程路由或NAT的ACL反掩码写错依次在核心上ping 192.168.100.1路由器上ping 203.0.113.2最后display nat session all配置了ACL后整个网段都被拦ACL缺少最后的permit ip规则或者调用方向选反了display acl 3000查看规则确认最后有放行规则检查traffic-filter绑定方向交换机接口物理down接口下被shutdown或连线位置不对或接口类型配置异常display interface brief查看接口状态undo shutdown恢复接口两台PC能ping通但TCP业务访问异常NAT只转换了部分网段或ACL里有deny规则核对NAT的ACL匹配范围检查ACL规则的匹配顺序这些故障里最隐蔽的是NAT的ACL反掩码错误。因为配置命令本身的语法没问题如果不看display nat session all很难发现NAT根本没产生会话。我的经验是配置完NAT后立刻从内网PC发起一个到外网的ping然后马上在路由器上看会话表这一步是验证NAT最快的方法。4.3 几个容易反复踩的低级坑除了上面这些技术故障还有几个eNSP使用层面的坑值得单独拿出来说。第一个是保存配置。eNSP模拟器虽然方便但设备重启之后所有配置全部清空。我在项目里每配完一台设备就立刻执行save有时候一条命令一个回车下去忘了保存整个设备的配置就白敲了。建议每台设备配置完成后养成save的习惯。第二个是设备启动速度。eNSP里设备启动很慢特别是同时开五六台设备时。如果某台设备图标一直灰着先检查自己电脑的内存占用eNSP是非常吃内存的。启动失败的时候可以先关掉几台不用的设备再重新开。第三个是PC的IP刷新问题。在eNSP里PC接入网络后IP地址有时候不会自动刷新。遇到PC拿不到地址的情况可以在PC的配置界面里重新选择DHCP模式然后应用或者先改成静态IP再改回DHCP强制它重新请求一次地址。这个小动作经常能省下大量的排查时间。5. 做完一遍综合配置我的几条实操心得第一点一定要先画拓扑再敲命令。很多人一打开eNSP就急着把设备拖出来开始配配到一半发现地址规划不合理又全部推翻重来。我的习惯是拿张纸或者用表格工具把每台设备的接口、IP、VLAN、下一跳全部列清楚再开始动命令行。配置过程只是把纸上已经定好的东西翻译成命令而已。第二点每台设备配完立即验证。核心交换机配完VLANIF之后我当时花了五分钟做了一遍互ping测试。这样做的好处是如果链路有问题一定是刚才那几步配置的问题排查范围非常小。等整张网全配完再一起测试一旦不通就要从头排查时间成本翻倍。第三点设备视图层级是最容易被忽视的新手杀手。在eNSP里命令必须在正确的视图下才能执行。system-view进入系统视图interface GigabitEthernet0/0/1进入接口视图这个前后的括号提示不是摆设。我曾经见过有人把ip address这条命令在系统视图下敲了半天不生效就是因为没进接口视图。看到命令敲进去没反应先看一眼命令行前面的提示符在哪个视图下。第四点配置文件是排查故障的第一手资料。遇到疑难杂症与其一条条回想自己刚才敲了什么不如直接执行display current-configuration把完整配置导出来逐条对照检查。很多问题比如trunk放行漏了VLAN、ACL方向写反一眼就能在配置里找出来。6. 这个项目的扩展方向基础的综合配置做完之后如果你还想继续往深里练有几个方向我比较推荐。第一个方向是加防火墙。在核心交换机和出口路由器之间串一台防火墙把内网到外网的流量全部经过防火墙转发然后在防火墙上配置安全策略。加上防火墙之后整个网络的安全模型会发生质变对理解企业网的真实边界防护特别有帮助。第二个方向是用OSPF替代静态路由。核心到出口这段互联走OSPF动态路由协议看看它是怎么自动发现路由的。这也是从“小网络手工配路由”走向“大网络动态跑路由”的关键一步。配置完OSPF之后再看路由表和回程路由的生成逻辑理解会更深刻。第三个方向是做高可用。在核心层再加一台核心交换机两台核心之间跑VRRP实现网关冗余交换机之间用链路聚合捆绑多条物理链路。这个方向的复杂度比较高适合已经有了一定基础、想往高端网络技术发展的人。第四个方向是加无线网络。在核心交换机上连一台无线AC控制器和一台AP模拟设备把部分终端改成无线接入。配置无线网络需要额外理解SSID、VAP、认证方式这些概念对理解现代园区网的无线覆盖也有帮助。我个人觉得综合配置项目最好的收尾方式不是把所有功能都堆上去而是先做透一个基础版本然后挑一个方向做深做透。网络工程师的核心能力从来不是背了多少命令而是能看懂一张拓扑图、能讲清一条数据的完整转发路径、能在网络出问题时快速定位故障点。这几点能力一套eNSP综合配置项目就能带你练个七八成。我在实际敲这套项目时最强烈的感受就是命令本身不需要背真正要动脑子的是搞清楚每一层设备该干嘛、每一条数据的走向是什么。只要你把“接入层打标签、核心层做网关、出口层做转换”这条主线抓住之后无论遇到什么网络设备思路都不会乱。