企业官网建设流程全解析

1. 跨校区校园网实战环境搭建

第一次用eNSP模拟真实校园网环境时，我对着拓扑图发呆了半小时——行政楼、教学楼、实验楼、宿舍区，还有分校区，这么多设备该怎么连？后来发现只要抓住三个关键点就能快速上手：设备选型要匹配真实场景、接口类型决定连接方式、IP规划影响后期运维。

以总校区的核心交换机为例，我习惯用华为S5700系列三层交换机，它既能处理VLAN间路由，又支持后续的OSPF和BGP配置。记得有次偷懒用了二层交换机，结果在配SVI接口时才发现根本不支持三层功能，白白浪费两小时重搭拓扑。分校区则可以用性能稍弱的S3700，毕竟流量压力较小。

物理连线最容易踩坑：eNSP里路由器默认只有3个可用接口，当需要连接4个设备时（比如同时连核心交换机、防火墙、分校区和运营商），就得在路由器上添加接口卡。操作方法是右键设备选择"设置"→"添加接口"→"GE接口"。我曾经因为没扩展接口，死活无法保存多线路由配置，还以为是软件bug。

建议的IP规划方案：

• 行政楼VLAN10：192.168.10.0/24
• 宿舍楼VLAN20：192.168.20.0/24
• 实验楼VLAN40：192.168.40.0/24
• 分校区VLAN100：192.168.100.0/24
• 互联地址用30位掩码（如12.1.1.0/30）

提示：先画好拓扑图再创建设备，按区域标注VLAN和网段。eNSP的"保存拓扑"功能有时会丢失配置，我习惯用截图+文本记录关键参数。

2. VLAN隔离与SVI网关配置

新手最常问："为什么PC接在交换机上就是ping不通？"八成是VLAN配置出了问题。去年给学校做实训项目时就遇到过——学生把接入端口误配成trunk，导致所有VLAN流量混在一起，广播风暴直接冲垮了核心交换机。

正确的VLAN实施流程应该是：

1. 在核心交换机创建所有VLAN（batch模式效率最高）
2. 配置接入端口为access并绑定对应VLAN
3. 配置交换机间互联端口为trunk并放行所需VLAN

以教学楼接入交换机为例，关键配置如下：

sysname LSW3 vlan batch 10 20 30 40 # 批量创建VLAN interface Ethernet0/0/1 # 连接PC的端口 port link-type access port default vlan 10 interface Ethernet0/0/24 # 上联核心交换机的端口 port link-type trunk port trunk allow-pass vlan 10 20 30 40

三层交换机的SVI接口配置才是精髓所在。有次我在vlanif接口忘了开arp broadcast enable，导致跨VLAN通信时ARP请求发不出去，折腾半天才找到问题。建议按这个模板配置：

interface Vlanif10 ip address 192.168.10.254 24 arp broadcast enable interface Vlanif20 ip address 192.168.20.254 24 arp broadcast enable

实测中发现个细节：华为交换机默认所有VLAN间是互通的，如果想实现严格隔离，需要在vlanif接口下配traffic-filter outbound结合ACL使用。不过校园网环境通常需要跨部门通信，一般不用额外配置隔离策略。

3. DHCP服务部署与验证

你以为配完DHCP地址池就万事大吉？太天真了！去年部署时遇到过200多台设备同时上线，结果DHCP服务直接崩溃。后来发现是没设地址租期，默认的24小时导致IP资源快速耗尽。现在我的标准配置一定会加这两条：

ip pool vlan10 lease day 0 hour 8 # 设置8小时租期 excluded-ip-address 192.168.10.1 192.168.10.50 # 保留静态IP段

DHCP故障排查四部曲：

1. 用display ip pool name vlan10 used查看地址分配情况
2. 在PC端执行ipconfig /release和ipconfig /renew
3. 用Wireshark抓包分析DHCP交互过程
4. 检查交换机端口是否误配了port-security

特别提醒：如果DHCP服务器和客户端不在同一网段，必须配DHCP中继。我曾在分校区部署时漏了这一步，导致分校区PC始终拿不到IP。正确的中继配置应该是：

interface Vlanif100 dhcp select relay # 启用中继模式 dhcp relay server-ip 192.168.1.2 # 指向总校DHCP服务器

4. OSPF实现内网无缝互通

OSPF配置看似简单，但Area规划直接影响网络稳定性。我吃过亏——把所有设备都放在Area0，结果某台接入交换机频繁震荡导致全网路由重构。现在遵循"核心层在Area0，接入层在Area1"的原则，用以下配置稳如老狗：

ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 12.1.1.0 0.0.0.255 # 互联网段 network 192.168.0.0 0.0.255.255 # 所有内网地址

路由优化技巧：

• 在核心交换机上配default-route-advertise always下发默认路由
• 调整OSPF开销值实现负载均衡：bandwidth-reference 10000
• 用silent-interface禁止不必要的端口发送Hello包

验证时别只会用ping，这几个命令更专业：

display ospf peer # 查看邻居状态 display ospf routing # 查看OSPF路由 display ospf error # 排查错误

5. NAT与BGP跨校区互联

校园网出公网必须配NAT，但直接全量转换会暴露内网结构。我的方案是：

acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 nat address-group 1 100.1.1.100 100.1.1.200 interface GigabitEthernet0/0/0 # 外网接口 nat outbound 2000 address-group 1 nat server protocol tcp global 100.1.1.99 www inside 192.168.1.20 www

BGP配置最容易出错的是AS号规划：

• 总校区AS 65001
• 运营商AS 65002
• 分校区AS 65003 关键配置示例：

bgp 65001 peer 13.1.1.3 as-number 65002 # 连接运营商 ipv4-family unicast network 192.168.10.0 network 192.168.20.0 peer 13.1.1.3 enable

记得在边界路由器做路由引入：ospf 1 import-route bgp。有次我漏了这条，导致分校区无法访问总校服务器，被校方打电话催了整整一上午。

6. ACL安全策略精细化控制

最后的安全防护环节，很多同学直接用rule deny一刀切，结果把正常业务也阻断了。我的经验是先放行必要流量，再拒绝其他访问。比如只允许行政楼访问财务服务器：

acl number 3001 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.1.10 0 rule 10 deny ip interface GigabitEthernet0/0/1 traffic-filter outbound acl 3001

ACL调试技巧：

1. 先用rule permit ip临时放行所有流量
2. 用display acl 3001查看命中计数
3. 逐步添加限制规则并测试业务连通性
4. 最后删除临时放行规则

曾经有个经典案例：图书馆系统突然无法访问，查了半天发现是有人在核心交换机上配了ACL但没绑定到接口，配置成了"僵尸规则"。所以切记：ACL必须绑定到接口才会生效！