企业官网建设流程全解析

简介：面向网络工程、通信工程等专业的毕业设计与课程实训场景，提供一套基于华为eNSP搭建的校园网设计与仿真方案，适合正在准备毕设、或希望系统练习企业级组网的学习参考。压缩包共19个文件、约13.04MB，包含可直接导入eNSP运行的拓扑工程文件（topo）、设备配置文件（efz）、若干xml与嵌套zip工程数据，以及答辩演示用的pptx与配套说明docx，覆盖从拓扑搭建、设备配置到成果展示的完整链路。已有20876人学习下载，说明该方案在同类毕设选题中具备一定参考价值。读者可从中获得一套可复现的校园网架构样板：对照拓扑理解接入、汇聚、核心的分层设计，参考设备配置掌握VLAN划分、路由与出口策略的实现方式，并借助演示文档梳理设计思路与答辩要点，减少从零搭建环境的试错成本。

1. 从报到日的 DHCP 风暴说起：eNSP 校园网仿真到底在验证什么

新生报到那天，宿舍区一千多台终端在两小时内集中上线，地址池十分钟见底，核心交换机 CPU 冲到百分之八十，运维只能一台台去拔网线。这个场景在真实机房里复现一次成本太高，而在 eNSP 里，你可以把它重放二十遍，改一次地址池掩码，再跑一遍。基于 eNSP 的校园网设计和仿真模拟，做的就是这样一件事：用一台普通笔记本，把核心—汇聚—接入三层架构、VLAN 划分、OSPF 收敛、NAT 出口这一整套东西先搭起来跑通，把地址规划、端口台账、路由策略这些容易出错的地方在小规模上暴露出来，再决定真设备怎么下单、怎么割接。

它适合三类人：要交网络课程设计的学生、准备把老旧扁平网络改成三层架构的运维、以及要在上线前做变更预演的工程师。仿真不等于真机，但配置命令、收敛过程、地址规划逻辑是同一套，跑通一遍，真机上能少熬两个通宵。

2. 拓扑先定死：三层架构在 eNSP 里怎么落到具体设备型号

2.1 校园网为什么重点采用核心-汇聚-接入三层，而避免直接拉平

很多人在 eNSP 里第一反应是拿两台交换机把十几台 PC 串起来，配上同一个网段，能 ping 通就收工。这个做法在宿舍里够用，放到校园网会立刻翻车。拉平的结构里所有终端共处一个广播域，一台中毒的机器发一个广播风暴，整张网跟着瘫；生成树在这种拓扑上收敛慢，一条链路抖动全网抖；最要命的是没有故障域，出了问题只能一层层拔线试。

三层架构解决的是三个具体问题。第一是广播域收敛：接入层每台交换机只管自己楼下几十个端口，广播被 VLAN 挡在本地。第二是故障域收敛：汇聚和核心之间跑路由，一条链路断了，路由在秒级重新收敛，接入层无感知。第三是策略落点：访客隔离、服务器区限速、宿舍区限速这类策略，总得有个地方配，扁平结构里你只能在每台接入设备上重复抄一遍。

我在仿真里一般把规模定在能说明问题又不吃内存的量级：一个核心、两个汇聚（教学区和宿舍区各一个）、四到六台接入、两台出口设备（一台模拟出口路由器，一台模拟对端）。这个规模在 eNSP 里开起来，内存占用可控，跑 OSPF 收敛和 DHCP 抢地址都够看。

2.2 设备选型对照：哪些型号在 eNSP 里带得动、哪些一开就卡

eNSP 的设备库里型号不少，但并不是都能拿来当积木用。选错型号的典型症状是：敲了一条命令提示不认识，或者设备启动卡在井号上一直不动。

选型上有个血泪经验：接入层别贪心全用 S5700。四台 S3700 换成一模一样的四台 S5700，拓扑没变，但整机内存直接翻倍，开到最后几台设备时前面的设备会莫名其妙掉线，你还以为是配置写错了，查半天才发现是资源问题。我一般的做法是接入层清一色 S3700，汇聚和核心用 S5700，出口用 AR2220，需要演示安全策略时才临时加一台防火墙，演示完就关掉。

另外，型号决定了命令的可用范围。S3700 上做不了完整的三层转发，配置 Vlanif 时要留意；AR 系列没有交换端口，别指望在它上面敲port link-type access。选型表看着是准备工作，实际上是给自己省掉后面一半的排错时间。

2.3 画线之前先做三件事：命名、地址规划、端口台账

新手最常见的做法是打开 eNSP 先把设备拖出来连好线，再开始想地址怎么分。等你连到第二十根线的时候，已经记不清哪个口接的是哪个区了。我一般要求先在纸上（或者一个 txt 文件里）定好三件事，再动手拖设备。

第一步是命名规范。设备名要能直接读出位置和角色，比如CORE-01、AGG-TEACH-01、ACC-DORM-3F-01。eNSP 里默认名字是Switch、Switch1、Switch2，一旦超过五台，你在命令行里display current-configuration的时候根本分不清自己在哪台设备上。

第二步是地址规划。校园网最忌讳随手拿 192.168.1.0/24 到处用。我一般按区域分大段，管理地址、业务地址、互联地址各占一块，互联地址用 /30 或者 /31，省得以后做汇总时被零碎网段卡住。

第三步是端口台账。用一个表格记清楚：哪台设备的哪个口，接的是哪台设备的哪个口，属于哪个 VLAN。这张表在后面对照display mac-address、display lldp neighbor的时候能救命。

拓扑连线的顺序也有讲究。我习惯从核心往外连，先连核心到汇聚的两条链路（后面做链路聚合用），再连汇聚到接入，最后挂终端。原因是 eNSP 里设备启动有先后，核心先起来，汇聚起来时能立刻协商端口状态，链路不容易出现一边 up 一边 down 的假故障。

3. VLAN 与网关：把一千个终端切成五个广播域的实操

3.1 按区域划 VLAN：教学、宿舍、办公、服务器、访客的地址规划表

VLAN 划分没有标准答案，但有清晰的取舍逻辑：按物理位置划分便于排障（一个楼层一个 VLAN，出问题直接定位），按业务划分便于做策略（访客一个 VLAN，服务器一个 VLAN，策略直接挂在网关的 Vlanif 上）。校园网的实际做法通常是两者混用，先按区域切大块，再把需要特殊策略的区域单独拎出来。

我一般用这样一张规划表，仿真和真机可以共用：

这里有两个容易忽略的细节。宿舍区用 /23 而不是 /24，是因为一千多台终端挤在 /24 里，地址池只有 254 个可用地址，报到日必然打爆；/23 给到 510 个，配合短租期（比如 8 小时）基本够用。服务器区不放进 DHCP 池，用静态地址或者 DHCP 保留，避免地址漂移导致业务配置失效。

注意：VLAN 号和网段第三段尽量对齐（VLAN 10 对 192.168.10.0），这不是规范要求，但能让后面所有的排错动作少一次查表。

3.2 接入层 Access 与 Trunk：S3700 上的最小可用配置

接入层要做的事情很单纯：把终端划进对应的 VLAN，把上行口配成 Trunk 放行需要的 VLAN，顺手把接终端的口设成边缘端口，避免终端开关机触发生成树重算。

# 下列 # 开头的行是说明，粘贴到 eNSP 时请整行删掉 system-view sysname ACC-DORM-3F-01 # 一次性创建本台接入设备需要承载的 VLAN vlan batch 10 20 30 100 # 接终端的端口：划进 VLAN 20（宿舍区），设为边缘端口 interface GigabitEthernet0/0/1 port link-type access port default vlan 20 stp edged-port enable quit # 批量把 2 到 20 号口配成同样的接入口，省得一个个敲 port-group group-member GigabitEthernet0/0/2 to GigabitEthernet0/0/20 port link-type access port default vlan 20 stp edged-port enable quit # 上行口：Trunk，放行全部业务 VLAN interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 100 undo shutdown quit

这段配置里，port link-type access加port default vlan 20是把端口绑进 VLAN 的标准两步，缺一步端口就还在 VLAN 1 里，终端拿不到本该属于它的地址。stp edged-port enable的作用是让这个口不参与生成树计算，终端插拔不会引发拓扑变更；代价是如果有人把交换机的两个口用网线接成环，这个口不会主动阻塞，所以边缘端口只配在确实接终端的口上。

上行口这部分，port trunk allow-pass vlan是最容易出事的一行。Trunk 口默认只放行 VLAN 1，你不写这行，VLAN 20 的流量走到汇聚就断了，现象是同交换机内的 PC 互 ping 得通，跨交换机就全丢。我一般养成习惯：Trunk 两边都显式写出放行列表，不用vlan all，一是安全，二是以后查表的时候一眼能看出这条链路承载了什么。

port-group是华为交换机上被低估的一个命令。二十个口用一条 port-group 配完，比逐口配置快十倍，而且避免手抖漏配某个口。批量配置完记得display port vlan抽查一下，确认每个口都在对的 VLAN 里。

3.3 核心层 SVI 加 DHCP：让 PC 自动拿到地址

接入层只负责把流量送上去，真正的网关在核心。核心上每个 VLAN 建一个 Vlanif 接口，配上网关地址，再配一个全局地址池，终端开机就能自动拿地址。

system-view sysname CORE-01 vlan batch 10 20 30 40 50 100 # 教学区网关 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 dhcp select global quit # 宿舍区网关（/23 掩码要写对） interface Vlanif20 ip address 192.168.20.1 255.255.254.0 dhcp select global quit # 开启全局 DHCP 功能，不开这一步后面的地址池全是摆设 dhcp enable ip pool dorm network 192.168.20.0 mask 255.255.254.0 gateway-list 192.168.20.1 dns-list 192.168.100.10 excluded-ip-address 192.168.20.1 192.168.20.50 lease day 0 hour 8 minute 0 quit

dhcp enable必须写在地址池之前，这是新手最常漏的一步。漏了它的表现很有意思：display ip pool能看到地址池，状态也正常，但 PC 死活拿不到地址，PC 端显示 169.254 开头的自动地址。原因是没有全局使能，交换机根本不去响应 DHCP 请求。

dhcp select global写在 Vlanif 下面，意思是这个接口的 DHCP 请求去查全局地址池。与之对应的是dhcp select interface，用接口地址所在网段直接分配，省掉地址池配置，但没法做排除地址和租期控制。校园网这种需要精细控制的场景，用全局地址池更合适。

excluded-ip-address把网关地址和前面一段地址排除掉，留给打印机、无线 AP、监控这类需要固定地址的设备。宿舍区的租期我设成 8 小时，白天学生在宿舍，晚上回宿舍，8 小时刚好一个轮回，地址回收快，池子不容易打爆；如果把租期设成 7 天，一千个地址会被长期占用，第二周就开始有人连不上网。

dns-list这里填的是内网地址 192.168.100.10，不是随便找个公共 DNS。仿真的意义就在于把内网 DNS 服务器这个角色也建出来，后面做业务验证时，PC 能不能解析域名才有意义。

4. 路由与出口：OSPF 收敛、默认路由和 NAT 三者的先后顺序

4.1 单区域还是多区域：校园网规模的那条判断线

eNSP 里做校园网，OSPF 用单区域还是多区域，很多人是靠感觉选的。我的判断线比较简单：设备数量在二十台以内、区域之间没有明显的策略差异，单区域足够；一旦不同区域要走不同的路由策略（比如访客区不允许访问服务器区，宿舍区限速），或者接入设备超过三十台，就该考虑多区域了。

单区域的好处是配置简单，所有设备都在 area 0，network命令写对就通，排错时display ospf peer一眼看全。坏处是拓扑变更会泛洪到全网，任何一条链路抖动，所有路由器都要重算 SPF。

多区域的好处是把变更限制在区域内，区域边界上做路由汇总，核心的路由表能小一个数量级。代价是配置量翻倍，而且区域间的路由汇总一旦配错，现象是"部分网段通、部分网段不通"，比单区域的"全不通"难查得多。

仿真阶段我的建议是先单区域跑通，把地址规划、VLAN 间路由、出口 NAT 全部验证完，再改成多区域对比收敛时间的差异。这样出问题时你能确定是新加的区域配置引入的，还是原来的基础配置就有毛病。

4.2 核心与出口的 OSPF 配置：router-id、反掩码和默认路由下发

核心和出口之间一般是三条链路：两条业务互联做冗余，一条管理互联。仿真里为了省资源，一条 /30 互联也够用，但 OSPF 的配置逻辑要按冗余的思路写。

# 核心侧：宣告业务网段和互联网段 ospf 1 router-id 10.0.0.1 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.1.255 network 192.168.30.0 0.0.0.255 network 10.0.0.0 0.0.0.3 quit quit

# 出口侧：只宣告互联网段，并把默认路由注入 OSPF acl 2000 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet0/0/0 ip address 10.0.0.2 255.255.255.252 quit interface GigabitEthernet0/0/1 ip address 202.100.1.2 255.255.255.252 nat outbound 2000 quit ip route-static 0.0.0.0 0.0.0.0 202.100.1.1 ospf 1 router-id 10.0.0.2 default-route-advertise always area 0 network 10.0.0.0 0.0.0.3 quit quit

router-id必须手工指定。不指定的话设备会从接口地址里挑一个大的当 router-id，接口一 down 一 up，router-id 可能跟着变，OSPF 邻居关系就会反复重建。仿真里这个现象表现为邻居一会儿 Full 一会儿 Down，看起来像链路问题，实际是 router-id 在飘。

network后面的掩码是反掩码，不是子网掩码。192.168.10.0/24 写成0.0.0.255，192.168.20.0/23 写成0.0.1.255。写成255.255.255.0是最经典的错误，配置不报错，但网段宣告不出去，邻居建得起来却学不到路由。

出口侧只宣告互联网段，不宣告内网网段，是为了让内网路由从核心传过去，避免出口也去维护一堆明细。default-route-advertise always让出口把默认路由注入 OSPF，核心学到一条 0.0.0.0/0 指向出口就行，不需要在核心上再写静态默认路由。不加always的话，只有出口本地存在一条活跃的默认路由时才注入，仿真里对端 ISP 设备没起来的时候，这条默认路由不生效，核心就学不到，全网出不去。

4.3 NAT 与访客 ACL：出口那一跳最容易漏的两条

NAT 配置看着只有两行，出问题的地方却不少。上面那段里acl 2000匹配的是内网所有网段，nat outbound 2000挂在出接口上，这两条必须成对出现，缺一条都不通。

第一条容易漏的是 ACL 的匹配范围。rule 5 permit source 192.168.0.0 0.0.255.255覆盖了 192.168.0.0 到 192.168.255.255，如果你的地址规划里有 172.16 开头的网段，这条 ACL 就匹配不上，现象是那个网段的终端能 ping 通网关、能 ping 通出口内网口，就是出不了网。仿真里我一般先把 ACL 写成rule 5 permit（匹配所有），确认通了再收紧到具体网段，这样能快速区分是"NAT 没生效"还是"ACL 写窄了"。

第二条容易漏的是回程路由。NAT 只改源地址，回程流量要靠出口设备上的默认路由指出去，以及内网设备上的路由指回来。核心上如果没学到默认路由，包到了出口做了 NAT 发出去，回来的时候找不到 192.168.x.x 怎么走，直接丢掉。判断方法是出口上display nat session all看会话建没建起来，建起来了但内网收不到回包，问题就在回程路由。

访客隔离的策略我一般挂在核心的 Vlanif 上：

acl 3000 rule 5 deny ip source 192.168.50.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 deny ip source 192.168.50.0 0.0.0.255 destination 192.168.40.0 0.0.0.255 rule 100 permit ip quit interface Vlanif50 traffic-filter inbound acl 3000 quit

traffic-filter inbound挂在访客网关的入方向，意思是访客进来的流量先过 ACL。规则顺序不能乱：先拒绝访问教学区和服务器区，最后一条permit ip兜底放行去往其他区域（包括出口）。如果把permit ip写在最前面，后面的 deny 全部不生效，这是 ACL 匹配顺序的硬规则，仿真里不会有任何提示，只能靠现象发现——访客能访问服务器了，说明前面那条 deny 被跳过了。

5. 仿真跑不通？五个排查点和血泪踩坑记录

5.1 从物理层往上：一张分层定位的顺序表

排错最怕的是东一榔头西一棒子。我一般固定按这个顺序走一遍，八成的问题能在前三步定位：

从下往上走的道理很简单：二层不通的时候去查 OSPF 是浪费时间，路由表再漂亮，包也出不了接入交换机。我有一次折腾了四十分钟查 OSPF 邻居，最后发现是接入交换机上一根网线插错了口，VLAN 压根没对上。

5.2 五条踩坑记录：现象、原因、解决

第一条：关掉 eNSP 再打开，所有配置全没了。

现象是前一天配好的拓扑，第二天打开项目文件，进设备一看是出厂状态，display current-configuration干干净净。原因是 VRP 的配置默认存在运行配置里，必须执行save才会写进启动配置文件，而 eNSP 关闭时不会替你保存。解决办法是每台设备配置完就save，提示确认时输y；拓扑多的时候，我会在每章配完统一走一遍所有设备执行保存。这条踩过一次就忘不掉，因为丢的是两个小时的工作量。

第二条：同 VLAN 内互 ping 通，跨交换机就不通。

现象是接入交换机 A 下面的 PC 能 ping 通同交换机的 PC，ping 不通接入交换机 B 下面的同网段 PC。原因九成是 Trunk 没放行对应 VLAN，两边port trunk allow-pass vlan列表不一致，或者汇聚到核心那段漏了某个 VLAN。解决是先display port vlan在两端各看一遍，确认放行列表一致；再display vlan 20看这个 VLAN 的成员端口里有没有上行口。血泪经验是 Trunk 两端都显式写列表，别一边写vlan all一边写明细，后者最容易漏。

第三条：Vlanif 状态是 down，网关 ping 不通。

现象是display ip interface brief里 Vlanif20 显示 down，地址配了但就是不起。原因是一个 Vlanif 只有在对应 VLAN 里至少有一个物理端口处于 up 状态时才会 up，如果你先把 Vlanif 配好、PC 还没接上，或者接入口被shutdown了，Vlanif 就一直是 down。解决办法是先在对应 VLAN 里接一台 PC 或者把一个端口undo shutdown，再回来看 Vlanif。这个坑在"先把三层配完再挂终端"的习惯下几乎必踩。

第四条：PC 拿到 169.254 开头的地址。

现象是 PC 设成 DHCP，等了半天拿到的地址是 169.254.x.x，这是系统自动分配的临时地址，说明压根没收到 DHCP 响应。原因有四种：没敲dhcp enable；Vlanif 下没写dhcp select global；地址池的network网段和 Vlanif 的地址不在同一个网段；接入端口不在对应 VLAN 里。排查顺序就是从下往上，先在核心上display ip pool看地址池状态和已用数量，再用display dhcp server statistics看有没有收到请求报文，收到请求但没回，问题在地址池；连请求都没有，问题在二层。

第五条：设备一直卡在井号上起不来。

现象是在 eNSP 里双击设备，命令行窗口刷一堆#，十分钟都不出登录提示。原因通常是整机内存不够，同时开太多设备；或者某个型号的镜像没注册好。解决办法是先关掉一些非关键设备，按核心、汇聚、接入的顺序逐台启动，起来一台稳定一台再起下一台；确认是镜像问题的话，去设备注册那里重新指定镜像路径。仿真规模不要贪大，八到十台设备跑通全流程，比二十台设备跑一半卡死有价值得多。

6. 让仿真结果能拿去说服人：业务验证、收敛计时与配置基线

配置能 ping 通，只说明网络层没断，离"这个设计能用"还差一步。我在仿真收尾阶段固定做三件事，做完了才敢把结论拿去跟人讨论。

第一件是业务验证。不要只 ping 网关，让 PC 走一遍真实流程：DHCP 拿地址、解析内网域名、访问服务器区的 Web 服务。eNSP 里 PC 自带客户端工具，可以配 HTTP 和 DNS，把服务器区的设备起一个服务，然后从教学区、宿舍区、访客区分别访问一次。访客区必须访问失败，这才证明 ACL 生效了；如果访客区也能打开，前面的策略配置就是白写。

第二件是收敛计时。把核心到汇聚的一条链路断开，同时在一台 PC 上持续 ping，看丢几个包。RSTP 环境下通常是 1 到 3 个包，OSPF 环境下如果开了 BFD 可以做到亚秒级。仿真的计时不能直接等同真机，但能对比不同方案的高下：单区域和双区域各断一次，哪个丢包少一目了然。

第三件是配置基线。每台设备display current-configuration导出来存成文本，按设备名命名，一个方案一个文件夹。下次改配置之前先导出一次，改完再导出一次，两份文件做比对，改动点清清楚楚。这一步在真机割接时是保命的，在仿真里同样管用——你改了一个 VLAN，结果把 OSPF 的 network 宣告也带没了，靠肉眼是看不出来的，比对能一秒定位。

我自己踩过最深的一个坑，是仿真跑通之后觉得万事大吉，直接按仿真的地址规划写了割接方案，结果漏了真机上已经存在的几个历史网段，割接当晚发现和仿真里的 OSPF 汇总打架。从那以后我养成一个习惯：任何仿真结论落纸之前，先把不变量列出来——哪些地址段不能动、哪些链路必须保留、哪些策略是历史遗留——再回头检查仿真拓扑有没有覆盖到这些约束。仿真能验证设计，但验证不了你没告诉它的前提。

希望帮到你。

本文还有配套的精品资源，点击获取