1. 为什么你需要一个“仿真”的企业网络很多刚入行的朋友或者中小公司的IT负责人一听到要自己动手搭网络就头疼。买设备太贵万一配错了还可能影响业务光看理论书那些VLAN、路由协议又像天书根本不知道怎么落地。我自己刚入行那会儿也这样直到我开始用华为的Ensp模拟器才真正把书本上的知识“盘活”了。你可以把Ensp理解成一个功能极其强大的“网络乐高”软件。它能在你的电脑里虚拟出几十台甚至上百台华为的路由器、交换机、防火墙还能模拟出PC和服务器。最关键的是这些虚拟设备的配置命令、转发行为和真机几乎一模一样。这意味着什么意味着你可以在不花一分钱硬件成本的情况下去设计、搭建、测试甚至故意“搞坏”一个复杂的网络然后再把它修好。这个过程里积累的经验是看十本书都换不来的。我们今天的实战目标很明确为一个典型的成长型公司搭建一个“麻雀虽小五脏俱全”的园区网。这个网络需要满足几个最核心的诉求各部门之间要能通信但数据又要适当隔离比如财务部的数据不能让销售部随便访问网络出口要稳定不能因为一台路由器坏了全公司就断网内部员工要能安全地访问互联网。听起来是不是很接地气这就是我们每天工作中真实面对的问题。接下来我就带你一步步在Ensp里把它实现出来我会把每一步的配置思路、容易踩的坑以及我自己的调试经验都分享给你。2. 搭积木第一步规划你的网络蓝图动手敲命令之前规划是重中之重。一个好的规划能让你在后续配置时思路清晰排错也快。我们模拟的公司有四个部门经理室VLAN 10、财务部VLAN 20、技术部VLAN 30、市场部VLAN 40。每个部门一个独立的VLAN这是实现基础隔离的关键。我建议你拿张纸画一下就像这样接入层我们用四台交换机比如S5700每台下联一个部门的若干台PC。交换机与PC之间的链路用Access模式打上对应的VLAN标签比如财务部的PC都接入VLAN 20。汇聚层这是承上启下的关键。原始文章里这里用了路由器AR2220来替代三层交换机主要是因为模拟器版本对ACL的支持问题。在实际企业里这里通常用三层交换机。它的任务是为每个VLAN提供网关比如VLAN 10的网关是192.168.1.254并运行VRRP实现网关冗余同时运行OSPF来学习路由。核心层我们用一台性能更强的路由器如AR3260作为核心连接汇聚层和出口路由器。它负责内网路由的快速交换以及配置NAT让内网用户能访问外网。出口层一台路由器模拟互联网运营商有一个公网地址比如200.1.1.1。IP地址规划我习惯用192.168.X.0/24这样的C类私网地址段好记又好管理。比如VLAN 10经理室192.168.1.0/24网关 .254VLAN 20财务部192.168.2.0/24网关 .254VLAN 30技术部192.168.3.0/24网关 .254VLAN 40市场部192.168.4.0/24网关 .254 汇聚和核心设备之间的互联地址可以用192.168.5.0/24、192.168.6.0/24这样的小段。这个拓扑结构清晰层次分明非常符合中小企业的实际。在Ensp里把设备拖出来按照规划用线缆连好你的“数字工地”就准备就绪了。2.1 接入层配置打好VLAN这个地基接入层配置是网络的地基核心就两点创建VLAN和定义接口类型。配置虽然简单但错了后面全乱。首先在每一台接入交换机上一次性创建好所有需要的VLAN。命令很简单vlan batch 10 20 30 40。这里有个小技巧即使这台交换机下面只接财务部的PC我也习惯把其他VLAN也创建上因为上联到汇聚层的Trunk链路需要允许所有VLAN通过提前创建好能避免一些意想不到的兼容性问题。接下来是接口配置。连接PC的接口模式必须是access并指定它属于哪个VLAN。比如交换机G0/0/1口接财务部的PC配置如下interface GigabitEthernet 0/0/1 port link-type access port default vlan 20这就好比给这个端口贴了个“财务部专用”的标签所有从这个口进来的数据帧都会被自动打上VLAN 20的标签。而连接上层设备汇聚路由器的接口模式必须是trunk。它的作用像一条“多车道高速公路”允许带着不同VLAN标签的数据帧通过。配置如下interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan all这里port trunk allow-pass vlan all命令允许所有VLAN通过。在实际更严格的环境中你可以只放行必要的VLAN比如port trunk allow-pass vlan 10 20 30 40安全性更高。配置完一定要检查用display vlan和display interface brief看看VLAN创建成功了没有接口模式对不对。我见过太多故障最后查下来就是某个接口错配成了hybrid或者access导致跨设备VLAN不通。2.2 汇聚层核心让VLAN之间“对话”并立下规矩汇聚层是整个网络的交通枢纽和警察局。它要做三件大事给各个VLAN当网关、用VRRP给网关买“保险”、用ACL设置访问规矩。首先在汇聚路由器上我们需要为连接交换机的物理接口配置子接口。这是实现“单臂路由”的关键让一个物理接口能处理多个VLAN的流量。以AR1为例连接VLAN 10和20的交换机interface GigabitEthernet0/0/0.10 # 创建子接口编号通常对应VLAN ID dot1q termination vid 10 # 定义这个子接口处理携带VLAN 10标签的数据帧 ip address 192.168.1.252 24 # 配置子接口IP作为VLAN 10的物理网关 arp broadcast enable # 必须开启否则无法处理ARP广播 vrrp vrid 1 virtual-ip 192.168.1.254 # 创建VRRP组1虚拟网关IP是.254 vrrp vrid 1 priority 120 # 设置该设备在组1中的优先级为120高于默认100使其成为Master interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.2.252 24 arp broadcast enable vrrp vrid 2 virtual-ip 192.168.2.254 vrrp vrid 2 priority 120注意VLAN 10和20的VRRP组IDvrid是不同的分别是1和2。这样设计是为了实现负载均衡可以让AR1作为VLAN 10和20的主网关Master同时作为VLAN 30和40的备份网关Backup另一台汇聚路由器AR2则相反。这样流量就被分摊到两台设备上避免了单点瓶颈。然后是安全策略。项目要求经理室VLAN 10能访问其他部门反之不行。这需要用高级ACL编号3000-3999来实现。ACL 3001的配置逻辑是“先拒绝特定流量再放行其他所有”acl number 3001 rule 5 deny icmp source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 # 拒绝来自财务部(VLAN 20)去往经理室(VLAN 10)的ICMP包即ping rule 10 deny icmp source 192.168.3.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 # 拒绝技术部 rule 15 deny icmp source 192.168.4.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 # 拒绝市场部 rule 20 permit ip # 允许其他所有IP流量这条很重要否则默认会拒绝所有配置好后在AR1连接经理室网络的子接口G0/0/0.10的出方向outbound上应用这个ACLtraffic-filter outbound acl 3001。意思是从这个接口流出的数据包需要接受ACL 3001的检查。这样从其他部门发往经理室的ping包就会被丢弃而经理室发出去的包以及其他的通信如TCP访问则不受影响具体取决于rule 20的细化。这是一个典型的单向访问控制实现。3. 让网络“活”起来动态路由与高可用基础隔离和策略配好了但此时各个VLAN之间还是“鸡犬之声相闻老死不相往来”因为路由器还不知道去往其他网段的路怎么走。我们需要部署动态路由协议——这里选择OSPF它非常适合中型网络配置简单收敛速度快。在汇聚层路由器AR1和AR2以及核心路由器AR3上我们都启用OSPF进程并将所有直连网段宣告进去。以AR1为例ospf 1 router-id 1.1.1.1 # 启动OSPF进程1并手动指定一个Router ID建议用环回口地址或格式清晰的IP area 0 # 进入骨干区域0 network 192.168.1.0 0.0.0.255 # 宣告VLAN 10所在的网段 network 192.168.2.0 0.0.0.255 # 宣告VLAN 20网段 network 192.168.5.0 0.0.0.255 # 宣告与核心层互联的网段这里0.0.0.255是反掩码0表示需要精确匹配255表示忽略所以0.0.0.255就代表一个标准的24位掩码的网段。配置完成后用display ospf peer查看邻居关系是否建立成功用display ip routing-table查看路由表里是否学到了其他OSPF路由器宣告过来的路由。当你看到路由表里除了直连路由还多了许多标记为OSPF的路由时就说明网络“活”了各部门之间可以相互通信了。VRRP的配置前面已经提到但它的效果需要验证。你可以在PC上把网关设置为虚拟IP如192.168.1.254然后持续ping这个网关或者一个外网地址。接着手动关闭AR1上对应的接口shutdown GigabitEthernet0/0/0.10观察ping的丢包情况。在配置正确的情况下只会丢失一两个包然后迅速恢复因为VRRP备份设备AR2在检测到Master宕机后会立刻接管成为新的Master继续转发流量。这个过程对用户来说几乎是无感的这就是高可用的价值。3.1 连接外部世界安全的地址转换NAT公司网络还需要访问互联网。我们使用NAT技术将内网的私网IP地址转换成公网IP地址。通常我们会在连接互联网的边界路由器这里是核心路由器AR3上配置。首先需要定义一个ACL来匹配哪些内网地址有资格做NAT转换。我们允许所有内网网段acl number 2000 rule 5 permit source 192.168.1.0 0.0.0.255 rule 10 permit source 192.168.2.0 0.0.0.255 rule 15 permit source 192.168.3.0 0.0.0.255 rule 20 permit source 192.168.4.0 0.0.0.255然后创建一个公网地址池。假设运营商给了我们一段公网IP200.1.1.3 到 200.1.1.253。nat address-group 1 200.1.1.3 200.1.1.253最后在AR3连接外网模拟互联网的接口上应用NAT出方向转换interface GigabitEthernet 2/0/0 ip address 200.1.1.2 24 # 配置公网接口IP nat outbound 2000 address-group 1这条nat outbound命令的意思是对于匹配ACL 2000的数据包即来自内网的数据包当其从这个接口出去时将其源IP地址替换为地址组1中的一个公网IP。配置完成后用一个内网PC去ping外网的服务器比如8.8.8.8同时在AR3的外网接口上开启抓包Ensp自带抓包功能。你会看到内网发出的ping包其源IP在出公网接口时已经从192.168.x.x变成了200.1.1.x范围内的一个地址。这就是NAT在起作用它既解决了公网地址不足的问题也隐藏了内网结构增加了安全性。4. 验收与排错你的网络真的稳了吗配置全部做完不要急着庆祝。系统的测试和排错能力才是区分新手和老鸟的关键。我习惯按照“由内到外由下到上”的顺序进行测试。第一步测试二层连通性。在同一台交换机、同一个VLAN下的两台PC互相ping一下必须通。如果不通检查PC的IP和网关配置、交换机的Access口VLAN配置。第二步测试三层跨VLAN通信。用经理室的PCVLAN 10去ping财务部的PCVLAN 20。应该能ping通。如果不通按以下顺序排查检查汇聚路由器上对应VLAN的子接口IP和VRRP虚拟IP配置是否正确。检查交换机上联口的Trunk配置是否允许了这两个VLAN通过。检查OSPF邻居关系是否建立dis ospf peer。检查路由表dis ip routing-table看是否有到达目标网段的路由。第三步测试安全策略。用财务部的PC去ping经理室的PC。根据我们的ACL策略这个ping应该不通请求超时。但财务部PC去访问经理室PC的共享文件夹SMB服务呢这取决于ACL rule 20的配置。如果rule 20是permit ip那么除了ICMPping被拒绝其他的IP通信如TCP 445端口是允许的。这正是精细化控制的目的。你可以用display acl 3001查看ACL的匹配计数确认规则是否生效。第四步测试高可用VRRP。如前所述在PC持续ping网关或外网地址时手动关闭主网关设备的上联口观察业务中断时间。如果中断超过2秒可能需要检查VRRP的Advertisement Interval等计时器参数。第五步测试NAT上网。在内网PC上执行ping 8.8.8.8或tracert 8.8.8.8。能ping通且tracert的第一跳是核心路由器说明NAT和路由都正常。同时在外网口抓包确认地址转换成功。在Ensp中排错非常方便善用display系列命令display current-configuration,display interface,display vlan,display ospf error等和ping/tracert。遇到问题先理清数据流的路径然后逐段检查从物理链路到IP配置再到路由和安全策略层层剥离问题总能定位。5. 从模拟到现实项目设计的深度思考通过Ensp完成这个项目你得到的不仅仅是一堆配置命令更重要的是一套企业网络的设计方法论。在实际工作中有几个点值得深入思考设备选型的考量我们这个实验用路由器做汇聚层是受限于模拟器。真实场景中三层交换机是汇聚层的绝对主力。因为三层交换机的硬件转发能力远强于路由器的软件转发更适合做园区网内部大量的VLAN间数据交换。路由器则更擅长处理复杂的路由协议、NAT、广域网接入等通常放在核心或出口位置。安全策略的细化我们只用了基本的ACL做单向ping控制。真实企业网中安全需求复杂得多。例如基于应用的控制禁止技术部在上班时间访问视频网站。基于用户的认证访客接入网络需要先进行Portal认证。东西向流量防护即使在同一部门服务器区和工作站区也需要隔离。 这就需要引入更高级的安全设备如防火墙和方案如802.1X、安全组。网络的扩展性我们只用了OSPF单区域。如果公司规模扩大新增一个分支机构可以考虑将其配置为OSPF的另一个区域非骨干区域通过Area 0互联。或者如果总部和分支通过租用运营商专线连接可能会用到BGP协议。网络设计必须为未来留出扩容的空间。监控与运维网络建好只是开始。如何监控流量是否异常如何快速定位故障点这就需要部署网络管理系统NMS如Zabbix、SolarWinds或华为自家的eSight对设备的CPU、内存、端口流量、日志进行集中监控和告警。把这个Ensp项目吃透反复练习甚至尝试修改拓扑、增加故障点。当你能够不参考任何笔记独立地从零搭建、配置、测试并通过整个项目时你对中小型企业网络的理解就已经超越了绝大多数纸上谈兵者。这时无论是去应对实际工作还是准备相关的技术认证你都会充满信心。网络技术是一门实践的艺术Ensp就是你最好的、零成本的练习场。