1. 环境准备与实验拓扑解读咱们今天要聊的这个实验说实话是我带过很多新人网络工程师入门时最喜欢拿来练手的一个“大活儿”。它用华为的eNsp模拟器完整复现了一个中型企业的网络架构从最基础的布线、划分网段到后面保证网络不中断的冗余技术、让员工自动获取IP地址、安全地访问外网等等全给包圆了。你跟着做一遍基本上对企业网的核心技术点就能有个七七八八的把握比看十篇理论文章都管用。首先你得把eNsp模拟器装好。这个软件是华为官方出的免费对学习来说完全够用。安装过程没啥坑记得把配套的VirtualBox和各个设备的镜像包比如AR路由器、CE交换机这些都下齐了就行。有时候启动设备报错多半是VirtualBox的虚拟网卡设置或者镜像路径有问题去网上搜搜对应错误码基本都能解决。拿到实验拓扑图别急着配命令。我习惯先花十分钟像看地图一样把整个网络的“骨架”和“血管”理清楚。这个实验的拓扑可以清晰地分成两大块总部园区网络和远程分部网络它们通过互联网用公网IP模拟连接。总部这边是典型的层次化架构接入层就是连着员工电脑、打印机、IP电话的那些交换机比如LSW3, LSW4, LSW5。它们任务单纯就是负责把不同的用户办公、财务、人事、网管划分到不同的VLAN里相当于给数据包打上不同的“部门标签”。核心层这里是网络的心脏有两台核心交换机Core-1和Core-2。它们俩可不是简单的备份关系而是通过一系列技术VRRP、MSTP、链路聚合协同工作既分担流量压力又能在任何一台出故障时瞬间接管保证业务不停。同时所有VLAN之间的通信、去往互联网的路由都在这里决策。服务器区DHCP服务器和DNS服务器单独放在一个VLAN比如VLAN 50由核心交换机统一管理。内网的FTP服务器也需要能被外网的分部访问。出口一台边界路由器AR1连接着核心交换机和模拟的互联网。它负责做地址转换NAT、设置访问控制ACL是内网安全的守门人。分部那边就简单多了规模小直接用一台路由器AR2既当网关又当出口设备。它也有自己的服务器需要发布到公网给总部访问。理解了这个布局你就能明白我们所有的配置都不是孤立的。给接入层划VLAN是为了核心层能配置网关配VRRP是为了实现网关冗余而MSTP生成树则是为了在复杂的环形链路中防止广播风暴并智能地阻塞掉次要路径让数据走向最优的网关。每一步都环环相扣。接下来我们就从零开始一步步把这个网络“搭”起来。2. 基础网络构建从IP规划到VLAN落地万事开头难网络实验的开头就是寻址和划片。很多新手一上来就敲命令结果IP地址冲突、网关配错后面所有高级功能全盘皆输。所以咱们沉住气先把最底层的地基打牢。2.1 子网与VLAN规划实战实验要求里给了地址段总部用172.16.0.0/16分部用192.168.1.0/24。这可不是让你把整个大网段直接扔进去用的。我们需要根据每个部门的人数像切蛋糕一样把它切成大小合适的小块。这里有个关键点eNsp里的三层交换机接口是不能直接配IP地址的。它的三层功能是通过“SVI接口”也就是VLANIF接口实现的。所以我们的规划思路是一个部门一种业务 一个VLAN 一个子网。以总部为例我们根据人数来划分VLAN 10 - 办公800人需要的主机地址最多。我们可以从172.16.0.0/16中切出一个/22的网段比如172.16.0.0/22。这个网段掩码是255.255.252.0能提供大约1022个可用IP去掉网络号和广播地址足够800人用了。网关可以设为172.16.0.254。VLAN 20 - 财务20人用/27的网段就够了比如172.16.4.0/27提供30个IP。网关设为172.16.4.254。VLAN 30 - 人事40人用/26的网段比如172.16.4.64/26提供62个IP。网关172.16.4.126。VLAN 40 - 网管10人用/28的网段比如172.16.4.128/28提供14个IP。网关172.16.4.142。VLAN 50 - 服务器2台服务器但考虑到管理地址和未来扩展可以用/29比如172.16.4.144/29提供6个IP。DHCP服务器地址设为172.16.4.145DNS服务器设为172.16.4.146。VLAN 60 / 70 - 核心与路由器互联用于核心交换机Core-1、Core-2与边界路由器AR1互联。可以用两个/30的小网段比如172.16.255.4/30和172.16.255.8/30。我建议你像我一样用Excel或者画张表把VLAN ID、子网网段、掩码、网关、用途都列清楚。这张表就是你整个实验的“施工蓝图”后面配每一个设备都要反复查看。2.2 接入层与核心层基础配置规划好了就开始动手配置设备。顺序很重要我习惯从下往上从边缘到核心。第一步配置接入层交换机以LSW3为例。它的任务很简单连接用户的端口比如E0/0/1到E0/0/23要设置成access模式并划入对应的VLAN。假设E0/0/1接办公区电脑就把它划入VLAN 10。连接核心交换机的上行链路比如E0/0/24则必须配置成trunk模式并且允许所有用户VLAN10,20,30,40以及管理VLAN通过。# 进入系统视图 sysname LSW3-Access # 创建VLAN如果VLAN不存在系统会自动创建 vlan batch 10 20 30 40 # 将连接用户的接口配置为access模式并加入对应VLAN interface Ethernet0/0/1 port link-type access port default vlan 10 # 配置连接核心的上行链路为trunk interface Ethernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40第二步配置核心层交换机以Core-1为例。核心层的配置是重头戏。首先同样要创建所有VLAN并把连接接入层交换机的接口也配成trunk。然后最关键的一步来了创建VLANIF接口并配置IP地址这个IP就是该VLAN内所有用户的默认网关。sysname Core-1 # 创建所有VLAN vlan batch 10 20 30 40 50 60 # 连接接入层的接口配为trunk interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 # 创建VLANIF接口并配置IP即网关地址 interface Vlanif 10 ip address 172.16.0.253 255.255.252.0 # 这是物理网关注意不是最终的虚拟网关 interface Vlanif 20 ip address 172.16.4.253 255.255.255.224 # ... 其他VLANIF类似 # 配置与路由器互联的接口属于VLAN 60 interface GigabitEthernet0/0/8 port link-type access port default vlan 60这里你可能会注意到我给VLAN 10配的网关是.253而不是规划表里的.254。这是因为我们马上要引入VRRP虚拟路由器冗余协议.254将会是虚拟出来的、对用户透明的“虚拟网关”地址。.253和另一台核心交换机上的.252是两台物理设备的真实地址它们共同“守护”着这个虚拟的.254。这个设计是保证高可用的精髓所在。3. 网络冗余与可靠性保障基础通了但现在的网络是“脆弱”的。任何一台核心交换机宕机它下面的用户就断网了。这在企业里是绝对不允许的。所以我们必须给网络加上“保险”——这就是冗余。在这个实验里主要通过链路聚合、VRRP和MSTP三大技术来实现。3.1 链路聚合捆绑多条物理链路两台核心交换机之间如果只用一条线连接带宽有限而且这条线一断两台设备就“失联”了。链路聚合Eth-Trunk就是把多条物理链路逻辑上捆绑成一条更粗的“管道”既增加带宽又提供备份。在两台核心交换机上配置几乎是对称的# 在Core-1上配置 interface Eth-Trunk 1 # 创建编号为1的Eth-Trunk逻辑接口 port link-type trunk port trunk allow-pass vlan all # 允许所有VLAN通过 # interface GigabitEthernet0/0/23 eth-trunk 1 # 将物理接口加入到Eth-Trunk 1 interface GigabitEthernet0/0/24 eth-trunk 1 # 在Core-2上做同样的配置配置完后你可以用display eth-trunk 1命令查看会看到两条成员链路都是“Up”状态。这样核心之间的通信带宽就翻倍了而且一条链路故障流量会自动切换到另一条用户毫无感知。3.2 VRRP打造永不宕机的虚拟网关这是实现网关冗余的核心。我们之前给VLAN 10在Core-1上配了网关.253在Core-2上配了.252。现在我们让它们俩一起虚拟出一个地址.254。VRRP的工作原理可以理解为“竞选组长”。在一个VRRP组里比如为VLAN 10创建的vrid 10所有路由器这里是两台核心交换机会选举出一台Master主和一台或多台Backup备。Master负责响应发给虚拟网关IP.254的ARP请求和转发数据。用户电脑的默认网关只需要指向这个虚拟的.254就行了它根本不用关心背后实际是哪台设备在工作。配置的关键在于优先级priority。优先级高的设备会成为Master。我们根据实验需求“办公用户主网关在Core-1其他用户在Core-2”来设置。# 在Core-1上配置VLAN 10的VRRP interface Vlanif 10 ip address 172.16.0.253 255.255.252.0 vrrp vrid 10 virtual-ip 172.16.0.254 # 创建VRRP组10虚拟IP为.254 vrrp vrid 10 priority 120 # 设置优先级为120默认100确保Core-1成为Master vrrp vrid 10 preempt-mode timer delay 5 # 开启抢占模式延迟5秒故障恢复后能抢回Master角色 # 在Core-2上配置VLAN 10的VRRP interface Vlanif 10 ip address 172.16.0.252 255.255.252.0 # Core-2的物理地址是.252 vrrp vrid 10 virtual-ip 172.16.0.254 # 加入同一个VRRP组10 # 不配置priority默认为100所以它是Backup # 对于VLAN 20财务我们希望Core-2是主网关 # 在Core-2上 interface Vlanif 20 ip address 172.16.4.253 255.255.255.224 vrrp vrid 20 virtual-ip 172.16.4.254 vrrp vrid 20 priority 120 # 在Core-1上 interface Vlanif 20 ip address 172.16.4.252 255.255.255.224 vrrp vrid 20 virtual-ip 172.16.4.254配置完成后在Core-1上执行display vrrp brief你会看到对于vrid 10Core-1的状态是Master而vrid 20它的状态是Backup。这就完美实现了流量的负载分担和冗余备份。3.3 MSTP解决环路与优化路径当网络中存在多条物理路径时比如接入层交换机LSW3同时连接Core-1和Core-2虽然提供了冗余但也形成了物理环路。二层网络里环路会引发广播风暴瞬间让网络瘫痪。生成树协议STP就是用来破环的。但传统的STP会把所有环路都阻塞成一条路径无法实现我们“不同VLAN走不同最优路径”的需求。MSTP多实例生成树解决了这个问题。它可以把多个VLAN映射到不同的生成树实例上在每个实例里独立计算树形拓扑。我们的需求是VLAN 10办公的流量优先走Core-1其他VLAN20,30,40,50的流量优先走Core-2。那么我们就把VLAN 10映射到实例1其他VLAN映射到实例2。# 在Core-1, Core-2以及所有接入层交换机上配置相同的MST域 stp region-configuration region-name RG1 # 配置域名所有设备域名必须一致 instance 1 vlan 10 # 将VLAN 10映射到实例1 instance 2 vlan 20 30 40 50 # 将其他VLAN映射到实例2 active region-configuration # 激活配置 # 然后在每个实例中指定根桥和备份根桥 # 在Core-1上 stp instance 1 root primary # 指定自己为实例1VLAN 10的主根桥 stp instance 2 root secondary # 指定自己为实例2其他VLAN的备份根桥 # 在Core-2上 stp instance 1 root secondary # 指定自己为实例1的备份根桥 stp instance 2 root primary # 指定自己为实例2的主根桥 # 在所有交换机上全局开启MSTP stp enable # 在接入层交换机上将与PC连接的端口设为边缘端口避免这些端口触发STP计算加快收敛 interface Ethernet0/0/1 stp edged-port enable配置完成后使用display stp brief查看。你会看到在接入层交换机LSW3上连接Core-1和Core-2的两条链路对于实例1去往Core-1的端口是Forwarding状态去往Core-2的端口是Discarding阻塞状态对于实例2情况则正好相反。这就实现了流量的路径优化和负载均衡。4. 自动化服务与安全访问控制网络通了也可靠了接下来就要让它“好用”和“安全”。让成百上千的员工手动设置IP地址是不现实的我们需要DHCP来自动分配。同时内部服务器需要用域名访问这就需要DNS。最后内网用户要安全地访问互联网服务器要安全地对外提供服务这就轮到NAT和ACL上场了。4.1 DHCP与DNS部署详解在这个拓扑里DHCP服务器是一台独立的设备比如用一台AR路由器模拟。它的部署分三步走第一步在DHCP服务器上配置地址池和全局启用。# 进入系统视图 sysname DHCP-Server # 配置连接核心交换机的接口IP属于VLAN 50 interface GigabitEthernet0/0/0 ip address 172.16.4.145 255.255.255.248 # 配置去往各个VLAN网段的静态路由下一跳指向VLAN 50的虚拟网关 ip route-static 172.16.0.0 255.255.252.0 172.16.4.150 ip route-static 172.16.4.0 255.255.255.224 172.16.4.150 # ... 添加其他VLAN网段的路由 # 创建DHCP地址池 dhcp enable ip pool vlan10 network 172.16.0.0 mask 255.255.252.0 gateway-list 172.16.0.254 # 注意这里网关是VRRP的虚拟IP dns-list 172.16.4.146 # 指向DNS服务器的IP # 类似地创建 vlan20, vlan30, vlan40 的地址池第二步在核心交换机上配置DHCP中继。因为DHCP服务器在另一个VLAN客户端广播的DHCP Discover报文是过不去的。核心交换机需要充当“中继代理”把广播包变成单播包转发给指定的DHCP服务器。# 在Core-1和Core-2上 dhcp enable interface Vlanif 10 dhcp select relay # 接口模式改为中继 dhcp relay server-ip 172.16.4.145 # 指定DHCP服务器地址 # 对 Vlanif 20, 30, 40 做同样配置第三步配置DNS服务器。同样用一台设备模拟安装DNS服务软件eNsp中可用AR路由器模拟开启DNS功能。关键配置是将内网服务器的域名解析到它的IP地址。sysname DNS-Server interface GigabitEthernet0/0/0 ip address 172.16.4.146 255.255.255.248 # 启用DNS服务 dns enable # 添加静态域名解析 ip host www.chenj.com 172.16.4.147 # 假设内网FTP服务器IP是 .147 ip host ftp.chenj.com 172.16.4.147配置好后内网用户通过DHCP获取到的DNS地址就是172.16.4.146他们就可以直接用ping www.chenj.com来访问内网服务器了。4.2 NAT与ACL连通与安全的平衡术企业内网用的是私有地址如172.16.x.x在公网上是无法路由的。要让内网用户上网必须通过边界路由器进行网络地址转换NAT把私网IP转换成公网IP。同时出于安全考虑不是所有用户都能上网比如财务部这就需要访问控制列表ACL来配合。首先配置基础路由和接口。确保边界路由器AR1与核心交换机、与模拟互联网Cloud设备之间的链路是通的并配置好静态路由让内网知道去往互联网的流量走AR1让AR1知道回程流量怎么回到各个内网网段。然后配置NAT和ACL策略。实验要求是除财务VLAN 20和网管VLAN 40外其他用户可上网。同时内网FTP服务器172.16.4.147需要用一个公网IP201.201.201.3发布出去。# 在边界路由器AR1上配置 # 1. 创建一个基本ACL定义哪些内网地址可以转换 acl number 2000 rule 5 permit source 172.16.0.0 0.0.3.255 # 允许办公网段VLAN 10 rule 10 permit source 172.16.4.64 0.0.0.63 # 允许人事网段VLAN 30 # 注意没有允许财务172.16.4.0/27和网管172.16.4.128/28它们被默认拒绝 # 2. 创建一个NAT地址池里面是运营商提供的公网IP地址假设是201.201.201.2到201.201.201.14 nat address-group 1 section 201.201.201.2 201.201.201.14 # 3. 在连接互联网的出口接口上应用NAT Outbound策略 interface GigabitEthernet0/0/1 # 假设这是连接公网的接口 ip address 201.201.201.1 255.255.255.240 nat outbound 2000 address-group 1 # 将ACL 2000匹配的源IP用地址组1进行转换 # 4. 配置静态NAT将内网服务器映射到固定的公网IP nat static global 201.201.201.3 inside 172.16.4.147 # 这条命令意味着公网用户访问201.201.201.3的流量会被自动转发到内网的172.16.4.147对于分部路由器AR2配置类似只是地址不同。这样配置后总部符合条件的用户就能上网了并且分部的用户可以通过访问201.201.201.3来连接到总部的FTP服务器。反过来总部用户也能访问分部发布的服务器。5. 远程管理与故障排查心得网络配置完了能通不代表万事大吉。作为网络工程师日常的远程管理和出现问题时快速定位故障才是真本事。这个实验的最后一步就是配置Telnet远程管理并分享一些我在这类综合实验中踩过的坑和排查思路。5.1 配置安全的Telnet远程登录我们不可能每次调试都跑到机房去接console线。Telnet虽然安全性不如SSH但在实验环境里够用可以让我们从网管区的电脑远程登录到核心交换机、路由器上进行配置。配置的核心是认证。我们采用AAA本地认证为不同的管理员创建账号。# 以Core-1为例 # 1. 开启Telnet服务功能 telnet server enable # 2. 配置VTY用户界面虚拟终端线路 user-interface vty 0 4 # 进入VTY 0到4这5个虚拟终端接口 authentication-mode aaa # 认证模式设为AAA protocol inbound telnet # 允许的协议是Telnet # 3. 配置AAA本地用户 aaa local-user admin password cipher Huawei123 # 创建用户admin密码加密存储 local-user admin privilege level 15 # 权限等级设为最高15级 local-user admin service-type telnet # 服务类型为Telnet配置完成后从属于网管网段VLAN 40的一台PC上打开命令行输入telnet 172.16.4.253Core-1的物理管理IP输入用户名admin和密码就能登录了。记得在核心交换机和DHCP服务器上都做类似配置。5.2 典型故障排查流程与命令实验过程中不通是常态。别慌按照分层、分段的思路来查。物理层与链路层首先用display interface brief看看设备接口是不是UP状态。如果接口是DOWN检查线缆连接、接口是否被shutdown。如果是trunk链路用display port vlan检查是否允许了必要的VLAN通过。IP连通性这是最常出问题的地方。假设办公区电脑无法上网。第一步在电脑上用ipconfig(Windows) 或ifconfig(Linux) 看看是否获取到了IP地址、网关和DNS。如果没拿到IP问题出在DHCP。在电脑上抓包或者到核心交换机上display dhcp relay statistics interface Vlanif 10查看中继统计信息再到DHCP服务器上display ip pool name vlan10 used看地址分配情况。第二步如果能ping通自己的网关172.16.0.254说明二层和VRRP是好的。如果ping不通检查核心交换机上对应VLANIF的配置和VRRP状态display vrrp。第三步ping一个外网地址比如8.8.8.8。如果不通用tracert 8.8.8.8跟踪路径。通常卡在第一步网关是VRRP或路由问题卡在第二步边界路由器可能是核心到路由器的互联地址或静态路由没配卡在第三步出不去大概率是NAT或ACL没配对。在边界路由器上用display nat session all查看是否有NAT转换会话产生如果没有说明ACL没匹配上或者NAT配置没生效。生成树问题如果网络中有环路导致广播风暴或者某些端口异常阻塞。用display stp brief快速查看各端口在不同实例下的状态确认根桥选举和端口角色是否符合设计预期。有时候MSTP域配置region-name, revision-level, instance-vlan mapping不一致会导致生成树计算分裂一定要确保所有交换机配置完全一致。做这种综合实验最忌讳的就是一通乱配。我的经验是配置一点验证一点。比如配完VLAN和Trunk就在接入层和核心层互相ping一下管理地址配完VRRP立刻用display vrrp看状态配完DHCP马上让客户端renew一下看能否获取地址。这样当最终功能不通时你就能很快将问题锁定在最后配置的那一两个步骤里大大节省排查时间。这个实验流程走下来虽然繁琐但对企业网络从规划到上线的整个生命周期你会有一个非常扎实的感性认识。