华为ENSP实战手册：VLAN、静态路由与GRE隧道配置详解

简介：这是一份基于华为eNSP模拟器整理的网络实验PDF，面向网络初学者、备考HCIA/HCIP的工程师以及需要快速上手企业网络互联配置的运维人员。文档按“拓扑结构+配置要求”组织，实验内容从基础到进阶一应俱全：交换机基本配置（名称、管理IP、SNMP）；VLAN划分、VLAN接口互通与路由器单臂路由；RSTP及优先级、根桥保护、边缘端口；静态路由与RIP；OSPF多区、虚连接、STUB/NSSA区域与路由聚合；VRRP、DHCP、NAT、ACL、链路聚合和DHCP Snooping等，每个实验均明确给出拓扑与配置目标，读者可对照逐步操作并验证。资源为单个PDF文件，仅1.33MB，内容紧凑，适合打印或随时查阅。跟随实验配置，读者既能巩固VLAN划分、STP防环、路由协议等基础，也能掌握VRRP高可用、NAT地址转换、ACL访问控制等企业网高频场景，理解常见排错思路。目前已有560人学习使用，适合系统入门和考前强化。

1. 华为ENSP网络实验.pdf：不买真机也能练熟的华为网络配置手册

没有真机也想把华为交换机和路由器的命令行练熟？这是很多备考和转岗的人碰到的第一个坎。华为ENSP网络实验.pdf这类实验手册，把一台电脑上跑通华为仿真环境这件事拆成了可照做的步骤：从模拟器安装、设备拖拽，到VLAN、静态路由、防火墙这些实验的完整命令行，全收在一份文档里。ENSP全称是Enterprise Network Simulation Platform，华为官方的企业网络仿真平台，适合备考HCIA/HCIP、参加华为ICT大赛网络赛道，以及刚接手交换机运维、想先在本地练手再上生产设备的人。它不做网络规划的理论推导，只解决"命令怎么敲、实验怎么落地"这个实际问题，难度刚好卡在照做能通、理解需动脑的位置。

2. 装对版本再动手：ENSP下载、安装顺序与第一个双路由器拓扑

2.1 版本选型先做对：标准版、Pro版与HCL的边界在哪里

网上搜ensp下载及安装教程，结果很杂，但真正要纠结的不是下载渠道，而是装哪个版本。目前主流是三个选择：ENSP标准版（常见版本号是V100R003C00SPC100）、ENSP Pro，以及经常被拿来对比的HCL。三者不是简单的新旧关系，选错版本会让后面的实验反复卡壳。

多数PDF实验手册默认基于标准版，原因很现实：标准版的设备类型覆盖了AR2220路由器、S5700交换机、USG6000防火墙、AC6005无线控制器，这些设备足够支撑HCIA到HCIP阶段的绝大部分实验，而且稳定性比Pro版高。Pro版支持的特性更多，但不少实验手册里的截图、菜单名还是老界面的说法，照做时容易对不上。我的建议是：如果只是备考或练经典协议，直接装标准版；如果要做wlan无线新特性或SRv6这类实验，再考虑Pro版。HCL是华三的模拟器，命令风格与华为相似但不完全一样，除非工作对象是华三设备，否则不需要用它替代ENSP。

2.2 安装顺序与三个必查项：VirtualBox、WinPcap和杀毒软件

标准版ENSP不是一个单独的程序，它依赖VirtualBox做设备虚拟化，历史版本还依赖WinPcap做报文捕获。安装顺序乱了，最常见的后果是设备能拖进拓扑但启动失败，或者抓包按钮点了没反应。常见做法是：先装WinPcap，再装VirtualBox，最后装ENSP本体。装完以后打开ENSP如果提示注册组件失败，就用管理员身份重新运行一遍安装包里的注册工具。

三个必查项按顺序做，能省掉后面大量排错时间。第一，Windows 10或11系统下，ENSP和VirtualBox都要用管理员身份运行，右键图标选"以管理员身份运行"，否则虚拟网卡可能创建失败。第二，安装路径不要带中文和空格，默认路径最稳，别为图省事放到D盘新建的"网络实验"文件夹里。第三，安装过程中把杀毒软件和系统防火墙临时关掉，尤其是国产杀软，它会把VirtualBox的驱动或ENSP的注册组件直接隔离。装完再恢复防护，问题不大。

注意：如果电脑上已经装过其他版本的VirtualBox，先卸载干净再装ENSP配套版本。两个VirtualBox版本并存，大概率出现"启动设备失败40"。

2.3 第一个拓扑：AR1与AR2直连并Ping通

装好后打开ENSP，界面分四块：左侧是设备列表，中间是拓扑画布，下方是命令行窗口，右侧通常有报文捕获和信息区。先把拓扑图在脑子里画出来，两台路由器AR2220，用串口线或以太口线连接，然后启动设备。设备启动需要几十秒到几分钟，等设备图标从红变绿再操作，别双击就疯狂敲命令，这是新手最常见的翻车点。

等两台设备都变绿，双击AR1进入命令行，逐条输入下面配置：

# 进入系统视图，sys是system-view的简写 sys # 给路由器改名为AR1 sysname AR1 # 进入GigabitEthernet0/0/0接口视图 int g0/0/0 # 配置接口IP地址，24等价于255.255.255.0 ip address 10.0.12.1 24 # 接口默认是打开的，但养成手动确认的习惯 undo shutdown

这段配置的逻辑是：先进入系统视图获得全局配置权限，再用sysname命名设备方便识别，最后在物理接口上配IP。int g0/0/0里的g是GigabitEthernet的缩写，0/0/0表示槽位/板卡/接口编号，写错编号会配到错误的接口上，这也是很多人配完发现ping不通的第一个排查点。ip address后面的24是掩码长度，等价于255.255.255.0，华为命令行两种写法都接受。undo shutdown是打开接口，华为接口默认开启，但一些旧实验环境或复制的配置里可能带shutdown，手动执行不会出错。

AR2照同样的方式配置，IP用10.0.12.2 24。然后回到AR1命令行执行display ip interface brief，确认接口状态是up且IP地址正确，再用ping 10.0.12.2测试连通性。通了说明整个环境链路是正常的，后面所有实验都建立在"设备能启动、连接能起来"这个基础之上。如果ping不通，先检查两端接口状态和IP网段，不要急着怀疑配置，多半是连接线类型或者设备启动不完全。

3. 二层网络实验：VLAN、中继模式与三层交换机的DHCP下发

3.1 先在纸上定边界：VLAN划分与Access口配置

做华为三层交换机实验，最忌讳上来就敲VLAN命令。VLAN实验的核心不是命令本身，而是先把"哪台交换机、哪些接口属于哪个VLAN"想清楚。以最常见的部门隔离场景为例：三台PC，两台属于VLAN10，一台属于VLAN20，一台S5700做接入，这个拓扑在纸上画清楚再动手。

进入交换机命令行后，先批量创建VLAN，再把接口划进对应VLAN：

# 进入系统视图 sys # 批量创建VLAN 10和20 vlan batch 10 20 # 进入GE0/0/1接口 int g0/0/1 # 设置接口模式为Access port link-type access # 把接口划入VLAN10 port default vlan 10

逻辑说明：vlan batch用于一次创建多个VLAN，比逐个vlan 10再vlan 20高效；Access口只能承载一个VLAN的流量，接到终端设备时用。port link-type access切换接口模式，port default vlan 10设置该接口的默认VLAN。参数说明里最值得记的是：Access口的VLAN划分完全依赖default vlan这个参数，改错会导致终端之间二层不通。GE0/0/2按同样方式划入VLAN20，然后在两台PC上配置同网段IP，分别接到对应端口验证互访。如果发现不同VLAN的PC也能通信，通常不是VLAN配置问题，而是交换机上还有其他接口把两个VLAN桥接了，用display vlan summary逐个接口排查。

3.2 中继模式（Trunk）的配置顺序：类型、允许列表与PVID

华为设备如何将接口配置为中继模式，是搜索频率很高的一个问题。Trunk口用于交换机之间或交换机与路由器之间，承载多个VLAN流量。配置Trunk时有一个容易忽略的顺序依赖：先改接口类型，再配置允许的VLAN列表，最后确认PVID。三步顺序乱了，允许列表会被覆盖。

# 进入交换机间互联接口 int g0/0/24 # 切换接口类型为Trunk port link-type trunk # 允许VLAN 10和20通过 port trunk allow-pass vlan 10 20 # 设置PVID为1，管理VLAN默认不传递业务流量 port trunk pvid vlan 1

逻辑说明：port link-type trunk把接口从Access切换为中继模式，这一步不写，后面的allow-pass命令会在Access口上报错。port trunk allow-pass vlan 10 20指定哪些VLAN的流量可以通过本接口，命令里的vlan参数既可以写单个数字，也可以写10 to 20这样的范围。PVID的作用是给收到的不带VLAN标签的帧打上默认标记，Trunk口多数场景保持PVID为1即可，不用跟业务VLAN一致。两个常见改错：一是只设Trunk忘了allow-pass，结果对端VLAN10的PC不通；二是改了allow-pass之后又回退重配，发现之前允许的VLAN全丢了，这是正常现象，因为allow-pass是覆盖式配置，不是追加式。接口模式对比可以参考下表：

3.3 三层交换机做网关：Vlanif接口与DHCP服务一起下

当拓扑升级为三层架构，VLAN之间需要互访时，很多人还停留在用路由器子接口接一根线进来，其实用华为三层交换机直接建Vlanif接口更常见，也更好扩展。Vlanif相当于给VLAN虚拟出一个三层接口，配上IP后就是该VLAN的网关。配合DHCP功能，终端接上就能拿到地址，不用一个个手配IP。

# 开启DHCP服务 dhcp enable # 进入VLAN10对应的三层接口 interface Vlanif10 # 配置网关地址 ip address 192.168.10.1 24 # 选择从本接口分配地址 dhcp select interface # 给终端指定DNS dhcp server dns-list 114.114.114.114

逻辑说明：interface Vlanif10是进入该VLAN对应的虚拟三层接口，VLAN10的网络地址必须与接口IP在同一网段，否则终端拿到的地址无法上网。dhcp select interface表示从接口自身地址池分配IP，是小型实验最省事的做法；如果网络规模大，要用dhcp select global配合全局地址池。dhcp server dns-list给客户端下发DNS服务器，实验里写114.114.114.114即可。验证时在客户端PC上执行ipconfig，能看到IP、掩码、网关和DNS四项齐全，说明DHCP链路通了。要查看交换机上当前DHCP分配情况，用display dhcp lease命令能列出租约，华为交换机的display dhcp server statistics能看到请求统计，这两个命令是排障时最常用的。

3.4 用抓包验证二层隔离，而不是只信Ping结果

Ping通不代表实验成功，Ping不通也不代表配置错了，这是二层实验里容易被忽略的验证逻辑。同VLAN内PC互通后，在ENSP的命令行窗口上方选择"抓包"按钮，或者右键连线选择Start Capture，观察PC之间通信时的报文。抓包能看到ARP请求和ICMP回显，确认数据确实经过了交换机而不是两台PC用了奇怪的直连。

跨VLAN的验证更应该依赖抓包。VLAN10的PC去ping VLAN20的PC，在三层交换机上用display mac-address可以查看MAC表项，确认两个VLAN的主机都从正确的接口学习到。如果MAC表里出现了不该出现的接口，说明接线或VLAN划分有偏差。做完实验记得把抓包停止并清空，不然开着抓包持续占用内存，后续实验会出现设备响应变慢的现象。这里的核心习惯是：每完成一个阶段，先用display命令看状态，再判断下一步怎么改。

4. 三层路由实验：静态路由、单臂路由与GRE隧道的配置顺序

4.1 静态路由实验：先画方向，再写下一跳

静态路由实验是路由章节的起点，但很多人在两台路由器之间配完IP就开始写路由，结果发现ping不通，原因往往是"路由只写了出口，没写回程"。静态路由的本质是告诉设备"去某个网段，把包交给谁"，这个"谁"必须是直连的下一跳地址，而且通信双方都得有去往对方网段的路由才可能通。

# 在AR1上配置去往192.168.20.0网段的静态路由 ip route-static 192.168.20.0 24 10.0.12.2 # 在AR2上配置去往192.168.10.0网段的静态路由，注意方向相反 ip route-static 192.168.10.0 24 10.0.12.1

逻辑说明：ip route-static后面依次是目的网段、掩码长度、下一跳地址。24和255.255.255.0等价，两种写法都支持。下一跳10.0.12.2必须是AR1直连可达的地址，不能写对端PC的地址，因为中间隔着一台路由器，二层转发不到。参数说明里有一个新手容易踩的点：路由表里必须有直连路由作为基础，如果AR1和AR2之间接口没配IP或接口shutdown，静态路由写进去也会显示无效。配置完成后用display ip routing-table查看路由表，看到前缀为192.168.20.0/24、类型为Static的路由条目才算成功。

验证连通性时，不要只ping路由器之间的地址。用PC去ping对端PC，每一跳都试一遍，哪一跳断了就在哪一段查。排查顺序是：先看两端PC网关能不能ping通，再看网关之间的直连地址，最后看跨网段路由。这个顺序能快速收窄故障范围，比从头翻配置高效得多。

4.2 默认路由与浮动路由：优先级参数算清楚了再写

静态路由实验做到后期，会涉及到默认路由和等价路由。默认路由是目的地址和掩码都写0的路由，匹配所有未命中的流量，通常配置在出口设备上指向运营商或上级网关。命令格式没有特殊之处，只是网段写成0.0.0.0 0：

# 配置默认路由，所有未知网段流量都交给上级网关 ip route-static 0.0.0.0 0 10.0.12.2 # 配置一条备份默认路由，优先级调大为100，平时不生效 ip route-static 0.0.0.0 0 10.0.13.2 preference 100

逻辑说明：preference用来调整路由优先级，华为静态路由默认优先级是60，数字越小越优先。第二条路由优先级改成100后，只有在第一条路由失效时才会被选入路由表，这就是浮动路由，也叫备份路由。平时用display ip routing-table看到的是priority 60那条，主链路断了之后60的条目消失，100的条目自动顶上。这个参数在很多实验里被忽略，但生产环境的双链路备份全靠它实现。在ENSP上验证浮动路由的方法是：先ping通，再把主链路接口用shutdown模拟故障，观察路由表变化，恢复后看条目是否自动切回。

4.3 单臂路由：子接口配置与VLAN标签陷阱

ENSP里单臂路由是一个很经典的三层实验，用法是：路由器的一个物理接口连交换机Trunk口，通过创建多个子接口来终结不同VLAN，实现VLAN间互访。这个实验真正的坑不在路由概念，而在光配置接口IP根本不通，因为子接口默认不处理带VLAN标签的帧。

# 进入GE0/0/1的子接口，编号与VLAN对应 int g0/0/1.10 # 配置子接口终结VLAN10 dot1q termination vid 10 # 开启ARP广播，否则对端无法解析网关 arp broadcast enable # 配置VLAN10的网关地址 ip address 192.168.10.1 24

逻辑说明：int g0/0/1.10表示在物理接口GE0/0/1下创建编号为10的子接口，这个编号可以不跟VLAN一致，但为了维护方便，业界习惯让编号与VLAN号对齐。dot1q termination vid 10是单臂路由最关键的命令，它告诉路由器本子接口只处理打了VLAN10标签的帧，没这条命令，子接口收到的全是带标签的数据，路由器会直接丢弃。arp broadcast enable的作用是允许子接口回应ARP广播请求，不配这条，PC能配通IP但永远无法解析到网关的MAC，ping必然失败。

VLAN20的子接口照此办理，编号用.20。排障时先确认交换机侧Trunk口是否允许VLAN10、20通过，再检查路由器物理接口上有没有误配IP地址，有的话先undo。有一个容易被忽略的点：子接口配置完成后，物理接口不要配置IP，接口模式用默认的就行，不需要改。PC网关必须指向对应子接口的IP，指向物理接口IP或写错VLAN号，都会出现"配置看起来都对，就是不通"的玄学现象。

4.4 GRE隧道：一条隧道串起两个隔离网段

GRE在ENSP里可以用两台AR2220路由器快速验证，实验场景通常是两个分部局域网通过互联网互通，但又不希望暴露内部路由细节。GRE隧道在两端的物理接口IP之间建立，隧道接口上再配一个独立的网段地址，隧道内跑的是封装后的数据。

# 在AR1上创建Tunnel接口 int Tunnel0/0/1 # 指定隧道封装协议为GRE tunnel-protocol gre # 指定隧道源为本地物理接口IP source 10.0.12.1 # 指定隧道目的为对端物理接口IP destination 10.0.13.2 # 配置隧道接口IP，两端必须同网段 ip address 172.16.0.1 30

逻辑说明：tunnel-protocol gre指定封装方式，source和destination是GRE封装的真实源目地址，它们必须是对端设备可路由到达的物理地址。隧道接口IP用私网段172.16.0.0/30，两端各占一个地址。跑通GRE后，在两台路由器上写去往对方内网网段的静态路由，下一跳指向隧道接口的IP，而不是物理接口IP，这样内网流量才会走隧道。

验证GRE隧道是否建立，用display tunnel-info命令查看隧道状态，再用ping 172.16.0.2测试隧道本身。隧道通了但PC不通，多半是静态路由的下一跳写成了物理地址或漏写了回程路由。GRE实验常见的坑是source或destination写反，导致隧道接口协议一直是down。注意在命令行视图下用display current-configuration interface Tunnel0/0/1回看配置，能节省很多无意义的重启时间。

5. ENSP高频报错排查：启动失败40、防火墙Web登录失败与无线实验黑匣子

5.1 设备启动AR1失败40：三个解法逐个试

现象：拓扑里的AR1双击启动，几秒后弹窗提示"启动设备AR1失败40"，设备图标一直保持红色，命令行窗口打不开。这是ensp下载安装教程下面最常被追问的问题之一。

原因：40错误在标准版ENSP里几乎都指向VirtualBox层面，常见原因有三个：VirtualBox版本与ENSP要求的版本不匹配、VirtualBox的服务或进程被占用、杀毒软件隔离了虚拟机的相关驱动。它跟拓扑配置本身没关系，不要白费力气去改路由器配置。

解决：按顺序处理。第一步，关闭所有杀毒软件和防火墙，包括Windows自带的实时保护，用管理员身份重新启动ENSP。第二步，打开VirtualBox，检查是否有残留的AR1虚拟机进程，有的话先关掉，再在ENSP里停止该设备并重新启动。第三步，如果还不行，卸载当前VirtualBox，装回ENSP配套版本，装完重启电脑，再打开ENSP。多数情况到第二步就解决了。我自己的习惯是装完ENSP后先不拖设备，直接在VirtualBox里确认虚拟网卡被正确创建，这一步可以提前暴露环境问题。

5.2 防火墙Web登录失败：接口、安全策略与浏览器三处核对

现象：USG6000防火墙启动正常，命令行能通，但浏览器访问web管理界面一直转圈或提示无法访问。ensp配置防火墙web登录相关的坑，十有八九卡在同一个位置：防火墙默认不放行web管理流量。

原因：防火墙接口上既没有开启服务管理权限，也没有配置对应的安全策略放行。很多实验手册只写了配置IP地址，省略了这两步，照着做完自然登录不上。

解决：先给管理接口配置IP并开启服务管理权限：

# 进入防火墙管理接口 int g0/0/0 # 配置管理地址 ip address 192.168.1.1 24 # 开启该接口的ping管理权限，方便排障 service-manage ping permit # 开启HTTPS管理权限 service-manage https permit

配置完接口，还要在安全策略里放行到防火墙本机的HTTPS流量。常见做法是在防火墙上放行trust区域访问local区域的https服务。浏览器访问时注意协议：必须输入https://192.168.1.1，不能只写IP不加协议，浏览器会默认走80端口，而防火墙的web服务默认跑在443。登录账号通常会在实验手册里给出，默认组合一般是admin/Admin@123这类形式，登录后系统会要求修改密码，改完要记住，不然下次又卡在登录上。如果浏览器提示证书不信任，这是模拟器自签证书的正常现象，点继续访问即可，不用处理。

5.3 接口起不来与console密码遗忘：两个最隐蔽的小问题

现象：配置了接口IP，display ip interface brief里接口状态显示down，或者某个旧拓扑再打开时提示需要输入console密码，而自己根本不记得设过密码。这两类问题处理思路完全不同，但都容易让人误判为环境故障。

原因：接口down的根源通常是物理连线没连好或对端设备没有启动，而不是接口配置有错。console密码遗忘则是因为某些实验模板里预先配置了认证，设备复位后保留了配置。

解决：接口down时先看连线两端是否为同一类型接口，路由器AR2220和交换机S5700互联不要用serial线，用copper线；再看对端设备是否已经变绿启动。确认无误后，在接口视图下手工执行undo shutdown，接口就会up。console密码这个问题，在不影响实验的前提下最简单的处理是删掉认证配置：进入系统视图后，用undo user-interface console 0下面的认证配置，或者直接把该设备删除重新拖一台新的出来，配置清零也比跟密码较劲省时间。

5.4 清空命令行窗口的正确姿势与配置回滚

现象：实验做久了，命令行窗口里满屏都是以前敲的命令，看起来杂乱，有时候误操作还把一个旧配置带回新拓扑，导致实验一开始行为就怪。

原因：ENSP命令行窗口不会自动清空，切换拓扑后，上一次的设备配置仍在，很多新手直接把设备拖出来就用，继承了历史配置。

解决：清空命令行窗口可以用界面工具栏的"清空"功能，或者在命令行区域右键选择清屏，这个操作只影响显示，不影响设备配置。真正要清的是设备已保存的配置，在设备命令行里执行reset saved-configuration，确认后重启设备，才能把设备恢复到出厂状态。配置回滚的另一个方式是使用display current-configuration查看当前生效配置，找到多余命令后逐条执行undo加原命令回退。这个习惯建议从第一个实验就养成：每做完一个实验，把设备配置导出备份一次，避免下次实验前误删。

5.5 无线AC与SRv6实验：新旧版本的能力边界

现象：按照PDF实验手册配置wlan，AC6005设备启动正常，SSID模板和安全模板也都配了，AP就是不上线，显示"未注册"。或者想做srv6实验，在设备列表里翻遍AR路由器也没找到支持SRv6的型号。这两类问题不是配置问题，是版本能力边界。

原因：标准版ENSP的无线实验依赖VirtualBox的host-only网络做CAPWAP隧道，host-only网卡异常或IP规划冲突都会导致AP与AC失联。SRv6是较新协议，老版本标准版设备没有实现该特性，需要ENSP Pro的AR设备才支持部分SRv6功能。

解决：无线实验先确认AC的GigabitEthernet0/0/1和AP连接的交换机接口在同一个网段，AC上配置的CAPWAP源接口地址能被AP路由到达，再检查AP的网关和AC的网关是否一致。大部分"AP不上线"都是源接口写错或VLAN放行遗漏。SRv6实验则现实一点，标准版做不了就换Pro，或者先用IPv6静态路由实验替代，把SRv6的报文转发原理在基础IPv6环境中验证，等熟悉了再上Pro版设备。PDF手册里如果没标注设备版本，先看一眼设备型号列表，避免做无用功。

6. 把PDF实验手册变成验证体系：综合拓扑、display命令四连与两个习惯

实验手册里的每一个单点实验，最终要串成一个综合拓扑才算真正吸收。常见做法是搭一个三层结构的综合环境：核心层用两台S5700做VRRP或直接堆叠，接入层放一台S5700划分VLAN，出口用AR2220做静态路由连接防火墙，防火墙再接一台PC模拟外网，有精力还可以加AC6005和AP做无线覆盖。拓扑图先在ENSP里拖出来，再逐层配置，先二层后三层，最后加策略，这和真实项目交付的顺序一致。

每完成一段配置，用display命令四连做验证：display vlan查看二层划分，display ip interface brief确认三层接口状态，display ip routing-table检查路由表，display current-configuration回看完整配置。四个命令能看到的东西不一样，但组合起来能覆盖从物理到协议的全部状态。Ping通只是结果，这四条命令才是判断"为什么通、会不会断"的依据。

我自己的习惯是每个实验做完先save，再截图记录拓扑和配置，最后在实验手册上圈出与默认参数不同的地方。带过的新人翻车最多的，不是命令记不住，而是不画拓扑就拖设备、不查路由表就ping、不保存配置就关软件。这三件事做到位，ENSP能替你挡掉大半生产环境的低级错误。希望这篇能帮你把这套实验流程跑顺，少走几步别人走过的弯路。

本文还有配套的精品资源，点击获取