华为ICT大赛网络赛道eNSP实验全解析：从拓扑搭建到排错避坑

简介：这份资源面向备战华为ICT大赛网络赛道的高校学生与指导教师，整理了2022-2023年度国赛实验ESNP的赛题环境与完整详细答案，可用于赛前模拟训练、配置复盘与网络架构分析。压缩包共34个文件，约82KB，以efz设备镜像、cfg配置文件、xml终端描述、topo拓扑及zip配置包为主，分别对应设备启动、配置导入、终端模拟与拓扑还原等用途，并区分完整实验环境与仅拓扑两个版本，便于按需选用。目前已有1034人学习下载，热度较高。借助完整版可还原真实竞赛场景，练习设备配置与故障排查；仅拓扑版则适合聚焦网络架构设计与数据流向分析，帮助读者从宏观层面理解设备互联逻辑，是备赛与教学参考的实用材料。

1. 华为ICT大赛网络赛道国赛实验：eNSP里那套拓扑到底在考什么

第一次接触华为ICT大赛网络赛道国赛实验的人，多半会被同一件事劝退：给了一张拓扑图、一段需求描述，要求在 eNSP 里把整张网跑通，VLAN、OSPF、BGP、MPLS、防火墙、NAT 全塞在一套题里。它考的不是你会不会敲某一条命令，而是你能不能在有限时间里把一张企业级网络从零搭起来、调通、并且经得起验证。这套实验的载体就是 eNSP（Enterprise Network Simulation Platform），华为官方的网络仿真工具，配合 VRP 操作系统镜像跑路由交换和安全特性。适合谁？准备打网络赛道省赛/国赛的在校生、想系统刷一遍华为数通实验的网工、以及需要一套完整拓扑来练手的中级学习者。下面我按自己复现这套实验的顺序，把选型、配置、参数和踩坑一次讲透。

2. 开跑之前：eNSP环境、镜像与拓扑的选型逻辑

2.1 为什么是 eNSP 而不是真机或别的模拟器

国赛实验的评分环境基本锁定 eNSP，原因很实际：它免费、支持 VRP 全特性、能导入官方拓扑、还能和 Wireshark 联动抓包。真机当然更真实，但一套含防火墙、多层交换、MPLS 的机架成本不是学生能承担的；纯软件模拟器里，eNSP 对华为私有协议（如 MPLS LDP、VRRP、MSTP）的支持最完整，命令回显和真机几乎一致。所以备赛阶段用 eNSP 练，比赛当天上机不会因为命令差异翻车。

选型上要注意版本匹配：eNSP 主程序、VRP 镜像、VirtualBox 三者版本必须兼容，否则设备起不来或启动后一直转圈。常见做法是固定一套验证过的组合，不要追新。我一般会先建一个空拓扑，只放一台 AR 路由器，确认能正常启动、能进系统视图，再开始搭正式拓扑——这一步能省掉后面大量“到底是配置错了还是环境坏了”的排查时间。

2.2 拓扑分层：接入、汇聚、核心、出口各放什么

国赛拓扑通常分四层：接入层放二层交换机做 VLAN 划分和端口隔离；汇聚层做网关、VRRP、MSTP；核心层跑 OSPF 或 IS-IS 做三层互联；出口区放防火墙和边界路由器，接 NAT 和默认路由。理解这个分层，配置时才知道每条命令该敲在哪台设备上。

下面是我复现时用的最小可用拓扑骨架，用文本描述设备角色，方便你照着在 eNSP 里摆：

摆好设备后先连物理链路，再规划 IP 地址段。地址规划是后面所有配置的基础，建议单独拿一张纸或一个表格列清楚：每个 VLAN 段、每段互联地址、每个 Loopback 地址。国赛题里经常要求“用最少的地址段完成互联”，所以互联地址常用 /30 或 /31。

2.3 开局必做的三件事：改设备名、存配置、验连通

很多新手一上来就猛敲业务配置，结果设备名全是默认的，排错时根本分不清哪台是哪台。开局先做三件事：

# 进入系统视图，改设备名，方便后续识别 <Huawei> system-view [Huawei] sysname ACC-SW1 # 关闭信息中心弹窗，避免配置时被日志刷屏 [ACC-SW1] undo info-center enable # 保存配置，防止意外断电丢失 [ACC-SW1] save

逻辑说明：system-view从用户视图进系统视图，这是所有配置的入口；sysname改主机名，排错时一眼能认出设备角色；undo info-center enable关掉控制台日志输出，否则你敲命令时会被大量提示打断；save把当前配置写入启动配置，eNSP 里设备重启后配置不丢。

参数说明：主机名建议用“角色-编号”格式，比如 ACC-SW1、AGG-SW1、CORE-R1，后面看配置和抓包时不会混。save在 eNSP 里会提示确认，输入 y 即可。这一步看着简单，但省下的排错时间非常可观。

3. 二层到三层：VLAN、Trunk、链路聚合与 OSPF 的落地配置

3.1 接入层 VLAN 划分与 Trunk 放行

接入层的核心任务是把不同业务划进不同 VLAN，然后通过 Trunk 口把 VLAN 透传给汇聚层。假设接入交换机 ACC-SW1 的 GE0/0/1 接办公终端（VLAN 10），GE0/0/2 接服务器（VLAN 20），GE0/0/24 上联汇聚：

# 批量创建 VLAN，减少重复命令 [ACC-SW1] vlan batch 10 20 # 配置接入端口，划入 VLAN 10 [ACC-SW1] interface GigabitEthernet 0/0/1 [ACC-SW1-GigabitEthernet0/0/1] port link-type access [ACC-SW1-GigabitEthernet0/0/1] port default vlan 10 [ACC-SW1-GigabitEthernet0/0/1] quit # 配置上联 Trunk 口，放行 VLAN 10 和 20 [ACC-SW1] interface GigabitEthernet 0/0/24 [ACC-SW1-GigabitEthernet0/0/24] port link-type trunk [ACC-SW1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20 [ACC-SW1-GigabitEthernet0/0/24] quit

逻辑说明：port link-type access把端口设为接入模式，只属于一个 VLAN；port default vlan 10指定该端口默认 VLAN。Trunk 口用port trunk allow-pass vlan明确放行哪些 VLAN，不写all是国赛常见要求，因为放行全部会带来安全隐患，也可能被扣分。

参数说明：vlan batch一次创建多个 VLAN，比逐个vlan 10、vlan 20高效。Trunk 口放行列表要和控制层面规划一致，漏放某个 VLAN 会导致该 VLAN 终端不通，这是最常见的“配置看起来都对但就是不通”的原因之一。

3.2 汇聚层 VRRP 与 MSTP 的配合

汇聚层要做两件事：给每个 VLAN 提供网关，并且网关要冗余。VRRP 负责网关冗余，MSTP 负责破除二层环路并做流量负载分担。两台汇聚交换机 AGG-SW1 和 AGG-SW2 上，VLAN 10 的虚拟网关用 VRRP，AGG-SW1 做 Master，AGG-SW2 做 Backup：

# AGG-SW1 上配置 VLAN 10 的 VRRP [AGG-SW1] interface Vlanif 10 [AGG-SW1-Vlanif10] ip address 192.168.10.2 24 [AGG-SW1-Vlanif10] vrrp vrid 10 virtual-ip 192.168.10.1 [AGG-SW1-Vlanif10] vrrp vrid 10 priority 120 [AGG-SW1-Vlanif10] vrrp vrid 10 preempt-mode timer delay 20 [AGG-SW1-Vlanif10] quit # AGG-SW2 上配置同一 VRID 的 Backup [AGG-SW2] interface Vlanif 10 [AGG-SW2-Vlanif10] ip address 192.168.10.3 24 [AGG-SW2-Vlanif10] vrrp vrid 10 virtual-ip 192.168.10.1 [AGG-SW2-Vlanif10] vrrp vrid 10 priority 100 [AGG-SW2-Vlanif10] quit

逻辑说明：VRRP 把两台设备的接口虚拟成一个网关 IP（192.168.10.1），终端只配这个虚拟网关。优先级高的成为 Master，负责转发；Backup 监听 Master 状态，Master 挂了就接管。preempt-mode timer delay 20是抢占延迟，防止设备刚起来就抢回 Master 导致路由震荡。

参数说明：vrid是虚拟路由器 ID，同一网段内必须一致；priority范围 1-254，默认 100，越大越优先；virtual-ip就是终端要配的网关地址。MSTP 侧要配置实例和映射，让 VLAN 10 走 AGG-SW1、VLAN 20 走 AGG-SW2，实现负载分担。MSTP 配置要和 VRRP 的 Master 角色对齐，否则流量路径会绕。

3.3 核心层 OSPF 邻居建立与路由引入

核心层用 OSPF 打通三层互联。两台核心路由器 CORE-R1、CORE-R2 之间跑 OSPF，同时把汇聚层的网段发布进去：

# CORE-R1 上启用 OSPF，宣告互联和业务网段 [CORE-R1] ospf 1 router-id 1.1.1.1 [CORE-R1-ospf-1] area 0 [CORE-R1-ospf-1-area-0.0.0.0] network 10.0.1.0 0.0.0.3 [CORE-R1-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [CORE-R1-ospf-1-area-0.0.0.0] quit [CORE-R1-ospf-1] quit

逻辑说明：router-id是 OSPF 的唯一标识，建议手工指定，不要靠自动选举。network命令用反掩码宣告网段，0.0.0.3对应 /30 互联地址，0.0.0.255对应 /24 业务地址。宣告后 OSPF 会尝试建立邻居，邻居状态到 FULL 才算成功。

参数说明：反掩码是通配符掩码，和子网掩码相反，/30 的反掩码是 0.0.0.3，/24 是 0.0.0.255。area 0是骨干区域，所有非骨干区域必须和它相连。如果邻居卡在 EXSTART 或 2WAY，先查 MTU 和接口类型是否一致，这是 OSPF 邻居起不来的高频原因。

4. 出口与安全：NAT、防火墙策略和默认路由的联动

4.1 边界路由器 NAT 配置与地址池

出口路由器要做 NAT，让内网访问外网。常见做法是 Easy IP，直接用接口地址做转换：

# 定义 ACL 匹配需要 NAT 的内网网段 [EDGE-R1] acl 2000 [EDGE-R1-acl-basic-2000] rule permit source 192.168.10.0 0.0.0.255 [EDGE-R1-acl-basic-2000] rule permit source 192.168.20.0 0.0.0.255 [EDGE-R1-acl-basic-2000] quit # 在外网接口上应用 Easy IP [EDGE-R1] interface GigabitEthernet 0/0/1 [EDGE-R1-GigabitEthernet0/0/1] nat outbound 2000 [EDGE-R1-GigabitEthernet0/0/1] quit # 配置默认路由指向外网 [EDGE-R1] ip route-static 0.0.0.0 0.0.0.0 200.1.1.2

逻辑说明：ACL 2000 是基本 ACL，匹配源地址；nat outbound 2000把匹配的流量做源地址转换，转换后源地址变成外网接口地址。默认路由把所有未知流量丢给外网下一跳。

参数说明：ACL 规则里的反掩码要写对，0.0.0.255匹配整个 /24。nat outbound后面跟 ACL 编号，不跟就是转换所有流量，国赛里通常要求精确匹配。默认路由的下一跳必须是直连可达的地址，否则路由不生效。

4.2 防火墙区域划分与安全策略放行

防火墙是国赛实验的得分重点，也是翻车重灾区。核心逻辑是：先划区域（Trust、Untrust、DMZ），再配策略放行。假设内网在 Trust，外网在 Untrust：

# 配置接口并加入区域 [FW1] interface GigabitEthernet 1/0/1 [FW1-GigabitEthernet1/0/1] ip address 192.168.10.254 24 [FW1-GigabitEthernet1/0/1] quit [FW1] firewall zone trust [FW1-zone-trust] add interface GigabitEthernet 1/0/1 [FW1-zone-trust] quit # 配置安全策略，放行 Trust 到 Untrust 的流量 [FW1] security-policy [FW1-policy-security] rule name trust_to_untrust [FW1-policy-security-rule-trust_to_untrust] source-zone trust [FW1-policy-security-rule-trust_to_untrust] destination-zone untrust [FW1-policy-security-rule-trust_to_untrust] action permit [FW1-policy-security-rule-trust_to_untrust] quit [FW1-policy-security] quit

逻辑说明：防火墙默认拒绝所有跨区域流量，必须显式放行。firewall zone把接口加入区域，security-policy定义规则，source-zone和destination-zone指定方向，action permit放行。

参数说明：区域名 trust、untrust、dmz 是默认存在的，直接引用即可。策略规则按顺序匹配，命中即停，所以精细规则要放在宽泛规则前面。如果流量不通，先查策略命中计数，再看区域绑定是否正确，最后查路由。

4.3 路由与策略的联动验证

出口区最容易出的问题是“NAT 配了、策略放了，但内网还是上不了网”。这时候要按顺序验证：内网到网关通不通、网关到防火墙通不通、防火墙到外网通不通、NAT 转换有没有生效。用display nat session all看会话，用display firewall session table看防火墙会话，两个表里都有记录才说明流量真正穿过去了。

5. 避坑与排查：国赛实验里最容易翻车的五个点

5.1 现象：OSPF 邻居起不来，卡在 EXSTART

原因：两端接口 MTU 不一致，或者一端是广播网络、另一端是 P2P 网络。eNSP 里默认以太网接口是广播类型，如果一端改过网络类型而另一端没改，邻居就卡住。

解决：用display ospf peer看邻居状态，用display interface看 MTU。统一两端 MTU，或者统一ospf network-type。改完reset ospf process重新建邻居。

5.2 现象：VLAN 间能通，但访问外网失败

原因：汇聚层做了 VRRP，但核心层没有把业务网段引入 OSPF，或者出口路由器没有回程路由。流量出去时 NAT 转换了，回来时找不到内网网段。

解决：在核心和出口设备上display ip routing-table确认有业务网段路由。出口路由器要么跑 OSPF 引入内网，要么写静态回程路由。NAT 只改源地址，不改目的地址，回程路由必须存在。

5.3 现象：防火墙策略放行了，流量还是不通

原因：策略方向写反了，或者区域绑定错了接口。还有一种情况是策略里配了源地址但实际流量源地址是 NAT 后的地址。

解决：display firewall session table看会话有没有建立，display security-policy rule all看规则命中计数。确认源区域和目的区域与实际流量方向一致。如果前面有 NAT，策略里的地址要用 NAT 后的地址。

5.4 现象：MSTP 和 VRRP 角色不一致，流量绕路

原因：MSTP 实例的根桥和 VRRP 的 Master 不在同一台设备上，导致流量先到 Backup 再绕到 Master。

解决：规划时就让 VLAN 10 的 MSTP 根桥和 VRRP Master 都在 AGG-SW1，VLAN 20 都在 AGG-SW2。用display stp instance看根桥，用display vrrp看 Master，两边对齐。

5.5 现象：eNSP 设备启动后一直转圈或报错

原因：VirtualBox 版本不兼容、镜像文件损坏、或者内存分配不足。这是环境问题，不是配置问题。

解决：先确认 VirtualBox 版本和 eNSP 兼容，再检查镜像是否完整。给设备分配足够内存，AR 路由器建议 512MB 以上。如果单台设备起不来，删掉重新拖一台，不要死磕。

6. 进阶技巧：用抓包和分段验证把排错时间压到最短

国赛实验时间紧，排错效率直接决定能不能做完。我自己的习惯是：每配完一个模块就验证一次，不要全配完再统一测。验证顺序从下往上：先 ping 直连，再 ping 网关，再 ping 跨网段，最后 ping 外网。每一步通了再往下走，不通就停在当前层查。

抓包是定位问题的后悔药。eNSP 支持在接口上右键启动抓包，自动调起 Wireshark。比如 OSPF 邻居起不来，抓包看 Hello 包有没有发出去、参数是否匹配；NAT 不生效，抓包看源地址有没有被转换。抓包比反复敲 display 命令快得多。

再给一个分段验证的检查表，按这个顺序走基本不会漏：

最后说一个血泪经验：国赛实验的答案不是唯一的，但评分点通常是固定的。与其追求“最优雅”的配置，不如先把每个评分点对应的功能跑通，再优化。我一般会留最后 15 分钟做一遍完整验证，把每个要求逐条打勾，而不是提前交卷。这套 eNSP 实验值得反复刷，每刷一遍都会发现之前忽略的细节。希望帮到你。

本文还有配套的精品资源，点击获取