eNSP中小型企业网实战：无线组网、VLAN划分与安全策略全解析

简介：这份资源面向网络工程专业学生、课设与毕设实践者以及备考网工证的考生，提供一套基于华为eNSP模拟器搭建的典型中小型企业网完整方案，并额外加入无线WLAN模块，帮助读者在虚拟环境中完成从规划设计到功能验证的全流程演练。压缩包共21个文件，包含9个efz设备镜像、6个xml终端配置、3个zip配置备份、1个cfg配置文件、1个docx项目报告以及1个topo拓扑文件，整体约949KB，体积轻便却覆盖了拓扑还原与文档说明两类核心需求。项目报告系统梳理了设计思路、拓扑结构分析、配置步骤与代码以及网络功能测试，技术点涵盖VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN与防火墙配置，兼顾网络规划设计与安全优化。目前已有5478人学习下载，适合希望直接复用拓扑、对照报告理解配置逻辑，或跟随文档动手实践以巩固排错思路的读者参考。

1. 从零搭一套带无线的企业网：这套 eNSP 拓扑到底能解决什么

很多做网络运维的朋友第一次接触 eNSP，都是被同一个场景逼的：公司要新建一个办公区，有线要通、无线要通、访客要隔离、财务要单独划 VLAN，预算有限不可能先买一堆真机试错。这时候一套能跑通的典型中小型企业网拓扑，价值就出来了。这份资源给的就是这么一套东西——基于 eNSP 搭建的中小型企业网完整实验，带无线覆盖，涵盖出口路由、核心交换、接入层、AC+AP 无线组网、VLAN 划分、DHCP、NAT 和基础安全策略。它适合三类人：准备网络规划设计课程设计的学生、要考 HCIA/HCIP 想找完整拓扑练手的从业者、以及需要给小型办公场景做方案验证的工程师。整套拓扑在模拟器里就能跑，不用真机，改参数、拔线、看现象都随便折腾，这是它最实在的地方。

2. 拓扑拆解：出口、核心、接入、无线四层怎么分工

2.1 为什么是四层结构而不是扁平组网

中小型企业网最常见的翻车点，就是图省事把所有设备塞进一个网段。几十台机器的时候看不出问题，一旦要分部门、要控访问、要接无线，广播域一大，ARP 风暴和广播泛洪就来了，排查起来基本是黑匣子。这套拓扑用的是经典的四层分工：出口层负责内外网转换和边界安全，核心层负责 VLAN 间路由和策略下发，接入层负责终端接入和端口隔离，无线层由 AC 加 AP 组成，单独管理 SSID 和无线用户。

这么分的直接好处是故障域清晰。出口不通，你只看出口设备；某个 VLAN 上不了网，你从核心的三层接口往下查；无线连不上，先看 AP 上线没有，再看 AC 的 CAPWAP 隧道通不通。每一层职责单一，排错路径短。我一般建议新手就按这个结构练，别一上来搞什么堆叠、双机热备，先把单点跑通再谈冗余。

2.2 设备选型和接口规划

在 eNSP 里，出口一般用 AR 系列路由器，核心用三层交换机，接入用二层交换机，无线用 AC6605 加 AP 系列。具体型号按你装的 eNSP 版本里有的来选，不同版本设备库不完全一样，这点后面避坑章会细说。

接口规划上，核心交换机和出口路由器之间用三层互联，划一个小网段专门跑路由，比如 10.0.0.0/30。核心往下连接入交换机，用 Trunk 放行所有业务 VLAN。接入交换机连终端的口划 Access，连 AP 的口要划成 Trunk 并放行管理 VLAN 和业务 VLAN，因为 AP 的管理流量和用户流量是分开的。

一个典型的 VLAN 规划表长这样：

这张表是整个配置的骨架，后面所有 DHCP、ACL、路由都围着它转。网段你可以按实际改，但建议保留管理 VLAN 和业务 VLAN 分离的习惯，不然设备管理和用户流量混在一起，出问题很难定位。

2.3 出口路由与 NAT 配置

出口路由器要干两件事：对内做默认路由指向核心，对外做 NAT 让内网能访问外网。eNSP 里可以用一个 Loopback 口模拟外网，或者接一台模拟 ISP 的路由器。

# 出口路由器基础配置 sys sysname GW-Router interface GigabitEthernet0/0/0 ip address 10.0.0.1 30 # 与核心互联的三层口 interface GigabitEthernet0/0/1 ip address 202.100.1.1 30 # 模拟外网口 quit # 回程路由：告诉路由器内网网段怎么走 ip route-static 192.168.0.0 255.255.0.0 10.0.0.2 # NAT 配置：让内网能出去 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quit

这段配置的逻辑是：先给两个物理口配地址，然后用一条静态路由把去往所有 192.168.x.x 的流量丢给核心交换机，最后用 ACL 匹配内网源地址，在外网口做 NAT 转换。参数上要注意，ip route-static的掩码写的是 255.255.0.0，一条就覆盖了所有 192.168 开头的网段，比每个 VLAN 写一条省事。ACL 2000 是基础 ACL，只匹配源地址，0.0.255.255是反掩码，表示后两段任意。NAT outbound 挂在出接口上，这是最容易配的方式，适合中小场景。

2.4 核心交换机的 VLAN 与三层路由

核心交换机是整个网络的中枢，VLAN 创建、三层接口、DHCP 中继都在这上面。

# 核心交换机配置 sys sysname Core-SW vlan batch 10 20 30 100 200 # 配置各 VLAN 的三层网关 interface Vlanif10 ip address 192.168.10.1 24 interface Vlanif20 ip address 192.168.20.1 24 interface Vlanif30 ip address 192.168.30.1 24 interface Vlanif100 ip address 192.168.100.1 24 interface Vlanif200 ip address 192.168.200.1 24 quit # 上联出口的三层口 interface GigabitEthernet0/0/1 undo portswitch ip address 10.0.0.2 30 quit # 默认路由指向出口 ip route-static 0.0.0.0 0.0.0.0 10.0.0.1 # 下联接入交换机的 Trunk 口 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 100 200 quit

关键点在undo portswitch，三层交换机默认接口是二层口，要当三层口用必须先切模式。Vlanif 接口就是各 VLAN 的网关，终端把网关指向对应的 Vlanif 地址。默认路由指向出口，这样内网访问外网的流量就有了出口。Trunk 口放行所有业务 VLAN，接入层才能把不同 VLAN 的流量透传上来。

2.5 接入层与端口隔离

接入交换机相对简单，主要做 VLAN 划分和端口类型配置。

# 接入交换机配置 sys sysname Access-SW vlan batch 10 20 30 100 200 # 上联核心的 Trunk 口 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 100 200 quit # 办公区终端接入口 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit # AP 接入口：Trunk 放行管理 VLAN 和业务 VLAN interface GigabitEthernet0/0/3 port link-type trunk port trunk pvid vlan 200 port trunk allow-pass vlan 10 200 quit

AP 接入口这里有个细节：port trunk pvid vlan 200把 AP 的管理流量打上 VLAN 200 的标签，这样 AP 拿管理地址、和 AC 建隧道都走这个 VLAN。业务 VLAN 10 也放行，无线用户的数据流量从这条 Trunk 上去。如果 pvid 配错，AP 可能拿不到地址，上线就失败，这是无线部分最常见的坑之一。

3. 无线部分：AC 加 AP 到底怎么配才上线

3.1 CAPWAP 隧道与 AP 上线流程

无线这块是很多人卡住的地方。AC 和 AP 之间靠 CAPWAP 协议建隧道，AP 上线要经过几个阶段：AP 上电后先通过 DHCP 拿管理地址，然后发 Discovery 报文找 AC，AC 回应后双方建 CAPWAP 隧道，最后 AC 把配置下发给 AP。任何一步断了，AP 都上不了线。

在 eNSP 里，AP 的管理地址通常由核心交换机的 DHCP 分配，所以你要先在核心上配好 VLAN 200 的 DHCP 地址池，并且用option 43告诉 AP 去哪里找 AC。

# 核心交换机上的 DHCP 配置 dhcp enable ip pool ap-pool network 192.168.200.0 mask 255.255.255.0 gateway-list 192.168.200.1 option 43 sub-option 2 ip-address 192.168.100.1 # 指向 AC 的地址 quit interface Vlanif200 dhcp select global quit

option 43是 AP 找 AC 的关键，sub-option 2后面跟 AC 的 IP。如果这里写错或者漏配，AP 会一直停在 Discovery 阶段，你在 AC 上看display ap all就是空的。这个参数我见过太多人栽在上面，明明 DHCP 能拿到地址，AP 就是不上线，查半天才发现 option 43 没写对。

3.2 AC 侧 WLAN 业务配置

AC 上要配的东西分几块：AP 认证、WLAN 业务、安全模板、VAP 模板。

# AC 配置 sys sysname AC wlan # 指定 CAPWAP 源接口 capwap source interface Vlanif100 # AP 认证方式：MAC 认证或不认证 ap auth-mode no-auth # 安全模板：WPA2 加密 security-profile name sec-wpa2 security wpa2 psk pass-phrase MyPassword123 aes quit # SSID 模板 ssid-profile name ssid-office ssid Office-WiFi quit # VAP 模板：绑定安全模板和 SSID vap-profile name vap-office security-profile sec-wpa2 ssid-profile ssid-office service-vlan vlan-id 10 quit # 把 VAP 模板下发给 AP ap-group name default vap-profile vap-office wlan 1 radio 0 vap-profile vap-office wlan 1 radio 1 quit

capwap source interface Vlanif100指定 AC 用哪个接口和 AP 建隧道，这个地址必须和 option 43 里写的一致。安全模板里wpa2 psk是预共享密钥模式，适合中小场景，aes是加密算法。VAP 模板把 SSID、安全策略、业务 VLAN 绑在一起，最后通过 ap-group 下发给 AP。业务 VLAN 填 10，无线用户就会落到办公区网段，和有线用户在同一广播域。

3.3 无线用户拿地址与转发方式

无线用户的 DHCP 请求有两种转发方式：隧道转发和直接转发。隧道转发是用户流量先到 AC 再出去，直接转发是用户流量在 AP 本地就进业务 VLAN。中小场景一般用直接转发，减轻 AC 压力。

# 在 VAP 模板里指定转发方式 vap-profile name vap-office forward-mode direct-forward quit

直接转发模式下，无线用户的 DHCP 请求从 AP 的 Trunk 口带着 VLAN 10 的标签上去，核心交换机的 DHCP 收到后分配 192.168.10.x 的地址。所以核心上 VLAN 10 的 DHCP 池必须配好，否则无线用户连上 SSID 也拿不到地址。这个链路是：AP 上线 → SSID 广播 → 用户关联 → DHCP 请求走 Trunk → 核心分配地址。任何一环断了，现象都是连不上或者拿不到 IP。

4. 避坑与排查：这套拓扑最容易翻车的五个地方

4.1 AP 一直不上线，AC 上看不到

现象：AP 上电后指示灯异常，AC 上display ap all显示为空或者 AP 状态一直是 fault。

原因：九成是 option 43 没配或者配错，AP 找不到 AC 的地址。其次是 CAPWAP 源接口指定的地址和 option 43 不一致，或者 AP 管理 VLAN 的 Trunk 没放行。

解决：先在 AP 上确认能不能拿到管理地址，再看 option 43 的 IP 是不是 AC 的地址，最后检查 AC 的capwap source interface是不是同一个地址。三个地址必须完全一致，差一个数字都不行。

4.2 无线用户连上 SSID 但拿不到 IP

现象：手机或笔记本能搜到 SSID、能输入密码关联，但一直停在“正在获取 IP 地址”。

原因：业务 VLAN 的 DHCP 没配，或者 AP 的 Trunk 口没放行业务 VLAN，或者转发模式配错导致流量路径不对。

解决：先确认核心上业务 VLAN 的 DHCP 池存在且dhcp select已开，再检查 AP 上联口的 Trunk 是否放行了业务 VLAN，最后确认 VAP 模板里的service-vlan和forward-mode是否匹配。直接转发模式下，业务 VLAN 必须在 AP 上联口放行。

4.3 VLAN 间能通但上不了外网

现象：办公区能 ping 通财务区，但 ping 不通外网地址。

原因：核心交换机上没有默认路由，或者出口路由器的回程路由没写，或者 NAT 的 ACL 没匹配到对应网段。

解决：在核心上display ip routing-table看有没有 0.0.0.0/0 的路由，在出口上确认回程路由覆盖了所有内网网段，最后检查 NAT 的 ACL 规则是否放行了源地址。三层通、出口不通，基本就是这三处之一。

4.4 eNSP 设备启动失败或频繁掉线

现象：拓扑加载后设备起不来，或者跑着跑着设备变灰。

原因：eNSP 对系统资源和虚拟化环境有要求，设备太多、内存不够、或者虚拟网卡冲突都会导致这个问题。

解决：减少同时启动的设备数量，关掉不用的虚拟网卡，确认 VirtualBox 版本和 eNSP 兼容。我一般建议先启动核心和出口，稳定后再逐个启动接入和无线设备，别一次性全开。

4.5 配置保存后重启丢失

现象：设备重启后配置回到初始状态。

原因：eNSP 里设备配置默认在内存里，不保存就重启会丢。

解决：每次改完配置执行save，确认保存成功后再重启。这个坑新手最容易踩，配了一下午没保存，重启全没了，血泪经验。

5. 进阶技巧：用 ACL 和流分类把访客网真正隔离干净

基础拓扑跑通之后，真正体现网络规划设计水平的是策略。访客 VLAN 30 如果不做限制，访客用户能直接访问办公区和财务区，这在真实项目里是安全事故。常见做法是在核心交换机上用高级 ACL 做 VLAN 间访问控制。

# 禁止访客网访问办公和财务网段 acl number 3000 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 15 permit ip source 192.168.30.0 0.0.0.255 quit # 在访客网关接口上应用 interface Vlanif30 traffic-filter inbound acl 3000 quit

这段 ACL 的逻辑是：先拒绝访客到办公、访客到财务的流量，最后放行访客的其他流量（主要是出外网）。规则顺序很重要，ACL 是从上往下匹配的，permit放最后才能保证前面拒绝的生效、后面的正常放行。应用方向是inbound，在访客网关的入方向过滤，流量一进来就被拦，效率最高。

验证方法是拿一台接在 VLAN 30 的终端，ping 办公区网关 192.168.10.1 应该不通，ping 外网地址应该通。如果两个都不通，说明 permit 规则没生效或者应用方向反了；如果两个都通，说明 ACL 没应用上或者规则顺序写反了。

再进一步，可以用流分类做更细的限速，比如限制访客网的下行带宽：

# 在出口路由器上对访客网限速 acl number 2001 rule 5 permit source 192.168.30.0 0.0.0.255 quit traffic classifier guest operator and if-match acl 2001 quit traffic behavior guest-behavior car cir 4096 # 限制为 4Mbps quit traffic policy guest-policy classifier guest behavior guest-behavior quit interface GigabitEthernet0/0/1 traffic-policy guest-policy outbound quit

car cir 4096的单位是 kbps，4096 就是 4Mbps，按实际带宽需求改。流策略应用在出口的外网口出方向，这样访客网出去的所有流量都被限速。这套组合拳打下来，访客网既不能碰内网资源，又不会占满出口带宽，才算真正隔离干净。

从那以后我每次做完基础连通性验证，都会强制走一遍策略测试：拿不同 VLAN 的终端互相 ping、测外网、测限速，确认每条 ACL 和流策略都按预期生效。拓扑能通只是及格，策略对了才算交付。希望帮到你。

本文还有配套的精品资源，点击获取