eNSP三层网络架构实验：从VLAN规划到OSPF配置的完整实战指南

最近后台收到不少朋友私信，都在问 eNSP 相关的实验。有人是刚考完初级网络认证，想在模拟器里练手却不知道怎么搭一个完整的网络；有人是刚入职的运维，平时只接触过单台交换机，遇到跨设备通信的问题就抓瞎；还有人纯粹是自学网络，照着网上的教程配完了 VLAN，结果终端之间根本不通，折腾一晚也查不出原因。

这些问题其实都指向同一个东西——eNSP 里的三层网络架构实验。所谓三层架构，就是园区网里最经典的接入层、汇聚层、核心层模型。你去看任何一家中大型企业的办公网、学校的校园网，甚至很多政务网、医院内网，底层骨架基本都是这么搭的。但很多教程只告诉你“要这么配”，不告诉你“为什么要这么配”，导致你换个拓扑、换几个 VLAN 就配不出来了。

这篇文章我就以一套完整的 eNSP 三层架构实验为项目主线，从地址规划到接入层、汇聚层、核心层的具体配置命令，再到全网联调和故障排查，把每一步的设计思路和背后原理都讲透。无论你是备考认证、刚入行做网工，还是想系统搞懂交换和路由，这篇实验笔记都能让你少走很多弯路。

1. 三层架构实验到底在解决什么问题

1.1 三层模型的分工逻辑

很多人一上来就拖设备、敲命令，结果做完实验还是稀里糊涂。我建议先花十分钟搞清楚一个问题：三层架构里的每一层，到底是干什么的？

先打个比方。把网络想象成城市的交通系统：终端设备是“居民小区”，汇聚层交换机是“城市主干道”，核心层交换机就是“高架快速路和立交桥”。居民要先走小区内部的路（接入层），再上主干道（汇聚层），最后通过快速路跨区域通行（核心层）。

• 接入层：负责把 PC、打印机、摄像头、AP 这些终端收进来，按业务类型划分 VLAN，限制广播域。它是离用户最近的一层，端口密度大，但通常不承担复杂的路由计算。
• 汇聚层：是整个方案的“策略控制点”。VLAN 间路由（网关）、访问控制策略、网关冗余（VRRP）、链路聚合通常都在这一层做。它向上连接核心，向下汇聚接入。
• 核心层：只做一件事——高速转发。不碰终端，不做复杂的访问控制，目标是尽可能快地把数据从一个区域送到另一个区域。核心层的稳定性和转发性能直接决定全网体验。

在小型网络里，你可以把三层合并成两层甚至一层，但一旦终端数量超过几百台、业务类型变多，扁平化结构就会暴露问题：广播域太大、环路风险高、排障困难、单点故障影响面广。所以三层架构的真正价值不是“看起来专业”，而是分层隔离故障、分层控制策略、分层扩展规模。

1.2 本次实验的拓扑与方案选型

下面是我这次要搭的拓扑，也是最典型的中型园区网结构：

• 两台核心交换机（Core-A、Core-B），做双核心冗余。
• 两台汇聚交换机（Dist-A、Dist-B），承接所有 VLAN 网关。
• 三台接入交换机（Access-A1、Access-A2、Access-A3），接入终端。
• 一台路由器（Router），模拟外部网络出口。

VLAN 规划上，我设计了三个业务网段：VLAN 10 办公区（192.168.10.0/24）、VLAN 20 研发区（192.168.20.0/24）、VLAN 30 服务器区（192.168.30.0/24）。

有两个方案层面的选择，值得你重点理解：

第一，网关放哪？我选择把 VLAN 网关放在汇聚层，而不是核心层。这样核心层可以保持“纯三层”的干净状态，只跑路由协议和高速转发。汇聚层压力大一点，但可以配合 VRRP 做网关冗余，一台挂了另一台顶上，终端不会断网。如果网关放核心层，虽然配置上少了一层路由，但核心一旦出问题，影响的是全网所有 VLAN。

第二，动态路由用什么？核心和汇聚之间我跑 OSPF，而不是静态路由。原因很简单：静态路由在双核心、双汇聚环境下需要维护大量条目，改动任何一个网段都要手动改好几台设备，维护成本极高。OSPF 能自动学习路由，还能通过开销值控制主备路径，更适合这种需要冗余和负载均衡的场景。

2. 搭好拓扑，做好地址规划

2.1 eNSP 环境准备与设备选型

eNSP 做实验，版本不用追新，稳定能用就行。我这边用的是模拟器自带的三层交换机作为核心和汇聚，二层交换机作为接入，一台路由器模拟外网。

设备选型上有个建议：核心层一定选三层交换机，不要用二层交换机，否则 VLANIF 接口和路由协议都起不来。接入层用二层就够了，毕竟它只负责端口和 VLAN。

启动模拟器之后，先把设备拖到画布上，按下面这个思路连线：

• 每台接入交换机分别用两根线上联到两台汇聚交换机。
• 两台汇聚交换机之间互联一根线。
• 两台汇聚交换机分别上联到两台核心交换机（每台汇聚都同时连两台核心）。
• 两台核心之间互联一根线。
• 其中一台核心交换机再连一台路由器，模拟出口。

连线时注意：模拟器里连线默认都是千兆口，但要在接口上配置 IP 和 VLAN，必须用接口视图去操作，双击设备就能进去。布线完成后先别急着配，地址规划必须先想清楚。

2.2 设备命名与接口互联规划

设备多了以后，最怕的就是“分不清哪台是哪台”。我习惯在实验开始前做一张完整的接口规划表，每根线连哪个接口都写清楚，这样配置的时候不用来回看拓扑。

这份规划表是实验的地基。你看着拓扑连线的时候会觉得很简单，但当你在十几台设备里来回切换时，没有一张对照表，很容易把线连错地方，后面排查起来极其痛苦。

2.3 IP 与 VLAN 地址规划表

地址规划我使用的是 24 位掩码的业务网段 + 30 位掩码的互联网段。30 位掩码只有两个可用地址，专门用于点对点互联链路，地址利用率高也整洁。

注意看 VLAN 30 的网关我做了差异化设计：VLAN 10、20 的主网关在 Dist-A，VLAN 30 的主网关在 Dist-B。这样可以让两台汇聚设备分担压力，避免一台跑满另一台闲着。这在真实项目里叫流量的负载均衡，也是 VRRP 最常见的玩法。

3. 接入层配置：把终端收进正确的 VLAN

3.1 创建 VLAN 与 Access 端口配置

接入层是所有终端进入网络的第一个关卡。先配置其中一台接入交换机，另外两台方法完全一样。

system-view sysname Access-A1 vlan batch 10 20 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/3 port link-type access port default vlan 30

vlan batch 10 20 30是一次性创建多个 VLAN 的写法，比一个个vlan 10然后quit要高效得多。Access 端口只属于一个 VLAN，收到的数据帧不带 VLAN 标签，交换机转发时再打上对应 VLAN 的标签。

这里有一个新手经常犯的错误：接到 PC 的口忘记配port link-type access。默认端口可能是 Hybrid 类型，而 PC 发送的是不带标签的数据帧，Hybrid 口也允许接收不带标签的帧，所以在一台交换机内部可能通信正常，但一旦上联到汇聚，往往出现 VLAN 不匹配的奇怪现象。我的建议是：所有接终端的接口，一律显式配置成 Access，并指定默认 VLAN，不要让交换机用默认配置。

3.2 上联 Trunk 配置与 VLAN 放行

接入层设备的另一个关键任务，是把带有 VLAN 标签的数据传到上层。接入交换机上联到汇聚的两个口，必须配置为 Trunk 并放行对应 VLAN。

interface GigabitEthernet0/0/23 port link-type trunk port trunk allow-pass vlan 10 20 30 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30

有人会问：既然port trunk allow-pass vlan all能放行所有 VLAN，为什么只写三个？这就是我在实际项目里吃过亏的地方。Trunk 放行所有 VLAN 虽然省事，但意味着接入层新增任何 VLAN，都会直接透传到上游，你无法在接入层做隔离。更关键的是，如果某段链路上存在一个你不想要的 VLAN（比如网络设备管理 VLAN），一旦沿 Trunk 传播开来，可能引发管理网段的地址冲突。**

所以在实验里养成好习惯：Trunk 上只放行明确的业务 VLAN。真实网络中，这是安全审查的重点项。

3.3 接入层配置的常见坑

我在做这套实验时，接入层踩过两个比较隐蔽的坑。

第一个是不配端口的undo shutdown直接测试。eNSP 模拟器里默认端口也是开启的，但如果你之前在接口上执行过shutdown，后面忘了打开，PC 端就完全不通，而检查配置时很容易忽略这个问题。养成习惯：配置完接口后，统一检查一遍接口状态，display interface brief里 Down 的端口要逐一看原因。

第二个是接入层两根上联都接入汇聚后出现环路。这种情况如果遇到，说明汇聚层还没配置 STP 或 RSTP。你做了两个上联做冗余，但二层物理环路是真实存在的，必须由 STP 协议来阻塞冗余路径。所以接入层配置完，紧接着就要去汇聚层把 STP 处理和根桥规划做好，不要等到出问题再补。

4. 汇聚层配置：网关、冗余与链路聚合

4.1 VLANIF 接口与三层网关配置

汇聚层是这套实验里配置量最大的部分，也是整个三层架构的价值集中点。先看 Dist-A 的配置。

system-view sysname Dist-A vlan batch 10 20 30 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 interface Vlanif30 ip address 192.168.30.254 255.255.255.0

Vlanif就是常说的 SVI（Switch Virtual Interface），它为 VLAN 提供一个三层网关接口。终端把默认网关指向这个 IP，跨 VLAN 的数据就会先到达汇聚交换机，由汇聚交换机在三层查路由表后转发到目的网段。

理解 VLANIF 的关键在于：一个 VLANIF 接口 = 这个 VLAN 的三层入口。没有配置 VLANIF 的 VLAN，只能在二层转发，无法实现 VLAN 间路由。很多新手以为“创建了 VLAN 就能互通”，其实 VLAN 本身就是隔离的，互通必须有三层网关。

Dist-B 的 VLANIF 配置类似，但注意我把 VLAN 30 的网关地址设为 192.168.30.253，和 Dist-A 的 192.168.30.254 不一样。这是为后面 VRRP 主备切换做准备的。

4.2 VRRP 实现网关冗余

现在问题来了：一台汇聚挂了怎么办？如果汇聚是唯一网关，那所有终端直接断网。所以要用 VRRP 把两台汇聚虚拟成一个网关 IP，终端把网关指向虚拟 IP，实际转发由主设备负责，主设备故障时备设备自动接管。

在 Dist-A 上配置：

interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 interface Vlanif20 vrrp vrid 20 virtual-ip 192.168.20.1 vrrp vrid 20 priority 120 interface Vlanif30 vrrp vrid 30 virtual-ip 192.168.30.1

在 Dist-B 上配置：

interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.1 interface Vlanif20 vrrp vrid 20 virtual-ip 192.168.20.1 interface Vlanif30 vrrp vrid 30 virtual-ip 192.168.30.1 vrrp vrid 30 priority 120

vrid 10是 VRRP 备份组号，两端必须一致。virtual-ip是虚拟网关 IP，对终端来说这就是它们的默认网关。priority 120表示优先级，数值大的成为主设备。默认优先级是 100，我这里把 VLAN 10、20 的主设备设置为 Dist-A，把 VLAN 30 的主设备设置为 Dist-B，实现了负载均衡。

VRRP 的核心理念是：主设备提供转发，备设备时刻准备接管。主设备挂了之后，备设备会通过 VRRP 报文在极短时间内检测到故障，然后升级为主设备，继续应答终端的 ARP 请求和转发流量。这个过程终端完全无感知。

做完配置后，可以在两台汇聚上分别执行display vrrp brief，状态里应该能看到 Master 和 Backup 的对应关系。注意 VLAN 10、20 的 Master 是 Dist-A，VLAN 30 的 Master 是 Dist-B。

4.3 Eth-Trunk 链路聚合配置

汇聚和核心之间的链路，我用了双上联。但如果只是物理上连了两根线，而不做链路聚合，STP 会因为环路阻塞其中一根，等于又退化成单链路。所以要在汇聚上把上联口绑定成 Eth-Trunk。

以 Dist-A 为例：

interface Eth-Trunk1 trunkport GigabitEthernet0/0/23 trunkport GigabitEthernet0/0/24 interface Eth-Trunk1 ip address 10.0.1.2 255.255.255.252 interface Eth-Trunk1 ip address 10.0.2.2 255.255.255.252

等等，这里有一点需要说清楚：Eth-Trunk 是一个逻辑接口，但它绑定两个物理口之后，这个链路本质上还是一个单条逻辑链路。当核心和汇聚之间需要走三层互联时，Eth-Trunk 作为三层口需要配置 IP，同时在两端必须绑定相同的物理成员口。上面的配置其实是有问题的——同一个 Eth-Trunk 里配置了两个不同网段的 IP，这意味着两个核心上联被绑成了一个逻辑三层口，OSPF 邻居关系会出问题。

在双核心场景下，汇聚到两台核心的链路不应该捆绑在同一个 Eth-Trunk 里，因为那是两台不同的设备，成员口必须连接到同一台对端设备才能做链路聚合。所以这里的正确做法是：Dist-A 上联 Core-A 的 GE0/0/23 和上联 Core-B 的 GE0/0/24，分别做两个独立的 Eth-Trunk，或者干脆直接用物理三层接口分别配置 IP，让 OSPF 去决定走哪条路径。

我在实际实验中推荐后一种方式，更清晰也更稳定：

interface GigabitEthernet0/0/23 undo portswitch ip address 10.0.1.2 255.255.255.252 interface GigabitEthernet0/0/24 undo portswitch ip address 10.0.2.2 255.255.255.252

undo portswitch是把默认的二层口切换为三层路由口。这样每个物理口独立工作，配置直观，排障方便。Eth-Trunk 更适合接入到汇聚之间那种“两台设备之间有多根物理线”的场景，那时可以协议协商把多根线绑成一个逻辑 Link，既增加带宽又能实现冗余。

4.4 STP 防环与根桥设置

接入层做了双上联，汇聚之间又互联，二层环路已经存在。在全网启用生成树协议之前，广播帧会在环路里无限转发，最终导致广播风暴，所有终端卡死。

eNSP 里我选择 RSTP（快速生成树），收敛速度更快，默认情况下只需要在每台交换机上开启即可：

stp mode rstp

但光开启不够，还要做一件事：手动指定根桥。在双汇聚架构下，最好让两台汇聚成为根桥候选，而不是让某台接入交换机被选举为根，否则路径计算会很奇怪。

我在 Dist-A 和 Dist-B 上配置：

stp root primary

在接入交换机上保持默认优先级，RSTP 会自动阻塞冗余路径，让整个二层拓扑形成无环树状结构。做完之后可以用display stp brief查看各端口角色，正常情况下应该能看到 root 口、designated 口和 blocked 口。

这里有一个容易忽略的点：VRRP 负责三层网关冗余，RSTP 负责二层链路冗余，两者是配合关系而不是替代关系。没有 RSTP，二层环路会带来广播风暴；没有 VRRP，网关单点故障会导致全网中断。两个都要配。

5. 核心层配置与全网联调

5.1 核心设备接口与 OSPF 配置

核心层不关心终端 VLAN，它要做的是把汇聚上来的网段路由信息在整个网络里正确传递。先配置 Core-A：

system-view sysname Core-A interface GigabitEthernet0/0/23 undo portswitch ip address 10.0.1.1 255.255.255.252 interface GigabitEthernet0/0/24 undo portswitch ip address 10.0.3.1 255.255.255.252 interface GigabitEthernet0/0/25 undo portswitch ip address 10.0.100.1 255.255.255.252 interface GigabitEthernet0/0/26 undo portswitch ip address 100.1.1.1 255.255.255.252

Core-B 的配置类似，把互联 IP 对应成 10.0.2.1、10.0.4.1、10.0.100.2 即可。

接下来在核心上启用 OSPF。以 Core-A 为例：

ospf 1 router-id 1.1.1.1 area 0 network 10.0.1.0 0.0.0.3 network 10.0.3.0 0.0.0.3 network 10.0.100.0 0.0.0.3 network 100.1.1.0 0.0.0.3

network命令后面跟的是“网段 + 反掩码”。反掩码的作用是匹配主机位，/30 段只匹配两个 IP，反掩码是0.0.0.3。这里有个容易出错的地方：反掩码和子网掩码正好相反，/24 段写成0.0.0.255，/30 段写成0.0.0.3，如果你写成了正常的掩码格式，OSPF 进程不会报错，但对应网段无法宣告出去。

Core-B 的 router-id 我用2.2.2.2，Dist-A 用3.3.3.3，Dist-B 用4.4.4.4。Router-id 是 OSPF 区域内路由器的唯一标识，一定不要重复，否则邻居关系建立会出现诡异问题。

Dist-A 上配置 OSPF 如下：

ospf 1 router-id 3.3.3.3 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 10.0.1.0 0.0.0.3 network 10.0.2.0 0.0.0.3

把这三个业务网段加进 OSPF，核心交换机就能自动学到去往终端网段的路由。Dist-B 上也做相同操作，但互联网段要写 10.0.3.0、10.0.4.0。配置完成之后，在核心和汇聚上执行display ospf peer brief，能看到邻居状态变为 Full，说明 OSPF 邻居建立成功，路由学习正常。

5.2 默认路由与出口方向配置

内网互通只是第一步，真实网络中终端往往还需要访问外网。我在 Core-A 上配置一条默认路由，把所有非内网流量指向出口路由器：

ip route-static 0.0.0.0 0.0.0.0 100.1.1.2

然后在路由器上配置回程路由，让它知道内网数据应该送回 Core-A：

system-view sysname Router interface GigabitEthernet0/0/0 ip address 100.1.1.2 255.255.255.252 interface LoopBack0 ip address 202.101.1.1 255.255.255.255 ip route-static 192.168.10.0 255.255.255.0 100.1.1.1 ip route-static 192.168.20.0 255.255.255.0 100.1.1.1 ip route-static 192.168.30.0 255.255.255.0 100.1.1.1

LoopBack0 的地址 202.101.1.1 用来模拟一个外网服务器地址。这样做的好处是：终端 ping 这个地址，就能验证“内网到核心、核心到出口路由器、出口到达外网”的整条链路是否通畅。

关于路由方向，有一个新手最容易忽略的点：数据包能去不一定能回。很多情况下 ping 外网不通，不是去程路由的问题，而是回程路由缺失。出口路由器必须知道内网网段从哪里回，默认路由才能生效。这也是实际工程里“有去有回”原则的最直观体现。

5.3 全网联通性验证流程

配置全部完成之后，不要急着下结论，按层次从下往上验证，每个环节都明确预期结果，才叫有效测试。

第一步，验证终端到网关。PC1 配好 IP 192.168.10.10、掩码 255.255.255.0、网关 192.168.10.1 之后，先 ping 网关。能通，说明接入层 VLAN 划分和汇聚层 VLANIF 网关都没问题。

第二步，验证跨 VLAN 三层转发。PC1（192.168.10.10）去 ping PC2（192.168.20.10）。能通，说明汇聚层 VLANIF 之间已经实现了三层路由。注意：这个测试必须走网关，而不是直连，因为两个终端不在同一个 VLAN，二层完全隔离。

第三步，验证跨设备冗余路径。在 PC1 上 ping PC2 的同时，在 Dist-A 上执行shutdown，模拟主网关设备故障。如果 VRRP 正常，终端会短暂丢几个包，很快恢复，随后继续通信正常。这说明网关冗余生效。

第四步，验证 OSPF 路由学习。登录 Core-A 执行display ip routing-table，应该能看到 192.168.10.0、192.168.20.0、192.168.30.0 这些网段，并显示下一跳指向对应汇聚设备，说明 OSPF 已经正确传递了业务路由。

第五步，验证外网出口。从任意终端 ping 202.101.1.1，能通说明默认路由、回程路由、核心交换全部正常。

验证环节是整个实验的“照妖镜”。很多时候配置敲完了感觉没问题，但仅仅因为某一条 route-static 或者某一条 network 写错了，整个链路就断一截。按层次验证，能迅速把问题定位到特定设备、特定层级。

6. 实验踩坑记录与故障排查速查

6.1 终端 ping 不通网关

这是做三层架构实验时最常出现的故障。排查思路要按顺序来：

• 检查 PC 的 IP 和掩码是否和规划一致。不要小看这一步，手动配 IP 输错一个数字，能浪费你半小时。
• 检查接入交换机对应端口是否属于正确 VLAN，用display vlan确认。
• 检查接入到汇聚的 Trunk 是否放行了该 VLAN，用display port vlan来查看。
• 检查汇聚上是否创建了对应的 Vlanif，以及是否有 VRRP 虚拟 IP。用display ip interface brief查看接口状态，接口必须是 Up。
• 如果都没问题，在接入交换机上执行display mac-address看能否学到 PC 的 MAC 地址，学不到说明二层链路有问题，学得到说明问题在三层。

6.2 跨 VLAN 通信失败的常见原因

跨 VLAN 通信依赖网关转发。如果终端能通自己的网关，但 ping 不通别的网段，问题通常出在汇聚或核心的路由层面：

• 汇聚上是否配置了完整的 VLANIF？如果 VLAN 20 的网关没建，192.168.20.0/24 这个网段在路由表里根本不存在，自然不通。
• 汇聚上的 OSPF 是否宣告了所有业务网段？漏一条 network，核心就学不到对应路由，跨设备的 VLAN 通信直接失败。
• 核心的路由表里有没有对应网段？display ip routing-table如果看不到远端网段，要么是 OSPF 邻居没建起来，要么是宣告漏了。

如果只有一台核心、一台汇聚的环境，还需要检查默认路由或静态路由是否双向配置。记住：路由必须双向可达，去程有路，回程也得有路。

6.3 环路导致的广播风暴

配置完 STP 之后，按理说不该出现环路。但如果设备里某台交换机没有启用 RSTP，或者端口被手动配置了stp disable，环路就会回来。

广播风暴的症状非常明显：所有设备 CPU 飙升，ping 时通时断，交换机端口疯狂跳闪。处理步骤是：

• 拔掉可疑的冗余链路，让网络先恢复。
• 用display stp brief检查每台交换机的端口角色，看看是否有端口状态为 Blocking，没有就说明 STP 没生效。
• 检查所有交换机是否都执行了stp mode rstp，以及是否有端口被关闭了 STP。
• 确认汇聚上配置了stp root primary，否则根桥可能落在接入交换机上，生成树的计算结果不可控。

6.4 常用排查命令速查表

为了方便你把这份实验笔记存下来当参考，我把最常用的排查命令整理成了一张速查表，可以直接抄作业：

这套排查顺序是我实际做项目时一直用的方法论：先看物理层，再看二层，最后查三层。从上到下逐层排查的好处是，每一步都能排除一类问题，而不是随机试错。很多新手一上来就怀疑配置写错了，结果反复检查配置都查不出问题，最后发现是物理接口没插好或者端口被 shutdown，这种教训我见得太多。

写在最后

这套 eNSP 三层架构实验做下来，我个人最大的体会是：网络排障最忌讳“瞎猜”。有了完整的架构分层和清晰的地址规划，任何故障都能按层次定位——接入层不通就查 VLAN 和 Trunk，汇聚层不通就查网关和 VRRP，核心层不通就查路由协议。这是三层架构本身带给你的最大价值：它不光让网络有秩序，也让排障有路径。

实验做完之后，你还可以在这个拓扑上继续扩展：把 OSPF 改成多区域，看区域间路由如何传递；在汇聚层加 ACL 控制研发区对服务器区的访问；用 DHCP 中继给终端动态分配地址；甚至把两台核心的整体配置换掉，试试网关放在核心层的设计。每换一种玩法，你对这套架构的理解就会深一层。

最后分享一个小技巧：eNSP 里配置完所有设备之后，一定先保存。模拟器的设备和真实设备一样，配置文件不保存，重启就丢。把每台设备的配置通过save保存下来，再配合display current-configuration导出备份，这套实验就是你的“个人作品集”，面试吹牛、项目汇报都能用得上。