简介华中科技大学校园网络模拟项目资料包基于华为ENSP平台完整复现包含有线网络与无线接入的整体拓扑设计面向网络工程专业师生、实验课程设计人员以及准备企业网相关认证的进阶学习者。压缩包共35个文件核心为19个ENSP工程配置.efz与2个拓扑文件.topo可直接导入模拟器运行另有6个XML说明文件、若干ZIP参考包以及txt/docx/md格式的笔记资料整体仅117KB结构紧凑且便于按需查阅。项目中重点配置了VLAN划分与ACL访问控制分别模拟教学楼、宿舍区、行政办公区等区域隔离与互访策略路由层面可选择RIP或OSPF实现动态收敛并部署DHCP服务完成终端自动寻址无线部分则通过AP接入与信道/功率调优实现园区覆盖并设置WPA2加密确保安全。这些配置环环相扣既能用于课堂演示也适合作为综合实验和排错练习的蓝本。目前已有206人学习使用是网络工程方向一次完整的从设计到部署的动手参考。1. 校园网络模拟项目从ENSP拓扑图到能跑起来的教学实验环境做过网络工程实验课的人都知道教室里的真机再豪华也架不住一个班几十号人轮流改配置——配置改乱了没法复盘网线插错了没人背锅。华中科技大学校园网络模拟项目这个题目本质是把一套完整的校园网三层架构搬进华为ENSP平台用虚拟的S5700交换机、AR2220路由器和AC6605无线控制器把VLAN划分、OSPF路由协议、DHCP服务部署、无线AP接入这些教学重点全部跑通。它适合两类人一个是做网络工程毕业设计的学生另一个是用实验环境带实训课的老师。这套方案的核心价值在于拓扑图不是画完就扔的示意图而是一套能开机、能下发IP地址、能无线上网、能反复“拆了重练”的可复现实验环境。2. 校园网拓扑设计与VLAN划分先画规划表再碰设备2.1 三层架构在ENSP里的设备选型校园网的经典结构是核心-汇聚-接入三层出口再接一台路由器。在ENSP里做这个题目不需要追求设备型号跟真实机房一一对应但要保证每层的功能能落下。核心层我一般用S5700因为ENSP里S5700支持VLANIF、OSPF、DHCP和VRRP一台设备能扛下网关、路由、地址下发三件事汇聚层用S3700或S5700都行主要承接VLAN终结和DHCP中继接入层用S3700负责把PC、AP、打印机这些终端挂进对应VLAN。出口路由器用AR2220模拟NAT和默认路由。无线部分用AC6605加两台APAC管理AP并把无线用户引到指定VLAN。| 网络层次 | 推荐设备 | 关键作用 | 选型理由 | | 核心层 | S5700 | VLANIF网关、OSPF、DHCP、VRRP | 支持三层协议一台设备覆盖多角色 | | 汇聚层 | S3700/S5700 | 终结VLAN、DHCP中继、trunk汇聚 | 二层为主配置量适中 | | 接入层 | S3700 | 终端接入、access口划分VLAN | 端口多操作直观 | | 出口 | AR2220 | 默认路由、NAT、对接外网 | 接口类型丰富跑OSPF足够 | | 无线 | AC6605 AP2050DN | AC管理AP、下发VAP业务 | 贴近真实WLAN组网 |选型还有两个实际约束。第一ENSP里的S5700支持三层功能但拖设备时不能随手拖一台S5700-LI当核心部分型号的镜像里不开放OSPF和VLANIF配置后原样报错。第二AC6605在部分ENSP版本里需要单独安装WLAN特性包否则创建AP组时会提示命令不存在。这两个点属于典型的版本坑第5章避坑清单里再展开。2.2 先做VLAN规划一张表把广播域、网段和网关定下来动手连拓扑之前我习惯先画一张VLAN规划表这张表会原封不动带进配置里。以这个题目常见的教学场景为例学生宿舍一个VLAN、教学楼一个VLAN、图书馆一个VLAN、无线用户单独一个VLAN、设备管理单独一个VLAN、服务器单独一个VLAN。无线用户单独划分有两个好处一是无线终端的漫游和认证策略与有线完全解耦二是排查无线问题时只看这一个网段不会跟有线互相干扰。| VLAN ID | 业务名称 | 网段 | 网关 | 网关所在设备 | | 10 | 学生宿舍 | 192.168.10.0/24 | 192.168.10.254 | 汇聚交换机 | | 20 | 教学楼 | 192.168.20.0/24 | 192.168.20.254 | 汇聚交换机 | | 30 | 图书馆 | 192.168.30.0/24 | 192.168.30.254 | 汇聚交换机 | | 40 | 无线用户 | 192.168.40.0/24 | 192.168.40.254 | 核心交换机 | | 100 | 设备管理 | 10.0.0.0/24 | 10.0.0.254 | 核心交换机 | | 200 | 服务器 | 172.16.200.0/24 | 172.16.200.254 | 核心交换机 |这张规划表的要点是“VLAN、网段、网关、设备”四列必须能对上。网关地址我统一用 .254 而不是 .1纯粹是个人习惯好处是学生不用猜网关如果你用 .1 也完全没问题关键是全工程统一。管理VLAN 100专门用来给交换机、AP、AC这些设备配管理IP不承载终端业务这样终端网络故障时还能靠管理地址登录设备排查。服务器单独放到VLAN 200后续如果要加防火墙策略或ACL只需在核心交换机的对应接口上动手。无线VLAN 40的网关放在核心而不是汇聚是因为AC6605和AP之间的CAPWAP隧道需要跟无线业务网段保持三层可达网关越靠近AC排障时少一层跳数。2.3 access与trunk怎么选PVID和放通列表是排查重点VLAN画进表里之后要落到接口配置上。这里有个教学实验里翻车率最高的点接口模式选错。接PC、接打印机、接AP管理口的终端接口用access模式端口只属于一个VLAN终端发上来的无标记帧会被打上port default vlan指定的标签。交换机对交换机、交换机对路由器的链路用trunk模式端口把多个VLAN的帧带着标签转发。校园网里最常见的配置是这两句vlan batch 10 20 30 40 100 200 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 40 100第一行vlan batch一次性创建所有VLAN比一条条vlan命令省事access口用port default vlan 10指定PVID终端不感知VLAN标签trunk口这里有个很容易被忽略的命令port trunk allow-pass vlan华为设备默认trunk口只放通VLAN 1如果不显式放通VLAN 10、20这些帧会在链路上被丢弃这是跨交换机VLAN不通的第一大原因。再说热词里那句“port trunk pvid vlan 10”。trunk口在华为设备上默认PVID是VLAN 1当trunk口收到不带VLAN标签的帧时会打上PVID对应的标签。校园网里trunk口对接的下行设备如果刚好是AP或傻瓜交换机它们上行的帧是未打标的这时候就要用port trunk pvid vlan 100让AP发上来的管理流量进入设备管理VLAN 100。反过来如果两台交换机trunk互连且两侧PVID不一致可能导致无标记流量被错误标进其他VLAN现象是设备能通但display vlan看到的标签级联异常。这个命令不是可有可无的玄学在无线AP接入、设备管理这类场景里是硬性要求。如果实验里要做“同一VLAN内终端互相隔离”比如一个机房的学生机禁止互访可以用MUX VLAN一个主VLAN加多个从VLAN主VLAN可以和所有从VLAN通信从VLAN之间彼此隔离。ENSP的S5700支持这个特性配置量比配一堆ACL少得多适合作为教学实验的进阶环节。3. 路由协议配置单臂路由、VLANIF与OSPF怎么协同3.1 单臂路由实现VLAN间通信sub-interface的配置细节当网络里只有路由器而没有三层交换机时VLAN间通信靠单臂路由完成。做法是路由器的一个物理口分成多个子接口每个子接口对应一个VLAN作为该VLAN的网关。华为路由器子接口有三条命令缺一不可interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 arp broadcast enabledot1q termination vid 10声明这个子接口处理带VLAN 10标签的帧ip address给子接口配网关地址arp broadcast enable是华为设备特有的命令缺了它子接口不会回应ARP请求终端会一直显示“能配置IP但ping不通网关”。这三条命令配完后交换机和路由器之间的链路必须改成trunk放通所有需要路由的VLAN。这里有个学生经常理解反的点交换机接PC的口是access口两台PC在同一个VLAN能互通这不叫VLAN间通信只有当PC的网关指向路由器子接口、交换机上行口是trunk并放通对应VLAN时单臂路由才真正工作。所以排查单臂路由问题时先看交换机上行口是不是trunk再看路由器子接口的vid和allow-pass列表是否一致这两个地方错一个现象都一样PC能ping通同VLAN的机器但跨VLAN全不通。3.2 三层交换机的VLANIF网关下沉与S5700的三层能力校园网不会用单臂路由做全网的VLAN间路由带宽和配置量都扛不住。常见做法是把网关做到三层交换机上每个VLAN建一个VLANIF接口给VLANIF配IP就是给这个VLAN配网关。以汇聚交换机为例interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0VLANIF配置完成后同一台交换机下不同VLAN的终端互通靠的是交换机内部的三层转发不再依赖外部路由器。这个方案的优点是网关距离终端近跨VLAN流量不必绕到核心再回来缺点是每台三层交换机都要维护自己VLAN的网关VLAN多了之后路由宣告的工作量会上来所以后续要用OSPF把这些直连网段统一宣告出去。要注意S5700部分型号在ENSP里默认只做二层转发创建VLANIF之前需要确认设备支持三层功能。实际操作中我在核心交换机上同时做两件事一是给所有业务VLAN建VLANIF作为各网段的网关二是给对上和对下的互连链路配三层接口保证OSPF邻居能建立。网关放汇聚还是放核心这个题目里没有绝对对错关键是全工程要一致不然会出现“核心能ping通但汇聚下的终端丢了默认网关”这种难查的隐性故障。3.3 OSPF配置Router ID、network宣告与区域规划VLAN和网关就位后网络还是一摊孤岛要靠路由协议把它们连成一个整体。校园网模拟项目里OSPF是比静态路由更合理的选择VLAN数量十几个起步每加一个网段静态路由要在核心、汇聚、出口各加一条改一次错一次OSPF只要在网关设备上宣告新网段其他设备自动收敛。教学实验一般用单区域area 0规模很小没必要拆多区域。ospf 1 router-id 10.0.0.1 area 0.0.0.0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 10.0.0.0 0.0.0.255router-id 10.0.0.1是这台设备的OSPF标识手动指定比自动选IP更稳定重启后不会变network后面跟的是反掩码0.0.0.255表示精确匹配192.168.x.0这个C类网段不少初学者把这里写成255.255.255.0OSPF会直接拒绝这条宣告。所有参与OSPF的设备核心交换机、汇聚交换机、AR2220出口路由器都要配置OSPF并且宣告各自直连网段邻居才会建立。OSPF配完验证命令是display ospf peer和display ospf interface。看到peer状态是Full才算邻居建立成功如果卡在Init或Attempt优先查两端network宣告是否匹配、接口是否在同一网段、hello interval是否被改动过。校园网里还有一个常见问题是出口路由器连接广域网的接口被宣告进了OSPF导致默认路由学习异常这个接口属于外部网络应该配置成silent-interface或者干脆不宣告。4. DHCP服务与无线AP接入配置终端拿地址、AP能上线4.1 把DHCP服务部署在核心交换机上校园网里终端数量多手动配IP不现实DHCP服务是必须的。ENSP里最常见的做法是把DHCP服务开在核心交换机上统一下发所有业务网段。先开总开关再建地址池最后在VLANIF上调用dhcp enable ip pool vlan10 gateway-list 192.168.10.254 network 192.168.10.0 mask 255.255.255.0 dns-list 10.0.0.253 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.20 lease day 1 hour 0 minute 0 interface Vlanif10 dhcp select globaldhcp enable是全局开关少了他后面全白配ip pool vlan10创建名为vlan10的地址池名字随意但建议跟VLAN编号对齐gateway-list必须跟终端所在VLAN的网关一致否则终端能拿到IP但跨网段时把报文交给一个不存在的网关network声明地址池范围掩码必须和规划表一致excluded-ip-address把设备IP、服务器IP、打印机IP排除掉避免地址冲突。最后在VLANIF10上执行dhcp select global地址池才真正生效。地址池的数量和VLAN一一对应一个VLAN一个池。热词里有人问“一个DHCP服务器能发几个网段”答案是不限网段数但每个网段要单独建池、单独在对应VLANIF上开启DHCP。还有dhcp select global和dhcp select interface是两种不同模式global是集中式地址池所有地址池放在一起、好查好改interface模式会在接口上自动关联对应网段的地址池适合接口少的小型实验。教学环境我用global更多学生排障时打开交换机就能看到全部网段分配情况。4.2 DHCP中继跨网段分配的关键配置当网关在汇聚交换机、DHCP服务器在核心交换机时VLAN 10的终端发出的DHCP discover是广播帧三层设备不会转发广播这时候就要在汇聚交换机的VLANIF上开启DHCP中继把discover以单播方式转发给核心上的DHCP服务器。interface Vlanif10 dhcp select relay dhcp relay server-ip 172.16.200.2dhcp select relay把接口从“本地分配”切换成“中继模式”dhcp relay server-ip指向DHCP服务器地址。核心侧需要保证能路由到这个服务器地址并确认服务器上有对应VLAN 10的地址池。配完后在终端上renew一下地址如果还是获取失败先在中继设备上ping服务器IPping不通说明路由没通中继配置再对也没用。这是DHCP场景里最容易被忽略的一层中继只是把请求转发过去前提是两层设备之间路由可达。如果实验环境里已经有独立的物理DHCP服务器比如Windows Server或Linux的dhcpd交换机侧的做法也是一样的VLANIF上配dhcp select relay指向那台服务器或者在S5700的三层口上配ip helper-address。校园网题目里常见的是“交换机内置DHCP 中继”这种组合一台核心交换机当服务器汇聚层设备当中继不用额外开一台虚拟服务器整个实验的自包含性更好。4.3 ACAP组网CAPWAP隧道与AP注册无线部分是这个题目的重头戏“ensp无线网络配置实例”也是搜索量很高的关键词。ENSP里AC6605加AP的组网核心是CAPWAP隧道AP启动后会向AC发CAPWAP请求AC应答后给AP下发配置数据流根据forward-mode决定是直接转发还是经AC隧道转发。AP要能上线前提是管理VLAN 100的链路全通、AP能通过DHCP拿到管理地址、AC能路由到这个地址。AC上的配置先设置认证方式再让AP上线wlan ap auth-mode mac-auth ap-id 0 type-id 0x02 ap-name classroom-ap ap-group ap-group1ap auth-mode mac-auth限制只有MAC在白名单的AP才能上线防止陌生AP接入ap-id后面的type-id要跟ENSP自带AP型号匹配选错型号AP会一直卡在下载镜像阶段。AP上线后用display ap all能看到状态是normal如果显示fault或offline基本都是管理VLAN不通或者AC源接口配置有问题。AC作为管理端需要配置一个管理地址作为CAPWAP源一般直接写在Vlanif100上保证AP能路由到它就够。AP接在接入交换机上接入交换机连接AP的接口在校园网里推荐用trunk管理VLAN和业务VLAN都放通PVID设为管理VLAN 100。这样AP的供电、管理地址获取、无线业务VLAN 40的标签都能从这一根线里跑通。这是“无线AP接入配置”和“有线无线共存”的关键点PVID不一致导致的AP反复离线我在第5章单独讲。4.4 无线业务参数SSID、VAP与安全模板AP上线只是第一步用户要能连上无线网还得创建SSID模板、安全模板、VAP模板并把VAP模板绑定到AP组的射频上。经典的三模板配置如下wlan ssid-profile name stu-wlan ssid HUST-STU security-profile name stu-sec security wpa2 psk pass-phrase HUST2024 aes vap-profile name stu-vap ssid-profile stu-wlan security-profile stu-sec service-vlan vlan-id 40 forward-mode direct-forward ap-group name ap-group1 vap-profile stu-vap wlan 1 radio 0ssid-profile定义无线网络的名字终端搜索到的HUST-STU就在这里security-profile声明加密方式wpa2 psk适合教学环境密钥复杂度不用太高但别用空密码vap-profile把SSID和安全策略打包service-vlan vlan-id 40表示这个无线网络里的用户全进VLAN 40forward-mode direct-forward让数据流直接经交换机转发而不穿过AC减轻AC压力。最后一条把VAP绑定到ap-group里的radio 0也就是5G射频教学楼环境建议radio 0和radio 1都绑定2.4G兼容老设备5G保证带宽。无线配完后验证分三步AC上display ap all看AP状态display vap ssid HUST-STU看VAP是否正常运行最后用一台无线PC连上SSID看能不能拿到192.168.40.x的地址并ping通网关。如果拿不到地址问题大概率不在无线而在VLAN 40的DHCP关系上回到4.1检查无线业务VLAN的地址池和中继配置。无线部分的坑和有线完全不一样出问题时不要死盯着AP先从“业务VLAN有没有DHCP”这条链路查。5. ENSP实验避坑指南启动失败、VLAN不通与AP离线5.1 设备启动失败代码40内存与版本的双重陷阱现象在ENSP里双击AR2220启动控制台卡住几秒后提示启动失败错误码40。原因代码40在ENSP里几乎都是虚拟设备进程起不来常见于三种情况本机开了太多设备把内存占满、VirtualBox的虚拟网卡驱动被安全软件禁用、或当前ENSP版本和AR设备的镜像版本不匹配。在Win11上安装旧版ENSP后AR设备几乎必然报40这不是配置问题是平台兼容性问题。解决先关掉拓扑里所有设备重启ENSP再检查VirtualBox的Host-Only网络适配器是否启用被禁用会出现设备能启动但接口全红的怪现象最后考虑更新ENSP版本或单独重新注册AR镜像。说句血泪经验ENSP模拟器最怕“同时开十几台设备”教学实验控制在8台以内稳定性和上课节奏都能兼顾。5.2 配置了VLAN但PC之间不通逐跳查trunk与PVID现象按规划表配好VLAN和接口同VLAN的两台PC互相ping不通。原因最常见的是链路中间某台设备接口没放通VLAN或者access口的default vlan和预期不一致。第二种情况是PC的IP配错了网段跟VLAN对不上。第三种比较隐蔽链路上某个接口是trunk但PVID被改过导致无标记帧进错VLAN。解决不要站在PC端ping回到交换机上逐跳查看。用display port vlan查看每个接口的链路类型、PVID和放通列表确认从PC接入交换机到对端交换机全程的VLAN标签一致。如果中间隔了三台交换机就三台都查一遍。另一个快速定位的办法是display mac-address看PC的MAC是否在正确的VLAN和接口下学习到学不到说明数据面在某个接口上就被丢了。5.3 DHCP获取不到地址从网关、中继、地址池三个方向查现象终端配置了DHCP自动获取但一直显示“正在获取地址”最终拿到169.254.x.x或直接没地址。原因169.254是Windows的APIPA地址表示DHCP请求根本没得到响应。三个方向逐个排除第一dhcp enable没开或VLANIF上没执行dhcp select global服务器压根不响应第二跨网段场景里汇聚交换机上没配dhcp relay server-ipdiscover广播被封在三层内第三地址池里把网关地址或交换机地址包含进去了分配出去就冲突。解决在PC端先手动配一个同网段静态IP去ping网关ping不通先解决三层问题别去查DHCPping通后再把PC切回DHCP在交换机上开debugging dhcp server all看报文是否到达。报文到了但没回基本就是地址池或者排除地址的问题。再提醒一点多用display dhcp server ip-pool usage看地址池剩余量很多“拿不到地址”其实是地址池满了。5.4 AP迟迟不上线CAPWAP链路被卡在管理VLAN现象AC上display ap allAP状态一直offline或fault无线SSID都搜不到。原因AP和AC之间的CAPWAP报文不通。常见原因是AP接入交换机的接口是access口且PVID不是管理VLANAP发出的管理帧被划进业务VLANAC看到一个来自未知网段的地址根本不回应另一种原因是AC的CAPWAP源接口配置错误比如AC管理地址在VLAN 100但wlan下配置的源接口没对上。第三种是AP型号和AC版本不匹配AP在下载镜像阶段反复重启。解决先确认AP接入交换机接口是trunk且port trunk pvid vlan 100放通VLAN 40和100再在AC上display ap all看AP的MAC和管理IP是否出现出现但不在线就查wlan里的源接口配置最后检查AC和AP之间路由能不能互相ping通ping不通就回到OSPF把管理网段宣告检查一遍。AP上线这个环节七成问题出在PVID剩下三成出在路由。6. 验证你的校园网模拟项目三条命令与一个端到端思路验证一个校园网模拟项目不能只看拓扑连起来了或设备不报错要看数据面是不是真的通。我自己的习惯是固定三条验证命令每改完一个阶段就刷一遍display vlan display ospf peer brief display ap alldisplay vlan看VLAN和接口关系display ospf peer brief看路由邻居是不是Fulldisplay ap all看无线AP在线状态。三层和无线都确认后再用带源地址的ping做端到端验证。在核心交换机上执行ping -a 192.168.40.254 192.168.10.254直接模拟“无线网关向学生宿舍网关发探测包”能通说明VLAN 40到VLAN 10的路由全程正常。| 验证对象 | 预期结果 | 不通过时的排查方向 | | display vlan | VLAN 10/20/30/40/100/200全部存在 | 查vlan batch和接口default vlan | | display ospf peer | 核心、汇聚、出口之间全部Full | 查network宣告、反掩码、区域 | | display ap all | AP状态normal | 查管理VLAN、PVID、CAPWAP源 | | 无线终端连HUST-STU | 获得192.168.40.x并ping通网关 | 查DHCP、VAP模板、service-vlan |进阶做法是用持续ping观察链路稳定性在PC上执行ping 192.168.40.1 -t然后手动拔掉拓扑里某条trunk链路再恢复看丢包和恢复耗时。这个动作能让实验从“配通一次”走向“能扛故障”。最后留一个建议每次实验修改完配置记得save并在ENSP里导出cfg文件做备份。我习惯在每个阶段结束时存一份配置出问题马上回滚而不是从一张空拓扑重新来过。这个习惯替我挡下过无数次“手滑把VLANIF删了”的翻车现场希望帮到你。本文还有配套的精品资源点击获取