简介这是一份面向初级网络工程师与网络专业学生的eNSP校园网实战案例针对千人规模中小型初高中校园网场景提供从拓扑搭建到安全配置的完整参考方案可用于毕业设计、课程设计或技能练习。资源包共30个文件约2.36MB包含11个xml与11个efz设备镜像、5个zip配置压缩包、1个cfg配置文件、1个doc设计报告及1个topo拓扑文件覆盖设备配置、实验环境与文档说明。目前已有789人学习下载。案例采用核心、汇聚、接入三层架构融合VLAN、VRRP、MSTP、OSPF、ACL、NAT、DHCP、链路聚合、无线、防火墙、Telnet、HTTP、FTP、DNS及双出口等技术并配有详细配置报告。读者可借助拓扑文件与报告在模拟环境中复现并验证各项配置理解冗余备份、流量控制与安全防护的落地方式为网络设计与维护积累可迁移的实践经验。1. 千人校园网为什么总在晚自习崩eNSP 能提前把坑挖出来晚自习八点半教学楼三个机房同时上机宿舍区开始刷视频办公室还在传课件——这是千人规模初高中校园网最典型的压力时刻。很多学校的网络不是“不能用”而是“一到高峰就玄学”时通时断、认证转圈、监控掉线。问题往往不在设备本身而在设计阶段没把安全域、VLAN 划分、出口策略和冗余路径想清楚。基于 eNSP 的安全校园网络设计本质是用华为网络仿真平台把一所千人中小型初高中校园网的拓扑、地址规划、访问控制、认证与出口策略先在电脑里跑通再搬到真机。它解决的是“方案没验证就上马”的问题适合网络方向的学生做课程设计也适合刚接手校园网运维的工程师做方案预演。下面按我实际搭过的一套思路从拓扑到配置一步步讲透。2. 先把校园网拆成四个安全域eNSP 拓扑与地址规划2.1 为什么按安全域划分而不是按楼栋划分新手最容易犯的错是照着楼栋画拓扑教学楼一个网段、宿舍楼一个网段、办公楼一个网段。这样画图好看但安全策略没法写。因为安全策略的本质是“谁可以访问谁”而“教学楼”里既有学生机又有教师机权限完全不同混在一个网段里ACL 只能写成大网段放行等于没做安全。正确的做法是按安全域划分我一般分成四个教学区学生机房、多媒体教室数量大、权限低只能访问内网教学服务器和限速出口。办公区教师办公、行政能访问教务系统、文件服务器出口权限较高。宿舍区学生个人终端流量大、行为杂单独限速和隔离。服务器区教务、图书、监控、DNS 等只对特定区域开放端口。这样划分后每个域一个或多个 VLAN域间流量必须经过核心交换机或防火墙策略才有落点。千人规模下我通常给每个域预留足够的地址段用 192.168.X.0/24 这种私有地址按域分配第三位。2.2 eNSP 里搭出可复现的最小拓扑在 eNSP 里我建议先搭一个“能跑通策略”的最小拓扑别一上来就堆几十台设备。最小可用拓扑包含1 台出口路由器模拟运营商对接和 NAT1 台防火墙USG6000V做域间策略和 NAT1 台核心交换机三层做 VLAN 间路由2 台接入交换机分别接教学区和宿舍区1 台服务器模拟教务/监控若干 PC每个域至少 2 台方便验证隔离设备选型上核心用 S5700接入用 S3700防火墙用 USG6000V路由器用 AR2220。这些在 eNSP 里都有镜像也容易找。搭好后先别急着配策略先把物理连接和 VLAN 打通。2.3 地址与 VLAN 规划表下面是我常用的一套规划千人规模够用也方便后续扩展。注意 VLAN 10 给教学、20 给办公、30 给宿舍、40 给服务器、99 给管理。区域VLAN网段网关说明教学区10192.168.10.0/24192.168.10.1学生机房、多媒体办公区20192.168.20.0/24192.168.20.1教师、行政宿舍区30192.168.30.0/24192.168.30.1学生个人终端服务器区40192.168.40.0/24192.168.40.1教务、监控、DNS管理99192.168.99.0/24192.168.99.1设备管理地址核心交换机上配 VLANIF 做网关防火墙和核心之间用三层互联出口路由器只负责 NAT 和默认路由。这样地址规划清晰后面写 ACL 和策略时直接引用网段即可。2.4 核心交换机 VLAN 与网关配置先在核心交换机上把 VLAN 和网关配好这是后面所有策略的基础。命令如下# 进入系统视图创建四个业务VLAN和管理VLAN system-view sysname Core-SW vlan batch 10 20 30 40 99 # 配置各VLAN网关核心做三层转发 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 interface Vlanif30 ip address 192.168.30.1 255.255.255.0 interface Vlanif40 ip address 192.168.40.1 255.255.255.0 interface Vlanif99 ip address 192.168.99.1 255.255.255.0 # 上联防火墙接口用三层口单独规划互联地址 interface GigabitEthernet0/0/1 undo portswitch ip address 10.0.0.2 255.255.255.252逻辑说明vlan batch一次性创建多个 VLAN省事interface Vlanif是三层交换机做网关的标准写法每个 VLAN 一个网关地址上联防火墙的接口用undo portswitch切成三层口互联地址用 /30 节省地址。参数上网关地址一般取网段第一个可用地址互联地址我习惯用 10.0.0.0/30 这种独立小段避免和业务网段冲突。配完先display ip interface brief看接口状态确认 VLANIF 都 up。如果某个 VLANIF 起不来多半是没把物理接口划进 VLAN或者接口被 shutdown 了。3. 域间隔离与访问控制ACL 和防火墙策略怎么落3.1 先想清楚“谁不能访问谁”安全校园网的核心不是“全通”而是“该通的通不该通的断”。我一般先列一张访问矩阵再翻译成 ACL 或防火墙策略。典型规则教学区可以访问服务器区的教务和图书服务但不能访问办公区。宿舍区只能访问服务器区的 DNS 和监控查询不能访问教务数据库。办公区可以访问所有服务器但宿舍区不能访问办公区。所有区域都能访问出口上网但宿舍区限速。这张矩阵就是策略的依据。没有它ACL 写出来一定是拍脑袋的。3.2 用高级 ACL 做域间隔离在核心交换机上用高级 ACL 匹配源和目的网段然后应用到 VLANIF 的入方向。下面是一个示例实现教学区不能访问办公区、宿舍区不能访问办公区# 定义高级ACL匹配源和目的网段 acl number 3000 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 100 permit ip # 应用到教学区和宿舍区VLANIF的入方向 interface Vlanif10 traffic-filter inbound acl 3000 interface Vlanif30 traffic-filter inbound acl 3000逻辑说明ACL 3000 是高级 ACL能同时匹配源和目的地址。rule 5和rule 10分别拒绝教学区、宿舍区到办公区的流量rule 100 permit ip放行其余流量。注意 ACL 是从小序号往下匹配命中即停所以拒绝规则要写在放行前面。应用到inbound方向意思是流量进入这个 VLANIF 时就检查效率更高。参数上0.0.0.255是反掩码对应 /24 网段。如果网段更大反掩码要相应调整。这里只做了拒绝没做更细的端口控制实际项目中可以再加destination-port eq 445这类限制把共享端口也管起来。3.3 防火墙做 NAT 和域间策略出口防火墙承担两个角色内网出外的 NAT以及内外之间的安全策略。USG6000V 上先配安全区域把内网接口划到 trust外网接口划到 untrust然后写策略。# 配置安全区域 firewall zone trust add interface GigabitEthernet1/0/0 firewall zone untrust add interface GigabitEthernet1/0/1 # 配置NAT让内网可以访问外网 nat-policy rule name nat-out source-zone trust destination-zone untrust action source-nat easy-ip # 配置安全策略只放行需要的流量 security-policy rule name allow-internet source-zone trust destination-zone untrust action permit逻辑说明firewall zone把接口划进安全区域这是防火墙策略的基础。nat-policy里的source-nat easy-ip表示用出接口地址做 NAT适合只有一个公网地址的场景。security-policy放行 trust 到 untrust 的流量默认其他方向是拒绝的这比路由器 ACL 更直观。参数上easy-ip是华为防火墙常用的 NAT 方式不用配地址池。如果出口有多个公网地址可以改成nat address-group。安全策略里还可以加destination-address限制只能访问特定外网服务但校园网一般放行上网所以这里只做了区域放行。3.4 验证隔离效果配完策略一定要在 PC 上验证。教学区 PC ping 办公区 PC 应该不通ping 服务器区应该通ping 外网应该通。宿舍区 ping 办公区不通ping DNS 通。如果结果不对先看 ACL 有没有应用在正确的接口和方向再看防火墙策略顺序。我一般用display acl 3000看匹配计数用display firewall session table看会话。计数不涨说明流量没走到这条 ACL可能是接口方向错了。4. 千人规模下的认证、限速与冗余让网络扛得住高峰4.1 接入认证为什么必须做千人校园网如果只靠 IP 管理出了问题根本找不到人。学生随便改 IP、私接路由器都会让网络乱套。常见做法是接入交换机上做 802.1X 认证或 Portal 认证配合 RADIUS 服务器。eNSP 里可以用一台服务器模拟 RADIUS虽然不能完全还原真实认证流程但能把配置框架跑通。我一般建议教学区和宿舍区都开认证办公区可以用 MAC 认证或固定 IP 绑定。认证的好处是谁上线、谁掉线、谁流量异常都能定位到账号。4.2 宿舍区限速配置宿舍区是流量大户不限速的话几个下载就能把出口占满。在核心交换机上对宿舍区 VLANIF 做流量监管# 定义流分类匹配宿舍区网段 traffic classifier dorm operator or if-match acl 3010 # 定义流行为限制速率 traffic behavior dorm-limit car cir 200000 cbs 4000000 # 定义流策略并应用到宿舍区VLANIF入方向 traffic policy dorm-policy classifier dorm behavior dorm-limit interface Vlanif30 traffic-policy dorm-policy inbound逻辑说明traffic classifier匹配宿舍区流量traffic behavior里car cir 200000表示承诺信息速率 200Mbpscbs是突发容量。traffic policy把分类和行为绑起来应用到 VLANIF30 入方向。这样每个宿舍区整体限速避免个别用户占满带宽。参数上cir单位是 kbps200000 就是 200Mbps。千人学校出口一般 500M 到 1G宿舍区给 200M 到 300M 比较合理。cbs一般设为 cir 的 20 倍左右太小会导致突发流量被丢太大起不到限速作用。4.3 冗余设计别让一台设备挂了全校断网千人校园网核心和出口是单点。如果核心交换机挂了全校断网。常见做法是核心双机堆叠或 VRRP出口双路由器做 VRRP。eNSP 里可以用两台核心做 VRRP验证切换。# 核心1上配置VRRP作为Master interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 20 # 核心2上配置VRRP作为Backup interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 100逻辑说明两台核心对同一 VLAN 配相同virtual-ip优先级高的做 Master。preempt-mode timer delay 20表示抢占延迟 20 秒避免来回切换。这样一台核心挂了另一台接管网关终端无感知。参数上优先级默认 100Master 设 120。延迟抢占是为了等上行链路收敛避免短暂抖动就切换。实际项目中还要配 VRRP 跟踪上行接口接口 down 时自动降优先级。4.4 监控和日志不能省网络配完不是结束得能看到状态。核心和出口上开 SNMP把设备状态、接口流量、CPU 利用率采到监控平台。防火墙开会话日志记录谁访问了什么。eNSP 里虽然不能完整模拟监控平台但可以把 SNMP 和日志配置跑通知道命令怎么写。我一般会在核心上配snmp-agent community read和snmp-agent sys-info version v2c然后用一台服务器模拟采集。日志方面配info-center loghost指向日志服务器。这些配置在真机上直接能用。5. 避坑eNSP 做校园网设计最容易翻车的五个点5.1 现象ACL 配了但不生效流量还是通原因ACL 应用在了错误的接口或方向。比如把入方向 ACL 应用到了出方向或者应用到了错误的 VLANIF。还有一种情况是 ACL 规则顺序不对放行规则写在拒绝前面导致拒绝规则永远不匹配。解决先用display acl 3000看规则和匹配计数再用display traffic-filter applied-record看 ACL 应用在哪些接口。确认接口和方向正确后检查规则顺序拒绝规则必须在放行前面。如果还是不对用display ip routing-table看流量是不是根本没走这台设备。5.2 现象VRRP 切换后终端要等很久才恢复原因VRRP 抢占延迟没配或者上行接口没跟踪。核心切换后如果上行链路没跟着切换流量还是断的。另外终端 ARP 缓存没老化也会导致短暂不通。解决配preempt-mode timer delay并配vrrp vrid track跟踪上行接口。终端侧可以缩短 ARP 老化时间但更关键的是核心切换要快。我一般把延迟设 20 秒跟踪接口 down 时优先级降 30。5.3 现象NAT 配了但内网访问不了外网原因防火墙安全策略没放行或者 NAT 策略没匹配到。USG 上默认策略是拒绝只配 NAT 不配安全策略流量会被丢掉。还有一种情况是源区域没划对内网接口没加到 trust 区域。解决先display firewall session table看有没有会话没有会话说明策略没放行。检查security-policy里有没有 trust 到 untrust 的 permit 规则再检查接口有没有加到正确区域。NAT 策略里source-zone和destination-zone要和安全区域一致。5.4 现象宿舍区限速后网页打开变慢但下载没降原因限速应用在了错误的方向或者cir设得太大。如果应用在 outbound限的是核心发往宿舍区的流量而下载是宿舍区发往核心的请求方向反了。另外cbs太大也会让突发流量绕过限速。解决限速一般应用在宿舍区 VLANIF 的 inbound 方向限的是宿舍区发往外部的流量。cir按实际出口带宽的 60% 到 70% 设cbs不要超过cir的 20 倍。配完用display traffic policy statistics看匹配和丢弃计数。5.5 现象eNSP 里设备起不来或接口一直 down原因镜像没选对或者设备型号和镜像不匹配。USG6000V 需要单独的镜像AR 和 S5700 也有对应版本。另外eNSP 对电脑资源占用高内存不够时设备会起不来。解决确认镜像和型号匹配USG6000V 用对应版本。关闭其他占资源的程序给 eNSP 留足够内存。接口 down 先看物理连接有没有连对再看接口有没有shutdown。如果还是不行重启 eNSP 或重新注册设备。6. 把方案搬到真机前我会先做这三件事第一件事把 eNSP 里的配置导出成文本逐条对照真机命令差异。eNSP 和真机大部分命令一致但接口编号、镜像版本、部分默认行为有差别。比如真机上undo portswitch可能要先interface再执行防火墙的默认策略也可能不同。我一般会把配置按设备分类标出需要改的接口号和地址。第二件事做一次“拔线测试”。在 eNSP 里模拟核心到防火墙的链路断开、出口路由器断电看 VRRP 和路由能不能收敛。这个测试能提前暴露冗余设计的漏洞。真机上拔线代价大仿真里随便拔。第三件事把认证和限速的验证脚本写好。真机上不可能一个个 PC 去试我一般用脚本批量 ping 和测速确认策略生效。下面是一个简单的验证思路# 批量验证各区域连通性真机上可改成实际IP import subprocess targets { 教学区到服务器: 192.168.40.10, 教学区到办公区: 192.168.20.10, 宿舍区到DNS: 192.168.40.20, 宿舍区到办公区: 192.168.20.10, } for name, ip in targets.items(): # -c 2 表示发两个包-W 1 表示超时1秒 result subprocess.run( [ping, -c, 2, -W, 1, ip], stdoutsubprocess.DEVNULL, stderrsubprocess.DEVNULL ) status 通 if result.returncode 0 else 不通 print(f{name}: {status})逻辑说明这段脚本用 ping 的返回码判断连通性-c 2发两个包-W 1超时 1 秒。真机上把 IP 换成实际地址就能批量验证隔离策略。参数上超时时间别设太长否则批量测试很慢。如果某个方向预期不通但显示通就回去查 ACL 和防火墙策略。最后说个我自己的习惯每次配完策略先save再display current-configuration对比一次确认没有多余配置。校园网最怕的就是“临时加了一条放行后来忘了删”。我见过太多因为一条permit ip any any导致隔离形同虚设的案例。把配置管好比多配几条策略更重要。希望帮到你。本文还有配套的精品资源点击获取