1. eNSP Pro与S5700园区网实战概述第一次接触华为eNSP Pro模拟器时我就被它的真实感震撼到了。这个完全免费的仿真平台能完美复现价值几十万的真实设备操作体验特别是对S5700这类企业级交换机的支持简直像在操作真机。这次我们就用最新版eNSP Pro从零搭建一个200人规模的小型园区网重点解决企业网最头疼的两个安全问题私接路由器和IP地址篡改。你可能遇到过这种情况行政部的小王把家里的路由器插到公司网络结果整个部门上不了网或者销售部老张私自改成经理的IP地址蹭高权限资源。我们的配置方案会通过DHCP SnoopingIPSG组合拳彻底杜绝这类问题同时用Eth-Trunk实现核心链路冗余VLANIF实现部门间安全互通。整个方案在真实项目中验证过特别适合学校实验室、中小企业这类预算有限但要求专业级网络的场景。2. 实验环境准备与拓扑搭建2.1 eNSP Pro安装避坑指南去年帮客户部署时发现安装eNSP Pro最容易出问题的是虚拟机兼容性。推荐使用VirtualBox 6.1.40版本太新的7.0版反而有兼容问题安装时记得勾选创建桌面快捷方式。有个隐藏技巧安装目录不要用默认的C盘路径改成D:\eNSPPro这种纯英文路径能减少90%的启动报错。我常用的设备型号组合是核心层S5700-28C-EI带24个千兆电口4个SFP光口接入层S5735S-L24T4X-A24口全千兆支持PoE出口路由器AR2204带4GE Combo口2.2 园区网拓扑设计要点参考华为官方的中小型园区网设计规范我优化后的拓扑结构分三层接入层每40个终端配1台接入交换机所有接入端口配置为边缘端口核心层双S5700做堆叠通过Eth-Trunk与接入层互联出口层AR路由器做NAT和基础防火墙特别要注意的是管理VLAN的规划。建议单独划VLAN 4090作为管理VLAN与业务VLAN彻底隔离。曾经有个项目因为管理VLAN和业务VLAN混用导致运维人员误操作影响了生产业务。3. 核心交换机基础配置3.1 设备初始化与Telnet配置先给核心交换机配置管理IP这是后续所有操作的基础。关键命令是management-vlan这个隐藏命令很多文档都没提HUAWEI system-view [HUAWEI] sysname CoreSwitch [CoreSwitch] vlan 4090 [CoreSwitch-vlan4090] management-vlan // 关键步骤 [CoreSwitch-vlan4090] quit [CoreSwitch] interface Vlanif 4090 [CoreSwitch-Vlanif4090] ip address 10.10.1.1 24配置Telnet时强烈建议启用AAA认证我吃过密码泄露的亏[CoreSwitch] telnet server enable [CoreSwitch] aaa [CoreSwitch-aaa] local-user admin password cipher Huawei123 [CoreSwitch-aaa] local-user admin service-type telnet [CoreSwitch-aaa] quit [CoreSwitch] user-interface vty 0 4 [CoreSwitch-ui-vty0-4] authentication-mode aaa [CoreSwitch-ui-vty0-4] idle-timeout 15 // 超时自动断开3.2 VLAN与接口配置实战市场部(VLAN10)、研发部(VLAN20)的配置示例[CoreSwitch] vlan batch 10 20 4090 [CoreSwitch] interface Eth-Trunk1 // 连接接入交换机 [CoreSwitch-Eth-Trunk1] port link-type trunk [CoreSwitch-Eth-Trunk1] port trunk allow-pass vlan 10 20 [CoreSwitch-Eth-Trunk1] mode lacp-static // 比动态LACP更稳定 [CoreSwitch-Eth-Trunk1] quit有个容易忽略的细节华为交换机默认所有接口都是shutdown状态记得要undo shutdown[CoreSwitch] interface GigabitEthernet 0/0/1 [CoreSwitch-GigabitEthernet0/0/1] eth-trunk 1 [CoreSwitch-GigabitEthernet0/0/1] undo shutdown4. 安全防护配置详解4.1 DHCP Snooping防私接方案私接路由器是企业网的头号公敌。通过DHCP Snooping我们可以建立信任端口机制[AccessSwitch] dhcp enable [AccessSwitch] dhcp snooping enable [AccessSwitch] interface Eth-Trunk1 // 上联核心交换机的端口 [AccessSwitch-Eth-Trunk1] dhcp snooping trusted // 声明信任端口 [AccessSwitch-Eth-Trunk1] quit验证配置是否生效的小技巧在非信任端口抓包应该看不到DHCP Offer报文[AccessSwitch] display dhcp snooping interface Ethernet 0/0/54.2 IPSG防IP欺骗配置结合DHCP Snooping生成的绑定表IPSG能防止用户随意改IP[AccessSwitch] vlan 10 [AccessSwitch-vlan10] ip source check user-bind enable [AccessSwitch-vlan10] quit遇到过一种特殊情况财务部的打印机需要静态IP。这时要手动添加静态绑定[AccessSwitch] user-bind static ip-address 10.10.10.100 mac-address 00e0-fc12-34565. 高可靠性设计5.1 Eth-Trunk链路聚合核心交换机之间的跨设备Eth-Trunk配置[CoreSwitch1] interface Eth-Trunk10 [CoreSwitch1-Eth-Trunk10] mode lacp-static [CoreSwitch1-Eth-Trunk10] trunkport GigabitEthernet 0/0/23 0/0/24 [CoreSwitch1-Eth-Trunk10] port link-type trunk [CoreSwitch1-Eth-Trunk10] port trunk allow-pass vlan all测试链路切换的小技巧reset lacp statistics后拔掉一根线看丢包是否在50ms以内。5.2 VLANIF三层互通市场部访问研发部的关键配置[CoreSwitch] interface Vlanif10 [CoreSwitch-Vlanif10] ip address 10.10.10.1 24 [CoreSwitch-Vlanif10] quit [CoreSwitch] interface Vlanif20 [CoreSwitch-Vlanif20] ip address 10.10.20.1 24 [CoreSwitch-Vlanif20] quit记得开启ARP代理否则跨VLAN访问会出问题[CoreSwitch] interface Vlanif10 [CoreSwitch-Vlanif10] arp-proxy enable6. 自动化管理技巧6.1 批量端口配置用port-group可以快速配置多个接入端口[AccessSwitch] port-group name user-port [AccessSwitch-port-group-user-port] group-member Ethernet 0/0/1 to 0/0/20 [AccessSwitch-port-group-user-port] port link-type access [AccessSwitch-port-group-user-port] port default vlan 10 [AccessSwitch-port-group-user-port] stp edged-port enable6.2 配置备份脚本这个Python脚本可以自动备份配置到TFTP服务器import paramiko import time def backup_switch(ip, username, password): ssh paramiko.SSHClient() ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy()) ssh.connect(ip, usernameusername, passwordpassword) channel ssh.invoke_shell() channel.send(tftp 192.168.1.100 put vrpcfg.zip\n) time.sleep(3) ssh.close()7. 常见故障排查7.1 DHCP获取失败排查步骤检查物理连接状态display interface brief确认DHCP服务已开启display dhcp server statistics查看地址池余量display ip pool7.2 VLAN间不通的解决方法我总结的四步排查法检查VLAN是否创建display vlan确认接口VLAN配置display port vlan验证VLANIF状态display ip interface brief检查路由表display ip routing-table最近遇到个典型案例VLAN间不通是因为有人在核心交换机上误配了ACL。用display acl all才发现问题。
1. eNSP Pro与S5700园区网实战概述第一次接触华为eNSP Pro模拟器时我就被它的真实感震撼到了。这个完全免费的仿真平台能完美复现价值几十万的真实设备操作体验特别是对S5700这类企业级交换机的支持简直像在操作真机。这次我们就用最新版eNSP Pro从零搭建一个200人规模的小型园区网重点解决企业网最头疼的两个安全问题私接路由器和IP地址篡改。你可能遇到过这种情况行政部的小王把家里的路由器插到公司网络结果整个部门上不了网或者销售部老张私自改成经理的IP地址蹭高权限资源。我们的配置方案会通过DHCP SnoopingIPSG组合拳彻底杜绝这类问题同时用Eth-Trunk实现核心链路冗余VLANIF实现部门间安全互通。整个方案在真实项目中验证过特别适合学校实验室、中小企业这类预算有限但要求专业级网络的场景。2. 实验环境准备与拓扑搭建2.1 eNSP Pro安装避坑指南去年帮客户部署时发现安装eNSP Pro最容易出问题的是虚拟机兼容性。推荐使用VirtualBox 6.1.40版本太新的7.0版反而有兼容问题安装时记得勾选创建桌面快捷方式。有个隐藏技巧安装目录不要用默认的C盘路径改成D:\eNSPPro这种纯英文路径能减少90%的启动报错。我常用的设备型号组合是核心层S5700-28C-EI带24个千兆电口4个SFP光口接入层S5735S-L24T4X-A24口全千兆支持PoE出口路由器AR2204带4GE Combo口2.2 园区网拓扑设计要点参考华为官方的中小型园区网设计规范我优化后的拓扑结构分三层接入层每40个终端配1台接入交换机所有接入端口配置为边缘端口核心层双S5700做堆叠通过Eth-Trunk与接入层互联出口层AR路由器做NAT和基础防火墙特别要注意的是管理VLAN的规划。建议单独划VLAN 4090作为管理VLAN与业务VLAN彻底隔离。曾经有个项目因为管理VLAN和业务VLAN混用导致运维人员误操作影响了生产业务。3. 核心交换机基础配置3.1 设备初始化与Telnet配置先给核心交换机配置管理IP这是后续所有操作的基础。关键命令是management-vlan这个隐藏命令很多文档都没提HUAWEI system-view [HUAWEI] sysname CoreSwitch [CoreSwitch] vlan 4090 [CoreSwitch-vlan4090] management-vlan // 关键步骤 [CoreSwitch-vlan4090] quit [CoreSwitch] interface Vlanif 4090 [CoreSwitch-Vlanif4090] ip address 10.10.1.1 24配置Telnet时强烈建议启用AAA认证我吃过密码泄露的亏[CoreSwitch] telnet server enable [CoreSwitch] aaa [CoreSwitch-aaa] local-user admin password cipher Huawei123 [CoreSwitch-aaa] local-user admin service-type telnet [CoreSwitch-aaa] quit [CoreSwitch] user-interface vty 0 4 [CoreSwitch-ui-vty0-4] authentication-mode aaa [CoreSwitch-ui-vty0-4] idle-timeout 15 // 超时自动断开3.2 VLAN与接口配置实战市场部(VLAN10)、研发部(VLAN20)的配置示例[CoreSwitch] vlan batch 10 20 4090 [CoreSwitch] interface Eth-Trunk1 // 连接接入交换机 [CoreSwitch-Eth-Trunk1] port link-type trunk [CoreSwitch-Eth-Trunk1] port trunk allow-pass vlan 10 20 [CoreSwitch-Eth-Trunk1] mode lacp-static // 比动态LACP更稳定 [CoreSwitch-Eth-Trunk1] quit有个容易忽略的细节华为交换机默认所有接口都是shutdown状态记得要undo shutdown[CoreSwitch] interface GigabitEthernet 0/0/1 [CoreSwitch-GigabitEthernet0/0/1] eth-trunk 1 [CoreSwitch-GigabitEthernet0/0/1] undo shutdown4. 安全防护配置详解4.1 DHCP Snooping防私接方案私接路由器是企业网的头号公敌。通过DHCP Snooping我们可以建立信任端口机制[AccessSwitch] dhcp enable [AccessSwitch] dhcp snooping enable [AccessSwitch] interface Eth-Trunk1 // 上联核心交换机的端口 [AccessSwitch-Eth-Trunk1] dhcp snooping trusted // 声明信任端口 [AccessSwitch-Eth-Trunk1] quit验证配置是否生效的小技巧在非信任端口抓包应该看不到DHCP Offer报文[AccessSwitch] display dhcp snooping interface Ethernet 0/0/54.2 IPSG防IP欺骗配置结合DHCP Snooping生成的绑定表IPSG能防止用户随意改IP[AccessSwitch] vlan 10 [AccessSwitch-vlan10] ip source check user-bind enable [AccessSwitch-vlan10] quit遇到过一种特殊情况财务部的打印机需要静态IP。这时要手动添加静态绑定[AccessSwitch] user-bind static ip-address 10.10.10.100 mac-address 00e0-fc12-34565. 高可靠性设计5.1 Eth-Trunk链路聚合核心交换机之间的跨设备Eth-Trunk配置[CoreSwitch1] interface Eth-Trunk10 [CoreSwitch1-Eth-Trunk10] mode lacp-static [CoreSwitch1-Eth-Trunk10] trunkport GigabitEthernet 0/0/23 0/0/24 [CoreSwitch1-Eth-Trunk10] port link-type trunk [CoreSwitch1-Eth-Trunk10] port trunk allow-pass vlan all测试链路切换的小技巧reset lacp statistics后拔掉一根线看丢包是否在50ms以内。5.2 VLANIF三层互通市场部访问研发部的关键配置[CoreSwitch] interface Vlanif10 [CoreSwitch-Vlanif10] ip address 10.10.10.1 24 [CoreSwitch-Vlanif10] quit [CoreSwitch] interface Vlanif20 [CoreSwitch-Vlanif20] ip address 10.10.20.1 24 [CoreSwitch-Vlanif20] quit记得开启ARP代理否则跨VLAN访问会出问题[CoreSwitch] interface Vlanif10 [CoreSwitch-Vlanif10] arp-proxy enable6. 自动化管理技巧6.1 批量端口配置用port-group可以快速配置多个接入端口[AccessSwitch] port-group name user-port [AccessSwitch-port-group-user-port] group-member Ethernet 0/0/1 to 0/0/20 [AccessSwitch-port-group-user-port] port link-type access [AccessSwitch-port-group-user-port] port default vlan 10 [AccessSwitch-port-group-user-port] stp edged-port enable6.2 配置备份脚本这个Python脚本可以自动备份配置到TFTP服务器import paramiko import time def backup_switch(ip, username, password): ssh paramiko.SSHClient() ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy()) ssh.connect(ip, usernameusername, passwordpassword) channel ssh.invoke_shell() channel.send(tftp 192.168.1.100 put vrpcfg.zip\n) time.sleep(3) ssh.close()7. 常见故障排查7.1 DHCP获取失败排查步骤检查物理连接状态display interface brief确认DHCP服务已开启display dhcp server statistics查看地址池余量display ip pool7.2 VLAN间不通的解决方法我总结的四步排查法检查VLAN是否创建display vlan确认接口VLAN配置display port vlan验证VLANIF状态display ip interface brief检查路由表display ip routing-table最近遇到个典型案例VLAN间不通是因为有人在核心交换机上误配了ACL。用display acl all才发现问题。
