简介这是一份基于华为ENSP模拟器完成校园局域网组建的完整课程设计报告面向网络工程、计算机及相关专业学生适用于课程设计、毕业设计、实训作业或网络技能竞赛备赛等场景。文档从项目概述和需求分析入手梳理终端接入数量与位置分布、组网技术需求、带宽与子网划分要求再围绕设备类型及数量、网络拓扑结构、VLAN规划、IP地址规划与子网划分等展开同时包含互通策略设计和网络安全设计结构完整、层次清楚能够帮助读者建立从需求到方案再到安全防护的整体组网思路。资源包共包含1个docx文档大小934KB内容已按目录模块整理翻开即可对照学习也可直接作为课程设计报告或答辩说明书的写作蓝本。这份文档目前已吸引7129人学习在校学生、备考人员及需要独立完成校园网方案设计的读者都可以从中获取设备选型、VLAN与IP规划、路由互通和安全加固等方面的实用参考。1. 一份能直接照抄的 ENSP 校园网课程设计拓扑、命令、测试全都有这份文档不是什么“项目源码包”而是一份把校园网从需求分析到模拟验证走完的 ENSP 课程设计报告。它最值钱的地方不是那几张拓扑图而是把「VLAN 怎么划、IP 段怎么分、静态路由怎么指、测试怎么打」全部落成了具体命令——你拿到手照着敲一遍就能在 ENSP 里跑通一个覆盖生活区、教学区、行政区、公共区、图书馆的校园局域网。适合三类人一是要交课程设计但不知道从哪下手的网络工程学生二是刚接触华为设备想练配置的运维新人三是想找一份完整参考模板、再改成自己方案的从业者。我拆完这份文档后最大的感受是它的架构逻辑很清晰但命令里藏着好几个容易让人翻车的坑下文会一条条说清楚。2. 先看设计再谈配置VLAN 规划、子网划分与互通策略的来龙去脉2.1 三层架构与区域划分为什么核心、汇聚、接入一层都不能少这份方案采用的是经典的三层网络架构接入层、汇聚层、核心层。校园网按物理区域拆成五个部分——生活区、教学区、行政区、公共区信息中心、图书馆终端接入量分别是 3200、2000、1500、1000、200合计接近 8000 个终端。终端数量一大如果全部接在一个二层广播域里广播风暴会直接把交换机打傻这也是方案里反复强调 VLAN 划分的原因。三层架构的意义在于接入交换机负责把 PC 的流量收上来汇聚交换机负责把多个接入交换机的流量汇总并做 VLAN 中继核心交换机负责跨网段转发和路由。这份文档没有画接入层的细节而是直接让汇聚交换机对接终端区域再把汇聚层上联到核心交换机。在 ENSP 里做验证时这种简化是合理的因为模拟器的性能有限每台汇聚交换机后面再挂几台接入交换机拓扑会变得很臃肿而且对课程设计要验证的「VLAN 互通 静态路由」没有任何额外帮助。2.2 VLAN 与 IP 地址规划接入量、带宽、网关三者怎么平衡从文档后面的设备配置可以反推出完整的 VLAN 规划这是整份设计最核心的一张表VLAN ID所属区域网段网关地址掩码终端规模VLAN 5生活区10.10.0.0/1610.10.255.254163200VLAN 6教学区10.11.0.0/1610.11.255.254162000VLAN 7行政区10.12.0.0/1610.12.255.254161500VLAN 8公共区10.13.0.0/1610.13.255.254161000VLAN 9图书馆10.14.1.0/2410.14.1.25424200VLAN 10核心与 R1 互联192.168.5.0/25192.168.5.125设备链路段这个划分思路很典型终端量大的生活区、教学区直接给 16 位掩码一个网段下面可以容纳 6 万多个地址3200 个终端只占了很小一部分这就是文档需求分析里说的「留出足够的地址空间做远期规划」。终端量小的图书馆只给一个 24 位掩码的 C 段地址不浪费。公共区和行政区虽然终端量也不小但按规模递减的原则排在后面分配。而 VLAN 10 单独拿出来连接核心交换机和路由器 R1用的是 192.168.5.0/25这个网段不承载任何终端只做设备间互联。带宽计算这部分文档用的方法是「终端数 × 4 Mbps」生活区 3200×412800Mbps教学区 2000×48000Mbps行政区 6000Mbps公共区 4000Mbps图书馆 800Mbps。这是课程设计里常用的粗估方式实际工程当然要考虑峰值并发和业务类型但在课程设计层面这个算法足够支撑「主干用光纤、汇聚到核心用千兆链路」的结论。注意文档里说的「超 5 类双绞线」现在工程上多用六类线你在自己的报告里改成六类更合理这不影响整体拓扑。2.3 互通策略与安全设计静态路由、AAA、防火墙各管哪一段互通策略分两块。校园网网内让每个子网内的 PC 向其他子网发 ICMP 报文验证 VLAN 间路由是否生效这条路径在核心交换机上就完成了——VLANIF 接口就是各子网的网关核心交换机本身就是一台三层设备。校园网与外网通信用网内 PC 向外网网段66.66.66.0/24发 ICMP 报文这条路径要经过核心交换机 → R1 → R4 → 外网靠的是静态路由逐跳指过去。安全设计方面原文覆盖了三层手段一是 VLAN 划分控制广播域从二层层面隔离不同区域二是核心层设备开 AAA 认证给 telnet 远程登录加一道用户验证三是核心层与外网之间加防火墙防止外部攻击。很多课程设计的安全部分只是写在文档里配置里完全没落地这份方案的 AAA 是真实配置在核心交换机上的这点值得学。防火墙设备在 ENSP 里的体现是 USG6000V但原文的设备配置部分没有给出防火墙的配置命令只在网络设计里提了一句「核心层设备与外网之间加防火墙」——这是一个可以自己补全的扩展点第 6 章我会给思路。3. 把命令落到 ENSP 上从汇聚交换机到核心路由器的手把手配置3.1 汇聚层交换机配置access 口和 trunk 口的边界要分清文档以教学区汇聚交换机为例其他区域配置相同。先看汇聚交换机面向终端的口# 教学区汇聚交换机面向终端侧的口配置为 access int g0/0/2 port link-type access # 这个口直接接 PC属于单个 VLAN不需要携带 VLAN 标签面向核心交换机的上联口要改成 trunk并且放行对应的 VLAN# 上联核心交换机的口配置为 trunk 并放行 VLAN 6 int g0/0/1 port link-type trunk port trunk allow-pass vlan 6这里要说明一个容易迷糊的点汇聚交换机上联核心用的是 trunk下联接 PC 用的是 access。在 ENSP 里access 口发出的帧不带 VLAN TagPC 收到的是普通以太网帧trunk 口发出的帧会打上 VLAN Tag核心交换机收到后根据 Tag 判断这个帧属于哪个 VLAN。如果你把下联口也配成 trunkPC 识别不了带 Tag 的帧直接不通反过来如果上联口用 access核心交换机就不知道这个帧是哪个 VLAN 里来的跨区域通信直接断。命令里port link-type access和port link-type trunk是两种链路类型ENSP 里同一个物理口在两种类型之间切换时要先undo port link-type重置否则直接切可能报错。另外注意port trunk allow-pass vlan 6这条命令后面的vlan关键字有的文档会写成port trunk allow-pass 6少了vlan在模拟器里敲会解析失败。原文档里就有这种省略照着敲之前自己补全。3.2 核心交换机配置AAA、VLANIF 网关、默认路由一口气配完核心交换机是整张网的大脑配置分几个段落。第一段是 AAA 认证用于远程管理system-view # 进入 AAA 认证模式创建本地用户 aaa local-user yonghum password simple ****** local-user yonghum privilege level 3 local-user yonghum service-type telnet quit # 进入 VTY 虚拟终端配置远程登录走 AAA 认证 user-interface vty 0 4 authentication-mode aaa quit逻辑说明local-user yonghum创建了一个本地账号password simple后面接的是明文密码privilege level 3把这个账号提升到最高权限级别——级别 3 在华为设备上是管理级登录后可以直接进系统视图改配置。service-type telnet限制了这个账号只能用于 telnet 登录。最后在user-interface vty 0 4下把认证方式切到aaa意思是远程登录时必须通过刚才定义的本地用户验证。这套组合拳是华为设备远程管理的标准姿势没有 AAA 的话VTY 默认要配密码或者空密码安全性很差。第二段是 VLAN 创建和接口划分# 一次性创建 5~10 号 VLAN vlan batch 5 6 7 8 9 10 # 上联教学区汇聚trunk 放行 VLAN 6 int g0/0/1 port link-type trunk port trunk allow-pass vlan 6 # 上联行政区汇聚trunk 放行 VLAN 7 int g0/0/2 port link-type trunk port trunk allow-pass vlan 7 # 接图书馆接入交换机access 口划入 VLAN 9 int g0/0/3 port link-type access port default vlan 9 # 上联生活区汇聚trunk 放行 VLAN 5 int g0/0/4 port link-type trunk port trunk allow-pass vlan 5 # 上联公共区汇聚trunk 放行 VLAN 8 int g0/0/5 port link-type trunk port trunk allow-pass vlan 8 # 下联路由器 R1划入 VLAN 10 int g0/0/6 port link-type access port default vlan 10原文档里 g0/0/6 只写了port link-type access没有写port default vlan 10这是文档里的一处遗漏。如果不把这个 access 口划进 VLAN 10后面interface vlanif 10配置的网关地址在这个接口上就不生效——因为接口不在 VLAN 10 里VLANIF 10 等于没有物理承载。我自己做这个实验时第一次就翻车在这里VLANIF 10 的地址能配上但不通。所以照着文档敲的时候这一步一定要自己补上。第三段是 VLANIF 网关地址也就是终端 PC 的网关interface vlanif 5 ip address 10.10.255.254 16 interface vlanif 6 ip address 10.11.255.254 16 interface vlanif 7 ip address 10.12.255.254 16 interface vlanif 8 ip address 10.13.255.254 16 interface vlanif 9 ip address 10.14.1.254 24 interface vlanif 10 ip address 192.168.5.1 25这里有个细节ip address 10.10.255.254 16在华为设备上也可以写成ip address 10.10.255.254 255.255.0.0两种写法等价。掩码位数和网段规划要对应好VLAN 5 分配的是 10.10.0.0/16网关是 10.10.255.254这个地址落在网段内而且作为 .255.254 这样的高位地址不容易和终端 PC 的地址冲突——终端地址一般从 .1 开始往上分。最后一条是核心交换机的默认路由指向路由器 R1ip route-static 0.0.0.0 0.0.0.0 192.168.5.2这条命令的意思是核心交换机上所有不知道往哪转的流量统一丢给 192.168.5.2也就是 R1 的 g0/0/0 接口。内网各 VLAN 之间的流量走 VLANIF 三层转发不需要静态路由只有去外网的流量才需要这条默认路由。如果你的实验里内网有多个网段需要绕过核心直接通信那才需要写明细静态路由否则一条默认路由就够了。3.3 路由器 R1 与 R4 配置静态路由的往返两条都不能少R1 连接核心交换机和外网路由器 R4是内网和外网之间的桥。配置分三段。第一段接口地址interface g0/0/0 ip address 192.168.5.2 25 interface g0/0/1 ip address 192.168.3.1 30g0/0/0 和核心交换机的 g0/0/6 在同一个网段 192.168.5.0/25 里地址是 192.168.5.2正好对应核心交换机默认路由的下一跳。g0/0/1 连接 R4用的是 192.168.3.0/30 这个 30 位掩码的互联段——这种两个路由器直连的链路用 30 位掩码只留两个可用地址是标准做法地址不浪费也避免了广播地址的歧义。第二段去外网的静态路由ip route-static 66.66.66.0 24 192.168.3.2这条的意思是去 66.66.66.0/24 外网网段的流量下一跳是 192.168.3.2R4 的接口出接口是 g0/0/1。注意66.66.66.0 24这种写法华为设备里ip route-static的目的地址和掩码之间掩码既可以写点数形式255.255.255.0也可以直接写前缀长度24两种都合法。第三段回内网的静态路由ip route-static 10.10.0.0 16 192.168.5.1 ip route-static 10.11.0.0 16 192.168.5.1 ip route-static 10.12.0.0 16 192.168.5.1 ip route-static 10.13.0.0 16 192.168.5.1 ip route-static 10.14.1.0 24 192.168.5.1这五条是回程路由很多人只配了去外网的默认路由忘了回程结果内网能出去回不来。R1 收到从外网回来的流量后要根据目的地址查路由表把去 10.10.0.0/16 的包丢回 192.168.5.1核心交换机。如果没有这五条R1 会把数据包丢掉或者从错误接口转发。注意 VLAN 9 图书馆是 24 位掩码单独一条另外五条 10.x.0.0 的网段都是 16 位掩码所以它们在路由表里是精确匹配不会因为掩码不同而互相覆盖。R4 的配置更简单只有接口地址加一条默认路由interface g0/0/0 ip address 192.168.3.2 30 interface e0/0/0 ip address 66.66.66.254 24 quit ip route-static 0.0.0.0 0.0.0.0 192.168.3.1R4 相当于外网的边缘路由器g0/0/0 连接 R1e0/0/0 对外提供 66.66.66.0/24 网段默认路由让 R4 把所有不认识的流量都丢回 R1。在 ENSP 里做验证时R4 下面要挂一台 PC 模拟外网主机这台 PC 的 IP 可以设为 66.66.66.1/24网关指向 R4 的接口地址 66.66.66.254。这样内外网互 ping 时数据包路径是完全对称的你排查问题时思路也清晰。3.4 配置完成后先做自检display 命令三连配置敲完了别急着 ping先逐台设备看一眼状态。三招最实用# 查看 VLAN 是否创建成功接口划分是否正确 display vlan summary display vlan # 查看 VLANIF 接口是否 UP地址是否配好 display ip interface brief # 查看路由表确认静态路由都进了表 display ip routing-tabledisplay vlan summary会告诉你 Vlanif 一共有几个、编号是什么display ip interface brief如果显示的接口状态是 down多半是物理接口没有接对网线或者对端设备没起来display ip routing-table里能看到所有静态路由如果发现哪条 10.x 网段的路由丢失大概率是命令里掩码写错或者没退出到系统视图。这三条命令在任何一台设备上都适用建议每一步配置完就跑一遍把输出截图保留下来写进课程设计报告里比你最后临时补测试图省事得多。4. 互通性测试不是点一下 ping 就行ICMP 测试的完整验证方法4.1 网内互通测试跨子网 ping 要关注网关和回程路由文档里的测试方法是用 PC 发 ICMP 报文覆盖了教学区、生活区、行政区和外网测试矩阵如下测试方向源目的预期教学区到其他子网教学区 PC行政区/生活区/图书馆 PC收到 Echo Reply生活区到其他子网生活区 PC行政区/教学区 PC收到 Echo Reply外网到内网外网 PC教学区/生活区 PC收到 Echo Reply内网到外网行政区 PC外网 PC收到 Echo Reply做网内互通测试时最容易被忽略的是 PC 的网关配置。在 ENSP 里PC 的 IP 地址、掩码、网关是要手动填的不是配好交换机就自动下发这里没配 DHCP 协议。比如教学区一台 PCIP 要填 10.11.0.x 网段内的地址掩码 255.255.0.0网关必须填 10.11.255.254。如果你把网关填成 10.10.255.254数据包会直接被 PC 认为目的地址在同网段而发出 ARP 广播永远到不了核心交换机。跨子网 ping 的完整数据路径是源 PC → 接入交换机 → 汇聚交换机trunk 携带 VLAN Tag→ 核心交换机VLANIF 网关接收→ 三层转发到目的 VLAN 的 VLANIF → 目的汇聚/接入 → 目的 PC。这条路径上任一环节断了ping 都不通。所以测试失败时按照「先 ping 网关 → 再 ping 目的网段网关 → 最后 ping 目的 PC」的顺序逐层排查比盲目清空配置重敲有效得多。4.2 外网互通测试从内网到 66.66.66.0/24 的完整路径验证内网 PC ping 外网 PC 的路径比网内测试多两跳核心交换机默认路由→ R1静态路由查 66.66.66.0/24→ R4本地直连网段→ 外网 PC。反过来外网 ping 内网时路径会经过 R4 → R1 → 核心交换机R1 查五条回程静态路由决定往哪个内网段送。测试用例建议至少做四组对应文档里「行政区向外网发 ICMP」和「外网向教学区、生活区发 ICMP」这两个大方向。第一组行政区 PC ping 66.66.66.1外网主机验证内网到外网的主路径第二组外网主机 ping 教学区 PC验证外网到内网第三组外网主机 ping 生活区 PC验证回程静态路由的另一条第四组外网主机 ping 图书馆 PC——这个挺重要因为图书馆是唯一一个 24 位掩码的网段如果 R1 上那条回程路由写错掩码其他四个 16 位网段正常只有图书馆不通。测试时注意看 ENSP 里 PC 的 ping 窗口输出不要只看「通不通」要看前几个包是不是丢了。模拟器里第一次 ping 往往有 ARP 解析延时前 1-2 个包超时是正常的后面几个包都通说明路径没问题。如果每个包都通但延迟很高那就要检查是不是有环路导致广播风暴——这个在课程设计拓扑里很少见但有备无患。4.3 测试失败的定位思路先本机再网关再路由测试失败时我一般会按下面这个顺序排查这也是所有网络连通性排错的通用思路第一步源 PC 先 ping 自己的网关。比如教学区 PC ping 10.11.255.254。这一步不通问题在二层链路检查 PC 的网卡是否连着正确的交换机接口、交换机的接口是否 UP、access 口是否划进了正确的 VLAN。注意 ENSP 里 PC 和交换机的连线是图形化拖拽的线没连对也会导致接口 down。第二步网关通了再 ping 目的 PC 的网关。比如教学区 PC ping 10.12.255.254行政区网关。这一步要看核心交换机的 VLANIF 路由能否把包从 VLAN 6 转到 VLAN 7。如果超时去核心交换机上display current-configuration | include vlanif检查 VLANIF 地址有没有配错或者display ip routing-table确认 VLAN 7 的直连路由在不在表里。第三步目的网关通了再 ping 目的 PC。如果这一步失败问题就在目的侧的二层链路目的交换机的接口划对没有、trunk 有没有放行 VLAN、PC 自己的 IP 掩码网关填对没有。很多时候前面几步都正常最后的目的是因为 PC 网关漏填才不通这种错误最气人也最常见。这套思路的核心逻辑是一次 ping 的通断反映的是整条链路上每一跳的健康状况所以要把测试拆细而不是把两端同时配置好再赌一把。在 ENSP 里你还可以打开「报文抓包」功能在核心交换机的接口上抓 ICMP 报文看数据包到底是从哪个接口进来的、有没有从正确接口转发出去。虽然课程设计不要求截图抓包但对理解转发逻辑非常有帮助。5. ENSP 避坑与常见问题排查启动失败 40、设备不启动、VLAN 不通5.1 现象AR1 启动失败报错 code 40这是 ENSP 里最常见的问题初次装好的模拟器打开路由器设备后提示“启动失败”错误码 40。原因ENSP 的底层依赖 VirtualBoxAR 路由器设备其实是跑在 VirtualBox 虚拟机里的。报 40 通常有两个来源一是 VirtualBox 版本和 ENSP 不兼容——ENSP 官方推荐的 VirtualBox 版本是 5.2.x装上更高版本反而起不来二是之前安装过旧版 ENSP 或 VirtualBox 后卸载不干净注册表里有残留导致新装的 ENSP 创建虚拟机时失败。解决先去控制面板把 ENSP 和 VirtualBox 都卸载干净再手动删掉 C 盘用户目录下的.eNSP和.VirtualBox残留文件夹注册表里搜索eNSP和VirtualBox相关项清理掉不熟悉注册表的话也可以用卸载工具扫描清理。然后按顺序安装先装 VirtualBox 5.2.44再装 ENSP。装完以后打开 ENSP 设置里的「工具」把 VirtualBox 路径重新指向一次再启动 AR1 就能起来。遇到这个问题别急着重装系统90% 的情况是清理不彻底不是系统问题。5.2 现象USG6000V 防火墙启动后停在井号控制台刷个不停加防火墙设备后设备启动好长时间控制台一直输出#号或者停在某个状态不进系统。原因USG6000V 防火墙设备对宿主机的 CPU 虚拟化支持要求更高在老的 CPU 上或者没开虚拟化的情况下启动过程会变得极慢甚至卡死。另外 ENSP 自带版本的 USG6000V 镜像对 VirtualBox 版本敏感如果前面不是用 5.2.x 而是用了其他版本这个设备很容易异常。解决首先到 BIOS 里确认 CPU 虚拟化Intel VT-x / AMD-V已经开启再关掉 Windows 的 Hyper-V 和内核隔离功能这两个功能会和 VirtualBox 抢虚拟化资源。然后是版本配套问题如果只是做课程设计的 VLAN 和静态路由实验可以把防火墙设备从拓扑里拿掉用路由器模拟外网隔离即可——原文档的安全设计也只是文字描述配置部分没有防火墙命令不影响验收。做了这几个调整后重新启动设备井号卡顿的现象会明显好转。5.3 现象同 VLAN 的 PC 能互 ping跨 VLAN 的 PC 不通这是配置完最常见的翻车现场同一个 VLAN 里的两台 PC 通信正常但教学区 ping 行政区始终超时。原因先判断链路问题还是路由问题。在核心交换机上display ip routing-table如果 VLAN 5、VLAN 6 的直连路由都在说明三层网关没问题那就去查汇聚交换机和核心交换机之间的 trunk。trunk 口没有放行对应 VLAN、或者port trunk allow-pass vlan命令敲错都会导致带 VLAN Tag 的帧被交换机丢弃。解决在两端交换机上都看一眼display port vlan确认两端接口的允许 VLAN 列表是一致的。华为设备上trunk 口默认只允许 VLAN 1 通过你放行 VLAN 6 后VLAN 5 走这个口是不通的——需要什么 VLAN 就放行什么 VLAN。调试阶段图省事的话可以临时用port trunk allow-pass vlan all确认通以后再收敛成具体的 VLAN 列表。另外注意如果汇聚交换机下联核心的物理接口没插对接口状态是 downtrunk 配得再对也是白搭所以先display interface brief看接口 UP 没有。5.4 现象静态路由配了外网 ping 内网回不来外网 PC 能 ping 通 R4 的接口地址但 ping 不通内网 PC而内网 PC ping 外网是通的。原因这是单向通路的典型症状去程通了、回程断了。内网出去时数据包沿着默认路由到 R1、再到 R4一路通畅。外网回来的包到了 R4 以后呢R4 的默认路由把包交给 R1 没问题但 R1 收到目的地址是 10.11.0.2 的包后路由表里如果没有对应的回程静态路由就直接丢弃。原文档里 R1 配了五条 10.x 网段的回程路由很多人自己重做实验时会漏掉这一组或者把 10.10.0.0/16 误写成 10.10.0.0/24——掩码写错在路由表里会变成另外一条精确路由查的时候容易看不出来。解决在 R1 上执行display ip routing-table重点看 10.10.0.0/16、10.11.0.0/16 这五条路由是否都在表里、下一跳是否正确是 192.168.5.1。如果缺失补上对应的ip route-static命令如果掩码错了先undo ip route-static删掉再重配。有一个习惯值得养成每加完一条静态路由立刻在 R1 和核心交换机上分别看一次路由表确认两条路由对称不要等最后一次测试再一起查。5.5 现象从文档复制命令粘进 ENSP部分命令没生效照着课程设计文档里的命令一段一段复制粘贴到 ENSP 里执行完以后发现有些配置没进去回显里甚至出现命令被截断的乱码。原因ENSP 的命令行终端对长文本粘贴的容错很差尤其是包含注释和空行的多行命令块。粘贴时终端会自动把光标移到行尾如果一行的字符数超过终端缓冲后面的内容会被吃掉注释行里的中文或特殊符号也可能干扰命令行解析。原文档里还有一些笔误比如systerm-view应该是system-viewloucal-user应该是local-user这些错误命令在 ENSP 里不会报错让你重输而是直接提示不再识别然后后续命令全部错位。解决不要整段粘贴一条命令或者一个功能块比如 AAA 整个段落单独粘贴一次。粘贴完立刻用display current-configuration检查关键配置是否生效。对于文档里的system-view、local-user这类拼写错误敲命令之前先在心里过一遍自己修正后再输入。如果你要把命令发给别人也建议先把文档里的命令跑一遍确认没有拼写问题再共享。6. 把课程设计改成自己的作品三处必改的细节与验收技巧如果你不是直接交这份原文档而是想把它改成自己的课程设计有三处地方是必须动刀的。第一是设备清单原文档 3.1 节的设备表几乎全是空白只留了序号和一个「服务器」的文字描述这部分要自己填。按这个拓扑规模我一般会这样选型核心交换机用华为 S5700 系列汇聚交换机用 S3700路由器用 AR2220外加一台 USG6000V 防火墙做安全设备。课程设计层面不用纠结具体型号的参数差异只要符合「核心三层、汇聚二层、路由器支持静态路由」即可。第二是网络拓扑图原文档的拓扑截图是图片你要自己在 ENSP 里重新搭建拓扑后再截图并把接口编号标注清楚。第三是测试结果不要沿用文档里的旧截图按第 4 章的测试矩阵重新打一遍 ping把每轮测试的窗口截图放进报告。关于安全设计这块如果你想在原方案上加一台防火墙设备常见做法是把核心交换机 g0/0/6 和 R1 g0/0/0 之间的链路断开中间串接 USG6000V防火墙 g1/0/0 接核心交换机g1/0/1 接 R1再在防火墙上配置安全策略放行内网 10.0.0.0/8 网段到外网的流量。ENSP 里 USG6000V 默认要求先配置安全区域和安全策略才能通流量初始状态下内网 ping 外网会被拦截这正好能演示「防火墙做安全防护」的设计目标写进报告里比一句「加防火墙」有说服力得多。最后的验收技巧也是我自己的血泪经验全部配置完成后不要只盯着一台 PC 的 ping 结果就收工。逐台设备执行display current-configuration对照文档核对一遍三样东西——VLAN 列表、接口划入的 VLAN、静态路由表任何一处不一致都可能导致某个区域的终端在验收时掉链子。另外把测试矩阵用表格列出来逐条勾选完成教学区到滨湖区、生活区到行政区、外网到图书馆每一条都测过并截图才敢说这份课程设计真的跑通了。从那以后我每次做完拓扑都强制走一遍「全设备配置核对 全矩阵测试打勾」这个习惯让我在模拟器里翻车的次数少了一半。希望帮到你。本文还有配套的精品资源点击获取
简介这是一份基于华为ENSP模拟器完成校园局域网组建的完整课程设计报告面向网络工程、计算机及相关专业学生适用于课程设计、毕业设计、实训作业或网络技能竞赛备赛等场景。文档从项目概述和需求分析入手梳理终端接入数量与位置分布、组网技术需求、带宽与子网划分要求再围绕设备类型及数量、网络拓扑结构、VLAN规划、IP地址规划与子网划分等展开同时包含互通策略设计和网络安全设计结构完整、层次清楚能够帮助读者建立从需求到方案再到安全防护的整体组网思路。资源包共包含1个docx文档大小934KB内容已按目录模块整理翻开即可对照学习也可直接作为课程设计报告或答辩说明书的写作蓝本。这份文档目前已吸引7129人学习在校学生、备考人员及需要独立完成校园网方案设计的读者都可以从中获取设备选型、VLAN与IP规划、路由互通和安全加固等方面的实用参考。1. 一份能直接照抄的 ENSP 校园网课程设计拓扑、命令、测试全都有这份文档不是什么“项目源码包”而是一份把校园网从需求分析到模拟验证走完的 ENSP 课程设计报告。它最值钱的地方不是那几张拓扑图而是把「VLAN 怎么划、IP 段怎么分、静态路由怎么指、测试怎么打」全部落成了具体命令——你拿到手照着敲一遍就能在 ENSP 里跑通一个覆盖生活区、教学区、行政区、公共区、图书馆的校园局域网。适合三类人一是要交课程设计但不知道从哪下手的网络工程学生二是刚接触华为设备想练配置的运维新人三是想找一份完整参考模板、再改成自己方案的从业者。我拆完这份文档后最大的感受是它的架构逻辑很清晰但命令里藏着好几个容易让人翻车的坑下文会一条条说清楚。2. 先看设计再谈配置VLAN 规划、子网划分与互通策略的来龙去脉2.1 三层架构与区域划分为什么核心、汇聚、接入一层都不能少这份方案采用的是经典的三层网络架构接入层、汇聚层、核心层。校园网按物理区域拆成五个部分——生活区、教学区、行政区、公共区信息中心、图书馆终端接入量分别是 3200、2000、1500、1000、200合计接近 8000 个终端。终端数量一大如果全部接在一个二层广播域里广播风暴会直接把交换机打傻这也是方案里反复强调 VLAN 划分的原因。三层架构的意义在于接入交换机负责把 PC 的流量收上来汇聚交换机负责把多个接入交换机的流量汇总并做 VLAN 中继核心交换机负责跨网段转发和路由。这份文档没有画接入层的细节而是直接让汇聚交换机对接终端区域再把汇聚层上联到核心交换机。在 ENSP 里做验证时这种简化是合理的因为模拟器的性能有限每台汇聚交换机后面再挂几台接入交换机拓扑会变得很臃肿而且对课程设计要验证的「VLAN 互通 静态路由」没有任何额外帮助。2.2 VLAN 与 IP 地址规划接入量、带宽、网关三者怎么平衡从文档后面的设备配置可以反推出完整的 VLAN 规划这是整份设计最核心的一张表VLAN ID所属区域网段网关地址掩码终端规模VLAN 5生活区10.10.0.0/1610.10.255.254163200VLAN 6教学区10.11.0.0/1610.11.255.254162000VLAN 7行政区10.12.0.0/1610.12.255.254161500VLAN 8公共区10.13.0.0/1610.13.255.254161000VLAN 9图书馆10.14.1.0/2410.14.1.25424200VLAN 10核心与 R1 互联192.168.5.0/25192.168.5.125设备链路段这个划分思路很典型终端量大的生活区、教学区直接给 16 位掩码一个网段下面可以容纳 6 万多个地址3200 个终端只占了很小一部分这就是文档需求分析里说的「留出足够的地址空间做远期规划」。终端量小的图书馆只给一个 24 位掩码的 C 段地址不浪费。公共区和行政区虽然终端量也不小但按规模递减的原则排在后面分配。而 VLAN 10 单独拿出来连接核心交换机和路由器 R1用的是 192.168.5.0/25这个网段不承载任何终端只做设备间互联。带宽计算这部分文档用的方法是「终端数 × 4 Mbps」生活区 3200×412800Mbps教学区 2000×48000Mbps行政区 6000Mbps公共区 4000Mbps图书馆 800Mbps。这是课程设计里常用的粗估方式实际工程当然要考虑峰值并发和业务类型但在课程设计层面这个算法足够支撑「主干用光纤、汇聚到核心用千兆链路」的结论。注意文档里说的「超 5 类双绞线」现在工程上多用六类线你在自己的报告里改成六类更合理这不影响整体拓扑。2.3 互通策略与安全设计静态路由、AAA、防火墙各管哪一段互通策略分两块。校园网网内让每个子网内的 PC 向其他子网发 ICMP 报文验证 VLAN 间路由是否生效这条路径在核心交换机上就完成了——VLANIF 接口就是各子网的网关核心交换机本身就是一台三层设备。校园网与外网通信用网内 PC 向外网网段66.66.66.0/24发 ICMP 报文这条路径要经过核心交换机 → R1 → R4 → 外网靠的是静态路由逐跳指过去。安全设计方面原文覆盖了三层手段一是 VLAN 划分控制广播域从二层层面隔离不同区域二是核心层设备开 AAA 认证给 telnet 远程登录加一道用户验证三是核心层与外网之间加防火墙防止外部攻击。很多课程设计的安全部分只是写在文档里配置里完全没落地这份方案的 AAA 是真实配置在核心交换机上的这点值得学。防火墙设备在 ENSP 里的体现是 USG6000V但原文的设备配置部分没有给出防火墙的配置命令只在网络设计里提了一句「核心层设备与外网之间加防火墙」——这是一个可以自己补全的扩展点第 6 章我会给思路。3. 把命令落到 ENSP 上从汇聚交换机到核心路由器的手把手配置3.1 汇聚层交换机配置access 口和 trunk 口的边界要分清文档以教学区汇聚交换机为例其他区域配置相同。先看汇聚交换机面向终端的口# 教学区汇聚交换机面向终端侧的口配置为 access int g0/0/2 port link-type access # 这个口直接接 PC属于单个 VLAN不需要携带 VLAN 标签面向核心交换机的上联口要改成 trunk并且放行对应的 VLAN# 上联核心交换机的口配置为 trunk 并放行 VLAN 6 int g0/0/1 port link-type trunk port trunk allow-pass vlan 6这里要说明一个容易迷糊的点汇聚交换机上联核心用的是 trunk下联接 PC 用的是 access。在 ENSP 里access 口发出的帧不带 VLAN TagPC 收到的是普通以太网帧trunk 口发出的帧会打上 VLAN Tag核心交换机收到后根据 Tag 判断这个帧属于哪个 VLAN。如果你把下联口也配成 trunkPC 识别不了带 Tag 的帧直接不通反过来如果上联口用 access核心交换机就不知道这个帧是哪个 VLAN 里来的跨区域通信直接断。命令里port link-type access和port link-type trunk是两种链路类型ENSP 里同一个物理口在两种类型之间切换时要先undo port link-type重置否则直接切可能报错。另外注意port trunk allow-pass vlan 6这条命令后面的vlan关键字有的文档会写成port trunk allow-pass 6少了vlan在模拟器里敲会解析失败。原文档里就有这种省略照着敲之前自己补全。3.2 核心交换机配置AAA、VLANIF 网关、默认路由一口气配完核心交换机是整张网的大脑配置分几个段落。第一段是 AAA 认证用于远程管理system-view # 进入 AAA 认证模式创建本地用户 aaa local-user yonghum password simple ****** local-user yonghum privilege level 3 local-user yonghum service-type telnet quit # 进入 VTY 虚拟终端配置远程登录走 AAA 认证 user-interface vty 0 4 authentication-mode aaa quit逻辑说明local-user yonghum创建了一个本地账号password simple后面接的是明文密码privilege level 3把这个账号提升到最高权限级别——级别 3 在华为设备上是管理级登录后可以直接进系统视图改配置。service-type telnet限制了这个账号只能用于 telnet 登录。最后在user-interface vty 0 4下把认证方式切到aaa意思是远程登录时必须通过刚才定义的本地用户验证。这套组合拳是华为设备远程管理的标准姿势没有 AAA 的话VTY 默认要配密码或者空密码安全性很差。第二段是 VLAN 创建和接口划分# 一次性创建 5~10 号 VLAN vlan batch 5 6 7 8 9 10 # 上联教学区汇聚trunk 放行 VLAN 6 int g0/0/1 port link-type trunk port trunk allow-pass vlan 6 # 上联行政区汇聚trunk 放行 VLAN 7 int g0/0/2 port link-type trunk port trunk allow-pass vlan 7 # 接图书馆接入交换机access 口划入 VLAN 9 int g0/0/3 port link-type access port default vlan 9 # 上联生活区汇聚trunk 放行 VLAN 5 int g0/0/4 port link-type trunk port trunk allow-pass vlan 5 # 上联公共区汇聚trunk 放行 VLAN 8 int g0/0/5 port link-type trunk port trunk allow-pass vlan 8 # 下联路由器 R1划入 VLAN 10 int g0/0/6 port link-type access port default vlan 10原文档里 g0/0/6 只写了port link-type access没有写port default vlan 10这是文档里的一处遗漏。如果不把这个 access 口划进 VLAN 10后面interface vlanif 10配置的网关地址在这个接口上就不生效——因为接口不在 VLAN 10 里VLANIF 10 等于没有物理承载。我自己做这个实验时第一次就翻车在这里VLANIF 10 的地址能配上但不通。所以照着文档敲的时候这一步一定要自己补上。第三段是 VLANIF 网关地址也就是终端 PC 的网关interface vlanif 5 ip address 10.10.255.254 16 interface vlanif 6 ip address 10.11.255.254 16 interface vlanif 7 ip address 10.12.255.254 16 interface vlanif 8 ip address 10.13.255.254 16 interface vlanif 9 ip address 10.14.1.254 24 interface vlanif 10 ip address 192.168.5.1 25这里有个细节ip address 10.10.255.254 16在华为设备上也可以写成ip address 10.10.255.254 255.255.0.0两种写法等价。掩码位数和网段规划要对应好VLAN 5 分配的是 10.10.0.0/16网关是 10.10.255.254这个地址落在网段内而且作为 .255.254 这样的高位地址不容易和终端 PC 的地址冲突——终端地址一般从 .1 开始往上分。最后一条是核心交换机的默认路由指向路由器 R1ip route-static 0.0.0.0 0.0.0.0 192.168.5.2这条命令的意思是核心交换机上所有不知道往哪转的流量统一丢给 192.168.5.2也就是 R1 的 g0/0/0 接口。内网各 VLAN 之间的流量走 VLANIF 三层转发不需要静态路由只有去外网的流量才需要这条默认路由。如果你的实验里内网有多个网段需要绕过核心直接通信那才需要写明细静态路由否则一条默认路由就够了。3.3 路由器 R1 与 R4 配置静态路由的往返两条都不能少R1 连接核心交换机和外网路由器 R4是内网和外网之间的桥。配置分三段。第一段接口地址interface g0/0/0 ip address 192.168.5.2 25 interface g0/0/1 ip address 192.168.3.1 30g0/0/0 和核心交换机的 g0/0/6 在同一个网段 192.168.5.0/25 里地址是 192.168.5.2正好对应核心交换机默认路由的下一跳。g0/0/1 连接 R4用的是 192.168.3.0/30 这个 30 位掩码的互联段——这种两个路由器直连的链路用 30 位掩码只留两个可用地址是标准做法地址不浪费也避免了广播地址的歧义。第二段去外网的静态路由ip route-static 66.66.66.0 24 192.168.3.2这条的意思是去 66.66.66.0/24 外网网段的流量下一跳是 192.168.3.2R4 的接口出接口是 g0/0/1。注意66.66.66.0 24这种写法华为设备里ip route-static的目的地址和掩码之间掩码既可以写点数形式255.255.255.0也可以直接写前缀长度24两种都合法。第三段回内网的静态路由ip route-static 10.10.0.0 16 192.168.5.1 ip route-static 10.11.0.0 16 192.168.5.1 ip route-static 10.12.0.0 16 192.168.5.1 ip route-static 10.13.0.0 16 192.168.5.1 ip route-static 10.14.1.0 24 192.168.5.1这五条是回程路由很多人只配了去外网的默认路由忘了回程结果内网能出去回不来。R1 收到从外网回来的流量后要根据目的地址查路由表把去 10.10.0.0/16 的包丢回 192.168.5.1核心交换机。如果没有这五条R1 会把数据包丢掉或者从错误接口转发。注意 VLAN 9 图书馆是 24 位掩码单独一条另外五条 10.x.0.0 的网段都是 16 位掩码所以它们在路由表里是精确匹配不会因为掩码不同而互相覆盖。R4 的配置更简单只有接口地址加一条默认路由interface g0/0/0 ip address 192.168.3.2 30 interface e0/0/0 ip address 66.66.66.254 24 quit ip route-static 0.0.0.0 0.0.0.0 192.168.3.1R4 相当于外网的边缘路由器g0/0/0 连接 R1e0/0/0 对外提供 66.66.66.0/24 网段默认路由让 R4 把所有不认识的流量都丢回 R1。在 ENSP 里做验证时R4 下面要挂一台 PC 模拟外网主机这台 PC 的 IP 可以设为 66.66.66.1/24网关指向 R4 的接口地址 66.66.66.254。这样内外网互 ping 时数据包路径是完全对称的你排查问题时思路也清晰。3.4 配置完成后先做自检display 命令三连配置敲完了别急着 ping先逐台设备看一眼状态。三招最实用# 查看 VLAN 是否创建成功接口划分是否正确 display vlan summary display vlan # 查看 VLANIF 接口是否 UP地址是否配好 display ip interface brief # 查看路由表确认静态路由都进了表 display ip routing-tabledisplay vlan summary会告诉你 Vlanif 一共有几个、编号是什么display ip interface brief如果显示的接口状态是 down多半是物理接口没有接对网线或者对端设备没起来display ip routing-table里能看到所有静态路由如果发现哪条 10.x 网段的路由丢失大概率是命令里掩码写错或者没退出到系统视图。这三条命令在任何一台设备上都适用建议每一步配置完就跑一遍把输出截图保留下来写进课程设计报告里比你最后临时补测试图省事得多。4. 互通性测试不是点一下 ping 就行ICMP 测试的完整验证方法4.1 网内互通测试跨子网 ping 要关注网关和回程路由文档里的测试方法是用 PC 发 ICMP 报文覆盖了教学区、生活区、行政区和外网测试矩阵如下测试方向源目的预期教学区到其他子网教学区 PC行政区/生活区/图书馆 PC收到 Echo Reply生活区到其他子网生活区 PC行政区/教学区 PC收到 Echo Reply外网到内网外网 PC教学区/生活区 PC收到 Echo Reply内网到外网行政区 PC外网 PC收到 Echo Reply做网内互通测试时最容易被忽略的是 PC 的网关配置。在 ENSP 里PC 的 IP 地址、掩码、网关是要手动填的不是配好交换机就自动下发这里没配 DHCP 协议。比如教学区一台 PCIP 要填 10.11.0.x 网段内的地址掩码 255.255.0.0网关必须填 10.11.255.254。如果你把网关填成 10.10.255.254数据包会直接被 PC 认为目的地址在同网段而发出 ARP 广播永远到不了核心交换机。跨子网 ping 的完整数据路径是源 PC → 接入交换机 → 汇聚交换机trunk 携带 VLAN Tag→ 核心交换机VLANIF 网关接收→ 三层转发到目的 VLAN 的 VLANIF → 目的汇聚/接入 → 目的 PC。这条路径上任一环节断了ping 都不通。所以测试失败时按照「先 ping 网关 → 再 ping 目的网段网关 → 最后 ping 目的 PC」的顺序逐层排查比盲目清空配置重敲有效得多。4.2 外网互通测试从内网到 66.66.66.0/24 的完整路径验证内网 PC ping 外网 PC 的路径比网内测试多两跳核心交换机默认路由→ R1静态路由查 66.66.66.0/24→ R4本地直连网段→ 外网 PC。反过来外网 ping 内网时路径会经过 R4 → R1 → 核心交换机R1 查五条回程静态路由决定往哪个内网段送。测试用例建议至少做四组对应文档里「行政区向外网发 ICMP」和「外网向教学区、生活区发 ICMP」这两个大方向。第一组行政区 PC ping 66.66.66.1外网主机验证内网到外网的主路径第二组外网主机 ping 教学区 PC验证外网到内网第三组外网主机 ping 生活区 PC验证回程静态路由的另一条第四组外网主机 ping 图书馆 PC——这个挺重要因为图书馆是唯一一个 24 位掩码的网段如果 R1 上那条回程路由写错掩码其他四个 16 位网段正常只有图书馆不通。测试时注意看 ENSP 里 PC 的 ping 窗口输出不要只看「通不通」要看前几个包是不是丢了。模拟器里第一次 ping 往往有 ARP 解析延时前 1-2 个包超时是正常的后面几个包都通说明路径没问题。如果每个包都通但延迟很高那就要检查是不是有环路导致广播风暴——这个在课程设计拓扑里很少见但有备无患。4.3 测试失败的定位思路先本机再网关再路由测试失败时我一般会按下面这个顺序排查这也是所有网络连通性排错的通用思路第一步源 PC 先 ping 自己的网关。比如教学区 PC ping 10.11.255.254。这一步不通问题在二层链路检查 PC 的网卡是否连着正确的交换机接口、交换机的接口是否 UP、access 口是否划进了正确的 VLAN。注意 ENSP 里 PC 和交换机的连线是图形化拖拽的线没连对也会导致接口 down。第二步网关通了再 ping 目的 PC 的网关。比如教学区 PC ping 10.12.255.254行政区网关。这一步要看核心交换机的 VLANIF 路由能否把包从 VLAN 6 转到 VLAN 7。如果超时去核心交换机上display current-configuration | include vlanif检查 VLANIF 地址有没有配错或者display ip routing-table确认 VLAN 7 的直连路由在不在表里。第三步目的网关通了再 ping 目的 PC。如果这一步失败问题就在目的侧的二层链路目的交换机的接口划对没有、trunk 有没有放行 VLAN、PC 自己的 IP 掩码网关填对没有。很多时候前面几步都正常最后的目的是因为 PC 网关漏填才不通这种错误最气人也最常见。这套思路的核心逻辑是一次 ping 的通断反映的是整条链路上每一跳的健康状况所以要把测试拆细而不是把两端同时配置好再赌一把。在 ENSP 里你还可以打开「报文抓包」功能在核心交换机的接口上抓 ICMP 报文看数据包到底是从哪个接口进来的、有没有从正确接口转发出去。虽然课程设计不要求截图抓包但对理解转发逻辑非常有帮助。5. ENSP 避坑与常见问题排查启动失败 40、设备不启动、VLAN 不通5.1 现象AR1 启动失败报错 code 40这是 ENSP 里最常见的问题初次装好的模拟器打开路由器设备后提示“启动失败”错误码 40。原因ENSP 的底层依赖 VirtualBoxAR 路由器设备其实是跑在 VirtualBox 虚拟机里的。报 40 通常有两个来源一是 VirtualBox 版本和 ENSP 不兼容——ENSP 官方推荐的 VirtualBox 版本是 5.2.x装上更高版本反而起不来二是之前安装过旧版 ENSP 或 VirtualBox 后卸载不干净注册表里有残留导致新装的 ENSP 创建虚拟机时失败。解决先去控制面板把 ENSP 和 VirtualBox 都卸载干净再手动删掉 C 盘用户目录下的.eNSP和.VirtualBox残留文件夹注册表里搜索eNSP和VirtualBox相关项清理掉不熟悉注册表的话也可以用卸载工具扫描清理。然后按顺序安装先装 VirtualBox 5.2.44再装 ENSP。装完以后打开 ENSP 设置里的「工具」把 VirtualBox 路径重新指向一次再启动 AR1 就能起来。遇到这个问题别急着重装系统90% 的情况是清理不彻底不是系统问题。5.2 现象USG6000V 防火墙启动后停在井号控制台刷个不停加防火墙设备后设备启动好长时间控制台一直输出#号或者停在某个状态不进系统。原因USG6000V 防火墙设备对宿主机的 CPU 虚拟化支持要求更高在老的 CPU 上或者没开虚拟化的情况下启动过程会变得极慢甚至卡死。另外 ENSP 自带版本的 USG6000V 镜像对 VirtualBox 版本敏感如果前面不是用 5.2.x 而是用了其他版本这个设备很容易异常。解决首先到 BIOS 里确认 CPU 虚拟化Intel VT-x / AMD-V已经开启再关掉 Windows 的 Hyper-V 和内核隔离功能这两个功能会和 VirtualBox 抢虚拟化资源。然后是版本配套问题如果只是做课程设计的 VLAN 和静态路由实验可以把防火墙设备从拓扑里拿掉用路由器模拟外网隔离即可——原文档的安全设计也只是文字描述配置部分没有防火墙命令不影响验收。做了这几个调整后重新启动设备井号卡顿的现象会明显好转。5.3 现象同 VLAN 的 PC 能互 ping跨 VLAN 的 PC 不通这是配置完最常见的翻车现场同一个 VLAN 里的两台 PC 通信正常但教学区 ping 行政区始终超时。原因先判断链路问题还是路由问题。在核心交换机上display ip routing-table如果 VLAN 5、VLAN 6 的直连路由都在说明三层网关没问题那就去查汇聚交换机和核心交换机之间的 trunk。trunk 口没有放行对应 VLAN、或者port trunk allow-pass vlan命令敲错都会导致带 VLAN Tag 的帧被交换机丢弃。解决在两端交换机上都看一眼display port vlan确认两端接口的允许 VLAN 列表是一致的。华为设备上trunk 口默认只允许 VLAN 1 通过你放行 VLAN 6 后VLAN 5 走这个口是不通的——需要什么 VLAN 就放行什么 VLAN。调试阶段图省事的话可以临时用port trunk allow-pass vlan all确认通以后再收敛成具体的 VLAN 列表。另外注意如果汇聚交换机下联核心的物理接口没插对接口状态是 downtrunk 配得再对也是白搭所以先display interface brief看接口 UP 没有。5.4 现象静态路由配了外网 ping 内网回不来外网 PC 能 ping 通 R4 的接口地址但 ping 不通内网 PC而内网 PC ping 外网是通的。原因这是单向通路的典型症状去程通了、回程断了。内网出去时数据包沿着默认路由到 R1、再到 R4一路通畅。外网回来的包到了 R4 以后呢R4 的默认路由把包交给 R1 没问题但 R1 收到目的地址是 10.11.0.2 的包后路由表里如果没有对应的回程静态路由就直接丢弃。原文档里 R1 配了五条 10.x 网段的回程路由很多人自己重做实验时会漏掉这一组或者把 10.10.0.0/16 误写成 10.10.0.0/24——掩码写错在路由表里会变成另外一条精确路由查的时候容易看不出来。解决在 R1 上执行display ip routing-table重点看 10.10.0.0/16、10.11.0.0/16 这五条路由是否都在表里、下一跳是否正确是 192.168.5.1。如果缺失补上对应的ip route-static命令如果掩码错了先undo ip route-static删掉再重配。有一个习惯值得养成每加完一条静态路由立刻在 R1 和核心交换机上分别看一次路由表确认两条路由对称不要等最后一次测试再一起查。5.5 现象从文档复制命令粘进 ENSP部分命令没生效照着课程设计文档里的命令一段一段复制粘贴到 ENSP 里执行完以后发现有些配置没进去回显里甚至出现命令被截断的乱码。原因ENSP 的命令行终端对长文本粘贴的容错很差尤其是包含注释和空行的多行命令块。粘贴时终端会自动把光标移到行尾如果一行的字符数超过终端缓冲后面的内容会被吃掉注释行里的中文或特殊符号也可能干扰命令行解析。原文档里还有一些笔误比如systerm-view应该是system-viewloucal-user应该是local-user这些错误命令在 ENSP 里不会报错让你重输而是直接提示不再识别然后后续命令全部错位。解决不要整段粘贴一条命令或者一个功能块比如 AAA 整个段落单独粘贴一次。粘贴完立刻用display current-configuration检查关键配置是否生效。对于文档里的system-view、local-user这类拼写错误敲命令之前先在心里过一遍自己修正后再输入。如果你要把命令发给别人也建议先把文档里的命令跑一遍确认没有拼写问题再共享。6. 把课程设计改成自己的作品三处必改的细节与验收技巧如果你不是直接交这份原文档而是想把它改成自己的课程设计有三处地方是必须动刀的。第一是设备清单原文档 3.1 节的设备表几乎全是空白只留了序号和一个「服务器」的文字描述这部分要自己填。按这个拓扑规模我一般会这样选型核心交换机用华为 S5700 系列汇聚交换机用 S3700路由器用 AR2220外加一台 USG6000V 防火墙做安全设备。课程设计层面不用纠结具体型号的参数差异只要符合「核心三层、汇聚二层、路由器支持静态路由」即可。第二是网络拓扑图原文档的拓扑截图是图片你要自己在 ENSP 里重新搭建拓扑后再截图并把接口编号标注清楚。第三是测试结果不要沿用文档里的旧截图按第 4 章的测试矩阵重新打一遍 ping把每轮测试的窗口截图放进报告。关于安全设计这块如果你想在原方案上加一台防火墙设备常见做法是把核心交换机 g0/0/6 和 R1 g0/0/0 之间的链路断开中间串接 USG6000V防火墙 g1/0/0 接核心交换机g1/0/1 接 R1再在防火墙上配置安全策略放行内网 10.0.0.0/8 网段到外网的流量。ENSP 里 USG6000V 默认要求先配置安全区域和安全策略才能通流量初始状态下内网 ping 外网会被拦截这正好能演示「防火墙做安全防护」的设计目标写进报告里比一句「加防火墙」有说服力得多。最后的验收技巧也是我自己的血泪经验全部配置完成后不要只盯着一台 PC 的 ping 结果就收工。逐台设备执行display current-configuration对照文档核对一遍三样东西——VLAN 列表、接口划入的 VLAN、静态路由表任何一处不一致都可能导致某个区域的终端在验收时掉链子。另外把测试矩阵用表格列出来逐条勾选完成教学区到滨湖区、生活区到行政区、外网到图书馆每一条都测过并截图才敢说这份课程设计真的跑通了。从那以后我每次做完拓扑都强制走一遍「全设备配置核对 全矩阵测试打勾」这个习惯让我在模拟器里翻车的次数少了一半。希望帮到你。本文还有配套的精品资源点击获取
