简介这份资源面向网络工程专业学生、课设与毕设实践者以及备考网工证的考生提供一套基于华为eNSP模拟器搭建的典型中小型企业网完整方案并额外加入无线WLAN模块帮助读者在虚拟环境中完成从规划设计到功能验证的全流程演练。压缩包共21个文件包含9个efz设备镜像、6个xml终端配置、3个zip配置备份、1个cfg配置文件、1个docx项目报告以及1个topo拓扑文件整体约949KB体积轻便却覆盖了拓扑还原与文档说明两类核心需求。项目报告系统梳理了设计思路、拓扑结构分析、配置步骤与代码以及网络功能测试技术点涵盖VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN与防火墙配置兼顾网络规划设计与安全优化。目前已有5478人学习下载适合希望直接复用拓扑、对照报告理解配置逻辑或跟随文档动手实践以巩固排错思路的读者参考。1. 从零搭一套带无线的企业网这套 eNSP 拓扑到底能解决什么很多做网络运维的朋友第一次接触 eNSP都是被同一个场景逼的公司要新建一个办公区有线要通、无线要通、访客要隔离、财务要单独划 VLAN预算有限不可能先买一堆真机试错。这时候一套能跑通的典型中小型企业网拓扑价值就出来了。这份资源给的就是这么一套东西——基于 eNSP 搭建的中小型企业网完整实验带无线覆盖涵盖出口路由、核心交换、接入层、ACAP 无线组网、VLAN 划分、DHCP、NAT 和基础安全策略。它适合三类人准备网络规划设计课程设计的学生、要考 HCIA/HCIP 想找完整拓扑练手的从业者、以及需要给小型办公场景做方案验证的工程师。整套拓扑在模拟器里就能跑不用真机改参数、拔线、看现象都随便折腾这是它最实在的地方。2. 拓扑拆解出口、核心、接入、无线四层怎么分工2.1 为什么是四层结构而不是扁平组网中小型企业网最常见的翻车点就是图省事把所有设备塞进一个网段。几十台机器的时候看不出问题一旦要分部门、要控访问、要接无线广播域一大ARP 风暴和广播泛洪就来了排查起来基本是黑匣子。这套拓扑用的是经典的四层分工出口层负责内外网转换和边界安全核心层负责 VLAN 间路由和策略下发接入层负责终端接入和端口隔离无线层由 AC 加 AP 组成单独管理 SSID 和无线用户。这么分的直接好处是故障域清晰。出口不通你只看出口设备某个 VLAN 上不了网你从核心的三层接口往下查无线连不上先看 AP 上线没有再看 AC 的 CAPWAP 隧道通不通。每一层职责单一排错路径短。我一般建议新手就按这个结构练别一上来搞什么堆叠、双机热备先把单点跑通再谈冗余。2.2 设备选型和接口规划在 eNSP 里出口一般用 AR 系列路由器核心用三层交换机接入用二层交换机无线用 AC6605 加 AP 系列。具体型号按你装的 eNSP 版本里有的来选不同版本设备库不完全一样这点后面避坑章会细说。接口规划上核心交换机和出口路由器之间用三层互联划一个小网段专门跑路由比如 10.0.0.0/30。核心往下连接入交换机用 Trunk 放行所有业务 VLAN。接入交换机连终端的口划 Access连 AP 的口要划成 Trunk 并放行管理 VLAN 和业务 VLAN因为 AP 的管理流量和用户流量是分开的。一个典型的 VLAN 规划表长这样VLAN ID用途网段网关位置10办公区192.168.10.0/24核心三层20财务192.168.20.0/24核心三层30访客192.168.30.0/24核心三层100设备管理192.168.100.0/24核心三层200AP 管理192.168.200.0/24核心三层这张表是整个配置的骨架后面所有 DHCP、ACL、路由都围着它转。网段你可以按实际改但建议保留管理 VLAN 和业务 VLAN 分离的习惯不然设备管理和用户流量混在一起出问题很难定位。2.3 出口路由与 NAT 配置出口路由器要干两件事对内做默认路由指向核心对外做 NAT 让内网能访问外网。eNSP 里可以用一个 Loopback 口模拟外网或者接一台模拟 ISP 的路由器。# 出口路由器基础配置 sys sysname GW-Router interface GigabitEthernet0/0/0 ip address 10.0.0.1 30 # 与核心互联的三层口 interface GigabitEthernet0/0/1 ip address 202.100.1.1 30 # 模拟外网口 quit # 回程路由告诉路由器内网网段怎么走 ip route-static 192.168.0.0 255.255.0.0 10.0.0.2 # NAT 配置让内网能出去 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quit这段配置的逻辑是先给两个物理口配地址然后用一条静态路由把去往所有 192.168.x.x 的流量丢给核心交换机最后用 ACL 匹配内网源地址在外网口做 NAT 转换。参数上要注意ip route-static的掩码写的是 255.255.0.0一条就覆盖了所有 192.168 开头的网段比每个 VLAN 写一条省事。ACL 2000 是基础 ACL只匹配源地址0.0.255.255是反掩码表示后两段任意。NAT outbound 挂在出接口上这是最容易配的方式适合中小场景。2.4 核心交换机的 VLAN 与三层路由核心交换机是整个网络的中枢VLAN 创建、三层接口、DHCP 中继都在这上面。# 核心交换机配置 sys sysname Core-SW vlan batch 10 20 30 100 200 # 配置各 VLAN 的三层网关 interface Vlanif10 ip address 192.168.10.1 24 interface Vlanif20 ip address 192.168.20.1 24 interface Vlanif30 ip address 192.168.30.1 24 interface Vlanif100 ip address 192.168.100.1 24 interface Vlanif200 ip address 192.168.200.1 24 quit # 上联出口的三层口 interface GigabitEthernet0/0/1 undo portswitch ip address 10.0.0.2 30 quit # 默认路由指向出口 ip route-static 0.0.0.0 0.0.0.0 10.0.0.1 # 下联接入交换机的 Trunk 口 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 100 200 quit关键点在undo portswitch三层交换机默认接口是二层口要当三层口用必须先切模式。Vlanif 接口就是各 VLAN 的网关终端把网关指向对应的 Vlanif 地址。默认路由指向出口这样内网访问外网的流量就有了出口。Trunk 口放行所有业务 VLAN接入层才能把不同 VLAN 的流量透传上来。2.5 接入层与端口隔离接入交换机相对简单主要做 VLAN 划分和端口类型配置。# 接入交换机配置 sys sysname Access-SW vlan batch 10 20 30 100 200 # 上联核心的 Trunk 口 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 100 200 quit # 办公区终端接入口 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit # AP 接入口Trunk 放行管理 VLAN 和业务 VLAN interface GigabitEthernet0/0/3 port link-type trunk port trunk pvid vlan 200 port trunk allow-pass vlan 10 200 quitAP 接入口这里有个细节port trunk pvid vlan 200把 AP 的管理流量打上 VLAN 200 的标签这样 AP 拿管理地址、和 AC 建隧道都走这个 VLAN。业务 VLAN 10 也放行无线用户的数据流量从这条 Trunk 上去。如果 pvid 配错AP 可能拿不到地址上线就失败这是无线部分最常见的坑之一。3. 无线部分AC 加 AP 到底怎么配才上线3.1 CAPWAP 隧道与 AP 上线流程无线这块是很多人卡住的地方。AC 和 AP 之间靠 CAPWAP 协议建隧道AP 上线要经过几个阶段AP 上电后先通过 DHCP 拿管理地址然后发 Discovery 报文找 ACAC 回应后双方建 CAPWAP 隧道最后 AC 把配置下发给 AP。任何一步断了AP 都上不了线。在 eNSP 里AP 的管理地址通常由核心交换机的 DHCP 分配所以你要先在核心上配好 VLAN 200 的 DHCP 地址池并且用option 43告诉 AP 去哪里找 AC。# 核心交换机上的 DHCP 配置 dhcp enable ip pool ap-pool network 192.168.200.0 mask 255.255.255.0 gateway-list 192.168.200.1 option 43 sub-option 2 ip-address 192.168.100.1 # 指向 AC 的地址 quit interface Vlanif200 dhcp select global quitoption 43是 AP 找 AC 的关键sub-option 2后面跟 AC 的 IP。如果这里写错或者漏配AP 会一直停在 Discovery 阶段你在 AC 上看display ap all就是空的。这个参数我见过太多人栽在上面明明 DHCP 能拿到地址AP 就是不上线查半天才发现 option 43 没写对。3.2 AC 侧 WLAN 业务配置AC 上要配的东西分几块AP 认证、WLAN 业务、安全模板、VAP 模板。# AC 配置 sys sysname AC wlan # 指定 CAPWAP 源接口 capwap source interface Vlanif100 # AP 认证方式MAC 认证或不认证 ap auth-mode no-auth # 安全模板WPA2 加密 security-profile name sec-wpa2 security wpa2 psk pass-phrase MyPassword123 aes quit # SSID 模板 ssid-profile name ssid-office ssid Office-WiFi quit # VAP 模板绑定安全模板和 SSID vap-profile name vap-office security-profile sec-wpa2 ssid-profile ssid-office service-vlan vlan-id 10 quit # 把 VAP 模板下发给 AP ap-group name default vap-profile vap-office wlan 1 radio 0 vap-profile vap-office wlan 1 radio 1 quitcapwap source interface Vlanif100指定 AC 用哪个接口和 AP 建隧道这个地址必须和 option 43 里写的一致。安全模板里wpa2 psk是预共享密钥模式适合中小场景aes是加密算法。VAP 模板把 SSID、安全策略、业务 VLAN 绑在一起最后通过 ap-group 下发给 AP。业务 VLAN 填 10无线用户就会落到办公区网段和有线用户在同一广播域。3.3 无线用户拿地址与转发方式无线用户的 DHCP 请求有两种转发方式隧道转发和直接转发。隧道转发是用户流量先到 AC 再出去直接转发是用户流量在 AP 本地就进业务 VLAN。中小场景一般用直接转发减轻 AC 压力。# 在 VAP 模板里指定转发方式 vap-profile name vap-office forward-mode direct-forward quit直接转发模式下无线用户的 DHCP 请求从 AP 的 Trunk 口带着 VLAN 10 的标签上去核心交换机的 DHCP 收到后分配 192.168.10.x 的地址。所以核心上 VLAN 10 的 DHCP 池必须配好否则无线用户连上 SSID 也拿不到地址。这个链路是AP 上线 → SSID 广播 → 用户关联 → DHCP 请求走 Trunk → 核心分配地址。任何一环断了现象都是连不上或者拿不到 IP。4. 避坑与排查这套拓扑最容易翻车的五个地方4.1 AP 一直不上线AC 上看不到现象AP 上电后指示灯异常AC 上display ap all显示为空或者 AP 状态一直是 fault。原因九成是 option 43 没配或者配错AP 找不到 AC 的地址。其次是 CAPWAP 源接口指定的地址和 option 43 不一致或者 AP 管理 VLAN 的 Trunk 没放行。解决先在 AP 上确认能不能拿到管理地址再看 option 43 的 IP 是不是 AC 的地址最后检查 AC 的capwap source interface是不是同一个地址。三个地址必须完全一致差一个数字都不行。4.2 无线用户连上 SSID 但拿不到 IP现象手机或笔记本能搜到 SSID、能输入密码关联但一直停在“正在获取 IP 地址”。原因业务 VLAN 的 DHCP 没配或者 AP 的 Trunk 口没放行业务 VLAN或者转发模式配错导致流量路径不对。解决先确认核心上业务 VLAN 的 DHCP 池存在且dhcp select已开再检查 AP 上联口的 Trunk 是否放行了业务 VLAN最后确认 VAP 模板里的service-vlan和forward-mode是否匹配。直接转发模式下业务 VLAN 必须在 AP 上联口放行。4.3 VLAN 间能通但上不了外网现象办公区能 ping 通财务区但 ping 不通外网地址。原因核心交换机上没有默认路由或者出口路由器的回程路由没写或者 NAT 的 ACL 没匹配到对应网段。解决在核心上display ip routing-table看有没有 0.0.0.0/0 的路由在出口上确认回程路由覆盖了所有内网网段最后检查 NAT 的 ACL 规则是否放行了源地址。三层通、出口不通基本就是这三处之一。4.4 eNSP 设备启动失败或频繁掉线现象拓扑加载后设备起不来或者跑着跑着设备变灰。原因eNSP 对系统资源和虚拟化环境有要求设备太多、内存不够、或者虚拟网卡冲突都会导致这个问题。解决减少同时启动的设备数量关掉不用的虚拟网卡确认 VirtualBox 版本和 eNSP 兼容。我一般建议先启动核心和出口稳定后再逐个启动接入和无线设备别一次性全开。4.5 配置保存后重启丢失现象设备重启后配置回到初始状态。原因eNSP 里设备配置默认在内存里不保存就重启会丢。解决每次改完配置执行save确认保存成功后再重启。这个坑新手最容易踩配了一下午没保存重启全没了血泪经验。5. 进阶技巧用 ACL 和流分类把访客网真正隔离干净基础拓扑跑通之后真正体现网络规划设计水平的是策略。访客 VLAN 30 如果不做限制访客用户能直接访问办公区和财务区这在真实项目里是安全事故。常见做法是在核心交换机上用高级 ACL 做 VLAN 间访问控制。# 禁止访客网访问办公和财务网段 acl number 3000 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 15 permit ip source 192.168.30.0 0.0.0.255 quit # 在访客网关接口上应用 interface Vlanif30 traffic-filter inbound acl 3000 quit这段 ACL 的逻辑是先拒绝访客到办公、访客到财务的流量最后放行访客的其他流量主要是出外网。规则顺序很重要ACL 是从上往下匹配的permit放最后才能保证前面拒绝的生效、后面的正常放行。应用方向是inbound在访客网关的入方向过滤流量一进来就被拦效率最高。验证方法是拿一台接在 VLAN 30 的终端ping 办公区网关 192.168.10.1 应该不通ping 外网地址应该通。如果两个都不通说明 permit 规则没生效或者应用方向反了如果两个都通说明 ACL 没应用上或者规则顺序写反了。再进一步可以用流分类做更细的限速比如限制访客网的下行带宽# 在出口路由器上对访客网限速 acl number 2001 rule 5 permit source 192.168.30.0 0.0.0.255 quit traffic classifier guest operator and if-match acl 2001 quit traffic behavior guest-behavior car cir 4096 # 限制为 4Mbps quit traffic policy guest-policy classifier guest behavior guest-behavior quit interface GigabitEthernet0/0/1 traffic-policy guest-policy outbound quitcar cir 4096的单位是 kbps4096 就是 4Mbps按实际带宽需求改。流策略应用在出口的外网口出方向这样访客网出去的所有流量都被限速。这套组合拳打下来访客网既不能碰内网资源又不会占满出口带宽才算真正隔离干净。从那以后我每次做完基础连通性验证都会强制走一遍策略测试拿不同 VLAN 的终端互相 ping、测外网、测限速确认每条 ACL 和流策略都按预期生效。拓扑能通只是及格策略对了才算交付。希望帮到你。本文还有配套的精品资源点击获取
简介这份资源面向网络工程专业学生、课设与毕设实践者以及备考网工证的考生提供一套基于华为eNSP模拟器搭建的典型中小型企业网完整方案并额外加入无线WLAN模块帮助读者在虚拟环境中完成从规划设计到功能验证的全流程演练。压缩包共21个文件包含9个efz设备镜像、6个xml终端配置、3个zip配置备份、1个cfg配置文件、1个docx项目报告以及1个topo拓扑文件整体约949KB体积轻便却覆盖了拓扑还原与文档说明两类核心需求。项目报告系统梳理了设计思路、拓扑结构分析、配置步骤与代码以及网络功能测试技术点涵盖VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN与防火墙配置兼顾网络规划设计与安全优化。目前已有5478人学习下载适合希望直接复用拓扑、对照报告理解配置逻辑或跟随文档动手实践以巩固排错思路的读者参考。1. 从零搭一套带无线的企业网这套 eNSP 拓扑到底能解决什么很多做网络运维的朋友第一次接触 eNSP都是被同一个场景逼的公司要新建一个办公区有线要通、无线要通、访客要隔离、财务要单独划 VLAN预算有限不可能先买一堆真机试错。这时候一套能跑通的典型中小型企业网拓扑价值就出来了。这份资源给的就是这么一套东西——基于 eNSP 搭建的中小型企业网完整实验带无线覆盖涵盖出口路由、核心交换、接入层、ACAP 无线组网、VLAN 划分、DHCP、NAT 和基础安全策略。它适合三类人准备网络规划设计课程设计的学生、要考 HCIA/HCIP 想找完整拓扑练手的从业者、以及需要给小型办公场景做方案验证的工程师。整套拓扑在模拟器里就能跑不用真机改参数、拔线、看现象都随便折腾这是它最实在的地方。2. 拓扑拆解出口、核心、接入、无线四层怎么分工2.1 为什么是四层结构而不是扁平组网中小型企业网最常见的翻车点就是图省事把所有设备塞进一个网段。几十台机器的时候看不出问题一旦要分部门、要控访问、要接无线广播域一大ARP 风暴和广播泛洪就来了排查起来基本是黑匣子。这套拓扑用的是经典的四层分工出口层负责内外网转换和边界安全核心层负责 VLAN 间路由和策略下发接入层负责终端接入和端口隔离无线层由 AC 加 AP 组成单独管理 SSID 和无线用户。这么分的直接好处是故障域清晰。出口不通你只看出口设备某个 VLAN 上不了网你从核心的三层接口往下查无线连不上先看 AP 上线没有再看 AC 的 CAPWAP 隧道通不通。每一层职责单一排错路径短。我一般建议新手就按这个结构练别一上来搞什么堆叠、双机热备先把单点跑通再谈冗余。2.2 设备选型和接口规划在 eNSP 里出口一般用 AR 系列路由器核心用三层交换机接入用二层交换机无线用 AC6605 加 AP 系列。具体型号按你装的 eNSP 版本里有的来选不同版本设备库不完全一样这点后面避坑章会细说。接口规划上核心交换机和出口路由器之间用三层互联划一个小网段专门跑路由比如 10.0.0.0/30。核心往下连接入交换机用 Trunk 放行所有业务 VLAN。接入交换机连终端的口划 Access连 AP 的口要划成 Trunk 并放行管理 VLAN 和业务 VLAN因为 AP 的管理流量和用户流量是分开的。一个典型的 VLAN 规划表长这样VLAN ID用途网段网关位置10办公区192.168.10.0/24核心三层20财务192.168.20.0/24核心三层30访客192.168.30.0/24核心三层100设备管理192.168.100.0/24核心三层200AP 管理192.168.200.0/24核心三层这张表是整个配置的骨架后面所有 DHCP、ACL、路由都围着它转。网段你可以按实际改但建议保留管理 VLAN 和业务 VLAN 分离的习惯不然设备管理和用户流量混在一起出问题很难定位。2.3 出口路由与 NAT 配置出口路由器要干两件事对内做默认路由指向核心对外做 NAT 让内网能访问外网。eNSP 里可以用一个 Loopback 口模拟外网或者接一台模拟 ISP 的路由器。# 出口路由器基础配置 sys sysname GW-Router interface GigabitEthernet0/0/0 ip address 10.0.0.1 30 # 与核心互联的三层口 interface GigabitEthernet0/0/1 ip address 202.100.1.1 30 # 模拟外网口 quit # 回程路由告诉路由器内网网段怎么走 ip route-static 192.168.0.0 255.255.0.0 10.0.0.2 # NAT 配置让内网能出去 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quit这段配置的逻辑是先给两个物理口配地址然后用一条静态路由把去往所有 192.168.x.x 的流量丢给核心交换机最后用 ACL 匹配内网源地址在外网口做 NAT 转换。参数上要注意ip route-static的掩码写的是 255.255.0.0一条就覆盖了所有 192.168 开头的网段比每个 VLAN 写一条省事。ACL 2000 是基础 ACL只匹配源地址0.0.255.255是反掩码表示后两段任意。NAT outbound 挂在出接口上这是最容易配的方式适合中小场景。2.4 核心交换机的 VLAN 与三层路由核心交换机是整个网络的中枢VLAN 创建、三层接口、DHCP 中继都在这上面。# 核心交换机配置 sys sysname Core-SW vlan batch 10 20 30 100 200 # 配置各 VLAN 的三层网关 interface Vlanif10 ip address 192.168.10.1 24 interface Vlanif20 ip address 192.168.20.1 24 interface Vlanif30 ip address 192.168.30.1 24 interface Vlanif100 ip address 192.168.100.1 24 interface Vlanif200 ip address 192.168.200.1 24 quit # 上联出口的三层口 interface GigabitEthernet0/0/1 undo portswitch ip address 10.0.0.2 30 quit # 默认路由指向出口 ip route-static 0.0.0.0 0.0.0.0 10.0.0.1 # 下联接入交换机的 Trunk 口 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 100 200 quit关键点在undo portswitch三层交换机默认接口是二层口要当三层口用必须先切模式。Vlanif 接口就是各 VLAN 的网关终端把网关指向对应的 Vlanif 地址。默认路由指向出口这样内网访问外网的流量就有了出口。Trunk 口放行所有业务 VLAN接入层才能把不同 VLAN 的流量透传上来。2.5 接入层与端口隔离接入交换机相对简单主要做 VLAN 划分和端口类型配置。# 接入交换机配置 sys sysname Access-SW vlan batch 10 20 30 100 200 # 上联核心的 Trunk 口 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 100 200 quit # 办公区终端接入口 interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit # AP 接入口Trunk 放行管理 VLAN 和业务 VLAN interface GigabitEthernet0/0/3 port link-type trunk port trunk pvid vlan 200 port trunk allow-pass vlan 10 200 quitAP 接入口这里有个细节port trunk pvid vlan 200把 AP 的管理流量打上 VLAN 200 的标签这样 AP 拿管理地址、和 AC 建隧道都走这个 VLAN。业务 VLAN 10 也放行无线用户的数据流量从这条 Trunk 上去。如果 pvid 配错AP 可能拿不到地址上线就失败这是无线部分最常见的坑之一。3. 无线部分AC 加 AP 到底怎么配才上线3.1 CAPWAP 隧道与 AP 上线流程无线这块是很多人卡住的地方。AC 和 AP 之间靠 CAPWAP 协议建隧道AP 上线要经过几个阶段AP 上电后先通过 DHCP 拿管理地址然后发 Discovery 报文找 ACAC 回应后双方建 CAPWAP 隧道最后 AC 把配置下发给 AP。任何一步断了AP 都上不了线。在 eNSP 里AP 的管理地址通常由核心交换机的 DHCP 分配所以你要先在核心上配好 VLAN 200 的 DHCP 地址池并且用option 43告诉 AP 去哪里找 AC。# 核心交换机上的 DHCP 配置 dhcp enable ip pool ap-pool network 192.168.200.0 mask 255.255.255.0 gateway-list 192.168.200.1 option 43 sub-option 2 ip-address 192.168.100.1 # 指向 AC 的地址 quit interface Vlanif200 dhcp select global quitoption 43是 AP 找 AC 的关键sub-option 2后面跟 AC 的 IP。如果这里写错或者漏配AP 会一直停在 Discovery 阶段你在 AC 上看display ap all就是空的。这个参数我见过太多人栽在上面明明 DHCP 能拿到地址AP 就是不上线查半天才发现 option 43 没写对。3.2 AC 侧 WLAN 业务配置AC 上要配的东西分几块AP 认证、WLAN 业务、安全模板、VAP 模板。# AC 配置 sys sysname AC wlan # 指定 CAPWAP 源接口 capwap source interface Vlanif100 # AP 认证方式MAC 认证或不认证 ap auth-mode no-auth # 安全模板WPA2 加密 security-profile name sec-wpa2 security wpa2 psk pass-phrase MyPassword123 aes quit # SSID 模板 ssid-profile name ssid-office ssid Office-WiFi quit # VAP 模板绑定安全模板和 SSID vap-profile name vap-office security-profile sec-wpa2 ssid-profile ssid-office service-vlan vlan-id 10 quit # 把 VAP 模板下发给 AP ap-group name default vap-profile vap-office wlan 1 radio 0 vap-profile vap-office wlan 1 radio 1 quitcapwap source interface Vlanif100指定 AC 用哪个接口和 AP 建隧道这个地址必须和 option 43 里写的一致。安全模板里wpa2 psk是预共享密钥模式适合中小场景aes是加密算法。VAP 模板把 SSID、安全策略、业务 VLAN 绑在一起最后通过 ap-group 下发给 AP。业务 VLAN 填 10无线用户就会落到办公区网段和有线用户在同一广播域。3.3 无线用户拿地址与转发方式无线用户的 DHCP 请求有两种转发方式隧道转发和直接转发。隧道转发是用户流量先到 AC 再出去直接转发是用户流量在 AP 本地就进业务 VLAN。中小场景一般用直接转发减轻 AC 压力。# 在 VAP 模板里指定转发方式 vap-profile name vap-office forward-mode direct-forward quit直接转发模式下无线用户的 DHCP 请求从 AP 的 Trunk 口带着 VLAN 10 的标签上去核心交换机的 DHCP 收到后分配 192.168.10.x 的地址。所以核心上 VLAN 10 的 DHCP 池必须配好否则无线用户连上 SSID 也拿不到地址。这个链路是AP 上线 → SSID 广播 → 用户关联 → DHCP 请求走 Trunk → 核心分配地址。任何一环断了现象都是连不上或者拿不到 IP。4. 避坑与排查这套拓扑最容易翻车的五个地方4.1 AP 一直不上线AC 上看不到现象AP 上电后指示灯异常AC 上display ap all显示为空或者 AP 状态一直是 fault。原因九成是 option 43 没配或者配错AP 找不到 AC 的地址。其次是 CAPWAP 源接口指定的地址和 option 43 不一致或者 AP 管理 VLAN 的 Trunk 没放行。解决先在 AP 上确认能不能拿到管理地址再看 option 43 的 IP 是不是 AC 的地址最后检查 AC 的capwap source interface是不是同一个地址。三个地址必须完全一致差一个数字都不行。4.2 无线用户连上 SSID 但拿不到 IP现象手机或笔记本能搜到 SSID、能输入密码关联但一直停在“正在获取 IP 地址”。原因业务 VLAN 的 DHCP 没配或者 AP 的 Trunk 口没放行业务 VLAN或者转发模式配错导致流量路径不对。解决先确认核心上业务 VLAN 的 DHCP 池存在且dhcp select已开再检查 AP 上联口的 Trunk 是否放行了业务 VLAN最后确认 VAP 模板里的service-vlan和forward-mode是否匹配。直接转发模式下业务 VLAN 必须在 AP 上联口放行。4.3 VLAN 间能通但上不了外网现象办公区能 ping 通财务区但 ping 不通外网地址。原因核心交换机上没有默认路由或者出口路由器的回程路由没写或者 NAT 的 ACL 没匹配到对应网段。解决在核心上display ip routing-table看有没有 0.0.0.0/0 的路由在出口上确认回程路由覆盖了所有内网网段最后检查 NAT 的 ACL 规则是否放行了源地址。三层通、出口不通基本就是这三处之一。4.4 eNSP 设备启动失败或频繁掉线现象拓扑加载后设备起不来或者跑着跑着设备变灰。原因eNSP 对系统资源和虚拟化环境有要求设备太多、内存不够、或者虚拟网卡冲突都会导致这个问题。解决减少同时启动的设备数量关掉不用的虚拟网卡确认 VirtualBox 版本和 eNSP 兼容。我一般建议先启动核心和出口稳定后再逐个启动接入和无线设备别一次性全开。4.5 配置保存后重启丢失现象设备重启后配置回到初始状态。原因eNSP 里设备配置默认在内存里不保存就重启会丢。解决每次改完配置执行save确认保存成功后再重启。这个坑新手最容易踩配了一下午没保存重启全没了血泪经验。5. 进阶技巧用 ACL 和流分类把访客网真正隔离干净基础拓扑跑通之后真正体现网络规划设计水平的是策略。访客 VLAN 30 如果不做限制访客用户能直接访问办公区和财务区这在真实项目里是安全事故。常见做法是在核心交换机上用高级 ACL 做 VLAN 间访问控制。# 禁止访客网访问办公和财务网段 acl number 3000 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 15 permit ip source 192.168.30.0 0.0.0.255 quit # 在访客网关接口上应用 interface Vlanif30 traffic-filter inbound acl 3000 quit这段 ACL 的逻辑是先拒绝访客到办公、访客到财务的流量最后放行访客的其他流量主要是出外网。规则顺序很重要ACL 是从上往下匹配的permit放最后才能保证前面拒绝的生效、后面的正常放行。应用方向是inbound在访客网关的入方向过滤流量一进来就被拦效率最高。验证方法是拿一台接在 VLAN 30 的终端ping 办公区网关 192.168.10.1 应该不通ping 外网地址应该通。如果两个都不通说明 permit 规则没生效或者应用方向反了如果两个都通说明 ACL 没应用上或者规则顺序写反了。再进一步可以用流分类做更细的限速比如限制访客网的下行带宽# 在出口路由器上对访客网限速 acl number 2001 rule 5 permit source 192.168.30.0 0.0.0.255 quit traffic classifier guest operator and if-match acl 2001 quit traffic behavior guest-behavior car cir 4096 # 限制为 4Mbps quit traffic policy guest-policy classifier guest behavior guest-behavior quit interface GigabitEthernet0/0/1 traffic-policy guest-policy outbound quitcar cir 4096的单位是 kbps4096 就是 4Mbps按实际带宽需求改。流策略应用在出口的外网口出方向这样访客网出去的所有流量都被限速。这套组合拳打下来访客网既不能碰内网资源又不会占满出口带宽才算真正隔离干净。从那以后我每次做完基础连通性验证都会强制走一遍策略测试拿不同 VLAN 的终端互相 ping、测外网、测限速确认每条 ACL 和流策略都按预期生效。拓扑能通只是及格策略对了才算交付。希望帮到你。本文还有配套的精品资源点击获取
