企业官网建设流程全解析

简介：本资源是面向高校网络工程专业师生及初学者的校园网综合模拟实验项目，基于华为ENSP平台构建华中科技大学典型校园网络拓扑，覆盖VLAN划分、OSPF动态路由配置、DHCP地址自动分配、无线AP接入与集中管控等核心网络工程实践内容，适用于课程实验、毕业设计及岗位技能实训。压缩包共35个文件，含19个.efz设备配置快照（记录各节点完整配置状态）、6个.xml拓扑元数据、2个.topo主拓扑文件、1个README.md说明文档、1个.docx附赠资源清单及1个.txt基础说明，整体仅117KB，轻量便携，便于快速导入ENSP复现实验环境。已有206人学习下载，资源结构清晰、模块完整，提供从物理连接到无线策略落地的全链路配置范例，特别包含多区域VLAN隔离策略、AP信道与功率调优参数、跨VLAN DHCP中继部署细节及ACL访问控制逻辑，可直接用于教学演示或自主排错训练。

1. 这不是“画个拓扑就完事”的模拟：华中科技大学校园网络模拟项目，本质是用ENSP把真实高校网络的“血肉”一层层剥开练手

你打开ENSP，拖出几台S5700、AR2200、AC6005，连上线、配IP、敲几条vlan batch——这叫“能跑通”。但华中科技大学这个项目标题里藏着的，是高校网络工程教学最痛的三个断层：VLAN划分不是为了分组，而是为隔离教务网、宿舍网、实验室网三类业务域；DHCP不是配个地址池就完，得让无线AP自动获取管理地址、学生终端拿到正确网段、打印机固定IP不漂移；路由协议不是选OSPF还是RIP，而是要让三层交换机和AR路由器在骨干链路上形成无环收敛，同时给无线控制器AC留出独立管理通道。它不面向考试刷题，而面向真实机房里凌晨三点排查VLAN间通信失败的现场。适合两类人：一是刚带实验课的青年教师，需要一套可拆解、可验证、可扩展的教学底座；二是准备华为数通HCIA/HCIP认证的学生，这套环境能覆盖90%实操考点——从port trunk pvid vlan 10的语义陷阱，到dhcp enable后必须补的dhcp select interface，再到AC上wlan ac视图下ap-group name default-group绑定失败的真实报错。它不是玩具，是压缩了真实校园网复杂度的黑匣子训练舱。

2. 从拓扑骨架到业务血脉：ENSP中还原华科大典型三层架构的硬核配置路径

2.1 核心层：三层交换机（S5700）的VLAN与路由协议双轨配置

高校核心层必须承载多业务隔离与跨VLAN转发。本项目采用S5700作为核心交换机，承担VLAN终结、OSPF域内路由、DHCP中继三大职能。关键不是“开了VLAN”，而是VLAN ID规划必须匹配物理区域逻辑：VLAN 10（教务办公）、VLAN 20（学生宿舍）、VLAN 30（实验室）、VLAN 100（无线管理）。注意：VLAN 100必须独立于业务VLAN，否则AC无法脱离学生流量干扰。

配置核心交换机时，先创建VLAN并分配SVI接口：

# 创建VLAN并进入VLAN视图 [Huawei] vlan batch 10 20 30 100 [Huawei] interface Vlanif 10 [Huawei-Vlanif10] ip address 192.168.10.1 24 [Huawei-Vlanif10] quit [Huawei] interface Vlanif 20 [Huawei-Vlanif20] ip address 192.168.20.1 24 [Huawei-Vlanif20] quit # ... 同理配置Vlanif30、Vlanif100

参数说明：ip address必须使用/24掩码，因高校常用C类网段；VLANIF接口IP即该网段默认网关，后续DHCP服务器需指向此地址。

OSPF配置需宣告所有业务网段及互联链路：

[Huawei] ospf 1 router-id 1.1.1.1 [Huawei-ospf-1] area 0.0.0.0 [Huawei-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [Huawei-ospf-1-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [Huawei-ospf-1-area-0.0.0.0] network 192.168.30.0 0.0.0.255 [Huawei-ospf-1-area-0.0.0.0] network 192.168.100.0 0.0.0.255 [Huawei-ospf-1-area-0.0.0.0] network 10.0.0.0 0.0.0.3 # 核心与AR路由器互联链路（/30）

逻辑说明：network命令中的反掩码（wildcard mask）必须精确匹配网段，0.0.0.255表示匹配前24位；10.0.0.0 0.0.0.3对应10.0.0.0/30链路，这是ENSP中模拟点对点互联的标准写法。若此处写成0.0.0.255，OSPF会错误宣告整个10.0.0.0/24，导致邻居建立失败。

2.2 汇聚层：AR2200路由器的DHCP服务与无线中继协同

AR2200在此项目中承担双重角色：一是作为出口路由器连接外网（模拟），二是作为DHCP主服务器为VLAN 20（宿舍）和VLAN 30（实验室）分配地址。注意：核心交换机S5700不直接提供DHCP服务，而是通过DHCP中继将请求转发至AR2200——这是高校网络常见设计，避免核心设备负载过高且便于集中管理。

在AR2200上启用DHCP并创建两个地址池：

[Huawei] dhcp enable [Huawei] ip pool dormitory [Huawei-ip-pool-dormitory] network 192.168.20.0 mask 255.255.255.0 [Huawei-ip-pool-dormitory] gateway-list 192.168.20.1 [Huawei-ip-pool-dormitory] dns-list 114.114.114.114 8.8.8.8 [Huawei-ip-pool-dormitory] excluded-ip-address 192.168.20.1 192.168.20.10 [Huawei-ip-pool-dormitory] quit [Huawei] ip pool lab [Huawei-ip-pool-lab] network 192.168.30.0 mask 255.255.255.0 [Huawei-ip-pool-lab] gateway-list 192.168.30.1 [Huawei-ip-pool-lab] dns-list 114.114.114.114 [Huawei-ip-pool-lab] excluded-ip-address 192.168.30.1 192.168.30.5 [Huawei-ip-pool-lab] quit

参数深挖：excluded-ip-address必须排除网关地址（如192.168.20.1）及预留管理地址（如打印机、摄像头），否则DHCP会分配冲突IP；dns-list至少配2个，防止单点失效；gateway-list必须与S5700上Vlanif20的IP一致，否则终端无法上网。

在S5700的Vlanif20接口上配置DHCP中继：

[Huawei] interface Vlanif 20 [Huawei-Vlanif20] dhcp select relay [Huawei-Vlanif20] dhcp relay server-ip 10.0.0.2 # AR2200的互联地址

关键逻辑：dhcp select relay开启中继模式，server-ip指向AR2200的互联接口IP（非Loopback），否则中继包无法送达。此处10.0.0.2是AR2200侧互联IP，S5700侧为10.0.0.1，需严格对应。

2.3 接入层：AC6005无线控制器与AP的零配置上线闭环

无线部分是本项目教学价值最高的模块。AC6005不直接管理用户流量，而是通过CAPWAP隧道控制AP，所有AP必须先获取管理IP（属于VLAN 100），再向AC注册。难点在于：AP如何自动获取VLAN 100的IP？AC如何识别并下发业务VLAN？

第一步：确保AP接入交换机端口已划入VLAN 100且为Access模式：

[Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 100 [Huawei-GigabitEthernet0/0/1] quit

第二步：在AC6005上配置DHCP为AP分配管理地址（VLAN 100）：

[AC6005] dhcp enable [AC6005] ip pool ap-mgmt [AC6005-ip-pool-ap-mgmt] network 192.168.100.0 mask 255.255.255.0 [AC6005-ip-pool-ap-mgmt] gateway-list 192.168.100.1 [AC6005-ip-pool-ap-mgmt] excluded-ip-address 192.168.100.1 192.168.100.10 [AC6005-ip-pool-ap-mgmt] quit [AC6005] interface Vlanif 100 [AC6005-Vlanif100] ip address 192.168.100.1 24 [AC6005-Vlanif100] dhcp select global

第三步：创建AP组并绑定WLAN业务模板：

[AC6005] wlan [AC6005-wlan-view] ap-group name default-group [AC6005-wlan-ap-group-default-group] quit [AC6005-wlan-view] regulatory-domain-profile name default [AC6005-wlan-regulate-default] country-code CN [AC6005-wlan-regulate-default] quit [AC6005-wlan-view] ap-id 1 ap-model AirEngine5760-22W [AC6005-wlan-ap-1] ap-name ap1 [AC6005-wlan-ap-1] ap-group default-group [AC6005-wlan-ap-1] quit [AC6005-wlan-view] security-profile name corp-security [AC6005-wlan-sec-corp-security] security wpa-wpa2 psk pass-phrase %^%#QaZx@123%^%# aes [AC6005-wlan-sec-corp-security] quit [AC6005-wlan-view] ssid-profile name corp-ssid [AC6005-wlan-ssid-corp-ssid] ssid Corp-WiFi [AC6005-wlan-ssid-corp-ssid] quit [AC6005-wlan-view] vap-profile name corp-vap [AC6005-wlan-vap-corp-vap] forward-mode direct-forward [AC6005-wlan-vap-corp-vap] service-vlan vlan-id 20 # 关键！业务VLAN映射 [AC6005-wlan-vap-corp-vap] security-profile corp-security [AC6005-wlan-vap-corp-vap] ssid-profile corp-ssid [AC6005-wlan-vap-corp-vap] quit [AC6005-wlan-view] ap-group name default-group [AC6005-wlan-ap-group-default-group] vap-profile corp-vap wlan 1

血泪经验：service-vlan vlan-id 20必须明确指定，否则AP虽上线但用户无法获取VLAN 20地址；forward-mode direct-forward表示流量本地转发（高校常用），若选tunnel则所有流量经AC，易成瓶颈；wpa-wpa2 psk密码必须含大小写字母+数字+特殊字符，ENSP中弱密码会被拒绝。

3. VLAN间通信失效？DHCP租约为空？AC找不到AP？——ENSP校园网模拟的五大高频翻车现场

3.1 现象：VLAN 20与VLAN 30互ping不通，但各自网关可达

原因：核心交换机S5700未开启三层路由功能，或OSPF未宣告对应网段。常见误操作是只配置了Vlanif接口IP，却忘记全局启用ip routing（S5700默认关闭三层转发）。
解决：执行[Huawei] ip routing，再检查OSPFdisplay ospf peer是否全邻接，display ip routing-table中是否有192.168.20.0/24和192.168.30.0/24直连路由。若无，确认network命令反掩码是否写错（如0.0.0.255误写为255.255.255.0）。

3.2 现象：学生终端获取不到IP，display dhcp statistics显示request包为0

原因：DHCP中继配置缺失或错误。S5700的Vlanif20接口未执行dhcp select relay，或server-ip指向错误地址（如填了AR2200的Loopback而非互联IP）。
解决：在S5700上执行display dhcp relay statistics，查看Relay Request计数是否增长；若为0，检查接口是否shutdown或VLAN未放行；若增长但无响应，用display dhcp relay server-address确认server-ip正确性，并在AR2200上display dhcp server lease验证地址池状态。

3.3 现象：AP在AC上状态为idle，反复重启仍无法注册

原因：AP获取的管理IP（VLAN 100）与AC不在同一网段，或AC未启用CAPWAP服务。ENSP中AC6005默认关闭CAPWAP，需手动开启。
解决：首先ping 192.168.100.1从AP侧测试连通性；若通，在AC上执行[AC6005] capwap source-interface Vlanif100绑定源接口，再[AC6005] capwap ac-source-address 192.168.100.1指定AC地址；最后[AC6005] wlan下ap-update enable确保固件同步。

3.4 现象：无线用户能连上WiFi但无法访问互联网，display arp中无网关MAC

原因：AC的VAP配置中forward-mode与实际网络不符。若选tunnel但核心交换机未配置CAPWAP隧道终结，或service-vlan未映射到正确业务VLAN。
解决：在AC上display vap-profile name corp-vap确认service-vlan值；在S5700上display mac-address检查VLAN 20内是否有AC的MAC（应为0000-0000-0001等虚拟MAC）；若无，检查AC是否在VLAN 20内启用了arp-proxy enable或配置了二层透传。

3.5 现象：AR2200作为出口路由器，display ip routing-table有缺省路由但学生终端无法上网

原因：缺省路由未下发至OSPF域，或核心交换机未重分发缺省路由。AR2200需将缺省路由注入OSPF，否则S5700不知如何到达外网。
解决：在AR2200的OSPF进程中执行default-route-advertise always，强制发布缺省路由；在S5700上display ospf routing确认0.0.0.0/0存在，且下一跳指向AR2200互联地址（10.0.0.2）。

4. 让ENSP不止于“能通”，用真实排错思维验证每一处配置

4.1 验证VLAN隔离强度：用ACL模拟网络域隔离策略

高校要求教务网与宿舍网逻辑隔离，仅允许特定端口互通。单纯靠VLAN不能满足审计要求，需叠加ACL。在S5700上为Vlanif10（教务）配置入方向ACL：

[Huawei] acl number 3000 [Huawei-acl-adv-3000] rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 [Huawei-acl-adv-3000] rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 [Huawei-acl-adv-3000] rule 15 permit ip [Huawei-acl-adv-3000] quit [Huawei] interface Vlanif 10 [Huawei-Vlanif10] traffic-filter inbound acl 3000

验证方法：从教务网PC（192.168.10.100）ping 192.168.20.100应超时，ping 192.168.30.100应通；用display acl 3000查看命中计数，确认规则生效。此步骤直击热搜词“网络域隔离-vlan划分与acl配置”。

4.2 DHCP租约真实性检验：抓包分析DISCOVER-OFFER-REQUEST-ACK全流程

ENSP自带Packet Capture功能，但默认不捕获CAPWAP和DHCP中继包。需在S5700的Vlanif20接口开启镜像：

[Huawei] observe-port interface GigabitEthernet 0/0/24 [Huawei] interface Vlanif 20 [Huawei-Vlanif20] mirror to observe-port both

然后在PC上释放并更新IP（ipconfig /release && ipconfig /renew），启动Wireshark捕获GigabitEthernet 0/0/24接口。重点过滤bootp，观察：

• DISCOVER是否从学生PC发出（源IP 0.0.0.0）
• OFFER是否由AR2200返回（目的IP 255.255.255.255）
• REQUEST是否包含Requested IP Addr字段（值为OFFER中的YIADDR）
• ACK中Your IP Addr是否与REQUEST匹配

玄学提示：若看到大量DHCPNAK，大概率是AR2200地址池耗尽或excluded-ip-address范围过小；若只有DISCOVER无响应，检查S5700中继配置及AR2200是否dhcp enable。

4.3 无线漫游连续性压测：用iperf3模拟高并发视频流

高校教室需支持50+终端同时接入4K直播。单纯连通不等于可用。在ENSP中部署两台PC作为iperf3客户端与服务端：

# 在VLAN 20内PC1（192.168.20.10）执行： iperf3 -s -p 5001 # 在VLAN 20内PC2（192.168.20.11）执行： iperf3 -c 192.168.20.10 -p 5001 -t 60 -i 5 -P 10

参数解读：-t 60持续60秒，-i 5每5秒输出一次统计，-P 10启用10个并行流模拟并发。观察S5700的CPU利用率（display cpu-usage），若>70%需调整QoS策略；同时在AC上display station ssid Corp-WiFi确认在线用户数与吞吐量匹配。此验证直指“ensp无线网络配置实例”落地效果。

5. 教学场景延伸：把ENSP校园网变成可迭代的实验沙盒

5.1 从静态配置到动态演进：添加MSTP防环与VRRP网关冗余

高校核心层绝不能单点故障。在现有S5700基础上，增加一台备用S5700组成双机热备：

• MSTP配置：在两台S5700上创建MST实例，将VLAN 10/20映射到Instance 1，VLAN 30/100映射到Instance 2，避免生成树阻塞关键链路。
• VRRP配置：为Vlanif10/20/30/100分别创建VRRP备份组，主设备优先级120，备设备100，vrrp vrid 10 virtual-ip 192.168.10.254。当主设备宕机，备机0.5秒内接管网关。

落地技巧：ENSP中VRRP需在Vlanif接口下配置，且virtual-ip必须与SVI接口IP同网段；MSTP的region-name和revision-level必须在两台设备上完全一致，否则实例无法同步。

5.2 从有线到无线融合：用AC6005实现基于用户的策略控制

当前WLAN按SSID粗粒度控制，但高校需精细化策略：教师账号走教务网VLAN 10，学生账号走宿舍网VLAN 20。这需对接Radius服务器（ENSP中可用Windows Server模拟）：

• 在AC上配置Radius模板：radius-server template radius-hust，指向Radius服务器IP
• 创建认证方案：authentication-scheme auth-hust，选择radius
• 绑定到WLAN业务：security-profile中authentication dot1x启用802.1X

关键参数：Radius共享密钥必须与服务器端严格一致；AC上display radius-server configuration可验证连通性；学生终端需安装802.1X客户端（如Windows内置），输入域账号密码。

5.3 从仿真到实战：导出配置脚本并适配真实华为设备

ENSP配置不能止于模拟。导出S5700配置后，需做三处适配才能烧录到真实设备：

1. 删除ENSP特有命令：如sysname Huawei需改为真实设备名，user-interface console 0后的idle-timeout 0 0在生产环境应设为10 0防超时断连；
2. 调整接口命名：ENSP中GigabitEthernet 0/0/1在真实S5700可能为GigabitEthernet1/0/1，需全局替换；
3. 补充安全加固：添加aaa认证、snmp-agent sys-info version v3、ssh server enable，禁用telnet。

我的习惯：每次ENSP实验后，用Notepad++正则替换interface GigabitEthernet (\d+)/(\d+)/(\d+)→interface GigabitEthernet$1/0/$2，再人工核对槽位号；导出前必执行save，否则配置丢失。这套流程让我带的学生在华科大信息中心实习时，第一次就能独立完成交换机配置迁移。希望帮到你。

本文还有配套的精品资源，点击获取