企业官网建设流程全解析

简介：这份资源是华为ICT大赛2022-2023网络赛道国赛实验ESNP的真题与完整详细答案合集，面向备战华为ICT大赛的高校学生、网络技术学习者及指导教师，帮助解决国赛实验环境搭建难、配置思路不清晰、缺少权威参考答案等问题。压缩包共34个文件，约82KB，以efz设备镜像、cfg配置文件、xml终端描述、topo拓扑及zip配置包为主，分别对应设备启动、配置导入、终端定义与网络结构还原，并区分完整实验环境与仅拓扑两个版本，便于按需选用。目前已有1032人学习下载，热度较高。读者可借助完整版复现真实赛题场景，对照答案检验路由交换、服务部署与故障排查能力；也可用拓扑版专注架构设计与数据流向分析，是赛前模拟训练与查漏补缺的实用材料。

1. 华为ICT大赛网络赛道国赛实验ESNP：一份能让你少走弯路的真题复盘

如果你正在备战华为ICT大赛网络赛道，大概率已经刷过不少模拟题，但真正到了国赛级别的实验环节，你会发现一个很现实的问题：平时练的那些单点配置，放到一张完整拓扑里根本串不起来。这份2022-2023网络赛道国赛实验ESNP资源，核心价值不在于“又多了一套题”，而在于它把国赛现场那种多协议叠加、故障点隐蔽、时间压力拉满的场景还原了出来，并且附带了完整的详细答案。适合谁？适合已经掌握HCIA/HCIP基础，能独立完成VLAN、OSPF、BGP基本配置，但一遇到综合排错就卡壳的选手。也适合带队的指导老师拿来当集训素材，因为答案里对每一步的验证命令和预期输出写得比较细，省去了自己反复试错的时间。ESNP这个环节在国赛里往往是拉开差距的关键，不是因为它考得多偏，而是因为它要求你在有限时间内把路由、交换、安全、WLAN几个模块的配置逻辑全部打通，任何一个环节的疏忽都会导致后续验证失败。

2. ESNP实验环境拆解：拓扑、设备与预配置怎么读

2.1 拓扑结构里藏着的考点分布

拿到这份实验资源，第一件事不是急着敲命令，而是把拓扑图读透。国赛级别的ESNP拓扑通常不会给你一张干干净净的图，而是会在设备命名、接口编号、IP地址规划上埋一些线索。比如设备命名如果是“BJ-Core-01”“SH-AGG-02”这种带地域缩写的，大概率涉及跨区域路由策略；如果接口编号跳号，比如G0/0/1直接跳到G0/0/3，那中间被省略的接口很可能就是故障点或者预留的扩展口。我一般会先做三件事：把拓扑按区域拆成几个逻辑块，标出每个块之间的边界设备，然后对照题目要求把每个边界上需要跑什么协议、做什么策略列出来。这份资源里的拓扑覆盖了典型的三层架构：核心层跑OSPF做IGP，汇聚层做VLAN终结和DHCP中继，接入层配端口隔离和风暴控制。边界上还有一台防火墙和一台AC，分别对应安全策略和WLAN配置。读拓扑的时候要特别注意那些“看起来多余”的链路，比如两台核心之间除了主链路还有一条备份链路，那基本就是考你BFD或者接口联动。

2.2 设备型号与VRP版本对命令的影响

实验里用的设备型号和VRP版本直接决定了你敲的命令能不能生效。这份资源里涉及的是华为AR系列路由器和S系列交换机，VRP版本在5.x到8.x之间。别小看这个差异，比如在VRP 5.x里配OSPF的认证，命令是authentication-mode md5，到了8.x就变成了authentication-mode hmac-md5，参数不匹配直接报错。再比如DHCP中继，老版本要在接口下配dhcp select relay再指定服务器组，新版本有些型号默认就开了中继功能，多敲反而冲突。我一般会在实验开始前先敲一条display version确认版本，然后display current-configuration看一眼预配置里有没有已经配好的东西。预配置里如果有sysname和接口IP，说明基础连通性已经给了，你只需要关注上层协议；如果预配置是空的，那连IP规划都得自己来，时间分配就要重新调整。这份资源的预配置给得比较克制，只配了设备名和部分接口的物理参数，逻辑地址和路由协议全部留白，这其实更接近国赛的真实节奏。

2.3 从需求描述反推配置顺序

题目给的需求描述往往是一大段文字，新手容易看晕。我的习惯是把需求拆成“必须通”和“必须禁”两类。必须通的是指那些要求能ping通、能访问特定服务的条目，比如“PC1能通过DHCP获取地址并访问Server1的HTTP服务”；必须禁的是指那些要求被过滤、被拒绝的条目，比如“研发部不能访问财务部服务器”。拆完之后，先做必须通的，因为通了之后才能验证；再做必须禁的，因为策略配早了可能会把自己也挡在外面。这份资源里的需求描述大概有十几条，涉及VLAN间路由、OSPF区域划分、BGP邻居建立、NAT地址转换、ACL流量过滤、WLAN的SSID和认证配置。配置顺序上，我建议先二层后三层，先IGP后EGP，先路由后策略，最后做WLAN和防火墙。因为WLAN依赖底层网络通，防火墙策略依赖路由表正确，顺序反了就会陷入“怎么都不通”的玄学状态。

3. 核心配置实战：从VLAN到BGP的逐段打通

3.1 二层基础：VLAN、Trunk与链路聚合

二层是整张网的地基，地基没打好，后面三层协议全白搭。这份资源里接入层交换机需要创建多个VLAN，并且把连接AP的接口配成Trunk，允许管理VLAN和业务VLAN通过。链路聚合用的是Eth-Trunk，模式是LACP。配置的时候有个细节：如果两端设备一个用LACP一个用静态，聚合口能起来但流量会断断续续，这种问题在实验里特别难查，因为display eth-trunk看状态是Up的。我一般会在两端都强制LACP，并且把活动链路数设成和实际物理链路数一致。

# 接入交换机SW1配置 sysname SW1 vlan batch 10 20 30 100 interface Eth-Trunk 1 mode lacp-static load-balance src-dst-mac interface GigabitEthernet 0/0/1 eth-trunk 1 interface GigabitEthernet 0/0/2 eth-trunk 1 interface Eth-Trunk 1 port link-type trunk port trunk allow-pass vlan 10 20 30 100

这段配置里mode lacp-static是强制LACP模式，load-balance src-dst-mac是负载分担方式，国赛环境里通常要求基于源目MAC做负载，因为流量模型比较杂。port trunk allow-pass后面跟的VLAN列表要跟对端严格一致，少一个VLAN就会导致那个VLAN的用户不通。配完之后用display eth-trunk 1 verbose看成员口状态，两个成员口都应该是Selected。

3.2 三层路由：OSPF多区域与BGP邻居建立

三层路由是ESNP的重头戏。这份资源里OSPF划分了骨干区域0和非骨干区域1，区域边界路由器ABR要做路由汇总。BGP部分要求核心路由器之间建立IBGP邻居，并且和外部路由器建立EBGP邻居。OSPF的坑主要在区域认证和网络类型上，如果接口是广播类型但邻居起不来，可以试试改成P2P。BGP的坑在邻居状态机上，Idle一般是路由不可达，Active一般是TCP连不上，Connect卡住多半是ACL挡了179端口。

# 核心路由器Core1配置 ospf 1 router-id 1.1.1.1 area 0.0.0.0 authentication-mode md5 1 cipher Huawei@123 network 10.0.1.0 0.0.0.255 area 0.0.0.1 authentication-mode md5 1 cipher Huawei@123 network 10.0.2.0 0.0.0.255 abr-summary 10.0.2.0 255.255.254.0 bgp 100 router-id 1.1.1.1 peer 2.2.2.2 as-number 100 peer 2.2.2.2 connect-interface LoopBack0 peer 3.3.3.3 as-number 200 peer 3.3.3.3 ebgp-max-hop 2 ipv4-family unicast network 10.0.1.0 255.255.255.0 peer 2.2.2.2 enable peer 3.3.3.3 enable

OSPF部分abr-summary做的是区域间路由汇总，把区域1的明细路由聚合成一条，减少骨干区域的路由表规模。BGP部分connect-interface LoopBack0是用环回口建邻居，这样物理口断了邻居也不会断，但前提是LoopBack0的地址要能路由可达。ebgp-max-hop 2是因为EBGP邻居之间隔了一台设备，默认TTL是1，不改的话邻居起不来。配完BGP后用display bgp peer看状态，Established才算成功。

3.3 策略与安全：ACL、NAT与防火墙域间策略

策略部分考的是精细控制。这份资源里要求用ACL限制特定网段访问服务器，同时用NAT让内网能访问外网。ACL的坑在于通配符掩码，0.0.0.255是匹配一个C类网段，0.0.0.0是匹配一个地址，写反了策略就完全失效。NAT的坑在于nat outbound和nat server的方向，前者是内网出外网，后者是外网进内网，配反了要么上不了网要么服务器暴露。

# 边界路由器NAT与ACL配置 acl number 3000 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 10 permit ip source 192.168.10.0 0.0.0.255 interface GigabitEthernet 0/0/1 nat outbound 3000 nat server protocol tcp global 202.1.1.1 80 inside 192.168.30.10 80

ACL 3000里先拒绝研发部访问财务部，再允许研发部访问其他所有地址，顺序不能反，因为ACL是自上而下匹配的。nat outbound 3000是让匹配ACL的流量做源地址转换，nat server是把公网地址的80端口映射到内网服务器。防火墙部分要配安全区域和域间策略，trust到untrust默认是放行的，但untrust到trust默认拒绝，所以外网访问服务器需要在防火墙上单独放行。

4. 避坑与排查：ESNP实验里最容易翻车的五个点

4.1 现象：OSPF邻居卡在ExStart，原因：MTU不匹配，解决：接口下改MTU

这个坑我踩过不止一次。两台路由器OSPF邻居状态一直停在ExStart，display ospf peer看是Exchange阶段失败。查了半天发现是两端接口的MTU不一样，一端是1500一端是1492。OSPF在DD报文交换阶段会协商MTU，不一致就直接卡住。解决办法是在接口下用mtu 1500强制统一，或者用ospf mtu-ignore忽略MTU检查。国赛环境里有些链路是模拟的，MTU可能被改过，所以配OSPF之前先display interface看一眼MTU值。

4.2 现象：BGP邻居频繁震荡，原因：路由环路或Hold时间不一致，解决：检查路由表和定时器

BGP邻居一会儿Established一会儿Idle，display bgp peer log里能看到Hold timer expired。这种情况多半是底层路由不稳定，或者两端Hold时间差太多。先查路由表，看邻居的LoopBack地址是不是有两条等价路由在来回切换。再查定时器，display bgp peer verbose看Hold time，默认是180秒，如果一端改成了60一端没改，就会频繁超时。解决办法是统一定时器，或者用peer keepalive和peer hold显式指定。

4.3 现象：DHCP客户端拿不到地址，原因：中继配置漏了服务器组或接口没使能，解决：逐段验证

DHCP中继的配置有三步：全局使能DHCP、接口下指定中继模式、指定服务器组。漏了任何一步客户端都拿不到地址。我一般会先在服务器端display ip pool看地址池有没有分配记录，如果没有，说明请求根本没到服务器；再在中继设备上display dhcp relay看统计，如果Request有计数但Reply是零，说明服务器回了但中继没转发。最后检查接口下的dhcp select relay和dhcp relay server-select，这两个命令少一个都不行。

4.4 现象：WLAN客户端连上但上不了网，原因：CAPWAP隧道或VLAN池配错，解决：查AC和AP的隧道状态

WLAN部分最容易出问题的是CAPWAP隧道。AP能上线但客户端拿不到IP，多半是AP的VLAN池没配对，或者AC上的capwap source interface指错了地址。先在AC上display ap all看AP状态，nor是正常，fault要看具体原因。再display station all看客户端关联状态，如果客户端显示Assoc但没Run，说明认证过了但数据通道没通。这时候要查AP的vap模板和service-vlan，确保业务VLAN和AC上的配置一致。

4.5 现象：策略路由不生效，原因：ACL匹配顺序或下一跳不可达，解决：用流策略统计验证

策略路由配了但流量还是走默认路由，先看ACL有没有匹配到流量。在接口下用display traffic-policy statistics看计数，如果Matched是零，说明ACL写错了。如果Matched有计数但Forwarded是零，说明下一跳不可达。策略路由的下一跳必须是路由表里已经存在的，否则策略不生效。我一般会在配策略路由之前先ping一下下一跳，确保可达再配。

5. 从答案反推评分逻辑：验证命令与时间分配技巧

5.1 用答案里的验证命令做自检

这份资源的详细答案里，每个配置段后面都跟了验证命令和预期输出。很多人只看配置不看验证，这是最大的浪费。我一般会把答案里的验证命令单独抄出来，做成一个检查清单，每配完一个模块就跑一遍。比如OSPF配完跑display ospf peer brief，BGP配完跑display bgp peer，NAT配完跑display nat session all。这些命令的输出里，关键字段要能一眼看出来对不对，比如OSPF的State必须是Full，BGP的State必须是Established，NAT的Session要有Active记录。如果输出不对，先别急着改配置，用display current-configuration对比答案，看是哪条命令敲错了或者漏了。

5.2 时间分配：先通后优，先易后难

国赛ESNP的时间通常很紧，我建议把时间切成三块：前40%做基础连通，中间40%做策略和优化，最后20%做验证和排错。基础连通包括VLAN、Trunk、IP地址、OSPF、BGP，这些是必得分，先做完。策略和优化包括ACL、NAT、WLAN、防火墙，这些是拉分项，但依赖基础连通，所以放在中间。验证和排错放在最后，因为这时候你已经有完整的配置了，跑一遍验证命令就能发现大部分问题。如果某个模块卡了超过10分钟，先跳过，把后面的做完再回来，有时候后面的配置会给你灵感。

5.3 一个具体技巧：用display diagnostic-information抓全量信息

排错的时候最怕信息不全，一条条敲display命令太慢。我一般会在实验最后留5分钟，敲一条display diagnostic-information，把当前所有诊断信息保存下来。这个命令会输出几百行，包括接口状态、路由表、ARP表、日志缓冲区。如果实验允许保存配置文件，再敲一条save，把配置存到设备上。这样即使后面发现哪里不对，也能对着诊断信息慢慢分析，不用重新配一遍。从那以后我每次做ESNP实验，不管时间多紧，都会强制走一遍display diagnostic-information加save的流程，这个习惯帮我省下了至少两次重配的时间。希望帮到你。

本文还有配套的精品资源，点击获取