企业官网建设流程全解析

简介：这份资源面向网络工程专业学生、课设与毕设实践者以及备考网工证的考生，提供一套基于华为eNSP模拟器搭建的典型中小型企业网完整方案，并额外加入无线WLAN模块，帮助读者在虚拟环境中完成从规划到验证的全流程训练。压缩包共21个文件，约949KB，包含topo拓扑文件、cfg与efz设备配置、xml终端信息、vrpcfg配置归档以及docx项目报告，报告涵盖设计思路、拓扑结构分析、配置步骤与代码、功能测试等内容。技术覆盖面较广，涉及VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN与防火墙配置，兼顾网络规划设计、网络优化与网络安全等方向。目前已有5478人学习下载，可直接导入eNSP复现实验，也可对照报告理解配置逻辑与排错思路，适合需要快速完成课设、毕设或系统练习企业网综合配置的读者参考使用。

1. 从一台空配置的 eNSP 模拟器说起：中小型企业网带无线到底在搭什么

很多刚接触 eNSP 的朋友，第一次打开模拟器，面对一片空白的拓扑画布，脑子里想的都是「我要搭一个能上网、能连 WiFi 的公司网络」。但真动手才发现，核心交换机怎么选、VLAN 怎么划、无线 AP 怎么被 AC 管起来、访客和员工怎么隔离，每一步都是坑。所谓「ensp典型中小型企业网搭建带无线版」，说的就是在一台模拟器里，用华为设备把一家几十到一两百人规模公司的有线加无线网络完整跑通：出口路由做 NAT 和 DHCP，核心交换做 VLAN 间路由，接入层挂 AP，AC 统一管理无线信号，再配上访客网络和基础安全策略。这套东西不是玩具，它对应的就是真实项目里最常见的组网骨架，学会一套，换个规模改改参数就能复用。适合谁？适合正在备考网络方向认证、刚入行做交付、或者想自己把企业网逻辑捋一遍的工程师。下面我按实际动手顺序，把选型、配置、参数和踩坑一次讲透。

2. 拓扑与设备选型：为什么核心用三层交换而不是路由器单臂

2.1 中小型企业网的典型分层与设备角色

一家一百人左右的公司，网络需求其实很朴素：员工有线办公、员工无线办公、访客无线、服务器区、出口上网。对应到 eNSP 里，常见做法是三层结构压成两层半——出口一台路由器，核心一台三层交换机，接入若干二层交换机，再加 AC 和 AP。出口路由器负责拨号或静态出口、NAT、以及给访客网段做 DHCP；核心三层交换机负责员工和服务器网段的网关、VLAN 间路由、ACL 控制；接入交换机只做二层透传和 VLAN 划分；AC 旁挂在核心上，AP 通过接入交换机上线，由 AC 下发配置。

为什么不让路由器兼做核心？因为路由器接口数量有限，VLAN 间路由靠单臂（子接口）会形成流量瓶颈，而且 ACL 和 DHCP 中继配置起来更绕。三层交换机在 eNSP 里用 S5700 系列就能胜任，转发性能足够，配置逻辑也更贴近真实交付。无线部分，AC 选 AC6005 或 AC6605，AP 选 AP4050DN 这类室内放装型，模拟器里都支持。这里有个血泪经验：eNSP 的 AC 和 AP 镜像版本要匹配，否则 AP 一直卡在注册阶段，你会以为是配置问题，其实是镜像不兼容。

设备清单大致如下表，规模不同按比例增减：

2.2 地址规划与 VLAN 划分：先定表再连线

动手连线之前，先把地址表和 VLAN 表定下来，这是最省时间的习惯。我一般按业务类型划 VLAN：VLAN 10 给员工有线，VLAN 20 给员工无线，VLAN 30 给访客无线，VLAN 40 给服务器，VLAN 99 给设备管理。网段用 192.168 私有地址，出口路由器与核心之间用 10.0.0.0/30 互联。

访客网段网关放在出口路由器上，是为了让访客流量不经过核心的 ACL 再绕一圈，直接由出口做隔离和限速，逻辑更干净。员工无线和有线都走核心网关，方便做统一的访问控制。这个规划不是唯一解，但它是中小型企业网里最不容易翻车的一种。

2.3 连线顺序与接口对应关系

连线顺序建议从出口往下：路由器 GE0/0/0 接核心的 GE0/0/1，核心 GE0/0/2 接接入交换机上行口，接入交换机下行口接 PC 和 AP。AC 旁挂在核心的 GE0/0/3。AP 如果接在接入交换机上，需要接入交换机对应接口配置成 trunk 并允许管理 VLAN 和业务 VLAN 通过，同时 AP 的供电在模拟器里不用管，真实环境要确认 PoE 功率。

这里有个容易忽略的点：AP 上线需要能拿到管理地址，通常做法是给 AP 单独一个管理 VLAN，或者复用 VLAN 99。我一般给 AP 单独划 VLAN 100 作为管理段，DHCP 由核心下发，AC 的源接口也配在这个段里，这样 AP 找 AC 的路径最直接。

3. 核心交换与出口路由配置：把 VLAN 间路由和 NAT 一次跑通

3.1 核心三层交换的 VLAN 与 SVI 配置

先在核心上批量建 VLAN，再配 SVI 作为网关。命令不复杂，但顺序和细节决定后面通不通。

# 进入系统视图，批量创建业务VLAN system-view sysname CoreSW vlan batch 10 20 30 40 99 100 # 配置员工有线网关 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 # 配置员工无线网关 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 # 配置服务器网关 interface Vlanif40 ip address 192.168.40.1 255.255.255.0 # 配置管理网关 interface Vlanif99 ip address 192.168.99.1 255.255.255.0 # 配置AP管理网关 interface Vlanif100 ip address 192.168.100.1 255.255.255.0 # 上联出口路由器的接口，配成三层口 interface GigabitEthernet0/0/1 undo portswitch ip address 10.0.0.2 255.255.255.252 # 下联接入交换机的接口，配成trunk interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 40 99 100

逻辑说明：undo portswitch把二层口变成三层口，用于和路由器互联，这是 S5700 上常见的做法。trunk 口放通所有业务 VLAN，接入交换机才能把不同 VLAN 的流量透传上来。参数上，VLAN 100 专门给 AP 管理，避免和业务混在一起。如果核心和出口之间想跑 OSPF，也可以把互联口划进一个单独的 VLAN，但中小型网络用静态路由更省事。

3.2 出口路由器的 NAT 与默认路由

出口路由器要做的三件事：配互联地址、写默认路由指向运营商、做 NAT 让内网出去。

system-view sysname EdgeRouter # 互联接口 interface GigabitEthernet0/0/0 ip address 10.0.0.1 255.255.255.252 # 模拟运营商接口，假设地址为200.1.1.2/30 interface GigabitEthernet0/0/1 ip address 200.1.1.2 255.255.255.252 # 回程路由，指向核心 ip route-static 192.168.0.0 255.255.0.0 10.0.0.2 # 默认路由指向运营商 ip route-static 0.0.0.0 0.0.0.0 200.1.1.1 # 配置NAT，允许内网网段转换 acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 interface GigabitEthernet0/0/1 nat outbound 2000

逻辑说明：ACL 2000 匹配所有 192.168 开头的内网地址，nat outbound挂在运营商接口上，实现源地址转换。回程路由必须写，否则核心回包找不到出口。参数上，如果公司有多个内网网段，ACL 里加规则即可，不要图省事写permit ip source any，那会把外网流量也 NAT 一遍，容易出玄学问题。

3.3 核心上的 DHCP 与 DHCP 中继

员工和 AP 的地址由核心下发，访客的地址由出口路由器下发。核心上配 DHCP 时，要注意排除网关地址和保留地址。

# 核心上开启DHCP dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.10 # 无线员工和AP管理池类似，略 interface Vlanif10 dhcp select global

逻辑说明：dhcp select global让接口使用全局地址池，这是最常用的方式。excluded-ip-address把网关和前面几个地址留出来给打印机、AP 等固定设备。如果访客网段在出口路由器上，出口路由器也要开 DHCP，并且核心上不需要为 VLAN 30 配 SVI，因为访客流量从接入交换机直接 trunk 到出口路由器的子接口或单独物理口。这里常见做法是出口路由器用一个物理口接接入交换机，配子接口对应 VLAN 30，或者核心上把 VLAN 30 透传到出口。

4. 无线 AC 与 AP 上线：SSID 下发、隧道转发与漫游参数

4.1 AC 的基础配置与 AP 认证方式

AC 要能管理 AP，先要保证网络层可达。AC 的接口地址配在 VLAN 100 里，和 AP 管理段同网段。AP 上线有两种认证方式：MAC 认证和 SN 认证。模拟器里常用 MAC 认证，真实项目里 SN 认证更规范。

system-view sysname AC vlan batch 100 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 100 interface Vlanif100 ip address 192.168.100.2 255.255.255.0 # 指定CAPWAP源接口 capwap source interface Vlanif100 # 开启MAC认证，添加AP wlan ap auth-mode mac-auth ap-id 1 ap-mac 00e0-fc12-3456 ap-name AP-Office-1 ap-group office

逻辑说明：capwap source interface告诉 AC 用哪个地址和 AP 建隧道，必须配，否则 AP 找不到 AC。ap auth-mode mac-auth后手动添加 AP 的 MAC，模拟器里 AP 的 MAC 可以在设备面板看到。参数上，AP 的 MAC 地址格式是xxxx-xxxx-xxxx，别写成冒号分隔。如果 AP 一直不上线，先display ap all看状态，fault多半是网络不通，idle多半是认证没配。

4.2 安全模板、SSID 模板与 VAP 模板的绑定关系

无线配置的核心是三个模板的套娃：安全模板管认证加密，SSID 模板管网络名称，VAP 模板把前两者和业务 VLAN 绑在一起，最后把 VAP 绑到 AP 组。

# 安全模板，WPA2+PSK security-profile name sec-emp security wpa2 psk pass-phrase MyCompany@2024 aes # SSID模板 ssid-profile name ssid-emp ssid Employee-WiFi # VAP模板，绑定业务VLAN 20，隧道转发 vap-profile name vap-emp forward-mode tunnel service-vlan vlan-id 20 security-profile sec-emp ssid-profile ssid-emp # 绑定到AP组 ap-group office vap-profile vap-emp wlan 1 radio 0 vap-profile vap-emp wlan 1 radio 1

逻辑说明：forward-mode tunnel表示数据隧道转发，流量回到 AC 再进核心，适合集中管理；local是本地转发，流量在 AP 直接进接入交换机，适合大流量场景。中小型企业网用隧道转发更简单，ACL 和策略都在核心和 AC 上做。参数上，pass-phrase后面是明文密码，真实环境建议用密文或从管理平台下发。wlan 1是 WLAN ID，范围 1 到 16，别冲突。

4.3 访客 SSID 的隔离与限速

访客网络单独一个 SSID，绑 VLAN 30，网关在出口路由器，核心上不做 VLAN 30 的 SVI，这样访客流量天然和员工隔离。再在出口路由器上做 ACL，禁止访客访问内网网段。

# AC上再建一套模板给访客 security-profile name sec-guest security wpa2 psk pass-phrase Guest@2024 aes ssid-profile name ssid-guest ssid Guest-WiFi vap-profile name vap-guest forward-mode tunnel service-vlan vlan-id 30 security-profile sec-guest ssid-profile ssid-guest ap-group office vap-profile vap-guest wlan 2 radio 0 vap-profile vap-guest wlan 2 radio 1

逻辑说明：访客 VAP 用 WLAN 2，和员工错开。隧道转发下，访客流量会先到 AC，AC 再把 VLAN 30 的流量送到核心，核心需要把 VLAN 30 透传到出口路由器。如果核心上没有 VLAN 30 的 SVI，流量会走二层到出口，出口路由器配子接口做网关。参数上，访客密码定期更换，真实项目里可以配合 Portal 认证，模拟器里 PSK 够用。

5. 避坑与排查：AP 不上线、无线不通、NAT 失效的常见原因

5.1 AP 一直 idle 或 fault，先查这三处

现象：display ap all显示 AP 状态是 idle 或 fault，AC 上看不到 AP 的详细信息。原因通常有三个：一是 AP 和 AC 之间网络不通，AP 拿不到管理地址；二是 CAPWAP 源接口没配或配错；三是 AP 认证方式不匹配，MAC 地址写错。解决：先在 AP 上display ip interface brief看有没有拿到 192.168.100.x 的地址，没有就查 DHCP 和 trunk 放通；有地址就ping 192.168.100.2测 AC 可达性；都通再看 AC 上display capwap configuration确认源接口，最后核对 AP MAC。

5.2 无线能连上但上不了网，多半是 VLAN 或网关问题

现象：手机连上 Employee-WiFi，拿到 192.168.20.x 地址，但 ping 不通网关或外网。原因：VAP 模板里service-vlan写错，或者核心上没有对应的 SVI，或者隧道转发下 AC 到核心的 trunk 没放通 VLAN 20。解决：在 AC 上display vap-profile name vap-emp确认业务 VLAN，在核心上display vlan确认 VLAN 20 存在且接口放通，再display ip interface brief看 Vlanif20 是否 up。如果网关通但外网不通，查核心默认路由和出口 NAT。

5.3 NAT 配了但内网出不去，检查 ACL 和路由

现象：内网能 ping 通出口路由器内网口，但 ping 不通外网，出口上display nat session all没有会话。原因：ACL 没匹配到源地址，或者默认路由没写，或者 NAT 没挂在正确的接口上。解决：先display acl 2000看规则命中计数，再display ip routing-table确认默认路由存在，最后确认nat outbound挂在运营商接口而不是内网接口。常见误用是把 NAT 挂在内网口，那样源地址转换后回包找不到路。

5.4 访客能访问内网，隔离策略没生效

现象：访客连上 Guest-WiFi，居然能 ping 通服务器网段。原因：访客 VLAN 的网关在出口路由器，但核心上如果也配了 VLAN 30 的 SVI，流量就会走核心路由，绕过了出口的 ACL。解决：核心上不要给访客 VLAN 配 SVI，只做二层透传；出口路由器上用 ACL 拒绝访客网段到内网网段的流量，只允许到外网。参数上，ACL 规则顺序很重要，拒绝规则要放在允许规则前面。

5.5 漫游时断流，检查 AP 组和射频参数

现象：从办公室走到会议室，无线信号切换时视频卡顿或断连。原因：AP 不在同一个 AP 组，或者 SSID 和密钥不一致，或者射频功率和信道规划不合理。解决：把所有 AP 加进同一个 AP 组，确保 VAP 模板一致；射频上把 2.4G 和 5G 分开规划，相邻 AP 用不重叠信道；模拟器里漫游效果有限，真实环境还要看 AC 的漫游组配置。参数上，ap-group名字要一致，vap-profile绑定关系要逐 AP 确认。

6. 进阶技巧：用 ACL 和 QoS 把员工、访客、服务器三张网管明白

基础连通跑通之后，真正体现水平的是策略。中小型企业网最常见的策略需求有三个：员工能访问服务器和外网，访客只能访问外网，服务器区只对特定网段开放。用 ACL 在核心上做过滤，比在出口做更精细，因为核心知道所有 VLAN 的源和目的。

先看一个员工和访客的差异化 ACL 示例，配在核心的 Vlanif 上：

# 高级ACL，控制访客到内网的流量 acl number 3000 rule 5 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.40.0 0.0.0.255 rule 15 permit ip source 192.168.30.0 0.0.0.255 # 应用在访客流量进入核心的接口上 interface Vlanif30 traffic-filter inbound acl 3000

逻辑说明：ACL 3000 先拒绝访客到员工和服务器网段，再允许访客到其他目的地（主要是外网）。traffic-filter inbound表示流量进入 Vlanif30 时过滤，方向别搞反。参数上，通配符掩码0.0.0.255对应 /24，如果是 /23 要改成0.0.1.255。这里有个后悔药：ACL 规则是从上到下匹配，一旦命中就停止，所以拒绝规则必须放在允许规则前面，否则允许规则先命中，拒绝就失效了。

再看 QoS 限速，访客网络通常要限制带宽，避免一个人下载拖垮整条出口。在出口路由器的访客子接口上做流量监管：

# 在出口路由器上，对访客网段做限速 acl number 2001 rule 5 permit source 192.168.30.0 0.0.0.255 # 配置流分类和流行为 traffic classifier guest-operator if-match acl 2001 traffic behavior guest-limit car cir 2048 cbs 40960 traffic policy guest-policy classifier guest-operator behavior guest-limit # 应用在访客流量入接口 interface GigabitEthernet0/0/2.30 traffic-policy guest-policy inbound

逻辑说明：car cir 2048表示承诺信息速率 2048 kbps，也就是给访客网段总共 2M 带宽，cbs是突发尺寸，一般设为 cir 的 20 倍左右。traffic-policy绑定分类和行为后，应用在子接口的入方向。参数上，如果公司出口是 100M，访客限 10M 到 20M 比较合理，别限得太死导致网页都打不开。真实项目里还可以按 IP 限速，但模拟器里按网段限速够用。

最后说一个验证方法：配完策略后，不要只 ping，要用display acl 3000看命中计数，用display traffic policy statistics看限速是否生效。我一般会在一台员工 PC 上开长 ping，一台访客 PC 上开下载，然后看计数和速率。这个习惯帮我省了很多次「以为配了其实没生效」的尴尬。

这套东西搭完，你手里就有了一张能跑通有线、无线、访客、服务器和出口的完整企业网拓扑。换到真实设备上，命令大同小异，差别主要在接口编号和镜像版本。我的习惯是每改一个配置就save一次，并且把关键display命令的输出存下来，下次出问题直接对比。希望帮到你。

本文还有配套的精品资源，点击获取