企业官网建设流程全解析

简介：基于ENSP的IPv6校园网网络规划与设计实验资源，面向网络工程专业学生、运维初学者及备考网络认证的实践者，以模拟器为载体完成IPv6校园网从接入层到核心层的整体方案。实验覆盖VLAN划分、路由器子接口单臂路由、VRRP6网关冗余、OSPFv3动态路由、防火墙安全策略、DHCPv6地址分配，并包含IPv6 over IPv4 GRE隧道与IPv4/IPv6默认路由配置，技术链条完整，适合作为毕业设计或课程设计的参考。资料包共48个文件，以19份cfg设备配置和15份efz模拟器工程为主，另含topo拓扑、地址规划表、三份txt命令文档（含带视图前缀与可粘贴版）及操作录屏，压缩包仅633KB，结构清晰便于检索。已有5025人学习下载，是快速上手IPv6组网的范例。通过配置文件导入、视频倍速观看和命令复制运行，读者可高效复现全网互通，并重点理解GRE隧道与OSPFv3协同工作的配置逻辑。

1. 别急着配地址：IPv6校园网设计最该先做的是规划

很多人第一次在eNSP里做IPv6校园网实验时，最大的错觉是“IPv6就是把IPv4地址加长”，结果一上手就翻车：OSPFv3邻居起不来，PC通过DHCPv6拿到了地址却ping不通网关，抓包看到一堆RA报文却没有一个真正生效。这个实验和IPv4校园网最大的区别不在VLAN，而在地址模型和邻居发现机制。本文用一个最小可复现的eNSP拓扑，把IPv6地址规划表、VLAN与子网映射、OSPFv3和DHCPv6联动、以及我踩过的坑完整讲一遍。适合正在做网络课程设计、准备实验报告，或者真在考虑校园网IPv6迁移的读者。先立住规划，后面才不返工。

2. 从 /48 到 /64：校园网IPv6地址规划的核心逻辑

2.1 先定地址模型：GUA、ULA、链路本地各管什么

IPv6地址不像IPv4那样“网络位+主机位”随意切。校园网里你会接触三类地址：链路本地地址（fe80::/10）、唯一本地地址ULA（fc00::/7，实际常用fd00::/8）、全局单播地址GUA（2000::/3）。

链路本地地址是每个启用了IPv6的接口自动生成的，只在一条链路内有效，用来做邻居发现ND和OSPFv3的报文源地址。你在eNSP里给接口配了ipv6 enable后，它会自己出现一个fe80开头的地址，不需要手工分配，也不要去手动规划它，它是设备在这条链路上的“临时身份”。很多教程喜欢手工指定链路本地地址，比如ipv6 address fe80::1 link-local，这在真实网络里容易造成两条链路地址相同，我一般只在两台路由器互联时为了保证OSPFv3稳定才这么做，终端侧完全不管。

GUA才是校园网真正要规划的。实验里为了避免误入公网，最安全的做法是使用RFC 3849规定的文档地址 2001:db8::/32 作为校园网总前缀，再往下切。这个前缀不会在公网路由，也不会和真实运营商地址冲突，实验报告和配置都很干净。校园网整体用一个 /48 的地址块，下面每个业务子网用 /64，这是最标准的做法。为什么必须是 /64？因为IPv6的SLAAC要求子网前缀为64位，终端根据RA里的前缀和接口标识生成地址；如果你把一个LAN规划成 /70 或 /60，终端和路由器的邻居发现逻辑会出现各种奇怪的兼容问题。

ULA适合放在没有公网路由的内部设备之间，比如网管VLAN、设备Loopback。但要注意，ULA地址在公网不可路由，如果校园网要访问外网或教育网资源，必须给终端提供GUA。所以我的选择是：实验里所有终端VLAN都用GUA，管理设备用Loopback的128位地址，不引入ULA，减少排查维度。等实验跑通后，你可以在规划表里再加一列“访问场景”，但第一版能少一个变量就少一个变量。

2.2 一张可以直接抄的IPv6地址规划表

规划表是整个实验的“后悔药”。我一般先把下面这张表写好，再动eNSP设备。设备名默认是AR1、S5700这些，建议你在实验开始前把设备改名，让配置和管理网段对得上。

这张表里每个终端子网都占用一个 /64，为什么不省着用？IPv6的可聚合特性就是为这种设计准备的。你不需要像IPv4那样在一个子网里精确抠出可用地址，一个 /64 足够一个VLAN里的所有终端。更重要的是，把所有终端的网关统一写成 ::1，能减少后续配置的心智负担。如果接口上还有其他地址，注意不让自动生成的EUI-64和::1冲突，否则抓包时你会看到DAD重复地址检测反复失败，终端拿到地址却始终不能收发业务流量。

参数说明：前缀里的第三段固定成 2001:db8:1，第四段是子网ID。子网ID用 1、2、3 对应业务，f 和 e 留给基础设施。这样当你看到 2001:db8:1:2::/64，马上能知道是宿舍区VLAN20，不用再去翻表。比直接把VLAN号写进十六进制子网段更直观，也避免“VLAN10对应::10其实是十六进制16”这种坑。

2.3 规划表怎么维护：加楼栋、加VLAN时的扩展规则

实验做完后，很多人会问：如果校园网要加一栋宿舍楼怎么办？答案不是改表，而是在规划表里预留规则。新增一个VLAN 40，对应子网ID 4，网关仍是 ::1，DHCPv6增加一个地址池，OSPFv3在AR2对应子接口上宣告，三步就完成。关键是不要动AR1和AR2之间已经跑通的核心互联段，也不要去挤占已有的 /64。

还有一个容易被忽略的规则：单个VLAN内不要规划多个 /64。曾经有人为了省编号，把两个业务放在同一个VLAN里，分别用两个 /64，结果DHCPv6和RA同时下发，终端一会用这个前缀，一会用另一个前缀，排障时发现路由设备的ND表一直抖动。一个VLAN只对应一个 /64，一个DHCPv6池，一组RA标志位，这是IPv6校园网规划最省心的边界。

另外，设备Loopback地址建议用子网ID e，掩码用 /128，不要配 /64。Loopback是设备身份，不是业务子网，用/128不会产生多余路由，也不会让OSPFv3误以为这是一个需要转发的终端网络。很多人在实验里把Loopback配成/64，虽然能通，但后续写ACL和发布路由时会发现多了一条奇怪的路由。

提示：先写地址规划表再动设备，不是流程仪式，而是避免“改一个接口地址就要改三张表”的返工。

3. eNSP 里把校园网骨架搭起来：拓扑、VLAN与接口配置

3.1 最小拓扑怎么选：路由器核心还是交换机核心

eNSP里做IPv6校园网，我见过两种主流选型。第一种是“核心交换机 + 汇聚 + 接入”的经典校园网，DHCPv6服务器放出口路由器，核心交换机做VLAN网关和中继。这种拓扑最贴近真实校园网，但eNSP里S5700做DHCPv6 Relay偶尔不生效，排查起来很靠“玄学”。第二种是我更推荐在实验里用的“路由器核心”：用一台AR做核心路由，同时承担DHCPv6服务器，VLAN通过子接口终结在AR上，下面再接汇聚和接入交换机。这样DHCPv6不需要中继，OSPFv3邻居少，抓包问题也少，先跑通再谈复杂。

这个实验采用的拓扑如下：

这里有一个资源控制的建议：eNSP里AR3260比较吃内存，拓扑里不要超过五台设备。如果你只有一台物理机，建议关闭所有设备的“启动后开控制台”延迟，避免同时启动导致卡死。接口编号以实际放置为准，连完线后用display interface brief看状态，Up才是有效连接。

3.2 二层链路必须先穿通：Trunk与Access的配置

在配置IPv6之前，先保证二层VLAN是通的。SW1和SW2之间、SW1和AR2之间都是Trunk；PC接入端口用Access。以下是SW1的配置：

# 进入系统视图 system-view # 一次性创建业务VLAN vlan batch 10 20 30 # 配置上行到AR2的接口为Trunk，放通所有业务VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 # 配置下行到SW2的接口为Trunk，同样放通 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 # 接PC2的接入端口属于VLAN20 interface GigabitEthernet0/0/3 port link-type access port default vlan 20 return

这段是标准的二层透传配置。vlan batch一次创建多个VLAN，比逐条vlan 10高效；Trunk必须放通业务VLAN，否则终端即使能从DHCPv6拿到地址，报文也到不了网关。注意接入端口不要配Trunk，否则PC发出的是untagged帧，设备无法正确识别VLAN。

SW2的配置类似，只保留VLAN 10和30，上行Trunk放通，PC1接在VLAN10的Access口。配完后在SW1上执行display port vlan，可以看到每个接口的PVID和允许通过的VLAN。这一步能过滤掉一半的二层问题，不要跳过。

3.3 在AR上终结VLAN并点亮IPv6：子接口与全局地址配置

AR2上终结VLAN 10/20/30。如果AR2下连SW1的物理接口是G0/0/1，那么先在AR2上全局使能IPv6，再创建子接口：

system-view # 全局使能IPv6协议栈 ipv6 # 面向校园网的物理接口，创建三个子接口 interface GigabitEthernet0/0/1.10 dot1q termination vid 10 ipv6 enable ipv6 address 2001:db8:1:1::1/64 # interface GigabitEthernet0/0/1.20 dot1q termination vid 20 ipv6 enable ipv6 address 2001:db8:1:2::1/64 # interface GigabitEthernet0/0/1.30 dot1q termination vid 30 ipv6 enable ipv6 address 2001:db8:1:3::1/64 return

参数说明：dot1q termination vid 10让路由器认识802.1Q标签，必须和接入层Access口的default vlan 10对应。每个子接口对应一个VLAN，也对应一个 /64 网关子网。ipv6 enable是IPv6协议栈开关，不打开就不能配IPv6地址。ipv6 address ... /64配完会自动生成链路本地地址，用于ND和OSPFv3。

AR1和AR2的互联接口是三层接口，AR1的G0/0/0配 2001:db8:1:f::1/64，AR2的G0/0/0配 2001:db8:1:f::2/64，与子接口无关。AR1的Loopback0配 2001:db8:1:e::1/128，模拟校园网对外的一个稳定地址。如果AR2的物理接口不需要跑IPv4，就不要配IPv4地址，减少排障时的干扰。

在这一步完成后，AR2应该能ping通AR1的互联地址。如果ping不通，先查两个接口状态和IPv6地址是否在同一子网，再查中间链路是否经过交换机Trunk。地址规划表已经把这个子网固定为 2001:db8:1:f::/64，任何错位都能在表上一眼看出来。

4. 让IPv6跑起来：OSPFv3与DHCPv6的联动配置

4.1 为什么核心层用OSPFv3而不是静态路由

很多教程为了减少步骤，会在AR1和AR2之间写成静态路由：ipv6 route-static 2001:db8:1:1:: 64 2001:db8:1:f::2。这个配置当然能通，但它没法回答“如果核心设备上多个VLAN需要同时通告，网络结构变化了怎么办”的问题。OSPFv3和OSPFv2相比没有“网络地址”概念，它是按接口通告前缀的；而且没有ARP，邻居发现完全基于IPv6的链路本地地址。这些差异如果不在实验里亲手敲一遍，将来迁移到真实网络还会踩。

OSPFv3的代价是配置项比静态路由多：要指定Router-ID、要选区域、每个接口要单独使能并绑定进程。收益是：AR2上新增一个VLAN子网，只要在对应接口上启用OSPFv3，AR1就会自动学到路由；反过来，AR1有一条默认路由可以通过OSPFv3下发给AR2，让核心设备不需要维护大量静态路由。在eNSP实验里，这个过程用display ospfv3 peer能看到邻居从Down到Full的完整状态机，比静态路由有教学价值。

4.2 OSPFv3最小配置：Router-ID、区域和接口宣告

AR1和AR2的OSPFv3配置如下。先看AR1：

system-view # 配置Loopback，作为稳定设备标识 interface Loopback0 ipv6 enable ipv6 address 2001:db8:1:e::1/128 quit # 启用OSPFv3进程，指定Router-ID ospfv3 1 router-id 1.1.1.1 quit # 连接核心的接口加入区域0 interface GigabitEthernet0/0/0 ipv6 enable ipv6 address 2001:db8:1:f::1/64 ospfv3 1 area 0 quit # 向OSPFv3发布默认路由 ospfv3 1 default-route-advertise quit return

AR2：

system-view # 启用OSPFv3进程 ospfv3 1 router-id 2.2.2.2 quit # 连接AR1的接口 interface GigabitEthernet0/0/0 ipv6 enable ipv6 address 2001:db8:1:f::2/64 ospfv3 1 area 0 quit # 面向校园网VLAN10的子接口，宣告子网 interface GigabitEthernet0/0/1.10 ipv6 enable ipv6 address 2001:db8:1:1::1/64 ospfv3 1 area 0 quit # VLAN20 interface GigabitEthernet0/0/1.20 ipv6 enable ipv6 address 2001:db8:1:2::1/64 ospfv3 1 area 0 quit # VLAN30 interface GigabitEthernet0/0/1.30 ipv6 enable ipv6 address 2001:db8:1:3::1/64 ospfv3 1 area 0 quit return

这段代码有两个关键点。第一，OSPFv3没有network xxxx area x命令，必须在接口视图下用ospfv3 1 area 0把接口放进进程和区域；漏了这条，邻居可能UP但路由表中不会出现对应子网。第二，router-id是IPv4点分格式，但它不依赖IPv4地址，eNSP里不配会默认取Loopback的IPv4地址，如果设备没有任何IPv4地址，邻居就起不来。所以手工指定最省事。

AR1的default-route-advertise需要一个前提：AR1自己必须有一条默认路由，否则不会发布。实验里可以用一条黑洞默认路由代替真实运营商链路，常见做法是ipv6 route-static :: 0 NULL0，但这条命令会吃掉所有访问外部网络的流量，演示时只用来验证路由表传递，不建议在真实设备上无脑用。如果你不想加黑洞路由，可以在AR1上再接一台AR3模拟外网，但设备数量会增多。

配置完之后，在AR1上执行display ospfv3 peer，State列应为Full。如果看到ExStart或Init，多半是Router-ID或链路本地地址的问题。还可以执行display ospfv3 error看报错计数，通常能直接定位。

4.3 DHCPv6有状态与无状态：RA标志位和地址池参数

IPv6地址下发比IPv4复杂，因为RA和DHCPv6可以组合出多种模式。实验里应该至少掌握有状态DHCPv6和SLAAC+无状态DHCPv6两种。RA报文里的M位和O位决定了终端怎么拿地址和怎么拿配置：

有状态模式适合教学办公和宿舍区，终端需要通过DHCPv6获得地址和DNS，便于登记和审计。AR2上的配置：

system-view # IPv6地址池，名称为office ipv6 dhcp pool office address prefix 2001:db8:1:1::/64 dns-server 2001:db8:1:e::1 excluded-address 2001:db8:1:1::1 quit # 在VLAN10子接口上启用 interface GigabitEthernet0/0/1.10 ipv6 enable ipv6 address 2001:db8:1:1::1/64 ipv6 nd managed-config-flag ipv6 nd other-config-flag undo ipv6 nd ra halt dhcpv6 server office quit return

参数说明：address prefix定义了DHCPv6可分配的地址段，excluded-address把网关 ::1 排除，避免分给终端。ipv6 nd managed-config-flag设置RA中的M位为1，告诉终端“去DHCPv6请求地址”；ipv6 nd other-config-flag设置O位为1，告诉终端“去DHCPv6请求其他配置”。undo ipv6 nd ra halt是让接口主动发送RA，不同eNSP版本默认状态不同，建议显式写。dhcpv6 server office启用DHCPv6服务端并绑定地址池。

无线接入区更适合无状态模式。终端通过RA自动生成IPv6地址，DHCPv6只下发DNS。配置：

system-view # 只含DNS信息的池 ipv6 dhcp pool wireless dns-server 2001:db8:1:e::1 quit # 在VLAN30子接口上启用 interface GigabitEthernet0/0/1.30 ipv6 enable ipv6 address 2001:db8:1:3::1/64 ipv6 nd other-config-flag undo ipv6 nd ra halt dhcpv6 server wireless quit

这里和有状态模式的差别体现在M位：VLAN30不配managed-config-flag，终端收到RA后，用前缀和EUI-64生成地址，同时因为O=1去DHCPv6请求DNS。如果无状态模式不生效，先看终端地址是不是fe80开头，那说明RA没拿到前缀。

4.4 从终端到边界：验证命令与抓包判断点

配置完成后，PC1（VLAN10）执行ipconfig应看到一个2001:db8:1:1::开头的地址，PC2（VLAN20）应看到2001:db8:1:2::地址。先ping各自网关：

ping 2001:db8:1:1::1 ping 2001:db8:1:2::1

通了之后，从PC1 ping AR1的Loopback地址2001:db8:1:e::1，验证OSPFv3路由是否已经传递到位。如果跨VLAN不同，优先查AR2路由表：display ipv6 routing-table看有没有 2001:db8:1:2::/64 和 2001:db8:1:f::/64 的相关路由。

抓包时，在AR2面向SW1的接口上右键开始抓包，能看到ICMPv6的Router Solicitation/RA、DHCPv6的Solicit/Reply。看RA的M/O标志位，有状态为M=1，无状态为M=0，这是实验报告里最有力的证据。如果看到DHCPv6 Reply里没有DNS选项，问题基本都在地址池配置上。

5. 常见问题与排查：eNSP里IPv6实验的5个坑

5.1 现象：PC拿到了IPv6地址，但ping不通网关

先说一个最隐蔽的情况：PC拿到的是fe80::开头的链路本地地址，而不是业务子网地址。原因是接口以ipv6 enable后会自动生成链路本地地址，但RA没有下发前缀，所以终端地址停留在链路本地。检查AR2子接口上是否执行了undo ipv6 nd ra halt；再检查RA是否被Trunk中的VLAN策略过滤。eNSP中如果交换机Trunk只放通了VLAN10但没放通VLAN30，PC自然是“无地址状态”。解决方法是逐层用display port vlan看Trunk，再回到规划表核对VLAN映射。

5.2 现象：OSPFv3邻居一直不变成Full

最常见的原因是Router-ID没配。OSPFv3虽然工作在IPv6，但Router-ID仍然使用IPv4点分格式。AR设备如果没有配置IPv4地址，系统不会自动产生Router-ID，邻居状态会卡在Down。解决：在ospfv3 1视图下手动router-id 1.1.1.1，然后reset ospfv3 process。其次检查互联接口是否ipv6 enable，因为OSPFv3报文使用链路本地地址作为源，接口没启IPv6就不会发Hello。如果Hello正常但区域号不一致，也会卡在ExStart。华为设备可以用display ospfv3 error查看计数。

5.3 现象：DHCPv6分配了地址，但ipconfig看不到DNS

如果RA的M位和O位都是1，DHCPv6会分配地址和DNS；如果只配了M=1而O=0，终端可能只要地址。很多人在配置时只忘了ipv6 nd other-config-flag，导致没有DNS。另一个原因是PC的网卡设置：eNSP的PC需要勾选“自动获取IPv6地址”，同时在DNS处不要手工写IPv4地址。最直接的验证方式是抓DHCPv6 Reply报文，看Option 23（DNS服务器）是否存在。没有就把DNS写进ipv6 dhcp pool，而不是只写dns-server。注意有些eNSP版本的PC对无状态DHCPv6支持不好，这时候用有状态模式替代验证。

5.4 现象：路由表有OSPFv3路由，但数据包走了奇怪路径

这多半是规划表里子网段重叠。比如把AR1和AR2的互联地址配成了 2001:db8:1:1::/64，又把VLAN10也放在 2001:db8:1:1::/64，两台设备都认为这个子网是直连，OSPFv3通告后，核心路由器会同时收到直连路由和OSPF路由，选择最长匹配时行为不透明。解决：严格按照规划表给互联链路一个独立 /64，再在AR2的接口视图下用display this检查每个子接口的地址，确保没有两个接口同一个前缀。

5.5 现象：eNSP保存后重启，设备启动卡在进度条

这不算IPv6配置问题，但做实验的人迟早遇到。eNSP模拟器对设备内存和CPU占用很敏感，一个拓扑里AR3260开四台以上就可能启动失败。我的习惯是：每完成一个阶段，用save保存配置，但关闭不需要的接口或断开多余的连线；如果设备卡住，用右键删除设备再重新拖入，导入cfg.zip配置恢复。另外，AR设备开启IPv6后会有额外的ND表项和OSPFv3进程开销，实验拓扑尽量控制在五台以内。事前在拓扑图上把设备数写进实验报告，避免后期自找麻烦。

6. 进阶：把实验从“能通”做到“可演示”的三个习惯

如果你的实验报告只是贴ping成功截图，说服力不够。我会再做三件事：第一，在AR2上开一个持续抓包，让PC重新ipconfig /release和ipconfig /renew，抓一段DHCPv6的四步交互，以及ICMPv6重复地址检测。第二，在AR1上执行display ipv6 routing-table，把OSPFv3路由和默认路由一起输出，证明路由是动态学到的，而不是手工静态写上。第三，做一个简短的“节点故障”验证：把AR2与SW1之间的链路shutdown，然后马上看路由表收敛，并记录OSPFv3邻居状态变化。这三个动作能让看报告的人看出你不是照着答案抄的。

还有一个更实用的习惯：所有IPv6地址相关命令，先在笔记本上按“设备-接口-前缀-网关-RA策略”列成一张表，再敲配置。我在实验中吃过一次亏，因为VLAN10和VLAN20的子网ID太接近（一个是2001:db8:1:1::，一个是2001:db8:1:2::），配完后有两台设备学到同一条路由，排查了一个下午才发现是规划表里数字写反。后来我把网关地址全部固定为 ::1，前缀ID按用途编成 1、2、3，才保证不再翻车。

最后一个技巧是用display ospfv3 peer和display ipv6 interface brief的输出当作实验报告的“证据”而不是截图，这两条命令的结果本身就是可读的文本，可以直接放进报告。宁可少写一页原理，也要把“配置前规划表”和“配置后验证输出”放齐。希望这个实验能帮你少走一段弯路，也帮你在答辩时理直气壮地说“这个校园网IPv6方案是我亲手跑通的”。希望帮到你。

本文还有配套的精品资源，点击获取