简介基于华为 ENSP 的完整实验手册适合网络初学者、备考华为 HCIA/HCIP 认证或正在做实验练习的工程师。手册按实验模块组织系统梳理了从交换机基本配置、VLAN 划分与 VLAN 间通信、RSTP 优化到静态路由、RIP、OSPF 多区/虚连接等进阶路由实验的配置要求与拓扑要点OSPF 部分还涉及区域划分、路由聚合、STUB、NSSA、重分布与验证。资源仅含 1 个 PDF 文件压缩包大小 2.51MB目录层级清晰便于按需查阅和对照练习。目前已有 1408 人浏览下载。内容还覆盖 VRRP、DHCP、NAT、ACL、链路聚合、DHCP Snooping 与地址绑定等常用功能实验每个实验都包含拓扑图、配置要求与验证思路能帮助读者快速掌握华为设备的操作逻辑、命令组织方式与排错方法为真实网络部署打下扎实基础。无论是日常作业、竞赛准备还是项目交付都能从中获得可复用的配置思路和排错参考。1. 华为ENSP网络实验到底在解决什么问题去年帮一个备考HCIA的朋友搭环境他照着视频装了三遍AR路由器启动还是显示40设备图标一直是黑的。后来才发现不是他操作问题是VirtualBox版本跟ENSP自带的组件打架。类似的事几乎每个刚接触华为ENSP网络实验的人都会遇到一遍——这套官方模拟器最大的门槛从来不是协议配置而是环境起不来。ENSPEnterprise Network Simulation Platform用虚拟机跑真实VRP系统镜像让你不摸真机也能练VLAN、路由、ACL、防火墙、WLAN这些配置备考华为认证、准备ICT大赛网络赛道或者在公司没真机时做方案验证靠它都够用。这篇文章只讲一件事从安装到跑通实验、再到踩坑排查的完整路径按这个顺序做能省掉大量试错时间。2. 装对ENSP依赖环境与开局四件事2.1 先理清三个依赖再动安装包ENSP不是单机软件它底层靠VirtualBox在电脑上跑设备镜像抓包要靠WinPcap或Npcap分析报文靠Wireshark。这三个组件跟ENSP的版本关系非常敏感尤其是VirtualBox。很多人在官网下最新版VirtualBox装了结果AR路由器起不来就是这个原因。依赖组件作用常见问题VirtualBox提供虚拟机环境运行VRP设备镜像版本过高或过低都会导致AR路由器和交换机无法启动设备显示40WinPcap / Npcap提供底层抓包库让ENSP能捕获报文装了Npcap后部分电脑云彩ping不通建议装WinPcap 4.1.3Wireshark抓包解码配合ENSP查看报文细节Wireshark版本太新可能与旧版ENSP联动失败打不开抓包结果我的做法是安装ENSP时直接用安装包自带的VirtualBox组件而不是单独去官网装最新版。ENSP的V100R003C00SPC100这个版本在论坛里被讨论最多稳定性也经过大量验证配套的VirtualBox是5.2.x系列。你在官网下载ENSP时留意版本说明别看到新版本就往上冲新版本不一定比老版本省心。环境检查还有个容易被忽略的点虚拟化开关。Windows功能里的“虚拟机平台”和“Hyper-V”开启时会和VirtualBox抢虚拟化资源导致设备启动失败。先确认BIOS里的VT-x开启再到Windows功能里看Hyper-V状态。2.2 安装顺序有讲究启动报错先查这里正确顺序是先装VirtualBox再装WinPcap再装Wireshark最后装ENSP。路径不要带中文和括号否则某些版本会出奇怪问题。用系统命令确认Hyper-V状态# 查看系统虚拟化状态输出里能看到Hyper-V要求或虚拟化固件已启用 systeminfo | findstr /i Hyper-V 虚拟化 # 如果确认开了Hyper-V管理员身份打开CMD关闭hypervisor启动执行完重启 bcdedit /set hypervisorlaunchtype off第一行命令用来判断你的电脑是不是开了Hyper-V。如果你平时用WSL2或Docker Desktop很可能是开着的这就是ENSP设备启动失败的隐形杀手。第二行命令关闭hypervisor自动启动改完必须重启生效。注意关掉Hyper-V后WSL2可能起不来这是一个取舍如果日常依赖WSL2建议改用VMware Workstation配合ENSP Pro而不是硬关Hyper-V。ENSP安装完成后第一次启动在菜单“工具—选项”里检查VirtualBox路径是否指向正确。如果提示没有注册到VirtualBox安装目录手动运行注册命令然后重启ENSP。这一步很多人没做结果设备一直启动不了。2.3 开局第一件事动设备前先改掉这三个默认习惯第一个习惯及时清屏。命令行窗口消息多了以后不要一条条敲clear screen直接在窗口右键选“清空命令行窗口”一键解决。ENSP的窗口操作跟真实设备的串口终端不完全一样右键菜单里很多功能能省时间。第二个习惯关闭日志刷屏。设备启动后先敲一条命令undo terminal monitor这条命令关闭终端监控否则路由协议抖动或接口up/down的日志会不断打断你输入配置。真实设备上我也会这样干但注意排障时需要重新开启用terminal monitor。第三个习惯每个实验做完先save再关拓扑。ENSP的拓扑文件只保存设备之间的连线关系不保存设备里已经敲进去的配置。没save就关设备下次打开就是一台空设备。另外实验文档里常会让你配console密码配完新开窗口就进不去这时最大的后悔药是右键设备选“停止”再“启动”但这会把设备里的所有配置也清掉。所以我的习惯是配密码前先save万一密码丢了还能恢复。3. 跑通二层到三层VLAN、Trunk与VLANIF网关3.1 在华为三层交换机上划VLAN实验文档里最常见的开局是一台S5700交换机接两台PC要求PC1在VLAN10PC2在VLAN20二层隔离。S5700是华为三层交换机支持VLANIF接口这个型号在ENSP里也是最常用的。拖一台S5700两台PC连线后启动设备。PC的IP先不用配等VLAN起来再说。交换机配置如下system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20逐条说vlan batch 10 20 一条命令同时创建两个VLAN比分别创建快得多port link-type access把接口设为access模式接终端设备PC、打印机必须用这个模式port default vlan 10把接口划进指定VLAN。配置完用display vlan验证能看到VLAN10和VLAN20都存在且GE0/0/1归属VLAN10。这时候PC1和PC2之间是ping不通的这是预期的不是配置错了。二层隔离生效了但三层还没通后面配完VLANIF才能互相访问。很多新手在这里犯糊涂access口和trunk口都是干什么的简单记法access口接终端trunk口接交换机或路由器。接口模式选错是VLAN实验里第一个常见翻车点。3.2 跨交换机跑Trunk中继两台S5700互连一台接PC1VLAN10另一台接PC2VLAN20要求两台PC互通。这里的关键是两台交换机之间的链路必须用Trunk模式并且放行VLAN10和VLAN20。在两台交换机上都要配置interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20注意只设link-type trunk是不够的必须配allow-pass。华为设备的Trunk接口默认只放行VLAN1不放行你新建的VLAN10和20。帧到达Trunk链路后会被交换机丢弃表现为PC之间ping不通。还有一个容易混淆的参数是port trunk pvid vlan。pvid是缺省VLAN用于处理不带VLAN标签的帧allow-pass管的是放行列表两者职责完全不同。我见过有人把pvid当成放行来用结果VLAN10的帧全部以untagged方式在链路上跑到对端后归属错乱。Trunk链路配置完用display port vlan查看接口的放行状态确认VLAN10和20都在PVID列或VLAN Passing列里。这一步虽然简单但对新手来说比配置本身更容易出错。3.3 用VLANIF把三层网关做出来PC跨网段通信需要网关华为三层交换机的网关就是VLANIF接口。S5700作为三层交换机支持直接创建VLANIF接口并配置IP地址。在两台交换机上分别配置interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0VLANIF10的IP就是VLAN10内PC的网关VLANIF20同理。PC配置完IP和网关后PC1能ping通PC2数据走的是交换机内部三层转发不再依赖任何物理接口。这里有个新手最常见的误用直接在access物理接口上配IP地址然后发现PC根本ping不通网关。原因在于access口是二层口二三层不能混用三层地址必须放在VLANIF上。华为三层交换机支持把物理口切换成三层口undo portswitch但那是给路由器互联用的场景不是给终端网关用的。终端网关一律走VLANIF这个原则记住能少踩很多坑。验证命令display ip interface brief能看到Vlanif10和Vlanif20都是up状态IP地址正确。再用ping -a指定源地址测试确认是从正确网段发出的报文ping -a 192.168.10.1 192.168.20.1如果不加-a路由器可能从任意一个接口选取源地址测试结果会有误导性。4. 地址服务与访问控制DHCP、ACL与WLAN4.1 用交换机做DHCP服务器真实网络里很少给每台PC配静态IPDHCP是必练实验。华为交换机既可以做全局DHCP服务器也可以做接口DHCP服务器。全局模式更接近企业网的真实做法。需求VLAN10网段192.168.10.0/24网关192.168.10.1分配地址池192.168.10.100到192.168.10.200。dhcp enable ip pool office network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.99 interface Vlanif10 dhcp select globaldhcp enable先打开全局DHCP功能这个开关经常有人忘配完display dhcp发现什么都不下发ip pool office定义地址池名字network和gateway-list分别指定网段和网关excluded-ip-address是关键把网关和静态终端占用的地址范围排除出去否则可能出现地址冲突。最后在Vlanif10接口上执行dhcp select global让接口从全局地址池分配。还有一种接口模式配置把dhcp select global换成dhcp select interface接口会自动拿自己网段做地址池配置少但无法精确排除地址灵活性差。我一般用全局模式更接近生产环境。验证命令display ip pool name office display dhcp server statisticsPC改成DHCP获取方式后能在地址池里看到租约记录说明下发成功。PC拿到地址后检查网关地址对不对这个问题在ENSP里很常见网关配错或没配PC能拿到IP却上不了网。4.2 ACL做单向访问方向比内容更靠前热词搜索里最典型的问题就是“ensp 交换机 acl 单向访问不管用”。现象是ACL明明写了deny流量还是能通过。这里先说结论绝大多数不是规则写错是方向或顺序错了。需求VLAN10可以访问VLAN20但VLAN20不能访问VLAN10。用高级ACL加traffic-filter实现作用在VLAN20网关上acl 3000 rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 permit ip interface Vlanif20 traffic-filter inbound acl 3000高级ACL3000以上能同时匹配源地址和目的地址这是单向访问的基础deny规则必须放在permit前面华为ACL的匹配顺序是从小到大逐条匹配permit ip一旦先命中后面的deny永远不生效traffic-filter inbound的方向是站在Vlanif20接口看从VLAN20进来的流量先经过ACL过滤方向选错时deny规则永远不会被流量命中。避坑要点基本ACL2000只能匹配源地址不能同时过滤目的地址用2000做单向访问必然不管用。之前遇到一个案例同事用acl 2000配了deny source 192.168.20.0发现VLAN20的流量确实被拦了但VLAN20到192.168.10.0的流量也从源地址那一步就被放行了因为目的是匹配不了的。所以做单方向限制一定选高级ACL。验证方法VLAN20的PC ping VLAN10的网关超时VLAN10的PC ping VLAN20的网关通。再用display acl 3000看命中计数如果rule 5的计数在增加说明deny真的在生效而不是配置没应用上。4.3 WLAN实验ACAP要过的三关ENSP里做WLAN实验核心是AC无线控制器加AP接入点的组网。很多人卡住不是不会配802.1x而是AP根本没有上线后面的无线业务全免谈。第一关AP管理通道。AC和AP之间要能通信通常的做法是在交换机上把连AP的接口配成Trunk放行AP管理VLAN和业务SSID的VLAN。同时要确保AP能从DHCP服务器拿到管理IP。AP没上线时先查display ap all看AP的State是不是Fault或Idle。第二关WLAN业务模板组织。需要在AC上创建SSID模板、安全模板、VAP模板再把VAP模板绑定到AP组。ENSP里常见AC型号是AC6605配置骨架大致是这样wlan ssid-profile name office-ssid ssid office security-profile name office-sec security wpa2 psk pass-phrase 12345678 aes vap-profile name office-vap service-vlan vlan-id 10 ssid-profile office-ssid security-profile office-sec ap-group name office vap-profile office-vap wlan 1 radio 0这段配置的层级关系是VAP模板把SSID、安全策略、业务VLAN串起来再绑定到AP组。不同版本命令细节有差异但组织逻辑一样。如果实验文档要求802.1x认证还需要额外配RADIUS模板或在AC上做本地认证否则终端会一直卡在认证阶段。第三关业务VLAN的网关和DHCP。SSID里的业务VLAN必须在交换机上有对应的VLANIF网关和DHCP服务否则终端连上WiFi也拿不到IP。这三关里任何一环断了无线实验都跑不通排查顺序也按这个来。5. 避坑高频踩坑记录与排查思路5.1 AR路由器启动显示40现象路由器启动后设备图标一直显示40双击打开命令行窗口只有零星日志ping不通任何接口。原因40这个数字代表虚拟化资源没有被正确分配。我遇到的情况集中在三种VirtualBox版本与ENSP自带的组件不匹配电脑开了Hyper-V或虚拟机监控程序BIOS虚拟化开关VT-x没打开。第三方论坛下载的绿色整合包经常捆绑自己的VirtualBox版本最容易触发这个问题。解决先卸载单独安装的VirtualBox用ENSP安装包自带的组件重装然后管理员身份执行bcdedit /set hypervisorlaunchtype off并重启最后进BIOS确认Intel Virtualization Technology处于Enabled。如果以上都做了还不行检查安全软件有没有把VirtualBox的驱动文件隔离恢复之后重启ENSP。5.2 ACL配了但单向访问不管用现象ACL规则已经配置成功display acl能看到规则但该拦截的流量还是能过去。原因三个根因按概率排序用了基本ACL 2000只能匹配源地址目的地址过滤是失效的permit规则写在deny前面流量先被permit命中traffic-filter方向选错。另外还有一种情况是规则应用在出方向但设备的三层转发在入口就完成了出口永远看不到那条流量。解决换成高级ACL 3000同时写source和destinationdeny放前面permit放后面应用位置优先选靠近源网段一侧的接口inbound方向。改完用display acl 3000看命中计数变化这是判断ACL有没有真正生效的最直接手段。5.3 FTP服务器配置后连不上现象PC用ftp命令访问服务器提示连接超时或登录后看不到目录。原因FTP服务本身没启动或者AAA里没建可用的FTP用户。华为设备上FTP默认是关闭的光配AAA用户不打开服务器端口根本没监听。解决系统视图下执行ftp server enable打开FTP服务老版本命令是ftp server然后在AAA里配置本地用户aaa local-user ftpuser password cipher 123456 local-user ftpuser service-type ftp local-user ftpuser ftp-directory flash:/service-type ftp指定这个用户的业务类型是FTPftp-directory限定用户登录后的根目录不配置可能导致登录后看不到文件。配置完在PC命令行用ftp 192.168.x.x测试如果还是不通用display current-configuration | include ftp确认服务确实开了。这个排查思路同样适用于ensp里防火墙Web登录打不开的情况大都是服务没使能或安全策略没放行对应端口。5.4 GRE隧道搭好却不通现象两端AR路由器的Tunnel接口状态都是up但隧道两端的LAN网段互相ping不通。原因Tunnel接口up只代表隧道协议协商成功不代表流量会走隧道。最常见的原因是路由缺失——设备不知道去往对端内网应该把报文交给Tunnel接口其次是Tunnel源、目的地址配置反了或两端tunnel-protocol不一致。解决先ping隧道的源地址和目的地址确认底层物理链路通检查两端都配置了tunnel-protocol gre然后补静态路由ip route-static 192.168.30.0 255.255.255.0 Tunnel0/0/0观察点下一跳不是IP地址而是出接口Tunnel0/0/0。在华为VRP里指定出接口为隧道口后匹配这条路由的流量才会进入GRE封装。如果这里写了物理接口的IP作为下一跳流量会走物理链路隧道就白建了。5.5 拓扑关了重开配置全部丢失现象昨天配好的VLAN、DHCP、ACL全部消失设备回到出厂状态。原因ENSP的拓扑文件只保存设备之间的连线关系和设备型号不保存设备内部的running-config。关闭设备时如果没执行save配置就丢了。解决养成分段保存习惯——每个实验做完一个阶段就save一次弹出确认时直接回车保存到vrpcfg.zip。同时把拓扑文件、配置导出的backup文件、截图放在同一个实验目录命名带上日期和实验内容。这个习惯在真实设备上也通用区别是真实设备配置丢失后影响的是生产网络ENSP里丢配置浪费的只是时间但连续丢两次之后就长记性了。6. 验证三板斧抓包、命中计数与验收清单6.1 接口抓包怎么用才有效ENSP里每个设备和连线都能右键启动抓包。不要只在ping不通的时候才打开抓包正确的用法是顺着报文流的路径逐段看。比如ACL方向配错时在源接口抓包能看到ICMP请求正常发出但在目的侧接口抓不到请求报文就能判断问题出在中间路径的某台设备上而不是终端配置。6.2 display命令要成组用实验内容必查命令预期结果VLAN划分display vlanVLAN存在且接口归属正确Trunk放行display port vlan链路上VLAN放行列表完整VLANIF网关display ip interface brief接口状态UP且地址正确DHCP地址池display ip pool name officePC的IP出现在租约条目中ACL生效display acl 3000deny规则的命中计数在增加重点说下ACL的命中计数。很多人看display acl里的规则觉得规则存在就等于生效了其实规则存在只代表配置成功计数增加才代表流量真正命中了它。计数为零的话优先怀疑方向和应用位置而不是规则内容。6.3 实验收尾的验收顺序我现在每做一个实验收尾时固定走一遍物理连通性、逻辑配置一致性、抓包记录、配置保存。先确认PC能ping通网关再看display命令的输出是否与预期完全一致有抓包的话把关键报文存一份最后save并导出配置备份。这个顺序一开始是给自己用的后来带同事做实验评审也用它。SRv6这类高阶实验我也用同样的验证逻辑只是把判断标准从“通不通”换成“段列表和封装格式对不对”。有次熬夜排查ACL两个小时最后发现就是permit写在deny前面从此每配一组规则都先看顺序再看方向最后才看内容。这个习惯帮我躲过了很多看起来像玄学的网络问题。希望帮到你。本文还有配套的精品资源点击获取