eNSP校园网仿真毕设实战：从拓扑搭建到VLAN、OSPF、NAT配置与避坑指南

简介：这份资源面向网络工程、通信工程等专业的在校学生与备考华为认证的学习者，围绕校园网规划与仿真这一典型场景，提供一套可直接运行的 eNSP 实验环境。压缩包共 19 个文件，约 13.04MB，以 10 个 efz 设备镜像文件为核心，配合 4 个 xml 配置文件、topo 拓扑文件及嵌套 zip 包，另附 pptx 演示文稿与 docx 说明文档，覆盖拓扑搭建、设备配置与方案讲解等环节，虚拟环境已配置完成，导入后即可启动调试。目前已有 20856 人学习下载，热度较高，适合毕设选题参考与 HCNP 阶段的路由交换综合练习。读者可据此还原校园网的分层结构，理解 VLAN 划分、路由互通与出口配置思路，并结合文档与演示材料梳理设计逻辑，省去从零搭建环境的时间，把精力放在配置验证与方案改进上。

1. 从一份校园网拓扑说起：这个 eNSP 仿真包到底能干什么

很多网络工程方向的毕设卡在同一个地方：方案画得挺漂亮，真到要交一份能演示、能截图、能答辩的仿真环境时，发现设备起不来、VLAN 不通、路由不收敛。这份基于 eNSP 的校园网设计与仿真资源，解决的正是这个落地环节——它把一所典型校园网的接入层、汇聚层、核心层、出口区在模拟器里搭成一套可运行的拓扑，配套设备配置、地址规划与验证步骤。适合两类人：一是做毕设、课程设计需要一套完整可复现网络方案的学生；二是准备 HCNP 方向、想拿真实拓扑练手 VLAN、OSPF、NAT、ACL 的工程师。它不是一个能直接上线生产的网络,而是一套把"设计文档"变成"能 ping 通、能抓包、能演示"的仿真工程。

2. 拓扑与目录结构：先看清这套校园网是怎么分层的

拿到压缩包先别急着双击打开 eNSP 工程文件，先花十分钟把目录和拓扑读一遍。这套资源的组织逻辑基本遵循"一个工程文件 + 一份地址规划 + 若干设备配置片段"的结构，理解了这个结构，后面改起来才不会把配置改乱。

2.1 典型目录构成与各文件职责

不同人打包习惯不一样，但这类 eNSP 校园网仿真包通常长这样：

campus-network-ensp/ ├── campus.paper # eNSP 工程文件，双击用 eNSP 打开 ├── README.md # 拓扑说明、账号密码、启动顺序 ├── docs/ │ ├── ip-plan.xlsx # 地址规划表：VLAN、网段、网关、设备互联地址 │ └── topology.png # 拓扑截图，答辩时直接可用 ├── configs/ │ ├── core-sw1.cfg # 核心交换机配置 │ ├── agg-sw1.cfg # 汇聚交换机配置 │ ├── acc-sw1.cfg # 接入交换机配置 │ └── edge-router.cfg # 出口路由器配置 └── capture/ └── ospf-neighbor.pcap # 关键协议抓包，验证用

.paper是 eNSP 的工程文件，本质是个压缩包，里面记录了设备型号、连线关系、每台设备的启动配置。configs/下的.cfg是纯文本，可以直接用记事本打开对照，这是排查问题最有用的一手材料。ip-plan.xlsx决定了你后面所有配置的地址从哪来，改拓扑前先改它，别反过来。

提示：如果包里没有 README，先打开.paper看设备清单，再对照configs/里的配置反推地址规划，别凭感觉配。

2.2 三层架构在仿真里的具体落点

校园网的标准分层是接入—汇聚—核心，出口再接防火墙或路由器。在这套仿真里，各层的职责和常见设备选型大致如下：

接入层交换机把不同楼栋、不同学院的终端划进不同 VLAN，汇聚层做 VLANIF 网关和 DHCP，核心层跑 OSPF 把各汇聚段打通，出口路由器做 NAT 让内网能访问外网。这个分工不是死规定，小规模校园网常把核心和汇聚合并，但毕设答辩时分层讲清楚会加分。

2.3 打开工程前的环境检查

eNSP 对运行环境比较挑，尤其是虚拟网卡和 VirtualBox 版本。打开工程前确认三件事：eNSP 本体能正常启动、VirtualBox 版本与 eNSP 匹配、设备镜像（AR/S 系列）已导入。这三样缺一个，工程打开后设备就是红叉，点启动也没反应。

# 检查 VirtualBox 是否安装且版本可用（Windows 下在安装目录执行） VBoxManage --version # eNSP 安装目录下确认镜像存在 ls "C:/Program Files/Huawei/eNSP/device/"

VBoxManage --version输出的是 VirtualBox 版本号，eNSP 对它有兼容区间，版本过高或过低都会导致设备启动失败。设备镜像目录里应该有 AR、S 系列对应的文件夹，缺了就在 eNSP 的"菜单—工具—注册设备"里重新注册。这一步是后面所有操作的前提，环境没通，配置再对也白搭。

3. 把仿真跑起来：从启动设备到全网互通

环境检查通过后，真正的落地从"启动设备"开始。这一章按实际操作顺序走：先让设备起来，再配 VLAN 和网关，然后打通路由，最后验证出口。每一步都给可抄的配置和验证命令，照着敲能复现。

3.1 启动顺序与设备状态确认

eNSP 里设备启动有先后依赖，出口路由器和核心交换机先起，接入层后起，否则 OSPF 邻居反复震荡。打开.paper后，右键单台设备选"启动"，或者全选后批量启动，但批量启动容易让低配机器卡死。

操作顺序： 1. 启动 core-sw1、core-sw2（核心） 2. 启动 edge-router（出口） 3. 启动 agg-sw1、agg-sw2（汇聚） 4. 最后启动 acc-sw1 ~ acc-swN（接入）

启动后每台设备图标变绿才算就绪，变蓝是启动中，红叉是失败。失败先看 eNSP 底部日志，常见是内存不足或镜像未注册。设备全绿后，双击进入命令行，先display version确认型号和系统版本，再往下配。

3.2 接入层 VLAN 与端口配置

接入层的第一件事是把终端端口划进对应 VLAN。以某栋教学楼接入交换机为例，1-10 口给办公 VLAN 10，11-20 口给学生 VLAN 20，上行口配 trunk 放行这两个 VLAN。

<acc-sw1> system-view [acc-sw1] vlan batch 10 20 [acc-sw1] interface GigabitEthernet0/0/1 [acc-sw1-GigabitEthernet0/0/1] port link-type access [acc-sw1-GigabitEthernet0/0/1] port default vlan 10 [acc-sw1-GigabitEthernet0/0/1] quit [acc-sw1] interface GigabitEthernet0/0/24 [acc-sw1-GigabitEthernet0/0/24] port link-type trunk [acc-sw1-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20

vlan batch 10 20一次创建两个 VLAN，省得逐条敲。access 口只属于一个 VLAN，接终端；trunk 口承载多个 VLAN，接上行。port trunk allow-pass vlan 10 20是白名单机制，没放行的 VLAN 过不去，这是新手最容易漏的一行——配了 trunk 却没 allow-pass，下游 VLAN 死活不通。

3.3 汇聚层 VLANIF 网关与 DHCP

汇聚层要给每个 VLAN 配网关地址，并开 DHCP 让终端自动拿地址。网关地址来自ip-plan.xlsx，比如 VLAN 10 用 192.168.10.1/24，VLAN 20 用 192.168.20.1/24。

[agg-sw1] dhcp enable [agg-sw1] interface Vlanif10 [agg-sw1-Vlanif10] ip address 192.168.10.1 24 [agg-sw1-Vlanif10] dhcp select interface [agg-sw1-Vlanif10] quit [agg-sw1] interface Vlanif20 [agg-sw1-Vlanif20] ip address 192.168.20.1 24 [agg-sw1-Vlanif20] dhcp select interface

dhcp select interface表示用接口地址所在网段做地址池，网关就是接口地址，DNS 可以后续用dhcp server dns-list补。这种写法适合毕设场景，地址池跟着接口走，改网段只改接口地址一处。生产环境更常用全局地址池，但仿真里接口池足够。

3.4 核心层 OSPF 打通与出口 NAT

核心层跑 OSPF，把汇聚的各个网段宣告进来，出口路由器配默认路由指向运营商，再做 NAT 让内网出公网。

[core-sw1] ospf 1 router-id 1.1.1.1 [core-sw1-ospf-1] area 0 [core-sw1-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255 [core-sw1-ospf-1-area-0.0.0.0] network 192.168.20.0 0.0.0.255 [core-sw1-ospf-1-area-0.0.0.0] quit [edge-router] acl 2000 [edge-router-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255 [edge-router] interface GigabitEthernet0/0/1 [edge-router-GigabitEthernet0/0/1] nat outbound 2000 [edge-router] ip route-static 0.0.0.0 0.0.0.0 202.1.1.2

OSPF 的network后面跟的是反掩码，0.0.0.255对应 /24。ACL 2000 匹配内网所有 192.168.x.x 网段，nat outbound 2000让这些流量出接口时做源地址转换。默认路由指向模拟的运营商下一跳，这个地址在拓扑里是虚构的，只要和出口接口同网段即可。

3.5 全网连通性验证清单

配完不算完，得逐层验证。按从下往上的顺序查，出问题能快速定位在哪一层。

# 终端侧：确认拿到地址 display ip interface brief # 接入到汇聚：VLAN 是否放行 display port vlan # 汇聚到核心：OSPF 邻居是否 Full display ospf peer brief # 出口：NAT 会话是否建立 display nat session all # 端到端：从终端 ping 外网地址 ping 202.1.1.2

display ospf peer brief看到Full才说明邻居建立完成，2-Way或ExStart都是没通。display nat session all有记录说明 NAT 生效。端到端 ping 通，这套仿真就算跑起来了，可以截图进论文。

4. 核心配置拆解：几个决定成败的模块

跑通之后回头看，这套拓扑里有几个配置模块是"配错就全盘皆输"的关键点。这一章把它们单独拎出来讲清楚原理和参数，方便二次开发时改得明白。

4.1 VLAN 规划与 Trunk 放行逻辑

VLAN 规划的核心是"一个业务一个 VLAN，网关在汇聚"。Trunk 链路上必须显式放行需要的 VLAN，华为设备默认只放行 VLAN 1。很多人的拓扑里 VLAN 配了、接口也划了，就是不通，八成是 trunk 没 allow-pass。

[agg-sw1] interface GigabitEthernet0/0/1 [agg-sw1-GigabitEthernet0/0/1] port link-type trunk [agg-sw1-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 30 [agg-sw1-GigabitEthernet0/0/1] port trunk pvid vlan 1

port trunk pvid vlan 1设置 trunk 口的缺省 VLAN，untagged 帧归到 VLAN 1。一般保持默认即可，除非有特殊需求。allow-pass 列表要和两端对齐，一端放行 10 20，另一端只放行 10，VLAN 20 就断在中间。

4.2 OSPF 区域划分与路由宣告

校园网规模不大时，OSPF 单区域（area 0）就够。规模大或要做区域划分的毕设，可以把汇聚以下划成普通区域，核心做 ABR。宣告网段时用反掩码，宣告的是"接口所在网段"，不是接口地址。

[core-sw1] ospf 1 router-id 1.1.1.1 [core-sw1-ospf-1] area 0 [core-sw1-ospf-1-area-0.0.0.0] network 10.0.0.0 0.0.0.3 [core-sw1-ospf-1-area-0.0.0.0] network 192.168.10.0 0.0.0.255

10.0.0.0 0.0.0.3对应 /30，常用于设备互联。router-id 建议手工指定，别让它自动选，否则设备重启后可能变，邻居关系跟着抖。宣告多了会把不该进 OSPF 的网段带进来，宣告少了路由不全，对照ip-plan.xlsx一条条核。

4.3 NAT 与 ACL 的配合

出口 NAT 依赖 ACL 匹配内网源地址，ACL 写错会导致部分网段出不去。基本 ACL 只匹配源地址，适合这种场景；高级 ACL 能匹配源目端口，但 NAT outbound 用基本 ACL 就够。

[edge-router] acl number 2000 [edge-router-acl-basic-2000] rule 5 permit source 192.168.0.0 0.0.255.255 [edge-router-acl-basic-2000] rule 10 deny [edge-router] interface GigabitEthernet0/0/1 [edge-router-GigabitEthernet0/0/1] nat outbound 2000

rule 5的 5 是步长，方便中间插规则。末尾rule 10 deny是隐式拒绝的显式写法，防止误放行。NAT 只转换匹配 ACL 的流量，内网地址段变了记得同步改 ACL，这是改拓扑时最容易忘的一处。

4.4 链路聚合与冗余设计

核心和汇聚之间常做双链路，用 Eth-Trunk 聚合，既增带宽又做冗余。仿真里配聚合要注意两端模式一致，LACP 模式需要两端都配。

[core-sw1] interface Eth-Trunk1 [core-sw1-Eth-Trunk1] mode lacp-static [core-sw1-Eth-Trunk1] trunkport GigabitEthernet0/0/1 to 0/0/2 [core-sw1-Eth-Trunk1] port link-type trunk [core-sw1-Eth-Trunk1] port trunk allow-pass vlan 10 20

mode lacp-static是静态 LACP，两端都要配，一端 manual 一端 lacp 会协商失败。trunkport ... to ...批量把物理口加入聚合组。聚合口上再配 trunk 和 allow-pass，物理口不用单独配。配完用display eth-trunk 1看成员口状态是否 Up。

5. 避坑与排查：仿真环境里最容易翻车的几处

eNSP 的坑和真机不完全一样，有些是模拟器本身的限制，有些是配置逻辑问题。这一章按"现象—原因—解决"记录几条高频翻车点，都是实际搭拓扑时踩过的。

5.1 设备启动红叉或一直蓝色

现象：工程打开后设备图标红叉，或长时间蓝色不转绿。原因通常是 VirtualBox 版本不匹配、设备镜像未注册、或主机内存不足。解决：先VBoxManage --version核对版本，再到 eNSP 里重新注册设备，最后关掉其他占内存的程序。低配机器别一次启动全部设备，分批起。

5.2 VLAN 配了但终端拿不到地址

现象：接入口划了 VLAN，汇聚也配了 VLANIF 和 DHCP，终端ipconfig还是 169.254 开头。原因多半是 trunk 没 allow-pass 该 VLAN，或 DHCP 没在对应接口使能。解决：display port vlan看 trunk 放行列表，display dhcp server pool看地址池状态，逐段排查。

5.3 OSPF 邻居卡在 ExStart

现象：display ospf peer brief显示邻居状态停在 ExStart 或 Exchange。原因常见是两端 MTU 不一致，或 router-id 冲突。解决：display interface核对 MTU，display ospf brief看 router-id，冲突就手工改掉。仿真里 MTU 一般一致，重点查 router-id。

5.4 NAT 配了但内网出不去

现象：内网能 ping 通网关和核心，ping 外网地址不通。原因可能是 ACL 没匹配到该网段、默认路由缺失、或 NAT 没应用在正确接口。解决：display nat session all看有没有会话，display ip routing-table看默认路由在不在，display acl 2000看规则命中数。

5.5 保存配置后重开工程配置丢失

现象：配完保存，关掉 eNSP 重开，设备配置回到初始状态。原因是只保存了工程没保存设备配置，或用了"停止设备"而非正常关闭。解决：每台设备命令行执行save并确认，工程文件另存一份备份。eNSP 的配置保存在设备镜像的启动配置里，不save就丢。

注意：答辩前一定做一次"关闭—重开—验证"的完整流程，确认配置持久化，别到现场才发现全没了。

6. 二次开发与改造：把这套拓扑改成你自己的方案

这套资源的价值不只在"能跑"，更在"能改"。毕设题目千变万化，有人要做无线覆盖，有人要做 IPv6，有人要加防火墙。这一章讲怎么在现有骨架上做增量改造，以及改完怎么验证不翻车。

6.1 改造前的备份与版本管理

改之前先把整个目录复制一份，命名带日期，比如campus-20250101。.paper和configs/一起备份，别只备份工程文件。我一般会在configs/下建个baseline/存原始配置，改坏了直接回滚。eNSP 工程文件不大，多存几份不占地方，这是最便宜的后悔药。

6.2 加无线覆盖：AC + AP 的接入方式

要做无线，在接入层挂 AC（无线控制器）和 AP。eNSP 里用 AC6005 或 AC6605，AP 用 AP 系列。核心是把 AP 的管理 VLAN 和业务 VLAN 分开，AC 上配 CAPWAP 隧道。

[ac1] vlan batch 100 101 [ac1] interface Vlanif100 [ac1-Vlanif100] ip address 192.168.100.1 24 [ac1] dhcp enable [ac1] interface Vlanif100 [ac1-Vlanif100] dhcp select interface [ac1] wlan [ac1-wlan-view] ap-auth-mode mac-auth

VLAN 100 给 AP 管理，VLAN 101 给无线业务。ap-auth-mode mac-auth用 MAC 认证 AP，仿真里够用。AP 上线后display ap all能看到状态。无线部分对 eNSP 性能要求高，AP 数量别开太多。

6.3 引入 IPv6 双栈

IPv6 改造从核心开始，接口加 IPv6 地址，OSPFv3 替代 OSPFv2。地址规划要重做，ip-plan.xlsx里加一列 IPv6 前缀。

[core-sw1] ipv6 [core-sw1] interface Vlanif10 [core-sw1-Vlanif10] ipv6 enable [core-sw1-Vlanif10] ipv6 address 2001:db8:10::1/64 [core-sw1] ospfv3 1 [core-sw1-ospfv3-1] router-id 1.1.1.1 [core-sw1] interface Vlanif10 [core-sw1-Vlanif10] ospfv3 1 area 0

ipv6全局使能后才能配接口地址。OSPFv3 的 router-id 仍是 32 位格式，沿用 IPv4 的即可。双栈改造工作量大，建议先在一个 VLAN 试点，通了再铺开。

6.4 加防火墙与安全策略

出口区加防火墙，把 NAT 和 ACL 迁到防火墙上，路由器只做转发。防火墙配安全区域，内网 trust、外网 untrust，写安全策略放行。

[fw1] firewall zone trust [fw1-zone-trust] add interface GigabitEthernet1/0/1 [fw1] firewall zone untrust [fw1-zone-untrust] add interface GigabitEthernet1/0/2 [fw1] security-policy [fw1-policy-security] rule name trust-to-untrust [fw1-policy-security-rule-trust-to-untrust] source-zone trust [fw1-policy-security-rule-trust-to-untrust] destination-zone untrust [fw1-policy-security-rule-trust-to-untrust] action permit

安全策略默认拒绝，必须显式 permit。add interface把接口划进区域，接口不划区域策略不生效。防火墙的 NAT 配置和路由器类似，但要在策略里放行 NAT 后的流量。

6.5 改造后的验证方法

每次改造后按"单点—链路—端到端"三层验证。单点看接口和协议状态，链路看邻居和路由，端到端 ping 和抓包。抓包用 eNSP 自带的抓包功能，右键链路选"抓包"，Wireshark 打开看报文。OSPF 改造后重点看 Hello 报文和 LSA，IPv6 改造后看 ICMPv6 和 OSPFv3 Hello。

改造过程中我养成一个习惯：每加一个模块，先在纸上画一遍数据流向，再动手配。有次加防火墙忘了把回程流量放行，内网能出去回不来，查了半天才发现策略只写了单向。从那以后我每次改安全策略都强制走一遍"去程+回程"的双向检查，再抓包确认。希望这些能帮到你，少走几段弯路。

本文还有配套的精品资源，点击获取