企业官网建设流程全解析

简介：一套基于华为ensp模拟器搭建的典型中小型企业网完整项目资源，涵盖网络规划设计、优化与安全加固，面向高校网络方向课设/毕设学生及准备网工考证的入门者。压缩包共21个文件，含企业网.topo拓扑文件、1份配置文档.docx、9个设备flash镜像.efz、6个xml配置文件及3个备份zip等，整体仅949KB，可快速导入模拟器复现实验环境。配套报告详细阐述设计思路、拓扑结构、配置步骤与代码、功能测试过程，并覆盖VLAN、链路聚合、DHCP、OSPF、缺省路由、VRRP、MSTP、ACL、NAT、DNS、FTP、WEB、无线WLAN及防火墙等主流技术，功能综合性强。拓扑和配置代码可直接使用，尤其适合不想从零敲命令的课设、毕设场景，按文档逐步操作即可完成项目交付。已有5480人学习下载，无论是参考设计完整企业网络，还是作为网工实操练习素材，都具备较高价值。

1. eNSP里搭一套带无线版的企业网，到底在解决什么问题

刚接触eNSP的人，十有八九是先照着单机实验敲几组命令，ping通就觉得自己会了。真正把人卡住的，是一套完整的"典型中小型企业网"：有线无线混在一个拓扑里，VLAN要划、DHCP要分、路由要通、NAT要出去，无线AP还要能上线、终端要能漫游。整套东西在eNSP里不是能不能做的问题，而是做完能不能稳定跑、出了问题从哪查的问题。我见过不少人按教程搭完后无线终端拿到地址却上不了网，AC上AP一直显示未连接，最后发现是VLAN放行和路由回指漏了，这种问题不看全貌根本排查不出来。

这篇文章就按实际交付一套企业网的顺序来：先讲拓扑和地址规划为什么决定成败，再讲有线侧和无线侧分别怎么配置，最后把eNSP里最典型的几个坑一次性说透。适合还没完整搭过企业网的人，也适合搭过但总是在无线侧翻车的人，照着配置能少走很多弯路。

2. 拓扑与地址规划：先画对图，再谈配置

2.1 中小型企业网的分层结构与设备选型

典型中小型企业网不追求数据中心级别的冗余，但也不能所有设备挤在一个交换机上。常规做法是分三层：出口层、核心层、接入层，无线部分旁挂或直连核心。在eNSP里，设备的选型跟你实际项目里选设备是一个逻辑，并不是随手指一个设备就能搭出合理拓扑的。

我通常会这样搭：出口用AR路由器，负责NAT和默认路由；核心层用一台三层交换机，做VLAN网关和DHCP服务器；接入层用两台二层交换机，分别接有线和无线终端；无线部分用一台AC、两台AP，AC旁挂在核心交换机上，AP接在接入交换机上。eNSP里对应设备是AR2220、S5700系列交换机、AC6005或AC6605、AP2050DN等。这里的核心思想是：AC和AP必须能通过CAPWAP协议通信，AP接入的交换机必须放行管理VLAN，AC与核心之间的链路必须允许业务VLAN通过，否则无线终端就算连上SSID也拿不到地址。

拓扑上最容易犯的错，是把AC放在出口路由器的下面、核心交换机的上面，以为无线流量都从AC绕一圈。其实中小型网里AC主要负责管理和控制，数据流量可以直接走核心交换机转发。在eNSP里这种绕法会把链路带宽压死，而且多一层故障点。所以我的习惯是：AC用一条独立链路接到核心交换机，只走管理；AP的数据业务通过接入交换机上行到核心，不强制经过AC。

2.2 IP与VLAN规划表：一张表避免后面所有返工

地址规划是整个项目里最不能马虎的部分。很多人在eNSP里搭到一半发现VLAN重复、网段冲突，然后删了重来，就是因为没在配置前画一张完整的规划表。我一般会先定这样的规则：管理VLAN单独用一段，终端业务VLAN各用一段，AP管理VLAN单独一段，互连链路单独一段，不要让任何两个网段重叠。

下面这张表是我在一套模拟项目里实际使用的规划，VLAN编号、网段、网关、用途一次定死，后面所有配置都围绕这张表展开。

这张表里有几点值得注意。AP管理VLAN和业务VLAN必须分开，否则AP上线广播会被业务VLAN的广播域干扰，而且无线终端拿到管理地址会引发地址冲突。访客VLAN建议单独一个，方便后面做访问控制，也方便出问题时快速隔离。出口互连用30位掩码的点对点网段，不占大段地址，也方便静态路由写条目。

地址规划定好后，还要把交换机端口规划写清楚。接入交换机面向有线电脑的接口划入VLAN 10，面向AP的接口划入VLAN 100，并且端口类型设置为Trunk，放行业务VLAN 20、30和管理VLAN 100。核心交换机上所有连接接入交换机和AC的接口都做Trunk，网关地址配在核心上。这样划分后，有线无线都在同一套网关体系里，后续配置DHCP和路由会非常顺。

3. 有线侧配置：VLAN、DHCP、路由与NAT这样一步步做

3.1 接入与核心交换机配置：VLAN划分与Trunk放行

先配置核心交换机。在eNSP里，S5700的vlan配置语法比较直接，核心交换机需要把所有VLAN都创建出来，并给每个VLAN配置网关地址，也就是VLANIF接口。VLANIF是三层接口，用于终端网关和路由交换。

# 核心交换机配置 sysname CoreSW vlan batch 10 20 30 100 999 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 # interface Vlanif20 ip address 192.168.20.1 255.255.255.0 # interface Vlanif30 ip address 192.168.30.1 255.255.255.0 # interface Vlanif100 ip address 192.168.100.1 255.255.255.0 # interface Vlanif999 ip address 10.0.99.1 255.255.255.252

这里注意，VLANIF 999是核心与出口路由器互连的网段，掩码30位，只有两个可用IP，一个给核心，一个给路由器。VLAN 100的VLANIF网段是AP管理地址的网关，AC上配置的AP管理地址池要以它为准。

核心交换机连接接入交换机的接口要做Trunk，并且允许所有业务VLAN通过。因为接入交换机上有线终端在VLAN 10，AP在VLAN 100，无线终端上线后会在VLAN 20或30，这些VLAN都要经过核心与接入之间的链路。

interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 100 # interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 100

接入交换机配置相对简单，重点在于面向终端和AP的接口类型区分。面向有线电脑的接口是Access口，划入VLAN 10；面向AP的接口如果是直连单个AP，也可以做Access口划入VLAN 100。但如果AP下面还要串接有线终端，就需要把AP口做成Trunk，并放行所有业务VLAN。在eNSP典型的带无线版企业网里，AP单独接在交换机上，用Access口划管理VLAN最省事。

# 接入交换机配置示例 sysname AccessSW1 vlan batch 10 20 30 100 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # interface GigabitEthernet0/0/2 port link-type access port default vlan 100 # interface GigabitEthernet0/0/10 port link-type trunk port trunk allow-pass vlan 10 20 30 100

这段配置里，G0/0/1接有线电脑，G0/0/2接AP，G0/0/10上连核心交换机。这里有个细节：AP接入口划入VLAN 100后，AP发出的CAPWAP发现报文就会带上VLAN 100的标签，AC只要也在VLAN 100里就能收到。如果发现AP始终不上线，先查这个口有没有划对VLAN，其次查上联Trunk有没有放行VLAN 100。在eNSP里漏掉Trunk放行是最高频的错误。

3.2 DHCP服务：用核心交换机给终端和AP分发地址

中小型网的DHCP服务我一般放在核心交换机而不是出口路由器上。原因是核心交换机离业务VLAN网关最近，DHCP请求在同一个三层设备上处理，不需要跨设备中继，排错也简单。在eNSP里，核心交换机配置DHCP需要先开启DHCP服务，然后创建地址池，最后在VLANIF接口上启用。

# 核心交换机DHCP配置 dhcp enable # ip pool vlan10_pool network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 8.8.8.8 114.114.114.114 lease day 1 hour 0 minute 0 # ip pool vlan20_pool network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 8.8.8.8 114.114.114.114 # ip pool vlan30_pool network 192.168.30.0 mask 255.255.255.0 gateway-list 192.168.30.1 dns-list 8.8.8.8 114.114.114.114 # ip pool vlan100_pool network 192.168.100.0 mask 255.255.255.0 gateway-list 192.168.100.1 dns-list 8.8.8.8 114.114.114.114 # interface Vlanif10 dhcp select global # interface Vlanif20 dhcp select global # interface Vlanif30 dhcp select global # interface Vlanif100 dhcp select global

参数说明：dhcp select global表示接口使用全局地址池，地址池名称可以自定义，但网段、网关必须和VLANIF一致。DNS服务器地址在eNSP里可以填公网DNS，模拟器里只要客户端能解析就行。lease默认是1天，也可以不改。

有一个关键点：VLAN 100地址池是给AP用的。AC在管理AP时会从VLAN 100网段给AP分配IP，所以这个地址池必须在核心上配好，否则AP拿不到管理地址，AC侧会一直显示AP离线。我在实际配置中遇到过AP反复重启的现象，最后发现是VLAN 100地址池被误删，AP每次起来都拿不到地址，然后重新请求，看起来就是一直在闪断。

3.3 出口路由与NAT：让内网访问外网

有线侧最后一步是让内网能访问外网。出口路由器AR2220需要配置IP地址、静态路由回指内网，以及NAT地址转换。核心交换机需要写一条默认路由指向出口路由器。

# 出口路由器配置 interface GigabitEthernet0/0/0 ip address 10.0.99.2 255.255.255.252 # interface GigabitEthernet0/0/1 ip address 200.2.2.2 255.255.255.0 # ip route-static 192.168.10.0 255.255.255.0 10.0.99.1 ip route-static 192.168.20.0 255.255.255.0 10.0.99.1 ip route-static 192.168.30.0 255.255.255.0 10.0.99.1 ip route-static 192.168.100.0 255.255.255.0 10.0.99.1 # acl number 2001 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 rule 15 permit source 192.168.30.0 0.0.0.255 # interface GigabitEthernet0/0/1 nat outbound 2001

核心交换机侧要补一条默认路由：

ip route-static 0.0.0.0 0.0.0.0 10.0.99.2

这段配置里，ACL 2001定义了允许被NAT转换的内网网段，nat outbound 2001在出口接口上将匹配的源地址转换成公网IP。注意ACL只匹配了业务网段，没有匹配VLAN100管理网段。管理网段不需要访问外网，所以不用放进去。这里有个习惯问题：有些人习惯把nat outbound放在ACL下面加一条rule 20 permit source 192.168.100.0，我建议不放，AP管理地址少一条外网路径，更安全。

配置完成后，在核心交换机上ping出口路由器的互连地址，再ping外网地址。如果ping不通，优先查接口IP和静态路由。在eNSP里，AR2220默认接口是打开的，但需要确认ip route-static的目的网段写全，少一条VLAN100的路由，AP管理流量就出不去，虽然不影响AC上线，但在排错时会产生误导。

4. 无线侧配置：AC+AP组网与漫游

4.1 无线方案选型：AC+AP vs 胖AP，eNSP里怎么选

中小型企业网的无线部分，在eNSP里有两种常见做法：一种是AC+AP的瘦AP方案，一种是直接用支持无线功能的AP当胖AP。胖AP配置简单，但每个AP都要单独管理，SSID、密码、信道都要挨个配，不适合多AP场景。AC+AP方案里AP不承载配置，所有无线参数集中在AC上下发，AP上线后自动获取配置，这跟实际企业网的交付习惯一致。

我建议在eNSP里直接选AC+AP方案，理由有两点。第一，你以后写简历、做项目，AC+AP是主流技能，胖AP只能算单机玩具；第二，eNSP里AC和AP之间的CAPWAP交互是现成的，可以把上线、下发配置、漫游这一整条链路都验证明白。设备选型上，AC选AC6005，AP选AP2050DN，这两个在eNSP里配合比较稳定。

组网上，AC旁挂在核心交换机上，用三层方式管理AP。AP接到接入交换机的VLAN 100口，通过DHCP拿到192.168.100.x的地址，然后去发现AC。发现AC可以靠广播，也可以直接指定AC源地址。三层组网时建议在AC上配置capwap source ip-address指定AC的管理IP，AP侧通过DHCP下发的option 43或者直接在AP上配置静态AC地址来找AC。eNSP里最常见的方式是让AP和AC都在VLAN 100里，用二层广播发现，这样最简单。

4.2 AC上配置WLAN：SSID、安全模板与AP上线

AC配置是无线侧的核心，也是新手最懵的部分。因为AC上的配置不是一条命令能搞定，而是要拆成多个模板，再把模板关联起来。配置时头脑要清楚，顺序是：先建VLAN，再建DHCP或使用核心下发的地址，然后配置AC的源接口，让AP能上线，最后才是配置SSID、安全策略和VAP。

# AC（AC6005）配置 vlan batch 20 30 100 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20 30 100 # interface Vlanif100 ip address 192.168.100.254 255.255.255.0 # capwap source ip-address 192.168.100.254 # wlan ssid id 1 name EMPLOYEE security-profile name emp_sec security wpa2 psk pass-phrase admin@123 aes quit ssid-profile name emp_ssid ssid EMPLOYEE quit vap-profile name emp_vap service-vlan vlan-id 30 ssid-profile emp_ssid security-profile emp_sec quit ap-group name default vap-profile emp_vap wlan 1 radio 0 vap-profile emp_vap wlan 1 radio 1 quit

这段配置有几个关键参数要说明。ssid id 1 name EMPLOYEE定义了一个SSID，security wpa2 psk pass-phrase admin@123 aes使用WPA2-PSK加密，密码注意长度在8到63位之间。service-vlan vlan-id 30指定无线用户的业务VLAN为VLAN 30，核心交换机上VLAN 30的DHCP地址池会分给无线终端。ap-group把VAP模板绑定到AP的射频口上，radio 0和radio 1分别对应2.4G和5G射频。

在eNSP里常见的AP上线问题是，AC上已经配置好了一切，但AP还是一直显示未注册。这种时候要先检查AC的capwap source地址是否和AP能通信的地址一致。比如核心上给AP分的地址是192.168.100.1作为网关，AC的Vlanif100地址是192.168.100.254，那CAPWAP源地址就必须是192.168.100.254，如果写成192.168.100.1，AP能ping通AC但依然无法注册，因为CAPWAP报文从错误的源发出，AP会拒绝。

4.3 让无线终端拿到地址并测试漫游

无线终端在模拟器里怎么测试？eNSP没有手机终端，但可以用一台STA设备或者用PC模拟无线终端。常见做法是给PC加一块无线网卡，连接到AP上，然后在PC上DHCP获取地址。如果配置正常，无线终端会拿到192.168.30.x网段的地址。

在AC上可以查看AP和无线终端的关联信息：

display ap all display station assoc-info

第一条命令查看AP是否处于正常在线状态。第二条命令查看已关联的无线终端，正常输出会显示终端MAC、关联的AP名称和VLAN。如果终端关联上了但拿不到地址，问题大概率在核心交换机的VLAN 30 DHCP配置，或者在AC的VAP模板里service-vlan配错。我遇到过一次无线终端拿到VLAN 100的地址，说明AC上VAP模板的service-vlan没生效，或AC的trunk口没有放行VLAN 30。

漫游测试在eNSP里也能做，虽然模拟器不能像真实环境那样物理移动，但可以通过手动切换终端的关联AP来验证。具体操作是在两张AP之间切换STA的关联，然后看AC上的station assoc信息是否跟着变化，以及切换过程中终端IP是否保持不变。只要业务VLAN一致、网关在核心上，漫游后IP不会变，因为DHCP地址池是整个VLAN共享的。如果你发现在切换后终端重新申请地址，说明网络架构不是同一二层域，AC上又没有开启快速漫游，这在模拟器里也属于正常现象，但可以作为判断漫游机制的参考。

5. 常见问题与避坑：eNSP里最容易被卡住的7个细节

5.1 AP一直显示未注册，AC发现不了

现象：AC上display ap all显示AP状态为未注册或离线，AP侧指示灯不亮或一直重启。原因：AP和AC不在同一VLAN，或者AC的CAPWAP源地址配错，也可能是接入交换机上AP所接端口没有放行VLAN 100。解决：先查核心交换机上VLAN 100能否ping通AP，再查AC上capwap source ip-address是否与AP侧网关一致，最后确认AP接的交换机端口划在了VLAN 100，且上联Trunk放行了VLAN 100。在eNSP里这三个位置按顺序查，一般五分钟内能定位。

5.2 无线终端连上SSID但拿不到IP地址

现象：终端能关联到AP，显示已认证，但DHCP一直超时，IP始终是169.254.x.x。原因：AC的VAP模板里service-vlan配置的VLAN和实际业务VLAN不一致，或该VLAN在核心交换机上没有配置DHCP。另一个容易忽略的点是AC与核心之间的Trunk接口没有放行业务VLAN。解决：在AC上看display vap确认业务VLAN，回到核心交换机检查dhcp select global是否配置在对应VLANIF下，同时检查AC上联口trunk allow-pass。

5.3 无线正常但ping不通外网

现象：无线终端能拿到IP，能ping通网关和核心，但ping外网地址不通。原因：出口路由器的NAT ACL里没有包含无线业务网段，或者核心交换机没有配置指向出口的默认路由。解决：在出口路由器上查看ACL 2001，确认包含192.168.30.0网段，再看nat outbound是否调用。如果路由和NAT都对，在出口路由器上抓包看是否有无线网段的流量到达出口。

5.4 有线终端和无线终端之间ping不通

现象：同一台核心交换机下，VLAN 10的有线PC和VLAN 30的无线STA互ping失败。原因：直接用trunk连接的不同VLAN默认不会互通，因为网关在核心上，核心交换机没有启用VLAN间路由或配置了acl拦截。解决：在核心交换机上确认三个业务VLAN的VLANIF都已配置，并且没有策略端到端拦截。在eNSP里默认VLAN间路由是通的，如果ping不通，优先检查两台交换机的Trunk是否放行了双方VLAN。

5.5 保存配置后重启，eNSP里所有配置丢失

现象：在eNSP里敲完所有配置，关闭或重启设备后配置全没了。原因：没有执行save命令，或save时因为拓扑未完全关闭导致写入失败。解决：在每台设备上执行save，文件名带上设备名，比如save coreSW.cfg，确保所有设备都显示配置保存成功。eNSP里还建议在搭建实验时定期保存工程文件，设备配置和拓扑文件分开保存，避免一方损坏。

5.6 VLAN 100地址池被业务网段占用，AP地址冲突

现象：AP反复重启，AC上AP状态频繁在注册和离线之间跳变。原因：AP管理VLAN和无线业务VLAN地址重叠，比如VLAN 100配了192.168.30.0网段，AP和终端抢地址。解决：这是地址规划问题，只能重新划VLAN和网段。把VLAN 100单独设置为192.168.100.0/24，同时检查核心交换机上有没有其他VLAN误用了相同网段。

5.7 配置AC时找不到wlan命令

现象：进入AC设备后输入wlan提示命令不存在。原因：AC没有进入无线控制模式，或者vlan/接口配置还没创建。在eNSP里AC6005默认支持无线功能，但要求先完成VLAN配置和接口放行。解决：先配置VLAN和接口，确保AC的系统视图下有wlan命令。如果仍不行，检查设备型号是否选成了普通交换机，有的版本里AR路由器不支持无线控制。

6. 验证与进阶：从能跑到能交付的几个额外动作

整个拓扑搭完，不要看到无线终端能上网就以为结束了。我习惯做一轮"从用户角度"的验收：有线PC ping外网，无线STA ping外网，有线无线互访，AC上查看AP和终端关联，最后再验证一次重启后配置是否还在。这些动作看着简单，但能暴露很多隐性坑。比如无线终端能上QQ但打不开网页，多半是DNS没下发；有线终端能互访但出口NAT不转换，多半是ACL漏了网段。

进阶一点，建议给访客VLAN做访问控制。在核心交换机上配置ACL，让VLAN 20只能访问外网，不能主动访问VLAN 10和VLAN 30的内网资源。命令不复杂，但对方案完整度提升很大，面试或项目汇报时能讲出"访客隔离"这个点。还可以给AC开启漫游优化，配置一个快速漫游参数，让模拟测试更贴近真实场景。

最后一个额外动作是导出配置做备份。在每台设备上执行save后，打开eNSP的配置导出功能，把各设备配置保存成独立文件。这样哪怕整个工程文件损坏，也能根据配置文本快速重建。我个人的习惯是，每完成一个阶段就保存一次，并且把设备名写在文件名里，像CoreSW.cfg、AC6005.cfg，防止后面改串了。

说实话，eNSP里搭企业网不难，难的是养成"先规划、再配置、后验证"的习惯。这套流程我反复做过很多次，每次都能在无线侧或VLAN放行上踩到新细节。但只要你按拓扑、地址、有线、无线的顺序来，出了问题就按VLAN放行、DHCP、路由、ACL的顺序查，很快就能找到症结。希望这篇能帮你少走几步弯路，把线有线和无线都稳定跑起来。

本文还有配套的精品资源，点击获取