华为eNSP模拟器实战：从零搭建企业级多部门VLAN网络（附完整配置命令）
很多刚接触企业网络的朋友，一听到VLAN、Trunk、OSPF这些词就有点发怵，觉得是书本上高大上但离实际很远的概念。我自己带过不少新人，发现他们最大的困惑不是记不住命令，而是无法把一个个零散的技术点，串联成一个能实际跑起来的、有血有肉的网络。今天，我们就抛开那些枯燥的理论，直接上手华为eNSP模拟器，用一场沉浸式的“网络搭建手术”，来还原一个真实的中小型企业多部门网络场景。你会看到，从交换机上电初始化，到最终不同网段的PC相互ping通，每一个步骤背后的设计思路和操作细节。这篇文章就是为你准备的“手术刀”和“解剖图”，无论你是备考认证的学员，还是急需提升实战能力的网络工程师，跟着走一遍，你收获的将不仅仅是一堆配置命令，更是一套解决实际问题的思维框架。
1. 实验环境与拓扑设计：勾勒你的网络蓝图
在动手敲命令之前，花点时间把网络蓝图想清楚，是避免后续混乱和返工的关键。我们模拟一个典型场景：公司有两个主要办公地点（Location A和Location B）。Location A内有市场部（VLAN 10）和研发部（VLAN 20），他们通过各自的接入交换机连接到核心交换机；Location B是财务部（VLAN 30），独立在一个区域。各部门之间需要隔离广播域，但又要能相互通信，并且整个网络要能适应未来可能的变动。
基于这个需求，我们选择华为eNSP作为实验平台。它完美复现了真实设备的环境，让你在零硬件成本下获得近乎真实的操作体验。我们的拓扑设计如下：
- Location A（总部）：
- 核心层：一台三层交换机（S5700系列模拟），命名为Core-SW。它承担VLAN间路由、DHCP服务分发以及上联路由器的重任。
- 接入层：两台二层交换机（S3700系列模拟），分别连接市场部（SW-Access-MKT）和研发部（SW-Access-RD）。
- Location B（分部）：
- 汇聚/接入层：一台三层交换机（S5700系列模拟），命名为Branch-SW，负责财务部的接入和本地路由。
- 网络互联：
- 两台路由器（AR2200系列模拟），R1和R2，模拟公司出口及站点间互联设备。
- Core-SW与R1相连，Branch-SW与R2相连，R1与R2之间通过专线或模拟广域网链路互联。
IP与VLAN规划表是施工的“图纸”，务必提前做好：
| 设备/接口 | VLAN ID | 所属部门 | 网段规划 | 网关地址 | 说明 |
|---|---|---|---|---|---|
| SW-Access-MKT | 10 | 市场部 | 192.168.10.0/24 | 192.168.10.1 | 接入交换机，下联PC |
| SW-Access-RD | 20 | 研发部 | 192.168.20.0/24 | 192.168.20.1 | 接入交换机，下联PC |
| Core-SW Vlanif10 | 10 | 市场部网关 | 192.168.10.1/24 | - | 三层SVI接口 |
| Core-SW Vlanif20 | 20 | 研发部网关 | 192.168.20.1/24 | - | 三层SVI接口 |
| Core-SW Vlanif100 | 100 | 上行链路 | 10.1.1.2/30 | - | 连接R1 |
| Branch-SW Vlanif30 | 30 | 财务部网关 | 192.168.30.1/24 | - | 三层SVI接口 |
| Branch-SW Vlanif200 | 200 | 上行链路 | 10.1.2.2/30 | - | 连接R2 |
| R1 G0/0/0 | - | 连接Core-SW | 10.1.1.1/30 | - | - |
| R1 G0/0/1 | - | 连接R2 | 172.16.1.1/30 | - | 站点间互联 |
| R2 G0/0/0 | - | 连接Branch-SW | 10.1.2.1/30 | - | - |
| R2 G0/0/1 | - | 连接R1 | 172.16.1.2/30 | - | 站点间互联 |
提示：使用
/30的掩码用于点对点链路，可以节省IP地址空间。VLAN ID的规划建议有一定规律，便于管理和记忆。
在eNSP中拖拽设备、连线并启动所有设备后，我们的虚拟实验室就准备就绪了。接下来，从最基础的接入层开始，逐层向上配置。
2. 接入层配置：打好VLAN隔离的地基
接入层是终端设备（PC、IP电话等）进入网络的大门，这里的核心任务就是实现基于端口的VLAN隔离，确保不同部门的广播流不会相互干扰。我们以市场部的接入交换机SW-Access-MKT为例，演示最标准的配置流程。
首先，我们需要登录设备。在eNSP中双击交换机，进入命令行界面。初始模式是用户视图<Huawei>，我们进入系统视图进行全局配置。
<Huawei>system-view Enter system view, return user view with Ctrl+Z. [Huawei]sysname SW-Access-MKT给设备改个名字是个好习惯，尤其在多设备环境中，能让你一眼就分辨出当前配置的是谁。接下来，创建市场部所需的VLAN 10。对于只需要单个VLAN的情况，使用vlan 10即可。但通常我们会一次性创建多个VLAN，vlan batch命令更高效。
[SW-Access-MKT]vlan batch 10现在，关键的一步来了：定义端口类型。连接PC的端口，我们设置为access模式，并指定它只属于VLAN 10。假设PC连接在GigabitEthernet 0/0/1口。
[SW-Access-MKT]interface GigabitEthernet 0/0/1 [SW-Access-MKT-GigabitEthernet0/0/1]port link-type access [SW-Access-MKT-GigabitEthernet0/0/1]port default vlan 10 [SW-Access-MKT-GigabitEthernet0/0/1]quit而连接上层核心交换机Core-SW的端口，则必须配置为trunk模式。Trunk链路就像一条“多车道高速公路”，允许多个VLAN的数据帧通过，并通过802.1Q标签来区分它们。假设上行口是GigabitEthernet 0/0/24。
[SW-Access-MKT]interface GigabitEthernet 0/0/24 [SW-Access-MKT-GigabitEthernet0/0/24]port link-type trunk [SW-Access-MKT-GigabitEthernet0/0/24]port trunk allow-pass vlan 10注意：在华为交换机上，默认的Trunk端口只允许VLAN 1通过。必须使用
port trunk allow-pass vlan命令显式放行需要的VLAN，否则VLAN 10的数据无法通过上行链路。这是新手最容易忽略导致网络不通的点之一。
研发部接入交换机SW-Access-RD的配置与之类似，只需将VLAN ID替换为20，端口根据实际连接调整即可。配置完成后，可以使用display vlan和display interface brief命令来验证VLAN创建情况和端口状态。
接入层的配置逻辑非常清晰：下联access，上联trunk。这就好比给每个部门的办公室（VLAN）安装了一扇专属的门（access口），并修建了一条通往大楼核心的、标好了部门编号的走廊（trunk口）。地基打好了，我们开始构建大楼内部的“交通枢纽”——核心层。
3. 核心层配置：实现VLAN间路由与DHCP服务
核心交换机Core-SW在这里扮演着多重角色：它既是接入交换机流量的汇聚点，又是实现不同VLAN（部门）间通信的路由器，同时还兼任为终端自动分配IP地址的DHCP服务器。这是整个企业网络的数据交换心脏。
首先，同样进行基础命名和VLAN创建。核心交换机需要感知所有下联的VLAN。
<Huawei>system-view [Huawei]sysname Core-SW [Core-SW]vlan batch 10 20 100接着，配置连接接入交换机的Trunk端口。假设G0/0/1连接市场部交换机，G0/0/2连接研发部交换机。我们需要在这些端口上放行对应的VLAN。
[Core-SW]interface GigabitEthernet 0/0/1 [Core-SW-GigabitEthernet0/0/1]port link-type trunk [Core-SW-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 20 100 [Core-SW-GigabitEthernet0/0/1]quit [Core-SW]interface GigabitEthernet 0/0/2 [Core-SW-GigabitEthernet0/0/2]port link-type trunk [Core-SW-GigabitEthernet0/0/2]port trunk allow-pass vlan 10 20 100 [Core-SW-GigabitEthernet0/0/2]quit现在来到核心环节：配置三层虚拟接口（SVI），即Vlanif接口。这个接口充当每个VLAN的默认网关。为VLAN 10和20创建网关接口，并配置规划好的IP地址。
[Core-SW]interface Vlanif 10 [Core-SW-Vlanif10]ip address 192.168.10.1 24 [Core-SW-Vlanif10]quit [Core-SW]interface Vlanif 20 [Core-SW-Vlanif20]ip address 192.168.20.1 24 [Core-SW-Vlanif20]quit配置连接路由器R1的接口。我们使用一个独立的VLAN 100来模拟这个三层链路。先将物理口加入VLAN 100。
[Core-SW]interface GigabitEthernet 0/0/24 [Core-SW-GigabitEthernet0/0/24]port link-type access [Core-SW-GigabitEthernet0/0/24]port default vlan 100 [Core-SW-GigabitEthernet0/0/24]quit然后为VLAN 100配置IP地址，作为去往路由器方向的下一跳。
[Core-SW]interface Vlanif 100 [Core-SW-Vlanif100]ip address 10.1.1.2 30 [Core-SW-Vlanif100]quit接下来，启用DHCP服务，并创建地址池，让市场部和研发部的PC可以自动获取IP。首先全局开启DHCP功能。
[Core-SW]dhcp enable然后分别为VLAN 10和20创建地址池。这里以VLAN 10为例，指定网关、网段、DNS和租期。
[Core-SW]ip pool vlan10 [Core-SW-ip-pool-vlan10]gateway-list 192.168.10.1 [Core-SW-ip-pool-vlan10]network 192.168.10.0 mask 255.255.255.0 [Core-SW-ip-pool-vlan10]dns-list 223.5.5.5 223.6.6.6 [Core-SW-ip-pool-vlan10]lease day 3 [Core-SW-ip-pool-vlan10]quit配置完地址池后，还需要在对应的Vlanif接口上启用DHCP全局分配模式。
[Core-SW]interface Vlanif 10 [Core-SW-Vlanif10]dhcp select global [Core-SW-Vlanif10]quit对VLAN 20的接口重复上述dhcp select global操作。至此，核心交换机的基础网络服务和路由接口就配置完成了。但此时，Core-SW还不知道如何到达分部的网络（192.168.30.0/24），这就需要动态路由协议出场了。
4. 动态路由配置：让全网血脉贯通
在中小型网络，尤其是多分支机构的场景中，静态路由的维护工作量会随着网络规模增长而剧增。采用动态路由协议是更明智的选择。OSPF（开放最短路径优先）协议因其收敛快、无环、适应性强等特点，成为企业内部网络最常用的IGP（内部网关协议）。我们的目标是通过OSPF，让Core-SW、R1、R2、Branch-SW四台三层设备自动学习到全网的路由。
首先在核心交换机Core-SW上配置OSPF。我们使用进程号1（进程号本地有效），并宣告其直连的三个网段。
[Core-SW]ospf 1 router-id 1.1.1.1 [Core-SW-ospf-1]area 0 [Core-SW-ospf-1-area-0.0.0.0]network 192.168.10.0 0.0.0.255 [Core-SW-ospf-1-area-0.0.0.0]network 192.168.20.0 0.0.0.255 [Core-SW-ospf-1-area-0.0.0.0]network 10.1.1.0 0.0.0.3 [Core-SW-ospf-1-area-0.0.0.0]quit [Core-SW-ospf-1]quit提示：
network命令后面的反掩码（wildcard-mask）是通配符掩码，0表示需要精确匹配，255表示忽略。10.1.1.0 0.0.0.3正好匹配10.1.1.0/30这个网段。手动指定router-id是一个好习惯，可以避免因IP地址变化导致邻居关系震荡。
接下来配置路由器R1。它有两个接口，分别连接核心交换机和另一台路由器R2。
<Huawei>system-view [Huawei]sysname R1 [R1]interface GigabitEthernet 0/0/0 [R1-GigabitEthernet0/0/0]ip address 10.1.1.1 30 [R1-GigabitEthernet0/0/0]quit [R1]interface GigabitEthernet 0/0/1 [R1-GigabitEthernet0/0/1]ip address 172.16.1.1 30 [R1-GigabitEthernet0/0/1]quit [R1]ospf 1 router-id 2.2.2.2 [R1-ospf-1]area 0 [R1-ospf-1-area-0.0.0.0]network 10.1.1.0 0.0.0.3 [R1-ospf-1-area-0.0.0.0]network 172.16.1.0 0.0.0.3 [R1-ospf-1-area-0.0.0.0]quit [R1-ospf-1]quit路由器R2的配置与R1对称。
<Huawei>system-view [Huawei]sysname R2 [R2]interface GigabitEthernet 0/0/0 [R2-GigabitEthernet0/0/0]ip address 10.1.2.1 30 [R2-GigabitEthernet0/0/0]quit [R2]interface GigabitEthernet 0/0/1 [R2-GigabitEthernet0/0/1]ip address 172.16.1.2 30 [R2-GigabitEthernet0/0/1]quit [R2]ospf 1 router-id 3.3.3.3 [R2-ospf-1]area 0 [R2-ospf-1-area-0.0.0.0]network 10.1.2.0 0.0.0.3 [R2-ospf-1-area-0.0.0.0]network 172.16.1.0 0.0.0.3 [R2-ospf-1-area-0.0.0.0]quit [R2-ospf-1]quit最后配置分部交换机Branch-SW。其配置思路与Core-SW类似：创建VLAN，配置SVI网关，并宣告OSPF路由。
<Huawei>system-view [Huawei]sysname Branch-SW [Branch-SW]vlan batch 30 200 [Branch-SW]interface Vlanif 30 [Branch-SW-Vlanif30]ip address 192.168.30.1 24 [Branch-SW-Vlanif30]quit [Branch-SW]interface Vlanif 200 [Branch-SW-Vlanif200]ip address 10.1.2.2 30 [Branch-SW-Vlanif200]quit [Branch-SW]interface GigabitEthernet 0/0/24 [Branch-SW-GigabitEthernet0/0/24]port link-type access [Branch-SW-GigabitEthernet0/0/24]port default vlan 200 [Branch-SW-GigabitEthernet0/0/24]quit [Branch-SW]ospf 1 router-id 4.4.4.4 [Branch-SW-ospf-1]area 0 [Branch-SW-ospf-1-area-0.0.0.0]network 192.168.30.0 0.0.0.255 [Branch-SW-ospf-1-area-0.0.0.0]network 10.1.2.0 0.0.0.3 [Branch-SW-ospf-1-area-0.0.0.0]quit [Branch-SW-ospf-1]quit配置完成后，稍等片刻让OSPF完成邻居建立和路由计算。此时，你可以在任何一台三层设备上使用display ospf peer查看邻居状态，确保所有邻居都是Full状态。再用display ip routing-table查看路由表，应该能看到学习到的、来自其他OSPF邻居的网络路由。
5. 验证、排错与高阶思考
配置全部完成后，激动人心的验证时刻到了。在eNSP中，为三台PC分别设置IP地址获取方式（市场部、研发部PC设为DHCP，财务部PC可先设为静态IP如192.168.30.10/24，网关192.168.30.1）。然后打开PC的命令行，进行ping测试。
- 同VLAN内通信：在市场部PC上
ping同网段另一台PC的IP，应该直接通。这验证了二层交换功能正常。 - 跨VLAN通信：在市场部PC上
ping研发部PC的IP（如192.168.20.x）。这需要经过核心交换机的Vlanif接口路由，成功即证明三层路由和OSPF域内路由工作正常。 - 跨站点通信：在市场部PC上
ping财务部PC的IP（192.168.30.10）。这是最全面的测试，数据包需要穿越核心交换机、两台路由器，最终到达分部交换机。如果成功，恭喜你，一个完整的企业级多部门、多站点网络已经成功搭建！
如果遇到不通的情况，别慌，按照分层排查的思路来：
- 物理/链路层：eNSP中设备是否全部启动？线缆连接是否正确（显示为绿色）？使用
display interface brief查看端口状态是否为UP。 - VLAN与Trunk层：在接入和核心交换机上使用
display vlan和display port vlan检查端口是否加入了正确的VLAN，Trunk端口是否放行了必要的VLAN。 - 三层接口与路由层：使用
display ip interface brief查看三层接口（Vlanif、物理口）的IP和状态。使用display ip routing-table查看是否有到达目标网段的路由。使用display ospf peer和display ospf routing检查OSPF邻居和路由学习情况。 - DHCP层：在PC上使用
ipconfig /all（Windows）或ifconfig（Linux）查看是否获取到IP。在核心交换机上使用display ip pool查看地址池分配情况。
这个实验虽然模拟了经典场景，但真实环境往往更复杂。你可以基于此拓扑进行更多探索，例如：
- 链路聚合：在接入与核心交换机之间部署Eth-Trunk，增加带宽和可靠性。
- MSTP多生成树：在存在环路的二层网络中防止广播风暴，并实现VLAN流量的负载分担。
- ACL访问控制：在核心交换机或路由器上配置基本ACL或高级ACL，实现例如“禁止研发部访问财务部特定服务器”的安全策略。
- NAT地址转换：在路由器R1或R2上配置NAT，模拟内网访问互联网的场景。
把这些都动手做一遍，你对企业网络的理解就不再是纸上谈兵了。eNSP这个免费工具的价值，就在于它给了你一个零风险的“沙盒”，去验证每一个想法，踩平每一个可能的坑。最终你会发现，那些令人望而生畏的网络协议和配置命令，不过是解决实际连通性问题的一组精妙工具而已。
