eNSP校园网络拓扑工程：从VRP配置到全网连通性验证

简介：一套基于eNSP平台落地的大型校园网络拓扑设计方案，附带经过编译验证的可执行工程源码，面向高校毕业设计、期末大作业、课程设计等任务，也适合网络工程学习者按真实场景复现校园网架构。压缩包共38个文件，以21个efz设备镜像为主，同时提供topo拓扑入口、cfg与xml设备配置、zbak配置备份以及README说明文档，整体约305KB，目录结构清晰，便于按设备角色快速定位资源。方案评审成绩优异，难度定位适中，内容经教学助理严格审核，可直接导入eNSP运行；使用者可打开topo查看整体架构，对照cfg和xml检查交换机、路由器关键配置，借助zbak进行备份比对与排错，并在此基础上继续扩展功能模块。已有67人浏览学习，适合需要独立完成校园网项目设计与答辩演示的高校学生参考。

1. eNSP 校园网络拓扑：不是画图交差，是能跑起来的成品工程

「eNSP 校园网络拓扑」这个关键词在网上一搜一大把，但九成是「拓扑截图 + 设计说明书」式的作业，真正打开 eNSP 能直接启动、配置不用重写的成品工程很少见。这份资源不一样：包里同时有 .topo 拓扑工程、r1.cfg / lsw1.cfg / lsw5.cfg 三份设备配置、PC.xml 终端配置和 README 说明，导入即可复现一个带出口路由、VLAN 隔离、DHCP 下发地址的完整校园网。它适合正在做网络方向毕业设计、期末课程设计或网络工程实训的人——你缺的不是一张拓扑图，而是一份「每条配置都讲得出理由、启动后能全网 ping 通」的可执行工程。

2. 动手前先读文件：从拓扑和配置反推设备分工

拿到压缩包先别急着双击 .topo，花十分钟把文件清单过一遍，能省掉后面大量排查时间。这份工程里的文件命名很规整，直接暴露了设计意图：

2.1 从配置文件反推拓扑：R1、LSW1、LSW5 各自承担什么

像这种命名规整的工程，R1、LSW1、LSW5 就是设备的角色标签。r1 开头的 cfg 是路由器配置，eNSP 里通常用 AR2220 充当；LSW 是交换机，常见做法是用 S5700 做汇聚、S3700 做接入。我拿到任何一份工程，第一件事就是打开 cfg 文件看一眼interface段落，数一下有几个 VLANIF、几个三层接口，拓扑规模和设备分工基本就清楚了。

这个分工和真实校园网里的三层架构一一对应：R1 是出口路由器，负责连接运营商线路、做默认路由和 NAT；LSW1 是汇聚交换机，终结所有业务 VLAN 的网关，处理 VLAN 间流量；LSW5 是接入交换机，终端 PC 直接挂在它下面。网关放在汇聚而不是核心，是教材里常说的「网关下沉」——如果每个接入交换机都要配三层，故障面会铺满整个网络；如果全放核心，所有 VLAN 间流量都要绕到核心转发，汇聚层就失去了存在意义。

这里顺便回答一个常见疑问：为什么不用 HCL 复现？HCL 是华三的模拟器，命令体系和华为 VRP 接近，但这份工程的配置是按 eNSP 的路由器与交换机型号写的，flash 镜像格式和启动配置加载方式都不通用，不建议混用。

2.2 VLAN 规划：校园网为什么按楼栋和职能切分广播域

校园网的 VLAN 规划通行思路是：办公、教学、宿舍分开，再单独划一个管理 VLAN。比如 VLAN 10 办公、VLAN 20 教学、VLAN 30 宿舍、VLAN 100 设备管理。每个业务 VLAN 一个网段、一个 VLANIF 网关地址，PC 通过 DHCP 自动获取 IP。这样切分有三个直接收益：

第一，广播域隔离。ARP、NetBIOS 这类广播报文只在同一 VLAN 内传播，一个宿舍区有人发了广播风暴，不会拖垮教学区的网络。第二，故障范围可控。某个 VLAN 异常时，排障范围被压缩到对应的接入交换机和网段，不用全网找。第三，便于做访问控制。比如答辩时可以说「学生宿舍区不允许访问服务器区的数据库端口」，这种 ACL 策略在 VLAN 维度上实现最干净。

有个细节值得注意：管理 VLAN 要单独留出来，设备远程登录用管理地址，尽量不要跟用户业务混在一个 VLAN 里。不然终端用户能直接摸到交换机管理面，这在真实项目里是安全事故，在课设答辩里也是明显的设计缺陷。

2.3 链路冗余与 Eth-Trunk：让接入到汇聚不再单点依赖

接入交换机如果只有一根线上联汇聚，这根线断了整个区域直接掉线。常见做法是接入和汇聚之间拉两根物理链路，然后用 Eth-Trunk 聚合成一条逻辑链路。在 eNSP 里，如果不做聚合就拉两根线，STP 会把其中一根阻塞为备用，链路利用率反而浪费一半。做了 Eth-Trunk，两条物理链路同时转发，带宽翻倍，单条链路故障时另一条自动接管。

system-view interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 eth-trunk 1

这段配置写在接入交换机上。Eth-Trunk1是逻辑聚合接口的编号，G0/0/1 和 G0/0/2 通过eth-trunk 1绑定进去。绑定之后，对端汇聚交换机只需要把对应的两个物理口也加入 Eth-Trunk，两端接口的链路聚合协议就会协商成功。注意port trunk allow-pass vlan 10 20 30这一行——放行的 VLAN 列表必须和汇聚交换机侧一致，少放一个 VLAN，那个 VLAN 的终端在 Eth-Trunk 建立后就彻底失联了。这是配置里最容易被忽略、又最难排查的一类问题。

3. VRP 配置逐段拆解：R1、LSW1、LSW5 的命令意图

这份工程把配置拆成了 r1.cfg、lsw1.cfg、lsw5.cfg 三份，而不是把所有命令塞进一个文件，本身就是工程化的体现。下面按这三类设备最常见的命令形态逐段拆解，看每一行命令到底在干什么。所有配置基于华为 VRP，eNSP 里的 AR2220 和 S5700 都认这套语法。

3.1 出口路由器 R1：默认路由、NAT 与内网回程

R1 是校园网通向外部网络的关口。它的配置通常包含三段：接内网的接口地址、指向运营商网关的默认路由、对内部网段的 NAT 转换。以最常见的形态为例：

system-view sysname R1 interface GigabitEthernet0/0/0 ip address 202.204.80.1 255.255.255.0 interface GigabitEthernet0/0/1 ip address 192.168.1.1 255.255.255.0 ip route-static 0.0.0.0 0.0.0.0 202.204.80.254 acl number 2000 rule 5 permit source 192.168.0.0 0.0.0.255 interface GigabitEthernet0/0/0 nat outbound 2000

sysname R1是改设备名，不改的话所有设备都叫 Huawei，排障时根本分不清在操作哪台。G0/0/0 假设接运营商线路，G0/0/1 接内网汇聚交换机。ip route-static 0.0.0.0 0.0.0.0 202.204.80.254是默认路由，含义是「去所有未知网段的流量都交给运营商网关」。ACL 2000 匹配内网网段 192.168.0.0/24，nat outbound 2000挂在出接口上，内部终端访问外部网络时，源地址被转换成接口地址。

改成你自己工程时，把这三个 IP 换成实际的就行。ACL 的 rule 编号 5 可以任意取，建议从小到大留出空隙，后续加规则时不用整体重排。这里有个容易误解的点：NAT 只对「穿越路由器」的流量生效，如果你从 R1 自己 ping 外部地址，是不会走 NAT 转换的，课设调试时别用这个动作判断 NAT 是否配置成功。

3.2 汇聚交换机 LSW1：VLANIF 网关、DHCP 与 Trunk 放行

汇聚交换机是整个校园网的中枢。它要创建 VLAN、把 VLAN 的网关地址配在 VLANIF 接口上、给终端开 DHCP，同时上联口要放行所有业务 VLAN。典型的配置段落是这样的：

system-view sysname LSW1 vlan batch 10 20 30 100 dhcp enable interface Vlanif10 ip address 192.168.10.1 255.255.255.0 dhcp select interface interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select interface interface Vlanif100 ip address 192.168.100.1 255.255.255.0 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan all

vlan batch 10 20 30 100一条命令批量建四个 VLAN，比逐个vlan创建高效得多。dhcp enable是全局开关，很多人漏了这行，导致 VLANIF 下怎么配都发不出地址。dhcp select interface的意思是让这个 VLANIF 接口自己充当 DHCP 服务器，地址池就是接口所在的网段，不用手动定义地址池范围和租期，适合课设这种规模。VLANIF100 是管理 VLAN，只给设备之间通信和远程登录用。

上联口port trunk allow-pass vlan all是汇聚到上层设备的关键一行。如果这里只放行了 VLAN 10 和 20，宿舍区的 VLAN 30 终端就永远拿不到 IP，而且现象很隐蔽——端口状态正常、没有报错，业务就是不通。

3.3 接入交换机 LSW5：Access 接终端、Trunk 上联

接入交换机的配置逻辑最简单，但恰好是初学者最容易翻车的地方。接 PC 的口设为 access，打上对应 VLAN 标签；上联到汇聚的口设为 trunk，放行多个 VLAN。

system-view sysname LSW5 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30

access口的特点是一个物理口只属于一个 VLAN，对终端来说完全无感，收到的数据帧不带 VLAN 标签；trunk口则要显式声明放行哪些 VLAN，允许携带多个 VLAN 标签的帧通过。很多第一次做课设的人会把上联口也配成 access，结果除了默认的 VLAN 1 之外，所有业务 VLAN 的帧都过不去。判断方法很简单：在接入交换机上执行display port vlan，看一眼每个接口的链路类型和默认 VLAN，access 和 trunk 的分布一目了然。

4. 复现全流程：导入拓扑、刷配置、全网连通性验证

4.1 打开拓扑工程并启动全部设备

双击 7.1.topo，eNSP 会直接加载工程，包含所有设备的摆放位置和连线关系；如果双击没反应，就从菜单「文件 → 打开」选择 .topo 文件。加载完成后，按 Ctrl + A 全选设备，右键选择启动。AR 路由器第一次启动会比较慢，设备状态从红色变黄色，再变绿色才算就绪。

提示：如果 AR 设备一直红灯或弹出启动失败，多半是 VirtualBox 或 Hyper-V 的冲突问题，直接跳到第 5 章排查，不要在绿灯上死磕。

4.2 加载配置的三种方式

第一种，右键设备 → 设置 → 启动配置 → 选择对应的 cfg 文件，重启设备后生效，eNSP 会把 cfg 里的命令作为启动配置加载。第二种，双击设备进入 CLI，把 cfg 文件内容全选粘贴进去，最后执行save保存，这是我最推荐的方式，因为粘贴过程中如果某条命令语法错误，回显里会当场报错，可以立刻定位。第三种，在 CLI 里把 cfg 文件放到模拟设备的 flash 目录下，再用startup saved-configuration指定下次启动加载的配置文件，适合想理解华为设备启动流程的人。

save Y

save是华为 VRP 里把当前运行配置写入存储介质的命令，会询问是否继续，输入 Y 回车即可。保存后执行display saved-configuration，可以看到设备下次启动时要加载的配置，拿它和 cfg 文件对比，就能确认配置是否完整写入。很多人粘贴完直接关掉 eNSP，再打开发现配置全没了，就是漏了这一步。

4.3 PC 终端：IP 由 PC.xml 带来，但也要会手动填

PC.xml 保存了拓扑里每台终端的 IP、掩码和网关，拓扑启动时 eNSP 会自动读取并配置到 PC 上。如果打开后发现 PC 的 IP 是空的，双击 PC 图标进入「IP 配置」标签页手动补即可。以最常见的三 VLAN 规划为例：

网关必须填对应 VLANIF 的地址，填错一个，跨 VLAN 通信就全断。PC.xml.zbak 是自动备份文件，不要删。

4.4 连通性验证矩阵：什么才算「做完」

配置加载完不等于工程做完，按下面的矩阵逐条验证，全部通过才叫复现成功：

如果中间任何一条不通，先退一步 ping 网关。网关通了，说明接入链路和 VLAN 没问题；网关不通，问题出在接入交换机或 DHCP 上。这种「逐层缩小范围」的排障思路，比盲目改配置高效得多。

5. 避坑记录：eNSP 校园网仿真里最常见的六个翻车现场

5.1 AR 启动失败，提示「错误 40」

现象：启动 AR 路由器时弹出「启动设备失败」，错误代码 40，设备图标一直红色。

原因：eNSP 依赖的 VirtualBox 和 Windows 的 Hyper-V 虚拟化功能冲突，导致虚拟机无法正常创建；也可能是物理机内存不足。

解决：关闭 Windows 的 Hyper-V（控制面板 → 程序 → 启用或关闭 Windows 功能，取消 Hyper-V 勾选后重启）；如果装过其他版本的 VirtualBox，卸载干净再装 eNSP 自带的版本。物理内存建议 8GB 以上，拓扑里设备太多时不要全部同时启动。

5.2 配置粘贴后设备里「啥都没有」

现象：在 CLI 里粘贴了几十行配置，回显没报错，但执行display current-configuration看到的配置几乎为空。

原因：粘贴时没有先进system-view系统视图，或者粘贴内容在执行过程中断掉；另一种可能是粘贴后没有save，配置只存在于运行状态，设备一重启就归零。

解决：先手动敲system-view进入系统视图，再粘贴配置；粘贴完成后用display current-configuration核对关键段落；最后执行save。检查顺序：先display version确认设备型号和版本，再display current-configuration看配置是否上去了。

5.3 OSPF 邻居一直起不来

现象：两台设备都配了 OSPF，display ospf peer里邻居状态一直停在 Init 或 ExStart。

原因：区域 ID 不一致、Router ID 冲突、宣告网络的通配符掩码写错。比如network 192.168.10.0 0.0.0.255少写一位变成 0.0.0.25，宣告范围就错了。

解决：两端配置相同的区域 ID、不同的 Router ID；检查network语句的反掩码是否与接口网段匹配；在设备上执行display ospf error，看有没有 Hello 报文丢包的统计。问题解决后状态会变成 Full，这才是邻居建立成功的标志。

5.4 接口是 up 的，但 PC 获取不到 IP

现象：PC 的 DHCP 一直拿不到地址，IP 显示 169.254 开头的自动配置地址。

原因：DHCP 报文是广播，接入交换机的上联口如果没做 trunk 或放行列表不对，广播到不了汇聚交换机；或者汇聚交换机上没开全局dhcp enable。

解决：检查上联口的port link-type trunk和port trunk allow-pass vlan是否包含终端所在 VLAN；在汇聚交换机上确认dhcp enable已全局开启；最后在 PC 上执行ipconfig /release和ipconfig /renew重新获取地址。

5.5 能 ping 通网关，但 ping 不通另一个 VLAN 的 PC

现象：PC1 能 ping 通自己的网关 192.168.10.1，但 ping VLAN 20 的 PC2 超时。

原因：跨 VLAN 通信依赖汇聚交换机上的 VLANIF 三层接口。VLANIF20 没配置 IP 或接口 down，设备路由表里就没有 192.168.20.0 这个网段的路由。

解决：在汇聚交换机上执行display ip routing-table，确认存在 192.168.20.0/24 的直连路由；如果有，再查 PC2 的网关地址是否指向 VLANIF20。最常见的翻车点是 PC 的网关填了别的地址，看起来像是网络问题，实际是终端配置问题。

5.6 手动删除了 flash.efz 或 PC.xml.zbak

现象：清理磁盘时把一堆 efz 和 zbak 文件删了，之后设备启动失败或 PC 配置丢失。

原因：flash.efz 是 eNSP 为每台模拟设备生成的磁盘镜像，设备的所有文件和配置都存在里面；PC.xml.zbak 是终端配置的自动备份。删掉这些，相当于把设备硬盘抽走了。

解决：整个工程目录保持原样。复制工程给别人时，一定要整个文件夹一起复制，不要只拷 .topo 文件——我见过不少人在交作业时只带了拓扑文件，对方打开后所有设备都是空白的，配置全在那些 efz 里。

6. 从「能跑」到「能答辩」：三个验证技巧与两个扩展方向

6.1 一套命令完成全网健康检查

答辩演示最怕现场翻车。我习惯在演示前按固定顺序把状态过一遍：display version看设备版本，display device看硬件状态，display interface brief看所有接口 up/down 和协议状态，display ospf peer看邻居是否 Full，display ip routing-table看路由是否齐全。这五个命令走完，全网健康状态心里就有数了。

6.2 用抓包证明「隔离」不是嘴上说说

eNSP 集成了 Wireshark，在 PC 上右键选择抓包即可。在 PC1 上 ping 同一 VLAN 的 PC，抓包能看到 ARP 请求和 ICMP 报文；再 ping 另一个 VLAN 的 PC，抓包会发现广播被终结在网关，只有三层转发的流量。这是广播域隔离最直接的证据，答辩时放出来比念 PPT 有说服力得多。

6.3 两个值得加的扩展：无线覆盖与出口安全

把宿舍区扩展成 WLAN 覆盖，是课设里成本最低的加分项：在拓扑里加一台 AC 和两个 AP，配置无线服务和 SSID，就能让原来的 VLAN 30 变成一个「有线 + 无线」双接入的示范场景。再加一台 USG 防火墙做安全域划分，把出口从「路由器 + NAT」升级成「防火墙 + DMZ」，整个方案的完整度会上一个台阶。扩展时记得延续这份工程的好习惯——新设备的配置单独存成 cfg 文件，不要全堆在一个文件里。

我从第一次在 eNSP 里做毕设翻车，到后来拿到任何拓扑工程，都强制自己走一遍「清空设备 → 逐条刷配置 → display 命令核对状态 → ping 通全网」的流程，确认输出和预期一致才敢说做完。这份工程值得你下载后完整复现一遍，答案不在拓扑图里，在每一行 VRP 命令里。希望帮到你。

本文还有配套的精品资源，点击获取