簡介基于eNSP模擬器完成的校園網(wǎng)設(shè)計(jì)與網(wǎng)絡(luò)安全加固報告適用于高校網(wǎng)絡(luò)工程、信息安全專業(yè)開展課程設(shè)計(jì)及畢業(yè)設(shè)計(jì)也可供自學(xué)eNSP與網(wǎng)絡(luò)安全防護(hù)技術(shù)的讀者參考。資源打包為單個docx文檔壓縮包整體僅67KBdocx格式便于直接打開和編輯內(nèi)容圍繞校園網(wǎng)安全建設(shè)展開既有宏觀政策背景梳理也有可落地的設(shè)計(jì)思路能夠支撐起一份符合課程要求的完整報告。已有4613人學(xué)習(xí)下載反映出該選題在同類課程中的較高關(guān)注度。文檔重點(diǎn)呈現(xiàn)了從網(wǎng)絡(luò)安全形勢、相關(guān)法規(guī)要求到校園網(wǎng)實(shí)際場景的需求拆解例如針對服務(wù)器開放端口與一對一NAT映射場景下的邊界安全思考并涵蓋入侵檢測、遠(yuǎn)程辦公等模塊的規(guī)劃方案。同時報告還整理了項(xiàng)目背景、組員信息等必要板塊方便對照填寫和替換。讀者既能基于此快速形成課程設(shè)計(jì)框架也能對照其中要點(diǎn)自查對安全加固、合規(guī)管理等內(nèi)容的理解適合作為撰寫報告時的結(jié)構(gòu)參考與內(nèi)容藍(lán)本。1. eNSP 校園網(wǎng)組網(wǎng)拿一臺筆記本站起全網(wǎng)的真實(shí)樣貌很多同學(xué)聽到“校園網(wǎng)”三個字第一反應(yīng)是“這得多少臺設(shè)備、多復(fù)雜的規(guī)劃”。但用 eNSP 做過一遍之后你會發(fā)現(xiàn)校園網(wǎng)本質(zhì)上是把接入、匯聚、核心三層架構(gòu)跑通再疊上路由協(xié)議和地址分配策略。它不玄學(xué)缺的是把拓?fù)洚嬅靼住?VLANIF 和 OSPF 配對的動手經(jīng)驗(yàn)。這套基于 eNSP 搭建的校園網(wǎng)資源解決的是三撥人的剛需畢業(yè)設(shè)計(jì)要交拓?fù)鋱D和配置說明的本科生、備考 HCIP 想練 OSPF 與 VLAN 綜合實(shí)驗(yàn)的工程師、以及入職前想拿校園網(wǎng)項(xiàng)目練手的新人。它覆蓋 VLAN 劃分、跨 VLAN 通信、OSPF 單域、DHCP 下發(fā)和基礎(chǔ)安全策略不需要真買交換機(jī)官方模擬器加一份成型配置就能跑。適合按圖復(fù)現(xiàn)、按命令敲、按報錯搜的你。2. 環(huán)境與設(shè)備選型裝對版本、挑對設(shè)備再動手2.1 安裝順序與 VirtualBox 版本報錯 40 的根源先說安裝。eNSP 不是獨(dú)立運(yùn)行的它靠 VirtualBox 承載路由器、交換機(jī)和防火墻的虛擬化實(shí)例Wireshark 負(fù)責(zé)抓包。三者版本必須匹配這是 eNSP 報錯 40 的最常見來源——AR1 設(shè)備啟動失敗錯誤碼 40十次里有八次是 VirtualBox 版本不兼容。我一般按這個順序裝# 1. 先裝配套版本的 VirtualBoxeNSP 官方配套較穩(wěn)定的 5.2.x # 安裝時選擇完整安裝網(wǎng)絡(luò)部分默認(rèn)即可 # 2. 再裝 eNSP 主程序 # 3. 最后裝 WiresharkeNSP 抓包功能依賴它 # 4. 關(guān)閉 Windows 的 Hyper-V bcdedit /set hypervisorlaunchtype off注意幾個細(xì)節(jié)安裝路徑不要帶中文、不要在路徑里留空格默認(rèn)C:\Program Files\Huawei\eNSP這類純英文路徑最穩(wěn)。Hyper-V 和 VirtualBox 搶占虛擬化層如果你在 Windows 10/11 上同時開了 WSL2 或 Windows 沙盒AR 設(shè)備大概率起不來。關(guān)掉 Hyper-V 后需要重啟重啟后再打開 eNSP 建拓?fù)?。設(shè)備啟動時如果 AR1 仍然報 40先看 VirtualBox 主界面里Huawei AR1這臺虛擬機(jī)能不能手動啟動。能啟動說明是 eNSP 調(diào)用鏈路的問題不能啟動VirtualBox 版本嫌疑最大。我踩過最狠的一次是裝了 VirtualBox 6.1AR 全部失敗退回 5.2.44 之后一次通過。所以我的習(xí)慣是先裝 VirtualBox 再裝 eNSP不要用 eNSP 安裝包內(nèi)嵌的版本而且裝完先建一個僅含兩臺 AR2220 的最小拓?fù)渫嗽僬归_全圖。2.2 設(shè)備選型清單核心、匯聚、接入各用哪臺打開 eNSP 設(shè)備欄你能看到 AR 路由器、S3700/S5700 交換機(jī)、USG6000V 防火墻、PC 和 Cloud。校園網(wǎng)拓?fù)淅锩繉佑媚呐_是有講究的直接照著選就行。層級設(shè)備型號承擔(dān)職責(zé)選型理由接入層S3700連接 PC、AP做 VLAN 劃分二層交換機(jī)端口多支持 trunk/access匯聚層S5700VLAN 間路由、DHCP 中繼、ACL三層交換機(jī)支持 VLANIF 和 OSPF核心層S5700全網(wǎng)路由收斂、連接出口三層吞吐能力強(qiáng)跑 OSPF 不費(fèi)力出口AR2220 USG6000VNAT、安全策略、訪問控制AR 做出口路由防火墻做安全邊界終端PC模擬師生終端用來測連通性eNSP 自帶直接填 IP 即可接入層選 S3700 而不是 S5700是因?yàn)榻尤雽又饕龆愚D(zhuǎn)發(fā)S3700 夠用且模擬資源占用低。匯聚層必須上 S5700因?yàn)榭?VLAN 通信的網(wǎng)關(guān) VLANIF 要建在匯聚或核心上S3700 沒有三層功能建不了 VLANIF。核心層在中小規(guī)模校園網(wǎng)里用一臺 S5700 就夠如果你想做雙核心冗余就加一臺 S5700 和一條堆疊鏈路但 eNSP 里堆疊的模擬效果有限畢設(shè)場景單核心更穩(wěn)定。防火墻 USG6000V 的啟動比較特殊后面避坑章節(jié)單獨(dú)說。出口路由器選 AR2220是因?yàn)樗С?NAT、ACL 和多種路由協(xié)議模擬校園網(wǎng)出口到運(yùn)營商鏈路的場景足夠了。整套拓?fù)浣ㄗh控制在 10 臺設(shè)備以內(nèi)eNSP 是單機(jī)模擬設(shè)備多了內(nèi)存和 CPU 直接爆掉操作會卡成幻燈片。3. 搭建三層拓?fù)渑c VLAN 規(guī)劃先畫圖再動命令3.1 校園網(wǎng)拓?fù)浣Y(jié)構(gòu)與接口分配畫拓?fù)涫切@網(wǎng)項(xiàng)目最容易被低估的一步。很多人打開 eNSP 就開始拉設(shè)備結(jié)果線連得亂七八糟配置時根本不知道哪個接口接哪臺。我建議先在紙上把結(jié)構(gòu)定下來核心層在最上面匯聚層在中間接入層在最下面右側(cè)掛出口路由器和防火墻。[USG6000V] -- [AR2220] -- 運(yùn)營商/公網(wǎng) | [S5700 核心交換機(jī)] / | \ [S5700匯聚A] [S5700匯聚B] [S5700匯聚C] / \ | / \ [S3700] [S3700][S3700] [S3700][S3700] | | | | | PC集群 PC集群 AP集群 PC集群 PC集群接口分配遵循一個原則核心與匯聚之間用千兆口互聯(lián)匯聚與接入之間用千兆口互聯(lián)但實(shí)際流量較小接入到 PC 用百兆口就夠。eNSP 里默認(rèn)接口都是 GigabitEthernet所以重點(diǎn)不是速率而是編號。我習(xí)慣把上行口固定在每臺設(shè)備的最后一個接口上比如 S5700 的 GE0/0/24 全部作為上聯(lián)口這樣排查鏈路時只需要順著最后一列接口找不用翻配置。核心交換機(jī) S5700 互聯(lián)匯聚交換機(jī)時端口要配置成 trunk并且放行所有業(yè)務(wù) VLAN。匯聚交換機(jī)下聯(lián)接入交換機(jī)也走 trunk但放行范圍可以按樓宇收斂比如匯聚 A 只管 VLAN 10 和 VLAN 20那 trunk 里就只放行這兩個。這樣做的好處是減少廣播域跨樓宇擴(kuò)散壞處是后面加 VLAN 時容易漏放行排查時先看display port vlan確認(rèn)放行狀態(tài)。3.2 VLAN 劃分與 trunk/access 配置校園網(wǎng) VLAN 規(guī)劃有一套標(biāo)準(zhǔn)分法按業(yè)務(wù)和區(qū)域拆這樣不同區(qū)域不能互訪安全策略也好落地。參考下表VLAN ID用途網(wǎng)段網(wǎng)關(guān)VLANIFVLAN 10學(xué)生宿舍192.168.10.0/24192.168.10.1VLAN 20教學(xué)區(qū)192.168.20.0/24192.168.20.1VLAN 30辦公區(qū)192.168.30.0/24192.168.30.1VLAN 40服務(wù)器區(qū)192.168.40.0/24192.168.40.1VLAN 50管理網(wǎng)段192.168.50.0/24192.168.50.1創(chuàng)建 VLAN 和 VLANIF 的配置在匯聚交換機(jī) S5700 上完成。以下是核心/匯聚交換機(jī)的基礎(chǔ)配置system-view sysname S5700-Core vlan batch 10 20 30 40 50 interface Vlanif 10 ip address 192.168.10.1 255.255.255.0 interface Vlanif 20 ip address 192.168.20.1 255.255.255.0 interface Vlanif 30 ip address 192.168.30.1 255.255.255.0 interface Vlanif 40 ip address 192.168.40.1 255.255.255.0 interface Vlanif 50 ip address 192.168.50.1 255.255.255.0 quit這段命令的邏輯是vlan batch一次創(chuàng)建 5 個 VLAN然后逐個創(chuàng)建 VLANIF 三層接口并配 IP。VLANIF 是交換機(jī)上 VLAN 對應(yīng)的三層網(wǎng)關(guān)接口PC 的默認(rèn)網(wǎng)關(guān)就是這里的地址。很多人問“為什么我在接入交換機(jī)上配了 IPPC 還是不通”原因就是接入層 S3700 是二層交換機(jī)配了 VLANIF 也不生效網(wǎng)關(guān)必須建在能路由的設(shè)備上也就是匯聚或核心。接下來是接口模式。接入交換機(jī)連接 PC 的端口用 access只屬于一個 VLANsystem-view vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20接入交換機(jī)連接匯聚交換機(jī)的上行口用 trunk放行對應(yīng) VLANinterface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20這里的關(guān)鍵點(diǎn)是port trunk allow-pass vlan必須顯式放行。我見過太多人配完 access 口忘了放行 trunkPC 的 VLAN 標(biāo)簽走到匯聚交換機(jī)就被丟掉然后對著“跨 VLAN 不通”的問題排查一晚上。eNSP 里配置順序雖然不影響最終生效但建議先配 trunk 放行再配 access 劃分邏輯上更順。做完這一步同一個 VLAN 內(nèi)的 PC 已經(jīng)能互通了?？?VLAN 通信依賴 VLANIF 網(wǎng)關(guān)只要網(wǎng)關(guān) IP 配好、PC 的默認(rèn)網(wǎng)關(guān)指向正確三層交換機(jī)自動完成路由轉(zhuǎn)發(fā)不需要額外配置路由。驗(yàn)證時在 PC 上 ping 網(wǎng)關(guān)地址通了說明二層鏈路和 VLAN 劃分沒問題。4. 打通全網(wǎng)路由與 DHCPOSPF 單域與地址下發(fā)4.1 出口收斂路由為什么校園網(wǎng)用 OSPF 而不是靜態(tài)校園網(wǎng)的 VLAN 和鏈路都配好后面臨一個選擇設(shè)備之間的路由用靜態(tài)還是動態(tài)。靜態(tài)路由配置簡單但每加一個網(wǎng)段就要在沿途所有設(shè)備上補(bǔ)一條ip route-static線路一多維護(hù)成本非常高。OSPF 是鏈路狀態(tài)協(xié)議每臺設(shè)備自己計(jì)算最短路徑新增網(wǎng)段只需要在區(qū)域里宣告一次鄰居自動收斂。校園網(wǎng)這種規(guī)模跑 OSPF 單區(qū)域是效率和可維護(hù)性最平衡的方案。配置 OSPF 時核心交換機(jī)、匯聚交換機(jī)、出口路由器都要參與區(qū)域全部放 area 0。以下以核心交換機(jī)配置為例system-view ospf 1 router-id 1.1.1.1 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 192.168.40.0 0.0.0.255 network 192.168.50.0 0.0.0.255 network 192.168.99.0 0.0.0.255 quitnetwork命令宣告的是網(wǎng)段和反掩碼不是子網(wǎng)掩碼。0.0.0.255 對應(yīng) 255.255.255.0這是 OSPF 和其他協(xié)議最明顯的差別寫錯成 255.255.255.0 的話鄰居會反復(fù) flapping。router-id 是路由器在 OSPF 域里的身份標(biāo)識必須全局唯一我通常按設(shè)備角色編號核心是 1.1.1.1匯聚是 2.2.2.1 和 2.2.2.2出口是 3.3.3.1方便排查時一眼認(rèn)出是哪臺設(shè)備。匯聚交換機(jī)配置類似只是宣告的網(wǎng)段更少。注意交換機(jī)互聯(lián)接口所在的網(wǎng)段也要宣告進(jìn) OSPF否則鄰居建立不起來。常見的坑是只宣告業(yè)務(wù)網(wǎng)段、漏了互聯(lián)網(wǎng)段結(jié)果業(yè)務(wù)路由全學(xué)到了但設(shè)備之間沒有可達(dá)的下一跳路徑ping 網(wǎng)關(guān)能通跨樓層就斷。配置完成后在核心交換機(jī)上執(zhí)行display ospf peer brief看到鄰居狀態(tài)為 Full說明 OSPF 鄰居建立成功再看display ip routing-table protocol ospf確認(rèn)路由表里有遠(yuǎn)端網(wǎng)段的 OSPF 路由。出口路由器 AR2220 除了跑 OSPF還要做默認(rèn)路由指向運(yùn)營商。校園網(wǎng)訪問外網(wǎng)的流量由出口路由器牽引配置如下system-view ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 202.114.1.254 ospf 1 router-id 3.3.3.1 default-route-advertise always area 0 network 192.168.99.0 0.0.0.255 quitdefault-route-advertise的作用是讓出口路由器把默認(rèn)路由通告進(jìn) OSPF 域內(nèi)這樣全網(wǎng)設(shè)備都知道“外網(wǎng)下一跳在出口”不需要在每臺交換機(jī)上手工配默認(rèn)路由。always參數(shù)強(qiáng)制通告即使出口路由器自己沒有學(xué)到運(yùn)營商路由也照常通告。這個參數(shù)在模擬器場景下很有用真實(shí)環(huán)境下建議按需使用。4.2 DHCP 全局地址池與驗(yàn)證命令每臺 PC 手動配 IP 在校園網(wǎng)場景不現(xiàn)實(shí)。DHCP 由核心交換機(jī)集中下發(fā)核心交換機(jī)配置全局地址池同時在用戶 VLANIF 接口上使能 DHCP。system-view dhcp enable ip pool vlan10 gateway-list 192.168.10.1 network 192.168.10.0 mask 255.255.255.0 dns-list 202.114.64.1 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.100 lease day 7 quit interface Vlanif 10 dhcp select global quit這段配置拆開看dhcp enable是全局總開關(guān)不開它后面全白配。ip pool vlan10創(chuàng)建名為 vlan10 的地址池gateway-list指定下發(fā)給 PC 的網(wǎng)關(guān)PC 拿到這個地址后自動把默認(rèn)路由指向 192.168.10.1。dns-list下發(fā)兩個 DNS教育網(wǎng)環(huán)境下最好先用校內(nèi) DNS前 100 個 IP 是網(wǎng)關(guān)、服務(wù)器、打印機(jī)等固定地址通過excluded-ip-address排除掉避免 DHCP 隨機(jī)分配時沖突。dhcp select global是關(guān)鍵它的意思是該接口從全局地址池取地址。如果接口上配的是dhcp select interface那就是基于接口地址池兩種方式不能混用。我一般統(tǒng)一用全局池因?yàn)榭?VLAN 時排查更方便一條display ip pool能把所有地址池的分配情況列出來。驗(yàn)證 DHCP 是否生效模擬 PC 上把 IP 獲取方式改為 DHCP然后執(zhí)行display dhcp server statistics display ip pooldisplay ip pool能看到每個地址池已分配地址數(shù)和剩余地址數(shù)。如果 PC 一直拿不到地址先看核心交換機(jī)的dhcp enable是否開啟再看接口上有沒有dhcp select global。這兩個是最容易漏的。模擬器里還有一個細(xì)節(jié)PC 的 DHCP 請求有時不會自動重發(fā)配置完 DHCP 后如果 PC 沒拿到地址可以先把 PC 的 IP 配置方式切到靜態(tài)再切回 DHCP觸發(fā)一次重新請求。這個小技巧能省下不少等待時間。5. eNSP 常見問題避坑啟動失敗、井號與卸載殘留5.1 AR1 啟動失敗報錯 40現(xiàn)象、原因、解決現(xiàn)象啟動拓?fù)鋾rAR1 設(shè)備顯示啟動失敗錯誤代碼 40重啟設(shè)備無效VirtualBox 面板里對應(yīng)的虛擬機(jī)也不在運(yùn)行狀態(tài)。原因最常見的是 VirtualBox 版本與 eNSP 不兼容。eNSP 的 AR 設(shè)備是 VirtualBox 里的虛擬路由器對 VirtualBox 的 API 版本有要求新版 VirtualBox 改動后eNSP 調(diào)用失敗就直接報 40。其次是 Hyper-V 虛擬化層與 VirtualBox 沖突。解決從以下三個方向排查按順序做一般能解決。第一步確認(rèn) VirtualBox 版本5.2.x 系列最穩(wěn)。第二步檢查 Hyper-V 是否關(guān)閉關(guān)閉后必須重啟。第三步刪掉 eNSP 安裝目錄下的臨時緩存文件重新啟動 eNSP。注意別在 VirtualBox 里手動修改 AR 虛擬機(jī)的網(wǎng)卡設(shè)置eNSP 啟動時會重新初始化手動改反而會導(dǎo)致設(shè)備起不來。5.2 USG6000V 啟動一直井號等多久才算真死現(xiàn)象防火墻設(shè)備拖動到拓?fù)淅飭訒r控制臺一直輸出#持續(xù)很長時間沒有跳轉(zhuǎn)到用戶名登錄提示看起來像卡死了。原因USG6000V 是防火墻設(shè)備內(nèi)核啟動比路由器慢得多。eNSP 里 AR2220 一般 20 秒內(nèi)能啟動USG6000V 在電腦性能一般的情況下需要 40 秒甚至更久。輸出井號是正常現(xiàn)象表示系統(tǒng)正在加載內(nèi)核模塊并不是卡死。但如果超過兩分鐘還在打井號或者停止輸出但沒有出現(xiàn)Username提示才是真問題。解決先從 VirtualBox 面板里找到防火墻對應(yīng)的虛擬機(jī)手動啟動一次確認(rèn)鏡像本身能跑。能跑說明 eNSP 調(diào)用問題關(guān)掉后重新打開拓?fù)湓僭囈淮?。另外防火墻設(shè)備對內(nèi)存要求高整套拓?fù)湓O(shè)備較多時把防火墻單獨(dú)放一個拓?fù)錅y試確認(rèn)啟動正常再合并回完整拓?fù)?。防火墻啟動后默認(rèn)有初始用戶名和密碼登錄進(jìn)去第一時間修改密碼然后配安全策略。注意防火墻默認(rèn)不會放行任何流量即使 OSPF 鄰居建起來了業(yè)務(wù)流量也會被攔這是很多人配完防火墻發(fā)現(xiàn)全網(wǎng)不通的主要原因。5.3 設(shè)備 CPU 100% 與拓?fù)淇D現(xiàn)象拓?fù)淅镌O(shè)備數(shù)量超過 8 臺或者開著 Wireshark 抓包操作開始明顯卡頓設(shè)備控制臺輸入命令延遲嚴(yán)重CPU 占用率一直掛在 100%。原因eNSP 是純軟件模擬所有設(shè)備的轉(zhuǎn)發(fā)和控制平面都跑在宿主機(jī)的 CPU 上。設(shè)備越多模擬進(jìn)程越多內(nèi)存和 CPU 都被占滿。Wireshark 抓包在高流量時也會大量占用 CPU。解決把所有設(shè)備的內(nèi)存占用調(diào)低eNSP 設(shè)備的內(nèi)存參數(shù)可以修改非必要的設(shè)備用停止而不只是關(guān)閉窗口。抓包只在排查時開抓完立即關(guān)閉。這個問題的核心是規(guī)劃拓?fù)鋾r要控制設(shè)備總量畢設(shè)場景 8 臺以內(nèi)的設(shè)備足夠展示三層架構(gòu)、OSPF 和 DHCP 的完整鏈路硬堆設(shè)備反而影響演示效果。5.4 跨 VLAN 通了但 PC 拿不到 DHCP 地址現(xiàn)象PC 配置 DHCP 方式獲取地址一直在請求但始終拿不到 IP。此時跨 VLAN ping 網(wǎng)關(guān)是通的。原因這個現(xiàn)象說明二層鏈路和 VLANIF 都正常問題出在 DHCP 本身。最常見的是核心交換機(jī)沒開dhcp enable或者接口上沒配dhcp select global。還有一種情況是接入交換機(jī)沒有放行 DHCP 報文所在 VLAN 的 trunkPC 的 DHCP Discover 報文到不了核心交換機(jī)。解決在核心交換機(jī)上執(zhí)行display dhcp server statistics如果發(fā)現(xiàn) Discover 報文數(shù)為 0說明報文根本沒到核心檢查接入交換機(jī)上聯(lián)口的 trunk 允許列表。如果報文有收到但 Offer 發(fā)不出去檢查dhcp select global并確認(rèn)地址池剩余地址充足。很多人會忽略的一個點(diǎn)是接入交換機(jī)上 PC 所在 VLAN 的接口是 access 口但其上聯(lián)口放了多個 VLANDHCP 報文帶著 VLAN 標(biāo)簽走到核心核心對應(yīng) VLANIF 上沒有dhcp select global一樣拿不到地址。所以每個用戶 VLAN 的 VLANIF 都要單獨(dú)配dhcp select global。5.5 卸載不干凈導(dǎo)致安裝失敗現(xiàn)象eNSP 用了一段時間某個功能異常想重裝卸載后重新安裝報錯提示已有舊版本或安裝過程中回滾。原因eNSP 卸載程序不會自動刪除 VirtualBox 的虛擬機(jī)和注冊表殘留。舊的 AR 虛擬機(jī)文件、網(wǎng)絡(luò)配置和許可證信息殘留在系統(tǒng)里新版本檢測到這些殘留會認(rèn)為環(huán)境不干凈拒絕安裝或覆蓋。解決卸載 eNSP 后手動刪除兩個位置安裝目錄下的臨時文件以及 VirtualBox 虛擬機(jī)目錄。這是 Windows 下比較標(biāo)準(zhǔn)的清理路徑刪除 eNSP 殘留文件后再清理注冊表殘留通常用系統(tǒng)自帶的regedit刪除 HKEY_LOCAL_MACHINE 下與 Huawei/eNSP 相關(guān)的項(xiàng)。這里有風(fēng)險動手前一定要先備份注冊表而且不要刪到別家軟件的項(xiàng)。清理完重啟再重新裝 VirtualBox 和 eNSP。我自己的習(xí)慣是盡量少重裝裝之前就把版本匹配好因?yàn)槊看沃匮b都要在這套清理流程里耗掉半小時。6. 最后一步驗(yàn)證鏈路與 SSH 遠(yuǎn)程運(yùn)維6.1 一套完整驗(yàn)證流程拓?fù)渑渲猛瓿珊蟛灰苯咏貓D交差按順序跑一遍驗(yàn)證命令確認(rèn)每個層次都是通的。我固定按這個順序驗(yàn)證display vlan summary display port vlan display ospf peer brief display ip routing-table protocol ospf display ip pool ping 192.168.20.1第一、二條命令確認(rèn) VLAN 創(chuàng)建和端口放行沒問題第三條確認(rèn) OSPF 鄰居關(guān)系全部是 Full第四條確認(rèn)跨網(wǎng)段路由已經(jīng)寫入路由表第五條確認(rèn) DHCP 地址池有分配記錄。最后在 VLAN 10 的 PC 上 ping VLAN 20 的網(wǎng)關(guān)能通則全網(wǎng)鏈路基本打通。這套命令組合是我每次做完校園網(wǎng)拓?fù)浔嘏艿囊惶琢鞒讨灰苋客ㄟ^基本可以放心把拓?fù)浣唤o別人評審。6.2 開啟 SSH 做遠(yuǎn)程運(yùn)維模擬器里配置 SSH 是校園網(wǎng)設(shè)備運(yùn)維的真實(shí)寫照畢設(shè)答辯時提出來也能加分。以核心交換機(jī)為例system-view rsa local-key-pair create stelnet server enable ssh user admin authentication-type password ssh user admin service-type stelnet local-user admin password cipher Huawei123 local-user admin service-type ssh user-interface vty 0 4 authentication-mode aaa protocol inbound ssh quit配置順序固定是先創(chuàng)建 RSA 密鑰對再開啟 SSH 服務(wù)然后創(chuàng)建 SSH 用戶并綁定到本地用戶最后讓 VTY 線路接受 SSH 連接。注意rsa local-key-pair create會提示輸入密鑰長度我一般選 2048加密強(qiáng)度夠用且生成速度快。配置完成后從 PC 上執(zhí)行stelnet 192.168.50.1驗(yàn)證登錄。這個配置在真實(shí)華為交換機(jī)上同樣適用模擬器里練熟了可以直接遷移。從那以后我每次做完校園網(wǎng)拓?fù)涠紡?qiáng)制自己走一遍display vex鏈路檢查加 SSH 遠(yuǎn)程登錄的完整流程因?yàn)楸镜氐卿浛吹降氖桥渲眠h(yuǎn)程登錄驗(yàn)證的才是服務(wù)是否真的活著。eNSP 是一個越熟悉越省心的工具前面踩過的坑都會變成后面的經(jīng)驗(yàn)。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取