企业官网建设流程全解析

简介：华为计算机网络培训实验指导手册是一份面向网络工程师及高校计算机专业学生的实操型学习资料，覆盖从基础到进阶的华为设备配置场景。手册以实验为主线，包含远程管理（Telnet）、以太网端口汇聚、STP、Trunk、VLAN间三层通信、DHCP、FTP、PPP/FR、RIP、OSPF、防火墙与地址转换、VRRP等14个实验，并配有动态路由协议深入分析、企业网综合案例和校园网案例分析，便于读者掌握真实网络环境下的配置思路与排错方法。资源为1个doc文档，压缩包大小1.6MB，文件精炼而体系完整，适合对照实验环境逐步练习或作为考前复习提纲。已有358人学习下载，对于想系统提升网络配置能力的读者，可直接参照手册中的命令与步骤完成从路由交换到安全接入的模块化训练。

1. 华为计算机网络培训实验指导手册：最容易被低估的一本动手清单

华为计算机网络培训实验指导手册这本资料，最容易被低估。很多人的用法是把它当文档读，翻一遍目录，觉得VLAN、路由、ACL这些概念都见过，可真打开华为ensp照着敲，第一个实验就在ping不通这一步卡住。这本手册真正能解决的问题，是把谢希仁《计算机网络》或王道那类理论书里的概念，变成一台台设备上看得见的配置和报文；对期末复习、刚转网络运维的DevOps工程师、以及备考华为认证和华为od上机考试的人来说，它是把理论兑换成实操分数的关键一环。它不需要你读懂每一行原理，只需要你肯按实验顺序敲下去、遇到不通就停下来查。

2. 从手册到拓扑：用华为ensp把实验环境从零跑起来

2.1 为什么手册默认以ensp为准而不是真机

手册里的拓扑图、IP规划表，本质上是一张预期状态图：VLAN 10的网关在路由器子接口上，PC1能ping通PC2，这些都是配置完成后的结果。可到了真机上，你会先撞见一堆手册懒得写的前提——接口命名不同、设备出厂带着老配置、console密码未知，甚至设备版本不同导致命令视图不一致。常见做法是先把ensp装好，在模拟器里把每个实验过一遍，再考虑真机验证。

ensp是华为官方的网络仿真工具，最大的价值是免费、命令风格和真机VRP系统一致，基本覆盖了手册会涉及的交换、路由、ACL、NAT、DHCP实验。我曾在期末前一周用它把报告里十几个实验从头重跑了一遍，一个晚上就能完成，换成真机根本不可能。局限也要说清楚：终归是模拟器，DHCP续租细节、NAT并发表现、WLAN射频这类东西和真机有差距，它解决的是配置会不会、通不通的问题，不是生产环境行不行的问题。

2.2 照手册复现拓扑的最小步骤

拿到手册先别急着敲命令，先把工程搭对。下面是通用流程，适配手册里绝大多数实验：

一个关键习惯：所有设备全部启动完成后再开始配置。ensp里AR路由器启动要几十秒，拓扑里三台设备没全部变绿，你敲进去的命令可能因为设备没起来而没真正写入，这是很多人做第一个实验就翻车的起点，不是命令不对，是设备还没就绪。启动阶段别急着点开命令行，先看界面上的指示灯。

连线也有讲究。PC连交换机要选Ethernet口，交换机之间的级联和路由器下接交换机，手册里凡是标了trunk的链路都用千兆口，不要拿百兆口凑合。如果发现某条链路总是不通，右键查看链路两端的接口类型，常见问题是把switch口连到了路由器的console口上——拓扑对了，线连错了。

3. 手册核心实验拆解：VLAN、中继模式与单臂路由的完整配置链

3.1 交换机VLAN创建与接口类型选择

手册前几个实验几乎都围绕VLAN展开，先把VLAN建出来。华为交换机上创建VLAN用vlan batch，一条命令可以同时建多个，比逐个创建省事：

system-view sysname SW1 vlan batch 10 20 quit

进入系统视图后的sysname只是改设备名，不改也不影响实验，但它能让你在ensp多台设备同时开时一眼分清当前操作的是哪台。display vlan是第一个要养成的验证命令，创建完成后执行它，能看到VLAN 10和20都在列表里。

接着是把物理接口划进对应VLAN。华为接口默认是hybrid类型，不是access，这是新手手册实验里最常踩的类型坑。手册让你用access类型时，必须显式切过去：

interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit

access和trunk、hybrid的区别可以这样记：access接口只属于一个VLAN，收进来的帧打上default vlan的标签再转发，发给PC时再把标签剥掉；trunk接口是交换机之间传多VLAN流量用的，靠放行列表决定让哪些VLAN通过；hybrid是华为特有的，既能接PC也能接交换机，但行为规则比前两者复杂。手册前一半实验不建议主动用hybrid，等把access和trunk吃透了再回来研究它。

配置完成后用display port vlan，能看到G0/0/1属于VLAN 10、G0/0/2属于VLAN 20，这一步验证比ping更有用，能直接定位接口和VLAN的绑定关系。

3.2 ensp基于华为路由器的单臂路由：子接口与trunk联动

手册里VLAN间的互通实验，最典型的就是ensp基于华为路由器的单臂路由。拓扑通常是一台路由器下接一台交换机，交换机上划分了两个VLAN，PC分别在不同VLAN里。PC1 ping PC2跨VLAN，二层交换机做不了，必须把流量送上去路由器三层转发。

交换机侧先把连路由器的接口配置为trunk，放行两个VLAN：

interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit

注意华为默认trunk还允许VLAN 1通过，如果你两个VLAN的编号不是从1开始，建议写全放行列表。把接口配置为中继模式，标准写法就是port link-type trunk，后面跟的allow-pass决定了哪几个VLAN的帧能经过这条链路。

路由器侧用子接口做网关。物理接口下创建两个子接口，一个VLAN一个：

interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.1 255.255.255.0 arp broadcast enable quit interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.1 255.255.255.0 arp broadcast enable quit

dot1q termination vid是指定这个子接口处理哪个VLAN标签的帧，后面的ip address就是该VLAN的网关。arp broadcast enable这行是华为子接口最容易漏的——子接口默认不处理广播帧，PC的ARP请求到了这个子接口会被丢掉，不加这条，PC能ping通网关才怪。我最早做这个实验时漏了它，查了半小时，最后发现所有配置都对，就差这一行。

PC侧把网关分别设成192.168.10.1和192.168.20.1。验证方法：PC1先ping自己的网关，通了再ping PC2的IP。如果第一个ping就通、第二个不通，问题十有八九在交换机trunk的放行列表，或者在路由器子接口的arp broadcast enable上。

3.3 DHCP实验：地址池参数和查看命令

手册里DHCP实验比单臂路由稍靠后，通常是把PC的静态IP改成自动获取。华为设备上要开DHCP服务，再做地址池：

dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 8.8.8.8 quit interface Vlanif10 ip address 192.168.10.1 255.255.255.0 dhcp select global quit

dhcp select global表示这个接口从全局地址池取地址，还有一种写法是dhcp select interface，用的是接口地址池。两者区别在于：全局地址池可以跨网段用，接口地址池只能服务本接口所在网段。手册实验推荐用全局地址池，配置集中、改起来方便。

这三个参数最容易写错：network后的掩码写了反掩码，华为这里用的是普通掩码，和Cisco不一样；gateway-list漏写，PC能拿到地址但没网关，ping不通外网；dns-list不写，浏览器没法解析域名，但ping IP地址是通的——很多人在这一步误判DHCP配置成功。

配完后验证命令分两边看。PC上直接ipconfig看拿到的地址；设备侧用display dhcp server来查看地址池分配情况，能看到已分配和空闲的地址。华为交换机查看dhcp配置，这个命令比重新翻配置要直接得多，能确认PC到底从哪个池拿的地址。如果PC没有拿到地址，先看接口下有没有dhcp select global这行，再看地址池的名字和network网段是否和Vlanif的地址在同一个网段。

4. 手册后半段的必调参数：ACL、NAT与DHCP的细节边界

4.1 ACL规则顺序与接口调用方式

手册后半段开始出现ACL，很多人在这里照着Cisco的习惯配，结果发现命令不对。华为ACL分基本和高级两类：基本ACL编号2000到2999，只看源地址；高级ACL编号3000到3999，可以匹配源、目的、端口和协议。实验里做访问控制，常用基本ACL做网段级过滤。

acl 2001 rule 5 deny source 192.168.10.0 0.0.0.255 rule 10 permit source any quit interface GigabitEthernet0/0/0 traffic-filter inbound acl 2001 quit

rule 5和rule 10前面的编号不是必须从5开始，但建议留间隔，这样以后插入规则不用重排。ACL匹配顺序是从编号小的开始，所以deny必须写在permit前面，写反了就是允许所有流量通过，ACL形同虚设。

华为接口应用ACL用的是traffic-filter，这是华为风格，和Cisco的ip access-group不一样。traffic-filter有inbound和outbound两个方向，选方向前先在脑子里把报文流走一遍：报文从PC进来，要过滤PC发起的访问就用inbound；要过滤从设备出去的目的地址，就用outbound。手册实验如果配置了但没生效，大多数是方向选反了。

验证ACL有没有生效，不要只靠ping。先display acl 2001看规则命中数，如果规则没被匹配，计数器是0，这时ping不通是别的原因，不是ACL的问题。这个习惯能帮你把排查范围缩小一半。

4.2 NAT与静态路由的联动

NAT实验是手册里最容易让人怀疑人生的部分，因为在ensp里它有时表现得很玄学。最常见需求是让内网的两个VLAN共享一个出接口访问外网。先写ACL匹配内网网段，再在出接口上做源NAT：

acl 2002 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 quit interface GigabitEthernet0/0/0 nat outbound 2002 ip address 200.1.1.1 255.255.255.0 quit

nat outbound 2002是Easy IP模式，内网地址被转成出接口的公网地址，适合实验环境。如果想用固定的公网地址池，需要先建地址组再引用，但那个配置量翻倍，实验手册一般不会走到那一步。

NAT和路由经常一起出问题。内网PCping外网地址，如果源地址已经转换成功但回包进不来，先看路由器上有没有到内网网段的路由。单臂路由实验里路由器连着交换机，VLAN 10的网段在子接口上，如果路由器上没有192.168.10.0这条直连路由，NAT转换后回包无处可去，PC端表现为通了又断。

排查NAT用display nat session，能看到当前会话的转换前后地址；display nat outbound查看接口上关联了哪个ACL。注意ensp里NAT会话表刷新有延迟，改了配置后等几秒再看。比较坑的是undo nat outbound 2002之后，会话表可能还残留老记录，导致你改了配置但流量看起来还是走了旧路径，这时候清一下ensp里所有设备的ARP和会话缓存就行。

4.3 华为三层交换机做网关的多VLAN互通

手册后半段会有一个把路由器换成华为三层交换机的实验，原理一样但配置更简洁。三层交换机的每个VLAN对应一个Vlanif接口，IP就配在Vlanif上，不再需要单臂路由的子接口：

vlan batch 10 20 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit

VLAN间路由就靠这两个Vlanif接口转发。PC网关指向192.168.10.254和192.168.20.254，跨VLAN的报文在交换机内部查路由表就走通了，不需要额外配置路由协议。

但注意这台三层交换机如果还要上联一台路由器，上联口要配置trunk，并且放行VLAN 10和20，否则路由器只能到交换机，到不了PC。华为三层交换机实验里常见的坑是交换机开了ip routing但没写默认路由，导致内网PCping外网时，交换机能转发到路由器，但路由器回包时不知道怎么回到交换机——在路由器上加一条静态路由指向交换机的上联地址即可。

5. 华为实验手册的踩坑与排查：五条高频翻车记录

5.1 ensp抓包总是抓不到流量

现象：在接口视图右键启用抓包，Wireshark窗口打开了，PC之间ping也有回应，但抓包文件里零报文。

原因：ensp的抓包必须绑定到具体的物理接口，而你还开着其他过滤规则时容易漏包；更常见的是抓包接口选错了，抓了下联口却想去看到达路由器的流量。

解决：先把Wireshark里所有过滤条件清空，只留tcp或icmp；确认你要观察的方向——PC发给交换机的帧在PC所连的交换接口上看不到交换处理后的结果，想确认trunk上有没有带VLAN标签的帧，应该抓交换机上连路由器的那个口。

5.2 接口物理UP但VLAN内ping不通

现象：display interface看到GigabitEthernet0/0/1物理状态up，协议up，但接在这个口上的PC ping不通同一VLAN的网关。

原因：接入接口没有划到VLAN里。华为设备新接口默认在VLAN 1里，你建了VLAN 10、给Vlanif10配了地址，但PC所在的接口还在VLAN 1。

解决：display port vlan查看接口当前归属，确认接口下执行过port default vlan 10。如果这条命令不在接口配置里，补上并重新ping。记住VLAN创建和接口划入是两件事，手册实验里经常只写了前者。

5.3 trunk两端PVID不一致导致标签错乱

现象：两台交换机之间配置了trunk，放行了VLAN 10和20，但跨交换机通信时，VLAN 20的PC能通，VLAN 10的不通。

原因：华为trunk接口默认PVID是1，如果你在一边把trunk的PVID改成了VLAN 10，另一边还是默认1，那不带标签的帧进入后会被打上不同VLAN标签，在放行列表里匹配不到。

解决：trunk链路两端的PVID必须一致，这个参数在port trunk pvid vlan下设置。没有特殊需求，就别改trunk的PVID，保持两端默认为1。这是把接口配置为中继模式后最容易忽略的微调参数。

5.4 开了NAT后内网能出去但回包不通

现象：内网PCping公网IP，源地址显示已经变成公网地址，但报文一直没有响应。ping外网入口交换机时通，ping远端不通。

原因：NAT只转换了源地址，路由器缺少回程路由，或ACL匹配范围不对，把该转换的流量放过了却没转换。

解决：依次执行display nat outbound确认接口上关联的ACL编号，display nat session看会话是否建立。如果是静态路由缺失，在路由器上加一条ip route-static指向内网网段的下一条。ensp里这个顺序非常容易踩：先配NAT后配路由，回包就不通，先配路由后配NAT就正常。

5.5 重启后配置全部丢失还不自知

现象：ensp里把设备reboot或关闭工程再打开，所有接口、VLAN、ACL全部消失，显示成出厂状态。

原因：配置只保存在运行状态里，没有写入闪存。华为设备只能在用户视图执行save，很多人敲完配置直接关窗口，以为ensp会自动保存。

解决：做完每一个实验，最后一步固定执行save，确认回显提示写入成功。稳妥做法是先quit到用户视图，再执行save y回车。如果是真机且遇到console密码未知，可以考虑重启后进入BootROM菜单恢复出厂配置，ensp里可以直接重置设备再重新导入配置备份，比真机省事得多。

6. 把手册变成自己的排查手册：一个验证动作和两个习惯

一个必须养成验证动作是：每个实验做完，立刻用display命令链代替ping作为验收标准。ping通只能说明数据面通，不能说明你的配置是对的。我常用的验收顺序是display vlan确认VLAN存在、display port vlan确认接口归属、display current-configuration interface确认接口参数、再ping扫一遍连通性。这个动作能把错误定位到具体配置行，而不是停在通或不通的黑匣子状态。

两个习惯对我帮助最大。第一个是配置前先save，备份当前能用的配置快照。实验改坏了，一条配置回滚命令怎么都不如一份快照可靠。ensp里配置失败时，直接重启设备再导入备份，比逐条undo省时间。第二个是给设备的配置导出成文本文件，每完成一章实验导出一次，文件名带上日期和实验编号。这样复盘时能看清每一步改了什么，而不是对着最终配置猜当初的思路。

我最早学这份手册时，配完一个实验就急着往下翻，结果第二天打开ensp，配置全没了，又从头来过。后来养成上面这三个习惯，才算真正把手册从一份文档用成自己的排查工具。你现在按手册实验顺序走，如果能做到每个实验都过一遍display验收、存一份快照，这本手册对你的价值会超过它目录里列出的所有实验本身。希望帮到你。

本文还有配套的精品资源，点击获取