企业官网建设流程全解析

简介：这份资源面向备战华为ICT大赛网络赛道的高校学生与指导教师，聚焦2022-2023年度国赛实验ESNP真题及完整详细答案，帮助读者在赛前系统演练网络设计、设备配置与故障排查等核心技能。压缩包共34个文件，约82KB，以efz设备镜像、cfg配置文件、xml终端描述、topo拓扑及zip配置包为主，并区分完整实验环境与仅拓扑两个版本：前者含设备配置、服务器设置与所需网络服务，便于还原真实赛场；后者仅保留网络结构，适合专注架构逻辑与数据流向分析。目前已有1034人学习下载，可作为赛前训练与教学参考。读者可据此搭建模拟环境、对照答案复盘配置思路、检验排错能力，并从宏观拓扑理解设备互联关系，为深入掌握网络技术打下基础。

1. 从一道国赛实验题说起：eNSP 里到底在考什么

很多人第一次接触华为 ICT 大赛网络赛道的国赛实验，都是在 eNSP 里对着一份拓扑图发愣——设备不多，连线也不复杂，但要求里同时出现了 VLAN、OSPF、BGP、MPLS、防火墙策略、NAT 和链路聚合。你打开设备敲了两条命令，发现邻居起不来，回显里全是Down或者Init，然后就开始怀疑自己是不是连 IP 都配错了。

这个标题指向的，是一套完整的园区加骨干网综合实验：用 eNSP 模拟器搭出一张包含接入层、汇聚层、核心层和出口边界的小型网络，然后在上面跑通二层隔离、三层互通、动态路由、策略控制和出口访问。它解决的不是某一个知识点，而是“把十几个零散协议串成一条能通的路”这件事。适合已经学过 HCIA/HCIP 基础命令、但一上综合拓扑就不知道从哪下手的人，也适合想复盘国赛实验思路的备赛者。

2. 实验拓扑怎么拆：先分清二层边界和三层边界

2.1 拿到拓扑图先做三件事

我一般不会急着敲命令，而是先做三件事：标接口、划广播域、定路由域。标接口是把拓扑图上每根线的两端设备名和接口号写下来，比如LSW1-G0/0/1连LSW2-G0/0/1，这一步能避免后面配 Trunk 时把接口搞反。划广播域是看哪些接口属于同一个 VLAN，哪些接口要跑 Trunk，哪些接口要跑三层路由。定路由域是看哪些设备属于同一个 OSPF 区域，哪些设备之间要跑 BGP，出口边界在哪里。

这三件事做完，你手里应该有一张表，而不是一张图。表里至少包含：设备名、接口、IP 地址、VLAN ID、链路类型、所属路由协议。没有这张表，后面排错就是黑匣子。

2.2 接入层和汇聚层的 VLAN 规划

接入层通常放 Access 接口，接终端或者模拟 PC。汇聚层放 Trunk 接口，允许相关 VLAN 通过。国赛实验里常见的做法是：接入交换机上创建业务 VLAN 和管理 VLAN，上行口配 Trunk，汇聚交换机上配对应的 VLANIF 作为网关。

# 接入交换机 LSW1 配置示例 system-view sysname LSW1 vlan batch 10 20 100 # 连接终端的接口划入 VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit # 连接终端的接口划入 VLAN 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit # 上行 Trunk 接口，允许业务 VLAN 和管理 VLAN 通过 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 100 quit

这段配置的逻辑是：终端接口不需要打标签，所以用 Access；上行接口要携带多个 VLAN 的标签，所以用 Trunk。port trunk allow-pass vlan后面跟的 VLAN 列表必须和汇聚层的 VLANIF 对应，否则流量到了汇聚层会被丢弃。参数上唯一容易翻车的是 PVID，如果 Trunk 口没有显式配置port trunk pvid vlan，默认是 VLAN 1，管理流量可能会跑到错误的广播域里。

2.3 汇聚层网关和 DHCP 怎么落

汇聚交换机上要配 VLANIF 接口作为网关，同时如果实验要求终端自动获取地址，还要配 DHCP 池。这里有个细节：DHCP 池的网关地址必须和 VLANIF 接口地址一致，否则终端拿到地址也出不去。

# 汇聚交换机 LSW2 配置示例 system-view sysname LSW2 vlan batch 10 20 100 # VLANIF 10 作为 VLAN 10 的网关 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 quit # VLANIF 20 作为 VLAN 20 的网关 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 quit # 开启 DHCP，地址池给 VLAN 10 用 dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 quit # 在 VLANIF 接口上调用全局地址池 interface Vlanif10 dhcp select global quit

dhcp enable是全局开关，不开的话接口下配了dhcp select global也不生效。gateway-list写的是终端要访问的网关地址，不是 DHCP 服务器自己的地址。如果实验里要求用接口地址池，那就把dhcp select global换成dhcp select interface，然后不需要单独建ip pool。两种方式不要混用，混用会导致地址分配混乱。

3. 路由协议怎么串：OSPF 管内部，BGP 管边界

3.1 OSPF 区域划分和邻居建立条件

国赛实验里 OSPF 通常跑在汇聚层和核心层之间，有时也会延伸到出口路由器。区域划分一般是一个骨干区域 0，加上若干非骨干区域。邻居建立不起来，九成是下面几个条件没满足：接口没使能 OSPF、区域 ID 不一致、Hello 和 Dead 定时器不一致、网络类型不一致、认证不匹配。

# 核心交换机 LSW3 上启用 OSPF system-view sysname LSW3 ospf 1 router-id 3.3.3.3 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 10.0.0.0 0.0.0.255 quit quit

router-id建议手工指定，用环回口地址或者规划好的管理地址，不要依赖自动选举。network命令后面的反掩码要算对，0.0.0.255对应/24，写错的话接口不会参与 OSPF。如果邻居卡在Init状态，先查 Hello 报文有没有发出去；卡在ExStart多半是 MTU 不一致；卡在2-Way在广播网络里是正常的，但在点对点网络里就不正常。

3.2 BGP 邻居和路由宣告

出口边界通常要跑 BGP，和外部网络交换路由。eNSP 里配 BGP 邻居，最常见的问题是peer地址写错或者connect-interface没指定。IBGP 邻居建议用环回口建立，EBGP 邻居用直连接口地址。

# 出口路由器 R1 配置 BGP system-view sysname R1 bgp 65001 router-id 1.1.1.1 peer 10.0.0.2 as-number 65002 peer 10.0.0.2 connect-interface GigabitEthernet0/0/1 ipv4-family unicast network 192.168.10.0 255.255.255.0 network 192.168.20.0 255.255.255.0 peer 10.0.0.2 enable quit quit

peer后面的地址是对端设备的接口地址，as-number是对端所在的 AS 号。connect-interface指定用哪个本地接口去建立 TCP 连接，EBGP 直连时通常不用改，IBGP 用环回口时必须指定。network命令宣告的是本地路由表里已经存在的路由，如果路由表里没有，BGP 不会凭空产生一条路由。这一点和 OSPF 的network不一样，OSPF 的network是接口使能，BGP 的network是路由注入。

3.3 路由引入和策略控制

有时候实验要求把 OSPF 路由引入 BGP，或者把 BGP 路由引入 OSPF。引入的时候如果不加策略，很容易出现次优路径或者路由环路。常见做法是用route-policy或者filter-policy控制引入范围。

# 在 R1 上把 OSPF 路由引入 BGP，并打上 community 标记 system-view route-policy ospf-to-bgp permit node 10 if-match ip-prefix allow-ospf apply community 65001:100 quit ip ip-prefix allow-ospf index 10 permit 192.168.10.0 24 ip ip-prefix allow-ospf index 20 permit 192.168.20.0 24 bgp 65001 ipv4-family unicast import-route ospf 1 route-policy ospf-to-bgp quit quit

route-policy的节点号越小越先匹配，permit表示允许通过，if-match是匹配条件，apply是执行动作。ip-prefix用来精确匹配网段，比 ACL 更适合做路由过滤。如果引入后发现路由数量不对，先看display bgp routing-table里有没有对应的条目，再看display route-policy确认策略有没有生效。

4. 出口和策略：NAT、防火墙、链路聚合一个都不能少

4.1 NAT 的几种模式和适用场景

出口路由器上通常要配 NAT，让内网地址能访问外部网络。eNSP 里支持 Easy IP、地址池 NAT 和 NAT Server。Easy IP 直接用接口地址做转换，适合拨号或者地址不固定的场景；地址池 NAT 适合有多个公网地址的场景；NAT Server 用于把内网服务器映射出去。

# R1 上配置 Easy IP system-view acl number 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quit

acl 2000是基本 ACL，只匹配源地址。nat outbound 2000表示匹配 ACL 2000 的流量做地址转换，转换时用接口地址。如果实验要求用地址池，就把nat outbound 2000改成nat outbound 2000 address-group 1，然后提前配好nat address-group 1。注意 ACL 的规则顺序，rule 5比rule 10先匹配，写反了会导致部分网段不被转换。

4.2 防火墙区域和策略配置

如果拓扑里有防火墙，通常要划分 Trust、Untrust、DMZ 区域，然后配安全策略控制流量。防火墙默认拒绝所有流量，所以策略必须显式放行。

# 防火墙 FW1 配置示例 system-view sysname FW1 interface GigabitEthernet0/0/1 ip address 192.168.10.254 255.255.255.0 quit interface GigabitEthernet0/0/2 ip address 10.0.0.1 255.255.255.0 quit firewall zone trust add interface GigabitEthernet0/0/1 quit firewall zone untrust add interface GigabitEthernet0/0/2 quit security-policy rule name trust-to-untrust source-zone trust destination-zone untrust source-address 192.168.10.0 mask 255.255.255.0 action permit quit quit

firewall zone把接口加入区域，security-policy里的rule name是策略名称，source-zone和destination-zone定义流量的方向，action permit表示放行。如果策略配了但不生效，先看display security-policy rule all确认规则有没有命中，再看display firewall session table看会话有没有建立。防火墙的坑在于区域划分和接口 IP 必须对应，接口没加入区域的话，策略匹配不到。

4.3 链路聚合和 Eth-Trunk 配置

核心层和汇聚层之间如果有多条链路，通常会做链路聚合。eNSP 里支持手工负载分担和 LACP 两种模式。手工模式配置简单，但无法检测链路故障；LACP 模式可以协商，更可靠。

# 核心交换机 LSW3 上配置 Eth-Trunk system-view interface Eth-Trunk1 mode lacp-static port link-type trunk port trunk allow-pass vlan 10 20 100 quit interface GigabitEthernet0/0/1 eth-trunk 1 quit interface GigabitEthernet0/0/2 eth-trunk 1 quit

mode lacp-static表示静态 LACP 模式，两端都要配成一样的模式，否则聚合口起不来。eth-trunk 1把物理接口加入聚合组，加入之前物理接口上的配置会被清掉，所以要先配 Eth-Trunk 逻辑口，再把物理口加进去。如果聚合口状态是Down，先看两端模式是否一致，再看物理口有没有Up。

5. 避坑排查：那些让邻居起不来、路由不通的细节

5.1 现象：OSPF 邻居卡在 Init 或 Down

原因通常是接口没使能 OSPF，或者 Hello 报文被 ACL 过滤了。解决方法是先在接口下display ospf interface确认接口有没有加入 OSPF，再用display ospf peer看邻居状态。如果接口加入了但邻居还是 Down，检查两端区域 ID 和认证配置是否一致。

5.2 现象：BGP 邻居建立不起来

原因可能是peer地址写错、connect-interface没指定、或者 TCP 179 端口被拦截。解决方法是先ping对端地址确认三层可达，再用display bgp peer看状态。如果状态是Idle，多半是 TCP 连接没建立；如果是Active，说明在尝试连接但没成功。

5.3 现象：VLAN 间能通但访问外网不通

原因通常是 NAT 没配或者 ACL 没匹配到流量。解决方法是先在出口路由器上display nat session all看有没有会话，再看display acl 2000确认规则有没有命中。如果 ACL 命中了但 NAT 没转换，检查nat outbound有没有应用到正确的接口。

5.4 现象：链路聚合口起来但流量不通

原因可能是两端模式不一致，或者 Trunk 允许的 VLAN 列表不匹配。解决方法是display eth-trunk 1看成员口状态，再display port vlan看 Trunk 口的 VLAN 允许列表。如果成员口是Unselect，说明 LACP 协商失败，检查两端模式。

5.5 现象：防火墙策略配了但不生效

原因可能是接口没加入区域，或者策略的源目地址写错。解决方法是display firewall zone确认接口所属区域，再display security-policy rule all看规则有没有命中。如果规则命中了但流量还是不通，检查display firewall session table看会话有没有建立。

6. 复盘方法：怎么用一套实验覆盖更多考点

这套实验做完之后，不要急着关掉 eNSP。我一般会做三件事：第一，把每台设备的配置文件导出来，用文本对比工具看哪些配置是必须的，哪些是冗余的；第二，把拓扑里的某一条链路断掉，看路由能不能自动收敛，收敛时间是多少；第三，把某个协议的参数改掉，比如把 OSPF 的 Hello 时间从 10 秒改成 5 秒，看邻居会不会重新建立。

# 导出当前配置到本地 display current-configuration # 查看 OSPF 邻居和路由表 display ospf peer brief display ip routing-table protocol ospf # 查看 BGP 路由和邻居状态 display bgp routing-table display bgp peer # 查看 NAT 会话和防火墙会话 display nat session all display firewall session table

这些命令不是敲一次就完事，而是要在不同阶段反复看。比如 OSPF 邻居刚起来的时候看一次，断掉一条链路之后再看一次，对比display ospf peer里的状态变化和display ip routing-table里的路由增减。BGP 的路由表要看display bgp routing-table里的Status字段，*>表示有效最优，*表示有效但不是最优，*>i表示从 IBGP 学到的。

进阶一点的做法是，把实验里的某个协议换成另一种实现方式。比如把 OSPF 换成 IS-IS，把静态 NAT 换成 NAT Server，把手工链路聚合换成 LACP。每换一次，你都会遇到新的报错，而排错的过程就是真正把知识点吃透的过程。我自己的习惯是，每做完一套实验，至少留出半小时专门用来“搞破坏”——断链路、改参数、删配置，然后看设备怎么反应。这个习惯帮我省了很多后悔药，因为真正比赛或者上生产的时候，故障不会按实验手册来。

希望帮到你。

本文还有配套的精品资源，点击获取