1. 为什么需要高可用校园网？
校园网作为师生日常教学、科研和生活的重要基础设施，一旦出现网络中断，可能会影响在线课堂、考试系统、图书馆资源访问等关键业务。记得去年某高校因为核心交换机单点故障，导致全校断网6小时，教务系统瘫痪，学生选课被迫延期。这种场景下，冗余设计和业务隔离就显得尤为重要。
在ENSP华为模拟器中搭建高可用校园网，相当于提前用"数字沙盘"验证设计方案。我帮三所学校做过网络改造，发现90%的故障都能在模拟阶段排除。比如通过VRRP实现网关自动切换，当主设备宕机时，备用设备能在毫秒级接管流量，用户根本感知不到中断。
2. 实验环境搭建要点
2.1 ENSP基础配置技巧
安装ENSP时建议关闭杀毒软件，避免虚拟网卡驱动被拦截。我习惯用VirtualBox 5.2.44作为底层虚拟化平台，这个版本与ENSP兼容性最好。创建项目时，先规划好设备命名规范，比如：
- 核心层：Core-SW1、Core-SW2
- 汇聚层：Dorm-Agg、Teach-Agg
- 接入层：Dorm-ACC-1F、Teach-ACC-301
模拟多校区环境时，可以用Cloud设备连接多个拓扑。有次模拟跨校区专线，我在Cloud里配置了100ms延迟，结果发现视频会议卡顿，这才意识到需要单独部署媒体服务器。
2.2 设备选型参考
对于2000终端规模的校园网，我的推荐配置是：
| 设备类型 | 推荐型号 | 关键参数 |
|---|---|---|
| 核心层 | S5700-28C-EI | 24个10G SFP+端口 |
| 汇聚层 | S3700-52C-EI | 48个千兆电口+4个SFP口 |
| 接入层 | S2700-26TP-EI | PoE供电支持AP接入 |
实测中发现，S5700的VRRP切换时间能控制在200ms以内，完全满足语音业务需求。如果预算有限，可以用S3700做核心层，但要注意其MAC表项只有16K，超过5000终端时可能出现泛洪。
3. 构建冗余骨干网
3.1 VRRP实战配置
教学区和办公区需要配置双网关冗余。以教学区VLAN 10为例，在Core-SW1和Core-SW2上配置：
# Core-SW1配置（主设备） interface Vlanif 10 ip address 192.168.10.254 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 # 设置更高优先级 vrrp vrid 10 preempt-mode timer delay 20 # 抢占延迟防止震荡 # Core-SW2配置（备设备） interface Vlanif 10 ip address 192.168.10.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.1有个容易踩的坑：VRRP的vrid必须两端一致，有次调试2小时才发现是vrid填错了。建议用display vrrp brief命令检查状态，正常应该显示：
VRID State Interface Virtual IP Master IP 10 Master Vlanif10 192.168.10.1 192.168.10.2543.2 MSTP防环设计
校园网最常见的故障就是广播风暴。通过MSTP（多生成树协议）可以实现负载均衡和环路防护。关键配置步骤：
- 统一所有交换机的Region名称和Revision级别
- 将教学区VLAN 10-20映射到Instance 1
- 将宿舍区VLAN 30-40映射到Instance 2
# 核心交换机配置示例 stp region-configuration region-name CAMPUS_NET revision-level 1 instance 1 vlan 10 to 20 instance 2 vlan 30 to 40 active region-configuration实测发现，MSTP收敛时间约3-5秒，比传统STP快10倍。记得在接入层开启edge-port特性，避免连接PC的端口进入阻塞状态。
4. 业务隔离与安全策略
4.1 VLAN规划方法论
好的VLAN设计要兼顾业务需求和扩展性。我的经验公式是：
- 每个部门单独VLAN（教学/办公/宿舍）
- 每类终端单独VLAN（教师PC/学生PC/IoT设备）
- 特殊系统独立VLAN（监控/门禁/广播）
例如某高校的VLAN分配表：
| VLAN ID | 用途 | IP网段 | 备注 |
|---|---|---|---|
| 10 | 教学区教师PC | 192.168.10.0/24 | 最高优先级 |
| 20 | 教学区学生PC | 192.168.20.0/24 | 限速10Mbps |
| 30 | 宿舍区学生网络 | 172.16.30.0/24 | 夜间限速 |
| 40 | 监控摄像头 | 10.0.40.0/24 | 禁止访问外网 |
4.2 ACL实战案例
禁止宿舍区访问教务系统的配置示例：
acl number 2000 rule 5 deny ip source 172.16.30.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 rule 10 permit ip interface Vlanif 30 traffic-filter inbound acl 2000有个实用技巧：先添加rule 10 permit ip放行其他流量，避免配置错误导致全网中断。曾见过有管理员只配了deny规则，结果整个VLAN无法上网。
5. 典型故障排查指南
5.1 VRRP主备切换失败
常见原因有：
物理链路未配置trunk，导致VRRP报文被过滤
- 检查命令：
display interface GigabitEthernet 0/0/1 - 正确应该显示：
Port link-type: trunk
- 检查命令：
防火墙误拦截了VRRP组播报文（目的MAC 01-00-5E-00-00-12）
- 解决方案：在安全策略中放行协议号112的流量
两端VRRP版本不一致
- 检查命令：
display vrrp verbose - 建议统一使用VRRPv3
- 检查命令：
5.2 MSTP网络震荡
遇到端口状态频繁变化时：
- 检查BPDU收发情况：
display stp abnormal-port - 确认所有交换机Region配置一致
- 调整Forward Delay时间（默认15秒可改为10秒）
有个经典案例：某校因使用杂牌交换机导致MSTP不兼容，最后通过在华为设备上配置stp compliance dot1s解决。
