简介：面向ICT从业者与华为认证备考人员，这份eNSP使用和实验教程以PDF文档形式系统讲解华为企业网络仿真平台eNSP的核心操作，内容覆盖基本界面、设备拖拽与连线、终端设备（PC、Client、Server、MCS、STA、Mobile）用法、云设备与帧中继、交换机与AR路由器配置，以及WLAN中AC和AP的设置，适合从零上手网络模拟实验、提升数通排障与配置能力的读者。资源仅1个PDF文件，压缩包约1.14MB，体积小巧便于随时查阅。目前已有1909人学习下载。教程按照从入门到进阶的路径组织，既有界面操作说明，又有FTP、DNS、组播等具体实验场景，可帮助读者快速熟悉华为数通产品，为HCDA、HCDP、HCIE等认证实验提供可落地的操作参考。
1. eNSP 是什么：华为网络仿真平台能模拟到什么程度
一个经常被忽略的事实是：eNSP 里敲错的命令，真机上一样会敲错，而且真机没有“重启恢复出厂”的后悔药。eNSP 是华为官方推出的网络仿真平台，免费、轻量，去官网下载安装包就能在本地跑出多台虚拟路由器、交换机、防火墙和 PC，从基础 VLAN 划分到 OSPF、BGP 路由协议，绝大多数数通实验都能在里面完成。对备考华为认证、给企业方案做验证、或只是在家里练熟命令的网络工程师来说，它是最划算的练手环境。这篇笔记把 eNSP 的安装、配置、实验与排错完整走一遍，重点落在你实际操作时会卡住的地方。
2. 把 eNSP 装起来：从官网下载到第一台设备点亮
2.1 三个组件各自干什么：装错顺序会互相打架
eNSP 的安装看起来是“跑一个安装包”的事，实际上它的运行依赖两个外部组件：VirtualBox 和 Wireshark 背后的抓包库。eNSP 里的路由器、交换机并不是模拟出来的假进程，而是运行在 VirtualBox 虚拟机里的小型网络镜像，每次点击设备的“启动”，本质上是拉起一台没有显示器的虚拟机。抓包功能则通过 Npcap/WinPcap 驱动捕获虚拟网卡上的报文，再交给 Wireshark 展示。
三个组件各有分工，缺哪个都会在特定环节出问题。
| 组件 | 在 eNSP 中的角色 | 缺失时的典型表现 |
|---|---|---|
| VirtualBox | 承载设备镜像的虚拟机底座 | 设备一直停在“启动中”，无法点亮 |
| Npcap / WinPcap | 抓包的底层驱动 | 抓包按钮置灰，无法开始抓包 |
| Wireshark | 报文分析客户端 | 能抓到包但打不开分析窗口 |
安装顺序我建议固定为：VirtualBox 先装，其次装 Wireshark 并在安装时勾选其中的 Npcap 组件，最后装 eNSP 本体。这个顺序不是玄学，eNSP 的安装程序会在安装阶段探测已有的抓包和虚拟化环境，把路径写进自己的配置。装反了，它可能找不到 Wireshark 的可执行文件，后面连“在设备上抓包”的入口都出不来。
装完之后想确认三个组件是否就位，在 Windows 命令行里依次执行：
where VirtualBox where Wireshark sc query npcap第一条命令定位 VirtualBox 安装路径，第二条定位 Wireshark，第三条查询 npcap 抓包服务的运行状态。如果最后一条返回的 STATE 不是 RUNNING，说明抓包驱动没起来，通常是被安全软件拦截了，这时候先去系统服务列表里把 npcap 启起来，再考虑重装的事。
2.2 ensp官网的下载入口与安装路径的三个原则
装 eNSP 第一步是去 ensp官网找下载页，直接搜“ensp下载”也能找到入口。官网不同时期的版本包不完全一样，界面上常有 V1.2、V1.3 等版本标识，下载时先确认 Windows 是 64 位系统，再认准安装包大小——只有几十兆的往往是老版本，新版本的安装包要明显大一截。版本选错了，后面连 VirtualBox 配套版本都要跟着返工。
ensp安装本身不复杂，但下面三个原则踩过坑的人都会回头补上。第一条，安装路径不能带中文目录，也不能带空格。默认的 C:\Program Files 路径里带空格，部分老版本在带空格的路径下创建虚拟机会报错，我的做法是手动改成 C:\eNSP 这样的纯英文短路径。第二条，安装全程临时关闭杀毒软件的实时监控，至少把 eNSP、VirtualBox 和 Wireshark 的安装目录加进白名单，否则安装到一半，关键驱动文件被隔离，装完一启动设备就报错。第三条，右键安装包选择“以管理员身份运行”，没有 UAC 提权，VirtualBox 的虚拟网卡驱动注册不完整，设备永远停在“启动中”。
装完不要急着关安装向导，如果它提示需要重启系统，老老实实重启一次。eNSP 对虚拟网卡的依赖比一般软件深，驱动加载的时机不对，后面所有设备都会起不来。这一步省时间的最好办法就是听它的。
2.3 最小点亮实验：拖一台路由器到变绿
环境装好后，先跑一个最小实验验证整条链路是否正常。打开 eNSP，左上角菜单新建工程，工程名起一个英文名，不要用中文。左侧面板最上面一类是路由器，展开后能看到 AR2220、AR2240 等型号，把 AR2220 拖到右侧画布上，右键点击设备图标，选择“启动”。
设备启动是有过程的，仔细观察图标状态：从灰色到转圈，最后变成带绿圈的实心图标，表示虚拟机和 eNSP 面板之间完成了注册。这个过程第一次启动可能要一两分钟，CPU 会短暂爬升，属于正常现象。如果超过五分钟还在转圈，那就是环境有问题，要去 VirtualBox 里看对应镜像是否正常启动，这部分留到避坑章节细说。
设备变绿之后，双击图标进入命令行窗口。先敲两条命令确认设备本身是健康的：
display version display devicedisplay version 会打印 VRP 操作系统的版本号、系统启动时间和运行时长，这是判断设备是否真的起来了的最直接证据。display device 列出设备的单板类型和在线状态。两条命令都能正常回显，说明这台虚拟路由器从内核到管理面都正常。顺手试一下 Tab 键补全和问号帮助，输入 dis 按 Tab 自动补全成 display，输入 display 后跟空格再按问号，会列出该视图下的全部参数，这两个动作和真机完全一致。
3. 界面与设备模型：拖拽之前先弄清能模拟什么
3.1 设备选型对照：S3700、S5700、AR2220 各管一摊
打开 eNSP 左侧面板，设备远不止一种，不同型号对应真实产品线上的不同定位，选错了实验要么做不了，要么做了也不严谨。我在本地方案里最常用的有三种：AR2220 路由器、S3700 二层交换机、S5700 三层交换机。
| 设备类型 | 常见型号 | 典型用途 | 接口形态 |
|---|---|---|---|
| 路由器 | AR2220 | 三层路由、NAT、DHCP 服务 | GE 口 + Serial 串口 |
| 二层交换机 | S3700 | VLAN 隔离、Access/Trunk 链路 | 以 Ethernet 口为主 |
| 三层交换机 | S5700 | 跨 VLAN 路由、Vlanif 三层接口 | 以 GE 口为主 |
| 无线控制器 | AC6605 | 无线组网实验 | 独立管理口 + 业务口 |
| 防火墙 | USG6000V | 安全域策略验证 | 接口 + 安全区域绑定 |
选型的判断标准我一般这样定：只做纯二层 VLAN 隔离实验，S3700 就够，省内存，启动也快；涉及 Vlanif 三层接口、DHCP 中继这类需要路由功能的实验，必须换 S5700；只要出现跨网段通信、NAT 转换、OSPF/BGP 邻居建立，就默认拉 AR2220。一句话概括，交换机解决同一网络怎么分，路由器解决不同网络怎么通。
有一个真实产品线的细节值得留意。S3700 定位接入层的百兆交换机，物理接口是百兆口，不支持在接口下配 IP 地址；S5700 是千兆接入或汇聚交换机，支持 Vlanif 三层接口；AR2220 是集成多业务路由器，自带 WAN 口形态。如果你拿 S3700 去做跨 VLAN 路由实验，在接口下敲 ip address 命令完全不生效，不用怀疑敲错了，这是设备模型本身的边界。熟手选设备时习惯先问一句“这个实验的数据包要经过几层交换”，再决定用哪种设备。
防火墙 USG6000V 的配置面多了一层安全区域的概念。做安全域和策略验证时它很好用，但新手建议先把交换和路由跑顺再碰它，否则容易把域与接口的绑定关系漏掉，出现配置全对但流量不通的诡异现象。
3.2 连线不是画线：链路类型决定报文能不能到对端
设备拖到画布上之后，下一步是连线。在设备图标之间拖拽时，eNSP 会弹出一条菜单，里面列出几种连线类型：Copper、Fiber、Serial。很多新手直接选默认，结果接口状态起不来。至少要区分两类：交换机与 PC、交换机与交换机之间一般用 Copper 电口连接；路由器之间做 WAN 互联实验时才需要选 Serial，并且还要配链路层协议。
选完连接类型，连接会落到具体的物理接口上。以两台交换机互联为例，连接点要在接口上而不是设备中心，否则系统自动分配一个可能不对的接口。接口选错了，后面配 Trunk 时配到了别的口，链路自然跑不通。检查连线是否落在目标接口，把鼠标悬停在连线上，eNSP 会显示这条线连接的两个接口名。
连线状态也值得观察。连线拉好后，线身颜色会反映物理链路状态：灰色表示物理 down，绿色表示物理 up 且能正常协商。如果两端设备都启动了，线还是灰的，优先怀疑连接类型选错或接口没选对，而不是设备坏了。连好线之后，用下面这条命令看接口的物理状态和协议状态：
display interface brief回显里关注每个接口的 PHY 列和 Protocol 列。物理状态 up、协议状态也是 up，说明链路底层是通的。如果 PHY 是 down，最常见的两个原因是连线没接到目标接口，或者连接类型与接口类型不匹配。这条命令是排查一切 ping 不通问题的第一站，比盯着拓扑图猜效率高得多。
3.3 CLI 入口与配置保存形态：设备会“失忆”的机制
双击设备图标就能进入命令行，但命令行窗口的用法有一些约定。Ctrl+C 中断正在执行的命令或输出，Ctrl+Z 从任意子视图退回用户视图，方向键上下翻历史命令。这些快捷键与真机一致，日常操作中几乎离不开。
在 eNSP 里做完配置后，设备默认不会把配置写进持久化存储。所有变更都只存在于运行配置中，一旦设备重启或关闭工程，配置全部丢失。要保存配置，在设备命令行里执行：
save Ysave 命令会要求确认，输入 Y 回车，系统把当前运行配置写入存储介质。保存完成后，命令行会提示配置文件的名称和路径。对应的，设备重新启动时会加载这份 startup 配置文件，恢复到保存时的状态。
这里有一个高频踩坑点：在 eNSP 里关闭工程时，如果设备还在运行，直接关窗口就相当于给所有设备断电，没 save 的配置全部丢光。我自己的习惯是，每完成一个阶段性配置就敲一次 save，把保存当成实验动作的一部分，而不是最后才想起来的事。工程文件本身的保存是另外一回事，在左上角把工程另存为固定实验名，下次打开时拓扑结构还在，但设备的配置工况取决于你上次有没有 save。
另外，导出配置时最常用的命令是：
display current-configuration这个命令会把当前设备的全部配置按视图结构打印出来。想把配置搬到另一台设备上做实验，常见的做法是复制这份输出，粘贴到目标设备的系统视图下，eNSP 会逐行回放执行。注意粘贴前确保目标设备处于系统视图，否则部分全局配置会在错误视图下被拒。这个操作和真机上做配置迁移的思路一致。
4. 最小实验：用两台 PC 和一台 S5700 把 VLAN 隔离跑通
4.1 拓扑与规划：为什么选 S5700 而不是 S3700
做 VLAN 隔离实验，最省钱的做法是两台 PC 加一台二层交换机。但在 eNSP 里我通常选 S5700 而不是 S3700，原因有两个：第一，S5700 是三层交换机定位，后续如果要扩展 Vlanif 三层网关实验，不必重新搭环境；第二，S5700 的接口编号和真实设备更接近，习惯 GE 口之后写配置不容易搞混。
先把这个最小拓扑的规划定下来：
| 对象 | 配置项 | 值 |
|---|---|---|
| PC1 | IP 地址 / 掩码 | 192.168.10.1 / 24 |
| PC2 | IP 地址 / 掩码 | 192.168.20.1 / 24 |
| SW1 G0/0/1 | 接入 PC1，VLAN 10 | Access |
| SW1 G0/0/2 | 接入 PC2，VLAN 20 | Access |
| 实验预期 | PC1 与 PC2 互不可达 | VLAN 隔离生效 |
注意，PC 和交换机之间用的是普通电口连线，交换机默认所有接口属于 VLAN 1，此时两台 PC 在同一广播域，是可以互通的。实验目的就是通过 VLAN 划分把这种默认互通切断，再把同样的配置思路迁移到真实办公网的用户隔离场景中。PC 的 IP 地址在 eNSP 里不是用命令行配的，双击 PC 图标，在“基础配置”页签里直接填 IP 和掩码。填完要右键点击 PC 选择“启动”，很多新手配完 IP 忘了启动 PC，后面怎么 ping 都不通。
实验前还把两台 PC 的默认网关留空。这个环节的 PC 只是测试终端，不需要跨网段访问，网关字段填不填都不影响二层隔离的结果，但留空能让问题边界更干净。后面如果把 S5700 换成带 Vlanif 的组网，再去补网关配置。
4.2 配置命令逐条拆解：VLAN、Access、Trunk 的边界
进入交换机命令行，首先创建 VLAN 资源。S5700 默认只有 VLAN 1，其余 VLAN 需要手工创建。推荐的批量创建方式是：
system-view vlan batch 10 20 quitsystem-view 是华为设备进入系统视图的入口，只有在这个视图下才能做全局配置。vlan batch 10 20 是批量创建 VLAN 的命令，等价于分别执行 vlan 10 和 vlan 20，但少敲一次视图切换。如果只需要一个 VLAN，也可以直接 vlan 10 回车，进入 VLAN 视图后退出即可。批量创建在大规模划分 VLAN 时优势明显，一行命令能创建几十个 VLAN，后面做大型实验会经常用到。
VLAN 创建完成，接下来就是把物理接口划进对应 VLAN。接口视图下的配置直接影响报文转发行为，逐条执行：
interface g0/0/1 port link-type access port default vlan 10 quit interface g0/0/2 port link-type access port default vlan 20 quitport link-type access 把接口设置为 Access 模式，这种模式下接口只能属于一个 VLAN，对从 PC 进入的普通未打标报文，交换机在收到时会打上 default vlan 的标签。port default vlan 10 的作用就是指定这个默认 VLAN。PC1 发来的报文到 g0/0/1，被打上 VLAN 10 标签，PC2 发来的报文到 g0/0/2，被打上 VLAN 20 标签，同属一台交换机但二层没有转发关系，互不可达。
如果实验扩展成两台交换机，交换机之间的互联接口就要改配 Trunk。Trunk 口允许携带多个 VLAN 标签的报文通过，配置要点是指定允许哪些 VLAN 通过：
interface g0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quitport trunk allow-pass vlan 10 20 是必须的一行。默认情况下 Trunk 口只放行 VLAN 1，不加这条命令，VLAN 10 和 VLAN 20 的报文即使收到了也会被丢弃。很多人在两台交换机之间配了 Trunk，跨交换机的 VLAN 还是不通，大概率就是漏了这一句 allow-pass。
还有一个小细节。如果把接口先配了 port default vlan，再改 port link-type，后者的配置动作会重置前面的默认 VLAN 设置。配置顺序应该固定为“先设链路类型，再设默认 VLAN”，这两行写反了，接口会落到 VLAN 1 甚至报错，检查时一看 display port vlan 就能发现异常。
4.3 验证：不能只靠 ping 通不通下结论
配置完成后进入验证环节。在 PC1 上直接 ping PC2：
ping 192.168.20.1预期结果是请求超时，因为两台 PC 已经被 VLAN 隔离在不同的二层域中，PC1 发出的 ARP 请求到不了 PC2。这里有个细节：第一次 ping 时，eNSP 里的 PC 会先尝试 ARP 解析，如果超时请多 ping 几次再下结论，不要第一次不通就急着改配置。真实网络里同样的场景也要等 ARP 超时周期走完。
ping 的表现只是外在结果，关键要会读设备内部状态。用下面两条命令确认 VLAN 与接口的对应关系：
display vlandisplay vlan 列出设备上所有已创建的 VLAN，以及每个 VLAN 下分配的接口。重点看 VLAN 10 里是不是只有 g0/0/1，VLAN 20 里是不是只有 g0/0/2。如果有其他非预期接口出现在列表里，说明默认配置没有清干净，需要排查接口是否被意外放进了某个 VLAN。
再配合：
display port vlan这条命令按接口维度展示每个物理口的链路类型、默认 VLAN 和允许通过的 VLAN 列表。如果发现某个接口的默认 VLAN 是 1，说明配置没生效，要么选错了接口，要么配置顺序反了。遇到这种情况，重新按 Access 加 default vlan 的顺序配置一遍即可。验证实验是否成功，我的标准是两条命令的输出符合预期，外加 ping 结果符合业务逻辑，三者一致才能收工。
5. eNSP 排错避坑：安装失败、设备启动卡死与配置丢失
5.1 现象：设备一直停在“启动中”，CPU 飙到 100%
第一次在 eNSP 里点启动，设备图标转圈超过五分钟还没变绿，电脑风扇狂转，任务管理器里 VirtualBox 进程占了大半个 CPU。这是 eNSP 新手最容易遇见的翻车现场。
原因分两类。最常见的是宿主机开启了 Hyper-V 或内核隔离功能，和 VirtualBox 共存在同一台 Windows 上会冲突，虚拟设备无法正常获得硬件虚拟化资源。另一类是 VirtualBox 版本与 eNSP 不匹配，新版本 VirtualBox 调整了虚拟机格式，老 eNSP 识别不了。
解决方法是先关闭 Windows 的 Hyper-V 和内存完整性功能。控制面板里“启用或关闭 Windows 功能”中取消勾选 Hyper-V，再通过系统设置关闭内核隔离，重启后重试。如果还不行，把 eNSP 自带的 VirtualBox 卸载干净，换成官网下载页面推荐的配套版本，装完先单独打开 VirtualBox，确认它能正常启动任意一台虚拟机，再回头启动 eNSP 设备。顺序对了，这个问题基本一次解决。
5.2 现象：安装完成后 VirtualBox 报错，eNSP 打不开设备
安装流程明明走完了，但点击启动设备时弹出一个 VirtualBox 的错误对话框，提示创建虚拟机失败，eNSP 主界面也没反应。
这类报错的根源通常在安装阶段。杀毒软件在静默状态下拦截了 VirtualBox 的驱动注册，或者安装路径存在中文字符，导致组件路径识别异常。还有一个隐蔽原因是 eNSP 没有以管理员身份运行，VirtualBox 写入系统目录时权限不足。
我一般按顺序排查：先右键 eNSP 图标，以管理员身份运行一次；不行的话，把 VirtualBox 和 eNSP 都卸载干净，关掉杀毒软件实时监控，重新安装到纯英文目录；最后检查 Windows 服务里 VirtualBox 相关的服务是否启动。装过一次之后，这个坑基本不会再犯，但第一次遇到时很容易怀疑是设备镜像损坏，白白浪费时间重新下载。
5.3 现象：昨天配好的 VLAN 配置今天全没了
打开昨天保存的工程，拓扑还在，设备一启动，回到出厂状态，所有 VLAN、接口配置全部丢失，相当于白干一场。
原因是设备配置没有持久化。eNSP 的工程文件保存的是拓扑结构和设备摆放位置，它不会自动保存设备的命令行配置。设备配置只有执行 save 命令，才会写入虚拟磁盘中的 startup 配置文件。上次实验结束时直接关闭工程窗口，相当于拔掉了所有设备的电源，运行配置全部丢失。
解决方式分两步。设备层面，每个设备配置完成后执行 save 并按 Y 确认。工程层面，在上方工具栏保存工程文件时，养成把工程文件命名为“日期-实验名-版本”的习惯，比如 20250112-vlan-lab-v2。这样即使某台设备的配置丢了，还能从工程名大致知道当时做到哪一步。如果配置文本本身还有备份，恢复起来更快，直接粘贴进新设备即可。
5.4 现象：PC 的 IP 配了，同一网段却 ping 不通
拓扑非常简单，两台 PC 直连一台交换机，IP 也配好了，PC 也启动了，但互相 ping 的时候全是超时。很多新手在这里卡很久，开始怀疑模拟器坏了。
先确认 PC 是不是真的启动了。eNSP 里的 PC 和路由器一样，是需要点“启动”的独立组件，没启动之前，配置的 IP 不会实际加载到虚拟网卡上。其次，确认交换机的接口状态。直连场景下，交换机接口默认在 VLAN 1 且是 Access 模式，如果接口的物理状态是 down，检查连线是否正确接在接口上。
还有一个经常出现的隐性原因：真实主机的防火墙。如果你不是用 eNSP 自带的 PC，而是把真实操作系统接入仿真拓扑，Windows 防火墙会拦截 ping 的 ICMP 报文。遇到这种情况，去真实主机的防火墙里放行 ICMP 或直接关闭当前的网络配置文件类型，再测就通了。仿真模型的边界就在这里，eNSP 自带的设备没有复杂防火墙逻辑，真实系统会有。
5.5 现象：抓包按钮是灰的，点一下没有任何反应
需要看报文交互过程，选中链路后想点抓包，结果按钮是灰的，或者在链路右键弹出的菜单里找不到可用的抓包入口。
这和安装阶段的组件缺失直接相关。eNSP 调用抓包时依赖 Wireshark 的底层抓包库，如果安装 eNSP 时没有先装 Wireshark 或 Npcap，之后又卸载过抓包工具，eNSP 就找不到抓包引擎，界面按钮自然置灰。
解决方法是打开 eNSP 菜单栏的“工具 → 选项”，在 Wireshark 相关配置里检查可执行文件路径是否正确。如果路径空着或指向不存在的文件，手动指向 Wireshark 的安装目录后重启 eNSP。路径没问题还不行，就重新安装一次 Wireshark，安装过程中务必勾选 Npcap 组件。抓包功能恢复后，链路右键菜单就能正常出包了。
6. 进阶玩法：用 eNSP 做抓包验证与服务端模拟
6.1 用 Wireshark 联动抓 DHCP 四个报文
eNSP 的抓包功能值得用好。把某台 PC 改成 DHCP 模式，在交换机接口上开启抓包，然后让 PC 重新获取 IP，就能看到一个完整的 DHCP 交互过程：Discover、Offer、Request、ACK。抓包不在于数量多，而在于能看清真实时序。抓包前先清空过滤条件，抓完后在 Wireshark 里输入 dhcp 作为过滤表达式。看报文时不要只盯源目 IP，重点看每个报文里的 Option 字段，比如 Discover 报文里的请求参数列表、Offer 报文里的地址分配状态。这一套看下来，对 DHCP 的理解会比死记端口号牢固得多。
6.2 用 Cloud 设备把仿真网络接到真机
eNSP 左侧面板里有一类 Cloud 设备，作用是打通仿真网络和真实物理网卡。常见做法是把 Cloud 绑定到本机的某个网卡，再和路由器的一个接口相连，让模拟设备有机会访问真实网络设备。这个方案能跑通，但有两个边界要知道。第一，Cloud 设备需要管理员权限去操作宿主机网卡，启动时弹出的权限提示别跳过。第二，绑定物理网卡后，仿真报文会直接进入宿主机的真实网络，操作不当会影响本机网络连接，实验完记得把 Cloud 从拓扑里删掉。这个话题展开可以单独写一篇，核心是理解 Cloud 是一个网桥入口，而不是一个设备。
6.3 一个让我少走弯路的习惯：按设备归档配置
最后分享一个个人习惯。每个实验做完，我不只保存工程文件，还会把每台设备的完整配置通过 display current-configuration 导出，单独归档。命名规则是“实验名-设备名-配置时间”，比如 vlan-lab-SW1-20250112.cfg。这样做的原因很实际：eNSP 的工程文件可能因为版本升级打不开，但文本形式的配置文件永远能打开。配合前面说的 save 命令，这套习惯让我的实验记录没有丢过一次。配置归档不只是备份，它本身就是在锻炼梳理配置结构的能力——当你需要把一台设备的几百行配置拆成接口、VLAN、路由三块来看时，对配置的理解深度和照着敲一遍完全不同。希望这些经验对你有帮助，祝你的 eNSP 实验一路绿灯。
本文还有配套的精品资源，点击获取
