说实话，校园网这个题目我做了不止一遍。第一版是为了练手，直接在ENSP里拖了几台设备，想当然把网关全都堆在核心交换机上，结果核心压力大、VLAN间访问要走一大圈，后面一加无线和访客隔离就乱套了。后来按真正园区网的交付思路重新拆成核心、汇聚、接入三层，配合VRRP、OSPF、DHCP服务、链路聚合那一套，整个拓扑再看就顺多了。这篇就把完整的设计思路、设备选型、配置命令和排错过程一起放出来，适合正在做网络工程课程设计、准备数通认证实验，或者要给真实园区网做技术方案的朋友参考。
1. 先从需求倒推拓扑：三层架构在校园网里到底怎么落地
1.1 校园网的需求画像与分层逻辑
校园网比普通企业网麻烦的地方在于：业务类型太多，而且相互之间既要隔离又要互通。办公室要访问财务系统，教学楼要做多媒体教学，图书馆要开放公共检索，宿舍区要限制端口数量，访客网络又不能碰内网资源。如果只是一台交换机把所有人堆在一个广播域里，DHCP请求满天飞、ARP表爆炸、环路风险极高，任何一次小故障都可能拖垮整个网络。
所以园区网设计的第一原则不是“把设备连起来”，而是“把故障域切小”。三层架构就是把网络纵向切开：
- 接入层：用户实际接入的位置，负责终端的物理接入、VLAN划分、端口安全，尽量不做复杂路由。
- 汇聚层：接入层流量的汇聚点，同时是网关所在地，负责VLAN间路由、DHCP服务、访问控制策略，把大量接入层设备收敛到少数几条上联链路。
- 核心层：整网高速转发通道，只做路由和转发，不在核心上挂太多终端业务，避免不必要的处理负担。
从转发路径看，终端—接入—汇聚—核心—出口，每一条流量都有清晰路径；从故障隔离看，接入设备故障只影响一个区域，汇聚故障只影响一个楼栋或片区，核心故障才波及全网。
我见过很多初学者把三层架构画成三排设备竖着放，但接入层和汇聚层之间的关系不是简单堆叠，而是按“区域”归并。一个宿舍区、一栋教学楼、一片办公楼，各自有独立的汇聚节点，接入交换机再分别挂到对应汇聚下。这样设计的好处是后续加设备、改策略都不用动核心。
1.2 接入层为什么是后面最容易返工的地方
真正做过维护的人都知道，网络故障大多数出在接入层。原因很简单：接入层直接面对终端用户，用户用什么设备、插什么线、开什么服务，全不可控。今天有人私接一个小路由器，明天有人开了一个DHCP服务，后天某个办公室发现网线插上去灯都不亮——这些问题如果在设计阶段没有约束，后期排查成本会非常高。
接入层的核心职责有三块：一是把不同业务隔离开，通过VLAN划分广播域；二是把每个终端的接入行为控制住，比如限制端口学习到的MAC数量、开启环路保护；三是保证上联链路的稳定，把多台接入交换机可靠地连到汇聚层。
在设计阶段要提前问自己几个问题：每个接入端口跑什么业务？端口下接的是电脑、打印机还是AP？要不要支持PoE供电？上联带宽够不够？如果一开始就明确这些，后面配置就不会出现“VLAN配了但PVID不对”“端口放通了但被环路保护阻断”这类基础错误。
2. ENSP环境准备与设备选型：我踩过的版本和兼容性坑
2.1 ENSP安装与常用设备能力边界
很多人在ENSP上卡住不是因为不会配命令，而是因为设备根本起不来。ENSP依赖VirtualBox做底层虚拟化，设备能否正常启动、抓包能不能用，很大程度取决于你的安装环境。
我的经验是：安装ENSP时尽量避免使用过新的VirtualBox版本，历史上试过VirtualBox新版本和ENSP自带设备镜像的兼容性问题，反而稳定版本省心。另外，安装路径不要带中文，Windows用户名也尽量别用中文，否则设备文件路径解析容易出问题。ENSP安装完后第一次打开，建议先用默认模板启动一台AR路由器，确认设备能正常启动再开始建拓扑。
设备选型方面，ENSP自带的设备分为几个档次，我在做校园网实验时的主要选择如下：
| 层次 | 推荐设备 | 能力边界 |
|---|---|---|
| 出口 | AR2220/AR3260 | 支持NAT、路由、DHCP，适合模拟运营商接入 |
| 核心 | CE6800 | 支持大表项、VXLAN、OSPF等，适合承载核心路由转发 |
| 汇聚 | S5700 | 支持三层VLANif、VRRP、OSPF，适合做网关和策略控制 |
| 接入 | S5700-LI | 二层交换为主，支持VLAN、Trunk、端口安全，配置轻量 |
要注意的是，S3700这类老设备在模拟器里功能比较有限，某些三层命令和DHCP特性支持不完整。如果实验里需要汇聚层同时跑VRRP和DHCP，建议直接选S5700，不要为了省那点资源去用低端型号。
2.2 错误40、错误43的排查链路
用ENSP时最常见的两件事：一是设备启动失败，错误代码40；二是启动过程中提示虚拟机初始化失败，错误代码43。这两个问题我在不同电脑上都遇到过，表现不一样，但根子都在虚拟化环境上。
错误40的典型场景是AR设备启动失败。排查链路是：先确认CPU虚拟化是否开启，到BIOS里检查VT-x/AMD-V是否被禁用；再检查是否启用了Windows自带的Hyper-V和虚拟机监控程序。这两者和VirtualBox默认冲突，装上之后ENSP的AR完全起不来。我的处理思路是，在做ENSP实验的电脑上，把Windows功能里的“Hyper-V”、“虚拟机平台”关掉，只保留VirtualBox相关服务，然后重启电脑。
错误43则更多是运行时问题，常见原因是VirtualBox服务没启动、内存不够、设备镜像残留状态异常。处理方式比较直接：关闭ENSP和VirtualBox，查看任务管理器里有没有残留的虚拟化进程，清理掉；然后删除对应设备的Base镜像缓存，重新注册。这一步在ENSP的菜单里有“重置”相关操作，我习惯是把整个实验拓扑关闭后重新导入工程文件，启动前检查右下角VirtualBox托盘图标是否正常。
如果你用的电脑启用了WSL2，也要特别注意。WSL2默认会占用虚拟化平台，和ENSP共存时容易出现设备启动慢、偶尔失败的情况。有条件的话，在需要跑ENSP的时候临时切换WSL虚拟化配置，或者换一台不影响日常开发的机器专门跑模拟器，是更省心的做法。
2.3 拓扑规划与链路带宽设计
拓扑图不是画得越复杂越好。校园网实验项目的重点是把层级关系说清楚，每一条链路都有明确用途。我的规划是这样的：两台汇聚交换机分别负责A区、B区，核心交换机双机做跨区互通，出口路由器上联模拟运营商，内部跑OSPF。接入部分按VLAN划分，每个区域的接入交换机用Trunk上联到本区域汇聚。
链路带宽设计上，接入交换机到汇聚之间用GE链路两两捆绑比较好，一方面增加带宽，另一方面链路聚合本身有冗余效果，一根线断了业务不中断。汇聚到核心之间同理，用Eth-Trunk把两条GE捆起来。很多人会忽略链路的“收敛比”，实际做项目时，接入侧带宽总和往往远大于上联带宽，所以哪条链路放业务、哪条链路做备份，要在拓扑设计阶段就标清楚，不要等配完才发现核心到汇聚之间只有一根线，单点故障直接瘫痪一整片。
3. VLAN划分与接入层配置：广播隔离的第一道防线
3.1 VLAN规划表怎么定才不留坑
VLAN规划是整个网络设计的灵魂，一个好的规划表应该能直接指导配置，而不是配到一半才发现地址冲突。我常用的原则是：管理VLAN、业务VLAN、互联VLAN、无线专用VLAN分开，段位设计和IP网段一一对应，方便后续维护。
以一套中等规模校园网为例，VLAN规划如下：
| VLAN ID | 用途 | 网段 | 网关 |
|---|---|---|---|
| 10 | 设备管理 | 192.168.10.0/24 | 192.168.10.254 |
| 20 | 办公区 | 172.16.20.0/24 | 172.16.20.254 |
| 30 | 教学区 | 172.16.30.0/24 | 172.16.30.254 |
| 40 | 宿舍区 | 172.16.40.0/24 | 172.16.40.254 |
| 50 | 无线接入 | 172.16.50.0/24 | 172.16.50.254 |
| 99 | 设备互联 | 10.0.255.0/24 | 不设网关 |
这个表里的信息量很大。首先，管理VLAN单独拿出来，避免设备管理地址和用户业务混在一起，后续远程管理交换机、做SNMP网管都方便。其次，每一个业务VLAN的网关地址统一是.254结尾，规律性强，不管谁接手都能快速记住。最后，互联VLAN专门留给设备之间的三层链路，不承载用户流量，减少路由表噪声。
VLAN ID号也不建议乱跳。接入设备只有几十台的时候，20、30、40、50看起来宽松，但一旦超过几百台设备，一个连续的ID规划比东一个西一个要好管理得多。
3.2 接入交换机完整配置脚本
接入交换机的配置核心是：下行端口划分到指定业务VLAN，上行端口以Trunk形式放通所有业务VLAN，并加上二层防护。在ENSP里，S5700的配置逻辑和真实设备基本一致，这一段可以直接复用。
# 创建业务VLAN vlan batch 10 20 30 40 50 # 面向终端的接入端口：按实际位置划入对应VLAN interface Ethernet0/0/1 port link-type access port default vlan 20 storm-control broadcast enable loopback-detect enable interface Ethernet0/0/2 port link-type access port default vlan 30 storm-control broadcast enable loopback-detect enable # 上联汇聚的Trunk端口 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50这里有两个细节需要注意。第一，接入端口上我开了广播风暴抑制和环路检测，虽然是模拟器里的功能，但真实场景里这两个命令能救命的。广播风暴往往是一台故障终端不停发广播包引起的，不做抑制的话整个上联口都会被打满。第二，Trunk端口不要放通不必要的VLAN，尤其是管理VLAN 10。管理VLAN只允许从汇聚的下联口走，接入端口全放通的话，任何一台终端都有可能在不知情情况下接触到管理VLAN的广播报文。
接入层还有一个常被忽略的点：端口的PVID。如果接入端口下接的是一个带VLAN Tag的二层设备（比如下级交换机或AP），就不能简单用access模式，需要用Trunk并指定PVID为业务VLAN。
interface Ethernet0/0/3 port link-type trunk port trunk pvid vlan 50 port trunk allow-pass vlan 50上面这段在接入AP的场景很实用：AP上行的业务报文是打Tag的，Trunk的PVID设为无线VLAN，AP管理的流量和业务流量就能正确分流。
3.3 接入层最容易忽略的三件事
第一件事是二层环路。真实校园网里，总会有人把一根网线同时插到两个交换机的普通口上，形成环路。交换机默认开了STP的话能兜底，但收敛时间可能造成几十秒的中断。我建议在接入交换机的下联口上开启边缘端口特性，并开启BPDU保护，这样一旦有终端试图发BPDU报文，端口会被直接Shutdown而不是让整个网络去重新计算拓扑。
interface Ethernet0/0/1 stp edged-port enable stp bpdu-protection enable第二件事是端口安全的粒度。宿舍区这种环境，一个端口下可能换来换去好几台设备，如果MAC学习上限设得太严，合法设备也会被锁死。我一般把宿舍端口设成动态学习4个MAC，办公区设成2个，教室多媒体设备区设成1个，按场景差异化配置比一刀切更贴合实际。
第三件事是管理VLAN不能丢。接入交换机自己是需要远程管理的，管理VLAN的网段要提前规划好，接入交换机的管理地址可以用静态配置，也可以用DHCP预留。实际交付时我倾向把所有网络设备管理地址做成静态，防止地址漂移导致网管平台IP对不上设备。
4. 汇聚与核心的互联设计：三层路由与网关冗余
4.1 网关放在汇聚还是核心：方案取舍
网关放在哪一层，是校园网设计里最有争议的问题之一。把网关放在汇聚层的好处是：故障域变小，一个汇聚节点只管自己区域内的VLAN间流量，这些流量不必上到核心，就可以在本地完成转发。但代价是汇聚设备需要承担三层处理能力和路由功能。
把网关放在核心层则可以用更少的设备集中处理VLAN间路由，适合大型网络，因为核心设备的转发性能足够强。但对实验项目来说，核心网关的缺点是每一条VLAN间流量都贯穿核心，核心一旦出问题，全网业务全断；而且汇聚层就退化成纯二层设备，没有VRRP场景可做，实验内容也会少很多。
我最终采用网关在汇聚层的方案：两台汇聚交换机各自做部分VLAN的主网关，同时用VRRP互为备份，这样既保证了冗余性，又能分摊网关压力。核心层只做路由转发的“中转站”，不挂任何终端VLAN网关。
4.2 VRRP与链路聚合配置实例
先看汇聚层的冗余网关配置。假设两台汇聚交换机汇聚A和汇聚B，下面以VLAN 20的网关为例：
汇聚A上：
interface Vlanif20 ip address 172.16.20.252 255.255.255.0 vrrp vrid 1 virtual-ip 172.16.20.254 vrrp vrid 1 priority 120 vrrp vrid 1 preempt-mode timer delay 10 dhcp select global汇聚B上：
interface Vlanif20 ip address 172.16.20.253 255.255.255.0 vrrp vrid 1 virtual-ip 172.16.20.254 vrrp vrid 1 priority 100 dhcp select globalVRRP的关键点在于：两台汇聚都配置相同的虚拟IP 172.16.20.254，主设备优先级120，备用设备优先级100，抢占模式开启后主设备恢复会自动夺回业务。我在实际配置时会把抢占延时设成一个较小的值，比如10秒，避免主设备刚重启又立刻抢占导致网络抖动。
接口的物理地址要注意，Vlanif20作为VRRP成员接口，两台设备的IP必须不同，虚拟IP是全网的网关。如果不小心把两台设备的实IP配成同一个，VRRP会直接冲突，终端设备会出现网关一会通一会不通的情况。
汇聚到核心的上联链路同样要做冗余。我习惯用Eth-Trunk把两条物理链路捆在一起，既增加带宽又提供物理层冗余：
汇聚A上：
interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 interface GigabitEthernet0/0/0 eth-trunk 1 interface GigabitEthernet0/0/1 eth-trunk 1核心设备上同样创建Eth-Trunk，成员口对应接到汇聚的两条线。链路聚合做完之后，任意一根物理线断开，业务完全无感知。
4.3 路由协议与DHCP中继的协同
网关放在汇聚后，核心和汇聚之间必须有三层路由。规模不大的园区网，我建议直接跑OSPF单区域，路由收敛快，配置也清晰。汇聚A和汇聚B作为区域内的路由器，核心作为骨干，出口路由器也一并加入OSPF区域，学到的缺省路由从出口下发。
核心到汇聚的接口配置示例：
interface GigabitEthernet0/0/0 description to-convergeA ip address 10.0.255.1 255.255.255.248 interface GigabitEthernet0/0/1 description to-convergeB ip address 10.0.255.9 255.255.255.248汇聚侧除了互联地址，还需要宣告自己的业务网段。比如汇聚A上：
ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 10.0.255.0 0.0.0.7 network 172.16.20.0 0.0.0.255DHCP的实现有两种方式：如果网关在汇聚上，可以直接在汇聚上开启DHCP服务，地址池就挂在对应VLANif下，不需要中继。实际配置如下：
dhcp enable ip pool office network 172.16.20.0 mask 255.255.255.0 gateway-list 172.16.20.254 dns-list 8.8.8.8 114.114.114.114 interface Vlanif20 dhcp select global这种做法的优点是终端从DHCP获取地址的整个过程不经过核心，故障排查时只看本区域设备即可。如果以后网络规模变大，网关上收核心层，那再把DHCP改成中继模式：汇聚上提供IP Helper地址，指向核心的DHCP服务器或直接让核心做DHCP Server，逻辑上是一样的，只是报文走向多了核心这一段。
5. 完整项目配置速查：从接入到出口的核心脚本解读
5.1 出口路由器和核心交换机的配置要点
出口路由器承担的是全网和外部通信的边界职责。模拟器里，AR2220出口上联一台Cloud或另一台AR设备充当运营商，需要配置NAT、默认路由和必要的ACL。校园网一般有多个内网网段，NAT要放通所有内网地址。
AR出口侧的核心配置：
acl number 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 172.16.0.0 0.0.255.255 interface GigabitEthernet0/0/1 ip address 202.100.1.2 255.255.255.252 nat outbound 2000 interface GigabitEthernet0/0/0 ip address 10.0.255.18 255.255.255.248 ip route-static 0.0.0.0 0.0.0.0 202.100.1.1 ip route-static 172.16.0.0 255.255.0.0 10.0.255.17这里有一个很常见的思路问题：为什么在出口路由器上既要配默认路由，又要配指向核心内部的静态路由？因为内网数据包到达出口后，如果要访问的内网地址被NAT匹配到，发现目的地址还是内网网段，就会查路由表，结果走了默认路由发出去，包就丢了。所以在出口上需要一条明细路由告诉它“内网段往回走核心”。
核心交换机在方案里主要是路由汇聚的角色，配置相对简单。把互联接口配好IP，加入OSPF区域即可。要注意的是核心层不要错误配置VRRP或者其他终端网关，否则会和汇聚的VRRP抢网关，造成路由黑洞。
5.2 一套可直接修改的小型校园网配置模板
我来给出一套最简可跑的配置模板，读者可以直接照着改IP。设备角色从接入、汇聚、核心到出口一一对应。接入层配置在前面章节已经给了，这里重点看汇聚和核心的完整串法。
汇聚A完整配置思路：
sysname ConvergeA vlan batch 10 20 30 40 50 interface Vlanif10 ip address 192.168.10.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120 interface Vlanif20 ip address 172.16.20.252 255.255.255.0 vrrp vrid 1 virtual-ip 172.16.20.254 vrrp vrid 1 priority 120 interface Vlanif30 ip address 172.16.30.252 255.255.255.0 vrrp vrid 2 virtual-ip 172.16.30.254 vrrp vrid 2 priority 120 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 interface GigabitEthernet0/0/0 eth-trunk 1 interface GigabitEthernet0/0/1 eth-trunk 1 interface GigabitEthernet0/0/2 ip address 10.0.255.2 255.255.255.248 dhcp enable ip pool office network 172.16.20.0 mask 255.255.255.0 gateway-list 172.16.20.254 dns-list 8.8.8.8 114.114.114.114 ip pool teaching network 172.16.30.0 mask 255.255.255.0 gateway-list 172.16.30.254 dns-list 8.8.8.8 114.114.114.114 interface Vlanif20 dhcp select global interface Vlanif30 dhcp select global ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 10.0.255.0 0.0.0.7 network 172.16.20.0 0.0.0.255 network 172.16.30.0 0.0.0.255 network 192.168.10.0 0.0.0.255核心交换机配置思路：
sysname Core interface GigabitEthernet0/0/0 ip address 10.0.255.1 255.255.255.248 interface GigabitEthernet0/0/1 ip address 10.0.255.9 255.255.255.248 interface GigabitEthernet0/0/2 ip address 10.0.255.17 255.255.255.248 ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.255.0 0.0.0.7 network 10.0.255.8 0.0.0.7 network 10.0.255.16 0.0.0.7这套模板的特点是：汇聚A做了VLAN20的活跃网关，汇聚B同样配置但优先级较低；汇聚A和汇聚B都运行OSPF，核心只收路由不下发网关；出口路由器NAT把内网全部放通出去。实际项目中，只需要把IP段替换成自己的规划，再按各区域调整VLAN号即可。
5.3 验证命令与故障模拟点
配置完不是结束，得验证。我习惯按下面的顺序逐步排查：
# 验证二层连通性 display vlan summary display port vlan # 验证VRRP主备状态 display vrrp brief # 验证路由是否学习完整 display ospf peer brief display ip routing-table # 验证终端地址获取 display dhcp server statistics # 从核心ping网关和业务地址 ping -a 10.0.255.1 172.16.20.254如果发现终端获取不到IP，优先看汇聚交换机上有没有配置dhcp select global，再查Trunk端口是否放通了对应VLAN。如果跨VLAN的ping不通，检查OSPF宣告网段是否覆盖完整，注意OSPF宣告的是接口所在网段，而不是VLANif的整个业务网段，少一条宣告就会造成路由缺失。
做故障模拟实验时，我喜欢在验证阶段故意做两个动作：一是直接关闭汇聚A的Eth-Trunk口，看VRRP是否把网关切换到汇聚B；二是断开汇聚A到核心的某条物理链路，看路由表在秒级内是否完成切换。这两个动作做完，整套冗余设计才算真正验证通过。
6. 交付文档怎么组织才叫“完整配置”：工程文件、文档与讲解的整理思路
6.1 项目交付清单与文档结构
说到“完整配置”，很多人的理解就是一堆配置文件打包扔给别人，结果对方拿到手根本跑不起来，因为缺了拓扑、缺了IP规划、缺了验证说明。一个合格的交付包，应该让另一个人照着做就能把网络完整复现出来。我习惯把交付内容按下面几部分组织：
| 目录 | 内容 | 作用 |
|---|---|---|
| topo | ENSP工程文件 | 可直接打开的完整拓扑，包含所有设备配置 |
| docs | 设计文档 | 需求分析、IP规划表、VLAN规划表、拓扑说明 |
| config | 分设备配置文件 | 按接入、汇聚、核心、出口拆分的完整配置 |
| test | 验证记录 | 连通性测试、冗余测试、性能测试的截图和结果说明 |
| ppt | 讲解演示 | 汇报答辩或教学演示用的思路大纲 |
设计文档里最核心的是IP规划表和VLAN规划表，一定不要只写“VLAN20是办公”，要把地址段、网关、主备汇聚的地址、管理地址全部列出来，甚至备注好谁是VRRP主设备。配置文件可以按设备名命名，比如ConvergeA_cfg.txt、Core_cfg.txt，每个文件顶部写清楚设备角色和接入拓扑位置，别人看的时候不用到处问。
测试记录也很关键。我每个项目收尾都会做一张大的测试矩阵：终端A到终端B、跨VLAN访问、VLAN隔离、链路聚合断线、VRRP切换、NAT出去后的连通性，把每项测试的预期结果和实际结果填进去。这张表不仅是给评审看的，也是对设计思路的二次校验，很多潜在问题就是填这张表时发现的。
6.2 讲解演示的思路与常见误区
交付包里如果有讲解视频或PPT，讲解逻辑不要从“我配置了什么命令”开始，要从“网络面临什么问题，所以我怎么设计”开始。好的讲解顺序是：先讲业务需求，再讲拓扑分层，然后讲VLAN和IP规划，最后才是关键配置演示。上来就敲命令，听众很容易失去主线。
演示配置时有一个常见误区：很多人在ENSP里把每一行命令都现场敲一遍，遇到设备启动失败或者某条命令敲错，现场氛围就很尴尬。我的做法是：重要的配置片段提前在真实设备或模拟器里跑通，讲解时只演示核心步骤，比如VRRP切换、DHCP分发、跨VLAN互访，给观众看结果，而不是看过程。讲解的时候多用display命令的输出说话，比嘴里解释半天更有说服力。
6.3 我个人的交付经验
做这类校园网项目，我最深的体会是：真正的难点从来不是某一条命令怎么敲，而是整个方案在不同场景下怎么取舍。网关放汇聚还是放核心、OSPF宣告范围怎么定、管理VLAN要不要放通到接入层，这些问题没有一个标准答案，只能根据网络规模、设备性能、维护习惯去权衡。
另外，ENSP终究是模拟器，它能帮你验证逻辑，但不等同于真实网络。真实设备上的端口状态、光模块、PoE供电、设备CPU占用，都是模拟器无法覆盖的。如果你做完实验准备在真实环境落地，一定要把模拟器里最顺手的“命令”翻译成“方案”，再根据现场设备型号和版本做适配，不要直接拿模拟器配置文件往真设备上贴。这个习惯我建议所有初学者早一点养成，后面会少踩很多坑。
