从零开始搭一个HCIA/HCIP综合实验，很多人第一反应是“单个知识点我都会，凑到一起就崩”。这话我听过无数遍。单独练VLAN没问题，单独练OSPF也没问题，但当你面前同时摆着Trunk、STP、DHCP、PPP认证、缺省路由、NAT、ACL，还要让路由器、交换机、服务器协同跑通的时候，真正的网络思维才开始建立。用eNSP把这套拓扑完整做一遍，比背三十道题库都有用。
这篇文章我就按我自己的实验习惯，从拓扑设计、IP规划，到交换、路由、安全策略逐层拆开讲，最后附上我踩过的一些典型坑。整个过程全部基于eNSP模拟器，适合正在备考HCIA/HCIP的人，也适合刚入行的网络工程师拿来练手。
1. 综合实验的拓扑设计与需求拆解
1.1 为什么要做综合实验
HCIA阶段的知识点往往是分散的：VLAN一章、路由一章、安全一章。但真实网络从来不是按章节运行的。一个办公网的流量要经历“PC发起请求 → 接入交换机打VLAN标签 → 汇聚交换机做网关和DHCP → 路由器跑动态路由 → 出口做NAT → 到达服务器”，每一层都依赖上一层的正确性。综合实验的价值，就是把这些依赖关系摆到台面上。
eNSP作为模拟器，最大的好处是成本为零、随便折腾、重置方便。坏处是很多细节需要手动模拟真实环境，比如串口链路要加接口卡、DHCP要手动开启服务、服务器要勾选HTTP服务。这些细节恰恰是考试和面试里最容易被追问的地方。
1.2 实验拓扑与业务分工
我这次设计的拓扑是三台交换机加三台路由器加一台服务器，再加四台PC。交换机完成二层转发和网关功能，路由器之间跑路由协议，服务器放在出口侧模拟ISP侧业务。具体分工如下：
- SW1、SW2是接入层交换机，下挂PC，分别属于VLAN10和VLAN20。
- SW3是汇聚三层交换机，承担VLAN网关、DHCP服务，同时和R1建立OSPF邻居。
- R1、R2、R3组成骨干网络，R1到R2之间跑PPP链路并启用CHAP认证，R2到R3跑以太链路。
- R3连接Server1模拟服务器区，同时作为出口设备下发缺省路由并做NAT。
- SW1和SW2之间加一条Trunk链路，让二层存在物理环路，方便观察STP的阻塞效果。
这套拓扑的巧妙之处在于：二层技术全集中在交换机侧，三层路由全集中在路由器侧，安全策略放在边界设备上，每一层的验证边界非常清晰。出现问题时，你很容易判断是二层问题还是三层问题。
1.3 IP地址与VLAN规划
先做规划再做配置，这是综合实验最重要的一步。我习惯先把表格画出来，再动手敲命令。
| 设备/接口 | 所属VLAN/网段 | IP地址 | 说明 |
|---|---|---|---|
| PC1/PC3 | VLAN10 | 192.168.10.10 / .11 | 办公区终端 |
| PC2/PC4 | VLAN20 | 192.168.20.10 / .11 | 访客区终端 |
| SW3 Vlanif10 | VLAN10 | 192.168.10.1/24 | VLAN10网关，DHCP网关 |
| SW3 Vlanif20 | VLAN20 | 192.168.20.1/24 | VLAN20网关，DHCP网关 |
| SW3 - R1互联 | — | 10.0.13.1/30、10.0.13.2/30 | 三层互联 |
| R1 - R2 PPP | — | 10.0.12.1/30、10.0.12.2/30 | PPP + CHAP认证链路 |
| R2 - R3互联 | — | 10.0.23.1/30、10.0.23.2/30 | 以太互联 |
| R3 - Server1 | — | 10.0.1.1/24、10.0.1.10/24 | 服务器区 |
| Loopback | — | 1.1.1.1 ~ 4.4.4.4 | 用于OSPF Router-ID |
VLAN划分上，VLAN10走办公业务，VLAN20走访客流量，二者在网关处隔离。整个内网使用私网地址，出口只有R3一个点，NAT和ACL都集中在这里。地址规划的原则很简单：互联地址一律用30位掩码，终端网段用24位掩码，将来扩展也方便。
2. 交换部分：VLAN、Trunk、STP与DHCP
2.1 VLAN创建与Trunk链路配置
接入交换机SW1和SW2分别连接四台PC。PC1和PC3在VLAN10，PC2和PC4在VLAN20。在SW1上先创建VLAN，再把连接PC的接口划到对应VLAN里：
system-view sysname SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20SW2的配置完全一样，只是接口编号不同。接入交换机上联汇聚交换机SW3的接口必须配置为Trunk，否则VLAN信息过不去：
interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 10 20这里有一个很容易被忽略的点：Trunk端口默认允许VLAN1通过，但如果没有特殊需求，我建议明确写出允许列表，不要让无关VLAN在Trunk链路上传播。缩小广播域对STP收敛和安全性都有好处。
SW3是汇聚层，既要和SW1、SW2建立Trunk，又要创建VLANIF接口作为网关。SW3的Trunk配置和接入交换机一样，但多了一步创建VLANIF：
interface Vlanif10 ip address 192.168.10.1 255.255.255.0 interface Vlanif20 ip address 192.168.20.1 255.255.255.0这时候可以先做一个连通性测试：PC1如果手动配置192.168.10.10/24和网关192.168.10.1，就能ping通PC3，因为它们在同一个VLAN和网段。
2.2 STP防环与根桥设置
为了让STP真正发挥作用，我在SW1和SW2之间加了一条Trunk链路。这样一来，SW1、SW2、SW3之间构成了二层环路。如果不启用STP，广播帧会在环路里无限复制，瞬间打满交换机CPU。
eNSP默认已经启用了STP，但为了实验效果，我通常会把模式切到STP或RSTP，并显式指定根桥。SW3作为汇聚层，天然适合做根桥：
stp mode stp stp root primarySW1和SW2保持默认优先级即可。配置完成后，用下面的命令观察端口角色：
display stp brief正常情况下，SW1和SW2的上联口是Root端口，状态为Forwarding，而SW1和SW2之间的那条链路总有一端会被阻塞，端口角色是Alternate，状态是Discarding。这就是STP自动计算的结果。
需要注意一点：eNSP里如果只是把SW1、SW2上联SW3，没有加SW1到SW2的链路，那本身就是树形结构，根本没有环路，STP不会阻塞任何端口。很多初学者做完实验发现所有端口都是Forwarding，就以为STP没生效，其实是拓扑里根本没有环。
2.3 DHCP服务与网关设计
内网PC数量一多，手动配IP就是灾难。所以这个实验里我让SW3同时承担DHCP服务器的角色。先开启DHCP服务，再建立全局地址池：
dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 192.168.10.2 ip pool vlan20 network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 192.168.10.2然后在VLANIF接口下调用全局地址池：
interface Vlanif10 dhcp select global interface Vlanif20 dhcp select global我选择全局地址池而不是接口地址池，原因很简单：全局地址池的配置集中，便于维护和扩展；接口地址池虽然配置更简单，但每个网段都要单独写一遍网关参数，地址多的时候容易漏。DHCP协议本身是基于广播的，所以在PC和DHCP服务器必须在同一个广播域内。这个实验把网关和DHCP都放在SW3上，最省事；如果网关和DHCP不在同一个三层设备上，就需要配置DHCP中继，那是另一个常见考点。
配置完以后，PC改成自动获取IP，用ipconfig /renew重新获取，再用ipconfig /all确认拿到了192.168.10.x网段的地址。
3. 路由部分：OSPF、PPP与缺省路由
3.1 OSPF骨干区域设计与Router-ID规划
三层设备的互联地址用的是30位掩码，在OSPF里对应的反掩码是0.0.0.3。这个实验规模不大，我就用单区域0，避免多区域带来的区域间路由过滤问题。先给每台设备规划稳定的Router-ID，推荐用Loopback接口地址，比接口IP更稳定。
SW3上的OSPF配置：
ospf 1 router-id 3.3.3.3 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 10.0.13.0 0.0.0.3R1上的OSPF配置：
ospf 1 router-id 1.1.1.1 area 0 network 10.0.13.0 0.0.0.3 network 10.0.12.0 0.0.0.3R2和R3类似，把各自的互联网段都宣告进去。R3连接服务器区的10.0.1.0/24网段也要宣告，这样内网才能通过OSPF学到服务器网段的路由。
这里顺便解释一下反掩码。普通掩码里1固定表示网络位，0表示主机位，反掩码刚好反过来，0表示必须匹配的位，1表示可以忽略的位。所以255.255.255.252对应0.0.0.3，255.255.255.0对应0.0.0.255。考试喜欢考这个，实际配置也经常遇到。
3.2 PPP封装与CHAP认证实战
R1到R2之间我用串口链路模拟专线。eNSP里路由器默认没有串口，要想用PPP，得先把设备关机，在设备配置里加一块2SA或4SA接口卡，开机后才能看到Serial接口。这一步是很多新手卡住的地方。
R1作为认证端，配置PPP封装和CHAP认证：
interface Serial1/0/0 link-protocol ppp ppp authentication-mode chapR2作为被认证端，配置用户名和密码：
interface Serial3/0/0 link-protocol ppp ppp chap user R1 ppp chap password cipher 123456注意CHAP认证是双向挑战握手，R1必须有一个本地用户用来验证对端。所以R1上要创建对应的AAA用户：
aaa local-user R2 password cipher 123456 local-user R2 service-type ppp如果认证成功，接口物理状态Up的同时协议状态也是Up。如果用户名或密码不匹配，你会看到接口物理Up但协议Down。这个现象非常典型，遇到后先看两端配置的账号密码，再去用display ppp error查看认证计数。
3.3 缺省路由的生成与OSPF下发
内网要访问外网，要么靠动态路由把默认路由传递进来，要么每台设备静态写一条。综合实验里更标准的做法是：R3作为出口设备，配置一条指向ISP侧的静态默认路由，然后通过OSPF下发给全网。
先去R3上配置静态默认路由，指向模拟ISP路由器或直接指向公网接口：
ip route-static 0.0.0.0 0.0.0.0 10.0.99.2然后在OSPF进程里开启默认路由下发：
ospf 1 router-id 3.3.3.3 default-route-advertise always这个always参数很关键。如果不加，R3只有在自己的路由表里存在默认路由且被匹配时才会通告；加了always，不管R3本地有没有默认路由，都会强制向OSPF邻居通告默认路由。在模拟器里加always可以减少很多“为什么内网没收到默认路由”的排查时间。
验证方式是在SW3上执行：
display ospf lsdb你会看到一条类型为ASE的默认路由条目，对应的路由表项是O*E2 0.0.0.0/0。这就是OSPF外部路由的典型特征。
4. 安全与远程管理：Telnet、ACL与NAT
4.1 Telnet远程管理配置与ACL限制
远程管理是网络设备的刚需。我的习惯是在SW3上开启Telnet，并且只允许VLAN10的管理员网段访问，VLAN20的访客网段禁止登录。这样把AAA、Telnet、ACL三个知识点串在一起，一举多得。
SW3上的Telnet配置：
telnet server enable user-interface vty 0 4 authentication-mode aaa protocol inbound telnet acl 2000 inbound aaa local-user admin password cipher Admin@123 local-user admin privilege level 15 local-user admin service-type telnet再定义ACL 2000：
acl 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 deny这段配置里，ACL 2000的作用是过滤VTY入方向连接，也就是匹配Telnet客户端的源地址。VLAN10的PC远程登录SW3会成功，VLAN20的PC会被拒绝。这里注意一个细节：ACL规则是按顺序匹配的，先写permit再写deny，顺序不能反。
一个经常出现在综合实验里的坑是：配置完Telnet后PC登录时报错“Password authentication failed”，但密码明明是对的。这种问题往往不是密码错误，而是AAA里没有给用户配置service-type telnet或者privilege级别不够。加完service-type telnet和privilege level 15基本就能解决。
4.2 ACL的匹配顺序与应用方向
ACL在网络安全里最容易被搞乱的地方不是规则本身，而是应用位置和方向。在这个实验里，我要求禁止VLAN20访问Server1的HTTP服务，但允许其他所有流量正常通信。访问控制列表用高级ACL，在R3靠近服务器的接口入方向过滤：
acl 3000 rule 5 deny tcp source 192.168.20.0 0.0.0.255 destination 10.0.1.10 0 destination-port eq 80 rule 10 permit ip interface GigabitEthernet0/0/0 traffic-filter inbound acl 3000这里有两个关键逻辑。
第一，为什么应用在inbound方向？因为数据包先从内网到达R3，再转发给Server1。在入方向过滤，内网来的包会先被ACL检查，命中后直接丢弃，省得再走一遍转发流程。
第二，为什么最后要有一条permit ip？因为ACL默认匹配规则是“未匹配的数据包拒绝”，如果没有permit语句，所有流量都会被丢弃。这个规则和接口ACL的行为一致，但很多人只写deny忘了permit，导致全网断连，排查半天才发现问题。
4.3 NAT配置与私网访问公网路径
内网都是私网地址，想访问Server1这座“外网服务器”，必须在出口R3上做NAT。这里用的方式是最常用的easy ip，也叫PAT。配置分为两步：先定义ACL匹配需要做NAT的源地址，再到出接口绑定。
acl 2001 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 permit source 192.168.20.0 0.0.0.255 interface GigabitEthernet0/0/2 nat outbound 2001这个配置的意思是：所有从GE0/0/2接口出去的、源地址匹配ACL 2001的流量，都会被转换成GE0/0/2接口的IP地址。Server1看到的源地址始终是R3的公网接口地址，而不是真实的192.168.x.x。
验证NAT效果最直接的方式：
display nat session all能看到PC到Server1的会话表项，里面记录了转换前后的源地址、目的地址和端口。如果没有会话条目，说明流量根本没走到NAT这一步，问题多半出在路由或ACL上。
5. 服务器联动与端到端完整性验证
5.1 服务器服务配置与网络参数
Server1在eNSP模拟器里可以配置成HTTP服务器，作为对外业务。配置很简单：IP地址填10.0.1.10/24，网关填10.0.1.1，服务类型勾选HTTP服务，然后启动。
这个服务器放在R3外侧，模拟ISP侧的业务服务器。内网PC通过默认路由走到R3，再经过NAT转换访问它。这样一来，整个链路就完整覆盖了“内网交换、动态路由、默认路由、NAT”这条路径。
如果你想让实验更有意思，还可以在服务器上开启FTP服务，然后用PC的命令行测试FTP登录，作用是验证ACL对TCP端口的选择性过滤是否真的生效。我实际测试时发现，服务器必须把对应服务打勾，否则端口根本没有监听，ACL规则再正确也测不出效果。
5.2 从PC到服务器的逐层验证
综合实验做完，最怕的事情是不知道从哪开始验证。我自己的做法是从底往上逐层测，每层都通了再往上走。
- PC能ping通自己的网关192.168.10.1，说明二层和VLAN没问题。
- SW3能ping通10.0.13.2，说明三层互联地址没问题，OSPF邻居也应该是Full状态。
- R1能ping通R2的10.0.12.2，说明PPP链路物理和协议都Up，CHAP认证通过。
- R2能ping通R3的10.0.23.2，说明OSPF在R2和R3之间正常。
- R3能ping通Server1的10.0.1.10，说明服务器区和出口之间没问题。
- PC最后ping Server1，通了就说明默认路由、NAT、ACL都正常工作。
这串验证命令看起来简单，但每一条背后都对应一个知识模块。比如R1 ping通R2，表面上是ICMP通，本质上是PPP的CHAP认证成功，链路层协议起来了。一旦某一步不通，你就能迅速把故障范围缩小到对应层次，不用瞎猜。
6. 常见问题与排查技巧实录
6.1 VLAN和Trunk不生效
典型表现是PC之间ping不通，或者同VLAN的PC能通但跨交换机就断。排查顺序：先确认PC所在接口是access口且PVID正确；再确认SW1和SW3之间的Trunk允许了对应VLAN；最后看STP有没有把链路阻塞。
display port vlan display trunkbrief display stp brief这三条命令基本能覆盖90%的二层问题。
6.2 DHCP获取不到地址
如果PC一直是169.254.x.x，说明DHCP根本没响应。常见原因有三个：SW3没有开启dhcp enable；VLANIF接口没调用dhcp select global；地址池里的network网段写错了。另外要注意，PC连接交换机用的是access口且VLAN要匹配，VLAN错了的话广播域都不在一个，DHCP请求根本到不了SW3。
6.3 PPP链路协议Down
重点检查三件事：接口是否真的改成了PPP封装；认证端有没有创建对应的AAA本地用户；被认证端配置的chap用户名和密码是否和认证端的本地用户一致。CHAP认证的用户名不是随便填的，必须匹配认证端AAA里预设的用户名，不然永远认证失败。
6.4 OSPF邻居起不来
先看Router-ID是否冲突，再看宣告网段的反掩码是否写对，最后确认接口hello时间、区域ID是否一致。如果邻居卡在Exstart状态，多半是MTU问题，可以手动把接口MTU调成一致。模拟器里不常见，但真机上非常经典。
6.5 NAT或ACL策略不该通却通了
先查ACL规则顺序，再查接口应用方向，最后看匹配计数。在设备上执行display acl 3000，能看到每条规则匹配了多少个包。如果计数器一直在增长但业务还是不通，说明ACL之后的NAT或路由有问题；如果计数器为零，说明流量根本没走到这个接口。
这个综合实验我前后完整跑过不止一遍，每次都能发现新的盲区。最开始做的时候，我在R2和R3之间漏了OSPF宣告，导致内网学不到服务器网段路由，出口NAT配得再对也无济于事。后来就养成了先看路由表的习惯：路由不通，一切安全策略都白搭。整体来说，全流程从规划到验证，一个下午能跑通就算合格。如果你现在正在准备HCIA或HCIP的实验考试，强烈建议把这个实验当作标准练习项目，做完一遍再去拆解改造，比如改成多区域OSPF、换成RSTP、加上链路聚合，你会发现自己对网络的理解会上一个台阶。
