简介：适合网络工程学习者的小型企业网ensp练习包，基于华为企业网络仿真平台，覆盖从网络规划、VLAN划分到OSPF/BGP路由配置、ACL安全策略等典型运维场景，可用于课程设计或岗前技能训练。包内共19个文件，主体为8个cfg设备配置、5个efz设备系统镜像、4个xml设备定义，另含1个topo拓扑文件和1个zip附件，整体仅20KB，轻量且便于直接导入ensp模拟器复现网络结构。压缩包还配有拓扑总文件与多台设备的独立配置，使用者可按设备UUID对应导入，快速还原中小型企业的路由交换环境，在此基础上练习STP冗余、QoS保障及故障排查等进阶操作。当前已有6447人在线学习浏览，适合网络工程初学者及准备华为认证的考生作为实验参考。
1. 用eNSP搭中小型企业网，一套zip工程能省下三台真机
如果你正准备做网络方向毕业设计，或者刚入职的运维想在不拆机房设备的前提下练一遍真实组网，那么搭建中小型企业网ensp.zip这类工程包是性价比最高的起点。eNSP是华为官方推出的网络模拟器，能在普通电脑里同时跑起交换机、路由器、无线控制器、防火墙和终端；而zip包里装的正是别人搭好并调通的企业网工程，解压后用eNSP打开，就能看到一套带完整配置的拓扑。它解决的痛点很直接：没有真机也能把VLAN、DHCP、NAT、无线和一整套安全策略从头到尾配置一遍，还能随时打包带走。这个方向尤其适合网络工程专业学生、备考HCIA/HCIP的从业者，以及需要快速复现现网组网的运维。
2. 把企业网拆成一张eNSP拓扑：设备选型、VLAN与IP规划表
2.1 为什么中小企业网要先分层：接入层、汇聚层、核心层
中小企业的规模其实很典型：几十到两百台终端，一个办公区，一个财务区，再加几台内部服务器和给访客用的无线。如果图省事把所有电脑插进一台交换机，端口不够是一回事，广播域一大，ARP广播和DHCP发现报文会把整网性能拖垮，故障时只能靠拔线排查。所以第一步不是急着打开eNSP拖设备，而是把网络拆成接入层、汇聚层、核心层。
接入层负责把PC、打印机、AP接进来，端口密度高、成本低；汇聚层负责VLAN路由、策略控制和DHCP服务；核心层只做高速转发，把所有模块串起来。中小企业不需要做数据中心级的复杂架构，但逻辑上分清以后，后面加设备、加VLAN都不用重新设计。eNSP里的设备选型很固定：接入交换机用S5700，核心交换机也用S5700，出口路由器用AR2220，无线部分用AC6605加两台AP2050DN，如果想把服务器区单独保护起来，再加一台USG6000V防火墙。这套组合的配置命令和真实华为设备基本一致，实验做完再上手真机，命令不会白学。
2.2 一张可复用的VLAN与IP地址规划表
动手配命令之前，先把VLAN和IP网段写在纸上。规划阶段贪快，后面改IP是所有配置里最痛苦的，因为VLANIF、DHCP地址池、ACL、NAT、静态路由全都要跟着改一遍。下面这张表用于常见的中小型企业网项目，拓扑不大时可以直接抄：
| VLAN | 用途 | 网段 | 网关（VLANIF） | 说明 |
|---|---|---|---|---|
| 10 | 办公区 | 192.168.10.0/24 | 192.168.10.254 | 普通员工有线接入 |
| 20 | 财务区 | 192.168.20.0/24 | 192.168.20.254 | 独立隔离，权限收紧 |
| 30 | 无线访客 | 192.168.30.0/24 | 192.168.30.254 | AP接入，可单独限速 |
| 40 | 服务器区 | 192.168.40.0/24 | 192.168.40.254 | 内部ERP、Web服务器 |
| 100 | 设备管理 | 192.168.100.0/24 | 192.168.100.254 | 交换机、路由器管理地址 |
IP规划有几个容易忽略的点。网关地址不要用192.168.10.1，因为很多网络设备喜欢占用.1做管理地址，终端网关和网管地址冲突会让交换机登录变得很混乱。网关尽量放在核心交换机的VLANIF接口上，不要放在路由器上。VLAN之间的流量如果需要绕行路由器转发，所有跨网段报文都要从出口设备过一遍，转发性能是明显瓶颈；核心交换机用VLANIF当网关，VLAN间流量在交换机内部就转走了。DHCP服务也建议放在核心交换机上，少一台服务器就少一个故障点。一个VLAN的主机数量最好控制在240台以内，超过这个量，广播流量会明显上涨，正确做法是把办公区拆成多个VLAN再互访。
2.3 拿到ensp.zip之后：解压、导入与版本核对
标题里的zip是工程包的常见交付形态。下载下来的ensp.zip解压后，里面一般是一个.ens工程文件，外加拓扑截图和配置文档。eNSP不直接打开zip，必须先解压。有人直接把zip拖进eNSP窗口，结果识别不了，这就是先入为主的坑。建议把zip解压到没有中文和空格的目录里，因为部分eNSP版本对中文路径的处理不稳定，设备镜像路径带中文会导致启动失败。
打开eNSP后，用菜单里的“打开工程”找到.ens文件即可。如果打开后设备图标是灰色或红色的，多半是版本或镜像问题。版本兼容性要提前确认：eNSP的V100R003C00SPC100和V100R003C00SPC200T是目前流传比较广的版本，SPC200T能打开SPC100做的工程，反过来不行。交付工程给别人时，最好在说明文档里写明两个版本号，否则对方打开工程时设备起不来，会先怀疑你的配置有问题。按顺序启动设备也值得养成习惯：先启动核心交换机，等它完全UP再启动接入交换机、路由器、防火墙和终端，比一次点“全部启动”稳定得多。
3. 交换机上网关与DHCP怎么配：VLAN、Trunk和无线AP的落地命令
3.1 创建VLAN并划分Access端口：先接入层再核心层
打开eNSP后，我的习惯是先配置接入交换机，因为它连接的是终端，配置简单，能快速验证端口通不通。以一台接入交换机LSW2为例，办公区PC接到GigabitEthernet0/0/1到0/0/8，财务区PC接到0/0/9到0/0/16，上联核心交换机的口用0/0/24。命令如下：
# 进入系统视图，sys 是 system-view 的缩写 system-view sysname LSW2-Office # 批量创建VLAN 10和20 vlan batch 10 20 # 把GE0/0/1和GE0/0/2划入办公VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit # 用端口组批量配置GE0/0/3到GE0/0/8 port-group 1 group-member GigabitEthernet0/0/3 to GigabitEthernet0/0/8 port link-type access port default vlan 10 quit # 用端口组把GE0/0/9到GE0/0/16划入财务VLAN 20 port-group 2 group-member GigabitEthernet0/0/9 to GigabitEthernet0/0/16 port link-type access port default vlan 20 quit这段配置的逻辑是：access端口只属于一个VLAN，直接连接终端的口必须用access，终端进来的报文不带802.1Q tag；端口组用于批量配置，避免一条一条敲，读起来也清楚。port default vlan指定端口所属VLAN，group-member … to …表示连续端口范围。如果你接的是打印机、监控这类固定设备，同样划进对应VLAN，不要把这类设备留在默认的VLAN 1里，否则和终端混在一起，后面做VLAN隔离时全是漏网之鱼。
3.2 配置Trunk链路和VLANIF网关：让所有VLAN都能到核心交换机
接入交换机配好VLAN后，要在它和核心交换机之间放行业务VLAN。上联口改成trunk模式，允许多个VLAN带tag通过。接入交换机LSW2的0/0/24连到核心交换机，配置如下：
interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit核心交换机上，除了把下联口也配置成trunk，还要给每个VLAN建三层网关VLANIF。核心交换机S5700接接入交换机的口是GE0/0/1，接路由器用GE0/0/24，命令如下：
system-view sysname Core-S5700 vlan batch 10 20 30 40 100 # 下联口配置成trunk，放行所有业务VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 100 quit # 创建VLANIF接口作为各网段网关 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit interface Vlanif30 ip address 192.168.30.254 255.255.255.0 quit interface Vlanif40 ip address 192.168.40.254 255.255.255.0 quit interface Vlanif100 ip address 192.168.100.254 255.255.255.0 quitTrunk链路的关键参数是port trunk allow-pass，只有被allow的VLAN才能从这条链路上过。默认VLAN 1放行，业务VLAN必须显式写出来，少写一个，那个VLAN的终端就ping不通网关。VLANIF接口本质上是三层网关，给接口配上IP后，VLAN里的终端把所有跨网段访问都发给这个地址。财务VLAN 20如果不想被办公网访问，后面在核心交换机上做ACL时，方向是按VLANIF接口控制的，所以网关放在核心交换机上才能做限制。
3.3 配置DHCP：让终端和无线AP自动获取IP
网关配好之后，终端可以手动配IP，但这样在真实企业网里不可维护。DHCP直接放在核心交换机上，省一台服务器。先开启全局DHCP，再创建地址池，最后把地址池绑定到VLANIF：
system-view dhcp enable # 办公网地址池 ip pool vlan10 network 192.168.10.0 mask 24 gateway-list 192.168.10.254 dns-list 223.5.5.5 114.114.114.114 excluded-ip-address 192.168.10.1 192.168.10.10 lease day 3 quit # 把地址池绑定到VLANIF10 interface Vlanif10 dhcp select global quitDHCP在华为交换机上有global和interface两种模式。dhcp select global表示这个接口要从全局地址池里取地址，便于集中管理所有VLAN；dhcp select interface则是每个接口配自己的地址池，适合只有一两个VLAN、不想维护全局池的情况。excluded-ip-address必须给网关、打印机、服务器预留，比如192.168.10.1到192.168.10.10不要分配出去，否则打印机和服务器抢到网关的地址，整个网段会乱套。lease day 3是租期3天，办公网这个值合适；访客无线建议租期短一点，避免地址被长时间占用。
无线AP也是走DHCP这一套。AP上电后从VLANIF30的地址池拿管理地址，再通过发现机制找到AC6605。很多人把无线实验理解成“在AC上敲一条配SSID的命令”，其实AC和AP之间的管理VLAN、业务VLAN要提前规划好，这一步不做好，后面无线客户端能连上但上不了网，问题多半是AP拿到的地址和业务VLAN没分开。
3.4 无线AC6605的基础配置：SSID与VAP模板
如果你把访客无线也纳入实验，AC6605的配置并不复杂，但和交换机命令不是一套逻辑。进入AC的wlan视图后，先建SSID模板，再建VAP模板，把SSID和转发方式绑进去，最后把AP加进AP组。下面是常见做法，不同eNSP版本命令略有差异：
system-view wlan ac source interface Vlanif100 # 创建SSID模板 wlan ssid-profile name office-wifi ssid office-wifi quit # 创建VAP模板并绑定SSID vap-profile name office-vap forward-mode direct-forward service-set id 10 ssid-profile office-wifi quit # 把AP加入默认AP组并绑定射频 ap-group name ap-group1 vap-profile office-vap wlan 1 radio 0 quit quitwlan ac source interface指定AC的管理源接口，AP注册时就从VLANIF100这个地址通信。forward-mode direct-forward表示业务流量直接从AP转发，不走AC集中转发，中小企业的访客网络够用了；如果要做集中认证和控制，再改成tunnel-forward。eNSP里的AP会自动注册，不需要手工绑定序列号，省掉一个坑。配置完SSID后，无线终端能否上网，还要取决于前面VLANIF30的DHCP和出口路由是否通畅，很多人的无线问题其实出在交换机和路由器的连通性上，最后背了AC配置的锅。
4. 出口路由与NAT配置：让内网访问外网并对外发布服务器
4.1 核心交换机与路由器的三层互联
网关放在核心交换机后，出口路由器就不需要为每个VLAN建子接口了。路由器只承担两件事：内网访问外网时做NAT转发，外网访问内部服务器时做目的映射。核心交换机与路由器之间用一条三层链路互联，网段规划为10.0.10.0/30，核心侧10.0.10.1，路由器侧10.0.10.2。
核心交换机的GE0/0/24默认是二层口，要先执行undo portswitch再配置IP：
# 核心交换机上 interface GigabitEthernet0/0/24 undo portswitch ip address 10.0.10.1 255.255.255.252 quit路由器AR2220的GE0/0/0连核心，GE0/0/1连外网：
# 路由器上 interface GigabitEthernet0/0/0 ip address 10.0.10.2 255.255.255.252 quit interface GigabitEthernet0/0/1 ip address 100.64.1.2 255.255.255.0 quit100.64.0.0/10是运营商级NAT保留地址段，在eNSP里用它模拟外网很合适，不会和私网网段冲突。配完两个接口后，用display ip interface brief看接口状态是否UP，这条链路是后面所有路由和NAT的基础。如果你更熟悉单臂路由，也可以让AR2220用子接口终结VLAN：子接口里要执行dot1q termination vid 10和arp broadcast enable，否则子接口无法收发带tag的报文。两种做法的差别在于：单臂路由把所有跨VLAN流量引到路由器，性能吃紧；VLANIF方式让核心交换机内部完成三层转发，路由器只处理南北向流量，我更推荐后者。
4.2 静态路由：核心交换机指默认路由，路由器指回程路由
接下来写路由。核心交换机只需要一条默认路由，把不认识的网段全扔给路由器：
ip route-static 0.0.0.0 0.0.0.0 10.0.10.2路由器上要写回程路由，让去往内网192.168.0.0/16的报文回到核心交换机：
ip route-static 192.168.0.0 255.255.0.0 10.0.10.1用16位掩码把192.168.10.0/24、20.0/24、30.0/24、40.0/24一起汇总，比逐条写四条方便，也不会因为漏一条导致PC能上网但服务器访问不到。这里最容易翻车的是只配了NAT、忘了写回程路由：内网报文能出去，服务器响应报文却不知道回内网的路，现象就是外网Client能发出包但一直超时。排查时用display ip routing-table，看路由器上有没有Destination 192.168.0.0/16这条记录，没有就补上。
4.3 配置NAT：easy-ip出站和NAT Server入站
NAT配置分两个方向。内网主动访问外网，用出站NAT，把私网地址转换成路由器的公网出口地址：
# 先定义内部网段ACL acl number 2001 rule 5 permit source 192.168.0.0 0.0.255.255 quit # 在外网接口上应用出站NAT interface GigabitEthernet0/0/1 nat outbound 2001 quitnat outbound 2001用的是easy-ip方式，直接借用接口的公网地址做转换，不需要额外配置NAT地址池。对只有一个公网IP的中小企业网，这是最实际的方案。ACL里的0.0.255.255是通配符，匹配前16位，等于把四个192.168网段全部包含进去。容易犯的错是ACL方向写反，或者写了deny规则把内网挡在外面，建议配完先display acl 2001检查规则。
如果内部服务器要让外网访问，比如Web服务器在192.168.40.10，需要在公网接口上做一个服务器映射：
interface GigabitEthernet0/0/1 nat server protocol tcp global 100.64.1.2 80 inside 192.168.40.10 80 quit这条命令表示访问公网地址100.64.1.2的80端口，路由器会把流量交给内部的192.168.40.10。如果服务器还要对外提供远程管理，再补一条端口映射，但生产环境不建议把管理端口直接暴露。验证时在外网侧放一台Client，访问100.64.1.2，看Web服务器是否响应；没响应就检查display nat session all里有没有会话记录，有记录说明NAT在工作，问题在服务器本身。
4.4 防火墙USG6000V的Web登录与安全策略
加了防火墙后，整体架构要重新想清楚：防火墙可以放在核心交换机和路由器之间，也可以旁挂保护服务器区。eNSP里最常见的是串联部署，结构是核心交换机连防火墙，防火墙再接出口路由器。串联系里最容易卡在Web登录上。
USG6000V默认管理口是GE1/0/0，地址192.168.0.1/24。启动后先用CLI确认管理口配置并开启Web管理：
interface GigabitEthernet1/0/0 ip address 192.168.0.1 255.255.255.0 service-manage https permit quit web-manager enable然后在拓扑里拖一台PC配192.168.0.2/24，浏览器访问https://192.168.0.1:8443，常见默认用户名是admin。防火墙默认安全策略是全拒绝的，只把管理口开起来还不够，内网访问外网还需要一条安全策略：
security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit quit quit这段意思是放行从trust区域到untrust区域的流量。防火墙的接口默认所属区域不一定是你想要的，配策略前先看接口在哪个zone，避免策略写了但接口区域不对，报文仍然被丢。Web登录界面出来之前，问题多半在管理口服务和8443端口上，不要急着改安全策略，先用display ip interface brief确认管理口UP。
5. eNSP启动报40的排查：虚拟化版本、蓝屏与Web登录的坑
5.1 设备启动卡在40%并提示错误40
现象：点击路由器或交换机的启动按钮，设备图标停在40%位置，几秒后弹窗提示启动失败，日志里出现错误40或AR设备相关报错。这个问题在AR系列路由器上出现频率最高，因为eNSP的AR设备依赖VirtualBox虚拟化，和Windows系统自带的Hyper-V、内核隔离功能互相冲突。
原因：VirtualBox版本与eNSP不匹配，或者Windows虚拟化被Hyper-V占用。常见组合是eNSP V100R003C00SPC100配VirtualBox 5.2.x，这个组合能稳定运行；装了新版本VirtualBox，或者在Win11上开启Hyper-V，就很容易出现40错误。
解决：先打开任务管理器确认CPU虚拟化已启用，没有的话进BIOS开启VT-x；再以管理员身份打开PowerShell，执行bcdedit /set hypervisorlaunchtype off并重启；最后卸载重装VirtualBox，换回eNSP要求的版本。注意这个命令会关闭Hyper-V，如果你日常依赖Hyper-V跑别的虚拟机，就不要关，换成eNSP Pro或改用WSL不启用Hyper-V的模式。设备启动报40在你前面加防火墙实验时尤其常见，因为USG6000V也是对虚拟化最敏感的一类设备。
5.2 命令行窗口黑屏或日志刷屏看不清配置
现象：设备启动成功但CLI窗口一直黑屏，按回车没反应；或者显示大量调试信息，display current-configuration还没看完就被端口UP/DOWN日志刷掉。
原因：黑屏一般是因为设备还在初始化，或者没有点击窗口让焦点落在CLI上；刷屏是因为设备默认开启终端调试和日志显示，每次接口状态变化都会打印。这个现象不是配置错误，别急着重启设备。
解决：先点CLI窗口，多按几次回车等提示符出现。如果已经进入命令行但刷屏严重，在用户视图下关掉日志和调试输出：
undo terminal monitor undo terminal debugging这两条命令只是关掉终端显示，不影响设备运行。刷屏清掉后，最有效的查看方式是display current-configuration，配置比较长时直接在显示内容里找接口名，或者用display vlan、display ip interface brief这些小视图定向查看。很多人问“eNSP清空命令行窗口”，其实做的就是这个操作：不是清屏技巧，而是把会刷屏的日志关掉，才能真正看清配置。
5.3 多台设备同时启动导致蓝屏
现象：拓扑比较大，点“全部启动”，十几台设备一起转，电脑风扇狂转，接着直接蓝屏重启。
原因：这是eNSP最典型的资源瓶颈。AR路由器每台是一个VirtualBox虚拟机，默认内存分配不低，同时启动十台AR，内存占用会达到十几GB，普通16G内存的电脑完全扛不住；S5700交换机相对轻量，但多台一起运行也需要CPU资源。
解决：压规模、调内存。拓扑里能少用AR就少用，接入层尽量用S5700代替AR，只有出口和核心才用AR；在设备属性里把AR的内存从默认值调低，比如512MB，每台能省下几百MB。启动顺序也要讲究：先启动核心交换机，等它完全起来再启动接入和终端，不要在设备还没UP时点“全部启动”。如果实验规模确实大，拆成多个工程分包跑，或者用eNSP Pro这种更吃配置的版本前先评估自己电脑内存。蓝屏问题在早期版本尤其容易触发，配置前保存一次工程，相当于给自己一个后悔药。
5.4 zip包解压后工程打不开或设备全是红色
现象：下载的ensp.zip解压后，双击.ens工程文件提示无法识别或版本过低；打开后设备图标红色，启动时提示找不到镜像文件。
原因：eNSP工程文件本身是文本格式的拓扑描述，但会记录设备镜像的运行路径。换了一台电脑后，镜像安装目录不同，工程里记录的路径失效；另外高版本eNSP保存的工程，老版本软件打不开，这一点和很多工具软件不兼容规则一致。
解决：先确认eNSP版本。V100R003C00SPC100生成的工程，用SPC200T能打开，反过来不行。设备图标变红时，检查eNSP的“工具”里的设备注册表，看交换机、路由器镜像是否都显示“注册成功”；如果显示未注册，说明设备包没有正常安装，重新安装对应设备包。打开别人给的zip工程前，先看对方写的版本说明，避免浪费时间反复导入。交付给别人的工程，zip里最好放一个文本说明，写明eNSP版本、VirtualBox版本和设备内存要求，能省掉一大部分沟通成本。
5.5 防火墙Web登录不上
现象：USG6000V启动正常，但浏览器访问https://192.168.0.1:8443提示超时或无法访问。
原因：最常见的是防火墙管理口没有开启service-manage https permit，或者测试PC和防火墙不在同一网段；部分eNSP版本里，防火墙Web服务还要用web-manager enable显式开启。
解决：先在防火墙CLI下执行display ip interface brief，确认GE1/0/0地址是192.168.0.1；再检查配置里有没有service-manage https permit和web-manager enable。测试PC的IP必须是192.168.0.2/24这类同网段地址，浏览器地址栏必须带https://，不要用http。如果本机访问一直登不上，直接拖一个拓扑内PC配同网段地址去访问，绕开本机网卡和系统代理的干扰，这个办法在模拟器里成功率最高。
6. 用ping与抓包验证整网，再把工程打包成zip交付
6.1 验证连通性的最小步骤
配置全部完成后，不要急着保存工程，先按层次验证。在办公PC上ping 192.168.10.254，通了说明接入交换机VLAN和trunk没问题；再ping 192.168.40.10，通了说明核心交换机VLANIF之间能路由；在外网Client上ping 100.64.1.2，通了说明出口路由和NAT工作正常。如果哪一步不通，回到对应设备执行display vlan看端口VLAN、display ip routing-table看路由，再用display nat session all看NAT会话是否建立。这个顺序能把故障范围从整网逐步缩小到某一条链路，比从头到尾翻配置高效得多。
6.2 抓包确认DHCP和NAT细节，再打包交付
验证连通性只是第一步，DHCP能不能正确分到IP、NAT转换出来的源地址是什么，单靠ping看不出来。在eNSP中，对PC和交换机之间的连线开启数据抓包，用Wireshark观察DHCP的Discover、Offer、Request、ACK四个过程，能直接看到分配到的IP和网关；在路由器外网接口抓包，能看到内网地址被转换后的报文。我每次提交工程前必做这一步，因为配置命令看着全对，但DHCP地址池和VLANIF绑错接口这种事太隐蔽，只有抓包能看到真实报文。
打包交付时，把工程文件.ens、验证截图和配置文档放进同一个目录，用zip压缩。文件命名写成“中小型企业网eNSP工程_v1.0.zip”，内部放一个README，写明eNSP版本、VirtualBox版本和运行内存要求。对方按说明打开，就不会被设备40错误和红叉卡住。我自己在第一次交付工程时就吃过版本亏：用SPC100保存的工程发给同事，对方也是SPC100却提示镜像缺失，折腾半天才发现他的虚拟化环境不同。从那以后我养成两个习惯：交付包一定写版本，验证完一定删掉临时抓包文件和.ens的旧备份，只留一份干净的最终工程。希望帮到你。
本文还有配套的精品资源，点击获取
