基于ENSP的校园网络搭建与配置全解析

本文基于华为ENSP模拟器，搭建了一套包含核心交换机、接入交换机、AC、路由器、防火墙及ISP路由的完整企业网络，严格遵循原始配置命令，补充关键注释说明配置用途，助力大家理解网络搭建逻辑与设备配置要点。

一、实验拓扑图（ENSP）

拓扑结构概述

本实验拓扑包含以下设备及连接关系，可直接在ENSP中还原：

核心层：2台核心交换机（Core-SW1、Core-SW2），通过Eth-Trunk链路聚合互联，实现冗余备份
接入层：7台接入交换机（LSW3~LSW9），分别连接至核心交换机，对应不同业务VLAN
无线控制：1台AC（AC1），连接核心交换机，管理无线AP，提供WLAN服务
路由层：2台核心路由器（Core-R1、Core-R2），连接核心交换机与防火墙，运行OSPF协议
安全层：1台防火墙（FW1），连接路由器与ISP，实现访问控制、NAT转换
外部网络：1台ISP路由器（ISP-R），模拟公网环境

拓扑图

二、设备配置详情（ENSP）

网段	用途	网关/虚拟IP	关联设备
192.168.10.0/24	接入层VLAN10终端	192.168.10.252（VRRP）	LSW9
192.168.20.0/24	接入层VLAN20终端	192.168.20.252（VRRP）	LSW3
192.168.30.0/24	接入层VLAN30终端	192.168.30.252（VRRP）	LSW4
192.168.40.0/24	接入层VLAN40终端	192.168.40.252（VRRP）	LSW5
192.168.50.0/24	接入层VLAN50终端	192.168.50.252（VRRP）	LSW6
192.168.60.0/24	接入层VLAN60终端	192.168.60.252（VRRP）	LSW7
192.168.100.0/24	无线用户网段	192.168.100.254	AC1、Core-SW1/2
192.168.101.0/24	AC与AP管理网段	192.168.101.1	AC1
192.168.200.0/24	DMZ区域（服务器）	192.168.200.1	FW1
192.168.2-8.0/24	核心路由互联网段	–	Core-R1/2、FW1
200.10.10.0/30	防火墙-ISP互联网段	–	FW1、ISP-R
200.10.20.0/28	ISP公网网段	200.10.20.1	ISP-R

1. 核心交换机 Core-SW1 配置



<Huawei>sys  # 进入系统视图
[Huawei]undo info-center enable  # 关闭信息中心，减少日志干扰
[Huawei]sys Core-SW1  # 重命名设备为Core-SW1
[Core-SW1]vlan batch 10 20 30 40 50 60 100 101  # 批量创建业务VLAN及管理VLAN

# 配置VLAN10接口及VRRP（虚拟路由冗余），优先级120为主设备
[Core-SW1]int Vlanif 10     
[Core-SW1-Vlanif10]ip address 192.168.10.254 24  # 配置接口IP
[Core-SW1-Vlanif10]vrrp vrid 10 virtual-ip 192.168.10.252  # 虚拟网关IP
[Core-SW1-Vlanif10]vrrp vrid  10 priority 120  # 优先级120（默认100，值高为主）
[Core-SW1-Vlanif10]vrrp vrid 10 track interface g0/0/1  # 跟踪G0/0/1接口状态
[Core-SW1-Vlanif10]vrrp vrid 10 track interface g0/0/2  # 跟踪G0/0/2接口状态
[Core-SW1-Vlanif10]quit

# 配置VLAN20-VLAN60接口及VRRP，与VLAN10逻辑一致，Core-SW1为VLAN10-30主设备
[Core-SW1]int Vlanif 20
[Core-SW1-Vlanif20]ip add 192.168.20.254 24
[Core-SW1-Vlanif20]vrrp vrid 20 virtual-ip 192.168.20.252
[Core-SW1-Vlanif20]vrrp vrid 20 priority 120
[Core-SW1-Vlanif20]vrrp vrid 20 track interface g0/0/1
[Core-SW1-Vlanif20]vrrp vrid 20 track interface g0/0/2

[Core-SW1-Vlanif20]int Vlanif 30
[Core-SW1-Vlanif30]ip address 192.168.30.254 24
[Core-SW1-Vlanif30]vrrp vrid 30 virtual-ip 192.168.30.252
[Core-SW1-Vlanif30]vrrp vrid 30 priority 120 
[Core-SW1-Vlanif30]vrrp vrid 30 track interface g0/0/1
[Core-SW1-Vlanif30]vrrp vrid 30 track interface g0/0/2

# VLAN40-VLAN60 Core-SW1为备设备，不设置优先级（默认100）
[Core-SW1-Vlanif30]int Vlanif 40
[Core-SW1-Vlanif40]ip address 192.168.40.254 24
[Core-SW1-Vlanif40]vrrp vrid 40 virtual-ip 192.168.40.252
[Core-SW1-Vlanif40]vrrp vrid 40 track interface g0/0/1
[Core-SW1-Vlanif40]vrrp vrid 40 track interface g0/0/2

[Core-SW1-Vlanif40]int  vlan 50
[Core-SW1-Vlanif50]ip address 192.168.50.254 24
[Core-SW1-Vlanif50]vrrp vrid 50 virtual-ip 192.168.50.252
[Core-SW1-Vlanif50]vrrp vrid 50 track interface  g0/0/1
[Core-SW1-Vlanif50]vrrp vrid 50 track interface g0/0/2

[Core-SW1-Vlanif50]int vlan 60
[Core-SW1-Vlanif60]ip address 192.168.60.254 24
[Core-SW1-Vlanif60]vrrp vrid 60 virtual-ip 192.168.60.252
[Core-SW1-Vlanif60]vrrp vrid 60 track interface g0/0/1
[Core-SW1-Vlanif60]vrrp vrid 60 track interface g0/0/2

# 配置管理VLAN100（AC互联）
[Core-SW1-Vlanif60]int vlan 100
[Core-SW1-Vlanif100]ip address 192.168.100.254 24
[Core-SW1-Vlanif100]undo shutdown  # 启用接口
[Core-SW1-Vlanif100]qu

# 创建VLAN5、7（连接路由器Core-R1、Core-R2）
[Core-SW1]vlan batch 5 7 
[Core-SW1]int Vlanif 5
[Core-SW1-Vlanif5]ip address 192.168.5.2 24  # 与Core-R1 G2/0/0互联
[Core-SW1-Vlanif5]int Vlanif 7
[Core-SW1-Vlanif7]ip address 192.168.7.2 24  # 与Core-R2 G2/0/1互联
[Core-SW1-Vlanif7]qu

# 配置与路由器连接的接口，设为access模式，划入对应VLAN
[Core-SW1]int g0/0/1
[Core-SW1-GigabitEthernet0/0/1]port link-type access  # 接口类型为access
[Core-SW1-GigabitEthernet0/0/1]port default  vlan 5  # 默认划入VLAN5
[Core-SW1-GigabitEthernet0/0/1]int g0/0/2
[Core-SW1-GigabitEthernet0/0/2]port link-type access
[Core-SW1-GigabitEthernet0/0/2]port default vlan 7  # 默认划入VLAN7
[Core-SW1-GigabitEthernet0/0/2]qu

# 配置链路聚合Eth-Trunk1，连接Core-SW2，提升带宽与冗余
[Core-SW1]int Eth-Trunk 1
[Core-SW1-Eth-Trunk1]port link-type trunk  # 链路类型为trunk，允许跨VLAN通行
[Core-SW1-Eth-Trunk1]port trunk allow-pass vlan all  # 允许所有VLAN通过
[Core-SW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/3  # 加入成员接口G0/0/3
[Core-SW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/4  # 加入成员接口G0/0/4

# 配置与接入交换机连接的接口，设为trunk模式，允许所有VLAN通过
[Core-SW1]int GigabitEthernet 0/0/5
[Core-SW1-GigabitEthernet0/0/5]port link-type  trunk 
[Core-SW1-GigabitEthernet0/0/5]port trunk allow-pass vlan all 

[Core-SW1-GigabitEthernet0/0/5]int GigabitEthernet 0/0/6
[Core-SW1-GigabitEthernet0/0/6]port link-type trunk
[Core-SW1-GigabitEthernet0/0/6]port trunk allow-pass vlan all

[Core-SW1-GigabitEthernet0/0/6]int GigabitEthernet 0/0/7
[Core-SW1-GigabitEthernet0/0/7]port link-type trunk
[Core-SW1-GigabitEthernet0/0/7]port trunk allow-pass vlan all

[Core-SW1-GigabitEthernet0/0/7]int GigabitEthernet 0/0/8
[Core-SW1-GigabitEthernet0/0/8]port link-type trunk
[Core-SW1-GigabitEthernet0/0/8]port trunk allow-pass vlan all

[Core-SW1-GigabitEthernet0/0/8]int GigabitEthernet 0/0/9
[Core-SW1-GigabitEthernet0/0/9]port link-type trunk
[Core-SW1-GigabitEthernet0/0/9]port trunk allow-pass vlan all

[Core-SW1-GigabitEthernet0/0/9]int GigabitEthernet 0/0/10
[Core-SW1-GigabitEthernet0/0/10]port link-type trunk
[Core-SW1-GigabitEthernet0/0/10]port trunk allow-pass vlan all

# 配置与AC连接的接口，设置PVID为VLAN101（CAPWAP隧道VLAN）
[Core-SW1-GigabitEthernet0/0/10]int GigabitEthernet 0/0/12
[Core-SW1-GigabitEthernet0/0/12]port link-type trunk
[Core-SW1-GigabitEthernet0/0/12]port trunk allow-pass vlan all

[Core-SW1-GigabitEthernet0/0/12]int GigabitEthernet 0/0/13
[Core-SW1-GigabitEthernet0/0/13]port link-type trunk
[Core-SW1-GigabitEthernet0/0/13]port trunk pvid vlan 101  # 未打标签帧划入VLAN101
[Core-SW1-GigabitEthernet0/0/13]port trunk allow-pass vlan all
[Core-SW1-GigabitEthernet0/0/13]qu

# 配置STP（生成树协议），防止环路
[Core-SW1]stp enable  # 启用STP
[Core-SW1]stp region-configuration  # 进入MST区域配置
[Core-SW1-mst-region]region-name huawei  # 区域名称为huawei
[Core-SW1-mst-region]revision-level 5  # 修订级别为5
[Core-SW1-mst-region]instance 1 vlan 10 20 30 100  # 实例1包含VLAN10、20、30、100
[Core-SW1-mst-region]instance 2 vlan 40 50 60  # 实例2包含VLAN40、50、60
[Core-SW1-mst-region]active region-configuration  # 激活MST区域配置
[Core-SW1-mst-region]qu
[Core-SW1]stp instance 1 root primary  # 实例1为根桥（主根）
[Core-SW1]stp instance 2 root secondary  # 实例2为备份根桥

# 配置OSPF路由协议，宣告所有直连网络
[Core-SW1]ospf 10  # 启动OSPF进程10
[Core-SW1-ospf-10]area 0  # 进入区域0（骨干区域）
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.10.0 0.0.0.255  # 宣告VLAN10网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.20.0 0.0.0.255  # 宣告VLAN20网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.30.0 0.0.0.255  # 宣告VLAN30网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.40.0 0.0.0.255  # 宣告VLAN40网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.50.0 0.0.0.255  # 宣告VLAN50网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.60.0 0.0.0.255  # 宣告VLAN60网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.100.0 0.0.0.255  # 宣告VLAN100网段
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.5.0 0.0.0.255  # 宣告VLAN5网段（连R1）
[Core-SW1-ospf-10-area-0.0.0.0]network 192.168.7.0 0.0.0.255  # 宣告VLAN7网段（连R2）

2. 核心交换机 Core-SW2 配置



<Huawei>sys
[Huawei]undo info enable  
[Huawei]sys Core-SW2  # 重命名设备为Core-SW2
[Core-SW2]vlan batch 10 20 30 40 50 60 100 101 6 8  # 批量创建VLAN，含连接路由器的VLAN6、8

# 配置VLAN10-VLAN30接口及VRRP，Core-SW2为备设备（默认优先级100）
[Core-SW2]int Vlanif 10
[Core-SW2-Vlanif10]ip address 192.168.10.253 24  # 与Core-SW1形成冗余IP
[Core-SW2-Vlanif10]vrrp vrid 10 virtual-ip 192.168.10.252  # 统一虚拟网关
[Core-SW2-Vlanif10]vrrp vrid 10 track interface g0/0/1  # 跟踪接口状态
[Core-SW2-Vlanif10]vrrp vrid 10 track interface g0/0/2

[Core-SW2-Vlanif10]int vlan 20
[Core-SW2-Vlanif20]ip address 192.168.20.253 24
[Core-SW2-Vlanif20]vrrp vrid 20 virtual-ip 192.168.20.252
[Core-SW2-Vlanif20]vrrp vrid 20 track interface g0/0/1
[Core-SW2-Vlanif20]vrrp vrid 20 track interface g0/0/2

[Core-SW2-Vlanif20]int vlan 30
[Core-SW2-Vlanif30]ip address 192.168.30.253 24
[Core-SW2-Vlanif30]vrrp vrid 30 virtual-ip 192.168.30.252
[Core-SW2-Vlanif30]vrrp vrid 30 track interface g0/0/1
[Core-SW2-Vlanif30]vrrp vrid 30 track interface g0/0/2

# 配置VLAN40-VLAN60接口及VRRP，Core-SW2为主设备（优先级120）
[Core-SW2-Vlanif30]int vlan 40
[Core-SW2-Vlanif40]ip address 192.168.40.253 24
[Core-SW2-Vlanif40]vrrp vrid 40 virtual-ip 192.168.40.252
[Core-SW2-Vlanif40]vrrp vrid 40 priority 120  # 设为120，成为主设备
[Core-SW2-Vlanif40]vrrp vrid 40 track interface g0/0/1
[Core-SW2-Vlanif40]vrrp vrid 40 track interface g0/0/2

[Core-SW2-Vlanif40]int vlan 50
[Core-SW2-Vlanif50]ip address 192.168.50.253 24
[Core-SW2-Vlanif50]vrrp vrid 50 virtual-ip 192.168.50.252
[Core-SW2-Vlanif50]vrrp vrid 50 priority 120
[Core-SW2-Vlanif50]vrrp vrid 50 track interface g0/0/1
[Core-SW2-Vlanif50]vrrp vrid 50 track interface g0/0/2

[Core-SW2-Vlanif50]int vlan 60
[Core-SW2-Vlanif60]ip address 192.168.60.253 24
[Core-SW2-Vlanif60]vrrp vrid 60 virtual-ip 192.168.60.252
[Core-SW2-Vlanif60]vrrp vrid 60 priority 120
[Core-SW2-Vlanif60]vrrp vrid 60 track interface g0/0/1
[Core-SW2-Vlanif60]vrrp vrid 60 track interface g0/0/2

# 配置VLAN6、8（连接路由器Core-R1、Core-R2）
[Core-SW2-Vlanif60]int vlan 6
[Core-SW2-Vlanif6]ip address 192.168.6.2 24  # 与Core-R1 G2/0/1互联
[Core-SW2-Vlanif6]int vlan 8
[Core-SW2-Vlanif8]ip address 192.168.8.2 24  # 与Core-R2 G2/0/0互联
[Core-SW2-Vlanif8]qu

# 配置与路由器连接的接口，access模式划入对应VLAN
[Core-SW2]int g0/0/1
[Core-SW2-GigabitEthernet0/0/1]port link-type access 
[Core-SW2-GigabitEthernet0/0/1]port default vlan 8  # 划入VLAN8（连R2）
[Core-SW2-GigabitEthernet0/0/1]int g0/0/2
[Core-SW2-GigabitEthernet0/0/2]port link-type access
[Core-SW2-GigabitEthernet0/0/2]port default vlan 6  # 划入VLAN6（连R1）
[Core-SW2-GigabitEthernet0/0/2]qu

# 配置链路聚合Eth-Trunk1，与Core-SW1互联
[Core-SW2]int Eth-Trunk 1
[Core-SW2-Eth-Trunk1]port link-type trunk 
[Core-SW2-Eth-Trunk1]port trunk allow-pass vlan all 
[Core-SW2-Eth-Trunk1]trunkport GigabitEthernet 0/0/3
[Core-SW2-Eth-Trunk1]trunkport GigabitEthernet 0/0/4
[Core-SW2-Eth-Trunk1]QU  # 简化命令，等价于quit

# 配置与接入交换机连接的接口，trunk模式允许所有VLAN
[Core-SW2]int g0/0/5
[Core-SW2-GigabitEthernet0/0/5]port link-type trunk 
[Core-SW2-GigabitEthernet0/0/5]port trunk allow-pass vlan all 

[Core-SW2-GigabitEthernet0/0/5]int g0/0/6
[Core-SW2-GigabitEthernet0/0/6]port link-type trunk
[Core-SW2-GigabitEthernet0/0/6]port trunk allow-pass vlan all

[Core-SW2-GigabitEthernet0/0/6]int g0/0/7
[Core-SW2-GigabitEthernet0/0/7]port link-type trunk
[Core-SW2-GigabitEthernet0/0/7]port trunk allow-pass vlan all

[Core-SW2-GigabitEthernet0/0/7]int g0/0/8
[Core-SW2-GigabitEthernet0/0/8]port link-type trunk
[Core-SW2-GigabitEthernet0/0/8]port trunk allow-pass vlan all

[Core-SW2-GigabitEthernet0/0/8]int g0/0/9
[Core-SW2-GigabitEthernet0/0/9]port link-type trunk
[Core-SW2-GigabitEthernet0/0/9]port trunk allow-pass vlan all

[Core-SW2-GigabitEthernet0/0/9]int g0/0/10
[Core-SW2-GigabitEthernet0/0/10]port link-type trunk
[Core-SW2-GigabitEthernet0/0/10]port trunk allow-pass vlan all
[Core-SW2-GigabitEthernet0/0/10] qu

# 配置STP，与Core-SW1保持一致，实现负载均衡
[Core-SW2]stp enable 
[Core-SW2]stp region-configuration 
[Core-SW2-mst-region]region-name huawei  # 区域名称统一为huawei
[Core-SW2-mst-region]revision-level 5  # 修订级别一致
[Core-SW2-mst-region]instance 1 vlan 10 20 30 100  # 实例划分与Core-SW1一致
[Core-SW2-mst-region]instance 2 vlan 40 50 60
[Core-SW2-mst-region]active region-configuration 
[Core-SW2-mst-region]qu
[Core-SW2]stp instance 1 root primary     # 实例1主根（与Core-SW1一致，需根据拓扑调整，此处按原命令保留）
[Core-SW2]stp instance 2 root secondary  # 实例2备份根

# 配置OSPF路由协议，宣告直连网络
[Core-SW2]ospf 20  # 启动OSPF进程20
[Core-SW2-ospf-20]area 0  # 进入骨干区域0
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.10.0 0.0.0.255
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.20.0 0.0.0.255
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.30.0 0.0.0.255
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.40.0 0.0.0.255
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.50.0 0.0.0.255
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.60.0 0.0.0.255
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.6.0 0.0.0.255  # 宣告VLAN6网段（连R1）
[Core-SW2-ospf-20-area-0.0.0.0]network 192.168.8.0 0.0.0.255  # 宣告VLAN8网段（连R2）

3. 接入交换机 LSW9 配置（LSW3~LSW7 配置逻辑一致，仅VLAN不同）



<Huawei>sys
[Huawei]undo info-center en  # 简化命令，关闭信息中心
[Huawei]sysname LSW9  # 重命名为LSW9
[LSW9]vlan batch 10 20 30 40 50 60 100 101  # 批量创建所需VLAN

# 配置STP，加入MST区域，与核心交换机保持一致
[LSW9]stp enable 
[LSW9]stp region-configuration 
[LSW9-mst-region]region-name huawei  # 区域名称统一
[LSW9-mst-region]revision-level 5  # 修订级别统一
[LSW9-mst-region]instance 1 vlan 10 20 30 100  # 实例划分一致
[LSW9-mst-region]instance 2 vlan 40 50 60     
[LSW9-mst-region]instance 2 vlan 40 50 60  # 原命令重复，保留原样
[LSW9-mst-region]active region-configuration  # 激活配置
[LSW9-mst-region]qu

# 配置与核心交换机连接的接口，trunk模式允许所有VLAN
[LSW9]int e0/0/1
[LSW9-Ethernet0/0/1]port link-type trunk 
[LSW9-Ethernet0/0/1]port trunk allow-pass vlan all 

[LSW9-Ethernet0/0/1]int e0/0/2
[LSW9-Ethernet0/0/2]port link-type trunk
[LSW9-Ethernet0/0/2]port trunk allow-pass vlan all

# 配置接入终端的接口，access模式划入VLAN10
[LSW9-Ethernet0/0/2]int e0/0/3
[LSW9-Ethernet0/0/3]port link-type access 
[LSW9-Ethernet0/0/3]port default vlan 10  # 终端接入VLAN10
[LSW9-Ethernet0/0/3]int e0/0/4
[LSW9-Ethernet0/0/4]port link-type access
[LSW9-Ethernet0/0/4]port default vlan 10  # 终端接入VLAN10

接入交换机 LSW3~LSW7 补充说明

LSW3：接入接口划入VLAN20，对应业务终端
LSW4：接入接口划入VLAN30，对应业务终端
LSW5：接入接口划入VLAN40，对应业务终端
LSW6：接入接口划入VLAN50，对应业务终端
LSW7：接入接口划入VLAN60，对应业务终端
所有接入交换机STP、 trunk接口配置与LSW9完全一致，仅接入接口VLAN不同。

4. AC（AC1）配置（无线控制）



<AC6605>system-view  # 进入系统视图
[AC6605]sysname AC1  # 重命名为AC1
[AC1]vlan batch 100 101  # 创建VLAN100（业务VLAN）、VLAN101（CAPWAP隧道VLAN）

# 配置VLAN100接口（与核心交换机互联，业务数据转发）
[AC1]int Vlanif 100
[AC1-Vlanif100]ip address 192.168.100.1 24  # 与Core-SW1 VLAN100互联
[AC1-Vlanif100]qu

# 启用DHCP，为无线终端分配IP
[AC1]dhcp enable 
[AC1]int Vlanif 100
[AC1-Vlanif100]dhcp  select global  # 采用全局地址池分配IP
[AC1-Vlanif100]qu

# 配置VLAN101接口（CAPWAP隧道，管理AP）
[AC1]int Vlanif 101
[AC1-Vlanif101]ip address 192.168.101.1 24
[AC1-Vlanif101]dhcp select interface  # 接口地址池为AP分配IP
[AC1-Vlanif101]qu

# 配置全局DHCP地址池（VLAN100终端）
[AC1]ip pool vlan100
[AC1-ip-pool-vlan100]gateway-list 192.168.100.254  # 网关指向Core-SW1 VLAN100接口
[AC1-ip-pool-vlan100]network 192.168.100.0  # 地址池网段
[AC1-ip-pool-vlan100]dns-list 192.168.200.4  # DNS服务器地址
[AC1-ip-pool-vlan100]excluded-ip-address 192.168.100.1  # 排除AC自身IP，不分配
[AC1-ip-pool-vlan100]qu

# 配置WLAN相关参数，管理AP
[AC1]wlan
[AC1-wlan-view]ap-group name ap-huawei  # 创建AP组ap-huawei
[AC1-wlan-ap-group-ap-huawei]qu

# 配置 regulatory-domain-profile（区域信道配置）
[AC1-wlan-view]regulatory-domain-profile name huawei-domain
[AC1-wlan-regulate-domain-huawei-domain]country-code CN  # 国家代码为中国
[AC1-wlan-regulate-domain-huawei-domain]QU  # 简化命令，等价于quit

# 为AP组绑定区域配置
[AC1-wlan-view]ap-group name ap-huawei
[AC1-wlan-ap-group-ap-huawei]regulatory-domain-profile huawei-domain
Warning: Modifying the country code will clear channel, power and antenna gain configurations of the radio and reset the AP. Continue?[Y/N]:y  # 确认修改，重置AP
[AC1-wlan-ap-group-ap-huawei]qu

# 配置CAPWAP隧道源接口（VLAN101）
[AC1-wlan-view]qu
[AC1]capwap  source interface Vlanif 101  # 指定CAPWAP隧道的源接口

# 配置AP认证模式为MAC认证，添加AP
[AC1]wlan 
[AC1-wlan-view]ap auth-mode mac-auth  # AP认证方式为MAC地址认证
[AC1-wlan-view]ap-id 0 ap-mac 00E0-FC5E-3540  # 添加AP，ID为0，MAC为00E0-FC5E-3540
[AC1-wlan-ap-0]ap-name area-1  # AP命名为area-1
[AC1-wlan-ap-0]ap-group ap-huawei  # 将AP加入ap-huawei组
Warning: This operation may cause AP reset. If the country code changes, it will
 clear channel, power and antenna gain configurations of the radio, Whether to c
ontinue? [Y/N]:y  # 确认，AP重启生效
Info: This operation may take a few seconds. Please wait for a moment.. done.
[AC1-wlan-ap-0]qu

# 配置与核心交换机连接的接口，trunk模式允许所有VLAN
[AC1-wlan-view]qu
[AC1]int g0/0/1
[AC1-GigabitEthernet0/0/1]port link-type trunk 
[AC1-GigabitEthernet0/0/1]port trunk allow-pass vlan all 
[AC1-GigabitEthernet0/0/1]q

# 配置WLAN安全、SSID、VAP参数
[AC1]wlan
[AC1-wlan-view]security-profile name sec  # 创建安全模板sec
[AC1-wlan-sec-prof-sec]security wpa2 psk pass-phrase huawei@123 aes  # WPA2加密，密码huawei@123
[AC1-wlan-sec-prof-sec]qu

[AC1-wlan-view]ssid-profile name ssid-1  # 创建SSID模板ssid-1
[AC1-wlan-ssid-prof-ssid-1]ssid huawei  # SSID名称为huawei
Info: This operation may take a few seconds, please wait.done.
[AC1-wlan-ssid-prof-ssid-1]qu

[AC1-wlan-view]vap-profile name vap-1  # 创建VAP模板vap-1
[AC1-wlan-vap-prof-vap-1]forward-mode tunnel  # 转发模式为隧道转发（AC集中转发）
[AC1-wlan-vap-prof-vap-1]service-vlan vlan-id 100  # 业务VLAN为100
[AC1-wlan-vap-prof-vap-1]security-profile sec  # 绑定安全模板
[AC1-wlan-vap-prof-vap-1]ssid-profile ssid-1  # 绑定SSID模板

# 将VAP模板绑定到AP组，启用射频0
[AC1-wlan-view]ap-group name ap-huawei
[AC1-wlan-ap-group-ap-huawei]vap-profile vap-1 wlan 1 radio 0  # 射频0启用该VAP

5. 核心路由器 Core-R1 配置



<Huawei>sys
[Huawei]undo info-center enable  # 关闭信息中心
[Huawei]sysname Core-R1  # 重命名为Core-R1

# 配置与核心交换机、防火墙连接的接口IP
[Core-R1]int g2/0/0
[Core-R1-GigabitEthernet2/0/0]ip address 192.168.5.1 24  # 与Core-SW1 VLAN5互联
[Core-R1-GigabitEthernet2/0/0]int g2/0/1
[Core-R1-GigabitEthernet2/0/1]ip address 192.168.6.1 24  # 与Core-SW2 VLAN6互联
[Core-R1-GigabitEthernet2/0/1]int g0/0/1
[Core-R1-GigabitEthernet0/0/1]ip address 192.168.4.1 24  # 与Core-R2互联
[Core-R1-GigabitEthernet0/0/1]int g0/0/0
[Core-R1-GigabitEthernet0/0/0]ip address 192.168.2.2 24  # 与FW1 G1/0/0互联

# 配置OSPF路由协议，宣告直连网络
[Core-R1]ospf 30  # 启动OSPF进程30
[Core-R1-ospf-30]area 0  # 进入骨干区域0
[Core-R1-ospf-30-area-0.0.0.0]network 192.168.5.0 0.0.0.255  # 宣告192.168.5.0网段
[Core-R1-ospf-30-area-0.0.0.0]network 192.168.6.0 0.0.0.25  # 原命令子网掩码不完整，保留原样
[Core-R1-ospf-30-area-0.0.0.0]network 192.168.4.0 0.0.0.255  # 宣告192.168.4.0网段
[Core-R1-ospf-30-area-0.0.0.0]network 192.168.2.0 0.0.0.255  # 宣告192.168.2.0网段

6. 核心路由器 Core-R2 配置



<Huawei>sys
[Huawei]undo info-center enable  # 关闭信息中心
[Huawei]sysname Core-R2  # 重命名为Core-R2

# 配置与核心交换机、防火墙连接的接口IP
[Core-R2]int g2/0/0
[Core-R2-GigabitEthernet2/0/0]ip address 192.168.8.1 24  # 与Core-SW2 VLAN8互联
[Core-R2-GigabitEthernet2/0/0]int g2/0/1
[Core-R2-GigabitEthernet2/0/1]ip address 192.168.7.1 24  # 与Core-SW1 VLAN7互联
[Core-R2-GigabitEthernet2/0/1]int g0/0/0
[Core-R2-GigabitEthernet0/0/0]ip address 192.168.4.2 24  # 与Core-R1互联
[Core-R2-GigabitEthernet0/0/0]int g0/0/1
[Core-R2-GigabitEthernet0/0/1]ip address 192.168.3.2 24  # 与FW1 G1/0/1互联

# 配置OSPF路由协议，宣告直连网络
[Core-R2]ospf 40  # 启动OSPF进程40
[Core-R2-ospf-40]area 0  # 进入骨干区域0
[Core-R2-ospf-40-area-0.0.0.0]network 192.168.3.0 0.0.0.255  # 宣告192.168.3.0网段
[Core-R2-ospf-40-area-0.0.0.0]network 192.168.4.0 0.0.0.255  # 宣告192.168.4.0网段
[Core-R2-ospf-40-area-0.0.0.0]network 192.168.7.0 0.0.0.255  # 宣告192.168.7.0网段
[Core-R2-ospf-40-area-0.0.0.0]network 192.168.8.0 0.0.0.255  # 宣告192.168.8.0网段

7. 防火墙 FW1 配置




# 登录前修改密码：用户名admin，原密码Admin@123，新密码Admin@1234
<USG6000V1>sys
[USG6000V1]undo info-center enable  # 关闭信息中心
[USG6000V1]sysname FW1  # 重命名为FW1

# 配置各接口IP地址
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip address 192.168.2.1 24  # 与Core-R1 G0/0/0互联
[FW1-GigabitEthernet1/0/0]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip address 192.168.3.1 24  # 与Core-R2 G0/0/1互联
[FW1-GigabitEthernet1/0/1]int g1/0/3
[FW1-GigabitEthernet1/0/3]ip address 192.168.200.1 24  # DMZ区域接口
[FW1-GigabitEthernet1/0/3]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip address 200.10.10.1 30  # 与ISP-R互联（公网口）
[FW1-GigabitEthernet1/0/2]qu

# 配置防火墙区域，划分接口
[FW1]firewall zone trust  # 进入信任区域（内网）
[FW1-zone-trust]add interface g1/0/0  # 加入G1/0/0（连R1）
[FW1-zone-trust]add interface g1/0/1  # 加入G1/0/1（连R2）
[FW1-zone-trust]qu

[FW1]firewall zone untrust  # 进入非信任区域（公网）
[FW1-zone-untrust]add interface g1/0/2  # 加入G1/0/2（连ISP）
[FW1-zone-untrust]qu

[FW1]firewall zone dmz  # 进入DMZ区域（服务器区）
[FW1-zone-dmz]add interface g1/0/3  # 加入G1/0/3（DMZ）
[FW1-zone-dmz]qu

# 配置安全策略，允许内网访问公网
[FW1]security-policy
[FW1-policy-security]rule name tr-untr  # 策略名称tr-untr
[FW1-policy-security-rule-tr-untr]source-zone trust  # 源区域为信任区（内网）
[FW1-policy-security-rule-tr-untr]destination-zone untrust  # 目的区域为非信任区（公网）
[FW1-policy-security-rule-tr-untr]action permit  # 允许访问
[FW1-policy-security-rule-tr-untr]qu

# 配置安全策略，允许内网访问DMZ区
[FW1-policy-security]rule name tr-dmz
[FW1-policy-security-rule-tr-dmz]source-zone trust
[FW1-policy-security-rule-tr-dmz]destination-zone dmz
[FW1-policy-security-rule-tr-dmz]action permit
[FW1-policy-security-rule-tr-dmz]qu

# 配置NAT转换，实现内网地址公网转换
[FW1]nat-policy
[FW1-policy-nat]rule name trust-untrust  # NAT策略名称
[FW1-policy-nat-rule-trust-untrust]source-zone trust  # 源区域信任区
[FW1-policy-nat-rule-trust-untrust]destination-zone untrust  # 目的区域非信任区
[FW1-policy-nat-rule-trust-untrust]action source-nat easy-ip  # 采用Easy IP方式转换
[FW1-policy-nat-rule-trust-untrust]qu
[FW1-policy-nat]qu

# 配置静态路由，指向公网（ISP）
[FW1]ip route-static 0.0.0.0 0.0.0.0 200.10.10.2  # 默认路由指向ISP-R接口IP
[FW1]qu

8. ISP路由器（ISP-R）配置



<Huawei>sys
[Huawei]undo info-center enable  # 关闭信息中心
[Huawei]sysname ISP-R  # 重命名为ISP-R

# 配置与防火墙互联的接口IP
[ISP-R]int g0/0/0
[ISP-R-GigabitEthernet0/0/0]ip address 200.10.10.2 30  # 与FW1 G1/0/2互联
[ISP-R-GigabitEthernet0/0/0]undo shutdown  # 启用接口
[ISP-R-GigabitEthernet0/0/0]qu

# 配置静态路由，指向内网（防火墙），实现公网与内网互通
[ISP-R]ip route-static 192.168.0.0 255.255.0.0 200.10.10.1  # 内网网段路由指向FW1公网口
[ISP-R]qu

三、实验验证要点（ENSP）

配置完成后，可通过以下步骤验证网络连通性与功能可用性，确保实验正常运行：

设备互联验证：在各设备上使用 ping 命令测试直连设备接口IP，例如Core-SW1 ping Core-R1（192.168.5.1）、FW1 ping ISP-R（200.10.10.2），确保直连链路通畅。
路由可达验证：在内网终端（如VLAN10终端）ping公网地址（如200.10.10.2），测试OSPF路由与NAT转换是否生效，确保内网可访问公网。
无线功能验证：在ENSP中启动AP，终端搜索SSID“huawei”，输入密码“huawei@123”连接，ping核心交换机VLAN100接口（192.168.100.254），验证无线接入与数据转发。
冗余功能验证：断开Core-SW1与Core-R1的链路（G0/0/1），查看VRRP状态切换，确保备用设备正常接管，网络不中断。

四、实验总结

本实验基于ENSP模拟器搭建了完整的企业网络架构，涵盖核心交换、接入交换、无线控制、路由转发、安全防护全环节，严格遵循原始配置命令，通过补充注释明确了每一步配置的核心目的。

网络核心采用双交换机链路聚合与VRRP冗余设计，提升了网络可靠性；路由层通过OSPF协议实现全网路由可达，防火墙结合安全策略与NAT转换保障内网安全与公网访问；AC与AP配合实现无线覆盖，满足企业多样化接入需求。

实验过程中需注意设备接口类型（access/trunk）、VLAN划分、路由宣告及防火墙区域配置的一致性，避免因配置冲突导致网络不通。如需进一步优化，可添加ACL访问控制、QoS流量限速等功能，丰富网络应用场景。