基于eNSP的园区网络高可用与安全综合实验

1. 实验场景与目标：为什么你的园区网络需要“双保险”？

大家好，我是老张，一个在网工圈子里摸爬滚打了十多年的老家伙。今天咱们不聊虚的，就聊聊怎么用华为的eNSP这个神器，亲手搭建一个既“扛造”又“安全”的园区网络。很多朋友学网络，配置完VLAN、配通OSPF就觉得大功告成了。但在真实的企业环境里，尤其是那些业务不能停、数据不能丢的中型企业，这还远远不够。

想象一下这个场景：公司有研发部、市场部、行政部和财务部，总共两百来号人。早上九点，市场部的同事正在给重要客户做在线演示，突然，连接核心交换机的那条主用光纤被施工队不小心挖断了。如果网络没有“双保险”，结果就是全公司断网，演示泡汤，丢单丢客户，老板的脸色可想而知。再比如，财务部的服务器放在内网，但某天因为一个配置疏忽，从互联网来的扫描流量直接探到了服务器端口，安全隐患巨大。

所以，我们这次实验的目标非常明确：不仅要让网络通，更要让网络在部分设备或链路故障时能自动切换，业务不中断（高可用）；同时，还要像给公司大楼安装门禁和监控一样，对进出网络的“人”和“物”进行严格管控（网络安全）。eNSP完美模拟了真实设备，让我们能在自己的电脑上，零成本、零风险地构建并验证这样一个复杂的网络。下面，我就带你一步步实现这个“高可用+安全”的园区网络综合实验，我会把原理掰开揉碎了讲，把配置命令背后的逻辑说清楚，保证你跟着做一遍，就能深刻理解企业级网络的设计思路。

2. 网络蓝图：高可用与安全架构是如何设计的？

在动手敲命令之前，咱们得先画好蓝图，知道我们要建一座什么样的“房子”。传统的三层架构（接入-汇聚-核心）是基础，但我们要在上面加入高可用和安全的“钢筋骨架”。

核心设计思想就两点：冗余与隔离。

• 冗余：关键设备（如核心交换机、出口网关）和关键链路（如汇聚到核心的上行链路）都不能是单点。一台设备坏了，另一台立刻顶上；一条路堵了，流量立刻走另一条。这主要靠VRRP（虚拟路由器冗余协议） 和MSTP（多生成树协议） 来实现。
• 隔离：网络不能是“大通铺”。不同部门（VLAN）之间要隔离，内部网络和外部互联网要隔离，对外服务的服务器（如Web服务器）和最核心的内部服务器（如数据库）也要隔离。这主要靠VLAN、防火墙策略和ACL（访问控制列表） 来实现。

基于这个思想，我设计的网络拓扑结构是这样的（你可以在eNSP里照着搭）：

1. 接入层：使用两台交换机（如S5700），分别连接不同部门的PC。这里主要做VLAN划分，把研发、市场、行政、财务的流量打上不同的标签。
2. 汇聚层：同样使用两台性能较好的交换机（如S6700），它们同时连接到两台核心交换机。这里是我们施展MSTP魔法的地方，目的是让不同VLAN的流量走不同的上行链路，实现负载均衡，避免某条链路闲置而另一条拥堵。
3. 核心层：两台核心交换机（如S7700），是整个网络的心脏。它们之间通过多条物理链路捆绑成Eth-Trunk，提供巨大的带宽和可靠性。同时，它们为每个VLAN创建虚拟网关（VLANIF接口），并配置VRRP。比如，对于VLAN 10（研发部），核心交换机A是主网关（Master），核心交换机B是备网关（Backup）。当A故障时，B会在毫秒级内接管网关工作，用户几乎无感知。
4. 出口区域：核心交换机连接到出口路由器/防火墙。这里是网络安全的第一道防线。我们需要配置NAT让内网用户上外网，更要配置严格的安全策略和ACL，只允许特定的、必要的流量通过。
5. DMZ区域：这是一个“半信任区”。我们把需要对外提供服务的服务器（比如公司官网的Web服务器、对外的文件服务器）放在这里。它既不能像内网一样安全，也不能像外网一样危险。防火墙会制定精细的规则，只允许互联网用户访问DMZ区服务器的特定端口（如80、443），同时严格禁止从DMZ区主动访问内网核心区。

这个架构就像一栋现代化大楼：有主副电梯（VRRP冗余），有多个消防通道（MSTP多路径），每层楼有门禁（VLAN隔离），大堂有保安和安检（出口防火墙），而对外服务的商铺则设在独立的裙楼（DMZ区）。接下来，我们就从最底层开始，一层层“盖”起这栋网络大楼。

3. 基础搭建：从VLAN划分到链路聚合

万事开头难，但基础打牢了，后面就顺了。我们先从接入层开始，把网络的基本框架搭起来。

3.1 规划与配置VLAN

VLAN是逻辑隔离的基础。我们规划4个业务VLAN：

• VLAN 10：研发部 (192.168.10.0/24)
• VLAN 20：市场部 (192.168.20.0/24)
• VLAN 30：行政部 (192.168.30.0/24)
• VLAN 40：财务部 (192.168.40.0/24)

另外，还需要规划设备互联的VLAN，比如核心交换机之间、核心与汇聚之间，这里我们用VLAN 1000 (192.168.100.0/24) 作为管理VLAN和互联VLAN。

在接入交换机（比如命名为Access-SW1）上，我们需要将连接PC的端口配置为Access类型，并划入对应的VLAN。连接汇聚交换机的端口则配置为Trunk类型，允许所有业务VLAN通过。

# 进入接入交换机配置视图
<Huawei> system-view
[Huawei] sysname Access-SW1

# 批量创建VLAN
[Access-SW1] vlan batch 10 20 30 40

#