简介：这份资源面向网络工程初学者与中小企业网络运维人员，提供一套可在华为eNSP仿真环境中直接运行的网络搭建实例，帮助读者在模拟环境里完成设备配置、拓扑验证与故障排查练习。压缩包共19个文件，约20KB，包含cfg设备配置、efz与xml设备镜像及描述文件、topo拓扑文件等，其中拓扑文件用于可视化呈现路由器、交换机与终端的连接关系，配置文件则覆盖AR系列路由器与LSW系列交换机的接口、路由及VLAN等初始设置，导入后即可快速还原实验场景。资源涉及网络规划、OSPF与BGP路由协议、ACL访问控制、HSRP/VRRP冗余备份以及QoS带宽管理等中小型企业网常见知识点，可作为课程实验或工程部署的参考模板。目前已有6445人学习下载，适合希望借助eNSP提升配置与排错能力的读者对照练习。

1. 从一份 eNSP 拓扑包说起：中小型企业网到底该怎么搭

很多做网络工程的朋友第一次接触 eNSP，都是被一个具体需求逼出来的：公司要新建办公网，或者课程设计要交一份能跑通的中小型企业网方案，手头没有真机，只能靠模拟器把路由、交换、无线、防火墙全串一遍。这份「搭建中小型企业网ensp.zip」就是干这个的——它不是单个实验，而是一整套能直接导入 eNSP 的拓扑工程，覆盖出口路由、核心交换、接入层、VLAN 划分、静态路由、NAT 和基础防火墙策略。适合两类人：一是刚学完 HCIA 想找个完整场景练手的，二是要交综合实验但不想从零画拓扑的。导入之后设备能启动、链路能通、配置能改，这才是它真正的价值。下面我按「先跑通、再拆解、最后避坑」的顺序，把这份资源怎么用讲透。

2. 导入拓扑与设备启动：把 zip 变成能 ping 通的实验环境

2.1 先确认 eNSP 版本和设备包是否匹配

拿到 zip 之后别急着双击。eNSP 的拓扑文件本质是 XML，里面记录了设备型号、接口连接关系和部分配置。如果本机 eNSP 版本和设备包对不上，导入后会出现设备图标变灰、启动报错代码 40 或 43。常见做法是先用 eNSP 自带的「工具 → 注册设备」把 AR、LSW、USG 全部重新注册一遍，注册时注意看底部提示，出现「注册成功」才算数。如果注册失败，多半是 VirtualBox 版本冲突——eNSP 对 VirtualBox 的版本很挑，5.2.x 通常最稳，装完 VirtualBox 再装 eNSP，顺序反了就容易出玄学问题。

导入步骤不复杂，但每一步都有讲究：

# 1. 解压 zip，建议解到纯英文路径，中文路径会导致拓扑加载失败 unzip 搭建中小型企业网ensp.zip -d /home/lab/ensp_topo # 2. 查看解压后的文件结构，通常包含 .topo 拓扑文件和若干 .cfg 配置文件 ls -l /home/lab/ensp_topo # 预期看到：enterprise.topo ar1.cfg core_switch.cfg access.cfg ... # 3. 打开 eNSP，菜单栏选择 文件 → 打开，定位到 enterprise.topo # 4. 打开后先不要全选启动，逐个右键设备 → 启动，观察每个设备的状态灯

这里的关键参数是路径和启动顺序。路径必须纯英文，因为 eNSP 底层调用 VirtualBox 时对中文路径支持很差，这是血泪经验。启动顺序建议先启 AR 路由器，再启核心交换，最后启接入和 AP，因为 AR 启动最慢，先让它跑起来能节省等待时间。如果某个设备一直转圈，右键看「启动日志」，错误代码 40 通常是设备包没注册，43 是 VirtualBox 虚拟机初始化失败，解决方法是关掉 eNSP 和 VirtualBox 所有进程，重新注册设备后再启动。

2.2 用 display 命令验证拓扑连通性

设备全部启动后，第一件事不是改配置，而是验证现有拓扑能不能通。这份资源里的配置大概率已经预置了基础 IP 和路由，但不同人拿到的版本可能被改过，所以先做一轮体检：

# 在核心交换机上查看 VLAN 和接口状态 <CoreSW> display vlan <CoreSW> display ip interface brief # 在出口路由器上查看路由表和 NAT 配置 <AR1> display ip routing-table <AR1> display nat outbound # 从接入层 PC 上 ping 网关和公网地址（模拟外网） PC> ping 192.168.10.1 PC> ping 8.8.8.8

逻辑说明：display vlan确认 VLAN 是否已创建且接口已划入；display ip interface brief看接口 IP 和 up/down 状态；display ip routing-table确认默认路由是否指向外网口；display nat outbound确认 NAT 策略是否绑定在出口接口。如果 PC ping 不通网关，先查接入交换机到核心的 trunk 是否放行了对应 VLAN；如果 ping 不通 8.8.8.8，查出口路由的默认路由和 NAT。参数上，VLAN 接口 IP 通常就是网关地址，NAT 的 ACL 要匹配内网网段，这些在配置文件里都能看到，改的时候注意别把管理 VLAN 也 NAT 出去。

3. 拆解企业网核心配置：VLAN、静态路由与单臂路由的落地写法

3.1 VLAN 划分与 Trunk 链路的配置逻辑

中小型企业网的典型结构是：接入交换机放办公区，核心交换机做 VLAN 间路由，出口路由器做 NAT。这份拓扑里通常会有三到四个 VLAN，比如 VLAN 10 办公、VLAN 20 服务器、VLAN 30 无线、VLAN 99 管理。配置的时候最容易翻车的地方是 Trunk 链路没放行管理 VLAN，导致你后来想远程登录交换机都进不去。

# 接入交换机 AccessSW 配置 <AccessSW> system-view [AccessSW] vlan batch 10 20 30 99 [AccessSW] interface GigabitEthernet0/0/1 [AccessSW] port link-type access [AccessSW] port default vlan 10 [AccessSW] quit [AccessSW] interface GigabitEthernet0/0/24 [AccessSW] port link-type trunk [AccessSW] port trunk allow-pass vlan 10 20 30 99 [AccessSW] quit # 核心交换机 CoreSW 配置 VLAN 接口（作为网关） [CoreSW] interface Vlanif10 [CoreSW] ip address 192.168.10.1 255.255.255.0 [CoreSW] quit [CoreSW] interface Vlanif20 [CoreSW] ip address 192.168.20.1 255.255.255.0

逻辑说明：接入层接口划 access 并指定 VLAN，上行口配 trunk 并放行所有业务 VLAN 加管理 VLAN。核心上创建 Vlanif 接口作为各 VLAN 网关，这样 VLAN 间流量直接在核心三层转发，不用绕到路由器。参数上，VLAN ID 和网段要跟拓扑里的规划一致，如果资源里用的是 192.168.1.0/24 这种默认网段，建议改成有辨识度的，避免跟家里路由器冲突。Trunk 放行列表里一定要带管理 VLAN，否则你后面 telnet 或 SSH 上不去，只能去机房插 console，这就是典型的后悔药场景。

3.2 静态路由与单臂路由：什么时候用哪种

出口路由器和核心交换机之间，常见两种做法：一是核心上写默认路由指向路由器，路由器上写回程路由指向核心；二是把路由器的一个物理口拆成子接口做单臂路由。这份资源里两种可能都有，具体看拓扑连线。单臂路由的配置关键是子接口封装 dot1q：

# 路由器 AR1 单臂路由配置（如果拓扑是路由器直接连交换机） [AR1] interface GigabitEthernet0/0/0.10 [AR1] dot1q termination vid 10 [AR1] ip address 192.168.10.1 255.255.255.0 [AR1] arp broadcast enable [AR1] quit [AR1] interface GigabitEthernet0/0/0.20 [AR1] dot1q termination vid 20 [AR1] ip address 192.168.20.1 255.255.255.0 [AR1] arp broadcast enable # 静态路由写法 [AR1] ip route-static 0.0.0.0 0.0.0.0 202.100.1.2 [CoreSW] ip route-static 0.0.0.0 0.0.0.0 192.168.99.2

逻辑说明：单臂路由用子接口终结不同 VLAN 的标签，dot1q termination vid指定 VLAN ID，arp broadcast enable必须开，否则 ARP 请求无法从子接口广播出去，PC 学不到网关 MAC。静态路由里，出口路由器写默认路由指向 ISP 模拟地址，核心交换机写默认路由指向路由器互联地址。参数上，子接口的 IP 就是对应 VLAN 的网关，互联地址通常用 /30 网段节省 IP。如果拓扑里核心和路由器之间是三层口互联，那就用静态路由方案，别硬套单臂路由，否则 VLAN 标签在路由器上没法终结。

4. 无线与防火墙：eNSP 里最容易出问题的两块

4.1 WLAN 配置与 802.1x 认证的模拟要点

热词里「ensp 无线网络配置实例」和「ensp wlan 802.1x」出现频率很高，说明很多人卡在无线这块。eNSP 里模拟 WLAN 需要 AC（接入控制器）和 AP，配置流程是：AC 上建 AP 组、配 WLAN 业务、指定安全模板，AP 上线后自动下发配置。802.1x 认证还要额外配 AAA 和 RADIUS 模板。常见翻车点是 AP 一直不上线，原因多半是 AC 和 AP 之间的 CAPWAP 隧道没通，或者 AP 的 MAC 没加到白名单里。

# AC 上配置 WLAN 基本业务 [AC] wlan [AC-wlan-view] ap-group name office [AC-wlan-view] regulatory-domain-profile name default [AC-wlan-view] ap-group office [AC-wlan-ap-group-office] regulatory-domain-profile default [AC-wlan-view] security-profile name wpa2 [AC-wlan-sec-prof-wpa2] security wpa2 psk pass-phrase Huawei@123 aes [AC-wlan-view] ssid-profile name office-ssid [AC-wlan-ssid-prof-office-ssid] ssid office-wifi [AC-wlan-view] vap-profile name office-vap [AC-wlan-vap-prof-office-vap] security-profile wpa2 [AC-wlan-vap-prof-office-vap] ssid-profile office-ssid [AC-wlan-vap-prof-office-vap] service-vlan vlan-id 30

逻辑说明：ap-group把 AP 分组管理，security-profile定义加密方式，ssid-profile定义广播的 SSID，vap-profile把安全和 SSID 绑到一起并指定业务 VLAN。参数上，pass-phrase是预共享密钥，service-vlan决定无线客户端拿哪个 VLAN 的 IP。如果配 802.1x，把security wpa2 psk换成security wpa2 dot1x，再配 AAA 指向 RADIUS 服务器。AP 不上线时，在 AC 上display ap all看 AP 状态，如果是 fault，检查 CAPWAP 源接口和 AP 的 MAC 是否在ap auth-mode里放行。

4.2 防火墙 Web 登录与安全策略

「ensp 配置防火墙 web 登录」也是高频需求。USG6000V 在 eNSP 里默认可能没开 Web 管理，需要先通过 console 配管理 IP、开 HTTPS 服务、放行管理流量。配置完用浏览器访问https://192.168.0.1:8443就能进图形界面。安全策略方面，内网到外网要放行 trust 到 untrust，外网到内网默认拒绝，这是基本盘。

# USG6000V 开启 Web 管理 <USG> system-view [USG] interface GigabitEthernet0/0/0 [USG] ip address 192.168.0.1 24 [USG] service-manage https permit [USG] service-manage ping permit [USG] quit [USG] web-manager enable [USG] security-policy [USG-policy-security] rule name allow_inside [USG-policy-security-rule-allow_inside] source-zone trust [USG-policy-security-rule-allow_inside] destination-zone untrust [USG-policy-security-rule-allow_inside] action permit

逻辑说明：service-manage https permit允许该接口接受 HTTPS 管理流量，web-manager enable全局开启 Web 管理。安全策略按 zone 匹配，trust 到 untrust 放行，untrust 到 trust 默认拒绝。参数上，管理 IP 要跟你的 PC 网卡同网段，否则浏览器打不开。如果 Web 登录后看不到接口，检查接口有没有划到安全区域，display zone能看。防火墙这块最容易忽略的是 NAT 和安全策略的先后顺序，流量先匹配安全策略再 NAT，所以策略里源地址要写 NAT 前的内网地址。

5. 避坑与排查：eNSP 报错代码、设备包和拓扑加载的常见问题

5.1 启动设备报错 40 和 43 怎么处理

现象：右键启动 AR 路由器，弹窗提示「启动设备 AR1 失败，错误代码 40」或「错误代码 43，虚拟机初始化失败」。原因：40 通常是设备包没注册或注册损坏，43 是 VirtualBox 虚拟机无法创建，可能因为 VirtualBox 版本不兼容或残留进程占用。解决：先关掉 eNSP 和 VirtualBox 所有窗口，任务管理器里结束VBoxSVC.exe和VirtualBox.exe，然后以管理员身份运行 eNSP，进「工具 → 注册设备」，勾选全部设备重新注册。如果还不行，卸载 VirtualBox 换 5.2.44 版本，重装 eNSP。注意装的时候先装 VirtualBox 再装 eNSP，顺序反了大概率出 43。

5.2 设备包有问题怎么替换

现象：设备能启动但功能不全，比如 USG6000V 没有 Web 界面，或者 AR 不支持某些命令。原因：eNSP 安装包自带的设备包版本旧，或者下载的资源里附带了不匹配的设备包。解决：去 eNSP 安装目录下的device文件夹，看各设备文件夹里的.vdi文件版本。替换时把新设备包解压后覆盖对应文件夹，然后在 eNSP 里重新注册。常见做法是保留一份原始设备包备份，替换前先改名，出问题能回滚。注意别混用不同来源的设备包，版本号对不上会直接启动失败。

5.3 拓扑加载后链路全断

现象：打开 .topo 文件后，设备之间的连线变成红色虚线，或者接口显示 down。原因：拓扑文件里记录的接口编号跟你本机 eNSP 的设备型号不匹配，比如资源里用的是 AR2220，你本机只有 AR201。解决：右键设备看型号，如果型号不对，删掉设备重新拖一个同型号的，再手动连线。连线时注意选对接口类型，GE 口对 GE 口，Serial 口对 Serial 口。如果链路是通的但协议 down，检查接口有没有shutdown，display interface brief能看到。

5.4 清空命令行窗口和配置保存的坑

现象：想清屏但不知道快捷键，或者配了半天没保存，重启后配置全丢。原因：eNSP 的命令行窗口清屏用Ctrl+L或者输入screen-length 0 temporary关闭分屏，但很多人不知道。配置保存要在用户视图下save，然后确认文件名。解决：养成习惯，每改完一段配置就save一次，别等全部配完再存。如果拓扑里预置了配置，你改完不保存，下次打开还是原来的。另外reset saved-configuration会清空启动配置，用之前想清楚，这是没有后悔药的。

5.5 WSL2 环境下 eNSP 的兼容性问题

现象：在 WSL2 的 Windows 里装 eNSP，启动设备特别慢或者直接失败。原因：WSL2 的虚拟化层和 VirtualBox 抢资源，Hyper-V 和 VirtualBox 同时开容易冲突。解决：如果必须用 WSL2，把 eNSP 装在纯 Windows 环境，别在 WSL 里跑。或者关掉 Hyper-V，用 VirtualBox 的虚拟化。常见做法是专门留一台 Windows 机器跑 eNSP，或者用双系统。这个坑比较深，折腾时间不如换台机器。

6. 进阶技巧：用 eNSP 做综合实验和配置验证的私房方法

把基础拓扑跑通之后，这份资源真正的价值在于它能当综合实验的底板。我一般会做三件事：第一，把静态路由换成 OSPF，观察邻居建立和路由收敛，对比两种方案的收敛速度和配置量；第二，在出口加一条 GRE 隧道，把两个模拟站点连起来，练一下隧道接口和路由递归；第三，用display命令做配置快照，改之前先display current-configuration存一份，改完对比差异，这样排错有依据。

验证配置是否生效，别只看 ping。ping 通只说明 ICMP 通了，不代表业务通。我习惯用tracert看路径，用display nat session all看 NAT 会话，用display firewall session table看防火墙会话。如果 PC 能 ping 通外网但打不开网页，多半是 DNS 没配或者 NAT 没匹配到 TCP 流量。这时候在出口路由器上display acl all看 ACL 命中计数，计数不涨就是没匹配上。

还有一个私房技巧：把这份拓扑里的配置文件导出成文本，用 diff 工具跟自己的配置对比。eNSP 的配置文件在save之后存在设备里，可以用display current-configuration刷屏后复制出来。对比能快速发现漏配的命令，比如忘了arp broadcast enable或者 trunk 少放行了一个 VLAN。这个习惯帮我省了很多重复排错的时间。

从那以后我每次拿到新的 eNSP 拓扑包，都强制走一遍「注册设备 → 逐台启动 → display 体检 → 保存基线」的流程，不跳过任何一步。希望这份笔记能帮你把这份资源真正用起来，少走点弯路。

本文还有配套的精品资源，点击获取