简介：面向网络工程学习者与课程实验场景的 eNSP IPv6 校园网规划与设计实验套件，围绕校园网拓扑搭建，串联 VLAN 划分、单臂路由子接口、VRRP6、OSPFv3、防火墙安全策略、DHCPv6、IPv6 over IPv4 GRE 隧道及双栈默认路由等技术，适合课程设计复现与综合练习。压缩包共 48 个文件、约 633KB，以 19 个 cfg 可导入配置、15 个 efz 设备镜像和 1 个 topo 拓扑文件为主体，另配 3 个 txt 命令清单、3 张地址规划与拓扑图、2 个 xml 及若干 zip 素材，配置与文档相互对应，便于还原实验环境。已有 5029 人学习下载。读者可获得现成拓扑与地址规划表、分设备配置文件、带视图前缀的完整命令及全程配置参考视频，命令已整理成可直接复制粘贴的形式，能完成从设备初始化到策略验证的全流程，也便于排查 OSPFv3 邻居、VRRP6 主备切换与隧道连通性问题。

1. 为什么校园网搭建要先做 IPv6 地址规划，而不是先连拓扑

很多人拿到“基于 eNSP 的 IPv6 校园网规划与设计”这个题目，第一反应是打开模拟器，拖两台路由器、三台交换机，拉线，配地址，能 ping 通就算完事。这么做的结果是：配到第三个网段时发现前缀分完了，改一次前缀要回去把十几台设备的接口地址、OSPFv3 进程、DHCPv6 地址池全部重来一遍。网络拓扑可以重画，地址规划一旦铺开就是全局返工。IPv6 和 IPv4 最大的差别不在协议本身，而在地址空间大到必须“规划”才能用——随手写一个/64很容易，但要让教学区、宿舍区、数据中心、出口互联、设备管理这五类区域在同一个/48里各占一块、互不重叠、还能预留扩容，就必须在动鼠标之前先画表格。这套方案面向的是要交一份完整校园网搭建设计的学生，以及要给新校区做 IPv6 改造预演的初级网络工程师。它讲的不是“IPv6 是什么”，而是这套实验从地址表、拓扑图、配置脚本到验收清单，每一层该产出什么东西。

2. 需求与地址规划：从终端规模反推 IPv6 前缀怎么切

2.1 先把校区拆成可计算的区域单元

需求阶段最容易糊弄过去的一句话是“某高校需要一个 IPv6 校园网”。这句话没法落地，因为它没有给出任何可以推导地址块的信息。我一般的做法是把它拆成四个可以量化的维度：区域数量、每个区域的终端规模、是否需要独立策略、未来三到五年的扩容比例。

按一个中等规模校区来假设：教学区三栋楼，每栋约 300 个有线信息点加 200 个无线终端；宿舍区六栋楼，每栋 400 个信息点；数据中心一个机房，约 30 台服务器和网络设备；出口两台路由器做双出口；另外还有一套带外管理网。这些数字不需要精确到个位，它的作用是把“一个校园网”变成一张有行有列的清单，后面切地址时每一行都能对应上一块前缀。

为什么要按楼而不是按学院来切？因为 VLAN 和物理链路是按楼走的，一个学院跨两栋楼的情况太常见，按学院切会导致同一个/64出现在两台汇聚设备上，网关不知道放哪。按楼切，汇聚设备就是天然的边界，广播域和路由域对得上，出问题时排查范围也清楚。这个原则在 IPv4 时代就成立，IPv6 只是把它放大了——因为 IPv6 一个/64里有 2 的 64 次方个地址，你几乎不可能“用完了再换”，一旦划错，没有后悔药。

区域划分的结果通常长这样：教学区、宿舍区、数据中心、出口互联、网络管理，五块。每一块再往下按楼栋、按楼层、按 VLAN 逐级细分，形成一棵树。这棵树就是后面所有地址表的骨架，也是拓扑图的分区依据。

2.2 地址规划：一个 /48 切到每个 VLAN 一个 /64

IPv6 的地址规划有一条硬约束：任何准备跑 SLAAC 的网段，子网前缀必须是/64。这不是建议，是协议规定——SLAAC 需要 64 位接口标识，前缀长度不是/64就无法自动配置。所以规划的实质是：拿到一个足够大的前缀，把它一路切到/64为止。

校园网通常从运营商或上级网络拿到一个/48，如果拿不到，实验里用文档专用前缀2001:db8::/32里的任意一段也完全够用，不会和任何真实网络冲突。假设分到的是2001:db8:acad::/48，那么第 49 到 52 位可以用来区分大区，第 53 到 56 位区分楼栋，第 57 到 64 位区分 VLAN，最后 64 位留给终端。

具体到 VLAN 层面，就变成一张可以直接抄进配置的网段表：

网关统一用::1是个小习惯，但收益很大：所有设备的网关地址规律一致，排查时不用查表就知道该 ping 谁；做 DHCPv6 地址池时排除范围也只需写一条::1 to ::ff。Loopback 地址我一般按2001:db8:acad:ff01::1/128这种格式分配，和路由器编号对应，OSPFv3 的 router-id 就用这套地址反推出来的 IPv4 格式数字，两边能对得上。

点对点互联链路建议用/127而不是/64。RFC 6164 明确推荐这么做，原因是/64的点对点链路上如果有人做地址扫描，会瞬间产生海量邻居发现报文。实验里用/127还有一个好处：拓扑图上一眼能看出哪条是互联链路，哪条是用户网段。

提示：整份地址表在开工前要写在文档里并冻结版本。实验过程中任何一次“临时加个网段”都要回到表里登记，否则做完实验你也说不清某个网段是从哪切出来的。

2.3 设备角色与拓扑骨架的对应关系

地址表定完，设备清单基本就自动出来了。核心层两台三层交换机做网关冗余和 OSPFv3 骨干；汇聚层每个区域一台，负责本区域 VLAN 的三层终结；接入层每栋楼两到三台二层交换机，只做 VLAN 透传；出口两台路由器做双栈出口和策略控制；数据中心区挂 DNSv6、DHCPv6 服务器和一台双栈 Web 服务器做验证目标。

这个角色划分直接决定了后面配置的分工：接入层只需要划 VLAN、配 trunk，一条 IPv6 命令都不用写；汇聚层和核心层才需要配ipv6 address、ospfv3、dhcpv6。很多实验做不下去，就是因为把三层功能配到了二层接入交换机上，而 eNSP 里的低端二层型号在 Vlanif 上对 IPv6 的支持并不完整，配了也不生效。

3. 网络拓扑设计：核心-汇聚-接入三层加出口双栈的职责划分

3.1 三层拓扑结构与链路选型

拓扑在 eNSP 里画出来是点线，但在方案文档里必须写清楚每一层承担什么。核心层两台设备之间跑一条聚合链路，同时下联各区域汇聚；汇聚层向上双归到两台核心，向下用 trunk 接接入交换机；接入层每台设备至少有一条上联，重要楼栋做双上联。

链路的选型在模拟器里没有物理限制，但方案里要写“为什么这么连”。核心与汇聚之间我一般用千兆互联，因为它承载的是整个区域的跨网段流量；汇聚与接入之间也用千兆，但接入到终端的接口按百兆算，这个比例和真实校园网的收敛比是对得上的。核心双机之间用两条链路做链路聚合，目的是让 OSPFv3 的骨干区域在任何一台核心宕机时不断开。

出口部分是这个实验里最容易被简化掉的一块。很多人的拓扑到核心就结束了，IPv6 地址只在内网跑通，出不去。完整的做法是出口放两台路由器，一台模拟主用线路，一台模拟备用，核心到出口之间跑一条/127互联，出口路由器上用默认路由指向外部，内网通过 OSPFv3 下发默认路由。这样整条路径是通的，答辩时“数据包从宿舍楼到外网”这条链路可以完整讲出来。

3.2 路由协议选择：OSPFv3 打底，静态路由兜底

IPv6 校园网的路由协议基本没有悬念，用 OSPFv3。原因不是它比 IS-IS 好，而是它的配置模型和 OSPFv2 几乎一致，学过 IPv4 OSPF 的人半小时就能上手，而且 eNSP 对它的支持最完整。

区域划分上，我把核心层和出口互联划进骨干区域0.0.0.0，教学区、宿舍区、数据中心各划一个非骨干区域。这样做的目的是控制 LSA 泛洪范围——某个宿舍楼的链路抖动不会把整个骨干区域的拓扑重算一遍。区域边界放在汇聚交换机上，它同时是 ABR，负责把本区域的/64网段汇总后通告给骨干。

汇总这一条要专门说。OSPFv3 的地址汇总命令和 OSPFv2 不一样，是在 ABR 的区域视图下配abr-summary，把教学区的所有/64汇总成一条2001:db8:acad:1000::/52发出去。汇总之后核心路由表会干净很多，从几十条变成几条。但汇总也有代价：被汇总掉的明细路由如果有一条断了，汇总路由不会跟着撤销，可能造成黑洞。实验里为了展示效果可以汇总，但要在文档里注明这个风险，这也是答辩时能加分的点。

路由协议的关键参数要在设计阶段定死：

Router-ID 在 OSPFv3 里是必须手工指定的，这一点和 OSPFv2 不同：OSPFv2 会自动选一个接口地址当 Router-ID，OSPFv3 没有 IPv4 地址可用，如果设备上也没配 IPv4，进程根本起不来。这是这个实验里出现频率最高的翻车点之一，后面避坑章节还会展开。

3.3 VLAN 与 IPv6 网关的部署位置

网关放哪，决定了广播域边界和故障域大小。这套方案里网关统一放在汇聚交换机上，核心层只做三层转发不做网关。这样做的直接好处是：某栋楼的所有终端，即使核心层全挂，楼内互访仍然正常。

VLAN 的编号要跟地址表对齐。教学区 10 到 29，宿舍区 30 到 49，服务器区 50 到 69，管理 99 单独留给设备管理。VLAN 和/64之间保持“编号能反推”的关系，比如 VLAN 10 对应2001:db8:acad:1010::/64，看到地址最后一段就知道属于哪个 VLAN。这种土办法不起眼，但在联调阶段能省下大量翻表的时间。

接入交换机到汇聚的链路配成 trunk，放行本楼所需的 VLAN；接入交换机的用户端口配成 access，划入对应 VLAN。这里有个容易被忽略的细节：IPv6 的 RA（路由器通告）是从网关接口发出去的，接入交换机必须能透传 ICMPv6 的 RA 报文和 NS/NA 报文，如果中间有设备做了 IPv6 的 ACL 或者 ND 抑制，终端就拿不到地址。实验里通常不会配这些，但方案里要写明“接入层不做 IPv6 报文过滤”，把责任边界讲清楚。

管理 VLAN 单独划出来，所有设备的 Vlanif99 或 Loopback 都放在2001:db8:acad:ff10::/64里，只允许管理终端访问。这一条在实验评分里往往对应“安全性”那一项，不做也不会报错，但做了能明显看出方案完整度。

4. 校园网搭建的关键配置：VLAN、OSPFv3 与 DHCPv6 三层落地

4.1 接入层与汇聚层的基础配置

接入层的配置很薄，重点是 VLAN 划分和 trunk 放行。以一台接入交换机为例：

# 接入交换机：只做二层透传，不配任何 IPv6 地址 sysname ACC-JXL-A-1 vlan batch 10 20 99 # 上联口：trunk，放行本楼 VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 99 # 用户端口：access，划入有线 VLAN interface GigabitEthernet0/0/2 port link-type access port default vlan 10

这段配置里没有任何 IPv6 命令，因为二层交换机不需要。接入层的职责就是把 VLAN 标签透传到汇聚，DHCPv6 报文和 RA 报文都是二层广播/组播，trunk 放行了就能过。

汇聚层才是 IPv6 真正开始的地方。全局必须先开ipv6，否则接口下配地址会直接报错：

# 汇聚交换机：本区域的三层网关 sysname AGG-JXL-1 ipv6 vlan batch 10 20 99 interface Vlanif10 ipv6 enable ipv6 address 2001:db8:acad:1010::1/64 undo ipv6 nd ra halt interface Vlanif20 ipv6 enable ipv6 address 2001:db8:acad:1020::1/64 undo ipv6 nd ra halt interface Vlanif99 ipv6 enable ipv6 address 2001:db8:acad:ff10::1/64

undo ipv6 nd ra halt这一行的作用是把接口的 RA 抑制取消掉。很多设备接口默认是ipv6 nd ra halt状态，也就是不发路由器通告，终端即使链路通也只会拿到一个fe80::开头的链路本地地址，永远拿不到全局地址。这个命令是整个实验里性价比最高的一行，也是排查“终端没地址”时的第一检查项。

ipv6 enable和ipv6 address的关系也要说清楚：ipv6 enable只让接口具备 IPv6 能力并生成链路本地地址，ipv6 address才是配全局地址。两个都要配，少一个都不行。有些版本里配了全局地址会自动使能，但依赖这种隐式行为在排障时很麻烦，我一般显式写全。

4.2 OSPFv3 与地址自动配置

OSPFv3 的配置分两步：进程和接口。进程里指定 router-id 和区域，接口上把接口挂进进程。和 OSPFv2 不同的是，OSPFv3 的接口配置不需要写网段，它是基于接口使能的。

# 汇聚交换机上启用 OSPFv3，router-id 必须手工指定 ospfv3 1 router-id 10.1.1.1 area 0.0.0.0 # 骨干互联接口挂进区域 0 interface Vlanif100 ipv6 enable ipv6 address 2001:db8:acad:f100::1/127 ospfv3 1 area 0.0.0.0 # 用户网段挂进本区域（区域 1） interface Vlanif10 ospfv3 1 area 0.0.0.1

router-id 10.1.1.1是一个 IPv4 格式的点分十进制数，即使设备上一条 IPv4 地址都没配也必须写，否则进程会停在Down状态不动。这个数字我一般按“区域号.设备号”来编，1 号区域 1 号设备就是10.1.1.1，出问题时看邻居表的 router-id 就知道对方是谁。

地址下发有两种方案：SLAAC（无状态）和 DHCPv6（有状态）。校园网的实际做法是混合：终端用 SLAAC 拿地址，同时通过 DHCPv6 拿 DNS 服务器地址。这对应 RA 报文里的 M 位和 O 位标志：

# 汇聚交换机 Vlanif10：SLAAC 下发前缀，DHCPv6 下发 DNS interface Vlanif10 ipv6 address 2001:db8:acad:1010::1/64 undo ipv6 nd ra halt ipv6 nd autoconfig managed-address-flag off ipv6 nd autoconfig other-flag on # DHCPv6 地址池：只发 DNS 和域名，不发地址 dhcp enable dhcpv6 pool POOL-JXL dns-server 2001:db8:acad:3010::53 domain-name campus.example excluded-address 2001:db8:acad:1010::1 to 2001:db8:acad:1010::ff interface Vlanif10 dhcpv6 server POOL-JXL

managed-address-flag off加上other-flag on的组合意思是：地址你自己通过 SLAAC 生成，其他配置（DNS、域名）找 DHCPv6 服务器要。这是校园网最常用的模式，因为终端数量大，DHCPv6 服务器如果要做地址租约表会很吃力，而无状态模式只发配置不发租约，服务器压力小很多。

excluded-address那一行排除的是网关和保留地址段，防止 DHCPv6 把::1分给终端造成地址冲突。虽然这个池子不发地址，但排除项写上是个习惯，将来改成有状态模式时不用再补。

数据中心区的服务器建议用静态地址，不参与自动配置。服务器地址写死在配置里，DNSv6 的正向和反向解析才稳定，也方便做 ACL 策略。DNSv6 服务器的地址2001:db8:acad:3010::53里最后一段用::53是行业习惯，看到就知道是 DNS。

4.3 出口双栈与访问控制

出口路由器的职责有两个：把内网流量送出去，把不该进来的挡在外面。IPv4 侧继续用 NAT，IPv6 侧一般不做 NAT（NAT66 存在但校园网不常用），改为直接路由加 ACL 过滤。

# 出口路由器：IPv4 侧 NAT + IPv6 侧默认路由 interface GigabitEthernet0/0/1 ip address 198.51.100.2 255.255.255.252 nat outbound 2000 interface GigabitEthernet0/0/2 ipv6 enable ipv6 address 2001:db8:acad:f001::2/127 # 向 OSPFv3 域内下发默认路由 ospfv3 1 default-route-advertise always # IPv6 访问控制：只允许内网访问服务器的 443 端口 acl ipv6 number 3000 rule 5 permit tcp source 2001:db8:acad:1000::/52 destination 2001:db8:acad:3010::/64 destination-port eq 443 rule 10 deny ipv6 interface GigabitEthernet0/0/2 traffic-filter ipv6 acl 3000 inbound

default-route-advertise always里的always关键字很关键：如果出口路由器自己没有默认路由，不加always就不会向 OSPFv3 域内通告默认路由。实验里出口路由器通常配一条静态默认路由指向模拟外网，这时不加always也能工作，但一旦静态路由失效，内网就全部断网。加上always至少保证内网还有一条路可走，虽然可能是黑洞，但比无声无息地断掉好排查。

ACL 的规则顺序是按序号从小到大匹配，第一条命中就停止。所以permit写在deny前面，最后一条deny ipv6兜底。这个顺序如果写反，整个区域的流量会被全部拒绝，而且是静默拒绝，现象就是“能 ping 通网关但访问不了服务器”，非常容易误判成路由问题。

注意：traffic-filter的方向是相对于接口的。配在出口路由器的外网口上，inbound表示从外网进来的流量，方向搞反会把内网流量全挡了。

5. 联调避坑：五类最容易翻车的现象与排查路径

5.1 地址拿不到：RA 抑制与标志位错配

现象：终端能 ping 通网关的链路本地地址，但ipconfig里只有fe80::开头的地址，没有2001:db8:的全局地址。

原因：接口默认处于 RA 抑制状态，或者 RA 的 M/O 标志和实际部署的地址下发方式不匹配。前者是没配undo ipv6 nd ra halt，后者是配了 DHCPv6 服务器但 RA 里没打开 O 位，终端不知道该去找服务器要 DNS。

解决：先在网关上display ipv6 interface Vlanif10看输出里有没有RA Is Send字样，没有就补undo ipv6 nd ra halt。再看ipv6 nd autoconfig的两个标志位是否和地址池配置对得上。排查这一步最快的办法是在终端侧抓包，看有没有收到 RA 报文：收到了但标志位不对，是配置问题；收不到，是链路或 trunk 没放行 VLAN。

5.2 邻居起不来：Router-ID 缺失与区域不匹配

现象：OSPFv3 邻居表里对方一直停在Init或Down，display ospfv3 peer看不到 Established。

原因：最常见的是某一端没配 router-id。OSPFv3 不像 OSPFv2 会自动选接口地址，没有 router-id 进程根本不会发 Hello。其次是两端区域号不一致，或者接口上漏了ospfv3 1 area x这一行——接口没挂进进程，就不会发 Hello，对端自然收不到。

解决：两端都执行display ospfv3 1确认进程状态是Running而不是Down，再看display ospfv3 interface确认接口已经使能。区域号不一致的情况在跨区域互联时特别多，因为一边配了area 0.0.0.0另一边配了area 0，虽然语义相同但有的版本对写法敏感，统一写四段式最保险。

5.3 网段不通但邻居正常：VLAN 未放行与网关位置错误

现象：OSPFv3 邻居是 Established，核心路由表里也能看到对方网段，但从教学区 ping 宿舍区不通。

原因：trunk 链路漏放行了某个 VLAN，导致 Vlanif 的协议状态是Down，网段虽然被通告出去但实际没有出口。另一种情况是网关配错了设备——本该在汇聚上配的 Vlanif 配到了接入交换机上，而接入交换机不支持 IPv6 三层，配置看起来成功但转发不生效。

解决：在汇聚上display ipv6 interface brief，逐个确认 Vlanif 的物理状态和协议状态都是UP。trunk 链路上用display port vlan看放行列表，缺哪个补哪个。接入交换机的型号支持能力要提前确认，eNSP 里部分低端型号在 Vlanif 下配 IPv6 地址不会报错但也不生效，这种“配置成功但不工作”的情况最耗时间，唯一办法是换型号或者把网关上移到汇聚。

5.4 小包通大包不通：MTU 与分片问题

现象：ping通，但传文件、开网页卡住，或者ping加大包长度就丢。

原因：路径上某段链路的 MTU 小于 1500，而 ICMPv6 的“包过大”报文被过滤掉了。IPv6 取消了路由器分片，中间设备遇到超 MTU 的包必须回 ICMPv6 Type 2 让源端自己调整，如果这条报文被 ACL 挡了，源端永远不知道要减小包长，表现就是小包通大包不通。

解决：先用ping ipv6 -s 1400逐级测试找出瓶颈链路，再检查路径上的 ACL 是否放行了 ICMPv6。IPv6 环境下 ICMPv6 是协议运转的一部分，不能像 IPv4 那样一禁了之，邻居发现、地址解析、路径 MTU 发现全靠它。ACL 里至少要放行 Type 1、2、3、4 和 133 到 137 这几种。

5.5 模拟器本身的问题：设备起不来与性能瓶颈

现象：拓扑里有十几台设备，启动到一半卡住，或者某台设备一直显示红点，控制台连不上。

原因：eNSP 的每台设备都是一个独立进程，内存占用和设备数量成正比。核心加汇聚加接入再加终端，二十台以上很容易把内存吃满，尤其是同时开了 Wireshark 抓包的时候。另一种情况是设备镜像本身有问题，注册表里路径不对，设备能拖出来但启动失败。

解决：分区分批启动，先起核心和汇聚，配置完再起接入和终端；单次抓包只开一个接口，抓完立刻停。拓扑规模大的时候把不参与转发的终端换成简化型号，能省不少内存。设备启动失败的，去模拟器的设备注册列表里确认镜像路径存在，路径里有中文或空格也会导致启动异常。

6. 验收与答辩：用一份检测清单证明这套 IPv6 方案真的跑通了

实验做完不等于方案成立。评审看的不是你配了多少行命令，而是你能不能拿出证据说明“这套设计在指定条件下是通的、是稳的”。我一般会准备一份验收清单，每一项都对应一条可以现场执行的命令或一次抓包，逐条过。

这张表的价值在于它把“做完了”变成“验收通过了”。答辩时按表的顺序讲，逻辑天然是“规划—配置—验证”，比从头念配置脚本强得多。

讲解顺序我建议倒过来：先讲需求，再讲地址规划和拓扑图，然后挑一条完整路径（比如宿舍 1 栋的终端到数据中心 Web 服务器）走一遍，最后演示一次断链收敛。这条路径能把接入 VLAN、汇聚网关、OSPFv3 邻居、核心转发、ACL 五件事串起来，讲完这一条，评委基本不会再问“你这个网到底通不通”。

有两个细节我每次都会准备：一是把关键接口的display输出提前截图放进文档，现场不用等设备响应；二是准备一次“故意改错”的演示，比如把某个 Vlanif 的undo ipv6 nd ra halt删掉，让终端拿不到地址，再当场排查出来。这个动作能证明你不是照着脚本敲了一遍，而是真的理解每个命令在干什么。

从那以后我每次带人做这类网络实验，都强制要求先交地址表和验收清单，配置脚本放在最后。因为脚本是可以背的，地址表和验收标准背不出来——它们才是这套方案真正的设计部分。希望帮到你。

本文还有配套的精品资源，点击获取