中型企业园区网 VLAN 隔离 + OSPF 组网 + 边界防火墙策略实战（ENSP 模拟）

技术信息

语言技术
Zabbix、Nagios、Linux系统类型
Windows、Linux行业分类
企业服务、网络安全

作品详情

行业场景

某中型企业多部门需网络隔离与受控互访，核心数据保护，统一出口 NAT 上公网，分支经 VPN 安全接入总部。

功能介绍

园区网模拟实战项目，基于华为 ENSP 搭建，实现多部门二层隔离 + 三层互通 + 出口安全防护的完整组网。

需求背景：某企业有行政、研发、财务三个部门，需实现各部门独立 VLAN 隔离、同部门跨楼层互通、部门间按白名单互访、单出口 NAT 出网、边界防火墙安全策略与 IPSec VPN 对接。

主要功能：① VLAN 规划（VLAN 10/20/30，接入层端口隔离，核心做三层网关）；② 中继冗余（Trunk + Eth-Trunk 链路聚合，MSTP 防环）；③ 路由（核心跑 OSPF 单区域，宣告各 VLAN 网关）；④ 出口（边界路由器 Easy-IP NAT）；⑤ 安全（防火墙划分 Trust/DMZ/Untrust 安全域，策略精确放行、默认拒绝）；⑥ 远程接入（IPSec VPN 供分支访问总部）；⑦ 可观测（DHCP Snooping + 端口安全 + Wireshark 抓包验证）。

交付物：拓扑图、.cfg 配置文件、地址规划表、安全策略表、ping/tracert/抓包验证记录、排错说明文档。

项目实现

1. 拓扑设计：接入—汇聚—核心—出口三层架构。接入 S3700×3，核心 S5700 做三层网关，出口 AR2200 做 NAT，边界 USG6000 防火墙做安全策略，旁挂 AC 管 AP。

2. 关键配置：(1) VLAN 与二层——接入交换机创建 VLAN 10/20/30，用户端口配 access + default vlan，互联口配 trunk 放行，核心配 Eth-Trunk + MSTP 防环；(2) 三层互通——核心为每个 VLAN 配 vlanif 网关，与出口跑 OSPF 宣告网段，用 display ospf peer 验证邻居；(3) 地址分配——核心配 DHCP（池+网关+DNS），开 DHCP Snooping；(4) 出口 NAT——边界路由器默认路由指向公网，内网口开 NAT Outbound（Easy-IP）；(5) 防火墙——划分安全域，策略按源/目的/服务放行、默认 deny，display policy 看命中计数，配 IPSec VPN（IKE+IPSec 提议、策略、隧道接口，预共享密钥建隧）。

3. 测试验证：同 VLAN 跨楼层 ping 通；部门间默认不通、白名单放行后通；内网可访问公网（display nat session 可见会话）；未授权端口被策略拦截（deny 计数增加）；分支经 VPN 访问总部（Wireshark 确认 ESP 封装）。

4. 排错要点：记录 VLAN 不通（trunk 放行遗漏）、OSPF 邻居起不来（区域/认证不一致）、NAT 不生效（ACL 未匹配）、策略误拦（命中计数定位）等典型问题的排查命令与解决过程。