最近后台收到不少朋友私信都在问 eNSP 相关的实验。有人是刚考完初级网络认证想在模拟器里练手却不知道怎么搭一个完整的网络有人是刚入职的运维平时只接触过单台交换机遇到跨设备通信的问题就抓瞎还有人纯粹是自学网络照着网上的教程配完了 VLAN结果终端之间根本不通折腾一晚也查不出原因。这些问题其实都指向同一个东西——eNSP 里的三层网络架构实验。所谓三层架构就是园区网里最经典的接入层、汇聚层、核心层模型。你去看任何一家中大型企业的办公网、学校的校园网甚至很多政务网、医院内网底层骨架基本都是这么搭的。但很多教程只告诉你“要这么配”不告诉你“为什么要这么配”导致你换个拓扑、换几个 VLAN 就配不出来了。这篇文章我就以一套完整的 eNSP 三层架构实验为项目主线从地址规划到接入层、汇聚层、核心层的具体配置命令再到全网联调和故障排查把每一步的设计思路和背后原理都讲透。无论你是备考认证、刚入行做网工还是想系统搞懂交换和路由这篇实验笔记都能让你少走很多弯路。1. 三层架构实验到底在解决什么问题1.1 三层模型的分工逻辑很多人一上来就拖设备、敲命令结果做完实验还是稀里糊涂。我建议先花十分钟搞清楚一个问题三层架构里的每一层到底是干什么的先打个比方。把网络想象成城市的交通系统终端设备是“居民小区”汇聚层交换机是“城市主干道”核心层交换机就是“高架快速路和立交桥”。居民要先走小区内部的路接入层再上主干道汇聚层最后通过快速路跨区域通行核心层。接入层负责把 PC、打印机、摄像头、AP 这些终端收进来按业务类型划分 VLAN限制广播域。它是离用户最近的一层端口密度大但通常不承担复杂的路由计算。汇聚层是整个方案的“策略控制点”。VLAN 间路由网关、访问控制策略、网关冗余VRRP、链路聚合通常都在这一层做。它向上连接核心向下汇聚接入。核心层只做一件事——高速转发。不碰终端不做复杂的访问控制目标是尽可能快地把数据从一个区域送到另一个区域。核心层的稳定性和转发性能直接决定全网体验。在小型网络里你可以把三层合并成两层甚至一层但一旦终端数量超过几百台、业务类型变多扁平化结构就会暴露问题广播域太大、环路风险高、排障困难、单点故障影响面广。所以三层架构的真正价值不是“看起来专业”而是分层隔离故障、分层控制策略、分层扩展规模。1.2 本次实验的拓扑与方案选型下面是我这次要搭的拓扑也是最典型的中型园区网结构两台核心交换机Core-A、Core-B做双核心冗余。两台汇聚交换机Dist-A、Dist-B承接所有 VLAN 网关。三台接入交换机Access-A1、Access-A2、Access-A3接入终端。一台路由器Router模拟外部网络出口。VLAN 规划上我设计了三个业务网段VLAN 10 办公区192.168.10.0/24、VLAN 20 研发区192.168.20.0/24、VLAN 30 服务器区192.168.30.0/24。有两个方案层面的选择值得你重点理解第一网关放哪我选择把 VLAN 网关放在汇聚层而不是核心层。这样核心层可以保持“纯三层”的干净状态只跑路由协议和高速转发。汇聚层压力大一点但可以配合 VRRP 做网关冗余一台挂了另一台顶上终端不会断网。如果网关放核心层虽然配置上少了一层路由但核心一旦出问题影响的是全网所有 VLAN。第二动态路由用什么核心和汇聚之间我跑 OSPF而不是静态路由。原因很简单静态路由在双核心、双汇聚环境下需要维护大量条目改动任何一个网段都要手动改好几台设备维护成本极高。OSPF 能自动学习路由还能通过开销值控制主备路径更适合这种需要冗余和负载均衡的场景。2. 搭好拓扑做好地址规划2.1 eNSP 环境准备与设备选型eNSP 做实验版本不用追新稳定能用就行。我这边用的是模拟器自带的三层交换机作为核心和汇聚二层交换机作为接入一台路由器模拟外网。设备选型上有个建议核心层一定选三层交换机不要用二层交换机否则 VLANIF 接口和路由协议都起不来。接入层用二层就够了毕竟它只负责端口和 VLAN。启动模拟器之后先把设备拖到画布上按下面这个思路连线每台接入交换机分别用两根线上联到两台汇聚交换机。两台汇聚交换机之间互联一根线。两台汇聚交换机分别上联到两台核心交换机每台汇聚都同时连两台核心。两台核心之间互联一根线。其中一台核心交换机再连一台路由器模拟出口。连线时注意模拟器里连线默认都是千兆口但要在接口上配置 IP 和 VLAN必须用接口视图去操作双击设备就能进去。布线完成后先别急着配地址规划必须先想清楚。2.2 设备命名与接口互联规划设备多了以后最怕的就是“分不清哪台是哪台”。我习惯在实验开始前做一张完整的接口规划表每根线连哪个接口都写清楚这样配置的时候不用来回看拓扑。连接关系本端设备/接口对端设备/接口接入1上联汇聚AAccess-A1 GE0/0/23Dist-A GE0/0/1接入1上联汇聚BAccess-A1 GE0/0/24Dist-B GE0/0/1汇聚A互联汇聚BDist-A GE0/0/2Dist-B GE0/0/2接入2上联汇聚AAccess-A2 GE0/0/23Dist-A GE0/0/3接入2上联汇聚BAccess-A2 GE0/0/24Dist-B GE0/0/3接入3上联汇聚AAccess-A3 GE0/0/23Dist-A GE0/0/4接入3上联汇聚BAccess-A3 GE0/0/24Dist-B GE0/0/4汇聚A上联核心ADist-A GE0/0/23Core-A GE0/0/23汇聚A上联核心BDist-A GE0/0/24Core-B GE0/0/23汇聚B上联核心ADist-B GE0/0/23Core-A GE0/0/24汇聚B上联核心BDist-B GE0/0/24Core-B GE0/0/24核心A互联核心BCore-A GE0/0/25Core-B GE0/0/25核心A连出口路由器Core-A GE0/0/26Router GE0/0/0这份规划表是实验的地基。你看着拓扑连线的时候会觉得很简单但当你在十几台设备里来回切换时没有一张对照表很容易把线连错地方后面排查起来极其痛苦。2.3 IP 与 VLAN 地址规划表地址规划我使用的是 24 位掩码的业务网段 30 位掩码的互联网段。30 位掩码只有两个可用地址专门用于点对点互联链路地址利用率高也整洁。网段用途网关/地址VLAN 10192.168.10.0/24办公区终端虚拟网关 192.168.10.1主网关 Dist-A192.168.10.254备网关 Dist-B192.168.10.253VLAN 20192.168.20.0/24研发区终端虚拟网关 192.168.20.1主网关 Dist-A192.168.20.254备网关 Dist-B192.168.20.253VLAN 30192.168.30.0/24服务器区虚拟网关 192.168.30.1主网关 Dist-B192.168.30.253备网关 Dist-A192.168.30.25410.0.1.0/30Dist-A 到 Core-ADist-A10.0.1.2Core-A10.0.1.110.0.2.0/30Dist-A 到 Core-BDist-A10.0.2.2Core-B10.0.2.110.0.3.0/30Dist-B 到 Core-ADist-B10.0.3.2Core-A10.0.3.110.0.4.0/30Dist-B 到 Core-BDist-B10.0.4.2Core-B10.0.4.110.0.100.0/30Core-A 到 Core-BCore-A10.0.100.1Core-B10.0.100.2100.1.1.0/30Core-A 到外网 RouterCore-A100.1.1.1Router100.1.1.2注意看 VLAN 30 的网关我做了差异化设计VLAN 10、20 的主网关在 Dist-AVLAN 30 的主网关在 Dist-B。这样可以让两台汇聚设备分担压力避免一台跑满另一台闲着。这在真实项目里叫流量的负载均衡也是 VRRP 最常见的玩法。3. 接入层配置把终端收进正确的 VLAN3.1 创建 VLAN 与 Access 端口配置接入层是所有终端进入网络的第一个关卡。先配置其中一台接入交换机另外两台方法完全一样。system-view sysname Access-A1 vlan batch 10 20 30 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/3 port link-type access port default vlan 30vlan batch 10 20 30是一次性创建多个 VLAN 的写法比一个个vlan 10然后quit要高效得多。Access 端口只属于一个 VLAN收到的数据帧不带 VLAN 标签交换机转发时再打上对应 VLAN 的标签。这里有一个新手经常犯的错误接到 PC 的口忘记配port link-type access。默认端口可能是 Hybrid 类型而 PC 发送的是不带标签的数据帧Hybrid 口也允许接收不带标签的帧所以在一台交换机内部可能通信正常但一旦上联到汇聚往往出现 VLAN 不匹配的奇怪现象。我的建议是所有接终端的接口一律显式配置成 Access并指定默认 VLAN不要让交换机用默认配置。3.2 上联 Trunk 配置与 VLAN 放行接入层设备的另一个关键任务是把带有 VLAN 标签的数据传到上层。接入交换机上联到汇聚的两个口必须配置为 Trunk 并放行对应 VLAN。interface GigabitEthernet0/0/23 port link-type trunk port trunk allow-pass vlan 10 20 30 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30有人会问既然port trunk allow-pass vlan all能放行所有 VLAN为什么只写三个这就是我在实际项目里吃过亏的地方。Trunk 放行所有 VLAN 虽然省事但意味着接入层新增任何 VLAN都会直接透传到上游你无法在接入层做隔离。更关键的是如果某段链路上存在一个你不想要的 VLAN比如网络设备管理 VLAN一旦沿 Trunk 传播开来可能引发管理网段的地址冲突。**所以在实验里养成好习惯Trunk 上只放行明确的业务 VLAN。真实网络中这是安全审查的重点项。3.3 接入层配置的常见坑我在做这套实验时接入层踩过两个比较隐蔽的坑。第一个是不配端口的undo shutdown直接测试。eNSP 模拟器里默认端口也是开启的但如果你之前在接口上执行过shutdown后面忘了打开PC 端就完全不通而检查配置时很容易忽略这个问题。养成习惯配置完接口后统一检查一遍接口状态display interface brief里 Down 的端口要逐一看原因。第二个是接入层两根上联都接入汇聚后出现环路。这种情况如果遇到说明汇聚层还没配置 STP 或 RSTP。你做了两个上联做冗余但二层物理环路是真实存在的必须由 STP 协议来阻塞冗余路径。所以接入层配置完紧接着就要去汇聚层把 STP 处理和根桥规划做好不要等到出问题再补。4. 汇聚层配置网关、冗余与链路聚合4.1 VLANIF 接口与三层网关配置汇聚层是这套实验里配置量最大的部分也是整个三层架构的价值集中点。先看 Dist-A 的配置。system-view sysname Dist-A vlan batch 10 20 30 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 interface Vlanif30 ip address 192.168.30.254 255.255.255.0Vlanif就是常说的 SVISwitch Virtual Interface它为 VLAN 提供一个三层网关接口。终端把默认网关指向这个 IP跨 VLAN 的数据就会先到达汇聚交换机由汇聚交换机在三层查路由表后转发到目的网段。理解 VLANIF 的关键在于一个 VLANIF 接口 这个 VLAN 的三层入口。没有配置 VLANIF 的 VLAN只能在二层转发无法实现 VLAN 间路由。很多新手以为“创建了 VLAN 就能互通”其实 VLAN 本身就是隔离的互通必须有三层网关。Dist-B 的 VLANIF 配置类似但注意我把 VLAN 30 的网关地址设为 192.168.30.253和 Dist-A 的 192.168.30.254 不一样。这是为后面 VRRP 主备切换做准备的。4.2 VRRP 实现网关冗余现在问题来了一台汇聚挂了怎么办如果汇聚是唯一网关那所有终端直接断网。所以要用 VRRP 把两台汇聚虚拟成一个网关 IP终端把网关指向虚拟 IP实际转发由主设备负责主设备故障时备设备自动接管。在 Dist-A 上配置interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 interface Vlanif20 vrrp vrid 20 virtual-ip 192.168.20.1 vrrp vrid 20 priority 120 interface Vlanif30 vrrp vrid 30 virtual-ip 192.168.30.1在 Dist-B 上配置interface Vlanif10 vrrp vrid 10 virtual-ip 192.168.10.1 interface Vlanif20 vrrp vrid 20 virtual-ip 192.168.20.1 interface Vlanif30 vrrp vrid 30 virtual-ip 192.168.30.1 vrrp vrid 30 priority 120vrid 10是 VRRP 备份组号两端必须一致。virtual-ip是虚拟网关 IP对终端来说这就是它们的默认网关。priority 120表示优先级数值大的成为主设备。默认优先级是 100我这里把 VLAN 10、20 的主设备设置为 Dist-A把 VLAN 30 的主设备设置为 Dist-B实现了负载均衡。VRRP 的核心理念是主设备提供转发备设备时刻准备接管。主设备挂了之后备设备会通过 VRRP 报文在极短时间内检测到故障然后升级为主设备继续应答终端的 ARP 请求和转发流量。这个过程终端完全无感知。做完配置后可以在两台汇聚上分别执行display vrrp brief状态里应该能看到 Master 和 Backup 的对应关系。注意 VLAN 10、20 的 Master 是 Dist-AVLAN 30 的 Master 是 Dist-B。4.3 Eth-Trunk 链路聚合配置汇聚和核心之间的链路我用了双上联。但如果只是物理上连了两根线而不做链路聚合STP 会因为环路阻塞其中一根等于又退化成单链路。所以要在汇聚上把上联口绑定成 Eth-Trunk。以 Dist-A 为例interface Eth-Trunk1 trunkport GigabitEthernet0/0/23 trunkport GigabitEthernet0/0/24 interface Eth-Trunk1 ip address 10.0.1.2 255.255.255.252 interface Eth-Trunk1 ip address 10.0.2.2 255.255.255.252等等这里有一点需要说清楚Eth-Trunk 是一个逻辑接口但它绑定两个物理口之后这个链路本质上还是一个单条逻辑链路。当核心和汇聚之间需要走三层互联时Eth-Trunk 作为三层口需要配置 IP同时在两端必须绑定相同的物理成员口。上面的配置其实是有问题的——同一个 Eth-Trunk 里配置了两个不同网段的 IP这意味着两个核心上联被绑成了一个逻辑三层口OSPF 邻居关系会出问题。在双核心场景下汇聚到两台核心的链路不应该捆绑在同一个 Eth-Trunk 里因为那是两台不同的设备成员口必须连接到同一台对端设备才能做链路聚合。所以这里的正确做法是Dist-A 上联 Core-A 的 GE0/0/23 和上联 Core-B 的 GE0/0/24分别做两个独立的 Eth-Trunk或者干脆直接用物理三层接口分别配置 IP让 OSPF 去决定走哪条路径。我在实际实验中推荐后一种方式更清晰也更稳定interface GigabitEthernet0/0/23 undo portswitch ip address 10.0.1.2 255.255.255.252 interface GigabitEthernet0/0/24 undo portswitch ip address 10.0.2.2 255.255.255.252undo portswitch是把默认的二层口切换为三层路由口。这样每个物理口独立工作配置直观排障方便。Eth-Trunk 更适合接入到汇聚之间那种“两台设备之间有多根物理线”的场景那时可以协议协商把多根线绑成一个逻辑 Link既增加带宽又能实现冗余。4.4 STP 防环与根桥设置接入层做了双上联汇聚之间又互联二层环路已经存在。在全网启用生成树协议之前广播帧会在环路里无限转发最终导致广播风暴所有终端卡死。eNSP 里我选择 RSTP快速生成树收敛速度更快默认情况下只需要在每台交换机上开启即可stp mode rstp但光开启不够还要做一件事手动指定根桥。在双汇聚架构下最好让两台汇聚成为根桥候选而不是让某台接入交换机被选举为根否则路径计算会很奇怪。我在 Dist-A 和 Dist-B 上配置stp root primary在接入交换机上保持默认优先级RSTP 会自动阻塞冗余路径让整个二层拓扑形成无环树状结构。做完之后可以用display stp brief查看各端口角色正常情况下应该能看到 root 口、designated 口和 blocked 口。这里有一个容易忽略的点VRRP 负责三层网关冗余RSTP 负责二层链路冗余两者是配合关系而不是替代关系。没有 RSTP二层环路会带来广播风暴没有 VRRP网关单点故障会导致全网中断。两个都要配。5. 核心层配置与全网联调5.1 核心设备接口与 OSPF 配置核心层不关心终端 VLAN它要做的是把汇聚上来的网段路由信息在整个网络里正确传递。先配置 Core-Asystem-view sysname Core-A interface GigabitEthernet0/0/23 undo portswitch ip address 10.0.1.1 255.255.255.252 interface GigabitEthernet0/0/24 undo portswitch ip address 10.0.3.1 255.255.255.252 interface GigabitEthernet0/0/25 undo portswitch ip address 10.0.100.1 255.255.255.252 interface GigabitEthernet0/0/26 undo portswitch ip address 100.1.1.1 255.255.255.252Core-B 的配置类似把互联 IP 对应成 10.0.2.1、10.0.4.1、10.0.100.2 即可。接下来在核心上启用 OSPF。以 Core-A 为例ospf 1 router-id 1.1.1.1 area 0 network 10.0.1.0 0.0.0.3 network 10.0.3.0 0.0.0.3 network 10.0.100.0 0.0.0.3 network 100.1.1.0 0.0.0.3network命令后面跟的是“网段 反掩码”。反掩码的作用是匹配主机位/30 段只匹配两个 IP反掩码是0.0.0.3。这里有个容易出错的地方反掩码和子网掩码正好相反/24 段写成0.0.0.255/30 段写成0.0.0.3如果你写成了正常的掩码格式OSPF 进程不会报错但对应网段无法宣告出去。Core-B 的 router-id 我用2.2.2.2Dist-A 用3.3.3.3Dist-B 用4.4.4.4。Router-id 是 OSPF 区域内路由器的唯一标识一定不要重复否则邻居关系建立会出现诡异问题。Dist-A 上配置 OSPF 如下ospf 1 router-id 3.3.3.3 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.255 network 10.0.1.0 0.0.0.3 network 10.0.2.0 0.0.0.3把这三个业务网段加进 OSPF核心交换机就能自动学到去往终端网段的路由。Dist-B 上也做相同操作但互联网段要写 10.0.3.0、10.0.4.0。配置完成之后在核心和汇聚上执行display ospf peer brief能看到邻居状态变为 Full说明 OSPF 邻居建立成功路由学习正常。5.2 默认路由与出口方向配置内网互通只是第一步真实网络中终端往往还需要访问外网。我在 Core-A 上配置一条默认路由把所有非内网流量指向出口路由器ip route-static 0.0.0.0 0.0.0.0 100.1.1.2然后在路由器上配置回程路由让它知道内网数据应该送回 Core-Asystem-view sysname Router interface GigabitEthernet0/0/0 ip address 100.1.1.2 255.255.255.252 interface LoopBack0 ip address 202.101.1.1 255.255.255.255 ip route-static 192.168.10.0 255.255.255.0 100.1.1.1 ip route-static 192.168.20.0 255.255.255.0 100.1.1.1 ip route-static 192.168.30.0 255.255.255.0 100.1.1.1LoopBack0 的地址 202.101.1.1 用来模拟一个外网服务器地址。这样做的好处是终端 ping 这个地址就能验证“内网到核心、核心到出口路由器、出口到达外网”的整条链路是否通畅。关于路由方向有一个新手最容易忽略的点数据包能去不一定能回。很多情况下 ping 外网不通不是去程路由的问题而是回程路由缺失。出口路由器必须知道内网网段从哪里回默认路由才能生效。这也是实际工程里“有去有回”原则的最直观体现。5.3 全网联通性验证流程配置全部完成之后不要急着下结论按层次从下往上验证每个环节都明确预期结果才叫有效测试。第一步验证终端到网关。PC1 配好 IP 192.168.10.10、掩码 255.255.255.0、网关 192.168.10.1 之后先 ping 网关。能通说明接入层 VLAN 划分和汇聚层 VLANIF 网关都没问题。第二步验证跨 VLAN 三层转发。PC1192.168.10.10去 ping PC2192.168.20.10。能通说明汇聚层 VLANIF 之间已经实现了三层路由。注意这个测试必须走网关而不是直连因为两个终端不在同一个 VLAN二层完全隔离。第三步验证跨设备冗余路径。在 PC1 上 ping PC2 的同时在 Dist-A 上执行shutdown模拟主网关设备故障。如果 VRRP 正常终端会短暂丢几个包很快恢复随后继续通信正常。这说明网关冗余生效。第四步验证 OSPF 路由学习。登录 Core-A 执行display ip routing-table应该能看到 192.168.10.0、192.168.20.0、192.168.30.0 这些网段并显示下一跳指向对应汇聚设备说明 OSPF 已经正确传递了业务路由。第五步验证外网出口。从任意终端 ping 202.101.1.1能通说明默认路由、回程路由、核心交换全部正常。验证环节是整个实验的“照妖镜”。很多时候配置敲完了感觉没问题但仅仅因为某一条 route-static 或者某一条 network 写错了整个链路就断一截。按层次验证能迅速把问题定位到特定设备、特定层级。6. 实验踩坑记录与故障排查速查6.1 终端 ping 不通网关这是做三层架构实验时最常出现的故障。排查思路要按顺序来检查 PC 的 IP 和掩码是否和规划一致。不要小看这一步手动配 IP 输错一个数字能浪费你半小时。检查接入交换机对应端口是否属于正确 VLAN用display vlan确认。检查接入到汇聚的 Trunk 是否放行了该 VLAN用display port vlan来查看。检查汇聚上是否创建了对应的 Vlanif以及是否有 VRRP 虚拟 IP。用display ip interface brief查看接口状态接口必须是 Up。如果都没问题在接入交换机上执行display mac-address看能否学到 PC 的 MAC 地址学不到说明二层链路有问题学得到说明问题在三层。6.2 跨 VLAN 通信失败的常见原因跨 VLAN 通信依赖网关转发。如果终端能通自己的网关但 ping 不通别的网段问题通常出在汇聚或核心的路由层面汇聚上是否配置了完整的 VLANIF如果 VLAN 20 的网关没建192.168.20.0/24 这个网段在路由表里根本不存在自然不通。汇聚上的 OSPF 是否宣告了所有业务网段漏一条 network核心就学不到对应路由跨设备的 VLAN 通信直接失败。核心的路由表里有没有对应网段display ip routing-table如果看不到远端网段要么是 OSPF 邻居没建起来要么是宣告漏了。如果只有一台核心、一台汇聚的环境还需要检查默认路由或静态路由是否双向配置。记住路由必须双向可达去程有路回程也得有路。6.3 环路导致的广播风暴配置完 STP 之后按理说不该出现环路。但如果设备里某台交换机没有启用 RSTP或者端口被手动配置了stp disable环路就会回来。广播风暴的症状非常明显所有设备 CPU 飙升ping 时通时断交换机端口疯狂跳闪。处理步骤是拔掉可疑的冗余链路让网络先恢复。用display stp brief检查每台交换机的端口角色看看是否有端口状态为 Blocking没有就说明 STP 没生效。检查所有交换机是否都执行了stp mode rstp以及是否有端口被关闭了 STP。确认汇聚上配置了stp root primary否则根桥可能落在接入交换机上生成树的计算结果不可控。6.4 常用排查命令速查表为了方便你把这份实验笔记存下来当参考我把最常用的排查命令整理成了一张速查表可以直接抄作业排查目的命令预期结果查看所有接口状态display interface brief互联口和终端口应为 Up查看 VLAN 配置display vlan已创建 VLAN端口分配正确查看 Trunk 放行列表display port vlan上联口放行指定 VLAN查看三层接口状态display ip interface brief各 Vlanif/物理口 IP 正确状态 Up查看 VRRP 主备状态display vrrp briefMaster/Backup 关系正确查看 OSPF 邻居display ospf peer brief邻居状态为 Full查看路由表display ip routing-table包含业务网段和优先路径查看 MAC 表display mac-address能学到终端 MAC端口匹配查看生成树状态display stp brief存在 Blocking 端口无环路这套排查顺序是我实际做项目时一直用的方法论先看物理层再看二层最后查三层。从上到下逐层排查的好处是每一步都能排除一类问题而不是随机试错。很多新手一上来就怀疑配置写错了结果反复检查配置都查不出问题最后发现是物理接口没插好或者端口被 shutdown这种教训我见得太多。写在最后这套 eNSP 三层架构实验做下来我个人最大的体会是网络排障最忌讳“瞎猜”。有了完整的架构分层和清晰的地址规划任何故障都能按层次定位——接入层不通就查 VLAN 和 Trunk汇聚层不通就查网关和 VRRP核心层不通就查路由协议。这是三层架构本身带给你的最大价值它不光让网络有秩序也让排障有路径。实验做完之后你还可以在这个拓扑上继续扩展把 OSPF 改成多区域看区域间路由如何传递在汇聚层加 ACL 控制研发区对服务器区的访问用 DHCP 中继给终端动态分配地址甚至把两台核心的整体配置换掉试试网关放在核心层的设计。每换一种玩法你对这套架构的理解就会深一层。最后分享一个小技巧eNSP 里配置完所有设备之后一定先保存。模拟器的设备和真实设备一样配置文件不保存重启就丢。把每台设备的配置通过save保存下来再配合display current-configuration导出备份这套实验就是你的“个人作品集”面试吹牛、项目汇报都能用得上。