企业官网建设流程全解析

简介：基于ensp的IPv6校园网网络规划与设计实验，适合高校计算机网络课程设计、毕业设计以及备考网络工程师认证的学员参考。资源包含可直接导入的topo拓扑文件、19个设备配置文件（cfg）、全程配置参考视频（可2倍速）、配置命令文本和地址规划表，能够帮助快速搭建并复现整套IPv6组网环境。压缩包共48个文件，除cfg和topo外，还包含efz设备包、txt说明、jpg拓扑图等，整体仅633KB，下载和保存都很方便，目前已有5025人学习使用。实验覆盖VLAN划分、单臂路由、VRRP6、OSPFv3、防火墙安全策略、DHCPv6、IPv6 over IPv4 GRE隧道以及IPv4/IPv6默认路由等关键技术，并附带多张地址规划图，适合需要系统梳理IPv6校园网配置思路的学习者对照练习、查漏补缺。

1. 基于ensp的ipv6校园网网络规划与设计实验：先搞懂这张拓扑图再敲命令

拿到这份基于ensp的ipv6校园网网络规划与设计实验资源，别急着开模拟器。很多人在eNSP里对着拓扑图敲命令，敲完一ping不通，就开始怀疑是模拟器抽风，其实八成是地址规划先出了问题。这套实验的思路是反的：先做IPv6地址规划，再做网络拓扑设计，最后才轮到配置命令。它覆盖了核心层、汇聚层、接入层的三层校园网搭建，包括IPv6地址分配、OSPFv3路由、DHCPv6终端接入以及过渡隧道，适合做课程设计、期末项目，或者想系统过一遍IPv6组网流程的人。我建议把资源里的地址规划表和拓扑文件配合着看，这篇就把整套实验从规划到验证的全过程拆开讲一遍。

2. IPv6地址规划先行：子网划分、接口编址与VLAN映射

2.1 为什么校园网必须先有规划再动手

IPv6和IPv4最大的区别是它没有NAT，地址就是身份。IPv4时代可以先接设备、后补IP，地址乱了最多用NAT兜底；IPv6环境下地址一旦分错，终端是直接上不了网的，而且排查起来比IPv4痛苦得多，因为你在接口上看到的地址是十六进制一长串，错了不容易一眼看出来。

这份实验资源在规划阶段做得很扎实。它把整个校园网按业务区域拆成若干个/64子网，同时向前兼容老校园网的IPv4拓扑，VLAN编号直接沿用原有设计。这在实际项目里是常见做法，因为校园网升级IPv6不是推倒重来，而是在现有VLAN体系上叠加IPv6转发能力。每一组VLAN对应一个/64，互不重叠，路由汇总也方便。

从IPv4时代的经验来看，很多人拿到IPv6地址段会习惯性地按“大段套小段”去切，但IPv6不是这么玩的。只要终端数量不超过2的64次方减几个保留地址，一个/64就够一个广播域用了。你不需要像IPv4那样精打细算，反而应该让每个VLAN独享一个/64，这样排错的时候看到前缀就知道是哪个区域。

2.2 一套可直接套用的IPv6地址规划表

这份资源给出的规划方式我整理成了表格，前缀用的是文档保留地址段2001:db8::/32，这个段只用于教学和文档，不会在公网上出现，做实验正好合适。

注意两个细节。第一，P2P互联段我用的是/126而不是/64，因为两个路由器之间只需要两个可用地址，用/64会造成大量地址浪费，虽然IPv6地址多，但路由表里出现一堆广播段会让后续维护很头疼。第二，Loopback地址没进表格，建议单独规划，每台路由器分配一个/128地址，比如核心路由器用2001:db8:100:ab::1/128，这个地址是用来做OSPFv3 router-id备份和远程管理的。

在eNSP里做这个实验时，你可以不配置完所有区域，但至少要保留三个业务VLAN加一个互联段，才能真正把路由协议跑起来。规划表做出来之后，把它和VLAN编号对照检查一遍，确保每个VLAN都有一个唯一的前缀，这样后面配置VLANIF接口时就不会出现地址冲突。

2.3 把规划表落到eNSP接口上

规划表确认无误之后，打开eNSP开始建拓扑。先创建一台AR2220路由器作为核心，再拖两台S5700交换机做汇聚和接入。开启设备后，第一步是在系统视图下启动IPv6能力，eNSP里AR路由器默认不开IPv6转发，这是最容易漏的一步。

sys sysname Core-Router ipv6

sys是进入系统视图的命令缩写，ipv6是全局使能IPv6转发的开关。如果漏掉这一条，后面所有接口配置IPv6地址都会报错。

接着进入核心路由器连接汇聚交换机的接口，配置IPv6网关地址。假设核心路由器用GE0/0/0连接宿舍区汇聚交换机，配置如下：

interface GigabitEthernet0/0/0 undo shutdown ipv6 enable ipv6 address 2001:db8:100:20::254/64

ipv6 enable是让接口具备IPv6收发能力，这个命令不能省，它同时会为接口自动生成一个链路本地地址FE80开头的那个。ipv6 address指定全局单播地址和前缀长度，这里的/64要和规划表完全一致。如果前缀长度配成/48或者/128，接口不会报错，但邻居发现协议会出问题，后面终端就获取不到地址。

汇聚交换机上则需要创建VLAN并配置VLANIF接口，这是三层交换机为每个VLAN提供网关的地方：

sys sysname Agg-Switch vlan batch 20 30 40 50 interface Vlanif 20 ipv6 enable ipv6 address 2001:db8:100:20::254/64

VLANIF接口是三层虚拟接口，它的IPv6地址就是该VLAN内所有终端的网关。这里有一个eNSP的坑：S5700的VLANIF接口默认是创建的，但IPv6能力需要手动开启，如果忘记ipv6 enable，配置完地址后接口状态仍然是协议down，这个在避坑章节里详细展开。

配置完接口后，用display ipv6 interface brief查看接口状态，正常情况每个接口应该显示Up，且能看到一个FE80开头的链路本地地址和一个2001:db8开头的全局地址。看到这两行地址，就说明规划已经落到接口上了，可以进入拓扑与路由阶段。

3. 校园网搭建：三层拓扑结构、设备角色与链路设计

3.1 网络拓扑怎么分层才不翻车

IPv6校园网搭建不能只盯配置命令，eNSP里拓扑结构直接决定了路由怎么走、VLAN怎么划、故障影响范围有多大。这套实验用的是经典三层结构：核心层负责高速转发和路由决策，汇聚层负责策略控制和网关终结，接入层负责终端接入和VLAN隔离。

核心层在eNSP里用AR2220比较合适，这台设备对IPv6特性的支持覆盖了OSPFv3、DHCPv6和隧道封装，适合作为整张网的出口与路由中枢。汇聚层用S5700，它是三层交换机，可以终结各业务VLAN的网关，避免所有终端流量都跑到核心路由器上去处理。接入层设备就简单了，S5700或者更低端的S3700都可以，工作在二层，业务VLAN在这里打标签。

这种分层结构的好处是，校园网搭建时每个区域故障不会扩散到全网。宿舍区一台交换机炸了，最多影响宿舍区的终端，核心路由器的路由表不会抖动，教学区和办公区照常跑。这在IPv6实验里特别重要，因为OSPFv3的邻居关系一旦因为接口抖动频繁切换，整个核心路由表的收敛过程比IPv4还敏感。

3.2 设备选型与接口规划

接口规划的原则是“上行口固定、下行口留余量”。上连核心的接口统一用GE0/0/1，运维时看到接口编号就知道哪个方向。规划接口时还要给eNSP的槽位限制留余地，AR2220自带两个GE口，如果需要连接多个汇聚交换机，拖拽设备后右键添加接口卡。接口数量不够时强行接线会导致链路无法生效，这个在eNSP里是物理层就断了，命令行根本看不到接口状态。

3.3 链路冗余与VLAN透传设计

三层结构定下来之后，第二步是配置汇聚交换机的上连链路为Trunk模式。Trunk链路要放行业务VLAN的标签，否则终端数据到了汇聚层就断了。宿舍区汇聚交换机的配置如下：

interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20

这里只放行VLAN 20，如果汇聚交换机还服务教学VLAN 30，则继续追加：

port trunk allow-pass vlan 20 30

Trunk配置需要特别注意：eNSP里S5700默认的Trunk接口PVID是VLAN 1，如果业务数据带着VLAN 20标签通过Trunk到达对端，对端必须同样放行VLAN 20，否则报文会被丢弃。两端Trunk配置不一致，表现为流量的时通时不通，你在接口上看统计计数会发现有丢包。

核心路由器连接汇聚交换机时，因为AR2220是路由器，它的物理接口默认是三层口，不能直接终结VLAN标签。所以汇聚交换机上连核心要换一种思路：在汇聚交换机上配置VLANIF接口并设置网关，让汇聚交换机自己终结VLAN，然后通过路由协议把业务网段通告给核心路由器。这个设计在校园网搭建中很常见，通俗讲就是“网关放在汇聚、路由汇到核心”。如果强行把路由器物理接口配置成Trunk口去终结VLAN，配置会变得很别扭，而且后续扩展每加一个业务VLAN都要在路由器上重配，边界很僵化。

关于链路冗余，这份实验资源如果只规划单链路上连核心，那只能验证基本连通性，无法体现IPv6网络高可用设计。想提高深度，我一般会建议在汇聚交换机和核心路由器之间增加一条备用链路，并在核心路由器上把两条链路做Eth-Trunk或者靠OSPFv3的等价路由实现负载均衡。eNSP里做Eth-Trunk的配置比较麻烦，得保证两端成员接口的速率、双工一致，但做完之后的排错收益很大，后面验证路由表时会看到两条等价路由同时存在。

4. 路由协议与过渡机制：OSPFv3、DHCPv6与IPv6隧道配置

4.1 OSPFv3邻居建立的前提条件与配置

IPv6校园网的路由协议，这套实验里核心是OSPFv3。OSPFv3和OSPFv2虽然名字只差一个版本号，配置思路差得很远。OSPFv2是在接口上宣告网段，命令是network 20.0.0.0 0.0.0.255 area 0；OSPFv3直接改成在接口视图下绑定区域，宣告逻辑大变。这也是很多从IPv4摸过来的工程师第一次配置OSPFv3时会蒙圈的地方。

核心路由器上的OSPFv3配置如下：

ospfv3 1 router-id 1.1.1.1 # interface GigabitEthernet0/0/0 ospfv3 1 area 0

OSPFv3进程号1是进程标识，不是自治系统号，两台设备只有进程号一致才能建立邻居关系。router-id是必须手动配置的，这一点和OSPFv2完全不同：IPv4环境下路由器还能拿接口的IPv4地址自动生成router-id，但IPv6环境下接口地址是128位的，没法直接用作router-id，如果不手工指定，邻居会一直卡在init状态。我在实际排错里见过至少三位同学卡在这里一晚上，怎么查配置都看不出问题，最后才发现router-id是空的。

汇聚交换机侧配置同样的OSPFv3进程，并且也要指定router-id，注意不能和核心路由器重复，否则邻居同样起不来。真实场景里router-id重复的概率不大，但做实验时大家习惯顺手敲1.1.1.1，两台设备就会撞车。

OSPFv3建立邻居还依赖接口的链路本地地址，因为OSPFv3的Hello报文源地址就是FE80开头的那个。理论上只要接口执行了ipv6 enable，链路本地地址就会自动生成，不需要手动配置。如果接口上没开IPv6，OSPFv3进程在接口上就绑不进去，命令敲下去会直接报错。

4.2 DHCPv6地址池与无状态自动配置

IPv6终端获取地址有两种方式：有状态的DHCPv6和无状态的SLAAC。校园网里一般服务器区用静态地址，终端区用自动配置。eNSP自带的PC模拟器对DHCPv6的支持比较弱，实测经常出现终端拿不到地址的情况，所以实验里更稳妥的做法是用SLAAC让PC自己算地址，同时配合DHCPv6下发DNS服务器地址。这个组合叫“无状态DHCPv6”，是校园网实际部署中最常见的模式。

在汇聚交换机上配置DHCPv6地址池：

ipv6 dhcp server pool CampusPool dns-server 2001:db8:100:ab::1 # interface Vlanif 20 ipv6 address 2001:db8:100:20::254/64 ipv6 dhcp server pool CampusPool undo ipv6 nd ra-stop

dns-server指定下发给终端的DNS服务器地址，实验里指向核心路由器的Loopback地址即可。ipv6 dhcp server pool是把地址池绑定到VLANIF接口上，这样该VLAN内的终端才能从池子拿到DNS信息。undo ipv6 nd ra-stop是让接口持续发送路由器通告报文，RA报文里有M和O两个标志位：M位为1表示终端要去找DHCPv6服务器要地址，O位为1表示地址用SLAAC自己算、但其他参数从DHCPv6拿。这套实验要的是O位为1、M位为0的组合，也就是地址靠SLAAC，DNS靠DHCPv6。

eNSP的PC终端上验证时，把PC换成Windows系统的桥接网卡比较靠谱。直接拖eNSP自带的PC模型，然后打开命令窗口敲ipconfig /renew，如果看到接口上出现了2001:db8:100:20::开头的地址，说明SLAAC生效了；如果只有FE80开头的链路本地地址，说明RA报文没到或者被设备拦截，优先检查undo ipv6 nd ra-stop这条命令有没有生效。

4.3 IPv4/IPv6过渡机制：隧道配置

校园网不太可能一夜之间全部切成IPv6单栈，过渡期必须考虑IPv4和IPv6共存的问题。这套实验资源里给的方案是GRE隧道，用IPv4网络承载IPv6报文，让两个隔离的IPv6域通过IPv4公网互通。在eNSP里配置两条隧道，可以模拟异地校区之间的IPv6连通。

在校园网出口路由器上配置GRE隧道：

interface Tunnel0/0/0 ipv6 enable ipv6 address 2001:db8:100:ff::1/126 tunnel-protocol gre source 10.1.1.1 destination 10.1.1.2

隧道协议gre指定了封装方式，source和destination分别是隧道两端IPv4地址。注意一个问题：Tunnel接口的IPv4源地址和目的地址必须在两端都可达，否则隧道起不来。GRE隧道配置完成后，IPv6路由是基于Tunnel接口宣告的，例如在OSPFv3里把Tunnel0/0/0接口加入area 0，远端IPv6子网就能通过隧道路由互通。

这类隧道配置有个典型的排错点：Tunnel接口本身配置完成不代表隧道是通的，必须在系统视图下确认Tunnel接口的物理状态是Up。用display tunnel-info all查看隧道封装状态，如果显示Down，两端IPv4地址之间先做一次普通ping，ping通了隧道自然就起来了。IPv6报文打进隧道后，外层是IPv4头，抓包时不要只抓IPv6，要先看IPv4封装层是否正确，否则会误判成网络不通。

5. 避坑指南：eNSP里IPv6校园网实验的五个典型翻车现场

5.1 接口明明配了IPv6地址，状态却一直协议down

现象：接口执行了undo shutdown，也配了ipv6 address，但在display ipv6 interface brief里看到的接口状态是up、协议down。OSPFv3邻居起不来，终端也ping不通网关。

原因：eNSP里对某些路由器型号的IPv6协议栈模拟不完整，比如AR201这种偏老型号，在部分版本下只支持IPv4转发，接口即使能配IPv6地址，也不具备真正的IPv6收发能力；另外一个常见原因是全局ipv6开关没敲，导致所有接口的IPv6协议层都没启动。

解决：第一步，在系统视图下敲ipv6确认全局IPv6转发已开启；第二步，换用AR2220设备重新拓扑；第三步，如果还是不行，把设备删掉重新拖入拓扑，eNSP的某些进程在配置了IPv6之后需要设备重启才能正常初始化接口。从那以后我养成了一个习惯，新建拓扑第一件事就是全局ipv6加AR2220，其余型号的IPv6特性在模拟器里都不太值得赌。

5.2 OSPFv3邻居卡在init状态，display ospfv3 peer一片空白

现象：在两端接口都已经配置OSPFv3 area 0的情况下，display ospfv3 peer无法显示邻居，或者邻居状态长时间停留在init/exchange，永远到不了full。

原因：大概率是router-id没有配置，或者两端router-id重复。OSPFv3的邻居建立过程中，router-id是唯一的标识，IPv6环境下设备没有IPv4地址可以自动生成，必须手动指定。实验包提供了默认router-id建议，但很多同学图省事四台设备全配了1.1.1.1，邻居当然起不来。

解决：给每台设备配置独立的router-id，推荐用设备编号映射，比如核心路由器1.1.1.1，汇聚一1.1.1.2，汇聚二1.1.1.3。修改完成后在用户视图下执行reset ospfv3 1 process重启OSPFv3进程，邻居会在30秒内重新协商。如果重启后还是卡住，用display ospfv3 error查看报错，常见的bad router-id就是撞车了。

5.3 PC终端自动获取不到IPv6地址，ipconfig只有FE80开头地址

现象：VLANIF接口已经配置了IPv6地址和DHCPv6服务器，但PC执行ipconfig /renew之后只有链路本地地址，2001:db8开头的全局地址始终不出现。

原因：eNSP自带PC模拟器不支持有状态DHCPv6客户端，相当于PC根本没向服务器发DHCPv6请求；同时RA报文里M标志位被置1，PC认为必须走DHCPv6拿地址，又不发请求，两边就僵住了。

解决：把接口的RA配成无状态模式，让PC用SLAAC自己计算IPv6地址。命令是undo ipv6 nd ra-stop这条，确保RA报文的M位为0。然后PC上先执行ipconfig /release，再执行ipconfig /renew，等待10秒左右，PC会从RA报文里的前缀信息自行生成2001:db8:100:20::开头的地址。注意：PC模拟器的网卡要选择已经启用的网卡，不要选择虚拟网卡，否则收不到设备发出的RA广播。

5.4 ACL或默认策略把ICMPv6全丢了，ping IPv6不通

现象：IPv6路由表已经收敛，核心路由器能ping通所有VLANIF网关，但PC之间互相ping不通，检查display acl all发现有ACL命中丢弃记录。

原因：在模拟校园网接入公网的场景时，为了安全会在核心路由器上配置ACL限制外部访问，但规则写得太死，把ICMPv6和OSPFv3报文也一起拦掉了。ICMPv6不是普通的ICMP报文，IPv6邻居发现协议完全依赖它，如果把ICMPv6禁止了，设备之间连邻居关系都建立不起来。

解决：调整ACL规则，放行ICMPv6和OSPFv3，只对业务端口做限制。

acl name permit-ipv6-basic 6 rule permit icmpv6 any any rule permit protocol 89 any any

把ACL绑定到接口的入方向后，用display acl all确认匹配计数在增长。每次调整ACL后都要用PC重新ipconfig /renew，因为邻居缓存里的错误地址不会自动刷新，这个细节不处理，ping永远不通。

5.5 下一跳写成链路本地地址，静态路由进了黑洞

现象：配置IPv6静态路由时，下一跳指向对端设备的FE80地址，用display ipv6 routing-table查看，路由表里这条路由的flag是invalid，流量转发不出去。

原因：链路本地地址是每个接口自动生成的，FE80::1这个地址在同一个链路里可能同时出现在多个设备上，它本身不具备全局唯一性。在eNSP里静态IPv6路由虽然支持填写FE80地址，但路由表会判定下一跳不可达，实际上等于没配。

解决：IPv6静态路由建议使用对端设备的全局单播地址作为下一跳，或者点对点链路直接指定出接口。

ipv6 route-static 2001:db8:100:50:: 64 GigabitEthernet0/0/0

指定出接口的写法适合两台设备直连的场景，路由器会理解成“发往这个网段的报文直接从GE0/0/0甩出去”。这种写法有效，但在广播型链路里要慎用，因为可能产生路由黑洞，不过在纯实验拓扑里问题不大，直连链路上更直观。

6. 验证闭环：从ping通到抓包确认OSPFv3邻居与地址分配

6.1 按层次执行的验证顺序

配置全部做完，不要直接拿PC去ping服务器，按层次一步步验证，出了问题能立刻定位到是哪一层。验证顺序和命令整理在下面这张表里。

先看接口，再看邻居，再看路由，最后看终端。如果核心路由器ping汇聚网关是通的，但PC获取不到地址，问题基本集中在RA报文或PC网卡上，不用去怀疑路由协议。

6.2 抓包确认邻居发现协议与OSPFv3报文

验证连通之后，不要急着收工。eNSP里右键拓扑连线选择抓包，在PC接入交换机的那条链路上启动抓包，然后在PC上执行ipconfig /renew。过滤icmpv6，你会看到四条关键报文：RS路由请求、RA路由通告、NS邻居请求、NA邻居通告。RS和RA出现说明PC正确收到了前缀信息，NS和NA出现说明PC已经尝试解析网关的MAC地址，这两组报文完整了，终端接入才算真正闭环。

再抓OSPFv3流量，过滤ospf，能看到每10秒一次的Hello报文从接口发出，源地址是接口的FE80地址，目的地址是组播FF02::5。如果Hello报文的源地址不是FE80而是全局地址，说明接口的链路本地地址被手动改了，邻居关系会异常。这份实验里最有价值的就是把Hello报文里的Router-ID和display ospfv3 peer输出的Router-ID对照确认一次，这个动作能帮你完全理解OSPFv3和OSPFv2的本质差异。

最后一步，把设备配置导出备份。在用户视图执行save，再display current-configuration核对全局IPv6相关配置没有被遗漏。每台设备导出的配置按设备名命名存好，后面如果拓扑被改坏了，导入配置比重新敲一遍命令节省大量时间。

从那次被router-id卡了一整个下午之后，我每次做IPv6实验都强制自己走一遍这套流程：先查规划表，再查接口状态，接着确认邻居，最后才碰终端。这套顺序看起来繁琐，但恰恰是它让整个校园网搭建过程从碰运气变成了按步骤推进。希望帮到你。

本文还有配套的精品资源，点击获取