实验名称：EVE-NG-v7 园区-数据中心VXLAN多业务场景网络

资源配置：2个EVE-NG-v7虚拟机（16u/32G内存）14个节点大约运行大约需要60G左右内存

网络拓扑桥接：通过Cloud 1（EVE-NG-v7虚拟机第二块Host-Only网卡）将vIOS和Border-Leaf的G0/2、E1/3桥接

2026.7.11 v1.1版实验增加了Docker XRd-26.1.1和流量洞察功能演示

1、 拓扑功能

Top1 采用经典园区网络拓扑，网络出口配置一台思科ASAv防火墙，DMZ区域配置一台思科ESA邮件网关，用于Exchange邮件流的出/入站识别检测。ESA安装了评估lic，支持垃圾邮件过滤、恶意邮件拦截和AMP等功能。

AD_DNS_NTP_SERVER部署在园区内网三层交换机侧，提供AD域服务、DNS服务和NTP时钟同步服务。2台Win10-PC加入AD域，用于邮件、DHCP、NTP和文件共享等业务功能测试。

Top2 采用Spine-Leaf架构，提供VXLAN BGP EVPN分布式网关服务，Border-Leaf用于Leaf分布式网关功能，还用于与拓扑1园区网络互通（通过Cloud1 Host_Only与vIOS桥接，运行VRF OPSF协议）；Spine仅用于反射BGP EVPN路由。

DHCP_SMB和Win Exchange2019邮件服务器分别部署在DC ASW-1和ASW-2下，为园区终端提供邮件服务和文件共享服务。

2、 网络架构

数据中心采用VXLAN BGP EVPN分布式网关组网，Border-Leaf通过VRF OSPF与传统园区路由器对接，园区路由器在OSPF进程中下发OE2默认路由，这条默认路由传递给Border-Leaf，但无法直接重分布到BGP VRF表中，更新给Leaf节点。

正确的做法是，在Border-Leaf上手动配置一条VRF内指向路由器的静态默认路由，然后在BGP VRF表中重分布静态路由，并配置default-information originate。同时，在BGP的l2vpn evpn ipv4 unicast地址簇下配置advertise l2vpn evpn，方可通过EVPN Type 5类路由更新给Leaf节点。

园区网出口ASAv采用经典3接口组网，Outside接口通过NAT Cloud获得ip地址信息，并自动得到1条默认路由指向NAT网关。ASAv在Inside接口配置指向内网服务以及终端的静态路由，下一跳指向路由器。终端和AD_DNS_NTP_Server的VLAN网关配置在交换机上，其中终端VLAN SVI下配置了ip-helper，指向位于数据中心区域的DHCP_SMB_Server。

3、 Win服务

AD_DNS服务统一部署在AD_DNS_NTP_Server上，AD配置了多个OU（含用户OU、主机OU、安全组OU）并在组策略设置中新建并配置对应的GPO策略。NTP服务配置客户端向外网pool.ntp.org同步时钟，服务端为域内主机提供时钟同步服务。如下图：

Exchange2019邮件服务为域终端用户和外部用户提供邮件收发服务，其加入域，与AD域目录服务、CS服务深度集成。

DHCP_SMB（文件共享服务）为域主机提供DHCP和共享文件服务

4 网络和业务测试

4.1 VXLAN BGP EVPN路由

邮件收发测试

4.2 ESA邮件网关过滤

4.3 SMB文件共享测试

4.4 DHCP功能测试

4.5 防火墙NAT转换表