提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

---

前言

本文记录了一次基于华为 eNSP 模拟器的工厂网络规划实战。从零开始完成了 VLAN 划分、跨网段路由配置，并通过 ACL 安全策略实现了生产区与办公区的单向隔离。其中记录了在 eNSP 模拟器下遇到的 ICMP 回包与版本限制等“天坑”，希望能给同样在学网络技术的同学提供一些排错思路。

---

一、项目背景

在真实的制造企业中，为了保证生产数据的安全，通常需要将“生产区”与“办公区”的网络进行严格的逻辑隔离。本项目基于华为 eNSP 模拟器，采用“核心-接入”两层架构，规划了 VLAN 隔离，并通过核心交换机实现跨网段路由，最后利用高级 ACL 实现安全访问控制。

二、拓扑规划与 IP 设计

本项目采用“核心-接入”两层架构，具体规划如下：
生产区（VLAN10）：网段192.168.10.0/24
网关地址192.168.10.1（部署与核心交换机Vlanif 10 接口 ）
办公区（VLAN20）：网段192.168.20.0/24
网关地址192.168.20.1（部署与核心交换机Vlanif 20 接口）

三、配置步骤

1.核心配置步骤

配置如下：
① 接入层交换机配置（以生产区 LSW2 为例）
配置思路：创建对应VLAN，将连接终端的接口配置为Access模式并划入VLAN，将上行连接核心交换机的接口配置为Trunk模式并放行所有VLAN。

<Huawei> sys
[Huawei] sys prod-sw
[prod-sw] vlan batch 10
//配置终端接入端口
[prod-sw] int e0/0/1
[prod-sw-Ethernet0/0/1] port link-type acc
[prod-sw-Ethernet0/0/1] port def vlan 10
[prod-sw] int e0/0/2
[prod-sw-Ethernet0/0/2] port link-type acc
[prod-sw-Ethernet0/0/2] port def vlan 10
//配置上联Trunk端口
[prod-sw] int g0/0/1
[prod-sw-GigabitEthernet0/0/1] port link-type tr
[prod-sw-GigabitEthernet0/0/1] port tr allow-pass vlan all

② 核心交换机网关配置（LSW1）
配置思路：创建所有业务VLAN，配置上联接口为Trunk，并通过Vlanif接口配置各网段的网关IP，实现跨网段路由。

<Huawei> sys
[Huawei] sys Core-SW
[Core-SW] vlan batch 10 20
//配置与接入层互联的Trunk接口
[Core-SW] int g0/0/1
[Core-SW-GigabitEthernet0/0/1] port link-type tr
[Core-SW-GigabitEthernet0/0/1] port tr allow-pass vlan all
[Core-SW] int g0/0/2
[Core-SW-GigabitEthernet0/0/2] port link-type tr
[Core-SW-GigabitEthernet0/0/2] port tr allow-pass vlan all
//配置VLANIF网关IP
[Core-SW] int Vlanif 10
[Core-SW-Vlanif10] ip address 192.168.10.1 24
[Core-SW] int Vlanif 20
[Core-SW-Vlanif20] ip address 192.168.20.1 24

1.连通性测试验证

注：在PC1上使用ping命令测试跨网段通信，验证核心交换机VLANIF路由生效。

四、安全策略部署与“踩坑”实录

需求：办公区不能主动访问生产区，但生产区可以访问办公区。

[Core-SW] acl 3000
[Core-SW-acl-adv-3000] rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[Core-SW] interface Vlanif 20
[Core-SW-Vlanif20] traffic-filter inbound acl 3000

遇到的天坑与排错思路：
· 坑一：ICMP 双向回包引发“全网瘫痪”
初次在核心交换机Vlanif 20接口应用ACL后，用PC3（办公区）去ping PC1（生产区），发现全部Request timeout，这符合预期。但是，反过来用PC1 ping PC3，竟然也不通了！
排错思路：深入分析ICMP协议后发现，Ping是双向的。虽然PC1发出的“请求包（Echo Request）”能顺利到达PC3，但 PC3 返回的“回应（EchoReply）”在出门时，源地址是192.168.20.x，触发了Vlanif 20上的deny ip规则，被直接丢弃了。
· 坑二：核心Vlanif接口“假死”与模拟器底层限制
解决方案：为了解决回包被误杀的问题，需要精细化匹配ICMP报文类型，补充一条rule permit icmp … icmp-type echo-reply规则，优先放行回包。 然而遇到了更深的坑：在补全完美规则后，重新下发到核心交换机Vlanif 20接口，eNSP模拟器竟然提示Unrecognized command或出现“配置生效但底层直接无视放行”的假死Bug。尝试将策略绑定在物理Trunk接口，又因Trunk带有 802.1Q VLAN标签，导致普通ACL无法识别而失效。
最终解决方案（策略下沉）：
经过反复排障，确认这是eNSP模拟器特定镜像的底层限制。最终采用“策略下沉”方案：将安全防线前移，在办公区接入层交换机（LSW3）连接终端 PC3的Access物理接口入方向，配置并调用全新的高级ACL（编号3050）。此处数据帧纯净无标签，ACL能够精准识别并进行单向隔离。

[Office-SW] acl number 3050
[Office-SW-acl-adv-3050] rule 5 permit icmp source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 icmp-type echo-reply
[Office-SW-acl-adv-3050] rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[Office-SW-acl-adv-3050] rule 20 permit ip
[Office-SW] interface Ethernet 0/0/1
[Office-SW-Ethernet0/0/1] traffic-filter inbound acl 3050

最终测试验证：
配置完成后进行双向连通性测试，验证ACL单向隔离效果：
· 生产区访问办公区（正常互通）：在PC上ping PC3，结果显示Reply from…丢包率0%。
· 办公区访问生产区（成功阻断）：在PC3上ping PC1，结果显示Request timed out…丢包率100%。
结论：ACL策略成功生效，实现了“办公区无法访问生产区，但生产区可正常访问办公区”的工厂安全需求。

五、项目总结

本次基于eNSP的工厂网络规划实战，不仅是一次技术的串联，更是对网络运维工程思维的一次全面锻炼，主要收获如下：
1.夯实了数通底层逻辑：掌握了华为VRP系统下VLAN划分和Access/Trunk 链路配置以及三层Vlanif路由的底层数据转发流程，真正做到了从“理论”走向“实战”。
2. 理解了工业安全隔离的工程意义：在制造业工厂中，生产控制区（OT）的安全性远高于办公区（IT）。本次通过高级ACL实现的“单向隔离”（办公区不可见生产区，生产区可管控办公区），高度契合了真实工业网络的安全防护需求。
3. 积累了宝贵的“排错”经验：在eNSP模拟器中，经历了Vlanif接口限制、MQC流策略不兼容、ICMP双向回包被误杀等一系列“天坑”。通过查阅文档、抓包分析和逻辑推理，最终采用“物理接口下沉拦截”的方案破局。学会了脱离模拟器死板束缚、直击网络协议本质的排错能力。