简介面向网络工程学习者与课程实验场景的 eNSP IPv6 校园网规划与设计实验套件围绕校园网拓扑搭建串联 VLAN 划分、单臂路由子接口、VRRP6、OSPFv3、防火墙安全策略、DHCPv6、IPv6 over IPv4 GRE 隧道及双栈默认路由等技术适合课程设计复现与综合练习。压缩包共 48 个文件、约 633KB以 19 个 cfg 可导入配置、15 个 efz 设备镜像和 1 个 topo 拓扑文件为主体另配 3 个 txt 命令清单、3 张地址规划与拓扑图、2 个 xml 及若干 zip 素材配置与文档相互对应便于还原实验环境。已有 5029 人学习下载。读者可获得现成拓扑与地址规划表、分设备配置文件、带视图前缀的完整命令及全程配置参考视频命令已整理成可直接复制粘贴的形式能完成从设备初始化到策略验证的全流程也便于排查 OSPFv3 邻居、VRRP6 主备切换与隧道连通性问题。1. 为什么校园网搭建要先做 IPv6 地址规划而不是先连拓扑很多人拿到“基于 eNSP 的 IPv6 校园网规划与设计”这个题目第一反应是打开模拟器拖两台路由器、三台交换机拉线配地址能 ping 通就算完事。这么做的结果是配到第三个网段时发现前缀分完了改一次前缀要回去把十几台设备的接口地址、OSPFv3 进程、DHCPv6 地址池全部重来一遍。网络拓扑可以重画地址规划一旦铺开就是全局返工。IPv6 和 IPv4 最大的差别不在协议本身而在地址空间大到必须“规划”才能用——随手写一个/64很容易但要让教学区、宿舍区、数据中心、出口互联、设备管理这五类区域在同一个/48里各占一块、互不重叠、还能预留扩容就必须在动鼠标之前先画表格。这套方案面向的是要交一份完整校园网搭建设计的学生以及要给新校区做 IPv6 改造预演的初级网络工程师。它讲的不是“IPv6 是什么”而是这套实验从地址表、拓扑图、配置脚本到验收清单每一层该产出什么东西。2. 需求与地址规划从终端规模反推 IPv6 前缀怎么切2.1 先把校区拆成可计算的区域单元需求阶段最容易糊弄过去的一句话是“某高校需要一个 IPv6 校园网”。这句话没法落地因为它没有给出任何可以推导地址块的信息。我一般的做法是把它拆成四个可以量化的维度区域数量、每个区域的终端规模、是否需要独立策略、未来三到五年的扩容比例。按一个中等规模校区来假设教学区三栋楼每栋约 300 个有线信息点加 200 个无线终端宿舍区六栋楼每栋 400 个信息点数据中心一个机房约 30 台服务器和网络设备出口两台路由器做双出口另外还有一套带外管理网。这些数字不需要精确到个位它的作用是把“一个校园网”变成一张有行有列的清单后面切地址时每一行都能对应上一块前缀。为什么要按楼而不是按学院来切因为 VLAN 和物理链路是按楼走的一个学院跨两栋楼的情况太常见按学院切会导致同一个/64出现在两台汇聚设备上网关不知道放哪。按楼切汇聚设备就是天然的边界广播域和路由域对得上出问题时排查范围也清楚。这个原则在 IPv4 时代就成立IPv6 只是把它放大了——因为 IPv6 一个/64里有 2 的 64 次方个地址你几乎不可能“用完了再换”一旦划错没有后悔药。区域划分的结果通常长这样教学区、宿舍区、数据中心、出口互联、网络管理五块。每一块再往下按楼栋、按楼层、按 VLAN 逐级细分形成一棵树。这棵树就是后面所有地址表的骨架也是拓扑图的分区依据。2.2 地址规划一个 /48 切到每个 VLAN 一个 /64IPv6 的地址规划有一条硬约束任何准备跑 SLAAC 的网段子网前缀必须是/64。这不是建议是协议规定——SLAAC 需要 64 位接口标识前缀长度不是/64就无法自动配置。所以规划的实质是拿到一个足够大的前缀把它一路切到/64为止。校园网通常从运营商或上级网络拿到一个/48如果拿不到实验里用文档专用前缀2001:db8::/32里的任意一段也完全够用不会和任何真实网络冲突。假设分到的是2001:db8:acad::/48那么第 49 到 52 位可以用来区分大区第 53 到 56 位区分楼栋第 57 到 64 位区分 VLAN最后 64 位留给终端。区域前缀划分方式说明教学区2001:db8:acad:1000::/52按楼切/56按 VLAN 切/64三栋楼各占一个/56宿舍区2001:db8:acad:2000::/52同上六栋楼预留扩容位数据中心2001:db8:acad:3000::/52按业务切/64服务器、DNSv6、DHCPv6出口互联2001:db8:acad:f000::/52点对点链路用/127与出口路由器互联网络管理2001:db8:acad:ff00::/52Loopback 与管理 VLAN设备自身地址具体到 VLAN 层面就变成一张可以直接抄进配置的网段表VLAN名称网段网关地址10教学楼A-有线2001:db8:acad:1010::/64::120教学楼A-无线2001:db8:acad:1020::/64::130宿舍1栋2001:db8:acad:2010::/64::140服务器区2001:db8:acad:3010::/64::199设备管理2001:db8:acad:ff10::/64::1网关统一用::1是个小习惯但收益很大所有设备的网关地址规律一致排查时不用查表就知道该 ping 谁做 DHCPv6 地址池时排除范围也只需写一条::1 to ::ff。Loopback 地址我一般按2001:db8:acad:ff01::1/128这种格式分配和路由器编号对应OSPFv3 的 router-id 就用这套地址反推出来的 IPv4 格式数字两边能对得上。点对点互联链路建议用/127而不是/64。RFC 6164 明确推荐这么做原因是/64的点对点链路上如果有人做地址扫描会瞬间产生海量邻居发现报文。实验里用/127还有一个好处拓扑图上一眼能看出哪条是互联链路哪条是用户网段。提示整份地址表在开工前要写在文档里并冻结版本。实验过程中任何一次“临时加个网段”都要回到表里登记否则做完实验你也说不清某个网段是从哪切出来的。2.3 设备角色与拓扑骨架的对应关系地址表定完设备清单基本就自动出来了。核心层两台三层交换机做网关冗余和 OSPFv3 骨干汇聚层每个区域一台负责本区域 VLAN 的三层终结接入层每栋楼两到三台二层交换机只做 VLAN 透传出口两台路由器做双栈出口和策略控制数据中心区挂 DNSv6、DHCPv6 服务器和一台双栈 Web 服务器做验证目标。这个角色划分直接决定了后面配置的分工接入层只需要划 VLAN、配 trunk一条 IPv6 命令都不用写汇聚层和核心层才需要配ipv6 address、ospfv3、dhcpv6。很多实验做不下去就是因为把三层功能配到了二层接入交换机上而 eNSP 里的低端二层型号在 Vlanif 上对 IPv6 的支持并不完整配了也不生效。3. 网络拓扑设计核心-汇聚-接入三层加出口双栈的职责划分3.1 三层拓扑结构与链路选型拓扑在 eNSP 里画出来是点线但在方案文档里必须写清楚每一层承担什么。核心层两台设备之间跑一条聚合链路同时下联各区域汇聚汇聚层向上双归到两台核心向下用 trunk 接接入交换机接入层每台设备至少有一条上联重要楼栋做双上联。链路的选型在模拟器里没有物理限制但方案里要写“为什么这么连”。核心与汇聚之间我一般用千兆互联因为它承载的是整个区域的跨网段流量汇聚与接入之间也用千兆但接入到终端的接口按百兆算这个比例和真实校园网的收敛比是对得上的。核心双机之间用两条链路做链路聚合目的是让 OSPFv3 的骨干区域在任何一台核心宕机时不断开。出口部分是这个实验里最容易被简化掉的一块。很多人的拓扑到核心就结束了IPv6 地址只在内网跑通出不去。完整的做法是出口放两台路由器一台模拟主用线路一台模拟备用核心到出口之间跑一条/127互联出口路由器上用默认路由指向外部内网通过 OSPFv3 下发默认路由。这样整条路径是通的答辩时“数据包从宿舍楼到外网”这条链路可以完整讲出来。3.2 路由协议选择OSPFv3 打底静态路由兜底IPv6 校园网的路由协议基本没有悬念用 OSPFv3。原因不是它比 IS-IS 好而是它的配置模型和 OSPFv2 几乎一致学过 IPv4 OSPF 的人半小时就能上手而且 eNSP 对它的支持最完整。区域划分上我把核心层和出口互联划进骨干区域0.0.0.0教学区、宿舍区、数据中心各划一个非骨干区域。这样做的目的是控制 LSA 泛洪范围——某个宿舍楼的链路抖动不会把整个骨干区域的拓扑重算一遍。区域边界放在汇聚交换机上它同时是 ABR负责把本区域的/64网段汇总后通告给骨干。汇总这一条要专门说。OSPFv3 的地址汇总命令和 OSPFv2 不一样是在 ABR 的区域视图下配abr-summary把教学区的所有/64汇总成一条2001:db8:acad:1000::/52发出去。汇总之后核心路由表会干净很多从几十条变成几条。但汇总也有代价被汇总掉的明细路由如果有一条断了汇总路由不会跟着撤销可能造成黑洞。实验里为了展示效果可以汇总但要在文档里注明这个风险这也是答辩时能加分的点。路由协议的关键参数要在设计阶段定死参数取值理由OSPFv3 进程号1全网统一便于排障Router-ID各设备 Loopback 反推的 IPv4 格式必须手工指定区域划分核心出口为 area 0其余各一区控制 LSA 范围Cost 参考千兆链路 cost 10与带宽反比便于选路默认路由下发出口路由器default-route-advertise内网无需静态配置Router-ID 在 OSPFv3 里是必须手工指定的这一点和 OSPFv2 不同OSPFv2 会自动选一个接口地址当 Router-IDOSPFv3 没有 IPv4 地址可用如果设备上也没配 IPv4进程根本起不来。这是这个实验里出现频率最高的翻车点之一后面避坑章节还会展开。3.3 VLAN 与 IPv6 网关的部署位置网关放哪决定了广播域边界和故障域大小。这套方案里网关统一放在汇聚交换机上核心层只做三层转发不做网关。这样做的直接好处是某栋楼的所有终端即使核心层全挂楼内互访仍然正常。VLAN 的编号要跟地址表对齐。教学区 10 到 29宿舍区 30 到 49服务器区 50 到 69管理 99 单独留给设备管理。VLAN 和/64之间保持“编号能反推”的关系比如 VLAN 10 对应2001:db8:acad:1010::/64看到地址最后一段就知道属于哪个 VLAN。这种土办法不起眼但在联调阶段能省下大量翻表的时间。接入交换机到汇聚的链路配成 trunk放行本楼所需的 VLAN接入交换机的用户端口配成 access划入对应 VLAN。这里有个容易被忽略的细节IPv6 的 RA路由器通告是从网关接口发出去的接入交换机必须能透传 ICMPv6 的 RA 报文和 NS/NA 报文如果中间有设备做了 IPv6 的 ACL 或者 ND 抑制终端就拿不到地址。实验里通常不会配这些但方案里要写明“接入层不做 IPv6 报文过滤”把责任边界讲清楚。管理 VLAN 单独划出来所有设备的 Vlanif99 或 Loopback 都放在2001:db8:acad:ff10::/64里只允许管理终端访问。这一条在实验评分里往往对应“安全性”那一项不做也不会报错但做了能明显看出方案完整度。4. 校园网搭建的关键配置VLAN、OSPFv3 与 DHCPv6 三层落地4.1 接入层与汇聚层的基础配置接入层的配置很薄重点是 VLAN 划分和 trunk 放行。以一台接入交换机为例# 接入交换机只做二层透传不配任何 IPv6 地址 sysname ACC-JXL-A-1 vlan batch 10 20 99 # 上联口trunk放行本楼 VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 99 # 用户端口access划入有线 VLAN interface GigabitEthernet0/0/2 port link-type access port default vlan 10这段配置里没有任何 IPv6 命令因为二层交换机不需要。接入层的职责就是把 VLAN 标签透传到汇聚DHCPv6 报文和 RA 报文都是二层广播/组播trunk 放行了就能过。汇聚层才是 IPv6 真正开始的地方。全局必须先开ipv6否则接口下配地址会直接报错# 汇聚交换机本区域的三层网关 sysname AGG-JXL-1 ipv6 vlan batch 10 20 99 interface Vlanif10 ipv6 enable ipv6 address 2001:db8:acad:1010::1/64 undo ipv6 nd ra halt interface Vlanif20 ipv6 enable ipv6 address 2001:db8:acad:1020::1/64 undo ipv6 nd ra halt interface Vlanif99 ipv6 enable ipv6 address 2001:db8:acad:ff10::1/64undo ipv6 nd ra halt这一行的作用是把接口的 RA 抑制取消掉。很多设备接口默认是ipv6 nd ra halt状态也就是不发路由器通告终端即使链路通也只会拿到一个fe80::开头的链路本地地址永远拿不到全局地址。这个命令是整个实验里性价比最高的一行也是排查“终端没地址”时的第一检查项。ipv6 enable和ipv6 address的关系也要说清楚ipv6 enable只让接口具备 IPv6 能力并生成链路本地地址ipv6 address才是配全局地址。两个都要配少一个都不行。有些版本里配了全局地址会自动使能但依赖这种隐式行为在排障时很麻烦我一般显式写全。4.2 OSPFv3 与地址自动配置OSPFv3 的配置分两步进程和接口。进程里指定 router-id 和区域接口上把接口挂进进程。和 OSPFv2 不同的是OSPFv3 的接口配置不需要写网段它是基于接口使能的。# 汇聚交换机上启用 OSPFv3router-id 必须手工指定 ospfv3 1 router-id 10.1.1.1 area 0.0.0.0 # 骨干互联接口挂进区域 0 interface Vlanif100 ipv6 enable ipv6 address 2001:db8:acad:f100::1/127 ospfv3 1 area 0.0.0.0 # 用户网段挂进本区域区域 1 interface Vlanif10 ospfv3 1 area 0.0.0.1router-id 10.1.1.1是一个 IPv4 格式的点分十进制数即使设备上一条 IPv4 地址都没配也必须写否则进程会停在Down状态不动。这个数字我一般按“区域号.设备号”来编1 号区域 1 号设备就是10.1.1.1出问题时看邻居表的 router-id 就知道对方是谁。地址下发有两种方案SLAAC无状态和 DHCPv6有状态。校园网的实际做法是混合终端用 SLAAC 拿地址同时通过 DHCPv6 拿 DNS 服务器地址。这对应 RA 报文里的 M 位和 O 位标志# 汇聚交换机 Vlanif10SLAAC 下发前缀DHCPv6 下发 DNS interface Vlanif10 ipv6 address 2001:db8:acad:1010::1/64 undo ipv6 nd ra halt ipv6 nd autoconfig managed-address-flag off ipv6 nd autoconfig other-flag on # DHCPv6 地址池只发 DNS 和域名不发地址 dhcp enable dhcpv6 pool POOL-JXL dns-server 2001:db8:acad:3010::53 domain-name campus.example excluded-address 2001:db8:acad:1010::1 to 2001:db8:acad:1010::ff interface Vlanif10 dhcpv6 server POOL-JXLmanaged-address-flag off加上other-flag on的组合意思是地址你自己通过 SLAAC 生成其他配置DNS、域名找 DHCPv6 服务器要。这是校园网最常用的模式因为终端数量大DHCPv6 服务器如果要做地址租约表会很吃力而无状态模式只发配置不发租约服务器压力小很多。excluded-address那一行排除的是网关和保留地址段防止 DHCPv6 把::1分给终端造成地址冲突。虽然这个池子不发地址但排除项写上是个习惯将来改成有状态模式时不用再补。数据中心区的服务器建议用静态地址不参与自动配置。服务器地址写死在配置里DNSv6 的正向和反向解析才稳定也方便做 ACL 策略。DNSv6 服务器的地址2001:db8:acad:3010::53里最后一段用::53是行业习惯看到就知道是 DNS。4.3 出口双栈与访问控制出口路由器的职责有两个把内网流量送出去把不该进来的挡在外面。IPv4 侧继续用 NATIPv6 侧一般不做 NATNAT66 存在但校园网不常用改为直接路由加 ACL 过滤。# 出口路由器IPv4 侧 NAT IPv6 侧默认路由 interface GigabitEthernet0/0/1 ip address 198.51.100.2 255.255.255.252 nat outbound 2000 interface GigabitEthernet0/0/2 ipv6 enable ipv6 address 2001:db8:acad:f001::2/127 # 向 OSPFv3 域内下发默认路由 ospfv3 1 default-route-advertise always # IPv6 访问控制只允许内网访问服务器的 443 端口 acl ipv6 number 3000 rule 5 permit tcp source 2001:db8:acad:1000::/52 destination 2001:db8:acad:3010::/64 destination-port eq 443 rule 10 deny ipv6 interface GigabitEthernet0/0/2 traffic-filter ipv6 acl 3000 inbounddefault-route-advertise always里的always关键字很关键如果出口路由器自己没有默认路由不加always就不会向 OSPFv3 域内通告默认路由。实验里出口路由器通常配一条静态默认路由指向模拟外网这时不加always也能工作但一旦静态路由失效内网就全部断网。加上always至少保证内网还有一条路可走虽然可能是黑洞但比无声无息地断掉好排查。ACL 的规则顺序是按序号从小到大匹配第一条命中就停止。所以permit写在deny前面最后一条deny ipv6兜底。这个顺序如果写反整个区域的流量会被全部拒绝而且是静默拒绝现象就是“能 ping 通网关但访问不了服务器”非常容易误判成路由问题。注意traffic-filter的方向是相对于接口的。配在出口路由器的外网口上inbound表示从外网进来的流量方向搞反会把内网流量全挡了。5. 联调避坑五类最容易翻车的现象与排查路径5.1 地址拿不到RA 抑制与标志位错配现象终端能 ping 通网关的链路本地地址但ipconfig里只有fe80::开头的地址没有2001:db8:的全局地址。原因接口默认处于 RA 抑制状态或者 RA 的 M/O 标志和实际部署的地址下发方式不匹配。前者是没配undo ipv6 nd ra halt后者是配了 DHCPv6 服务器但 RA 里没打开 O 位终端不知道该去找服务器要 DNS。解决先在网关上display ipv6 interface Vlanif10看输出里有没有RA Is Send字样没有就补undo ipv6 nd ra halt。再看ipv6 nd autoconfig的两个标志位是否和地址池配置对得上。排查这一步最快的办法是在终端侧抓包看有没有收到 RA 报文收到了但标志位不对是配置问题收不到是链路或 trunk 没放行 VLAN。5.2 邻居起不来Router-ID 缺失与区域不匹配现象OSPFv3 邻居表里对方一直停在Init或Downdisplay ospfv3 peer看不到 Established。原因最常见的是某一端没配 router-id。OSPFv3 不像 OSPFv2 会自动选接口地址没有 router-id 进程根本不会发 Hello。其次是两端区域号不一致或者接口上漏了ospfv3 1 area x这一行——接口没挂进进程就不会发 Hello对端自然收不到。解决两端都执行display ospfv3 1确认进程状态是Running而不是Down再看display ospfv3 interface确认接口已经使能。区域号不一致的情况在跨区域互联时特别多因为一边配了area 0.0.0.0另一边配了area 0虽然语义相同但有的版本对写法敏感统一写四段式最保险。5.3 网段不通但邻居正常VLAN 未放行与网关位置错误现象OSPFv3 邻居是 Established核心路由表里也能看到对方网段但从教学区 ping 宿舍区不通。原因trunk 链路漏放行了某个 VLAN导致 Vlanif 的协议状态是Down网段虽然被通告出去但实际没有出口。另一种情况是网关配错了设备——本该在汇聚上配的 Vlanif 配到了接入交换机上而接入交换机不支持 IPv6 三层配置看起来成功但转发不生效。解决在汇聚上display ipv6 interface brief逐个确认 Vlanif 的物理状态和协议状态都是UP。trunk 链路上用display port vlan看放行列表缺哪个补哪个。接入交换机的型号支持能力要提前确认eNSP 里部分低端型号在 Vlanif 下配 IPv6 地址不会报错但也不生效这种“配置成功但不工作”的情况最耗时间唯一办法是换型号或者把网关上移到汇聚。5.4 小包通大包不通MTU 与分片问题现象ping通但传文件、开网页卡住或者ping加大包长度就丢。原因路径上某段链路的 MTU 小于 1500而 ICMPv6 的“包过大”报文被过滤掉了。IPv6 取消了路由器分片中间设备遇到超 MTU 的包必须回 ICMPv6 Type 2 让源端自己调整如果这条报文被 ACL 挡了源端永远不知道要减小包长表现就是小包通大包不通。解决先用ping ipv6 -s 1400逐级测试找出瓶颈链路再检查路径上的 ACL 是否放行了 ICMPv6。IPv6 环境下 ICMPv6 是协议运转的一部分不能像 IPv4 那样一禁了之邻居发现、地址解析、路径 MTU 发现全靠它。ACL 里至少要放行 Type 1、2、3、4 和 133 到 137 这几种。5.5 模拟器本身的问题设备起不来与性能瓶颈现象拓扑里有十几台设备启动到一半卡住或者某台设备一直显示红点控制台连不上。原因eNSP 的每台设备都是一个独立进程内存占用和设备数量成正比。核心加汇聚加接入再加终端二十台以上很容易把内存吃满尤其是同时开了 Wireshark 抓包的时候。另一种情况是设备镜像本身有问题注册表里路径不对设备能拖出来但启动失败。解决分区分批启动先起核心和汇聚配置完再起接入和终端单次抓包只开一个接口抓完立刻停。拓扑规模大的时候把不参与转发的终端换成简化型号能省不少内存。设备启动失败的去模拟器的设备注册列表里确认镜像路径存在路径里有中文或空格也会导致启动异常。6. 验收与答辩用一份检测清单证明这套 IPv6 方案真的跑通了实验做完不等于方案成立。评审看的不是你配了多少行命令而是你能不能拿出证据说明“这套设计在指定条件下是通的、是稳的”。我一般会准备一份验收清单每一项都对应一条可以现场执行的命令或一次抓包逐条过。验收项检测方法通过标准地址规划完整性对照地址表逐台display ipv6 interface brief无重叠、无遗漏、网关均为::1终端自动配置终端执行ipconfig拿到2001:db8:全局地址和 DNS区域互通教学区终端 ping 宿舍区、服务器区全部可达丢包率 0路由收敛断开一条骨干链路观察路由表30 秒内恢复业务不中断出口连通内网 ping 模拟外网地址可达且 ACL 生效非 443 端口被拒双栈共存同一台设备同时配 IPv4 和 IPv6两套协议互不干扰这张表的价值在于它把“做完了”变成“验收通过了”。答辩时按表的顺序讲逻辑天然是“规划—配置—验证”比从头念配置脚本强得多。讲解顺序我建议倒过来先讲需求再讲地址规划和拓扑图然后挑一条完整路径比如宿舍 1 栋的终端到数据中心 Web 服务器走一遍最后演示一次断链收敛。这条路径能把接入 VLAN、汇聚网关、OSPFv3 邻居、核心转发、ACL 五件事串起来讲完这一条评委基本不会再问“你这个网到底通不通”。有两个细节我每次都会准备一是把关键接口的display输出提前截图放进文档现场不用等设备响应二是准备一次“故意改错”的演示比如把某个 Vlanif 的undo ipv6 nd ra halt删掉让终端拿不到地址再当场排查出来。这个动作能证明你不是照着脚本敲了一遍而是真的理解每个命令在干什么。从那以后我每次带人做这类网络实验都强制要求先交地址表和验收清单配置脚本放在最后。因为脚本是可以背的地址表和验收标准背不出来——它们才是这套方案真正的设计部分。希望帮到你。本文还有配套的精品资源点击获取
