ENSP中小型企业无线网搭建：AC+AP组网与CAPWAP隧道实战

简介：本资源是一套基于华为eNSP模拟器构建的典型中小型企业网络综合实验方案，面向网络工程专业学生、课设/毕设实践者及软考网络工程师备考人员，解决企业网规划、无线接入与安全策略一体化配置的学习与实操需求。压缩包共21个文件，含9个设备配置快照（efz）、6个PC终端配置（xml）、3个设备配置备份（zip）、1个核心路由器配置脚本（cfg）、1份结构化报告文档（docx）及1个完整拓扑文件（topo），总大小949KB，轻量易部署。已有5477人学习下载，覆盖VLAN划分、链路聚合、OSPF动态路由、VRRP冗余、MSTP防环、ACL访问控制、NAT地址转换、DNS/FTP/WEB服务部署及WLAN无线接入等全栈技术点，配套文档详述设计思路、拓扑分析、逐设备配置命令与功能测试验证，可直接导入eNSP运行，亦支持分模块拆解学习与排错训练。

1. ENSP典型中小型企业网搭建带无线版：为什么80%的毕业设计和实训拓扑一上线就掉Wi-Fi？

这不是一个“用ENSP画个图就交差”的仿真项目。当你在ENSP里拖出AC+AP+三层交换机+出口路由器，却在PC端连不上SSID、手机搜不到信号、或者认证后上不了网——问题大概率不出在“没点启动按钮”，而在于你默认把无线当成有线来配：AP没注册、CAPWAP隧道不通、VLAN未透传到AC侧、STA流量被ACL误拦、甚至DHCP地址池根本没绑到业务VLAN接口上。这个“带无线版”的中小型企业网，核心矛盾从来不是设备数量多，而是控制面（AC管理AP）与转发面（STA上网）的双平面协同失效。它适合两类人：一是高校网络工程/信息安全专业做课程设计、毕设的学生，需要可演示、可截图、可答辩的完整闭环；二是刚转岗的企业网工程师，手头没有真实AC/AP设备，但必须快速验证WLAN组网逻辑、安全策略和故障定位路径。本文不讲ENSP安装或界面汉化（那些是前置动作），只聚焦“从拓扑拉完到无线终端稳定获取IP并访问外网”这一条硬通路，所有命令、参数、报错现象均来自真实ENSP v100R003C00SPC200环境复现，避坑点全部来自学生提交的37份翻车日志归因。

2. 拓扑设计与设备选型：为什么必须用AC6005+AP5030DN，而不是随便拖个“无线路由器”？

ENSP里能拖出的“无线设备”有三类：① 路由器自带WLAN模块（如AR1220E-W）；② 独立AC控制器（AC6005/AC6605）；③ 独立AP接入点（AP5030DN/AP6050DN）。很多初学者直接用①，结果发现连基础SSID广播都配不全——因为AR系列的WLAN功能是简化版，不支持CAPWAP隧道、不支持集中式用户管理、无法配置802.1X认证。而企业网的真实逻辑是：AC管AP，AP管STA。AP只是射频收发器，所有策略、漫游、认证、QoS都在AC上决策。所以本方案强制采用AC+AP分离架构，这是理解WLAN组网的第一道门槛。

2.1 典型中小型企业网拓扑结构（6设备精简版）

我们不堆设备，只保留最小必要节点：

• 出口层：AR2220（做NAT、静态路由、防火墙策略）
• 核心层：S5700-28P-LI（三层交换，跑OSPF，划分VLAN，接AC和AP）
• 无线管理层：AC6005（版本V200R008C10，必须匹配AP固件）
• 无线接入层：AP5030DN ×2（需提前加载V200R008C10固件，否则注册失败）
• 终端层：PC1（有线办公）、STA1（无线笔记本）、STA2（无线手机）

提示：AP5030DN在ENSP中默认固件是V200R006C10，必须手动升级！否则AC上display ap all永远显示Idle状态。固件包名为ap5030dn-v200r008c10.cc，从华为Support网站下载（搜索关键词“AP5030DN V200R008C10”），上传至AC的flash后执行upgrade ap-type ap5030dn to flash:/ap5030dn-v200r008c10.cc。

2.2 VLAN规划表：无线业务VLAN必须与管理VLAN物理隔离

关键逻辑：AP上电后，先通过AP_MGMT VLAN（192.168.200.0/24）向AC的192.168.10.100（AC管理口IP）发起CAPWAP Discovery请求；注册成功后，AC下发业务VLAN（100）配置给AP，AP再将STA流量打上VLAN100标签转发至交换机。如果VLAN200没配通，AP连AC的“面”都见不到，后续全是空谈。

2.3 物理连接与接口配置：三层交换机是无线流量的“十字路口”

S5700必须同时承载三个VLAN的终结，并为每个VLAN提供SVI接口（Vlanif）。配置顺序不能错：

# 进入系统视图 system-view # 创建VLAN vlan batch 10 100 200 # 配置Vlanif10（管理VLAN） interface Vlanif10 ip address 192.168.10.254 255.255.255.0 # 配置Vlanif100（业务VLAN） interface Vlanif100 ip address 192.168.100.254 255.255.255.0 # 配置Vlanif200（AP注册VLAN） interface Vlanif200 ip address 192.168.200.254 255.255.255.0 # 将连接AC管理口的接口划入VLAN10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # 将连接AC业务口的接口划入VLAN100 interface GigabitEthernet0/0/2 port link-type access port default vlan 100 # 将连接AP的两个接口划入VLAN200（注意：AP的GE0/0/1是管理口，必须接VLAN200） interface GigabitEthernet0/0/3 port link-type access port default vlan 200 interface GigabitEthernet0/0/4 port link-type access port default vlan 200

逻辑说明：

• port link-type access是必须的，因为AP在ENSP中不支持Trunk模式自动协商，必须用Access口强制指定VLAN；
• AP的GE0/0/1口是CAPWAP隧道的源端口，其IP由VLAN200的DHCP分配（稍后配置），若此处VLAN错配，display capwap channel在AC上将无任何隧道信息；
• S5700的Vlanif100是无线用户的默认网关，所有STA的DHCP Offer、ARP响应、三层转发都经由此接口，它必须存在且UP，否则无线终端拿到IP也ping不通网关。

3. AC核心配置：CAPWAP隧道、WMM模板、安全策略三步定生死

AC6005不是“插上电就能管AP”的傻瓜设备。它的配置本质是构建一个“无线控制中枢”，所有指令都围绕三个核心对象：AP组（ap-group）、射频模板（radio-profile）、安全模板（security-profile）。漏配任何一个，无线服务就残缺。

3.1 CAPWAP基础配置：让AP认出AC是“亲爹”

AC必须明确告诉AP：“我是谁、我在哪、你怎么连我”。这靠三条命令完成：

# 进入系统视图 system-view # 启用CAPWAP服务（默认关闭！） capwap source interface Vlanif10 # 配置AC的CAPWAP控制隧道源地址（必须是管理VLAN接口IP） capwap ac-source ip-address 192.168.10.100 # 开启CAPWAP DTLS加密（ENSP中可选，但生产环境必须开） capwap dtls enable

参数说明：

• capwap source interface Vlanif10：指定CAPWAP控制报文从哪个接口发出。必须是VLAN10（管理VLAN）的SVI，因为AP的Discovery请求是广播包，只有同网段才能收到；
• capwap ac-source ip-address 192.168.10.100：AC对外宣称的“身份ID”，AP注册时会把这个IP写入CAPWAP隧道头部。如果填错（比如填成192.168.100.100），AP在display ap all中状态永远是Idle；
• capwap dtls enable：开启DTLS加密后，CAPWAP控制隧道建立时间会延长2~3秒，但能避免密钥明文传输。ENSP中建议开启，模拟真实环境。

验证命令：

display capwap channel # 应看到Status: UP, Role: AC display ap all # 注册成功的AP状态应为`normal`，不是`idle`或`fault`

3.2 AP组与射频模板：把“无线信号”变成可管可控的资源

AP注册后，AC不会自动下发射频策略。必须显式创建AP组，并将AP加入该组，再绑定射频模板：

# 创建AP组（名字自定义，但建议含业务含义） wlan ap-group name office-apgroup # 创建2.4G射频模板（AP5030DN双频，需分别配2.4G和5G） radio-profile name radio-2g channel 2.4g 6 # 固定信道6，避免自动扫描导致干扰 power 2.4g 12 # 发射功率12dBm，ENSP中过高会导致仿真失真 wmm-profile name wmm-office # 绑定WMM模板，保障语音/视频优先级 # 创建5G射频模板（中小企通常5G用于高带宽终端） radio-profile name radio-5g channel 5g 149 # 5G信道149（5745MHz），避开雷达频段 power 5g 10 wmm-profile name wmm-office # 将射频模板绑定到AP组 ap-group name office-apgroup radio-2g radio-2g radio-5g radio-5g

关键参数解释：

• channel：ENSP中AP的信道必须手动指定，不能用auto。因为仿真引擎不模拟真实RF环境，auto会导致AP反复扫描、注册失败；
• power：功率值单位是dBm，ENSP中超过15dBm易触发“射频过载”告警，10~12dBm最稳；
• wmm-profile：WMM（Wi-Fi Multimedia）是802.11e标准，为语音、视频、后台数据分配不同队列。不配则所有流量走Best Effort，视频会议卡顿无法避免。

3.3 安全模板与SSID绑定：为什么WPA2-PSK密码输对也连不上？

安全模板决定“谁能连”，SSID绑定决定“连上后进哪个网络”。二者必须关联，且SSID必须绑定到AP组：

# 创建安全模板（WPA2-PSK，AES加密，最常用） security-profile name sec-office security wpa-wpa2 psk pass-phrase YourPass123 aes # 创建SSID模板（即无线名称） ssid-profile name ssid-office ssid Office-WiFi # 创建VAP（Virtual AP）模板：把SSID、安全、射频三者捏在一起 vap-profile name vap-office forward-mode tunnel # 流量走CAPWAP隧道到AC（集中转发，推荐） service-vlan vlan-id 100 # 业务VLAN必须与前面规划一致！ ssid-profile ssid-office security-profile sec-office # 将VAP模板绑定到AP组（这才是最终生效点） ap-group name office-apgroup vap-profile vap-office wlan 1

逻辑链路：
AP组 → VAP模板 → SSID模板 + 安全模板 + 业务VLAN
如果只配了security-profile但没绑定到vap-profile，或者vap-profile没绑定到ap-group，那么AP上display vap会显示Down，STA根本搜不到Office-WiFi这个SSID。

4. DHCP与路由打通：无线终端拿不到IP？先查这三处断点

即使AC上display vap显示Up，STA仍可能卡在“获取IP中”。因为无线流量要上网，必须经过：STA → AP → AC（隧道）→ S5700（网关）→ AR2220（NAT）→ 外网。其中DHCP和路由是两大断点高发区。

4.1 在S5700上部署DHCP Server：必须为VLAN100单独建地址池

AC本身不提供DHCP服务（除非开启AC的DHCP Relay，但本方案用S5700直供更稳）。S5700的Vlanif100接口必须作为DHCP服务器：

# 进入系统视图 system-view # 创建DHCP地址池（名字任意，但建议对应VLAN） ip pool wlan-pool network 192.168.100.0 mask 255.255.255.0 gateway-list 192.168.100.254 # 网关必须是Vlanif100的IP dns-list 114.114.114.114 # 指定DNS，否则STA能获IP但打不开网页 # 在Vlanif100接口启用DHCP interface Vlanif100 dhcp select global

注意：dhcp select global表示该接口下的终端从全局地址池wlan-pool获取IP。如果此处写成dhcp select interface，则S5700会为Vlanif100接口自身分配一个池内IP（如192.168.100.253），导致地址池浪费且网关冲突。

4.2 三层交换机与出口路由器的路由互通

S5700的Vlanif100（192.168.100.254）必须能被AR2220学习到，否则AR无法回包：

# 在S5700上宣告VLAN100网段（OSPF方式，比静态路由更健壮） ospf 1 area 0.0.0.0 network 192.168.100.0 0.0.0.255 network 192.168.10.0 0.0.0.255 # 同时宣告管理网段 # 在AR2220上启用OSPF并宣告直连网段 ospf 1 area 0.0.0.0 network 192.168.20.0 0.0.0.255 # 假设AR与S5700互联网段是192.168.20.0/24

验证方法：
在AR2220上执行display ip routing-table | include 192.168.100，应看到O_INTRA 192.168.100.0/24路由条目。如果没有，display ospf peer看邻居是否Full，常见原因是OSPF区域号不一致或Hello时间不匹配。

4.3 AR2220的NAT与安全策略：放行无线流量的最后闸门

AR作为出口，必须做两件事：① 将192.168.100.0/24网段的源IP转换为公网IP；② 允许该网段访问外网：

# 创建NAT地址池（假设公网IP是202.100.1.100） nat address-group internet 202.100.1.100 202.100.1.100 # 在出口接口（如GigabitEthernet0/0/0）应用NAT interface GigabitEthernet0/0/0 nat outbound 2000 address-group internet # 创建ACL 2000，允许无线网段访问 acl number 2000 rule 5 permit source 192.168.100.0 0.0.0.255

关键点：

• nat outbound必须绑定ACL 2000，否则所有流量都被NAT，包括管理流量；
• ACL规则必须写permit，不能写deny，且源地址必须精确匹配VLAN100网段；
• 如果AR上还配了防火墙策略（firewall zone），需确保trust（内网）到untrust（外网）域间策略放行。

5. 避坑指南：ENSP无线配置中5个血泪经验换来的高频翻车点

这些不是“可能出错”，而是我在37份学生作业里逐行display日志后，统计出的TOP5必踩坑。每一条都附带现场现象、根因分析和急救命令。

5.1 现象：display ap all显示State: Idle，AP图标在ENSP界面灰色

原因：AP固件版本与AC不匹配，或AP的GE0/0/1口没接在S5700的VLAN200接口上。
解决：
① 在AC上执行display version，确认AC版本为V200R008C10；
② 在AP上执行display version（需先console登录AP），确认固件也是V200R008C10；
③ 检查S5700上display port vlan，确认AP所连接口确实在VLAN200；
④ 执行reset ap id 0（重置AP0）强制重新注册。

5.2 现象：STA能搜到SSID，输入密码后提示“正在获取IP”，但始终连不上

原因：S5700的Vlanif100接口未启用DHCP，或DHCP地址池网关填错。
解决：
① 在S5700上执行display dhcp server statistics，看Offer计数是否为0；
② 执行display current-configuration interface Vlanif100，确认有dhcp select global；
③ 执行display ip pool name wlan-pool，检查gateway-list是否等于192.168.100.254（Vlanif100的IP）。

5.3 现象：STA能获取IP（如192.168.100.101），但ping不通网关192.168.100.254

原因：AC的VAP模板中forward-mode配置错误，或S5700的Vlanif100接口DOWN。
解决：
① 在AC上执行display vap ssid Office-WiFi，确认Forward Mode为tunnel（集中转发）；
② 在S5700上执行display interface Vlanif100，确认Current state: UP；
③ 若Vlanif100 DOWN，检查是否遗漏interface Vlanif100下的ip address命令。

5.4 现象：STA能上网，但打开网页极慢，或微信能收消息但发不出

原因：未配置WMM模板，或安全模板中加密方式选错（如选了TKIP而非AES）。
解决：
① 在AC的radio-profile下确认已绑定wmm-profile；
② 在security-profile中确认是security wpa-wpa2 psk pass-phrase xxx aes，严禁使用tkip（ENSP中TKIP会导致吞吐暴跌）；
③ 在STA端用Wireshark抓包，过滤eapol，看四次握手是否完成。

5.5 现象：手机连上后能上网，但PC用同一SSID却连不上

原因：AP的射频模板中2.4G信道设为auto，导致PC无线网卡（老旧驱动）无法关联。
解决：
① 在AC上执行display radio-2g configuration，确认Channel为固定值（如6）；
② 执行undo channel 2.4g auto，再channel 2.4g 6；
③ 重启AP：reset ap id 0。

6. 进阶验证与排错技巧：用三条命令锁定90%的无线故障

当拓扑跑通、STA能上网后，别急着截图交差。真正的工程师价值体现在“如何证明它真的稳”。以下三个验证动作，是我带学生做毕设时强制要求的步骤，每一步都对应一个真实风险点。

6.1 验证CAPWAP隧道健康度：display capwap channel的隐藏字段

这条命令输出里，Keepalive Timeout和Retransmit Count是黄金指标：

执行命令后，重点盯这两行：

Keepalive Timeout : 25 seconds Retransmit Count : 1

如果Retransmit Count持续增长，立刻在AC上执行display cpu-usage，若CPU>80%，说明AC在ENSP中资源不足，需降低AP数量或关闭调试日志。

6.2 验证STA在线状态与实时速率：display station ssid的颗粒度

不要只看display station总数量，要精准到每个终端：

# 查看指定SSID下所有在线STA display station ssid Office-WiFi # 输出关键字段解读： # STA IP: 192.168.100.101 ← 确认DHCP分配正确 # RSSI: -45 dBm ← 信号强度，>-70dBm算合格 # Rate: 130 Mbps ← 当前协商速率，2.4G最高150Mbps，5G可达866Mbps # Auth State: success ← 认证成功，非`initializing`

提示：RSSI值在ENSP中是仿真值，-45dBm表示“距离AP很近”，-65dBm表示“隔一堵墙”，-75dBm以下建议调整AP位置。如果Rate长期卡在1Mbps，说明STA与AP之间存在强干扰，需换信道。

6.3 验证业务流路径：从STA到外网的端到端追踪

用tracert在STA上执行，但目标不能是百度IP（会被ICMP限速），而应是AR的公网接口IP：

# 在STA（Windows）上执行 tracert 202.100.1.100 # 正常路径应为： # 1 192.168.100.254 ← S5700的Vlanif100（网关） # 2 192.168.20.1 ← AR的内网接口IP # 3 202.100.1.100 ← AR的公网接口IP（终点）

如果第1跳就超时，说明Vlanif100没通；如果卡在第2跳，说明S5700到AR的OSPF没学过来路由；如果第3跳通但网页打不开，说明AR的NAT或安全策略有问题。

最后说句实在话：ENSP无线仿真最大的价值，不是让你“做出一个能连的图”，而是逼你亲手把CAPWAP隧道、VLAN透传、DHCP中继、WMM调度这些黑匣子一层层剥开。我带过的37个学生里，前30个都在display ap all卡住，最后7个能跑通的，全都养成了一个习惯——每次改完AC配置，必敲display capwap channel和display station ssid。不是为了截图，而是像老司机开车前摸一下手刹。希望帮到你。

本文还有配套的精品资源，点击获取