eNSP 里挂 USG6000V 做防火墙实验很多人止步于能开机、能 Web 登录、能配条策略放通这一层。真正把 USG6000V 的虚拟系统用起来的人不多原因也简单这东西在真机上要吃 License在模拟器里的入口又藏得比较深加上 eNSP 本身的启动问题一堆很容易在第一步就劝退。我在 eNSP 上配置 usg6000v 的虚拟系统这套流程前后折腾过好几轮从最早的命令行敲了没反应到后来能稳定跑起四个虚拟系统做多租户实验中间攒下的经验比官方文档里写的有用得多。这篇内容讲的就是怎么在 eNSP 模拟器上把 usg6000v 的虚拟系统配起来、跑通、验证隔离效果。适合已经能把 eNSP 和 USG6000V 正常开机、会基本的防火墙区域和安全策略配置、想进一步做多租户或者多分支隔离实验的人看。纯小白也能看但建议先把 eNSP 的基础操作和 USG6000V 的开机问题解决掉不然一边排查启动一边学虚拟系统效率会很低。下面从原理到实操一条线走完中间该算的资源账、该避的坑、该验的隔离效果都会讲到。1. 虚拟系统在 eNSP 里到底能干什么1.1 一台设备劈成多台解决的是成本和隔离问题虚拟系统这个东西本质上就是把一台物理防火墙在逻辑上切成若干台互相独立的虚拟防火墙。每个虚拟系统有自己独立的安全策略、路由表、会话表、地址对象、用户认证甚至能单独分配管理员。对外表现就像一台独立的防火墙配置互不干扰故障也互相隔离。华为管这套机制叫虚拟系统英文缩写 VSYS很多厂商也有类似概念思路都是一样的。它解决的第一个问题是成本。中小企业分支多、部门多如果每个部门单独买一台防火墙预算扛不住机柜空间也不允许。切成虚拟系统之后一台设备摊薄到多个部门硬件成本直接降下来。第二个问题是隔离。传统做法是用 VLAN 加 ACL 硬扛但 ACL 是一条条放通的思路策略多了以后维护成本会爆炸而且不同部门共用一个路由表路由泄漏和策略越权很难彻底避免。虚拟系统把路由表、策略库、会话表都分开了隔离等级比 ACL 高一个数量级。第三个问题在实验和教学场景里特别明显。做毕设或者综合实验的时候往往需要多台防火墙构建多分支拓扑eNSP 里每开一台 USG6000V 都要吃掉大量内存开三台机器就卡得动不了。用虚拟系统一台 USG6000V 就能模拟出三到四台独立防火墙内存占用几乎不增加这是模拟器环境下最实在的收益。1.2 eNSP 的 USG6000V 与真机的差异先说清楚在动手之前必须把差异讲明白否则后面会怀疑人生。真机上的虚拟系统功能默认是关闭的需要单独购买虚拟系统 License购买之后通过license相关命令加载才能使用虚拟系统的数量也受 License 限制。eNSP 里的 USG6000V 不校验 License虚拟系统功能可以直接开启创建数量基本只受设备资源限制我实测创建四个虚拟系统同时跑是稳的再多没试过理论上还能加。但这不意味着模拟器上能跑的配置在真机上一定能跑。有几个点要注意一是真机上接口资源更紧张虚拟系统分配接口时要考虑物理面板的实际情况模拟器里可以随便分配二是真机上开启虚拟系统功能后通常需要保存配置并重启设备才能完全生效模拟器里部分版本直接生效部分版本也要重启一次后面会具体说三是资源类的限制在模拟器里虽然能配但对转发性能的影响不像真机那么明显所以不要用模拟器上的表现去反推真机的容量规划。另外一个容易被忽略的差异是接口命名。真机上共享接口在虚拟系统里会以子接口形式出现模拟器里行为基本一致但个别版本在接口编号上有细微差别配置前用display interface brief看一眼实际名字比死记文档靠谱。提示虚拟系统功能和虚拟系统实例是两个概念。前者是设备级的开关开启之后才能创建后者。很多人在根系统里直接敲vsys name xxx报错就是漏了开启开关这一步。2. 开工前的环境搭建把 USG6000V 老老实实跑起来2.1 eNSP、VirtualBox、镜像包三者的版本搭配eNSP 本身只是个图形化的拓扑编排和命令行终端真正的设备是靠 VirtualBox 跑虚拟机实现的。所以 USG6000V 能不能开机七成取决于 VirtualBox 和系统环境的配合。我踩过最多坑的地方就在这里。首选方案是 VirtualBox 5.2.x 系列比如 5.2.44这个版本和 eNSP 的兼容性最稳。VirtualBox 6.x 也能跑但部分小版本会出现设备启动后卡住、网卡映射异常的问题。VirtualBox 7.x 不建议用eNSP 对它的适配一直不太好。如果之前装过 VMware 或者开过 WSL2、Hyper-V、Docker Desktop这些东西会占用 Windows 的虚拟化层导致 VirtualBox 无法以硬件加速模式启动虚拟机现象就是设备一直起不来或者报错代码 40。解决办法是在Windows 功能里把 Hyper-V、虚拟机平台、Windows 沙盒、WSL 全部关掉重启系统再试。内存这块也要提前算。USG6000V 默认分配 2GB 内存如果你打算同时开三个虚拟系统加若干台 AR 路由器做综合实验建议把 USG 的内存调到 4GB宿主机至少 16GB 内存才比较从容。CPU 核心数建议给 2 到 4 个给多了反而会因为调度开销影响启动速度。组件推荐版本说明eNSP1.3.00.100 及以上版本过低不识别新版镜像VirtualBox5.2.44兼容性最好优先选这个USG6000V 镜像官方 vfw_usg.vdi 系列必须与 eNSP 版本匹配宿主机内存16GB 及以上多虚拟系统同时运行的基本要求虚拟化冲突项Hyper-V、WSL2、沙盒全部关闭不关必然报错2.2 导入 USG6000V 的完整步骤镜像拿到手通常是一个压缩包里面包含vfw_usg.vdi和若干配套文件。解压后不要急着乱放先看 eNSP 的安装目录结构一般在eNSP\plugin\vfw\下面放着防火墙相关的模板文件。把 vdi 文件放到一个固定目录比如D:\eNSP_Image\USG6000V\路径里绝对不要有中文和空格这是很多导入失败的隐藏原因。接下来打开 eNSP点菜单栏的工具选择注册设备在弹出的列表里勾选 USG6000V然后点浏览按钮指向刚才的 vdi 文件路径确认后 eNSP 会把设备注册进去。注册成功之后左侧设备栏的安全设备分类里就会出现 USG6000V 的图标可以直接拖到拓扑图里用。如果拖出来之后双击启动设备图标一直是灰色的或者提示导入失败、格式错误八成是三个原因镜像文件本身下载不完整导致损坏路径里有中文或空格注册的时候选错了文件要选 vdi不是 zip。排查顺序就是从这三条往下走基本能定位。2.3 错误代码 40 和一直井号的排查顺序错误代码 40 是 eNSP 用户群里出现频率最高的报错路由器、防火墙都可能遇到。它的本质是虚拟机启动失败原因有几种。第一种是虚拟化冲突前面说的 Hyper-V、WSL2 没关。第二种是 VirtualBox 版本不兼容换了版本就好。第三种是网卡问题eNSP 依赖 VirtualBox 的 Host-Only 虚拟网卡如果这个网卡被删了、被禁用了或者 IP 段被别的东西占用都会导致启动失败。检查方法是打开 VirtualBox 的管理菜单看主机网络管理器里有没有VirtualBox Host-Only Ethernet Adapter没有就手动创建一块IP 段随便给个 192.168.56.1/24。还有一种情况是设备启动到一半报 40重启 eNSP 就好了这种属于偶发不用太纠结。如果每次都报那就是环境问题老老实实按上面的顺序排。一直井号是另一个高频现象设备窗口里哗哗刷#号看着像卡住了。这其实是正常现象的一部分USG6000V 启动过程中会输出大量进度符号正常启动要三到八分钟配置低的机器可能超过十分钟。判断标准是看最后有没有出现登录提示符。如果刷了十几分钟还在刷那多半是内存不够被系统杀掉了或者 vdi 文件有问题。把 USG 的内存调大或者换一个镜像重新注册。注意USG6000V 启动慢是常态不要反复关闭重开。反复重开容易在 VirtualBox 里留下僵尸虚拟机后面更麻烦。等不到就去看 VirtualBox 主界面看虚拟机状态是 Running 还是 AbortedAborted 才是真的失败了。3. 资源规划动手敲命令之前先算清楚账3.1 根系统、虚拟系统、公共系统的层次关系USG 开启虚拟系统功能之后整个设备被分成三个层次。最上面是根系统有的文档叫 Admin 系统或者公共系统它是设备的管理入口负责创建、删除、分配虚拟系统本身也能承担转发任务。中间是虚拟系统每个虚拟系统都是一台逻辑上独立的防火墙有自己的接口、区域、策略、路由。最下面是物理资源接口、CPU、内存、会话表这些由根系统统一分配下去。这里有个特别容易搞混的地方根系统的配置和虚拟系统的配置是完全隔离的。你在根系统里配的区域、策略、路由虚拟系统里一点都看不到反过来也一样。唯一的通道是接口和资源接口被分配给谁流量就从谁那里走。理解了这一点后面所有的配置就不会迷路。另一个要点是接口分配之后根系统里就看不到这个接口了它会从根系统的接口列表里消失跑到虚拟系统里去。如果你后面想把它拿回来得先在虚拟系统里释放再回根系统操作。这个接口搬家的概念是初学时最容易踩的坑。3.2 资源类配置项与容量估算虚拟系统本质上是共享同一套硬件所以必须限流否则一个虚拟系统跑满会话其他虚拟系统就跟着遭殃。华为用资源类这个概念来做限流你先把一组资源限制定义好再把这组限制分配给虚拟系统。资源类里能限制的项目不少常用的有会话数、策略数、路由数、IPsec 隧道数、SSL 用户数、用户数等。配置的时候每一项都有个默认值和最大值默认值是保底资源最大值是这台虚拟系统能膨胀到的上限。理解方式可以类比成手机套餐默认值是套餐内的量最大值是超了之后还能用的封顶量。容量估算有个简单的思路。先看宿主机给 USG 分配了多少内存2GB 内存下建议每台虚拟系统给 1000 到 2000 条会话的默认值、4000 条上限4GB 内存下可以放宽到 5000 默认、10000 上限。策略数和路由数按实验规模给就行做多租户实验每台给 500 条策略、200 条路由足够用。真机上这些数字要严格按 License 和硬件规格来模拟器里按实验需求给别给太夸张导致创建失败。资源项建议默认值建议最大值说明会话数 session20005000实验够用离真机规格差很远安全策略 policy5001000多租户实验每个租户 50 条也够路由 route200500静态路由实验充裕IPsec 隧道510做 IPsec 实验才需要用户 user100200配合本地认证实验3.3 接口独占还是共享怎么选接口分配有两种模式一种叫独占一个物理接口整体分给某个虚拟系统别的虚拟系统碰不到另一种叫共享一个物理接口通过 VLAN 划分不同 VLAN 分给不同虚拟系统每个虚拟系统只看得到自己那个 VLAN 对应的子接口。独占模式配置简单隔离彻底缺点是接口数量浪费。USG6000V 的接口本来就不算多如果每个虚拟系统都独占两个接口撑死也就能开两三个。共享模式省接口一个物理口能喂给多个虚拟系统代价是配置稍微复杂需要规划好 VLAN 号而且共享接口上没法做二层协议相关的实验。我的建议是做两三个虚拟系统的实验接口够用就用独占省心做四个以上或者需要模拟多分支从同一个上行出口出去的场景用共享。共享模式下 VLAN 规划一定要提前做好比如 VLAN 10 给虚拟系统 A 的 trustVLAN 20 给虚拟系统 B 的 trust别配到一半才想起来 VLAN 冲突返工很痛苦。提示共享接口在虚拟系统里会以子接口形式呈现配置 IP 的时候要配上 VLAN 封装参数两边的 VLAN 号必须一致否则接口起不来。这一步出错的现象是接口状态 Up 但流量不通排查时优先看 VLAN 号。4. 完整实操两个虚拟系统从创建到互通4.1 根系统基础配置与会话入口设备启动完成用默认账号admin、密码Admin123登录改密码之后进系统视图。先做一件容易被忽略的事把管理接口的访问权限打开方便后面用 Web 界面验证。给根系统的管理口配好 IP然后放通 HTTP 和 HTTPS 的服务管理权限。system-view interface GigabitEthernet 1/0/0 ip address 192.168.0.1 255.255.255.0 service-manage https permit service-manage ping permit quit这段配置的意图很直接192.168.0.1 是我在 eNSP 拓扑里给宿主机 Cloud 侧用的地址配了之后可以从宿主机浏览器直接访问防火墙的 Web 管理页面。service-manage这组命令控制的是设备自身发起的服务响应不配的话 ping 和 HTTPS 都会被默认拒绝这是 USG 系列的一个特点很多人第一次用会以为是网络不通。接下来把虚拟系统功能打开这是整篇文章最关键的一条命令。system-view vsys enable执行之后会提示虚拟系统功能已开启。部分版本会提示需要重启设备才能生效我实测在 eNSP 里多数版本直接生效但如果你发现后面创建虚拟系统报错别犹豫保存配置后重启一次问题基本就消失了。重启命令是reboot保存命令是save重启前一定要 save否则配置全丢。开启之后可以用display vsys看一眼当前状态此时应该只有根系统一条记录虚拟系统数量为零。4.2 创建虚拟系统并分配资源资源类的创建要放在虚拟系统创建之前因为创建虚拟系统的同时就要把资源类分配给它。先定义两个资源类分别给两个虚拟系统用这样两边的资源互不影响。resource-class rc_vsys1 resource-item-class session default 2000 maximum 5000 resource-item-class policy default 500 maximum 1000 resource-item-class route default 200 maximum 500 quit resource-class rc_vsys2 resource-item-class session default 2000 maximum 5000 resource-item-class policy default 500 maximum 1000 resource-item-class route default 200 maximum 500 quit两个资源类内容一模一样为什么要建两个因为资源类一旦分配给虚拟系统就不能再直接改里面的数值了想调整得先在虚拟系统里解绑再重新分配。建两个独立资源类的好处是后面单独给某个虚拟系统扩容时不用动另一个互不牵连。这是我在反复调整容量时总结出来的习惯多建一个资源类的成本几乎为零收益是后期维护省事。然后是创建虚拟系统本身。为了讲清楚两种接口分配模式我给虚拟系统 1 用独占方式虚拟系统 2 用共享方式。vsys name vsys1 description Production_Department assign resource-class rc_vsys1 assign interface GigabitEthernet 1/0/1 quit vsys name vsys2 description Research_Department assign resource-class rc_vsys2 quit注意assign interface这条命令在虚拟系统视图下执行。执行完成之后根系统里的 GigabitEthernet 1/0/1 就消失了它已经搬到 vsys1 里去了。这时候如果你在根系统执行display interface brief是看不到这个接口的只有切进 vsys1 才能看到这就是前面说的接口搬家。4.3 接口分配与 VLAN 落地vsys1 用的是独占接口它的配置最简单切进去直接配 IP 就行。vsys2 用共享方式需要在根系统里额外做一次带 VLAN 的分配。先把共享接口配好。vsys name vsys2 assign interface GigabitEthernet 1/0/2 vlan 20 quit这条命令的意思是把物理接口 GigabitEthernet 1/0/2 上 VLAN 20 的流量划给 vsys2。执行完之后vsys2 里会出现一个对应的子接口。切进 vsys2 看一下实际接口名。switch vsys vsys2 system-view display interface brief接口列表里应该能看到类似GigabitEthernet1/0/2.20的接口。不同版本可能显示为GigabitEthernet1/0/2加 VLAN 属性以实际显示为准。给这个接口配 IP 和 VLAN 封装。interface GigabitEthernet 1/0/2.20 vlan-type dot1q 20 ip address 10.2.2.1 255.255.255.0 service-manage ping permit quitvlan-type dot1q 20是告诉设备这个子接口处理携带 VLAN 20 标签的帧接收时剥标签发送时打标签。VLAN 号必须和根系统分配时写的 20 完全一致差一位都不通。这个坑我踩过当时两边一个写 20 一个写 200接口 Up 但业务不通查了两个小时。再说独占接口的配置。切进 vsys1它的 GigabitEthernet 1/0/1 直接就能配 IP。switch vsys vsys1 system-view interface GigabitEthernet 1/0/1 ip address 10.1.1.1 255.255.255.0 service-manage ping permit quit接口配好之后还要把接口加入安全区域否则安全策略没法引用。这一步和普通防火墙配置完全一样不会因为是在虚拟系统里就有什么区别。firewall zone trust add interface GigabitEthernet 1/0/1 quit4.4 虚拟系统内部署路由、区域与安全策略虚拟系统里的策略配置和独立防火墙一模一样这也是虚拟系统好用的一点你不需要学任何新语法把平时配防火墙的那套原封不动搬进去就行。vsys1 假设内网用户要从 trust 访问外网需要配一条默认路由和一条放通策略。ip route-static 0.0.0.0 0.0.0.0 10.1.1.254 security-policy rule name allow_trust_to_untrust source-zone trust destination-zone untrust source-address 10.1.1.0 mask 255.255.255.0 action permit quit quit策略里我显式写了源地址网段而不是用 any。很多人图快直接 any 放通实验环境里没所谓但这个习惯带到真机上就是重大安全隐患。虚拟系统的意义就是隔离每个虚拟系统内部的策略应该尽可能收紧只放通自己租户需要的流量。养成用具体地址对象的习惯切换虚拟系统做实验的时候也不容易搞混。vsys2 那边配一套类似的配置路由下一跳指向它自己的网关策略放通它自己的网段。配完之后两个虚拟系统在逻辑上已经互相独立各自的路由表和策略表都是分开的。再补一个容易忘的步骤如果虚拟系统内部也要做 NAT配置方式和独立防火墙完全一致在虚拟系统内部配nat-policy即可根系统不参与。虚拟系统的 NAT 地址池也是独立的不会和别的虚拟系统冲突这一点比用全局 NAT 加 source 区分的方式清爽太多。4.5 管理员账号与 Web 登录验证到这一步命令行已经能用了但做实验演示的时候能让不同虚拟系统有独立的管理员、独立的 Web 界面观感会好很多也更接近真实的多租户场景。先在根系统创建管理员并绑定虚拟系统。aaa manager-user tenant1 password cipher Admin123 service-type web level 15 vsys vsys1 quit quit web-manager enablevsys vsys1这条命令决定了 tenant1 这个管理员只能管理 vsys1登录之后看到的设备视图就是 vsys1看不到其他虚拟系统。这是虚拟系统在管理面隔离的体现。用 tenant1 登录 Web界面里只有 vsys1 的接口、策略、日志虚拟系统之间的管理权限彻底分开了。Web 登录还需要接口上开权限。回到虚拟系统对应的接口确保配了service-manage https permit然后在宿主机浏览器访问虚拟系统的管理 IP。如果虚拟系统没有独立的管理 IP可以先用根系统的管理 IP 登录再从根系统切换到虚拟系统或者用switch vsys从命令行切换。注意管理员的level不要随便给 15。生产环境里租户管理员给 3 级左右比较合适15 级是超级管理员能改的东西太多。实验里为了方便给 15 没问题但要知道这是实验做法。5. 验证与抓包怎么确认隔离真的生效了5.1 用 display vsys 系列命令做体检配置完不验证等于没配。虚拟系统有一套专门的显示命令几分钟就能把状态摸清楚。命令作用关注点display vsys查看所有虚拟系统列表数量、状态、描述display vsys resource查看资源分配情况各项资源是否按预期分配display vsys resource-class查看资源类定义数值是否与设计一致display interface brief查看接口分配结果根系统与各虚拟系统的接口归属display firewall session table查看会话表会话是否隔离在各自虚拟系统内display vsys的输出里会列出每台虚拟系统的名称、ID、状态和描述。状态显示 running 才算正常。如果某台虚拟系统状态异常多半是资源类分配有问题或者接口分配冲突。display vsys resource更适合用来验证容量规划是否落地。它会列出每个虚拟系统当前占用的会话数、策略数等和资源类里配的数值对照看能确认限制是不是真的生效了。这个命令在实际排查为什么我的策略不生效这类问题时特别有用因为有可能不是策略写错了而是资源被打满了导致新策略无法下发。5.2 会话表与转发路径验证隔离效果最直接的验证方法是看会话表和做 ping 测试。在 vsys1 里发起一个访问然后在 vsys1 里执行display firewall session table应该能看到这条会话。切换到 vsys2 再执行同样的命令看不到这条会话。这说明会话表是隔离的。更细一点的验证是看会话里带的虚拟系统标识。部分版本的会话表输出里会有虚拟系统字段能直接看出这条会话属于哪个虚拟系统。如果没有这个字段就靠在哪个虚拟系统里能看到来判断。ping 测试要分两种情况。第一种是同一个虚拟系统内部互通这个必须通不通就检查接口、区域、策略三件套。第二种是跨虚拟系统互通默认是不通的这是设计如此不是故障。如果跨虚拟系统 ping 通了反而说明隔离出了问题要去检查接口是不是被错误分配了。5.3 跨虚拟系统互访的两种做法有时候确实需要两个虚拟系统之间通信比如两个部门要共享一台服务器。这时候有两种做法。第一种是在根系统上做中转。把两个虚拟系统各自的一条链路通过根系统的接口汇聚然后在根系统里配置转发策略。这种做法相当于一根公共走廊两个租户的流量都要经过管理员的地盘控制权在根系统手里适合集中管控场景。第二种是虚拟系统之间做直连。在根系统里创建一对互联接口分别分配给两个虚拟系统然后在两个虚拟系统里各自配 IP 和路由。这种做法相当于两个租户之间拉了一条专线流量不经过第三方转发效率更高但控制权分散。两种做法没有绝对优劣。做综合实验的时候我更倾向第二种因为配置直观抓包的时候路径清晰容易讲清楚流量走向。生产环境里第一种更常见因为管理员希望所有跨租户流量都过自己的审计。6. 常见问题与排查技巧实录6.1 问题速查表现象可能原因排查与解决敲vsys name报错虚拟系统功能没开先执行vsys enable创建虚拟系统提示资源不足资源类配置值过大调小默认值后重新分配接口分配后根系统看不到正常现象接口已搬家切进对应虚拟系统查看共享接口 Up 但业务不通VLAN 号两边不一致核对根系统与虚拟系统里的 VLANWeb 登录页面打不开接口服务权限没开配service-manage https permit虚拟系统里策略不生效资源数被打满display vsys resource确认管理员登录后看不到虚拟系统账号没绑定虚拟系统在 aaa 里补vsys绑定设备启动一直刷井号内存不足或镜像异常加大内存重注册镜像报错代码 40虚拟化冲突或网卡缺失关 Hyper-V/WSL2检查 Host-Only 网卡6.2 几个只有踩过才知道的细节第一个细节是配置保存的粒度。虚拟系统里的配置一部分要通过根系统统一保存一部分在虚拟系统内部保存。如果你只保存了根系统重启之后虚拟系统的配置可能丢。稳妥做法是切进每个虚拟系统执行一次save再切回根系统保存一次。我丢过一次完整的策略配置从那以后再也不敢偷懒。第二个细节是资源类的不可变性。前面提过分配出去的资源类不能直接修改。如果你一定要调整某个虚拟系统的资源上限流程是先在虚拟系统视图下解除资源类绑定回根系统改资源类数值再重新绑定。这个流程有点绕所以在开建之前就要把数值规划好宁可多给一点也别后面反复调。第三个细节是虚拟系统的删除顺序。要删一个虚拟系统必须先把里面的接口释放掉把资源类解绑才能删除。直接删会报错因为接口还被占着。正确顺序是先切进虚拟系统释放接口回根系统执行undo vsys name xxx。接口释放之后会回到根系统需要重新配置 IP 和区域这点要有心理准备。第四个细节跟 eNSP 有关。USG6000V 同时跑多个虚拟系统的时候Web 界面会比命令行慢一些有时候点刷新要等好几秒。这不是配置问题是模拟器的性能问题。做演示的时候提前把页面打开别在讲的时候才发现要等加载。提示做综合实验之前先把拓扑画在纸上标清楚每个虚拟系统占哪些接口、哪些 VLAN、哪些网段。我见过太多人配到一半发现网段冲突只能推倒重来比一开始多花十分钟规划的时间成本高得多。7. 进阶玩法与扩展思路7.1 多租户综合实验拓扑把虚拟系统用起来之后能做的实验就有意思了。一个典型的场景是模拟一家公司有研发、销售、财务三个部门各自需要独立的防火墙策略还要共享一条出口链路访问外部网络。用一台 USG6000V 开三个虚拟系统每个部门一个出口链路用共享接口加 VLAN 划分三个虚拟系统共用同一个物理上行口。这种拓扑在真机上是很标准的部署方式模拟器里跑通之后对虚拟系统的理解会扎实很多。再往上叠一层可以在虚拟系统后面接 AR 路由器模拟部门内网前面接一台模拟运营商出口的路由器整个拓扑下来用到的设备数量比每部门一台防火墙少一半以上。毕设做校园网或者企业网安全方案的时候这套结构很拿得出手拓扑图也干净。7.2 配置备份、批量下发与版本迁移虚拟系统多了之后配置管理就成了问题。配置文件在保存时会包含所有虚拟系统的配置导出一份就等于备份了全部。迁移到另一台设备的时候要注意版本匹配虚拟系统功能相关的命令在不同版本之间有细微差别低版本往高版本迁移一般没问题反过来容易出问题。批量下发可以用 eNSP 的命令行批处理功能把公共部分的配置写好然后对每个虚拟系统分别下发差异部分。我给自己的做法是维护一份基础模板包含资源类、管理账号、日志服务器这些通用配置每次做新实验先把模板贴进去再补业务配置能省掉大量重复劳动。最后分享一个我个人判断配置是否干净的小方法配完之后在根系统执行display current-configuration看看输出里有没有本该属于虚拟系统的接口、策略残留。如果根系统里出现了虚拟系统的东西说明分配关系有问题早晚要出故障。干净的配置里根系统只该有管理相关的配置和资源分配记录业务配置应该全部在各虚拟系统内部。虚拟系统这个功能在 eNSP 里算是个隐藏福利不用花钱买 License 就能把真机上要付费才能玩的东西练熟。我的经验是先在模拟器上把多租户隔离这套逻辑跑通理解了根系统和虚拟系统的边界在哪再到真机上操作会顺很多。真机的坑主要在处理性能和 License 这两块逻辑层面和模拟器是一样的。掌握了这套东西再看其他厂商的虚拟防火墙方案思路都是通的。