做网络这块的兄弟应该都清楚ensp 里防火墙和交换机的组合是出镜率最高的实战模型。今天我把防御课第七章的综合练习完整拆一遍——防火墙加 DHCP 加 VLAN 的协同配置实验用的就是 ensp 里的华为 USG6000V 和 S5700。这个实验表面上是一个综合练习实际上几乎覆盖了企业网最核心的几条主线终端怎么自动拿地址、部门之间怎么隔离、跨区域访问怎么被允许或者拒绝。如果你是正在考 HCIP 或者刚开始接触 ensp 的网工这个实验值得认真做一遍因为它是后面做防火墙策略、做 DHCP 排查、做 VLAN 间路由的基础拼图。我在带新人练这个实验的时候发现多数人卡住的地方不是某一个单独技术而是三个东西合在一起后“脑子转不过来”交换机上配了 VLAN防火墙子接口又终结了 VLANDHCP 的广播还得穿过这些 VLAN 边界。所以这篇文章我不会只贴命令而是先把设计思路讲清楚再把每一步为什么要这么配说透最后把我踩过的坑整理成速查表。能跟着走完一遍你基本就具备了独立搭一个小型企业网实验环境的能力。1. 实验拓扑与整体设计思路1.1 拓扑选型为什么把网关放在防火墙上先说拓扑。设备清单很简单防火墙USG6000Vensp 自带镜像交换机S5700本身是三层交换机但这里只当二层用PC 三台模拟办公终端、服务器、访客终端连接关系防火墙 G1/0/0 接交换机 G0/0/1交换机下联 G0/0/2、G0/0/3、G0/0/4 分别接三台 PC关键设计在防火墙和交换机之间这条链路。为了让三个 VLAN 都能通过防火墙做网关和策略控制我把这条链路配成 Trunk然后在防火墙物理接口下拆子接口每个子接口对应一个 VLAN子接口 IP 就是对应网段的网关地址。可能有人会问S5700 本身就是三层交换机直接把 VLANIF 配在交换机上不就行了确实能行但那样的话防火墙只能做边界设备策略控制粒度会弱很多。这个实验叫“防火墙 DHCPVLAN 协同配置”核心是让你体验“网关和安全策略都在同一台设备上”的模型。这种模型在企业里很常见核心交换机上联防火墙防火墙用子接口终结内网所有 VLAN 网关所有跨 VLAN 流量都必经防火墙安全策略才能生效。对比三种常见方案会更清楚方案网关位置DHCP 位置安全策略能力适用场景方案A交换机三层网关交换机 VLANIF交换机或独立 DHCP 服务器防火墙只管边界内网互访不经防火墙内网可信度高、追求转发性能方案B防火墙子接口终结 VLAN防火墙子接口防火墙接口 DHCP内网跨 VLAN 流量全部过防火墙策略精细实验首选、中小型安全合规场景方案C防火墙透明模式交换机 VLANIF交换机防火墙二层串接不改变网关网关不能动的现网改造看完这张表你就明白为什么实验里我坚持用方案 B。虽然方案 B 对防火墙性能要求更高但能让你在同一个实验里把 VLAN、DHCP、防火墙策略三件事全部串起来学习价值最大。1.2 VLAN 规划与区域划分先把“楼层”和“门禁”想明白做任何网络实验第一步永远是规划不是敲命令。我把这个实验的地址规划贴在下面照着做能少踩一半的坑。VLAN用途网段网关防火墙子接口防火墙区域VLAN 10办公终端区192.168.10.0/24192.168.10.254/24TrustVLAN 20服务器区192.168.20.0/24192.168.20.254/24DMZVLAN 30访客终端区192.168.30.0/24192.168.30.254/24Untrust规划的时候先把“VLAN 对应哪个区域”这个问题想透。VLAN 是二层隔离手段区域是防火墙的逻辑安全边界。VLAN 10 划到 Trust表示内网可信区域VLAN 20 划到 DMZ表示允许外界有限访问但不允许它主动访问内网VLAN 30 划到 Untrust表示访客网络默认什么都不信。用一个生活化类比来说VLAN 相当于写字楼里的楼层不同楼层员工互不串门DHCP 相当于物业给每个入住者发房间钥匙和门牌号防火墙就是大楼门禁系统——谁能进哪个区域、能访问哪些服务全部由它把关。这个类比记在心里后面配置的时候思路会清晰很多。区域划分完了还有个容易忽略的点DHCP 服务到底开在哪。我的建议是开在防火墙对应子接口上因为子接口既是网关又是 DHCP Server终端拿到的默认网关就是防火墙子接口地址后续跨 VLAN 访问自动走防火墙省去手工指定网关的麻烦。2. 核心机制解析三个坑点最值得提前搞懂这个章节偏理论但不把三个机制掰开揉碎讲清楚后面的实操一定会反复返工。2.1 PVID 与 VLAN ID端口的“默认标签”到底影响了什么每次实验都有人死在 PVID 上。很多人不理解“port trunk pvid vlan 10”到底什么意思也不明白 PVID 和 VLAN ID 的区别。先说概念。VLAN ID 是数据帧上携带的 802.1Q 标签表示帧属于哪个 VLAN。PVIDPort VLAN ID是端口的一个属性表示端口收到不带标签的帧时默认把帧划分到哪个 VLAN。概念含义作用时机VLAN ID帧携带的 VLAN 标签帧在 Trunk 链路上传输时PVID端口默认 VLAN 号端口收到 Untagged 帧时打上标签那“port trunk pvid vlan 10”干了什么它把 Trunk 口的 PVID 改成 10。这个命令在实验里有个经典坑如果 Trunk 口的 PVID 被改成某个业务 VLAN而两端设备没有同步改VLAN 标签就会对不上。交换机认为该帧属于 VLAN 10但防火墙可能认为是无标签帧两边对不上结果就是 DHCP 广播和业务流量乱跳ping 怎么都不通。写一下常见的容易出问题的配置片段interface GigabitEthernet0/0/1 port link-type trunk port trunk pvid vlan 10 port trunk allow-pass vlan 10 20 30这段配置本身是合法的但 PVID 改成 10 之后如果对端防火墙子接口没有对应的 Untagged 处理逻辑从防火墙下来的 VLAN 10 数据会变成无标签帧而交换机认为它是 PVID 10碰巧能通但 VLAN 20 和 30 的帧依然带标签一切正常。很多新手就会觉得“哎部分能通部分不能通”问题就出在这个 PVID 上。我的经验是实验里除非有明确需求否则 Trunk 口 PVID 保持默认 1别随便改。要改必须两端同步改。那为什么网上还常看到“port trunk pvid vlan 10”这命令因为真实项目里确实有场景需要 Trunk 口承载某个特定 VLAN 的 Untagged 流量但那是特例不是实验课的默认操作。别把特例当默认。2.2 DHCP 不只是开个服务从报文交互看排错思路DHCP 协议本身不复杂但“明明开了 DHCP 却获取不到地址”这个问题太常见了。要理解为什么先把四个报文背熟Discover、Offer、Request、Ack。终端开机没有 IP会发送目的地址为 255.255.255.255 的广播 Discover 包广播域内的 DHCP Server 收到后回复 Offer终端再发 Request 确认要这个地址服务器最后回 Ack分配完成。这里有个容易被忽略的关键点如果终端和 DHCP Server 不在同一个广播域Discover 广播根本过不去。在 VLAN 架构里广播域就是 VLAN 本身。所以当多个 VLAN 的 DHCP 服务都开在防火墙子接口上时每个子接口必须单独开启 DHCP Server 功能并且对应独立的地址池。我见过有人只在一个子接口上配了 DHCP结果三个 VLAN 的 PC 全部获取不到地址还以为是模拟器坏了。其实原因很简单VLAN 20 的 PC 发广播广播只会在 VLAN 20 里传播防火墙的 G1/0/0.10 和 G1/0/0.20 是两个逻辑不同的接口前者的 DHCP 服务根本收不到后者的请求。再讲防御课里必提的 DHCP Snooping。实验里它不是必配项但涉及到“防止伪造 DHCP 服务器”这个安全知识点时它就是主角。DHCP Snooping 会把端口分为信任口和非信任口只有信任口才能收到 DHCP Server 的回应报文。在 ensp 里一般把上联防火墙的 Trunk 口配置为信任口下联 PC 的口是非信任口。如果信任口没配对PC 发 Discover 之后 Offer 包会被交换机丢弃表现依然是“获取不到 IP”但查日志才能发现是 DHCP Snooping 在拦。还有一个和 DHCP 相关的高频搜索词是“DHCP 关闭后连不上 WiFi”。虽然说的是无线场景但原理一样DHCP 服务关闭后终端拿不到合法 IP即使信号满格也上不了网。放到这个实验里就是某个子接口的 DHCP 被关掉后新接入终端必挂手动配静态 IP 的除外。这真不是玄学就是广播域内没有地址分配者。2.3 防火墙安全策略的匹配逻辑与区域概念第三个要提前搞懂的是防火墙的策略匹配逻辑。防火墙默认拒绝一切所有流量都从允许策略里逐条匹配匹配到就执行动作匹配不到就丢弃。前面把三个 VLAN 分别划到 Trust、DMZ、Untrust这个划分决定了后面要写哪些策略。默认情况下不同区域之间默认全部拒绝同区域内部默认放行具体看设备版本防火墙自身发出的流量比如 ping 防火墙接口属于 Local 区域也要单独放行在这个实验里至少需要三条核心策略Trust 访问 Untrust办公终端可以访问访客区模拟“内网到外网”的访问Trust 访问 DMZ办公终端可以访问服务器区的 Web 服务Untrust 访问 DMZ访客区只能访问 DMZ 的特定服务比如只放行 80/443这里有个坑如果你在防火墙 Local 到 Trust 之间没有放行 ICMP从 PC ping 防火墙网关是 ping 不通的。这不是配置错而是防火墙把 ICMP 也当成流量来管理了。排查第一反应应该是查策略而不是怀疑网线问题。顺便把“黑白名单”说清楚。防火墙的黑白名单和动态安全策略是两码事黑名单是强制丢弃特定源 IP 或目的 IP 的流量白名单是强制放行。实验里可以做简单演示——把访客区某个 IP 加进黑名单再看它访问 DMZ 服务器立刻被拒。这个功能在真实环境里经常用来应急封禁扫描源非常实用。3. 实操配置全流程从交换机到防火墙按顺序来这部分是核心实操命令完整可以直接抄作业。我建议按“先交换机、再防火墙、最后验证”的顺序操作避免两头都在改、出问题分不清是哪一侧。3.1 交换机侧配置VLAN、Access、Trunk 与 PVID 设置先说交换机。ensp 里交换机启动后先改名、关闭干扰信息然后创建 VLAN。system-view sysname SW1 undo info-center enable vlan batch 10 20 30 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/3 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/4 port link-type access port default vlan 30 quit interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 quit注意几点第一下联 PC 的接口是 Access 口PC 的数据帧是不带标签的Access 口会打上对应的 PVID 标签。PC1 接在 G0/0/2默认 VLAN 是 10所以 PC1 自动归入 VLAN 10。这个“打标签”的过程就是 Access 口最核心的作用。第二上联防火墙的 G0/0/1 是 Trunk 口要放行三个 VLAN。这个口我没改 PVID保持默认 1。之前说过实验里 Trunk 口 PVID 不要随便改除非你需要它承载 Untagged 流量。第三如果防御课要求做 DHCP Snooping 的安全加固可以在交换机上加一段dhcp enable dhcp snooping enable interface GigabitEthernet0/0/1 dhcp snooping trust quit interface GigabitEthernet0/0/2 dhcp snooping enable quit这里把上联口 G0/0/1 设为信任口下联口开启 DHCP Snooping让 PC 无法私接小路由器冒充 DHCP 服务器。这是防御课里很典型的安全加固点。配置了 DHCP Snooping 之后如果发现 PC 获取不到 IP优先检查信任口是否遗漏。写完交换机配置记得保存。ensp 里设备重启后如果不保存配置经常会回到初始状态这个坑很烦。所以完成一个设备就执行save养成习惯。3.2 防火墙侧配置子接口、区域、DHCP 与安全策略防火墙这一侧是重头戏。ensp 的 USG6000V 默认开了 Web 管理界面地址是 192.168.0.1默认用户名密码是 admin/Admin123。但命令行配置更直观我这里以命令行方式讲解后面再提 Web 登录的坑。先创建子接口终结 VLAN 标签并配置网关地址。system-view sysname FW1 interface GigabitEthernet1/0/0 undo shutdown quit interface GigabitEthernet1/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 255.255.255.0 service-manage ping permit quit interface GigabitEthernet1/0/0.20 dot1q termination vid 20 ip address 192.168.20.254 255.255.255.0 service-manage ping permit quit interface GigabitEthernet1/0/0.30 dot1q termination vid 30 ip address 192.168.30.254 255.255.255.0 service-manage ping permit quit核心命令是dot1q termination vid作用是给子接口指定要处理的 VLAN 标签。交换机 Trunk 口发过来的帧带什么标签防火墙子接口就终结什么标签。这就是“子接口终结 VLAN”在命令行层面的体现。子接口编号 0.10、0.20 不是凭空出现的接口而是物理口上按 VLAN 拆出来的逻辑接口对应的是 802.1Q 子接口也就是常说的单臂路由。接下来把接口划入安全区域。firewall zone trust add interface GigabitEthernet1/0/0.10 quit firewall zone dmz add interface GigabitEthernet1/0/0.20 quit firewall zone untrust add interface GigabitEthernet1/0/0.30 quit然后配置 DHCP。USG6000V 在 ensp 里支持接口地址池模式直接在子接口下配置即可。interface GigabitEthernet1/0/0.10 dhcp select interface dhcp server ip-range 192.168.10.2 192.168.10.200 dhcp server gateway-list 192.168.10.254 quit interface GigabitEthernet1/0/0.20 dhcp select interface dhcp server ip-range 192.168.20.2 192.168.20.100 dhcp server gateway-list 192.168.20.254 quit interface GigabitEthernet1/0/0.30 dhcp select interface dhcp server ip-range 192.168.30.2 192.168.30.100 dhcp server gateway-list 192.168.30.254 quit地址池不要把网关地址包含进去。比如 192.168.10.254 是网关地址池就从 .2 开始到 .200 结束别把 .254 分给终端否则终端拿到网关地址后整个 VLAN 通信直接乱套。然后配置安全策略。先看当前防火墙策略security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit quit rule name trust_to_dmz source-zone trust destination-zone dmz action permit quit rule name untrust_to_dmz_web source-zone untrust destination-zone dmz service http service https action permit quit这三条策略分别对应刚才设计的场景办公区能出外网能访问服务器区访客区只能访问服务器区的 Web 服务。其余流量默认全部丢弃。如果想放行 DNS再加一条service dns的策略即可。有一个新手常问的点为什么 Trust 访问 DMZ 可以直接 permit而 Untrust 访问 DMZ 只放 Web原因很简单DMZ 是“被隔离的缓冲区”对外提供的服务越少越好。这个思路和防御课主题是呼应的——策略越收敛安全边界越清晰。最后放行防火墙 Local 区域的 ping方便调试rule name local_to_trust source-zone local destination-zone trust service icmp action permit quit不同版本 ensp 对service icmp的支持有差异命令敲不进去的话直接靠接口下service-manage ping permit也可以或者干脆在 PC 上 ping 网关不通时先想起这个坑。3.3 验证与测试DHCP 获取、VLAN 间通信、策略拦截配置全部完成后进入验证环节。这一步最能体现“协同配置”到底有没有配好。先把三台 PC 全部改成 DHCP 获取模式。双击 PC在 IP 配置界面选 DHCP点应用。等几秒打开命令行执行ipconfig应该能看到类似下面的输出Link local IPv6 address......: fe80::... IPv4 address.................: 192.168.10.10 Subnet mask...................: 255.255.255.0 Default gateway...............: 192.168.10.254如果 PC 能正常拿到 192.168.10.0/24 网段的地址说明 DHCP 从防火墙到交换机到 PC 这条链路是通的。这其实已经充分证明了 VLAN 标签处理正确如果 Trunk 放行列表漏了 VLAN或者子接口dot1q termination vid写错PC 根本拿不到地址。接下来验证 VLAN 间通信。从 PC1办公区ping PC2服务器区的 192.168.20.10正常情况下应该能通因为数据从 PC1 出发经交换机打上 VLAN 10 标签走 Trunk 到防火墙子接口 .10防火墙查安全策略放行 Trust 到 DMZ 的流量从 .20 子接口出去进入 VLAN 20到达 PC2。从 PC3访客区ping PC1办公区的 192.168.10.10应该不通因为默认策略没有放行 Untrust 到 Trust流量在防火墙就被丢掉了。这个“通与不通”的对比是这个实验最有价值的验证点你亲眼看到了安全策略在起作用。再验证策略拦截。在防火墙命令行执行display firewall session table可以看到经过防火墙的会话记录比如 PC 访问 DMZ 的 Web 服务时会话源区域是 Trust 目的区域是 DMZ访客区访问 DMZ 被拒绝时会话表里可能有 drop 记录。这个排查思想在真实项目中非常常用。最后如果实验要求验证 DHCP Snooping在交换机上执行display dhcp snooping user bind all查看 DHCP Snooping 绑定表里面包含客户端的 IP、MAC、VLAN 和端口信息。如果绑定表是空的说明 DHCP Snooping 没生效或者 PC 还处于未获取状态。4. 常见问题与排查实录把我在实验中遇到频率最高的问题整理成速查表全是干货。4.1 ensp 环境类问题设备启动失败与“井号”卡住先解决实验前就会遇到的环境问题。第一个高频问题是“ensp 启动设备 AR1 失败 40”。这个报错基本是两种原因一是电脑没开启虚拟化二是 ensp 和某些安全软件冲突。处理办法很简单开机进 BIOS 打开 VT-x / AMD-V把电脑上的杀毒软件和防火墙软件临时退出再重启 ensp。这个问题出现频率极高我见过有人折腾一晚上换版本都没用最后发现就是虚拟化没开。第二个高频问题是“USG6000V 启动总是井号”。设备启动时命令行窗口一直输出 ### 或 #感觉像卡死了。这种情况多数不是设备出问题而是 USG6000V 启动比较慢尤其是第一次启动要初始化虚拟磁盘等两三分钟是正常的。如果超过十分钟还在刷井号就是虚拟化资源不足把 ensp 关掉重开或者在设置里调低设备型号的并发启动数量。第三个关于环境的问题是“重启 ensp 后设备配置全没了”。这不是设备问题是没在配置完成后执行save。ensp 里的设备默认重启就恢复出厂配置不保存等于白干。我的习惯是每配完一台设备立刻save顺便把配置文件导出备份这样就算 ensp 崩溃也能恢复。4.2 网络联通类问题PC 获取不到 IP 与 VLAN 间不通实验里最常见的业务报错就是 PC 获取不到 IP。排查顺序按这个来效率最高PC 是否设置为 DHCP 模式交换机下联口是否划入正确的 VLANAccess 口的port default vlan对不对交换机上联 Trunk 口是否放行了对应 VLAN防火墙子接口是否创建成功display ip interface brief看 IP 在不在防火墙子接口下是否执行了dhcp select interfaceDHCP 地址池是否耗尽用display dhcp server statistics看报文统计按这个顺序查90% 的问题都能定位。我遇到的最常见原因在第 2 步PC 接在 G0/0/2 上但 G0/0/2 的port default vlan写成了 20标签对不上防火墙子接口 .20 收到 VLAN 20 的广播但地址池却是给 VLAN 20 的PC 往往拿到一个预料之外的地址然后互相乱串。第二个常见问题是“ping 不通 VLAN 间的 IP”。查这个问题的核心思路是分位置 ping先在 PC 上 ping 自己的网关 192.168.10.254通了说明接入侧没问题再 ping 对端网段的网关 192.168.20.254通了说明防火墙区域间路由正常最后 ping 对端 PC 的 IP通了说明防火墙策略放行。哪一步断了就排查哪一段。这个方法说起来简单但很多人一上来就直接 ping 对端 PC失败后就乱抓瞎反而浪费时间。还有一个小概率问题是“VLAN 间通信时通时不通”这往往跟交换机 MAC 地址表老化或者 Trunk 口允许列表不完整有关。在 ensp 里先把接口和 VLAN 状态确认一遍再检查安全策略里是否有几条规则顺序互相冲突。防火墙策略是顺序匹配的如果前面有一条匹配到的 deny后面的 permit 永远不会生效。4.3 防火墙策略类问题ping 不通、Web 登录失败与黑白名单第三个大类集中在防火墙自身的管理和调试上。经常有人反映“配了安全策略为什么 PC 还是 ping 不通防火墙网关”。先检查是否放行了 Local 区域的 ICMP 服务。防火墙默认对 ICMP 是受限的从 PC 到防火墙网关的 ping 属于 Local 区域需要单独放行。这个问题在实验里几乎必出记住一句话防火墙不 ping 通不一定是网络坏先查策略。还有一个高频问题是“ensp 配置防火墙 Web 登录失败”。USG6000V 的 Web 管理在 ensp 里默认监听在 192.168.0.1如果 PC 不在 192.168.0.0/24 网段直接打不开 Web。解决办法有两种一是给防火墙的管理接口加 IP 让 PC 能到达管理地址二是在 Trust 区域里临时放行 PC 访问防火墙的 HTTPS 服务。实际项目里远程管理站点也是这个逻辑先把管理通道打通再做日常配置。最后说黑白名单的实战应用。我经常在实验里加一条黑名单演示给学员看firewall blacklist ip 192.168.30.10把访客区 PC3 加入黑名单后立即验证发现 PC3 再访问任何区域都通不了防火墙日志里会有 blacklist 命中记录。这个功能很直接适合应急封堵不适合做精细控制。精细控制还是靠安全策略分段放行。再补一条关于“DHCP 分配固定 IP”的问题。如果实验要求某个终端始终拿固定地址可以在防火墙接口地址池模式下做静态绑定不过 ensp 的 USG6000V 各版本命令略有差异有的需要借助集中式 DHCP 或 Web 界面完成。真实项目里对应的是打印机、门禁、摄像头这类需要稳定 IP 的设备建议了解即可不必在实验里死磕。5. 实验收尾与个人心得这个实验做下来我最大的感受是三个技术点分开学都能看懂但一旦组合起来真正考验的是你对“流量路径”的理解。数据帧从 PC 出来经过 Access 口打标签经过 Trunk 口保持标签到防火墙子接口终结标签再做路由和策略决策最后又从另一个子接口发出去——整个路径必须清清楚楚任何一环错了结果要么拿不到地址要么通不通全看运气。我个人的建议是做完一遍之后不要急着往下走试着做三个扩展把 DHCP Snooping 的信任口故意配错观察故障表现把黑白名单分别加到办公区和访客区对比策略拦截顺序再把防火墙子接口的地址池改小人为制造地址耗尽看看日志怎么报。这几个“破坏性试验”做完你对这套协同配置的理解会比单纯按步骤做一遍深得多。