基于ENSP的大中型超市网络架构设计与仿真实践

开头切入：
做网络项目的朋友应该都有同感：越是看似"简单"的场景，越是藏着一堆棘手问题。今年接到一个内部编号【JSYRTT】的课题，要给一家规划面积超过三千平的大中型连锁超市设计并仿真一套完整网络架构。最开始我也觉得"超市网络有什么难的，拉几根网线而已"，结果到现场转了半天，才发现这里面的门道比普通写字楼多得多——收银台POS机不能断线，监控系统要持续占带宽，顾客蹭网和办公业务必须隔离，广播系统和电子价签还时不时跟你抢广播域。把真实需求理清楚再动手，比什么都重要。所以这篇文章，我就把"基于ENSP模拟大中型超市网络架构"从需求拆解、规划、配置到排障的全过程，完整记录下来。适合正在做毕业设计的在校生、备考数通认证的同行，以及准备给连锁门店做网络整改的朋友参考。

1. 先搞懂超市网络的业务面：这绝不是一个"能上网"的简单局域网

1.1 超市里的设备，比想象中复杂得多

我习惯先把业务终端清单列出来，再决定网络怎么设计。超市场景里至少有这么几类设备：

• 收银类：POS收银机、扫码枪、电子支付终端、小票打印机。这组设备对时延和可靠性极其敏感——顾客排队结账时POS机掉线，店长能急得跳脚。
• 办公类：店长室、财务办公室的台式机、共享打印机、考勤机。它们需要上网，也需要访问总部系统。
• 监控类：几十甚至上百路网络摄像头、NVR录像机、监控浏览终端。监控流量是典型的持续大流量，7x24小时不断。
• 顾客无线类：顾客手机连接Wi-Fi后要扫码、刷短视频、用微信，流量大且不可控。
• 内部无线类：员工手持扫码终端、VIP区平板、库房盘点设备。
• 物联网类：电子价签基站、智能灯控、环境传感器、背景音乐控制终端。

这些设备混在一张网里就是一场灾难。最常见的旧店网络故障——广播风暴导致全部收银机掉线——根源就是收银机和监控、办公机都在同一个广播域，ARP乱串、环路不防，拥塞一来所有业务一起遭殃。

1.2 把业务矛盾拆成网络设计指标

我从现场看到的几个核心矛盾，也是这台网络必须正面解决的问题：

1. 收银流量要"快而稳"，监控流量要"大且持续"——两者在一个网络里，必须有优先级。
2. 顾客网络不可信，必须和内部业务隔离——至少做到VLAN隔离，最好到安全策略层面。
3. 物联网设备兼容性参差不齐，需要独立网络避免影响核心业务。
4. 网络不能有单点故障——超市营业时间远超写字楼，核心断了就是直接的经济损失。

1.3 设计目标：先定验收标准再画图

表：网络设计验收标准

定完验收标准，后面每一步配置都有了依据。这也是很多新手容易跳过的环节——直接画拓扑开配，结果配置完根本不知道达没达标。

2. 拓扑设计与地址规划：画图之前先把账算清

2.1 ENSP里的大中型超市拓扑架构

我选用的设备模型如下表所示。ENSP里的设备型号和真机能力高度接近，用它验证架构完全够用。

表：ENSP模拟器设备选型

拓扑连线思路非常清晰：AR2220代表运营商出口，接到USG6000V；防火墙下联核心交换机；核心作为网关，旁挂AC6605，下联两台汇聚交换机；汇聚向下接三台接入交换机；摄像头、PC、AP都挂在接入交换机上。模拟器资源有限，真实超市里可能有几十台接入交换机，这里用两台汇聚加三台接入作为逻辑模型，验证的架构是可以等比扩展的。

2.2 VLAN规划：三类网络里的九种身份

VLAN设计是整个架构的骨架，我把所有业务分成业务网、公共网、管理网三大类。核心原则就一句话：一个业务一个VLAN，一个VLAN一个网关、一个网段。这样后期做安全策略、排障、扩展都是最省力的。

表：VLAN规划

这里有一个容易被忽略点：管理VLAN要单独划出来。所有交换机的管理IP、AC的管理IP、防火墙与核心互联的地址都放在VLAN 99，这样运维人员SSH登录设备时，走的流量可以和用户业务流量彻底分开，排查故障时不用在业务网段里抓管理包。实际上我也是这样落地的。

2.3 IP规划与网关设计：数字不能拍脑袋

每个VLAN分配一个24位子网，可容纳254台终端。以中型超市50台POS、40个摄像头、百来号人并发终端来说，完全够用，将来扩到300个设备也不用重划网段。

表：IP地址规划

网关全部放在核心交换机上。为什么这样设计？因为核心交换机有最强的转发能力，而且VLAN间互访流量必须经过网关，把网关统一放在一层设备上，排查"这台PC怎么ping不通那台PC"时，只需要从核心出发逐段定位。如果网关散落在汇聚层，排障要登录的设备多一倍，难度也上一倍。监控摄像头建议不启用DHCP，而用手工静态配置——录像依赖IP地址绑定，DHCP租约到期MAC地址变化可能导致录像中断。

DHCP地址池我也刻意留出.1-.10，这些地址要给收银机的打印机、核心服务器、门禁管理主机预留静态IP。等所有终端上线后再排一遍网段，几乎没有什么网络是规划阶段就注定会冲突的。

3. 交换机组网实操：从接入到核心的VLAN与DHCP

3.1 接入交换机：最小的单元最容易出错

先看一台接入交换机SW-JR-01的配置。这台设备再接收银区的PC和摄像头。

code复制system-view
sysname SW-JR-01
vlan batch 10 20 30 40 50 60 99
stp mode rstp

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
interface GigabitEthernet0/0/10
 port link-type access
 port default vlan 40
interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 40 50 60 99

接入交换机的配置要点是：面向终端的口用access模式，面向汇聚的上联口用trunk模式并放通所有业务VLAN。这里有一个新手常犯的错误——上联口只放通了一两个VLAN，结果某些VLAN的终端能从DHCP拿到IP，却ping不通用户侧的服务器；问题往往绕一大圈，最后发现只是trunk口忘了放行对应VLAN。

还有几个我实际踩过的细节：

• 交换机互联端口不要用默认VLAN，管理VLAN 99要显式放行，否则远程登录失效。
• RSTP必须全局启用。模拟环境没有成环不代表真实环境没有——只要施工时有一根跳线接错，形成环路，广播风暴会在几秒内让全网瘫痪。stp mode rstp这行配置成本最低，但能救命。

3.2 汇聚交换机：链路聚合让带宽和可靠性兼得

汇聚层是承接接入和核心的关键。这里最能体现"架构设计"价值的配置是Eth-Trunk链路聚合。我把每台汇聚到核心之间的两条千兆链路捆绑成一个逻辑链路，既增加带宽，又避免单条物理链路故障导致区域断网。

code复制system-view
sysname SW-HJ-01
vlan batch 10 20 30 40 50 60 99
stp mode rstp

interface Eth-Trunk1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 40 50 60 99

interface GigabitEthernet0/0/1
 eth-trunk 1
interface GigabitEthernet0/0/2
 eth-trunk 1

需要注意：Eth-Trunk两侧的物理端口必须数量一致、速率一致、双工模式一致，聚合成员端口本身不能再配置port link-type，只能在Eth-Trunk接口上统一下发。如果发现链路聚合不生效，第一件事就是检查两端成员口速率和VLAN放行是否完全对齐。

汇聚交换机下联接入的口，根据实际接入设备数量使用普通trunk配置即可。每台接入双上联到两台汇聚，从可靠性角度考虑是标准做法；模拟器中资源有限，一台接入设备可以只上联一台汇聚，但建议至少完整复现一台"双上联"场景，方便验证故障切换逻辑。

3.3 核心交换机：网关、DHCP、VLAN间路由一手抓

核心是整个网络的交通枢纽。所有VLAN的网关接口（VLANIF）都建在核心上，DHCP服务也由核心提供。以POS网段为例，配置如下：

code复制system-view
sysname SW-Core
vlan batch 10 20 30 40 50 60 99
stp mode rstp

interface Vlanif10
 ip address 192.168.10.254 255.255.255.0
interface Vlanif20
 ip address 192.168.20.254 255.255.255.0
interface Vlanif30
 ip address 192.168.30.254 255.255.255.0
interface Vlanif40
 ip address 192.168.40.254 255.255.255.0
interface Vlanif50
 ip address 192.168.50.254 255.255.255.0
interface Vlanif60
 ip address 192.168.60.254 255.255.255.0
interface Vlanif99
 ip address 192.168.99.254 255.255.255.0

dhcp enable

ip pool vlan10
 network 192.168.10.0 mask 255.255.255.0
 gateway-list 192.168.10.254
 dns-list 114.114.114.114 223.5.5.5
 excluded-ip-address 192.168.10.1 192.168.10.10
 lease day 1 hour 0 minute 0

interface Vlanif10
 dhcp select global

DHCP配置我特意用了全局地址池模式，而不是直接在VLANIF接口上配置接口地址池。原因很简单：全局模式把所有网段的池子集中在同一个视图下，几十个地址池一目了然——哪段IP给谁、地址池还剩多少、DNS配置是否一致，检查起来效率高很多。接口模式下地址池和VLANIF绑得太紧，改一个VLAN就要跟着改一遍，不适合大中型场景。

还有一个细节：VLANIF接口的DHCP策略是dhcp select global，而不是dhcp select interface。这个命令一旦写成interface模式，地址池怎么配都不生效。我在很多次实验里看到，终端始终拿不到IP，回头一查，都是这里写错。

核心到汇聚的链路我同样使用两条Eth-Trunk分别对接两台汇聚，命令结构和汇聚侧一致，这里不再重复。核心到AC、核心到防火墙的接口按trunk或三层口配置，具体取决于对端设备类型。

3.4 进阶安全：接入层开启DHCP Snooping

超市落地项目里有一种情况特别普遍——某个员工为了方便自己手机上网，私接了一个几十块钱的小路由器，小路由器默认开启了DHCP功能。这就导致它会给周围终端分发一个错误的网关地址，让整片区域的终端上不了网。这就是经典的假DHCP攻击。

解决这个问题的标准手法是在接入交换机上开启DHCP Snooping：

code复制dhcp enable
dhcp snooping enable

interface GigabitEthernet0/0/24
 dhcp snooping enable
 dhcp snooping trust

原则是：所有面向终端的口开启dhcp snooping，所有上联口（连接汇聚/核心的口）设置为trust口。trust口接收的DHCP响应包才被信任，下联口收到的DHCP Server报文一律丢弃。这样私接小路由器即使开了DHCP，也无法干扰合法网络。模拟器里你可以专门做一次"插错设备"实验，用一台开DHCP的小路由接入下联口，验证业务终端依然能正常获取网关地址，这个设计就值回票价了。

4. 无线覆盖配置：AC+FIT AP下的办公与访客分流

4.1 不要让无线成为信息孤岛

超市的无线是双诉求场景：顾客要能快速联网，办公区要安心使用内部系统。传统做法是放两个家用路由器，各发各的Wi-Fi——这是最差方案。我在这套架构里使用AC6605加FIT AP的集中管理模式，所有AP由AC统一下发配置，SSID、加密、限速、漫游参数都在AC上集中管理。

先看AC的基础配置。AC作为旁挂设备连在核心交换机上，管理VLAN为99，业务VLAN是20（办公）和50（顾客）。

code复制system-view
sysname AC6605
vlan batch 20 50 99

interface Vlanif99
 ip address 192.168.99.10 255.255.255.0
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 20 50 99

dhcp enable
ip pool ap
 network 192.168.99.0 mask 255.255.255.0
 gateway-list 192.168.99.254
interface Vlanif99
 dhcp select global

capwap source interface vlanif99
 wlan ac source interface vlanif99

AP上线主要依赖CAPWAP协议。我把AC的源接口指定为VLANIF99，AP加电后会在管理VLAN里广播寻找AC，AC发现后下发配置。这个过程在模拟器里非常直观，你在拓扑里拖入AP，等一两分钟，执行display ap all就能看到AP从"fault"变成"normal"。

4.2 双SSID与权限分流

AC6605的WLAN配置要拆成几个模板：SSID模板、安全模板、VAP模板、AP组。下面是一个可复用的配置骨架：

code复制wlan
 ssid-profile office
  ssid Office-WiFi
 ssid-profile guest
  ssid Guest-WiFi

 security-profile office
  security wpa2 psk pass-phrase Admin@1234
 security-profile guest
  security wpa2 psk pass-phrase Guest@1234

 vap-profile office
  ssid-profile office
  security-profile office
  service-vlan vlan-id 20
 vap-profile guest
  ssid-profile guest
  security-profile guest
  service-vlan vlan-id 50

 ap-group name ap-group-office
  vap-profile office wlan 1 radio 0
  vap-profile office wlan 1 radio 1
 ap-group name ap-group-guest
  vap-profile guest wlan 1 radio 0
  vap-profile guest wlan 1 radio 1

两个SSID：Office-WiFi和Guest-WiFi。前者让办公终端进入VLAN 20，后者让顾客进入VLAN 50。由于VLAN 50在安全策略上做了严格限制（后面防火墙部分会讲），顾客即使连上Wi-Fi，也扫不到办公网、监控网里的任何设备。

4.3 限速与漫游参数：顾客体验与办公稳定

顾客网络必须限速。如果不限速，一个顾客用手机跑迅雷或者刷高清视频，会挤压整个无线链路的带宽。我在流量模板里对Guest-WiFi的每用户限速做了配置：

code复制 traffic-profile guest-limit
  per-station-limit down 2048
  per-station-limit up 1024
 vap-profile guest
  traffic-profile guest-limit

含义是每用户下行限制2Mbps、上行限制1Mbps。这个数值对顾客扫码、刷网页、发微信足够用，又不会让某个终端独占链路。实际项目中顾客区域AP的限速还可以配合AC的热点优化功能，但模拟器里限制到每用户带宽已经是最大的可控变量。

办公无线则不开限速，但要开启快速漫游。漫游阈值我习惯设为默认，只在信号覆盖重叠区稍微调高最小关联信号强度阈值，避免终端"赖"在弱信号AP上不切换。在空旷超市场景，AP之间距离30到40米，2.4G和5G双频都开启，基本能保证推着购物车走完全程视频通话不中断。

5. 防火墙出口配置：NAT与安全策略如何守住边界

5.1 区域划分：内网、外网、以及"半信半不信"的访客网

USG6000V在ENSP里是很经典的一台安全设备。我的区域规划是：

• trust区域：内网接口，连接核心交换机。
• untrust区域：外网接口，连接运营商模拟路由器。
• guest区域：访客网络单独划出，与内网严格隔离。

这里要说明一下，我在真机落地时习惯把防火墙和核心之间做Trunk，在防火墙上用子接口终结多个VLAN，从而把办公网段和访客网段分到不同安全区域；但模拟器里子接口配置偶尔会出现区域状态不稳定，所以下面的配置示例采用了更稳健的做法——防火墙与核心用一个三层接口互联，内网整体属于trust，通过安全策略按源地址精确划分权限。这个方案在真实项目中同样常见，可操作性更强。

5.2 接口与基础放通

code复制system-view
sysname USG6000V

interface GigabitEthernet1/0/0
 ip address 192.168.99.1 255.255.255.0
 service-manage ping permit
interface GigabitEthernet1/0/1
 ip address 100.1.1.1 255.255.255.0
 service-manage ping permit

firewall zone trust
 add interface GigabitEthernet1/0/0
firewall zone untrust
 add interface GigabitEthernet1/0/1

GE1/0/0接核心，运行在VLAN 99网段。GE1/0/1接运营商模拟器的公网地址100.1.1.1/24，用来模拟真实互联网出口的公网地址。默认情况下防火墙域间策略是全部拒绝的，所以下面必须显式配置放行策略。

5.3 安全策略：三句话讲清楚谁可以去哪

访客网络与办公网络的核心区别体现在安全策略上。办公网络需要完整访问互联网，访客网络只能访问互联网的基础服务，并且默认禁止访问所有内网网段。

code复制security-policy
 rule name office_to_internet
  source-zone trust
  destination-zone untrust
  source-address 192.168.10.0 24
  source-address 192.168.20.0 24
  source-address 192.168.30.0 24
  action permit

 rule name guest_to_internet
  source-zone trust
  destination-zone untrust
  source-address 192.168.50.0 24
  service http
  service https
  service dns
  action permit

 rule name deny_guest_to_office
  source-zone trust
  destination-zone trust
  source-address 192.168.50.0 24
  destination-address 192.168.10.0 24
  destination-address 192.168.20.0 24
  destination-address 192.168.30.0 24
  destination-address 192.168.40.0 24
  action deny

很多初学者不理解为什么"内网到内网"也要写安全策略——华为防火墙在缺省情况下，同区域（trust到trust）之间流量默认是放行的。如果不加这条deny策略，顾客网络的终端一旦拿到内网网段的IP，就能直接访问办公网和监控网。这条deny策略是对默认行为的一次显式收紧，属于"安全冗余"的保值操作。同理，访客网络到防火墙本身的ping也应该限制，生产环境里不建议开放。

5.4 NAT策略：让内网"借"公网地址出去

超市没有固定公网IP的业务需求，我用Easy IP方式做源NAT——直接借用防火墙出口接口的公网IP地址做PAT转换。所有内网主机共用这个地址访问互联网，出口设备自动记录会话映射。

code复制nat-policy
 rule name office_nat
  source-zone trust
  destination-zone untrust
  source-address 192.168.10.0 24
  source-address 192.168.20.0 24
  source-address 192.168.30.0 24
  source-address 192.168.50.0 24
  action source-nat easy-ip

用easy-ip代替静态公网IP映射，运维成本很低。如果将来超市要做远程监控回放或云端对账，需要外部主动访问内网服务，再给对应端口做NAT Server即可，但说实话，门店场景下把摄像头NVR直接暴露到公网是很不推荐的动作，安全风险远大于便利性。

配置完NAT和安全策略后，记得在USG6000V上配置一条默认路由指向运营商设备，否则内网报文即使做了NAT也不知道该往哪里扔：

code复制ip route-static 0.0.0.0 0.0.0.0 100.1.1.2

6. 全网联调与验证：从IP连通到业务可用

6.1 一层一层验证，不要一上来ping外网

配置全部完成后，不要急着ping外网。我的验证顺序是按三层递进的：

第一步，先看接口状态。登录每台设备执行display ip interface brief，检查所有VLANIF和管理IP是否UP。

第二步，验证DHCP。随便找一台PC，执行ipconfig，能拿到192.168.x.x的地址且网关正确，说明DHCP链路正常。

第三步，验证网关。从PC ping自己的网关，通，就说明二层链路和二三层网关都OK。

第四步，验证VLAN间路由。从VLAN 10的PC ping VLAN 20的网关，通，说明核心交换机VLAN间路由工作正常。

第五步，验证防火墙策略和NAT。从内网PC ping运营商模拟器外网口地址100.1.1.2，如果通了，再ping AR2220上的环回地址模拟的互联网服务器。通了，说明NAT和策略都放行了。

每一步验证的命令和结果在ENSP里都能实时看到，出现问题就停在那一步排查，而不要带着多层故障去猜。

6.2 用会话表看防火墙是不是真干活

命令display firewall session table是检验NAT是否生效的第一工具。执行后能看到内网源地址已经被转换成100.1.1.1，并能看到五元组信息和老化时间。如果session看起来没问题但业务不通，十有八九是回程路由缺失——这是运维实践中最常见的NAT故障原因。

我在验证阶段还会登录AR2220执行一条命令：

code复制display arp

如果能够看到来自内网多次转换后的MAC地址，说明NAT会话确实在建。这台"运营商设备"侧的ARP表对于定位NAT回包路径是否打通非常有帮助。

6.3 关键业务的QoS保障

联调通过只是"能用"，超市网络要做到"好用"，还得处理一个问题：高峰时段收银流量和监控流量共存时，收银不能卡。我使用MQC方式给核心交换机的上行口配置QoS策略。

思路是：将POS网段标记为EF优先级，监控网段标记为AF1并设定带宽上限，访客网络标记为BE并限制总带宽。

code复制traffic classifier c_pos
 if-match acl 3001
traffic behavior b_pos
 remark dscp ef
traffic classifier c_cctv
 if-match acl 3002
traffic behavior b_cctv
 car cir 20000
traffic policy qos_policy
 classifier c_pos behavior b_pos
 classifier c_cctv behavior b_cctv

acl number 3001
 rule 5 permit ip source 192.168.10.0 0.0.0.255
acl number 3002
 rule 5 permit ip source 192.168.40.0 0.0.0.255

interface GigabitEthernet0/0/1
 traffic-policy qos_policy inbound

这里cctv的CAR设置为20000 kbps，按场景内摄像头路数算出来的总码率上限，防止监控突发把链路挤爆。命令中的inbound方向要看实际报文流向，通常是在核心的下联口做入方向分类。QoS要做好，前提是前面VLAN规划清晰——如果所有终端都在一个网段里，想给收银流量单独标记优先级都无从谈起。

6.4 模拟一次的"营业高峰期"测试

在ENSP里模拟高并发其实不容易，但可以做两件事：一是把所有已配置的VLAN业务PC同时ping外网，观察是否都通；二是在核心交换机上执行display interface看到错误包计数。如果错误包持续增长、丢包率不为零，说明链路层有问题，十有八九是trunk放行或者聚合参数不一致。

有条件的话，把两台汇聚之间的双链路用shutdown命令断开一条，验证业务是否无缝切换。这是链路聚合和双上联设计最直接的验收动作。

7. ENSP模拟器的常见雷区与避坑清单

7.1 "AR1启动失败，error code = 40"怎么处理

这套架构里最容易被"卡脖子"的问题就是AR设备启动报错40。我自己遇到过不下十次，原因基本集中在几类：

• 电脑的CPU虚拟化没有在BIOS开启，或者Windows Hyper-V、内核隔离等功能占用虚拟化资源。
• 安装的ENSP和VirtualBox版本不匹配。实测中VirtualBox 5.2.44配ENSP 1.3系列稳定性最好。
• 以非管理员身份运行软件，导致底层驱动无法正常加载。

排查步骤建议：先到任务管理器里看VirtualBox后台进程是否起来，如果能起来但AR还是报40，就去控制面板关闭Windows功能里的虚拟机监控程序、Hyper-V和虚拟机平台，重启后再试。如果问题依旧，把设备从拓扑中删掉重拖，或者重置设备配置。我不推荐一上来就卸载重装，ENSP卸载不干净留下的残留驱动会更难缠。

7.2 USG6000V启动时一直输出####

这是USG6000V的"经典卡顿"问题。我见过很多人以为设备挂死就反复删除重配，结果越搞越糟。实际原因通常是USG镜像启动慢，第一次启动可能需要等待5到10分钟。启动过程中控制台一直打印井号，说明内核还在加载，并不是死机。

处理经验：先启动AR2220和S5700，最后再启动USG6000V；等待时长拉长到十五分钟以上观察状态。如果始终卡住，就去ENSP安装目录下的设备包目录重新导入USG镜像，或者把VirtualBox网卡类型改成Intel PRO/1000系列。另外，不要在一个拓扑里放太多USG设备，它对内存的消耗远超交换机模拟器。

7.3 模拟器重启后DHCP"自动关闭"的迷思

有朋友问"重启ENSP之后DHCP会自动关闭吗"。准确说，DHCP功能不会被模拟器强制关闭，但设备重启后会回到保存前的配置状态。如果你在拓扑中保存配置前忘记执行save，重新打开工程后VLANIF上的dhcp select global可能就没有了，看起来像是"DHCP自己被关了"。

排查时执行display dhcp enable或display current-configuration看看dhcp enable是否还在，如果不在，重新开启并从核心交换机导出一份config.conf存档。养成每次配置完就quit到用户视图执行save的习惯，在模拟器里和在真机上是同等重要的。

7.4 设备包提示损坏怎么办

如果启动时提示设备包有问题，最常见的原因是ENSP安装目录下的组件损坏。检查路径中是否有中文或空格，我见过不少工程文件路径带中文导致设备包无法加载的案例。把整个安装目录移到纯英文路径，并重新导入设备包镜像，一般能解决。

还有一个取巧的方案：直接迁移到华为的ENSP Pro。新版模拟器在启动速度、设备稳定性、真实镜像支持上提升明显，对防火墙和无线设备的模拟也更友好。如果老ENSP反复出问题，换平台是值得考虑的。

8. 从模拟器到真实机房：落地实施的关键对照

8.1 模拟器型号到真机型号的映射

模拟器跑通只是第一步，真实落地时的设备选型还要把型号对应起来。我给自己的项目定了这样一张映射表：

表：模拟器到真机的设备选型映射

真机命令和模拟器基本一致，但版本差异会导致部分命令参数不同。落地方案我建议先拿真机的手册核对一遍配置，尤其是VRP版本升级后，QoS和策略防火墙的命令语法很可能有细微变化。

8.2 从模拟到现实多出来的环节

模拟器不需要考虑物理层，但真实项目不行。以下都是我反复踩过的点：

第一，供电要冗余。核心交换机和防火墙必须接UPS，超市停电后收银和监控都要维持一定时间，这是一个被严重低估的需求。

第二，摄像头带宽要算。一台1080P、25帧的摄像头，码率一般在4Mbps左右。30台就是120Mbps，这些流量全部汇集到NVR所在网段。如果核心下联监控汇聚的链路不够，录像就会花屏。我在VLAN规划里把CCTV单独拎出来，就是为了让监控流量可以独立扩容。

第三，无线要勘测。AP放哪儿不能靠猜，超市里的货架金属结构对Wi-Fi信号衰减非常严重。真实项目里必须拿着测试终端在通道上走一遍，确认信号和漫游切换没问题再固定AP。

第四，标签和走线。这个听起来最不"技术"，但后期排障时，一条规范的标签能省下一小时。我的习惯是线缆两端都打标签，写上"端设备-交换机端口-VLAN-日期"，从来没有后悔过。

8.3 毕设和认证项目怎么做才体面

如果你是用这个课题做毕业设计或者数通认证的综合实验，我有一条经验：把文档和配置注释当成代码一样认真对待。

在博文的这个【JSYRTT】课题里，我给每个配置文件都加了抬头注释，标明设备角色、接入位置、所属VLAN。拓扑图里也用不同颜色区分业务链路、管理链路和监控链路，评审老师一眼就能看出规划能力。这比单纯能跑通的实验报告有价值得多。

做完实验不要删工程文件。ENSP工程的存档、配置备份、排障截图都保留在项目文件夹里，后续答辩和简历作品集都会用到。我在做这个课题时，每调通一个模块就截一张带时间戳的验证图，最终整理成一份可追溯的实施文档。这份文档后来直接复用到真实门店的改造方案里，省掉大量重复沟通成本。

最后再分享一个小环节：如果你有条件，把这台超市架构在真机上部分跑通一遍——哪怕只是用三台真实交换机和小型防火墙搭出一个简化版。模拟器和真机之间的差距，往往集中在接口状态上报、风扇噪声、电源灯这些"毫无技术含量"但总是第一个出问题的地方。经历过一次真机调试，再看ENSP里的任何报错，心态都会稳很多。