eNSP动态IP配置与排错：DHCP全局池、中继、PPPoE拨号

1. 先搞清楚“动态IP”在eNSP里到底指什么在eNSP里配动态IP新手最常见的误区是把它当成一个动作。实际上“动态IP”在这款模拟器里至少能拆成三种完全不同的东西终端从DHCP服务器自动拿到地址、跨网段时由中继帮忙转发地址请求、以及链路两端通过PPP协商拿到一个临时地址。三者只是最终结果都是“地址不用手工敲”底层机制、配置命令、排错方向差得远。我见过不少人把PPPoE拨号失败的案例发出来结果下面一堆人让他检查DHCP地址池——方向一开始就错了。这篇内容围绕eNSP配置动态IP展开适合三类人刚接触网络模拟器、想在虚拟环境里把DHCP跑通的新手考证实操练习中老是卡在“PC拿不到地址”的备考者以及需要复现企业网里跨VLAN自动分配、出口拨号这些真实场景的从业者。我会把三种方案的配置命令逐条拆开讲把地址规划的计算过程写出来再把我在模拟器里踩过的那些坑列成表。命令都是可以直接敲进去跑的不是伪代码。先说明一点本文所有拓扑、地址、账号都是我自己编的练习用参数你在自己环境里可以随意替换网段只要保证前后一致就行。模拟器里跑通和真机上线还有差距但把动态IP这一套逻辑吃透剩下的就是设备差异问题了。1.1 三种动态获取方式的适用边界DHCP全局地址池是最正统的方案。一台设备集中管理一个或多个网段的地址池客户端发广播服务端回OFFER。它适合“服务器和客户端在同一个广播域”的场景比如一个办公区、一个机房、一间教室的PC。优势是集中管理、租期可控、能下发网关和DNS客户端零配置。缺点是广播报文过不了三层设备跨网段必须靠中继。DHCP接口地址池配置更省事。不去单独建池直接绑定在某个三层接口上接口地址所在网段就是池子。适合小型网络、临时实验、以及不想维护一堆池子的场景。省事的同时灵活性差一些不能给一个接口下发多个不同网段的地址也不能像全局池那样一次配好、多个接口复用。PPPoE本质是点对点链路上的地址协商。服务端维护一个地址池客户端拨号成功后由服务端分配一个地址同时完成认证。它适合模拟运营商接入、出口拨号、以及需要“每次连接地址可能变化”的场景。这套机制和DHCP不共用任何东西DHCP的排错思路拿过来完全无效。提示判断用哪种方案只看一句话——客户端和服务端之间能不能发广播。能就用DHCP不能且在同一个二层域用中继链路是对点协议才考虑PPPoE。1.2 为什么我不建议新手一上来就配PPPoEPPPoE这条路上叠的东西太多要先有认证账号要有虚拟模板接口客户端要拨号接口、要有dialer组、要有静态默认路由指向拨号口服务端还要能分配地址。任何一环漏了现象都是“拨不上”或者“拨上了但ping不通”新手很容易在其中绕不出来。我的建议是先把DHCP全局地址池跑通看着PC从“无地址”变成拿到192.168.x.x再用抓包确认DISCOVER、OFFER、REQUEST、ACK四个报文真的走完了。这一步建立的是“我能看见现象”的信心。等DHCP熟练了再去做中继理解“广播被拦住了、需要有人代发”的逻辑最后再碰PPPoE。顺序反过来大概率是配置抄完、现象不对、心态崩溃。还有一个隐藏原因DHCP的验证手段更丰富。display ip pool能看池子用了多少、还剩多少display dhcp server ip-in-use能看谁租了哪个地址客户端还能抓包。PPPoE虽然也有display pppoe-client session summary之类的命令但排查维度窄得多。2. 开工前的地址规划与拓扑搭建动手前先花五分钟做规划比敲完命令再回来改高效得多。我见过太多实验做到一半发现地址池网段和接口地址不在一个段命令全对就是不通。2.1 一个够用又不乱的拓扑这次用四台设备组一个能覆盖全部三种方案的环境。一台路由器当DHCP服务端和PPPoE服务端一台三层交换机充当跨VLAN的网关和中继代理两台PC做客户端再加一台路由器做出口拨号端。具体连接路由器A的G0/0/0接交换机S1的G0/0/1交换机S1的G0/0/2接PC1G0/0/3接PC2路由器A的G0/0/1接路由器B的G0/0/0这一段跑PPPoE。地址规划这样定PC1所在VLAN 10网段192.168.10.0/24网关192.168.10.254PC2所在VLAN 20网段192.168.20.0/24网关192.168.20.254路由器A和路由器B之间的互联段用100.64.0.0/24服务端地址池也用这个段。为什么选100.64.0.0/24这是运营商级NAT常用的保留段在实验里用它可以避免和常见的192.168、10.0这些内网段冲突同时它也不会和公网地址混淆。当然你用自己的习惯网段完全没问题我只是顺手。设备启动这一步别省。eNSP里路由器、交换机启动要几十秒PC和交换机的图标变绿不代表内部系统就绪。我吃过亏拓扑刚拉完就急着敲命令提示符还没出来回车敲了一堆空行。养成习惯全部设备启动完、双击进去能正常显示命令行再开始。2.2 地址与VLAN规划表把规划落成表格配置时对着抄比来回翻记事本可靠。下面这张表是我实际使用的参数你可以整套替换。设备接口所属VLANIP地址/掩码作用路由器AG0/0/010子接口192.168.10.254/24PC1网关路由器AG0/0/020子接口192.168.20.254/24PC2网关路由器AG0/0/1无100.64.0.1/24PPPoE服务端路由器ALoopBack0无10.10.10.10/32模拟DNS服务器交换机S1G0/0/1Trunk无上联路由器A交换机S1G0/0/210无接PC1交换机S1G0/0/320无接PC2路由器BDialer1无协商获得PPPoE客户端网段划分的计算过程说一下省得有人觉得24位掩码是拍脑袋定的。以VLAN 10为例我需要容纳的终端数量在实验阶段不会超过20台但考虑到后续可能加设备、加打印机、加AP同时要留出足够的排除地址给网关、服务器、网络设备管理地址用/24最舒服可用地址254个排除掉网关1个、预留静态段约20个动态池还剩230个左右完全够用。如果真按实际需求算20台设备用/2730个可用地址就够但地址空间太紧一旦要做地址池排除就会捉襟见肘实验环境没必要抠这点。掩码/24还有个好处是十进制换算简单第三段就是网段号看地址就知道属于哪个VLAN排错时一眼能对上。交换机侧需要先建VLAN再把接口划进去上联口配成Trunk允许VLAN 10和20通过。这部分属于基础操作但有个细节eNSP里交换机默认所有接口都在VLAN 1、都是Access模式上联口不改成Trunk两个VLAN的流量都过不去PC会一直拿不到地址而且现象和“DHCP没配”一模一样很容易误判。3. 全局地址池DHCP服务端配置全流程这是最核心的一块其他两种方案都是它的变体。我把命令按逻辑分组逐条说清楚为什么这么敲。3.1 命令逐条拆解第一步进入系统视图并命名然后全局开启DHCP功能。这一步是总开关不开的话后面地址池配了也不生效而且设备不会报错非常隐蔽。system-view sysname R-A dhcp enable第二步创建全局地址池。池名自己起建议带网段信息比如POOL-VLAN10回头display ip pool列表里一眼能认出来。ip pool POOL-VLAN10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.254 dns-list 10.10.10.10 192.168.10.254 lease day 0 hour 8 minute 0 excluded-ip-address 192.168.10.1 192.168.10.20network定义可分配网段这是池子的边界客户端拿到的地址一定在这个范围内。gateway-list下发默认网关客户端拿到地址后自动生成默认路由这是很多人忽略的一步——只配了地址池没配网关PC能上网段内的设备但出不了网段现象是“能ping通网关隔壁ping不通外网”。dns-list最多可以配8个客户端按顺序使用。我在实验里用了一个虚构的内网DNS地址10.10.10.10再加网关地址做备用。真实环境里填什么取决于你的网络但实验阶段建议填一个真实可达的地址或者干脆填网关避免PC解析超时导致页面卡顿。lease租期这里我设成8小时。租期的计算逻辑值得说清楚默认租期是1天客户端在租期的50%T1这里就是4小时会主动发单播REQUEST续租如果在87.5%T27小时还没续上就进入重新绑定状态开始发广播。租期设太短网络里续租报文多设太长地址回收慢设备换位置后旧地址长期被占。办公网8小时、公共区域2到4小时、实验环境随便设个几小时都行重点是知道T1和T2是怎么算出来的。excluded-ip-address排除地址段这一步非常关键。网关地址理论上会自动从池中排除但为了保险我习惯显式排除。另外把前20个地址留出来给服务器、打印机、网络设备管理口这些需要固定地址的角色。排除范围写在地址池里比事后发现地址冲突再回头改高效得多。第三步把地址池绑定到接口。interface GigabitEthernet0/0/0.10 dot1q termination vid 10 ip address 192.168.10.254 24 arp broadcast enable dhcp select global这里用的是子接口方案一个物理口承载两个VLAN的网关。dot1q termination vid 10表示这个子接口处理VLAN标签为10的报文arp broadcast enable必须要开否则子接口不收广播ARPPC连网关都ping不通。这两条命令如果漏了DHCP报文进不来PC永远停在“正在获取地址”。dhcp select global是告诉接口“用全局地址池”。不敲这条接口不知道去哪儿找池子即使池子配得再对也没用。这是新手最容易漏的一条命令我把它放在排查清单第一位。VLAN 20的子接口照抄一份改vid、改地址、改绑定的池子。两个子接口都配完路由器A的G0/0/0要确保是up状态。3.2 客户端侧与抓包验证PC端的操作在图形界面里双击PC进入基础配置IPv4配置勾选DHCP点应用。注意一定要点应用只勾选不点配置不生效。这个细节听起来很傻但我见过不止一次有人卡在这里。配置完等几秒PC上执行ipconfig应该能看到192.168.10.x的地址、掩码255.255.255.0、网关192.168.10.254、DNS 10.10.10.10。看到这一屏说明整条链路通了。想看细节就用抓包。在eNSP里右键链路选择抓包会调起抓包工具过滤条件填bootp或者dhcp。正常流程应该看到四个报文客户端广播DISCOVER、服务端单播或广播OFFER、客户端广播REQUEST、服务端广播ACK。如果只看到DISCOVER没有OFFER问题在服务端先查dhcp enable和dhcp select global如果OFFER发了但客户端不认检查地址池网段和接口地址是否同网段如果REQUEST发了没ACK可能是地址冲突或者池子耗尽。在路由器上验证的命令有三条各有侧重。display ip pool看池子总量、已用、剩余、排除数量display dhcp server ip-in-use看具体哪个MAC租了哪个地址、什么时候到期display dhcp server statistics看收发了多少报文排错时判断“请求到底有没有到设备”很管用。注意display ip pool里的“Used”数量包含已排除地址别被数字吓到。真正可分配数量 总地址数 - 排除数 - 已用数。4. 接口地址池与DHCP中继跨网段的两种打法全局池跑通之后这两个是延伸。接口地址池是简化版中继是解决广播跨不过三层的问题。4.1 接口地址池的取舍接口地址池不需要单独建池直接在接口上开DHCP接口地址所在网段自动成为池子。配置量少一半适合快速验证和小型网络。dhcp enable interface GigabitEthernet0/0/0.20 dot1q termination vid 20 ip address 192.168.20.254 24 arp broadcast enable dhcp select interface dhcp server dns-list 10.10.10.10 dhcp server excluded-ip-address 192.168.20.1 192.168.20.20 dhcp server lease day 0 hour 4注意命令前缀从ip pool变成了dhcp server因为参数是挂在接口上的。接口地址192.168.20.254会自动从可分配地址里排除不需要手动写。网关也不用配客户端拿到的网关就是这个接口地址。接口池的局限在于一个接口只能服务一个网段且参数不能跨接口复用。如果你有五个VLAN要做DHCP全局池可以配五次然后各接口dhcp select global参数集中管理接口池就得在每个接口上重复敲一遍DNS、租期、排除段。网段多了以后维护成本明显上升。我的习惯是三个VLAN以内用接口池超过就用全局池。这只是个人偏好不是硬规矩。4.2 中继配置与链路打通的关键点中继要解决的是客户端在VLAN 30DHCP服务器在另一个网段客户端发的广播到不了服务器。中继的作用是在网关接口上把广播转成单播发给指定的服务器地址服务器回包再由中继转回去。配置分两端。中继端在离客户端最近的三层接口上interface GigabitEthernet0/0/0.30 dot1q termination vid 30 ip address 192.168.30.254 24 arp broadcast enable dhcp select relay dhcp relay server-ip 10.0.0.2dhcp select relay把接口模式从中继以外的模式切成中继模式dhcp relay server-ip指定服务器地址。注意这两条是配在客户端网关上的不是配在服务器上。服务端这边地址池的网段要写客户端的网段不是服务器自己的网段ip pool POOL-VLAN30 network 192.168.30.0 mask 255.255.255.0 gateway-list 192.168.30.254 dns-list 10.10.10.10网关写的是中继接口的地址因为客户端最终要通过那个地址出网段。这一点容易搞混服务端给的是“别人家的网关地址”。最关键的一步是路由。服务端收到中继转来的请求回包的目标地址是192.168.30.254服务端必须有到192.168.30.0/24的路由否则回包发不出去现象是中继上看到请求发出去了客户端一直拿不到地址。实验环境里加一条静态路由最省事ip route-static 192.168.30.0 255.255.255.0 10.0.0.1其中10.0.0.1是中继设备和服务端直连的那个地址。这条路由漏了前面的配置全部白费而且日志里不一定有明显报错只能靠抓包看出来。提示中继排错按“三段论”走——客户端到中继通不通看ARP、中继到服务端通不通ping加路由表、服务端池子对不对看display ip pool的网段。三段都通还没地址再看中继接口是不是真的切到了relay模式。5. PPPoE拨号拿到一个“协商出来的地址”这一段和DHCP完全是两套东西别混着排错。PPPoE的地址不是“分配”的是协商出来的客户端连地址都没有就要先完成认证认证过了服务端才从池子里给一个。5.1 服务端虚拟模板与地址池服务端要先有账号。用本地AAA建一个aaa local-user ppuser password cipher Lab12345 local-user ppuser service-type ppp密码用cipher方式存储敲命令时明文输入配置文件里显示为密文。服务类型必须是ppp否则认证阶段直接拒绝。然后是地址池和虚拟模板接口ip pool POOL-PPPOE network 100.64.0.10 mask 255.255.255.0 gateway-list 100.64.0.1 interface Virtual-Template1 ppp authentication-mode chap remote address pool POOL-PPPOE ip address 100.64.0.1 255.255.255.0虚拟模板是个逻辑接口PPPoE会话建立后会从它派生出一个实际的会话接口。ppp authentication-mode chap指定认证方式CHAP比PAP安全密码不明文传输实验里也用CHAP养成习惯。remote address pool把地址池挂上去客户端拨号成功后从这里取地址。物理接口上绑定模板interface GigabitEthernet0/0/1 pppoe-server bind virtual-template 1到这一步服务端就绪。验证用display pppoe-server session all有客户端拨上来会看到会话ID、客户端MAC、状态。地址池网段的选择有个小讲究。把池子设成100.64.0.10起始前10个地址留给静态使用比如服务端自己、预留管理地址。gateway-list写的100.64.0.1是服务端VT接口地址客户端拿到后会以它为对端。5.2 客户端Dialer接口与默认路由客户端的配置比服务端还长因为要建拨号接口、拨号组、拨号规则、静态路由。interface Dialer1 link-protocol ppp ppp chap user ppuser ppp chap password cipher Lab12345 ip address ppp-negotiate dialer user client1 dialer bundle 1 dialer-group 1 interface GigabitEthernet0/0/0 pppoe-client dial-bundle-number 1 dialer-rule dialer-rule 1 ip permit ip route-static 0.0.0.0 0.0.0.0 Dialer1逐个说。ip address ppp-negotiate表示地址不手工配由协商获得这是“动态”二字的落点。dialer bundle 1把物理口和拨号接口绑成一个拨号组物理口上用pppoe-client dial-bundle-number 1关联同一个编号两边编号必须一致不一致就是拨不起来。dialer-group 1配合dialer-rule 1 ip permit决定什么流量能触发拨号。默认路由指向Dialer1之后去往任意地址的流量会匹配拨号规则触发拨号。如果拨号规则没配或者不匹配接口永远处于待机状态现象是“配置都敲了但没拨号”。默认路由这条不能省。PPPoE是点对点链路不配路由能拨上但业务不通。这时候用display ip interface brief能看到Dialer1是up的、有地址但ping外网不通很多人会误以为是NAT的问题其实是路由。验证命令用display pppoe-client session summary看会话状态display ip interface brief看Dialer1有没有拿到地址。拿到的地址会落在100.64.0.10到100.64.0.254之间每次重拨可能不同这正是“动态”的体现。如果要让内网PC通过这条链路出网还需要在客户端路由器上做源地址转换把内网段转换成Dialer1的公网地址。配置我用的是接口方式的转换规则写在内网接口和Dialer接口上配合ACL匹配内网段。这部分内容独立性强本文不展开但要知道它是PPPoE方案落地的必要一环。6. 排错实录与速查表这一节是前面所有内容里最值钱的部分。前面讲的是“应该怎么配”这里讲的是“配了不通时从哪下手”。6.1 六类高频故障第一类PC一直显示“正在获取地址”。先看接口有没有dhcp select global或dhcp select interface这是漏配率最高的一条。再看地址池网段和接口地址是否同网段不同网段又没做中继报文直接被丢弃。第三看子接口的arp broadcast enable有没有开没开的话广播进不来。第二类池子明明有地址客户端拿不到。查display ip pool的排除数量可能是排除段写大了把可用地址全排掉了。还有一种情况是池子被别的客户端租满没释放display dhcp server ip-in-use能看到具体的租约列表必要时在地址池视图下执行reset ip pool name POOL-VLAN10 all清空重来。第三类拿到地址但ping不通网关。十有八九是网关地址配错了或者接口没起来。用display ip interface brief确认接口是up、地址正确再在PC上arp -a看有没有解析到网关的MAC。子接口场景下dot1q termination vid和ACL/Trunk允许的VLAN必须对得上。第四类中继配了不通。按三段论查。中继接口能不能ping通服务端、服务端有没有回程路由、服务端地址池网段是不是客户端的网段。三个都对还不通抓包看中继有没有真的把报文转成单播发出去。第五类PPPoE拨号失败。先看账号密码、服务类型。再看dialer bundle两边的编号。再看CHAP认证方向ppp chap user在客户端填的是自己的账号还是服务端要求的账号这个容易绕晕CHAP里客户端发的是自己的用户名服务端据此查本地账号所以客户端填自己的账号名服务端本地用户的用户名要和它一致。第六类能拨上但业务不通。查默认路由、查NAT、查MTU。PPPoE有额外8字节开销链路MTU要相应调整大包不通、小包能通就是这个原因现象很典型。6.2 快速定位速查表现象最可能原因一条命令验证客户端无地址接口未开启DHCP选择模式display current-configuration interface客户端无地址地址池与接口不同网段display ip pool有地址不通网关子接口未开ARP广播display current-configuration interface有地址不通网关Trunk未放行对应VLANdisplay vlan中继不生效服务端缺回程路由display ip routing-table中继不生效接口模式未切到relaydisplay current-configuration interface池子有地址但分配失败排除段过大或租约未释放display dhcp server ip-in-usePPPoE拨不上账号服务类型不是pppdisplay local-userPPPoE拨不上dialer bundle编号不一致display current-configuration interface拨上但外网不通缺默认路由或无NATdisplay ip routing-table大包不通MTU与新链路不匹配客户端ping指定包长测试再补几个不在表里但很实用的经验。eNSP里抓包工具要提前挂好链路建好后再挂可能抓不到前面的协商过程尤其是DHCP这种几秒就完成的交互。设备重启后配置会丢失除非保存模拟器里养成敲save的习惯或者干脆把配置文本存在本地重搭拓扑时直接粘贴。还有一点实验环境里地址冲突的排查比真机麻烦因为PC的MAC是模拟器随机生成的display dhcp server ip-in-use里看到的MAC和PC界面上显示的未必对得上。遇到“池子里有地址但客户端拿不到”的情况直接在地址池里执行reset ip pool清一遍比逐个核对租约快。最后说个配置顺序上的体会先把DHCP服务端配完、验证池子能正常显示再去配客户端。反过来的话客户端一直转圈你不知道是服务端没配好还是链路没通两个变量搅在一起排错时间翻倍。我现在的固定顺序是接口地址、地址池、接口绑定、客户端、抓包验证五步走完基本一次通过。