爬一手好线杆提到HCIA，我猜大多数人的第一反应是刷题库，第二反应是背命令。我自己备考那会儿也是这么想的，直到补考了一次实验题才老实——理论和命令背得再顺，进了考场照样会卡壳。
如果你正在准备HCIA，无论考数通还是云服务方向，动手做复习实验都是绕不开的一步。HCIA是华为认证的入门级别，不要求太高级的排障技巧，但实验题考的就是你能不能在给定环境里，把一个网络从零搭起来、配通、验证完。这篇文章不打算贴一份命令大全，我想把复习阶段我反复做、反复踩坑的实验整理成一条稳定的练习路径，给正在备考的你做个参考。
适合谁读？准备考HCIA但还没正经做过实验的人，课程学完不知道怎么安排复习实验的人，或者工作后想快速捡回基础操作的人。你已经知道VLAN、OSPF这些基本概念就可以，这套东西主要补操作和验证。
1. 先把 eNSP 环境调顺：版本、拓扑和抓包三件事
1.1 模拟器版本与设备型号怎么选
一说到华为模拟器，脑子里冒出来的基本就是eNSP。eNSP的版本有好几个，有些课程包还会附带老版本，我的建议是能装新版本就不要用老版本。原因不是新版本功能多，而是新版本对Win10/Win11的兼容性更好。我见过太多同学卡在"设备启动不了"这一步，最后发现是版本太老，和系统防火墙、虚拟网卡冲突。
eNSP依赖的组件也容易踩坑：WinPcap或Npcap、VirtualBox、Wireshark三件套。典型的问题是路由器AR启动不了，或者启动后相互ping不通。这时候九成是VirtualBox和你系统的虚拟化设置冲突。我的处理方式是先卸载干净，再按顺序装：VirtualBox、Wireshark、WinPcap、eNSP。装完以后AR设备还是起不来，就去BIOS里把虚拟化（VT-x/AMD-V）打开，同时把Windows的Hyper-V和内存完整性关掉，这是我试下来最稳的组合。
设备型号怎么选？eNSP里常见的路由器是AR201、AR2220，交换机是S5700、S3700。复习阶段用默认型号就够，没必要追高型号。唯一要注意的是，有些实验命令（比如堆叠、M-LAG）eNSP支持得不好，那就不要死磕模拟器，直接把这个考点记在笔记里，因为考试也未必会考模拟器根本做不出来的东西。
1.2 复习拓扑怎么画才省事
HCIA复习实验不需要搞特别复杂的拓扑。我的建议是一张拓扑反复用：两台路由器、两台交换机、两台PC，再加一台服务器，基本能覆盖VLAN、路由、ACL、NAT、DHCP这些核心考点。拓扑越简单，你越能把注意力集中在验证命令和排错思路上，而不是浪费时间在理线路上。
初始拓扑可以这样规划：
code复制PC1 ---- SW1 ---- R1 ---- R2 ---- SW2 ---- PC2
|
Server
一张拓扑的好处是，你可以在这个框架上不断叠加配置。比如把SW1和SW2之间配成Trunk，把R1和R2之间跑OSPF，然后在R2上做NAT，整个实验做完一遍，你会发现很多知识点是串起来的，不是孤立的一条条命令。
刚开始做实验的人有个毛病，喜欢把拓扑画得很大，十几台设备摆在那儿很壮观，但配置起来一头雾水。问题出在验证上：你根本不知道从哪里开始查。所以我一直强调，HCIA阶段，小拓扑大验证，比大拓扑小验证有效得多。
1.3 抓包看报文才是复习的正确打开方式
很多人做实验只看"ping通没通"，通了就收工。这样复习效率其实很低。我强烈建议在eNSP里开启抓包功能，或者把Wireshark接进来，亲眼看一下STP的BPDU、OSPF的Hello包、ARP的请求和应答长什么样。
HCIA考试又不考抓包，为什么要看？因为很多选择题和判断题考的就是"哪个报文先发""谁向谁发"这类细节。你只看命令输出是记不住的，但看过一次报文就再也忘不了。比如我第一次看OSPF的Hello包时，才真正明白Router ID和Network Mask在邻居建立里起了什么作用。
eNSP里抓包很简单：右键设备端口选"抓包"，已经安装的Wireshark会自动弹出来。我的习惯是每做完一个实验，至少抓一次关键报文的包，保存下来。复习的时候直接翻出这些抓包文件回忆整个流程，比重新敲一遍实验省时间。这个过程多花不了几分钟，但对理解协议的价值非常大。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 交换考点实验：VLAN 隔离、Trunk 放行和 STP 阻塞验证
2.1 VLAN 实验的核心逻辑：先隔离再放行
交换部分最基础也最核心的实验是VLAN。HCIA对VLAN的考察主要集中在：Access端口和Trunk端口的区别、VLAN的划分方式、Trunk放行VLAN的配置。复习实验里不要只做一个"创建两个VLAN、把PC划进去"的入门操作，要做就做跨交换机的实验。
实验场景可以这么设计：两台交换机SW1和SW2，各有两台PC，PC1和PC2在VLAN 10，PC3和PC4在VLAN 20。要求同VLAN能通信，不同VLAN不能通信。
配置关键点：
text复制[SW1]vlan batch 10 20
[SW1]interface GigabitEthernet0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access
[SW1-GigabitEthernet0/0/1]port default vlan 10
[SW1-GigabitEthernet0/0/1]interface GigabitEthernet0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access
[SW1-GigabitEthernet0/0/2]port default vlan 20
[SW1-GigabitEthernet0/0/1]interface GigabitEthernet0/0/24
[SW1-GigabitEthernet0/0/24]port link-type trunk
[SW1-GigabitEthernet0/0/24]port trunk allow-pass vlan 10 20
很多人做完这步就停了。但复习实验的重点在于验证：在PC1上ping PC2（通），ping PC3（不通）。如果连PC2都不通，要查的不是VLAN配置，而是PC的IP地址是不是在同一个网段。实验里最容易翻车的其实是IP规划，不是交换机配置。
然后还要验证Trunk端口对VLAN的放行。用display port vlan查看端口类型和VLAN情况，用display vlan查看VLAN下的端口成员。这两个命令比ping更能说明问题本质。
2.2 用 display 命令确认 STP 阻塞端口，别只看现象
STP在HCIA中的考点主要是：生成树协议的作用、根桥/根端口/阻塞端口的概念、BPDU的交互。在模拟器里做STP实验，最简单的拓扑是两台交换机用两条线互联，形成环路。
配置上几乎不用做什么，因为交换机默认开启STP。你需要做的是看结果：
text复制<SW1>display stp
<SW1>display stp interface GigabitEthernet0/0/2
通过display stp你能看到这台交换机是不是根桥、每个端口的角色（Root/Designated/Alternate）和状态。复习的时候很多人只看现象——"能ping通，没环路"，但不清楚到底哪个端口被阻塞了。我建议你把两条线都拔掉再插上，观察STP收敛过程，配合抓包看BPDU，这样你才能真正理解"阻塞端口不是一直都不发数据，而是不转发用户数据但继续收BPDU"。
一个常考的点是，把交换机优先级改成4096，看根桥是否切换：
text复制[SW1]stp priority 4096
然后display stp看角色变化。这组实验做完，STP相关选择题基本不会再错。做实验时我发现，很多人对"端口角色"和"端口状态"两个概念分不清，SHOW出来的信息就摆在那儿，可就是不看。你要养成习惯，每次配置完成就把display输出里的角色、状态、接口挨个读一遍。
2.3 链路聚合实验很容易被忽略的两个细节
HCIA数通大纲里链路聚合（Eth-Trunk）不算最核心，但考试偶尔会考。eNSP里链路聚合实验相对简单，两台交换机之间配两条链路做Eth-Trunk。
配置：
text复制[SW1]interface Eth-Trunk 1
[SW1-Eth-Trunk1]trunkport GigabitEthernet0/0/1
[SW1-Eth-Trunk1]trunkport GigabitEthernet0/0/2
[SW1-Eth-Trunk1]port link-type trunk
[SW1-Eth-Trunk1]port trunk allow-pass vlan 10 20
这个实验有两个容易被忽略的细节。第一，Eth-Trunk两端的模式必须一致，一端是手工负载分担，另一端也要一样；如果一端配置了LACP模式，另一端必须同样配置LACP模式，否则链路起不来。第二，配置Eth-Trunk的成员接口下不要再单独配置业务VLAN和trunk参数，要在Eth-Trunk接口下统一配置，不然会出现端口被放行了但流量走不通的诡异现象。
验证命令是display eth-trunk 1，能看到成员端口的状态是Up，以及负载分担方式。链路聚合实验虽然小，但它是理解"二层冗余+带宽扩展"的直观入口，做完以后再看STP和VLAN的配合，思路会清晰很多。
3. 路由考点实验：静态路由、缺省路由和 OSPF 邻居排错
3.1 静态路由实验要验证"往返"而不是"单通"
路由部分，HCIA考得最多的是静态路由、缺省路由和OSPF。先说静态路由。很多新手做实验只看PC1能不能ping通PC2，通了就觉得静态路由配对了。实际上要分别在两端发起ping，验证双向可达。
静态路由的典型配置：
text复制[R1]ip route-static 192.168.20.0 24 10.0.12.2
[R2]ip route-static 192.168.10.0 24 10.0.12.1
配置很简单，但复习重点是排查思路。如果PC1 ping不通PC2，按顺序查：
- 直连网段是否通，R1能不能ping通R2的互联接口地址。
- 路由表里有没有192.168.20.0这条路由，用
display ip routing-table。 - 下一跳地址是否可达，有没有写错接口或地址。
- 来回路径是不是都有路由。
这套排查顺序不只在静态路由实验里有用，后面综合实验里同样适用。我见过太多人一上来就查路由表，根本不管底层物理链路通没通。实际排错应该从底层往上走，链路不通，路由表看了也白看。
缺省路由的实验也很简单，把R2配置一条默认路由指向外网：
text复制[R2]ip route-static 0.0.0.0 0 10.0.12.1
配置完以后，用display ip routing-table看那条Destination/Mask是0.0.0.0/0的路由。缺省路由在NAT结合实验里会经常用到，单独做一遍以后再串起来会更好理解。
3.2 OSPF 邻居建立失败，按这条链路一步步查
OSPF是HCIA实验题的重头戏，也是很多人的丢分点。复习时一定要把OSPF邻居从Down到Full的整个过程走一遍。实验拓扑可以是R1和R2之间通过以太网直连，两边各配一个loopback接口。
配置：
text复制[R1]ospf 1 router-id 1.1.1.1
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]network 10.0.12.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0
排错是整个实验最有价值的部分。如果你敲完配置发现邻居关系不是Full，先看display ospf peer看状态，然后按以下常见原因排查：
- 第一，Router ID冲突。两台路由器的Router ID必须唯一，如果不唯一，邻居会反复震荡。
- 第二，接口的OSPF网络类型不一致。串口是P2P，以太网接口默认是Broadcast，如果一端手动改了网络类型，就会卡在Attempt或Init状态。
- 第三，Hello和Dead定时器不一致。华为设备默认Hello 10秒，Dead 40秒，改过之后要两端对齐。
- 第四，区域号不匹配。一个在Area 0，一个在Area 1，邻居永远建不起来。
- 第五，认证不一致。如果一边配了认证一边没配，
display ospf error里能看到认证失败计数增长。
我建议你排错的时候，边敲命令边看display ospf error，这个命令能告诉你到底是哪个环节出了问题。HCIA考试可能不会让你做这么深度的排错，但理解了故障现象和原因，实验题和选择题都会顺很多。
3.3 路由优先级和度量值，用一组小实验验证
静态路由和OSPF同时存在时，谁优先生效？这是HCIA的高频考点。华为路由器的路由优先级默认是：直连0、静态60、OSPF 10。复习实验里可以这样设计：在R1上同时配置一条静态路由和一条OSPF路由，目的网段相同但下一跳不同，然后看路由表优选哪一条。
实验设计：
- R1到192.168.20.0/24，配两条路：一条静态指向R2，一条OSPF从另一台路由器学到。
- 查看
display ip routing-table 192.168.20.0，你会发现优选的是OSPF，因为OSPF优先级10小于静态60。 - 如果想要静态路由优先生效，可以手动改优先级：
text复制[R1]ip route-static 192.168.20.0 24 10.0.12.2 preference 5
改完之后再看路由表，静态路由就变成优选了。这个实验很小，但对理解"路由优先级"这个抽象概念非常直接。考场上如果出题问"两条路由谁优先生效"，你就知道去查什么了。
4. ACL 与 NAT 实验：别让掩码和匹配顺序在考场上坑你
4.1 通配符掩码的易错点
ACL（访问控制列表）在HCIA里考得非常多，而且经常和NAT结合起来考。先讲通配符掩码（Wildcard Mask）这个最容易出错的地方。很多人会把通配符掩码和子网掩码搞混，比如看到192.168.10.0 0.0.0.255，就会问为什么不是255.255.255.0。因为通配符掩码的规则是：0表示必须匹配，1表示不需要匹配。所以0.0.0.255表示前三段必须匹配，最后一段任意。
实验里最容易出错的是"精确匹配一台主机"：应该写192.168.10.1 0.0.0.0，而不是192.168.10.1 0.0.0.255。后者会把整个192.168.10.0网段都匹配进去。这类题在题库里反复出现，但如果你自己动手配过一次，就再也不会记反了。
做ACL实验时我还有一个习惯：配完以后用display acl 2000看规则，然后故意用一个不该被匹配的源地址去触发，看看会不会误匹配。这种反向验证的做法能帮你发现通配符掩码写错了没。
4.2 ACL 匹配顺序的坑：rule 编号越小越先匹配
华为ACL的匹配规则是：按照rule编号从小到大依次匹配，一旦匹配就停止。所以下面这个配置会带来一个很常见的坑：
text复制[R1-acl-basic-2000]rule 5 permit source 192.168.10.0 0.0.0.255
[R1-acl-basic-2000]rule 10 deny source 192.168.10.1 0.0.0.0
如果按这个顺序配置，PC1（192.168.10.1）会被permit先匹配，deny那条根本不会生效。要限制特定主机，正确的做法是把更精确的规则编号放前面：
text复制[R1-acl-basic-2000]rule 5 deny source 192.168.10.1 0.0.0.0
[R1-acl-basic-2000]rule 10 permit source 192.168.10.0 0.0.0.255
这个知识点看着简单，但在实验里真的很多人栽跟头，尤其是把ACL应用到接口的方向搞错之后，现象会变得很难排查。应用方向很关键：ACL在接口下应用时，inbound影响从该接口进入的流量，outbound影响从该接口出去的流量。HCIA考试判断题里经常给一个"应用了ACL但方向反了"的场景，你只有自己配过一次，才会对这种坑印象深刻。
4.3 NAT 实验要用抓包验证地址转换
NAT实验是HCIA的一个重点，尤其是源NAT（出接口NAT）和服务器映射。实验拓扑可以用R2作为边界路由器，内网PC通过R2访问外网Server。在R2上配置：
text复制[R2]acl number 2000
[R2-acl-basic-2000]rule 5 permit source 192.168.10.0 0.0.0.255
[R2]interface GigabitEthernet0/0/1
[R2-GigabitEthernet0/0/1]nat outbound 2000
做这个实验的时候，我建议你在R2的外网口抓一次包，观察源地址从192.168.10.x变成公网地址的过程。你会发现，启用nat outbound后，内网流量出去时源IP都被替换成了出接口的IP。再看反向流量回来的时候，NAT表项是怎么维护的。
如果做服务器映射实验，配置是：
text复制[R2-GigabitEthernet0/0/1]nat server protocol tcp global 202.10.1.1 80 inside 192.168.10.10 80
然后从外网PC访问202.10.1.1的80端口，抓包看目的地址被转换成了192.168.10.10。这类实验不要只为了"能通"就完事，多花两分钟看一次报文转换前后的样子，遇到NAT相关场景题会有底很多。
5. DHCP、链路聚合和 ARP 排错：容易被忽略的第二梯队实验
5.1 DHCP 地址池和中继实验，验证获取流程
HCIA的DHCP考点分为客户端的获取流程，以及DHCP中继。基础实验是在路由器上配置DHCP地址池，PC用DHCP自动获取IP。
text复制[R1]dhcp enable
[R1]ip pool vlan10
[R1-ip-pool-vlan10]network 192.168.10.0 mask 255.255.255.0
[R1-ip-pool-vlan10]gateway-list 192.168.10.254
[R1-ip-pool-vlan10]dns-list 8.8.8.8
[R1-ip-pool-vlan10]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]dhcp select global
做完后，PC上执行ipconfig看是否获取到地址。这里有个细节：获取到地址只是第一步，还要确认能否ping通网关。DHCP实验很容易遇到的问题有两个。一个是地址池里有地址但PC获取不到，检查接口是否执行了dhcp select global。二是有多个网段时PC从错误地址池拿到地址，这时候要检查接口所在网段和地址池是否匹配。
DHCP中继实验是这样：PC在192.168.10.0/24网段，DHCP服务器在192.168.20.0/24网段，中间经过一台路由器做中继。在路由器接口上配置：
text复制[R1-GigabitEthernet0/0/1]dhcp select relay
[R1-GigabitEthernet0/0/1]dhcp relay server-ip 192.168.20.2
这个实验能帮你理解DHCP广播报文是怎么被转成单播发到服务器，服务器又是怎么应答的。HCIA真题里关于DHCP中继的选择题不算多，但一旦考到，做过实验的人基本一眼就能选出答案。
5.2 ARP 表项和 MAC 表项，排错时怎么用
排错的时候，很多人不知道问题出在哪一层。我的建议是遇到"ping不通"先看三层：路由表、ARP表。display arp能看到IP和MAC的对应关系，如果发现某个IP对应的MAC是"Incomplete"，说明ARP请求没被回应，问题很可能出在二层隔离或者VLAN配置上。display mac-address能看到交换机学习到的MAC表项，如果PC的MAC没有出现在预期接口下，就需要查VLAN和端口配置。
这个实验不一定非要单独做，但你可以把之前VLAN实验的拓扑拿出来，在PC互相ping不通的时候执行这两条命令，分析一下ARP和MAC表项，能帮你形成一个真正的排错思路。很多人抱怨HCIA实验没意思，那是因为他们只做了配置没做排错。排错才是实验最有价值的部分。
5.3 我把容易忽略的实验组合成一张检查表
复习到最后阶段，我用一张表检查自己有没有遗漏考点。你也可以照这个表过一遍：
| 实验模块 | 核心验证点 | 常用验证命令 |
|---|---|---|
| VLAN/Trunk | 同VLAN通、跨VLAN不通 | display vlan, display port vlan |
| STP | 阻塞端口存在、根桥切换 | display stp |
| Eth-Trunk | 成员端口Up、负载分担 | display eth-trunk |
| 静态路由 | 双向连通、路由表存在 | display ip routing-table |
| OSPF | 邻居Full、路由学习 | display ospf peer |
| ACL | 匹配顺序、通配符掩码 | display acl |
| NAT | 源/目的地址转换 | display nat session |
| DHCP | 获取地址、网关可达 | ipconfig, display ip pool |
这张表的意义不是让你背命令，而是提醒你每个实验做完之后的"验证动作"不能省。不会验证，实验做了也等于白做。
6. 考前的实验复盘节奏与考场操作经验
6.1 我的三步复习法：小实验、综合实验、限时训练
HCIA考试一般分为理论选择题和实验操作题，每个方向的考试形式略有区别。不管考试形式怎么变，复习实验都可以按三步走。
第一步，按知识点逐个做小实验。比如今天只做VLAN和Trunk，明天只做OSPF，每次40分钟到一个小时。这个阶段追求的是把每个知识点独立搞懂，不追求综合。
第二步，做综合实验。把之前的小实验串起来：PC1到SW1到R1到R2到SW2到PC2，要求PC1能访问PC2，还要加ACL、加NAT、加DHCP。综合实验的意义是让你理解各个技术点之间的依赖关系。OSPF宣告的网段必须和接口IP匹配，ACL应用方向会影响可达性，NAT和路由表互相依赖，这些只有在综合实验里才能体会到。
第三步，限时训练。我会给自己定30分钟，从零开始搭建拓扑、完成配置、验证连通性。这个阶段能模拟考场压力，培养"拿到题先看什么、后做什么"的肌肉记忆。考试前一周，我还会把之前保存的抓包文件和命令行日志翻出来快速过一遍，比重新听一遍课效率高得多。
6.2 实验现象与原因对照，遇到问题先别慌
我把复习实验里最常见的现象和原因整理成一张对照表，遇到问题直接按表排查：
| 现象 | 可能原因 | 排查命令 |
|---|---|---|
| 同VLAN的PC也ping不通 | IP网段不一致 / 物理接口没起来 | ipconfig, display interface |
| VLAN配好了但跨设备不通 | 网关没配 / 三层接口未配置 | display ip interface brief |
| STP环路导致广播风暴 | 端口角色全是Designated | display stp, 临时shutdown一个端口 |
| OSPF邻居卡在Init | Hello间隔/区域不一致 | display ospf error |
| ACL过滤没生效 | 应用方向错误 / 规则顺序错 | display acl, display traffic-filter |
| NAT转换不生效 | 出接口选错 / 未加ACL引用 | display nat session |
| DHCP获取不到地址 | 接口没选dhcp select / 地址池没建 | display ip pool, display interface |
这张表的用途是让你在实验复现时快速定位问题，而不是死记硬背。多遇到几次故障，多手动排几次错，比什么题目都管用。我后来发现一个规律：凡是自己排错排出来的知识点，印象都特别深；凡是看答案秒懂的，过几天基本忘光。
6.3 考场操作细节和个人体会
最后说说考场操作。我参加过HCIA的实验考试，也见过不少人在实验题上翻车，总结下来有三类问题。
第一类是没有看清设备名和接口名。考场给的拓扑可能和你平时练的不一样，接口编号也可能不同。动手配置之前先看每个设备的主机名和接口状态，避免把命令敲到错误的设备上。第二类是命令输出不熟。实验考试