校园网设计实战：4个C类地址如何划分VLAN与NAT

简介这份资源是面向高校计算机网络课程学习者与课程设计备赛学生的校园网设计方案文档针对“多部门、IP地址有限条件下如何完成网络规划”这一典型课设难题给出完整解答。压缩包内共1个doc文件约1.65MB以Word文档形式呈现便于直接查阅、打印或在此基础上修改。方案围绕某高校三个系与现教中心、行政共五个部门的组网需求展开给出两套设计思路并逐条比较最终确定采用交换式千兆以太网主干、百兆到桌面的三层星型树拓扑内容涵盖VLAN划分、私有地址与NAT转换接入教育网、C类地址子网划分、接入层/汇聚层/核心层设备选型以及光纤与双绞线布线、硬件清单报价和软件清单等读者可据此掌握从需求分析到方案论证的完整写作与设计流程。目前已有2958人学习适合课程设计参考与网络规划入门练习。1. 从一份“4 个 C 类地址养 5 个部门”的方案说起第一次翻到这份校园网设计方案我盯住的不是拓扑图而是那句“申请到 4 个 C 类 IP要分给 5 个部门”。这是个很典型的资源约束题三个系各 255 个信息点行政 32 个现教中心 20 个公网地址不够分还得通过 NAT 接入教育网。方案给出的解法是三个系走私有地址、行政和现教中心共用 222.192.4.0 划子网再按部门切 VLAN核心层用带 NAT 和防火墙的路由器收口。这套东西放在今天看设备型号确实老了但地址规划、VLAN 划分、三层交换加 NAT 的思路拿来当网络课程设计的骨架依然站得住。适合正在做计网课设、需要一份能照着画拓扑和配地址的同学也适合想回头补一补局域网设计基本功的开发者。2. 需求拆解与地址规划4 个 C 类怎么切给 5 个部门2.1 先把信息点和地址账算清楚动手画拓扑之前先把两笔账算明白一笔是端口数一笔是地址数。端口这边每个系 255 个信息点24 端口交换机实际可用端口要扣掉上联口所以一个系 11 台接入交换机加 1 台汇聚交换机是合理配置行政 32 个点用 2 台接入现教中心 20 个点用 1 台接入。地址这边4 个 C 类共 1024 个地址5 个部门总需求是 255×33220817 个表面看够但公网地址不能随便内部消化得留出 NAT 出口和网络号、广播地址的损耗。方案一的做法是把三个系整体放进私有地址段公网地址只留给行政和现教中心。这样做的直接好处是三个系各自一个完整的 /24地址空间宽裕后续加机器不用重新规划代价是这三个系访问教育网必须经过 NAT 转换核心层路由器的 NAT 性能就成了瓶颈点。方案二反过来三个系直接吃公网地址行政和现教中心挤在 222.192.4.0 的子网里结果核心路由器自己没地址可用了广播域也被拉大。两相比较方案一在地址利用率和广播域控制上都更稳。2.2 子网划分的具体算法行政 32 个点、现教中心 20 个点合起来 52 个地址一个 /24 完全装得下但方案选择把它劈成两个 /25 子网各管各的部门边界清晰。以 222.192.4.0/24 为例借最高位做子网位部门网络地址子网掩码可用主机范围可用数行政222.192.4.0255.255.255.128222.192.4.1 ~ 222.192.4.126126现教中心222.192.4.128255.255.255.128222.192.4.129 ~ 222.192.4.254126原文里写的可用范围是 222.192.4.1~222.192.4.32 和 222.192.4.129~222.192.4.148这是按实际信息点数量截取的不是子网的完整可用区间。做方案时按完整区间写更规范实际分配时再按需取前几十个地址即可。三个系的私有地址则直接整段使用部门网络地址掩码网关建议计算机系192.168.1.0255.255.255.0192.168.1.254机械系192.168.2.0255.255.255.0192.168.2.254化工系192.168.3.0255.255.255.0192.168.3.254网关统一放在每段最后一个可用地址是为了给后续扩容留出低位地址段这个习惯我一直在用排查问题时一眼就能认出网关。2.3 VLAN 与地址段的对应关系五个部门五个 VLANVLAN ID 和地址段一一绑定这是整份方案里最值得抄的部分。常见做法是 VLAN 10 对应计算机系、VLAN 20 对应机械系、VLAN 30 对应化工系、VLAN 40 对应行政、VLAN 50 对应现教中心每个 VLAN 的三层接口就配成上面表格里的网关地址。这样做的价值在于接入层交换机不管插哪个端口只要划进对应 VLAN主机拿到的地址自然落在本部门网段不需要在每台接入交换机上配路由。# 以核心三层交换机为例创建部门 VLAN 并配置三层网关 vlan 10 name CS-Dept vlan 20 name ME-Dept vlan 30 name CE-Dept vlan 40 name Admin vlan 50 name Edu-Center interface vlan 10 ip address 192.168.1.254 255.255.255.0 interface vlan 20 ip address 192.168.2.254 255.255.255.0 interface vlan 30 ip address 192.168.3.254 255.255.255.0 interface vlan 40 ip address 222.192.4.126 255.255.255.128 interface vlan 50 ip address 222.192.4.254 255.255.255.128这段配置的关键点是三层接口地址必须和子网规划严格对齐掩码写错一位整个 VLAN 的主机就跨不了网段。name字段别省后期看show vlan brief时全靠它认部门。如果设备不支持三层 VLAN 接口就得把网关挪到汇聚层或外接路由器上那是另一种拓扑方案里选的是核心层做三层转发所以网关集中在这里。3. 三层拓扑与设备选型接入、汇聚、核心怎么串3.1 星型树结构的分层逻辑整份方案采用交换式千兆以太网做主干、百兆到桌面拓扑是标准的三层星型树。接入层负责信息点接入每个系 11 台 24 口百兆交换机行政 2 台现教中心 1 台汇聚层每个部门 1 台千兆上联交换机把本部门所有接入交换机收拢核心层 1 台三层交换机加 1 台带 NAT 和防火墙功能的路由器负责跨部门路由和出口转换。服务器直接挂核心层是为了让各部门访问服务时少跳一层。这个分层的好处是故障域小某台接入交换机挂了影响面就是它下面那 24 个点汇聚层挂了影响一个部门核心层才是全局单点所以核心设备选型要留余量。原文里核心交换机选的是 24 口千兆加 SFP 光口的三层设备汇聚和接入选的是二级交换机这个搭配在当年是主流放到仿真环境里也容易找到对应型号。3.2 传输介质与链路带宽的对应介质这块方案写得很明确主机到接入层用五类双绞线接入到汇聚、汇聚到核心用多模光纤。五类线单段最长 100 米正好覆盖楼层内布线多模光纤跑千兆解决楼宇之间的距离和带宽问题。硬件清单里光纤按 1000 米、双绞线按 10000 米估算这个量级对应的是几栋楼之间的骨干加楼内水平布线做预算时按实际楼距再核一遍更稳妥。# 汇聚交换机上联核心的千兆光口配置示例 interface GigabitEthernet 0/1 description Uplink-To-Core switchport mode trunk switchport trunk allowed vlan 10,20,30,40,50 no shutdown上联口配成 trunk 并放行全部业务 VLAN是三层交换组网的常规操作。allowed vlan列表要跟核心层实际创建的 VLAN 对齐多放或少放都会导致某个部门跨不了网段。description 写清楚对端是谁出问题时show interface一眼能定位。3.3 核心层 NAT 与防火墙的落点NAT 转换放在核心路由器和教育网之间防火墙上装 NAT 软件这个位置决定了内网三个私有地址段怎么出去。常见做法是在出口路由器上配 PAT把 192.168.1.0/24、192.168.2.0/24、192.168.3.0/24 三个网段统一转换成出口公网地址同时用访问控制列表限定只有内网段能发起转换。# 出口路由器 NAT 配置示意PAT 方式 access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 1 permit 192.168.3.0 0.0.0.255 interface FastEthernet 0/0 description To-Edu-Net ip address 222.192.1.1 255.255.255.0 ip nat outside interface FastEthernet 0/1 description To-Core-Switch ip address 10.0.0.1 255.255.255.252 ip nat inside ip nat inside source list 1 interface FastEthernet 0/0 overloadoverload就是端口复用多个内网主机共用一个公网地址出去这是地址不够时的标准解法。ip nat inside和ip nat outside两个标记必须落在正确的接口上标反了会出现内网能 ping 通网关但出不了教育网的现象这是排障时第一个要查的点。行政和现教中心本身有公网地址段走路由转发即可不需要进 NAT 列表。4. 路由与配置落地EIGRP、静态路由和子网互通4.1 动态路由的配置骨架原文给了一段 EIGRP 配置虽然命令格式是早期 Cisco 风格但结构值得保留宣告本机直连网段、关闭自动汇总、指定被动接口。校园网内部网段不多EIGRP 或 OSPF 都能胜任选 EIGRP 的好处是配置短、收敛快适合课设环境快速验证。# 核心路由器 EIGRP 配置 router eigrp 20 network 192.168.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255 network 192.168.3.0 0.0.0.255 network 222.192.4.0 0.0.0.127 network 10.0.0.0 0.0.0.3 no auto-summary passive-interface FastEthernet 0/1no auto-summary在有子网划分的环境里必须加否则 222.192.4.0/25 和 222.192.4.128/25 会被汇总成 222.192.4.0/24 宣告出去行政和现教中心的路由就乱了。passive-interface指向不跑邻居关系的接口比如下联核心交换机的口减少无谓的 hello 报文。network后面跟的是网段加反掩码写错反掩码会导致网段宣告不出去这是新手最容易翻车的地方。4.2 子网互通的静态路由补充动态路由跑起来之前或者设备不支持动态协议时静态路由是保底手段。行政和现教中心两个 /25 子网要互通核心交换机上需要指向对方子网的路由内网访问教育网出口路由器上需要一条默认路由指向教育网网关。# 核心交换机上指向出口路由器的默认路由 ip route 0.0.0.0 0.0.0.0 10.0.0.1 # 出口路由器上回指内网各网段 ip route 192.168.1.0 255.255.255.0 10.0.0.2 ip route 192.168.2.0 255.255.255.0 10.0.0.2 ip route 192.168.3.0 255.255.255.0 10.0.0.2 ip route 222.192.4.0 255.255.255.128 10.0.0.2 ip route 222.192.4.128 255.255.255.128 10.0.0.2默认路由让内网所有未知目的地都往出口送回指路由保证教育网回来的包能找到内网子网。这里 10.0.0.0/30 是核心交换机和出口路由器之间的互联段只放两个地址不占用业务网段。做课设时这段互联地址经常被忽略结果核心和出口之间不通NAT 配了也白配。4.3 配置顺序与验证方法配置顺序建议按“先二层后三层、先内部后出口”来先建 VLAN、划端口、配 trunk再配三层网关和部门间路由最后配 NAT 和出口路由。每完成一层就用命令验证别等全配完再一次性排错。show vlan brief # 确认端口划进正确 VLAN show ip interface brief # 确认三层接口地址和状态 show ip route # 确认路由表有预期条目 show ip nat translations # 确认 NAT 转换表有记录 ping 222.192.1.1 source 192.168.1.10 # 指定源地址测出口连通性指定源地址 ping 是排查 NAT 问题的关键手法不指定源的话设备可能用出口接口地址发起测试绕过了 NAT 转换路径测出来的结果不能反映真实主机的情况。5. 避坑与常见问题课设环境里最容易翻车的几处5.1 子网掩码写错导致部门间不通现象是同一部门内互 ping 正常跨部门全部超时。原因多半是三层接口掩码和规划不一致比如行政配成 255.255.255.0 而不是 /25设备就认为 222.192.4.0/24 整个是自己的直连网段现教中心的 222.192.4.129 被当成同网段主机包不会往路由走。解决办法是逐接口核对掩码用show ip interface看实际生效值再对照地址规划表逐条修正。5.2 NAT inside/outside 标反现象是内网主机能 ping 通核心网关但访问教育网地址全部失败出口路由器上show ip nat translations空空如也。原因是接口的 inside/outside 标记和实际拓扑相反NAT 根本没触发。解决是把连接内网侧的接口标 inside、连接教育网侧的接口标 outside改完清一次转换表再测。5.3 EIGRP 自动汇总没关现象是行政和现教中心两个 /25 子网互相访问时通时不通路由表里出现 222.192.4.0/24 的汇总条目。原因是auto-summary默认开启把两个子网汇总成主类网络宣告。解决是在路由进程下加no auto-summary然后clear ip route *让路由表重新收敛。5.4 接入交换机上联口没配 trunk现象是同一台接入交换机下的主机互通跨交换机同部门主机不通。原因是上联口还停留在默认的 access 模式只放行一个 VLAN。解决是把上联口改成 trunk 并放行本部门 VLAN汇聚层对应端口做同样配置两边 VLAN 允许列表要一致。5.5 网关地址和主机地址冲突现象是某个部门随机出现 IP 冲突告警部分主机断网。原因是地址分配时把网关地址也划进了 DHCP 池或手工分配范围。解决是规划阶段就把网关固定在网段末位DHCP 池排除该地址手工分配表里也标注清楚这个习惯能省掉大量后期排障时间。6. 二次开发与方案改造把这套设计用到自己的课设里这份方案最值得复用的不是设备型号而是“约束推导设计”的方法先算地址和信息点再定子网和 VLAN最后选设备和介质。拿到自己的课设题目时第一步永远是列需求表把部门数、信息点数、可用公网地址数写清楚后面的拓扑自然就推出来了。如果题目给的公网地址更少可以把行政和现教中心也并入私有地址全部走 NAT 出口核心层只保留一个公网地址做转换这样地址压力最小但出口路由器的 NAT 会话数要按总主机数估算别让设备扛不住。改造时有几个方向可以试。一是把 EIGRP 换成 OSPF多区域划分更贴近真实校园网也能练手区域间路由二是在核心层加 ACL限制部门之间不必要的互访比如行政网段只允许特定端口访问这是安全设计的入门练习三是把静态地址分配改成 DHCP 加地址池按 VLAN 下发更接近实际运维。验证方法上建议每改一处就用 ping 和 traceroute 走一遍跨部门路径再抓一次 NAT 转换表确认出口正常别攒着一起测。改造点原方案可替换做法验证命令路由协议EIGRPOSPF 多区域show ip ospf neighbor地址分配静态规划DHCP 按 VLAN 下发show ip dhcp binding访问控制无核心层 ACLshow access-lists出口转换路由器 NAT防火墙 NATshow ip nat translations我自己的血泪经验是课设方案里最容易糊弄过去的就是地址规划表画拓扑时看着都对一配就露馅。从那以后我每次做网络设计都强制先把地址表、VLAN 表、端口表三张表填完再动手配设备配完逐行对一遍比事后抓包排错省太多时间。希望帮到你。本文还有配套的精品资源点击获取