4个C类地址覆盖5个部门：校园网VLAN、NAT与EIGRP规划

简介这份校园网设计课程设计文档面向计算机网络课程设计、网络规划入门学习者围绕某高校三系、现教中心与行政共五个部门、仅四个C类IP地址的校园网需求展开给出可参考的完整设计思路。压缩包内仅1个doc文件大小约1.65MB集中呈现需求分析、方案比较、拓扑结构、IP地址分配、NAT接入中国教育网及VLAN划分等核心内容。文档还列出接入层、汇聚层、核心层的设备选型与硬件、软件清单并对比两种方案在路由器数量、广播域、地址利用率和灵活性上的差异便于理解交换式千兆以太网与百兆到桌面的设计取舍。已有2959人学习适合需要撰写课程设计报告、梳理网络拓扑与设备配置依据的学生参考。1. 4个C类地址要覆盖5个部门先别急着画拓扑某高校网络课程设计给了一道经典题三个系各255个信息点行政32个现教中心20个总共800多个信息点手上只有4个C类公网地址。多数人第一反应是拿地址直接分分到第五个部门发现没了。这道题真正考的不是画图是在地址不够的前提下怎么把网络搭起来还能通。下面这套方案来自一份完整的课程设计从需求拆解、方案比选、地址规划到设备配置和验收标准都有适合正在做校园网课设或毕设的人直接参考也适合需要交一份可落地网络方案的从业者对着改。2. 需求拆解与方案比选私有地址加NAT还是公网地址直连2.1 需求里的三个硬约束先把题目里的数字摊开看。五个部门分别是计算机系、机械系、化工系、现教中心和行政信息点数量是三个系各255个、行政32个、现教中心20个合计817个信息点。手上能用的公网地址是四个C类222.192.1.0、222.192.2.0、222.192.3.0、222.192.4.0。部门数比地址数多一个这是第一个约束。第二个约束是出口。题目明确要求通过NAT转换接入中国教育网意味着出口设备必须支持NAT而且内网地址规划要留出私有地址段做转换源。第三个约束是规模。817个信息点如果全部塞进一个大广播域随便一台主机发个ARP广播就能把接入层拖垮所以必须做VLAN划分把广播域按部门切开。这三个约束放在一起方案空间其实不大要么用私有地址做内网、公网地址做NAT池要么把四个C类地址硬分给五个部门、放弃一部分公网地址的独立性。前一种做法地址弹性好后一种做法省设备但广播域失控。下面的方案一和方案二就是这两条路的具体展开。2.2 方案一与方案二的逐项对比方案一的核心思路是“私有地址打底、公网地址做出口”。三个系分别用192.168.1.0/24、192.168.2.0/24、192.168.3.0/24三个私有网段每个系255个信息点刚好用一个C类私有地址装下。222.192.4.0/24切成两个/25子网一个给行政32个信息点一个给现教中心20个信息点。剩下三个公网C类地址留作NAT地址池和出口互联。设备层面接入层用24口10M/100M交换机汇聚层用24口10M/100M/1000M交换机核心层用一台带NAT和防火墙功能的路由器加两台普通路由器五个部门各划一个VLAN。方案二走的是“公网地址直接分”的路子。222.192.1.0、222.192.2.0、222.192.3.0分别给三个系222.192.4.0切子网给行政和现教中心。设备上只保留一台带NAT的路由器做核心不划VLAN接入层和汇聚层的交换机型号与方案一相同。把两套方案放在同一张表里对比差异就很清楚了对比项方案一方案二内网地址三个系用私有地址公网地址做NAT池三个系直接用公网地址路由器数量核心1台NAT路由器2台普通路由器仅1台NAT路由器VLAN划分五个部门各一个VLAN不划分VLAN广播域按部门隔离单个广播域约255台主机全楼一个大广播域817台主机路由表规模私有网段公网子网条目可控四个C类全量宣告路由表冗长地址扩展性私有地址可随时加段不受公网地址限制公网地址分完即止无扩展空间方案二省了一台路由器的钱但代价是广播域从255台主机膨胀到817台而且核心路由器没有独立IP地址可用——四个C类地址全部分给部门后出口设备自己反而没地址了。这个坑在答辩时很容易被问到。2.3 选型结论方案一胜在地址弹性和广播域控制综合三项对比方案一在三个维度上占优。第一是负载均衡三台路由器分担不同部门的出口流量单台设备故障不会导致全网瘫痪方案二所有流量挤一台路由器业务繁忙时丢包和拥塞几乎不可避免。第二是地址分配私有地址段保证了每个部门都有独立网段后续哪个系要扩信息点直接加一个192.168.x.0/24就行不用动公网地址。第三是VLAN带来的灵活性主机换部门只需要改交换机端口VLAN归属不用重新规划IP。方案一的代价是多两台路由器的采购成本以及配置量增加。对于课程设计来说这个代价换来的是完整的“私有地址NATVLAN动态路由”技术栈答辩时能讲的内容比方案二多一倍。我一般会建议学生选方案一不是因为它便宜而是因为它把题目里所有约束都正面回应了。3. 地址规划、VLAN与拓扑设备选型4个C类地址怎么喂饱5个部门3.1 子网划分一个C类地址切成两个/25先解决最紧的地址问题。222.192.4.0/24这个C类地址有256个地址切成两个/25子网每个子网126个可用主机地址。行政32个信息点、现教中心20个信息点各自用一个/25绰绰有余。具体切法是把第四字节的最高位作为子网位。222.192.4.0/25的子网地址范围是222.192.4.1到222.192.4.126广播地址222.192.4.127222.192.4.128/25的范围是222.192.4.129到222.192.4.254广播地址222.192.4.255。行政用第一个/25现教中心用第二个/25。完整的地址规划表如下部门网络地址子网掩码可用主机范围网关计算机系192.168.1.0255.255.255.0192.168.1.1~192.168.1.254192.168.1.254机械系192.168.2.0255.255.255.0192.168.2.1~192.168.2.254192.168.2.254化工系192.168.3.0255.255.255.0192.168.3.1~192.168.3.254192.168.3.254行政222.192.4.0255.255.255.128222.192.4.1~222.192.4.126222.192.4.1现教中心222.192.4.128255.255.255.128222.192.4.129~222.192.4.254222.192.4.129NAT地址池222.192.1.0255.255.255.0222.192.1.10~222.192.1.200—这里有个细节要注意三个系各255个信息点192.168.1.0/24的可用主机地址是254个比255少一个。如果某个系真的把255台主机全部接入会有一台拿不到地址。通常的做法是把网关设在网段最后一个可用地址比如192.168.1.254DHCP池从.1到.253实际留出一点余量。如果题目严格要求255个信息点全部可通可以把其中一个系改成/23但VLAN和路由配置要同步调整。NAT地址池用222.192.1.0/24里的.10到.200这一段避开网关和保留地址。三个私有网段通过NAPT共用这批公网地址出口路由器上一条overload就能搞定。3.2 VLAN规划一个部门一个广播域五个部门划五个VLANVLAN ID从10开始按十位递增方便记忆和排障VLAN ID名称对应部门网段10ComputerDept计算机系192.168.1.0/2420MechanicalDept机械系192.168.2.0/2430ChemicalDept化工系192.168.3.0/2440Administration行政222.192.4.0/2550EducationCenter现教中心222.192.4.128/25VLAN的划分落在接入层交换机上。每个系的11台24口接入交换机按楼层或机房区域分配端口到VLAN 10/20/30上行口配置为Trunk允许对应VLAN通过。行政的2台接入交换机和现教中心的1台接入交换机同理端口划入VLAN 40和50。汇聚层交换机上创建对应的VLANIF接口作为网关核心路由器通过三层接口与汇聚层互联。这里有个容易忽略的点VLAN 40和50共用222.192.4.0/24这个C类地址空间但它们是两个独立的广播域。如果不划VLAN32台行政主机和20台现教主机在同一个二层网络里ARP广播会互相干扰划了VLAN之后两个子网之间的通信必须经过三层转发广播被限制在各自的/25子网内。这就是方案一比方案二多出来的那层控制力。3.3 三层交换拓扑与设备清单拓扑采用星型树结构分接入层、汇聚层、核心层三层。接入层负责把信息点接进来每个系11台24口10M/100M交换机行政2台现教中心1台合计36台。汇聚层每个部门1台24口10M/100M/1000M交换机共5台负责把本部门所有接入交换机聚合起来。核心层1台带NAT和防火墙功能的路由器加2台普通路由器负责跨部门路由和出口转换。传输介质按距离分层选。主机到接入层交换机用超五类非屏蔽双绞线单段不超过100米跑100Mbps没问题。接入层到汇聚层、汇聚层到核心层用多模光纤50/125微米规格850nm和1300nm两个窗口都能用距离超过100米的楼层间链路走光纤不会翻车。核心层到出口防火墙、防火墙到教育网接入口用100Mbps双绞线短距离互联。设备清单按方案一的配置列出来设备类别型号代称关键参数数量参考单价多模光纤某品牌室外6芯多模光纤50/125μm850/1300nm1000米20元/米双绞线某品牌超五类非屏蔽双绞线100Base-T单段≤100米10000米735元/305米NAT路由器某品牌带防火墙NAT路由器支持NAT/NAPT、RIP、静态路由1台650元/台核心交换机某品牌三层交换机10/100/1000M三层转发1台18900元/台汇聚交换机某品牌二层交换机10/100/1000M24口5台3500元/台接入交换机某品牌二层交换机10/100M24口36台3700元/台服务器接在核心交换机上方便校内服务信息向各部门传播。防火墙部署在校园网和教育网之间NAT功能开在防火墙上外部流量进不来、内部流量出得去。这套拓扑的冗余度不算高核心路由器是单点但作为课程设计已经能把三层交换、VLAN、NAT、动态路由四个知识点全部串起来。4. 核心配置实现NAT、EIGRP与子网路由的落地细节4.1 子网与接口地址配置配置从核心交换机开始。先在全局模式下创建五个VLAN再给每个VLAN配SVI接口作为网关地址。SVI是三层交换机上的虚拟接口主机把默认网关指向它跨VLAN流量就会送到三层交换机做路由。# 核心交换机创建5个业务VLAN vlan 10 name ComputerDept vlan 20 name MechanicalDept vlan 30 name ChemicalDept vlan 40 name Administration vlan 50 name EducationCenter exit # 配置各VLAN的SVI网关地址 interface Vlan10 ip address 192.168.1.254 255.255.255.0 no shutdown interface Vlan20 ip address 192.168.2.254 255.255.255.0 no shutdown interface Vlan30 ip address 192.168.3.254 255.255.255.0 no shutdown interface Vlan40 ip address 222.192.4.1 255.255.255.128 no shutdown interface Vlan50 ip address 222.192.4.129 255.255.255.128 no shutdown这段配置里VLAN 10/20/30用/24掩码VLAN 40/50用/25掩码和3.1节的地址规划表一一对应。网关地址取网段内最后一个可用地址或第一个可用地址主机侧DHCP池把网关指向对应SVI地址。配完之后用show ip interface brief确认五个SVI都是up状态再往下走。4.2 EIGRP动态路由配置核心路由器和两台普通路由器之间跑EIGRP自治系统号统一用20。EIGRP的好处是收敛快、支持VLSM适合这种有子网划分的场景。配置时把每个直连网段都network进去关闭自动汇总避免/25子网被汇总成/24导致路由丢失。# 核心路由器启用EIGRP并宣告直连网段 conf t router eigrp 20 network 192.168.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255 network 192.168.3.0 0.0.0.255 network 222.192.4.0 0.0.0.127 network 222.192.4.128 0.0.0.127 no auto-summary passive-interface GigabitEthernet0/1 exitnetwork后面的通配符掩码要算准192.168.1.0/24对应0.0.0.255222.192.4.0/25对应0.0.0.127222.192.4.128/25也是0.0.0.127。no auto-summary必须加否则EIGRP会把222.192.4.0/25和222.192.4.128/25汇总成222.192.4.0/24行政和现教中心的路由就乱了。passive-interface加在连接主机的接口上不让它往外发路由更新减少无谓的协议报文。两台普通路由器上做类似配置AS号保持20一致network宣告各自直连的网段。配完用show ip eigrp neighbors看邻居关系正常情况下应该看到所有路由器两两建立邻接。4.3 NAT转换与防火墙策略NAT配在出口路由器上inside接口接内网outside接口接教育网。私有地址三个网段通过ACL匹配转换成222.192.1.0/24地址池里的公网地址开overload启用端口复用。# 出口路由器配置NAT内外接口 conf t interface GigabitEthernet0/0 ip address 222.192.1.1 255.255.255.0 ip nat outside no shutdown interface GigabitEthernet0/1 ip address 192.168.1.254 255.255.255.0 ip nat inside no shutdown exit # 定义公网地址池取222.192.1.10到222.192.1.200 ip nat pool CampusPool 222.192.1.10 222.192.1.200 netmask 255.255.255.0 # 匹配三个私有网段 access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 1 permit 192.168.3.0 0.0.0.255 # 启用NAPT多个内网主机共用一个公网地址的不同端口 ip nat inside source list 1 pool CampusPool overloadoverload是关键参数没有它的话地址池里有多少个公网地址就只能同时供多少台主机上网加了overload之后靠端口号区分会话几百台主机共用一批地址没问题。配完用show ip nat translations看转换表内网主机访问教育网时应该能看到私有地址到公网地址的映射条目。防火墙策略按最小权限原则配允许内网到教育网的HTTP、HTTPS、DNS、FTP流量出去禁止教育网主动发起进内网的连接只放行已经建立的会话的回包。如果校内有对外提供服务的服务器单独加一条静态NAT映射把公网地址的某个端口固定转到服务器私有地址上。5. 常见问题排查配置落地时最容易翻车的几个点5.1 地址规划与VLAN类翻车现象行政和现教中心的主机都能ping通自己的网关但两个部门之间互访不通。原因通常是两个/25子网被划进了同一个VLAN或者SVI掩码配成了/24。222.192.4.0/25和222.192.4.128/25如果同处一个广播域主机会认为对方在同一网段直接发ARP但实际三层转发没经过路由器路由表里也找不到对应条目。解决办法是确认VLAN 40和50是两个独立VLANSVI掩码严格按/25配置主机网关分别指向222.192.4.1和222.192.4.129。配完用show vlan brief和show ip interface brief交叉核对。现象计算机系某台新主机接入后拿不到IP地址。原因是192.168.1.0/24的可用地址只有254个而信息点有255个DHCP池配满之后最后一台主机分不到地址。这个坑在课程设计里很隐蔽因为平时不会把255台主机全接上。解决办法有两个一是把DHCP池范围缩到192.168.1.1到192.168.1.253留一个地址给网关实际可用253个仍然差两个二是把计算机系改成192.168.0.0/23可用地址510个但VLAN和路由配置要同步改成/23掩码。通常的做法是答辩时主动说明这个边界表明自己算过地址容量比被问住要好。5.2 路由与NAT类翻车现象内网主机能访问教育网但教育网访问不了校内服务器。原因是只配了ip nat inside source做源地址转换没有配静态NAT做目的地址映射。外网过来的包到了出口路由器NAT表里找不到对应的转换条目直接被丢弃。解决办法是给对外服务器加一条ip nat inside source static 192.168.1.100 222.192.1.50把公网地址的流量固定转到服务器私有地址。配完在外部网络用telnet 222.192.1.50 80验证端口通不通。现象EIGRP邻居关系起不来show ip eigrp neighbors一片空白。最常见的原因是两端AS号不一致或者network宣告的网段写错。EIGRP要求同一自治系统号才能建立邻接一端写router eigrp 20、另一端写router eigrp 10邻居永远起不来。另一个原因是通配符掩码算错比如把192.168.1.0/24写成network 192.168.1.0 0.0.0.127只匹配了半个网段。排查时先用show run | section eigrp核对两端配置再用show ip interface brief确认接口地址和状态。5.3 物理层与设备选型类翻车现象接入层到汇聚层的链路跑不满千兆实测只有百兆。原因是用了超五类双绞线做楼层间干线距离超过100米之后信号衰减链路协商降速到100M。方案里明确写了接入层到汇聚层用多模光纤就是防这个。多模光纤在850nm窗口下可以跑几百米楼层间垂直布线走光纤井没问题。如果已经布了双绞线又不想换至少确认单段长度不超过100米中间不经过转接模块。现象核心交换机上VLAN配置正常但跨VLAN流量就是不通。先查三层交换机的路由功能有没有开。部分二层交换机虽然支持VLAN但不支持SVI和三层转发配了interface Vlan10也起不来。设备选型时核心层必须用三层交换机汇聚层可以用二层接入层用纯二层就行。查的时候用show ip route看直连网段有没有出现在路由表里没有的话说明SVI没up或者设备不支持三层。6. 验收与答辩拿什么证明这套网真的通了验收不是把配置贴出来就完事得有一套能当场演示的检查清单。我一般按“物理层→二层→三层→出口”四步走每一步都有对应的命令和预期结果答辩时照着跑一遍比背十页PPT管用。第一步查物理层和接口状态。在核心交换机上跑show interfaces status确认所有连接接入层和汇聚层的端口都是connected速率和双工模式符合预期。光纤口看有没有光衰告警双绞线口看有没有CRC错误计数。这一步过不了后面全白搭。第二步查VLAN和Trunk。show vlan brief确认五个业务VLAN都存在且端口归属正确show interfaces trunk确认上行口允许VLAN 10/20/30/40/50通过。答辩时经常被问“行政和现教中心为什么能互通又不能互通”答案就在VLAN表里两个部门在不同VLAN二层隔离三层通过SVI路由互通广播被限制在各自的/25子网内。第三步查路由和NAT。show ip route看192.168.1.0/24、192.168.2.0/24、192.168.3.0/24、222.192.4.0/25、222.192.4.128/25五条路由是否都在表里EIGRP学到的路由标着D。show ip eigrp neighbors确认邻居关系全up。然后在行政的一台主机上tracert教育网某个地址看第一跳是不是222.192.4.1第二跳是不是出口路由器的公网地址路径对了说明NAT转换生效。第四步做连通性测试矩阵。计算机系ping机械系、计算机系ping行政、行政ping现教中心、内网ping教育网、教育网ping校内服务器五组测试覆盖跨VLAN路由、子网路由和NAT双向转换。每组测试记录源IP、目的IP、预期结果和实际结果做成一张表附在报告里。答辩时老师问“你怎么证明NAT配对了”直接把show ip nat translations的输出和测试矩阵拿出来比口头解释有说服力。有个血泪教训我第一次做这类课设时配置全写完了才想起没验证DHCP池容量答辩现场被问到“255个信息点怎么装进254个地址”直接卡住。从那以后我每次做地址规划都先把子网容量算清楚写进表格再动手配设备宁可前期多花十分钟也不在答辩时留一个答不上来的口子。希望帮到你。本文还有配套的精品资源点击获取