校园网设计方案：4个C类地址与5个部门的VLAN、NAT实战

简介：这份资源是面向高校计算机网络课程学习者与初学网络工程的学生整理的校园网设计方案文档，对应大二课程设计场景，可用于完成校园网规划类作业或作为方案撰写参考。压缩包内共1个doc文件，整体约1.65MB，内容围绕某高校三系及现教中心、行政共五个部门的组网需求展开，给出两套可选方案并做比较。文档涵盖需求分析、私有地址与四个C类IP的分配思路、VLAN划分、接入层/汇聚层/核心层三层交换结构、NAT接入中国教育网、防火墙部署，以及拓扑说明、硬件与软件清单、IP地址子网划分等内容，方案比较部分还从广播域、路由表规模、地址是否充足、VLAN灵活性等角度说明选型理由。已有2958人学习，适合需要完整课程设计框架与设备选型、地址规划参考的读者对照使用。

1. 校园网设计方案：四个 C 类地址怎么喂饱五个部门

手里只有 4 个 C 类公网地址，却要覆盖三个系各 255 个信息点、行政 32 个点、现教中心 20 个点，还要通过 NAT 接教育网——这是计算机网络课程设计里最经典的一道校园网设计题。很多人第一反应是「地址不够就再申请」，但题目卡死了就 4 个，逼着你把私有地址、VLAN、子网划分、NAT 四件事串起来用。这份课程设计资源给了一套完整可复现的方案：三层交换结构、五个部门各划 VLAN、三个系走 192.168 私有段、行政和现教中心共用 222.192.4.0 做子网划分、核心层路由器带防火墙做 NAT 出口。适合正在做网课设的本科生照着搭拓扑、配地址、写路由，也适合想复习一遍园区网设计逻辑的初级网络工程师。下面按「方案怎么定 → 地址怎么分 → 设备怎么配 → 哪里会翻车」的顺序拆开讲。

2. 方案选型：为什么三个系必须走私有地址

2.1 两套方案的取舍逻辑

题目给了两套方案，差别不在设备数量，而在地址分配策略和广播域控制。方案二把 222.192.1.0 到 222.192.3.0 直接分给三个系，222.192.4.0 划子网给行政和现教中心，四个公网地址刚好用完。表面看省了一台路由器、省了私有地址转换的麻烦，但代价是核心层路由器自己没有地址可配——出口设备没地址，NAT 和路由宣告都无从谈起。方案一反过来：三个系用 192.168.1.0/2.0/3.0 私有段，222.192.4.0 只留给行政和现教中心做子网划分，公网地址留出余量给核心层路由器的出口接口。

选方案一的核心理由有三条，写课程设计报告时可以直接用这个逻辑链：

第一，广播域。方案二不划 VLAN，三个系各 255 台主机在同一个广播域里，ARP 广播和 DHCP 发现报文会把接入层交换机的背板带宽吃掉一大块。方案一每个部门一个 VLAN，广播被限制在单个 VLAN 内，这是交换式以太网设计的基本功。

第二，路由表规模。方案二里五个部门网段全部是直连或静态路由条目，核心路由器路由表冗长；方案一三个系走私有段，出口只宣告 222.192.4.0/24 的聚合路由，NAT 后面藏多少私有网段外部都看不见。

第三，地址余量。方案二四个 C 类全部分完，后续加部门、加服务器、加管理网段都没有地址可用。方案一三个系用私有地址，222.192.1.0 到 222.192.3.0 三个公网段实际闲置，可以留给 DMZ、服务器区或后续扩容。

提示：课程设计报告里比较方案时，不要只写「方案一更好」，要把广播域大小、路由表条目数、地址利用率三个指标列成表，评阅老师看的就是这个。

2.2 三层结构与设备角色

拓扑采用星型树结构，三层交换：接入层、汇聚层、核心层。接入层用 24 端口 10M/100M 交换机，负责信息点接入；汇聚层用 24 端口 10M/100M/1000M 交换机，把每个部门的接入交换机串起来；核心层是一台带 NAT 和防火墙功能的路由器，向上接教育网。

按题目给的信息点数算设备：每个系 255 个点，24 端口交换机实际可用端口按 23 个算（留一个上联），255 ÷ 23 ≈ 11.1，所以每个系 11 台接入交换机加 1 台汇聚交换机。行政 32 个点用 2 台接入交换机，现教中心 20 个点用 1 台接入交换机。合计接入层 36 台、汇聚层 5 台、核心路由器 1 台。

传输介质按距离和带宽分：主机到接入交换机用五类双绞线，100 米以内跑 100Base-T；接入到汇聚、汇聚到核心用多模光纤，核心到汇聚跑 1000Mb/s。这个介质选择不是随便定的——楼层间距离超过双绞线 100 米极限，必须上光纤；核心层要扛五个部门的汇聚流量，千兆是底线。

2.3 VLAN 划分与端口规划

五个部门五个 VLAN，VLAN ID 建议从 10 开始按 10 递增，留出扩展空间：

接入层交换机每个端口划到对应部门 VLAN，上联口配 trunk 放行本部门 VLAN。汇聚交换机做三层终结，每个 VLAN 一个 SVI 接口作为网关。核心路由器只看到汇聚层上联的互联地址和 NAT 后的公网地址，私有网段在汇聚层就被终结掉，不往核心层泛洪。

3. 地址分配：222.192.4.0 怎么切成两个子网

3.1 子网划分的算术

行政 32 个信息点、现教中心 20 个信息点，合起来 52 个点，一个 C 类地址 254 个可用地址绰绰有余。题目给的划分方式是把 222.192.4.0 的最后 8 位最高位当子网位，切成两个 /25：

• 子网一：222.192.4.0/25，可用范围 222.192.4.1 到 222.192.4.126，分给行政 32 个点
• 子网二：222.192.4.128/25，可用范围 222.192.4.129 到 222.192.4.254，分给现教中心 20 个点

掩码都是 255.255.255.128。这里有个容易写错的地方：题目正文里写「分配地址 222.192.1.129—222.192.1.160 给行政部门」，这个范围和前面说的 222.192.4.0 划分子网对不上，是原文档前后不一致。实际配置时以 222.192.4.0/25 和 222.192.4.128/25 为准，行政网关 222.192.4.1，现教中心网关 222.192.4.129。做课设时如果照抄原文的 222.192.1.x 范围，路由器和交换机上配出来的网关和网段会对不上，ping 不通是必然的。

3.2 地址规划表落地

把五个部门的地址一次性列清楚，配设备时照着填：

# 计算机系 VLAN 10 interface Vlan10 ip address 192.168.1.1 255.255.255.0 no shutdown # 机械系 VLAN 20 interface Vlan20 ip address 192.168.2.1 255.255.255.0 no shutdown # 化工系 VLAN 30 interface Vlan30 ip address 192.168.3.1 255.255.255.0 no shutdown # 行政 VLAN 40（/25 子网） interface Vlan40 ip address 222.192.4.1 255.255.255.128 no shutdown # 现教中心 VLAN 50（/25 子网） interface Vlan50 ip address 222.192.4.129 255.255.255.128 no shutdown

这段配置跑在汇聚层三层交换机上，每个 SVI 就是对应 VLAN 的网关。注意行政和现教中心两个 SVI 的掩码是 255.255.255.128 而不是 255.255.255.0，这是 /25 子网的关键——掩码写错，两个子网会被当成同一个网段，跨子网流量直接在本地 ARP 解析，路由器的子网隔离就失效了。

3.3 DHCP 与静态地址的分工

255 台主机的系不可能手工配 IP，接入层交换机上开 DHCP 中继指向汇聚层的 DHCP 服务器，或者直接在汇聚交换机上配地址池。服务器、交换机管理地址、网关、打印机这些固定设备用静态地址，并且从地址池里排除掉：

# 汇聚交换机上的 DHCP 地址池示例（计算机系） ip dhcp excluded-address 192.168.1.1 192.168.1.20 ip dhcp pool VLAN10_POOL network 192.168.1.0 255.255.255.0 default-router 192.168.1.1 dns-server 222.192.4.200 lease 7

excluded-address把网关和服务器区段留出来，避免 DHCP 把 192.168.1.1 分给某台学生机导致地址冲突。lease 7是 7 天租期，教室机器流动性大可以缩到 1 天。DNS 服务器地址填现教中心那边的服务器地址，这个地址要在 NAT 里做静态映射，否则内网主机解析不了外部域名。

4. 设备配置：从 VLAN 到 NAT 出口的完整链路

4.1 接入层与汇聚层的 trunk 配置

接入层交换机每个端口划 access 到本部门 VLAN，上联口配 trunk。以计算机系一台接入交换机为例：

# 接入层交换机 vlan 10 name CS_DEPT interface range fastEthernet 0/1-23 switchport mode access switchport access vlan 10 interface gigabitEthernet 0/1 switchport mode trunk switchport trunk allowed vlan 10

switchport trunk allowed vlan 10这行是白名单，只放行本部门 VLAN，防止其他部门的广播从 trunk 漏进来。汇聚层对应端口配成 trunk 并放行所有部门 VLAN，因为汇聚交换机要终结五个 VLAN 的网关。

4.2 汇聚层三层转发与路由

汇聚交换机开启ip routing，五个 SVI 之间自动生成直连路由。汇聚到核心路由器之间跑一个互联网段，比如 10.0.0.0/30，汇聚侧配 10.0.0.1，核心侧配 10.0.0.2。汇聚交换机上写一条默认路由指向核心：

ip route 0.0.0.0 0.0.0.0 10.0.0.2

核心路由器上回程路由指向汇聚的互联地址，并且只宣告 222.192.4.0/24 聚合网段到教育网方向。三个系的 192.168 私有段不宣告，靠 NAT 转换出去。

4.3 NAT 配置与地址转换

核心路由器做 NAT，把内网私有地址和 222.192.4.0/24 的流量转换成出口公网地址。题目里 222.192.1.0 到 222.192.3.0 三个段闲置，可以拿一个做 NAT 地址池：

# 定义 NAT 地址池 ip nat pool CAMPUS_POOL 222.192.1.10 222.192.1.200 netmask 255.255.255.0 # 访问控制列表匹配内网网段 access-list 10 permit 192.168.1.0 0.0.0.255 access-list 10 permit 192.168.2.0 0.0.0.255 access-list 10 permit 192.168.3.0 0.0.0.255 access-list 10 permit 222.192.4.0 0.0.0.127 access-list 10 permit 222.192.4.128 0.0.0.127 # 应用 NAT ip nat inside source list 10 pool CAMPUS_POOL overload interface gigabitEthernet 0/0 ip nat inside interface gigabitEthernet 0/1 ip nat outside

overload是 PAT，多个内网地址复用地址池里的公网地址，靠端口号区分会话。ip nat inside和ip nat outside必须配在正确的接口上，配反了 NAT 表项建不起来，内网 ping 外网全超时。ACL 里的通配符掩码别写成 0.0.0.255 以外的形式，permit 192.168.1.0 0.0.0.255匹配整个 /24，写成0.0.0.0就只匹配一个地址。

4.4 动态路由配置

题目正文给了一段 EIGRP 配置示例，但那段配置里network ABCD是占位符，实际配的时候要换成真实网段。如果汇聚和核心之间只有一条链路，静态路由足够；如果要做冗余或者多台汇聚，跑 OSPF 更常见：

# 汇聚交换机 OSPF 配置 router ospf 1 network 192.168.1.0 0.0.0.255 area 0 network 192.168.2.0 0.0.0.255 area 0 network 192.168.3.0 0.0.0.255 area 0 network 222.192.4.0 0.0.0.127 area 0 network 222.192.4.128 0.0.0.127 area 0 network 10.0.0.0 0.0.0.3 area 0 passive-interface Vlan10 passive-interface Vlan20 passive-interface Vlan30

passive-interface让 SVI 不发送 OSPF hello 报文，只宣告网段不建邻居——接终端用户的接口不需要跑路由协议，开了反而增加无谓的协议流量。这个细节课程设计报告里写上，能体现你理解路由协议的作用域。

5. 避坑排查：五个让课设翻车的配置错误

5.1 子网掩码写成 /24 导致跨子网直通

现象：行政和现教中心互相 ping 得通，但抓包发现流量没经过汇聚交换机，两个部门之间的访问不受任何 ACL 控制。

原因：两个 SVI 的掩码配成了 255.255.255.0，222.192.4.1 和 222.192.4.129 被当成同一网段，主机直接 ARP 解析对方 MAC，网关根本没参与转发。

解决：行政和现教中心的 SVI 掩码必须是 255.255.255.128，配完用show ip interface brief核对每个接口的掩码，再在主机上tracert对方地址，确认第一跳是各自网关。

5.2 NAT inside/outside 配反

现象：内网主机能 ping 通核心路由器内口，但 ping 不通教育网任何地址，show ip nat translations表项为空。

原因：ip nat inside配到了出口接口，ip nat outside配到了内网接口，NAT 转换方向反了，内网流量出不去。

解决：内网侧接口配 inside，出口侧配 outside，配完先clear ip nat translation *清表，再从内网发起一次 ping，看 translations 表里有没有生成映射。

5.3 trunk 没放行 VLAN 导致部门间不通

现象：同一部门内主机互通，跨部门全部超时，汇聚交换机上show vlan brief显示 VLAN 存在但端口没起来。

原因：接入层上联 trunk 口只放行了本部门 VLAN，汇聚层对应端口没放行全部 VLAN，或者两端 native VLAN 不一致导致 trunk 协商失败。

解决：两端 trunk 口用switchport trunk allowed vlan all或显式列出全部部门 VLAN，show interfaces trunk核对两端放行列表和 native VLAN 是否一致。

5.4 DHCP 地址池和静态地址冲突

现象：某台服务器频繁掉线，日志里报 IP 冲突，arp -a看到同一个 IP 对应两个 MAC。

原因：DHCP 地址池没排除服务器静态地址段，租期到期后把服务器 IP 分给了学生机。

解决：ip dhcp excluded-address把网关、服务器、交换机管理地址全部排除，排除范围从网段第一个可用地址开始留出至少 20 个。

5.5 光纤模块速率不匹配

现象：汇聚到核心的千兆链路起不来，show interface显示 up 但速率协商成 100M，或者干脆 down。

原因：多模光纤两端光模块波长或速率不一致，一端 850nm 千兆、另一端 1310nm 百兆，或者光纤跳线极性接反（TX/RX 对调）。

解决：两端光模块型号、波长、速率必须成对匹配，跳线极性用红光笔打光确认，show interface看速率和双工是否协商到 1000Full。

6. 验证与交付：把方案跑成可演示的成果

课设最后要交的不只是配置，是一套能演示的拓扑。验证顺序建议从下往上：先确认接入层每个端口 VLAN 正确、主机拿到 DHCP 地址；再确认汇聚层五个 SVI 能互 ping、跨 VLAN 路由生效；然后确认核心路由器 NAT 表项生成、内网能访问教育网模拟地址；最后用 ACL 验证部门间访问控制策略。

一个具体技巧：在汇聚交换机上开ip accounting或者用端口镜像抓一次跨部门流量，确认行政到计算机系的访问确实经过了汇聚三层转发而不是二层直通。这个动作能直接证明你的 VLAN 隔离和子网划分是生效的，报告里放一张抓包截图比写十行文字有说服力。

设备清单里的价格和型号是当年课设的参考值，实际做仿真用 Packet Tracer 或 eNSP 搭拓扑时，路由器用 2811、三层交换机用 3560 就能覆盖全部配置命令，不需要真机。仿真环境里 NAT 和 OSPF 的行为和真机基本一致，唯一要注意的是仿真器对光纤链路速率的模拟不完整，千兆链路在仿真里可能显示 100M，这是工具限制不是配置错误，报告里注明即可。

从那以后我每次做园区网设计，地址规划表一定先于设备配置写完，掩码和网关核对三遍再敲命令——课设翻车十次有八次是地址算错，不是命令不会。希望帮到你。

本文还有配套的精品资源，点击获取