校园网设计方案：四个C类地址与五个部门的VLAN和NAT实战

简介：这份文档是面向高校计算机网络课程学习者与课程设计备赛学生的校园网设计方案，针对“多部门、IP地址有限、需接入教育网”的典型场景，给出可落地的完整设计思路。压缩包内共1个doc文件，约1.65MB，以Word文档形式呈现，便于直接查阅、打印或在此基础上修改。内容围绕某高校三系及现教中心、行政共五个部门展开，涵盖需求分析、两套方案对比、VLAN划分、NAT转换接入中国教育网、三层交换星型树拓扑、IP地址与子网划分、硬件与软件清单及选型价格等模块，并给出方案取舍理由。已有2958人学习，适合需要参考课程设计框架、梳理网络规划流程或准备答辩材料的读者，可从中获取从需求到设备清单的完整方案脉络与排错思路。

1. 校园网设计方案：从四个 C 类地址到五个部门的落地拆解

拿到这道课设题的时候，很多人第一反应是画拓扑图，画完发现地址不够分，再回头改图，来回折腾。题目给的条件其实很紧：五个部门、四个 C 类公网地址、三个系各 255 个信息点，还要通过 NAT 接入教育网。真正卡人的不是设备选型，而是地址规划——四个 C 类地址怎么喂饱五个部门，同时保证每个系 255 台主机不打架。这套方案要解决的就是这个矛盾：用私有地址承载三个系的内网流量，用公网地址的子网划分覆盖行政和现教中心，再用 VLAN 把广播域切开，最后在出口做 NAT 转换。适合正在做计算机网络课程设计、需要交一份完整校园网方案的学生，也适合要出一版中小型园区网设计文档的从业者参考。

2. 需求分析与技术选型：为什么方案一胜出

2.1 先把信息点和地址账算清楚

做校园网设计，第一步不是选交换机，是把账算明白。三个系各 255 个信息点，行政 32 个，现教中心 20 个，合计 255×3+32+20=817 个信息点。一个 C 类地址可用主机位 254 个，三个系各占一个 C 类刚好卡满，但行政和现教中心加起来 52 个点，只剩一个 C 类地址，必须做子网划分。

这里有个容易被忽略的细节：255 个信息点用一个 C 类地址，可用地址只有 254 个，理论上差一个。实际工程里通常的做法是把网络地址和广播地址之外再留几个管理地址，255 个点按 254 个可用地址规划会翻车。我一般会建议在方案里注明「每系实际可接入 254 台，超出部分通过增加交换机堆叠或调整信息点分布解决」，答辩时被问到也能自圆其说。

四个 C 类地址的分配思路是这样的：

把 222.192.4.0 这个 C 类地址用 25 位掩码切成两个子网，行政拿前半段，现教中心拿后半段。行政 32 个点、现教中心 20 个点，各 126 个可用地址绰绰有余。剩下三个 C 类地址 222.192.1.0、222.192.2.0、222.192.3.0 作为公网出口地址池，配合 NAT 使用。

提示：原文里行政的地址范围写成 222.192.4.1~222.192.4.32，现教中心写成 222.192.4.129~222.192.4.148，这是按实际信息点数截取的，不是子网的完整可用范围。写方案时建议标完整范围，再注明实际启用区间，答辩时更严谨。

2.2 方案一和方案二的取舍逻辑

题目给了两个方案，核心差异在核心层：方案一用三台路由器加一台带 NAT 的防火墙路由器，方案二只用一台核心路由器。表面看方案二省钱，但三个问题绕不过去。

第一是广播域。方案二不划 VLAN，五个部门在同一个广播域里，817 个信息点的 ARP 广播能把接入层交换机压垮。方案一每个部门一个 VLAN，广播被限制在各自 VLAN 内，这是交换式以太网的基本功。

第二是路由表。方案二四个 C 类地址分给五个部门，核心路由器没有独立地址，路由表条目少但转发路径单一，业务繁忙时单点拥塞。方案一三台路由器分担三个系的流量，负载均衡，路由表虽然长一些但每条都有明确下一跳。

第三是地址余量。方案二把四个公网地址全部分完，后续扩容没有余地。方案一三个系用私有地址，公网地址只用于出口 NAT 和行政、现教中心，留出了扩展空间。

综合下来选方案一。这个取舍逻辑在答辩时一定要讲清楚，不能只说「方案一好」，要说出「好在哪、代价是什么」。代价就是设备成本高一些，三台路由器加一台防火墙，但换来的是可扩展性和广播隔离，对校园网这种要跑好几年的场景是划算的。

2.3 三层交换结构的选型依据

拓扑采用星型树结构，三层交换：接入层、汇聚层、核心层。

接入层用 24 端口 10M/100M 交换机。每个系 255 个点，需要 11 台 24 口交换机（11×24=264，留 9 个余量）。行政 32 个点用 2 台，现教中心 20 个点用 1 台。接入层到主机用五类双绞线，单段最长 100 米，这是 100Base-T 的硬限制，布线时楼层配线间的位置要按这个倒推。

汇聚层用 24 端口 10M/100M/1000M 交换机，每个系一台，行政和现教中心共用一台。汇聚层负责把本部门所有接入层交换机收上来，同时做 VLAN 间路由的边界。

核心层用一台带 NAT 和防火墙功能的路由器加两台路由器。核心层到汇聚层用多模光纤，1000Mb/s，室外 6 芯 50/125 多模光纤，波长 850/1300nm。为什么用多模不用单模？校园内距离一般在几百米到两公里，多模光纤配 1000Base-SX 足够，成本比单模低，施工也简单。这是课程设计里常被问的点，答「多模便宜够用」比背参数管用。

3. 总体架构设计：三层结构、五个 VLAN 与地址规划

3.1 拓扑分层与设备职责划分

整个拓扑从上往下看：最外层是教育网出口，接防火墙路由器，防火墙做 NAT 转换和访问控制；防火墙往下接核心层路由器，核心层路由器连核心交换机；核心交换机通过光纤下联五个部门的汇聚交换机；汇聚交换机再通过双绞线连各自部门的接入层交换机；接入层交换机接终端主机。

设备职责这样分：

• 防火墙路由器：NAT 转换、URL 过滤、MAC 地址过滤、静态/动态路由，是内网和外网之间唯一的关口。
• 核心路由器（两台）：分担三个系的跨 VLAN 路由，跑 EIGRP 动态路由协议。
• 核心交换机：连接服务器区，提供高速背板交换，汇聚各汇聚层上联链路。
• 汇聚交换机：本部门 VLAN 的网关所在，做 VLAN 间路由的第一跳。
• 接入交换机：纯二层转发，端口划到对应 VLAN。

服务器接在核心交换机上，这样全校用户访问 WWW、E-Mail、FTP 等服务时走最短路径，不用绕到汇聚层再回来。

3.2 VLAN 划分与端口分配

五个部门划五个 VLAN，这是方案一的核心设计点。VLAN 划分不只是「一个部门一个 VLAN」这么简单，还要考虑管理 VLAN 和服务器 VLAN。

网关地址取每个子网的最后一个可用地址，这是工程习惯，方便记忆也方便排障。管理 VLAN 单独划出来，交换机管理地址都放这里，避免管理流量和业务流量混在一起。

接入层交换机的端口分配：每个系 11 台 24 口交换机，按楼层或房间分组，每台交换机上联一个千兆口到汇聚层。行政 2 台、现教中心 1 台同理。端口配置上，接主机的端口设为 access 模式划入对应 VLAN，上联端口设为 trunk 模式放行本部门 VLAN 和管理 VLAN。

3.3 地址规划中的子网划分细节

222.192.4.0/24 切成两个 /25 子网，这个划分在二进制上很干净：第 25 位是子网位，0 和 1 各一个子网。

• 子网一：222.192.4.0/25，网络地址 222.192.4.0，广播地址 222.192.4.127，可用 222.192.4.1~222.192.4.126。
• 子网二：222.192.4.128/25，网络地址 222.192.4.128，广播地址 222.192.4.255，可用 222.192.4.129~222.192.4.254。

行政 32 个点用子网一的前 32 个地址，现教中心 20 个点用子网二的前 20 个地址，剩余地址留作扩展。这种「划大用小」的做法在课程设计里要写清楚，否则评阅时会问「为什么 126 个地址只用了 32 个」。

三个系的私有地址各用一个 /24，网关取 .254，DHCP 地址池从 .1 开始分配，保留 .1~.10 给网络设备和管理终端。这样地址规划表、DHCP 配置、静态路由三处能对上，不会出现「表里有、配置里没有」的尴尬。

4. 关键配置实现：VLAN、路由与 NAT 落地

4.1 汇聚层交换机的 VLAN 与网关配置

汇聚层交换机是 VLAN 间路由的第一跳，配置重点是建 VLAN、配网关、设 trunk。以下以计算机系汇聚交换机为例，命令风格参考主流厂商的二层/三层交换机语法：

# 进入全局配置模式 enable configure terminal # 创建业务 VLAN 和管理 VLAN vlan 10 name JSJ vlan 99 name MGMT exit # 配置 VLAN 10 的网关地址（SVI 接口） interface vlan 10 ip address 192.168.1.254 255.255.255.0 no shutdown exit # 配置管理地址 interface vlan 99 ip address 10.0.0.11 255.255.255.0 no shutdown exit # 上联核心的端口设为 trunk，放行 VLAN 10 和管理 VLAN interface gigabitethernet 0/1 switchport mode trunk switchport trunk allowed vlan 10,99 no shutdown exit # 下联接接入层交换机的端口设为 trunk interface gigabitethernet 0/2 switchport mode trunk switchport trunk allowed vlan 10,99 no shutdown exit

这段配置的逻辑是：SVI 接口给 VLAN 提供三层网关，trunk 端口负责把 VLAN 标签透传到接入层。switchport trunk allowed vlan一定要显式列出放行的 VLAN，不写默认放行全部，安全上是个隐患。管理 VLAN 单独走一个 SVI，方便后续 Telnet 或 SNMP 管理。

接入层交换机对应配置就简单得多，只做二层：

# 接入层交换机：建 VLAN、划端口、设上联 trunk vlan 10 name JSJ exit # 接主机的端口划入 VLAN 10 interface range fastethernet 0/1-24 switchport mode access switchport access vlan 10 no shutdown exit # 上联汇聚的端口设为 trunk interface gigabitethernet 0/1 switchport mode trunk switchport trunk allowed vlan 10,99 no shutdown exit

interface range批量配端口是省时间的做法，24 个口一次划完。上联口用千兆口，下联口百兆，和硬件清单里「接入层 10M/100M、汇聚层 10M/100M/1000M」对得上。

4.2 核心层路由与 EIGRP 动态路由

核心层要解决的是跨部门路由。三个系在私有地址段，行政和现教中心在公网子网段，核心路由器需要知道所有网段的下一跳。原文给的动态路由配置用的是 EIGRP，这里补全成可执行的配置：

# 核心路由器 R1：启用 EIGRP，宣告直连网段 enable configure terminal router eigrp 20 network 192.168.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255 network 192.168.3.0 0.0.0.255 network 222.192.4.0 0.0.0.127 network 10.0.0.0 0.0.0.255 no auto-summary exit # 指定被动接口，避免路由更新从接入口泛洪出去 router eigrp 20 passive-interface gigabitethernet 0/2 exit

no auto-summary这行很关键。EIGRP 默认会在主类网络边界自动汇总，222.192.4.0/25 和 222.192.4.128/25 会被汇总成 222.192.4.0/24，导致两个子网的路由混淆。关掉自动汇总，子网路由才能精确传播。passive-interface把接入口设为被动，只收不发路由更新，减少无谓的协议流量。

三台路由器之间跑 EIGRP，邻居关系建立后各自学习到对方背后的网段。核心交换机如果是三层设备，也可以起 SVI 参与路由，但课程设计里通常把路由集中在路由器上，交换机做二层汇聚，这样职责清晰，排障也简单。

4.3 出口 NAT 转换与防火墙策略

NAT 配置在防火墙路由器上，把内网私有地址转换成公网地址出去。用 PAT（端口复用）方式，多个内网主机共用一个公网地址：

# 定义内网地址范围（ACL 匹配需要 NAT 的流量） access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 1 permit 192.168.3.0 0.0.0.255 # 定义公网地址池（用 222.192.1.0 网段做出口） ip nat pool PUBLIC_POOL 222.192.1.2 222.192.1.10 netmask 255.255.255.0 # 配置 PAT：内网地址复用地址池 ip nat inside source list 1 pool PUBLIC_POOL overload # 指定内外网接口 interface gigabitethernet 0/0 ip address 222.192.1.1 255.255.255.0 ip nat outside no shutdown exit interface gigabitethernet 0/1 ip address 10.0.0.1 255.255.255.0 ip nat inside no shutdown exit

overload关键字就是 PAT，让多个内网地址映射到同一个公网地址的不同端口。地址池用 222.192.1.2~222.192.1.10，留出 222.192.1.1 给路由器接口本身。ip nat inside和ip nat outside必须配对出现，配反了 NAT 不生效，这是最常见的翻车点。

防火墙策略上，默认拒绝所有入站，只放行已建立的会话回包，出站按需放行 HTTP、HTTPS、DNS、SMTP 等。URL 过滤和 MAC 地址过滤在防火墙上配，前者挡掉已知的恶意站点，后者限制未登记设备接入。这些策略在课程设计里不用配全，但方案里要写出来，体现安全设计意识。

5. 避坑与常见问题：课程设计里最容易翻车的五件事

5.1 地址规划表与配置对不上

现象：方案文档里写的网关是 192.168.1.254，交换机上配成了 192.168.1.1，主机网关填的是 .254，结果跨 VLAN 不通。

原因：地址规划表和设备配置分两步做，中间改了规划没同步改配置。课程设计里这种不一致特别常见，因为文档和配置往往是最后才凑到一起的。

解决：先定地址规划表，再照着表配设备，配完用show ip interface brief逐条核对。我一般会在规划表里加一列「配置位置」，标明每个地址配在哪台设备的哪个接口，核对时按列打勾。

5.2 VLAN 划了但 trunk 没放行

现象：接入层交换机上 VLAN 10 配好了，主机也划进去了，但 ping 不通网关。

原因：上联 trunk 端口没有放行 VLAN 10，或者两端 trunk 的 native VLAN 不一致导致标签错乱。

解决：两端 trunk 都用switchport trunk allowed vlan显式放行需要的 VLAN，native VLAN 统一设为 1 或一个不用的 VLAN。排查时用show interfaces trunk看放行列表，用show vlan brief看端口归属，两边对一遍就能定位。

5.3 NAT 配了但不生效

现象：内网主机能 ping 通网关，但访问不了教育网地址，防火墙上show ip nat translations是空的。

原因：ip nat inside和ip nat outside配反了，或者 ACL 没匹配到内网网段，或者地址池和接口地址冲突。

解决：先确认内外网接口标记正确，再检查 ACL 的网段和掩码，最后看地址池是否包含接口地址。NAT 排障有个笨办法但很有效：在内网主机上 tracert 一个外网地址，看在哪一跳断掉，断在防火墙就是 NAT 问题，断在核心就是路由问题。

5.4 EIGRP 邻居起不来

现象：两台路由器都配了 EIGRP 同一个 AS 号，但show ip eigrp neighbors看不到对方。

原因：AS 号不一致、network 宣告的网段不包含互联接口地址、或者接口被 passive 掉了。

解决：先核对 AS 号，再确认互联接口的网段在network宣告范围内，最后检查passive-interface有没有误伤互联口。EIGRP 还有个坑是 K 值不匹配，课程设计里一般不会改 K 值，但如果是拿别人配置改的，要留意这一项。

5.5 光纤链路不通

现象：核心到汇聚的光纤接上了，端口灯不亮或者亮了但不通。

原因：多模光纤的收发极性接反（TX 对 TX、RX 对 RX），或者两端光模块波长不匹配（850nm 对 1300nm）。

解决：光纤跳线成对使用，一根收一根发，接反了把其中一端的两芯对调。光模块波长按硬件清单统一用 850nm 多模，别混用。课程设计里光纤部分通常是画图不实操，但答辩时被问到「光纤怎么接」要能答出收发极性和波长匹配这两点。

6. 验收与答辩：怎么证明这套方案真的能跑

课程设计的验收分两块：文档和演示。文档看结构完整性，演示看配置能不能通。我一般按下面这个顺序准备，基本不会漏。

先做连通性验收，按「终端→接入→汇聚→核心→出口」逐段测：

演示时重点展示三个东西：VLAN 划分效果（show vlan brief）、路由表（show ip route）、NAT 转换表（show ip nat translations）。这三个命令的输出能直接证明方案的核心设计点都落地了。

答辩环节，评阅老师最爱问的几个问题提前准备好答案：为什么用私有地址而不是全用公网地址（地址不够，且私有地址便于内网管理）；为什么划 VLAN（隔离广播域，提高安全性和灵活性）；NAT 的原理是什么（地址转换，PAT 复用端口）；EIGRP 和 RIP 的区别（收敛快、支持 VLSM、无跳数限制）。回答时别背定义，结合自己的拓扑说，比如「我这三个系各一个 VLAN，如果不划，817 个点的广播会泛洪到所有接入交换机」。

有个血泪经验：答辩前一定要把配置保存一遍，write memory或者copy running-config startup-config。我见过不止一次演示到一半设备重启，配置全丢，现场重配来不及。保存完再导出一份配置文件备份，U 盘里放一份，邮箱里存一份，双保险。

从那以后我每次做网络方案，交付前都强制走一遍「规划表核对→配置导出→逐段 ping→保存重启再验」的流程，宁可多花半小时，也不在演示现场赌运气。希望帮到你。

本文还有配套的精品资源，点击获取