4个C类地址覆盖5个部门：校园网VLAN、NAT与EIGRP规划

简介：这份校园网设计课程设计文档面向计算机网络课程设计、网络规划入门学习者，围绕某高校三系、现教中心与行政共五个部门、仅四个C类IP地址的校园网需求展开，给出可参考的完整设计思路。压缩包内仅1个doc文件，大小约1.65MB，集中呈现需求分析、方案比较、拓扑结构、IP地址分配、NAT接入中国教育网及VLAN划分等核心内容。文档还列出接入层、汇聚层、核心层的设备选型与硬件、软件清单，并对比两种方案在路由器数量、广播域、地址利用率和灵活性上的差异，便于理解交换式千兆以太网与百兆到桌面的设计取舍。已有2959人学习，适合需要撰写课程设计报告、梳理网络拓扑与设备配置依据的学生参考。

1. 4个C类地址要覆盖5个部门，先别急着画拓扑

某高校网络课程设计给了一道经典题：三个系各255个信息点，行政32个，现教中心20个，总共800多个信息点，手上只有4个C类公网地址。多数人第一反应是拿地址直接分，分到第五个部门发现没了。这道题真正考的不是画图，是在地址不够的前提下怎么把网络搭起来还能通。下面这套方案来自一份完整的课程设计，从需求拆解、方案比选、地址规划到设备配置和验收标准都有，适合正在做校园网课设或毕设的人直接参考，也适合需要交一份可落地网络方案的从业者对着改。

2. 需求拆解与方案比选：私有地址加NAT，还是公网地址直连

2.1 需求里的三个硬约束

先把题目里的数字摊开看。五个部门分别是计算机系、机械系、化工系、现教中心和行政，信息点数量是三个系各255个、行政32个、现教中心20个，合计817个信息点。手上能用的公网地址是四个C类：222.192.1.0、222.192.2.0、222.192.3.0、222.192.4.0。部门数比地址数多一个，这是第一个约束。

第二个约束是出口。题目明确要求通过NAT转换接入中国教育网，意味着出口设备必须支持NAT，而且内网地址规划要留出私有地址段做转换源。第三个约束是规模。817个信息点如果全部塞进一个大广播域，随便一台主机发个ARP广播就能把接入层拖垮，所以必须做VLAN划分，把广播域按部门切开。

这三个约束放在一起，方案空间其实不大：要么用私有地址做内网、公网地址做NAT池，要么把四个C类地址硬分给五个部门、放弃一部分公网地址的独立性。前一种做法地址弹性好，后一种做法省设备但广播域失控。下面的方案一和方案二就是这两条路的具体展开。

2.2 方案一与方案二的逐项对比

方案一的核心思路是“私有地址打底、公网地址做出口”。三个系分别用192.168.1.0/24、192.168.2.0/24、192.168.3.0/24三个私有网段，每个系255个信息点刚好用一个C类私有地址装下。222.192.4.0/24切成两个/25子网，一个给行政32个信息点，一个给现教中心20个信息点。剩下三个公网C类地址留作NAT地址池和出口互联。设备层面，接入层用24口10M/100M交换机，汇聚层用24口10M/100M/1000M交换机，核心层用一台带NAT和防火墙功能的路由器加两台普通路由器，五个部门各划一个VLAN。

方案二走的是“公网地址直接分”的路子。222.192.1.0、222.192.2.0、222.192.3.0分别给三个系，222.192.4.0切子网给行政和现教中心。设备上只保留一台带NAT的路由器做核心，不划VLAN，接入层和汇聚层的交换机型号与方案一相同。

把两套方案放在同一张表里对比，差异就很清楚了：

方案二省了一台路由器的钱，但代价是广播域从255台主机膨胀到817台，而且核心路由器没有独立IP地址可用——四个C类地址全部分给部门后，出口设备自己反而没地址了。这个坑在答辩时很容易被问到。

2.3 选型结论：方案一胜在地址弹性和广播域控制

综合三项对比，方案一在三个维度上占优。第一是负载均衡，三台路由器分担不同部门的出口流量，单台设备故障不会导致全网瘫痪；方案二所有流量挤一台路由器，业务繁忙时丢包和拥塞几乎不可避免。第二是地址分配，私有地址段保证了每个部门都有独立网段，后续哪个系要扩信息点，直接加一个192.168.x.0/24就行，不用动公网地址。第三是VLAN带来的灵活性，主机换部门只需要改交换机端口VLAN归属，不用重新规划IP。

方案一的代价是多两台路由器的采购成本，以及配置量增加。对于课程设计来说，这个代价换来的是完整的“私有地址+NAT+VLAN+动态路由”技术栈，答辩时能讲的内容比方案二多一倍。我一般会建议学生选方案一，不是因为它便宜，而是因为它把题目里所有约束都正面回应了。

3. 地址规划、VLAN与拓扑设备选型：4个C类地址怎么喂饱5个部门

3.1 子网划分：一个C类地址切成两个/25

先解决最紧的地址问题。222.192.4.0/24这个C类地址有256个地址，切成两个/25子网，每个子网126个可用主机地址。行政32个信息点、现教中心20个信息点，各自用一个/25绰绰有余。

具体切法是把第四字节的最高位作为子网位。222.192.4.0/25的子网地址范围是222.192.4.1到222.192.4.126，广播地址222.192.4.127；222.192.4.128/25的范围是222.192.4.129到222.192.4.254，广播地址222.192.4.255。行政用第一个/25，现教中心用第二个/25。

完整的地址规划表如下：

这里有个细节要注意：三个系各255个信息点，192.168.1.0/24的可用主机地址是254个，比255少一个。如果某个系真的把255台主机全部接入，会有一台拿不到地址。通常的做法是把网关设在网段最后一个可用地址（比如192.168.1.254），DHCP池从.1到.253，实际留出一点余量。如果题目严格要求255个信息点全部可通，可以把其中一个系改成/23，但VLAN和路由配置要同步调整。

NAT地址池用222.192.1.0/24里的.10到.200这一段，避开网关和保留地址。三个私有网段通过NAPT共用这批公网地址，出口路由器上一条overload就能搞定。

3.2 VLAN规划：一个部门一个广播域

五个部门划五个VLAN，VLAN ID从10开始按十位递增，方便记忆和排障：

VLAN的划分落在接入层交换机上。每个系的11台24口接入交换机，按楼层或机房区域分配端口到VLAN 10/20/30，上行口配置为Trunk，允许对应VLAN通过。行政的2台接入交换机和现教中心的1台接入交换机同理，端口划入VLAN 40和50。汇聚层交换机上创建对应的VLANIF接口作为网关，核心路由器通过三层接口与汇聚层互联。

这里有个容易忽略的点：VLAN 40和50共用222.192.4.0/24这个C类地址空间，但它们是两个独立的广播域。如果不划VLAN，32台行政主机和20台现教主机在同一个二层网络里，ARP广播会互相干扰；划了VLAN之后，两个子网之间的通信必须经过三层转发，广播被限制在各自的/25子网内。这就是方案一比方案二多出来的那层控制力。

3.3 三层交换拓扑与设备清单

拓扑采用星型树结构，分接入层、汇聚层、核心层三层。接入层负责把信息点接进来，每个系11台24口10M/100M交换机，行政2台，现教中心1台，合计36台。汇聚层每个部门1台24口10M/100M/1000M交换机，共5台，负责把本部门所有接入交换机聚合起来。核心层1台带NAT和防火墙功能的路由器加2台普通路由器，负责跨部门路由和出口转换。

传输介质按距离分层选。主机到接入层交换机用超五类非屏蔽双绞线，单段不超过100米，跑100Mbps没问题。接入层到汇聚层、汇聚层到核心层用多模光纤，50/125微米规格，850nm和1300nm两个窗口都能用，距离超过100米的楼层间链路走光纤不会翻车。核心层到出口防火墙、防火墙到教育网接入口用100Mbps双绞线短距离互联。

设备清单按方案一的配置列出来：

服务器接在核心交换机上，方便校内服务信息向各部门传播。防火墙部署在校园网和教育网之间，NAT功能开在防火墙上，外部流量进不来、内部流量出得去。这套拓扑的冗余度不算高，核心路由器是单点，但作为课程设计已经能把三层交换、VLAN、NAT、动态路由四个知识点全部串起来。

4. 核心配置实现：NAT、EIGRP与子网路由的落地细节

4.1 子网与接口地址配置

配置从核心交换机开始。先在全局模式下创建五个VLAN，再给每个VLAN配SVI接口作为网关地址。SVI是三层交换机上的虚拟接口，主机把默认网关指向它，跨VLAN流量就会送到三层交换机做路由。

# 核心交换机：创建5个业务VLAN vlan 10 name ComputerDept vlan 20 name MechanicalDept vlan 30 name ChemicalDept vlan 40 name Administration vlan 50 name EducationCenter exit # 配置各VLAN的SVI网关地址 interface Vlan10 ip address 192.168.1.254 255.255.255.0 no shutdown interface Vlan20 ip address 192.168.2.254 255.255.255.0 no shutdown interface Vlan30 ip address 192.168.3.254 255.255.255.0 no shutdown interface Vlan40 ip address 222.192.4.1 255.255.255.128 no shutdown interface Vlan50 ip address 222.192.4.129 255.255.255.128 no shutdown

这段配置里，VLAN 10/20/30用/24掩码，VLAN 40/50用/25掩码，和3.1节的地址规划表一一对应。网关地址取网段内最后一个可用地址或第一个可用地址，主机侧DHCP池把网关指向对应SVI地址。配完之后用show ip interface brief确认五个SVI都是up状态，再往下走。

4.2 EIGRP动态路由配置

核心路由器和两台普通路由器之间跑EIGRP，自治系统号统一用20。EIGRP的好处是收敛快、支持VLSM，适合这种有子网划分的场景。配置时把每个直连网段都network进去，关闭自动汇总，避免/25子网被汇总成/24导致路由丢失。

# 核心路由器：启用EIGRP并宣告直连网段 conf t router eigrp 20 network 192.168.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255 network 192.168.3.0 0.0.0.255 network 222.192.4.0 0.0.0.127 network 222.192.4.128 0.0.0.127 no auto-summary passive-interface GigabitEthernet0/1 exit

network后面的通配符掩码要算准：192.168.1.0/24对应0.0.0.255，222.192.4.0/25对应0.0.0.127，222.192.4.128/25也是0.0.0.127。no auto-summary必须加，否则EIGRP会把222.192.4.0/25和222.192.4.128/25汇总成222.192.4.0/24，行政和现教中心的路由就乱了。passive-interface加在连接主机的接口上，不让它往外发路由更新，减少无谓的协议报文。

两台普通路由器上做类似配置，AS号保持20一致，network宣告各自直连的网段。配完用show ip eigrp neighbors看邻居关系，正常情况下应该看到所有路由器两两建立邻接。

4.3 NAT转换与防火墙策略

NAT配在出口路由器上，inside接口接内网，outside接口接教育网。私有地址三个网段通过ACL匹配，转换成222.192.1.0/24地址池里的公网地址，开overload启用端口复用。

# 出口路由器：配置NAT内外接口 conf t interface GigabitEthernet0/0 ip address 222.192.1.1 255.255.255.0 ip nat outside no shutdown interface GigabitEthernet0/1 ip address 192.168.1.254 255.255.255.0 ip nat inside no shutdown exit # 定义公网地址池，取222.192.1.10到222.192.1.200 ip nat pool CampusPool 222.192.1.10 222.192.1.200 netmask 255.255.255.0 # 匹配三个私有网段 access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 1 permit 192.168.3.0 0.0.0.255 # 启用NAPT，多个内网主机共用一个公网地址的不同端口 ip nat inside source list 1 pool CampusPool overload

overload是关键参数，没有它的话地址池里有多少个公网地址就只能同时供多少台主机上网，加了overload之后靠端口号区分会话，几百台主机共用一批地址没问题。配完用show ip nat translations看转换表，内网主机访问教育网时应该能看到私有地址到公网地址的映射条目。

防火墙策略按最小权限原则配：允许内网到教育网的HTTP、HTTPS、DNS、FTP流量出去，禁止教育网主动发起进内网的连接，只放行已经建立的会话的回包。如果校内有对外提供服务的服务器，单独加一条静态NAT映射，把公网地址的某个端口固定转到服务器私有地址上。

5. 常见问题排查：配置落地时最容易翻车的几个点

5.1 地址规划与VLAN类翻车

现象：行政和现教中心的主机都能ping通自己的网关，但两个部门之间互访不通。原因通常是两个/25子网被划进了同一个VLAN，或者SVI掩码配成了/24。222.192.4.0/25和222.192.4.128/25如果同处一个广播域，主机会认为对方在同一网段直接发ARP，但实际三层转发没经过路由器，路由表里也找不到对应条目。解决办法是确认VLAN 40和50是两个独立VLAN，SVI掩码严格按/25配置，主机网关分别指向222.192.4.1和222.192.4.129。配完用show vlan brief和show ip interface brief交叉核对。

现象：计算机系某台新主机接入后拿不到IP地址。原因是192.168.1.0/24的可用地址只有254个，而信息点有255个，DHCP池配满之后最后一台主机分不到地址。这个坑在课程设计里很隐蔽，因为平时不会把255台主机全接上。解决办法有两个：一是把DHCP池范围缩到192.168.1.1到192.168.1.253，留一个地址给网关，实际可用253个，仍然差两个；二是把计算机系改成192.168.0.0/23，可用地址510个，但VLAN和路由配置要同步改成/23掩码。通常的做法是答辩时主动说明这个边界，表明自己算过地址容量，比被问住要好。

5.2 路由与NAT类翻车

现象：内网主机能访问教育网，但教育网访问不了校内服务器。原因是只配了ip nat inside source做源地址转换，没有配静态NAT做目的地址映射。外网过来的包到了出口路由器，NAT表里找不到对应的转换条目，直接被丢弃。解决办法是给对外服务器加一条ip nat inside source static 192.168.1.100 222.192.1.50，把公网地址的流量固定转到服务器私有地址。配完在外部网络用telnet 222.192.1.50 80验证端口通不通。

现象：EIGRP邻居关系起不来，show ip eigrp neighbors一片空白。最常见的原因是两端AS号不一致，或者network宣告的网段写错。EIGRP要求同一自治系统号才能建立邻接，一端写router eigrp 20、另一端写router eigrp 10，邻居永远起不来。另一个原因是通配符掩码算错，比如把192.168.1.0/24写成network 192.168.1.0 0.0.0.127，只匹配了半个网段。排查时先用show run | section eigrp核对两端配置，再用show ip interface brief确认接口地址和状态。

5.3 物理层与设备选型类翻车

现象：接入层到汇聚层的链路跑不满千兆，实测只有百兆。原因是用了超五类双绞线做楼层间干线，距离超过100米之后信号衰减，链路协商降速到100M。方案里明确写了接入层到汇聚层用多模光纤，就是防这个。多模光纤在850nm窗口下可以跑几百米，楼层间垂直布线走光纤井没问题。如果已经布了双绞线又不想换，至少确认单段长度不超过100米，中间不经过转接模块。

现象：核心交换机上VLAN配置正常，但跨VLAN流量就是不通。先查三层交换机的路由功能有没有开。部分二层交换机虽然支持VLAN，但不支持SVI和三层转发，配了interface Vlan10也起不来。设备选型时核心层必须用三层交换机，汇聚层可以用二层，接入层用纯二层就行。查的时候用show ip route看直连网段有没有出现在路由表里，没有的话说明SVI没up或者设备不支持三层。

6. 验收与答辩：拿什么证明这套网真的通了

验收不是把配置贴出来就完事，得有一套能当场演示的检查清单。我一般按“物理层→二层→三层→出口”四步走，每一步都有对应的命令和预期结果，答辩时照着跑一遍，比背十页PPT管用。

第一步查物理层和接口状态。在核心交换机上跑show interfaces status，确认所有连接接入层和汇聚层的端口都是connected，速率和双工模式符合预期。光纤口看有没有光衰告警，双绞线口看有没有CRC错误计数。这一步过不了，后面全白搭。

第二步查VLAN和Trunk。show vlan brief确认五个业务VLAN都存在且端口归属正确，show interfaces trunk确认上行口允许VLAN 10/20/30/40/50通过。答辩时经常被问“行政和现教中心为什么能互通又不能互通”，答案就在VLAN表里：两个部门在不同VLAN，二层隔离，三层通过SVI路由互通，广播被限制在各自的/25子网内。

第三步查路由和NAT。show ip route看192.168.1.0/24、192.168.2.0/24、192.168.3.0/24、222.192.4.0/25、222.192.4.128/25五条路由是否都在表里，EIGRP学到的路由标着D。show ip eigrp neighbors确认邻居关系全up。然后在行政的一台主机上tracert教育网某个地址，看第一跳是不是222.192.4.1，第二跳是不是出口路由器的公网地址，路径对了说明NAT转换生效。

第四步做连通性测试矩阵。计算机系ping机械系、计算机系ping行政、行政ping现教中心、内网ping教育网、教育网ping校内服务器，五组测试覆盖跨VLAN路由、子网路由和NAT双向转换。每组测试记录源IP、目的IP、预期结果和实际结果，做成一张表附在报告里。答辩时老师问“你怎么证明NAT配对了”，直接把show ip nat translations的输出和测试矩阵拿出来，比口头解释有说服力。

有个血泪教训：我第一次做这类课设时，配置全写完了才想起没验证DHCP池容量，答辩现场被问到“255个信息点怎么装进254个地址”直接卡住。从那以后我每次做地址规划都先把子网容量算清楚写进表格，再动手配设备，宁可前期多花十分钟，也不在答辩时留一个答不上来的口子。希望帮到你。

本文还有配套的精品资源，点击获取