企业官网建设流程全解析

简介：一份计算机网络课程设计报告，面向计算机专业学生和网络课程设计者，完整展示中小企业网络从需求分析、方案设计到实施部署的整个过程。报告以一家100人以下的小型企业为例，先分析建网必要性与经济性，再梳理网络功能、物理布局、信息点分布、用户设备配置、应用服务和安全需求，并规划VLAN方案，逻辑链条完整。设计遵循“经济高效、领先实惠”原则，力求打造高性能百兆网络核心与端到端智能化网络。资源为单一Word文档，共1个文件，doc格式，压缩包约11.32MB。报告正文不仅给出整体网络拓扑、布线要求与综合布线测试，还包含网络设备、服务器、线缆的具体选型及报价，并详述web服务器搭建与界面效果展示，覆盖课程设计常要求的全部模块。已有2430人学习下载，适合作为中小企业网络课程设计的参考范本，可直接对照吸收规划思路与方案格式。

1. 计算机网络课程设计报告：中小企业网络设计到底考你什么

拿到一份《计算机网络课程设计报告-中小企业网络设计(1).doc》的题目，很多人的第一反应是去搜配置命令，但真正交付的东西从来不是命令本身。老师要看的是一整套设计过程：为什么分这几个 VLAN、为什么把网关放在核心交换机、ACL 为什么放这个方向。中小企业网络设计最反直觉的一点是，得分点集中在敲命令之前的需求分析、IP 规划和拓扑设计上。这篇笔记就按这个顺序展开，从一张需求表讲到拓扑、IP、设备选型，再落到交换机、路由器上的可复现配置，最后把验证方法和最容易翻车的几个坑单独拆开。打算照着做课程设计的本科生可以跟完全程，已经工作的从业者也能把它当成一次计算机网络基础复习。

2. 开工前先交四张表：需求分析、拓扑、IP 规划与设备选型

2.1 需求分析：把“财务部独立”翻译成 VLAN 和 ACL

虽然题目叫中小企业网络设计，但不同学校的题面差别很大。最典型的场景是一家 80 到 120 人的虚拟公司，设综合部、人事部、财务部、研发部，有办公楼或者大开间，要求办公区能上网，财务部与其他部门逻辑隔离，会议室覆盖无线，服务器和打印机统一放在机房。拿到这种题面，我习惯先不碰设备，把每一条业务需求翻译成对应的网络技术，列成一张表。

这张表在报告里是加分项，前提是它和后面的拓扑、配置一一对得上。最容易翻车的写法是，需求分析里写了“财务隔离”，后面配置里既没有 VLAN 20 也没有 ACL，答辩时一问就露馅。所以这张表的每一行，后面都要能追到一段配置或拓扑里的一个元件。这种“先定约束，再选技术，最后才是命令”的做法，就是计算机网络课程里常说的自顶向下思路。你在准备计算机网络期末复习时，也可以拿这张表当提纲：VLAN、NAT、ACL、DHCP 这些考点基本都被覆盖了。

2.2 拓扑图：三层结构怎么画才不会被追问

需求分析做完，下一步是画拓扑图。中小企业网络设计里最常见的是三层结构：核心层、汇聚层、接入层。但很多课程设计题目规模并不大，我一般会简化成“核心—接入”两级：一台三层交换机当核心，负责 VLAN 间路由；一台路由器或防火墙当出口，负责 NAT；接入交换机直接连核心，PC 和 AP 挂在接入层。这样既满足课程设计里的“网络层次”要求，又不会为了凑汇聚层而硬加设备。

画图时我有一套固定的顺序，避免漏东西。先画出口到核心的主干，再画核心到接入交换机的链路，然后标 VLAN 和 IP 网段，接着标注链路带宽和接口编号，最后把服务器、打印机、AP 这些终端画到对应网段。报告里常见的问题是拓扑图很漂亮，但图上没有网段标签，也没有接口编号，老师看不出这台设备该配什么 IP。我的习惯是，每个交换机的上联口都标上 Trunk，每个终端标出所属 VLAN，服务器放在服务器 VLAN 边上而不是随手放在核心旁边。设备型号也要在图上体现，至少要写到型号级别，比如核心写 Cisco 3560、接入写 Cisco 2960，让人一眼看出这是三层核心加二层接入的经典组合。

2.3 IP 地址规划：子网掩码错一位，后面全是翻车现场

拓扑定下来后，IP 规划是整个报告里性价比最高的一步，因为后面排错全靠它。中小企业课程设计基本都用私网地址，常见选择是 192.168.10.0/24、192.168.20.0/24 这样的 C 类网段。我建议不要为了省地址去用 10.0.0.0/8 这种大段，课程设计的信息点数量根本用不了这么多，地址段越大，ACL 和路由表越容易写错。下面是一张可以直接抄作业的 VLAN 与 IP 规划表：

这张表有三个细节值得说。第一，VLAN ID 和网段第三位保持一致，VLAN 10 对应 192.168.10.0，VLAN 20 对应 192.168.20.0，看到 VLAN 号就知道网段，配置和排错时省大量时间。第二，网关放在每个网段的 .1，这是中小企业网络设计的标准做法，方便记忆和排查。第三，不要把 .0 和 .255 分配出去，课程设计里设备少，但保留网络地址和广播地址是基本规矩，体现了你对计算机网络基础是否真懂。可用主机范围是从 .1 到 .254，DHCP 分配时还需要再从中抠出一段固定地址给服务器和打印机。

2.4 设备选型：先算端口数，再定型号

设备选型是报告里最容易空泛的一节。很多同学直接写“路由器一台、交换机三台”，没有任何依据，老师一眼就知道是凑出来的。我一般会先算端口数，再填型号。比如一个 120 信息点的公司，办公区约 100 个点，安防 20 个点，接入交换机用 24 口，每台可用端口大约 22 个（上联口占一个），那么办公区需要 5 台左右；加上预留 20% 的扩展口，实际写 6 台比较合理。端口数不够的常见原因，是没算 AP、打印机的接入，以及每个接入交换机至少一个上联口。

这里想强调一点：出口用路由器还是防火墙，要看课程设计的要求。只要求能上网，一台路由器足够；如果报告里写了“边界安全”需求，就选带防火墙功能的设备。核心交换机一定要选三层交换机，不能用二层交换机凑合，因为 VLAN 间路由要靠三层交换机处理。如果你用的是 Cisco Packet Tracer，里面的 2960 是二层交换机，3560 才是三层交换机；换成华为 eNSP，常见组合是 S3700 做接入、S5700 做核心。型号不需要完全精确，但设备层级必须对。

四张表做齐全，整个网络的技术方案已经在纸面上成立。后面的路由器、交换机配置，只是把这张纸翻译成设备语言。

3. 从交换机开始配置：VLAN、Trunk、三层网关和 DHCP 的必写命令

3.1 接入交换机：先建 VLAN，再分端口，最后封 Trunk

拿到模拟器，第一件事不是敲 IP，而是把设备名改掉。默认配置下所有设备都叫 Switch，如果不改名，最后贴到报告里的配置全是 Switch，老师可以直接断定是复制粘贴的。接入交换机的典型配置如下，我用 Cisco IOS 风格命令举例，华为 eNSP 的命令结构基本一样，只是关键字不同。

enable configure terminal hostname Access-SW1 vlan 10 name Office vlan 20 name Finance vlan 30 name Server vlan 40 name CCTV vlan 99 name Management exit interface fastEthernet 0/1 switchport mode access switchport access vlan 10 interface fastEthernet 0/2 switchport mode access switchport access vlan 10 interface fastEthernet 0/24 switchport mode trunk switchport trunk allowed vlan 10,20,30,40,99

这段配置的逻辑是：先在交换机上把 VLAN 建出来，再把面向 PC 的接口设置成 access 模式并划入对应 VLAN，最后把上联接口设置成 trunk。access 模式的意思是接口只属于一个 VLAN，接 PC、打印机、AP 都用它；trunk 模式的意思是接口承载多个 VLAN 的流量，用于交换机之间的级联。很多新手把接 PC 的接口也配成 trunk，PC 就怎么都拿不到正确的 IP。接口编号不要照抄，Packet Tracer 里不同型号的设备编号不同，要以你模拟器里实际的接口编号为准。trunk 上我习惯显式写 allowed vlan，不写的话思科默认放行所有 VLAN，后续新增 VLAN 时可能被带过去，排错时容易混淆。

3.2 核心三层交换机：VLAN 间路由靠 SVI 接口实现

接入交换机只能转发同 VLAN 内的流量，跨 VLAN 通信要靠核心的三层交换机。方法是在核心交换机上为每个 VLAN 创建一个 SVI（交换虚拟接口），也就是常说的 VLAN 接口，并配置 IP 地址，这个地址就是该 VLAN 内 PC 的网关。

enable configure terminal hostname Core-SW interface vlan 10 ip address 192.168.10.1 255.255.255.0 no shutdown interface vlan 20 ip address 192.168.20.1 255.255.255.0 no shutdown interface vlan 30 ip address 192.168.30.1 255.255.255.0 no shutdown interface vlan 40 ip address 192.168.40.1 255.255.255.0 no shutdown interface vlan 99 ip address 192.168.99.1 255.255.255.0 no shutdown ip routing

这段命令做两件事：给每个 VLAN 建立网关，并开启三层交换机的路由功能。no shutdown在真实思科设备上是必须的，在 Packet Tracer 里不敲有时也能通，但报告里写全更严谨。华为 eNSP 的对应写法是interface vlanif 10加ip address 192.168.10.1 255.255.255.0，本质一样，都是创建三层接口。如果配完以后 PC 能 ping 通自己的网关，但跨 VLAN 的两个 PC 互相不通，最常查的就两处：核心交换机上是否少了ip routing，以及接入交换机与核心之间的链路是否真的工作在 trunk 模式。还有一个容易忽略的点：接入层用的是二层交换机，只有核心交换机才需要建 SVI，别把同样的命令敲到接入交换机上，接入交换机没有这个三层能力。

3.3 DHCP：办公网插线即用，关键在排除地址和中继

中小企业网里 PC 数量多，逐个手填 IP 不现实，所以 DHCP 基本是必配项。最常见的做法是把 DHCP 服务放在核心交换机上，每个 VLAN 对应一个地址池。看下面这段：

service dhcp ip dhcp excluded-address 192.168.10.1 192.168.10.20 ip dhcp pool Office network 192.168.10.0 255.255.255.0 default-router 192.168.10.1 dns-server 202.106.0.20 lease 3

ip dhcp excluded-address把网段前 20 个地址排除掉，这些地址留给服务器、打印机、网络设备等固定 IP 使用，避免 DHCP 分配出去造成冲突。network指定分配范围，default-router必须和该 VLAN 的网关一致，写错了 PC 能拿到 IP 但出不了网。DNS 服务器地址写运营商公共 DNS 就可以，比如 202.106.0.20 或 223.5.5.5，模拟器里填哪个对结果影响不大。lease 3表示租约 3 天，是中小企业的常见设置。

如果课程设计把 DHCP 服务放在独立的服务器上，有一个经典坑：DHCP 请求是广播报文，默认不能跨越 VLAN。客户端在 VLAN 10，DHCP 服务器在 VLAN 30，中间隔着一台三层交换机，广播过不去。解决的办法是在客户端所在 VLAN 的 SVI 接口下配一行中继命令：ip helper-address 192.168.30.10。这行命令让三层交换机把客户端的 DHCP 广播转成单播发给服务器。没配这行，PC 就一直显示无法获取 IP 地址。这个细节答辩经常被问到，能把中继原理讲清楚，基本就是高分答案。

4. 出口路由与安全策略：NAT、默认路由和 ACL 的配置方向

4.1 让内网能上外网：默认路由加 PAT

内网全部配好之后，PC 只能访问内网资源，要上互联网还需要两个条件：一是出口路由器有一条默认路由把流量送向运营商，二是把私网地址转换成公网地址，也就是 NAT。中小企业出口带宽有限，几乎都做一个公网 IP 配上端口复用（PAT），让整个内网共享同一个公网地址出去。典型配置如下：

interface gigabitEthernet 0/0 description Link-to-Core ip address 192.168.99.2 255.255.255.0 no shutdown ip nat inside interface gigabitEthernet 0/1 description Link-to-ISP ip address 202.106.1.2 255.255.255.0 no shutdown ip nat outside ip route 0.0.0.0 0.0.0.0 202.106.1.1 access-list 1 permit 192.168.0.0 0.0.255.255 ip nat inside source list 1 interface gigabitEthernet 0/1 overload

ip nat inside和ip nat outside决定了哪个接口是内网、哪个接口是外网，很多同学配完 NAT 发现内网还是上不了网，第一反应是 ACL 写错，其实往往是 inside / outside 标反了。access-list 1在这里不是过滤流量，而是声明哪些内网网段允许被 NAT 转换，0.0.255.255这个通配符掩码匹配所有 192.168.x.x 地址。overload是关键参数，它让所有内网地址复用出口接口的公网地址，也就是 PAT。华为 eNSP 里对应的思路一致，命令通常写成nat outbound 2000，再用 ACL 2000 定义允许转换的内网网段。

有一个容易被忽略的小问题：出口路由器的内网接口地址，必须和核心交换机管理 VLAN 在同一个网段，否则核心交换机根本找不到出口路由器。上面的配置里，核心管理网段是 192.168.99.0/24，出口路由器接核心的接口配的是 192.168.99.2，两个地址是直连邻居。图省事在出口路由器上另配一个网段，是最经典的路由黑洞翻车现场。

4.2 ACL：阻止办公区访问财务区，方向和顺序比命令本身更重要

课程设计里最常见的 ACL 需求，就是财务部隔离。题目通常这样写：财务部与其他部门逻辑隔离，也就是办公区不能访问财务区，但财务区可以正常访问办公区，两边都要能上网。满足这个需求只需要在核心交换机的 VLAN 20 接口上，把从外部进入财务 VLAN 的流量过滤一下。

access-list 101 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 access-list 101 permit ip any any interface vlan 20 ip access-group 101 in

这段 ACL 第一行精确拒绝了办公网段到财务网段的 IP 流量，第二行放行所有其他流量，最后把 ACL 应用到 VLAN 20 接口的 in 方向。很多人会问：为什么是 in 而不是 out？判断方法只有一个，以接口视角看流量方向。interface vlan 20是财务 VLAN 的三层入口，办公区访问财务区的流量要先进入这个接口，才能到达财务 PC，所以需要在 in 方向拦；如果把这个 ACL 配到 out 方向，拦的就是从财务区出去的流量，效果完全反了。另外要注意通配符掩码，0.0.0.255对应子网掩码255.255.255.0，只匹配 192.168.10.0/24 这一个网段。最后那行permit ip any any必须要有，因为 ACL 末尾默认拒绝一切，漏了这行，财务区自己的流量也会被误杀。

如果课程设计要求更严格，比如财务区只能访问财务服务器，那就要把 ACL 拆成两个方向处理：在 out 方向只放行到财务服务器的流量，在 in 方向阻止其他网段访问。但大多数中小企业课设题面只要求“办公不能访问财务”，不要自己加需求，加需求就得多配置、多测试，反而容易翻车。

4.3 远程管理：用 SSH，别在报告里写 Telnet

设备调试完以后，还需要一套远程管理方案。课程设计里常见的错误是直接在报告里写 Telnet。Telnet 的密码和会话都是明文传输，在真实企业里基本已经被淘汰。写 SSH 可以在答辩时多一个亮点。配置其实不长：

username admin secret cisco123 ip ssh version 2 access-list 10 permit 192.168.99.0 0.0.0.255 line vty 0 4 login local transport input ssh access-class 10 in

username admin secret cisco123创建本地账号和密码，transport input ssh让 VTY 只接受 SSH 连接，Telnet 即使开着也无法使用。access-class 10 in限制只有来自管理网段 192.168.99.0/24 的终端才能登录，其他网段的 PC 就算能到达管理地址也会被拒绝。这里的管理网段，正好对应前面 IP 规划表里的 VLAN 99。设备管理是所有 VLAN 里优先级最高的，但也最容易出配置事故：管理地址和业务地址冲突、ACL 把自己挡在外面，都是报告里常见的血泪经验。建议在报告里单独写一句“管理 VLAN 不承载业务流量”，这句话虽然简单，但能体现你对网络设计的理解。

5. 验证与排查：三个必测的连通性场景和五个常见翻车点

5.1 验证清单：把“感觉通了”改成可上报的证据

在报告里，验证章节是支撑结论的证据链。不要写完配置就直接收尾，至少要完成五个验证：PC 能获取 DHCP 地址、同 VLAN 互通、跨 VLAN 互通、办公不能访问财务、内网能上外网。列一个验证对照表：

每一条验证都要有截图，报告里贴出 ping 命令的完整输出，不要只贴一张“通了”的窗口然后什么都不写。截图里如果能看到源地址、目标地址和 TTL，这条验证才算合格。这一步很多人会偷懒，但它是答辩时老师唯一能快速判断你有没有在模拟器里跑过的证据。

5.2 排查顺序：从物理层到 ACL，不要一上来就改配置

网络不通时，最忌讳的是随手改配置，改完更乱。我一般按下面这个顺序排查：

先看物理状态。在交换机上执行show interfaces status，看接口是不是 up。接口 down 就查网线、接口是否 shutdown。物理层通了，再看 VLAN。执行show vlan brief确认 PC 所在接口划入了正确的 VLAN，执行show interfaces trunk确认交换机之间的链路是 trunk。VLAN 没问题，再看三层。执行show ip interface brief看 SVI 接口是否 up，show ip route看路由表有没有条目。最后才查 ACL，执行show access-lists看命中次数，如果 deny 那行的计数器一直在涨，说明流量就是被 ACL 拦下的。

按这个顺序操作，问题基本能在三步内定位。把这个排查过程原样写进报告的“网络测试与故障排除”一节，老师看到的是一个结构化的排错思路，而不是一锅乱炖的截图。

5.3 五个常见翻车点：现象、原因和解决

这里给你整理五条出现频率最高的坑，每条按现象、原因、解决三步写，可以直接对照检查。

第一，所有 PC 都 ping 不通网关。原因是接入交换机接 PC 的端口被配成了 trunk 模式，或者端口处于 shutdown 状态。解决方法是把接 PC 的端口改回 access 模式并划入正确 VLAN，再用no shutdown启用端口。

第二，同 VLAN 能通，跨 VLAN 不通。原因是核心交换机没开ip routing，或者接入交换机与核心之间的链路不是 trunk。解决方法是确认核心上创建了 Vlanif/SVI 并开启路由功能，同时查看 trunk 状态。

第三，内网能互相访问，但上不了外网。原因是出口路由器的 NAT inside / outside 标反，或者默认路由的下一跳写错。解决方法是执行show ip nat translations看 NAT 转换表里有没有条目，show ip route看默认路由是否生效，再 ping 一下 DNS 地址确认外网链路。

第四，ACL 一加，整个财务区断网。原因是 ACL 最后缺少permit ip any any，或者精确 deny 写在了 permit 之后永远不会命中，因为 ACL 从上到下顺序匹配。解决方法是把精确 deny 放前面，permit ip any any放最后。

第五，PC 拿不到 IP 地址。原因是 DHCP 地址池和 VLAN 网段不匹配，或跨 VLAN 场景下没配ip helper-address。解决方法是核对 pool 里的 network 和 default-router，再确认用户 VLAN 的 SVI 接口上有没有中继地址。参考网上的计算机网络实训答案时也要小心，那些配置往往是针对特定拓扑写的，直接抄到你自己的课设里，VLAN 号和网段对不上，照样拿不到地址。

6. 报告成稿与答辩：把配置讲成你自己的设计

6.1 报告的骨架和配置贴法

报告章节建议按这个顺序组织：需求分析、拓扑图、IP 规划、设备选型、关键配置、测试验证。这个顺序本身就是一篇完整的网络设计思路。配置不要全文粘贴，选核心交换机的 SVI、DHCP 地址池、出口 NAT、财务隔离 ACL 这几个片段，每段后面跟一句话说明“为什么这么配”，这才是课程设计报告真正的得分区。截图要把设备名一起截进去，如果屏幕上还是默认的 Switch，说明你没认真做。

6.2 答辩最可能被问的三个问题

第一个问题：IP 为什么这样规划？回答模板是：根据信息点数量和部门隔离需求确定 VLAN 数量，VLAN ID 与网段第三位保持一致，方便后续维护和排错。第二个问题：ACL 为什么放 in 方向？回答模板是：以接口视角判断，进入该接口的流量才需要被过滤，办公访问财务的流量要进入 VLAN 20 接口，所以放 in。第三个问题：网络不通时怎么排查？按物理层到 VLAN，再到三层路由和 ACL 的顺序回答，提到具体 show 命令。

我见过太多配置全对但讲不出理由的课程设计，被老师一句“这配置哪来的”就打回。现在我做网络方案，习惯每写一段配置就反问自己一次：题面里哪句话让我这么写。这门课对以后做运维或 DevOps 的读者也很有用，你在云上看到的 VPC 和安全组，其实就是 VLAN 和 ACL 换了套名字，底层逻辑完全相通。希望你也能把这份课程设计做成一个讲得清楚、走到哪都用得上的作品。

本文还有配套的精品资源，点击获取