企业官网建设流程全解析

简介：这份资源是面向高校计算机网络课程学习者与课程设计参考者的校园网设计方案文档，针对“多部门、IP地址有限条件下如何完成网络规划”这一典型课设题目给出完整解答。压缩包内共1个doc文件，约1.65MB，内容以方案设计文档形式呈现，便于直接查阅与借鉴。文档围绕某高校三系及现教中心、行政共五个部门的组网需求展开，给出两套方案并比较取舍，涵盖私有地址与公网C类地址分配、子网划分、VLAN划分、接入层/汇聚层/核心层三层交换结构、NAT转换接入中国教育网、防火墙部署及传输介质选型等要点，并附硬件清单、软件清单与IP地址分配说明。已有2958人学习，适合需要完成校园网课设、理解网络规划与设备选型思路的读者参考。

1. 校园网设计方案怎么选：先看那 4 个 C 类地址够不够分

大二那年做计算机网络课程设计，题目发下来我第一反应是“不就画个拓扑图吗”，结果光 IP 地址分配这一项就卡了两天。题目给的条件很具体：某高校三个系各 255 个信息点，行政 32 个，现教中心 20 个，一共五个部门，但只申请到 4 个 C 类公网地址，还要通过 NAT 接入教育网。四个 C 类地址分给五个部门，这道算术题本身就是整个设计的胜负手。我见过不少同学直接一个部门一个 C 类往下发，发到第五个部门发现没地址了，回头改拓扑、改 VLAN、改路由，全部推倒重来。这篇就把我当时比过的两套方案摊开讲：为什么最后选了三层交换加 VLAN 加 NAT 的那套，地址怎么切、设备怎么配、哪里最容易翻车。新手能照着把课程设计交上去，熟手能看清每个取舍背后的判断依据。

2. 两套方案摆上台面：地址、广播域、成本三项硬碰硬

课程设计里给了两个方案，表面看差别就是“三个路由器还是两个路由器”，实际拆开看是三条完全不同的技术路线。我一般会先把两套方案的骨架画出来，再逐项对参数，不然很容易被“省一台设备”这种表面优势带偏。

2.1 方案一和方案二的真实差异在哪

方案一的核心动作是：三个系用私有地址 192.168.1.0/2.0/3.0，现教中心和行政共用 222.192.4.0 划子网，五个部门各划一个 VLAN，核心层用一台带 NAT 和防火墙功能的路由器加两台路由器做负载分担。方案二则是把 222.192.1.0、2.0、3.0 直接分给三个系，222.192.4.0 划子网给现教中心和行政，核心层只留一台带 NAT 的路由器，不划 VLAN。

差别看着不大，但落到实际运行上是三件事：第一，方案二把四个公网 C 类全用光了，核心层路由器自己反而没有地址可用，NAT 的出口地址从哪来是个硬伤；第二，方案二没有 VLAN，五个部门在二层上是同一个广播域，255 个信息点的系一广播，行政那 32 台机器跟着一起收；第三，方案二少两台路由器，钱是省了，但所有跨网段流量压在一台设备上，路由表还因为四个 C 类直连而变长。

2.2 三个维度逐项对比

我把当时做的对比表整理成下面这样，维度就取课程设计里真正会影响评分的三项：地址够不够用、广播域大不大、钱花多少。

这张表里最容易被忽略的是第一行。很多同学觉得“私有地址是备选”，其实题目给的条件已经决定了私有地址是必选：五个部门、四个公网地址，数学上就不够，除非你让两个部门挤一个子网。方案二的做法是把 222.192.4.0 切两半给行政和现教中心，剩下三个系各吃一个 C 类，看似刚好，但核心层那台做 NAT 的路由器接口地址只能从某个系的网段里借，借完之后那个系的可用地址就少一块，255 个信息点的系本来一个 C 类就紧巴巴，再被借走一段，地址池直接告急。

2.3 为什么最后落在方案一

结论不是“方案一设备多所以好”，而是方案一在地址规划上留了余量。三个系用 192.168.x.0/24，每个系 255 个信息点刚好一个 C 类私有段装下，公网侧只留 222.192.4.0 给行政和现教中心做子网划分，NAT 出口地址从 222.192.4.0 这个段里取，逻辑上自洽。方案二把公网地址全撒出去，NAT 反而没地址可用，这是设计顺序上的倒置。

另一个判断点是 VLAN。课程设计里五个部门物理位置分散，但行政和现教中心共用 222.192.4.0 的子网，如果不划 VLAN，这两个部门的广播会互相串。方案一给五个部门各划 VLAN，接入层交换机按部门归属划分端口，跨 VLAN 流量走三层交换机或路由器，广播域被压到单个 VLAN 内。这个动作在课程设计评分里是加分项，在实际校园网里也是标配。

成本上方案二确实省两台路由器，但省下来的钱换来的是单点故障和广播风暴风险。我当时在报告里写了一句“网络业务均分、路由器负载均衡”，其实更准确的说法是：三台路由器让跨网段流量有多个出口，单台挂了不至于全校断网。课程设计不考故障切换，但这个思路写进去，答辩时被问“为什么不用一台”就有话可说。

3. 地址怎么切：4 个 C 类撑起 5 个部门的分配账

地址分配是整个设计里最容易返工的部分，因为一旦子网划错，后面的 VLAN、路由、NAT 配置全要跟着改。我当时的做法是先画一张部门信息点表，再倒推每个部门需要多大的地址块，最后才动刀子切子网。

3.1 信息点倒推地址需求

题目给的信息点数是硬约束：计算机系、机械系、化工系各 255 个，行政 32 个，现教中心 20 个。255 个信息点意味着一个 /24 网段刚好够用（可用主机地址 254 个，加上网关和网络地址、广播地址，实际要留一点余量，但课程设计层面按 /24 算）。行政 32 个和现教中心 20 个加起来 52 个，一个 /24 切两半，每半 126 个可用地址，绰绰有余。

所以地址账是这样的：三个系各吃一个 /24 私有段，行政和现教中心合吃一个 /24 公网段切两个子网。四个 C 类里，222.192.1.0、2.0、3.0 本来可以分给三个系，但方案一选择让三个系走私有地址，把公网段省下来做 NAT 出口和行政、现教中心的地址。这个取舍的逻辑是：私有地址在 NAT 后面，外部看不到，安全性天然好一层；公网地址留给真正需要被外部访问或者需要独立子网划分的部门。

3.2 子网划分的具体算法

222.192.4.0/24 要切成两个子网，行政 32 个信息点、现教中心 20 个信息点。借 1 位主机位做子网号，子网掩码变成 255.255.255.128，两个子网分别是 222.192.4.0/25 和 222.192.4.128/25，每个子网 126 个可用地址。

这里有个细节要注意：原方案正文里写的是“222.192.1.0 的最后 8 位最高位做子网号，分配 222.192.1.129—222.192.1.160 给行政”，这个写法把子网号和主机号混在一起了，而且 222.192.1.0 和 222.192.4.0 前后不一致。我在报告里统一成 222.192.4.0/25 和 222.192.4.128/25，行政用第一个子网，现教中心用第二个子网，地址范围按 /25 的完整可用区间写，不截断到 32 或 20 个。这样写的好处是子网边界清晰，答辩时被问“为什么行政只用到 .126 而现教中心从 .129 开始”能直接答“/25 子网的自然边界”。

3.3 私有地址和公网地址的边界

三个系用 192.168.x.0/24，这些地址不会出现在教育网的路由表里，所有出校流量必须在核心层做 NAT 转换。NAT 的出口地址从 222.192.4.0/24 里取一个，比如 222.192.4.254 作为 NAT 池的对外地址。行政和现教中心本身就在 222.192.4.0/24 的子网里，它们出校流量是否也走 NAT，取决于教育网是否允许这两个子网直接路由。课程设计层面，我统一让所有部门出校流量走核心路由器的 NAT，简化配置，也符合“用 NAT 转换接入中国教育网”的题目要求。

这里有个容易翻车的点：如果三个系的私有地址不做 NAT，直接配默认路由指向核心路由器，核心路由器又没有 192.168.x.0 的回程路由，外部响应就回不来。所以 NAT 配置必须覆盖三个私有网段，不能只 NAT 行政和现教中心。我在报告里把 NAT 的 inside 接口配在连接三个系的汇聚口上，outside 接口配在连教育网的串口上，地址池用 222.192.4.254 单个地址做 PAT，这样 255 台机器共享一个公网地址出校，端口号区分会话。

4. 拓扑和设备怎么落地：三层交换加 VLAN 的配置骨架

拓扑结构题目里已经定了调：交换式千兆以太网做主干，百兆交换到桌面，星型树结构，三层交换机分层。我要做的是把这个骨架翻译成具体的设备连接和配置命令，让方案能跑起来而不是停在图纸上。

4.1 接入、汇聚、核心三层的设备账

按信息点数算设备：每个系 255 个信息点，24 端口交换机需要 11 台（11×24=264，留 9 个余量），再加一台 24 端口千兆上联的汇聚交换机。行政 32 个信息点用 2 台 24 端口接入交换机加 1 台汇聚交换机。现教中心 20 个信息点用 1 台 24 端口交换机，这台可以直接兼做接入和汇聚。

介质上，主机到接入层用五类双绞线，接入层到汇聚层用双绞线（100Mb/s），汇聚层到核心层用多模光纤（1000Mb/s）。题目正文里有一处写“接入层交换机与汇聚层交换机之间使用 100Mb/s 的双绞线连接”，另一处写“接入层到汇聚层和汇聚层到核心层使用多模光纤”，这两句是矛盾的。我的处理是以拓扑说明里的“汇聚到核心用光纤、接入到汇聚用双绞线”为准，因为 100Mb/s 电口跑双绞线是标准做法，千兆上联才需要光纤拉距离。

4.2 VLAN 划分和 Trunk 配置

五个部门各一个 VLAN，VLAN ID 按部门编号：VLAN 10 计算机系、VLAN 20 机械系、VLAN 30 化工系、VLAN 40 行政、VLAN 50 现教中心。接入层交换机按端口归属划 VLAN，上联口配成 Trunk 放行对应 VLAN。汇聚交换机做 VLAN 间路由或者把 Trunk 透传到核心路由器做单臂路由，课程设计层面两种都行，我选的是汇聚交换机做三层接口，减少核心路由器的压力。

# 以计算机系接入交换机为例，VLAN 10 划给 24 个接入端口 enable configure terminal vlan 10 name cs-dept exit interface range fastEthernet 0/1 - 24 switchport mode access switchport access vlan 10 exit # 上联口配 Trunk，放行 VLAN 10 interface gigabitEthernet 0/1 switchport mode trunk switchport trunk allowed vlan 10 exit

这段配置的关键在最后两行：Trunk 口必须显式放行 VLAN，默认只放行 VLAN 1，不放行的话跨交换机同 VLAN 不通。switchport trunk allowed vlan 10是白名单模式，只允许 VLAN 10 的帧通过，其他 VLAN 的帧被丢弃，这比all更安全，也避免广播帧串 VLAN。汇聚交换机上对应配switchport trunk allowed vlan 10,20,30,40,50，把五个部门的 VLAN 都放行到核心方向。

4.3 路由和 NAT 的配置顺序

路由配置的顺序很重要：先配直连网段，再配静态或动态路由，最后配 NAT。顺序反了会出现 NAT 转换了但回程路由没有的情况，表现为内网能出去、外部响应回不来。

# 核心路由器：先配接口地址和直连网段 interface fastEthernet 0/0 ip address 192.168.1.254 255.255.255.0 no shutdown exit interface fastEthernet 0/1 ip address 222.192.4.254 255.255.255.0 no shutdown exit # 再配到教育网的默认路由 ip route 0.0.0.0 0.0.0.0 222.192.4.1 # 最后配 NAT，把三个私有网段转成 222.192.4.254 出校 access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 1 permit 192.168.3.0 0.0.0.255 ip nat inside source list 1 interface fastEthernet 0/1 overload interface fastEthernet 0/0 ip nat inside exit interface fastEthernet 0/1 ip nat outside exit

overload就是 PAT，多个内网地址复用同一个公网地址的不同端口。access-list 1只放行三个私有网段，行政和现教中心本身在 222.192.4.0/24 里，不需要 NAT，这样配置避免了公网地址被二次转换。如果题目要求所有部门都走 NAT，把access-list 1加上permit 222.192.4.0 0.0.0.127和permit 222.192.4.128 0.0.0.127即可，但要注意 NAT 池地址不能和 inside 网段重叠。

动态路由部分，题目正文给了 EIGRP 的配置片段，router eigrp 20、network宣告网段、no auto-summary关自动汇总。课程设计里三个系和核心路由器之间跑 EIGRP 可以让路由表自动收敛，但要注意no auto-summary必须加，否则 192.168.x.0 会被汇总成 192.168.0.0/16，子网信息丢失。如果嫌 EIGRP 配置麻烦，静态路由也能交差，每个系一条默认路由指向核心，核心回程写三条静态路由，答辩时说明“规模小用静态、规模大用动态”即可。

5. 避坑清单：课程设计里最容易翻车的五个地方

这部分是我当时改了三版报告才理清的问题，每一条都是现象、原因、解决三件套，照着排查能省不少返工时间。

5.1 子网划分后地址范围写错

现象：报告里行政的地址范围写成 222.192.4.1~222.192.4.32，现教中心写成 222.192.4.129~222.192.4.148，答辩时被问“/25 子网为什么只用到 32 和 20 个地址”答不上来。原因：把信息点数当成了子网可用地址数，/25 子网有 126 个可用地址，信息点 32 个只是实际用量，地址范围应该按子网边界写全。解决：地址范围一律按子网的自然边界写，行政 222.192.4.1~222.192.4.126，现教中心 222.192.4.129~222.192.4.254，实际分配时再按信息点数取前 32 个和前 20 个。

5.2 VLAN 划了但 Trunk 没放行

现象：同部门跨交换机的主机 ping 不通，同交换机同 VLAN 的能通。原因：上联口默认只放行 VLAN 1，新划的 VLAN 10 没加进 allowed 列表。解决：每台接入交换机的上联 Trunk 口显式配switchport trunk allowed vlan加上本部门 VLAN，汇聚侧配全五个 VLAN。排查时用show interfaces trunk看 allowed 和 active 列表，active 里没有目标 VLAN 就是没放行。

5.3 NAT 配了但外部回不来

现象：内网主机能 ping 通教育网地址，但教育网 ping 不回内网。原因：NAT 只做了出方向转换，核心路由器上没有到 192.168.x.0 的回程路由，或者 NAT inside/outside 接口标反了。解决：先确认ip nat inside配在连内网的接口、ip nat outside配在连教育网的接口，再用show ip nat translations看转换表有没有条目。回程路由在 NAT 场景下其实不需要，因为 PAT 会维护会话表，但如果配了静态 NAT 就必须有回程路由。

5.4 设备数量和端口数对不上

现象：报告里写每个系 11 台接入交换机，但拓扑图上只画了 10 台，或者汇聚交换机端口数不够接 11 台上联。原因：255 个信息点除以 24 得 10.625，向上取整是 11 台，但 11 台接入交换机的上联口要占汇聚交换机的 11 个端口，汇聚交换机如果是 24 端口，扣掉上联核心的 1 个口，剩 23 个口够接 11 台，但三个系共用一个汇聚就不够。解决：每个系独立一台汇聚交换机，24 端口接 11 台接入绰绰有余；行政 2 台接入加 1 台汇聚，现教中心 1 台兼做汇聚，设备账按部门分开算，不要混在一起除。

5.5 动态路由自动汇总没关

现象：三个系的 192.168.x.0/24 在核心路由器上只看到一条 192.168.0.0/16，跨系访问时路由选错出口。原因：EIGRP 默认开启自动汇总，把连续的 C 类网段汇总成主类网络。解决：router eigrp下加no auto-summary，每个network宣告具体的 /24 网段而不是主类网段。验证用show ip route看路由表里是不是三条独立的 /24 条目。

6. 从课程设计到真实网络：我后来才想明白的三件事

这套方案交上去拿了不错的分数，但真正让我回头复盘的是工作后接触真实校园网运维的那几年。当时课程设计里几个“为了交作业”的写法，放到生产环境里是要出事的，这里说三个我后来才想明白的点，给正在做类似设计的同学一个参照。

第一件是地址规划的余量。课程设计里三个系各一个 /24 私有段，255 个信息点刚好塞满，看起来完美。但真实网络里信息点会增长，一个系今年 255 个，明年可能 300 个，/24 就不够了。我后来做规划会习惯性给每个部门留一个 /23 或者至少留一段连续的 /24 做扩展池，而不是卡着信息点数切。课程设计层面按 /24 写没问题，但报告里加一句“预留 192.168.10.0/24 作为扩展地址池”，答辩时就是加分项。

第二件是 NAT 的单点问题。方案一的核心路由器带 NAT，全校出校流量都压在这一台上，这台挂了全校断网。课程设计不考高可用，但真实网络里 NAT 设备要么做双机热备，要么把 NAT 下沉到汇聚层做分布式转换。我当时在报告里写“三台路由器负载均衡”，其实负载均衡的是跨网段路由，NAT 还是单点。后来我会在方案里补一句“NAT 设备建议双机部署，VRRP 做网关冗余”，这是从踩坑里长出来的意识。

第三件是 VLAN 和子网的对应关系。课程设计里五个部门五个 VLAN，行政和现教中心共用一个 /24 切两个子网，VLAN 40 对应 222.192.4.0/25，VLAN 50 对应 222.192.4.128/25，一一对应很清晰。但真实网络里经常出现一个 VLAN 跨多个子网、或者一个子网跨多个 VLAN 的情况，比如无线终端和有线终端划在不同 VLAN 但需要同网段。这种场景下三层交换机的 VLAN 接口要配 secondary IP，或者用超级 VLAN 做聚合。课程设计不涉及，但知道这个边界在哪，以后遇到就不会慌。

回过头看，这份课程设计最大的价值不是那几张拓扑图和配置命令，而是逼着我把“地址不够怎么办”这个约束从头到尾推了一遍。从 4 个 C 类地址倒推子网划分，从信息点数倒推设备数量，从 NAT 需求倒推公私网边界，每一步都是被约束逼出来的判断。后来我做任何网络方案，第一件事都是先把地址账算清楚，地址账算不明白，后面的拓扑和配置都是空中楼阁。从那以后我每次做地址规划都强制走一遍“信息点→子网大小→地址池余量→NAT 出口”的检查链，少一步就可能埋一个返工的坑。希望这份拆解能帮到正在做校园网课程设计的你，少改两版报告，多留点时间把配置跑通。

本文还有配套的精品资源，点击获取