简介这份文档面向高校计算机网络课程设计场景围绕校园网方案设计这一典型课题给出了一套可直接参考的完整设计思路适合正在做大二网络课设或需要理解中小型园区网规划的学生使用。压缩包内为1个doc文件整体约1.65MB内容以方案论述与配置说明为主便于在Word中阅读、摘录和二次整理。文档从需求分析入手针对三个系、现教中心与行政共五个部门、仅申请到4个C类IP地址的条件提出两套方案并作比较涵盖私有地址与NAT转换、VLAN划分、三层交换结构、接入汇聚核心分层设计、传输介质选型及IP地址子网划分等内容还附有硬件与软件清单、拓扑结构说明能帮助读者理清地址分配与设备选型的取舍逻辑。目前已有2958人学习可作为课程设计报告撰写与答辩准备的参考材料。1. 校园网设计方案从四个C类地址到五个部门的落地推演某高校计算机系、机械系、化工系各 255 个信息点行政 32 个、现教中心 20 个手里只有四个 C 类公网地址还要通过 NAT 接入教育网。这道题真正卡人的地方不是画拓扑而是地址不够分、广播域太大、核心层没有公网地址可用。校园网的设计方案如果只堆设备清单答辩时老师一句“为什么不用私有地址”就能问穿。这套方案面向正在做计算机网络课程设计的学生也适合需要交一份可落地网络方案的从业者参考重点讲清楚地址规划、VLAN 划分、三层交换结构和 NAT 出口怎么串成一条能验收的链路。2. 需求拆解与地址规划为什么私有地址加 NAT 是唯一稳妥解先把题设里的数字摊开看。三个系各 255 个信息点行政 32 个现教中心 20 个合计 817 个信息点。四个 C 类地址满打满算 4×2541016 个可用主机地址表面看够但公网地址不能这么用——每个系 255 个点意味着一个 C 类地址刚好卡在边界上再算上网络号、广播地址和网关实际可用地址会非常紧张。更关键的是核心层路由器本身也需要地址出口设备、防火墙、服务器区都要占地址。四个 C 类地址如果全部分给部门核心层就没有公网地址可用了这是方案二最致命的漏洞。2.1 公网地址与私有地址的分工逻辑我一般会这样切三个系用私有地址段 192.168.1.0/24、192.168.2.0/24、192.168.3.0/24各自一个 C 类私有空间255 个信息点刚好落在 /24 的可用范围内。行政和现教中心共用 222.192.4.0/24 做子网划分行政 32 个点用 /26 或 /27现教中心 20 个点用 /27剩余地址留给服务器区和设备管理。222.192.1.0、222.192.2.0、222.192.3.0 这三个公网地址不直接下发给终端而是留给 NAT 地址池和出口设备使用。这样做的原因是私有地址在内部随便规划不受公网地址数量约束NAT 在出口做一次转换外部看到的是有限的公网地址内部终端数量不受影响。这里有个容易翻车的点很多同学把 222.192.1.0 直接分给计算机系结果 255 个信息点加上网关和服务器地址不够用又回头改方案。正确的做法是内部一律私有地址公网地址只出现在 NAT 池和出口链路上。2.2 子网划分的具体计算行政 32 个信息点需要至少 32 个可用主机地址。用 222.192.4.0/24 划出 /26 子网每个 /26 有 62 个可用地址行政拿 222.192.4.0/26可用范围 222.192.4.1 到 222.192.4.62。现教中心 20 个点拿 222.192.4.64/27可用范围 222.192.4.65 到 222.192.4.94。剩下的 222.192.4.96/27 到 222.192.4.224/27 可以留给服务器区、网络管理地址和后续扩展。部门网络地址子网掩码可用主机范围用途计算机系192.168.1.0255.255.255.0192.168.1.1–192.168.1.254内部私有地址机械系192.168.2.0255.255.255.0192.168.2.1–192.168.2.254内部私有地址化工系192.168.3.0255.255.255.0192.168.3.1–192.168.3.254内部私有地址行政222.192.4.0255.255.255.192222.192.4.1–222.192.4.62公网子网现教中心222.192.4.64255.255.255.224222.192.4.65–222.192.4.94公网子网NAT 地址池222.192.1.0/24 等255.255.255.0按需分配出口转换这张表是整份方案的骨架后面所有 VLAN、路由、NAT 配置都围绕它展开。地址规划一旦定下来拓扑和设备选型才有依据。2.3 为什么不用方案二的扁平结构方案二把四个公网地址直接分给五个部门核心层路由器没有地址广播域覆盖整个校园网。800 多个信息点在一个广播域里ARP 广播、DHCP 广播会把接入层交换机的背板带宽吃掉一大块。路由表方面扁平结构下每台路由器都要维护所有网段的路由表项冗长收敛慢。方案一用私有地址加 VLAN每个部门一个广播域广播流量被限制在接入层核心层只负责三层转发路由表清晰。这是选方案一的核心理由不是设备多就好而是广播域和地址空间必须解耦。3. 总体架构设计三层交换结构与 VLAN 划分的配合校园网采用核心层、汇聚层、接入层三层结构星型树拓扑。核心层放一台带 NAT 和防火墙功能的路由器负责出口转换和安全管理汇聚层每个部门一台三层交换机做 VLAN 间路由接入层用 24 端口百兆交换机堆叠负责终端接入。这个结构的好处是每一层职责单一接入层只做二层转发汇聚层做三层网关核心层做出口策略出了问题能快速定位是哪一层的事。3.1 三层结构的设备角色与连接介质接入层到汇聚层用五类双绞线百兆速率单段不超过 100 米满足楼层内布线需求。汇聚层到核心层用多模光纤千兆速率解决楼宇间距离超过双绞线限制的问题。核心层到防火墙、防火墙到出口路由器用百兆双绞线出口带宽通常不会超过百兆这里不需要千兆。服务器挂在核心层交换机上方便全校访问也便于做访问控制。设备数量按信息点算每个系 255 个点24 端口交换机实际可用 23 个口留一个上联需要 12 台才能覆盖方案里写 11 台接入加 1 台汇聚是把部分交换机做堆叠或者双上联来凑端口数。行政 32 个点用 2 台 24 口接入交换机现教中心 20 个点用 1 台 24 口交换机。汇聚层每个部门 1 台三层交换机核心层 1 台路由器和 1 台核心交换机。3.2 VLAN 划分与网关设置五个部门各划一个 VLANVLAN 10 给计算机系VLAN 20 给机械系VLAN 30 给化工系VLAN 40 给行政VLAN 50 给现教中心。每个 VLAN 的网关设在汇聚层三层交换机上用 SVI 接口实现。这样同一个部门内部二层转发跨部门走三层路由广播域被限制在单个 VLAN 内。# 以计算机系汇聚交换机为例创建 VLAN 并配置 SVI 网关 vlan 10 name jsj exit interface vlan 10 ip address 192.168.1.254 255.255.255.0 no shutdown exit # 接入层上联口配置为 trunk允许对应 VLAN 通过 interface gigabitEthernet 0/1 switchport mode trunk switchport trunk allowed vlan 10 exit这段配置的关键在 SVI 地址192.168.1.254 作为计算机系 255 台主机的默认网关主机地址从 192.168.1.1 到 192.168.1.253 分配。trunk 口只放行本部门 VLAN避免不必要的广播流量串到其他 VLAN。接入层交换机不需要配 IP纯二层转发管理地址可以单独划一个管理 VLAN这里不展开。3.3 核心层与出口的衔接核心层路由器承担两个职责一是作为全校的默认网关出口二是做 NAT 转换。内部所有私有地址在出教育网之前统一转换成 222.192.1.0/24 地址池里的公网地址。防火墙串在路由器和教育网之间做访问控制策略比如只允许 HTTP、DNS、邮件端口出站阻断其他不必要的流量。# 核心路由器 NAT 配置示例以 Cisco 风格命令示意 interface gigabitEthernet 0/0 ip address 222.192.1.1 255.255.255.0 ip nat outside exit interface gigabitEthernet 0/1 ip address 10.0.0.1 255.255.255.0 ip nat inside exit ip nat pool campus 222.192.1.10 222.192.1.200 netmask 255.255.255.0 ip nat inside source list 1 pool campus overload access-list 1 permit 192.168.0.0 0.0.255.255 access-list 1 permit 222.192.4.0 0.0.0.255ip nat inside和ip nat outside标定内外接口overload表示端口复用多个内部地址共用一个公网地址的不同端口。访问列表 1 匹配所有内部私有地址和行政、现教中心的公网子网确保它们出网时都走 NAT。这里要注意行政和现教中心虽然用的是公网子网但如果不做 NAT教育网侧的路由未必认识 222.192.4.0/24 的回程路径统一走 NAT 更稳妥。4. 关键模块实现路由、NAT 与安全策略的配置细节方案落到设备上最容易出问题的是路由配置和 NAT 的匹配顺序。很多同学配完 NAT 发现内网能通、外网不通或者外网能 ping 通网关但访问不了网站根子都在路由和 NAT 的先后关系上。这一章把动态路由、静态路由、NAT 转换和防火墙策略拆开讲每个配置后面说清楚为什么这么写。4.1 动态路由与静态路由的分工校园网内部用 EIGRP 或 OSPF 做动态路由汇聚层和核心层之间交换路由信息。EIGRP 配置简单适合课程设计场景。核心路由器上配置默认路由指向教育网出口同时把默认路由重分发到内部动态路由协议里让汇聚层知道出网方向。# 核心路由器 EIGRP 配置 router eigrp 20 network 10.0.0.0 network 222.192.1.0 network 222.192.4.0 no auto-summary exit # 默认路由指向教育网出口 ip route 0.0.0.0 0.0.0.0 222.192.1.254 # 将默认路由重分发进 EIGRP router eigrp 20 redistribute static exitno auto-summary必须加否则 EIGRP 会把 222.192.4.0/26 和 222.192.4.64/27 自动汇总成 222.192.4.0/24子网划分就白做了。redistribute static让内部路由器学到默认路由否则汇聚层不知道往哪转发外网流量。这两条是血泪经验漏一条就会出现“内网通、外网不通”的玄学问题。4.2 NAT 转换的匹配顺序与地址池设计NAT 的匹配顺序是先匹配 route-map再匹配 access-list最后才走地址池。课程设计里通常不需要 route-map直接用 access-list 匹配内部地址。地址池用 222.192.1.10 到 222.192.1.200留出前后各一段给设备管理和保留地址。overload开启端口复用800 多个终端同时上网时单个公网地址的端口号够用但并发连接数高的时候建议多放几个地址在池子里。# 查看 NAT 转换表排查转换是否生效 show ip nat translations # 查看 NAT 统计确认匹配计数 show ip nat statisticsshow ip nat translations能看到内部地址和公网地址的映射关系如果表里是空的说明流量没匹配上 access-list或者 inside/outside 接口标反了。show ip nat statistics里的 hits 计数能看出有多少流量走了 NATmisses 高说明匹配规则有问题。这两个命令是排查 NAT 问题的黑匣子答辩时被问到“怎么证明 NAT 生效了”直接展示转换表就行。4.3 防火墙策略与访问控制防火墙串在核心路由器和教育网之间默认拒绝所有入站流量只放行已建立的会话和必要的服务端口。出站方向允许 HTTP、HTTPS、DNS、SMTP、POP3 等常用协议阻断 P2P 和未授权端口。服务器区单独划一个 DMZ 口对外提供 WWW 和邮件服务DMZ 到内网的访问要严格限制防止服务器被攻破后横向渗透。# 防火墙策略示意以常见 ACL 风格表达 access-list 100 permit tcp any any eq 80 access-list 100 permit tcp any any eq 443 access-list 100 permit udp any any eq 53 access-list 100 permit tcp any any eq 25 access-list 100 deny ip any any log interface outside ip access-group 100 in exitdeny ip any any log放在最后记录被拒绝的流量方便排查异常访问。log关键字会消耗防火墙 CPU课程设计环境流量不大可以开生产环境要控制日志级别。这里的原则是默认拒绝、按需放行不要图省事写permit ip any any答辩时老师一眼就能看出安全策略是摆设。4.4 服务器区与核心层的连接服务器挂在核心层交换机上单独划 VLAN 60网段用 222.192.4.96/27网关设在核心交换机上。WWW、邮件、FTP 服务器各占一个地址对外发布时在防火墙上做静态 NAT 映射把公网地址的 80 端口映射到内部服务器的 80 端口。这样外部访问的是公网地址实际服务跑在内网服务器上安全性和可管理性都好。# 静态 NAT 映射公网 222.192.1.5:80 映射到内部 222.192.4.97:80 ip nat inside source static tcp 222.192.4.97 80 222.192.1.5 80静态 NAT 和动态 NAT 可以共存静态映射优先级更高。配置完用show ip nat translations确认静态表项存在再从外部 telnet 测试端口连通性。这一步是答辩演示的加分项能证明方案不只是纸上画图。5. 避坑与常见问题课程设计里最容易翻车的五个点课程设计的设备是模拟器跑的和真实设备有差异加上题目条件卡得死几个地方特别容易出错。下面五条是按“现象、原因、解决”整理的每条都对应我见过或自己踩过的坑。5.1 子网划分后地址不够用现象行政 32 个点配了 /27 子网可用地址只有 30 个配到第 31 台机器时地址冲突。原因/27 的可用主机数是 2^5-23032 个信息点需要至少 62 个可用地址的 /26。解决行政用 /26现教中心用 /27重新核对每个子网的主机数留出网关和保留地址。规划时按“信息点数×1.2”估算地址需求别卡着边界算。5.2 VLAN 间路由不通现象计算机系能 ping 通本部门网关但 ping 不通机械系的机器。原因汇聚层交换机没开ip routing或者 SVI 接口状态是 down或者 trunk 口没放行对应 VLAN。解决先在汇聚层show ip route看有没有直连网段再show interfaces vlan 10看 SVI 是否 up最后检查 trunk 的allowed vlan列表。三层交换机默认不开路由功能这条命令漏了是最常见的翻车原因。5.3 NAT 配完外网还是不通现象内网主机能 ping 通核心路由器内口但 ping 不通教育网地址。原因默认路由没配、NAT 的 inside/outside 标反、access-list 没匹配内部网段三者必居其一。解决按顺序查show ip route看默认路由、show ip nat statistics看匹配计数、show run interface看接口标记。我一般会先在核心路由器上 ping 教育网网关通了再查 NAT把问题范围缩小到转换环节。5.4 EIGRP 自动汇总吃掉子网现象行政和现教中心互相 ping 不通但各自网关都正常。原因EIGRP 默认开启自动汇总把 222.192.4.0/26 和 222.192.4.64/27 汇总成 222.192.4.0/24 发布出去对端路由器只看到汇总路由回包走错接口。解决在 EIGRP 进程下加no auto-summary并在接口上passive-interface掉不需要跑邻居的接口。汇总问题在模拟器里不一定报错但真实设备上一定出问题配置时养成关自动汇总的习惯。5.5 广播风暴拖垮接入层现象某个系的一台接入交换机下挂机器频繁掉线交换机 CPU 飙高。原因接入层没有做广播抑制或者有环路没开 STP。解决接入层全局开spanning-tree mode rapid-pvst上联口配spanning-tree guard loop每个端口加storm-control broadcast level 20。课程设计里拓扑简单不容易出环但答辩时被问到“怎么防广播风暴”能答出 STP 加风暴抑制就是加分项。6. 验收与答辩怎么用一张表证明方案能跑通验收不是把设备配通就完事得有一套能展示的证据链。我一般会准备一张验收表把每个测试项、预期结果、实际结果、验证命令列清楚答辩时按表逐项演示比口头讲拓扑有说服力。测试项预期结果验证命令通过标准VLAN 隔离跨部门 ping 不通ping 192.168.2.1从 VLAN10 发起超时VLAN 间路由跨部门经网关可达tracert 192.168.2.1第一跳为 192.168.1.254子网划分行政和现教中心不同子网show ip route看到 /26 和 /27 两条直连NAT 转换内网访问教育网地址show ip nat translations有映射表项默认路由核心路由器可达教育网ping 222.192.1.254通防火墙策略未授权端口被阻断telnet 公网地址 23拒绝服务器发布外部访问 WWW浏览器访问公网映射地址页面打开这张表里的每一项都要在模拟器里实际跑一遍截图存档。答辩时老师问“你怎么证明 NAT 生效了”直接打开转换表截图问“广播域怎么控制的”展示 VLAN 配置和 STP 状态。证据比描述管用。还有一个技巧提前准备一份“故障注入”演示。比如故意把某台接入交换机的 trunk 口 shutdown展示跨部门不通再恢复配置展示恢复过程。这能证明你理解故障排查链路而不是背配置命令。我当年答辩时被问到“如果行政的网关挂了怎么办”现场用 VRRP 加了一台备份网关演示切换虽然题目没要求但这一手让评委记住了。从那以后我每次做网络方案都会在交付前强制走一遍“配置、验证、故障注入”三步配置写完不算完验证命令跑通才算一半能复现故障并恢复才算真正掌握。这套校园网方案的结构——地址规划先行、三层结构分工、NAT 出口兜底、验收表收尾——放到其他课程设计里也能套用改改地址和端口就行。希望帮到你。本文还有配套的精品资源点击获取