简介这份PDF是计算机网络课程设计报告面向高校计算机相关专业学生与网络实验入门者围绕“校园网网络构建方案设计与实现”这一典型课题展开。报告针对两个地理分离校区、各2000余个信息点、仅4个C类地址222.191.1.0—222.191.4.0且学生公寓与教师子网需隔离的真实约束给出完整设计思路。资源包共1个PDF文件约1.45MB内容涵盖需求分析、设备选型、拓扑结构图、VLAN划分、静态/动态NAT与PAT配置、路由表设置及测试验证等环节并附有具体配置命令与实验拓扑示意。已有140人学习。读者可借此掌握VLAN隔离广播域、NAT缓解地址不足的工程方法获得可直接参考的课程设计框架与排错思路适合作为网络课程设计、实验报告撰写及校园网方案入门的实践范本。1. 校园网网络构建方案设计从一份课程设计报告到可落地的三层架构很多同学拿到「计算机网络课程设计报告-校园网网络构建方案设计和实现.pdf」这个题目时第一反应是去网上找一份现成的报告改改交差。但真正做过校园网运维的人都知道一份能落地的校园网构建方案核心不在报告排版而在三个东西拓扑怎么分层、VLAN 怎么划、路由和出口怎么配。我带过几届课程设计也参与过两个校区的网络改造见过太多方案在纸面上逻辑自洽一到 Packet Tracer 或 eNSP 里跑就各种不通。这篇笔记就按一线做法把校园网构建方案设计和实现拆成能照着复现的步骤先讲清三层架构为什么这么分再落到 VLAN 规划、路由配置、无线接入和出口策略最后给出验证方法和几个我踩过的坑。适合正在做课程设计的学生也适合刚接手校园网维护、需要一份可执行方案的初级工程师。2. 校园网三层架构为什么核心-汇聚-接入不能省校园网构建方案设计的第一步不是画图而是确定架构。很多课程设计报告里直接画一张扁平的大二层图所有交换机串在一起看起来简洁但这种结构在真实校园网里撑不过一个学期。原因很简单广播域太大、故障域太大、扩展性太差。常见做法是采用核心层-汇聚层-接入层三层架构这不是教科书为了凑章节编的而是被真实故障逼出来的。2.1 三层架构各自解决什么问题接入层直接面对终端负责端口密度、PoE 供电和端口安全。教学楼每层、宿舍楼每栋都有一台或几台接入交换机它们只做二层转发把终端流量汇聚到上行口。接入层的关键参数是端口 VLAN 划分和边缘端口配置比如开启 PortFast 和 BPDU Guard防止学生私接交换机导致环路。汇聚层是三层架构里最容易被课程设计忽略的一层。它的作用是终结 VLAN、做网关、跑路由协议、实施 ACL。一个校区通常按楼栋或功能区分成几个汇聚节点每个汇聚节点下挂若干接入交换机。汇聚层交换机需要支持三层转发常见配置是每个 VLAN 一个 SVI 接口作为网关VLAN 间路由在汇聚层完成。核心层只做高速转发不跑复杂策略。核心层交换机之间通常用双链路互联跑 OSPF 或静态路由出口路由器挂在核心层或单独旁挂。核心层的选型看背板带宽和冗余能力课程设计里用两台三层交换机做堆叠或 VRRP 就够。提示课程设计里如果设备数量有限可以把核心和汇聚合并成一台三层交换机但报告里要说明这是简化模型真实部署需要分离。2.2 用 Packet Tracer 搭出最小三层拓扑下面给出一个可以在 Packet Tracer 或 eNSP 里复现的最小拓扑配置。假设一个校区有三个 VLANVLAN 10 教学楼、VLAN 20 宿舍楼、VLAN 30 服务器区。核心交换机作为三层网关接入交换机做二层透传。先配置接入交换机以教学楼接入交换机为例enable configure terminal hostname Access-Teaching ! 创建 VLAN vlan 10 name Teaching vlan 20 name Dormitory vlan 30 name Server exit ! 配置上联口为 Trunk允许所有 VLAN 通过 interface GigabitEthernet0/1 switchport mode trunk switchport trunk allowed vlan 10,20,30 ! 配置终端接入口划入 VLAN 10 interface range FastEthernet0/1-20 switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable exit这段配置的逻辑是接入交换机不参与三层路由只负责把不同端口的流量打上对应 VLAN 标签通过 Trunk 口送到核心。switchport trunk allowed vlan明确放行哪些 VLAN避免不必要的广播泛洪。spanning-tree portfast让接终端的端口跳过监听学习状态插上网线就能通bpduguard enable在收到 BPDU 时直接关闭端口防止学生私接交换机形成环路。再配置核心交换机的三层接口和 DHCPenable configure terminal hostname Core-Switch ! 开启三层路由 ip routing ! 创建 VLAN vlan 10 vlan 20 vlan 30 exit ! 配置 SVI 作为各 VLAN 网关 interface Vlan10 ip address 192.168.10.1 255.255.255.0 no shutdown interface Vlan20 ip address 192.168.20.1 255.255.255.0 no shutdown interface Vlan30 ip address 192.168.30.1 255.255.255.0 no shutdown ! 配置 DHCP 地址池 ip dhcp pool VLAN10 network 192.168.10.0 255.255.255.0 default-router 192.168.10.1 dns-server 114.114.114.114 ip dhcp pool VLAN20 network 192.168.20.0 255.255.255.0 default-router 192.168.20.1 dns-server 114.114.114.114 exit ! 配置下联口为 Trunk interface GigabitEthernet0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20,30 exit核心交换机上ip routing是三层转发的开关不开这个SVI 之间不通。每个 SVI 的 IP 就是对应 VLAN 的网关地址终端把网关指向它。DHCP 池里default-router填 SVI 地址dns-server填一个可用的公共 DNS。下联口配成 Trunk 并封装 dot1q这是和接入交换机对接的标准做法。参数说明VLAN ID 和网段规划要提前定好建议按功能划分而不是按楼层比如教学、宿舍、办公、服务器、管理各一个 VLAN。网段用私有地址教学和宿舍可以用 /24服务器和管理可以用 /25 或 /26。网关地址统一用网段第一个可用地址方便记忆。2.3 出口路由和 NAT 怎么配校园网最终要访问外部网络出口路由器或防火墙负责 NAT 和默认路由。课程设计里常用一台路由器模拟出口enable configure terminal hostname Edge-Router ! 内网接口 interface GigabitEthernet0/0 ip address 192.168.1.2 255.255.255.0 no shutdown ! 外网接口模拟 ISP interface GigabitEthernet0/1 ip address 200.1.1.2 255.255.255.0 no shutdown ! 默认路由指向 ISP ip route 0.0.0.0 0.0.0.0 200.1.1.1 ! 回程路由指向核心交换机 ip route 192.168.10.0 255.255.255.0 192.168.1.1 ip route 192.168.20.0 255.255.255.0 192.168.1.1 ip route 192.168.30.0 255.255.255.0 192.168.1.1 ! NAT 配置 access-list 1 permit 192.168.0.0 0.0.255.255 ip nat inside source list 1 interface GigabitEthernet0/1 overload interface GigabitEthernet0/0 ip nat inside interface GigabitEthernet0/1 ip nat outside exit出口路由器的关键是默认路由和回程路由。默认路由把所有未知流量扔给 ISP回程路由告诉路由器内网网段怎么走。NAT 用 ACL 匹配内网地址overload表示复用外网接口地址做端口地址转换。课程设计里如果核心交换机直接连出口路由器核心上也要配一条默认路由指向出口路由器内网口。3. VLAN 规划与 IP 地址分配把 10.0.98.1 这类网关讲清楚热搜里经常出现「10.0.98.1校园网」这种具体网关地址说明很多人卡在网关配置上。校园网构建方案设计里VLAN 规划和 IP 地址分配是承上启下的一步规划错了后面路由和 ACL 全要返工。3.1 VLAN 划分的四个原则第一按功能不按物理位置。教学楼里可能有教室、办公室、机房如果按楼层划 VLAN办公室和教室混在一起后面做带宽策略和 ACL 很麻烦。正确做法是教学、办公、机房、宿舍、服务器、管理各一个 VLAN。第二VLAN ID 留出扩展空间。不要从 1 开始连续编号建议教学用 10-19宿舍用 20-29办公用 30-39服务器用 40-49管理用 50-59。每个区间留够后面加楼栋不用重新规划。第三网关统一放在汇聚或核心。接入交换机不做网关所有 SVI 配在汇聚或核心上。这样终端换接入交换机不影响网关VLAN 间路由也集中在一台设备上排错方便。第四管理 VLAN 单独隔离。交换机和路由器的管理地址放在独立 VLAN用 ACL 限制只有运维网段能访问。课程设计里可以简化但报告里要体现这个意识。3.2 IP 地址分配表和 DHCP 中继下面给出一张典型的校园网地址规划表可以直接用在课程设计报告里VLAN ID名称网段网关用途DHCP 方式10Teaching192.168.10.0/24192.168.10.1教学楼终端核心 DHCP20Dormitory192.168.20.0/24192.168.20.1宿舍终端核心 DHCP30Office192.168.30.0/24192.168.30.1办公终端核心 DHCP40Server192.168.40.0/25192.168.40.1服务器区静态50Management192.168.50.0/25192.168.50.1设备管理静态60Wireless192.168.60.0/23192.168.60.1无线终端核心 DHCP如果 DHCP 服务器不在核心交换机上而是在一台独立服务器上就需要在核心的 SVI 上配 DHCP 中继interface Vlan10 ip address 192.168.10.1 255.255.255.0 ip helper-address 192.168.40.10ip helper-address的作用是把终端的 DHCP 广播包转成单播发给指定服务器。参数填 DHCP 服务器的实际地址。注意中继要配在每个需要 DHCP 的 SVI 上漏配一个 VLAN那个网段的终端就拿不到地址。3.3 无线校园网搭建的 VLAN 和 AC 对接热搜里「无线校园网搭建」是高频词课程设计里也常要求包含无线部分。无线校园网的 VLAN 规划和有线类似但多了一个 AP 管理 VLAN 和业务 VLAN 的区分。AP 本身需要管理地址通常放在管理 VLAN无线终端拿到的地址放在业务 VLAN比如上面的 VLAN 60。AC 和核心交换机对接时AP 管理流量和无线业务流量通过 Trunk 口传递。核心交换机上要配 DHCP 池给 AP 和无线终端AC 上配置 SSID 和 VLAN 映射。课程设计里如果设备不支持 AC可以用胖 AP 模拟每个 AP 单独配 SSID 和 VLAN但报告里要说明胖瘦 AP 的差异。注意无线 VLAN 的网段要留够一个 /24 在密集教室可能不够用建议用 /23 或 /22。DHCP 租期可以设短一点比如 2 小时加快地址回收。4. 路由与 ACL 配置让不同 VLAN 该通的通、不该通的不通校园网构建方案设计里路由配置决定了 VLAN 间能不能通ACL 决定了哪些流量该被拦。这两块配错轻则部分网段不通重则整个校园网环路或广播风暴。4.1 静态路由和 OSPF 怎么选课程设计里如果只有一台核心交换机做网关VLAN 间路由是直连路由不需要额外配。但如果有多台汇聚交换机每台负责不同 VLAN就需要在汇聚之间跑路由。常见做法有两种静态路由和 OSPF。静态路由适合拓扑简单、变化少的场景。比如两台汇聚交换机各接一个校区核心上配两条静态路由指向两个汇聚ip route 192.168.20.0 255.255.255.0 192.168.1.2 ip route 192.168.30.0 255.255.255.0 192.168.1.3OSPF 适合拓扑复杂、需要自动收敛的场景。配置也不复杂router ospf 1 network 192.168.10.0 0.0.0.255 area 0 network 192.168.20.0 0.0.0.255 area 0 network 192.168.1.0 0.0.0.255 area 0network后面的反掩码要注意0.0.0.255 对应 /24。OSPF 的优点是链路故障自动切换缺点是配置不当容易引入次优路径。课程设计里如果只有两三台三层设备静态路由更可控报告里也更容易讲清楚。4.2 用 ACL 限制宿舍网访问服务器区校园网里常见的策略是教学和办公可以访问服务器区宿舍只能访问互联网和部分公共服务不能直接访问服务器区。用扩展 ACL 实现! 定义 ACL拒绝宿舍网访问服务器区允许其他 access-list 100 deny ip 192.168.20.0 0.0.0.255 192.168.40.0 0.0.0.127 access-list 100 permit ip any any ! 应用到宿舍网 SVI 的入方向 interface Vlan20 ip access-group 100 inACL 的匹配顺序是从上到下一旦匹配就执行动作不再往下看。所以拒绝条目要放在允许条目前面。in方向表示流量进入 SVI 时检查也就是从宿舍网发出的流量。如果配成out检查的是发往宿舍网的流量方向反了策略就不生效。参数说明通配符掩码 0.0.0.255 表示匹配 192.168.20.0/24 整个网段0.0.0.127 表示匹配 192.168.40.0/25。ACL 编号 100 属于扩展 ACL 范围100-199标准 ACL 用 1-99。应用 ACL 后可以用show ip access-lists查看匹配计数判断策略是否生效。4.3 端口安全和风暴控制校园网里学生私接设备、乱插网线是常态接入层必须做端口安全。常见配置interface range FastEthernet0/1-20 switchport port-security switchport port-security maximum 2 switchport port-security violation restrict switchport port-security mac-address sticky storm-control broadcast level 20 storm-control action shutdownport-security maximum 2限制每个端口最多学习两个 MAC 地址超过就触发违规。violation restrict表示违规时丢弃多余 MAC 的流量并告警不关闭端口如果改成shutdown则直接关端口更严格但可能误伤。mac-address sticky让交换机自动粘滞学习到的 MAC重启后不用重新学习。storm-control broadcast level 20表示广播流量超过端口带宽 20% 就触发动作action shutdown是关闭端口防止广播风暴扩散。5. 校园网构建避坑5 个我实际踩过的坑课程设计里配不通很多时候不是原理不懂而是细节没注意。下面这 5 个坑是我带课程设计和实际运维中反复遇到的每条按现象、原因、解决写。5.1 Trunk 口没放行对应 VLAN终端拿不到地址现象接入交换机配置看起来没问题终端插上网线后 DHCP 拿不到地址手动配 IP 也 ping 不通网关。原因Trunk 口默认只放行 VLAN 1如果没配switchport trunk allowed vlan其他 VLAN 的流量全被丢弃。或者配了 allowed vlan 但漏了某个 VLAN。解决在 Trunk 两端都检查show interfaces trunk确认 allowed VLAN 列表包含所有需要的 VLAN。建议显式配置 allowed vlan不要依赖默认。5.2 核心交换机没开 ip routingVLAN 间不通现象同一 VLAN 内终端能互通跨 VLAN ping 不通SVI 状态是 up 但路由表里没有直连路由。原因三层交换机默认可能没开启路由功能ip routing没配SVI 只是接口没有路由能力。解决全局配置模式下执行ip routing然后用show ip route确认直连网段出现在路由表里。5.3 DHCP 中继漏配跨网段拿不到地址现象核心交换机上配了 DHCP 池的 VLAN 能拿到地址用独立 DHCP 服务器的 VLAN 拿不到。原因DHCP 广播包不能跨网段需要在网关 SVI 上配ip helper-address指向 DHCP 服务器。解决每个需要 DHCP 的 SVI 都检查ip helper-address确认地址正确且 DHCP 服务器有对应网段的地址池。5.4 生成树收敛慢插网线后等半分钟才通现象终端插上网线后要等 30 秒左右才能 ping 通网关。原因接入端口默认参与生成树计算经历 Listening、Learning、Forwarding 三个状态每个状态默认 15 秒。解决接终端的端口配spanning-tree portfast跳过监听学习直接转发。上联口不要配 PortFast否则可能形成环路。5.5 ACL 方向配反策略完全不生效现象ACL 写好了应用到接口后该拦的流量没拦住该通的也不通。原因in和out方向搞反。in是进入接口的流量out是从接口发出的流量。在 SVI 上应用时in通常指从该 VLAN 终端发出的流量。解决用show ip interface VlanXX查看 ACL 应用方向结合show ip access-lists的匹配计数判断。不确定时先在测试环境验证再上生产。6. 验证与进阶用 Ping、Traceroute 和抓包确认方案真的通了方案配完不算完课程设计报告里要有验证章节。我一般按三层验证先测同 VLAN 互通再测跨 VLAN 路由最后测出口 NAT。每层用不同工具出问题能快速定位。6.1 分层验证命令和预期结果同 VLAN 验证两台同 VLAN 终端互 ping预期通。如果不通检查端口 VLAN 划分和端口状态。跨 VLAN 验证VLAN 10 终端 ping VLAN 20 网关预期通。如果不通检查核心ip routing和 SVI 状态。出口验证内网终端 ping 外网模拟地址预期通。如果不通检查默认路由、NAT 配置和 ACL。路由追踪用traceroute看路径确认流量经过预期的网关和出口。如果路径不对检查路由表。抓包验证在关键接口用debug ip packet或镜像抓包看数据包有没有被丢弃。课程设计里可以用 Packet Tracer 的模拟模式逐跳查看。6.2 一个容易被忽略的验证点DNS 和 HTTP很多课程设计只验证 ping 通但真实校园网还要验证 DNS 解析和 Web 访问。可以在服务器区搭一台模拟 Web 服务器内网终端用域名访问验证 DNS 和 HTTP 流量是否被 ACL 误拦。这一步能暴露 ACL 只放行 ICMP 没放行 TCP 的问题。6.3 我自己的习惯先画流量路径再配设备带了几届课程设计后我养成了一个习惯动手配设备之前先在纸上画出每个 VLAN 的流量路径标清楚从终端到网关、从网关到出口、从出口到外网各经过哪些接口和策略。路径画清楚了配置就是填空路径没画清楚配到一半就会乱。这个习惯帮我省了很多返工时间也让报告里的方案描述更有说服力。希望帮到你。本文还有配套的精品资源点击获取
校园网构建方案设计：三层架构、VLAN规划与路由配置实战
简介这份PDF是计算机网络课程设计报告面向高校计算机相关专业学生与网络实验入门者围绕“校园网网络构建方案设计与实现”这一典型课题展开。报告针对两个地理分离校区、各2000余个信息点、仅4个C类地址222.191.1.0—222.191.4.0且学生公寓与教师子网需隔离的真实约束给出完整设计思路。资源包共1个PDF文件约1.45MB内容涵盖需求分析、设备选型、拓扑结构图、VLAN划分、静态/动态NAT与PAT配置、路由表设置及测试验证等环节并附有具体配置命令与实验拓扑示意。已有140人学习。读者可借此掌握VLAN隔离广播域、NAT缓解地址不足的工程方法获得可直接参考的课程设计框架与排错思路适合作为网络课程设计、实验报告撰写及校园网方案入门的实践范本。1. 校园网网络构建方案设计从一份课程设计报告到可落地的三层架构很多同学拿到「计算机网络课程设计报告-校园网网络构建方案设计和实现.pdf」这个题目时第一反应是去网上找一份现成的报告改改交差。但真正做过校园网运维的人都知道一份能落地的校园网构建方案核心不在报告排版而在三个东西拓扑怎么分层、VLAN 怎么划、路由和出口怎么配。我带过几届课程设计也参与过两个校区的网络改造见过太多方案在纸面上逻辑自洽一到 Packet Tracer 或 eNSP 里跑就各种不通。这篇笔记就按一线做法把校园网构建方案设计和实现拆成能照着复现的步骤先讲清三层架构为什么这么分再落到 VLAN 规划、路由配置、无线接入和出口策略最后给出验证方法和几个我踩过的坑。适合正在做课程设计的学生也适合刚接手校园网维护、需要一份可执行方案的初级工程师。2. 校园网三层架构为什么核心-汇聚-接入不能省校园网构建方案设计的第一步不是画图而是确定架构。很多课程设计报告里直接画一张扁平的大二层图所有交换机串在一起看起来简洁但这种结构在真实校园网里撑不过一个学期。原因很简单广播域太大、故障域太大、扩展性太差。常见做法是采用核心层-汇聚层-接入层三层架构这不是教科书为了凑章节编的而是被真实故障逼出来的。2.1 三层架构各自解决什么问题接入层直接面对终端负责端口密度、PoE 供电和端口安全。教学楼每层、宿舍楼每栋都有一台或几台接入交换机它们只做二层转发把终端流量汇聚到上行口。接入层的关键参数是端口 VLAN 划分和边缘端口配置比如开启 PortFast 和 BPDU Guard防止学生私接交换机导致环路。汇聚层是三层架构里最容易被课程设计忽略的一层。它的作用是终结 VLAN、做网关、跑路由协议、实施 ACL。一个校区通常按楼栋或功能区分成几个汇聚节点每个汇聚节点下挂若干接入交换机。汇聚层交换机需要支持三层转发常见配置是每个 VLAN 一个 SVI 接口作为网关VLAN 间路由在汇聚层完成。核心层只做高速转发不跑复杂策略。核心层交换机之间通常用双链路互联跑 OSPF 或静态路由出口路由器挂在核心层或单独旁挂。核心层的选型看背板带宽和冗余能力课程设计里用两台三层交换机做堆叠或 VRRP 就够。提示课程设计里如果设备数量有限可以把核心和汇聚合并成一台三层交换机但报告里要说明这是简化模型真实部署需要分离。2.2 用 Packet Tracer 搭出最小三层拓扑下面给出一个可以在 Packet Tracer 或 eNSP 里复现的最小拓扑配置。假设一个校区有三个 VLANVLAN 10 教学楼、VLAN 20 宿舍楼、VLAN 30 服务器区。核心交换机作为三层网关接入交换机做二层透传。先配置接入交换机以教学楼接入交换机为例enable configure terminal hostname Access-Teaching ! 创建 VLAN vlan 10 name Teaching vlan 20 name Dormitory vlan 30 name Server exit ! 配置上联口为 Trunk允许所有 VLAN 通过 interface GigabitEthernet0/1 switchport mode trunk switchport trunk allowed vlan 10,20,30 ! 配置终端接入口划入 VLAN 10 interface range FastEthernet0/1-20 switchport mode access switchport access vlan 10 spanning-tree portfast spanning-tree bpduguard enable exit这段配置的逻辑是接入交换机不参与三层路由只负责把不同端口的流量打上对应 VLAN 标签通过 Trunk 口送到核心。switchport trunk allowed vlan明确放行哪些 VLAN避免不必要的广播泛洪。spanning-tree portfast让接终端的端口跳过监听学习状态插上网线就能通bpduguard enable在收到 BPDU 时直接关闭端口防止学生私接交换机形成环路。再配置核心交换机的三层接口和 DHCPenable configure terminal hostname Core-Switch ! 开启三层路由 ip routing ! 创建 VLAN vlan 10 vlan 20 vlan 30 exit ! 配置 SVI 作为各 VLAN 网关 interface Vlan10 ip address 192.168.10.1 255.255.255.0 no shutdown interface Vlan20 ip address 192.168.20.1 255.255.255.0 no shutdown interface Vlan30 ip address 192.168.30.1 255.255.255.0 no shutdown ! 配置 DHCP 地址池 ip dhcp pool VLAN10 network 192.168.10.0 255.255.255.0 default-router 192.168.10.1 dns-server 114.114.114.114 ip dhcp pool VLAN20 network 192.168.20.0 255.255.255.0 default-router 192.168.20.1 dns-server 114.114.114.114 exit ! 配置下联口为 Trunk interface GigabitEthernet0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,20,30 exit核心交换机上ip routing是三层转发的开关不开这个SVI 之间不通。每个 SVI 的 IP 就是对应 VLAN 的网关地址终端把网关指向它。DHCP 池里default-router填 SVI 地址dns-server填一个可用的公共 DNS。下联口配成 Trunk 并封装 dot1q这是和接入交换机对接的标准做法。参数说明VLAN ID 和网段规划要提前定好建议按功能划分而不是按楼层比如教学、宿舍、办公、服务器、管理各一个 VLAN。网段用私有地址教学和宿舍可以用 /24服务器和管理可以用 /25 或 /26。网关地址统一用网段第一个可用地址方便记忆。2.3 出口路由和 NAT 怎么配校园网最终要访问外部网络出口路由器或防火墙负责 NAT 和默认路由。课程设计里常用一台路由器模拟出口enable configure terminal hostname Edge-Router ! 内网接口 interface GigabitEthernet0/0 ip address 192.168.1.2 255.255.255.0 no shutdown ! 外网接口模拟 ISP interface GigabitEthernet0/1 ip address 200.1.1.2 255.255.255.0 no shutdown ! 默认路由指向 ISP ip route 0.0.0.0 0.0.0.0 200.1.1.1 ! 回程路由指向核心交换机 ip route 192.168.10.0 255.255.255.0 192.168.1.1 ip route 192.168.20.0 255.255.255.0 192.168.1.1 ip route 192.168.30.0 255.255.255.0 192.168.1.1 ! NAT 配置 access-list 1 permit 192.168.0.0 0.0.255.255 ip nat inside source list 1 interface GigabitEthernet0/1 overload interface GigabitEthernet0/0 ip nat inside interface GigabitEthernet0/1 ip nat outside exit出口路由器的关键是默认路由和回程路由。默认路由把所有未知流量扔给 ISP回程路由告诉路由器内网网段怎么走。NAT 用 ACL 匹配内网地址overload表示复用外网接口地址做端口地址转换。课程设计里如果核心交换机直接连出口路由器核心上也要配一条默认路由指向出口路由器内网口。3. VLAN 规划与 IP 地址分配把 10.0.98.1 这类网关讲清楚热搜里经常出现「10.0.98.1校园网」这种具体网关地址说明很多人卡在网关配置上。校园网构建方案设计里VLAN 规划和 IP 地址分配是承上启下的一步规划错了后面路由和 ACL 全要返工。3.1 VLAN 划分的四个原则第一按功能不按物理位置。教学楼里可能有教室、办公室、机房如果按楼层划 VLAN办公室和教室混在一起后面做带宽策略和 ACL 很麻烦。正确做法是教学、办公、机房、宿舍、服务器、管理各一个 VLAN。第二VLAN ID 留出扩展空间。不要从 1 开始连续编号建议教学用 10-19宿舍用 20-29办公用 30-39服务器用 40-49管理用 50-59。每个区间留够后面加楼栋不用重新规划。第三网关统一放在汇聚或核心。接入交换机不做网关所有 SVI 配在汇聚或核心上。这样终端换接入交换机不影响网关VLAN 间路由也集中在一台设备上排错方便。第四管理 VLAN 单独隔离。交换机和路由器的管理地址放在独立 VLAN用 ACL 限制只有运维网段能访问。课程设计里可以简化但报告里要体现这个意识。3.2 IP 地址分配表和 DHCP 中继下面给出一张典型的校园网地址规划表可以直接用在课程设计报告里VLAN ID名称网段网关用途DHCP 方式10Teaching192.168.10.0/24192.168.10.1教学楼终端核心 DHCP20Dormitory192.168.20.0/24192.168.20.1宿舍终端核心 DHCP30Office192.168.30.0/24192.168.30.1办公终端核心 DHCP40Server192.168.40.0/25192.168.40.1服务器区静态50Management192.168.50.0/25192.168.50.1设备管理静态60Wireless192.168.60.0/23192.168.60.1无线终端核心 DHCP如果 DHCP 服务器不在核心交换机上而是在一台独立服务器上就需要在核心的 SVI 上配 DHCP 中继interface Vlan10 ip address 192.168.10.1 255.255.255.0 ip helper-address 192.168.40.10ip helper-address的作用是把终端的 DHCP 广播包转成单播发给指定服务器。参数填 DHCP 服务器的实际地址。注意中继要配在每个需要 DHCP 的 SVI 上漏配一个 VLAN那个网段的终端就拿不到地址。3.3 无线校园网搭建的 VLAN 和 AC 对接热搜里「无线校园网搭建」是高频词课程设计里也常要求包含无线部分。无线校园网的 VLAN 规划和有线类似但多了一个 AP 管理 VLAN 和业务 VLAN 的区分。AP 本身需要管理地址通常放在管理 VLAN无线终端拿到的地址放在业务 VLAN比如上面的 VLAN 60。AC 和核心交换机对接时AP 管理流量和无线业务流量通过 Trunk 口传递。核心交换机上要配 DHCP 池给 AP 和无线终端AC 上配置 SSID 和 VLAN 映射。课程设计里如果设备不支持 AC可以用胖 AP 模拟每个 AP 单独配 SSID 和 VLAN但报告里要说明胖瘦 AP 的差异。注意无线 VLAN 的网段要留够一个 /24 在密集教室可能不够用建议用 /23 或 /22。DHCP 租期可以设短一点比如 2 小时加快地址回收。4. 路由与 ACL 配置让不同 VLAN 该通的通、不该通的不通校园网构建方案设计里路由配置决定了 VLAN 间能不能通ACL 决定了哪些流量该被拦。这两块配错轻则部分网段不通重则整个校园网环路或广播风暴。4.1 静态路由和 OSPF 怎么选课程设计里如果只有一台核心交换机做网关VLAN 间路由是直连路由不需要额外配。但如果有多台汇聚交换机每台负责不同 VLAN就需要在汇聚之间跑路由。常见做法有两种静态路由和 OSPF。静态路由适合拓扑简单、变化少的场景。比如两台汇聚交换机各接一个校区核心上配两条静态路由指向两个汇聚ip route 192.168.20.0 255.255.255.0 192.168.1.2 ip route 192.168.30.0 255.255.255.0 192.168.1.3OSPF 适合拓扑复杂、需要自动收敛的场景。配置也不复杂router ospf 1 network 192.168.10.0 0.0.0.255 area 0 network 192.168.20.0 0.0.0.255 area 0 network 192.168.1.0 0.0.0.255 area 0network后面的反掩码要注意0.0.0.255 对应 /24。OSPF 的优点是链路故障自动切换缺点是配置不当容易引入次优路径。课程设计里如果只有两三台三层设备静态路由更可控报告里也更容易讲清楚。4.2 用 ACL 限制宿舍网访问服务器区校园网里常见的策略是教学和办公可以访问服务器区宿舍只能访问互联网和部分公共服务不能直接访问服务器区。用扩展 ACL 实现! 定义 ACL拒绝宿舍网访问服务器区允许其他 access-list 100 deny ip 192.168.20.0 0.0.0.255 192.168.40.0 0.0.0.127 access-list 100 permit ip any any ! 应用到宿舍网 SVI 的入方向 interface Vlan20 ip access-group 100 inACL 的匹配顺序是从上到下一旦匹配就执行动作不再往下看。所以拒绝条目要放在允许条目前面。in方向表示流量进入 SVI 时检查也就是从宿舍网发出的流量。如果配成out检查的是发往宿舍网的流量方向反了策略就不生效。参数说明通配符掩码 0.0.0.255 表示匹配 192.168.20.0/24 整个网段0.0.0.127 表示匹配 192.168.40.0/25。ACL 编号 100 属于扩展 ACL 范围100-199标准 ACL 用 1-99。应用 ACL 后可以用show ip access-lists查看匹配计数判断策略是否生效。4.3 端口安全和风暴控制校园网里学生私接设备、乱插网线是常态接入层必须做端口安全。常见配置interface range FastEthernet0/1-20 switchport port-security switchport port-security maximum 2 switchport port-security violation restrict switchport port-security mac-address sticky storm-control broadcast level 20 storm-control action shutdownport-security maximum 2限制每个端口最多学习两个 MAC 地址超过就触发违规。violation restrict表示违规时丢弃多余 MAC 的流量并告警不关闭端口如果改成shutdown则直接关端口更严格但可能误伤。mac-address sticky让交换机自动粘滞学习到的 MAC重启后不用重新学习。storm-control broadcast level 20表示广播流量超过端口带宽 20% 就触发动作action shutdown是关闭端口防止广播风暴扩散。5. 校园网构建避坑5 个我实际踩过的坑课程设计里配不通很多时候不是原理不懂而是细节没注意。下面这 5 个坑是我带课程设计和实际运维中反复遇到的每条按现象、原因、解决写。5.1 Trunk 口没放行对应 VLAN终端拿不到地址现象接入交换机配置看起来没问题终端插上网线后 DHCP 拿不到地址手动配 IP 也 ping 不通网关。原因Trunk 口默认只放行 VLAN 1如果没配switchport trunk allowed vlan其他 VLAN 的流量全被丢弃。或者配了 allowed vlan 但漏了某个 VLAN。解决在 Trunk 两端都检查show interfaces trunk确认 allowed VLAN 列表包含所有需要的 VLAN。建议显式配置 allowed vlan不要依赖默认。5.2 核心交换机没开 ip routingVLAN 间不通现象同一 VLAN 内终端能互通跨 VLAN ping 不通SVI 状态是 up 但路由表里没有直连路由。原因三层交换机默认可能没开启路由功能ip routing没配SVI 只是接口没有路由能力。解决全局配置模式下执行ip routing然后用show ip route确认直连网段出现在路由表里。5.3 DHCP 中继漏配跨网段拿不到地址现象核心交换机上配了 DHCP 池的 VLAN 能拿到地址用独立 DHCP 服务器的 VLAN 拿不到。原因DHCP 广播包不能跨网段需要在网关 SVI 上配ip helper-address指向 DHCP 服务器。解决每个需要 DHCP 的 SVI 都检查ip helper-address确认地址正确且 DHCP 服务器有对应网段的地址池。5.4 生成树收敛慢插网线后等半分钟才通现象终端插上网线后要等 30 秒左右才能 ping 通网关。原因接入端口默认参与生成树计算经历 Listening、Learning、Forwarding 三个状态每个状态默认 15 秒。解决接终端的端口配spanning-tree portfast跳过监听学习直接转发。上联口不要配 PortFast否则可能形成环路。5.5 ACL 方向配反策略完全不生效现象ACL 写好了应用到接口后该拦的流量没拦住该通的也不通。原因in和out方向搞反。in是进入接口的流量out是从接口发出的流量。在 SVI 上应用时in通常指从该 VLAN 终端发出的流量。解决用show ip interface VlanXX查看 ACL 应用方向结合show ip access-lists的匹配计数判断。不确定时先在测试环境验证再上生产。6. 验证与进阶用 Ping、Traceroute 和抓包确认方案真的通了方案配完不算完课程设计报告里要有验证章节。我一般按三层验证先测同 VLAN 互通再测跨 VLAN 路由最后测出口 NAT。每层用不同工具出问题能快速定位。6.1 分层验证命令和预期结果同 VLAN 验证两台同 VLAN 终端互 ping预期通。如果不通检查端口 VLAN 划分和端口状态。跨 VLAN 验证VLAN 10 终端 ping VLAN 20 网关预期通。如果不通检查核心ip routing和 SVI 状态。出口验证内网终端 ping 外网模拟地址预期通。如果不通检查默认路由、NAT 配置和 ACL。路由追踪用traceroute看路径确认流量经过预期的网关和出口。如果路径不对检查路由表。抓包验证在关键接口用debug ip packet或镜像抓包看数据包有没有被丢弃。课程设计里可以用 Packet Tracer 的模拟模式逐跳查看。6.2 一个容易被忽略的验证点DNS 和 HTTP很多课程设计只验证 ping 通但真实校园网还要验证 DNS 解析和 Web 访问。可以在服务器区搭一台模拟 Web 服务器内网终端用域名访问验证 DNS 和 HTTP 流量是否被 ACL 误拦。这一步能暴露 ACL 只放行 ICMP 没放行 TCP 的问题。6.3 我自己的习惯先画流量路径再配设备带了几届课程设计后我养成了一个习惯动手配设备之前先在纸上画出每个 VLAN 的流量路径标清楚从终端到网关、从网关到出口、从出口到外网各经过哪些接口和策略。路径画清楚了配置就是填空路径没画清楚配到一半就会乱。这个习惯帮我省了很多返工时间也让报告里的方案描述更有说服力。希望帮到你。本文还有配套的精品资源点击获取