企业官网建设流程全解析

简介：这份文档面向计算机网络相关专业学生与课程设计初学者，围绕某高校校园网建设任务，给出从需求分析到方案取舍的完整设计参考，可用于课程设计撰写、网络规划入门与实验拓扑构思。压缩包内为1个doc文件，约1.65MB，正文涵盖三个系及行政、现教中心的组网需求，4个C类IP地址的子网划分与私有地址分配，VLAN划分、接入—汇聚—核心三层结构、NAT接入中国教育网等关键内容。文中还比较两种方案在路由器数量、广播域、路由表与地址利用率上的差异，并列出硬件清单、软件清单、传输介质选型及IP地址分配表，便于读者理解交换式千兆以太网主干的落地思路。该资源已有2959人学习下载，适合需要参考完整校园网课程设计框架、查阅设备配置与方案论证写法的读者。

1. 4 个 C 类地址要喂 5 个部门：校园网设计的第一道算术题

拿到这道校园网的设计题，绝大多数人会先去画拓扑图，其实真正卡住人的是一道减法：申请下来 4 个 C 类地址，要喂饱 5 个部门，而每个系报上来的信息点是 255 个。255 几乎是照着一个 C 类地址的可用主机数写出来的，一个不多一个不少，任何“再借一位划子网”的念头都会当场翻车。第 5 个部门从哪弄地址，这个看似只是填表的问题，实际上决定了后面所有岔路口：私有地址要不要上、NAT 挂在哪、VLAN 划不划、核心层放一台还是三台路由器。把这道算术题算明白，剩下的设计基本是被它推着走的。

2. 子网划分：222.192.4.0 为什么被切成两个 /25

2.1 254 与 255 之间差的那一个地址

C 类地址主机位 8 位，2^8 = 256 个编码，扣掉全 0 的网络地址和全 1 的广播地址，可用主机地址是 254 个。题设每个系 255 个信息点，正好比可用地址多一个。这个“多一”看着像出题人凑整，落在真实工程里却是个经典死结：信息点数一旦顶到 254 附近，掩码就必须动。

一份合格的方案不会假装这个差值不存在，通常会走两条路。第一条是把掩码从 /24 扩到 /23，可用主机数变成 510，代价是吃掉两个连续的 C 类地址段；第二条是把地址池拆成“业务段 + 管理段”，业务 VLAN 用 /24 装 254 台主机，所有接入交换机的管理地址、汇聚交换机的 SVI 地址统统塞进一个独立的管理 VLAN，比如 192.168.100.0/24。后一种做法在校园网里更常见，因为交换机管理地址本来就不该和师生主机混在一个广播域里。

原文给三个系各分一个 192.168.x.0/24，实际能接 254 台主机，第 255 个信息点要么落在管理 VLAN 里的交换机上，要么就得承认这 255 是个估算值。我一般会这么理解：课程设计里的“255 个信息点”是把墙面信息面板全算上了，真实同时在线的主机远达不到这个数，但地址规划必须按最坏情况做，否则验收那天一定有人拔不掉线。

提示：判断一个 /24 够不够，别看信息点总数，要看“信息点数 + 网络设备数 + 预留数”。交换机管理地址、打印机、无线 AP 的管理口都会从同一个池子里拿地址。

2.2 /25 的两个边界：.0 与 .128 之后

四个 C 类地址里拿出一个切成两半，给行政（32 个信息点）和现教中心（20 个信息点）用，是这道题最关键的一次位运算。把 222.192.4.0/24 的子网位借 1 位，得到两个 /25：

原文里写“分配 222.192.4.1~222.192.4.32 给行政部门”“222.192.4.129~222.192.4.148 给现教中心”，这两段是分配区间，不是子网边界。子网边界由掩码决定，分配区间由管理员自己收窄，两者混为一谈是新手最容易栽的地方——把 .127 或 .255 当主机地址配上去，交换机会直接拒绝，或者更糟，配置进去了但永远 ping 不通。

用一段脚本把边界算清楚，比手算可靠得多：

import ipaddress # 把 /24 一分为二，验证两个 /25 的边界值 parent = ipaddress.ip_network("222.192.4.0/24") for sub in parent.subnets(new_prefix=25): hosts = list(sub.hosts()) print(f"子网 {sub.network_address}/{sub.prefixlen}") print(f" 掩码 {sub.netmask}") print(f" 网络地址 {sub.network_address} 广播地址 {sub.broadcast_address}") print(f" 可用区间 {hosts[0]} ~ {hosts[-1]} 共 {len(hosts)} 个")

subnets(new_prefix=25)的含义是把父网按 25 位前缀重新切分，切出来的每个子网共享前 24 位、第 25 位不同。hosts()会自动跳过网络地址和广播地址，返回可分配区间。跑出来的结果就是上表那两行，行政部门拿子网 0 的 .1 起，现教中心拿子网 1 的 .129 起，各自只用了区间的前一小段，剩下的是扩展余量。

这里有个值得琢磨的取舍：两个部门合计 52 个信息点，塞进一个 /25 的 126 个可用地址完全够用，从地址利用率看根本不需要切两半。切开的理由不是“地址不够”，而是“边界清晰”——行政和现教中心分属不同楼宇、不同管理职责，各自独立成一个子网后，广播域、故障域、路由条目都是分开的，出问题时排查范围立刻缩小一半。用 74 个闲置地址换一条清晰的故障边界，在校园网这种长期演进的场景里是划算的。

2.3 文档里两条并存的地址线索

翻这份方案会发现一个容易被忽略的细节：方案描述里写的是“将 222.192.1.0 划分子网给现教中心和行政”，而最终的 IP 地址分配表里，切分的对象变成了 222.192.4.0。两条线索并存，前者是早期草稿，后者是跟着硬件清单一起定稿的版本。

按表执行才自洽：三个系用 192.168.1.0/24、192.168.2.0/24、192.168.3.0/24 三段私有地址，从出口做 NAT 转换；行政和现教中心直接吃 222.192.4.0/25 和 222.192.4.128/25 两段公网地址，不做 NAT，端到端可达。这样一来，222.192.1.0、222.192.2.0、222.192.3.0 这三个公网段其实是闲置的。

闲置这件事本身就值得讨论。既然 NAT 设备已经能把三个系藏起来，那三段公网地址完全可以整体作为 NAT 地址池，或者干脆直接分配给三个系、省掉 NAT 这一跳。NAT 不是免费的：它破坏了端到端可达性，外部主动发起的连接进不来，某些依赖源地址的协议会出问题，日志里看到的全是转换后的地址，排查时多一层黑匣子。方案选择私有地址 + NAT，动机不是“公网地址不够用”，而是题目明确要求“用 NAT 转换接入教育网”——这是一道被题面约束住的设计题，不是自由发挥。

注意：判断一套地址规划是否合理，先问“哪些段走 NAT、哪些段不走”。走 NAT 的段和直连公网段之间的互访路径，往往是配置里最容易漏掉的一条。

3. 三层交换结构：接入、汇聚、核心为什么不能拍平成一层

3.1 11 台交换机的端口账

每个系 255 个信息点，接入交换机 24 口，255 ÷ 24 = 10.625，向上取整得 11 台，总共 264 个端口。看上去余量 9 个，很安全。但端口账不能这么算，因为每台接入交换机都要拿一个口去上联汇聚层。

单上联的情况下，每台可用端口是 24 − 1 = 23，11 台合计 253 个可用口，比 255 个信息点少 2 个。这就是“264 大于 255”却依然不够用的原因。真实项目里通常有两种处理：一是上联走独立的 SFP 光口，不占电口，24 个电口全部留给信息点；二是多配一台交换机做冗余，12 台接入交换机配 11 个上联口，端口和冗余都有了。

把这段账写成脚本，改参数就能复算行政和现教中心的情况：

def access_switches(info_points, ports=24, uplinks=1, redundancy=0): """按信息点数推算接入交换机数量 ports : 单台交换机可用端口数 uplinks : 每台上联占用的端口数（走独立光口时填 0） redundancy : 额外冗余的交换机台数 """ usable = ports - uplinks # 单台实际能接主机的口数 count = -(-info_points // usable) # 向上取整 return count + redundancy, count * usable for name, points in [("计算机系", 255), ("机械系", 255), ("化工系", 255), ("行政", 32), ("现教中心", 20)]: n, cap = access_switches(points) print(f"{name}: 需 {n} 台，可用端口 {cap}，余量 {cap - points}")

-(-a // b)是 Python 里不用 import math 的向上取整写法，比math.ceil少一行依赖。上行联数填 0、电口不占用的场景对应带独立 SFP 上行的接入交换机，这也是为什么硬件清单里接入层和汇聚层的型号要分开选——接入层看的是端口密度和每端口成本，汇聚层看的是上行带宽和背板容量，两者的选型逻辑根本不同。

3.2 汇聚层存在的理由：收敛比与故障域

把 11 台接入交换机直接怼到核心层行不行？物理上可以，工程上不行。

算一下流量。每台接入交换机 24 个百兆口，理论汇聚上行需求是 24 × 100Mbps = 2.4Gbps；11 台加起来是 26.4Gbps。核心层不可能给每个系都开 26G 的上行，所以必须做收敛，收敛比就是“接入侧总带宽 ÷ 上行带宽”。按 11 台接入共享一条千兆上行算，收敛比是 26.4 : 1；按每台主机平均 10Mbps 的实际峰值估算，255 台主机同时活跃的流量约 2.5Gbps，仍然超过千兆上行。

这就是汇聚层的位置价值：它把 11 条百兆上联收成一条千兆（或多条千兆聚合）上联再送到核心，把收敛点从核心层下移了一层。核心层只面对 5 个部门级的汇聚设备，端口数量和路由邻接关系都被压到个位数，路由表规模和故障传播范围跟着缩小。

汇聚层还承担第二个职责：收敛生成树域。接入层交换机双上联做冗余时，会形成二层环路，靠 STP 阻塞其中一条。如果不设汇聚层，所有接入交换机的 STP 域会一路延伸到核心，一台接入交换机插错线，整个校园网的拓扑都要重算。把 STP 域卡在汇聚层，环路影响面就限制在一个系的范围内。

3.3 介质与距离：五类线的 100 米和多模光纤的 550 米

硬件清单里同时出现五类双绞线和室外 6 芯多模光纤，不是随便配的，是被距离逼出来的。

五类非屏蔽双绞线的最大单段长度是 100 米，这个数字来自 100BASE-TX 的链路预算：信号在铜缆上的衰减和串扰随距离增长，超过 100 米后误码率上升，链路训练失败，端口起不来或者时通时断。所以主机到接入交换机、同楼层接入到汇聚，用双绞线；跨楼宇的接入到汇聚、汇聚到核心，必须换光纤。

多模光纤这边，50/125 的芯径配合 850nm 窗口，千兆速率的传输距离大致在 550 米（OM2 级）到 220 米（OM1 级）之间；1300nm 窗口能拉得更远，但多模上跑长波需要额外的模式调节跳线，成本反而不划算。校园网楼间距离通常在几百米量级，多模够用，单模的激光器和光模块贵出一截，没必要上。

原文的拓扑说明里有一处前后不一致：前面写“接入层到汇聚层和汇聚层到核心层使用多模光纤”，后面写“接入层交换机与汇聚层交换机之间使用 100Mb/s 的双绞线连接”。两种说法其实对应不同的物理场景——同楼层的接入到汇聚走双绞线，跨楼的走光纤。读这类文档时要养成习惯：凡是介质和距离的描述出现矛盾，先看两端设备在不在同一栋楼，答案基本就出来了。

核心层的配置大致长这样，三层交换机上起 SVI 作为各部门网关，上联口跑路由：

# 核心层：为每个 VLAN 起 SVI 作为网关，并向上联出口发布路由 interface Vlan10 description Computer-Dept ip address 192.168.1.254 255.255.255.0 # 计算机系网关 ! interface Vlan20 description Mechanical-Dept ip address 192.168.2.254 255.255.255.0 # 机械系网关 ! interface GigabitEthernet0/1 description To-Edge-Router no switchport ip address 10.0.0.2 255.255.255.252 # 与出口路由器互联的 /30 ! ip routing # 开启三层转发，SVI 之间才通

no switchport是三层交换机把物理口从二层模式切成三层模式的关键指令，不加这句，ip address直接被拒。ip routing是全局开关，关掉时所有 SVI 只能各自本地转发，跨 VLAN 一律不通——这个开关忘了开导致的“网关 ping 得通但跨部门不通”，是实验室里最常见的翻车现场之一。互联地址用 /30 而不是 /24，是因为点到点链路只需要两个可用地址，用 /24 会白白浪费 252 个地址，还容易被误配成广播网段。

4. VLAN 与广播域：五个部门划开之后到底省下了什么

4.1 广播域的成本，不是带宽而是 CPU

一个 /24 网段就是一个广播域。域内任何一台主机发 ARP 请求，请求帧会被交换机泛洪到除入端口外的所有端口，255 台主机全部收到，即使其中 254 台根本不该关心这个 IP。ARP 请求本身很小，64 字节左右，问题不在带宽，在中断。

每台主机收到广播帧都要走一遍协议栈、判断是不是自己的、不是就丢弃。255 台主机规模下这点开销可以忽略，但校园网的广播源不止 ARP：DHCP 发现、NetBIOS 名称解析、各种发现协议、组播转广播的错误配置，叠起来能占到链路带宽的几个百分点，更重要的是打高主机的软中断。规模再大一点，比如把三个系 765 台主机拍进同一个二层域，广播帧的数量随主机数线性增长，而每台主机要处理的是全部广播，总开销按平方增长。

VLAN 做的事情很直接：在交换机内部给每个端口打上标签，同一个 VLAN 的端口共享一个广播域，不同 VLAN 之间二层完全隔离，广播帧不会跨 VLAN 泛洪。五个部门划五个 VLAN 后，每个 VLAN 的广播域从 765 台主机缩到 255 台以内，广播开销按部门切分。

代价是跨 VLAN 不通了。二层隔离之后，计算机系访问现教中心的服务器必须经过三层转发，这就需要 SVI 或者单臂路由。VLAN 不是“免费的隔离”，它是拿三层的复杂度换二层的干净。

4.2 NAT 的挂点：为什么放在出口路由器上

私有地址段 192.168.1.0/24 在公网上不可路由，三个系的流量出门前必须做地址转换。转换点放在哪，直接决定网络的故障模型。

这份方案把 NAT 放在核心层的出口路由器上，这台设备同时带防火墙功能。位置选择的逻辑是：NAT 必须放在“内网私有地址”和“外网可路由地址”的分界线上，这条分界线只能是出口。放在核心交换机上不行，因为核心交换机面向内网的一侧全是私有地址，转换完另一侧还是私有地址，没有意义；放在接入层更不行，那样每一台接入交换机都要维护一张转换表，规模一上来直接崩。

配置的关键是分清 inside 和 outside 两个方向：

# 出口路由器：私有地址段做 NAPT，公网地址段直接路由 interface GigabitEthernet0/0 description Inside-To-Core ip address 10.0.0.1 255.255.255.252 ip nat inside # 内网侧，转换源地址 ! interface GigabitEthernet0/1 description Outside-To-Education-Net ip address 222.192.4.254 255.255.255.128 ip nat outside # 外网侧，转换后出网 ! access-list 10 permit 192.168.1.0 0.0.0.255 # 只允许三个系的私有段做转换 access-list 10 permit 192.168.2.0 0.0.0.255 access-list 10 permit 192.168.3.0 0.0.0.255 ip nat inside source list 10 interface GigabitEthernet0/1 overload ! ip route 0.0.0.0 0.0.0.0 222.192.4.1 # 默认路由指向教育网出口

overload是 NAPT 的关键字，让多个内网地址复用同一个公网地址的不同端口，靠端口号区分会话。不加这个关键字只能做一对一转换，三个系 765 台主机需要 765 个公网地址，四个 C 类根本不够。ACL 的作用是圈定转换范围——行政和现教中心用的是公网地址段，本来就不该做转换，如果 ACL 写成permit any，这两段的源地址也会被改写，外部访问直接断掉。

ip route 0.0.0.0 0.0.0.0这条默认路由同样不能漏。很多人配完 NAT 发现内网能 ping 通网关、ping 不通外网，第一反应是 NAT 没生效，其实是路由器根本不知道该把包往哪送。NAT 只改地址，不负责选路，两件事要分开查。

4.3 EIGRP 配置里三行最容易被抄漏的指令

原文给的路由配置是 EIGRP，只列了五六行，其中三行是可选项但强烈建议加上的：

router eigrp 20 # 20 是自治系统号，同一域内必须一致 passive-interface GigabitEthernet0/0 # 接终端的口不发 Hello，避免无谓邻居 network 10.0.0.0 0.0.0.3 # 只通告互联网段，用反掩码精确匹配 network 192.168.1.0 # 通告计算机系网段 network 192.168.2.0 network 192.168.3.0 no auto-summary # 关闭自动汇总，保住 /25 的边界

passive-interface的作用是让接口只接收路由更新、不发送 Hello 包。接终端主机或者接接入交换机的接口本来就没有 EIGRP 邻居，发 Hello 纯属浪费，还会让对端设备误以为存在邻接关系。接 X.25 或者点对点串口的场景下这条更关键，能省掉一堆无意义的邻居震荡日志。

no auto-summary是这篇配置里最有技术含量的一句。EIGRP 默认会在主类网络边界做自动汇总，把 222.192.4.0/25 和 222.192.4.128/25 汇总成 222.192.4.0/24 通告出去。汇总之后，两个 /25 的明细路由在主路由表里消失，指向汇总网段的流量会被送到错误的下一跳——行政的包被送到现教中心的网关，然后被丢弃。这个故障现象特别迷惑：明细路由在本地是通的，只有跨设备访问才断，而且断得没有规律，因为汇总路由的下一跳指向可能随邻居关系变化。

network后面跟反掩码（wildcard mask），和 ACL 里的写法一致，不是子网掩码。network 10.0.0.0 0.0.0.3匹配的是 10.0.0.0/30 这个互联段，写成255.255.255.252反而会被拒或者匹配错误。这两个概念在课程设计里经常混着写，考试时扣分，上线时出事。

5. 常见问题排查：五条从 ping 不通到 NAT 失效的血泪路径

5.1 两个 /25 子网互 ping 不通，网关却是通的

现象：行政的机器能 ping 通自己的网关 222.192.4.1，现教中心的机器能 ping 通 222.192.4.129，但两边互 ping 一律超时，核心交换机上show ip route显示两个 /25 都有。

原因：九成是掩码配错。主机的掩码被写成了 255.255.255.0（/24），于是行政的机器认为 222.192.4.129 和自己同网段，ARP 请求直接发到二层，而二层只有这一个 VLAN，请求发不出去；同时它也不会把包交给网关，三层转发根本没被触发。

解决：逐台核对掩码，或者用ipconfig /all、ip addr确认前缀长度。判定方法很简单：让主机 ping 一个明显跨网段的地址，如果 ARP 表里出现了对方的 IP 却一直是 incomplete 状态，基本就是掩码问题。批量排查时在核心交换机上show arp看谁的表项前缀不对，比逐台查快得多。

5.2 内网能出门，回包进不来

现象：三个系的主机能访问外网服务，外网主动发起连接一律失败；内网访问某些需要反向连接的应用时，握手到一半断掉。

原因：NAT 只配了ip nat inside source，没配ip nat outside source或者没有对应的静态映射。动态 NAPT 是单向的，它只维护“内网先发起”的会话表项，外部主动发起的包没有表项匹配，直接被丢弃。另一常见原因是防火墙的 ACL 默认拒绝入站，NAT 转换完成了但包被安全策略挡在门外。

解决：需要外部访问的内网服务（比如某台 Web 服务器）配静态 NAT 映射，把公网地址的某个端口固定映射到内网主机；同时在防火墙策略里显式放行该端口。排查时先在出口路由器show ip nat translations看有没有对应表项，再看防火墙的命中计数，两处都过了才是真通。

5.3 EIGRP 邻居起来了，明细路由却不见了

现象：show ip eigrp neighbors显示邻居状态是 UP，但核心交换机的路由表里只有一个 222.192.4.0/24 的汇总条目，两个 /25 的明细全没了，访问行政的机器时通时断。

原因：自动汇总。EIGRP 在主类网络边界把两个 /25 合并成 /24 通告，明细路由被抑制。汇总路由的下一跳可能指向任意一个邻居，流量随机走错方向。

解决：在所有跑 EIGRP 的路由器上补no auto-summary，然后clear ip route *让路由表重算。验证方法是show ip route 222.192.4.0看输出里是不是两条 /25，而不是一条 /24。这个坑在划了子网的网络里几乎必踩，配置模板里就应该默认带上这一行。

5.4 交换机级联之后，边缘信息点上不了网

现象：每个系 11 台接入交换机装满之后，最边缘的几个房间插上网线，指示灯亮但拿不到地址，或者偶尔能通、传大文件就断。

原因：端口账算漏了上联口。24 口交换机拿 1 个口上联，实际可用 23 个，11 台只有 253 个可用口，255 个信息点必然有 2 个没地方插。另一种情况是链路长度超标，边缘房间到配线间的双绞线绕了几个弯超过 100 米，链路能起来但误码率高，表现为时通时断。

解决：先核对端口分配表，确认每台交换机实际承载的信息点数不超过可用口数，超了就补一台或者改用带独立 SFP 上行的型号；再用线缆测试仪量长度，超过 100 米的走光纤或者加中继。判断链路质量别只看指示灯，看接口的 CRC 错误计数增长得快不快，比 ping 更早发现问题。

5.5 汇聚上联被打满，全网变慢

现象：某天下午开始全网访问变慢，核心交换机 CPU 冲高，汇聚上联口流量接近千兆线速，抓包看到大量广播帧。

原因：某个 VLAN 里出现了二层环路，交换机没配 STP 或者 STP 被关掉了，广播帧在环里无限循环放大，迅速打满上联。另一种可能是某台接入交换机被私接了一台家用路由器，LAN 口对 LAN 口接进来，形成环路。

解决：先确认所有交换机都开了 STP，接入层端口配spanning-tree portfast加bpduguard，一旦检测到 BPDU 直接 err-disable 端口，把环路掐死在接入侧。汇聚层上联做链路聚合时确认聚合配置两边一致，一边聚合一边不聚合也会形成环路。事后追查可以看接口的广播包速率和 STP 拓扑变更计数，变更次数异常飙升的那台设备就是源头。

6. 方案一与方案二的取舍：三台路由器换来的到底是什么

这份课程设计里并排放了两个方案，差别只有三处：核心层是一台路由器还是三台、三个系用私有地址还是公网地址、划不划 VLAN。把这三处拆开看，本质是同一个权衡——用设备成本和配置复杂度，换地址利用率和故障隔离度。

方案二的成本优势是真的：少两台路由器，配置量少一大截，拓扑图也干净。但它在两个地方埋了雷。第一，四个公网地址分给五个部门，核心层路由器自己没有地址可用，出口设备的互联地址只能从某个部门段里抠，或者干脆用不规范的地址借用，这在真实网络里是明确的反模式。第二，不划 VLAN 意味着七百多台主机共享一个广播域，ARP 广播、DHCP 发现、各种发现协议全部泛洪到每个端口，接入层交换机的 CPU 和上联带宽都要为这些无用流量买单。

方案一贵出来的三台路由器，买的其实是三样东西：故障隔离、负载分担、地址弹性。单台路由器故障，只有它下面那个部门断网；三台分担流量，单台峰值压力降到三分之一；私有地址段可以按需扩展，不用再向上一级申请公网配额。代价是 NAT 带来的端到端问题、三份配置的一致性维护、以及路由协议邻居关系的额外复杂度。

验证这套设计是否真的成立，有几个成本很低的动作。在核心交换机上show ip route数一下明细条目，确认两个 /25 没有被汇总掉；在汇聚上联口抓 30 秒包，统计广播帧占比，超过 1% 说明广播域没隔离干净；从内网主机 ping 外网地址的同时在出口路由器show ip nat translations看会话表项是否按时老化，能验证 NAPT 的端口复用有没有生效。这三步走完，方案是不是按预期工作，心里就有数了，不用等到验收那天才发现问题。

我第一次做这类设计时，把三个系的地址段全写成 /24，端口数按 264 算得美滋滋，结果上联口一占，边缘两个信息点没地方插，只能临时加一台交换机救场。从那以后我每次规划接入层，都强制先把“每台可用口数 = 总口数 − 上联口数”这个减法写进表格再算台数，宁可多配一台，也不在验收当天补窟窿。希望帮到你。

本文还有配套的精品资源，点击获取