简介这份校园网络规划设计方案文档面向网络工程初学者与课程设计者围绕某中学三座教学楼与行政办公楼的组网需求给出从需求分析到设备选型、VLAN划分、IP地址分配、三层交换配置及DHCP服务的完整设计思路。资源包内含1个docx文件约46KB以文字方案与配置命令片段为主便于直接参考与二次修改。内容涵盖因特网接入与校园主体网络分离、核心层/汇聚层/接入层三层架构、3560与2950t交换机的选型依据以及教学区与办公区按年级、学科组、职能处室划分VLAN的具体用途表并附有三层交换机VLAN接口配置、端口划分与DHCP地址池设置示例同时延伸讨论校园网验收与运维要点。已有391人学习下载适合需要完成校园网课程设计、理解分层组网与VLAN规划逻辑的读者参考借鉴。1. 校园网络规划方案到底在规划什么从一张拓扑图到能落地的 VLAN 与 IP 地址表很多同行接到「设计一个完整的校园网络规划设计方案」这个任务时第一反应是打开 Visio 画一张漂亮的拓扑图然后堆上核心层、汇聚层、接入层的框框再配几段设备选型说明就交差。但真正做过校园网割接的人都知道评审时被问得最多的从来不是拓扑好不好看而是「教学楼三层的 IP 地址段是多少」「VLAN 10 和 VLAN 20 之间怎么通信」「无线和有线要不要隔离」。校园网络规划的核心是把教学、办公、宿舍、机房、监控这些物理上混在一起、逻辑上必须分开的区域用 VLAN 划分和 IP 地址规划切成互不干扰又按需互通的网络域。这份方案要解决的是地址冲突、广播风暴、跨区域访问失控这三类高频问题适合网络运维、系统集成和准备考网络规划设计师的从业者按步骤复现。2. 先定 IP 地址与 VLAN 编号规划阶段最容易返工的两张表校园网方案里拓扑图可以改设备可以换但 IP 地址表和 VLAN 编号表一旦下发到各楼栋的接入交换机再想动就是全网割接。所以这两张表必须在方案阶段就定死并且留足扩展空间。2.1 用私有地址段做分层规划别把 192.168.1.0/24 用满整个校园常见做法是按「区域 楼栋 楼层」三级结构分配地址。校园网规模通常在几千到几万终端之间10.0.0.0/8 这个 A 类私有段足够用而且天然支持用第二段做区域划分。我一般会这样切区域地址段用途VLAN 范围核心互联10.0.0.0/24核心与汇聚设备互联VLAN 1管理教学区10.1.0.0/16多媒体教室、教师机VLAN 100-199办公区10.2.0.0/16行政、教务、财务VLAN 200-299宿舍区10.3.0.0/16学生宿舍有线无线VLAN 300-399机房区10.4.0.0/16服务器、数据中心VLAN 400-499监控与物联10.5.0.0/16摄像头、门禁、广播VLAN 500-599每个 /16 再按楼栋切成 /24比如教学区 1 号楼用 10.1.1.0/242 号楼用 10.1.2.0/24。这样单栋楼最多 254 个终端超了就再开一个 /24 给同一栋楼的不同楼层。宿舍区终端密度高一栋楼可能上千人那就按楼层切 /24或者直接给整栋楼一个 /221022 个可用地址。提示地址段规划时把网关地址固定为每个网段的第一个可用地址如 10.1.1.1DHCP 地址池从 .10 开始分配.2 到 .9 留给手动配置的打印机、AP 管理地址等设备。这个习惯能省掉后期大量「这个 IP 被谁占了」的排查时间。2.2 VLAN 编号跟着区域走别按交换机端口顺序编VLAN 编号本身没有技术上的强制规则但编号混乱是后期运维翻车的头号原因。我见过一个方案接入交换机上 VLAN 10 是教学楼、VLAN 20 是宿舍楼、VLAN 30 又是教学楼另一层结果查一个广播域要翻三张表。合理的做法是让 VLAN 编号和区域绑定VLAN 100-199教学区VLAN 100 对应 10.1.1.0/24VLAN 101 对应 10.1.2.0/24依次递增VLAN 200-299办公区VLAN 200 对应 10.2.1.0/24VLAN 300-399宿舍区VLAN 300 对应 10.3.1.0/24VLAN 400-499机房区VLAN 500-599监控与物联这样看到 VLAN 305 就知道是宿舍区 10.3.6.0/24 网段排查问题时不用查表。VLAN 1 保留给设备管理不要用来承载业务流量这是血泪经验——很多默认配置把管理流量和业务流量混在 VLAN 1 里一旦广播风暴连交换机都登不上去。2.3 地址容量估算别等 VLAN 号段地址满了才想起来扩规划阶段要算一笔账每个 VLAN 里到底有多少终端。教室一般 1 个多媒体终端 1 个教师机 可能 40-60 个学生终端如果允许带设备宿舍每人 2-3 个设备手机、笔记本、平板办公区每人 1-2 个。按峰值算一个 /24 的 254 个地址在宿舍场景下可能一栋楼就撑不住。我一般会留 30% 余量。如果某栋宿舍楼预计 800 个终端那就直接给 /221022 个可用地址而不是给三个 /24 再想办法合并。VLAN 号段地址满了再扩意味着要改网关、改 DHCP、改 ACL牵一发动全身。3. 路由交换怎么配从接入层 access 口到核心层 VLAN 间通信地址和 VLAN 表定好之后下一步是把它们落到设备配置上。校园网典型架构是核心-汇聚-接入三层但很多中小规模校园网会简化成核心-接入两层汇聚功能由核心交换机兼任。不管几层配置逻辑是一样的接入层划 VLAN、汇聚层做网关、核心层跑路由。3.1 接入交换机接入口配 access上联口配 trunk 并放通对应 VLAN接入交换机连接终端设备的端口配成 access 模式划入对应 VLAN连接上层交换机的端口配成 trunk 模式放通该楼栋所有业务 VLAN 和管理 VLAN。以一台教学楼接入交换机为例# 进入全局配置模式 configure terminal # 创建业务 VLAN 和管理 VLAN vlan 100 name Teaching-Building1-Floor1 vlan 101 name Teaching-Building1-Floor2 vlan 1 name Management # 配置终端接入口access 模式划入 VLAN 100 interface GigabitEthernet0/1 switchport mode access switchport access vlan 100 spanning-tree portfast no shutdown # 配置上联口trunk 模式放通 VLAN 100、101 和管理 VLAN interface GigabitEthernet0/24 switchport mode trunk switchport trunk allowed vlan 1,100,101 switchport trunk native vlan 1 no shutdown这段配置的逻辑是终端插在 Gi0/1 上自动进入 VLAN 100 的广播域上联口 Gi0/24 用 trunk 把 VLAN 100 和 101 的流量打上标签送到汇聚交换机。switchport trunk allowed vlan只放通需要的 VLAN不要用all否则一个楼栋的广播会泛洪到整个校园。spanning-tree portfast让接入口跳过 STP 收敛过程终端插上就能通避免用户以为网络坏了。参数说明native vlan默认是 VLAN 1如果管理 VLAN 也是 1那不打标签的管理流量和 native VLAN 一致不会出问题。但如果管理 VLAN 改成了别的号native VLAN 要同步改否则会出现 VLAN 跳变和 CDP 告警。3.2 汇聚交换机配 VLAN 接口地址做网关开 DHCP 中继汇聚交换机上要创建每个业务 VLAN 的 SVIVLAN 接口配上网关地址这样本 VLAN 内的终端才能跨网段访问。同时如果 DHCP 服务器在机房区汇聚交换机要配 DHCP 中继指向服务器。# 创建 VLAN 接口并配置网关地址 interface Vlan100 description Gateway-for-Teaching-Building1-Floor1 ip address 10.1.1.1 255.255.255.0 no shutdown interface Vlan101 description Gateway-for-Teaching-Building1-Floor2 ip address 10.1.2.1 255.255.255.0 no shutdown # 配置 DHCP 中继指向机房区的 DHCP 服务器 interface Vlan100 ip helper-address 10.4.1.10 interface Vlan101 ip helper-address 10.4.1.10 # 开启路由功能如果汇聚交换机是三层设备 ip routingip helper-address的作用是把本网段的 DHCP 广播请求转成单播发给指定服务器。校园网里 DHCP 服务器通常集中在机房区不可能每个 VLAN 都放一台所以中继是必须的。注意ip helper-address默认会转发多种 UDP 广播如果只想转发 DHCP可以用no ip forward-protocol udp关掉不需要的。3.3 核心交换机VLAN 间通信靠三层转发ACL 控制跨区域访问汇聚交换机上已经配了 SVIVLAN 间通信其实已经在汇聚层完成了。但如果校园网有多个汇聚节点核心交换机需要跑 OSPF 或静态路由把各个汇聚节点的网段打通。同时跨区域的访问控制比如宿舍区不能访问办公区财务系统要在核心或汇聚层用 ACL 实现。# 核心交换机上配置静态路由指向各汇聚节点 ip route 10.1.0.0 255.255.0.0 10.0.0.2 ip route 10.2.0.0 255.255.0.0 10.0.0.3 ip route 10.3.0.0 255.255.0.0 10.0.0.4 # 配置 ACL禁止宿舍区访问办公区财务网段 ip access-list extended DENY-DORM-TO-FINANCE deny ip 10.3.0.0 0.0.255.255 10.2.10.0 0.0.0.255 permit ip any any # 应用到宿舍区入口方向 interface Vlan300 ip access-group DENY-DORM-TO-FINANCE inACL 的方向很重要in表示流量进入 VLAN 300 接口时检查out表示从该接口出去时检查。一般建议在靠近源地址的接口上用in这样被拒绝的流量不会浪费后续链路的带宽。ACL 末尾的permit ip any any不能省否则默认隐含拒绝会让所有未匹配流量全断这是新手最容易翻车的地方。4. 无线、监控和 IPv6 怎么融进同一张网别让扩展需求打乱主规划校园网方案如果只写有线和路由交换评审时一定会被问无线怎么接、监控怎么隔离、IPv6 要不要上。这些扩展需求如果在规划阶段没留位置后期就是打补丁。4.1 无线 AP 管理 VLAN 和业务 VLAN 分开SSID 绑定业务 VLAN无线 AP 本身需要一个管理地址通常单独划一个管理 VLAN比如 VLAN 600AP 通过 DHCP 获取管理 IP 后向 AC 注册。用户连上 SSID 后流量通过 CAPWAP 隧道送到 AC再由 AC 映射到对应的业务 VLAN。配置上接入交换机连接 AP 的端口要配成 trunk放通 AP 管理 VLAN 和该区域所有业务 VLAN。# 接入交换机连接 AP 的端口 interface GigabitEthernet0/10 switchport mode trunk switchport trunk allowed vlan 100,101,600 switchport trunk native vlan 600 spanning-tree portfast trunk no shutdownnative vlan 600让 AP 的管理流量不打标签业务 VLAN 流量打标签。spanning-tree portfast trunk让 AP 接入后快速进入转发状态避免无线用户等 STP 收敛。4.2 监控和物联设备单独划 VLAN用 ACL 限制只能被特定服务器访问摄像头、门禁、广播这些设备安全性低一旦被攻破可能成为跳板。规划时把它们全部划入监控 VLAN比如 VLAN 500-599网关设在汇聚交换机上然后用 ACL 限制这些 VLAN 只能访问监控服务器和 NTP 服务器不能访问办公和机房区。ip access-list extended IOT-RESTRICT permit ip 10.5.0.0 0.0.255.255 host 10.4.1.20 permit ip 10.5.0.0 0.0.255.255 host 10.4.1.30 deny ip 10.5.0.0 0.0.255.255 10.0.0.0 0.255.255.255 permit ip any any interface Vlan500 ip access-group IOT-RESTRICT in这条 ACL 的逻辑是允许物联设备访问监控服务器10.4.1.20和 NTP10.4.1.30拒绝访问其他所有 10.0.0.0/8 内网段最后放通访问互联网的流量。注意deny语句要写在permit之前ACL 是从上往下匹配的。4.3 IPv6 规划双栈还是只做 IPv6地址段怎么分如果校园网要上 IPv6规划阶段就要定好地址分配方式。常见做法是双栈运行IPv4 保持现有规划IPv6 用 2001:da8:xxxx::/48 这样的教育网地址段按楼栋切 /64。每个 VLAN 对应一个 /64 前缀网关地址用::1。DHCPv6 或 SLAAC 都可以用SLAAC 配置简单但无法控制地址分配DHCPv6 可控但需要额外服务器。我一般建议教学和办公区用 DHCPv6宿舍区用 SLAAC因为宿舍终端类型杂SLAAC 兼容性更好。5. 校园网规划避坑这 5 个问题我踩过你别再踩5.1 现象VLAN 间能 ping 通但访问不了共享文件夹原因ACL 只放通了 ICMP没放通 SMB 的 445 端口。很多人在测试 VLAN 间通信时只用 pingping 通了就以为 ACL 没问题结果用户反馈访问不了文件服务器。解决ACL 要按业务端口放通不能只放 ICMP。文件共享放通 TCP 445打印放通 TCP 9100Web 放通 TCP 80/443。测试时用telnet 目标IP 端口验证端口可达性不要只依赖 ping。5.2 现象宿舍区用户反映晚上网速特别慢白天正常原因宿舍区一个 VLAN 里塞了太多终端广播域过大晚上高峰时段 ARP 广播和 DHCP 广播把接入交换机上行口打满。解决按楼层或按单元进一步细分 VLAN把单个 VLAN 的终端数控制在 200 以内。如果已经规划好了不好改可以在接入交换机上开广播风暴抑制限制广播流量占比。5.3 现象新接入的交换机配置好 trunk 后部分 VLAN 不通原因trunk 口两端allowed vlan列表不一致一端放通了 VLAN 100-110另一端只放通了 VLAN 100-105导致 106-110 的流量被丢弃。解决trunk 口配置要两端对齐建议在方案文档里把每个上联口的 VLAN 放通列表写清楚配置时逐条核对。可以用show interfaces trunk查看两端实际放通的 VLAN 列表。5.4 现象DHCP 中继配了但终端拿不到地址原因ip helper-address指向的 DHCP 服务器没有回程路由到终端网段或者中间有 ACL 拦截了 DHCP 的 UDP 67/68 端口。解决检查 DHCP 服务器上是否有到各业务网段的路由检查中间 ACL 是否放通了 UDP 67/68。可以在汇聚交换机上debug ip dhcp relay看中继是否发出请求、是否收到响应。5.5 现象核心交换机 CPU 利用率高网络间歇性卡顿原因核心交换机上配了太多 ACL 且应用在in方向每个包都要逐条匹配或者 VLAN 间路由流量全走核心核心成了瓶颈。解决ACL 尽量应用在靠近源地址的汇聚层核心只做高速转发。如果核心 CPU 高检查是否有大量流量被送到 CPU 处理如 TTL 超时、ARP 请求可以用show processes cpu sorted定位。6. 用模拟器验证方案不碰真设备也能把配置跑通方案写完到真正割接之间最好用模拟器把关键配置跑一遍。我一般用 eNSP 或 GNS3 搭一个最小拓扑一台核心、一台汇聚、两台接入、四台 PC把 VLAN 划分、trunk 放通、VLAN 间路由、ACL 限制这几件事验证一遍。# eNSP 里验证 VLAN 间通信的最小步骤 # 1. 在接入交换机上创建 VLAN 100 和 200接入口分别划入 # 2. 上联口配 trunk 放通 VLAN 100,200 # 3. 汇聚交换机创建 Vlanif100 和 Vlanif200配网关地址 # 4. PC1 设 10.1.1.10/24 网关 10.1.1.1PC2 设 10.1.2.10/24 网关 10.1.2.1 # 5. PC1 ping PC2通则表示 VLAN 间路由正常 # 6. 在汇聚上配 ACL 拒绝 10.1.1.0/24 访问 10.1.2.0/24再 ping 应不通模拟器里跑通之后把配置导出成文本和方案文档里的配置模板逐条对比。真机割接时先改一台接入交换机做试点确认业务正常后再批量下发。我自己的习惯是每次割接前把回退配置也准备好万一 trunk 放通列表写错导致管理 VLAN 断了还能通过 console 口恢复。校园网割接窗口通常只有几个小时后悔药就是提前准备好的回退脚本。希望帮到你。本文还有配套的精品资源点击获取