校园网课设核心方案：私有IP+VLAN+子网划分+NAT完整解析

简介：一份完整的校园网设计方案，源自作者大二计算机网络课程设计，适合计算机、网络工程等专业学生作为课程设计或毕业设计的参考。文档从需求分析出发，针对五个部门、四个C类IP地址的条件，给出两种可选方案并比较优劣，最终确定采用私有IP结合VLAN划分的交换式千兆以太网架构，同时包含网络拓扑、硬件与软件清单、IP地址分配等完整内容，并考虑了NAT接入中国教育网、三层网络结构及设备选型，可清晰展示校园网规划的整体思路。压缩包内共一个doc文档，大小约1.65MB，内容集中，便于阅读和直接参考。作者整理的设计思路与设备配置能帮助读者掌握从需求分析到方案落地的过程，并迁移到自己的课程设计中；已有2955人学习下载，是一款经过实战检验的校园网设计参考资料。

1. 四个 C 类地址撑起五部门校园网：这道课设题的核心不是设备

校园网设计里有一道非常经典的题目：某高校五个部门、总共 817 个信息点，只申请到 4 个 C 类公网 IP。第一次接到需求的人第一反应是“4×256=1024，地址够用”，真正动手画拓扑才发现根本不是那么回事——广播域大得吓人，核心设备没有地址可配，NAT 出口还得单独挤一段地址。这份课设资源给出的答案是“私有 IP + VLAN + 子网划分 + NAT”四件套一起上，把 192.168.1.0/24、2.0/24、3.0/24 分给三个大系，再把 222.192.4.0 切成两个 /25 子网分给行政和现教中心。无论你是在做课程设计还是第一次独立规划小园区网，这套方案的地址规划和设备选型逻辑都值得完整过一遍。

2. 方案选型：公网地址直分还是私有地址中转，这笔账必须算清

2.1 两种方案的差异：广播域、路由表、设备成本全对比

原设计里给了两套备选思路。方案二最直观：既然有四个 C 类地址，那就 222.192.1.0 给计算机系、222.192.2.0 给机械系、222.192.3.0 给化工系，剩下 222.192.4.0 划分子网给行政和现教中心。听上去干净利落，但三个系各有 255 个信息点，每个系一个 C 类地址，主机地址勉强贴着上限走。更麻烦的是，四个 C 类地址全部被部门占用之后，核心层的路由器自己反而没有公网地址可用，出口配置只能靠接口复用硬凑。

方案一的做法是把三个系改成私有地址 192.168.1.0/24、192.168.2.0/24、192.168.3.0/24，三个公网 C 类地址腾出来，只把 222.192.4.0 这一个 C 类给行政和现教中心划子网用。表面上多花了一台路由器的钱，实际上换来了两个关键收益：核心层路由器有公网地址可配，NAT 池也有地方可挖；部门内部用私有地址，后续扩点不用再申请公网。两套方案的完整对比放到表格里更清楚。

广播域的问题在方案二里容易被忽略。八百多台主机如果全部处在同一个二层广播域，ARP 广播包会持续冲刷全网，交换机 CPU 和带宽都会被无意义占用。方案一用 VLAN 把广播域切成五个独立的小域，每个域的广播只在本部门内传播，跨部门通信统一走三层网关转发，这是园区网设计里最基本的隔离思路。

2.2 为什么 NAT 和 VLAN 必须一起上，缺一个都圆不回来

NAT 解决的是地址复用问题。三个系用的是 192.168.x.x 私有地址，这些地址在公网上不可路由，访问教育网时必须由出口路由器把源地址翻译成合法公网地址。原方案的出口是一台自带防火墙功能、支持 NAT 的路由器，部署位置在核心层，转换动作在这里完成。

VLAN 解决的是隔离和接入灵活性问题。五部门各自独立 VLAN，接入层交换机端口按部门划分 access vlan，用户换办公室只需要改端口 VLAN 归属，不需要动 IP 规划。如果不用 VLAN，所有信息点都在同一广播域内，ARP 风暴的隐患会随着信息点增长迅速放大。

我一般建议课设答辩时把逻辑讲成一条线：私有地址节省公网资源、NAT 让私有地址能出网、VLAN 控制广播域、三层交换做 VLAN 间路由。这四个动作缺一个，整个地址方案都立不住。方案一之所以优于方案二，核心不在设备选型，而在这一条链路的完整性。综合比较，采用方案一作为最终设计，后续的拓扑结构、IP 规划、路由配置都围绕方案一展开。

3. 三层架构与硬件选型：从信息点数量反推交换机台数与链路介质

3.1 接入层交换机数量计算：24 口交换机到底能带多少信息点

先按原题需求做信息点统计：计算机系 255 个、机械系 255 个、化工系 255 个、行政 32 个、现教中心 20 个，合计 817 个信息点。接入层全部采用 24 口的 10M/100M 自适应交换机，计算方式是按信息点数除以端口数向上取整，同时预留少量扩展余量。

这里有一个课设里最容易翻车的细节：24 口交换机通常要占用 1 个端口接上级设备（上联口），实际可用端口是 23 个。11 台交换机给 255 个信息点，23×11=253，理论上差 2 个端口。真实项目里的处理方式是把汇聚层交换机的空余端口一起纳入信息点接入，或者直接按 12 台接入交换机规划。原方案按 11 台计算，属于“按满配估算”的经典课设口径。这个矛盾我会在第 6 章专门展开讲，答辩前一定要想好怎么圆。

3.2 汇聚层与核心层：千兆上联、三层网关、NAT 出口的分工

接入层只负责连接信息点，不做任何策略，全部端口划进对应用户 VLAN。汇聚层每个部门一台 24 口 10M/100M/1000M 自适应交换机，向上通过多模光纤连接核心层，向下通过双绞线连接接入层。汇聚层承担的第一个职责是把多个接入交换机聚合成一条高带宽链路，第二个职责是配合核心层完成 VLAN 间路由的网关终结。行政和现教两个部门信息点少，各自一台汇聚交换机即可满足。

核心层是整个校园网的交通枢纽，原文方案采用一台三层交换机做主交换，配合具备 NAT 功能、内置防火墙的出口路由器完成内外网隔离。服务端主机挂在核心层交换机上，直接获得高带宽接入，这样校内用户访问 WWW、FTP、邮件服务时不需要绕行出口路由器。拓扑上采用星型树结构，每个部门汇聚层以千兆光纤连接到核心，形成以核心为根的树状扩展。

3.3 传输介质选型：超五类双绞线与多模光纤的边界

主机到接入层交换机这一段，原方案用超五类四对非屏蔽双绞线，最大单段长度 100 米，支持 100Base-T。信息点密集区域的布线距离通常都在 100 米以内，双绞线在这段是性价比最高的选择。接入层到汇聚层、汇聚层到核心层这两段，原方案统一采用室外 6 芯多模光纤（50/125），波长 1300nm/850nm，千兆以太网链路。

多模光纤的优势在接入层到汇聚层的百米级链路里体现得最充分：相比单模光纤，多模配套的光模块便宜，熔接和维护门槛低。室外 6 芯光纤的做法是 2 芯用于当前链路，剩下 4 芯作为备份或后续扩展，这种余量设计在园区网里属于常规操作。核心层到汇聚层之间用 1000Mb/s 光纤连接，核心层到出口路由器之间、路由器到防火墙之间的设备互联用 100Mb/s 双绞线，链路速率分级清晰。

3.4 硬件清单：设备规格、数量与预算速算

原方案附了一份完整的硬件清单，把品牌信息去掉只看规格，设备组成是这样的：核心层三层交换机 1 台（10/100/1000Mbps，支持 SFP 光口），二级汇聚交换机 5 台（24 口，10/100/1000Mbps），三级接入交换机 36 台（24 口，10/100Mbps），出口路由器 1 台（支持 NAT/NAPT、静态路由、RIP 动态路由），室外多模光纤 1000 米，超五类双绞线 10000 米。

设备数量核对：三个系每个 11 台接入交换机（33 台），行政 2 台，现教 1 台，合计 36 台接入，与 36 台三级交换机完全对应。汇聚交换机 5 台，对应五个部门。光纤按 1000 米、双绞线按 10000 米做预算，双绞线 735 元/305 米，约合 33 箱，光纤按 20 元/米计。整张清单粗算下来 21.5 万元左右，其中三级交换机开销占比最高，这也是信息点密集时最真实的一笔成本。课设文档里把单价和总价列全，答辩时能为方案可行性加不少分。

4. IP 地址规划与子网划分：222.192.4.0 切成两个 /25 子网的手工推演

4.1 地址分配格局：哪些段给私有地址，哪些段做子网划分

最终落地的分配格局是：计算机系使用 192.168.1.0/24，机械系使用 192.168.2.0/24，化工系使用 192.168.3.0/24，三个 C 类私有地址整段分配，网段边界和部门边界完全对齐，便于路由汇总和故障定位。公网部分只使用 222.192.4.0 这一个 C 类地址，通过子网划分出两个子网，分别给行政部门和现教中心。

这样的好处很直白：三个大系不再消耗公网地址，剩下的公网地址可以同时满足“行政和现教主机的直接上网”以及“私有网段的 NAT 地址池”两个用途。第一次做规划的人容易犯的错是把四个 C 类全当成部门地址分掉，结果出口路由器没有公网地址，NAT 池也没有着落。先定出口，再分部门，这是地址规划的顺序问题。

4.2 手工推演 /25 子网：网络地址、广播地址、可用地址范围

取 222.192.4.0 做子网划分，借用 1 位主机位作为子网号，子网掩码从 255.255.255.0 变为 255.255.255.128，即 /25。划分结果如下：

原方案里行政部门实际取用 222.192.4.1 到 222.192.4.32，共 32 个地址对应 32 个信息点；现教中心取用 222.192.4.129 到 222.192.4.148，共 20 个地址对应 20 个信息点。每个子网可用的主机地址是 126 个，实际只用了 32 个和 20 个，冗余量很大，后续扩点时不需要重新划分子网，这是 /25 方案比 /26 更稳妥的原因。

如果用 /26 划分，每个子网只有 62 个可用地址，虽然也能装下 32 台和 20 台主机，但余量明显变小，而且会多出一个空闲子网需要管理。从课程设计可讲性的角度，两个 /25 的划分方案边界清晰，广播地址、可用范围都能手工写出来，适合在文档里完整展示推演过程。

4.3 VLAN 与 IP 映射：五部门网关地址怎么定

原方案虽然用了 VLAN 技术，但没有给出具体的 VLAN 编号。这里按常见做法补一组映射关系，便于直接写进设备配置：

网关地址的取值有两种习惯：取网段第一个可用地址（如 192.168.1.1）或者最后一个可用地址（如 192.168.1.254）。课设场景里取第一个可用地址最省事，不容易算错。行政 VLAN 40 的网关我建议放在 222.192.4.126，也就是子网 1 的最后一个可用地址，把前面的 1 到 32 留给用户主机；现教中心 VLAN 50 的网关取 222.192.4.129，紧跟在子网 2 网络地址之后。这样一个 C 类地址里，网关、用户主机、NAT 池三者互不挤占。

4.4 子网划分必须避开的地址重叠

分配表里还有一个容易看走眼的点：222.192.4.128/25 这个子网，网络地址恰好是 222.192.4.128，和常见 IP 段写法“192.168.1.128”非常像，做表的时候一旦手滑，很容易把现教中心的网段写成 222.192.4.128/24，掩码一错，整个广播域立刻横跨行政和现教两个部门。原方案正文里也出现过把行政/现教的划分地址写为 222.192.1.0 的情况，和 IP 分配表里的 222.192.4.0 不一致，这类文档前后矛盾在课设评阅里几乎必然会被挑出来。统一口径以 222.192.4.0 为标准，写方案时所有章节的地址必须能从一张分配表里查出来。

5. 路由与 NAT 配置：EIGRP 命令逐行拆解与防火墙位置确定

5.1 EIGRP 配置逐行解析：AS 号、被动接口、自动汇总

原方案给出的核心路由配置使用 EIGRP 协议，完整命令如下：

# 进入全局配置模式 conf t # 创建 EIGRP 路由进程，进程号 20 router eigrp 20 # 串口 0 设为被动接口，不发送路由更新 passive-interface serial0 # 串口 1 设为被动接口，不发送路由更新 passive-interface serial1 # 通告本机以太网接口所在网段 network 192.168.1.0 0.0.0.255 # 通告串口 0 的 IP 网段 network 222.192.4.0 0.0.0.255 # 关闭自动汇总，确保子网路由不被折叠 no auto-summary # 退出路由进程 exit

逐行拆解。router eigrp 20 里的 20 是自治系统号，一台路由器上只能运行一个 EIGRP 进程，同一网络里所有运行 EIGRP 的设备必须使用相同的进程号，否则邻居关系建立不起来。passive-interface 的作用是让指定接口不再发送 EIGRP hello 包和路由更新，通常用于连接终端设备的接口，避免无意义的协议报文占用带宽。原方案里 serial0 和 serial1 注释为连接 X.25 网络的接口，这类广域网链路上不需要动态路由协议，全部配置为被动接口是正确做法。

network 命令后面跟的是参与 EIGRP 的网段，这里用的是通配符掩码写法，0.0.0.255 等价于反掩码，匹配 192.168.1.0/24 这个精确网段。最后一条 no auto-summary 最关键。EIGRP 默认在边界路由器上会把子网路由自动汇总成主类网络路由，如果不关闭，222.192.4.0/25 和 222.192.4.128/25 这两个子网路由会被汇总成 222.192.4.0/24 一条，导致部分目的地址的转发路径错误，跨 VLAN 通信时会出现时通时不通的诡异现象。

5.2 私有网段出网：NAT 地址池与 ACL 配置

三个系的私有地址要访问教育网，必须在出口路由器上做源地址转换。以行政和现教中心占用的地址为界，222.192.4.0 这个 C 类里剩余可供 NAT 使用的地址主要是 222.192.4.33 到 222.192.4.126 和 222.192.4.149 到 222.192.4.254 两段。常见做法是取其中一段做动态地址池，配合 ACL 限定哪些内网网段可以转换：

# 定义 ACL，放行三个私网网段的流量 access-list 1 permit 192.168.1.0 0.0.0.255 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 1 permit 192.168.3.0 0.0.0.255 # 定义 NAT 地址池，取 222.192.4.149 到 222.192.4.200 ip nat pool edu-pool 222.192.4.149 222.192.4.200 netmask 255.255.255.128 # 将 ACL 1 匹配的内网地址动态转换为 edu-pool 中的公网地址 ip nat inside source list 1 pool edu-pool overload # 进入内网接口 interface fastethernet0/0 ip nat inside # 进入外网接口 interface serial0/0 ip nat outside

这一段配置的逻辑是：ACL 负责“圈定谁可以转换”，地址池负责“转换成什么”，overload 关键字启用 PAT，让多个内网地址共享同一个公网地址的不同端口，这是解决 IP 不足最核心的手段。ip nat inside 和 ip nat outside 必须分别配置在对应接口上，写反了会出现内网地址没被翻译就直接出网的情况，内网流量有去无回。行政和现教中心的主机本身就是公网地址，不需要经过 NAT 转换，ACL 里不包含这两个网段。

5.3 防火墙位置与安全策略

原方案把防火墙功能集成在出口路由器上，拓扑上相当于教育网到校园网之间只有一个安全边界。如果按独立防火墙设备来部署，标准做法是“教育网出口 → 防火墙 → 路由器 → 核心交换机”串联，防火墙负责过滤南北向流量，路由器负责 NAT 和路由转发。

安全策略上，默认拒绝所有入站流量，只放行必要的服务端口。校内服务器需要对外提供 WWW、FTP、邮件服务，除了放行这些服务端口外，还要考虑 NTP、SNMP 等管理协议的来源限制。原方案在软件清单里列了网络管理软件、网络防病毒软件和安全保密措施，这些在文档里可以单独成节——说明通过防火墙规则限制内网对外访问、在核心服务器区部署防病毒网关、对 SNMP 读写权限做严格 ACL 控制。课设里安全部分不需要做到生产级别，但至少要让评阅人看到安全意识。

5.4 路由协议选型说明：为什么原方案用 EIGRP，实际部署建议换 OSPF

原配置选择 EIGRP，主要原因是思科设备上 EIGRP 配置简单、收敛快、支持不等价负载均衡，非常适合这种几十台设备的小型园区网拓扑。但 EIGRP 是思科私有协议，常见的国产网络设备并不支持。真实项目里稍微规范一点的园区网，核心设备之间跑单区域 OSPF 或静态路由更务实。

如果是我做这份课设，会把配置底稿直接改成 OSPF，单区域配置如下：

conf t router ospf 1 network 192.168.1.0 0.0.0.255 area 0 network 192.168.2.0 0.0.0.255 area 0 network 192.168.3.0 0.0.0.255 area 0 network 222.192.4.0 0.0.0.255 area 0 exit

OSPF 与 EIGRP 在配置思路上高度相似，但 OSPF 是标准协议，答辩时被问到“为什么选这个协议”更有说服力。原方案文档保留 EIGRP 没有问题，复现时可以对照两套配置，理解路由协议在“通告网段”这件事上的共同逻辑。

6. 常见问题与排查：五个容易翻车的细节和验证手段

6.1 C 类地址装不下 255 台主机

现象：地址表里写 192.168.1.1 到 192.168.1.255，所有 255 个地址都被当成可用主机地址。原因：一个 /24 网段里，主机位全 0 是网络地址，全 1 是广播地址，实际可用地址只有 254 个。解决：把地址范围写成 192.168.1.1 到 192.168.1.254，信息点数量按“最多 254 台”表述，或明确说明 255 是设计理论极值。

6.2 地址规划文档前后不一致

现象：方案正文把行政和现教的划分地址写成 222.192.1.0，IP 分配表里却是 222.192.4.0，两张表对不上。原因：写文档时从不同草稿里复制粘贴，没有统一最终口径。解决：所有章节共用一张地址总表，写完后用“查找”功能核对每个 222.192.x.x 出现的位置，保证只出现最终分配版本。

6.3 广播域未隔离导致全网掉包

现象：不划 VLAN 时，内网主机一多，ARP 广播把交换机 CPU 占满，跨部门访问延迟高、丢包严重。原因：所有部门在同一二层广播域。解决：按 VLAN 隔离部门，用户的网关全部终结在核心三层交换机上，跨 VLAN 流量走三层转发，广播报文不再全网扩散。

6.4 交换机端口数计算被答辩追问

现象：11 台 24 口交换机，信息点却报 255，端口数表面上看是 264 口，足够，实际接完上联口只剩 253 口。原因：把 24 口全部当作可用口计算。解决：文档中单独说明“每台接入交换机预留 1 个上联口”，并将信息点容量表述为 253 台满配，或调整为 12 台接入交换机方案，避免口径冲突。

6.5 NAT 地址池与部门地址重叠

现象：NAT 池和现教中心主机的公网地址重叠，内网访问外网时断时续。原因：地址池使用了 222.192.4.129 到 148 之间已被分配出去的地址。解决：规划时把 222.192.4.0 这个 C 类按三段管理——部门直连段、NAT 池段、设备管理段，用表格固定后不再改动。

验证手段方面，设备配置完成后从接入层主机逐段检查：先 ping 本部门网关，再 ping 跨 VLAN 的计算机系网关，最后 ping 教育网地址。配好 NAT 后在出口路由器上执行 show ip nat translations，确认内网私有地址转换后的公网地址落在地址池范围内。多台设备之间检查路由表执行 show ip route，重点看 222.192.4.128/25 这个子网有没有被自动汇总吃掉。

这套课设做完之后我养成了一个习惯：任何地址规划，动手配置之前先画一张“地址角色表”，把每个网段是给用户、给网关、给 NAT 池、给设备管理逐一标清，再开始写配置。这个习惯帮我避开了大半的网络故障。希望帮到你。

本文还有配套的精品资源，点击获取