中级网络工程师网络规划与设计：需求分析、地址规划与协议选型

做网络这行的人去考中级网络工程师，最容易产生一种错觉：命令敲得熟，配置背得牢，考试应该稳了。真到考场上，上午题还能靠记忆扛一扛，下午题第一道"网络规划与设计"大题一摆出来——给一段几百字的园区网需求描述，让你画拓扑、分地址、选协议、写配置片段——很多人当场就卡住了。原因很简单，网络规划与设计考的不是你会不会敲命令，而是你能不能在信息不完整的情况下做出一套自洽的决定，并且把它讲清楚。这门考试的下午卷里，规划设计类题目几乎是固定出场的，它把 IP 地址规划、拓扑分层、路由选型、安全边界、设备估算这几块串成一条链，你任何一个环节塌了，后面全跟着歪。下面这些内容，是我自己备考和后来带人复盘的完整思路，既讲怎么在卷面上拿分，也讲这些判断在真实工程里为什么站得住脚，不管你是刚接触网络的新手，还是已经干了两三年想补一张证的从业者，都能直接拿去用。

1. 网络规划与设计在整张卷子里的位置，先搞清楚再谈复习

很多人复习的顺序是错的：先啃设备配置，再刷地址计算，最后剩两周才想起来看"规划"。这个顺序导致的结果是，知识点全是散的，做题时拼不起来。想明白网络规划与设计在考卷里到底扮演什么角色，比多背二十条命令有用得多。

1.1 它不是一个独立章节，而是贯穿上下午的骨架

从卷面结构看，上午那张卷子通常是一批单选题，覆盖面很宽，从数据通信基础、编码、传输介质，到局域网技术、广域网、路由交换、网络安全、网络管理、标准化知识都会扫到。这里面与规划设计的直接相关题目，往往是给你一个场景让你判断"该选哪种介质""这个地址块能不能汇总""这种拓扑的瓶颈在哪"。它们单题分值不高，但数量不少，而且一旦你对整体架构没有概念，这类题全靠猜。

下午那张卷子才是主战场。案例分析或问答题的形式，一般会给出若干道大题，其中至少有一道是完整的网络规划与设计场景：一段需求文字、一张不完整的拓扑草图、一张待填的地址规划表，然后连着问你拓扑为什么这么分、地址怎么划、设备怎么选、关键配置怎么写。这类题目是链式的，前一问错了，后面几问的答案基本也废了。所以我一直建议：复习的时候把规划设计当成主干，其他知识点往主干上挂。子网划分挂到地址规划上，路由协议挂到选型判断上，ACL 和 NAT 挂到安全边界上，这样记的东西才有落点。

顺带说一句关于分数线的常识，各科目满分通常按百分制之外的独立计分方式，合格标准一般按满分的六成左右划定，具体以当年公布的规则为准。这意味着你不需要样样精通，但规划设计这块绝不能出现整题空白，它是分值密度最高的区域之一，放弃它就等于主动让出十几二十分。

1.2 上午题考"判断"，下午题考"输出"

这两个科目对能力的要求完全不同，复习方法也必须分开。上午题是四选一，你只要能在一堆选项里排除掉明显错的，剩下的靠常识也能蒙对不少，所以复习重点是建立"边界感"：知道什么情况下不能用什么。比如什么时候不该用 RIP，什么规模的网络不该硬上 BGP，什么样的链路不适合跑高清视频，这些判断靠的是对技术特性的理解，不是背参数。

下午题是你要从零写出答案，没有选项给你提示。这就要求你能"输出"：画得出一张能看懂的拓扑图，列得出一张不重叠、不浪费的地址表，写得出符合题意而不是符合你自己习惯的配置思路。我见过太多人，选择题正确率不低，一到下午题就大面积失分，问题不在于不懂，而在于从来没练过"从需求到方案"的完整推导。这个能力只能靠手写练，光看是看不出来的。

提示：复习规划设计的正确姿势是拿一张白纸，把题干抄一遍，然后全程手写拓扑、手算地址、手写配置，写完之后再对照参考答案找差距。用眼睛看一遍参考答案产生的"我懂了"的错觉，在考场上会被瞬间打回原形。

一个具体的操作建议：把下午题的常见场景归类，园区网、分支机构互联、数据中心接入、无线覆盖这几类各有各的套路。每类自己完整写两遍，第三遍你会发现下笔速度快了不止一倍，因为很多判断已经形成条件反射了。

2. 需求分析：题干里那张没画出来的表，得先自己填满

绝大多数人做规划设计题的第一个动作是"画图"。这是个坏习惯。你连要接多少人、跑什么业务、有没有特殊要求都没搞清楚，画出来的拓扑只能是凭感觉。真实项目里，需求调研阶段能占到整个项目周期的两三成，考试虽然压缩了这个过程，但题干里给的那些零散条件，恰恰就是需求分析的浓缩版。

2.1 五类需求，缺一类后面全歪

工程上做需求梳理，一般会分成几个维度来过，这套框架在考场上同样适用。我把它整理成一张表，你做题时对着扫一遍，看看题干里哪些信息已经给了，哪些需要你按常规假设补上。

这张表的价值在于，它逼你在动笔之前把"我到底要解决什么问题"想清楚。题干里那些看起来像废话的描述——"该单位共有三栋楼""部分员工需要远程接入""对外提供网站服务"——每一句都对应着后面的一道小题。你把它们逐条标出来，转化成技术约束，答题时就不会漏。

2.2 把散落的文字条件转成约束清单

这一步是关键的转化动作，也是拉开分差的地方。举个典型的转化过程：题干说"某园区有三栋办公楼，每栋六层，每层约 40 个信息点，另有一个独立的对外服务器区"。这句话至少能导出五条约束。

信息点总数是 3×6×40 = 720 个，加上服务器区和预留，接入层端口需求大概在 900 到 1000 之间。按一台 48 口接入交换机实际可用 44 到 46 口算（要留上行口和堆叠口），大约需要 20 到 22 台接入交换机。每层 40 个点，一台 48 口机器就够了，所以接入层按"每层一台"布置最经济，三栋楼共 18 台，再加服务器区和管理区几台，总数正好落在估算范围内。这个推导过程就是规划的味道——数字不是拍出来的，是一层一层算出来的。

再看"独立的对外服务器区"这句话，它意味着必须划出 DMZ 区域，边界要有访问控制，服务器区不能直接和内部办公网放在同一个广播域里，地址规划上也要单独占一个段。这些结论都不需要题干明说，但你答题时必须体现，否则就是需求响应不完整。

我个人的经验是，做题时在草稿纸上画两栏：左边抄题干原句，右边写技术含义。抄到第五条你会发现，题干里没有一句话是白写的。这个方法在真实项目里同样管用，客户说的每一句抱怨背后都是一个没被满足的需求，只是他们不会用技术语言表达。

3. 层次化拓扑与冗余：图上每画一根线都要说得出理由

拓扑图是规划设计的门面。阅卷的人第一眼看的就是你画的图，图乱则印象分先丢一半。但比画得好看更重要的是，你画的每一根线、每一个框，都要能对应上一个理由。

3.1 核心、汇聚、接入各自该干什么、不该干什么

三层结构这个概念谁都会背，但真正理解它的人不多。它的本质是把"转发得快"和"管得住"这两件事拆开，让不同层级的设备专注做不同的事。

接入层是终端的第一跳，它的核心任务是端口密度、供电、接入认证和广播域隔离。这一层设备不需要很强的路由能力，但要够多的端口、够便宜、够好管理。把复杂的策略往接入层压是最常见的错误，一栋楼几十台接入交换机，每台都配一堆 ACL，改一次策略要改几十遍，运维成本立刻爆炸。这也是为什么真实项目里接入层通常只做 VLAN 划分和端口安全，策略统一往上收。

汇聚层是策略执行点。VLAN 间的路由、地址汇总、访问控制、QoS 标记，这些活都在这里干。它把下面几十个接入交换机的网段汇总成一条路由往上送，让核心层的路由表保持干净。一个中型园区做下来，接入层的网段可能有几十个，如果不做汇总，核心设备的路由表会被撑得很难看。

核心层只做一件事：高速转发。它不接终端，不做策略，不跑复杂的访问控制。核心层设备的选型看的是背板带宽和包转发率，追求的是"什么都不管，只管快"。很多方案栽在核心层上塞了一堆策略，结果流量一大就成瓶颈。

有个判断口诀可以记一下：能往上传的策略就别往下压，能往下放的广播域就别往上扩。这句话解决了我见过的绝大多数拓扑设计问题。

3.2 冗余不是多连一根线，是让故障有确定的收敛路径

题干里只要出现"不允许单点故障""关键业务不能中断"这类字眼，你就必须做冗余，但冗余不等于到处乱连线。乱连线会带来环路，环路要靠生成树去阻塞，阻塞就意味着有一半的链路平时是闲置的，资源浪费不说，收敛过程还会造成短暂中断。

正确的做法是把冗余设计成有明确主备关系的结构。核心层两台设备做冗余网关，汇聚层双上行分别接到两台核心上，接入层双上行接到两台汇聚上。这样任何一台设备、任何一条链路挂掉，业务都能在秒级内切过去。关键是要让生成树的阻塞点落在你预期的地方，这靠的是合理的优先级规划，而不是让设备自己随便选。

这里有个高频考点也是高频实操点：普通生成树的收敛时间在几十秒量级，快速生成树能压到秒级，多实例生成树可以按 VLAN 分组做负载分担。答题时如果题干强调"中断时间要尽可能短"，你就应该提到快速生成树或多实例生成树，而不是只说"用生成树防环"。

链路聚合是另一个常被忽略的点。两条千兆链路做聚合，得到的是 2Gbps 的逻辑带宽，而且其中一条断了另一条还在，这比单纯的备份链路利用率高得多。但要注意，聚合两端的配置必须匹配，成员口的速率、双工、VLAN 属性都要一致，否则聚合起不来，这个细节在配置题里经常被拿来设坑。

网关冗余这块，虚拟路由冗余协议是最常考的。它的逻辑很直白：两台设备共用一个虚拟 IP 和虚拟 MAC，终端把网关指向这个虚拟地址，主设备挂了备设备接管虚拟身份，终端完全无感。配置的关键是优先级要设得能分出主备，并且要跟踪上行链路状态，否则上行断了但设备本身还活着，网关不切换，业务照样不通。这个"跟踪上行链路"的动作，是我见过的方案里最常漏掉的一环。

4. IP地址规划：考场上是送分题，也是最容易翻车的计算

地址规划这块，会的人觉得简单，不会的人每次都在同一个地方栽跟头。它的规则其实很死，只要方法对，基本不会错。但偏偏考场上时间紧、心一慌，块大小算错一位，后面整张表全废。

4.1 从主机数倒推掩码，按块大小顺排

我习惯的做法是三步走，不走回头路。第一步，把所有子网按需要的主机数量从大到小排序。第二步，从主机数倒推主机位数，2 的 n 次方减 2 要大于等于需求数，减 2 是因为网络地址和广播地址不能用。第三步，从地址空间的低端开始，按块大小依次分配。

举个完整的例子。假设拿到 192.168.10.0/24 这个段，需求是四个子网分别要 60 台、28 台、12 台、5 台主机，另外还有两条设备互联链路。

这套流程的关键在于"块大小"这个概念。块大小等于 2 的主机位数次方，也等于 256 减去掩码最后一个字节的值。分配时下一个网段的起始地址一定是上一个网段起始地址加上块大小，这样永远不会重叠。很多人出错是因为跳着分配，分完大的分小的，中间又插进去一个，算着算着就乱了。

考场上有几个必须检查的点，我列出来，你答题时对着核一遍。每个网段的网络地址必须是块大小的整数倍，比如 /26 的网段起始地址最后一位只能是 0、64、128、192。主机位不能全 0 也不能全 1。互联链路优先用 /30，两个可用地址刚好一边一个，不浪费。如果题目要求地址汇总，汇总后的网段必须能覆盖所有子网且不越界。

4.2 互连链路、管理地址、预留块怎么留

这部分是区分"会算"和"懂规划"的分水岭。只会算的人把地址分完就交卷了，懂规划的人会额外留出几块空间。

设备互联链路要单独占段，不要和业务网段混在一起。这不仅是规范问题，更是运维问题——互联地址和业务地址混在一块，排查故障时你根本分不清哪个地址是设备自己的，哪个是主机的。互联段用 /30 最省，但如果考虑到未来可能扩容或者要做链路聚合，留 /29 也行，多出来的地址可以用作环回口或者管理口。

管理地址必须单独规划。所有网络设备的带外或带内管理地址应该在一个独立的网段里，然后通过访问控制只允许运维终端访问。这一条在安全设计题里是加分项，因为把管理面和业务面混在一起是典型的安全隐患，一旦业务网被渗透，设备管理权直接暴露。

预留空间这块，我的经验是按每个区域预留 20% 到 30% 的地址量，同时在整个地址池的尾部留一整块连续的地址不要动。为什么要留连续的？因为将来如果要做地址汇总，只有连续块才能汇总成一条路由。零散的空闲地址汇总不了，反而会让路由表越来越长。

注意：不要在题目给的地址段里"见缝插针"式地分配。哪怕当前能塞进去，将来扩容时你会发现所有空隙都不够大，最后只能整体重规划，代价远高于当初多留一块。

还有一个容易被忽略的点：地址规划完成后，要顺手想一下 DHCP 的部署方式。如果终端数量多、分布在多个网段，网关设备上要开 DHCP 中继，把请求转发到统一的地址分配服务器上。这个细节在配置题里经常和地址规划连着考，答题时提一句能体现你考虑得完整。

5. 协议与安全边界的选型判断链

选型题最容易出现的情况是：把所有能用的协议都列一遍，然后说"根据实际情况选择"。这种答案在考场上拿不到分，因为阅卷的人要看的是你的判断依据，不是你的知识广度。选型必须给出"因为 A 所以选 B，如果换成 C 就选 D"这样的链条。

5.1 路由协议：先看规模和管理边界，再看收敛

我的判断顺序是固定的三个问题：网络规模多大？有没有管理边界？对收敛速度要求多高？

如果只是个位数的网段，静态路由就够了，配置简单、不占资源、行为可预测。很多人在小网络里硬上动态路由，结果为了几条路由配一堆协议参数，纯属自找麻烦。反过来，网段数量上去、拓扑有冗余、链路可能变化，就必须上动态路由，因为静态路由没法自动适应链路故障。

内部网关协议里，距离矢量型和链路状态型的差别是必考点。前者只知道自己直连的邻居和距离，靠邻居口口相传来学习路由，收敛慢，还有计数到无穷的问题，适合小规模网络。后者维护全网的拓扑数据库，自己算最短路径，收敛快，支持分层设计，适合中大规模网络。中型园区网基本都会选链路状态型，因为它支持区域划分，可以把接入层的地址变化限制在区域内部，不影响骨干。

区域划分这件事要说清楚：所有区域必须挂在骨干区域上，非骨干区域之间不能直接交换路由。这条规则在答题时经常被问到"为什么"，理由是防止区域间的路由环路，同时让拓扑变化的影响范围可控。你在卷面上写"采用多区域设计，接入区块划入普通区域，核心骨干作为传输区域，减少链路状态更新对全网的影响"，这就比写"使用分层设计"具体得多。

外部路由协议这块，除非题目明确提到多自治系统互联、跨运营商接入、或者需要精细的路由策略控制，否则不要主动往上套。它的配置复杂度、对设备性能的要求、以及对运维人员的能力要求，都远超内部协议。考试里如果题干给了"两条不同运营商的出口链路"，那可以考虑用它来做选路，但如果只是单一出口，默认路由加地址转换就够了。

5.2 ACL与防火墙规则：顺序和反掩码是两个高频失分点

访问控制这部分，知识点不复杂，但坑很集中。第一个坑是规则顺序。访问控制列表是从上往下逐条匹配的，命中就停，所以顺序直接决定结果。你要是把"允许所有"写在第一条，后面写再多拒绝规则都是摆设。正确顺序是先写具体的允许规则，再写具体的拒绝规则，最后用一条默认拒绝兜底。

第二个坑是反掩码算错。访问控制里的通配符掩码和子网掩码是反过来的，0 表示必须匹配，1 表示忽略。换算方法很简单：用 255.255.255.255 减去子网掩码。比如 /27 的掩码是 255.255.255.224，反掩码就是 0.0.0.31。这个计算必须练到不用想，因为考场上没有时间给你推。

防火墙这块，答题时要把区域划分讲清楚。典型的分法是三个区：内部可信区、外部不可信区、以及夹在中间的隔离区。对外提供服务的服务器放在隔离区，外部用户只能访问隔离区里的特定端口，进不了内部区；内部用户上网走地址转换，外部看不到内部地址结构。这套结构写出来，基本就覆盖了安全边界类题目的大部分得分点。

有个细节值得单独提：规则设计要遵循最小权限，只开业务真正需要的端口，源和目的都要限定，能精确到单台主机就不要写成整段。这条原则在卷面上写一句，比堆十条规则更能体现你的判断力。真实运维中这条更重要，因为一条过宽的规则可能三年都没人发现，直到出事。

6. 带宽、设备与链路的数字估算

规划设计题里总会有那么一两问需要动笔算数字，很多人直接跳过，觉得"这题不重要"。恰恰相反，计算题是按步骤给分的，你写出公式就有分，算出结果再拿分，性价比极高。

6.1 背板带宽与包转发率的口算方法

这两个参数是交换机选型的硬指标。背板带宽的算法是：所有端口的速率之和乘以 2（因为是全双工，收发各一份）。包转发率的算法是：按最小包长 64 字节算，千兆口线速转发能力约 1.488 兆包每秒，万兆口约 14.88 兆包每秒。

拿一台 24 个千兆口加 4 个万兆口的设备举例。背板带宽下限是 (24×1 + 4×10) × 2 = 128 Gbps。包转发率下限是 24×1.488 + 4×14.88 ≈ 95.2 兆包每秒。这两个数算出来，你就可以去和设备的标称参数对比，标称值达不到线速就别指望它满负荷不丢包。

这个计算在考场上出现频率不低，因为它能同时考端口速率、全双工概念、以及 64 字节最小包这几个知识点。你只要记住那两个常数，剩下的就是加减乘除。

顺便说一个路由器的对应概念，路由器的转发能力通常看包转发率而不是背板带宽，同样按最小包计算。如果题干给你一个"万兆接口的路由器"，你要能反应过来它的包转发率门槛在 14.88 兆包每秒这个量级。

6.2 收敛比、线缆长度与机房余量

收敛比这个概念在园区网设计里绕不开。它描述的是下行总带宽和上行总带宽的比例。一台 48 口千兆接入交换机，如果只有两条千兆上行，收敛比就是 48:2，也就是 24:1。这个比例说明所有端口同时满速跑是不可能的，但对于普通办公场景，同时满速的概率极低，所以这个比例是合理的。

题目如果强调"存在大量并发大流量业务"，比如视频监控回传、大规模文件传输、集中的备份业务，那收敛比就要往下压，比如做到 4:1 甚至 2:1，也就是上行要上万兆甚至多条万兆聚合。答题时把这个逻辑写出来——"根据业务并发特性确定收敛比"——比直接给一个数字更有说服力。

线缆长度是个容易被轻视的点。双绞线的水平链路长度上限是 90 米，加上两端跳线各 5 米，通道总长不超过 100 米。超过这个距离要么改用光纤，要么增加中间节点。答题时如果题干给了楼层跨度或者建筑间距离，你要能主动判断哪些链路必须走光纤。楼间主干基本都得用光纤，这个结论几乎不用犹豫。

机房这块，简单算两个数就够了。机柜空间按设备 U 数加总，再留三成冗余；供电按单台设备功耗乘数量，加上空调和照明的功耗，一般按设备总功耗的 1.5 到 2 倍配容量。这些数字在卷面上不用算得特别精确，但要体现出"我考虑过"。

提示：估算类题目一定要写计算过程。哪怕最后结果差了，只要公式和思路对，步骤分基本能拿到。空白是最亏的。

7. 答卷怎么组织才不被扣分

最后聊聊答题形式。内容对了但形式乱了，一样会被扣分，这在规划设计类题目上尤其明显，因为这类题本来就是主观评分，阅卷的人要在很短时间内判断你的水平。

7.1 地址表和拓扑图的规范画法

拓扑图不用画得多漂亮，但必须能看清三件事：分了几层、每层有什么设备、线是怎么连的。我的习惯是用方框代表区域，框内写设备类型和数量，框之间用线连接并标注链路速率和介质类型。核心层放中间，汇聚层在两侧，接入层在最下面，服务器区单独画一个框挂在核心或汇聚上，出口设备画在最外侧并标注连接的是外部网络。

地址表必须完整，至少包含网段、掩码、网关、用途、可用地址范围这几列。缺一列就是信息不全。表里的每一行都要能对应到拓扑图上的某个区域，不能出现图上有、表里没有的情况。

配置片段这部分，注意顺序。一般按"先基础后业务"的顺序写：设备命名和接口地址、VLAN 创建和端口划分、路由协议、网关冗余、访问控制。每题只写题目问到的部分，不要一股脑全写上去，写多了不但不加分，写错了还倒扣。

7.2 答"为什么"的时候要给排除理由

规划设计题里大量出现"为什么这样设计"的问法。只写正面理由是不够的，高分答案通常还会带上"为什么不选另一个"。

比如问为什么汇聚层做地址汇总，除了说"减少核心层路由表规模、提高稳定性"，再补一句"如果不做汇总，接入层的网段变化会直接传导到核心，造成路由震荡"，这样就把两种做法的后果对比出来了。再比如问为什么用虚拟路由冗余协议而不是简单的双网关，可以补一句"双网关方案下终端只能配置一个默认网关，网关故障后需要人工介入切换，无法自动恢复"。这种"给了正面理由还给了排除理由"的答法，能明显看出你是想清楚了而不是背下来的。

我在实际带人的过程中发现，能写出排除理由的人，通常也是做方案时真正比较过几种选型的人。这个习惯一旦养成，做真实项目时的方案评审会顺利很多，因为你提前把别人要问的问题回答了。

考前最后再练一遍完整流程：读需求、列约束、画拓扑、分地址、选协议、算设备、写配置、说理由。走顺了，这道题就是你的稳拿分项。