简介一份计算机网络课程设计报告面向高校网络工程或计算机相关专业的学生聚焦校园网网络构建方案的设计与实现。报告以某高校两校区、每校区2000多个信息点、仅申请到4个C类公网地址的真实场景为需求背景系统阐述利用VLAN划分将学生公寓与教师子网隔离在不同广播域并通过静态NAT、动态NAT及端口多路复用PAT解决私有地址接入Internet的方案同时涵盖需求分析、设备选型、拓扑结构设计、三层交换机VLAN配置、路由器NAT与路由表调试验证等完整流程。包体为1个PDF文件大小1.45MB包含Visio绘制的拓扑图及逐步配置命令说明结构紧凑。目前已有140人学习下载。读者参考此报告可快速掌握VLAN隔离、NAT地址转换、默认路由配置等核心技能并可直接借鉴其多校区网络设计的分析思路和实验环境下的调试方法。1. 校园网设计的核心矛盾广播域隔离与IP地址枯竭4个C类公网地址一共只有1024个可用IP却要承担两个校区总共4000多个入网信息点的日常接入同时还得限制学生宿舍和教师宿舍之间互相广播这就是这份校园网课程设计真正想解决的问题。设备不算新技术也不算前沿——VLAN隔离、NAT地址转换、静态路由但组合在一起就构成了一个典型的多校区出口网络模型。这份报告最有价值的地方在于它没有只停留在概念上而是把DCRS-5526S交换机和DCR-2626路由器的命令完整跑了一遍并给出了每一条验证结果。我按先说清为什么这样选再复现配置命令最后看排错的思路来拆解适合正在做计算机网络课程设计的人直接参考也适合负责小规模园区网维护的工程师对照检查自己的配置习惯。2. 用VLAN把宿舍网和教师网切成独立广播域2.1 为什么二层隔离比IP子网隔离更直接校园网场景里常见的误区是只要给教师和学生分配不同IP段就算完成了隔离。实际上广播域是数据链路层的概念二层交换机默认所有端口处于同一个广播域ARP请求、DHCP Discover这些广播帧会扩散到整个VLAN 1。信息点一多广播报文占比升高所有主机都受影响。VLAN的作用就是在二层把端口划分到不同逻辑LAN每个VLAN是一个独立的广播域广播帧只在VLAN内部转发这样就满足了学生公寓子网和教师子网不在同一广播域的安全要求。选择VLAN而不是单纯靠路由器划分子网还因为VLAN可以跨物理交换机延伸。两个地理位置分离的校区只要中间链路打通同一VLAN可以在两台交换机上使用相同的VLAN ID和相同网关管理起来非常直观。而且VLAN划分不改变物理拓扑调整用户所属工作组时只需要修改交换机端口配置不用重新拉线。不同VLAN之间即使名字相同也无法直接通信必须走三层设备这正好为后续引入三层交换机和路由器提供了理由。2.2 三层交换机的VLAN配置命令实验室环境使用DCRS-5526S三层交换机配置顺序是先恢复出厂设置再配置管理IP然后创建VLAN并把物理端口加入。我按报告实际执行顺序整理成完整步骤。switch#set default switch#write switch#reload switch#config switch(Config)#interface vlan 1 switch(Config-If-Vlan1)#ip address 192.168.1.2 255.255.255.0 switch(Config-If-Vlan1)#no shutdown switch(Config-If-Vlan1)#exit switch(Config)#vlan 100 switch(Config-Vlan100)#exit switch(Config)#vlan 200 switch(Config-Vlan200)#exit switch(Config)#vlan 100 switch(Config-Vlan100)#switchport interface ethernet 0/0/1-8 switch(Config-Vlan100)#exit switch(Config)#vlan 200 switch(Config-Vlan200)#switchport interface ethernet 0/0/9-16 switch(Config-Vlan200)#exitset default清除旧配置write保存空配置reload重启后实验环境干净。管理IP配置在interface vlan 1上因为VLAN 1是缺省VLAN所有剩余端口默认属于它后续通过这个IP管理交换机。创建VLAN后端口列表是空的必须使用switchport interface ethernet 0/0/1-8这种连续端口形式把端口批量划入。DCR系列支持端口范围简写其他厂商设备对应写法是interface range原理相同。端口规划关系如下表VLAN端口范围SVI网关地址使用场景VLAN 1Ethernet0/0/17-24192.168.1.2管理VLAN服务器接入VLAN 100Ethernet0/0/1-8192.168.2.1校区A学生公寓子网VLAN 200Ethernet0/0/9-16192.168.3.1校区A教师子网2.3 给VLAN配置管理地址和虚接口网关VLAN创建完成后学生机和教师机虽然处在不同广播域但还没有网关地址跨网段通信无法进行。需要给每个VLAN配置一个SVI虚接口也就是常说的VLANIF接口。这个地址同时充当该VLAN内PC的默认网关。switch(Config)#interface vlan 100 switch(Config-If-Vlan100)#ip address 192.168.2.1 255.255.255.0 switch(Config-If-Vlan100)#no shutdown switch(Config-If-Vlan100)#exit switch(Config)#interface vlan 200 switch(Config-If-Vlan200)#ip address 192.168.3.1 255.255.255.0 switch(Config-If-Vlan200)#no shutdown switch(Config-If-Vlan200)#exitinterface vlan 100进入VLAN100的虚接口视图ip address 192.168.2.1 255.255.255.0把网关地址和掩码绑定到这个虚接口。no shutdown是必须的SVI接口默认处于管理性关闭状态不打开的话VLAN100内的PC无法通过这个网关访问其他网段。配置后可以用show vlan查看端口与VLAN的绑定关系再用show ip interface brief确认三个SVI接口都是up状态。提示三层交换机上的VLAN间路由依赖这些SVI接口。如果把交换机降级为纯二层模式SVI配置不会生效VLAN间通信就只能靠外接路由器。3. NAT的三种形态与路由器配置静态映射、动态池、PAT复用3.1 三种NAT的适用边界校园网出口只有4个C类公网地址私网终端却有几千个NAT地址转换是必须的。但NAT不是只有一种写法静态NAT、动态NAT和PAT解决的是不同层次的问题。NAT模式映射方式公网地址占用适合场景静态NAT固定私网地址映射固定公网地址一对一长期占用对外提供Web服务的应用服务器动态NAT私网地址在地址池中随机挑选公网地址一个会话占用一个地址公网地址池比终端数量多PATOverload多个私网地址共享一个公网地址用源端口区分一个公网IP可支撑大量终端几千信息点只有少量公网地址很多配置教程会把动态NAT和PAT混在一起讲实际上overload关键字才是区分两者的关键。没有overload时路由器从地址池拿一个公网地址给一个内网主机主机数量不能超过地址池地址数量。加上overload后路由器改写源IP的同时改写源端口用端口号区分同一公网IP下的不同内网主机。本案例中每校区2000多信息点可用公网地址只有200多个纯动态NAT必然在高峰期耗尽地址池因此生产环境必须用PAT。3.2 Router-A的动态NAT加Overload配置Router-A负责校区A的出口转换配置分四步定义ACL、定义地址池、绑定转换规则、确认接口方向。Router-A#conf Router-A_config#ip access-list standard 1 Router-A_config_std_nacl#permit 192.168.0.0 0.0.255.255 Router-A_config_std_nacl#exit Router-A_config#ip nat pool netA 222.191.1.10 222.191.1.254 255.255.255.0 Router-A_config#ip nat inside source list 1 pool netA overload Router-A_config#interface f0/0 Router-A_config_f0/0#ip nat inside Router-A_config_f0/0#exit Router-A_config#interface f0/1 Router-A_config_f0/1#ip nat outside Router-A_config_f0/1#exit Router-A_config#ip route 0.0.0.0 0.0.0.0 192.168.1.2ACL中permit 192.168.0.0 0.0.255.255定义允许被转换的源地址范围后面的0.0.255.255是通配符掩码匹配192.168.0.0到192.168.255.255。ip nat pool netA语句定义合法地址池起始222.191.1.10结束222.191.1.254掩码255.255.255.0。核心命令ip nat inside source list 1 pool netA overload表示把ACL 1允许的内网源地址转换为netA池中的地址并启用PAT复用。接口方向要仔细检查F0/0接交换机侧属于内部接口必须配置ip nat insideF0/1接外网配置ip nat outside方向配反会导致转换表无法创建。3.3 应用服务器的静态NAT映射应用服务器需要同时对内对外提供Web服务内网用户通过192.168.1.110直接访问外网用户则必须通过一个固定的公网地址访问。静态NAT正好用于这种一对一固定映射。Router-A(config)#interface FastEthernet 0/0 Router-A(config-if)#ip nat inside Router-A(config-if)#exit Router-A(config)#interface FastEthernet 0/1 Router-A(config-if)#ip nat outside Router-A(config-if)#exit Router-A(config)#ip nat inside source static 192.168.1.110 222.191.1.110 Router-A(config)#writeip nat inside source static 192.168.1.110 222.191.1.110把内网服务器地址永久映射到公网地址222.191.1.110。外网访问222.191.1.110时路由器将目的地址改写为192.168.1.110并转发服务器回包时再反向改写源地址。注意222.191.1.110已经落在动态地址池222.191.1.10到222.191.1.254的范围内实际部署时建议把动态地址池终点改到222.191.1.109为服务器保留独立公网地址避免动态NAT先把该地址分配出去。验证使用show ip nat translations静态映射条目会对交换机显示空的协议类型和端口信息。4. 路由表与回址路由让两个校区按预期互访4.1 为什么需要回址路由校园网拓扑里最容易被忽略的是回程路径。Router-A拥有到三个校园网内部网段的直连信息但Switch-A并不清楚192.168.10.0/24即校区B网段应该往哪里走。当校区B的回应数据包到达Router-ARouter-A根据默认路由将其转发给192.168.1.2即Switch-ASwitch-A如果没有去往校区B网段的路由就会把包丢弃。这就是报告中提到的回址路由问题本质是让三层设备明确知道非直连私网网段的下一跳。默认路由解决的是去外部网络怎么走回址路由解决的是内部其他网段怎么走。两者都要配置不能相互替代。4.2 Router-A与Router-B的路由配置命令Router-A上需要配置三条指向Switch-A的静态路由覆盖VLAN1、VLAN100和VLAN200三个网段同时保留默认路由用于转发外部流量。Router-A_config#ip route 192.168.1.0 255.255.255.0 192.168.1.2 Router-A_config#ip route 192.168.2.0 255.255.255.0 192.168.1.2 Router-A_config#ip route 192.168.3.0 255.255.255.0 192.168.1.2 Router-A_config#ip route 0.0.0.0 0.0.0.0 192.168.1.2第一行静态路由把服务器所在VLAN1网段指向Switch-A第二行和第三行分别覆盖学生子网VLAN100和教师子网VLAN200下一跳全部是192.168.1.2即Switch-A的管理SVI地址。这样当外部流量要访问校园网内部任一网段时Router-A都能正确转发到交换机。最后一条默认路由在实验环境中指向192.168.1.2实际生产网络应该把默认路由指向运营商对端接口。Router-B连接的校区B网段较少配置相对简单。Router-B_config#ip route 0.0.0.0 0.0.0.0 192.168.10.2Router-B的默认路由下一跳是192.168.10.2这里需要注意不能写成192.168.10.1因为192.168.10.1是Router-B自己的F0/0接口地址指向自己的默认路由会形成路由环路。配置完成后使用show ip route查看Router-A路由表应显示三条静态路由加一条默认路由。4.3 用Ping结果拆解连通性报告中给出了非常详细的Ping测试结果我选取校区A学生子网VLAN100的PC作为测试源整理成下表测试目标结果原因分析192.168.1.1通Router-A内网接口直连222.191.1.1通Router-A外网接口直连222.191.1.2通Router-B外网接口直连192.168.10.1不通回程路由缺失或实验环境限制192.168.1.110通应用服务器静态NAT正常从表中的结果能看出一个规律Ping通222.191.1.2是正常的因为Router-B收到ICMP请求后直接从自身外网接口回应不需要查内部路由。但Ping 192.168.10.1时Router-B需要把响应报文送回校区A而它缺少去往192.168.2.0/24的路由所以响应报文被丢弃。这正好验证了回址路由的必要性。不同VLAN之间能通信是因为三层交换机上的SVI接口直接参与了路由VLAN100的PC Ping教师子网网关192.168.3.1时交换机在本地完成了三层转发。5. 网络调试验证中容易踩的三个坑通配符、地址池叠加与NAT表5.1 通配符不是子网掩码配置ACL时最常见的错误是把通配符当子网掩码写。permit 192.168.0.0 255.255.255.0看起来像匹配192.168.0.0/24实际上在ACL语境里255.255.255.0通配符表示忽略前三段、严格匹配最后一段匹配范围完全不对。正确写法是使用反掩码也就是通配符掩码计算公式为通配符掩码等于255.255.255.255减去子网掩码。例如子网掩码255.255.0.0对应通配符0.0.255.255子网掩码255.255.255.192对应通配符0.0.0.63。Router-A_config#ip access-list standard 1 Router-A_config_std_nacl#permit 192.168.0.0 0.0.255.255 Router-A_config_std_nacl#exit上面这段是正确写法0.0.255.255允许192.168.0.0到192.168.255.255整个B段。如果配置后发现NAT不生效优先检查ACL里的通配符是否写反。5.2 把所有C类地址都放进NAT池报告中实验只使用了两个C类地址但实际规划应该把申请到的4个C类全部纳入地址池。Router-A可以追加222.191.3.0/24Router-B追加222.191.4.0/24这样在高峰期有更大的转换地址余量。Router-A_config#ip nat pool cernet 222.191.3.1 222.191.3.254 netmask 255.255.255.0 Router-B_config#ip nat pool cernet 222.191.4.1 222.191.4.254 netmask 255.255.255.0如果还需要让其他网段也能访问外网在一个ACL中追加多条permit语句即可例如access-list 1 permit 172.16.98.0 0.0.0.255。5.3 用NAT表定位故障方向用户反馈无法访问外网时第一步不是重启设备而是执行show ip nat translations。如果NAT表为空说明ACL没有匹配到源地址或者inside和outside接口方向配反如果NAT表有大量条目且Outside全局地址相同说明PAT已经在工作。查看Outside本地地址和Inside全局地址的对应关系可以快速判断是哪台内网PC占用了地址池资源再决定是调整ACL还是扩充地址池。这个排查顺序比在物理链路上逐段测试更高效也更容易定位配置层面的问题。本文还有配套的精品资源点击获取