简介源自安阳工学院的校园网络总体规划设计方案是一份计算机网络工程课程设计报告面向网络工程专业学生及需要完成校园网规划类课程设计的读者。方案以建设真正意义上的宽带多媒体校园网为总目标完整覆盖需求分析、网络规划原则、层次化网络结构、主干网构建、VLAN与IP地址规划、路由方案实施等环节既讲设计思路也给出具体配置步骤帮助理解从调研、设计到落地验证的全过程。压缩包共1个doc文件容量376KB为完整文字方案便于阅读、修改和排版复用。目前已有1469人学习下载。文档以真实校园为场景包含设计背景、任务书、工作计划、结果实现与心得收获等模块内容结构遵循课程设计规范可作为同类课程设计撰写范本也可为校园网建设初期的总体架构设计提供实践参考。1. 一张总平面图撑不起校园网络的总规做过几个学校网络改造后会发现真正难的不是买设备而是把“教室要上网、宿舍要带宽、办公要隔离、机房要集中管理”这些需求翻译成一张能指导施工和运维的规划方案。绝大多数校园网项目失败不是设备性能不够而是从一开始就没做总体规划IP 乱分、vlan 跟着交换机走、出口链路单点、监控和办公挤在一个广播域里等到开学第一天就爆出各种问题。这篇内容按“先定架构、再分 vlan、后做路由冗余、再谈运维安全”的顺序把一份可以用于招标和施工的校园网络规划设计方案拆开来讲。面向的是网络规划设计师、集成商工程师以及学校信息化部门里真正要动手的人。方案采用的是三层网络模型加双核心冗余中间会给出可复用的地址规划表、设备配置思路和验收检查清单。看完能直接对照自己的校园环境做裁剪而不是拿着一堆产品彩页无从下手。2. 网络总体规划的前期工作需求调研与带宽测算2.1 先分清校园网里的业务类型再做差异化设计校园网和政企网最大的区别在于用户行为极不稳定。上课时间教室区域是重载视频流晚自习后宿舍区域变成 P2P 和游戏流量为主办公区则是 OA、教务系统和视频会议混杂。如果把所有流量一视同仁地送进一张网高峰期任何一条链路都可能被打满。所以规划的第一步是把校园网按业务拆成几个逻辑平面教学区、办公区、宿舍区、后勤安防区、数据中心/服务器区。每个区域的终端数量、并发比例、带宽峰值都不一样。常见做法是在各个区域的汇聚交换机上部署流量统计观察一周的数据再定带宽但大多数学校没有这个条件。用经验值估算也可以教学区按每个信息点 2-4Mbps 并发带宽、宿舍区按每床位 4-8Mbps 并发带宽、办公区按每人 10Mbps 起步来算再乘以同时在线率 30%-50%基本可以作为出口带宽和下联链路的设计依据。出口带宽的测算公式通常是这样出口带宽 在线用户数 × 每用户保证带宽 × 并发复用系数举例一个 3000 人的学校同时在线约 1500 人每人保证 4Mbps并发复用系数取 0.3则出口带宽需求约为 1800Mbps。这个数字决定了你采购专线还是多链路拨号也决定了防火墙和出口路由器的处理性能。2.2 信息点统计与弱电间定位带宽是横向的容量问题信息点则是纵向的覆盖问题。信息点统计不能只数教室和办公室还要把无线 AP、门禁、IP 电话、安防摄像头、电子班牌全部算进去。一个标准的教学楼弱电间通常规划 24-48 个有线点加 6-12 个 AP 接入每层一个弱电间。宿舍楼按每间 4-8 个信息点估算每人一个有线口加一个 AP 位。信息点数量直接决定接入交换机的端口密度和弱电间数量后面所有 vlan 和 IP 规划都依赖于这份统计表。这里给出一张常用表格结构做规划时可以直接套用建筑区域信息点类型预估数量接入交换机台数上联带宽需求教学楼A有线AP2406台48口2×10GE宿舍楼B有线AP52012台48口2×10GE行政楼有线AP1804台48口2×10GE监控中心摄像头3208台24口1×10GE弱电间的位置也有讲究尽量放在楼层中间让水平双绞线到最远信息点的距离不超过 90 米。这是一个常被忽略的细节很多现场施工图好看但实际拉线超距最后只能用延长器或者增加弱电间来补救成本翻倍。2.3 绘制拓扑草图先确定三层结构校园网的物理拓扑建议采用经典的三层结构核心层、汇聚层、接入层。小型校园500 点以内可以省掉汇聚层用两层结构直接核心到接入中大型校园必须保留汇聚层否则核心交换机的端口、ACL 和路由压力会非常大。核心层负责高速转发和路由部署两台设备做双机。汇聚层按区域划分每栋楼或每组楼放两台做堆叠或双链路向上分别连接两台核心向下汇聚接入交换机。接入层就是普通用户接入透明传输 vlan由汇聚或核心下发配置。这个结构看上去老套但它是目前可运维性最好、故障定位最方便的网络模型。网络规划与排障工作里八成以上的问题排查都是顺着这个分层逐级往上找的。3. 校园网 vlan 规划与 IP 地址分配方案3.1 vlan 划分原则按业务隔离不按物理位置硬切很多毕业设计里的校园网方案喜欢每栋楼一个 vlan甚至每层一个 vlan看起来清晰实际运维时非常痛苦。师生从教学楼到图书馆IP 段在变、网关在变DNS 和认证都要重新来体验极差。合理的做法是按业务类型划分 vlan而不是按位置。教学区一个 vlan 段、办公区一个 vlan 段、宿舍区按楼栋细分成多个 vlan 段这样所有教室无论在哪栋楼IP 段和网关保持一致宿舍楼每栋一个段方便做每用户限速和计费。无线网络单独拆出来用独立的 SSID 和 vlan和有线物理隔离。打印机、门禁、安防摄像头也各给一个段避免这些设备干扰正常的用户上网流量。下面是一个典型的 vlan 规划表vlan ID用途网段网关说明10教学有线10.10.0.0/2210.10.3.254教学楼、实验楼20办公有线10.20.0.0/2310.20.1.254行政办公30宿舍楼A10.30.0.0/2310.30.1.254每楼一个段40宿舍楼B10.40.0.0/2310.40.1.254每楼一个段50无线用户10.50.0.0/2010.50.15.254全校园漫游60安防监控10.60.0.0/2210.60.3.254独立隔离70服务器区10.70.0.0/2410.70.0.254数据中心前置100设备管理10.255.0.0/2410.255.0.254网络设备互联这里有一个关键点无线用户段用 /20 的大段是为了保证用户在校园内跨楼漫游时无须更换 IP。只要整个无线网络是一个二层广播域终端从教学楼走到宿舍楼关联到新的 AP 时还保持着原来的 IP 和网关漫游体验会好很多。3.2 IP 地址规划里的几个细节地址规划不是随手写几个网段就算完有几个细节直接决定后期运维效率。第一个是网关地址统一设在每个网段的最后一个可用地址。比如 10.10.0.0/22网关用 10.10.3.254 而不是 10.10.0.1这样在所有交换机上配置 vlanif 接口时网管员只要看到网段就能猜到网关在哪不需要翻表。第二个是设备管理地址单独规划一个段不要混在业务网段里。所有交换机、AP、防火墙的管理 IP 统一放 10.255.0.0/24 里通过独立的 vlan 100 只允许运维网段访问配合 SSH 登录和 ACL 限制来源降低设备被攻破的风险。第三个是 DHCP 地址池要预留一部分静态绑定地址给打印机、门禁控制器、IP电话这类需要固定 IP 的终端。预留方式有两种一种是在地址池里做 exclude-address 排除另一种是做 DHCP 静态绑定推荐后者绑定表一目了然打印机换 IP 只改一处。3.3 配置实例核心交换机上的 vlan 与 DHCP 设置在做毕业设计或者真实项目时最常接触的商用设备是华为或华三两者命令风格接近。下面以华为 VRP 的配置思路为例给出核心交换机上的 vlan 配置# 创建业务 vlan vlan batch 10 20 30 40 50 60 70 100 # 配置各 vlan 的三层网关接口 interface Vlanif10 ip address 10.10.3.254 255.255.252.0 interface Vlanif20 ip address 10.20.1.254 255.255.254.0 interface Vlanif50 ip address 10.50.15.254 255.255.240.0上面这段的意义是网关统一放在核心层接入和汇聚交换机只做二层转发用户的三层网关只有一个地方需要维护这比把网关散布在汇聚设备上更利于统一管理。接下来配置 DHCP给终端分配地址# 开启全局 DHCP dhcp enable # 教学区地址池 ip pool pool_teach network 10.10.0.0 mask 22 gateway-list 10.10.3.254 dns-list 10.70.0.10 114.114.114.114 lease day 1 hour 0 minute 0 excluded-ip-address 10.10.2.1 10.10.3.199 # 无线用户地址池 ip pool pool_wireless network 10.50.0.0 mask 20 gateway-list 10.50.15.254 dns-list 10.70.0.10 114.114.114.114 lease day 2 hour 0 minute 0 # 给各 vlanif 应用地址池 interface Vlanif10 dhcp select global interface Vlanif50 dhcp select global这里的excluded-ip-address是为了把打印机、多媒体中控这类设备预留出来手动分配静态 IP不参与 DHCP 自动分配。租期设置也需要注意教学区短租期一天是合理的因为用户终端经常变化无线网络租期两天可以减少 DHCP 请求频率降低核心设备的 CPU 负担。3.4 接入交换机上的 vlan 透传配置接入交换机只需要做二层转发将用户端口划入对应 vlan并把上联口配置为 trunk放行相关 vlan。一个容易犯错的地方是到处放行 all vlan这会把每一层的广播域扩大到整个网络实际效果跟不划 vlan 差不多。# 接入交换机上联口配置 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 30 50配置的原则是“只放行必要的 vlan”。如果一层弱电间里只有教学有线网和无线 AP那 trunk 里就只放 vlan 10 和 vlan 50不要放行宿舍楼和办公楼的段。这样一旦某个 vlan 里出现广播风暴或者环路影响面会被限制在一栋楼的局部范围而不是波及全校。4. 路由与冗余设计双核心、多链路的可靠性方案4.1 双核心的两种做法堆叠还是三层互联校园网的核心设备是整个网络的命脉一旦宕机全校断网所以必须做冗余。但“买两台设备接在一起”和“做成一套高可用系统”是两码事。目前主流做法有两种堆叠集群和三层双机热备。堆叠是把两台交换机虚拟成一台逻辑设备管理简单跨设备链路聚合配置也方便适合接入层和汇聚层使用。三层双机热备则是两台核心各有独立的三层角色通过 VRRP 或者路由协议协商决定谁在主谁在备。核心层我一般推荐做三层双机不推荐堆叠。原因是堆叠的升级和重启会影响整个逻辑设备而三层双机可以将其中一台独立重启而另一台继续承载流量对业务的影响降到最低。华为设备上使用 VRRP 的配置思路如下# 核心交换机A 上的配置 interface Vlanif10 ip address 10.10.3.252 255.255.252.0 vrrp vrid 10 virtual-ip 10.10.3.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 20 # 核心交换机B 上的配置 interface Vlanif10 ip address 10.10.3.253 255.255.252.0 vrrp vrid 10 virtual-ip 10.10.3.254虚拟 IP 就是用户配置的网关地址 10.10.3.254。正常情况下 A 作为主设备转发流量A 故障后 B 在几秒内接管虚拟 IP 继续转发。preempt-mode timer delay 20的作用是防止 A 恢复后立即抢回主角色导致网络抖动给 20 秒的稳定时间让链路和表项先收敛完成。4.2 汇聚到核心的双链路设计跑生成树还是以太网链路聚合汇聚层向上连接核心常见的有两种方案两条链路各跑各的用生成树阻塞一条或者把两条链路做链路聚合变成一个逻辑链路同时使用。在校园网里绝大多数汇聚交换机到核心之间跑的是普通千兆或万兆采用链路聚合更有价值。把两条物理链路聚合成一条 2×10GE 的逻辑链路带宽翻倍且天然有冗余任何一条物理链路断了都不需要重新收敛只是总带宽减半。这比生成树阻塞链路再等 STP 重新计算要快得多也简单得多。配置也非常直接# 汇聚交换机上配置 Eth-Trunk interface Eth-Trunk1 mode lacp-static trunkport GigabitEthernet0/0/1 trunkport GigabitEthernet0/0/2 interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 10 30 50LACP 模式相比手工模式的好处是它能自动检测对端是否支持 LACP如果其中一条链路出现单向通的情况LACP 会通过超时机制自动把故障链路踢出聚合组保证流量不会从一条坏的链路上转发出去。4.3 出口路由与 NAT 策略别把默认路由写得太死出口通常接防火墙或出口路由器再连接到运营商线路。校园网的出口设备需要做 NAT、策略路由、带宽限速。常见的错误是只写一条默认路由指向运营商没有做链路切换。如果学校有两条出口链路比如电信和联通各一条那么推荐采用策略路由教学流量走电信、办公和视频流量走联通或者按目的 IP 分流再配置一条优先级较低的默认路由作为备份。华为出口路由器上的双链路配置可以这样设计# 定义两条默认路由不同的优先级 ip route-static 0.0.0.0 0.0.0.0 100.64.1.1 preference 60 ip route-static 0.0.0.0 0.0.0.0 100.64.2.1 preference 80 # 针对特定目的网段做策略路由 acl number 3001 rule 5 permit ip destination 202.205.0.0 0.63.255.255 policy-based-route pbr_edu permit node 10 if-match acl 3001 apply ip-address next-hop 100.64.1.1 # 在出口接口上应用策略路由 interface GigabitEthernet0/0/0 ip policy-based-route pbr_edu上面的配置将教育网段流量强制走 100.64.1.1 这条链路其余流量匹配默认路由优先级电信线路断了自动切换到备份线路。这里要注意策略路由的优先级高于普通路由表只有命中了策略的流量才会走指定下一跳没有命中的流量仍然走常规路由。4.4 防环和广播风暴的兜底策略双核心加链路聚合的网络里最容易出现的故障是二层环路。虽然正常情况下汇聚到核心通过 Eth-Trunk 不会成环但接入层总会有老师或者学生私自接一台小交换机导致环路出现广播风暴直接打满核心 CPU。处理思路是在所有接入端口上开启环路检测和广播风暴控制# 接入交换机全局配置 loopback-detect enable # 接入用户端口配置风暴控制 interface GigabitEthernet0/0/1 broadcast-suppression 20 multicast-suppression 30 unicast-suppression 50 loopback-detect action shutdown这条配置的核心作用不是阻止环路发生而是在环路出现后的几秒内把端口自动 shutdown避免影响整台设备甚至整个上联链路。广播抑制比控制在 20% 左右是一个比较安全的起点不会影响正常的 DHCP 和 ARP 流量又能挡住异常广播风暴。注意不要把这个抑制配到 trunk 口上否则跨 vlan 的正常广播流量会被误伤。5. 校园网络的安全规划与运维监控认证、隔离和可视化5.1 接入层安全准入认证还是端口隔离校园网终端数量大、人员流动性强安全规划的重点并不是部署一堆高级安全设备而是从接入层把风险控制住。第一步是给每个有线端口和无线 SSID 做接入认证。常用做法是 802.1X 准入认证配合 RADIUS 服务器学生和教师用自己的账号登录网络管理员可以在后台看到每个人在哪个交换机的哪个端口在线出问题时可以直接定位到物理位置。如果学校部署 RADIUS 的预算有限也可以退而求其次做端口隔离加 MAC 白名单。端口隔离是最便宜的防护手段同一台接入交换机上的用户默认互相不可访问只能访问网关。像宿舍区这种用户之间经常共享文件的场景端口隔离会给使用带来不便所以一般只对访客网络或公共区域的接入交换机启用。教学和办公区建议开启端口隔离防止 ARP 欺骗和蠕虫病毒在二层横向传播# 接入交换机开启端口隔离 interface GigabitEthernet0/0/1 port-isolate enable这样配置后同一台交换机上的两个用户之间无法直接通信所有流量都经过网关转发可以在核心层做好 ACL 和流量审计。对 BYOD 设备多的校园环境这种设计可以明显降低内网横向攻击的风险。5.2 网络设备的远程管理与权限分级校园网的运维工作通常由学校信息中心两三个人负责设备多、人手少所以设备的远程管理安全和权限分级就非常重要。建议所有交换机、防火墙开启 SSH 管理关闭 Telnet管理账号分成只读和读写两级登录后限制来源 IP只允许运维网段访问。# 创建管理 vlan 并配置管理地址见前文 vlan 100 interface Vlanif100 ip address 10.255.0.254 255.255.255.0 # 开启 SSH 并限制来源 ssh server enable acl number 2001 rule 5 permit source 10.255.0.0 0.0.0.255 rule 10 deny user-interface vty 0 4 authentication-mode aaa protocol inbound ssh acl 2001 inbound这样外部网络访问不了设备只有 10.255.0.0/24 这个专门的管理网段能登录密码爆破的机会被压缩到最小。5.3 网络可视化监控用流量日志定位故障运维监控层面的配置常见做法是开启交换机端口流量统计、DHCP 日志上报、设备 syslog 统一收集。核心交换机上可以配置 NetStream 或 sFlow 把流量信息发送到流量分析平台观察哪些应用占用了出口带宽。没有专门流量分析平台的学校也可以用 Zabbix 配合 SNMP 抓取所有交换机端口流量曲线。华为设备开启 SNMP 的配置很简单# 只允许运维网段访问 SNMP snmp-agent snmp-agent sys-info version v2c v3 snmp-agent community read cipher public_cfg_ro acl 2001 snmp-agent community write cipher public_cfg_rw acl 2001这里的 community 名称只是演示实际部署建议用随机字符串并开启 SNMP v3 的用户认证和加密。监控平台采集到端口流量后设置阈值告警比如某台接入交换机端口持续五分钟超过 80% 带宽利用率就告警这样网络在真正瘫痪之前就能介入处理比出了问题再拿测线仪跑现场有效得多。5.4 IPv6 过渡规划不是选做题校园网是教育网出口的主要用户CERNET2 已经全面支持 IPv6很多高校的毕业设计和实际项目中也被要求必须支持 IPv6。但这不代表要把全网设备全部改成双栈。常见的做法是核心和接入交换机支持 IPv6 转发出口通过隧道或双栈方式接入教育网 IPv6办公和服务器区配置真实的 IPv6 地址普通用户区保持 IPv4用 NAT64 或 DNS64 做过渡。这个策略的实际价值在于让校园网内已存在的 IPv6 应用可以正常运行同时不会因为全面双栈而增加额外的运维负担。规划时只需要在网络拓扑图里标注清楚哪些 vlan 开启 IPv6哪些保持纯 IPv4避免了后期学校要求支持 IPv6 时再对全网设备做一次大改。6. 深化设计阶段的几个关键配置与检查清单6.1 设备命名规范与配置文件备份策略深化设计阶段第一件事是统一设备命名。没有规范的命名十台以上的交换机就会让人记不清哪个是哪个。推荐使用“区域-角色-位置-序号”的格式设备位置设备角色命名示例说明教学楼A三层接入交换机JX-A-3F-SW01教学A栋三层1号接入行政楼一层汇聚交换机XZ-HJ-SW01行政楼汇聚1号机核心机房核心交换机CORE-SW01核心设备主用机配置备份用 TFTP 或 FTP 定期备份到管理服务器。华为设备一键备份# 在用户视图下将当前配置保存并上传至备份服务器 save tftp 10.255.0.10 put vrpcfg.zip没做配置备份的校园网一旦设备故障更换新设备的配置全靠回忆重写少则半天多则数天。这个步骤的成本几乎为零收益却是实打实的。6.2 通过 ensp 验证规划方案的排查技巧做毕业设计或者没有现成设备的情况下验证网络规划方案通常会使用华为的 ensp 模拟器。环境里把核心、汇聚、接入交换机都搭好之后重点检查三件事。第一件事是在核心上查看 vlan 是否正确透传到接入设备看每个 vlan 是否有对应的网关接口。命令为display vlan display ip interface brief如果 vlan 没有创建、接口没有被划入 vlan、或者网关接口没配地址第二行输出会直接暴露问题。第二件事是查看 VRRP 状态确认主备角色是否和预期一致。命令是display vrrp正常情况下Master 设备是优先级高的那台而且虚拟 IP 必须和 PC 的网关地址一致。如果 VRRP 状态显示 Initialize通常是 vlanif 接口没 up 或者虚拟 IP 和接口 IP 不在同一网段。第三件事是在终端 PC 上做连通性测试从教学区的 PC ping 宿舍区的 PC再从宿舍区 ping 核心网关逐步缩小问题范围。网络规划与排障的工作逻辑其实就这么简单从终端出发每跳一次就检查一次接口状态和路由表。6.3 正式交付前的验收检查清单方案可以写得再漂亮最终都要过验收这一关。这里整理一份可以直接拿去做逐项检查的清单覆盖从物理链路到业务验证的完整链路检查项检查方式通过标准物理链路看端口状态和光模块发光功率所有端口 up光衰在正常范围vlan 透传display vlan所有接入端口 vlan 正确trunk 放行匹配规划网关连通ping 各 vlan 网关每个 vlan 的网关都能 ping 通用户获取地址DHCP 客户端测试终端能获取到对应网段的 IP跨 vlan 通信不同 vlan 互 ping业务允许的段可以互通隔离段不通出口访问访问外网DNS、HTTP、HTTPS 均可正常使用双机切换断开一台核心的上联业务中断时间小于 10 秒链路冗余拔出汇聚一条聚合成员线用户业务不中断或中断小于 1 秒设备管理从运维网段 SSH 登录可以登录且非运维网段被拒绝无线漫游带终端跨 AP 走动业务不掉线IP 不变化这份清单项目不多但基本覆盖了过去项目里最容易出问题的环节。细化设计时还要把每一台设备的配置命令整理成表格附在方案后面方便施工人员照单配置。网络规划这个活儿真正的功夫都在细节里一份可以执行、可以验证、可以审计的方案远比厚厚一摞拓扑图更有价值。本文还有配套的精品资源点击获取