简介：面向计算机网络课程设计场景的校园网方案文档，以淮海工学院东港学院为背景，适合计算机及相关专业学生完成综合实践、教师布置课设参考。内容围绕办公区、教学区、生活区的信息点分布展开，覆盖需求分析、网络拓扑与网管中心选址、子网划分及IP地址与网关规划、设备选型与经费预算，并记录WEB、FTP、DNS服务器的搭建思路、双绞线制作与工作组联网等实践环节。方案还涉及千兆光纤主干、楼内布线与服务器配置，能帮助读者理解从需求到预算的完整设计链条。资源包含1个doc文件，约1.34MB，正文结构完整、便于查阅和改写。已有2034人学习下载，可作为课程设计报告的结构范本与方案素材，快速理清校园网设计中的分析、规划、选型与预算脉络。

1. 从一份信息点清单出发：这套校园网方案真正要交付什么

校园网课程设计最容易失败的地方不是画不出拓扑图，而是答辩时被追问一句「计算机系大楼为什么单独划一个 /25 网段」就答不上来。这套方案要处理的正是这件事：把某高校某校区办公区 111 个、教学区 360 个、生活区 174 个信息点，以及一段 4 个 C 类的公网地址、7 台服务器的角色、三层交换结构，串成一条从需求、选型、地址规划到验收演示都能自圆其说的链路。它适合正在做计算机网络课程设计、要交一份完整校园网方案的学生，也适合刚接手园区网络、需要出一版新建或改造方案的从业者。下面的每张表、每段配置都按同一个标准写：能直接抄进报告，并且抄进去之后能讲出为什么这么定。

2. 需求分析与信息点盘点：把 645 个信息点拆成能算的表格

需求分析在很多报告里被写成了「随着信息化发展，校园网越来越重要」这类空话，真正该产出的东西是三样：一张能算出端口数的信息点表、一份能判断链路带宽的流量画像，以及一组能被验收动作检验的指标。这三样东西决定了后面所有的设备台数、子网大小和预算数字，一旦这里含糊，后面每一个数字都站不住。

2.1 按区分栋统计信息点，先算清端口再谈设备

原始需求只给了部分楼宇的点数，剩下的必须自己按口径补齐，关键是补齐过程要写清楚假设，而不是直接甩一个总数。办公区三栋楼点数明确；教学区除计算机系大楼外，其余按每栋 40 点计，取主教学楼、实验楼、两栋系部楼、图书馆楼教学区、综合楼共 6 栋；生活区按「每个建筑物每个门洞 1 个信息点」的口径，取 24 栋宿舍楼、每栋 6 个单元门洞，再加食堂、活动中心、门卫等公共建筑约 30 点。

645 是实际点数，1000 是设计容量，两者差出来的 355 个端口就是扩容余量。接入层按 24 口交换机配置，32 台普通百兆接入加 10 台可网管接入共 1008 个端口，正好卡在 1000 点这个容量上，同时留出约 5% 的坏口和跳线占用。这个「实际点数 → 设计容量 → 设备端口数」的三级推导，是整个方案里最容易被老师认可的一段，因为它证明设备台数不是凭空拍的。

2.2 三个区的流量画像决定了链路和 VLAN 怎么切

光有点数还不够，还得知道这些点上的流量长什么样。办公区的特点是上行流量集中在上班时段，公文流转、OA 审批、成绩录入这类交互流量小但要求稳定，图书馆的检索和电子资源下载则是短时突发大流量；教学区机房白天集中上课，开机瞬间的广播和镜像下发对汇聚链路压力大，晚自习后基本空闲；生活区正好相反，晚间是高峰，视频、游戏、宿舍间的共享流量多，而且终端数量远超信息点数量，一个门洞一个信息点必然要接家用小交换机或无线。

三类画像对应三种设计动作：办公区按每信息点独享百兆、汇聚千兆上行配置，不做额外限速；教学区机房单独成 VLAN，把镜像分发和上机实验流量限制在本楼汇聚层内，不往核心转；生活区必须做端口隔离和广播抑制，接入交换机上关闭不必要的二层功能，否则一个门洞的环路会把整栋楼的广播域拖垮。这三条不是理论，是后面 VLAN 划分和接入层配置的直接依据。

2.3 管理和安全需求要翻译成可验收的指标

原始需求里写了内容过滤、OA 系统、防病毒、智能化网管、预留扩容空间这几条，这些都是功能描述，不是指标。设计文档里必须把它们翻译成能测的东西，否则验收时没法判断做没做到。

把功能翻译成指标这一步，很多人会跳过，结果报告里写满了「高速」「可靠」「先进」这类形容词，一问具体值就卡住。按表格这种方式写，答辩时每一条都有对应动作，说服力完全不同。

2.4 公网地址与私网地址的边界必须先划清

学校分到的是连续 4 个 C 类公网地址段。一个常见的错误做法是把这些公网地址直接分给服务器和部分终端，剩下的终端用私网地址，结果内网出现两套地址体系，路由和 NAT 规则互相打架。正确的做法是先划边界：公网地址只出现在出口设备与对外发布区，内网统一使用私网地址段，服务器对外通过静态 NAT 映射，终端上网通过地址池做源 NAT。

这条边界一旦定下来，后面的地址规划就有了骨架：私网段负责内网所有 VLAN，公网段只负责「对外可见」这一件事。文章里用 198.51.100.0/24 到 198.51.103.0/24 这组文档示例地址演示，实际落地时替换成学校分到的真实段即可，划分逻辑完全一样。

3. 总体架构与拓扑设计：三层结构、网管中心选址与主干链路

拓扑不是画得好看就行，它要回答三个问题：故障会不会扩散、流量走几跳、以后加楼怎么接。三层结构（核心—汇聚—接入）之所以在园区网里长期占主流，就是因为它把这三个问题分别压在了不同的层上：核心只做高速转发和路由，汇聚做策略和区域收敛，接入做端口密度和隔离。

3.1 为什么选三层结构而不是扁平双核心

扁平结构是把所有楼栋的接入交换机直接双上行到两台核心，省掉汇聚层，看起来更简单、跳数更少。但它有两个明显问题：一是接入交换机的光纤要直接拉到网管中心，24 栋宿舍加 10 栋教学办公楼，光缆芯数和管道资源会迅速失控；二是广播域和 STP 域被拉到最大，任何一栋楼的二层环路都可能影响全网收敛。

三层结构的做法是在每个区域设一台汇聚交换机，本区域的接入交换机先汇到汇聚，汇聚再双上行到核心。以这个校区为例，办公区、计算机系大楼、教学区其余楼栋、生活区东片、生活区西片各设一台汇聚，共 5 台，正好对上「主干交换节点 5 个」的原始设定。这样每个区域的二层域被收敛在一台汇聚之下，环路影响范围可控，光缆也只需要从各楼拉到本区汇聚，不用横穿校园。

核心层配两台三层交换机做冗余，之间跑聚合链路，对下用 VRRP 提供统一虚拟网关。这里有个容易被忽略的细节：VRRP 的优先级要设在核心 A 上，让它在正常情况下承担全部网关流量，核心 B 只做备份，否则两边优先级相同会出现网关漂移，抓包时能看到网关 MAC 反复变化。

3.2 网管中心选址与主干光缆的芯数账

网管中心的位置不是随便挑一栋楼就行，判断标准有三条：靠近校园地理中心、供电和空调条件可靠、进出线管道资源充足。按这个校区三个区的分布，把网管中心放在教学区与办公区交界处的主教学楼一层弱电间最合适，到办公区最远楼栋的距离最短，到生活区的光缆也不用穿越主干道。

光缆芯数要算账，不能只写「8 芯室外光缆」了事。每台汇聚到核心是双上行，双上行意味着两条物理路由或者至少两条独立光纤，每条链路收发各 1 芯，双上行就是 4 芯；再考虑未来可能上双核心互联或者链路聚合扩容，至少再留 4 芯备用。所以室外主干按 8 芯设计有依据，原文提到的 12 芯室外多模铠装光缆则留出了更充裕的余量，实际工程里 12 芯更常见，因为光缆单价按芯数增长并不线性，多拉 4 芯的边际成本很低。

楼内部分用 6 芯室内光缆加超五类双绞线的组合：楼层交换机到本楼汇聚走室内光缆，汇聚到各楼层配线间走超五类或者六类铜缆。这里必须提醒一句，多模光纤的传输距离在千兆下大约是 550 米，校园内最远的楼栋到网管中心的实际路由长度要实测，超过这个距离就得换单模光模块，这个数不算清楚，后面设备选型的光模块型号全会错。

3.3 核心与汇聚的关键配置怎么落地

结构定下来之后，最先要落的是 VLAN 和网关。下面这段是核心交换机上的配置思路，语法按通用园区交换机 CLI 写，各家设备的具体命令有差异，但逻辑一致。

# 核心 A：批量创建业务 VLAN vlan batch 10 20 30 40 50 60 70 # 办公区网关，VRRP 虚拟地址 10.10.8.1，本机 10.10.8.2 为主 interface Vlanif30 ip address 10.10.8.2 255.255.255.0 vrrp vrid 30 virtual-ip 10.10.8.1 vrrp vrid 30 priority 120 # 高于默认 100，保证主用 vrrp vrid 30 preempt-mode timer delay 20 # 下行到办公区汇聚的千兆口，放行本区所需 VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 # 全局启用 RSTP，并把核心设为根桥 stp mode rstp stp priority 0

这段配置里有三个参数值得解释。vrrp vrid 30 priority 120中的 120 是抢占优先级，只有高于对端才能稳定成为主网关，默认 100 会导致双主；preempt-mode timer delay 20是延迟抢占，避免核心 A 刚恢复就立刻抢回流量造成短暂震荡；port trunk allow-pass只放行本区需要的 VLAN，而不是all，这是最小权限原则在二层上的体现，能把广播域意外扩散挡在汇聚层。stp priority 0把核心设为根桥，让生成树拓扑和实际流量走向一致，不做这一步的话，根桥可能落在某台接入交换机上，全网流量会绕一圈。

汇聚层对应要做的是上行 trunk 放行本区 VLAN、下行接入口划入对应 VLAN、终端口开启边缘端口。边缘端口的作用是接入口跳过 STP 的监听学习阶段直接转发，避免终端开机等 30 秒才通网，同时一旦这个口收到 BPDU 就自动关闭，防止有人把家用路由器插进墙口造成环路。

3.4 设备选型与预算：把模块和辅材一起算进去

设备清单只列交换机和服务器，是课程设计预算表最常见的缺口。答辩老师只要问一句「你这个千兆光口靠什么接出去」，就会暴露光模块、跳线、机柜、UPS 全没算的问题。正确的清单要按「主机 + 模块 + 线缆 + 机柜电源 + 软件」五类分列。

表格里的单价以同档机型的主流电商公开报价为参考，取中位数后取整，写进报告时在表格下方注明「报价采集时间」和「取价口径」，这一句比价格本身更能体现做功课的程度。设备与软件合计约 43.8 万元，线缆施工按材料费的 15% 计，再加 5% 不可预见费，一期总预算落在 50 万元左右。

选型上有两个判断值得写进报告。一是核心为什么配两台而不是一台：单核心意味着任何一次重启或故障都导致全校断网，双核心贵出来的 2.8 万元换的是可用性，这在答辩里是个加分点。二是接入层为什么区分普通型和可网管型：办公区和教学区需要按部门划 VLAN，必须可网管；生活区按门洞接入，主要诉求是端口隔离和广播抑制，普通接入加汇聚层统一策略也能满足，32 台普通加 10 台可网管的组合比全上可网管省下约 5 万元。

4. 地址规划与服务发布：VLSM 子网表、NAT 映射与三台服务器的配置

地址规划是整个方案里最能体现基本功的部分，因为它同时受三件事约束：每个 VLAN 需要多少个可用地址、公网地址怎么省着用、以后加楼怎么扩。做法是先按需求算出每个网段的最小可用地址数，再用 VLSM 从小到大分配，最后把公网地址单独拿出来做映射。

4.1 私网 VLSM 划分与 VLAN 对应表

内网统一使用 10.10.0.0/16 这段私网地址，按区域切分。计算机系大楼 120 个信息点是最紧的一个，用 /25 只有 126 个可用地址，理论上够，但网关、交换机管理地址、打印机和网络投影都要占地址，实际余量只剩个位数，所以这里给 /24 更稳妥；这个取舍过程写进报告，比直接给一个 /24 有说服力得多。

这张表要配一句说明：VLAN 30 到 50 按区连续分配，中间留出 10.10.2.0/24 到 10.10.7.0/24 五个网段作为二期新楼预留，VLAN 60 用 /23 是因为生活区终端数量实际会超过信息点数，一个门洞接家用小交换机后往往挂 3 到 5 台设备，按 510 个地址规划才够用。预留段这件事写进表格，就是「为扩容预留空间」这条需求的具体落实。

4.2 公网地址的用途划分与 NAT 映射

4 个 C 类公网段怎么用，要给出分配表而不是笼统说「用于出口」。第一段做服务器对外发布和 NAT 地址池，第二段做出口设备互联和备用，第三、四段留给二期和未来可能的分校区互联。

源 NAT 用地址池而不是单地址，是因为全校 645 个终端同时上网时，单个公网地址的端口映射数量会成为瓶颈，一个地址可用端口约 6 万个，按每个终端 200 个并发连接算，只能支撑 300 台左右，用 100 个地址的池子才够。这个计算写进报告，老师基本不会再追问 NAT 部分。

# 出口设备：内网源地址做 NAT，使用地址池 acl number 2000 rule 5 permit source 10.10.0.0 0.0.255.255 # 覆盖全部内网网段 nat address-group 1 address 198.51.100.100 198.51.100.200 # 100 个公网地址 interface GigabitEthernet0/0/0 nat outbound 2000 address-group 1 # 服务器对外静态映射：公网 80 端口映射到内网网站服务器 nat server protocol tcp global 198.51.100.20 80 inside 10.10.1.20 80 nat server protocol tcp global 198.51.100.20 443 inside 10.10.1.20 443 nat server protocol tcp global 198.51.100.30 21 inside 10.10.1.30 21

acl 2000匹配的是内网全部私网地址，注意这里用反掩码0.0.255.255覆盖 10.10.0.0/16 整段，如果只写0.0.0.255就只匹配了 10.10.0.0/24，其他 VLAN 上不了网，这是配置里最常见的一处笔误。nat address-group定义地址池，范围要和公网分配表对得上。nat server是静态映射，一条对应一个服务端口，FTP 之所以只映射 21 端口是不够的，被动模式下数据连接用的是随机高端口，这一点在第 5 章的排查里会展开。

4.3 DNS 正反向区域与记录配置

DNS 要同时提供正向解析（域名到地址）和反向解析（地址到域名），只做正向是最常见的半成品。反向解析不是可有可无的，邮件系统做反查、日志分析做地址回溯都依赖它。

# named.conf.local：声明正向与反向区域 zone "campus.example.edu" IN { type master; file "/etc/bind/db.campus"; # 正向区域文件 }; zone "1.10.10.in-addr.arpa" IN { type master; file "/etc/bind/db.10.10.1"; # 反向区域，对应 10.10.1.0/24 }; # 转发器：内网解析不了的域名交给上游 options { forwarders { 198.51.101.1; }; recursion yes; };

反向区域的命名规则是把网段地址倒过来加.in-addr.arpa，10.10.1.0/24 对应1.10.10.in-addr.arpa，写错这一段是反向解析失败的头号原因。

# db.campus：正向区域记录 $TTL 3600 @ IN SOA ns1.campus.example.edu. admin.campus.example.edu. ( 2024050101 ; serial，每次改动递增 3600 ; refresh 900 ; retry 604800 ; expire 86400 ) ; minimum IN NS ns1.campus.example.edu. IN NS ns2.campus.example.edu. ns1 IN A 10.10.1.10 ns2 IN A 10.10.1.11 www IN A 10.10.1.20 ftp IN A 10.10.1.30 mail IN A 10.10.1.40 oa IN A 10.10.1.60

serial号必须在每次修改区域文件后递增，否则从服务器不会同步，这个坑几乎每个做 DNS 实验的人都踩过一次。两台 NS 记录对应主备两台 DNS 服务器，终端上把首选和备用 DNS 分别指向 10.10.1.10 和 10.10.1.11，主挂掉时解析不至于中断。

# db.10.10.1：反向区域记录，只写主机位 $TTL 3600 @ IN SOA ns1.campus.example.edu. admin.campus.example.edu. ( 2024050101 3600 900 604800 86400 ) IN NS ns1.campus.example.edu. 10 IN PTR ns1.campus.example.edu. 11 IN PTR ns2.campus.example.edu. 20 IN PTR www.campus.example.edu. 30 IN PTR ftp.campus.example.edu.

配置完成后用nslookup www.campus.example.edu和nslookup 10.10.1.20双向验证，两条都能出结果才算配完。如果只测正向，看起来一切正常，等到演示反向解析时才发现区域文件根本没生效。

4.4 WEB 与 FTP 服务的发布

网站服务用虚拟主机方式发布，把校园门户和部门子站放在同一台服务器上用不同 ServerName 区分，比一部门一台机器省得多。

# Apache 虚拟主机：校园门户 <VirtualHost *:80> ServerName www.campus.example.edu DocumentRoot /var/www/campus <Directory /var/www/campus> Require all granted Options -Indexes # 关闭目录浏览，避免源码目录被遍历 </Directory> ErrorLog /var/log/apache2/campus_error.log </VirtualHost>

Options -Indexes这一行别省，课程设计里经常把整个站点目录放在 web 根下，开着目录浏览就等于把备份文件和源码一起公开了。日志单独分文件是为了排查时能快速定位到某个站点。

FTP 服务承载教学资源上传下载，配置重点是关掉匿名、限制用户在自己的家目录、并且把被动模式端口段固定下来。

# vsftpd.conf 关键项 anonymous_enable=NO # 禁止匿名登录 local_enable=YES write_enable=YES chroot_local_user=YES # 用户登录后锁定在家目录 local_root=/srv/ftp pasv_enable=YES pasv_min_port=30000 # 固定被动模式端口段 pasv_max_port=30100

被动模式端口段固定成 30000 到 30100，是为了在防火墙和 NAT 上开对应的口。前面出口配置里只映射了 21 端口，如果不把这一段一起映射出去，内网能登录但列目录和传文件会一直卡住，这是 FTP 发布最典型的翻车点，演示时表现为「能连上、传不动」。

服务器区还有邮件、电子阅览、教师备课、光盘与图书管理几个角色，5 台物理机通过虚拟化承载 7 个服务角色，比买 7 台物理机省电省机柜，也让备份和快照变得简单。这个做法写进报告时，最好补一句「关键服务做双机或快照，非关键服务单机部署」，体现的是资源分配上的取舍意识，而不是简单地堆机器。

5. 避坑与排查：课程设计现场最容易翻车的五个点

方案写得再完整，落地和演示阶段总有几个位置会出问题。下面这五条是按「现象—原因—解决」整理的高频故障，每一条都能在实验环境里复现，提前知道能省掉大半天。

5.1 子网掩码卡得太紧，最后几个信息点上不了网

现象：计算机系大楼按 120 个信息点划了 /25 网段，前 110 多个点都正常，最后几台机器 ping 不通网关，或者时通时不通。

原因：/25 的可用地址是 126 个，看起来够 120 个点，但网关地址、交换机的管理地址、楼层打印机、网络投影、临时接入的调试笔记本都要占地址，实际可用余量只剩个位数，一旦有人私接设备就爆了。地址池耗尽时，新接入的终端拿不到地址或者 ARP 冲突，表现出来就是时通时不通这种「玄学」现象。

解决：按可用地址数留出至少 20% 余量重新划，120 个点直接给 /24。已经上线的情况，可以把打印机、投影这类固定设备挪到管理 VLAN，用静态地址统一管，把业务网段的地址腾出来。写报告时把这段取舍过程记下来，比给一个漂亮但不够用的网段更有价值。

5.2 公网地址直接发给终端，内网大面积访问异常

现象：部分服务器和办公终端配了公网地址，一开始能上网，运行一段时间后出现部分网站打不开、内网互访也变慢，出口设备的 ARP 表里能看到重复条目。

原因：内网同时存在公网和私网两套地址，出口设备对同一目的地可能走两条不同路径，回程路由不一致导致连接被丢弃；更麻烦的是公网地址段如果和运营商侧有重叠，ARP 会直接冲突。

解决：严格按照「公网只出现在出口和对外发布区」这条边界执行，内网终端一律私网地址，服务器对外通过静态 NAT 映射。已经配了公网地址的终端，统一改成私网并刷新 ARP 表。这个问题的根因不在技术难度，

本文还有配套的精品资源，点击获取