简介一份可直接参考的毕业论文文档专为计算机网络、信息管理等专业学生完成企业网络规划类毕业设计而准备也适用于企业信息技术人员了解中小型园区网建设思路。文档以旭日公司为案例完整呈现从项目背景、地理环境与各建筑综合办公楼、车间、宿舍楼、综合服务楼功能结构分析到需求分析、主干网技术选型、网络拓扑设计、IP地址规划、设备选型、冗余方案、系统软硬件集成、维护优化及综合布线的全过程并可指导类似规模企业的网络改造或新建项目。资源为单个docx文档约954KB包含中英文摘要、完整目录和论文正文排版规范便于直接阅读、修改和引用其中重点涉及千兆以太网、三层交换技术、虚拟局域网VLAN、路由聚合等主流网络技术。已有84人学习浏览对于正在撰写同类论文或需要搭建企业网络设计方案框架的用户具有较强参考价值和示范作用尤其适合网络工程、计算机应用技术等方向的学生借鉴。1. 企业网络规划与设计从一张拓扑图到可验收的网络基线旭日公司这类人员规模在 200~400、有研发和财务敏感部门的中型企业网络改造的真实痛点往往不是“带宽不够”而是“没人能说清楚全网有多少台交换机、哪些端口连着谁、一个广播域里到底塞了多少台设备”。企业网络规划与设计这件事本质上不是把交换机路由器买回来插上线而是先做需求梳理和现状测绘再按区域划分、VLAN 隔离、IP 编址、路由与出口策略逐层落地最后用监控和文档把网络“固化”下来。本文按照我给自己公司做网络规划时的标准动作来展开先讲清楚每个设计决策背后的理由再给出可以直接抄的配置命令和参数表。适合正在做网络改造、毕业设计网络规划章节或者想系统梳理中小企业组网方法的人。全程不依赖特定厂商华为、H3C、Cisco 的命令在关键节点会同时标注。2. 需求分析与网络拓扑设计先画清业务流再决定设备放哪2.1 从旭日公司的业务部门反推网络区域划分做企业网络规划与设计的第一步不是打开 Visio而是把公司的组织架构和业务系统列一张表。以旭日公司为例常见的部门包括行政财务、人力资源、研发部、生产车间、销售部和会议室访客区。每个部门对网络的要求差别很大财务要对接银行系统和税务系统对安全隔离要求最高研发要访问内部代码服务器和文件服务器对延迟和稳定性敏感生产车间的终端可能包含工控机、扫码枪和打印机这些设备往往不能接受频繁的 DHCP 地址变动访客网络则必须与内网完全隔离。基于这张业务表我会习惯性地把网络划分为五个区域核心交换区、办公接入区、研发专网区、生产隔离区、访客与 DMZ 区。每个区域对应的 VLAN 规划是网络规划与设计中最先要敲定的事。VLAN 的数量不需要一开始定到 4094 个而是按“部门 业务类型”两个维度拆分。区域默认 VLAN ID网段示例说明管理 VLAN1010.10.10.0/24交换机、AP 管理地址禁止业务流量办公终端2010.10.20.0/24行政、销售等普通办公电脑财务专网3010.10.30.0/24财务部 银行 U 盾终端ACL 严格限制研发专网4010.10.40.0/24研发电脑 测试服务器服务器单独划段生产车间5010.10.50.0/24工控机、扫码枪、打印机访客网络60192.168.60.0/24仅通互联网网关开启访客隔离服务器区7010.10.70.0/24文件服务器、OA 服务器、数据库VLAN 规划确定后IP 编址策略必须跟上。这里常见的设计习惯是设备环回地址和管理地址用 10.10.10.0/24业务网段从 10.10.20.0/24 开始连续编排这样在核心交换机上写汇总路由时只需要几条静态路由就能覆盖整个内网。千万不要每个 VLAN 随意选一个网段比如 VLAN 20 用 192.168.1.0、VLAN 30 用 10.0.0.0那会让后期的路由表维护变成一场灾难。2.2 核心-汇聚-接入三层架构的选型理由企业网络规划与设计里最经典、也是最稳的拓扑是三层架构核心层、汇聚层、接入层。旭日公司这种规模的网络如果只有一台核心交换机加若干接入交换机其实也可以跑但问题在于一旦需要扩展、做冗余或者排查故障时扁平结构会让所有压力集中在一台设备上。三层架构的核心价值不是设备多而是每一层职责清晰接入层负责终端接入和端口安全汇聚层负责 VLAN 间路由和策略控制核心层负责高速转发。我一般会给出这样一张设备选型清单核心层2 台三层交换机支持堆叠或双机热备建议万兆 uplink例如华为 S5731-H 或 Cisco Catalyst 9200L。旭日公司整网并发流量不大双核心的必要性更多体现在“财务系统不能断”这个业务要求上。汇聚层每栋楼或每个大区域 1 台三层交换机型号可以降一档但必须支持 DHCP Snooping、ACL 和 QinQ如果以后要跟厂区互联。接入层千兆 POE 交换机用于接办公电脑、IP 电话和 AP。端口数量按实际工位算但要预留 20% 的余量。出口设备防火墙 路由器如果带宽在 500M 以内企业级防火墙如华为 USG 系列、 FortiGate直接做出口 NAT 就行不必再单独串一台路由器。拓扑连接上注意一个关键点形成环路时启用 STP/RSTP双核心之间用 Eth-Trunk 互联接入交换机分别上行到两台汇聚交换机。下面用一段伪拓扑描述旭日公司的最终结构运营商接入 - 防火墙 - 核心交换机双机 - 汇聚交换机办公/研发/生产 - 接入交换机 - 终端 |- DMZ 区服务器2.3 冗余与带宽的平衡一个常被忽略的设计点很多网络规划与设计文档会把冗余做成“所有设备都双上联”旭日公司如果只有十来台交换机这么做成本太高。务实的做法是核心层必须冗余汇聚到核心必须双链路接入到汇聚可以单链路除非接入交换机下联的是财务或研发这类不允许中断的区域才考虑双上联。带宽设计上接入到汇聚跑千兆汇聚到核心建议起步万兆哪怕当前只有几百兆流量。原因很简单监控系统、文件服务器的备份流量、虚拟机迁移流量如果旭日后面上云或虚拟化瞬时峰值会远大于日常均值。与其等网络卡了再升级不如核心互联一次到位。这个思路也算是我自己做了几次企业网络规划与设计之后总结出来的预算砍哪里都行别砍核心互联带宽。3. 核心交换机配置与 VLAN 间路由把广播域切开把网关收拢3.1 VLAN 与 Trunk 的基础配置命令旭日公司网络规划与设计中交换机的 VLAN 配置是最基础也最容易被忽略的部分。接入交换机上要创建对应部门的 VLAN连接终端的端口设为 Access连接汇聚的端口设为 Trunk。下面给出华为交换机的配置片段H3C 基本一致Cisco 把port link-type access换成switchport mode access即可。system-view vlan batch 10 20 30 40 50 60 70 interface GigabitEthernet 0/0/1 port link-type access port default vlan 20 interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 60 70这段配置的逻辑说明第一条vlan batch一次性创建所有规划好的 VLANGigabitEthernet 0/0/1作为终端口Access 类型意味着这台设备发出的数据帧不打标签交换机接收到后直接划入 VLAN 20GigabitEthernet 0/0/24上联汇聚交换机Trunk 口允许所有 VLAN 的流量通过。注意Trunk 口上默认放行 VLAN 1生产环境建议把 VLAN 1 从允许列表中移除因为很多攻击流量默认打 VLAN 1 标签。3.2 三层交换机上的 Vlanif 接口与路由配置VLAN 划分完成后不同部门的终端设备虽然 IP 网段不同但默认网关都在核心交换机上。企业网络规划与设计里这叫作集中式网关。华为核心交换机开启 VLAN 间路由的配置如下system-view interface Vlanif 10 ip address 10.10.10.254 255.255.255.0 interface Vlanif 20 ip address 10.10.20.254 255.255.255.0 interface Vlanif 30 ip address 10.10.30.254 255.255.255.0 interface Vlanif 40 ip address 10.10.40.254 255.255.255.0 interface Vlanif 50 ip address 10.10.50.254 255.255.255.0这段配置的逻辑说明每个 VLAN 在核心交换机上对应一个Vlanif三层接口地址是该网段的网关。终端设备配置的默认网关就是各自网段的Vlanif地址。核心交换机收到跨网段流量后查路由表并直接转发这个过程就是 VLAN 间路由。配置完成后需要验证两项内容。第一在核心交换机上执行display ip routing-table确认每个Vlanif网段都出现了直连路由第二从办公网段的一台电脑ping 10.10.40.1研发网段的一台终端如果通了说明 VLAN 间路由正常。如果 ping 不通优先检查终端设备的网关地址是否配置正确再看核心交换机上是否误配了 ACL 拦截互访流量。3.3 通过 DHCP 统一分配地址并绑定关键设备中小企业的终端数量多、变动频繁手动配置静态 IP 的维护成本极高所以 DHCP 服务通常配置在核心交换机或独立的 Windows/Linux 服务器上。旭日公司财务部门和打印机的地址需要稳定做法是在 DHCP 里做 IP-MAC 绑定而不是手动在终端上写死地址。华为交换机作为 DHCP Server 的参考配置system-view dhcp enable interface Vlanif 20 dhcp select interface dhcp server dns-list 223.5.5.5 114.114.114.114 dhcp server lease day 7 interface Vlanif 30 dhcp select interface dhcp server static-bind ip-address 10.10.30.10 mac-address xxxx-xxxx-xxxx dhcp server excluded-ip-address 10.10.30.1 10.10.30.50参数说明dns-list指定下发给终端的 DNS 服务器223.5.5.5 是阿里公共 DNS企业内网如果自建了 DNS 则优先下发内网地址lease day 7表示租约 7 天避免终端频繁续约产生额外流量static-bind把一台终端的 MAC 地址和固定 IP 绑定excluded-ip-address排除地址池中保留给服务器和网络设备的地址段。这里有个经验数值终端设备较多的办公网段DHCP 租约建议设置 3~7 天设备少且变动快的访客网段租约设置 1~2 小时即可避免 IP 被长时间占用。DHCP 服务开启后必须在接入交换机上开启 DHCP Snooping否则一旦有人私接小路由器整个网段都会因为 DHCP 冲突而断网。命令是dhcp snooping enable和对应端口dhcp snooping trusted连接汇聚交换机的上联口必须设置为 trusted。4. 出口网络规划与安全策略防火墙 NAT、ACL 与上网行为管理4.1 出口 NAT 与默认路由的配置方法企业网络规划与设计的出口部分核心目标是让内网用户访问互联网同时保护内网不被外部攻击。旭日公司从运营商申请到的通常是动态或静态的公网 IP防火墙作为出口网关配置一条默认路由指向运营商下一跳同时在内网接口上做 NAT。华为防火墙的参考配置system-view interface GigabitEthernet 0/0/0 ip address 100.64.10.2 255.255.255.252 interface GigabitEthernet 0/0/1 ip address 10.10.10.1 255.255.255.0 ip route-static 0.0.0.0 0.0.0.0 100.64.10.1 nat address-group 1 100.64.10.2 100.64.10.2 acl number 2000 rule 5 permit source 10.10.0.0 0.0.0.255.255 interface GigabitEthernet 0/0/0 nat outbound 2000 address-group 1参数说明ip route-static配置缺省路由下一跳是运营商的网关地址acl 2000定义允许做 NAT 转换的内网网段这里用10.10.0.0/16的汇总写法覆盖了所有业务 VLANnat outbound在出接口上启用 NAT当内网流量匹配 ACL 2000 时源地址会被转换成公网地址。如果运营商分配了多个公网 IP建议把 NetMeeting、视频会议等需要固定公网来源的流量单独做策略路由避免因为 NAT 地址变化导致对方设备拒绝连接。4.2 基于 ACL 的部门间访问控制VLAN 间路由让所有人默认互通但财务部门显然不能允许销售部门的电脑随意访问。企业网络规划与设计中安全控制的最小集就是三层 ACL。在核心交换机上控制财务网段的访问权限配置思路是只允许指定管理员的 IP 访问财务 VLAN不让其他办公网段发起访问但财务可以访问内网的其他区域。system-view acl number 3000 rule 5 permit ip source 10.10.30.0 0.0.0.255 destination 10.10.0.0 0.0.255.255 rule 10 permit ip source 10.10.20.50 0.0.0.0 destination 10.10.30.0 0.0.0.255 rule 15 deny ip source 10.10.0.0 0.0.255.255 destination 10.10.30.0 0.0.0.255 rule 20 permit ip source 10.10.30.0 0.0.0.255 destination 10.10.30.0 0.0.0.255 traffic-filter vlan 30 inbound acl 3000这段配置的逻辑说明规则按顺序匹配rule 5 允许财务网段访问整个内网rule 10 单独放行一个管理员 IP10.10.20.50rule 15 拒绝内网其他网段访问财务网段rule 20 允许财务网段内部互访。traffic-filter vlan 30 inbound表示该 ACL 应用在 VLAN 30 的入方向也就是从财务终端进入核心交换机的流量。配置 ACL 的几个常见坑规则顺序错了deny放在permit前面会导致整个网段不可达traffic-filter应用在vlan上时入方向的含义是“从该 VLAN 的终端进入交换机的流量”方向搞反会导致内网能访问财务、财务却出不去。配置完 ACL 后测试顺序是先用财务网的电脑 ping 办公网段应该通再用办公网段的电脑 ping 财务网关应该不通。4.3 上网行为管理与带宽限速旭日公司的员工数量不算多但视频流媒体、在线会议和下载类应用很容易把出口带宽占满。企业网络规划与设计里这一步的落点通常放在防火墙或独立的上网行为管理设备上。华为防火墙做接口带宽限制的配置interface GigabitEthernet 0/0/0 qos car outbound cir 50000 cbs 1000000 interface GigabitEthernet 0/0/1 qos car outbound cir 100000 cbs 2000000参数说明cir是承诺信息速率单位是 kbps50000表示出口带宽限制为 50Mbpscbs是承诺突发尺寸单位是字节。这里给访客 VLAN 一个独立的限速策略更合理避免访客下载拖垮办公带宽。也可以按 IP 网段区分限速办公网段限速 200M研发网段限速 100M访客网段限速 20M。具体数值要根据旭日公司实际申请的带宽调整总限速值不能超过运营商提供的物理带宽否则会造成队列堆积。除了带宽限速行为管理上推荐在防火墙上开启 URL 过滤和文件类型过滤。过滤规则不要太激进否则员工正常工作查询资料都会被误拦我一般只针对 P2P 下载、在线视频和赌博/钓鱼站点做阻断。5. 网络监控、无线覆盖规划与上线验收让网络规划真正可交付5.1 用 Zabbix 或 Prometheus 监控全网设备企业网络规划与设计的交付物不应该只是一份拓扑图还应该包含可观测性。旭日公司这个规模我推荐用 Zabbix 来做网络设备监控原因是它对交换机、路由器的 SNMP 支持最成熟而且自带告警和图表不需要额外写代码。如果要更轻量也可以在一台 Linux 服务器上装 Prometheus snmp_exporter但配置门槛高一些。Zabbix 监控交换机的基本步骤是先在交换机上开启 SNMP。system-view snmp-agent snmp-agent sys-info version v2c snmp-agent community read simple public-rd snmp-agent sys-info contact adminxuri.com参数说明snmp-agent community read设置只读社区字符串这里用public-rd不要用常见的public否则内网用户可能通过 SNMP 获取设备信息。然后在 Zabbix Web 界面添加主机填写交换机的管理 IP、SNMP community模板选Template Network Generic Device SNMPv2。Zabbix 会自动发现端口状态、流量、CPU 和内存。监控上线后的第一件事不是等着看告警而是建立基线连续观察两周记录核心交换机峰值流量、端口错误包数量、CPU 使用率。有了基线之后把告警阈值设置成“超过平时峰值的 80%”或“端口 down 超过 5 分钟”而不是用默认值。很多企业网络监控效果差就是因为阈值乱设告警风暴来了根本没人看。5.2 无线网络规划中的 AP 部署与信道选择旭日公司的办公区、会议室和接待区需要无线覆盖。企业网络规划与设计里的无线部分常见的做法是采用集中式架构AC无线控制器 瘦 AP。AP 部署密度按“人均 10~15 台终端、每 AP 并发 25~30 台”估算一个容纳 50 人的大开间部署 2 个 AP 即可会议室按 30 平米一个 AP 的密度做。信道规划方面2.4GHz 频段只有 1、6、11 三个互不干扰的信道相邻 AP 必须错开5GHz 频段信道资源丰富建议启用 DFS 信道但有雷达干扰风险的地方慎用。下面是在 AC 上配置 AP 分组和射频参数的示意wlan ap-group name office regulatory-domain-property country-code CN radio 0 channel 1 power-level 20 radio 1 channel 149 power-level 17 vap-profile office-wlan参数说明radio 0是 2.4G 射频radio 1是 5G 射频channel手动指定信道避免 AP 启动时自动选择导致同频干扰power-level调整发射功率数值越低覆盖范围越小开间场景适当降低功率可以提升整体容量。无线网络设计里有个反常识的点信号不强求满格而是在满足使用的前提下尽量降低功率、减少 AP 间重叠区域从而减少同频干扰。对旭日公司来说财务和研发区域建议让无线流量单独走一个 SSID并在 AC 上开启基于 SSID 的 VLAN 映射使无线终端自动落入对应的业务 VLAN。5.3 验收测试清单与文档交付企业网络规划与设计项目收尾时直接问“网络通不通”是不够的要按一张验收清单逐项测试。我会把验收测试分为连通性测试、冗余测试和性能测试三项。连通性测试从核心交换机上执行ping -a 10.10.10.254 10.10.40.1确认各 VLAN 间路由可达再用笔记本接入每个接入交换机确认 DHCP 能获取到 IP 且网关可 ping 通。冗余测试更关键在业务低峰期手动关闭一台核心交换机或拔掉一根汇聚上联光纤观察业务中断时间。RSTP 收敛时间一般在 1 秒左右如果中断超过 5 秒说明 STP 配置有问题或该链路不是备份链路。性能测试用 iperf3 在办公网段和服务器网段各找一台电脑跑三次持续 60 秒的 TCP 传输记录吞吐量。文档交付包含四样东西最终的 Visio 拓扑图标注所有设备型号、接口编号、VLAN、IP 地址、IP 地址规划表、设备配置文件备份、运维手册包含常用巡检命令和故障处理流程。很多企业网络问题在几年后爆发不是当初设计得不好而是配置文件没人备份、人员流动后文档丢失。设备端我一般会配置定时备份到 FTP 服务器。6. 三层网络中的一个小技巧用 Eth-Trunk 叠加链路而不是盲目升级带宽旭日公司的生产车间和办公区之间如果有大量监控流量和文件传输单根千兆链路很容易被打满。技术人员的第一反应往往是换万兆模块但万兆模块的价格是千兆的十几倍而且接入交换机通常没有万兆光口。更务实的做法是把两根或多根千兆物理链路捆绑成一个逻辑链路在华为交换机上叫 Eth-TrunkCisco 叫 Port-Channel。system-view interface Eth-Trunk 1 mode lacp-static interface GigabitEthernet 0/0/23 eth-trunk 1 interface GigabitEthernet 0/0/24 eth-trunk 1 interface Eth-Trunk 1 trunkport GigabitEthernet 0/0/23 trunkport GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan all配置说明mode lacp-static表示使用 LACP 协议协商链路聚合比手工聚合模式更可靠能检测对端是否存活eth-trunk 1把物理口加入逻辑接口。需要注意的是Eth-Trunk 的成员口必须配置一致的双工模式、速率和 VLAN 属性否则链路无法协商成功。配置完成后用display eth-trunk 1查看成员口状态确认两个端口都是 Selected 状态。验证链路聚合是否生效可以直接拔掉其中一根网线或光纤业务不应中断。这里有个容易忽略的点Eth-Trunk 的负载均衡不是按流量字节数均分的而是按源目 MAC、IP 或端口做 Hash如果旭日公司内网流量集中在少数几个大流量会话比如数据库备份可能会出现一条成员链路满载而另一条空闲的情况。此时可以调整负载均衡算法华为交换机用load-balance src-dst-ip按源目 IP 哈希让会话分布更均匀。链路聚合深度应用时要注意只有当两台设备之间存在多条物理链路时才有意义如果只有单根链路Eth-Trunk 无法提升带宽。另外接入交换机的堆叠功能Stack虽然可以把多台设备虚拟成一台配置更简单但旭日公司如果接入交换机数量不超过十台用堆叠的意义不大堆叠的升级和排障复杂度反而高于独立运维。链路聚合和堆叠不是替代关系而是不同规模下的不同选择。本文还有配套的精品资源点击获取
企业网络规划与设计：从VLAN划分到核心交换机配置实战
简介一份可直接参考的毕业论文文档专为计算机网络、信息管理等专业学生完成企业网络规划类毕业设计而准备也适用于企业信息技术人员了解中小型园区网建设思路。文档以旭日公司为案例完整呈现从项目背景、地理环境与各建筑综合办公楼、车间、宿舍楼、综合服务楼功能结构分析到需求分析、主干网技术选型、网络拓扑设计、IP地址规划、设备选型、冗余方案、系统软硬件集成、维护优化及综合布线的全过程并可指导类似规模企业的网络改造或新建项目。资源为单个docx文档约954KB包含中英文摘要、完整目录和论文正文排版规范便于直接阅读、修改和引用其中重点涉及千兆以太网、三层交换技术、虚拟局域网VLAN、路由聚合等主流网络技术。已有84人学习浏览对于正在撰写同类论文或需要搭建企业网络设计方案框架的用户具有较强参考价值和示范作用尤其适合网络工程、计算机应用技术等方向的学生借鉴。1. 企业网络规划与设计从一张拓扑图到可验收的网络基线旭日公司这类人员规模在 200~400、有研发和财务敏感部门的中型企业网络改造的真实痛点往往不是“带宽不够”而是“没人能说清楚全网有多少台交换机、哪些端口连着谁、一个广播域里到底塞了多少台设备”。企业网络规划与设计这件事本质上不是把交换机路由器买回来插上线而是先做需求梳理和现状测绘再按区域划分、VLAN 隔离、IP 编址、路由与出口策略逐层落地最后用监控和文档把网络“固化”下来。本文按照我给自己公司做网络规划时的标准动作来展开先讲清楚每个设计决策背后的理由再给出可以直接抄的配置命令和参数表。适合正在做网络改造、毕业设计网络规划章节或者想系统梳理中小企业组网方法的人。全程不依赖特定厂商华为、H3C、Cisco 的命令在关键节点会同时标注。2. 需求分析与网络拓扑设计先画清业务流再决定设备放哪2.1 从旭日公司的业务部门反推网络区域划分做企业网络规划与设计的第一步不是打开 Visio而是把公司的组织架构和业务系统列一张表。以旭日公司为例常见的部门包括行政财务、人力资源、研发部、生产车间、销售部和会议室访客区。每个部门对网络的要求差别很大财务要对接银行系统和税务系统对安全隔离要求最高研发要访问内部代码服务器和文件服务器对延迟和稳定性敏感生产车间的终端可能包含工控机、扫码枪和打印机这些设备往往不能接受频繁的 DHCP 地址变动访客网络则必须与内网完全隔离。基于这张业务表我会习惯性地把网络划分为五个区域核心交换区、办公接入区、研发专网区、生产隔离区、访客与 DMZ 区。每个区域对应的 VLAN 规划是网络规划与设计中最先要敲定的事。VLAN 的数量不需要一开始定到 4094 个而是按“部门 业务类型”两个维度拆分。区域默认 VLAN ID网段示例说明管理 VLAN1010.10.10.0/24交换机、AP 管理地址禁止业务流量办公终端2010.10.20.0/24行政、销售等普通办公电脑财务专网3010.10.30.0/24财务部 银行 U 盾终端ACL 严格限制研发专网4010.10.40.0/24研发电脑 测试服务器服务器单独划段生产车间5010.10.50.0/24工控机、扫码枪、打印机访客网络60192.168.60.0/24仅通互联网网关开启访客隔离服务器区7010.10.70.0/24文件服务器、OA 服务器、数据库VLAN 规划确定后IP 编址策略必须跟上。这里常见的设计习惯是设备环回地址和管理地址用 10.10.10.0/24业务网段从 10.10.20.0/24 开始连续编排这样在核心交换机上写汇总路由时只需要几条静态路由就能覆盖整个内网。千万不要每个 VLAN 随意选一个网段比如 VLAN 20 用 192.168.1.0、VLAN 30 用 10.0.0.0那会让后期的路由表维护变成一场灾难。2.2 核心-汇聚-接入三层架构的选型理由企业网络规划与设计里最经典、也是最稳的拓扑是三层架构核心层、汇聚层、接入层。旭日公司这种规模的网络如果只有一台核心交换机加若干接入交换机其实也可以跑但问题在于一旦需要扩展、做冗余或者排查故障时扁平结构会让所有压力集中在一台设备上。三层架构的核心价值不是设备多而是每一层职责清晰接入层负责终端接入和端口安全汇聚层负责 VLAN 间路由和策略控制核心层负责高速转发。我一般会给出这样一张设备选型清单核心层2 台三层交换机支持堆叠或双机热备建议万兆 uplink例如华为 S5731-H 或 Cisco Catalyst 9200L。旭日公司整网并发流量不大双核心的必要性更多体现在“财务系统不能断”这个业务要求上。汇聚层每栋楼或每个大区域 1 台三层交换机型号可以降一档但必须支持 DHCP Snooping、ACL 和 QinQ如果以后要跟厂区互联。接入层千兆 POE 交换机用于接办公电脑、IP 电话和 AP。端口数量按实际工位算但要预留 20% 的余量。出口设备防火墙 路由器如果带宽在 500M 以内企业级防火墙如华为 USG 系列、 FortiGate直接做出口 NAT 就行不必再单独串一台路由器。拓扑连接上注意一个关键点形成环路时启用 STP/RSTP双核心之间用 Eth-Trunk 互联接入交换机分别上行到两台汇聚交换机。下面用一段伪拓扑描述旭日公司的最终结构运营商接入 - 防火墙 - 核心交换机双机 - 汇聚交换机办公/研发/生产 - 接入交换机 - 终端 |- DMZ 区服务器2.3 冗余与带宽的平衡一个常被忽略的设计点很多网络规划与设计文档会把冗余做成“所有设备都双上联”旭日公司如果只有十来台交换机这么做成本太高。务实的做法是核心层必须冗余汇聚到核心必须双链路接入到汇聚可以单链路除非接入交换机下联的是财务或研发这类不允许中断的区域才考虑双上联。带宽设计上接入到汇聚跑千兆汇聚到核心建议起步万兆哪怕当前只有几百兆流量。原因很简单监控系统、文件服务器的备份流量、虚拟机迁移流量如果旭日后面上云或虚拟化瞬时峰值会远大于日常均值。与其等网络卡了再升级不如核心互联一次到位。这个思路也算是我自己做了几次企业网络规划与设计之后总结出来的预算砍哪里都行别砍核心互联带宽。3. 核心交换机配置与 VLAN 间路由把广播域切开把网关收拢3.1 VLAN 与 Trunk 的基础配置命令旭日公司网络规划与设计中交换机的 VLAN 配置是最基础也最容易被忽略的部分。接入交换机上要创建对应部门的 VLAN连接终端的端口设为 Access连接汇聚的端口设为 Trunk。下面给出华为交换机的配置片段H3C 基本一致Cisco 把port link-type access换成switchport mode access即可。system-view vlan batch 10 20 30 40 50 60 70 interface GigabitEthernet 0/0/1 port link-type access port default vlan 20 interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 30 40 50 60 70这段配置的逻辑说明第一条vlan batch一次性创建所有规划好的 VLANGigabitEthernet 0/0/1作为终端口Access 类型意味着这台设备发出的数据帧不打标签交换机接收到后直接划入 VLAN 20GigabitEthernet 0/0/24上联汇聚交换机Trunk 口允许所有 VLAN 的流量通过。注意Trunk 口上默认放行 VLAN 1生产环境建议把 VLAN 1 从允许列表中移除因为很多攻击流量默认打 VLAN 1 标签。3.2 三层交换机上的 Vlanif 接口与路由配置VLAN 划分完成后不同部门的终端设备虽然 IP 网段不同但默认网关都在核心交换机上。企业网络规划与设计里这叫作集中式网关。华为核心交换机开启 VLAN 间路由的配置如下system-view interface Vlanif 10 ip address 10.10.10.254 255.255.255.0 interface Vlanif 20 ip address 10.10.20.254 255.255.255.0 interface Vlanif 30 ip address 10.10.30.254 255.255.255.0 interface Vlanif 40 ip address 10.10.40.254 255.255.255.0 interface Vlanif 50 ip address 10.10.50.254 255.255.255.0这段配置的逻辑说明每个 VLAN 在核心交换机上对应一个Vlanif三层接口地址是该网段的网关。终端设备配置的默认网关就是各自网段的Vlanif地址。核心交换机收到跨网段流量后查路由表并直接转发这个过程就是 VLAN 间路由。配置完成后需要验证两项内容。第一在核心交换机上执行display ip routing-table确认每个Vlanif网段都出现了直连路由第二从办公网段的一台电脑ping 10.10.40.1研发网段的一台终端如果通了说明 VLAN 间路由正常。如果 ping 不通优先检查终端设备的网关地址是否配置正确再看核心交换机上是否误配了 ACL 拦截互访流量。3.3 通过 DHCP 统一分配地址并绑定关键设备中小企业的终端数量多、变动频繁手动配置静态 IP 的维护成本极高所以 DHCP 服务通常配置在核心交换机或独立的 Windows/Linux 服务器上。旭日公司财务部门和打印机的地址需要稳定做法是在 DHCP 里做 IP-MAC 绑定而不是手动在终端上写死地址。华为交换机作为 DHCP Server 的参考配置system-view dhcp enable interface Vlanif 20 dhcp select interface dhcp server dns-list 223.5.5.5 114.114.114.114 dhcp server lease day 7 interface Vlanif 30 dhcp select interface dhcp server static-bind ip-address 10.10.30.10 mac-address xxxx-xxxx-xxxx dhcp server excluded-ip-address 10.10.30.1 10.10.30.50参数说明dns-list指定下发给终端的 DNS 服务器223.5.5.5 是阿里公共 DNS企业内网如果自建了 DNS 则优先下发内网地址lease day 7表示租约 7 天避免终端频繁续约产生额外流量static-bind把一台终端的 MAC 地址和固定 IP 绑定excluded-ip-address排除地址池中保留给服务器和网络设备的地址段。这里有个经验数值终端设备较多的办公网段DHCP 租约建议设置 3~7 天设备少且变动快的访客网段租约设置 1~2 小时即可避免 IP 被长时间占用。DHCP 服务开启后必须在接入交换机上开启 DHCP Snooping否则一旦有人私接小路由器整个网段都会因为 DHCP 冲突而断网。命令是dhcp snooping enable和对应端口dhcp snooping trusted连接汇聚交换机的上联口必须设置为 trusted。4. 出口网络规划与安全策略防火墙 NAT、ACL 与上网行为管理4.1 出口 NAT 与默认路由的配置方法企业网络规划与设计的出口部分核心目标是让内网用户访问互联网同时保护内网不被外部攻击。旭日公司从运营商申请到的通常是动态或静态的公网 IP防火墙作为出口网关配置一条默认路由指向运营商下一跳同时在内网接口上做 NAT。华为防火墙的参考配置system-view interface GigabitEthernet 0/0/0 ip address 100.64.10.2 255.255.255.252 interface GigabitEthernet 0/0/1 ip address 10.10.10.1 255.255.255.0 ip route-static 0.0.0.0 0.0.0.0 100.64.10.1 nat address-group 1 100.64.10.2 100.64.10.2 acl number 2000 rule 5 permit source 10.10.0.0 0.0.0.255.255 interface GigabitEthernet 0/0/0 nat outbound 2000 address-group 1参数说明ip route-static配置缺省路由下一跳是运营商的网关地址acl 2000定义允许做 NAT 转换的内网网段这里用10.10.0.0/16的汇总写法覆盖了所有业务 VLANnat outbound在出接口上启用 NAT当内网流量匹配 ACL 2000 时源地址会被转换成公网地址。如果运营商分配了多个公网 IP建议把 NetMeeting、视频会议等需要固定公网来源的流量单独做策略路由避免因为 NAT 地址变化导致对方设备拒绝连接。4.2 基于 ACL 的部门间访问控制VLAN 间路由让所有人默认互通但财务部门显然不能允许销售部门的电脑随意访问。企业网络规划与设计中安全控制的最小集就是三层 ACL。在核心交换机上控制财务网段的访问权限配置思路是只允许指定管理员的 IP 访问财务 VLAN不让其他办公网段发起访问但财务可以访问内网的其他区域。system-view acl number 3000 rule 5 permit ip source 10.10.30.0 0.0.0.255 destination 10.10.0.0 0.0.255.255 rule 10 permit ip source 10.10.20.50 0.0.0.0 destination 10.10.30.0 0.0.0.255 rule 15 deny ip source 10.10.0.0 0.0.255.255 destination 10.10.30.0 0.0.0.255 rule 20 permit ip source 10.10.30.0 0.0.0.255 destination 10.10.30.0 0.0.0.255 traffic-filter vlan 30 inbound acl 3000这段配置的逻辑说明规则按顺序匹配rule 5 允许财务网段访问整个内网rule 10 单独放行一个管理员 IP10.10.20.50rule 15 拒绝内网其他网段访问财务网段rule 20 允许财务网段内部互访。traffic-filter vlan 30 inbound表示该 ACL 应用在 VLAN 30 的入方向也就是从财务终端进入核心交换机的流量。配置 ACL 的几个常见坑规则顺序错了deny放在permit前面会导致整个网段不可达traffic-filter应用在vlan上时入方向的含义是“从该 VLAN 的终端进入交换机的流量”方向搞反会导致内网能访问财务、财务却出不去。配置完 ACL 后测试顺序是先用财务网的电脑 ping 办公网段应该通再用办公网段的电脑 ping 财务网关应该不通。4.3 上网行为管理与带宽限速旭日公司的员工数量不算多但视频流媒体、在线会议和下载类应用很容易把出口带宽占满。企业网络规划与设计里这一步的落点通常放在防火墙或独立的上网行为管理设备上。华为防火墙做接口带宽限制的配置interface GigabitEthernet 0/0/0 qos car outbound cir 50000 cbs 1000000 interface GigabitEthernet 0/0/1 qos car outbound cir 100000 cbs 2000000参数说明cir是承诺信息速率单位是 kbps50000表示出口带宽限制为 50Mbpscbs是承诺突发尺寸单位是字节。这里给访客 VLAN 一个独立的限速策略更合理避免访客下载拖垮办公带宽。也可以按 IP 网段区分限速办公网段限速 200M研发网段限速 100M访客网段限速 20M。具体数值要根据旭日公司实际申请的带宽调整总限速值不能超过运营商提供的物理带宽否则会造成队列堆积。除了带宽限速行为管理上推荐在防火墙上开启 URL 过滤和文件类型过滤。过滤规则不要太激进否则员工正常工作查询资料都会被误拦我一般只针对 P2P 下载、在线视频和赌博/钓鱼站点做阻断。5. 网络监控、无线覆盖规划与上线验收让网络规划真正可交付5.1 用 Zabbix 或 Prometheus 监控全网设备企业网络规划与设计的交付物不应该只是一份拓扑图还应该包含可观测性。旭日公司这个规模我推荐用 Zabbix 来做网络设备监控原因是它对交换机、路由器的 SNMP 支持最成熟而且自带告警和图表不需要额外写代码。如果要更轻量也可以在一台 Linux 服务器上装 Prometheus snmp_exporter但配置门槛高一些。Zabbix 监控交换机的基本步骤是先在交换机上开启 SNMP。system-view snmp-agent snmp-agent sys-info version v2c snmp-agent community read simple public-rd snmp-agent sys-info contact adminxuri.com参数说明snmp-agent community read设置只读社区字符串这里用public-rd不要用常见的public否则内网用户可能通过 SNMP 获取设备信息。然后在 Zabbix Web 界面添加主机填写交换机的管理 IP、SNMP community模板选Template Network Generic Device SNMPv2。Zabbix 会自动发现端口状态、流量、CPU 和内存。监控上线后的第一件事不是等着看告警而是建立基线连续观察两周记录核心交换机峰值流量、端口错误包数量、CPU 使用率。有了基线之后把告警阈值设置成“超过平时峰值的 80%”或“端口 down 超过 5 分钟”而不是用默认值。很多企业网络监控效果差就是因为阈值乱设告警风暴来了根本没人看。5.2 无线网络规划中的 AP 部署与信道选择旭日公司的办公区、会议室和接待区需要无线覆盖。企业网络规划与设计里的无线部分常见的做法是采用集中式架构AC无线控制器 瘦 AP。AP 部署密度按“人均 10~15 台终端、每 AP 并发 25~30 台”估算一个容纳 50 人的大开间部署 2 个 AP 即可会议室按 30 平米一个 AP 的密度做。信道规划方面2.4GHz 频段只有 1、6、11 三个互不干扰的信道相邻 AP 必须错开5GHz 频段信道资源丰富建议启用 DFS 信道但有雷达干扰风险的地方慎用。下面是在 AC 上配置 AP 分组和射频参数的示意wlan ap-group name office regulatory-domain-property country-code CN radio 0 channel 1 power-level 20 radio 1 channel 149 power-level 17 vap-profile office-wlan参数说明radio 0是 2.4G 射频radio 1是 5G 射频channel手动指定信道避免 AP 启动时自动选择导致同频干扰power-level调整发射功率数值越低覆盖范围越小开间场景适当降低功率可以提升整体容量。无线网络设计里有个反常识的点信号不强求满格而是在满足使用的前提下尽量降低功率、减少 AP 间重叠区域从而减少同频干扰。对旭日公司来说财务和研发区域建议让无线流量单独走一个 SSID并在 AC 上开启基于 SSID 的 VLAN 映射使无线终端自动落入对应的业务 VLAN。5.3 验收测试清单与文档交付企业网络规划与设计项目收尾时直接问“网络通不通”是不够的要按一张验收清单逐项测试。我会把验收测试分为连通性测试、冗余测试和性能测试三项。连通性测试从核心交换机上执行ping -a 10.10.10.254 10.10.40.1确认各 VLAN 间路由可达再用笔记本接入每个接入交换机确认 DHCP 能获取到 IP 且网关可 ping 通。冗余测试更关键在业务低峰期手动关闭一台核心交换机或拔掉一根汇聚上联光纤观察业务中断时间。RSTP 收敛时间一般在 1 秒左右如果中断超过 5 秒说明 STP 配置有问题或该链路不是备份链路。性能测试用 iperf3 在办公网段和服务器网段各找一台电脑跑三次持续 60 秒的 TCP 传输记录吞吐量。文档交付包含四样东西最终的 Visio 拓扑图标注所有设备型号、接口编号、VLAN、IP 地址、IP 地址规划表、设备配置文件备份、运维手册包含常用巡检命令和故障处理流程。很多企业网络问题在几年后爆发不是当初设计得不好而是配置文件没人备份、人员流动后文档丢失。设备端我一般会配置定时备份到 FTP 服务器。6. 三层网络中的一个小技巧用 Eth-Trunk 叠加链路而不是盲目升级带宽旭日公司的生产车间和办公区之间如果有大量监控流量和文件传输单根千兆链路很容易被打满。技术人员的第一反应往往是换万兆模块但万兆模块的价格是千兆的十几倍而且接入交换机通常没有万兆光口。更务实的做法是把两根或多根千兆物理链路捆绑成一个逻辑链路在华为交换机上叫 Eth-TrunkCisco 叫 Port-Channel。system-view interface Eth-Trunk 1 mode lacp-static interface GigabitEthernet 0/0/23 eth-trunk 1 interface GigabitEthernet 0/0/24 eth-trunk 1 interface Eth-Trunk 1 trunkport GigabitEthernet 0/0/23 trunkport GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan all配置说明mode lacp-static表示使用 LACP 协议协商链路聚合比手工聚合模式更可靠能检测对端是否存活eth-trunk 1把物理口加入逻辑接口。需要注意的是Eth-Trunk 的成员口必须配置一致的双工模式、速率和 VLAN 属性否则链路无法协商成功。配置完成后用display eth-trunk 1查看成员口状态确认两个端口都是 Selected 状态。验证链路聚合是否生效可以直接拔掉其中一根网线或光纤业务不应中断。这里有个容易忽略的点Eth-Trunk 的负载均衡不是按流量字节数均分的而是按源目 MAC、IP 或端口做 Hash如果旭日公司内网流量集中在少数几个大流量会话比如数据库备份可能会出现一条成员链路满载而另一条空闲的情况。此时可以调整负载均衡算法华为交换机用load-balance src-dst-ip按源目 IP 哈希让会话分布更均匀。链路聚合深度应用时要注意只有当两台设备之间存在多条物理链路时才有意义如果只有单根链路Eth-Trunk 无法提升带宽。另外接入交换机的堆叠功能Stack虽然可以把多台设备虚拟成一台配置更简单但旭日公司如果接入交换机数量不超过十台用堆叠的意义不大堆叠的升级和排障复杂度反而高于独立运维。链路聚合和堆叠不是替代关系而是不同规模下的不同选择。本文还有配套的精品资源点击获取
