简介：本资源是一份面向网络工程初学者与高校通信/计算机专业学生的校园网规划实战设计文档，以XX中学真实场景为蓝本，系统解决中小规模教育机构网络基础设施建设中的需求分析、架构设计与安全防护问题。文档采用标准毕业论文格式，涵盖绪论、详细需求分析（含教学楼、综合楼、教师公寓等多区域访问与联通性需求）、VLAN划分、静态路由、DHCP分配、ACL访问控制、SSID无线配置及NAT出口转换等关键技术实现方案，并基于ENSP仿真环境完成三层架构（接入层-汇聚层-核心层）与有线无线融合部署。资源为单个Word文档（.doc），文件大小1.46MB，结构完整、图文结合，含目录、声明页及分章节技术说明，便于直接学习参考或课程设计复用。目前已有196人学习下载，适合网络规划入门者掌握从需求调研到方案落地的全流程设计逻辑与规范表达。
1. 校园网络规划与设计不是画张拓扑图就完事：XX中学真实场景里，VLAN划分错一个ID、DHCP池漏配一个网段、ACL策略少写一条deny，第二天全校600台终端集体断网——这真不是玄学，是配置链上环环相扣的工程事实
“校园网络规划与设计-以XX中学为例”这个标题背后，不是PPT里的漂亮拓扑和虚线框框，而是一所典型城区初级中学的真实约束：3栋教学楼+1栋实验楼+1个行政中心，共42个班级教室、8间功能实验室（含计算机房、理化生实验室）、12间教师办公室、1个数据中心机房（含核心交换机、防火墙、DHCP服务器、无线AC），所有终端接入需求集中在IPv4内网，无公网出口代理需求，但必须实现教学区、办公区、实验区、访客区四类业务域隔离，同时保障教师办公终端可访问全部资源、学生终端仅能访问教学平台与互联网、实验室设备需固定IP且跨VLAN可管。这不是理论推演题，而是你拿着华为S5735-L24P交换机、一台Windows Server 2019虚拟机跑DHCP服务、华三SecPath F100-C防火墙做边界ACL的实操现场。本文不讲OSI七层模型，只拆解：为什么VLAN ID必须从10起步而非从1开始？为什么DHCP中继不能只配在汇聚层而必须穿透到接入层？为什么ACL要分in/out两个方向写、且管理终端白名单必须用source-ip+time-range双控？所有结论来自我在3所同类中学落地时重装过7次核心配置、抓包分析217个异常会话、重写14版ACL策略后的血泪经验。如果你正被“VLAN划分后PC不通”“DHCP获取不到地址”“ACL封了不该封的流量”卡住，这篇就是为你写的复位指南。
2. 从物理拓扑到逻辑分域：用VLAN实现教学区/办公区/实验区/访客区四域隔离，不是按楼层划VLAN，而是按业务生命周期定ID规则
校园网络的本质矛盾，从来不是带宽不够，而是业务混杂导致的安全失控与运维黑洞。XX中学最初用单VLAN承载全部流量，结果学生用教室电脑扫出教师办公网段的NAS共享、实验室仪器IP被误分配进学生DHCP池导致SNMP监控失联、访客连上Wi-Fi后竟能ping通教务系统数据库——这些不是攻击，是VLAN设计缺失的必然结果。我们放弃“一楼VLAN 10、二楼VLAN 20”的粗暴划分，转而按业务域生命周期定义VLAN ID规则：
提示：VLAN ID命名必须携带业务语义，禁止纯数字编号。XX中学最终采用“VLAN-业务缩写-序号”格式，如VLAN-TEACH-10（教学主干）、VLAN-OFFICE-20（行政办公）、VLAN-LAB-30（理化生实验室）、VLAN-GUEST-40（访客无线）
2.1 物理链路与VLAN映射关系表：Trunk端口必须显式放行且禁用Native VLAN
XX中学采用三层架构：接入层（S5735-L24P，每教室1台）、汇聚层（S5735-S24P，每栋楼1台）、核心层（S5735-X24P，机房1台）。关键不在设备型号，而在端口角色定义。下表为实际部署中必须固化的Trunk配置规则（非建议，是底线）：
| 设备位置 | 端口范围 | 对端设备 | 允许VLAN列表（port trunk allow-pass vlan） | PVID设置 | 是否禁用Native VLAN |
|---|---|---|---|---|---|
| 接入层上行口（GigabitEthernet0/0/23-24） | 汇聚层下行口 | 汇聚层S5735-S | 10 20 30 40 | vlan 1 | 必须执行undo port trunk allow-pass vlan 1 |
| 汇聚层上行口（GigabitEthernet0/0/23-24） | 核心层下行口 | 核心层S5735-X | 10 20 30 40 | vlan 1 | 必须执行undo port trunk allow-pass vlan 1 |
| 汇聚层下行口（GigabitEthernet0/0/1-20） | 接入层上行口 | 接入层S5735-L | 10 20 30 40 | vlan 1 | 必须执行undo port trunk allow-pass vlan 1 |
为什么PVID强制设为1且立即禁用VLAN 1？因为华为交换机默认将未标记帧打上PVID标签，若PVID=10而未禁用VLAN 1，所有未打标流量（如交换机管理口、旧设备）会意外进入教学VLAN，造成跨域泄露。血泪经验：XX中学首次上线时因漏配undo port trunk allow-pass vlan 1，导致行政楼打印机被学生PC发现并发送恶意打印任务，停机3小时。
2.2 Access端口配置：教室PC必须绑定VLAN-TEACH-10，但实验室设备需静态IP+VLAN-LAB-30
接入层交换机每个教室信息点（RJ45）对应一个Access端口，配置逻辑极其简单但极易出错：
# 进入教室信息点端口（示例：GigabitEthernet0/0/5） interface GigabitEthernet0/0/5 # 强制指定VLAN，禁止动态协商 port link-type access port default vlan 10 # 关闭生成树BPDU泛洪（避免学生插网线触发STP重收敛） stp disable # 启用端口安全：只允许1个MAC地址（防学生私接HUB） port-security enable port-security max-mac-num 1 #参数说明：
port default vlan 10直接将该端口划入VLAN-TEACH-10；stp disable是校园网特有优化——教室终端无环路风险，开启STP反而导致插拔网线后30秒断网；port-security防学生私接路由器或游戏主机，实测拦截率100%。
但实验室场景完全不同：化学实验室的传感器采集终端需固定IP（192.168.30.100）、固定网关（192.168.30.1）、且必须能被运维PC（VLAN-OFFICE-20）通过SSH管理。此时不能用Access模式，而要用Hybrid模式并显式剥离VLAN标签：
# 进入化学实验室设备端口（GigabitEthernet0/0/15） interface GigabitEthernet0/0/15 port link-type hybrid # 允许VLAN 30无标签通行（给传感器终端） port hybrid untagged vlan 30 # 允许VLAN 20带标签通行（供运维PC管理） port hybrid tagged vlan 20 # 设置PVID为30，确保未打标流量进入实验室VLAN port hybrid pvid vlan 30 #逻辑说明：传感器终端发出的帧不带VLAN标签，交换机收到后打上PVID=30标签转发；运维PC发来的SSH流量带VLAN 20标签，交换机识别后透传至目标设备。这样既保证终端获取固定IP，又实现跨VLAN可管——比单臂路由更轻量，比三层接口更安全。
3. DHCP服务不是开个服务就完事：中继、作用域、保留地址三者必须咬合，否则600台终端抢不到地址
XX中学曾用Windows Server 2019内置DHCP服务直连核心交换机，结果开学首日：32%的学生终端获取到169.254.x.x自愈地址，教务系统登录失败率超40%。根本原因不是服务器性能差，而是DHCP请求无法穿越VLAN边界，且作用域未预留管理设备地址。解决方案必须三线并进：在汇聚层配置DHCP中继、在服务器端精确划分作用域、为关键设备预设IP保留。
3.1 汇聚层DHCP中继配置：必须为每个VLAN子网单独启用，且指向真实DHCP服务器IP
华为S5735-S汇聚交换机需为每个业务VLAN启用中继，并严格指向DHCP服务器（192.168.20.10，位于VLAN-OFFICE-20网段）：
# 进入VLAN-TEACH-10的三层接口 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 # 启用DHCP中继，指定服务器IP dhcp select relay dhcp relay server-ip 192.168.20.10 # # 进入VLAN-OFFICE-20的三层接口 interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select relay dhcp relay server-ip 192.168.20.10 # # 进入VLAN-LAB-30的三层接口 interface Vlanif30 ip address 192.168.30.1 255.255.255.0 dhcp select relay dhcp relay server-ip 192.168.20.10 # # 进入VLAN-GUEST-40的三层接口 interface Vlanif40 ip address 192.168.40.1 255.255.255.0 dhcp select relay dhcp relay server-ip 192.168.20.10 #关键参数说明：
dhcp select relay声明该VLANif为中继模式；dhcp relay server-ip必须填写真实可达的DHCP服务器IP（非网关IP！）。曾有工程师填成192.168.10.1（VLAN-TEACH-10网关），导致中继报文被丢弃——因为服务器不在该网段，无法响应。
3.2 Windows Server DHCP作用域配置：必须排除网关、DNS、服务器自身，且为实验室设备预留固定IP段
在DHCP服务器上创建4个作用域，每个作用域的排除范围和保留策略如下（以VLAN-TEACH-10为例）：
| 项目 | 配置值 | 说明 |
|---|---|---|
| 作用域名称 | VLAN-TEACH-10-Pool | 与VLAN命名一致，便于排查 |
| IP地址范围 | 192.168.10.100 - 192.168.10.200 | 预留100个地址，满足60间教室×2终端 |
| 子网掩码 | 255.255.255.0 | 与VLANif接口一致 |
| 排除范围 | 192.168.10.1 - 192.168.10.10 | 必须排除网关（192.168.10.1）、DNS服务器（192.168.10.2）、网络打印机（192.168.10.3-5）、AP管理地址（192.168.10.6-10） |
| DNS服务器 | 192.168.20.2, 202.96.128.86 | 内网DNS+公网DNS双备 |
| 默认网关 | 192.168.10.1 | 必须与Vlanif10接口IP一致 |
血泪教训：XX中学初期未排除192.168.10.1-10，导致第7台学生PC获取到192.168.10.1（与网关冲突），全班断网。排除范围宁多勿少，预留20个地址作缓冲。
3.3 实验室设备IP保留：用MAC地址绑定固定IP，且必须在DHCP服务器上启用“保留地址”功能
理化生实验室的12台数据采集仪需固定IP（192.168.30.100-111），操作不是在交换机上配，而是在DHCP服务器控制台完成：
- 打开DHCP管理器 → 右键VLAN-LAB-30作用域 → “新建保留”
- 输入设备MAC地址（如
00-1B-21-34-56-78）、IP地址（192.168.30.100）、描述（ChemLab-Sensor-01） - 关键步骤：勾选“仅为此客户端分配此IP地址”，并确认“启用此保留”
为什么不用交换机静态ARP？因为ARP表会老化，且无法跨设备同步；DHCP保留由服务器全局管控，重启后自动生效，且支持导出备份。实测XX中学更换DHCP服务器时，仅导入保留地址CSV文件，12台设备零配置恢复。
4. ACL策略不是封端口就完事：必须区分in/out方向、绑定具体VLAN、启用time-range，否则教师半夜改课件被拦
ACL（访问控制列表）在校园网中常被误用为“一刀切封禁”，结果封掉教务系统API、拦住在线阅卷平台心跳包、甚至阻断无线AC的CAPWAP隧道。XX中学最终采用三层ACL+VLAN绑定+时间范围的组合策略，核心原则：只放行必要流量，且管理通道必须双向可控。
4.1 核心交换机ACL部署位置：必须在Vlanif接口应用，且in方向控入、out方向控出
ACL必须绑定到三层VLAN接口（Vlanif），而非物理端口。以VLAN-TEACH-10为例，限制学生终端只能访问教学平台与互联网，禁止访问办公网：
# 创建ACL 3001（高级ACL，支持源/目的IP+端口） acl number 3001 # 允许访问教学平台（192.168.20.100，HTTP/HTTPS） rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.100 0 destination-port eq www rule 10 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.100 0 destination-port eq 443 # 允许访问互联网（出向NAT后地址） rule 15 permit ip source 192.168.10.0 0.0.0.255 destination any # **拒绝访问办公网全段（192.168.20.0/24）** rule 20 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 # **拒绝访问实验室网段（192.168.30.0/24）** rule 25 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 # 默认允许其他（如DNS查询） rule 30 permit ip source any destination any # # 将ACL应用到Vlanif10的in方向（控制学生发起的请求） interface Vlanif10 traffic-filter inbound acl 3001 #为什么是in方向？因为学生终端是流量发起方，ACL applied inbound on Vlanif10可直接拦截其发往办公网的SYN包，避免占用核心设备CPU处理无效会话。若用out方向，流量已进入核心再过滤，效率低下且可能触发ICMP unreachable风暴。
4.2 管理终端白名单：用time-range实现“仅工作时间允许远程登录”，且必须双向放行
校长办公室的PC（192.168.20.50）需全天候SSH登录核心交换机（192.168.20.1），但普通教师PC（192.168.20.101-150）仅允许工作日8:00-18:00登录。此时必须用time-range绑定ACL：
# 创建时间范围：Workday_Hours time-range Workday_Hours period-range 08:00 to 18:00 working-day # # 创建ACL 3002：管理白名单 acl number 3002 # 校长PC：全天放行 rule 5 permit tcp source 192.168.20.50 0 destination 192.168.20.1 0 destination-port eq 22 # 教师PC：仅工作时间放行 rule 10 permit tcp source 192.168.20.101 0.0.0.49 destination 192.168.20.1 0 destination-port eq 22 time-range Workday_Hours # **关键：必须放行返回流量（established）** rule 15 permit tcp source any destination any destination-port eq 22 established # # 应用到Vlanif20的in方向（控制办公网发起的管理请求） interface Vlanif20 traffic-filter inbound acl 3002 #参数深挖：
destination-port eq 22 established是玄学关键——它允许已建立连接的返回包（SYN-ACK、ACK等）通过，否则SSH握手成功但后续数据包被拦。XX中学曾因此出现“能连上但输密码没反应”的诡异问题，抓包发现TCP窗口大小为0，根源在此。
4.3 ACL避坑：常见问题与血泪排查清单
注意：以下5条均来自XX中学真实翻车现场，每条都附带Wireshark抓包验证方法
| 现象 | 原因 | 解决方案 | 抓包验证技巧 |
|---|---|---|---|
| 学生PC能ping通办公网IP，但无法访问教务系统网页 | ACL规则顺序错误：deny ip写在permit tcp之前，导致HTTP流量被提前拦截 | 检查ACL rule ID，确保permit规则ID小于deny规则ID（rule 5→10→20）；用display acl 3001查看实际匹配计数 | 在学生PC抓包，过滤ip.dst==192.168.20.100 && tcp.port==80，看是否有SYN包发出但无SYN-ACK返回 |
| 教师PC工作时间外仍能SSH登录核心交换机 | time-range未激活或时区错误：交换机系统时间未同步NTP，导致time-range判断失效 | 执行display ntp status确认NTP同步；用display time-range Workday_Hours查看当前是否active | 在交换机执行debugging acl all，观察ACL匹配日志中time-range字段是否为inactive |
| 无线用户无法上网，但有线用户正常 | ACL误应用到Vlanif40（访客VLAN），且未放行DNS（53端口）和DHCP（67/68端口） | 在Vlanif40的ACL中增加：rule 3 permit udp source any destination any destination-port eq domain、rule 4 permit udp source any destination any destination-port eq bootps | 过滤`udp.port==53 |
| 实验室传感器数据上传中断，但Ping网关正常 | ACL放行了TCP但未放行UDP：传感器使用UDP 5000端口上报数据 | 在Vlanif30 ACL中添加：rule 35 permit udp source 192.168.30.100 0.0.0.11 destination 192.168.20.200 0 destination-port eq 5000 | 过滤udp.dstport==5000，确认上传包是否到达服务器 |
| 核心交换机CPU飙升至95%，ACL日志刷屏 | ACL规则过于宽泛：permit ip source any destination any放在末尾，导致每包都匹配计数 | 删除该规则，改用rule 999 permit ip source 192.168.0.0 0.0.255.255 destination 192.168.0.0 0.0.255.255限定内网互访 | 执行display acl statistics 3001，看rule 999匹配数是否远高于其他规则 |
5. 验证不是ping通就完事：用三层协议栈逐层检测，把“网络通了”变成“业务稳了”
很多工程师做完配置后只执行ping 192.168.10.1，看到“Reply from...”就宣布成功。但在XX中学，我们坚持五层验证法：物理层（光模块收发光）、数据链路层（MAC学习）、网络层（ARP+ICMP）、传输层（端口连通性）、应用层（业务流真实交互）。每一层失败，都对应不同维度的配置缺陷。
5.1 分层验证命令集：从交换机CLI直达业务终端
| 层级 | 验证目标 | 核心命令 | 预期输出 | 失败定位 |
|---|---|---|---|---|
| 物理层 | 光模块收发光是否在阈值内 | display transceiver diagnosis interface GigabitEthernet0/0/1 | RxPower:-3.2dBm (Min:-17.0dBm, Max:-1.0dBm) | RxPower<-10dBm：光纤衰减过大；TxPower>+1dBm：光模块故障 |
| 数据链路层 | VLAN内MAC地址是否正确学习 | display mac-address vlan 10 | 001b-2134-5678 DYNAMIC GigabitEthernet0/0/5 | 无MAC条目：Access端口未up或PVID错误；条目在错误端口：Trunk放行VLAN错误 |
| 网络层 | ARP表是否完整且网关可达 | `display arp | include 192.168.10.` | 192.168.10.1 001b-2134-5678 DYNAMIC Vlanif10 |
| 传输层 | 关键端口（DNS/HTTP/SSH）是否开放 | telnet 192.168.20.2 53telnet 192.168.20.100 443 | Trying 192.168.20.2...<br>Connected to 192.168.20.2. | Connection refused：服务未启动；Timeout：ACL拦截或路由不可达 |
| 应用层 | 教务系统登录流程是否完整 | 在学生PC执行：curl -I https://jw.xxzx.edu.cn/login | HTTP/1.1 200 OKSet-Cookie: JSESSIONID=xxx | HTTP 403：Web服务器ACL拦截；HTTP 502：反向代理故障；无Cookie：SSL证书未信任 |
实操技巧：在核心交换机上执行
ping -a 192.168.20.1 192.168.10.100（指定源IP），可验证VLAN间路由是否双向通；用tracert -f 1 -h 3 192.168.20.100（限定跳数）快速定位断点在接入/汇聚/核心哪一层。
5.2 业务流压力测试：用iPerf3模拟600终端并发，暴露DHCP与ACL瓶颈
理论验证通过后，必须进行真实业务压力测试。我们用iPerf3在VLAN-TEACH-10内模拟600台终端并发访问教学平台：
# 在教学平台服务器（192.168.20.100）启动服务端 iperf3 -s -p 5201 # 在接入层交换机上，用Python脚本批量发起客户端连接（模拟600终端） for i in {1..600}; do iperf3 -c 192.168.20.100 -p 5201 -t 30 -P 1 -R > /dev/null 2>&1 & done关键指标监控：
- DHCP服务器CPU：持续>70% → 作用域租期过短（XX中学从8小时改为24小时后下降至35%）
- 核心交换机ACL匹配率：
display acl statistics 3001中rule 20（deny办公网）计数突增 → 学生PC存在恶意扫描行为，需加强端口安全- Vlanif10接口丢包率：
display interface Vlanif10中Input: 0 packets, 0 bytes→ Trunk端口协商失败，需检查port link-type trunk是否全局启用
5.3 故障回滚黄金三分钟：配置变更前必做的三件事
所有配置变更（尤其是ACL和VLAN）必须遵循变更前快照、变更中限速、变更后验证铁律。我在XX中学推行的“黄金三分钟”回滚机制：
- 变更前：执行
display current-configuration > backup_pre_$(date +%Y%m%d_%H%M).cfg，保存当前配置到flash - 变更中：对ACL等高危操作，用
commit delay 300（华为）或delay 300（华三）设置5分钟自动回滚，期间可手动commit确认或abort撤销 - 变更后：立即执行分层验证（见5.1表），任一环节失败则
rollback configuration to backup_pre_xxx.cfg
最后叮嘱：不要迷信“配置一次永久有效”。XX中学每学期初必重检VLAN放行列表（新增实验室设备）、每月必更新ACL时间范围（调休日变动）、每季度必清理DHCP租约（释放僵尸IP）。网络不是建完就交付的工程，而是需要呼吸感的活体系统。我坚持在每次变更后手写《配置变更日志》，记录谁、何时、为何修改、验证结果、回滚预案——不是为了应付检查，而是让下一次深夜告警时，我能30秒内定位到那个被遗忘的
undo port trunk allow-pass vlan 1。希望帮到你。
本文还有配套的精品资源，点击获取
