简介：《局域网组网的综合实验.doc》是一份面向网络工程、计算机及相关专业学生和实验人员的综合性实验文档，以局域网规划设计与组网实践为核心目标。内容从实验目的、原理入手，完整覆盖需求分析、逻辑设计、物理设计与设备选型等流程，包含对等网、客户机/服务器网络、无盘工作站网络等典型组网模式对比，并给出交换机、HUB、网卡、AMP布线系统等设备的选型与配置要点。文档还描述了网络实验室中核心交换机、防火墙、语音网关、服务器及多媒体教学系统的配置思路，适合用于撰写组网方案或完成课程综合实验。资料为1个doc文件，大小124KB，结构清晰、便于编辑使用。目前已有89人学习浏览，读者可按步骤对照实践，掌握局域网的规划设计方法、设备调试顺序及常见排错意识。
1. 局域网组网综合实验：为什么你的网络总在关键时刻掉链子
做网络的人手里都攒着一堆“玄学”问题：明明交换机配置看着没问题，电脑就是不通；VLAN划了十几个，广播风暴一来全得重来；配好了静态路由，结果跨网段的打印机死活唤不醒。如果你正要交一份“局域网组网的综合实验”报告，或者刚接手一个几十台设备的小型局域网改造，这篇笔记就是按你实际动手的顺序写的——从设备选型、VLAN划分、IP规划到三层路由和排错，每一步都给出可以直接抄的配置和参数，顺带把最容易翻车的几个坑替你提前踩一遍。这套思路覆盖了思科、华为和真实硬件三类环境，新手能照着一步步搭起来，熟手也可以直接拿来当排查清单用。
2. 组网前必须想清楚的五件事：网络拓扑、设备选型与协议选择
2.1 先画拓扑再碰设备：星型、树型和环网的取舍
局域网组网实验的第一步不是插网线，而是画拓扑。常见的拓扑无外乎星型、树型、环网三种，但实际项目里很少用单一结构：办公区终端密集，用两层星型汇聚；楼栋之间距离远，光纤做骨干走树型；对可靠性有要求的场景（比如监控专网）才会在核心层做环网，配合STP/RSTP防环路。
我一般建议实验项目控制在两层结构：接入层放终端，汇聚层做VLAN间路由和DHCP中继。三层核心对新手不友好，二层汇聚加单臂路由的方案足够应付90%的实验场景，而且排错范围小。真实项目里也有不少小规模网络就是用一台三层交换机搞定全部，省一台设备少一个故障点。
拓扑画完要标三样东西：设备接口编号、VLAN号、IP网段。别嫌麻烦，后面所有配置都是照着这张图填参数，图错了配置必错。见过太多人在交换机上配了半天，最后发现是拓扑图里IP网段写反了。
2.2 设备选型的三个硬指标：端口密度、背板带宽、转发延迟
选设备先看三个硬指标：端口密度决定能接多少终端；背板带宽决定所有端口同时跑满时会不会丢包；转发延迟影响语音和视频类应用体验。实验环境用模拟器无所谓，真机采购时必须按峰值流量而不是平均流量算。
另一个容易忽略的点是光口和电口的搭配。实验里全是RJ45网线，真实场景中楼栋间要用光模块，选交换机时要确认光口数量够不够，以及是否支持千兆多模/单模模块。曾见过一个项目买了8口交换机当汇聚，结果光口只有2个，楼栋一多就捉襟见肘。
VLAN数量和路由协议支持也要提前确认。低端非网管交换机根本不支持VLAN，实验报告里写了VLAN规划却拿非网管设备做，等于白写。路由协议方面，静态路由和OSPF是最常用的两个，实验阶段建议先跑通静态，OSPF放在进阶部分。
2.3 二层还是三层：VLAN间通信的两种实现路线
VLAN隔离广播域，但隔离之后不同VLAN之间还要通信，这就涉及到二层交换机和三层交换机的分工问题。纯二层方案下，VLAN间通信要靠外部路由器做单臂路由，交换机上所有VLAN的网关都指向路由器子接口；三层交换机方案则是直接启用SVIF接口（SVI，交换虚拟接口），让交换机自己承担路由角色。
两种路线各有适用场景：终端少于200台、路径相对固定的网络，用三层交换机做VLAN间路由最省事，配置量小、故障点少；网络规模大或需要策略路由、ACL精细化管控时，才值得引入独立路由器。实验里我一般推荐三层交换机方案，因为它的排错路径更直观——ping不通时先查接口UP没UP，再看路由表有没有条目，最后查ACL。
设备选型参数对照表：
| 参数 | 接入层交换机 | 汇聚层交换机 | 核心交换机 |
|---|---|---|---|
| 端口类型 | 24口千兆电口 | 24口千兆光口+电口 | 48口万兆光口 |
| VLAN支持 | 支持VLAN划分 | 支持VLAN间路由 | 支持VLAN间路由+ACL |
| 路由协议 | 不支持 | 静态路由/OSPF | OSPF/BGP |
| 适用场景 | 终端接入 | 楼栋汇聚 | 全网核心 |
3. 从零搭建一个能跑的局域网：VLAN规划与IP地址分配实操
3.1 VLAN划分的两种思路：按部门还是按业务
VLAN划分容易陷入两个极端：要么图省事一个VLAN到底，要么划得太碎每个办公室一个VLAN。前者广播域太大，ARP广播和病毒扫描会把网络拖垮；后者管理成本高，VLAN间路由条目成倍增长，ACL策略复杂到没人敢动。
按部门划分（财务部VLAN 10、人事部VLAN 20）的好处是管理直观，但员工跨部门流动时权限调整麻烦；按业务划分（有线终端VLAN 10、无线终端VLAN 20、监控VLAN 30、服务器VLAN 40）的好处是策略控制精准，IP摄像头、门禁控制器这类设备不需要和办公终端混在同一个广播域里。
我的做法是混合式：终端按物理位置划分VLAN，因为同一楼层的终端天然聚在一起；服务器和网络打印机单独划一个VLAN；监控和IoT设备独立成段。这样广播域受控，ACL也能按业务边界去写，排错时定位也快。
3.2 IP地址规划：子网掩码、网关和DHCP地址池
IP规划是实验报告里最容易被扣分的环节，也是真实项目里返工最多的部分。C类地址段192.168.1.0/24看上去很整齐，但一旦设备超过254台就得重新设计。我一般建议用10.0.0.0/8或172.16.0.0/12私网段做实验，因为可扩展空间大，VLAN间路由展示时也更“像真实项目”。
子网掩码的选择取决于每个VLAN的终端数量。办公区终端多，用/24（254个地址）；打印机和摄像头密度低，用/25或/26就够。核心原则是：不要给一个预估只有20台终端的VLAN分配/16的大段，IP浪费还在其次，广播域太大才要命。
网关地址统一放在每个网段的末尾还是开头，这没有绝对标准，但全网必须一致。我习惯用.254做网关，因为终端地址从.1开始递增，地址分配表看起来一目了然，跟人对接时也少解释半天。
IP地址规划示例：
| VLAN号 | 用途 | 网段 | 网关 | DHCP地址池 | 可用地址数 |
|---|---|---|---|---|---|
| 10 | 办公终端 | 10.10.10.0/24 | 10.10.10.254 | 10.10.10.10-200 | 191 |
| 20 | 无线终端 | 10.10.20.0/24 | 10.10.20.254 | 10.10.20.10-200 | 191 |
| 30 | 监控设备 | 10.10.30.0/24 | 10.10.30.254 | 10.10.30.10-150 | 141 |
| 40 | 服务器 | 10.10.40.0/24 | 10.10.40.254 | 静态IP | 不启用 |
3.3 配置命令：华为ensp与思科模拟器的对照
实验环境用华为ensp还是思科Packet Tracer，命令风格完全不同。以创建VLAN和配置SVI接口为例：
华为ensp：
# 创建VLAN 10并命名为OFFICE vlan 10 description OFFICE quit # 配置VLANIF接口作为网关 interface Vlanif 10 ip address 10.10.10.254 255.255.255.0 quit思科模拟器：
# 创建VLAN 10并命名 vlan 10 name OFFICE exit # 配置SVI接口作为网关 interface vlan 10 ip address 10.10.10.254 255.255.255.0 no shutdown exit两套命令逻辑一致——先建VLAN，再给VLAN配上IP地址当网关。区别在于华为用quit退出配置模式，思科用exit；华为的VLAN接口叫Vlanif，思科简写为vlan。实验时选一套环境练熟就够，别两套混着记，考试和项目里最容易出错的恰恰是命令记忆混淆。
3.4 接入交换机配置：把终端正确塞进对应的VLAN
接入交换机的配置相对简单，核心动作是把物理端口划入对应VLAN。
# 华为ensp接入交换机配置 vlan batch 10 20 30 40 # 将GE0/0/1端口划入VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit # 将GE0/0/2端口划入VLAN 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit # 上联端口配置为trunk，允许所有VLAN通过 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan all quit这段配置的关键在于区分access口和trunk口：接终端用access口，指定一个VLAN；接上联交换机或路由器用trunk口，放行多个VLAN。如果终端接在trunk口上，或者上联口配成了access，都会出现“部分VLAN通、部分VLAN不通”的诡异现象。
3.5 三层交换机配置：VLAN间路由与DHCP中继
三层交换机要做的事有两件：一是让不同VLAN之间能互相访问，二是给终端下发IP地址。前者靠SVI接口和IP路由，后者靠DHCP服务器或交换机内置的DHCP服务。
DHCP配置示例（华为ensp）：
# 开启DHCP服务 dhcp enable # 在VLAN 10的网关接口上配置DHCP地址池 interface Vlanif 10 dhcp select global quit ip pool office network 10.10.10.0 mask 255.255.255.0 gateway-list 10.10.10.254 dns-list 114.114.114.114 8.8.8.8 lease day 7段配置里有个常见误区：dhcp select global之前必须先在系统视图下开启dhcp enable，否则地址池配了也不生效。另外，实验报告里如果写了DHCP却用静态IP验证，扣分是小事，真实项目里终端一多手动配IP能累死人。
4. 验证与排错：把配置从“看起来对”变成“跑得通”
4.1 VLAN间通信验证的三种手段
配置完成后第一个动作不是测终端，而是验证交换机自身能不能ping通各VLAN的网关。在交换机上执行ping命令能通，说明SVI接口和路由没问题；不通则回过头查VLAN是否创建、接口是否UP、IP是否配错。
第二步才轮到终端验证：终端A（VLAN 10）ping终端B（VLAN 20）的IP地址。通了，说明VLAN间路由生效；不通，按三层往下查。第三步是验证外部路由：终端ping核心交换机互联地址或出口路由器，这一步不通说明默认路由或静态路由配置有问题。
验证结果解读：
| 测试对象 | 命令 | 预期结果 | 失败时排查方向 |
|---|---|---|---|
| 网关连通性 | ping 10.10.10.254 | 通 | 本机IP/掩码配置、网线接口状态 |
| VLAN间通信 | ping 10.10.20.10 | 通 | SVI接口状态、VLAN划分、路由表 |
| 跨三层通信 | ping 10.10.40.254 | 通 | 静态路由、默认路由、ACL |
| 外部网络 | ping 运营商DNS | 通 | NAT配置、出口路由、DNS设置 |
4.2 从ping结果判断网络故障位置
ping不通时不要盲目改配置，先看ping的返回类型：Request timed out通常是目标不可达或防火墙拦截；Destination host unreachable多半是路由缺失；TTL expired in transit则说明数据包绕了远路，可能出现了环路。
我的排查顺序固定是：先在终端上ping网关，网关不通就查物理层和接入交换机；然后ping目标的网关，不通查中间链路和VLAN配置；最后ping目标终端，不通才需要查目标设备的防火墙、IP配置和应用层。这个顺序能快速把问题范围从“整个网络”缩小到“某一层”，而不是在交换机上瞎试命令。
4.3 抓包验证ACL过滤规则是否按预期生效
ACL写完要验证，最简单的方式是抓包看流量是否被丢弃。抓包工具用Wireshark即可，在终端和交换机之间做镜像端口，或者直接在终端上抓。核心观察点有两个：请求发出后有没有对应的应答包；如果有应答但被丢弃，看是TCP RST还是静默丢弃。
一个容易踩的坑：ACL规则里写了deny ip但忘了在接口下应用traffic-filter，配置看着对，实际没有生效。验证ACL时先display current-configuration确认规则真的挂在了接口上，再测试才对吧。
5. 局域网组网实验的避坑现场：五个常见问题排查记录
5.1 问题一：终端能ping通网关，但ping不通DHCP服务器
现象：办公终端固定IP能上网，改用DHCP后拿不到地址；或者终端能ping通网关，但ping不通DHCP服务器。
原因：最常见的是DHCP服务器和终端不在同一个广播域，终端发出DHCP Discover广播包无法跨越三层设备。很多实验里DHCP服务器放在服务器VLAN（VLAN 40），而终端在VLAN 10，如果没有配置ip helper-address（思科）或dhcp relay（华为），广播包根本传不到服务器。
解决：在三层交换机上配置DHCP中继，把终端VLAN的DHCP广播单播转发到服务器地址。华为ensp的配置是dhcp select relay和dhcp relay server-ip。我见过不少人在这个问题上卡了一下午，最后发现只是漏了中继配置。
5.2 问题二：交换机环路导致网络时通时断
现象：全网终端间歇性掉线，核心交换机CPU占用率居高不下，ping大包（1500字节）不通，ping小包通。
原因：实验里有人把两根网线同时插在同一台交换机和另一台交换机之间，或者终端同时连着有线和无线，形成了二层环路。广播帧在环路里无限转发，最终耗尽交换机CPU资源，这就是常说的广播风暴。
解决：先拔掉怀疑成环的网线，网络恢复说明环路存在，然后开启STP（生成树协议）让交换机自动阻塞冗余路径。华为ensp里默认STP是关闭的，需要stp enable手动开启；思科设备默认开启。实验里养成好习惯：每次新增链路后检查STP状态，而不是等网络卡死了才排查。
5.3 问题三：跨网段ping通但跨网段远程桌面失败
现象：终端A能ping通终端B的IP地址，但远程桌面连接超时；反过来从终端B连终端A却能成功。
原因：ping通说明三层路由正常，远程桌面失败几乎可以确定是防火墙或ACL问题。Windows系统默认防火墙阻止远程桌面入站连接；或者ACL里只放行了ICMP协议，没有放行TCP 3389端口。
解决：在终端B上手动允许远程桌面通过防火墙（系统设置里勾选“允许远程桌面连接”），或者创建入站规则放行TCP 3389。实验环境为了演示方便可以临时关闭防火墙，但真实项目里必须用放行规则代替关闭防火墙。
5.4 问题四：办公网访问不到服务器网段的打印机
现象：终端能ping通服务器VLAN里的所有设备，唯独打印机不通；打印任务一直在队列里，状态显示脱机。
原因：打印机默认开启了IPsec或只允许特定网段访问，导致从办公网（VLAN 10）发起的连接被打印机自身的安全策略拦截；另一种可能是打印机设置了静态IP，而实验环境里DHCP地址池和静态IP冲突。
解决：登录打印机Web管理界面，检查IPsec策略和安全设置，把办公网段加入允许列表；同时确认打印机的IP地址不在DHCP地址池范围内。这里有个技巧：给打印机这类设备绑IP时，优先保留一段独立地址（比如10.10.40.200-254），不和DHCP动态分配的地址段重叠。
5.5 问题五：配置了VLAN间路由后外部网络反而ping不通
现象：VLAN间通信正常，但ping外网IP地址不通；去掉VLAN配置后反而能通。
原因：往往出在默认路由上。三层交换机上配置了VLAN间路由，但默认路由指向出口路由器的下一跳地址被误配成了终端网段地址；或者出口路由器上写了回程静态路由，但目标网段写错，报文到了出口路由器后不知道怎么回来。
解决：核心交换机上配置ip route-static 0.0.0.0 0.0.0.0 出口路由器互连接口地址，同时确认出口路由器上有回程路由，指向核心交换机的互连地址。排查时在核心交换机和出口路由器上分别display ip routing-table，看路由表里的下一跳和出接口是否匹配网络拓扑图。
5.6 ping不通的排查顺序：从物理层到应用层
排查网络故障的精髓是从底层往上层查，不要跳步。第一步看物理层，网线插没插好，端口灯亮不亮；第二步看数据链路层，接口UP还是DOWN，VLAN划分对不对；第三步看网络层，IP地址、子网掩码、网关对不对；第四步看传输层，ACL挡没挡、路由通不通；最后才查应用层，防火墙拦截、服务没启动等。
我最常看到的新手错误是：终端ping不通，先在交换机上把配置全删了重新配一遍。其实很多时候问题出在终端本身上——有人给终端配了静态IP，恰好和DHCP地址池冲突，结果看交换机配置看了一小时。
6. 进阶验证技巧：用一台笔记本把整个实验网络“验”一遍
实验做到这里，基本功能已经跑通了，但一份好的报告和一套可靠网络还需要做“破坏性验证”——只有知道网络坏了怎么恢复，才算真正掌握这套组网方案。
验证方式一用traceroute（Windows下是tracert）看路径：从终端到外网IP逐跳检查经过的每一台设备，哪一跳超时，问题就卡在哪一段。验证方式二做VLAN间压力测试：同时从多个VLAN发起ping和远程桌面连接，观察是否有丢包或延迟抖动。验证方式三查MAC地址表：display mac-address对比终端实际MAC地址和交换机学习到的MAC地址是否一致，不一致说明VLAN划错区域或存在非法接入设备。
我每次实验结束都会留一个“后悔药”：在所有交换机的配置末尾备份一份当前配置，归档文件命名带日期。这套习惯在真实项目里救过我好几次，设备挂了直接恢复配置，不用凭记忆重新敲几百行命令。另外有条件的话，用Wireshark抓一端网关接口的流量，看看有没有异常的广播报文——正常网络广播不会太多，如果广播占比高，说明VLAN划分不够细或有环路隐患。
拿一台笔记本接着网口，跑一遍“终端→网关→核心→出口路由器→外网”的完整链路测试，比任何报告里的通断测试都更有说服力。把这份验证记录附在实验报告末尾，项目验收时基本能少挨一轮问询。希望帮到你。
本文还有配套的精品资源，点击获取
