三年后接你班的人，会不会骂你？看 IP 规划就知道

---

---

一、开场：最贵的不是设备，是"看不懂"

前年接一个存量园区，核心交换机上 200 多个 VLAN，名字从 VLAN0001 一直排到 VLAN0200，接口描述全是空的，IP 段从 10.0.0.1 往下随手分，财务的段和监控的段挨在一起。甲方让我查"财务部为什么上不了网"。

我从下午两点查到五点。最后发现：财务的网关地址，被隔壁工位的测试机占了——那台机器是半年前做压力测试留下的，人走了，IP 没回收。整个过程里，我翻了三个 Excel，问了两拨人，爬了一次配线架。

这事儿不是技术难，是没有规划。IP 规划不是"把地址分出去"，是"设计一套三年后别人还能看懂的秩序"。这课讲四件事：网段怎么分、VLAN 怎么划、名字怎么起、台账怎么记。

---

二、三条铁律：先立规矩，再动手

1. 唯一性

一个 IP 只属于一个地方，一个 VLAN 只对应一类业务。办公和监控混在一个 VLAN 里，广播域一样、故障域一样、安全策略也没法下——出了问题，整个办公区陪着监控一起抖。

2. 可扩展

每个段位留 30% 余量，每个区域留一个整段的预留。项目上线第一年用 60%，第三年新加业务不用改全网。

3. 可读

看名字就知道在哪、干什么。10.10.1.0/24 一眼知道是总部办公，VLAN0001 这种名字，除了当初配它的人，谁也不知道是什么。

4. 类比

• 小区门牌：1 栋 2 单元 301，看地址就知道位置；如果全楼都叫"3 号房"“7 号房”，快递员会疯。
• 图书馆索书号：分类号 + 作者号 + 序号，能定位到第几个书架第几层。IP 段就是网络的索书号。
• 身份证号：前 6 位地区、中间 8 位生日，号码本身带信息，不用查表也知道大概。

---

三、网段分配模板：10.<区域>.<业务>.0/24

1. 固定四段结构

私网地址选 10.0.0.0/8（B 类 172.16、C 类 192.168 更适合家庭和小办公室，园区一律用 10 段）。然后按四段切：

位置	含义	示例
第一段	固定 10，私网标识	10.x.x.x
第二段	区域号：10 总部、20 生产、30 宿舍、40 医技	10.20.x.x
第三段	业务号：1 办公、2 无线、6 服务器、9 预留	10.20.1.x
第四段	主机位，1 是网关，2-254 给终端	10.20.1.1

规则一句话：10.<区域>.<业务>.0/24。区域号两位、业务号两位，看地址就知道在哪、干什么。

2. 业务号约定表

业务号	用途	示例网段	对应 VLAN
01	有线办公	10.10.1.0/24	101
02	无线业务	10.11.1.0/24	1101
06	服务器	10.60.1.0/24	601
07	三层互联	10.70.1.0/24	701
08	带外管理	10.80.1.0/24	801
09	预留扩展	10.90.1.0/24	901
99	DMZ	10.99.1.0/24	9901

VLAN 号怎么定？我习惯 站点代号 + 业务号：总部办公 1-01 → VLAN 101，无线办公 11-01 → VLAN 1101，DMZ 99-01 → VLAN 9901。这样 VLAN 号的后两位，和网段第三段永远对得上，查配置的时候脑子不用来回换算。

3. 为什么是 /24，不是 /16

有人图省事，一个园区给一个 10.0.0.0/16，觉得"地址多、以后不用再分"。这是给自己埋雷：/16 有 65534 个可用地址，一个广播域里塞几千台终端，ARP 广播、DHCP 广播、邻居发现全在一个域里跑，晚高峰能吃掉不少带宽；而且一个 VLAN 里终端越多，一台机器中毒，整段跟着遭殃。

/24 是 254 个可用地址，一个楼层、一类业务刚好装下。不够就再加一个 /24，用 VLAN 隔开，广播域还是干净的。宁可多划几个段，不要图省事划大段。

拿 800 人园区套一遍：办公 800 人，按 60% 同时在线约 480 个地址，两个 /24 够用（一层一个）；宿舍 600 人，每人 2 台设备，三个 /24；生产区设备 300 台，两个 /24。加起来 7 个 /24，全在 10.10～10.50 里排得整整齐齐。

4. 类比

像分楼层：一层办公、二层生产、三层宿舍，每层房间号从 01 开始编。访客住单独一层（DMZ），机房不跟员工宿舍混在一起，库房单独划一片（服务器段）。谁来都能按楼层找到房间。

---

四、哪些段必须单独拉出来

模板是骨架，有四个段位不能省：

互联段：核心到汇聚、汇聚到接入的三层互联地址，单独一个 /24 或者 /30 一对。不能从业务段里抠，抠了以后扩容就冲突。

带外管理段：交换机的管理地址、iLO/iDRAC、PDU，全部放这一段。业务段炸了，你还能从管理段进去救。

DMZ 段：对外发布的网站、邮件、VPN 网关，必须跟内网隔开。放内网就是给攻击者开一条直达通道。

预留段：至少留两段 /24，专门给"三年后想都没想到的新业务"。我见过太多项目，第一年规划得整整齐齐，第二年上新业务没段可用，随手塞进办公段，从此乱了。

互联段的写法也顺手记一下：核心和汇聚各占一个地址，10.70.1.0/24 里核心用 .1、汇聚一用 .2、汇聚二用 .3，编号跟设备序号对齐。这样在核心上 display ip routing-table 看到 10.70.1.2，就知道是汇聚一，不用查表。要是新建一对，就用 10.70.2.0/24，成对递增，永远不冲突。

---

五、命名规范：设备、接口、VLAN

1. 设备名：区域-角色-序号

HQ-CORE-01、HQ-AGG-01、HQ-ACC-01、BR1-ACC-02。

三要素：区域代号（HQ 总部、BR1 分支一）、角色（CORE 核心、AGG 汇聚、ACC 接入）、两位序号。全大写、连字符分隔、序号补齐两位。规则简单到不用查文档，新人看一眼就懂。

2. 接口描述：对端设备:对端端口

description to-HQ-AGG-01:GE0/0/1。

这个习惯救过我很多次。半夜告警说某台接入掉线，看一眼对端核心的接口描述，就知道这根线连的是哪个弱电间、哪台设备，不用第二天爬配线架。

反面的例子我也见过：某厂区交换机名字从 SW1 一路排到 SW47，标签贴了两年全掉了。有次一台设备环回，广播风暴打了半个厂区，值班的人对着拓扑图上 47 个"SW"发愣，最后靠拔线一根一根试，试到第 19 根才定位。名字起成这样，等于没起。

3. VLAN 名：区域-业务-编号

OFFICE-DATA-101、PROD-CTRL-201、DMZ-WEB-9901。

三段：区域、业务、编号。编号和 VLAN ID 一致，名字和号对得上，display vlan 出来一眼能认。

4. 配置与验证

# 建 VLAN 并命名，编号和网段对得上，后面才查得动
<HQ-ACC-01> system-view
[HQ-ACC-01] vlan 101
[HQ-ACC-01-vlan101] name OFFICE-DATA-101
[HQ-ACC-01-vlan101] quit

# 接口描述写清对端，排障时不用爬线
[HQ-ACC-01] interface GigabitEthernet0/0/1
[HQ-ACC-01-GigabitEthernet0/0/1] description to-HQ-AGG-01:GE0/0/1
[HQ-ACC-01-GigabitEthernet0/0/1] port link-type trunk
[HQ-ACC-01-GigabitEthernet0/0/1] port trunk allow-pass vlan 101
[HQ-ACC-01-GigabitEthernet0/0/1] quit

# 验证：名字和描述是否真的落进去了
<HQ-ACC-01> display interface description
Interface            Description
GE0/0/1              to-HQ-AGG-01:GE0/0/1
GE0/0/2              to-HQ-ACC-02:GE0/0/2

# 异常处理：Description 为空，先看是不是在 interface 视图里敲的；
# 被批量脚本覆盖过的，按台账重新下发一遍，别指望它自己回来

5. 类比

机房理线贴标签：标签写"核心-AGG01-上联"，断一根线立刻知道影响谁；没标签，就只能顺着线一根根爬，爬到半夜。

---

六、台账与上线校验：规划的最后一步是"能查"

1. 台账六列

列	内容	举例
IP/掩码	网段与网关	10.10.1.0/24，网关 .1
VLAN	VLAN ID 与名称	101 / OFFICE-DATA-101
区域	物理位置	总部 3 楼东区
用途	承载业务	办公有线终端
责任人	谁维护	网络组 张三
变更日期	最后一次改动	2026-11-08

六列不多，但缺一列就会在某个深夜被问住。台账放哪？Excel 也行，Wiki 也行，关键是有人改、有人认。

我吃过一次亏：项目上线时给测试组临时开了一个 10.10.1.128/26，想着"临时的，用完就删"，结果忘了登记。三个月后同一段被分给新来的部门，两拨人打架，查了两天才想起来是那台测试机。从那以后我定了一条死规矩：临时段也是段，开的时候就要写进台账，标注"临时"和到期日。

2. 上线前三件事

# 上线前三件事：VLAN 建了没、地址池够不够、网关通不通
<HQ-CORE-01> display vlan 101
VLAN ID: 101
VLAN Name: OFFICE-DATA-101

<HQ-CORE-01> display ip pool name office-pool
Pool-name : office-pool
Total     : 254
Used      : 180
Idle      : 74

# 从接入侧 ping 网关，确认三层通了
<HQ-ACC-01> ping 10.10.1.1
PING 10.10.1.1: 56 data bytes, press CTRL_C to break
Reply from 10.10.1.1: bytes=56 Sequence=1 ttl=255 time=1 ms

# 异常处理：Idle 只剩个位数，先扩池或缩短租期；
# ping 不通先查端口进没进 VLAN、网关配没配、trunk 放没放行

3. 地址冲突怎么查

# 怀疑地址冲突，直接看 ARP：同一个 IP 两个 MAC 就是冲突
<HQ-CORE-01> display arp | include 10.10.1.66
IP Address    MAC Address      VLAN/Interface
10.10.1.66    00e0-fc12-3456   101/GE0/0/12
10.10.1.66    00e0-fc78-9abc   101/GE0/0/33

# 异常处理：两条记录就是冲突。按 MAC 找端口，按台账找责任人；
# 找不到归属就临时冻结这个地址，别直接改网关——改网关会牵动一整段终端

4. 规划流程一图看全

注意那个回流箭头：变更永远会回到规划。规划不是一次性的文档，是活的。

---

七、🔧 运维视角 & 📐 设计视角

🔧 运维视角：

• 上线前必查三项：VLAN 建了没、地址池够不够、网关通不通，三项都过再让业务上线；
• 每次变更回写台账，日期和责任人一起写，只写"某月改过"等于没写；
• 接口描述配完就写，别攒着。攒到最后一定是"回头再补"，然后就没有回头了。

📐 设计视角：

• 网段模板先定，项目再多也不改规则，规则一改，前面所有台账都作废；
• 预留 30% 段位，区域和业务各留一段空号，新业务直接插进去，不动老段；
• 命名三段式：区域-角色-序号；接口描述写对端，VLAN 名对齐网段。

---

八、排障表：规划问题五列定位

现象	命令	看到什么	判断	动作
某部门突然上不了网	display vlan	VLAN 在，但端口没加入	端口没绑 VLAN	查 port link-type 与 vlan 配置
地址冲突告警	display arp	同一 IP 两个 MAC	地址被重复分配	按 MAC 找端口、按台账找责任人
跨区访问不通	display ip routing-table	缺目标网段路由	网段没进路由规划	补网段、补路由、更新台账
新终端拿不到地址	display ip pool	Idle 为 0	地址池耗尽	扩池、缩租期、清异常租约
排障找不到设备	display interface description	描述为空	命名缺失	补描述、补台账
台账和现网对不上	台账 vs display vlan	数量、网段都不一致	变更没登记	以现网为准重建台账，加变更流程

---

九、小结与命令速查表

• 网段模板先定死：10.<区域>.<业务>.0/24，区域和业务各两位，看地址就知道位置；
• 互联、管理、DMZ、预留四个段必须单独拉出来，不跟业务混；
• 设备名三段式、接口描述写对端、VLAN 名三段式，编号和网段对得上；
• 上线前必查三件事：VLAN 建了没、地址池够不够、网关通不通；
• 台账六列，变更必回写，没台账的规划等于没规划。

本篇命令速查表：

目的	关键命令
查 VLAN 与名称	display vlan 101
查接口描述	display interface description
查地址池用量	display ip pool name office-pool
查地址冲突	display arp
查路由是否覆盖	display ip routing-table

---

十、思考题 & 评论区接招

💬 互动题（评论区接招）：

晒晒你们的设备命名规范，我来点评

1. 你们的网段是按区域分，还是按部门分？哪种更好维护？
2. 互联段和管理段，你们是单独划的还是从业务段里抠的？
3. 台账现在谁在维护？变更之后多久回写一次？

把你们现网的命名规则和网段表脱敏后发评论区，我挑几个典型的点评一下，好的坏的都说。

---

系列导航：

• 上一课：第 60 课《设备选型：交换机参数里的猫腻》
• 下一课：第 62 课《网络文档与配置基线》
• 专栏主页：[网络工程师进阶：企业组网实战——从交换机配置到园区网交付]

我是你们的老网工。IP 规划这东西，做的时候没人夸你，出问题的时候人人都骂你。但你只要把模板定死、名字起好、台账记全，三年后接你班的那个人，翻配置的时候会念你一句好。下一课聊文档和配置基线——规划画在纸上，基线才落在地上。