校园网工程实战：VLAN+DHCP+双路由协议+NAT+无线AP+链路聚合，一套配置搭通整个校园局域网

xszjwlgzs

233人浏览 · 2026-11-10 19:05:05

xszjwlgzs · 2026-11-10 19:05:05 发布

一套用 Packet Tracer 完整搭建的校园局域网实战案例：从 VLAN 规划、DHCP 分配、Trunk 透传，到无线 AP、Web/DNS 服务器、RIP+OSPF 双协议重分布、出口 NAT，最后再用链路聚合做服务器侧冗余。全程命令可复制、结果可验证，跟着做就能搭出同款网络。

1 项目背景与需求分析

设想这样一个新校区场景：学校两栋楼——办公楼与实验楼，每栋楼需要 200 个有线信息点，同时实验楼要求无线覆盖；机房设在办公楼内，要提供 Web 网站与内部域名解析服务，并通过出口路由器接入互联网。出于安全考虑，各楼宇网络互相之间要隔离广播域。

归纳下来，这个网络要满足四点：

分区隔离：按楼宇/用途划分 VLAN，防止广播风暴串楼蔓延；
自动放号：终端即插即用，DHCP 自动分配地址与网关；
服务内聚：Web/DNS 放在服务器区统一管理，内网域名可解析；
安全出口：私网地址经 NAT 上互联网，外部无法直窥内网。

整体采用核心层—汇聚层—接入层三层结构；为控制成本，核心与汇聚合并由一台三层交换机承担，二层交换机做接入，路由器做出口。

2 网络规划

2.1 VLAN 与 IP 规划

按楼宇与用途划分 4 个 VLAN，每个 VLAN 独占一个 C 类网段，预留扩展空间：

地点	VLAN	IP 网段	网关（SVI）
办公楼	10	171.17.10.0/24	171.17.10.1
实验楼有线	20	171.17.20.0/24	171.17.20.1
机房服务器区	60	171.17.60.0/24	171.17.60.1
实验楼无线	90	171.17.90.0/24	171.17.90.1

其中 VLAN 60 中两台服务器采用静态地址：Web 服务器 171.17.60.253、DNS 服务器 171.17.60.254；其余终端一律 DHCP 自动获取。

2.2 设备连接表

本端设备	本端接口	对端设备	对端接口	说明
核心汇聚交换机（3560）	Gi0/1	内部路由器	Fa0/0	171.17.80.0/24，三层出口
核心汇聚交换机	Fa0/4	办公楼接入交换机	Gi0/1	Trunk（透传 VLAN10）
核心汇聚交换机	Fa0/5	实验楼接入交换机	Gi0/1	Trunk（透传 VLAN20/90）
核心汇聚交换机	Fa0/1-2	服务器接入交换机	Fa0/1-2	链路聚合 Trunk（VLAN60）
实验楼接入交换机	Fa0/13	无线 AP	Port0	无线接入
内部路由器（2811）	Fa0/1	出口路由器	Fa0/0	17.17.20.0/24
出口路由器	Se0/0/0	ISP 路由器	Se0/0/0	200.200.200.0/24，串行专线

ISP 路由器再挂一台外网测试主机，网段 201.201.201.0/24，用来模拟互联网网站。

3 网络拓扑

图1 网络拓扑

整个拓扑由一个出口路由器对接 ISP，内部由核心三层交换机+二层接入交换机组成，另用一台路由器模拟互联网。

4 逐项配置

4.1 核心交换机：VLAN、SVI 与 DHCP

给每个 VLAN 建 SVI 网关，并启用三层路由：

interface Vlan10
 ip address 171.17.10.1 255.255.255.0
!
interface Vlan20
 ip address 171.17.20.1 255.255.255.0
!
interface Vlan60
 ip address 171.17.60.1 255.255.255.0
!
interface Vlan90
 ip address 171.17.90.1 255.255.255.0

再为三个终端网段配 DHCP 地址池，网关指向各自 SVI，DNS 指向机房 DNS 服务器：

ip dhcp pool vlan10
 network 171.17.10.0 255.255.255.0
 default-router 171.17.10.1
 dns-server 171.17.60.254
!
ip dhcp pool vlan20
 network 171.17.20.0 255.255.255.0
 default-router 171.17.20.1
 dns-server 171.17.60.254
!
ip dhcp pool vlan90
 network 171.17.90.0 255.255.255.0
 default-router 171.17.90.1
 dns-server 171.17.60.254
!
ip routing

ip routing 别忘了，3560 默认工作在二层模式，不开这句 VLAN 之间不通。

4.2 核心交换机三层出口与 RIP

上联内部路由器的物理接口要调成路由口——先 no switchport 再配 IP：

interface GigabitEthernet0/1
 no switchport
 ip address 171.17.80.2 255.255.255.0
!
router rip
 version 2
 network 171.17.0.0
 no auto-summary

4.3 交换机间 Trunk 透传

核心交换机下连接入交换机的端口统一做 802.1Q Trunk：

interface FastEthernet0/4
 switchport trunk encapsulation dot1q
 switchport mode trunk
!
interface FastEthernet0/5
 switchport trunk encapsulation dot1q
 switchport mode trunk

接入侧按端口划 VLAN。以实验楼为例：Fa0/1-12 归 VLAN20（有线信息点），Fa0/13-24 归 VLAN90（无线用户段）：

interface GigabitEthernet0/1
 switchport mode trunk
!
interface range FastEthernet0/1-12
 switchport mode access
 switchport access vlan 20
!
interface range FastEthernet0/13-24
 switchport mode access
 switchport access vlan 90

办公楼接入交换机同理，把接入端口都划进 VLAN10。

4.4 无线 AP 配置

无线 AP 挂在实验楼接入交换机 Fa0/13。修改 SSID 为 test，认证用 WPA2-PSK，密码 12345678：

图2 无线AP配置

4.5 Web 与 DNS 服务器

两台服务器放机房 VLAN60，静态地址。Web 服务器设为 171.17.60.253，开启 HTTP 服务：

图3 WEB服务器IP配置

DNS 服务器设为 171.17.60.254，开启 DNS 服务，并添加 A 记录：www.wlgc.com → 171.17.60.253。这样终端访问域名时，DNS 会返回 Web 服务器地址：

图4 DNS服务器域名解析记录配置

4.6 内部路由器：OSPF+RIP 双协议重分布

内部路由器是内网与出口之间的桥梁。两把配 IP：

interface FastEthernet0/0
 ip address 171.17.80.1 255.255.255.0
!
interface FastEthernet0/1
 ip address 17.17.20.1 255.255.255.0

对核心交换机一侧跑 RIP，对出口路由器一侧跑 OSPF，然后双向重分布，让两边的路由互相可见：

router ospf 1
 router-id 3.3.3.3
 log-adjacency-changes
 redistribute rip subnets
 network 17.17.20.1 0.0.0.0 area 0
!
router rip
 version 2
 redistribute ospf 1 metric 1
 network 171.17.0.0
 no auto-summary

注意 network 17.17.20.1 0.0.0.0 area 0 里用的是反掩码，不是掩码——这是 OSPF 最常见的翻车点，后面第 6 节还会展开。

4.7 出口路由器：NAT 与默认路由

出口路由器对接 ISP，把私网地址翻译成公网地址出去。

先配接口与路由：

interface FastEthernet0/0
 ip address 17.17.20.2 255.255.255.0
 ip nat inside
!
interface Serial0/0/0
 ip address 200.200.200.1 255.255.255.0
 clock rate 64000
 ip nat outside
!
ip route 0.0.0.0 0.0.0.0 Serial0/0/0
!
router ospf 1
 log-adjacency-changes
 redistribute rip subnets
 network 17.17.20.2 0.0.0.0 area 0
 default-information originate

再用 ACL 定义允许上网的范围（此处特意拒绝 171.17.10.2 上网，演示按主机精细化管控），做 PAT 端口复用转换：

access-list 1 deny host 171.17.10.2
access-list 1 permit any
!
ip nat inside source list 1 interface Serial0/0/0 overload

default-information originate 会让 OSPF 向内网下发默认路由，内网设备自动知道"朝出口走"。

4.8 互联网模拟与终端配置

ISP 路由器两把配 IP 即可：

interface FastEthernet0/0
 ip address 201.201.201.1 255.255.255.0
!
interface Serial0/0/0
 ip address 200.200.200.2 255.255.255.0

终端侧：PC 全部改为 DHCP 自动获取；笔记本电脑把有线模块换成无线模块，接入 SSID test：

图5 笔记本电脑换用无线网卡

图6 笔记本通过无线连接到网络

图7 终端IP设置为DHCP

4.9 链路聚合保护服务器链路

服务器区是全网的心脏，一条链路单点故障就可能让网站瘫痪。在核心交换机与服务器接入交换机之间用两条链路做 EtherChannel（PAgP 协议）聚合：

核心侧：

interface Port-channel1
 switchport trunk encapsulation dot1q
 switchport mode trunk
!
interface FastEthernet0/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 channel-group 1 mode auto
!
interface FastEthernet0/2
 switchport trunk encapsulation dot1q
 switchport mode trunk
 channel-group 1 mode auto

服务器接入交换机侧对应配 desirable：

interface Port-channel1
 switchport mode trunk
!
interface FastEthernet0/1
 switchport mode trunk
 channel-group 1 mode desirable
!
interface FastEthernet0/2
 switchport mode trunk
 channel-group 1 mode desirable

两条物理链路在逻辑上合并成一条链路，一断一备，带宽还能叠加。

5 全网验证

5.1 内网互联测试

PC1（VLAN10）分别 PING PC3（VLAN20）和无线笔记本（VLAN90），跨 VLAN 全部可通，说明交换/Trunk/SVI 工作正常：

图8 跨VLAN连通测试

5.2 无线网络测试

无线笔记本（171.17.90.2）PING Web 服务器（171.17.60.253），可通，无线到服务器区链路正常：

图9 无线到服务器区连通测试

5.3 Web 与 DNS 服务测试

PC2 分别用 IP 和域名访问网站，两种方式都能打开页面：用 IP 通，说明 Web 服务正常；用域名也能通，说明 DNS 解析链路正常。

图10 用IP地址访问WEB服务器

图11 用域名www.wlgc.com访问WEB服务器

再用 ping www.wlgc.com 直接观察域名解析结果：

图12 DNS域名解析验证

5.4 访问互联网与 NAT 验证

PC3 PING 外网主机 201.201.201.2，可通，私网成功上公网：

图13 内网访问互联网测试

在出口路由器上执行 show ip nat translations，可以看到内网地址 171.17.20.2 被转换成出口串口地址 200.200.200.1，PAT 复用生效：

图14 NAT转换表

5.5 链路聚合故障切换测试

最有说服性的一步：从 PC1 长 PING DNS 服务器（171.17.60.254），PING 的过程中手动 shutdown 核心交换机的 Fa0/1 口模拟单链路故障。结果 PING 全程几乎无中断——聚合链路秒级切换，业务不感知：

图15 链路聚合断链切换测试

6 常见坑与排查思路

OSPF 一定要用反掩码。本次就遇到配完 OSPF 全网 PING 不通、反复排查无果的情况，最后发现是 network 语句把掩码当反掩码写了。排查路由问题时先 show ip route、show ip ospf neighbor，邻接关系建不起来多半在掩码/网段声明上。
3560 配 IP 前先 no switchport，物理口默认是二层口，直接 ip address 会报错。
ip routing 记得开，不然 SVI 之间不通，VLAN 隔离"隔过头"。
DHCP 池要与网段/网关一致，网关填错一半终端会拿到地址却上不了网。
养成用模拟模式 Simulation看报文走向的习惯：数据卡在哪一跳，从下一跳开始逐步检查（接口 up/down、VLAN、Trunk、NAT inside/outside 方向），定位会快很多。

7 写在最后

这一套下来，基本把二层交换、VLAN/Trunk、三层 SVI、DHCP、无线接入、域名/网站服务、双路由协议与重分布、NAT 上网、链路聚合全部串成了一个能跑通的整体。这些技术点单独看都不难，难的是在一张拓扑里理清"每一句命令到底让谁生效"，配置前先把规划表（IP、VLAN、连接关系）写清楚，后面就是顺水推舟。

拓扑工程文件与各设备配置文件可以在 Packet Tracer 里逐台对照复现，有问题欢迎留言交流。