本文完整演示一个小型校园网（两栋楼 + 机房）从需求分析、IP/VLAN 规划、拓扑设计，到设备配置、业务验证的全过程，覆盖 VLAN 隔离、DHCP 自动分配、Trunk 透传、无线接入、WEB/DNS 服务、RIP/OSPF 双协议重分发、NAT 地址转换、链路聚合冗余等核心技术点，全部在 Cisco Packet Tracer 中完成，命令可直接复用。

一、需求分析与整体规划

场景：某学校新校区需要搭建全新网络并接入互联网。全校共两栋楼（实验楼、办公楼），每栋楼需提供 200 个有线信息点；实验楼需提供无线接入；机房位于办公楼内，需提供网站（WEB）与内部域名解析（DNS）服务，并通过出口路由器接入互联网。为保障网络安全，各部门网络需隔离广播域。

1.1 IP 与 VLAN 规划

按楼层/用途划分 4 个 VLAN，每个网段取一个 C 类地址，便于扩展：

地点	VLAN	网段	网关
办公楼	10	171.17.10.0/24	171.17.10.1
实验楼	20	171.17.20.0/24	171.17.20.1
机房（服务器区）	60	171.17.60.0/24	171.17.60.1
实验楼无线	90	171.17.90.0/24	171.17.90.1

1.2 设备互联规划

采用核心层—汇聚层—接入层三层结构；为节约成本并提高内部交换能力，核心与汇聚合用一台三层交换机，路由器作为局域网出口并通过 NAT 实现内外网地址转换：

设备	接口	对端设备	对端接口
内部路由器	Fa0/0	核心汇聚交换机	Gi0/1
内部路由器	Fa0/1	出口路由器	Fa0/0
核心汇聚交换机	Fa0/1-2	服务器接入交换机	Fa0/1-2
核心汇聚交换机	Fa0/4	办公楼接入交换机	Gi0/1
核心汇聚交换机	Fa0/5	实验楼接入交换机	Gi0/1
实验楼接入交换机	Fa0/13	无线 AP	Port0
出口路由器	Se0/0/0	ISP 路由器	Se0/0/0

二、网络拓扑

整体结构：出口路由器下挂三层核心交换机，二层交换机作为接入，另用一台路由器模拟互联网（ISP）：

三、设备配置（10 步）

（1）核心交换机：VLAN 网关与 DHCP 地址池

在三层交换机上为 4 个 VLAN 配置 SVI 接口地址（即各网段网关）：

interface Vlan10
 ip address 171.17.10.1 255.255.255.0
!
interface Vlan20
 ip address 171.17.20.1 255.255.255.0
!
interface Vlan60
 ip address 171.17.60.1 255.255.255.0
!
interface Vlan90
 ip address 171.17.90.1 255.255.255.0

配置 DHCP 动态地址池，为办公、实验、无线终端自动下发地址，DNS 指向机房 DNS 服务器：

ip dhcp pool vlan10
 network 171.17.10.0 255.255.255.0
 default-router 171.17.10.1
 dns-server 171.17.60.254
ip dhcp pool vlan20
 network 171.17.20.0 255.255.255.0
 default-router 171.17.20.1
 dns-server 171.17.60.254
ip dhcp pool vlan90
 network 171.17.90.0 255.255.255.0
 default-router 171.17.90.1
 dns-server 171.17.60.254

启用三层路由功能：

ip routing

（2）核心交换机：对接路由器的出口接口

三层交换机连接路由器的物理接口需先执行 no switchport 转为路由口，才能配置 IP；对内部路由器侧运行 RIP 协议：

interface GigabitEthernet0/1
 no switchport
 ip address 171.17.80.2 255.255.255.0
 duplex auto
 speed auto

router rip
 version 2
 network 171.17.0.0
 no auto-summary

（3）核心/接入交换机：Trunk 透传打通内网

核心交换机下连接入交换机的端口配置 Trunk，允许多 VLAN 透传：

interface FastEthernet0/3
 switchport trunk encapsulation dot1q
 switchport mode trunk
interface FastEthernet0/4
 switchport trunk encapsulation dot1q
 switchport mode trunk

办公楼接入交换机（上联口 Trunk，业务口划入 VLAN 10）：

int gi0/1
 switchport mode trunk
int ran fa0/1-24
 switchport mode access
 switchport access vlan 10

实验楼接入交换机（有线口划 VLAN 20，无线口划 VLAN 90）：

int gi0/1
 switchport mode trunk
int ran fa0/1-12
 switchport mode access
 switchport access vlan 20
int ran fa0/13-24
 switchport mode access
 switchport access vlan 90

（4）无线 AP 配置

修改无线 SSID 为 test，安全认证采用 WPA2-PSK，密码 12345678：

（5）WEB 与 DNS 服务器配置

机房两台服务器分别承担 WEB 与 DNS 服务。WEB 服务器设置 IP 为 171.17.60.253 并启动 WEB 服务：

DNS 服务器配置 IP 并启动 DNS 服务，增加一条 A 记录：域名 www.wlgc.com → WEB 服务器 IP，使主机可通过域名访问服务器：

（6）内部路由器：RIP/OSPF 双协议重分发

内部路由器一端对接核心交换机（RIP 域），一端对接出口路由器（OSPF 域），因此需要双向重分发：

interface FastEthernet0/0
 ip address 171.17.80.1 255.255.255.0
!
interface FastEthernet0/1
 ip address 17.17.20.1 255.255.255.0

router ospf 1
 router-id 3.3.3.3
 log-adjacency-changes
 redistribute rip subnets
 network 17.17.20.1 0.0.0.0 area 0
!
router rip
 version 2
 redistribute ospf 1 metric 1
 network 171.17.0.0
 no auto-summary

排坑提示：OSPF 的 network 语句必须用反掩码（如 0.0.0.0），如果误当掩码使用，邻居无法建立、全网不通，这是本类拓扑最常见故障。

（7）出口路由器：NAT 地址转换

出口路由器将内网私网地址转换为外网接口地址，实现私网访问广域网；并用 ACL 禁止个别主机（如 171.17.10.2）上网，其余放行：

interface FastEthernet0/0
 ip address 17.17.20.2 255.255.255.0
 ip nat inside
!
interface Serial0/0/0
 ip address 200.200.200.1 255.255.255.0
 clock rate 64000
 ip nat outside

ip route 0.0.0.0 0.0.0.0 Serial0/0/0
router ospf 1
 log-adjacency-changes
 redistribute rip subnets
 network 17.17.20.2 0.0.0.0 area 0
 default-information originate

access-list 1 deny host 171.17.10.2
access-list 1 permit any
ip nat inside source list 1 interface Serial0/0/0 overload

（8）互联网（ISP）模拟配置

用一台路由器模拟互联网，提供外网测试目标：

interface FastEthernet0/0
 ip address 201.201.201.1 255.255.255.0
!
interface Serial0/0/0
 ip address 200.200.200.2 255.255.255.0

（9）电脑终端配置

笔记本电脑改用无线网卡并连接 SSID test：

各电脑终端 IP 设为 DHCP 自动获取：

（10）链路聚合：服务器区冗余保护

为保障服务器区网络可靠，在核心交换机与服务器接入交换机之间做链路聚合，单条链路故障时业务不中断。

核心（三层）交换机：

interface Port-channel1
 switchport trunk encapsulation dot1q
 switchport mode trunk
interface FastEthernet0/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 channel-group 1 mode auto
interface FastEthernet0/2
 switchport trunk encapsulation dot1q
 switchport mode trunk
 channel-group 1 mode auto

服务器接入交换机：

interface Port-channel1
 switchport mode trunk
interface FastEthernet0/1
 switchport mode trunk
 channel-group 1 mode desirable
interface FastEthernet0/2
 switchport mode trunk
 channel-group 1 mode desirable

四、全网测试验证

4.1 内网互联测试

PC1（171.17.10.2）分别 PING PC3（171.17.20.2）与笔记本电脑（171.17.90.2），全部连通，说明 VLAN 间路由正常：

4.2 无线网络测试

笔记本电脑（171.17.90.2）PING WEB 服务器（171.17.60.253），可通，无线业务正常：

4.3 WEB 与 DNS 测试

PC2（171.17.10.3）先通过 IP 地址访问 WEB 服务器，网站可打开，证明 WEB 服务配置正确：

再通过域名 www.wlgc.com 访问，网站可打开，证明 DNS 解析正确：

用 PING 域名进一步验证 DNS 解析结果：

4.4 访问互联网测试

PC3 PING 外网主机（201.201.201.1）可通，内网上网正常：

在出口路由器上执行 show ip nat translations，可见内网 IP（如 171.17.20.2）已被转换为外网接口地址 200.200.200.1，NAT 工作正常：

4.5 链路聚合保护测试

PC1（171.17.10.2）长 PING DNS 服务器（171.17.60.254）期间，手工关闭核心交换机 Fa0/1 模拟端口故障：PING 基本无中断，链路聚合冗余保护生效：

五、要点总结

1. 三层交换机 SVI 是 VLAN 间路由的关键：每个 VLAN 一个网关地址，配合 ip routing 实现全网互通；
2. 物理口配 IP 必须先 no switchport，否则命令会被拒绝；
3. Trunk（dot1q）是多 VLAN 跨交换机的通道，上联口 Trunk、业务口 Access 的组合是标准做法；
4. 双协议域边界必须重分发：本例内部 RIP ↔ 出口 OSPPF，两侧都要 redistribute 才能全网路由可达；
5. NAT 三要素：inside/outside 接口标记、感兴趣流 ACL、overload 复用外网口地址；
6. OSPF network 用反掩码，配错会导致邻居建不起来、局部不通；
7. DHCP 的 dns-server 参数决定了终端能否用域名上网，指向内部 DNS 即可实现内网域名服务；
8. **链路聚合（PAgP auto/desirable）**为服务器区提供链路级冗余，单端口故障业务无感切换；
9. 排障利器是 Packet Tracer 的模拟模式：能逐跳查看数据包走向，快速定位故障发生在哪台设备。

以上命令在 Packet Tracer 中可直接复现，适合作为校园网/中小企业网络设计与配置的学习模板。