📚 课程目录第4章 IP地址规划与子网划分

4. IP地址规划与子网划分

园区网络的IP规划不是“给每台设备分个地址”这么简单，它决定了后续路由汇总、安全策略、故障定位和扩容的难易程度。一个可维护的园区地址体系，通常要同时回答五个问题：每个VLAN对应哪个子网、使用哪段私有地址、DHCP如何下发、如何避免地址冲突、以及IPv6如何与IPv4共存过渡。本节围绕这五个问题展开，并给出可直接参考的规划示例。

一、VLAN与IP映射：让二层划分与三层子网一一对应

园区网普遍采用“一个VLAN对应一个IP子网”的映射原则。这样做的直接好处是：广播域边界与三层子网边界重合，网关接口清晰，ACL和路由汇总都能以子网为单位表达。若多个VLAN共用一个子网，或一个VLAN跨多个子网，都会导致网关定位困难、DHCP作用域混乱。

规划时先按功能区域划分VLAN，再为每个VLAN分配连续的子网。例如某园区使用10.10.0.0/16作为办公区地址池，可按楼层或部门细分：VLAN 10（研发一部）用10.10.10.0/24，VLAN 20（研发二部）用10.10.20.0/24，VLAN 30（行政）用10.10.30.0/24，VLAN 40（无线办公）用10.10.40.0/24。网关统一采用各子网的第一个可用地址，如10.10.10.1/24，便于记忆和排障。

子网划分时需预留增长空间。若某部门当前约80人，按每人1.5～2个终端估算，需要120～160个地址，取/24（254个可用）较为宽裕；若部门仅20人左右，可用/25或/26，但过小的子网会增加VLAN数量和管理复杂度。一般建议接入层VLAN以/24为主，服务器区可按需使用/25或/26，互联链路使用/30或/31。

二、私有地址规划：RFC1918与地址块分配

园区内部使用RFC1918定义的私有地址，避免与公网地址冲突。常用三段为10.0.0.0/8、172.16.0.0/12和192.168.0.0/16。中大型园区建议统一使用10.0.0.0/8，按“区域—楼栋—楼层—VLAN”的层级切分，便于路由汇总。例如：10.10.0.0/16给办公区，10.20.0.0/16给生产区，10.30.0.0/16给服务器区，10.40.0.0/16给无线与访客，10.50.0.0/16给管理网。

地址块分配要遵循“连续、可汇总、留余量”的原则。同一汇聚设备下的VLAN尽量使用连续子网，使汇聚设备能向上宣告一条汇总路由。例如汇聚A下VLAN 10～19使用10.10.0.0/20，汇聚B下VLAN 20～29使用10.10.16.0/20，核心层只需看到10.10.0.0/16一条路由，减少路由表规模。管理地址（交换机、AP、控制器）单独划出管理VLAN和子网，如10.50.0.0/24，不与业务地址混用。

三、DHCP作用域设计：地址池、排除与租期

每个VLAN对应一个DHCP作用域，作用域中的地址池应避开网关、服务器、打印机等静态地址。以VLAN 10（10.10.10.0/24）为例：网关10.10.10.1，静态服务器占用10.10.10.2～10.10.10.99，DHCP动态池设为10.10.10.100～10.10.10.200，10.10.10.201～10.10.10.254留作扩展或临时静态。租期方面，办公有线终端可设8小时，无线终端和访客设2～4小时，以加快地址回收。

DHCP中继是跨网段分配地址的关键。网关接口配置ip helper-address指向DHCP服务器地址，使不同VLAN的请求能到达统一DHCP服务器。若采用分布式DHCP（如核心交换机兼作DHCP服务器），则需在各VLAN网关接口启用DHCP服务并绑定对应地址池。无论哪种方式，都要保证DHCP服务器与各VLAN三层可达。

! 以VLAN 10为例的DHCP作用域配置示例（Cisco IOS）
ip dhcp excluded-address 10.10.10.1 10.10.10.99
ip dhcp excluded-address 10.10.10.201 10.10.10.254
!
ip dhcp pool VLAN10-OFFICE
 network 10.10.10.0 255.255.255.0
 default-router 10.10.10.1
 dns-server 10.10.0.53 10.10.0.54
 lease 0 8
!
interface Vlan10
 ip address 10.10.10.1 255.255.255.0
 ip helper-address 10.10.0.10

四、地址冲突预防：静态与动态的边界管理

地址冲突最常见的原因是静态地址落在DHCP动态池内，或用户私自配置IP。预防措施包括：第一，严格划分静态区与动态区，静态地址统一登记在IP地址管理表（IPAM）中；第二，在接入交换机启用DHCP Snooping，只信任上联端口的DHCP报文，防止私接DHCP服务器；第三，启用IP Source Guard或ARP检测，绑定IP-MAC-端口关系，阻断非法地址；第四，对服务器、打印机等固定设备使用DHCP保留（MAC绑定），既集中管理又避免手工配置错误。

建议维护一份IP地址管理表，至少包含：VLAN ID、子网、网关、DHCP池范围、静态地址段、已分配静态地址及用途、负责人。每次新增静态地址前先查表，避免与动态池重叠。

五、IPv6过渡策略：双栈为主，隧道与翻译为辅

园区IPv6过渡推荐以双栈（Dual Stack）为主：核心、汇聚、接入设备及终端同时启用IPv4和IPv6，IPv6地址可采用运营商分配的全局单播地址或内部ULA（如fd00:10:10::/64）。双栈对现有业务影响最小，终端可优先使用IPv6访问支持IPv6的资源。对于暂不支持IPv6的旧系统，可在边界使用NAT64/DNS64实现IPv6终端访问IPv4资源；对于跨IPv4骨干连接IPv6孤岛的场景，可使用6to4或GRE隧道，但隧道会增加运维复杂度，仅作为过渡手段。

IPv6地址规划同样遵循“一个VLAN一个/64”的原则，网关使用链路本地地址或全局地址。DHCPv6可配合SLAAC使用：SLAAC负责生成接口标识，DHCPv6下发DNS等选项。过渡期间，DNS应同时返回A和AAAA记录，确保双栈终端能正确选择协议。

IPv6过渡不是一次性切换，应先在管理网和无线访客网试点，验证地址获取、DNS解析、访问控制策略后再逐步推广到办公和生产区。过渡期间IPv4地址规划仍需保持完整，不可因引入IPv6而放松IPv4的冲突预防。

综上，园区IP规划的核心是“映射清晰、层级可汇总、动静分离、双栈平滑”。VLAN与子网一一对应是基础，私有地址分层分配是骨架，DHCP作用域和冲突预防是日常运维的保障，IPv6过渡则是面向未来的必要准备。把这五件事在规划阶段一次做对，后续的扩容、排障和安全策略都会事半功倍。