3. 逻辑拓扑设计：VLAN划分原则、子网规划与IP地址分配、广播域控制

说实话，物理拓扑搭好了，线也连上了，但网络能不能跑得稳、安不安全，关键还得看逻辑设计。我见过太多项目，物理布线漂漂亮亮，结果一上线广播风暴直接打垮全网。嗯，这一章咱们就聊聊逻辑拓扑的核心——VLAN怎么切、IP怎么分、广播域怎么控。

3.1 VLAN划分原则——别拍脑袋，要有章法

VLAN这东西，说白了就是把一个物理交换机切成多个逻辑交换机。为什么要切？为了隔离广播域，也为了安全。但怎么切，这里头有讲究。

我个人的习惯是，先画业务矩阵，再定VLAN。举个例子，一个中型企业，通常会有这么几类流量：

• 管理VLAN：交换机、路由器、AP的管理口，单独放一个VLAN，不让普通用户访问。
• 用户VLAN：按部门或角色分，比如财务、研发、访客。
• 服务器VLAN：核心业务服务器、数据库，需要更高的安全级别。
• 语音VLAN：IP电话流量，对延迟敏感，需要QoS保障。
• 存储VLAN：iSCSI或FC流量，通常走专用网络，但有时也复用。

我在项目中遇到过一家公司，把所有员工都扔在一个VLAN里，结果财务的打印机被研发部的人乱打文件。后来重新规划，按部门切了6个VLAN，配合ACL，问题才解决。

3.2 子网规划与IP地址分配——别让地址成为瓶颈

VLAN划好了，接下来就是给每个VLAN分配IP子网。这里有个常见的误区：很多人喜欢用/24，觉得简单。但你想想看，一个/24只有254个可用地址，如果这个VLAN里接了300个终端呢？

我建议的规划步骤：

1. 估算规模：每个VLAN未来3-5年最多会有多少设备？留出30%余量。
2. 选择掩码：
   • 终端用户VLAN：/23（510个地址）或/22（1022个地址）比较稳妥。
   • 管理VLAN：/28（14个地址）或/29（6个地址）就够了。
   • 点对点链路（P2P）：/30或/31，别浪费地址。
3. 地址分配策略：
   • 网关地址统一用子网的第一个或最后一个可用地址（比如.1或.254）。
   • 服务器用静态地址，集中在子网的前段（比如.2-.50）。
   • 打印机、摄像头用DHCP预留。
   • 普通终端全走DHCP池。

VLAN用途	VLAN ID	子网	掩码	可用地址数	网关
管理	10	10.0.10.0/28	255.255.255.240	14	10.0.10.1
财务	20	10.0.20.0/23	255.255.254.0	510	10.0.20.1
研发	30	10.0.30.0/22	255.255.252.0	1022	10.0.30.1
服务器	50	10.0.50.0/24	255.255.255.0	254	10.0.50.1
语音	100	10.0.100.0/24	255.255.255.0	254	10.0.100.1
访客	200	172.16.0.0/20	255.255.240.0	4094	172.16.0.1

3.3 逻辑拓扑与广播域控制

广播域，说白了就是一台设备发广播，哪些设备能收到。VLAN就是用来切广播域的。但光切VLAN还不够，你还要考虑广播域的大小和边界。

我个人的经验是，一个广播域里的设备数量最好控制在200台以内。超过这个数，ARP广播、DHCP请求、NetBIOS名字解析这些流量就会开始消耗带宽，甚至导致CPU飙升。

控制广播域的几个手段：

• VLAN划分：最基础的手段，每个VLAN就是一个广播域。
• 三层交换：VLAN间路由走三层交换机，广播不会跨VLAN传播。
• 风暴控制：在交换机端口上配置广播风暴抑制阈值，比如超过带宽的20%就丢弃。
• 私有VLAN：在同一个VLAN内进一步隔离端口，适合酒店、公寓等场景。

下面这张图展示了VLAN、子网和广播域的关系：

3.4 逻辑拓扑设计完整流程

好了，前面讲了原则和方法，最后咱们串一下整个逻辑拓扑设计的流程。我一般按这个步骤走：

1. 业务梳理：搞清楚网络上有哪些业务流量，哪些需要隔离，哪些需要互通。
2. VLAN规划：按业务划分VLAN，分配VLAN ID，注意保留扩展空间。
3. 子网规划：为每个VLAN分配IP子网，确定掩码和网关地址。
4. IP地址分配：制定静态、DHCP、预留策略，形成地址分配表。
5. 广播域控制：评估每个广播域的规模，必要时使用风暴控制或私有VLAN。
6. 三层互联：配置VLAN间路由，确保不同VLAN能按需通信。
7. 文档输出：画出逻辑拓扑图，标注VLAN、子网、网关、关键设备IP。