简介：基于思科的校园网搭建及网络协议分析课程设计文档，适合计算机网络课程设计、毕业设计或实验报告撰写参考。内容从应用场景和需求分析入手，设计了校园网整体拓扑，重点介绍服务器配置、无线网络部署、各部门路由器与交换机的VLAN划分与配置过程，给出地址规划、接口划分及验证方式，帮助理解中小型网络的规划方法。协议分析部分覆盖TCP、UDP、ICMP、DNS、HTTP、IP、FTP等常用协议，结合抓包与ping、HTTP访问等测试说明报文格式、交互流程和诊断思路；同时给出校园网功能测试、问题排查及解决方案。文档目录包含小组成员分工、功能描述、设计思路与步骤、功能实现、存在问题及解决方法、心得体会与参考文献，资料包内为单个doc文档，大小4.12MB，图文混排、按章节组织，便于复现配置和撰写报告。该文档已有4440人学习下载，参考价值较高，适合需要系统梳理VLAN配置与协议分析的读者。
1. 思科校园网课程设计：从拓扑图到协议验证的一站式实战
很多同学的计算机网络课程设计都栽在同一个地方：拓扑图画得很漂亮，设备配置也照着教程敲完了，全网互通测试也通过了，但答辩时老师问一句“你这网络里STP根桥是哪台设备”、“PC获取IP的完整流程是什么”，就答不上来了。因为做的时候只盯着“通没通”，没盯着“数据包长什么样”。基于思科的校园网搭建及网络协议分析，本质上是同一件事的两半：先用思科设备把校园网的三层架构搭起来，再用抓包工具把网络协议从黑匣子变成可见的报文，给课程设计提供一份能讲清楚、能验证、能扛住追问的完整交付物。这篇文章从网络规划、设备配置、协议抓包到排错避坑，按一线实操的路线完整过一遍，适合正在做计算机网络课程设计的学生，也适合想从模拟器过渡到真实设备验证的入门运维。
2. 校园网三层架构与VLAN规划：先画图再配置，别急着开模拟器
我见过太多人一上来就打开思科模拟器，从机架上拖几台交换机，连上线，然后开始敲命令。等到项目做到一半，发现IP网段规划得乱七八糟，VLAN冲突、环路广播风暴、网关不知该放哪台设备，又回头重新设计。一个课程设计规模不大，但该有的设计环节一步都不能省。校园网无论规模大小，主流方案都是三层树形结构：接入层、汇聚层、核心层。这一章先把架构选型和地址规划讲清楚，再谈配置。
2.1 三层树形拓扑：接入、汇聚、核心分别承担什么
校园网的典型做法是核心层一台或多台三层交换机，汇聚层按楼栋部署，接入层在每一层楼或每一个弱电间。流量走向是PC → 接入交换机 → 汇聚交换机 → 核心交换机 → 出口路由器。核心层做三层路由和网关，汇聚层做VLAN聚合和访问控制，接入层只做二层转发。这个分层不是随便定的，它决定了广播域在哪一层终结、故障影响半径有多大。
接入层交换机一般不做路由，接口划分到具体VLAN里，面向PC的端口设为Access模式，向上连接汇聚的端口设为Trunk模式。汇聚层可以是二层设备，也可以是三层设备。我一般推荐课程设计直接用三层交换机做汇聚，因为SVI（交换虚拟接口）网关可以放在这一层，VLAN间路由会更均匀地分担，也能少一层瓶颈。核心层负责跨汇聚的路由转发和外网出口，如果校园网要模拟访问互联网，出口路由器上再做NAT。
拓扑规模上，一个课程设计有3到5台交换机和1台路由器就足够了。比如某高校的校园网，核心一台，行政楼汇聚一台，教学楼汇聚一台，每台汇聚下面挂一台接入。这个规模能把STP、VLAN、VLAN间路由、DHCP、NAT都覆盖到，又不至于在模拟器里卡顿。
2.2 VLAN与IP地址规划：一张表把全网编址定死
VLAN划分的原则是按业务和部门隔离广播域，而不是按物理位置硬切。常见的校园网会把行政、教学、学生宿舍、服务器区、网络管理分成不同VLAN。管理VLAN单独划一段，所有交换机的管理地址都放里面，方便后期统一运维。IP地址规划要注意三点：连续编址方便汇总、每个VLAN保留扩展余量、网关地址落在VLAN网段的第一个可用地址或最后一个可用地址，形成统一约定。
下面是一张可直接套用的规划表。假设某高校校园网使用10.10.0.0/16网段，按楼栋和业务划分：
| VLAN ID | 用途 | 网段 | 网关 | 备注 |
|---|---|---|---|---|
| 10 | 管理VLAN | 10.10.10.0/24 | 10.10.10.254 | 所有交换机管理地址 |
| 20 | 行政办公 | 10.10.20.0/24 | 10.10.20.254 | 行政楼PC |
| 30 | 教学楼 | 10.10.30.0/24 | 10.10.30.254 | 教学区PC |
| 40 | 学生宿舍 | 10.10.40.0/24 | 10.10.40.254 | 宿舍区PC |
| 50 | 服务器区 | 10.10.50.0/24 | 10.10.50.254 | 校园内部服务器 |
| 100 | 互联VLAN | 10.10.100.0/30 | 10.10.100.1 | 核心与出口路由器互联 |
网关统一放在汇聚或核心是管理上的约定，方便统一出口策略。注意互联VLAN用30位掩码，一段地址只放两个可用IP，这种点在点链路用30位是标准做法，能省地址也方便排错。地址规划表一旦定了，后面所有设备配置、ACL写地址、DHCP地址池配置都以这张表为准，别在配置过程中临时改网段，那是最容易翻车的来源之一。
2.3 模拟器选型：思科模拟器与GNS3的取舍
课程设计里说的“基于思科”，落地工具有两种主流选择。一种是思科模拟器（Packet Tracer），它自带拓扑搭建、设备配置和简单的协议模拟功能，上手门槛低，适合纯二层加少量三层的校园网课程设计，缺点是对部分协议实现是阉割过的。另一种是GNS3，它能加载真实思科交换机或路由器镜像，协议行为更真实，但对电脑配置有要求，配置过程也更繁琐。
我个人的建议是：如果课程设计要求以拓扑连通性和基础协议分析为主，用思科模拟器就够了，体量轻、演示方便、保存工程方便。如果课程设计里涉及OSPF多区域、QoS、策略路由这类需要真实协议栈行为的点，再考虑GNS3。模拟器里的“真实”是相对的，关键是把它不模拟的部分搞清楚，否则换了平台一样踩坑。这个坑在第五章会专门展开。
3. 思科设备开局配置：交换机VLAN与路由器网关服务的CLI落地
规划做完，才轮到打开模拟器连线。这一章按接入层、汇聚与核心、出口路由三层来走配置流程，命令可以直接照抄，抄完要能说出每一条是干什么用的。配置思路是从下往上：先让接入层转发二层流量，再让汇聚和核心起来三层路由，最后把DHCP和NAT挂在出口。
3.1 接入层交换机开局：VLAN创建与Access端口划分
接入交换机是网络里数量最多的设备，配置模式非常固定。常见做法是先创建VLAN，再把面向PC的接口划到对应VLAN，最后将上联口设为Trunk。下面的命令是教学楼接入交换机的完整开局配置：
enable configure terminal hostname Access-Teach vlan 30 name Teaching vlan 10 name Management interface range fastEthernet 0/1-24 switchport mode access switchport access vlan 30 interface fastEthernet 0/24 switchport mode trunk switchport trunk allowed vlan 10,30 interface vlan 10 ip address 10.10.10.30 255.255.255.0 exit enable secret class这段配置做了四件事：改设备名、创建教学和管理两个VLAN、把24个用户口划进VLAN 30、把上联口设为Trunk并只放行VLAN 10和30。最后一行为交换机配置enable密码，课程设计里常用于展示设备管理密码的基础安全配置。参数上，trunk allowed vlan只放行必要VLAN，这是减少广播扩散的关键习惯，很多同学图省事写成allowed vlan all，在课程设计里不算错，但答辩时容易被追问安全性和广播问题。管理地址配在VLAN 10上，子网掩码用24位，这是接入层的标准管理面做法。
接入层配置完后，在特权模式下用show vlan brief可以看到VLAN和端口对应关系，用show interface trunk能看到Trunk状态。这两个命令建议配置完立刻执行一次，确认端口划分和Trunk协商成功，别等到全网联调再回来查。
3.2 汇聚与核心：Trunk放行与三层SVI网关
汇聚交换机承担网关和跨VLAN路由，需要开启三层功能。思科模拟器里多数汇聚设备是三层交换机或模块化交换机，创建SVI接口作为网关即可。下面以教学楼汇聚为例：
enable configure terminal hostname Dist-Teach ip routing vlan 10 name Management vlan 30 name Teaching interface gigabitEthernet 0/1 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,30 interface gigabitEthernet 0/2 switchport trunk encapsulation dot1q switchport mode trunk switchport trunk allowed vlan 10,30 interface vlan 10 ip address 10.10.10.254 255.255.255.0 no shutdown interface vlan 30 ip address 10.10.30.254 255.255.255.0 no shutdown exitip routing是三层交换机的总开关，没有这行，VLAN间路由不会生效，这是新手最容易漏掉的一步。SVI接口的地址就是之前规划表里的网关，PC的默认网关都指向这里。注意的是汇聚到核心的Trunk口也要allowed vlan，并且汇聚之间如果存在第二条链路，模拟器会自动跑STP，后面第四章会讲到抓STP报文。核心交换机的配置逻辑和汇聚类似，只是SVI对应的是所有业务VLAN，并且要加一条默认路由指向出口路由器。
3.3 出口路由：用DHCP自动分配IP并模拟NAT上网
校园网里PC数量大，手工配静态IP不现实，DHCP服务器可以用出口路由器来充当。同时出口要做NAT，模拟校园网访问互联网。下面是核心交换机和出口路由器配合的简化配置，先看路由器侧：
enable configure terminal hostname Edge-Router interface gigabitEthernet 0/0 ip address 10.10.100.2 255.255.255.252 no shutdown interface gigabitEthernet 0/1 ip address 203.0.113.1 255.255.255.0 no shutdown ip dhcp excluded-address 10.10.30.1 10.10.30.200 ip dhcp pool TEACHING network 10.10.30.0 255.255.255.0 default-router 10.10.30.254 dns-server 203.0.113.53 ip route 10.10.0.0 255.255.0.0 10.10.100.1 access-list 1 permit 10.10.0.0 0.0.255.255 ip nat inside source list 1 interface gigabitEthernet 0/1 overload interface gigabitEthernet 0/0 ip nat inside interface gigabitEthernet 0/1 ip nat outsideexcluded-address预留了网关、服务器等固定地址，避免DHCP把地址分配给网络设备。地址池名称要与VLAN对应，default-router指向汇聚交换机上的SVI网关。NAT部分用ACL 1圈出内网网段，overload做端口复用，这样所有校园网PC共享一个公网地址。ip nat inside和ip nat outside必须分别打在两个接口上，漏掉一个NAT就会失效，这种配置完成后用show ip nat translations检查是最快的验证手段。
核心交换机上需要配一条默认路由指回出口路由器，同时确保核心到各汇聚的三层路由可达。全部配置完成后，PC设置为DHCP自动获取地址，如果能获取到规划网段的IP且能ping通203.0.113.1，说明从二层接入、三层网关到出口NAT的整条链路已经打通。
4. WireShark协议分析：让STP、ARP、DHCP从黑匣子变成可见的报文
网络通不通是结果，协议怎么工作是过程。课程设计里最有分量的一部分就是用抓包去验证协议行为。思科模拟器自带简单的协议模拟，但做报文级分析还是要靠WireShark，它能按协议过滤、解码、追踪流，把每次通信变成一条条可展示的证据。这一章按实验顺序讲清楚抓什么、怎么过滤、预期看到什么。
4.1 抓包环境准备：让模拟器的流量进入WireShark
思科模拟器和真实设备抓包方式不同，它提供两种途径。一种是在模拟器里用自带的“协议模拟”模式逐包查看，适合演示但过滤能力弱。另一种是模拟器版本较新版本支持导出PCAP文件，或者通过特定的模拟网卡让WireShark直接捕获。
常见做法是让模拟器里的PC或服务器产生流量，然后把它对应的通信过程用PCAP格式导出，再用WireShark打开分析。操作步骤是：先在模拟器拓扑中选定源PC，进入其命令行，执行ping、访问Web等操作，产生通信流量；然后在模拟器的事件列表里找到对应的协议数据单元，右键选择导出为PCAP文件；最后用WireShark打开文件开始分析。如果模拟器版本不支持抓包导出，退回的替代方案是用WireShark捕获本机网卡流量，再结合模拟器拓扑图推理对应关系，效果稍差但不影响协议分析结论。
4.2 先看ARP和ICMP：验证全网互通的最小证据链
网络刚打通时，第一个要抓的是ARP和ICMP。PC ping另一台PC或网关时，先发ARP广播询问目标IP对应的MAC地址，拿到MAC后再发ICMP Echo Request。这两个协议构成了验证网络二层可达和三层连通的最小证据链。在WireShark里的过滤表达式是：
arp || icmp操作流程是：让PC1 ping PC2的地址，导出PCAP后打开，按上面的过滤条件过滤。预期能看到四条关键报文：PC1发出的ARP广播（目的MAC为ff:ff:ff:ff:ff:ff）、PC2回复的单播ARP应答、PC1发往PC2的ICMP Echo Request、PC2返回的Echo Reply。
这里有个细节值得在答辩时主动讲：第一次ping是ARP开销加ICMP，第二次ping只有ICMP，因为ARP缓存已经记录了MAC地址。这就是ARP缓存机制的实际效果。如果抓包发现只有连续的ARP请求没有应答，说明二层隔离或者VLAN划分有问题，检查PC是否在同一个VLAN、接入交换机对应端口的Access VLAN是否一致。用WireShark的“统计-协议分级”功能还能直接看到ARP和ICMP报文占比，用来佐证广播流量在总流量中的比例。
4.3 用DHCP报文验证地址分配过程：从Discover到Ack
DHCP是校园网里最容易被忽视但最值得抓的协议。PC设为自动获取后，它和DHCP服务器之间会有四个回合：Discover广播寻找服务器、Offer单播提供地址、Request广播确认选择、Ack最终确认。四条报文一个序列，就是DHCP从无到有的完整故事。抓包过滤用：
dhcp || bootp在模拟器里新建一台PC，IP配置设为DHCP，在命令行执行ipconfig /renew或模拟器对应指令，然后导出这段过程的PCAP。WireShark里会看到四条报文按顺序排列，如果接口列表里显示的是bootp，不用担心，DHCP是BOOTP的扩展，过滤条件里把两个都写上更稳妥。
看DHCP报文时重点看两个字段。一是Transaction ID，四条报文的事务ID相同，说明这是同一次地址申请过程，这是排查“为什么PC拿到两个不同地址”的关键线索。二是Option 53（DHCP消息类型），它标识当前报文是Discover、Offer还是Request，WireShark里会直接以高亮颜色区分。如果只看到了Discover没有Offer，多半是DHCP地址池范围和PC所在VLAN网段不一致，或者排除地址把整个地址段全排除了。这类问题和第五章讲的获取到错误IP其实是同一类故障的两种表现。
4.4 STP报文分析：为什么环网没把广播风暴带到桌面
校园网为了防止单点故障，汇聚到核心之间常常有冗余链路。冗余必然产生二层环路，STP的作用是把冗余链路阻塞掉，只保留一条逻辑通路，并在主链路故障时自动切换。课程设计里抓STP报文是最容易出彩的部分，因为这个协议平时看不见，但它一直在后台运行。
过滤表达式：
stp || spanntreeSTP报文是按固定周期发送的，思科模拟器默认Hello时间是2秒。抓包后能看到BPDU报文，WireShark会解析出根桥ID、根路径开销、端口角色等关键信息。检查根桥ID可以确认哪台交换机当了根桥，对比各端口的角色能看出哪条链路被阻塞了。如果你在规划里没有手工指定根桥，那根桥大概率是MAC地址最小的那台交换机，这通常是核心交换机，但不一定。
如果想要演示“STP防环”的效果，可以在抓包时从某台接入交换机发一个广播帧，然后在另一台交换机上观察这个广播帧是否只从一条链路到达。如果没有重复帧，说明STP成功阻塞了冗余路径。这里再强调一次，模拟器对STP的收敛速度做了简化，真实网络中从故障发生到拓扑收敛通常需要几十秒，模拟器里可能瞬间完成，答辩时要说明这是模拟器与真实设备的差异。
5. 思科模拟器排错避坑指南：5个翻车现场与对应修复手段
课程设计做得再顺，也总有几回配置“玄学”式的失败。这一章把我在校园网课程设计中见过最多、自己也踩过的坑整理成5条，每条都是现象、原因、解决的结构。这些问题在模拟器和真机上都会出现，提前知道能省下大把瞎折腾的时间。
5.1 现象：PC能ping通，但WireShark里抓不到任何包
有同学把数据包导出后打开WireShark，里面空空如也，第一反应是抓包步骤错了，反复重抓好几遍还是一样。原因很可能是抓的流量类型不对：你在PC上ping网关，从事件列表里导出的是模拟器自己模拟的通信过程，但导出时选错了节点，或者该版本模拟器的PCAP导出机制只记录经过指定设备的报文。
解决方法是统一抓包思路：先在拓扑里明确“抓哪一段链路的流量”，导出时选择通信路径上对应的交换机或路由器端口，而不是选源或目的PC。另外建议在模拟器的实时模式下手动触发流量，不要用模拟模式，模拟模式下的报文是分步动画，导出成PCAP往往会丢报文。这是最容易被忽略的一类问题，尤其是用模拟器自带功能做协议分析时。
5.2 现象：PC自动获取到的IP和规划表对不上
DHCP分配的地址不在规划网段内，或者完全是个莫名其妙的地址。我在一份学生工程里见过PC拿到了169.254.x.x，这是Windows在DHCP失败时的自动私用地址，表示根本没收到服务器响应。还有人是跨VLAN获取了别的网段地址，这属于DHCP服务器配置或者中继出了问题。
先分清是哪一种。如果是169.254.x.x，说明PC到DHCP服务器的二层链路不通，检查PC所在VLAN的Access划分、汇聚交换机SVI接口是否up。如果是获取到了错误网段的地址，最常见原因是模拟器里有多台设备开启了DHCP服务，PC广播的Discover被另一台不该响应的设备接收了。解决是检查所有路由器和交换机的配置，关闭多余的ip dhcp pool。跨VLAN获取地址时，检查DHCP中继（ip helper-address）是否指向了正确的服务器地址。
5.3 现象：某台PC时通时不通，交换机端口灯狂闪
校园网里某台PC一会儿能访问服务器，一会儿超时，看交换机端口状态发现流量很大，CPU占用率也高。常见原因是两个VLAN的PC错误地被划在了同一个广播域，或者某条Trunk链路放行了过多VLAN导致广播报文跨区域传播，加上模拟器性能有限，表现为大面积丢包。
排查先看交换机的show spanning-tree，确认有没有接口处于阻塞之外的高频率状态翻转。再看端口划分，确认每个Access端口的VLAN是不是和PC所在网段一致。我遇到过最隐蔽的情况是接入交换机上联口的Trunk封装模式没配对，一侧是dot1q另一侧是ISL，二层帧互相不认，表现为部分PC通部分不通。解决方法是统一两端Trunk封装格式，只跑802.1Q，并限定allowed vlan。
5.4 现象：接口配了IP地址，但路由表里就是看不到直连路由
三层交换机或路由器上明明配了接口IP，show ip route却只有默认路由而没有直连路由。这个坑在思科模拟器里尤其常见。原因是接口处于shutdown状态。模拟器的三层接口默认不是全部开启的，特别是路由器接口，配完地址后如果忘了敲no shutdown，接口状态是administratively down，直连路由自然不会出现在路由表里。
解决的方法很直接：给所有三层接口补上no shutdown。检查用show interface status看端口状态是否up，再用show ip interface brief确认IP是否生效。还有一种情况是三层交换机的接口默认是二层口，需要先敲no switchport把它变成三层口再配IP，敲完之后再确认接口状态，这个顺序不能反。
5.5 现象：保存并关闭工程后，再打开设备全是红色问号
这类问题多发生在使用模拟器时，配置保存了但工程文件没存对，或者模拟器版本升级后兼容性出了问题。现象是重新打开工程后设备图标上全是红色问号，双击进入命令行发现配置全丢。原因有两个：一是没有统一使用模拟器的工程保存格式，二是各版本之间的工程文件不能完全向前兼容，高版本工程在低版本里打开会丢配置。
解决方法是保存工程前先退出设备配置界面，用模拟器的“导出/保存”完整工程文件功能，而不是只保存配置文件。换设备版本前先确认版本兼容性。更保险的做法是把所有设备的配置用show running-config导出一份文本备份，工程文件损坏时可以直接把配置重新灌入。文本备份是课程设计交付时最可靠的后手，也方便答辩前快速复现。
6. 课程设计的进阶检验法：断线故障注入与收敛时间实测
如果全网互通和协议抓包都完成了，课程设计基本能拿到不错的成绩。但想让这份设计在面对追问时站得住脚，我建议再做一个进阶实验：断线故障注入。具体做法是在正常运行时，手动把汇聚到核心的一条冗余链路断开，观察STP重新收敛和业务恢复的过程，并以时间为指标记录结果。
操作分三步。先用show spanning-tree记录当前根桥和各端口角色，确认冗余链路中哪一条处于阻塞状态；然后在阻塞链路对应的端口上做shutdown，立刻在PC上持续ping网关并计时；最后观察ping中断了多久恢复，恢复后再用show spanning-tree确认原阻塞端口变成了转发状态。这个实验直接验证了STP的收敛能力和冗余设计的有效性，同时也是给课程设计增加“实验数据”的素材来源。实验中记录到的收敛时间、丢包数、端口角色切换前后的完整对比，就是答辩时最有力的展示材料。我自己做模拟项目时习惯把每次实验的show输出存成文本，标上时间和操作步骤，后面写报告时直接用，比事后回忆准确得多。希望这份从规划到验证的完整路线能帮到你，把课程设计做成一份能讲深、能演示、能扛住追问的实物。
本文还有配套的精品资源，点击获取
