综合练习
三层网络设计 + 子网划分演练。
40 分钟
综合实战：设计一套三层网络
这一课你将能做到
- 独立完成一套「接入—核心—出口」三层网络设计：编址、VLAN、路由、安全
- 用验证清单逐项自测设计正确性，产出可交付的设计文档
- 把设计映射到云上等价物，一条链路讲清传统与云的对应
为什么要学
学了十一课的概念，最后一课做缝合。真实工作里没有人给你拆好的题目，只有「公司要上线新业务，网络方案你来出」。这道综合题会用到前面所有概念；做完它，你就有了面试作品集的第一页。
先建立图像（要设计的拓扑）
Internet
│
┌──────┴──────┐
│ 出口防火墙 │ NAT + 边界策略
└──────┬──────┘
│
┌──────┴──────┐ 双机热备(VRRP/HSRP)
│ 核心交换机x2 │ VLAN 间路由(SVI)
└──┬───────┬──┘
┌────────┘ └────────┐
┌────┴─────┐ ┌────┴─────┐
│ 接入SW-A │ │ 接入SW-B │ 楼层接入
└─┬──┬──┬──┘ └─┬──┬──┬──┘
PC PC AP PC AP 打印机
│
┌──────┴──────┐
│ 服务器区 SW │ Nginx / K8s / MySQL
└─────────────┘
需求单：
- 办公 120 人、访客 WiFi、服务器区 20 台（K8s 集群 6 节点）
- 访客只能上外网；办公可访问服务器区 443/22；数据库只接受 K8s 节点访问
跟着做
步骤 1：编址规划（先总后分，留扩展位）
内网总段：10.0.0.0/16
10.0.1.0/24 办公区（VLAN 10，够 254 台）
10.0.2.0/24 访客（VLAN 20，只出不进）
10.0.3.0/24 服务器-入口（VLAN 30，Nginx/LB）
10.0.4.0/24 K8s 节点（VLAN 40）
10.0.5.0/24 数据层（VLAN 50，MySQL/Redis）
10.0.255.0/24 拆 /30 给设备互联与管理
原则：/24 对齐好记，按功能不按人分，每类预留翻倍空间。
步骤 2：VLAN 与网关（三层交换 SVI）
VLAN 10 name OFFICE SVI 10.0.1.254/24（核心双机 VRRP 提供 VIP）
VLAN 20 name GUEST SVI 10.0.2.254/24
VLAN 30 name WEB SVI 10.0.3.254/24
VLAN 40 name K8S SVI 10.0.4.254/24
VLAN 50 name DATA SVI 10.0.5.254/24
接入口：PC/AP 全部 access 口；交换机互联与多 VLAN 服务器走 trunk
步骤 3：路由与出口
核心 → 防火墙：默认路由 0.0.0.0/0 → 防火墙内口
防火墙 → 核心：回程静态路由 10.0.0.0/16 → 核心 VRRP 地址
（规模再大就上 OSPF：核心做 area 0，防火墙引默认路由）
防火墙 NAT：内网 10.0.0.0/16 → 公网 IP（PAT）
步骤 4：安全策略（防火墙白名单矩阵）
源区域 目标 端口 动作
GUEST(20) → 10.0.0.0/8 任意 拒绝（放最前）
GUEST(20) → Internet 80/443 允许
OFFICE(10) → WEB(30) 443/22 允许
K8S(40) → DATA(50) 3306/6379 允许
DATA(50) → 任意 任意 拒绝（禁主动外联）
Internet → Nginx VIP 443 允许
Internet → 任意 22 仅办公网段允许
最后一行：默认拒绝