组网方案里最便宜的一步是地址规划最贵的是没做地址规划。供应商不会替你做这件事。他们要的是你给出各站点网段你给不出他们就按默认的给撞车的账最后算在你头上。以下是可以直接照做的部分。---## 第一步确认可用的地址空间私有地址只有三段可用| 网段 | 范围 | 地址数 ||------|------|--------|| 10.0.0.0/8 | 10.0.0.0 -- 10.255.255.255 | 约1678万 || 172.16.0.0/12 | 172.16.0.0 -- 172.31.255.255 | 约105万 || 192.168.0.0/16 | 192.168.0.0 -- 192.168.255.255 | 65536 |企业组网选 **10.0.0.0/8**。理由是空间足够大且家用设备默认不会占用它。### 避开这几段- **192.168.0.0/24 和 192.168.1.0/24**家用路由器出厂默认。员工在家办公、临时用手机热点、分支办公室随手买的路由器全都落在这两段。用它做企业内网撞车是必然事件。- **172.17.0.0/16**是 Docker 默认网桥网段。有容器环境的公司用这段会出现容器访问不到内网资源的怪现象。- **172.31.0.0/16**是部分云厂商默认 VPC 网段新建云资源时容易被自动分配到。- **100.64.0.0/10**是运营商级 NAT 保留段不要自己占用。---## 第二步按位切分用 10.0.0.0/8把地址结构定义成**10 . 站点号 . 用途号 . 主机号**第二位标识站点第三位标识用途。看到一个 IP 就知道它在哪个站点、属于哪类设备。### 站点号分配示例| 站点号 | 站点 | 网段 ||--------|------|------|| 10 | 深圳总部 | 10.10.0.0/16 || 20 | 香港节点 | 10.20.0.0/16 || 30 | 越南工厂 | 10.30.0.0/16 || 40 | 美西海外仓 | 10.40.0.0/16 |### 用途号在各站点内统一| 用途号 | 用途 ||--------|------|| 1 | 有线办公 || 2 | 服务器 || 3 | 无线办公 || 4 | 访客网络 || 5 | 摄像头与门禁 || 6 | 打印机与外设 || 10 | 测试环境 || 20 | 远程接入用户 |按这个规则10.30.2.15 一眼可读**越南工厂的服务器**。---## 第三步留余量- **站点号跳着分。** 用 10、20、30、40不要用 1、2、3、4。同一区域新增站点时可以用 11、12保持编号的地理相关性。- **给每个站点整个 /16。**一个站点六万多个地址肯定用不完但省下来的地址空间没有任何用处而地址不够时的扩容成本极高。- **预留专用区块。** 建议留出三块- 10.200 到 10.229给收购或合并进来的公司整体接入- 10.230 到 10.249给临时项目、展会、短期驻场- 10.250 到 10.255给网络设备互联地址和管理地址---## 第四步定死几个约定- **网关地址。** 每个子网的网关统一用 .1 或统一用 .254全网一致。排障时不用查文档就知道网关在哪。- **掩码。** 各站点内的子网统一用 /24。地址够用边界清楚出问题时人脑算得过来。- **静态与动态分界。** 每个 /24 内.1 到 .99 留给静态分配的设备服务器、打印机、摄像头、网络设备.100 到 .254 给 DHCP。这条边界全网一致。- **远程接入用户单独成段。**不要把远程接入的人分配到办公段里。单独一段才能对他们单独设访问策略。- **云上资源纳入同一规划。**云 VPC 的网段要从你的地址表里划不能用云厂商的默认值。默认值和你的站点撞车只是时间问题。---## 第五步建表并指定负责人地址表至少包含这些字段| 字段 | 说明 ||------|------|| 站点 | 名称与编号 || 网段 | 含掩码 || 网关 | IP || VLAN ID | 若使用 || DHCP 范围 | 起止地址 || 静态保留 | 起止地址 || 用途 | 对应用途号 || 负责人 | 姓名与联系方式 || 启用日期 | 年月日 |- **指定一个人负责分配。**不是一个部门是一个人。新增站点或子网必须经他分配不允许各站点自行决定。- **表放在所有人能查到的地方。**放在某个人的电脑里等于没有。运维离职时这张表是交接清单的第一项。---## 已经撞车了怎么办有三条路代价依次递增。1. **只对需要互访的资源做地址映射。**适用于两边只有少数几台服务器需要互通的情况。工作量小但映射关系要记进地址表否则后来人排障时会看到对不上的地址。2. **做双向地址转换。**两边地址都保留通过转换实现互访。能用但从此以后排障时看到的地址不是真实地址复杂度永久留下。3. **改地址。**一次性解决之后干净。代价是影响该站点全部设备需要停机窗口静态配置的设备要逐台改。选哪条取决于两个数需要互访的资源有几个以及这两个站点未来还会不会有更多互通需求。互通需求会增长的直接改。---## 三条不要做的事1. **不要在没有地址规划的情况下开第二个站点。**第一个站点用什么段无所谓第二个开始就成了历史包袱。2. **不要让不同站点的人各自决定网段。**每个人都会选 192.168.1.x。3. **不要等到要互通那天再规划。**那时候能选的只剩转换和改地址两条都是补救。---## 需要供应商配合的部分组网方案落地前供应商需要你提供各站点网段与掩码、站点间需要互访的资源清单、访问策略要求。这三项由你决定不是由供应商决定。他们能做的是按你给的规划配置路由和策略以及在你有冲突时告诉你冲突在哪。
组网方案里最便宜的一步是地址规划最贵的是没做地址规划。供应商不会替你做这件事。他们要的是你给出各站点网段你给不出他们就按默认的给撞车的账最后算在你头上。以下是可以直接照做的部分。---## 第一步确认可用的地址空间私有地址只有三段可用| 网段 | 范围 | 地址数 ||------|------|--------|| 10.0.0.0/8 | 10.0.0.0 -- 10.255.255.255 | 约1678万 || 172.16.0.0/12 | 172.16.0.0 -- 172.31.255.255 | 约105万 || 192.168.0.0/16 | 192.168.0.0 -- 192.168.255.255 | 65536 |企业组网选 **10.0.0.0/8**。理由是空间足够大且家用设备默认不会占用它。### 避开这几段- **192.168.0.0/24 和 192.168.1.0/24**家用路由器出厂默认。员工在家办公、临时用手机热点、分支办公室随手买的路由器全都落在这两段。用它做企业内网撞车是必然事件。- **172.17.0.0/16**是 Docker 默认网桥网段。有容器环境的公司用这段会出现容器访问不到内网资源的怪现象。- **172.31.0.0/16**是部分云厂商默认 VPC 网段新建云资源时容易被自动分配到。- **100.64.0.0/10**是运营商级 NAT 保留段不要自己占用。---## 第二步按位切分用 10.0.0.0/8把地址结构定义成**10 . 站点号 . 用途号 . 主机号**第二位标识站点第三位标识用途。看到一个 IP 就知道它在哪个站点、属于哪类设备。### 站点号分配示例| 站点号 | 站点 | 网段 ||--------|------|------|| 10 | 深圳总部 | 10.10.0.0/16 || 20 | 香港节点 | 10.20.0.0/16 || 30 | 越南工厂 | 10.30.0.0/16 || 40 | 美西海外仓 | 10.40.0.0/16 |### 用途号在各站点内统一| 用途号 | 用途 ||--------|------|| 1 | 有线办公 || 2 | 服务器 || 3 | 无线办公 || 4 | 访客网络 || 5 | 摄像头与门禁 || 6 | 打印机与外设 || 10 | 测试环境 || 20 | 远程接入用户 |按这个规则10.30.2.15 一眼可读**越南工厂的服务器**。---## 第三步留余量- **站点号跳着分。** 用 10、20、30、40不要用 1、2、3、4。同一区域新增站点时可以用 11、12保持编号的地理相关性。- **给每个站点整个 /16。**一个站点六万多个地址肯定用不完但省下来的地址空间没有任何用处而地址不够时的扩容成本极高。- **预留专用区块。** 建议留出三块- 10.200 到 10.229给收购或合并进来的公司整体接入- 10.230 到 10.249给临时项目、展会、短期驻场- 10.250 到 10.255给网络设备互联地址和管理地址---## 第四步定死几个约定- **网关地址。** 每个子网的网关统一用 .1 或统一用 .254全网一致。排障时不用查文档就知道网关在哪。- **掩码。** 各站点内的子网统一用 /24。地址够用边界清楚出问题时人脑算得过来。- **静态与动态分界。** 每个 /24 内.1 到 .99 留给静态分配的设备服务器、打印机、摄像头、网络设备.100 到 .254 给 DHCP。这条边界全网一致。- **远程接入用户单独成段。**不要把远程接入的人分配到办公段里。单独一段才能对他们单独设访问策略。- **云上资源纳入同一规划。**云 VPC 的网段要从你的地址表里划不能用云厂商的默认值。默认值和你的站点撞车只是时间问题。---## 第五步建表并指定负责人地址表至少包含这些字段| 字段 | 说明 ||------|------|| 站点 | 名称与编号 || 网段 | 含掩码 || 网关 | IP || VLAN ID | 若使用 || DHCP 范围 | 起止地址 || 静态保留 | 起止地址 || 用途 | 对应用途号 || 负责人 | 姓名与联系方式 || 启用日期 | 年月日 |- **指定一个人负责分配。**不是一个部门是一个人。新增站点或子网必须经他分配不允许各站点自行决定。- **表放在所有人能查到的地方。**放在某个人的电脑里等于没有。运维离职时这张表是交接清单的第一项。---## 已经撞车了怎么办有三条路代价依次递增。1. **只对需要互访的资源做地址映射。**适用于两边只有少数几台服务器需要互通的情况。工作量小但映射关系要记进地址表否则后来人排障时会看到对不上的地址。2. **做双向地址转换。**两边地址都保留通过转换实现互访。能用但从此以后排障时看到的地址不是真实地址复杂度永久留下。3. **改地址。**一次性解决之后干净。代价是影响该站点全部设备需要停机窗口静态配置的设备要逐台改。选哪条取决于两个数需要互访的资源有几个以及这两个站点未来还会不会有更多互通需求。互通需求会增长的直接改。---## 三条不要做的事1. **不要在没有地址规划的情况下开第二个站点。**第一个站点用什么段无所谓第二个开始就成了历史包袱。2. **不要让不同站点的人各自决定网段。**每个人都会选 192.168.1.x。3. **不要等到要互通那天再规划。**那时候能选的只剩转换和改地址两条都是补救。---## 需要供应商配合的部分组网方案落地前供应商需要你提供各站点网段与掩码、站点间需要互访的资源清单、访问策略要求。这三项由你决定不是由供应商决定。他们能做的是按你给的规划配置路由和策略以及在你有冲突时告诉你冲突在哪。
