子网与 VLAN 规划工具

需要填什么，每个数字在现场哪里找

工具需要三样东西：整个站点的一个地址段、VLAN 列表及每个 VLAN 的设备数量，以及要预留多少扩展余量。

• 总网段（base network）：要拆分的地址段，写成 10.10.0.0/16 或 192.168.0.0/22。已有站点看路由器或防火墙的 LAN 页面和 DHCP 地址池。新站点就选一个私有地址段（10.x.x.x、172.16–31.x.x 或 192.168.x.x）。前缀必须在 /8 到 /30 之间。
• 所需主机数：每个 VLAN 目前的设备数量。可以从路由器的 DHCP 租约列表、NVR 的摄像头列表、IP-PBX 的话机列表和 Wi-Fi 控制器的 AP 列表数出来。别漏掉打印机、交换机和门禁控制器。访客 Wi-Fi 用控制器上的峰值在线终端数，而不是房间数或座位数。
• VLAN ID：1 到 4094 之间任意数字。工具会提示重复的 ID，也会提示 VLAN 1，因为它是所有交换机的默认 VLAN。
• 未来扩展余量：默认 30%。现在留出空间，比两年后给摄像头和打印机重新改 IP 便宜得多。

工具如何确定每个子网的大小和位置

1. 所需地址数 = 主机数 × (1 + 余量)，向上取整，再加 1 个网关。
2. 每个 VLAN 分到可用地址数 2^(32 − prefix) − 2 能覆盖该数字的最小子网。
3. 子网按从大到小排序，从总网段起点开始依次紧挨着放置（VLSM）。按这个顺序，每个子网都从自己的块边界开始，所以不会重叠。大小相同的子网保持你填写的行顺序。
4. 网关是第一个可用地址。可用地址范围从网关到广播地址的前一个，所以留给设备的地址数 = 可用数 − 1。

结果中的大号数字是"已分配地址"占总网段的多少。"剩余地址"是留给以后 VLAN 的空间。如果放不下，没有位置的 VLAN 会以红色列出：改用更短的前缀或减少主机数。除了余量，工具不再加其他裕度。工具不会替你预留固定 IP 段，需要你在每个范围内自己留。

计算实例：192.168.0.0/22 上的办公室和仓库

万象一处带仓库的办公室，总网段 192.168.0.0/22（1,024 个地址），使用六个预设行，余量 30%。

算法：150 × 1.3 = 195，加 1 = 196，超过 /25 的 126，所以用 /24。60 × 1.3 = 78，加 1 = 79，用 /25。40 × 1.3 = 52，加 1 = 53，用 /26。30 × 1.3 = 39，加 1 = 40，也是 /26。20 × 1.3 = 26，加 1 = 27，用 /27。10 × 1.3 = 13，加 1 = 14，正好等于 /28 的 14 个可用地址：刚好放下，留给设备 13 个。

已分配：256 + 128 + 64 + 64 + 32 + 16 = 560，总共 1,024，剩 464。按块复核：访客止于 .0.255，办公止于 .1.127，CCTV 止于 .1.191，VoIP 止于 .1.255，服务器止于 .2.31，设备管理止于 .2.47。2 个完整的 /24（512）加 48 = 560。

把总网段缩小到 /23（512）：前四个 VLAN 正好用掉 256 + 128 + 64 + 64 = 512，服务器和设备管理没有位置，被标红。如果仍用 /22 但余量设为 0%，办公只需 61 个地址，得到 /26，只剩 1 个空余。这就是我们坚持留余量的原因。

把规划落实到交换机和防火墙

• 每个网关放在防火墙或三层交换机上，然后写 VLAN 之间的规则。只有路由器不放任所有 VLAN 互通，VLAN 才真正起到隔离作用。见企业 VLAN 基础。
• 访客 Wi-Fi 只允许上网，并在 AP 上开启客户端隔离。详见Wi-Fi 安全、WPA3 与访客隔离。
• 监控摄像头只和 NVR 通信。
• 在每个范围里预留一小段给固定 IP 设备（交换机、AP、打印机、NVR），DHCP 不要分配这一段。

我们在老挝现场常见的错误

• 所有设备都放在一个扁平的 192.168.1.0/24 里，摄像头、访客和财务电脑在同一个广播域。
• 分支机构用 192.168.1.0/24，和大多数家用路由器同一网段。员工在家连 VPN 后访问不到公司。
• 交换机上划了 VLAN，路由器上却是"allow all"规则，隔离只存在于图纸上。
• VLAN 设计中间夹着一台非网管交换机。它无法在自己的端口上区分 VLAN。见网管与非网管交换机。

什么时候光靠工具不够

工具一次只规划一个总网段。多个分支、靠无线电连接的矿区营地，或者现有站点里有大量固定 IP 的摄像头和 PLC 需要在不停机的情况下改地址，这些都需要现场勘查：我们读取现有 DHCP 租约、交换机配置和防火墙规则，再分阶段规划改造。这属于我们的企业局域网和下一代防火墙服务。

下一步

通过 WhatsApp 发给我们：用"复制为文本"导出的规划、路由器 LAN 和 DHCP 页面截图，以及交换机型号。告诉我们有几个站点。我们会检查规划，并告诉你哪里需要网管交换机或防火墙规则。