1. 网段划分与IP地址管理基础认知
刚接手公司网络时，我发现设备IP分配完全处于混乱状态——打印机和服务器混在同一个网段，会议室AP的IP地址居然和财务部电脑冲突。这种状况让我意识到，规范的网段划分和IP管理不是选修课，而是网络工程师的生存技能。
IP地址就像城市的门牌号系统。192.168.1.100这样的地址由两部分组成：
- 网络部分（相当于城市+街道）
- 主机部分（具体门牌号）
子网掩码就是用来区分这两部分的"标尺"。比如255.255.255.0（/24）表示前24位是网络号，后8位用于主机，这样一个网段最多容纳254台设备（去掉全0和全1地址）。
常见误区：很多人以为子网掩码必须用255或0，其实像255.255.254.0（/23）这样包含254的掩码也是合法的，这种设计是为了更灵活地划分网段。
2. 子网划分实战：从菜鸟到达人
2.1 CIDR表示法的精髓
传统A/B/C类地址划分太死板，CIDR（无类别域间路由）才是现代网络的标配。它用"IP/数字"的简洁形式表示网段，比如：
- 192.168.1.0/24 = 192.168.1.0-192.168.1.255
- 10.10.0.0/16 = 10.10.0.0-10.10.255.255
计算可用IP数有个速算公式：2^(32-数字)-2。例如/26网段：
- 32-26=6
- 2^6=64
- 64-2=62个可用IP
2.2 企业级子网划分案例
假设我们需要为以下部门划分网段：
- 行政部：60人
- 研发部：120人
- 服务器区：30台
- 无线网络：预留200个地址
使用192.168.100.0/24作为总地址池：
| 部门 | 所需IP数 | 子网掩码 | 网段范围 | 广播地址 |
|---|---|---|---|---|
| 行政部 | 60 | 255.255.255.192 (/26) | 192.168.100.0-63 | 192.168.100.63 |
| 研发部 | 120 | 255.255.255.128 (/25) | 192.168.100.128-255 | 192.168.100.255 |
| 服务器区 | 30 | 255.255.255.224 (/27) | 192.168.100.64-95 | 192.168.100.95 |
| 无线网络 | 200 | 255.255.255.0 (/24) | 192.168.101.0-255 | 192.168.101.255 |
关键技巧：划分时先处理大网段需求。这里无线网络需要单独用新的/24网段，因为原/24地址池已经不够分配。
3. DHCP配置的魔鬼细节
3.1 Windows Server DHCP配置实录
在Windows Server 2019上配置DHCP服务时，这些参数最容易出错：
-
地址池范围：务必排除已静态分配的IP（如网关、服务器）
powershell复制Add-DhcpServerv4Scope -Name "研发部" -StartRange 192.168.100.129 -EndRange 192.168.100.254 -SubnetMask 255.255.255.128 -
租约时间：
- 办公电脑：8天（适合固定工位）
- 会议室终端：2小时（避免IP浪费）
- 访客WiFi：1小时（高流动性场景）
-
保留地址：为网络打印机等设备绑定固定IP
powershell复制Add-DhcpServerv4Reservation -ScopeId 192.168.100.0 -IPAddress 192.168.100.88 -ClientId "AA-BB-CC-DD-EE-FF"
3.2 华为/华三设备DHCP配置对比
不同厂商的命令差异很大：
| 功能 | 华为命令 | 华三命令 |
|---|---|---|
| 启用DHCP | dhcp enable |
dhcp enable |
| 地址池配置 | ip pool vlan10 |
dhcp server ip-pool vlan10 |
| 指定网关 | gateway-list 192.168.10.1 |
gateway-list 192.168.10.1 |
| DNS设置 | dns-list 8.8.8.8 |
dns-list 8.8.8.8 |
避坑指南：华三设备需要先在系统视图下
dhcp enable，再到接口视图下dhcp select server才能生效，这个两步操作经常被忽略。
4. 高级IP管理技巧
4.1 用Wireshark分析DHCP报文
抓包分析是排查DHCP问题的终极武器。一个完整的DHCP交互包含4个报文：
- DHCP Discover（客户端广播寻找服务器）
- DHCP Offer（服务器回应可用IP）
- DHCP Request（客户端确认请求）
- DHCP ACK（服务器最终确认）
在Wireshark过滤器中输入bootp即可只显示DHCP流量。如果发现大量Discover报文但没有Offer回应，通常说明：
- DHCP服务未启动
- 中继代理配置错误
- 存在网络隔离
4.2 DHCP Snooping防护ARP欺骗
在交换机上启用DHCP Snooping+IP Source Guard可以构建双重防护：
cisco复制switch(config)# ip dhcp snooping
switch(config)# ip dhcp snooping vlan 10
switch(config)# ip source binding 00AA.BBCC.DDEE vlan 10 192.168.10.100 interface Gi1/0/1
这套组合拳的工作原理：
- DHCP Snooping记录合法的IP-MAC绑定关系
- IPSG检查数据包的源IP是否与绑定表匹配
- 丢弃不符合规则的报文（包括ARP欺骗包）
实测中需要注意：
- 必须先在所有接入端口启用
ip dhcp snooping trust - 绑定表容量要根据网络规模调整（默认约1500条）
5. 自动化管理实战
5.1 批处理一键设置静态IP
对于需要固定IP的运维终端，这个批处理脚本比手动设置高效10倍：
batch复制@echo off
netsh interface ip set address "以太网" static 192.168.1.100 255.255.255.0 192.168.1.1
netsh interface ip set dns "以太网" static 8.8.8.8
netsh interface ip add dns "以太网" 114.114.114.114 index=2
常见问题处理：
- 网卡名称不对：先用
netsh interface show interface查看准确名称 - 权限不足：必须以管理员身份运行
- 执行后不生效：禁用再启用网卡即可
5.2 虚拟机网络配置要点
在VMware中配置DHCP服务时，这几个设置最易踩坑：
- 虚拟网络编辑器：确保已勾选"将主机虚拟适配器连接到此网络"
- DHCP范围：不能与物理网络冲突（建议用172.16.0.0/16这类地址）
- 租期设置：测试环境建议缩短到1小时，避免IP耗尽
当遇到"VM上DHCP未配置网络"错误时，按这个顺序排查：
- 检查虚拟交换机绑定状态
- 验证DHCP服务进程是否运行
- 查看虚拟机防火墙是否放行UDP 67/68端口
6. 企业级最佳实践
某金融公司的网络改造案例值得参考：
- 核心层：10.10.0.0/22（服务器区，预留1022个IP）
- 办公区：10.20.0.0/23 按楼层划分子网
- 无线网络：10.30.0.0/24 按SSID划分VLAN
- IoT设备：172.16.0.0/24 独立安全域
IP地址管理(IPAM)系统的选型要点：
- 支持多厂商设备（Cisco/华为/华三）
- 具备IP冲突检测功能
- 能与DNS/DHCP服务联动
- 提供API支持自动化运维
在大型网络中，我习惯用这个检查清单：
- [ ] 保留足够的扩展空间（每个子网利用率不超过70%）
- [ ] 为网络设备建立专属管理VLAN
- [ ] 重要服务器使用静态IP+DHCP保留双保险
- [ ] 文档记录所有IP分配情况