大型企业网络子网规划核心是角色清晰、边界明确、预留余量、便于运维；需按业务分6类逻辑区域，依峰值主机数加20%～30%余量，借位计算子网数，分层匹配掩码（如服务器/26、办公/22或/23、访客/24、管理/28），并严格对齐核心—汇聚—接入三层架构，落地前须经临时配置、永久生效、重启验证三步双检。
大型企业网络的子网划分与网段规划，核心不是算得有多准，而是让每个网段有明确角色、边界清晰、留有余地、便于运维。
先按业务角色定子网，而不是按楼层或设备类型
研发、财务、OA、服务器集群、访客Wi-Fi、IoT设备、管理网段——这些通常至少需要6类逻辑区域。同一楼层的研发和测试终端，若流量路径不同、安全等级不同，就该分属不同子网；异地财务终端，哪怕物理距离远，也应统一归入财务子网，并通过加密隧道接入。
- 每个区域预估峰值主机数（含打印机、摄像头、AP、IoT节点等）
- 加20%～30%扩展余量，避免半年后又要重划
- 用公式 $2^n \geq$ 子网总数 确定最少需借几位：例如要6个子网，$2^3 = 8 \geq 6$，所以借3位
再匹配规模选掩码，拒绝一刀切
不同区域对IP数量、稳定性、管理粒度要求差异大，不能全用/24：
- 服务器区：用 /26（62可用IP），全静态或DHCP保留地址，方便绑定防火墙策略与监控标签
- 办公终端区：用 /22 或 /23（1022 或 510 可用IP），支持动态分配，配合802.1X认证或MAC绑定提升准入控制
- 访客网络：独立VLAN + /24，NAT出口，禁止访问内网任何资源，仅限互联网
- 管理网段：单独 /28（14可用IP），只配交换机、防火墙、带外管理口，不启DHCP，全程静态
结合网络架构分层规划，避免广播风暴与管理混乱
中大型园区普遍采用“核心—汇聚—接入”三层模型，IP规划必须与之对齐：
- 核心层：仅用于设备互联（如核心交换机之间直连），用极小网段（如 /30 或 /31），不承载终端
- 汇聚层：每个汇聚交换机对应一个业务单元（如研发VLAN、财务VLAN），分配独立子网，是ACL、QoS、路由策略集中部署点
- 接入层：面向终端，支持PoE、VLAN透传、DHCP Snooping，IP由汇聚层统一分发，终端移动时无需改配置
落地前必须双验证：临时加 + 永久配 + 重启测
Linux主机改完 /etc/netplan/01-network-manager-all.yaml 或 /etc/network/interfaces 后，不能直接 netplan apply 就完事：
- 先临时加：
ip addr add 192.168.10.5/24 dev eth0，ping网关和同网段其他主机确认连通 - 再永久生效：
netplan apply（Ubuntu）或systemctl restart networking（Debian） - 检查路由：
ip route show看默认路由是否正确，cat /proc/sys/net/ipv4/ip_forward确认转发开关（如需做网关） - 最后模拟重启：
sudo reboot -f后立刻SSH连入，验证IP、路由、DNS全部复原
不复杂但容易忽略
