Learning Objectives
- 把一棟系館的需求整理成區域、主機數與服務，再用 VLSM 由大到小分配位址
- 為每個區域設定 VLAN 與路由器介面（閘道），讓各網段互通
- 設定 DHCP 位址池與 DNS，並說明哪些設備該用固定位址
- 用預設路由、NAT 與埠轉送連上網際網路，並讓外部連到系網站
- 用 ACL 隔開電腦教室與系辦，最後用 ping、traceroute、http 逐項驗證每個需求
把整個網路工程軌組合起來
前面每一課各解決一個問題：子網路切割、VLAN、路由、DHCP、DNS、NAT、ACL。真的建一個網路時，這些要一起考慮， 而且順序很重要：位址沒規劃好，後面的 VLAN、DHCP、ACL 都會跟著亂。
這一課替一棟虛構的系館規劃網路，分三個部分在模擬器裡建起來：
| 部分 | 做什麼 | 用到的課 |
|---|---|---|
| 1 | 位址規劃、VLAN、路由器介面，讓各網段互通 | 第 4、6、7、9 課 |
| 2 | DHCP 自動發位址、DNS 與系網站 | 第 11、18 課 |
| 3 | 預設路由、NAT、埠轉送、ACL，最後逐項驗證 | 第 9、12、14、23 課 |
系館的需求（主管交給你的清單）：
| 區域 | 主機數 | 需求 |
|---|---|---|
| 電腦教室 A | 50 台 | 自動取得位址；可以上網；不能和系辦互通 |
| 電腦教室 B | 50 台 | 同上 |
| 系辦 | 20 台 | 可以上網；可以連系網站 |
| 伺服器區 | 5 台 | 系網站與 DNS；位址固定；外部可以連到系網站 |
| 對外 | 1 條線路 | 網路業者（ISP）給一個公有位址 203.0.113.2/30，閘道 203.0.113.1 |
學校分給系館的內部位址是 10.20.0.0/24（私有位址，對外要經過 NAT）。
本課的設備指令是課程自訂的教學用指令，各廠牌實際的指令以手冊為準。
位址規劃：VLSM 由大到小
第 7 課的 VLSM 步驟：主機數由大到小排，每個區域選「可用主機數夠用的最小網段」，從位址空間的開頭依序放。 可用主機數＝2 的（32 − 前綴長度）次方 − 2（扣掉網路位址與廣播位址）。
| 區域 | 需要 | 選 | 可用 | 網段 | 閘道（路由器介面） | 可用範圍 |
|---|---|---|---|---|---|---|
| 電腦教室 A | 50 | /26 | 62 | 10.20.0.0/26 | 10.20.0.1 | .1～.62 |
| 電腦教室 B | 50 | /26 | 62 | 10.20.0.64/26 | 10.20.0.65 | .65～.126 |
| 系辦 | 20 | /27 | 30 | 10.20.0.128/27 | 10.20.0.129 | .129～.158 |
| 伺服器區 | 5 | /28 | 14 | 10.20.0.160/28 | 10.20.0.161 | .161～.174 |
| 剩下 | 10.20.0.176～10.20.0.255 | 保留給以後 |
幾個實務上的慣例：
- 閘道用每個網段的第一個可用位址（.1、.65、.129、.161），大家一看就知道。
- 留空間：50 台用 /26（62 個）還有一點餘裕；最後剩下的位址保留，以後加一間教室不必重新規劃。
- 每個區域一個 VLAN：電腦教室 A 是 VLAN 20、B 是 VLAN 30、系辦是 VLAN 10。一個 VLAN 就是一個廣播網域，對應一個網段； 教室裡的廣播不會打擾到系辦，之後也能在路由器上用 ACL 控制區域之間的流量。
模擬器裡每個區域只放一台電腦代表。路由器用三條線分別接到交換器三個 VLAN 的存取埠，一個 VLAN 一個介面； 實務上也常用一條 trunk 加上子介面（router-on-a-stick）或三層交換器來做，這個模擬器沒有子介面，所以用三條線。
DHCP 與固定位址
電腦教室有 100 台電腦，一台一台手動設位址太慢，也容易設重複，所以用 DHCP（第 11 課）： 在路由器上為每個網段建一個位址池，電腦開機時自動取得位址、閘道與 DNS 伺服器。
| 位址池 | 範圍 | 前綴 | 閘道 | DNS |
|---|---|---|---|---|
| 電腦教室 A | 10.20.0.10～10.20.0.60 | /26 | 10.20.0.1 | 10.20.0.162 |
| 電腦教室 B | 10.20.0.70～10.20.0.120 | /26 | 10.20.0.65 | 10.20.0.162 |
範圍從 .10 開始，是把 .2～.9 留給印表機、教師機這類要固定位址的設備（實務上也可以在 DHCP 伺服器上為特定 MAC 保留固定位址）。
哪些設備用固定位址？ 別人要靠位址找到它的設備：路由器介面（閘道）、伺服器、DNS 伺服器、印表機。
系網站的 DNS 記錄寫著 www.dept.example.com → 10.20.0.162，如果伺服器的位址會變，這筆記錄就會失效。
路由器怎麼知道要從哪個位址池發位址？DHCP 的請求從哪個介面進來，路由器就用那個介面所在網段的位址池。 如果 DHCP 伺服器不在同一個網段，就要在路由器上設中繼（relay），把廣播轉成單播送過去。
小測驗：規劃與設定
系館想再加一間 25 台電腦的研究室，從剩下的位址 10.20.0.176 開始分配。照 VLSM，應該給哪個網段？
下面的程式算系辦網段 10.20.0.128/27 最後一段的可用範圍與數量，會印出什麼？
prefix = 27
start = 128 # 網路位址的最後一段
size = 2 ** (32 - prefix) # 這個網段有幾個位址
first = start + 1
last = start + size - 2
print(first, last, size - 2)
電腦教室 A 的位址池是 10.20.0.10～10.20.0.60。LABA 開機送出 DHCP Discover，R1 怎麼知道要用這個位址池？
對外：預設路由、NAT、埠轉送與 ACL
內部網路通了，接著處理對外與安全，這是第 3 部分要做的：
| 需求 | 做法 | 指令（本課程的教學用指令） |
|---|---|---|
| 往網際網路的封包交給 ISP | R1 加預設路由，下一跳 203.0.113.1 | route add default via … |
| 內部用私有位址，要轉成公有位址才能上網 | NAT：內部介面 g0～g3，外部介面 g4 | nat inside …、nat outside … |
| 外部要連到系網站 | 埠轉送：外部 80 埠 → 10.20.0.162:80 | nat forward … |
| 電腦教室不能和系辦互通 | 在 g1、g2 的 in 方向擋掉往系辦網段的封包，其他放行 | acl … |
ACL 要注意兩件事（第 23 課）：
- 順序：先寫拒絕「往 10.20.0.128/27」的規則，再寫「允許其他全部」；不然隱含的全部拒絕會把教室的所有流量擋掉，包括上網。
- 方向與位置：規則放在電腦教室進入路由器的介面（g1、g2 的 in），封包一進路由器就被擋，不會占用其他介面。 這樣也擋掉了系辦連教室時、教室回覆的封包，所以兩邊互不相通，正是需求要的。
驗證：設定完不代表做對了。把需求表的每一列都變成一個測試，例如「LABA 上得了網」就是 http 198.51.100.80 要成功、
「教室不能連系辦」就是 ping 10.20.0.130 要失敗。失敗時照第 14 課的順序由下往上查：位址與閘道、路由、NAT、ACL。
小測驗：對外與驗證
R1 只加了預設路由、還沒設 NAT 時，OFC 連 198.51.100.80 為什麼失敗？
g1 in 的 ACL 寫成：① permit any any any ② deny any any 10.20.0.128/27。教室 A ping 系辦會怎樣？
要證明「教室不能連系辦」這個需求做到了，下面哪一個測試最直接？
重點整理與網路工程軌回顧
建一個網路的順序：需求（區域、主機數、服務、誰能連誰）→ 位址規劃（VLSM 由大到小，留空間）→ VLAN 與閘道 → 路由 → DHCP、DNS 等服務 → 對外（預設路由、NAT、埠轉送）→ 安全（ACL、防火牆）→ 把每一條需求變成測試，逐項驗證。
整個網路工程軌走過的路：
| 層次 | 學過的內容 |
|---|---|
| 基礎 | 封包交換與延遲、分層模型與封裝（第 1、2 課） |
| 鏈結層 | 乙太網路、交換器、VLAN、STP（第 3、4 課） |
| 網路層 | IPv4、子網路遮罩、VLSM、ARP、路由、動態路由、DHCP、NAT、IPv6、ICMP 排錯（第 5～14 課） |
| 傳輸層 | 連接埠、UDP、TCP 的連線、可靠傳輸與壅塞控制（第 15～17 課） |
| 應用層 | DNS、HTTP 與 TLS、封包分析（第 18～20 課） |
| 程式 | Python socket 的 TCP、UDP 與協定設計（第 21、22 課） |
| 安全 | ACL、防火牆、常見攻擊的防禦、VPN（第 23 課） |
接下來可以去哪裡：
- 計算機概論軌：從位元、CPU、作業系統到網路與資安的整體圖像，把網路放回整台電腦與整個系統裡看。
- Linux 軌：在真的作業系統上用
ip、ping、ss、防火牆工具管理網路設定與服務。 - 雲端軌：雲端上的虛擬網路、防火牆規則（安全群組）、負載平衡與 DNS，觀念和這一軌相同，只是設備變成服務。
這些軌道和真實設備之間還有一段距離：模擬器簡化了很多細節，真的設備指令也各家不同。 下一步可以找一台舊電腦或虛擬機，在自己的環境裡把這一課的規劃實際做一次。