4、IP 地址规划：公网 IP 与私网 IP 规划、子网划分与 VLSM、Loopback 地址规划、管理地址规划
做多分支互联，说白了就是给每个站点发一张「网络身份证」。IP 地址规划要是搞砸了，后面路由协议、VPN 隧道全得跟着乱套。我见过太多项目，前期随便分了个 /24，结果分支一扩张，地址不够用，只能推倒重来。嗯，咱们今天就把这事聊透。
4.1 公网 IP 与私网 IP 的取舍
先搞清楚一个原则：分支之间通信，走的是私网 IP。公网 IP 只给出口设备用，比如总部防火墙的 WAN 口、分支路由器的外网口。
我个人习惯，公网 IP 尽量少申请。现在 IPv4 地址多贵啊，你想想看。一般总部给 1 个固定公网 IP 就够了，分支用动态 IP 或者 4G/5G 接入。如果非要静态公网，每个分支给 1 个，别多要。
核心原则：
- 公网 IP：仅用于 NAT 转换、VPN 隧道端点、远程管理入口
- 私网 IP：承载所有业务流量、路由协议、设备管理
- 绝对不要用公网 IP 直接配置在服务器或终端上
我在项目中遇到过一家公司，把公网 IP 直接配在核心交换机上，结果被扫描攻击，整网瘫痪了两天。避坑指南：公网 IP 只出现在边界设备的外口，内网全部用私网。
4.2 私网 IP 规划：别再用 /24 偷懒了
很多新手喜欢每个分支给一个 /24（255.255.255.0），觉得简单。但分支一多，路由表里全是 /24，查表效率低不说，后期聚合都没法做。
我建议用 VLSM（可变长子网掩码） 来规划。说白了，就是根据分支规模，给不同大小的子网。
| 分支类型 | 预估设备数 | 推荐子网 | 可用地址数 |
|---|---|---|---|
| 总部核心 | 200-500 台 | /23 或 /22 | 510-1022 |
| 中型分支 | 50-100 台 | /24 | 254 |
| 小型分支 | 10-30 台 | /25 或 /26 | 126 或 62 |
| 微型站点 | 5-10 台 | /27 或 /28 | 30 或 14 |
举个例子。总部用 10.0.0.0/16 这个段，我习惯这样切：
10.0.0.0/22 → 总部核心业务段（可用 1022 个地址）
10.0.4.0/24 → 总部管理段
10.0.5.0/24 → 总部无线段
10.1.0.0/24 → 分支1 业务段
10.1.1.0/24 → 分支1 管理段
10.2.0.0/25 → 分支2 业务段（小型，126 个地址）
10.2.1.0/28 → 分支2 管理段（微型，14 个地址）
为什么要留空？你想想看，万一分支 2 明年扩张了呢？预留一些 /24 段，后面改起来不伤筋动骨。
我的小技巧：每个分支至少预留 2 个 /24 段。一个给业务，一个给管理。别混在一起，否则排障时你会疯掉。
4.3 Loopback 地址规划：路由器的「灵魂 IP」
Loopback 地址，说白了就是路由器自己的一个虚拟接口。它不会宕机，只要设备活着就能 ping 通。我把它叫做「路由器的灵魂 IP」。
在多分支互联中，Loopback 地址有三大用途：
- OSPF/BGP 的 Router-ID：稳定，不会因为物理接口 down 掉而改变
- VPN 隧道的源/目的地址：比如 GRE over IPSec，用 Loopback 做隧道端点
- 管理可达性：网络不通时，先 ping Loopback，能通说明设备活着
我建议 Loopback 地址统一用 32 位掩码，也就是 /32。为什么？因为它不占用实际子网，纯粹是个标识。
规划时，我习惯这样分配：
总部核心路由器： 10.255.0.1/32
总部汇聚交换机： 10.255.0.2/32
分支1 路由器： 10.255.1.1/32
分支2 路由器： 10.255.2.1/32
分支3 路由器： 10.255.3.1/32
看出来了吗？10.255.x.x 整个段都留给 Loopback。x 代表分支编号，最后一位 1 留给主设备，2 留给备设备（如果有冗余）。
注意：Loopback 地址不要跟业务段、管理段重叠。我曾经见过有人把 Loopback 配成了 10.0.0.1，结果跟业务网关冲突，全网路由震荡。嗯，血的教训。
4.4 管理地址规划：给网络设备一个「后门」
管理地址，就是用来 SSH、Telnet、SNMP 访问设备的 IP。它跟业务流量完全隔离，这是铁律。
我一般把管理地址放在独立的 VLAN 里，比如 VLAN 999。每个设备的管理 IP 从单独的 /24 段里取。
举个例子：
总部管理段： 10.200.0.0/24
核心交换机： 10.200.0.1
防火墙： 10.200.0.2
无线控制器： 10.200.0.3
分支1 管理段： 10.200.1.0/24
分支路由器： 10.200.1.1
分支交换机： 10.200.1.2
分支2 管理段： 10.200.2.0/24
分支路由器： 10.200.2.1
为什么要单独规划？我在项目中遇到过，业务流量一拥塞，SSH 连不上设备，想排查都没办法。管理地址走独立通道，哪怕业务全断了，你还能远程登录看日志。
管理地址规划要点：
- 使用独立的 IP 段（比如 10.200.0.0/16）
- 每个设备固定一个管理 IP，不要 DHCP
- 管理 VLAN 只允许特定源 IP 访问（跳板机）
- 管理流量走独立 VRF 或 VPN 实例
4.5 整体规划示例：一张图说清楚
下面这张图，是我做项目时常用的 IP 规划框架。你看一眼就能明白各段之间的关系。
4.6 避坑指南：我踩过的几个坑
最后，分享几个我亲身经历过的教训，你遇到了能少走弯路。
- 子网掩码别用 /16 偷懒：一个分支给一个 /16，广播域太大，ARP 风暴能把你交换机打趴下。我见过一个项目，300 台设备在一个 /16 里，每天下午 3 点准时卡死，查了三天才发现是广播问题。
- Loopback 地址别用 0 或 255 结尾：比如 10.255.0.0 或 10.255.255.255，虽然技术上能用，但很多老设备会把它当成网络地址或广播地址，导致路由不通。
- 管理地址一定要做 ACL：我曾经图省事，管理段没加访问控制，结果被内网一台中毒的 PC 扫描，所有设备 SSH 密码被爆破。后来我规定：管理段只允许跳板机 IP 访问，其他全部拒绝。
- 预留地址段别太小：我建议每个分支至少预留 2 个 /24。别问我为什么，等你遇到分支扩张、新业务上线时，就知道预留有多香了。
最后一个小建议：把所有 IP 规划写进 Excel 表格，标注好用途、所属分支、掩码、网关。别光靠脑子记。我每次项目结束，都会把这张表交给运维团队，后面排障能省 80% 的时间。
公众号:蓝海资料掘金营，微信deep3321