小办公室 IP 地址怎么规划：私有网段、子网划分与地址表实例

作者：冰原老猫 · 发布：2026-10-22 · 分类：网络运维

很多小公司的网络是“装好路由器就用”：所有设备挤在 192.168.1.0/24，打印机今天一个地址明天一个地址，新来的 NAS 和老同事的电脑抢同一个 IP。人少的时候问题不明显，一旦设备超过几十台，或者要加摄像头、访客 Wi-Fi，就会频繁出问题。这篇文章以一个 40 人的办公室为例，给出一套简单可执行的规划方法。

一、先选私有网段

内网使用的是私有地址，RFC 1918 规定了三段：

• 10.0.0.0/8（10.0.0.0 – 10.255.255.255）
• 172.16.0.0/12（172.16.0.0 – 172.31.255.255）
• 192.168.0.0/16（192.168.0.0 – 192.168.255.255）

这些地址不会出现在公网上，可以在不同单位重复使用。选择时有一个容易忽略的点：尽量避开家用路由器的默认网段，比如 192.168.0.x 和 192.168.1.x。否则员工在家用 VPN 连回公司时，家里和公司是同一个网段，路由会冲突，表现为“连上 VPN 却访问不了公司服务器”。

本例选用 10.20.0.0/16 作为公司的总地址池，后续所有子网都从里面划。

二、按用途划分子网

不同类型的设备放在不同子网（通常配合交换机 VLAN），好处是便于管理、便于设置访问控制、出问题时影响范围小。40 人办公室可以这样划：

员工网段用了 /23 而不是 /24，因为每人往往有电脑、手机、平板多台设备，40 人可能就有 100 多个地址需求，再加上人员增长，留足余量。/23 的网络地址是 10.20.10.0，广播地址是 10.20.11.255，中间 510 个地址可用。

注意第三段的编号留了间隔（0、10、20、30……），以后某类设备增多，可以在相邻编号上扩展，不必打乱整体规律。

三、每个子网内部怎么分

以员工网段 10.20.10.0/23 为例，约定：

• 10.20.10.1：网关（路由器或三层交换机）。
• 10.20.10.2 – 10.20.10.49：预留给需要固定地址的设备。
• 10.20.10.50 – 10.20.11.250：DHCP 地址池。

统一约定“.1 是网关”，排查问题时一看就知道。固定地址和 DHCP 池分开，可以避免 DHCP 把某个地址发给新电脑，而它恰好已经手动配给了打印机，造成冲突。

四、固定地址还是 DHCP 保留

打印机、NAS 这类需要固定地址的设备，有两种做法：

1. 在设备上手动配置静态 IP：不依赖 DHCP，路由器重启也不受影响；缺点是要逐台登录设备修改，且容易忘记登记。
2. 在 DHCP 服务器上按 MAC 地址做保留：设备仍自动获取地址，但每次拿到的都是同一个；所有分配集中在一处管理，更不容易冲突。

小办公室推荐第二种，服务器类关键设备可以用第一种。

五、建立一张地址登记表

规划好后，用表格记录每个固定地址，至少包括：IP、设备名、类型、MAC、位置、负责人、备注。示例：

10.20.20.10  nas-01      NAS     a4:xx:xx:xx:xx:01  机柜 2U  行政部  每日备份
10.20.30.21  printer-3f  打印机  00:xx:xx:xx:xx:15  3楼茶水间 行政部  DHCP保留

表格放在共享盘或在线文档里，每次新增、撤除设备时更新。半年后再来看，就能马上知道某个 IP 是什么设备。

六、子网之间的访问规则

划分子网的意义在于可以控制谁能访问谁。一个常用的起步规则：

• 访客网：只允许访问互联网，禁止访问所有 10.20.x.x。
• 摄像头网：只允许录像机（NVR）访问，禁止摄像头主动访问互联网。
• 员工网：可以访问服务器网和打印机网的指定端口。
• 管理网：只允许 IT 人员的电脑访问。

具体在路由器或防火墙的 ACL、防火墙策略中配置，命令因厂商而异，以设备文档为准。

七、动手前的检查清单

1. 确认选用的网段与 VPN 对端、云上 VPC、合作方专线不重叠。
2. 每个子网的网络地址、广播地址、可用范围都核对一遍。
3. DHCP 池不覆盖固定地址区。
4. 登记表建好并共享给相关同事。

核对子网时，可以把每个网段输入本站的 子网掩码计算器，例如输入 10.20.10.0/23 就能看到可用范围和主机数，计算在浏览器本地完成。原理部分可以参考 子网掩码怎么算 一文。