组网需求 某教学楼通过两台接入交换机，实现教学楼监控、学生和教师 的网络访问，两台接入交换机都接入到汇聚交换机SW1，SW1接入了 教师访问的教务系统，组网拓扑如下： 该教学楼监控点位有100个，学生200人，教师50人； ➢ 业务访问需求 为了提高教师访问教务系统的安全性，学校希望只有教师的终 端能访问教务系统，教师之间也可以互相访问，其他终端不能访问教 务系统；学生之间能相互访问；监控也能互相连通。 ➢ 实验要求 1. 根据组网需求和拓扑，完成VLAN和对应IP网段的规划： VLAN取值范围：2-4094；IP划分范围：172.16.0.0/23 1. 根据自有规划，完成SW1、SW2、SW3设备的相关配置，达到业 务的访问需求。

### 教学楼网络组网方案 #### VLAN 和 IP 网段规划 基于需求，教学楼内的网络分为三个主要部分：教师终端、学生终端以及监控设备。采用 172.16.0.0/23 的地址空间进行划分，并分配不同的 VLAN 来隔离各部分流量。 - **教师终端** - VLAN ID: VLAN 10 - 子网: 172.16.0.0/24 此子网专用于教师终端，确保其能安全访问教务系统和其他必要的教育资源[^1]。 - **学生终端** - VLAN ID: VLAN 20 - 子网: 172.16.1.0/24 这一子网供学生使用，允许他们访问互联网和共享的教学资源，但需限制对敏感数据的访问[^1]。 - **监控设备** - VLAN ID: VLAN 30 - 子网: 172.16.2.0/24 监控设备独立于其他终端运行，便于管理和维护安全性[^1]。 #### 配置接入交换机 SW2 和 SW3 以下是针对 SW2 和 SW3 的基本配置： ```cisco ! 配置 SW2 (假设连接的是教师终端) vlan 10 name Teacher_VLAN exit interface GigabitEthernet0/1 switchport mode access switchport access vlan 10 spanning-tree portfast exit ! 配置 SW3 (假设连接的是学生终端和监控设备) vlan 20 name Student_VLAN exit vlan 30 name Camera_VLAN exit interface GigabitEthernet0/2 switchport mode access switchport access vlan 20 spanning-tree portfast exit interface GigabitEthernet0/3 switchport mode access switchport access vlan 30 spanning-tree portfast exit ``` 以上命令分别设置了两个接入层交换机的不同端口归属至相应的 VLAN 中，并启用了快速生成树协议以减少环路风险[^1]。 #### 汇聚交换机 SW1 的配置 汇聚交换机负责将多个 VLAN 流量聚合并转发给路由器或其他核心设备。下面是 SW1 的典型配置示例： ```cisco ! 创建 Trunk 接口以便传输所有 VLAN 数据 interface GigabitEthernet0/1 description To_SW2_Teacher switchport trunk encapsulation dot1q switchport mode trunk switchport nonegotiate exit interface GigabitEthernet0/2 description To_SW3_Student_and_Cameras switchport trunk encapsulation dot1q switchport mode trunk switchport nonegotiate exit ! 定义 SVI（Switch Virtual Interface） interface Vlan10 ip address 172.16.0.1 255.255.255.0 no shutdown exit interface Vlan20 ip address 172.16.1.1 255.255.255.0 no shutdown exit interface Vlan30 ip address 172.16.2.1 255.255.255.0 no shutdown exit ``` 此配置定义了汇聚交换机上的三层接口(SVI)，使得不同 VLAN 可以通过这些逻辑接口互相通信或通往外部网络。 #### 实现互访功能 为了使学生与监控设备之间能够相互访问，在 ACL 设置时应特别注意放通两者之间的特定流量类型。例如可以通过如下方式调整 Router 上的相关规则来达成目标: ```cisco access-list STUDENT_CAMERA_TRAFFIC extended permit tcp any host 172.16.2.x eq specific-port-number log access-group STUDENT_CAMERA_TRAFFIC out interface E1/0 ``` 这里仅作为示意，实际应用中需要依据具体需求定制化 ACL 规则。 ---