弱電學習圈VIP群8群已經建立 ，歡迎大家進群後討論技術問題，設計方案，投標、施工，工程合作，產品對接等方面，都可以。其中 VIP群 裏大部份人員都是工程商，施工分包商，設計院設計師，公司老板，技術總監、廠家、甲方等。
一、學校計畫配置案例
某校電腦系承辦市中考電腦閱卷任務，市教育局要求學校提供四百台電腦供改卷教師使用， 同時需要4台配置效能較高的伺服器以供四百台客戶端電腦存取 。該校電腦系四百台電腦分布在7間機房中，共由4個IP網段組成。
一、要求：
為了安全起見，要求處在 4個網段的電腦相互之間不能存取 ，但所有的電腦
均 要求能存取這4台伺服器 ，網路拓撲圖如圖13-7所示。經研究，可以透過配置 三層交換機 以實作以上要求。
二、具體配置及IP地址分配方案如下所述：
假設：
機房一、二的網線分別接在三層交換機的F0/1和F0/2埠；
機房三、四的網線分別接在三層交換機的F0/6和F0/7埠；
機房五、六的網線分別接在三層交換機的F0/11和F0/12埠；
機房七的 網線接 在三層交換機的F0/16埠；
伺服器接在三層交換機的F0/21埠。
各機房IP地址分配
機房一、二： IP：192.168.7.X/24，閘道器：192.168.7.254
機房三、四： IP：192.168.8.X/24，閘道器：192.168.8.254
機房五、六： IP：192.168.10.X/24，閘道器：192.168.10.254
機房七： IP：192.168.11.X/24，閘道器：192.168.11.254
伺服器： IP：192.168.12.X/24 閘道器：192.168.12.254
三、網路拓撲圖
四、配置三層交換機
本例以思科三層交換機為例，具體配置命令如下所示：有些重復的命令就不註釋了。
1、建立5個vlan
Switch>
Switch>en //進入特權模式
Switch#config //進入全域配置模式
Switch(config)#hostname 3560 //更改主機名為3560
3560(config)#vlan 10 //建立vlan10
3560(config-vlan)#vlan 20 //建立vlan20
3560(config-vlan)#vlan 30
3560(config-vlan)#vlan 40
3560(config-vlan)#vlan 50
3560(config-vlan)#exit
2、將埠劃分到相應的VLAN
3560(config)#int range f0/1-5 //進入埠1-5
3560(config-if-range)#switchport mode access //將埠設定為access模式
3560(config-if-range)#switchport access vlan10 //將1-5埠加入到vlan10中
3560(config-if-range)#exit //結束
3560(config)#int range f0/6-10 //進入埠6-10埠，其它命令與上面一樣
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchport access vlan20
3560(config-if-range)#exit
3560(config)#int range f0/11-15
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchport access vlan30
3560(config-if-range)#exit
3560(config)#int range f0/16-20
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchporta ccess vlan40
3560(config-if-range)#exit
3560(config)#int range f0/21-22
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchport access vlan50
3560(config-if-range)#exit
先為三層交換機開啟路由功能，這樣才能實作電腦互存取
3560(config)#no ip domain-loo //告訴Router不要對它不知道的字串做 DNS解析
3560 (config)#ip routing //啟動路由
3、為各個VLAN分別配置IP地址
3560(config)#int vlan 10 //進入vlan10
3560(config-if)#ip add 192.168.7.254 255.255.255.0 //為vlan10分配子網路遮罩與ip地址
3560(config-if)#no shut //開啟埠
3560(config-if)#exit //結束
3560(config)#int vlan 20
3560(config-if)#ip add 192.168.8.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
3560(config)#int vlan 30
3560(config-if)#ip add 192.168.10.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
3560(config)#int vlan 40
3560(config-if)#ip add 192.168.11.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
3560(config)#int vlan 50
3560(config-if)#ip add 192.168.12.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
4、建立存取控制列表（ACL）
很多朋友可能會問，控制存取列表有什麽用，我們先來了解下它的作用。
存取控制列表是套用在路由器介面的指令列表，這些指令列表用來告訴路由器哪些封包可以接收、哪些封包需要拒絕。
拒絕網路192.168.7.0/24存取這三個ip段（192.168.8.0/24、192.168.10.0/24、192.168.11.0/24），而允許其他任何流量。
3560(config)#access-list 101 deny ip 192.168.7.0 0.0.0.255 192.168.8.0 0.0.0.255
3560(config)#access-list 101 deny ip 192.168.7.0 0.0.0.255 192.168.10.0 0.0.0.255
3560(config)#access-list 101 deny ip 192.168.7.0 0.0.0.255 192.168.11.0 0.0.0.255
3560(config)#access-list 101 permit ip any any
拒絕網路192.168.8.0/24存取這三個ip段（192.168.7.0/24、192.168.10.0/24、192.168.11.0/24），而允許其他任何流量。
3560(config)#access-list 102 deny ip 192.168.8.0 0.0.0.255 192.168.7.0 0.0.0.255
3560(config)#access-list 102 deny ip 192.168.8.0 0.0.0.255 192.168.10.0 0.0.0.255
3560(config)#access-list 102 deny ip 192.168.8.0 0.0.0.255 192.168.11.0 0.0.0.255
3560(config)#access-list 102 permit ip any any
拒絕網路192.168.10.0/24存取這三個ip段（192.168.7.0/24、192.168.8.0/24、192.168.11.0/24），而允許其他任何流量。
3560(config)#access-list 103 deny ip 192.168.10.0 0.0.0.255 192.168.7.0 0.0.0.255
3560(config)#access-list 103 deny ip 192.168.10.0 0.0.0.255 192.168.8.0 0.0.0.255
3560(config)#access-list 103 deny ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
3560(config)#access-list 103 permit ip any any
拒絕網路192.168.11.0/24存取這三個ip段（192.168.7.0/24、192.168.8.0/24、192.168.10.0/24），而允許其他任何流量。
3560(config)#access-list 104 deny ip 192.168.11.0 0.0.0.255 192.168.7.0 0.0.0.255
3560(config)#access-list 104 deny ip 192.168.11.0 0.0.0.255 192.168.8.0 0.0.0.255
3560(config)#access-list 104 deny ip 192.168.11.0 0.0.0.255 192.168.10.0 0.0.0.255
3560(config)#access-list 104 permit ip any any
5、將ACL套用到相應的VLAN上
3560(config)#int vlan10
3560(config-if)#ipaccess-group 101 in
3560(config-if)#exit
就是vlan10就只能存取101的列表。
3560(config)#int vlan20
3560(config-if)#ipaccess-group 102 in
3560(config-if)#exit
就是vlan20就只能存取102的列表。
3560(config)#int vlan30
3560(config-if)#ipaccess-group 103 in
3560(config-if)#exit
就是vlan30就只能存取103的列表。
3560(config)#int vlan40
3560(config-if)#ipaccess-group 104 in
3560(config-if)#exit
就是vlan40就只能存取104的列表。
3560#wr //保存配置檔
五、驗證測試
1、機房一、二的電腦Ping不通處在8、10、11網段的電腦，但可以Ping通處在12網段的伺服器；
2、機房三、四的電腦Ping不通處在7、10、11網段的電腦，但可以Ping通12網段的伺服器；
3、機房五、六的電腦Ping不通處在7、8、11網段的電腦，但可以Ping通12段的伺服器；
4、機房七的電腦Ping不通處在7、8、10網段的電腦，但可以Ping通12網段的伺服器。
