某校計(jì)算機(jī)系承辦市中考電腦閱卷任務(wù)，市教育局要求學(xué)校提供四百臺電腦供改卷教師使用，同時需要4臺配置性能較高的服務(wù)器以供四百臺客戶端電腦訪問。該校計(jì)算機(jī)系四百臺電腦分布在7間機(jī)房中，共由4個IP網(wǎng)段組成。
一、要求：
為了安全起見，要求處在4個網(wǎng)段的電腦相互之間不能訪問，但所有的電腦
均要求能訪問這4臺服務(wù)器，網(wǎng)絡(luò)拓?fù)鋱D如圖13-7所示。經(jīng)研究，可以通過配置三層交換機(jī)以實(shí)現(xiàn)以上要求。
二、具體配置及IP地址分配方案如下所述：
假設(shè)：
機(jī)房一、二的網(wǎng)線分別接在三層交換機(jī)的F0/1和F0/2端口；
機(jī)房三、四的網(wǎng)線分別接在三層交換機(jī)的F0/6和F0/7端口；
機(jī)房五、六的網(wǎng)線分別接在三層交換機(jī)的F0/11和F0/12端口；
機(jī)房七的網(wǎng)線接在三層交換機(jī)的F0/16端口；
服務(wù)器接在三層交換機(jī)的F0/21端口。
各機(jī)房IP地址分配
機(jī)房一、二： IP：192.168.7.X/24，網(wǎng)關(guān)：192.168.7.254
機(jī)房三、四： IP：192.168.8.X/24，網(wǎng)關(guān)：192.168.8.254
機(jī)房五、六：IP：192.168.10.X/24，網(wǎng)關(guān)：192.168.10.254
機(jī)房七：IP：192.168.11.X/24，網(wǎng)關(guān)：192.168.11.254
服務(wù)器：IP：192.168.12.X/24 網(wǎng)關(guān)：192.168.12.254
三、網(wǎng)絡(luò)拓?fù)鋱D
四、配置三層交換機(jī)
本例以思科三層交換機(jī)為例，具體配置命令如下所示：有些重復(fù)的命令就不注釋了。
1、創(chuàng)建5個vlan
Switch>
Switch>en //進(jìn)入特權(quán)模式
Switch#config //進(jìn)入全局配置模式
Switch(config)#hostname 3560 //更改主機(jī)名為3560
3560(config)#vlan 10 //創(chuàng)建vlan10
3560(config-vlan)#vlan 20 //創(chuàng)建vlan20
3560(config-vlan)#vlan 30
3560(config-vlan)#vlan 40
3560(config-vlan)#vlan 50
3560(config-vlan)#exit
2、將端口劃分到相應(yīng)的VLAN
3560(config)#int range f0/1-5 //進(jìn)入端口1-5
3560(config-if-range)#switchport mode access //將端口設(shè)置為access模式
3560(config-if-range)#switchport access vlan10 //將1-5端口加入到vlan10中
3560(config-if-range)#exit //退出
3560(config)#int range f0/6-10 //進(jìn)入端口6-10端口，其它命令與上面一樣
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchport access vlan20
3560(config-if-range)#exit
3560(config)#int range f0/11-15
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchport access vlan30
3560(config-if-range)#exit
3560(config)#int range f0/16-20
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchporta ccess vlan40
3560(config-if-range)#exit
3560(config)#int range f0/21-22
3560(config-if-range)#switchport mode access
3560(config-if-range)#switchport access vlan50
3560(config-if-range)#exit
先為三層交換機(jī)開啟路由功能，這樣才能實(shí)現(xiàn)計(jì)算機(jī)互訪問
3560(config)#no ip domain-loo //告訴Router不要對它不知道的字符串做DNS解析
3560 (config)#ip routing //啟動路由
3、為各個VLAN分別配置IP地址
3560(config)#int vlan 10 //進(jìn)入vlan10
3560(config-if)#ip add 192.168.7.254 255.255.255.0 //為vlan10分配子網(wǎng)掩碼與ip地址
3560(config-if)#no shut //開啟端口
3560(config-if)#exit //退出
3560(config)#int vlan 20
3560(config-if)#ip add 192.168.8.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
3560(config)#int vlan 30
3560(config-if)#ip add 192.168.10.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
3560(config)#int vlan 40
3560(config-if)#ip add 192.168.11.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
3560(config)#int vlan 50
3560(config-if)#ip add 192.168.12.254 255.255.255.0
3560(config-if)#no shut
3560(config-if)#exit
4、創(chuàng)建訪問控制列表（ACL）
很多朋友可能會問，控制訪問列表有什么用，PG电子网址先來了解下它的作用。
訪問控制列表是應(yīng)用在路由器接口的指令列表，這些指令列表用來告訴路由器哪些數(shù)據(jù)包可以接收、哪些數(shù)據(jù)包需要拒絕。
拒絕網(wǎng)絡(luò)192.168.7.0/24訪問這三個ip段（192.168.8.0/24、192.168.10.0/24、192.168.11.0/24），而允許其他任何流量。
3560(config)#access-list 101 deny ip 192.168.7.0 0.0.0.255 192.168.8.0 0.0.0.255
3560(config)#access-list 101 deny ip 192.168.7.0 0.0.0.255 192.168.10.0 0.0.0.255
3560(config)#access-list 101 deny ip 192.168.7.0 0.0.0.255 192.168.11.0 0.0.0.255
3560(config)#access-list 101 permit ip any any
拒絕網(wǎng)絡(luò)192.168.8.0/24訪問這三個ip段（192.168.7.0/24、192.168.10.0/24、192.168.11.0/24），而允許其他任何流量。
3560(config)#access-list 102 deny ip 192.168.8.0 0.0.0.255 192.168.7.0 0.0.0.255
3560(config)#access-list 102 deny ip 192.168.8.0 0.0.0.255 192.168.10.0 0.0.0.255
3560(config)#access-list 102 deny ip 192.168.8.0 0.0.0.255 192.168.11.0 0.0.0.255
3560(config)#access-list 102 permit ip any any
拒絕網(wǎng)絡(luò)192.168.10.0/24訪問這三個ip段（192.168.7.0/24、192.168.8.0/24、192.168.11.0/24），而允許其他任何流量。
3560(config)#access-list 103 deny ip 192.168.10.0 0.0.0.255 192.168.7.0 0.0.0.255
3560(config)#access-list 103 deny ip 192.168.10.0 0.0.0.255 192.168.8.0 0.0.0.255
3560(config)#access-list 103 deny ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
3560(config)#access-list 103 permit ip any any
拒絕網(wǎng)絡(luò)192.168.11.0/24訪問這三個ip段（192.168.7.0/24、192.168.8.0/24、192.168.10.0/24），而允許其他任何流量。
3560(config)#access-list 104 deny ip 192.168.11.0 0.0.0.255 192.168.7.0 0.0.0.255
3560(config)#access-list 104 deny ip 192.168.11.0 0.0.0.255 192.168.8.0 0.0.0.255
3560(config)#access-list 104 deny ip 192.168.11.0 0.0.0.255 192.168.10.0 0.0.0.255
3560(config)#access-list 104 permit ip any any
5、將ACL應(yīng)用到相應(yīng)的VLAN上
3560(config)#int vlan10
3560(config-if)#ipaccess-group 101 in
3560(config-if)#exit
就是vlan10就只能訪問101的列表。
3560(config)#int vlan20
3560(config-if)#ipaccess-group 102 in
3560(config-if)#exit
就是vlan20就只能訪問102的列表。
3560(config)#int vlan30
3560(config-if)#ipaccess-group 103 in
3560(config-if)#exit
就是vlan30就只能訪問103的列表。
3560(config)#int vlan40
3560(config-if)#ipaccess-group 104 in
3560(config-if)#exit
就是vlan40就只能訪問104的列表。
3560#wr //保存配置文件
五、驗(yàn)證測試
1、機(jī)房一、二的電腦Ping不通處在8、10、11網(wǎng)段的電腦，但可以Ping通處在12網(wǎng)段的服務(wù)器；
2、機(jī)房三、四的電腦Ping不通處在7、10、11網(wǎng)段的電腦，但可以Ping通12網(wǎng)段的服務(wù)器；
3、機(jī)房五、六的電腦Ping不通處在7、8、11網(wǎng)段的電腦，但可以Ping通12段的服務(wù)器；
4、機(jī)房七的電腦Ping不通處在7、8、10網(wǎng)段的電腦，但可以Ping通12網(wǎng)段的服務(wù)器。
PG电子官网，是一家專業(yè)信息技術(shù)服務(wù)公司，主要從事企事業(yè)單位IT外包、計(jì)算機(jī)軟硬件產(chǎn)品代理銷售；智能化建設(shè)：消防工程、安防監(jiān)控、門禁考勤、網(wǎng)絡(luò)綜合布線、電話程控交換、入侵報(bào)警、視頻會議、公共廣播、智能停車等專業(yè)化的一站式服務(wù)商——【咨詢熱線：18818116008】。
