学校主要建筑包括：3栋教学楼、2栋实训楼、3栋宿舍楼、1栋综合办公楼、1个食堂及1座图书馆。各建筑功能分区明确，教学楼与实训楼相邻，便于理论教学与实践操作衔接，宿舍楼与生活服务区集中分布，保障师生日常便利。

该校的总体平面图如图2-1所示。

图2-1 医院总平面图

2.2 点位分析

2.2.1 固定信息点位统计

该校不同建筑因功能定位不同，信息点位的分布与类型存在明显差异，总体上包含办公PC、专业实训设备（工业机器人、物联网终端等）、打印机、网络摄像头、多媒体教学设备、服务器设备、IP电话等终端类型。各类型信息终端的分布贴合建筑功能需求，教学楼主要包含多媒体教学设备、网络摄像头、教师办公PC等设备，实训楼重点部署专业实训设备、实训用PC及配套服务器，宿舍楼则包含宿舍管理PC、网络摄像头、IP电话等设备。根据各建筑的功能分区与结构布局，分别绘制对应的平面图，以实训楼1楼为例，其平面图如图2-2所示。

图2-2 实训楼1楼平面图

针对于具备无线覆盖需求的建筑，采用热力图仿真模拟，确定移动信息点位位置，便于后续统计移动信息点位，满足移动信息点位接入网络需求。以实训楼1楼为例，其无线仿真热力图如图 2-3所示。

图2-3 实训楼1楼无线仿真热力图

校园内信息点位涵盖教学、实训、办公、生活等全场景，包括固定终端（办公PC、专业实训设备、多媒体教学设备、服务器、网络摄像头、打印机、IP电话）和移动终端接入需求。依据建筑功能分区及实地勘察，结合GB50311网络工程标准，统计各类信息点位共计3924个，具体分布如下表表 2-1所示。

表2-1 信息点位分布表

2.2.2 无线覆盖点位需求

针对职业教育移动实训、灵活办公的需求，需实现教学楼、实训楼、图书馆、食堂、宿舍楼公共区域及办公楼的无线全覆盖。通过无线仿真热力图模拟分析，结合建筑结构与人员密度，规划在各建筑关键位置部署无线AP，确保实训过程中移动终端（平板、笔记本）的稳定接入，尤其满足实训楼内多终端并发连接、低延迟传输的需求。无线覆盖重点区域包括：实训操作区、教室、图书馆阅览区、食堂就餐区及宿舍楼公共学习区。

2.3 网络应用分析

2.3.1 应用类型分析

学校不同部门及师生群体的网络应用具有显著职业教育特色，核心应用围绕实训教学、技能培训、日常办公展开，各部门主要应用类型如下表2-2所示。

表2-2 各部门主要应用类型

2.3.2 应用特征分析

各类应用根据功能需求，对网络带宽、延迟、抖动及丢包率的要求存在差异。其中，实训类应用（如虚拟仿真、实训数据传输）对带宽和延迟要求最高，办公类应用侧重稳定性，具体应用特征如下表2-3所示。

表2-3 应用特征分析表

2.3.3 应用增长率分析

随着职业教育数字化转型推进，实训教学平台、虚拟仿真软件、在线技能培训资源等应用呈快速增长趋势。通过调研学校近6年应用部署数据，2020年核心应用仅10项，2025年已增至38项，涵盖多专业实训系统、跨校协同教学平台等，年平均增长率达5.6%，如图2-4所示。

图2-4 近 6 年应用数量情况

2.4 流量分析

2.4.1 流量类型分析

校园网流量由单播、组播、广播三类构成，不同部门流量类型占比与业务场景高度相关。实训教学、视频会议等业务以组播流量为主，个人办公、上网学习以单播流量为主，管理通知、设备 discovery 以广播流量为主，具体占比如下表2-5所示。

表2-5 流量类型分析表

2.4.2 流量路径分析

校园网流量分为内网流量和外网流量，内网流量主要包括终端与实训服务器、教学资源服务器、跨建筑终端间的通信；外网流量主要为访问互联网学习资源、跨校协同实训、教师远程培训等。经调研分析，各业务场景流量路径占比如下表2-5所示：

表2-5 流量路径分析表

整体来看，内网流量占比高于外网流量，核心原因是实训数据传输、本地教学资源访问等内网业务频繁，对校内网络交换能力要求较高。

2.4.3 流量并发分析

结合学校作息时间与教学安排，流量并发呈现明显时段特征。实训课程集中时段（上午9:00-11:30、下午14:00-16:30）为流量高峰，主要产生实训数据传输、虚拟仿真流量；办公时段（8:30-17:30）以管理平台、即时通讯流量为主；视频监控24小时持续产生流量。各类应用流量并发情况如下表2-6所示。

表2-6 应用流量并发度分析表

表2-7 三级等保测评要求

表3-1 IP 地址及VLAN划分表

表3-2 WLAN 数据规划表

图4-1 校园网物理拓扑图

4.2 交换网设计

4.2.1VLAN设计

校园网核心层与汇聚层采用冗余链路提升可靠性，却易因师生终端海量接入引发广播流量泛滥，影响教学办公业务连续性。为保障校园数据安全与网络稳定，按区域及业务类型实施VLAN划分，实现逻辑隔离。

接入层交换机下行接口设为Access模式，绑定对应区域终端、无线AP的VLAN。上行接口配置为Trunk模式，仅允许所属业务VLAN流量通过。

通过VLAN划分将教学楼、宿舍楼、行政楼、服务器区等业务隔离，限定广播域范围，既抑制广播风暴，又防范教学敏感数据跨域泄露。

4.2.2 MSTP 防环设计

本项目采用MSTP协议消除环路，通过阻塞冗余端口切断环路，同时实现链路备份。按校园业务优先级，将汇聚层接入的不同区域设备分组映射至MSTI。

核心层与汇聚层交换机创建MSTI域，域名为BZZXXY，将宿舍类VLAN1020映射至MSTI1、教学类VLAN5060映射至MSTI2、行政类VLAN7080映射至MSTI3、服务器类VLAN200210映射至MSTI4。MSTP域及VLAN映射如图4-2所示。

图4-2 MSTP 域及 MSTI 与VLAN映射

交换机上通过根桥的竞选、根端口的竞选及指定端口的竞选，确定阻塞端口以消除物理环路。当链路故障时，阻塞端口自动切换为转发状态，起到链路备份作用。

4.3 路由域设计

图4-3 三层路由域分割

表 4-1 VRRP 备份组信息

4.4.2 Eth-Trunk 设计

核心层交换机是校园数据交换中枢，需承载大量教学视频、教务数据及师生上网流量，对稳定性和带宽要求极高。采用Eth-Trunk技术增强核心层链路可靠性，提升传输带宽。

在核心交换机1和2上创建Eth-Trunk组（组号1），将核心交换机1的GE0/0/10、GE0/0/11接口，核心交换机2的GE0/0/10、GE0/0/11接口加入聚合组，形成高带宽逻辑链路。

采用手工聚合模式，成员接口均参与数据转发，实现基于权重的负载分担，Eth-Trunk示意图如图4-5所示。

图4-5 Eth-Trunk 示意图

5.1 交换机选型

5.1.1 接入层交换机选型

接入层是校园网终端接入的“最后一公里”，需为教学楼、宿舍楼、图书馆等区域的电脑、智能教学设备、打印机等终端提供稳定可靠的接入服务，同时需具备安全认证、灵活扩展及适配POE供电等特性。结合北镇职业中学终端分布密度和接入需求，筛选出华为S3700-26C-HI、华三S5120V2-28P-LI、锐捷RG-S2910-24GT4SFP-L三款适配产品进行参数比对，选择性价比最优设备。三款交换机性能参数比对如表5-1所示。

表5-1 接入交换机性能参数比对表

经参数比对，华三S5120V2-28P-LI和锐捷RG-S2910-24GT4SFP-L支持千兆传输和POE供电，更适配校园无线AP、IP摄像头等设备的部署需求，华为S3700-26C-HI仅支持百兆传输，难以满足高清教学终端的带宽需求，故排除。华为S3700-26C-HI支持三层转发和丰富的安全认证协议，可实现VLAN间简单路由和精准接入控制，契合校园网分区域隔离管理需求。虽不支持POE供电，但可通过外置电源适配无线设备，且价格显著低于另外两款产品，综合考虑校园接入层预算和功能需求，本项目选择华为S3700-26C-HI交换机作为接入层设备，符合设计需求，该设备实物图如图5-1所示。

图5-1 华为S3700-26C-HI交换机实物图

图6-1 虚拟仿真拓扑结构图

6.2 连通性测试

6.2.1 内网连通性测试

本项目中，校园内网不同区域终端因教学、办公、科研等业务需求需实现跨区域通信，内网通信依托VLAN划分实现逻辑隔离，通过VLAN间路由实现互通。在接入层交换机上根据区域业务属性划分VLAN，以宿舍楼1接入交换机为例，其创建的VLAN信息如图6-2所示。

图6-2 接入交换机上的VLAN信息图

通过上述测试结果可知，该接入交换机上存在VLAN10（宿舍楼1专属VLAN）及默认VLAN1，VLAN10为终端接入的业务VLAN，说明VLAN创建符合文档规划，区域逻辑隔离部署成功。

内网跨VLAN数据通信需通过核心交换机的VLANIF接口实现三层互通，核心交换机上为各业务VLAN配置VLANIF接口作为终端网关。以核心交换机1上的VLANIF接口信息为例，其测试结果如图6-3所示。

图 6-3 核心交换机1 VLANIF接口信息图

图 6-12 故障模拟后核心交换机1 VRRP备份组状态图

由上述测试结果可知，故障发生后，核心交换机1在原VLAN70、VLAN80的VRRP备份组中已切换为Master状态，实现了网关功能的无缝接管。表明VRRP热备份机制有效，可解决单设备或单链路故障导致的业务中断问题，保障终端接入的连续性。

6.4 安全技术测试

6.4.1 防火墙安全策略测试

本项目部署华为USG5500防火墙作为网络安全核心设备，通过配置安全策略实现区域间流量控制。根据文档规划，防火墙划分trust（内网）、untrust（外网）、dmz（服务器区域）三个安全区域，制定策略：允许trust区域访问untrust、dmz区域的合法业务流量，阻断外部非法流量侵入。以防火墙的安全策略配置为例，测试结果如图6-13所示。

图 6-13华为USG5500防火墙安全策略图

通过上述测试结果可知，防火墙已配置针对trust→untrust、trust→dmz的允许策略，以及untrust→trust的阻断策略，策略匹配条件及动作符合文档安全需求。通过抓包测试验证，外部非法端口扫描流量被成功阻断，内网终端访问外网合法业务（HTTP、HTTPS）流量正常通行，表明安全策略生效。