华为S5700系列交换机配置通过流策略实现VLAN间三层隔离

组网图形

图1 配置通过流策略实现VLAN间三层隔离组网图

组网需求

如图一所示，为了通信的安全性，某公司将访客、员工、服务器分别划分到VLAN10、VLAN20、VLAN30中。公司希望：

• 员工、服务器主机、访客均能访问Internet。
• 访客只能访问Internet，不能与其他任何VLAN的用户通信。
• 员工A可以访问服务器区的所有资源，但其他员工只能访问服务器A的21端口（FTP服务）。

配置思路

可采用如下思路配置通过流策略实现VLAN间互访控制：

1.      配置VLAN并将各接口加入VLAN，使员工、服务器、访客间二层隔离。

2.      配置VLANIF接口及其IP地址，使员工、服务器、访客间可三层互通。

3.      配置上行路由，使员工、服务器、访客均可通过Switch访问Internet。

4.      配置并应用流策略，使员工A可以访问服务器区的所有资源，其他员工只能访问服务器A的21端口，且只允许员工访问服务器；使访客只能访问Internet。

操作步骤

1.      配置VLAN并将各接口加入VLAN，使员工、服务器、访客间二层隔离

# 在Switch_1上创建VLAN10，并将接口GE0/0/1以Untagged方式加入VLAN10，接口GE0/0/2以Tagged方式加入VLAN10。Switch_2和Switch_3的配置与Switch_1类似，不再赘述。

<HUAWEI> system-view
[HUAWEI] sysname Switch_1
[Switch_1] vlan batch 10
[Switch_1] interface gigabitethernet 0/0/1
[Switch_1-GigabitEthernet0/0/1] port link-type access
[Switch_1-GigabitEthernet0/0/1] port default vlan 10
[Switch_1-GigabitEthernet0/0/1] quit
[Switch_1] interface gigabitethernet 0/0/2
[Switch_1-GigabitEthernet0/0/2] port link-type trunk
[Switch_1-GigabitEthernet0/0/2] port trunk allow-pass vlan 10
[Switch_1-GigabitEthernet0/0/2] quit

# 在Switch_4上创建VLAN10、VLAN20、VLAN30、VLAN100，并配置接口GE0/0/1～GE0/0/4分别以Tagged方式加入VLAN10、VLAN20、VLAN30、VLAN100。