三層交換機簡介

三層交換機是具有路由功能的交換機，由于路由屬于OSI模型中第三層網絡層的功能，所以稱為三層交換機。

三層交換機既可以工作在二層也可以工作在三層，可以部署在接入層，也可以部署在彙聚層，作為用戶的網關。

組網需求

如圖15-2所示，某公司擁有多個部門且位于不同網段，各部門均有訪問Internet的需求。現要求用戶通過三層交換機和防火牆訪問外部網絡，且要求三層交換機作為用戶的網關。

圖15-2 三層交換機與防火牆對接上網組網圖

配置思路

采用如下思路進行配置：

1. 配置交換機作為用戶的網關，通過VLANIF接口，實現跨網段用戶互訪。
2. 配置交換機作為DHCP服務器，為用戶分配IP地址。
3. 開啟防火牆域間安全策略，使不同域的報文可以相互轉發。
4. 配置防火牆PAT轉換功能，使用戶可以訪問外部網絡。

操作步驟

配置交換機

# 配置連接用戶的接口和對應的VLANIF接口。

# 配置缺省路由。

[Switch] ip route-static 0.0.0.0 0.0.0.0 192.168.100.1

//缺省路由的下一跳是防火牆接口的IP地址192.168.100.1

# 配置DHCP服務器。

配置防火牆

# 配置連接交換機的接口對應的IP地址。

# 配置連接公網的接口對應的IP地址。

# 配置缺省路由和回程路由。

# 配置安全策略。

# 配置安全策略，允許域間互訪。

# 配置PAT地址池，開啟允許端口地址轉換。

# 配置源PAT策略，實現私網指定網段訪問公網時自動進行源地址轉換。

1. 檢查配置結果 配置PC1的IP地址為192.168.1.2/24，網關為192.168.1.1；PC2的IP地址為192.168.2.2/24，網關為192.168.2.1。 配置外網PC的IP地址為200.0.0.1/24，網關為200.0.0.2。 配置完成後，PC1和PC2都可以Ping通外網的IP 200.0.0.1/24，PC1和PC2都可以訪問Internet。

配置文件

Switch的配置文件# sysname Switch # vlan batch 2 to 3 100 # dhcp enable # interface Vlanif2 ip address 192.168.1.1 255.255.255.0 dhcp select interface dhcp server dns-list 114.114.114.114 223.5.5.5 # interface Vlanif3 ip address 192.168.2.1 255.255.255.0 dhcp select interface dhcp server dns-list 114.114.114.114 223.5.5.5 # interface Vlanif100 ip address 192.168.100.2 255.255.255.0 # interface GigabitEthernet0/0/1 port link-type access port default vlan 100 # interface GigabitEthernet0/0/2 port link-type access port default vlan 2 # interface GigabitEthernet0/0/3 port link-type access port default vlan 3 # ip route-static 0.0.0.0 0.0.0.0 192.168.100.1 # return

USG的配置文件# interface GigabitEthernet1/0/1 ip address 192.168.100.1 255.255.255.0 # interface GigabitEthernet0/0/2 ip address 200.0.0.2 255.255.255.0 # firewall zone trust set priority 85 add interface GigabitEthernet1/0/1 # firewall zone untrust set priority 5 add interface GigabitEthernet0/0/2 # ip route-static 0.0.0.0 0.0.0.0 200.0.0.1 ip route-static 192.168.0.0 255.255.0.0 192.168.100.2 # nat address-group addressgroup1 0 mode pat route enable section 0 200.0.0.2 200.0.0.2 # security-policy rule name policy1 source-zone trust destination-zone untrust source-address 192.168.0.0 mask 255.255.0.0 action permit # nat-policy rule name policy_nat1 source-zone trust destination-zone untrust source-address 192.168.0.0 mask 255.255.0.0 action nat address-group addressgroup1 # return

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!