三层交换机企业应用配置实例,vlan设置、路由设置详细步骤

2022-02-22 331

在企业中,一般有多个部门,不同部门可能需要区分管理,设置不同的网络权限,同时也需要一定的安全防护,这时我们需要用到三层网管交换机作为核心交换机。

本文以TL-SG5428PE作为核心交换机为例,介绍在企业网络中配置三层交换机的方法。示意网络拓扑如下:
需求

1、访客网络可以访问互联网,但不能访问内部其他网络;

2、不同部门之间不能互相访问;

3、产品部可以访问互联网和服务器,研发部不能访问互联网,只能访问服务器;

4、服务器网段不能访问外网。

分析

1、每个网络设置VLAN,通过设置访问控制限制不同网络的访问权限;

2、开启ARP防护、DHCP侦听保障网络安全。



一、配置步骤

一,网络规划
为方便设备管理,需要将路由器、交换机、ACAP等设备划分到一个VLAN中,同时需要保证每个网络都划分VLAN。本例中三层网管交换机的端口1连接路由器,端口2连接AC,具体VLAN划分和端口规划情况如下所示:

注:网络地址的大小请根据企业规模灵活配置,本例中网络掩码配置为24位。

二,设置VLAN
一、设置端口类型
根据规划表格,在“VLAN->802.1Q VLAN->端口配置中,选中1-18口,端口类型下拉选择GENERAL,点击提交。

二、划分VLAN

“VLAN->802.1Q VLAN->VLAN配置中,创建VLAN10Tagged端口列表中选择对应的3-6号端口,点击提交。
其余VLAN重复步骤即可,完成后VLAN列表如下:


三、设置接口参数

路由功能->接口中,输入VLAN ID号,IP地址模式选择Static,输入网络参数如下图所示,点击创建。
其余VLAN重复步骤即可,完成后接口列表如下:

四、设置DHCP服务器

路由功能->DHCP服务器->DHCP服务器中,启用DHCP服务。注意因为需要AC管理AP,所以DHCP服务器中需要填写option字段,如下option 60填写“TP-LINK”option 138填写ACIP地址,本例为192.168.23.253
路由功能->DHCP服务器->地址池设置中,输入相应的网络参数如下图所示,点击添加。
其余VLAN重复步骤即可,完成后DHCP地址池列表如下:

五、设置路由参数

由于产品部、员工无线网络、访客网络需要连接互联网,所以需要设置相应路由使数据能转发出去。

路由功能->静态路由->IPv4静态路由中,设置相应参数如下图所示,注意下一跳为路由器地址,本例为192.168.23.1

六、网络权限设置

在交换机中主要通过ACL来控制访问权限,本例使用其中的标准IP ACL进行配置,其余的MAC ACL等原理类似。
由于交换机默认规则是转发所有数据,ACL控制是逐条匹配的,所以各网络所需规则如下:
  • 产品部:禁止访问研发部网络。

  • 研发部:只允许访问服务器,禁止访问其余网络。

  • 员工无线网络:禁止访问产品部、研发部、服务器网络。

  • 访客网络:禁止访问产品部、研发部、员工无线网络、服务器网络。

以研发部为例,具体设置如下:

1、 首先需要新建一个ACL ID,标准IP ACLID号范围是500-1499,本例使用520。在访问控制->ACL配置->新建ACL”中,输入520,点击创建即可。

2、再根据需求创建ACL规则。在访问控制->ACL配置->标准IP ACL”中,下拉选择创建的ACL 520,输入规则ID 21,安全操作选择允许,源IP为研发部IP,目的IP为服务器IP。如下图所示,完成后点击提交。

禁止访问其余网络的规则如下所示:
完成后ACL 520列表如下图所示:

3、最后绑定至相应VLAN中。在访问控制->ACL绑定配置->VLAN绑定中,下拉选择ACL 520,输入VLAN ID20,点击添加。如下图所示:

其余网络重复上述三个步骤即可,注意每个网络都需要创建一个ACL ID号以进行VLAN的绑定。
其余网络创建后的ACL列表如下:


七、网络安全设置

为保障内网的网络安全,在三层交换机中建议开启ARP防护、DHCP侦听。

1、ARP防护

防护功能需要先进行四元绑定。在网络安全->四元绑定中有手动绑定和扫描绑定,手动绑定输入相应参数即可,扫描绑定设置如下图所示。绑定后可以在防护范围内进行防护选择。
开启防ARP欺骗。在网络安全->ARP防护->ARP欺骗中,选择启用源MAC、目的MACIP验证,填入作用的VLAN ID号,点击启用。如下如所示:


八、二层交换机VLAN设置

在二层交换机中同样需要进行VLAN划分以对接三层交换机。
本文以员工网络所在交换机为例进行VLAN 30的设置。其余网络所在交换机设置同样。

1、在“VLAN->802.1Q VLAN”中,选中启用,点击应用。

在输入框中输入30,选择对应的端口,选为Tagged,完成后点击添加。
添加完成后,VLAN列表如下:

2、设置端口PVID。在“VLAN->802.1Q VLAN PVID设置中,选中VLAN30Untagged的端口,PVID框输入30,点击应用进行保存。端口类型为Tagged16口作为级联口,保持默认PVID值为1即可。设置后如下如所示:



至此已完成所有设置。


最新回复 (0)
返回