利用华为交换机实现网络分段和访问控制策略，主要涉及VLAN划分和ACL（访问控制列表）配置。以下是具体步骤和思路： ### 一、网络分段 —— VLAN划分 1. 规划VLAN - 根据部门、功能或安全需求划分不同的VLAN，比如： - VLAN10：销售部门 - VLAN20：财务部门 - VLAN30：IT部门 2. 在交换机上创建VLAN ```shell [Huawei] vlan batch 10 20 30 ``` 3. 配置接口划分到对应的VLAN - 访问端口（Access Port）示例，假设接口GigabitEthernet0/0/1属于销售部门： ```shell [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10 ``` - 并将其他部门端口配置到对应VLAN。 4. 配置Trunk口（如果有多交换机或连接路由器） - 允许通过多个VLAN帧： ```shell [Huawei] interface GigabitEthernet0/0/10 [Huawei-GigabitEthernet0/0/10] port link-type trunk [Huawei-GigabitEthernet0/0/10] port trunk allow-pass vlan 10 20 30 ``` ### 二、实现不同VLAN间路由（Inter-VLAN Routing） - 如果需要不同VLAN间通信，一般使用三层交换或者路由器进行VLAN间路由。 - 华为三层交换机通常在SVI接口上配置： ```shell [Huawei] interface Vlanif10 [Huawei-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Huawei] interface Vlanif20 [Huawei-Vlanif20] ip address 192.168.20.1 255.255.255.0 ``` ### 三、访问控制策略 —— ACL配置 1. 定义ACL规则 - 例如，允许销售部门访问财务部门服务器，但阻止财务部门访问销售部门： ```shell [Huawei] acl number 3000 [Huawei-acl-basic-3000] rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.100 0.0.0.0 [Huawei-acl-basic-3000] rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 [Huawei-acl-basic-3000] rule permit ip ``` 2. 应用ACL到接口 - 假如ACL应用在财务部门VLAN的接口入方向： ```shell [Huawei] interface Vlanif20 [Huawei-Vlanif20] traffic-filter inbound acl 3000 ``` 3. 细化策略 - 根据需求可定义更加细粒度的规则，如限制某些协议、端口等。 ### 四、总结思路 - VLAN划分实现不同部门或功能的逻辑隔离。 - 通过三层交换机或路由器实现必要的VLAN间通信。 - 使用ACL实现基于IP地址、协议、端口的访问控制，达到安全隔离和访问限制目的。 ### 五、示例配置综合 ```shell [Huawei] vlan batch 10 20 [Huawei] interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1] port link-type access [Huawei-GigabitEthernet0/0/1] port default vlan 10 [Huawei] interface GigabitEthernet0/0/2 [Huawei-GigabitEthernet0/0/2] port link-type access [Huawei-GigabitEthernet0/0/2] port default vlan 20 [Huawei] interface Vlanif10 [Huawei-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Huawei] interface Vlanif20 [Huawei-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Huawei] acl number 3000 [Huawei-acl-basic