想设置一下访客网络,为客户免费提供网络,仅能访问外网即可。办公网络可以互相访问,不知如何设置。
外网-----H3C 5200路由器-----LAN口下连3个交换机。(其中交换机1----连接一楼各网口、交换机2----连接二楼各网口、交换机3---连接AP+监控摄像头)。没有划分VLAN,全部使用192.168.1.1-254 一个网段。开启DHCP。
(0)
您好,参考以下链接
以太网是一种基于CSMA/CD的共享通讯介质的数据网络通讯技术,当主机数目较多时会导致冲突严重、广播泛滥、性能显著下降甚至使网络不可用等问题。在这种情况下出现了VLAN技术,这种技术可以把一个LAN划分成多个逻辑的LAN——VLAN,每个VLAN是一个广播域。VLAN内的主机间通信就和在一个LAN内一样,而VLAN间则不能直接互通,这样,广播报文被限制在一个VLAN内,如图5-2所示。
图5-2 VLAN示意图
与传统以太网相比,VLAN具有如下的优点:
· 控制广播域的范围:局域网内的广播报文被限制在一个VLAN内,节省了带宽,提高了网络处理能力。
· 增强了LAN的安全性:由于报文在数据链路层被VLAN划分的广播域所隔离,因此各个VLAN内的主机间不能直接通信,需要通过路由器或三层网络设备对报文进行三层转发。
· 灵活创建虚拟工作组:使用VLAN可以创建跨物理网络范围的虚拟工作组,当用户的物理位置在虚拟工作组范围内移动时,不需要更改网络配置即可以正常访问网络。
不同VLAN间的主机不能直接通信,需要通过路由器或三层网络设备进行转发。
VLAN接口是一种三层模式下的虚拟接口,主要用于实现VLAN间的三层互通,它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口,该接口可以为本VLAN内端口收到的报文根据其目的IP地址在网络层进行转发。通常情况下,由于VLAN能够隔离广播域,因此每个VLAN也对应一个IP网段,VLAN接口将作为该网段的网关对需要跨网段转发的报文进行基于IP地址的三层转发。
目前,路由器支持基于端口的VLAN。
基于端口的VLAN是最简单的一种VLAN划分方法。您可以将设备上的端口划分到不同的VLAN中,此后从某个端口接收的报文将只能在相应的VLAN内进行传输,从而实现广播域的隔离和虚拟工作组的划分。
基于端口的VLAN具有实现简单,易于管理的优点,适用于连接位置比较固定的用户。
页面向导:接口管理→VLAN设置→VLAN设置
本页面为您提供如下主要功能:
Trunk类型是以太网端口的链路类型之一。此类型的端口可以属于多个VLAN,可以接收和发送多个VLAN的报文,一般用于连接交换机。
表5-10 Trunk端口收发报文的处理
接收报文时的处理 | 发送报文时的处理 | |
当接收到的报文不带Tag时 | 当接收到的报文带有Tag时 | |
· 当缺省VLAN ID(即PVID)在端口允许通过的VLAN ID列表里时:接收该报文,且给报文添加缺省VLAN的Tag · 当缺省VLAN ID不在端口允许通过的VLAN ID列表里时:丢弃该报文 | · 当VLAN ID在端口允许通过的VLAN ID列表里时:接收该报文 · 当VLAN ID不在端口允许通过的VLAN ID列表里时:丢弃该报文 | · 当VLAN ID与缺省VLAN ID相同,且是该端口允许通过的VLAN ID时:去掉Tag,发送该报文 · 当VLAN ID与缺省VLAN ID不同,且是该端口允许通过的VLAN ID时:保持原有Tag,发送该报文 |
页面向导:接口管理→VLAN设置→Trunk口设置
本页面为您提供如下主要功能:
(0)
暂无评论
可以配置路由器的防火墙出入站规则来进行访问控制,以下是配置说明,请参考:
路由器的防火墙功能为您实现了根据报文的内容特征(比如:协议类型、源/目的IP地址等),来对入站方向(从因特网发向局域网的方向)和出站方向(从局域网发向因特网的方向)的数据流进行相应的控制,保证了路由器和局域网内主机的安全运行。
仅当防火墙功能开启后,您定制的防火墙出站和入站通信策略才能生效。
页面向导:安全专区→防火墙→防火墙设置
本页面为您提供如下主要功能:
页面向导:安全专区→防火墙→出站通信策略
本页面为您提供如下主要功能:
设置报文在出站方向上未匹配任何您预先设定的规则时,系统所采取的策略(主页面。在“出站通信缺省策略”下拉框中选择指定的方式,单击<应用>按钮生效) | |
添加匹配规则来控制指定的报文(在主页面上单击<新增>按钮,在弹出的对话框中设置相应的匹配项,单击<增加>按钮完成操作) |
页面中关键项的含义如下表所示。
表9-1 页面关键项描述
页面关键项 | 描述 |
出站通信缺省策略 | · “允许”:允许内网主动发起的访问报文通过 · “禁止”:禁止内网主动发起的访问报文通过 缺省情况下,出站通信缺省策略为“允许” · 当缺省策略是“允许”时,您手动添加的策略即为“禁止”,反之亦然 · 缺省策略更改后,所有已配置的出站通信策略将会被清空,且仅对新建立的访问连接生效 · 当您手动添加了出站通信策略后,系统会优先根据该策略对主机进行访问控制,如果未匹配手动添加的策略,则遵循缺省策略 |
源接口 | 设置报文的来源接口,即可以对从某一LAN侧接口收到的报文进行控制 |
源地址 | 设置需要进行控制的源地址类型: · IP地址段:通过源IP地址范围对局域网中的主机进行控制 · MAC地址:通过源MAC地址对局域网中的主机进行控制 · 用户组:通过您预先划分好的用户组对局域网中的主机进行控制 |
起始IP/结束IP(源IP地址范围) | 输入需要匹配的报文的源IP地址段 · 起始IP地址不能大于结束IP地址 · 如果无需匹配报文的源IP地址,您可以将起始IP地址设置为0.0.0.0,结束IP地址设置为255.255.255.255 |
源端口范围 | 输入需要匹配的报文的源端口范围 如果无需匹配报文的源端口号,您可以将其设置为1~65535 |
起始IP/结束IP(目的IP地址范围) | 输入需要匹配的报文的目的IP地址段 · 起始IP地址不能大于目的IP地址 · 如果无需匹配报文的目的IP地址,您可以将起始IP地址设置为0.0.0.0,结束IP地址设置为255.255.255.255 |
服务类型 | 选择局域网中主机访问因特网资源的服务类型 |
生效时间 | 设置此新增规则的生效时间 生效时间需要您指定具体的时间段,比如:某天的某个时间段 |
是否启用 | 在下拉列表框中选择“启用”,表示此匹配策略生效;选择“禁用”,表示此匹配策略不生效 |
描述 | 对此新增规则进行简单的描述 |
页面向导:安全专区→防火墙→入站通信策略
本页面为您提供如下主要功能:
设置报文在入站方向上未匹配任何您预先设定的规则时,系统所采取的策略(主页面。在“入站通信缺省策略”下拉框中选择指定的方式,单击<应用>按钮生效) | |
添加匹配规则来控制指定的报文(在主页面上单击<新增>按钮,在弹出的对话框中设置相应的匹配项,单击<增加>按钮完成操作) |
页面中关键项的含义如下表所示。
表9-2 页面关键项描述
页面关键项 | 描述 |
入站通信缺省策略 | · “禁止”:禁止外网主动发起的访问报文通过 · “允许”:允许外网主动发起的访问报文通过 · 当路由器工作于NAT模式下时(即开启了NAT功能),入站通信缺省策略不允许配置,且仅为“禁止”;当路由器工作于路由模式下时(即关闭了NAT功能),入站通信缺省策略才允许选择配置,且缺省情况下为“允许” · 当缺省策略是“禁止”时,您手动添加的策略即为“允许”,反之亦然 · 缺省策略更改后,所有已配置的出站通信策略将会被清空,且仅对新建立的访问连接生效 · 当您手动添加了入站通信策略后,路由器会优先根据该策略对主机进行访问控制,如果未匹配手动添加的策略,则遵循缺省策略 |
源接口 | 设置报文的来源接口,即可以对从某一WAN侧接口收到的报文进行控制 |
起始IP/结束IP(源IP地址范围) | 输入需要匹配的报文的源IP地址段 · 起始IP地址不能大于结束IP地址 · 如果无需匹配报文的源IP地址,您可以将起始IP地址设置为0.0.0.0,结束IP地址设置为255.255.255.255 |
源端口范围 | 输入需要匹配的报文的源端口范围 如果无需匹配报文的源端口号,您可以将其设置为1~65535 |
目的IP地址(目的IP地址范围) | 输入需要匹配的报文的目的IP地址 当路由器工作于NAT模式下时(即开启了NAT功能),仅允许设置单个目的IP地址;当路由器工作于路由模式下时(即关闭了NAT功能),允许设置目的IP地址范围 |
服务类型 | 选择因特网中的主机访问局域网资源的服务类型 |
生效时间 | 设置此新增规则的生效时间 生效时间需要您指定具体的时间段,比如:某天的某个时间段 |
是否启用 | 在下拉列表框中选择“启用”,表示此匹配策略生效;选择“禁用”,表示此匹配策略不生效 |
描述 | 对此新增规则进行简单的描述 |
(0)
暂无评论
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论