您好，请知：

交换机上限制用户网段上外网，内部互通，以下是部署方法，请参考：

1、在出口设备上的NAT配置中通过ACL限制，以下是部署参考命令：

acl basic 2000

rule 0 permit source 192.168.1.0 0.0.0.255

quit

int gi 1/0/1

nat outbound 2000

quit

2、在用户网关所在交换机上配置ACL，仅允许访问内部的网段，其他全部拒绝就可以了，以下是参考命令：

acl ad 3000

rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

rule 2 deny 

quit

int vlan 2

packet-filter 3000 inbound

quit

注意：此方法需要在涉及到的网关所在的交换机上配置，就可以达到内部互访，不能访问外网的效果。