交换机转发问题

可以试试基于子网的vlan 

基于IP子网的VLAN配置举例

1. 组网需求

如下图所示，办公区的主机属于不同的网段192.168.5.0/24和192.168.50.0/24，Device C在收到来自办公区主机的报文时，根据报文的源IP地址，使来自不同网段主机的报文分别在指定的VLAN中传输，其中，来自网段192.168.5.0/24的报文在VLAN 100中传输，来自网段192.168.50.0/24的报文在VLAN 200中传输。

2. 组网图

图1-5 基于IP子网的VLAN组网图

‌

3. 配置步骤

(1)     配置Device C

# 配置子网192.168.5.0/24与VLAN 100关联。

<DeviceC> system-view

[DeviceC] vlan 100

[DeviceC-vlan100] ip-subnet-vlan ip 192.168.5.0 255.255.255.0

[DeviceC-vlan100] quit

# 配置子网192.168.50.0/24与VLAN 200关联。

[DeviceC] vlan 200

[DeviceC-vlan200] ip-subnet-vlan ip 192.168.50.0 255.255.255.0

[DeviceC-vlan200] quit

# 配置端口GigabitEthernet1/0/2为Hybrid端口，允许VLAN 100通过，并且在发送VLAN 100的报文时携带VLAN Tag。

[DeviceC] interface gigabitethernet 1/0/2

[DeviceC-GigabitEthernet1/0/2] port link-type hybrid

[DeviceC-GigabitEthernet1/0/2] port hybrid vlan 100 tagged

[DeviceC-GigabitEthernet1/0/2] quit

# 配置端口GigabitEthernet1/0/3为Hybrid端口，允许VLAN 200通过，并且在发送VLAN 200的报文时携带VLAN Tag。

[DeviceC] interface gigabitethernet 1/0/3

[DeviceC-GigabitEthernet1/0/3] port link-type hybrid

[DeviceC-GigabitEthernet1/0/3] port hybrid vlan 200 tagged

[DeviceC-GigabitEthernet1/0/3] quit

# 配置端口GigabitEthernet1/0/1为Hybrid端口，允许VLAN 100、200通过，并且在发送VLAN 100、200的报文时不携带VLAN Tag。

[DeviceC] interface gigabitethernet 1/0/1

[DeviceC-GigabitEthernet1/0/1] port link-type hybrid

[DeviceC-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged

# 配置端口GigabitEthernet1/0/1和基于IP子网的VLAN 100、200关联。

[DeviceC-GigabitEthernet1/0/1] port hybrid ip-subnet-vlan vlan 100

[DeviceC-GigabitEthernet1/0/1] port hybrid ip-subnet-vlan vlan 200

[DeviceC-GigabitEthernet1/0/1] quit

(2)     配置Device A和Device B

配置Device A和Device B允许对应VLAN通过，配置过程略。

4. 验证配置

# 查看所有子网VLAN的信息。

[DeviceC] display ip-subnet-vlan vlan all

 VLAN ID: 100

  Subnet index      IP address      Subnet mask

  0                 192.168.5.0     255.255.255.0

 VLAN ID: 200

  Subnet index      IP address      Subnet mask

  0                 192.168.50.0    255.255.255.0

# 查看端口GigabitEthernet1/0/1关联的子网VLAN的信息。

[DeviceC] display ip-subnet-vlan interface gigabitethernet 1/0/1

 Interface: GigabitEthernet1/0/1

  VLAN ID   Subnet index    IP address Subnet mask       Status

  100       0               192.168.5.0      255.255.255.0     Active

  200       0               192.168.50.0     255.255.255.0     Active

这种情况只有1个可能：

1、上联交换机配置vlan接口的sub地址，看起来2个网段，其实是一个网段

2、或者掩码配置为23位，这样看起来是一个短，其实2个24掩码段可以用

把5560也搞成傻瓜

根据你问题描述，你关键想做到的地方在对.6和.7段分流功能的实现，因此可以使用策略路由来实现这个需求；

由于你没说具体在什么地方分流，且服务器端是否是不同的分区；

因此我默认你服务器端是在两个不同的分区，所以具体方法如下：

在需要将.6和.7分流的设备上基于.6和.7段做策略路由

策略路由配置以H3C配置为例，具体设备的策略路由可以去下载对应的设备版本手册查看；

##############################################################

# 定义访问控制列表ACL 3001、3002，用来匹配TCP报文。

 system-view

acl number 3001
rule permit source 192.168.6.0 0.0.0.255

acl number 3002
rule permit source 192.168.7.0 0.0.0.255

quit

# 定义1、2号节点，指定所有TCP报文的下一跳为分流的对端互联地址。
policy-based-route fenliu permit node 1
if-match acl 3001
apply ip-address next-hop 1.1.1.2

policy-based-route fenliu permit node 2
if-match acl 3002
apply ip-address next-hop 2.2.2.2

quit

# 在分流设备的该流量进入的接口上应用转发策略路由，处理此接口接收的报文。

interface vlan-interface xx
ip policy-based-route fenliu

quit

##############################################################

大概就是这么个配置，具体的配置根据实际情况来

如果有具体的服务器地址，还可以设置访问的目的地址

如果这一条线接到 23端口，只允许一个IP段通过，拒绝另一个IP段需要怎么处理