本地转发下，做了二层隔离，要实现终端互访，该怎么操作？

有以下几种方法：

• 在AC上配置服务模板，开启本地转发模式，指定本地转发的VLAN，并开启用户隔离功能。这样，同一SSID下的无线用户之间以及无线用户和有线用户之间都不能互相访问。具体的配置步骤可以参考这篇文档的第3.4.1节¹。
• 在AP上配置map-configuration文件，开启本地转发模式，指定本地转发的VLAN，并开启用户隔离功能。这样，同一AP下的无线用户之间以及无线用户和有线用户之间都不能互相访问。具体的配置步骤可以参考这篇文档的第3.4.3节¹。
• 在AC或AP上配置VLAN接口，开启用户隔离功能，并指定允许访问的MAC地址。这样，同一VLAN内的有线用户和无线用户之间以及无线用户之间（无论无线用户是否使用同一SSID接入WLAN网络）都不能互相访问，除非是在允许访问的MAC地址列表中。具体的配置步骤可以参考这篇文档的第1.3节²。

如果要实现同一VLAN内的终端互访，可以在网关上开启ARP代理功能，或者在允许访问的MAC地址列表中添加对方的MAC地址。具体的操作方法可以参考这个问题的最佳答案³。