问

ACG1000接口配置中的子接口是如何配置的，主要能实现什么功能？

ACG1000

1天前提问

0关注
0收藏，55浏览

doubleface

doubleface 零段

粉丝：0人关注：1人

问题描述：

哪位高手能给讲讲ACG1000接口配置中的子接口是如何配置的，主要能实现什么功能？

3 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 五段

粉丝：8人关注：9人

配置步骤（关键命令）
1. 进入系统视图，先将主物理接口切换为三层路由模式：
system-view
interface GigabitEthernet 1/0/1
undo port-switch // 若原接口为二层桥模式，执行该命令切换为三层口
quit
2. 创建子接口，配置VLAN封装、IP地址，加入对应安全域：
interface GigabitEthernet 1/0/1.10 // 子接口编号自定义，此处对应VLAN10
vlan-type dot1q vid 10 // 配置子接口识别VLAN10的802.1Q标签
ip address 192.168.10.1 24 // 配置该VLAN下的网关IP
zone-trust add interface GigabitEthernet 1/0/1.10 // 子接口可按需加入对应安全域
核心功能
1. 单物理接口对接上联Trunk端口，同时承载多个带不同VLAN标签的三层流量，无需为每个VLAN占用独立物理接口，节省硬件端口资源。
2. 不同子接口可划分到不同安全域，基于域间策略实现不同VLAN/网段之间的访问控制、流量审计、内容过滤、应用管控等ACG专属业务能力。
3. 灵活扩展三层网段数量，适配多网段混合部署场景，无需改动现有物理组网即可新增管控网段。

暂无评论

zhiliao_GeOM0O

zhiliao_GeOM0O 八段

粉丝：10人关注：2人

一、ACG1000 子接口是什么？
子接口 = 物理接口下的虚拟三层接口（单臂路由 / 三层终结 VLAN）
格式：主接口.编号，如 ge3.10、ge3.20
编号 = VLAN ID（1–4094）
一个物理口（如 ge3）可以创建 4094 个子接口，分别终结不同 VLAN
本质：在一个物理口上跑多个三层 VLAN 网关
二、子接口主要能实现什么功能（最常用 4 点）
1）单臂路由：一个物理口带多个内网 VLAN（最核心）
交换机上联 ACG 用 Trunk，带多个 VLAN（10、20、30…）
ACG 在一个物理口（如 ge3）上创建子接口：
ge3.10 → VLAN10 网关
ge3.20 → VLAN20 网关
省端口、省布线、统一在 ACG 做行为审计 / 流控 / 认证
2）VLAN 三层网关 + 策略控制
每个子接口是一个三层网关：
配置 IP → 该 VLAN 网关
基于子接口做：
应用识别（网页上传、DeepSeek、网盘）
禁止 / 允许应用
带宽流控（P2P 限速、视频优先）
用户认证（Portal/802.1x）
不同 VLAN 可以做不同策略（比如 VLAN10 禁止上传，VLAN20 允许）
3）网桥模式下终结 VLAN（透明审计）
ACG 做透明网桥（BVI）时：
上联 Trunk → 子接口终结 VLAN
子接口加入网桥组 → 流量透传
不改变原有网络拓扑，直接审计 / 控制所有 VLAN 流量
4）多出口 / 策略路由分流
子接口可作为策略路由的出接口 / 入接口
内网不同 VLAN → 不同子接口 → 不同外网出口
实现：办公走专线、上网走宽带、视频走优选路径
三、Web 界面配置步骤（ACG1000 标准流程）
1）进入子接口页面
网络配置 → 接口 → 子接口 → 新建

2）关键配置项（照着填）
名称：ge3.10（主接口 ge3，VLAN 10）
VLAN ID：10（必须和交换机 Trunk 允许的 VLAN 一致）
IP 地址：192.168.10.1/24（该 VLAN 网关）
启用：勾选
接口属性：内网口（一般）
高级设置：开启 https/http/ping 管理（可选）
3）保存 + 配置静态路由（必做）
网络配置 → 路由 → 静态路由
默认路由：0.0.0.0/0 → 下一跳（网关）→ 出接口（外网口）
四、命令行配置（备用，Web 点不动时用）
bash
运行
# 1. 创建子接口
interface ge3.10
vlan-type dot1q 10 # 终结 VLAN10
ip address 192.168.10.1 24
enable

interface ge3.20
vlan-type dot1q 20
ip address 192.168.20.1 24
enable

# 2. 配置默认路由
ip route 0.0.0.0 0.0.0.0 192.168.1.1 # 下一跳为外网网关
五、和你之前问题的关联（DeepSeek 禁止上传）
你之前问：ACG1000 怎么禁止 DeepSeek 网页上传、但能打开网页配合子接口的典型做法：
内网所有用户 VLAN（10/20/30）→ 子接口 ge3.10、ge3.20…
在子接口入方向 / 全局：
应用策略：允许 DeepSeek 网页访问（HTTP/HTTPS）
禁止 Web 上传 / POST / 文件上传动作（ACG 应用特征库可识别）
不同 VLAN 可差异化：比如办公 VLAN 禁止上传，研发 VLAN 允许
六、一句话总结
ACG1000 子接口 = 单物理口多 VLAN 三层网关，核心是省端口、统一做应用审计 / 流控 / 认证、支持透明网桥和策略路由分流。