S5560X-54C-EIvlan设置

在S5560X-54C-EI上实现管理IP访问所有VLAN终端，同时禁止VLAN间互访，核心思路是：管理IP所在VLAN作为管理VLAN，其他业务VLAN只允许与管理VLAN通信，业务VLAN之间禁止互访。可通过VLAN接口+ACL包过滤实现。
配置步骤：
1. 创建VLAN及VLAN接口
假设管理VLAN为VLAN 100，业务VLAN为VLAN 10、20、30…90。
bash
vlan 10
vlan 20
...
vlan 100
interface Vlan-interface100
ip address 192.168.100.1 255.255.255.0

2. 业务VLAN配置网关IP（终端需要网关才能被管理）
每个业务VLAN配置一个IP作为终端网关，例如：
bash
interface Vlan-interface10
ip address 192.168.10.1 255.255.255.0

3. 配置ACL禁止业务VLAN间互访，但允许访问管理VLAN
使用高级ACL，匹配源和目的网段。
bash
acl advanced 3000
rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255
... （按需添加所有业务VLAN之间的拒绝规则）
rule 100 permit ip # 允许其他流量（包括到管理VLAN）

4. 在业务VLAN接口入方向应用ACL
在每个业务VLAN接口的入方向应用，阻止发往其他业务VLAN的流量。
bash
interface Vlan-interface10
packet-filter 3000 inbound
interface Vlan-interface20
packet-filter 3000 inbound
...

5. 管理VLAN接口不需要额外限制，因为ACL只应用在业务VLAN入方向，管理VLAN发出的流量不受影响，终端访问管理IP的流量到达业务VLAN网关时会被放行（permit ip）。
注意事项：
如果业务VLAN数量多，ACL规则会较多，可用rule deny ip source any destination 192.168.0.0 0.0.255.255配合更精细网段规划，但需确保管理网段不在该范围内。
管理IP建议使用独立VLAN，不要与业务VLAN混用。
若终端需要跨VLAN访问共享资源（如打印机），需额外放行特定IP。

给管理 VLAN 配三层接口 IP 作为管理网段，在 VLANIF 间配置ACL + 包过滤，阻断业务 VLAN 之间互通，放行所有业务 VLAN 和管理 VLAN 互通。

S5560X-54C-EI（V7 平台）

1、基础配置示例

假设：

• VLAN100：管理 VLAN，Vlanif100：192.168.100.1/24（交换机管理 IP）
• 业务 VLAN：10、20、30… 共 10 个业务 VLAN

# 创建VLANIF三层接口 vlan 10 vlan 20 vlan 30 vlan 100 interface Vlan-interface10 ip address 192.168.10.1 255.255.255.0 interface Vlan-interface20 ip address 192.168.20.1 255.255.255.0 interface Vlan-interface100 ip address 192.168.100.1 255.255.255.0

2、ACL：禁止业务 VLAN 互相访问，放行和管理 VLAN 互通

acl advanced 3000 rule permit ip destination 192.168.100.0 0.0.0.255 // 所有业务 → 管理网段放行 rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 # 把所有业务网段两两互访deny补齐

更省事写法（V7 支持）：在每个业务 VLANIF 的inbound 方向应用 ACL，只允许去往管理网段，拒绝其他业务网段：

interface Vlan-interface10 packet-filter 3000 inbound interface Vlan-interface20 packet-filter 3000 inbound interface Vlan-interface30 packet-filter 3000 inbound

3、关键要点

1. 交换机本身（管理 IP）可以访问所有业务 VLAN 终端；
2. 业务 VLAN 之间二层、三层互访被阻断；
3. 不要把 ACL 应用在管理 VLANIF；
4. 如果终端网关不在这台交换机（只是二层汇聚），需要在网关设备上做访问控制，本交换机 VLANIF 包过滤无效。

备选简化思路（推荐）

用VLAN 隔离组（Isolate-user-vlan）：二层隔离，三层 VLANIF 之间仍互通，不能满足三层阻断，所以不适合你这个需求，必须 ACL 包过滤。