路由器

分为三种流量：

1、内网访问总部的10.10.10.0/24网段

在三层交换机上配置静态路由：ip rout-static 10.10.10.0 24 10.200.21.2 （下一条为深信服VPN设备）

深信服的VPN配置得你自己配置好。

2、内网访问Internet

在三层交换机上配置默认路由：ip rout-static 0.0.0.0 0 10.200.21.3（下一跳为路由器）

路由器上要配置NAT Outbound，把10.100.21.0/24和100.200.21.0/24进行NAT转换。

同时路由器上要配置回程路由：

ip rout-static 10.100.21.0 24 10.100.21.1

ip rout-static 10.200.21.0 24 10.100.21.1  

3、无线网络隔离

在三层交换机的vlan200接口上配置包过滤（packet filter），禁止无线网段访问其他业务网段，按照你提供的信息来看，其他的业务地址段就是10.100.21.0/24，10.10.10.0/24，因此可以在三层交换机上配置packet filter如下：

acl num 3000

rule 5 permit ip destination 10.100.21.0 0.0.0.255

rule 10 permit ip destination 10.10.10.0 0.0.0.255

在vlan200的接口上配置

packet filter 3000 inbound