H3C ER5200G2 路由器 vlan 设置
- 0关注
- 2收藏，5918浏览
问题描述：
H3C ER5200G2 路由器
设置了一个vlan1 ip段192.168.1.0/24
设置了一个vlan2 ip段192.168.2.0/24
设置了一个vlan3 ip段192.168.3.0/24
现在要求如下:
1.valn1和vlan2之间可以互相通信
2.valn1和vlan2可以访问vlan3但是vlan3不能访问valn1和vlan2
3.valn1和vlan3可以访问外网但是vlan2不允许访问外网
我应该怎么设置,请指教!
新手,教程越详细越好,非常感谢!
组网及组网描述：
 | 1 | VLAN2 | 2 | 192.168.2.1 | 255.255.255.0 |
| 2 | VLAN3 | 3 | 192.168.3.1 | 255.255.255.0 |
| 3 | VLAN4 | 4 | 192.168.4.1 | 255.255.255.0 |
- 2019-09-27提问
- 举报
-
(0)
最佳答案
您好，请知:
1.首先先给vlan 1－2－3分别配置ip，操作如下:
int vlan 1
ip address 192.168.1.1 24
quit
int vlan 2
ip address 192.168.2.1 24
quit
int vlan 3
ip address 192.168.3.1 24
quit
2.配置acl，禁止vlan3访问vlan 1－2，操作如下:
acl number 3000
rule 0 deny ip source 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
rule 1 deny ip source 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
quit
int vlan 1
packet－filter 3000 outbound
quit
int vlan 2
packet－filter 3000 outbound
quit
3,配置acl，允许vlan1－3通过，并捆绑到nat
acl number 2000
rule 0 permit source 192.168.1.0 0.0.0.255
rule 1 permit source 192.168.3.0 0.0.0.255
quit
int g 0/1
nat outbound 2000
quit
- 2019-09-27回答
- 评论(8)
- 举报
-
(0)
1. 组网图
2. 组网需求
如上图所示，无管理Switch A连接ER路由器的LAN1接口，有管理Switch B连接LAN2接口，实现Switch A下所有客户端获取到VLAN2的地址，Switch B下存在两个VLAN（VLAN3：192.168.3.0/24，VLAN4：192.168.4.0/24）对应两个部门，部门之间禁止互访。
3. 配置步骤
(1) 新增三个VLAN（页面向导：接口设置→VLAN设置→VLAN设置）：
· VLAN2 IP为192.168.2.1（即VLAN2的网关地址），子网掩码：255.255.255.0。
· VLAN3 IP为192.168.3.1，VLAN4 IP为192.168.4.1，子网掩码均为255.255.255.0。
(2) 编辑LAN1口配置（页面向导：接口设置→VLAN 设置→Trunk口设置），双击LAN1口所在条目进入编辑状态，将LAN1口的PVID和允许通过的VLAN均改为2。（如果其他LAN口同样接无管理设备实现类似功能可参考此步。）
(3) 编辑LAN2口配置，允许通过的VLAN改为3～4。Switch B的上行端口设置为Trunk，允许VLAN3、VLAN4通过即可。（如果有管理交换机下存在更多的VLAN，则只需添加到允许通过的VLAN中即可。）
(4) 如果局域网内用户通过动态DHCP获取对应网段的IP，需要通过DHCP设置（页面向导：接口设置→DHCP设置→DHCP设置），添加各个VLAN网段对应的DHCP地址池。
(5) 配置VLAN3和VLAN4网关不能互访，在设备防火墙功能的出站通信策略中增加一条规则，禁止源IP地址范围为192.168.3.2～192.168.3.254的设备访问目的地址范围为192.168.4.2～192.168.4.254的所有服务。
- 2019-09-27回答
- 评论(2)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
packet－filter 3000 outbound 是不是应该 packet－filter 3000 inbound?
是outbound，从vlan1－2的角度来讲，vlan3是外部的网络，对外发布禁止外部访问进来嘛。。
rule 0 deny ip source 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255 没有明白，为什么是两个网段
在这条策略中，192.168.3.0为源地址段，192.168.1.0为目的网段。意思是禁止192.168.3.0访问192.168.1.0网段
不好意思，又有两个问题：1、destination可以不写？ 2、这个是192.168.1.0的outbound，192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255 也可达到目前？不是应该是 source 192.168.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255 吗？
感觉你应该是华三公司的，所以多问几句，谢谢
1.目的不写的话是因为采用的事基本访问控制列表。
如果解决问题，望采纳。谢谢哈！