实战案例（2）防火墙+二交换机VLAN组网

案例二：防火墙充当三层交换机与路由器角色功能进行组网

拿到这样的拓扑后，首先要了解好客户的需求，然后根据需求进行划分

比如客户那边有监控跟办公网络，可以通过VLAN划分不同的区域，然后二层交换机对接终端的口划入到对应的VLAN，与防火墙的口配置成Trunk，防火墙上面创建VLANIF以及安全策略、NAT策略，最后对接外网。

采用正常配置模式的步骤与思路

（1）确认好内外网接口，然后根据规划来对接口进行配置（外网采用什么方式对接，内网采用什么方式对接）

比如这个拓扑外网采用DHCP，内网需要把G1/0/0切换成二层口配置trunk允许VLAN 2跟3通过，并且配置VLANIF2与3的网关地址，根据实际规划加入到不同的安全区域（也可以在同一个安全区域，建议是不同安全其余，方便做策略控制。）

（2）根据需求开办公网的DHCP（监控一般不开）

（3）安全策略，根据客户实际需求来决定，办公网是否允许访问监控网，或者只允许办公网某个主机访问，以及办公网跟监控网都需要上网做策略方向，最后建议做一个防火墙到任何区域都可以通的安全策略，方便排错。

（4）NAT策略，根据客户需求来允许对应的安全区域上网。

（5）二层交换机的配置有几个部分：1、创建对应VLAN 2、确定好上行口与对接办公跟监控的口，上行口配置trunk允许vlan 2 3通过，对接办公的划入到VLAN2，对接监控的划分到VLAN3，建议开快速端口。

命令行相关流程展示

#vlan batch 2 to 3#dhcp enable#interfaceGigabitEthernet1/0/1undo shutdownip address dhcp-alloc#interfaceGigabitEthernet1/0/0portswitchundo shutdownport link-type trunkport trunk allow-pass vlan 2 to 3#interface Vlanif2ip address 192.168.102.254 255.255.255.0alias officeservice-manage http permitservice-manage https permitservice-manage ping permitservice-manage ssh permitservice-manage telnet permitdhcp select interfacedhcp server ip-range 192.168.102.1192.168.102.254dhcp server gateway-list 192.168.102.254dhcp server static-bind ip-address192.168.102.250 mac-address 5489-986a-21fbdhcp server dns-list 223.5.5.5 114.114.114.114#interface Vlanif3ip address 192.168.103.254 255.255.255.0alias jiankongservice-manage http permitservice-manage https permitservice-manage ping permitservice-manage ssh permitservice-manage telnet permit#firewall zone nameoffice id 4set priority 66add interface Vlanif2#                                         firewall zone namejiankong id 5set priority 49add interface Vlanif3#firewall zone untrustset priority 5add interface GigabitEthernet1/0/1##ip address-set 允许访问监控type objectaddress 0 192.168.102.250 mask 32#ip address-set 允许上网type objectaddress 0 192.168.102.0 mask 24address 1 192.168.103.0 mask 24#security-policyrule name office_jiankong source-zone office destination-zone jiankong source-address address-set 允许访问监控 action permitrule name 允许上网 source-zone jiankong source-zone office destination-zone untrust                 source-address address-set 允许上网 action permitrule name local_any source-zone local action permit#nat-policyrule name 允许上网 source-zone jiankong source-zone office destination-zone untrust action source-nat easy-ip

（1）创建对应需要的VLAN，以及开DHCP服务（VLAN如果内网是对接的二层口则必须）

（2）把对应的接口按规划进行配置，包括DHCP、对接外网的方式以及内网的方式

（3）创建新的安全区域（如果需要的话）并且把接口加入到安全区域里面来

（4）配置安全策略

（5）配置NAT策略

交换机的配置

vlan batch 2 to 3#interface Vlanif1#interface MEth0/0/1#interface Ethernet0/0/1port link-type accessport default vlan 2stp edged-port enable#interface Ethernet0/0/2port link-type accessport default vlan 2stp edged-port enable#interface Ethernet0/0/3port link-type accessport default vlan 2stp edged-port enable#interface Ethernet0/0/4port link-type accessport default vlan 2stp edged-port enable#                                         interface Ethernet0/0/5port link-type accessport default vlan 3stp edged-port enable#interface Ethernet0/0/6port link-type accessport default vlan 3stp edged-port enable#interface Ethernet0/0/7port link-type accessport default vlan 3stp edged-port enable#interface Ethernet0/0/8port link-type accessport default vlan 3stp edged-port enable
#                                         interfaceGigabitEthernet0/0/1port link-type trunkport trunk allow-pass vlan 2 to 3