首先，我们需要明确组网的要求。假设一个公司有多个部门，这些部门分布在不同的网段中，每个部门都需要访问Internet。为了实现这一需求，我们将三层交换机设置为用户的网关，通过它和防火墙的配合，让用户能够访问外部网络。
### 组网网要求
各部门之间的网络需要互联互通，同时也要保障安全性。为此，我们需要一个能够提供跨网段访问的交换机，并且通过防火墙来实现安全策略的配置。
### 组网图
组网图是理解网络结构的关键。在这个例子中，三层交换机通过VLANIF接口连接到防火墙，防火墙的另一侧则连接到外部网络。这样的结构保证了内部网络与外部网络的隔离，同时允许经过认证的数据包通过。
### 配置思路
配置的关键在于设置交换机作为网关，同时开启防火墙的安全策略，以实现跨网段访问和外部网络的访问。
- **交换机配置**：首先，我们需要将交换机配置为DHCP服务器，自动为用户分配ip地址。其次，设置VLANIF接口，使不同网段之间的用户可以相互访问。 - **防火墙配置**：在防火墙上，我们需要配置域间安全策略，允许不同安全域之间的报文转发。同时，开启网络地址转换（PAT），使用户能够访问外部网络。
### 配置步骤
#### 1. 交换机配置
- 设置连接用户的接口和对应的VLANIF接口。 - 设置连接防火墙的接口和对应的VLANIF接口。 - 配置缺省路由，指向防火墙的接口。 - 配置DHCP服务器，为用户自动分配IP地址。
#### 2. 防火墙配置
- 配置连接交换机的接口IP地址。 - 配置连接外部网络的接口IP地址。 - 设置缺省路由和回程路由，确保数据包能够正确返回。 - 配置安全策略，允许内部网络的用户访问外部网络。 - 配置PAT地址池，开启端口地址转换。 - 设置源PAT策略，实现私网指定网段访问公网时的地址转换。
完成这些配置后，我们就可以设置PC的IP地址和网关。例如，PC1的IP地址设置为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址设置为192.168.2.2/24，网关为192.168.2.1。外部网络的PC IP地址为200.0.0.1/24，网关为200.0.0.2。
配置完成后，PC1和PC2都可以ping通外部网络的IP地址200.0.0.1/24，且能够顺利访问Internet。这样，我们就实现了三层交换机和防火墙的对接上网，既保证了网络的连通性，又确保了数据的安全性。
交换机如何与路由器对接上网？我们来看下三层交换机与防火墙对接上网配置示例。
我们上面了解到了防火墙与交换机的区别与功能，那么防火墙与交换机又是如何配合使用在项目中呢？这里面我们以华为配置为例。
一、组网网要求
某公司拥有多个部门且位于不同网段，各部门均有访问Internet的需求。现要求用户通过三层交换机和防火墙访问外部网络，且要求三层交换机作为用户的网关。
二、三层交换机与防火墙对接上网组网图
三、配置思路
配置交换机作为用户的网关，通过VLANIF接口，实现跨网段用户互访。
配置交换机作为dhcp服务器，为用户分配IP地址。
开启防火墙域间安全策略，使不同域的报文可以相互转发。
配置防火墙PAT转换功能，使用户可以访问外部网络。
四、配置步骤
1、配置交换机
# 配置连接用户的接口和对应的VLANIF接口。
# 配置连接防火墙的接口和对应的VLANIF接口。
# 配置缺省路由。
# 配置DHCP服务器。
现在交换机配置完全。
2、配置防火墙
# 配置连接交换机的接口对应的IP地址。
# 配置连接公网的接口对应的IP地址。
# 配置缺省路由和回程路由。
# 配置安全策略。
# 配置安全策略，允许域间互访。
# 配置PAT地址池，开启允许端口地址转换。
# 配置源PAT策略，实现私网指定网段访问公网时自动进行源地址转换。
经过配置后：
配置PC1的IP地址为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址为192.168.2.2/24，网关为192.168.2.1。
配置外网PC的IP地址为200.0.0.1/24，网关为200.0.0.2。
配置完成后，PC1和PC2都可以ping通外网的IP 200.0.0.1/24，PC1和PC2都可以访问Internet。
