在典型的网络架构中，第二层交换机通常被部署在接入层，这意味着它不适合作为用户的网关使用。为了更好地理解其应用，我们可以设想这样一个场景：PC1和PC2分别位于不同的网段，而各个部门都需要接入互联网。在这种情况下，我们需要通过第二层交换机和防火墙来实现外部网络的访问，并将防火墙设置为用户的网关。
首先，我们需要对第二层交换机进行配置，划分VLAN以实现不同网络设备之间的通信。具体操作包括：创建VLAN，配置交换机接口以支持特定的VLAN，并将接口设置为接入模式或中继模式。
接下来，我们需要将防火墙配置为用户的网关。这里有两种常用的配置方法：一种是通过配置子接口来实现跨网段的三层转发，另一种是通过配置VLANIF接口。以下以子接口配置为例，说明防火墙的配置步骤。
在防火墙上配置子接口，并将每个子接口与一个特定的VLAN关联。然后，为每个子接口分配一个ip地址，这样防火墙就可以作为不同VLAN中设备之间的网关。此外，还需在防火墙上启用DHCP服务，并为网络中的设备分配IP地址。
为了确保来自不同网络段的设备能够相互通信，我们需要在防火墙上配置域间安全策略。此外，为了使内部网络的用户能够访问外部网络，还需在防火墙上启用网络地址转换（NAT）功能。
在配置完防火墙后，我们还需要对路由器进行配置。为路由器接口分配IP地址，并设置静态路由，以确保数据能够从内部网络传输到外部网络。
通过上述配置，我们构建了一个基于第二层交换机和防火墙的网络架构。这种架构既能够满足各个部门接入互联网的需求，又能够通过防火墙实现安全的网络访问控制。
总的来说，第二层交换机在接入层网络中发挥着重要作用，它通过VLAN划分和接口配置实现了不同网络设备之间的通信。而防火墙的配置则确保了网络的安全性和可管理性，使得内部网络的用户能够安全地访问外部网络资源。在这个过程中，网络工程师需要具备深入的网络知识和熟练的设备配置技巧，以确保网络的高效稳定运行。
第2层交换机简介:
第二层交换机是指只能执行第二层转发，而不能执行第三层转发的交换机。也就是说只支持第二层功能，不支持路由等第三层功能的交换机。
通常，第2层交换机部署在接入层，不能用作用户的网关。
网络要求:
如下图所示，PC1和PC2位于不同的网段，各个部门都有接入互联网的需求。现在要求用户通过二层交换机和防火墙访问外部网络，要求防火墙作为用户的网关。
配置思路:
1.配置交换机根据接口划分VLAN，实现二层转发。
2.将防火墙配置为用户的网关，通过子接口或VLANIF接口实现跨网段的三层转发。
3.将防火墙配置为DHCP服务器，并将IP地址分配给用户PC。
4.打开防火墙域间安全策略，以便来自不同域的消息可以相互转发。
5.配置防火墙PAT功能，以便内部网用户可以访问外部网络。
操作步骤:
步骤1:配置交换机。
VLAN划分和上下行接口配置
系统
[华为]vlan批次2 3
【华为】接口千兆以太网0/0/2
[华为千兆以太网0/0/2]端口链路式接入
[华为千兆以太网0/0/2]端口默认vlan 2
[华为-千兆以太网0/0/2]退出
【华为】接口千兆以太网0/0/3
[华为千兆以太网0/0/3]端口链路式接入
[华为千兆以太网0/0/3]端口默认vlan 3
[华为-千兆以太网0/0/3]退出
【华为】接口千兆以太网0/0/1
[华为千兆以太网0/0/1]端口链路式中继
[华为千兆以太网0/0/1]端口中继允许通过vlan 2 3
[华为-千兆以太网0/0/1]退出
[华为]退出
救援
步骤2:配置防火墙
配置防火墙有两种方法，一种是配置子接口，另一种是配置VLANIF接口。
配置防火墙通过子接口端接VLAN，实现跨网段的三层转发。
系统
[usg 6000v 1]接口千兆以太网1/0/1.1
[usg 6000v 1-千兆以太网1/0/1.1]vlan类型dot1q 2
[usg 6000v 1-千兆以太网1/0/1.1]ip地址192.168.2.1 24
[usg 6000v 1-千兆以太网1/0/1.1]退出
[usg 6000v 1]接口千兆以太网1/0/1.2
[usg 6000v 1-千兆以太网1/0/1.2]vlan类型dot1q 3
[usg 6000v 1-千兆以太网1/0/1.2]ip地址192.168.3.1 24
[usg 6000v 1-千兆以太网1/0/1.2]退出
[USG6000V1]dhcp启用
[usg 6000v 1]接口千兆以太网1/0/1.1
[usg 6000v 1-gigabit Ethernet 1/0/1.1]DHCP选择接口
[usg 6000v 1-千兆以太网1/0/1.1]dhcp服务器DNS-列表114.114.114.114 223.5.5.5
[usg 6000v 1-千兆以太网1/0/1.1]退出
[usg 6000v 1]接口千兆以太网1/0/1.2
[usg 6000v 1-gigabit Ethernet 1/0/1.2]DHCP选择接口
[usg 6000v 1-千兆以太网1/0/1.2]dhcp服务器DNS-列表114.114.114.114 223.5.5.5
[usg 6000v 1-千兆以太网1/0/1.2]退出
[usg 6000v 1]接口千兆以太网1/0/2
[usg 6000v 1-千兆以太网1/0/2]ip地址200.0.0.2 24
[usg 6000v 1-千兆以太网1/0/2]退出
[USG6000V1]IP路由-静态0 . 0 . 0 . 0 0 . 0 200.0.0.1
[usg 6000v 1]防火墙区域信任
[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1
[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1.1
[usg 6000v 1-zone-trust]添加接口GigabitEthernet 1/0/1.2
[usg 6000v 1-zone-trust]退出
[usg 6000v 1]防火墙区域不可信
[usg 6000v 1-zone-untrust]添加接口GigabitEthernet 1/0/2
[usg 6000v 1-zone-untrust]退出
[usg 6000v 1]安全策略
[usg 6000v 1-策略-安全]规则名称策略1
[usg 6000v 1-策略-安全-规则-策略1]目标区域不可信
[usg 6000v 1-策略-安全-规则-策略1]源地址192.168.0.0掩码255.255.0.0
[usg 6000v 1-政策-安全-规则-政策1]行动许可
[usg 6000v 1-策略-安全-规则-策略1]退出
[usg 6000v 1-策略-安全]退出
[USG6000V1]nat地址-组地址组1
[usg 6000v 1-地址组-地址组1]模式pat
[usg 6000v 1-address-group-address group 1]路由启用
第0节200.0.0.2 200.0.0.2
[usg 6000v 1-address-group-address group 1]退出
[USG6000V1] nat策略
[USG6000V1-policy-nat]规则名称policy_nat1
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]源区域信任
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]目标区域不可信
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]源地址192.168.0.0掩码255.255.0.0
[usg 6000v 1-policy-nat-rule-policy _ NAT 1]操作源-NAT地址-组地址组1
[usg 6000v 1-policy-NAT-rule-policy _ NAT 1]退出
[usg 6000v 1-策略-NAT]退出
[usg 6000v 1]退出
步骤3:配置路由器。
系统
sysname互联网
[Internet]接口千兆以太网0/0/1
[互联网]ip地址200.0.0.1 255 . 255 . 255 . 0
[互联网]退出
