一家公司增设了一个分支机构，并为其划分了一个IP网段172.16.10.0/24。由于业务发展，分支机构内部需要增设财务部，并且网络管理员没有权限操作VPN网络设备。为了满足财务部和现有业务部门的需求，同时保证两个部门不能互访，但都能访问公司内部网络，分支机构决定重新规划网络。
首先，网络管理员进行了以下网络规划：
- 路由器IP设置为172.16.10.1，子网掩码为255.255.255.0，保持不变。 - 划分三个子网络： - 网络1：用于连接公司内部网络，ip地址范围172.16.10.1-172.16.10.2，子网掩码255.255.255.252。 - 网络2：分配给财务部，IP地址范围172.16.10.17-172.16.10.30，子网掩码255.255.255.240。 - 网络3：分配给业务部，IP地址范围172.16.10.33-172.16.10.46，子网掩码255.255.255.240。
接下来，管理员在交换机上划分了三个VLAN，分别用于财务部、业务部以及连接内网的接入。通过交换机的管理界面，依次配置802.1Q VLAN，并确保配置时电脑连接在特定的交换机端口上。
在配置完VLAN后，管理员为每个vlan设置了对应的IP地址，并添加了静态路由规则，确保各个子网之间能够正确路由。此外，设置了默认静态路由，以使所有未知目的地址的流量都通过路由器转发。
为了实现不同子网之间的隔离，同时允许它们访问内部网络，管理员在连接路由器的接口上启用了代理ARP功能。这一功能允许交换机代表其他设备响应ARP请求，从而避免了直接在路由器上配置复杂的路由规则。
最后，管理员设置了访问控制列表（ACL）规则，以防止财务部和业务部之间的相互访问。具体设置方法可以参考相关的应用指南。
通过这样的网络规划，财务部电脑的网关设置为172.16.10.17，业务部的电脑网关设置为172.16.10.33，就可以实现部门的隔离和内网访问需求。这种方案既考虑了网络的可扩展性，也满足了安全性的要求，为分支机构内的精细化管理提供了有力支持。
背景
在很多大中型企业中，对网络有着成熟而复杂划分，这个时候如果需要对网络中某个小分支再次进行网络权限划分，将原有一个网段分为多个子网，就需要在前端企业骨干网络设备上添加各个新增子网的路由表，而前端设备往往因为各种各样的原因是不可操作的，这样就需要使用TL-SG5428的代理ARP功能了。
某公司的分支机构由于业务增长，总部为该分支机构增设了一个财务部。分支机构网络通过VPN与公司总部联通，总部划分给分支机构的IP为172.16.10.0/24，分支机构网络管理员没有VPN网络设备的管理权限。
现在该分支机构需要在现有网络的基础上划分两个子网，业务部（10人）和财务部（10人），两个部门不能互访，但是都能访问公司内部网络。
配置过程
步骤1：
网络规划：
路由器的IP为172.16.10.1 掩码为255.255.255.0 该IP网络管理员不需要进行修改。
在交换机中划分3个网络:
网络1：IP地址范围 172.16.10.1-172.16.10.2 用于连接公司内部网络
VLAN IP为172.16.10.2 掩码为255.255.255.252
网络2：IP地址范围 172.16.10.17-172.16.10.30 用于分配给分支机构的财务部
VLAN IP为 172.16.10.17 掩码为255.255.255.240
网络3：IP地址范围 172.16.10.33-172.16.10.46 用户分配给分支机构的业务部
VLAN IP为172.16.10.33 掩码为255.255.255.240
步骤2：
在交换机中划分3个VLAN，分别用于财务部接入、业务部接入、连接内网
交换机管理界面—>VLAN—>802.1Q VLAN
注意：建议电脑接在24号口进行配置
步骤3：
分别对3个VLAN设置IP地址
交换机管理界面—>路由功能—>静态路由—>接口管理
将财务部、业务部、连接内网对于的VLAN IP设置到相应的VLAN中
步骤2和步骤3的详细设置方法可以参考TL-SG5428应用——多网段网络规划配置指南
步骤4：
设置默认静态路由
进入管理界面—>路由功能—>静态路由—>静态路由条目
添加条目
目的地址：0.0.0.0 子网掩码：0.0.0.0 下一跳：172.16.10.1
步骤5：
启动代理ARP
在连接路由器的接口上启用代理ARP功能
步骤6：
设置ACL规则使财务课和业务课不能相互访问。
详细设置方法参考TL-SG5428应用——ACL控制不同部门的网络权限
这样财务部的电脑网关设置为172.16.10.17；业务部的电脑网关设置为172.16.10.33就可以实现用户需求了。
