在许多企业中，不同部门分布在不同的网段，它们都需要访问Internet。为了满足这一需求，我们可以利用三层交换机和防火墙来实现跨网段访问，同时确保网络的安全。
首先，我们来谈谈组网要求。一个公司可能有多个部门，每个部门都有其独立的网络需求。在这种情况下，我们需要将三层交换机设置为用户的网关，以便各部门的用户可以顺利访问外部网络。
### 组网过程
**组网图**：在配置过程中，了解整个网络的拓扑结构至关重要。组网图可以帮助我们直观地看到交换机、防火墙以及它们之间的连接关系。
**配置思路**： 1. 将交换机配置为用户的网关，通过VLANIF接口实现跨网段用户互访。 2. 开启交换机的DHCP功能，自动为用户分配ip地址。 3. 在防火墙上配置安全策略，允许不同域的报文相互转发。 4. 配置防火墙的PAT转换功能，使内网用户能够访问外部网络。
### 配置步骤
**交换机配置**： 1. 配置连接用户的接口和对应的VLANIF接口。 2. 配置连接防火墙的接口和对应的VLANIF接口。 3. 设置缺省路由，确保数据包能够正确转发到外部网络。 4. 配置DHCP服务器，为内网用户自动分配IP地址。
**防火墙配置**： 1. 设置连接交换机的接口IP地址。 2. 设置连接公网的接口IP地址。 3. 配置缺省路由和回程路由，确保数据包能够从外部网络返回。 4. 开启安全策略，允许不同域间的报文互访。 5. 配置PAT地址池和源PAT策略，实现内网用户访问公网时的源地址转换。
### 配置结果
配置完成后，我们可以为内网的PC1和PC2分别设置IP地址和网关。例如，PC1的IP地址可以设置为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址为192.168.2.2/24，网关为192.168.2.1。同时，外网PC的IP地址设置为200.0.0.1/24，网关为200.0.0.2。
此时，PC1和PC2都能够通过三层交换机和防火墙访问外部网络。我们可以通过ping命令测试它们是否能够与外部网络的IP地址通信。如果一切配置正确，两个PC都应该能够成功ping通外网的IP地址，并且可以访问Internet。
通过上述步骤，我们不仅实现了不同部门间的网络互访，还通过防火墙确保了网络的安全。这种配置方式适用于多种企业网络环境，能够有效提高网络的安全性和稳定性。
交换机如何与路由器对接上网？我们来看下三层交换机与防火墙对接上网配置示例。
我们上面了解到了防火墙与交换机的区别与功能，那么防火墙与交换机又是如何配合使用在项目中呢？这里面我们以华为配置为例。
一、组网网要求
某公司拥有多个部门且位于不同网段，各部门均有访问Internet的需求。现要求用户通过三层交换机和防火墙访问外部网络，且要求三层交换机作为用户的网关。
二、三层交换机与防火墙对接上网组网图
三、配置思路
配置交换机作为用户的网关，通过VLANIF接口，实现跨网段用户互访。
配置交换机作为DHCP服务器，为用户分配IP地址。
开启防火墙域间安全策略，使不同域的报文可以相互转发。
配置防火墙PAT转换功能，使用户可以访问外部网络。
四、配置步骤
1、配置交换机
# 配置连接用户的接口和对应的VLANIF接口。
# 配置连接防火墙的接口和对应的VLANIF接口。
# 配置缺省路由。
# 配置dhcp服务器。
现在交换机配置完全。
2、配置防火墙
# 配置连接交换机的接口对应的IP地址。
# 配置连接公网的接口对应的IP地址。
# 配置缺省路由和回程路由。
# 配置安全策略。
# 配置安全策略，允许域间互访。
# 配置PAT地址池，开启允许端口地址转换。
# 配置源PAT策略，实现私网指定网段访问公网时自动进行源地址转换。
经过配置后：
配置PC1的IP地址为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址为192.168.2.2/24，网关为192.168.2.1。
配置外网PC的IP地址为200.0.0.1/24，网关为200.0.0.2。
配置完成后，PC1和PC2都可以Ping通外网的IP 200.0.0.1/24，PC1和PC2都可以访问Internet。
