在现代企业网络中，常常存在多个部门分散在不同网段的情况，每个部门都需要访问Internet。为了实现这一需求，我们可以通过三层交换机和防火墙来构建一个既能满足内部通信又能安全访问外部的网络。
首先，我们需要明确组网的要求。企业内部的不同部门位于不同的网段，每个部门都需要通过三层交换机和防火墙访问外部网络，同时三层交换机将作为用户的网关。
接下来，我们通过一个简单的组网图来理解整个网络结构。在这个图中，三层交换机通过特定的接口与防火墙相连，防火墙的另一侧则连接到外部网络。这样的设计确保了内部网络与外部网络的隔离，同时提供了安全防护。
配置思路上，我们需要完成以下几个关键步骤：
1. 将交换机配置为用户的网关，通过VLANIF接口实现跨网段用户互访。 2. 将交换机设置为DHCP服务器，自动为用户分配ip地址。 3. 在防火墙上开启域间安全策略，允许不同域的报文相互转发。 4. 配置防火墙的PAT转换功能，使用户能够访问外部网络。
具体配置步骤如下：
首先，配置交换机。我们需要为连接到用户的接口配置对应的VLANIF接口，并为连接到防火墙的接口配置对应的VLANIF接口。此外，还需要设置缺省路由和DHCP服务，以便自动分配IP地址给用户。
然后，转向配置防火墙。我们为连接到交换机的接口和连接到公网的接口配置IP地址。接着，设置缺省路由和回程路由，确保数据能够正确地从一个网络传送到另一个网络。接下来，配置安全策略，允许域间互访，并设置PAT地址池和源PAT策略，实现私网地址到公网地址的转换。
配置完成后，我们以两台PC为例进行测试。假设PC1的IP地址为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址为192.168.2.2/24，网关为192.168.2.1。外部网络的PC则配置IP地址为200.0.0.1/24，网关为200.0.0.2。配置完成后，PC1和PC2应能够成功ping通外部网络的IP地址，且都能访问Internet。
通过上述配置，我们不仅实现了内部网络的互连，还确保了数据的安全传输。这种组网方式在保证网络性能的同时，也提高了网络的可靠性和安全性。
交换机如何与路由器对接上网？我们来看下三层交换机与防火墙对接上网配置示例。
我们上面了解到了防火墙与交换机的区别与功能，那么防火墙与交换机又是如何配合使用在项目中呢？这里面我们以华为配置为例。
一、组网网要求
某公司拥有多个部门且位于不同网段，各部门均有访问Internet的需求。现要求用户通过三层交换机和防火墙访问外部网络，且要求三层交换机作为用户的网关。
二、三层交换机与防火墙对接上网组网图
三、配置思路
配置交换机作为用户的网关，通过VLANIF接口，实现跨网段用户互访。
配置交换机作为dhcp服务器，为用户分配IP地址。
开启防火墙域间安全策略，使不同域的报文可以相互转发。
配置防火墙PAT转换功能，使用户可以访问外部网络。
四、配置步骤
1、配置交换机
# 配置连接用户的接口和对应的VLANIF接口。
# 配置连接防火墙的接口和对应的VLANIF接口。
# 配置缺省路由。
# 配置DHCP服务器。
现在交换机配置完全。
2、配置防火墙
# 配置连接交换机的接口对应的IP地址。
# 配置连接公网的接口对应的IP地址。
# 配置缺省路由和回程路由。
# 配置安全策略。
# 配置安全策略，允许域间互访。
# 配置PAT地址池，开启允许端口地址转换。
# 配置源PAT策略，实现私网指定网段访问公网时自动进行源地址转换。
经过配置后：
配置PC1的IP地址为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址为192.168.2.2/24，网关为192.168.2.1。
配置外网PC的IP地址为200.0.0.1/24，网关为200.0.0.2。
配置完成后，PC1和PC2都可以ping通外网的IP 200.0.0.1/24，PC1和PC2都可以访问Internet。
