在现代企业网络中，不同部门往往分布在不同的网段中，他们都需要访问Internet。为了实现这一目标，我们通常会使用三层交换机和防火墙的组合。在这种情况下，三层交换机扮演着用户的网关角色。
### 组网要求 假设一个公司有多个部门，每个部门处于不同的网段。公司希望用户能够通过三层交换机和防火墙访问外部网络，同时要求三层交换机作为用户的网关。
### 组网图解 在组网图中，我们可以看到交换机与防火墙的连接方式。交换机连接到各个部门的网络，而防火墙则连接到外部网络和交换机。这种连接方式确保了内部网络与外部网络之间的安全隔离。
### 配置思路 配置过程中，首先需要设置交换机作为用户的网关，利用VLANIF接口实现跨网段用户互访。以下是具体的配置步骤：
1. 将交换机配置为DHCP服务器，自动为用户分配ip地址。 2. 在防火墙上开启域间安全策略，允许不同域之间的报文相互转发。 3. 配置防火墙的PAT转换功能，使用户可以访问外部网络。
### 配置步骤 以下是具体的配置过程：
#### 1. 配置交换机 - 首先，配置连接用户的接口和对应的VLANIF接口，确保用户能够访问内部网络。 - 接着，配置连接防火墙的接口和对应的VLANIF接口，实现与防火墙的通信。 - 配置缺省路由，确保所有未知目标网络的流量都发送到防火墙。 - 最后，配置DHCP服务器，为用户自动分配IP地址。
#### 2. 配置防火墙 - 配置连接交换机的接口对应的IP地址，确保交换机与防火墙之间能够通信。 - 配置连接公网的接口对应的IP地址，使防火墙能够与外部网络通信。 - 配置缺省路由和回程路由，确保外部网络的流量能够正确返回。 - 配置安全策略，允许内部网络与外部网络之间的通信。 - 设置PAT地址池，并配置源PAT策略，实现内部网络访问外部网络时的地址转换。
### 配置后的网络状态 配置完成后，我们可以设置内部网络中的PC1和PC2的IP地址，分别为192.168.1.2/24和192.168.2.2/24，网关分别为192.168.1.1和192.168.2.1。外部网络的PC IP地址设置为200.0.0.1/24，网关为200.0.0.2。此时，PC1和PC2都能够ping通外部网络的IP地址，并且能够访问Internet。
通过以上配置，企业网络不仅实现了内部网络的安全隔离，还确保了用户能够方便地访问外部网络资源。这不仅提高了工作效率，也增强了网络的安全性。
交换机如何与路由器对接上网？我们来看下三层交换机与防火墙对接上网配置示例。
我们上面了解到了防火墙与交换机的区别与功能，那么防火墙与交换机又是如何配合使用在项目中呢？这里面我们以华为配置为例。
一、组网网要求
某公司拥有多个部门且位于不同网段，各部门均有访问Internet的需求。现要求用户通过三层交换机和防火墙访问外部网络，且要求三层交换机作为用户的网关。
二、三层交换机与防火墙对接上网组网图
三、配置思路
配置交换机作为用户的网关，通过VLANIF接口，实现跨网段用户互访。
配置交换机作为dhcp服务器，为用户分配IP地址。
开启防火墙域间安全策略，使不同域的报文可以相互转发。
配置防火墙PAT转换功能，使用户可以访问外部网络。
四、配置步骤
1、配置交换机
# 配置连接用户的接口和对应的VLANIF接口。
# 配置连接防火墙的接口和对应的VLANIF接口。
# 配置缺省路由。
# 配置DHCP服务器。
现在交换机配置完全。
2、配置防火墙
# 配置连接交换机的接口对应的IP地址。
# 配置连接公网的接口对应的IP地址。
# 配置缺省路由和回程路由。
# 配置安全策略。
# 配置安全策略，允许域间互访。
# 配置PAT地址池，开启允许端口地址转换。
# 配置源PAT策略，实现私网指定网段访问公网时自动进行源地址转换。
经过配置后：
配置PC1的IP地址为192.168.1.2/24，网关为192.168.1.1；PC2的IP地址为192.168.2.2/24，网关为192.168.2.1。
配置外网PC的IP地址为200.0.0.1/24，网关为200.0.0.2。
配置完成后，PC1和PC2都可以ping通外网的IP 200.0.0.1/24，PC1和PC2都可以访问Internet。
