首先，我们需要一台具备多网段、多VLAN功能的路由器，这里我们以TL-ER7520G为例。接下来，我们将TL-ER7520G与二层网管交换机进行组网，实现不同部门访问Internet的需求。
一、配置TL-ER7520G
1. 登录路由器界面：将电脑连接到TL-ER7520G的5口，配置本地连接为192.168.1.X（X位于2-254之间），登录192.168.1.1的管理界面，用户名和密码默认为admin。
2. 设置5口多网段：点击“基本设置”→“接口设置”→“接口设置”，选择物理接口为GE5，添加研发部的虚拟接口，设置VLAN为2，ip地址为192.168.2.1。同理，为市场部和人事部添加虚拟接口，设置VLAN和IP地址分别为3和192.168.3.1、4和192.168.4.1。
3. 设置WAN口参数：选择物理接口为GE1，根据宽带上网方式（静态IP/动态IP或PPPoE拨号上网）进行设置。
4. 设置DHCP服务器：点击“基本设置”→“DHCP服务”，分别为研发部、市场部和人事部配置dhcp服务器。
5. 设置NAPT规则：点击“传输控制”→“nat设置”→“NAPT”，添加NAPT规则，实现不同部门访问Internet。
6. 设置dns代理：点击“系统服务”→“DNS代理”，设置DNS代理规则。
7. 保存配置：完成以上设置后，点击右上角“保存配置”。
二、配置交换机
1. 设置级联端口：进入交换机管理界面，在“VLAN”→“802.1Q VLAN”→“端口配置”，将26号端口的端口类型设置为Trunk，1-25号端口的端口类型设置为Access。
2. 配置802.1Q VLAN：在“VLAN”→“802.1Q VLAN”→“vlan配置”，添加VLAN2、VLAN3和VLAN4，设置对应端口的VLAN。
至此，TL-ER7520G的单个接口设置多网段多VLAN对接二层交换机的设置完成。接下来，我们可以通过以下步骤实现不同部门之间不能相互访问：
1. 添加各部门的地址组：点击“对象管理”→“地址管理”→“地址”，添加研发部、市场部和人事部的地址，并分别创建地址组。
2. 配置各部门之间的阻塞规则：点击“安全管理”→“访问控制”，为研发部、市场部和人事部之间添加禁止访问的阻塞规则。
通过以上步骤，企业可以实现不同部门属于不同网段、不同VLAN，同时又能保证各部门访问Internet的需求，且不同部门之间不能相互访问。
某企业使用TL-ER7520G搭配二层网管交换机进行组网，需要实现不同部门属于不同网段、不同的VLAN，同时各部门都需要访问Internet。具体参数如下：
| 部门 |
所属网段 |
所属VLAN |
交换机包含的接口 |
| 研发部 |
192.168.2.0/24 |
VLAN2 |
1-8 |
| 市场部 |
192.168.3.0/24 |
VLAN3 |
9-16 |
| 人事部 |
192.168.4.0/24 |
VLAN4 |
17-24 |
本文中交换机为26口二层网管交换机，TL-ER7520G的5口与交换机的26口级联。实际使用中请以实际的交换机为准。
一、设置TL-ER7520G
1.登录路由器界面
TL-ER7520G在恢复出厂的状态下，电脑通过网线务必连接到路由器的5口，本地连接手动配置192.168.1.X（X位于2-254之间）的IP地址，登录到192.168.1.1的管理界面，登录用户名及密码默认均为admin。
2.对5口设置多网段
点击“基本设置>接口设置>接口设置”，物理接口选择GE5，并点击
，添加研发部的虚拟接口，如下图。
同样的方法，依次点击
，添加市场部和人事部的虚拟接口。市场部关联VLAN为3、IP地址为192.168.3.1，人事部关联VLAN为4、IP地址为192.168.4.1。添加完成后，接口列表如下：
3.设置WAN口参数
点击“基本设置>接口设置”，选择物理接口为GE1，若宽带上网方式为静态IP/动态IP，请点击现有条目
，进行对应设置。
若宽带上网方式为PPPOE拨号上网，请点击
， 设置如下：
4.设置DHCP服务器
点击“基本设置>DHCP服务”，点击
，设置研发部的DHCP服务器，如下图：
同样的方法，分别为市场部和人事部配置DHCP服务器。
5.设置NAPT规则
点击“传输控制>NAT设置>NAPT”，点击
，NAPT规则设置如下：
同样的方法，添加市场部和人事部的NAPT规则。添加完成后，NAPT规则列表如下：
6.设置DNS代理
点击“系统服务>DNS代理”，点击
，DNS代理规则设置如下：
同样的方法，添加市场部和人事部的DNS代理。添加完成后，DNS代理规则列表如下：
设置完成，点击右上角“保存配置”。
二、设置交换机
1.将级联端口26设置为TRUNK
进入交换机管理界面，在“VLAN>802.1Q VLAN>端口配置”，设置26号端口的端口类型为TRUNK，1-25号端口的端口类型为ACCESS，如下图：
2.配置802.1Q VLAN
在“VLAN>802.1Q VLAN>VLAN配置”，添加VLAN2，端口为1-8、26；VLAN3，端口为9-16、26；VLAN4，端口为17-24、26。
至此，TL-ER7520G的单个接口设置多网段多VLAN对接二层交换机的设置完成。
Q:要实现不同部门之间不能相互访问，该如何设置？
由于TL-ER7520G的各个虚接口之间是路由模式，默认是可以相互访问的。因此通过上述设置后，研发部、市场部、人事部之间是能互访的。如果实际应用中不允许各部门之间互访，还需要在TL-ER7520G的访问控制中进行阻塞的设置。设置步骤如下。
1.添加各部门的地址组
点击“对象管理>地址管理>地址”， 点击
，添加研发部的地址，如下：
同样的方法添加市场部和人事部的地址，添加后地址列表如下：
点击“对象管理>地址管理>地址管理”，点击
，添加研发部的地址组，如下：
同样的方法添加市场部和人事部的地址组。
2.配置各部门之间的阻塞规则
点击“安全管理>访问控制”，点击
，添加研发部访问市场部的阻塞规则：
上述阻塞规则添加后，研发部无法访问市场部，但市场部仍能访问研发部，还需要添加一条市场部→研发部的阻塞条目，那么研发部与市场部之间才无法互访。同理，依次添加研发部→人事部、人事部→研发部、市场部→人事部、人事部→市场部禁止访问的阻塞规则。添加完成后，规则列表如下：
这样，研发部、市场部与人事部之间才无法相互访问。
