使用防火墙，AC深信服，三层交换机部署局域网

网络架构设计

1. 核心设备：
   • 山石防火墙：作为网关，负责内外网安全隔离和NAT转换。
   • 深信服AC：负责行为管理和流量审计。
   • 华为智选S5735S交换机：作为核心交换机，负责VLAN划分和三层路由。
   • 信锐NAC6100：负责网络准入控制。
2. IP地址规划：
   • 山石防火墙：10.168.1.1
   • 深信服AC：10.168.1.2
   • 华为智选S5735S交换机：10.168.1.3
   • 信锐NAC6100：10.168.1.4
   • VLAN 1：10.168.1.254（默认VLAN）
   • VLAN 2：10.168.2.254
   • VLAN 3：10.168.3.254
3. VLAN规划：
   • VLAN 1：管理VLAN，用于设备管理（如防火墙、AC、交换机、NAC）。
   • VLAN 2：业务VLAN 1，用于用户终端。
   • VLAN 3：业务VLAN 2，用于服务器或其他设备。

网络搭建步骤

1. 配置山石防火墙

1. 接口配置：
   • 配置内网接口（如eth1）IP为10.168.1.1，子网掩码255.255.255.0。
   • 配置外网接口（如eth0）IP为公网IP（根据实际需求配置）。
2. 路由配置：
   • 添加默认路由，指向外网网关。
   • 添加静态路由，指向内网网段（10.168.0.0/16）。
3. 安全策略：
   • 配置允许内网访问外网的安全策略。
   • 配置允许VLAN间通信的策略（如果需要）。

2. 配置深信服AC

1. 接口配置：
   • 配置管理接口IP为10.168.1.2，子网掩码255.255.255.0。
2. 流量管理：
   • 配置流量审计和行为管理策略。
3. 路由配置：
   • 添加默认路由，指向山石防火墙（10.168.1.1）。

3. 配置华为智选S5735S交换机

1. VLAN配置：
   • 创建VLAN 2和VLAN 3：
     shell

     vlan batch 2 3

   • 配置VLAN接口IP：
     shell

     interface Vlanif1
     ip address 10.168.1.254 255.255.255.0
     interface Vlanif2
     ip address 10.168.2.254 255.255.255.0
     interface Vlanif3
     ip address 10.168.3.254 255.255.255.0

2. 端口配置：
   • 将连接防火墙、AC、NAC的端口划入VLAN 1：
     shell

     interface GigabitEthernet0/0/1
     port link-type access
     port default vlan 1

   • 将连接用户终端的端口划入VLAN 2：
     shell

     interface GigabitEthernet0/0/2
     port link-type access
     port default vlan 2

   • 将连接服务器的端口划入VLAN 3：
     shell

     interface GigabitEthernet0/0/3
     port link-type access
     port default vlan 3

3. 路由配置：
   • 启用三层交换功能，配置默认路由指向防火墙：
     shell

     ip route-static 0.0.0.0 0.0.0.0 10.168.1.1

4. 配置信锐NAC6100

1. 接口配置：
   • 配置管理接口IP为10.168.1.4，子网掩码255.255.255.0。
2. 准入控制：
   • 配置网络准入策略，确保只有授权设备可以接入网络。
3. 路由配置：
   • 添加默认路由，指向山石防火墙（10.168.1.1）。

5. 配置VLAN间通信

1. 在交换机上启用三层路由：
   • 确保VLAN间路由已启用：
     shell

     interface Vlanif1
     ip address 10.168.1.254 255.255.255.0
     interface Vlanif2
     ip address 10.168.2.254 255.255.255.0
     interface Vlanif3
     ip address 10.168.3.254 255.255.255.0

2. 在防火墙上配置安全策略：
   • 允许VLAN间流量通过（根据实际需求配置）。

网络拓扑图

+-------------------+
|   山石防火墙      |
| 10.168.1.1        |
+--------+----------+
         |
         | (eth1)
+--------+----------+
| 华为智选S5735S    |
| 10.168.1.3        |
+--------+----------+
         |
         | (Trunk)
+--------+----------+
| 深信服AC          |
| 10.168.1.2        |
+--------+----------+
         |
         | (Trunk)
+--------+----------+
| 信锐NAC6100       |
| 10.168.1.4        |
+--------+----------+

验证与测试

1. 设备连通性：
   • 使用ping命令测试各设备之间的连通性。
2. VLAN间通信：
   • 测试不同VLAN的设备是否可以互相访问。
3. 上网测试：
   • 测试内网设备是否可以访问外网。

通过以上配置，你可以成功搭建一个基于VLAN划分的局域网，并实现VLAN间通信和上网功能。如果有进一步需求，可以根据实际情况调整配置。