1. 实验背景与需求分析在企业级网络环境中不同部门或业务系统通常需要隔离通信同时又要允许特定跨网段访问。传统方案中VLAN虚拟局域网技术通过逻辑划分广播域实现网络隔离而ACL访问控制列表则用于精细化控制流量走向。这个实验将展示如何通过VLAN划分与ACL规则的组合构建既安全又灵活的跨网段互通方案。实际场景中财务部门VLAN 10需要与HR部门VLAN 20共享薪资数据但禁止其他部门访问同时所有部门都需要访问公共服务器VLAN 30。这种需求在制造业、医院和金融机构尤为常见例如生产线的质量检测系统需要与ERP系统交互但必须隔离办公网络。关键点VLAN解决的是谁能听到谁的问题ACL解决的是谁能访问谁的问题。两者结合才能实现真正的安全隔离。2. 实验环境搭建2.1 设备选型与拓扑设计实验采用华为eNSP模拟器核心设备包括2台S5700系列三层交换机作为核心交换和路由设备3台S3700系列二层交换机接入层设备4台PC终端分别属于不同VLAN1台云服务器作为公共资源物理连接拓扑[PC1]--[S3700-1]--[S5700-1]--[S5700-2]--[S3700-2]--[PC2] | | [S3700-3] [Cloud Server] | [PC3]2.2 基础网络配置首先在所有交换机上创建VLAN并分配接口# 以S5700-1为例 system-view vlan batch 10 20 30 # 批量创建VLAN interface gigabitethernet 0/0/1 # 连接S3700-1的接口 port link-type trunk port trunk allow-pass vlan allPC端IP配置PC1 (VLAN 10): 192.168.10.2/24PC2 (VLAN 20): 192.168.20.2/24PC3 (VLAN 30): 192.168.30.2/24服务器: 192.168.30.100/243. VLAN间路由实现3.1 三层交换机配置在S5700-1上配置VLAN接口IP作为各网段网关interface vlanif 10 ip address 192.168.10.1 24 interface vlanif 20 ip address 192.168.20.1 24 interface vlanif 30 ip address 192.168.30.1 24启用OSPF动态路由协议可选ospf 1 area 0 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.30.0 0.0.0.2553.2 连通性测试此时各VLAN间应能互通# 在PC1上测试 ping 192.168.20.2 # 应能通 ping 192.168.30.100 # 应能通4. ACL访问控制配置4.1 基础ACL规则设计需求场景仅允许VLAN 10访问VLAN 20的TCP 445端口文件共享禁止VLAN 20主动访问VLAN 10所有VLAN可访问VLAN 30的HTTP服务配置示例# 高级ACL 3000方向inbound acl number 3000 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 destination-port eq 445 rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 15 permit ip source any destination 192.168.30.0 0.0.0.255 # 应用ACL到VLANIF接口 interface vlanif 20 traffic-filter inbound acl 30004.2 验证ACL效果测试用例# PC1执行 telnet 192.168.20.2 445 # 应成功 ping 192.168.20.2 # 应失败ICMP被默认拒绝 # PC2执行 ping 192.168.10.2 # 应失败 wget http://192.168.30.100 # 应成功5. 常见问题排查5.1 ACL未生效的排查步骤检查ACL应用方向display traffic-filter applied-record查看是否绑定到正确接口inbound/outbound方向是否正确检查规则匹配顺序ACL规则按rule-number从小到大匹配display acl 3000查看实际生效规则测试基础连通性先确认不加ACL时网络通畅使用ping和telnet组合测试5.2 VLAN间路由故障处理典型症状能ping通网关但无法跨VLAN通信检查三层交换机是否启用ip routing功能确认VLANIF接口状态display ip interface brief查看路由表display ip routing-table6. 生产环境增强建议6.1 安全加固措施限制VLAN跳转# 防止VLAN hopping攻击 interface gigabitethernet 0/0/1 port link-type trunk port trunk allow-pass vlan 10,20,30 # 明确指定允许的VLANACL日志记录acl number 3000 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 destination-port eq 445 log6.2 性能优化方案使用硬件加速# 启用TCAM优化 slot 1 acl optimize enable合并相似规则将多个连续IP的规则合并为网段规则使用fragment参数避免分片包处理开销7. 实验扩展思考7.1 结合其他安全技术802.1X认证在接入层交换机启用端口安全对接入设备进行身份认证IP-MAC绑定# 防止IP欺骗 interface vlanif 10 arp static 192.168.10.2 5489-98e1-01017.2 云环境下的实现差异在AWS/Azure等云平台中安全组(Security Group)替代传统ACLVPC子网类似VLAN划分需注意云服务商对ACL规则数的限制实际项目中我曾遇到一个案例某医院PACS系统需要与HIS系统互通但必须隔离门诊网络。通过VLAN划分影像存储区域VLAN 100、医疗信息系统VLAN 200和公共网络VLAN 300再配合精细化的ACL规则最终实现了既满足数据交互需求又符合等保要求的网络架构。关键点在于ACL规则必须配合变更管理流程每次调整都需要进行双向连通性测试。