前面我们分别学了 VLAN、路由、防火墙，但真实企业网络是三者协同工作的。本文把所学串联起来，模拟一个典型企业组网场景：多部门 VLAN 隔离 + 跨网段路由 + 边界防火墙防护。这是网络工程课程的综合性实验。
一、场景描述
某公司有技术部、财务部、市场部三个部门，需通过一台核心交换机接入。公司通过路由器连接互联网，出口部署防火墙做安全防护。
| 部门 | VLAN | 网段 | 人数 |
|---|---|---|---|
| 技术部 | VLAN 10 | 192.168.10.0/24 | 50 |
| 财务部 | VLAN 20 | 192.168.20.0/24 | 20 |
| 市场部 | VLAN 30 | 192.168.30.0/24 | 30 |
| 服务器区 | VLAN 100 | 192.168.100.0/24 | 内部服务器 |
需求：① 各部门 VLAN 隔离 ② 跨部门可互通（经三层交换） ③ 全员可访问互联网（经防火墙+NAT） ④ 互联网可访问 DMZ Web 服务器
二、拓扑设计
技术部PC ──┐
财务部PC ──┼── S5700核心交换 ── AR2220路由 ── USG6000防火墙 ── 互联网
市场部PC ──┘ │
服务器区(Web)
S5700: 二层VLAN + 三层SVI(网关)
AR2220: 静态路由/OSPF
USG6000: 安全策略 + NAT三、配置：VLAN 与网关（S5700）
# 创建VLAN
[S5700] vlan batch 10 20 30 100
# 接入端口划入VLAN（示例：技术部GE0/0/1）
[S5700] interface GE0/0/1
[S5700-GE0/0/1] port link-type access
[S5700-GE0/0/1] port default vlan 10
# 配置SVI作为各VLAN网关（三层交换）
[S5700] interface Vlanif 10
[S5700-Vlanif10] ip address 192.168.10.254 24
[S5700] interface Vlanif 20
[S5700-Vlanif20] ip address 192.168.20.254 24
[S5700] interface Vlanif 30
[S5700-Vlanif30] ip address 192.168.30.254 24
[S5700] interface Vlanif 100
[S5700-Vlanif100] ip address 192.168.100.254 24
# 开启三层交换（默认已开）
[S5700] ip route-static 0.0.0.0 0.0.0.0 192.168.100.1 # 默认路由指向路由器三层交换机 = 二层交换 + 三层路由。SVI（VLAN接口）作为各VLAN的网关，VLAN间流量在交换机内部三层转发，无需外部路由器。
四、配置：路由（AR2220）
[AR2220] interface GE0/0/0
[AR2220-GE0/0/0] ip address 192.168.100.1 24 # 连交换机
[AR2220] interface GE0/0/1
[AR2220-GE0/0/1] ip address 10.0.0.1 24 # 连防火墙
# 回程路由：去往各部门网段经交换机
[AR2220] ip route-static 192.168.10.0 255.255.255.0 192.168.100.254
[AR2220] ip route-static 192.168.20.0 255.255.255.0 192.168.100.254
[AR2220] ip route-static 192.168.30.0 255.255.255.0 192.168.100.254
# 默认路由：去往互联网经防火墙
[AR2220] ip route-static 0.0.0.0 0.0.0.0 10.0.0.2五、配置：防火墙策略与NAT（USG6000）
# 接口加入安全域
[FW] firewall zone trust
[FW-zone-trust] add interface GE0/0/0 # 连路由器(内网侧)
[FW] firewall zone untrust
[FW-zone-untrust] add interface GE0/0/1 # 连互联网
[FW] firewall zone dmz
[FW-zone-dmz] add interface GE0/0/2 # 连DMZ Web服务器
# 安全策略：内网访问互联网
[FW] security-policy
[FW-policy-security] rule name out
[FW-policy-security-rule-out] source-zone trust
[FW-policy-security-rule-out] destination-zone untrust
[FW-policy-security-rule-out] service http https dns
[FW-policy-security-rule-out] action permit
# 安全策略：互联网访问DMZ Web
[FW-policy-security] rule name in_web
[FW-policy-security-rule-in_web] source-zone untrust
[FW-policy-security-rule-in_web] destination-zone dmz
[FW-policy-security-rule-in_web] service http
[FW-policy-security-rule-in_web] action permit
# NAT：内网上网(源NAT) + Web发布(目的NAT)
[FW] nat-policy
[FW-policy-nat] rule name snat
[FW-policy-nat-rule-snat] source-zone trust
[FW-policy-nat-rule-snat] destination-zone untrust
[FW-policy-nat-rule-snat] action source-nat easy-ip
# 服务器映射（DNAT）：外网访问200.1.1.1:80 → 192.168.200.10:80
[FW] nat server web 0 protocol tcp global 200.1.1.1 80 inside 192.168.200.10 80六、验证
# 1. 同VLAN互通（技术部PC1 ping 技术部PC2）
PC1> ping 192.168.10.2 ✅ 通
# 2. 跨VLAN互通（技术部PC1 ping 财务部PC3）
PC1> ping 192.168.20.2 ✅ 通（经S5700三层交换）
# 3. 访问互联网（技术部PC1 ping 8.8.8.8）
PC1> ping 8.8.8.8 ✅ 通（经路由器→防火墙→NAT→互联网）
# 4. 外网访问DMZ Web
外网PC> curl http://200.1.1.1 ✅ 返回Web页面（DNAT到DMZ服务器）七、排错思路
- 跨VLAN不通？ 检查 S5700 是否配了 SVI 且 VLAN 已创建，PC 网关是否指向 SVI IP。
- 内网上不了网？ 分段排查：PC→网关→路由器→防火墙。防火墙查会话表和策略命中。
- 外网访问DMZ失败？ 检查 DNAT 配置、安全策略是否放行 Untrust→DMZ、DMZ 服务器网关是否指向防火墙。
- 路由环路？ 默认路由和回程路由方向要正确，避免互指下一跳成环。
八、小结
- 企业组网经典架构：接入交换(VLAN) → 核心三层交换(SVI网关) → 路由器 → 防火墙(NAT+策略) → 互联网
- VLAN 隔离二层、SVI 实现三层互通、防火墙控制跨域访问、NAT 解决公私网通信
- 综合网络实验的价值：理解各设备职责边界，掌握数据包端到端转发路径
本系列网络实验教程到此覆盖了 VLAN → 路由 → OSPF → 防火墙 → 综合组网的核心链路。后续将补充 NAT、ACL 等专题。