三层交换机web配置教程

三层交换机这玩意儿，层交程说穿了就是换机带路由功能的二层交换机。很多网管一听到"三层"俩字就头皮发麻，置教觉得非得命令行敲得飞起才行。层交程其实web配置早就能干这事了，换机尤其是置教华为、华三这些国产品牌，层交程图形界面做得比某些路由器还顺手。换机

我手里这台华为S5720，置教刚拆箱的层交程时候也头大——满机箱的指示灯，连console线都不知道插哪个口。换机后来发现背面有个管理网口，置教默认IP是层交程192.168.1.1，浏览器直接敲进去，换机用户名admin密码admin，置教就这么简单。你别说，这玩意儿比我想象中友好多了。

登录进去第一件事，先改密码。别嫌我啰嗦，见过太多人用默认密码跑生产环境，被扫到就是个活靶子。系统管理里找到用户配置，密码设个复杂点的，字母数字符号混着来。这步花不了两分钟，但能省下后面无数麻烦。

接下来才是重头戏——划分VLAN。假设你公司有财务部、技术部、行政部三个部门，不想让他们互相乱窜，那就得在web页面上动手。接口管理里找到VLAN配置，新建三个VLAN，ID分别设10、20、30，名字起得直白点：caiwu、jishu、xingzheng。然后把对应的物理端口拖进去——注意，端口要设成access模式，不然数据包带着tag到处跑，容易出乱子。

VLAN分好了，三层功能就得跟上。说白了就是给每个VLAN配个网关IP，让不同部门之间能互相通信，但又受控。在路由配置里找到VLANIF接口，给VLAN 10配上192.168.10.1，VLAN 20配上192.168.20.1，VLAN 30配上192.168.30.1。这时候你可能会问：光配IP就能通吗？当然不够，还得开DHCP，不然每台电脑手动填IP，能把人累死。在DHCP服务里，给每个VLAN建个地址池，起始地址、掩码、网关填好，DNS用114.114.114.114就行。

最有意思的是配置ACL的时候。比如财务部服务器只能让技术部访问，行政部想连门儿都没有。在安全策略里新建一条规则：源地址是VLAN 20的网段，目标地址是财务服务器的IP，动作选允许。再建一条：源地址是VLAN 30，目标地址一样，动作选拒绝。规则顺序很重要，华为的ACL是自上而下匹配的，先匹配到就执行，不再往下看了。所以允许的规则要放在拒绝前面，不然全被拦死了。

我这人有个习惯，配完总得验证一下。用笔记本接在技术部的口子上，ping财务服务器的IP，通了。再跑到行政部那边试，果然不通。那一刻心里才踏实。别嫌麻烦，web配置看着直观，但逻辑错了界面可不会提醒你。

最后唠叨一句：改完配置记得点保存。web界面右上角通常有个保存按钮，不点的话，设备一重启，所有配置全给你还原成出厂状态。这坑我踩过两次，一次是半夜加班配置完忘了保存，第二天全公司网络瘫痪，被领导骂得狗血淋头。所以，保存，保存，再保存，重要的事情说三遍。

三层交换机web配置，真没想象中那么玄乎。多拿真机练练手，比看十篇教程都管用。