霸王硬上弓's Blog

应用场景

这个我觉得还是蛮实用的，例如某创业公司，整体办公环境都配有企业级AP，提供全场所的无线覆盖，提高办公效率。但是，如果如果按传统的配置方式，权限就得不到有效控制，外网，办公等应用就不容易得到分离。虽然可以增加AP来提供不同的服务，但是运营的成本便增加了。由于是企业级AP，一般都支持SSID+VLAN的方式，例如让员工使用有线或无线办公，同时来访嘉宾也可以接入无线来访问内网等等。

 

实验设备

我这边使用一台华为交换机，以及一台TP-Link WA701N无线AP。
路由器上做单臂路由。

 

方案介绍

端口1为企业办公网络，路由设置允许访问内网。属vlan 2，pvid 2端口类型:trunk。
端口2 为服务器，通过trunk端口与路由器连接，为OA服务器。属vlan 100。
端口3 为访客专用，只允许访问外网。 属vlan 3，pvid 3 端口类型:trunk。
端口4 为AP的级联端口。属vlan 2， pvid 2端口类型:trunk。

 

拓扑图示

 

设置过程

将路由设置为单臂路由，同时交换机全部接口为trunk，略。请搜博文。

设置Multi-SSID。交换机上设置：

[Switch-A]vlan 2                    ;建立vlan 2
[Switch-A-vlan3]vlan 3                    ;建立vlan 3
[Switch-A-vlan11]q
[Switch-A]int eth 1/0/1
[Switch-A-Ethernet1/0/1]port link-type trunk                    ;将端口类型设置为trunk
[Switch-A-Ethernet1/0/1]port trunk pvid vlan 2                    ;设置端口pvid（port vlan id）为2
[Switch-A-Ethernet1/0/1]port trunk permit vlan 2                    ;将端口放入vlan 2
Please wait… Done.
[Switch-A-Ethernet1/0/1]undo port trunk permit vlan 1                    ;将端口从vlan1中移除
Please wait… Done.
[Switch-A-Ethernet1/0/1]int eth 1/0/3
[Switch-A-Ethernet1/0/3]port link-type trunk
[Switch-A-Ethernet1/0/3]port trunk pvid vlan 3                    ;设置端口pvid为3
[Switch-A-Ethernet1/0/3]port trunk permit vlan 2 3                    ;将端口加入vlan 2 3
Please wait… Done.
[Switch-A-Ethernet1/0/3]undo port trunk permit vlan 1
Please wait… Done.
[Switch-A-Ethernet1/0/3]int eth 1/0/4
[Switch-A-Ethernet1/0/4]port link-type trunk
[Switch-A-Ethernet1/0/4]port trunk pvid vlan 2                    ;设置端口pvid为2
[Switch-A-Ethernet1/0/4]port trunk permit vlan 2 3                    ;将端口加入vlan 2 3
Please wait… Done.
[Switch-A-Ethernet1/0/4]undo port trunk permit vlan 1
Please wait… Done.

此时查看vlan为：

VLAN ID: 2
VLAN Type: static
Route Interface: not configured
Description: VLAN 0002
Name: VLAN 0002
Tagged Ports:
Ethernet1/0/3
Untagged Ports:
Ethernet1/0/1 Ethernet1/0/4

VLAN ID: 3
VLAN Type: static
Route Interface: not configured
Description: VLAN 0003
Name: VLAN 0003
Tagged Ports:
Ethernet1/0/4
Untagged Ports:
Ethernet1/0/3

 

WA701N上设置为：

 

此时就可以完成内外网设置，同时在路由上设置访问规则或者在交换机中增加ACL来禁止不同网段之间的访问。