防火墙+三层交换机 VLAN 组网实战：网关落点与区域隔离

很多中小企业/园区的组网会把”网关”上收在三层核心交换机上，防火墙只做边界 NAT 与安全。这种”网关在三层、防火墙做边界”的结构清晰、易维护，下面讲落地要点。

一、核心思路：网关在三层，二层只做接入

各业务 VLAN 的网关（SVI 接口）配置在三层核心上，二层接入交换机只负责划分 VLAN 和放通 Trunk，不接管三层转发。这样终端的跨网段路由集中可控，排错也只需看核心。

二、办公网对接：直接划 VLAN 还是 Trunk

核心对接办公网二层有两种做法：一是把下联口直接划入某个 VLAN，下面同属一个广播域；二是配置 Trunk、由二层再细分 VLAN，并为二层配管理地址。后者更推荐——既能隔离业务，又方便后续远程管理接入交换机。

三、服务器/监控网：必须 Trunk + 独立管理网段

核心对接服务器、监控网络时同样用 Trunk，由各二层划分各自 VLAN，并单独规划管理网段，避免业务流量与管理流量混跑，也便于带外运维。

四、三层与防火墙互联：专用对接网段

核心与防火墙之间建议建立单独的对接网段（或复用管理网段），不要用业务网段对接，防止路由泄漏与策略混乱。防火墙侧确定好内外网接口、划分安全区域（如 trust/untrust）、配好安全策略与 NAT。

五、收尾：边缘端口、默认路由、SSH 管理

接入交换机接终端的口配置为边缘端口（加快收敛）；接入交换机写默认路由指向核心或防火墙；核心与防火墙之间路由互通；建议开启 SSH（而非 Telnet）做远程管理。管好路由指向，整网才不会”能通一半”。

四、实施注意点 Checklist

• 网关落点 → VLAN 间路由在三层交换机做，防火墙只守边界，别让防火墙当核心路由器。
• 区域划分 → 内网/DMZ/互联网三区域，策略默认 deny 再放通。
• 回程路由 → 防火墙回指内网网段，否则 DMZ 访内网不通。

常见坑：三层交换机开了路由但防火墙没回指、或 ACL 把管理流量也拦了；上线前用一台终端逐区域 ping 验证。