防火墙 + 二层交换机 VLAN 组网实战：从规划到验证

这是园区网最常见的一种最小可用组网：一台防火墙做出口与安全边界，两台二层交换机做接入。规模不大但坑不少，本文按”规划—配置—验证—避坑”讲清。

一、规划：VLAN 与网段先定死

把接入交换机划成三层逻辑：办公、访客、设备/管理。网段与 VLAN 一一对应（如办公 10.10.10.0/24 对应 VLAN 10，访客 10.10.20.0/24 对应 VLAN 20），访问口配 access 并指定 VLAN，交换机之间互联口配 trunk 放行需要的 VLAN。管理 VLAN 单独规划，设备带内地址走它，不要和业务网混。

二、跨 VLAN 流量与防火墙的分工

三层交换机上建 SVI（VLANIF）做各 VLAN 网关，跨 VLAN 互访在这一层完成；防火墙承担的是”出网与安全策略”——把某个 VLAN 的流量强制引到防火墙（下一跳指向防火墙内网口），防火墙做 NAT、访问控制与审计。常见错误是让三层交换机直接出网、绕过防火墙，结果所有安全策略形同虚设。

三、防墙策略的书写顺序

策略自上而下匹配，先写拒绝再放行会误杀，所以顺序是：① 允许已建立会话的回程流量；② 允许内网访问 DMZ 与必要外部服务；③ 允许访客仅出网、禁止访问内网；④ 禁止内网访问未授权网段；⑤ 兜底拒绝并记录日志。写完自查一遍”每条策略解决什么问题、谁在用”，策略多而没人敢删是常见病灶。

四、配置顺序与验证

先配交换机（VLAN、access/trunk、SVI），再配防火墙（接口、路由、NAT、策略），最后放通上游。验证按四步：同 VLAN 内互通、跨 VLAN 按预期通/不通（逐条对照策略）、内网出网正常且出口 IP 正确、访客访问内网被拒。每步都记录结果，配置备份随交付一起给运维。

五、五个常见坑

① 交换机间 trunk 漏放 VLAN，两端不一致表现为部分不通；② 防火墙回程流量没放通，表现为”建连接时通、传输时断”；③ NAT 策略没做应用层关联，表现为网页通但某些协议不通；④ 管理口和业务口混用，表现为后台时好时坏；⑤ 双默认路由做成等价负载，两条线路时延差异大时产生绕路。逐条对照检查，问题基本都能收敛。

本文为站点原创技术梳理，结合园区网工程实践整理，供参考。