感謝邀請(qǐng)！這個(gè)問(wèn)題可以簡(jiǎn)單也可以復(fù)雜，簡(jiǎn)單點(diǎn)使用Vlan來(lái)搞定，復(fù)雜點(diǎn)增加使用VPN來(lái)搞定這個(gè)事情，一個(gè)是二層隔離技術(shù)一個(gè)是三層隔離技術(shù)。但是首先，你得熟悉一下二層網(wǎng)絡(luò)和三層網(wǎng)絡(luò)的轉(zhuǎn)發(fā)機(jī)制。
首先，建議你的三個(gè)部門使用不同的網(wǎng)段，例如分別是192.168.1.0/24、192.168.2.0/24、192.168.3.0/24，使用不同網(wǎng)段的好處就是，基本上隔絕了在局域網(wǎng)內(nèi)的訪問(wèn)，因?yàn)橹挥型痪W(wǎng)段的主機(jī)才能在局域網(wǎng)內(nèi)訪問(wèn)，不同網(wǎng)段的主機(jī)只能通過(guò)網(wǎng)關(guān)來(lái)訪問(wèn)。
當(dāng)一臺(tái)PC訪問(wèn)相同網(wǎng)段的主機(jī)時(shí)，PC機(jī)通過(guò)發(fā)送ARP報(bào)文，獲取對(duì)端PC響應(yīng)的MAC地址后，直接在二層交換機(jī)根據(jù)MAC尋址轉(zhuǎn)發(fā)，二層交換機(jī)會(huì)記錄目的主機(jī)的MAC和出接口對(duì)應(yīng)的信息，這樣流量就會(huì)從正確的出接口丟出去。
當(dāng)然一臺(tái)PC訪問(wèn)不是相同網(wǎng)段的主機(jī)時(shí)，訪問(wèn)會(huì)通過(guò)網(wǎng)關(guān)查路由訪問(wèn)，這個(gè)時(shí)候只要在網(wǎng)關(guān)路由器連接交換機(jī)的入端口配置ACL，例如在192.168.1.0/24所在的路由器端口配置ACL丟棄所有訪問(wèn)192.168.2.0/24和192.168.3.0/24網(wǎng)段的報(bào)文，就可以實(shí)現(xiàn)禁止互訪。
當(dāng)然，在同一個(gè)交換機(jī)的情況下，可以用VLAN來(lái)隔離廣播域，防止某些PC配置了其他網(wǎng)段的地址來(lái)惡意訪問(wèn)他網(wǎng)的主機(jī)。例如192.168.1.0/24位于VLAN 100，192.168.2.0/24位于VLAN 200，192.168.2.0/24位于VLAN 300.
VLAN不同，可以防止主機(jī)惡意配置地址。舉個(gè)例子，如果不配置VLAN隔離的話，本來(lái)分配地址是192.168.1.100的主機(jī)，也可以配置一個(gè)192.168.2.100的子地址，在交換機(jī)內(nèi)實(shí)現(xiàn)對(duì)192.168.2.0/24網(wǎng)段的訪問(wèn)，所以如果通過(guò)VLAN隔離不同部門的主機(jī)的話，基本上可以杜絕這個(gè)現(xiàn)象。
最后一招是，在網(wǎng)關(guān)路由器不同的接口綁定不同的VRF，通過(guò)VPN實(shí)現(xiàn)路由器上訪問(wèn)的隔離。這個(gè)時(shí)候，路由器就是起了MCE的作用，不同網(wǎng)段的路由在路由器上完全隔離，再配合交換機(jī)的VLAN隔離，最終實(shí)現(xiàn)整個(gè)流量在交換機(jī)、路由器的轉(zhuǎn)發(fā)面和控制面隔離
所以，建議推薦VLAN、ACL加上VRF的方式，實(shí)現(xiàn)不同部門之間二層和三層的隔離。
聯(lián)系客服
