1              配置需求或说明

1.1       适用产品系列

本案例适用于ERG3系列路由器，如ER3200G3、ER8300G3、ER5200G3等。

1.2       配置需求及实现的效果

路由器作为企业网络的出口路由器，要实现 WAN 口自动获取上网，路由器上创建了两个内网网段，分别为192.168.1.0/24,192.168.2.0/24，1网段的用户可以上网，2网段的用户不能上网。注意：WAN 口自动获取的网段不能和内网网段 192.168.1.1/24 冲突，否则会导致内网无法上外网。

2              组网图

3              配置步骤

3.1       登录设备

#登陆 WEB 管理页面（默认情况下，登陆地址为 192.168.1.1/24（新版本地址为192.168.77.1），登陆用户名为 admin，登陆密码为 admin）。

3.2       配置外网以及内网地址池

#点击网络管理—接口管理—点击wan1进行配置，连接模式选择“DHCP”，NAT 地址转换保持默认的“开启“状态。点击“应用”按钮。

    #点击网络管理-vlan配置-vlan1后面的编辑选项进行修改vlan口相关参数，修改完成后点击确认按钮,点击新增按钮创建vlan2。

     #路由器 lan1 口连接交换机，将 lan1 口放通对应 vlan 1和vlan2，点击网络管理—vlan配置—端口放行vlan，放通两个vlan             

      #交换机上的操作

                #

interface GigabitEthernet1/0/4   //进入接口g1/0/4视图  port link-type trunk   //将接口配置成trunk  port trunk permit vlan all   //允许所有vlan通过

#

interface GigabitEthernet1/0/3   //进入接口g1/0/3视图  port access vlan 2   //将接口划分到vlan2

#

3.3       限制内网上网

#点击网络安全—防火墙--通过防火墙实现vlan1用户可以上网，vlan2用户不可上网

#点击行为管理—地址组-新增—创建vlan2网段对应的地址组

#地址组名称自定义—地址组类型选择IP—地址范围写vlan2的网段所在范围地址，填写完成后点击确认

3.4       结果验证

vlan1 的用户上网正常，vlan2 下的该 MAC 地址用户无法上网，vlan2 下其他用户上网正常

3.5          保存配置

         自动保存配置