我可以有一个路由器/防火墙设备提供WAN连接，交换机上的VLAN的一部分？
例如：
2，L3开关。 2个VLAN
DefaultVLAN 10.1.1.0/24 VLAN100 192.168.1.0/24 两条互联网线路 – 与他们无关。 两者都由两个防火墙控制。 我需要将所有的VLANstream量通过一个WAN到DefaultVLAN ，从而实现一个防火墙，另一个VLAN100到另一个VLAN100 。
DHCP：
两个范围分别是10.1.1.0/24和192.168.1.0/24作为DG，分别是交换机的IP。 在这种情况下， 10.1.1.0范围给出SW02的IP作为客户的DG。 而192.168.1.0/24范围则为客户提供了SW01的IP地址。
开关：
SW01, IP's - Default VLAN IP: 10.1.1.10 - VLAN100 IP: 192.168.1.10 SW02, IP's - Default VLAN IP: 10.1.1.11 - VLAN100 IP: 192.168.1.11
防火墙：
FW01: 192.168.1.1 FW02: ? (Please read on)
开关：
SW01, Default Gateway of Switch set to: 192.168.1.1 SW02, Default Gateway of Switch set to: ?
那么现在我怎么把它分开，我希望10.1.1.0/24客户端的VLAN有另一个FW02作为它们的默认网关？
你不需要两个防火墙（除非他们支持故障转移/高可用性）的初学者。
得到一个体面的商业类防火墙。 Cisco ASA 5500系列，Sonicwall TZ 105，pfSense等
将两个WAN连接添加到一个防火墙; 我可能会设置他们在至less一个故障转移configuration，但无论如何。 你的来电。
假设我们正在处理已经购买的一台L3交换机，可以为您的两个VLAN创build一个VLAN接口（VLAN 1：192.168.1.0/24，VLAN接口：192.168.1.1; VLAN 100：10.1.1.0/24 VLAN接口：10.1.1.1）。 这些分别成为每个VLAN上的节点的默认网关。 无论这是DHCP还是不是，这个问题的范围之外。
创build另一个VLAN，比如说VLAN10。172.16.0.0/29。 将防火墙的LAN接口设置为此子网上的IP（172.16.0.1/29），并在同一子网（172.16.0.2/29）上创build一个VLAN接口。 将端口分配给此VLAN，并从该端口上行到您的防火墙。 您应该能够从L3交换机的控制台中ping防火墙的LAN接口。
在L3交换机上更新/创build默认路由，例如0.0.0.0 0.0.0.0 gw 172.16.0.1 （伪语法，显然它会根据交换机的型号/型号而变化，但是我们要创build一条到防火墙的局域网的默认路由接口）。
在防火墙上，创build一条返回到您的VLAN子网的路由（ 192.168.1.0 255.255.255.0 gw 172.16.0.2 ，然后10.1.1.0 255.255.255.0 gw 172.16.0.2 ）。
在防火墙上，你会想看看基于策略的路由，策略路由，基于源的路由等（取决于你得到什么，但任何一半体面的路由器/防火墙应该支持这一点），但基本上你会想要添加一个路由规则/策略，查看源子网并相应地分配WAN网关。
如果你没有一个L3，而且你也没有预期到很多的VLAN之间的路由（例如100个工作站与不同的VLAN上的几十个服务器交谈），不要浪费你的钱。 任何体面的防火墙都会有几个物理接口（甚至一个可以和路由器一起工作，但是又取决于stream量要求等），这些可以取代VLAN接口：只需要将L2交换机划分成两个VLAN就像我们已经讨论过的那样，但是不是将接口分配给VLAN虚拟接口，而是将其上行到防火墙上的接口LAN1和LAN2（或者其他设备），然后让它进行VLAN间的接口路由和/或Internet路由。
除非你正在谈论几个交换机被中继/标记在一起，携带来自多个位置的VLAN，否则我甚至不会打扰L2交换机：只需两个非托pipe交换机，每个防火墙接口就可以轻松实现。 我更喜欢L2交换机，因为有更多的灵活性和pipe理/监控选项，而且价格合理。