您现在的位置是：首页 >技术杂谈 >零成本实现专网互联网分离：IP切换网站首页技术杂谈

      因为公司里的办公PC需要上专网办公，上专网时不允许联在互联网上，但是现状是办公电脑既能上互联网又能同时上专网，这样就经常会被通报为违规外联，为了实现双网分离，找运维公司商量解决方法。

运维公司：你们采购一批新电脑，用这批新电脑只上专网，原来的老电脑只上互联网，这样就实现了双网分开了，这样最简单。

领导：采购新电脑恐怕不好办，有其他办法吗？

运维公司：也可以采购一台ssl vpn防火墙，这样要上专网时，你们可以拨到vpn上，然后互联网就上不去了，这样就不需要采购电脑了。防火墙的价格是2万7。。。

领导：我们考虑一下

领导：原来我们用换IP的方式，有的IP能上互联网，有的能上专网，这办法能用吗？

我：我查查资料吧。。。

      想了想，新加一个vlan，让这个vlan上专网，老的vlan的IP段取消上专网的权限，不就行了吗？看了看交换机，目前交换机上一个端口绑定了一个vlan，要实现一个端口绑定两个vlan，就要交换机开启ip-subnet-vlan功能，然后在客户端手工切换IP，那这样的话，公司每个交换机每个端口都要改一遍。。。工作量大不说，有的交换机老的还不一定支持。。。

     翻了翻核心交换机的配置，看到原来每个楼层，都起了一个vlan，如vlan 10 20 30。。。每层的每个办公室分了一些子接口网关在这个vlan下。联系了运维公司，问能不能使用subvlan的方式实现网络分离，后来和运维公司经过商议，这样配置如下：

1、核心交换机上每个vlan下再增加一组同样的子接口，后两位不变，只改变IP地址第二位的地址，如原来是172.18.10.14，再增加一组172.20.10.14，放在同一vlan下面

ip address 172.10.10.14 255.255.255.240
 ip address 172.10.10.30 255.255.255.240 secondary
 ip address 172.20.10.14 255.255.255.240 secondary
 ip address 172.20.10.30 255.255.255.240 secondary

2、路由器增加一条路由到专网的下一跳，在ACL允许的IP段中更改原172.10段的策略为172.20段

3、出口路由器增加往专网的放行策略

      总结：相同的vlan，不同的ip段做ACL实行限制，两者结合起来，完美！