Question

华为三层交换机如何配置限制外网访问

华为s3328三层交换机，如何配置才能使得只有静态绑定的用户才能访问外网，未绑定用户能正常访问内网。
在端口界面使用user-bind命令进行端口绑定后，则未绑定用户连内网都不能访问了；
在vlan界面使用dhcp snooping check ip功能进行绑定也是同样的情况。
确实用acl做非常麻烦,但是在路由器上又没办法实现限制,因为网关是三层交换机,所有和mac相关的设定在路由器上都无效.路由器是华为3260.

Answer 1

这种控制不应该做在接入层上，应该在路由器上做，它才是控制外网的关键设备。而在3328上内网访问和外网访问是区分不开的，内网访问和外网访问都是用mac地址来寻址的，只是一个寻的是网关地址一个内网pc的mac地址。你感觉有区别么。除非用acl来定义，很麻烦，且效果不好。

Answer 2

既然有静态绑定的地址，那就直接做ACL不就行了，外网上联口上调用ACL规则，有上网权限的IP可以通过，其他一律禁止就好了。