子网划分需结合三层交换与VLANIF接口设计，每个子网对应一个VLAN、一个独立网段及一个三层接口IP网关，并通过ACL和路由策略实现逻辑隔离与精准互通。
子网划分要配合三层交换和虚拟网关（即VLANIF接口）一起设计，核心是让每个子网对应一个VLAN、一个独立网段、一个三层接口IP作为网关，并通过路由策略控制互通关系。不是先划子网再硬套设备，而是从业务需求倒推网络结构。
按部门/功能划分VLAN与子网
每个业务单元单独分配一个VLAN ID和连续的私有网段，避免重叠或跨段。例如：
- 财务部 → VLAN 40，网段 192.168.40.0/24，网关 192.168.40.1
- 研发部 → VLAN 50，网段 192.168.50.0/24，网关 192.168.50.1
- 生产区 → VLAN 60，网段 192.168.60.0/24，网关 192.168.60.1
- 访客Wi-Fi → VLAN 100，网段 172.16.100.0/24，网关 172.16.100.1
子网掩码统一用 /24（255.255.255.0）适合中小规模，主机数够用且管理清晰；若终端少于50台，也可用 /26（64地址），节省地址空间。
三层交换机上配置VLANIF作为虚拟网关
华为S5700这类设备不靠物理接口做网关，而是创建逻辑接口 VlanifX，直接绑定VLAN并配IP：
- 先在全局视图下创建VLAN：vlan 40
- 进入VLAN接口视图：interface Vlanif 40
- 配置该子网网关地址：ip address 192.168.40.1 255.255.255.0
- 启用接口：undo shutdown
每建一个VLAN，就配一个对应的Vlanif，所有Vlanif都在同一台三层交换机上，它自动成为各子网的默认网关和路由中转点。
隔离靠ACL，互通靠路由表
VLAN间默认可通——三层交换机会自动生成直连路由（如192.168.40.0/24 via Vlanif40）。要限制访问，必须叠加访问控制：
- 财务部禁止被其他部门访问：在Vlanif40入方向调用ACL，拒绝源为192.168.50.0/24、192.168.60.0/24的数据包
- 只允许研发访问生产数据库：在Vlanif50出方向放行目的为192.168.60.100（数据库IP）的TCP 3306端口
- 访客网段禁止访问内网任何地址：ACL默认deny，只放行DNS（53）、HTTP/HTTPS出口流量
这样既保持子网结构清晰，又实现“逻辑隔离+精准互通”，比物理断网灵活，比全放开安全。
终端侧只需配对网关和掩码
终端不用改任何设置逻辑，只要确保三点即可接入对应子网：
- 所连交换机端口已划分到目标VLAN（如财务电脑接在access vlan 40的端口）
- IP地址设为192.168.40.x，掩码255.255.255.0
- 默认网关填192.168.40.1（即Vlanif40的IP）
做完这些，终端发出的跨网段流量自然发给本VLAN网关，由三层交换机查路由、走ACL、转发到目标VLANIF，全程无需额外路由器或单臂路由设备。
