我正在为办公室配置 LAN。这是一个新设置，因此有台式机，但没有服务器，也没有 PC 到 PC 通信——一切都在云上。几个外围设备（打印机、扫描仪等）除外，当然还有管理网络交换机和防火墙本身。

我的目标是配置交换机和防火墙以实现完全隔离，以确保安全。只应允许这些流：

1. 电脑上网，防火墙检查
2. PC 到外围设备，通过防火墙
3. PC 到网络设备管理（防火墙和交换机）
4. VoIP 电话到 Internet，通过防火墙

我想阻止 PC 之间的任何和所有流量。当然，还要防止从外围设备到 PC。

配置它的最佳方法是什么？

这就是我要做的事情：

VLAN 和子网

• 用于 PC 的 VLAN 2
• 电话的 VLAN 3
• 用于外围设备的 VLAN 4
• VLAN 5 用于网络设备管理

每个 VLAN 对应一个子网（VLAN 2 为 10.1.2.0/24，VLAN 3 为 10.1.3.0/24 等）

转变：

• 所有 PC、电话和外围端口都是专用 VLAN 边缘/受保护端口
• 1 个连接到 VLAN 2 上的防火墙 NIC 2 *
• 1 个连接到 VLAN 3 上的防火墙 NIC 3 *
• 1 个连接到 VLAN 4 上的防火墙 NIC 4 *
• 1 个连接到 VLAN 5 上的防火墙 NIC 5 *

* 我认为这些端口应该是混杂的中继端口，但不确定；请指教

防火墙接口：

1. NIC 1 WAN（互联网）第 3 层 DHCP
2. NIC 2 第 3 层接口，VLAN 2 上有子接口，IP 为 10.1.2.1 ***
3. NIC 3 第 3 层接口，子接口位于 VLAN 3 上，IP 为 10.1.3.1
4. NIC 4 第 3 层接口，子接口位于 VLAN 4 上，IP 为 10.1.4.1
5. NIC 5 第 3 层接口，子接口位于 VLAN 5 上，IP 为 10.1.5.1

*** 我的理解是配置 VLAN 子接口告诉防火墙只通过与某个 VLAN 匹配的流量

所有防火墙接口都配置为在它们之间进行路由

防火墙规则：

• 允许 NIC 2 / VLAN 2 --> NIC 1
• 允许 NIC 2 / VLAN 2 --> NIC 4 / VLAN 4
• 允许 NIC 2 / VLAN 2 --> NIC 5 / VLAN 5
• 允许 NIC 3 / VLAN 3 --> NIC 1

这种配置会起作用吗？它会阻止 LAN 上的所有内部流量，除了非常特别允许的流量吗？