當前，由于一些單位網絡規模越來越大，同時處于網絡安全的考慮，通常會采用三層交換機劃分多個網段，并且設置網段之間禁止通訊，以此來更好地保護信息安全，防止商業機密泄露以及電腦遭遇病毒侵襲的風險。但在加強網絡安全的同時，也對網絡管理提出了新的挑戰，如何管理多網段電腦上網行為、跨網段監控電腦上網就成為當前企事業單位網絡管理的一個重要課題。
比較常見的跨網段管理問題通常有如下幾種：跨網段限制電腦網速、跨網段控制電腦上網行為（比如禁止迅雷下載、禁止在線玩游戲、限制在線看視頻、禁止上班炒股、禁止工作時間網購等），跨網段綁定電腦IP和MAC地址，防止電腦修改IP地址等行為。
那么，如何實現上述跨網段監控電腦上網、管理三層交換機多網段電腦上網行為呢？筆者以為，可以通過以下兩種方法來實現：
方法一、通過三層交換機自帶的網管功能來實現控制多網段電腦網速、跨網段限制電腦上網行為以及跨網段實現交換機端口限速、跨網段實現三層交換機固定IP上網。
兩種設置IP地址的命令：一種直接在物理端口上設置IP地址，設置過程比較簡單。例如在作者單位新購三層交換機上配置端口1/0/1為路由端口，IP地址為172.16.1.0，OSPF采用點到點類型，配置過程如下：
#interface Ethernet 1/1
#port link-mode route
#ip address 172.16.1.0 255.255.255.0
#ospf networt-type p2p
第二種IP地址配置方式是通過邏輯VLAN設置IP地址，需先給VLAN設置IP地址，然后將物理端口配置在VLAN下。為了保證IP地址和物理端口一一對應的關系。例如在和上面一樣的三層交換機上要配置端口1/0/1為路由端口，并配置端口的VLAN ID為101，VLAN 101 IP地址為172.16.1.1，OSPF采用點到點類型，配置過程如下：
#interface Vlan-interface 101
#ip address 172.16.1.0 255.255.255.0
#ospf network-type p2p
#interface Ethernet 1/0/1
#port link-mode route
#port access Vlan 101
由此可見，以上兩種方法都能為交換機端口設置IP地址，從操作步驟上看，第一種方法比較簡單，第二種方法需要先將端口和VLAN對應起來再設置IP地址。而且第2種方法在配置IP地址時還需同時使用對應的VLAN，過多使用VLAN號后可能會給日后的運行維護帶來了不便。
同時，也可以借助交換機的端口限速功能來為各個網段的電腦進行網速控制、電腦流量限制，而且還可以對上行流量和下行流量分別進行限制，操作也比較簡單，如下圖所示：
圖：交換機端口限速設置
方法二、借助于專門的局域網網速控制軟件、多網段電腦上網監控來實現三層交換機固定IP地址上網、三層交換機端口配置IP地址。
通過部署專門的局域網電腦監控軟件、網絡行為控制軟件來跨網段設置電腦IP地址、綁定電腦IP和MAC地址是當前企事業單位的通常做法。目前國內主流的上網行為監控軟件大都支持跨網段監控電腦上網行為、跨網段綁定IP和MAC地址。例如有一款“聚生網管”（下載地址：http://www.grablan.com/soft.html），通過集成的“創新直連”技術，可以在三層交換機的某個網段部署，就可以獲取三層交換機上所存儲的所有電腦的IP和MAC地址，并可以跨網段進行綁定，一旦發現電腦更改IP地址或MAC地址的行為，將會自動阻斷電腦上網，從而實現了強制電腦設置固定IP地址上網，防止隨意更改IP地址、導致IP沖突的行為了。如下圖所示：
圖：通過接入三層交換機一個網段就可以控制所有網段電腦上網行為
通過聚生網管系統的IP和MAC地址綁定功能，可以實時檢測各個網段電腦的IP地址和MAC地址變動情況，一旦發現IP地址或MAC地址變更，則實時阻斷電腦上網，并可以給出提醒。如下圖所示：
圖：進行IP和MAC地址綁定、防止修改IP地址的行為
此外，還可以借助聚生網管為各個網段電腦進行限速，如下圖所示：
圖：限制電腦網速
同時，還可以限制電腦P2P下載、禁止在線看視頻、屏蔽P2P網絡電視等，如下圖所示：
圖：禁止P2P下載、禁止網絡電視、禁止打開視頻網站
總之，無論是借助于三層交換機自身的網管限速管理功能，還是通過專門的企業網絡管理軟件都可以實現跨網段綁定IP和MAC地址、進行交換機端口限速、實現交換機MAC地址綁定等功能，具體采用哪種方法，企事業單位可以根據自己的需要進行選擇。
