我有四台服务器连接到我们组织的网络。我获得了一个第 3 层交换机 (Cisco SG300)。我已将每台服务器的管理接口 NIC 分别连接到此交换机。（管理接口是 Dell iDRAC，以防万一。）现在，出于安全原因，我想隔离此交换机上的管理网络，将交换机连接到我们组织的网络，并且只允许来自特定主机（例如我的笔记本电脑）的外部连接。
,- server 1 management interface
,-------. +- server 2 management interface
external (open) network ---+ SG300 +-+- server 3 management interface
`-------' `- server 4 management interface
我认为我可以制定 SG300 右侧管理网络的 VLAN 配置，如果我正确理解了 Cisco 交换机上的 ACL，我应该能够创建一个 ACL，仅允许来自外部网络的特定 MAC 地址通过 SG300 连接到右侧的 VLAN。
我的问题是：外部网络连接如何指定哪个目的地(1-4) 连接到哪里？假设管理网卡的 IP 地址为 192.1.1.1 到 192.1.1.4，假设我在外部网络上，我想连接到机器 3 的管理接口。我该怎么做？服务器的管理接口在外部网络上没有 IP 地址，所以我无法连接到特定的 IP 地址。我该如何指示所需的目的地？
这可能是一个基本的网络问题，显然我对此一无所知，但在 Google 上苦苦搜索了很长时间后，我还是想不通。实现此配置的基本方法是什么？是否有资源可以解释如何实现它？
答案1
但您无需连接到端口。您需要连接到与服务器中运行的服务相对应的套接字（IP 和端口号）。
例如，您不会连接到管理端口 1。
假设服务器 A 的 IP 地址为 192.1.1.1，并在端口 80 上运行 Web 服务器。配置了 192.1.1.1 的服务器 A 网络适配器连接到交换机上的接口 1。
所以您要问的是如何远程访问服务器 A 上的 Web 服务器。
答案是您的防火墙必须具有 ACL 和 NAT 规则，允许您的远程流量进入网络，并且它需要执行 1:1 网络地址转换 (NAT) 或端口地址转换 (PAT)。
答案2
您需要一个路由器来在 VLAN 之间路由流量。然后您可以在路由器上而不是交换机上设置 ACL，这是使用 ACL 的首选方法。
如果您的防火墙上有可用的接口，您可以将防火墙用作路由器，也可以使用它来保护 VLAN 之间的流量。