在企业网络中，如何让不同部门的员工按需使用同一台网络打印机，同时确保各部门网络相互隔离？这是一个常见的管理难题。提供了一套基于华为交换机的完整解决方案，通过VLAN划分和ACL策略，实现了对打印、扫描权限的精细化控制，既满足了共享需求，又保障了网络安全。
智能速览
通过VLAN隔离部门网络，为打印机设置独立网段。
使用ACL访问控制策略，精确管理打印与扫描端口权限。
配置mDNS网关，实现跨VLAN的打印机服务自动发现。
通过DHCP绑定或本地设置，为打印机分配固定IP地址。
提供基于华为S5735交换机的完整配置代码与验证步骤。
精华内容
要实现跨VLAN的打印机权限控制，核心在于网络层的精准策略部署。以下将详细拆解从网络规划到具体配置的全过程，涵盖VLAN划分、ACL策略、服务发现及IP绑定等关键环节，确保方案落地有效。
网络规划
根据需求，首先对网络进行逻辑隔离。将A、B、C、D四个部门分别划分至VLAN 10、20、30、40，并为打印机创建独立的VLAN 100，IP地址规划为192.168.100.0/24网段。打印机将被赋予一个固定IP地址192.168.100.10，以确保网络访问的稳定性。各部门的权限需求被明确映射：A、B部门员工拥有打印和扫描权限，C部门仅能打印，D部门仅能扫描。清晰的规划是后续精准配置的基础。
VLAN与接口配置
在华为S5735交换机上，首先批量创建所需的VLAN。随后为每个VLAN配置VLANIF接口作为各部门的网关，例如VLANIF 10的IP地址为192.168.10.1。接下来，将连接各部门终端的物理端口（如GigabitEthernet0/0/1至0/0/4）配置为Access模式，并分别划入对应的VLAN。连接打印机的端口GigabitEthernet0/0/5同样配置为Access模式，并加入VLAN 100，实现物理层与逻辑层的绑定。
ACL权限控制
权限控制的核心是ACL（访问控制列表）。创建高级ACL 3000，针对不同部门的源IP地址段，精确控制其对打印机IP 192.168.100.10的特定服务端口的访问权限。例如，允许VLAN 10和VLAN 20访问IPP（631）、SMB（445）及扫描服务（9220）端口，赋予其完整权限。仅允许VLAN 30访问IPP和SMB端口，实现打印独占。仅允许VLAN 40访问9220端口，实现扫描独占。最后，配置一条默认拒绝所有其他访问的规则，并将此ACL应用在打印机VLANIF 100接口的入方向，形成严密的安全防线。
服务发现与验证
为了让各部门员工能方便地发现打印机，需配置mDNS网关功能。创建mDNS组，将用户VLAN（10、20、30、40）与服务VLAN（100）关联，并允许_ipp、_smb、_scanner等关键服务类型通过。配置完成后，通过从各部门终端ping打印机IP验证连通性，并检查ACL规则是否生效。最终测试各终端能否按预期进行打印或扫描操作，同时使用`display mdns service all`命令确认服务发现功能正常。
这套方案通过标准的网络技术，有效解决了多部门共享打印机的权限管理难题，兼顾了效率与安全。它不仅适用于打印机，其思路也可扩展到其他共享设备的权限管控。在你的网络环境中，是否也遇到过类似的共享资源管理挑战？
