如果出于应用的需要，必须为交换机设置默认网关地址，我们可以在设备VLAN和客户机VLAN之间设置一道“防火墙”，即通过在核心交换机中设置二层的包过滤策略和三层的IP过滤策略来客户机对指定VLAN和IP地址的访问，从而实现对设备VLAN的隔离。

　　启动策略后，只有符合策略规则的数据包才能进入设备VLAN中。当然这种方式的实现，要求核心交换机支持包过滤和IP过滤才可以。