您好，请知：
交换机上限制用户网段上外网，内部互通，以下是部署方法，请参考：1、在出口设备上的NAT配置中通过ACL限制，以下是部署参考命令：
acl basic 2000
rule 0 permit source 192.168.1.0 0.0.0.255
quit
int gi 1/0/1
nat outbound 2000
quit
2、在网关所在交换机上配置ACL，仅允许访问内部的网段，其他全部拒绝也可以，以下是参考命令：
acl ad 3000
rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
quit
int vlan 2
packet-filter 3000 inbound
quit