vlan
要设置vlan呢，把同一个部门的电脑设置在同一个vlan下就可以了，相互之间就不能访问！
关闭ARP
你需要一台网管型的交换机，通过vlan来管理3个部分，网管型交换机功能很强大，价格也贵很多
根据不同情况可以有不同的操作方法:
非网管型交换机无法根据vlan隔离，可以将不同部门ip地址设置为不同网段或不同子网，比如，192.168.1.0/24；192.168.2.0/24；192.168.3.0/24；
这种情况如果员工不会更改ip地址完全是可行的；
可网管型交换机不同部门划分到不同vlan即可解决；还可通过端口安全和端口隔离开进行控制。
看你的需求是完全不能访问还是只是二层无法访问！完全不能方问，只能固定IP，禁用QQ微信之类的互联网软件，一般来说无法通过交换机实现，处分不让这个交换机上互联网！！
那就只需要每一个部门的电脑都设置不能的网段即可！这个应该是最简单的！比如第一个192.168.1.0 第二个192.168.2.0 第三个192.168.3.0！这样就可以了！
那就用VLAN，把不同的部门根据所连接的端口划分到不同的VLAN，从二层隔离不同的部门！这样除了不能共享文件，还减少了广播风暴！当然IP也是要在同网段的！
我能想到的有四种办法，但是可能都需要有特定条件：
1、48口交换机支持vlan管理，这样根据端口绑定vlan和mac，这样是最安心也是最安全的；
2、48口交换机不支持vlan，但是有windows server及域服务器，这样可以在server系统里设置好域并给与权限，客户机使用域登陆；
3、48口交换机不支持vlan，但路由器支持，可以在路由器内根据ip绑定mac和vlan；
4、上述情形以外，所有客户机有管理员权限，网卡指定ip地址并设置子网掩码/24（255.255.255.0），这样客户机只能访问本段的设备，尽量使用192.168.X.X，这是C类私用地址，第一个x用来区分网段。第二个X是客户机地址，1默认路由地址不要使用，255为广播地址无法使用，2-254可任意使用，但不可出现数字相同，否则会IP地址冲突。