Cisco VLAN 之间的ACL配置

浪人

VLAN 之间的ACL配置　　提问：如何禁止VLAN间互相访问？
　　回答：
　　步骤一：创建vlan10、vlan20、vlan30
　　S5750#conf
　　----进入全局配置模式
　　S5750(config)#vlan 10
　　----创建VLAN10
　　S5750(config-vlan)#exit
　　----退出VLAN配置模式
　　S5750(config)#vlan 20
　　----创建VLAN20
　　S5750(config-vlan)#exit
　　----退出VLAN配置模式
　　S5750(config)#vlan 30
　　----创建VLAN30
　　S5750(config-vlan)#exit
　　----退出VLAN配置模式
　　步骤二：将端口加入各自vlan
　　S5750(config)# interface range gigabitEthernet 0/1-5
　　----进入gigabitEthernet 0/1-5号端口
　　S5750(config-if-range)#switchport access vlan 10
　　----将端口加划分进vlan10
　　S5750(config-if-range)#exit
　　----退出端口配置模式
　　S5750(config)# interface range gigabitEthernet 0/6-10
　　----进入gigabitEthernet 0/6-10号端口
　　S5750(config-if-range)#switchport access vlan 20
　　----将端口加划分进vlan20
　　S5750(config-if-range)#exit
　　----退出端口配置模式
　　S5750(config)# interface range gigabitEthernet 0/11-15
　　----进入gigabitEthernet 0/11-15号端口
　　S5750(config-if-range)#switchport access vlan 30
　　----将端口加划分进vlan30
　　S5750(config-if-range)#exit
　　----退出端口配置模式
　　步骤三：配置vlan10、vlan20、vlan30的网关IP地址
　　S5750(config)#interface vlan 10
　　----创建vlan10的SVI接口
　　S5750(config-if)#ip address 192.168.10.1 255.255.255.0
　　----配置VLAN10的网关
　　S5750(config-if)#exit
　　----退出端口配置模式
　　S5750(config)#interface vlan 20
　　----创建vlan10的SVI接口
　　S5750(config-if)#ip address 192.168.20.1 255.255.255.0
　　----配置VLAN10的网关
　　S5750(config-if)#exit
　　----退出端口配置模式
　　S5750(config)#interface vlan 30
　　----创建vlan10的SVI接口
　　S5750(config-if)#ip address 192.168.30.1 255.255.255.0
　　----配置VLAN10的网关
　　S5750(config-if)#exit
　　----退出端口配置模式
　　步骤四：创建ACL，使vlan20能访问vlan10，而vlan30不能访问vlan10
　　S5750(config)#ip access-list extended deny30
　　----定义扩展ACL
　　S5750(config-ext-nacl)#deny ip 192.168.30.0 0.0.0.255  192.168.10.0 0.0.0.255
　　----拒绝vlan30的用户访问vlan10资源
　　S5750(config-ext-nacl)#permit ip any any
　　----允许vlan30的用户访问其他任何资源
　　S5750(config-ext-nacl)#exit
　　----退出扩展ACL配置模式
　　步骤五：将ACL应用到vlan30的SVI口in方向
　　S5750(config)#interface vlan 30
　　----创建vlan30的SVI接口
　　S5750(config-if)#ip access-group deny30 in
　　----将扩展ACL应用到vlan30的SVI接口下