在实际应用中截取出简易拓扑：
INTERNET → cisco PIX515E → cisco 3550 → cisco 2960G（VLAN10、VLAN20）
cisco PIX515E：
(config)#interface Ethernet 0 auto //举例定义外部IP
(config)#nameif ethernet0 outside security 0
(config-if)#ip add 123.123.123.123 255.255.255.0
(config-if)#no sh
(config)#interface Ethernet 1 auto //定义内部IP
(config)#nameif ethernet1 inside security 100
(config-if)#ip add 172.16.3.1 255.255.255.0
(config-if)#no sh
(config)#global (outside) 1 interface //公网地址池定义为外部接口IP(也可自定义地址池)
(config)#nat (inside) 1 172.16.0.0 255.255.0.0 //内部允许转换的地址
(config)#route outside 0.0.0.0 0.0.0.0 123.123.123.124 //配置默认路由
(config)#route inside 172.16.0.0 255.255.0.0 172.16.3.2 //配置回指路由
(config)#write //保存配置(切记)
cisco 3550：
(config)#vlan 10 //添加VLAN
(config-vlan)#name aaa //为VLAN命名(便于日后查询管理)
(config)#interface vlan 10
(config-if)#ip add 172.16.1.1 255.255.255.0 //配置管理IP地址(用作终端设备网关)
(config-if)#no sh
(config)#vlan 20 //添加VLAN
(config-vlan)#name bbb //为VLAN命名(便于日后查询管理)
(config)#interface vlan 20
(config-if)#ip add 172.16.2.1 255.255.255.0 //配置管理IP地址(用作终端设备网关)
(config-if)#no sh
(config)#interface gi0/12 //下联二层交换机端口(配置TRUNK,传输VLAN)
(config-if)#switchport trunk encapsoltion dot1q
(config-if)#switchport mode trunk
(config-if)#no sh
(config)#interface gi0/1 //上联防火墙端口
(config-if)#ip add 172.16.3.2 255.255.255.0
(config-if)#no sh
(config)#interface gi0/2 //连接服务器端口(一般服务器都会放在机房，连在三层设备上，不会连到各楼层的二层设备上)
(config-if)#switchport mode access
(config-if)#switchport access vlan10
(config-if)#no sh
(config)#interface gi0/3 //连接服务器端口
(config-if)#switchport mode access
(config-if)#switchport access vlan20
(config-if)#no sh
(config)#ip routing //开启三层
(config)#ip route 0.0.0.0 0.0.0.0 172.16.3.1 //默认路由
3550#copy run start //保存配置(切记)
如果想要禁止内部VLAN互访添加以下命令即可：(ACL)
(config)#access-list 101 deny ip 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255
(config)#access-list 101 permit any any
(config)#access-list 102 deny ip 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.255
(config)#access-list 102 permit any any
(config)#interface vlan 10
(config-if)#ip access-group 101 in
(config)#interface vlan 20
(config-if)#ip access-group 102 in
3550#copy run start
cisco 2960G：
(config)#vlan 10
(config-vlan)#name aaa
(config)#interface vlan 10
(config-if)#ip add 172.16.1.254 255.255.255.0 //配置管理IP地址(主要用于telnet远程)
(config-if)#no sh
(config)#vlan 20
(config-vlan)#name bbb
(config)#interface vlan 20
(config-if)#ip add 172.16.2.254 255.255.255.0 //配置管理IP地址(主要用于telnet远程)
(config-if)#no sh
(config)#interface gi0/1 //下联终端设备端口
(config-if)#switchport mode access
(config-if)#switchport access vlan10
(config-if)#no sh
(config)#interface gi0/2 //下联终端设备端口
(config-if)#switchport mode access
(config-if)#switchport access vlan20
(config-if)#no sh
(config)#interface gi0/24 //上联三层交换机端口(配置TRUNK,传输VLAN)
(config-if)#switchport trunk encapsoltion dot1q
(config-if)#switchport mode trunk
(config-if)#no sh
2960G#copy run start //保存配置(切记)
本文出自 “挨踢的人会掐网线” 博客，请务必保留此出处http://haiphone.blog.51cto.com/3035806/1186424
