实验环境： 网段规划： vlan 100：10.10.10.0 /24 网关 10.10.10.254 DNS：8.8.8.8 vlan 101：192.168.10.0/24 网关 192.168.10.254 DNS：8.8.8.8 配置Center 1、创建vlan vlan 100 description bangong vlan 101 description youke ** 2、配置trunk接口** interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 100 to 101 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 100 to 101 ** 3、创建虚接口并配置IP地址** interface Vlanif101 ip address 192.168.10.254 255.255.255.0 interface Vlanif100 ip address 10.10.10.254 255.255.255.0 4、配置DHCP dhcp enable ip pool bangong gateway-list 10.10.10.254 network 10.10.10.0 mask 255.255.255.0 dns-list 8.8.8.8

ip pool youke gateway-list 192.168.10.254 network 192.168.10.0 mask 255.255.255.0 dns-list 8.8.8.8

interface Vlanif100 ip address 10.10.10.254 255.255.255.0 dhcp select global

interface Vlanif101 ip address 192.168.10.254 255.255.255.0 dhcp select global

** 配置Access1** vlan 100 description bangong vlan 101 description youke

interface Ethernet0/0/1 port link-type trunk port trunk allow-pass vlan 100 to 101

interface Ethernet0/0/3 port link-type access port default vlan 100

interface Ethernet0/0/4 port link-type access port default vlan 101

interface Ethernet0/0/5 port link-type access port default vlan 100

** 配置Access2**

vlan 100 description bangong vlan 101 description youke

interface Ethernet0/0/2 port link-type trunk port trunk allow-pass vlan 100 to 101

interface Ethernet0/0/3 port link-type access port default vlan 100

interface Ethernet0/0/4 port link-type access port default vlan 101

interface Ethernet0/0/5 port link-type access port default vlan 100

将PC1 PC2 PC3 PC4ip地址设置为自动获取，并验证获取到的地址 我们先互相ping一下游客和办公网络，目前是互通的 我们在Center上定义ACL acl number 3000 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 10.10.10.0 0.0.0.255

traffic classifier 111 if-match acl 3000

traffic behavior 111 deny

traffic policy 111 classifier 111 behavior 111

traffic-policy 111 global inbound

我们再次互相ping游客和办公网络，已经不通了 同网段互相ping，可以访问

由于我们的acl只是针对网络层做了限制，并没有限制传输层，所以我们将FTP Server放入办公网络，将FTP CLient放入游客网络，验证能否通

给FTP Server和FTP Client分配IP地址，并验证能否ping通网关

打开FTP Server功能 用客户端访问，TCP连接无法建立。说明定义ACL时，如果协议选择IP，则四层不能通过。

但是，如果acl定义的协议为ICMP，则四层仍然能够访问。