R＆S，数通HCIP｜ACL实现Vlan间访问控制实验

一、实验目的

        尽可能使用多种ACL实现只允许Vlan10访问Vlan40。  

二、实验拓扑

    注：该拓扑使用了DHCP-VLAN间通信-OSPF综合实验的拓扑，且以该实验配置结果为原配置。

三、实验思路

① 基础ACL

        在G0/0/3（Vlan 40）的出口配置允许Vlan 10 并禁止其他所有Vlan通过的ACL

② 高级ACL

        在S2的G0/0/2（Vlan 30）的入口配置禁止所有通往Vlan40的ACL。

        在R1的G0/0/0（Vlan 20）的入口配置允许Vlan 10到达所有Vlan，并禁止其他所有到达Vlan40的Vlan通过的ACL；

四、实验步骤

① 基础ACL

对S2：

[S2]acl  2000 
[S2-acl-basic-2000]rule permit source 192.168.10.0 0.0.0.255
[S2-acl-basic-2000]rule deny source any 
[S2-acl-basic-2000]int g0/0/3
[S2-GigabitEthernet0/0/3]traffic-filter outbound acl 2000 

② 高级ACL

对R1：

[R1]acl 3000
[R1-acl-adv-3000]rule permit ip source 192.168.10.0 0.0.0.255 destination any
[R1-acl-adv-3000]rule deny ip destination 192.168.40.0 0.0.0.255 source any 
[R1-acl-adv-3000]int g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

对S2：

[S2]acl 3000
[S2-acl-adv-3000]rule deny ip destination 192.168.40.0 0.0.0.255 source any 
[S2]int g0/0/2
[S2-GigabitEthernet0/0/2]traffic-filter inbound acl 3000

五、实验效果

PC1（在Vlan10中）可以ping通PC4（Vlan 40）：

 其他Vlan中的PC无法ping通PC4（Vlan 40）（以PC2为例）：

 六、两种ACL比较

对于基础ACL：

① 其配置简单，但其配置在出口处，先路由后处理，造成了一定的带宽浪费。

② 同时，在S2中无法控制其他设备到Vlan网关的通信，其他Vlan中的PC仍然可以与Vlan 40 的网关通信，其实并没有完美达到实验预期。

如图：

 对于高级ACL：

① 其配置较为复杂，但其配置在入口处，先处理再路由，减少了一定的带宽消耗。

② 与简单的ACL相比，除Vlan10之外的所有Vlan都无法到达Vlan40（包括其网关），完美达到了预期效果。

如图：