在实际应用中截取出简易拓扑：

INTERNET → cisco PIX515E → cisco 3550 → cisco 2960G（VLAN10、VLAN20）


cisco PIX515E：


(config)#interface Ethernet 0 auto //举例定义外部IP
(config)#nameif ethernet0 outside security 0
(config-if)#ip add 123.123.123.123 255.255.255.0
(config-if)#no sh
(config)#interface Ethernet 1 auto  //定义内部IP
(config)#nameif ethernet1 inside security 100
(config-if)#ip add 172.16.3.1 255.255.255.0  
(config-if)#no sh

(config)#global (outside) 1 interface  //公网地址池定义为外部接口IP(也可自定义地址池)
(config)#nat (inside) 1 172.16.0.0 255.255.0.0  //内部允许转换的地址

(config)#route outside 0.0.0.0 0.0.0.0 123.123.123.124 //配置默认路由
(config)#route inside 172.16.0.0 255.255.0.0 172.16.3.2 //配置回指路由

(config)#write  //保存配置(切记)



cisco 3550：


(config)#vlan 10  //添加VLAN
(config-vlan)#name aaa  //为VLAN命名(便于日后查询管理)
(config)#interface vlan 10
(config-if)#ip add 172.16.1.1 255.255.255.0  //配置管理IP地址(用作终端设备网关)
(config-if)#no sh

(config)#vlan 20  //添加VLAN
(config-vlan)#name bbb  //为VLAN命名(便于日后查询管理)
(config)#interface vlan 20
(config-if)#ip add 172.16.2.1 255.255.255.0  //配置管理IP地址(用作终端设备网关)
(config-if)#no sh

(config)#interface gi0/12  //下联二层交换机端口(配置TRUNK,传输VLAN)
(config-if)#switchport trunk encapsoltion dot1q
(config-if)#switchport mode trunk
(config-if)#no sh

(config)#interface gi0/1  //上联防火墙端口
(config-if)#ip add 172.16.3.2 255.255.255.0

(config-if)#no sh
(config)#interface gi0/2  //连接服务器端口(一般服务器都会放在机房，连在三层设备上，不会连到各楼层的二层设备上)
(config-if)#switchport mode access
(config-if)#switchport access vlan10
(config-if)#no sh
(config)#interface gi0/3  //连接服务器端口
(config-if)#switchport mode access
(config-if)#switchport access vlan20
(config-if)#no sh

(config)#ip routing  //开启三层
(config)#ip route 0.0.0.0 0.0.0.0 172.16.3.1  //默认路由

3550#copy run start  //保存配置(切记)

如果想要禁止内部VLAN互访添加以下命令即可：(ACL)
(config)#access-list 101 deny ip 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255
(config)#access-list 101 permit any any
(config)#access-list 102 deny ip 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.255
(config)#access-list 102 permit any any
(config)#interface vlan 10
(config-if)#ip access-group 101 in
(config)#interface vlan 20
(config-if)#ip access-group 102 in
3550#copy run start



cisco 2960G：


(config)#vlan 10
(config-vlan)#name aaa
(config)#interface vlan 10
(config-if)#ip add 172.16.1.254 255.255.255.0  //配置管理IP地址(主要用于telnet远程)
(config-if)#no sh

(config)#vlan 20
(config-vlan)#name bbb
(config)#interface vlan 20
(config-if)#ip add 172.16.2.254 255.255.255.0  //配置管理IP地址(主要用于telnet远程)
(config-if)#no sh

(config)#interface gi0/1  //下联终端设备端口
(config-if)#switchport mode access
(config-if)#switchport access vlan10
(config-if)#no sh

(config)#interface gi0/2  //下联终端设备端口
(config-if)#switchport mode access
(config-if)#switchport access vlan20
(config-if)#no sh

(config)#interface gi0/24  //上联三层交换机端口(配置TRUNK,传输VLAN)
(config-if)#switchport trunk encapsoltion dot1q
(config-if)#switchport mode trunk
(config-if)#no sh

2960G#copy run start  //保存配置(切记)