VLAN间通信、ACL

单臂路由的两种实现方式：

拓扑如图：

no vlan dot1q tag native 不对native vlan 加dot1q标签，当然默认交换就是这样的

1、使用R1上的物理接口的IP地址，对应于native vlan

  R1：

  interface f0/0

  speed 100

  duplex full

  ip address 192.168.1.1 255.255.255.0

  no shutdown

  interface f0/0.2

  encapsulation dot1q 2

  ip address 192.168.2.1 255.255.255.0

  no shutdown

  Switch:

  interface f0/15

  speed 100

  duplex full

  switchport trunk encapsulation dot1q

  switchport mode trunk

2、R1：

  interface f0/0

  no ip address

  no shutdown

  interface f0/0.1

  encapsulation dot1q 1 native

  ip address 192.168.1.1 255.255.255.0

  no shutdown

  interface f0/0.2

  encapsulation dot1q 2

  ip address 192.168.2.1 255.255.255.0

  no shutdown

单臂路由在工程部署中不推荐，我们实际工作环境中使用三层交换机。

调这幅图的目的是想告诉自己。这里的Switch0里并没有VLAN 2

只是开启了trunk，测试的结果我们通了。也就是说即使设备中没有

该VLAN ，只要通过trunk，我们可以将数据包送入到相应的目的端。

ACL（access control lists）：是对数据层面的控制，ACE（access control entry）用来对

数据流进行分类，在物理接口或者逻辑接口进行应用。

入站inbound：接受数据的方向    出站outbound：发送数据的方向

standard acl：匹配源IP地址，不区分流量类型    1-99   1300-1999

extended acl：匹配源IP和目的IP地址，区分流量类型 100-199  2000-2699

12.3以前的版本，只能删除整个ACL，不能删除单个ACE

以后的版本，可以删除单个ACE，只要no掉那个序列号就可以了。

使用ACL的原则：

1、一个接口一个方向只能有一个ACL。

2、标准ACL需要靠近目的，因为只匹配源，所以靠近源的话，会限制这个网络的的其他应用

  扩展ACL需要靠近源

动态ACL

配置命令如下：

ip access-list extended dynamic

permit icmp host 192.168.1.2 host 192.168.1.1

dynamic test permit icmp host 192.168.1.2 host 192.168.2.2

exit

line vty 0 935

autommand access-enable host timeout 10

ratory 1

ip access-group dynamic in

自反ACL

需求就是从内网访问外网任何站点都可以，但外网访问内网不能

所以要在内网接口的in方向上，放行流量；外网接口的in方向上，拒绝掉所以流量，但

放行内网返回的流量。

ip access-list extended zifan_in

permit ip 192.168.1.0 0.0.0.255 any reflect test

ip access-list extended zifan_out

evaluate test

interface f0/0

ip access-group zifan_in in

ip access-group zifan_out in

转载于:https://blog.51cto.com/867645/1343727