cisco交换网络VACL隔离技术

近期遇到客户需求，需要将三层交换机里的各VLAN进行隔离，并要求特殊主机能够实现相应VLAN间互通。

为了达到功能要求，在网上找了很多博文都讲解得不完善，找了cisco官方配置文档讲解，对特殊需求的讲解也不完善，但是对策略的运行过程有了完整的理解，这里为了备忘，特别做一博文，希望能帮到同道中人。

一、配置概览

1. 首先定义ACL，用于指定各vlan和设备间的访问规则。
2. 定义vlan access-map，用于指定满足ACL后的动作是转发还是丢弃。
3. 最后将VLAN access-map应用于VLAN，实现相互间访问的控制。

二、步骤详解及注意事项

配置前需要明白vacl的默认动作：

• vlan access-map为单个entry时，当access-map中动作定义为转发，那么满足ACL条件的数据会被转发，若没有被匹配到的流量将被drop。若动作定义为drop，则全部数据流量都会被drop。即默认的最后一条为drop all。
• vlan access-map为多个entry时，VACL将按照序列号从小到大匹配entry，满足一条entry后就不会在去匹配下一个entry了。默认的最后一条隐藏access-map entry为match all ，drop all。

1、定义acl

• 通常ACL使用扩展ACL，acl中使用permit表示满足条件，使用deny表示不满足条件。若access-map中满足条件为drop，则不满足条件则会进入下一个entry的检查。
• 默认vacl为双向控制，所以要实现互通，需要进行两个方向的放行（permit）</