Question

cisco三层交换机起IP routing后，如何控制VLAN间互访？

3个vlan
vlan 10 地址192.168.10.0 255.255.255.0
vlan 20 地址192.168.20.0 255.255.255.0
vlan 100 地址192.168.2.0 255.255.255.0

ip routing 后 如何实现 vlan 10 和vlan 20 不能互访，但是都可以和外网vlan 100 联通

如果用ACL 来写。这个该怎么写！

或者 怎么turnk 方式该怎么做。

Answer 1

你好！

我写给你看吧！

ip access-list ex vlan10
deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
permit ip 192.168.10.0 0.0.0.255 any
exit
ip access-list ex vlan20
deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
permit ip 192.168.20.0 0.0.0.255 any
exit
int vlan 10
ip access-group vlan10 in
int vlan 20
ip access-group vlan20 in

好了

追问

麻烦在问下，从外线进来通过防火墙 后连接到vlan100上 地址 192.168.2.10，现在交换机的里的vlan20 和 30 都和vlan100想通，是不是可以直接上网呢。需要在交换机上加路由
ip route 0.0.0.0 0.0.0.0 192.168.2.10 么，上面的防火墙需要做什么回指路由么？

还是说直接就保持目前就可以上网了！
谢啦！

追答

要加路由，交换机一条路由出去外面，也就是你刚才写的那条。另外，防火墙还需要添加vlan 10、30回来的路由。