三层交换机的配置和ACL访问控制（标准控制和扩展控制）策略的应用

这是一个简单的三层拓扑图示，如上图示，我们需要划分两个VLAN 10 20并且他们之间是可以通信的。

创建VLAN 10和VLAN20 进入接口把端口性质配置成access 把这个接口加入到VLAN10 激活端口 进入g0/0/1接口，把这个接口性质配置成trunk。 允许VLAN10和VLAN20通过这个trunk

创建VLAN10和VLAN20 进入VLAN10接口配置IP地址，也是内网网关 记得要激活端口哦！ 大致配置就是这样的。

信息点间通信和内外网络的通信都是企业网络中必不可少的业务需求，但是为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。而ACL（访问控制列表）可以过滤网络中的流量，控制访问的一种网络技术手段。实际上，ACL的本质就是用于描述一个IP 数据包、以太网数据帧若干特征的集合。然后根据这些集合去匹配网络中的流量（由大量数据包组成），同时根据策略来“允许”或者“禁止”。

（1）ACL可以限制网络流量、提高网络性能。 （2）ACL提供对通信流量的控制手段。 （3）ACL是提供网络安全访问的基本手段。 （4）ACL 可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。

基于源IP地址过滤，列表号2000-2999，标准列表应用在靠近目标的接口上面。标准型 ACL只能匹配源IP 地址，在应用中有三种匹配的方式： 1、 any，指任意地址 2、 ，指定某个IP 网段 3、 src_range ，指定 IP 的地址范围

扩展型 ACL可匹配多个条目，常用的项目有源、目的IP ，源、目的端口号，以及 ip协议号（种类）等，可以用来满足绝大多数的应用。列表号3000-3999，扩展列表应用在靠近源的接口。在一个条件中，这些项目的前后顺序如下：协议号，源ip地址，源端口号，目的ip地址，目的端 口号。

一个端口执行哪条ACL，这需要按照列表中的条件语句执行顺序来判断。这里要注意，ACL不能对本身产生的数据包进行控制。 （1）如果一个数据包的报头跟表中某个条件判断语句相匹配，那么后面的语句就将被忽略，不再进行检查。数据包只有在跟第一个判断条件不匹配时，它才被交给ACL 中的下一个条件判断语句进行比较。 （2）如果匹配（假设为允许发送），则不管是第 一条还是最后一条语句，数据都会立即发送到目的接口。 （3）如果所有的ACL判断语句都检测完毕，仍没有匹配的语句出口，则该数据包将视为被拒绝而被丢弃（隐含拒绝：deny any ）。

在出端口：正离开路由器接口的数据包已经经过路由器的处理，所以acl策略只对下一个路由器生效，对本地路由器无效。 在入端口：已到达路由器接口的数据包将会被路由器处理，所以acl策略对本机路由器生效。

到此实现了全网互通，否则上面的配置就有问题，应该检查排错。

检测VLAN10网段pingVLAN20网段是不能通信的

在AR1上面访问ftp服务是无法访问的，在AR2上面是可以访问到的 在AR1上面访问ftp服务 在AR2上面访问ftp服务