怎么配置 VLAN ACL，详细解答

VLAN ACL（Access Control List）是一种用于控制 VLAN 流量的策略，可以通过配置允许或者拒绝不同 VLAN 之间的数据包流量，并指定允许或拒绝的端口、协议、源地址和目的地址等信息。下面是详细的配置步骤：

1. 创建 VLAN ACL

在交换机上创建 VLAN ACL，可以使用以下命令：

Switch(config)# ip access-list extended VLAN-ACL-NAME

其中，VLAN-ACL-NAME 是 VLAN ACL 的名称，可以根据需要自定义。

2. 配置 VLAN ACL 规则

在创建 VLAN ACL 后，需要配置允许或者拒绝不同 VLAN 之间的数据包流量。可以使用以下命令来配置规则：

Switch(config-ext-nacl)# permit/deny protocol source-address source-mask [operator port] destination-address destination-mask [operator port]

其中，permit 表示允许该规则匹配的数据包通过，deny 表示拒绝该规则匹配的数据包通过。protocol 表示协议类型，可以是 TCP、UDP、ICMP 等。source-address 和 source-mask 表示源地址和子网掩码，destination-address 和 destination-mask 表示目标地址和子网掩码。operator 和 port 表示操作符和端口号，可以根据需要进行配置。

例如，如果要禁止 VLAN 10 和 VLAN 20 之间的 ICMP 流量，可以使用以下命令：

Switch(config-ext-nacl)# deny icmp 10.0.0.0 0.255.255.255 20.0.0.0 0.255.255.255

3. 应用 VLAN ACL

在配置完成 VLAN ACL 规则后，需要将该 VLAN ACL 应用到相应的 VLAN 接口上，以限制该接口上的数据流量。可以使用以下命令来应用 VLAN ACL：

Switch(config)# interface vlan VLAN-ID
Switch(config-if)# ip access-group VLAN-ACL-NAME {in | out}

其中，VLAN-ID 是要应用 VLAN ACL 的 VLAN ID，VLAN-ACL-NAME 是要应用的 VLAN ACL 的名称，in 和 out 表示该规则应用于数据包进入或离开该接口。

例如，如果要将 VLAN ACL 应用于 VLAN 10 接口的数据包进入方向，可以使用以下命令：

Switch(config)# interface vlan 10
Switch(config-if)# ip access-group VLAN-ACL-NAME in

通过以上步骤的配置，就可以实现限制不同 VLAN 之间的流量。需要注意的是，VLAN ACL 可以有多个规则，可以根据需要进行配置。同时，配置 VLAN ACL 时需要仔细检查规则，确保不会阻止需要允许的流量通过。