拓扑图
要求

  3750配置：
  3750#conf t
  3750(config)#int f0/15
  3750(config-if)#switchport mode trunk
  3750(config)#end
  3750#vlan database
  3750(vlan)#vtp server
  3750(vlan)#vtp domain sy
  3750(vlan)#vtp password cisco
  3750(vlan)#vlan 10
  3750(vlan)#vlan 20
  3750(vlan)#vlan 30
  3750(vlan)#vlan 40
  3750(vlan)#vlan 100
  3750(vlan)#exit
  3750(config)#ip routing
  3750(config)#int vlan 10
  3750(config-if)#ip address 192.168.10.1 255.255.255.0
  3750(config-if)#no shutdown
  3750(config-if)#exit
  3750(config)#int vlan 20
  3750(config-if)#ip address 192.168.20.1 255.255.255.0
  3750(config-if)#no shutdown
  3750(config-if)#exit
  3750(config)#int vlan 30
  3750(config-if)#ip address 192.168.30.1 255.255.255.0
  3750(config-if)#no shutdown
  3750(config-if)#exit
  3750(config)#int vlan 40
  3750(config-if)#ip address 192.168.40.1 255.255.255.0
  3750(config-if)#no shutdown
  3750(config-if)#exit
  3750(config)#int vlan 100
  3750(config-if)#ip address 192.168.100.1 255.255.255.0
  3750(config-if)#no shutdown
  3750(config-if)#exit
  3750(config)#end
  3750(config)#int f0/1
  3750(config-if)#switchport access vlan 100
  3750(config-if)#end
 
  配置ACL
  3750#conf t
  3750(config)#access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
  3750(config)#access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
  3750(config)#access-list 100 permit ip any any
  3750(config)#access-list 101 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
  3750(config)#access-list 101 deny ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255
  3750(config)#access-list 101 permit ip any any
  3750(config)#access-list 102 deny ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255
  3750(config)#access-list 102 deny ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255
  3750(config)#access-list 102 permit ip any any
  3750(config)#ip access-list extended infilter //在入方向放置reflect//
  3750(config-ext-nacl)#permit ip any any reflect ccna
  3750(config-ext-nacl)#exit有关桥的诗句
  3750(config)#ip access-list extended outfilter //在出方向放置evaluate//
  3750(config-ext-nacl)#evaluate ccna
  3750(config-ext-nacl)#deny ip 192.168.10.0 0.0.0.255 any
  3750(config-ext-nacl)#deny ip 192.168.20.0 0.0.0.255 any
  3750(config-ext-nacl)#deny ip 192.168.30.0 0.0.0.255 any
  3750(config-ext-nacl)#permit ip any any
  3750(config-ext-nacl)#exit
  3750(config)#int vlan 40 //应用到管理接口//
  3750(config-if)#ip access-group infilter in
  3750(config-if)#ip access-group outfilter out
  3750(config-if)#exit
  3750(config)#int vlan 10
  3750(config-if)#ip access-group 100 in
  3750(config-if)#exit
  3750(config)#int vlan 20
  3750(config-if)#ip access-group 101 in
  3750(config-if)#exit
  3750(config)#int vlan 30
  3750(config-if)#ip access-group 102 in
  3750(config-if)#end
 
  2960配置：
  2960#conf t
  2960(config)#int f0/15
  2960(config-if)#switchport mode trunk
  2960(config-if)#switchport trunk encapsulation dot1q
  2960(config-if)#end
  2960#vlan database
  2960(vlan)#vtp client
  2960(vlan)#vtp domain sy
  职称类考试2960(vlan)#vtp password cisco
  2960(vlan)#exit
 
  2960#show vtp status
  VTP Version : 2
  Configuration Revision : 2
  Maximum VLANs supported locally : 256
  Number of existing VLANs : 10
  VTP Operating Mode : Client
  VTP Domain Name : sy
  VTP Pruning Mode : Enabled
  VTP V2 Mode : Disabled
  VTP Traps Generation : Disabled
  MD5 digest : 0x4D 0xA8 0xC9 0x00 0xDC 0x58 0x2F 0xDD
  Configuration last modified by 0.0.0.0 at 3-1-02 00:13:34
 
 
  2960#show vlan-sw brief
 
  VLAN Name Status Ports
  ---- -------------------------------- --------- -------------------------------
  1 default active Fa0/0, Fa0/1, Fa0/2, Fa0/3
  Fa0/4, Fa0/5, Fa0/6, Fa0/7
  Fa0/8, Fa0/9, Fa0/10, Fa0/11
  Fa0/12, Fa0/13, Fa0/14
  10 VLAN0010 active
  20 VLAN0020 active
  30 VLAN0030 active
  40 VLAN0040 active
  100 VLAN0100 active
  1002 fddi-default active
  1003 token-ring-default active
  1004 fddinet-default active
  1005 trnet-default active
 
  2960#conf t
  2960(config)#int f0/1
  2960(config-if)#switchport access vlan 10
  2960(config-if)#int f0/2
  2960(config-if)#switchport access vlan 20
  2960(config-if)#int f0/3
  2960(config-if)#switchport access vlan 30
  2960(config-if)#int f0/4
  2960(config-if)#switchport access vlan 40
  2960(config-if)#end
 
  客户机验证：
 
  PC1：
  PC1#ping 192.168.20.20
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.20.20, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC1#ping 192.168.30.30
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.30.30, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC1#ping 192.168.40.40
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.40.40, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC1#ping 192.168.100.100
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.100.100, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 104/268/336 ms
 
  PC2：
  PC2#ping 192.168.10.10
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.10.10, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC2#ping 192.168.30.30
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.30.30, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC2#ping 192.168.40.40
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.40.40, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC2#ping 192.168.100.100
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.100.100, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 56/170/336 ms
 
  PC3：
  PC3#ping 192.168.10.10
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.10.10, timeout is 2 seconds:
  .U.U.
  Success rate is 0 percent (0/5)
  PC3#ping 192.168.20.20
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.20.20, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC3#ping 192.168.40.40
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.40.40, timeout is 2 seconds:
  U.U.U
  Success rate is 0 percent (0/5)
  PC3#ping 192.168.100.100
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.100.100, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 144/218/416 ms
 
  PC4：
  PC4#ping 192.168.10.10
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.10.10, timeout is 2 seconds:
  .!!!!
  Success rate is 80 percent (4/5), round-trip min/avg/max = 240/331/508 ms
  PC4#ping 192.168.20.20
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.20.20, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 220/288/356 ms
  PC4#ping 192.168.30.30
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.30.30, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 144/207/268 ms
  PC4#ping 192.168.100.100
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.100.100, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 96/219/440 ms
 
  PC5：
  PC5#ping 192.168.10.10
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.10.10, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 92/194/284 ms
  PC5#ping 192.168.20.20
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.20.20, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 144/209/336 ms
  PC5#ping 192.168.30.30
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.30.30, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 64/184/372 ms
  PC5#ping 192.168.40.40
  Type escape sequence to abort.
  Sending 5, 100-byte ICMP Echos to 192.168.40.40, timeout is 2 seconds:
  !!!!!
  Success rate is 100 percent (5/5), round-trip min/avg/max = 192/239/308 ms
什么是ACL?
  访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。
　　访问控制列表使用原则
  由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。
  1、最小特权原则
蓝美琪
  只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。
  2、最靠近受控对象原则
  所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。
  3、默认丢弃原则
  在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所
有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。
  由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。
  标准访问列表：
  访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL
　　标准访问控制列表的格式
  访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，他是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建
相应的ACL。
  标准访问控制列表是最简单的ACL。
  它的具体格式如下：access-list ACL号 permit|deny host ip地址
  例如：access-list 10 deny host 192.168.1.1这句命令是将所有来自192.168.1.1地址的数据包丢弃。
  当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：access-list 10 deny 192.168.1.0 0.0.0.255
  通过上面的配置将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是0.0.0.255呢?这是因为CISCO规定在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。
  小提示：对于标准访问控制列表来说，默认的命令是HOST，也就是说access-list 10 deny 192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯，可以省去我们输入host命令。
  标准访问控制列表实例一
  我们采用如图所示的网络结构。路由器连接了二个网段，分别为172.16.4.0/24，172.16.3.0/24。在石油加工172.16.4.0/24网段中有一台服务器提供WWW服务，IP地址为172.16.4.13。
  实例天猫 淘宝商城男装1：禁止172.16.4.0/24网段中除172.16.4.13这台计算机访问172.16.3.0/24的计算机。172.16.4.13可以正常访问172.16.3.0/24。
  路由器配置命令
  access-list 1 permit host 172.16.4.13 设置ACL，容许172.16.4.13的数据包通过。
  access-list 1 deny any 设置ACL，阻止其他一切IP地址进行通讯传输。
  int e 1 进入E1端口。
  ip access-group 1 in 将ACL 1宣告。
  经过设置后E1端口就只容许来自172.16.4.13这个IP地址的数据包传输出去了。来自其他IP地址的数据包都无法通过E1陈辰八卦传输。
  小提示：由于CISCO默认添加了DENY ANY的语句在每个ACL中，所以上面的access-list 1 deny any这句命令可以省略。另外在路由器连接网络不多的情况下也可以在E0端口使用ip access-group 1 out命令来宣告，宣告结果和上面最后两句命令效果一样。
标准访问控制列表实例二
  配置任务：禁止172.16.4.13这个计算机对172.16.3.0/24网段的访问，而172.16.4.0/24中的其他计算机可以正常访问。
  路由器配置命令：
  access-list 1 deny host 172.16.4.13 设置ACL，禁止172.16.4.13的数据包通过
  access-list 1 permit any 设置ACL，容许其他地址的计算机进行通讯
  int e 1 进入E1端口
  ip access-group 1 in 将ACL1宣告，同理可以进入E0端口后使用ip access-group 1 out来完成宣告。
  配置完毕后除了172.16.4.13其他IP地址都可以通过路由器正常通讯，传输数据包。
  总结：标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。
  扩展访问控制列表：
  上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢?或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务(例如WWW，FTP等)。扩展访问控制列表使用的ACL号为100到199。
　　扩展访问控制列表的格式
  刚刚我们提到了标准访问控制列表，他是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢?或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务(例如WWW，FTP等)。扩展访问控制列表使用的ACL号为100到199。
  扩展访问控制列表的格式：
  扩展访问控制列表是一种高级的ACL，配置命令的具体格式如下：
  access-list ACL号 [permit|deny] [协议] [定义过滤源主机范围] [定义过滤源端口] [定义过滤目的主机访问] [定义过滤目的端口]
  例如：access-list 101 deny tcp any host 192.168.1.1 eq www这句命令是将所有主机访问192.168.1.1这个地址网页服务(WWW)TCP连接的数据包丢弃。
  小提示：同样在扩展访问控制列表中也可以定义过滤某个网段，当然和标准访问控制列表一样需要我们使用反向掩码定义IP地址后的子网掩码。
  扩展访问控制列表实例
  我们采用如图所示的网络结构。路由器连接了二个网段，分别为172.16.4.0/24,172.16.3.0/24。在172.16.4.0/24网段中有一台服务器提供WWW服务，IP地址为172.16.4.13。
  配置任务：禁止172.16.3.0的计算机访问172.16.4.0的计算机，包括那台服务器，不过惟独可以访问172.16.4.13上的WWW服务，而其他服务不能访问。
  路由器配置命令：
  access-list 101 permit tcp any 172.16.4.13 0.0.0.0 eq www 设置ACL101，容许源地址为任意IP，目的地址为172.16.4.13主机的80端口即WWW服务。由于CISCO默认添加DENY ANY的命令，所以ACL只写此一句即可。