單臂路由+SUPERVLAN+時間ACL

路由器與二層交換機之間的單臂路由序號?子接口號HfoijVhn3n1vian2vian3間的j條鏈路序號?子接口號HfoijVhn3n1vian2vian3間的j條鏈路如圖置如下：router(config)#interface接口類.-router(config-subif)#encapsulation'dotlqrouter(config-subif)#ipaddressip_addresssubnetmask如圖實例假設(shè)3個vlan中各有3臺pc配置如下：router(config)#interf0/0.1router(config-subif)#encapsulationdot1q1router(config-subif)#ipaddressrouter(config-subif)#noshutdownrouter(config)#interf0/0.2router(config-subif)#encapsulationdot1q2router(config-subif)#ipaddressrouter(config-subif)#noshutdownrouter(config)#interf0/0.3router(config-subif)#encapsulationdot1q3router(config-subif)#ipaddressrouter(config-subif)#noshutdownrouter(config)#intf0/0router(config-if)#noshutdown乞換機之間也在路由器與交換機連接的端口上配置子接口,每個子接口的ip地址是每個vlan的網(wǎng)關(guān)地址,并在子接口上封裝802.1q交換機和路由器相連的口要打上trunkswitch(config)#interfacef0/12switch(config-if)#switchportmodetrunk然后在3個vlan里的分別給3臺pc配上相應的ip地址相互應該可以ping通基于時間的ACL應用例:在每周工作時間段內(nèi)禁止HTTP的數(shù)據(jù)流步驟如下:Switch#configureterminal!進入全局配置模式Enterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#time-rangeno-http!進入一個time-range名為no-http的配置模塊2006-03-1615:18:40@5-CONFIG:ConfiguredfromoutbandSwitch(config-time-range)#periodicweekdays8:00to18:00!設(shè)置周期時間.這里指每周的星期一到星期五2006-03-1615:18:59@5-CONFIG:ConfiguredfromoutbandSwitch(config-time-range)#exit!退回到上一級.即全局配置模式2006-03-1615:19:55@5-CONFIG:ConfiguredfromoutbandSwitch(config)#ipaccess-listextendedlimit_udp!設(shè)置一個ACL名,并且進入這個ACL配置模塊2006-03-1615:21:52@5-CONFIG:ConfiguredfromoutbandSwitch(config-ext-nacl)#denytcpanyanyeqwwwtime-rangeno-http!在no-http這個周期時間內(nèi)禁止所有的HTTP的數(shù)據(jù)流2006-03-1615:23:22@5-CONFIG:ConfiguredfromoutbandSwitch(config)#interfacefastEthernet0/2!進入需要應用此ACL的接口2006-03-1615:40:52@5-CONFIG:ConfiguredfromoutbandSwitch(config-if)#ipaccess-grouplimit_udpin!應用limit_udp限制2006-03-1615:41:05@5-CONFIG:ConfiguredfromoutbandACLipaccess-liststantestpermit/denya.a.a.aa.a.a.a反碼intf0/1(或vlan10)ipaccess-grouptestinipaccess-listextetestpermit/denyip/tcp/icmpa.a.a.aa.a.a.a(反碼)b.b.b.bb.b.b.b(eqftp/www/telnet...)intf0/1(或vlan10)ipaccess-grouptestinaccess數(shù)字(1-99標準，100-199擴展)permit/deny協(xié)議(ip/icmp...標準不要協(xié)議，擴展要指定協(xié)議)例access100denyipaccess100permitipanyanyintf0/1ipaccess-group100in/outSuperVLAN【實驗拓撲圖】如上圖是用SuperVLAN的例子，要求SubVLAN2和SubVLAN4的主機可以進行通信，其設(shè)備的配置如下：（只列出相關(guān)的部分）vlan2#設(shè)置SubVLAN2下的IP地址空間subvlan-address-range00!vlan3supervlansubvlan2,4!vlan4#設(shè)置SubVLAN4下的IP地址空間subvlan-address-range0154!設(shè)置端口interfaceFastEthernet0/23為SubVLAN2加入成員口switc