VLAN自身通信--VLAN 之间的访问控制

     1．协议与端口访问控制

     很多企业中的Windows服务器都开启了远程管理服务，但管理员又不希望，所有员工都能访问到这台服务器的端口。此时就可以使用VACL来助阵了。

     （1）配置一个ACL，以判断数据包是否是通过TCP端口3389进入的：

     Sw3750（config）# access-list 100 permit tcp any any eq 3389

     （2）配置VLAN访问映射表：
　　
     Sw3750（config）# vlan access-map TSServer 100
　　
     Sw3750（config-access-map）# match ip address 100

 　　Sw3750（config-access-map）# action drop

 　　（3）将VLAN访问控制列表应用于VLAN

 　　Sw3750（config-access-map）# vlan filter TSServer vlan-list 10-20

      
      2．主机访问控制

　　这里有一个非常简单的范例，根据下图要求，我们将针对VLAN 10定制VACL，只拒绝Host A和Host B对Server的访问，其他主机是可以通过的。

　　命令如下：

　　Sw3750（config）# access-list 101 deny ip host 10.1.1.100 host 10.1.1.1

　　Sw3750（config）# access-list 101 deny ip host 10.1.1.200 host 10.1.1.1

　　Sw3750（config）# access-list 101 permit ip any any

　　Sw3750（config）# vlan access-map Server 101

　　Sw3750（config-access-map）# match ip address 101

　　Sw3750（config-access-map）# action forward

　　Sw3750（config-access-map）# vlan filter Server vlan-list 10