一、实验目的
????????尽可能使用多种ACL实现只允许Vlan10访问Vlan40。??
二、实验拓扑
? ? 注：该拓扑使用了DHCP-VLAN间通信-OSPF综合实验的拓扑，且以该实验配置结果为原配置。
三、实验思路
① 基础ACL
????????在G0/0/3（Vlan 40）的出口配置允许Vlan 10 并禁止其他所有Vlan通过的ACL
② 高级ACL
????????在S2的G0/0/2（Vlan 30）的入口配置禁止所有通往Vlan40的ACL。
????????在R1的G0/0/0（Vlan 20）的入口配置允许Vlan 10到达所有Vlan，并禁止其他所有到达Vlan40的Vlan通过的ACL；
四、实验步骤
① 基础ACL
对S2：
[S2]acl 2000
[S2-acl-basic-2000]rule permit source 192.168.10.0 0.0.0.255
[S2-acl-basic-2000]rule deny source any
[S2-acl-basic-2000]int g0/0/3
[S2-GigabitEthernet0/0/3]traffic-filter outbound acl 2000 ② 高级ACL
对R1：
[R1]acl 3000
[R1-acl-adv-3000]rule permit ip source 192.168.10.0 0.0.0.255 destination any
[R1-acl-adv-3000]rule deny ip destination 192.168.40.0 0.0.0.255 source any
[R1-acl-adv-3000]int g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000对S2：
[S2]acl 3000
[S2-acl-adv-3000]rule deny ip destination 192.168.40.0 0.0.0.255 source any
[S2]int g0/0/2
[S2-GigabitEthernet0/0/2]traffic-filter inbound acl 3000五、实验效果
PC1（在Vlan10中）可以ping通PC4（Vlan 40）：
?其他Vlan中的PC无法ping通PC4（Vlan 40）（以PC2为例）：
?六、两种ACL比较
对于基础ACL：
① 其配置简单，但其配置在出口处，先路由后处理，造成了一定的带宽浪费。
② 同时，在S2中无法控制其他设备到Vlan网关的通信，其他Vlan中的PC仍然可以与Vlan 40 的网关通信，其实并没有完美达到实验预期。
如图：
?对于高级ACL：
① 其配置较为复杂，但其配置在入口处，先处理再路由，减少了一定的带宽消耗。
② 与简单的ACL相比，除Vlan10之外的所有Vlan都无法到达Vlan40（包括其网关），完美达到了预期效果。
如图：
