【www.bbyears.com--ios】
一、需求
1、划分三个vlan
vlan2 server 1－8口 服务器所在网络
vlan3 work01 9－16口
vlan4 work02 17-24口
2、网关配置
192.168.2.1/24
192.168.3.1/24
192.168.4.1/24
3、DHCP及预留
每段开启DHCP，每段保留xx.2-xx.10段IP做预留用处 192.168.2.10/24 为AD域服务器,同时兼作DNS服务器,另外再增加两个备用DNS 114.114.114.114 8.8.8.8
4、路由
指定内网所有主机的下一跳路由为192.168.1.2，该IP为Juniper防火墙IP 。
5、ACL规则
VLAN 3和VLAN 4 不允许互相访问，但都可以访问服务器所在的VLAN 2,默认访问控制列表的规则是拒绝所有包。
二、配置命令及步骤
第一步：创建VLAN：
Switch#Vlan Database
Switch(Vlan)>Vlan 2 Name server
Switch(Vlan)>Vlan 3 Name work01
Switch(vlan)>Vlan 4 Name work02
第二步：设置VLAN IP地址：
代码如下 Switch#config tSwitch(Config)>int Vlan 2
Switch(Config-vlan)Ip Address 192.168.2.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)>int Vlan 3
Switch(Config-vlan)Ip Address 192.168.3.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)>int Vlan 4
Switch(Config-vlan)Ip Address 192.168.4.1 255.255.255.0
Switch(Config-vlan)No Shut
Switch(Config-vlan)Exit
注意：由于此时没有将端口分配置到VLAN2，3，4，所以各VLAN会DOWN掉，待将端口分配到各VLAN后，VLAN会起来
第三步：设置端口全局参数
代码如下 Switch(Config)interface Range GigabitEthernet1/0/1 - 24Switch(Config-if-range)Switchport Mode Access
Switch(Config-if-range)Spanning-tree Portfast
注：上面使用mode access这一段可以去掉，因为access模式主要用于PC、server等，即用在接入层模式时用可以参考百度文库上的相关文档。
第四步：将端口添加到VLAN中
代码如下 /*将端口1-8添加到VLAN 2*/Switch(Config)interface Range GigabitEthernet1/0/1 - 8
Switch(Config-if-range)Switchport Access Vlan 2
/*将端口9-16添加到VLAN 3*/
Switch(Config)interface Range GigabitEthernet1/0/9 - 16
Switch(Config-if-range)Switchport Access Vlan 3
/*将端口17-24添加到VLAN 4*/
Switch(Config)interface Range GigabitEthernet1/0/17 - 24
Switch(Config-if-range)Switchport Access Vlan 4
Switch(Config-if-range)Exit
/*经过这一步后，各VLAN会起来*/
第五步：配置DHCP服务器及地址池
代码如下 /*VLAN 2可用地址池和相应参数的配置,有几个VLAN要设几个地址池*/Switch(Config)Ip Dhcp Pool Test01
/*设置可分配的子网*/
Switch(Config-pool)Network 192.168.2.0 255.255.255.0
/*设置DNS服务器*/
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
/*设置该子网的网关*/
Switch(Config-pool)Default-router 192.168.2.1
/*配置VLAN 3所用的地址池和相应参数*/
Switch(Config)Ip Dhcp Pool Test02
Switch(Config-pool)Network 192.168.3.0 255.255.255.0
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
Switch(Config-pool)Default-router 192.168.3.1
/*配置VLAN 4所用的地址池和相应参数*/
Switch(Config)Ip Dhcp Pool Test03
Switch(Config-pool)Network 192.168.4.0 255.255.255.0
Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8
Switch(Config-pool)Default-router 192.168.4.1
注：DHCP和VLAN之间是通过IP衔接的 ，VLAN的网关地址和DHCP池的默认网络地址和网关地址之间进行关联后，就可以知道具体插到某个物理口时，是否能通过DHCP获取到地址。
第六步:设置DHCP保留不分配的地址
代码如下 Switch(Config)Ip Dhcp Excluded-address 192.168.2.2 192.168.2.10Switch(Config)Ip Dhcp Excluded-address 192.168.3.2 192.168.3.10
Switch(Config)Ip Dhcp Excluded-address 192.168.4.2 192.168.4.10
第七步:路由及静态路由
/
代码如下 *配置该步后，各vlan间可以互访*/Switch(config)#ip routing
/* 增加静态路由,所有机器的外网请求指向juniper防火墙 */
Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2
第八步:配置访问控制列表
代码如下 Switch(Config)access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255Switch(Config)access-list 103 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 103 permit udp any any eq bootpc
Switch(Config)access-list 103 permit udp any any eq tftp
Switch(Config)access-list 103 permit udp any eq bootpc any
Switch(Config)access-list 103 permit udp any eq tftp any
Switch(Config)access-list 104 permit ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
Switch(Config)access-list 104 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 104 permit udp any eq tftp any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq tftp any
第九步:应用访问控制列表
代码如下 /*将访问控制列表应用到VLAN 3和VLAN 4,VLAN 2不需要*/Switch(Config)int Vlan 3
Switch(Config-vlan)ip access-group 103 out
Switch(Config-vlan)int Vlan 4
Switch(Config-vlan)ip access-group 104 out
第十步：保存配置并确认
代码如下 Switch#write memorySwitch#show run-config
/*会输出上面的所有配置信息*/
三、测试
按上面的配置完成后，通过将PC接入到相应的端口，查看是否能获取到地址，两台PC时，分别处于不同的vlan之间时是否可以互访 。
原文来自:361way.com