S2700-EI支持丰富的ACL策略控制，特别支持基于VLAN下发ACL规则，实现VLAN内多端口的灵活控制和统一资源调度。而S3700、S5700更是三层交换机，以及为运营商提供的S2300、S3300、5300以及S9300，当然支持基于VLAN的ACL，而华三的交换机， 二层交换

PC3直连 SW2 属于 vlan 2，网关为 vlanif 2 接口地址192.168.2.1/24;

PC4直连 SW2 属于 vlan 3，网关为 vlanif 3 接口地址 192.168.3.1/24；

S2700-EI支持丰富的ACL策略控制，特别支持基于VLAN下发ACL规则，实现VLAN内多端口的灵活控制和统一资源调度。而S3700、S5700更是三层交换机，以及为运营商提供的S2300、S3300、5300以及S9300，当然支持基于VLAN的ACL，而华三的交换机， 二层交换

PC5直连 SW3 属于 vlan 4，网关为 vlanif 4 接口地址 192.168.4.1/24；

你的是单臂路由器。需要通过配置子接口。。。 如果你的交换机是三层的话,直接在交换机上配置VLAN间互访即可。

通过配置实现各PC 电脑之间的互访通信

假设5700的0/0/1口接路由器,并且分配的地址是1.1.1.2/30,vlan10,然后划分vlan20,(地址 vlanif 10 #进入vlan10接口 ip address 1.1.1.2 30 #为vlan10分配三层接口地址 quit vlan 2

材料/工具

华为三层交换机

配置vlan 1、生成、修改以太网VLAN 第一步:system-view 进入配置状态 第二步:vlan vlan-id 输入一个VLAN号,然后进入VLAN配置状态, 可以输入一个新的VLAN号或旧的来进

方法

创建 vlan

interface Vlanif1 //Vlan1的三层接口 ip address dhcp-alloc //设置Vlan1的三层接口从DH authentication-mode none //认证模式无,即直接telnet该交换机地址不需要认证就可以登

<SW1> system-view//进入系统模式

(3)在三层交换机上配置VLAN2、VLAN3,此时验证二层交换机VLAN2、VLAN3下带主机之间不能互相通信; (4)设置三层交换机VLAN间通信,创建VLAN2、3的虚拟接口,并配置

[SW1] vlan batch 2 to 5 //批量新建 vlan 2 到 5

华为交换机划分Vlan方法很多,基于端口的是最常见的一种,具体方法: 1、首先创建vlan:vlan xx 2、把接口放入vlan中,有两种方法: 1.在vlan视图下:port interface x x 2.在接口视

把接口加入相应 vlan，并配置端口属性。

实现的方法很多其实 你可以在1楼2楼3楼分别设置为vlan2 3 4 不过不要在2层交换上划分vlan而已 在三层上划分 然后在三层每个vlan的in方向做vlan不能互通的acl就行了 server

# SW1----SW2---PC，接口配置成 trunk 模式

这是你们的核心交换机么?能不能麻烦您提供一下核心交换机Vlan的作用端口,就是说每个vlan的汇聚口是哪个,然后我试试给一段命令脚本给您试试……

[SW1] interface GigabitEthernet 0/0/2

交换机都支持 华为交换机连接普通24换机端口设置为trunk模式,然后在把pc1和pc3划分到vlan 1 ; pc2和pc4划分到vlan 2就可以了。 普通24换机不能配置vlan,那就需

[SW1-GigabitEthernet0/0/2] port link-type trunk //链路类型为 trunk 模式[SW1-GigabitEthernet0/0/2] port trunk allow-pass vlan 2 to 3

交换路由器”或者“路由交换机”。因为高端设备看板卡的配置。 以华为为例,华为 3层板之分!2层就是交换板,3层是路由板,如果是交换板,只能在VLAN接口下配置IP,如果

[SW1-GigabitEthernet0/0/2] quit#

100中,f0/6– 10口划分到vlan 200中,f0/11 – 15号端口划分到vlan 300中,并全部配置成access模式。 3:使用show vlan显示SW3的vlan配置信息,可以看出配置正确) 4:交换机如

SW1---SW3---PC，接口配置成 access 模式

hcp-server 0 192.168.1.1 dhcp服务器地址 # int vlan 1 dhcp-server 0 # 基本上就是这样了。在vlan接口下绑定dhcp。 可以上华为网站找数据通信下载手册找dhcp设置

[SW1] interface GigabitEthernet0/0/3

三层交换机上划分vlan,配置VLAN if接口ip,就能够实现vlan互访。 访问:在交换机上面配置默认路由,下一跳地址指向路由器连接交换机的接口IP。路由器配置默认路由,下一

[SW1-GigabitEthernet0/0/3] port link-type access //链路类型为 access[SW1-GigabitEthernet0/0/3] port default vlan 4

并方通所有vlan通过。 而S3352的23端口如果对方也是交换机的话也是一样设置trunk,对端也的设置trunk就可以了。 trunk就是透传vlan信息的端口模式。但trunk必须成对使用

[SW1-GigabitEthernet0/0/3] quit

hybrid还是trunk,如果查不到,就说明它是默认端口类型,S23&33&53系列的交换机默认端口类型是hybird 如果接口有类似: 1. port link-type access 或者 port default vlan 2 //vlan 2是

配置 IP 地址做为 PC 电脑的网关

看看设置了vlan的接口地址后你给这个vlan分配端口没有?可以查看一下接口状态是不是up的?思科交换机端口默认都是关闭的,必须 no shut一下

[SW1] interface Vlanif 2 //进入三层 vlanif2 接口[SW1-Vlanif2] ip address 192.168.2.1 255.255.255.0//配置 ip 地址

[SW1-Vlanif2] quit //退出 vlanif2 接口

[SW1] interface Vlanif 3

[SW1-Vlanif3] ip address 192.168.3.1 255.255.255.0

[SW1-Vlanif3] quit

[SW1] interface Vlanif 4

[SW1-Vlanif4] ip address 192.168.4.1 255.255.255.0

[SW1-Vlanif4] quit

配置 ip 地址实现和 R 路由器互联[SW1] interface Vlanif 5[SW1-Vlanif5] ip address 192.168.5.1 24 //对接 R 路由器的互联 IP 地址配置完成后保存配置<SW1> save

创建 vlan

interface Vlanif1 //Vlan1的三层接口 ip address dhcp-alloc //设置Vlan1的三层接口从DH authentication-mode none //认证模式无,即直接telnet该交换机地址不需要认证就可以登

[SW2] vlan batch 2 3 //新建 vlan 2 3接口

透传 vlan# SW2----SW1，接口配置成 trunk 模式

[SW2] interface GigabitEthernet0/0/1

[SW2-GigabitEthernet0/0/1] port link-type trunk //配置链路类型为 trunk

[SW2-GigabitEthernet0/0/1] port trunk allow-pass vlan 2 to 3

[SW2-GigabitEthernet0/0/1] quit

SW2---PC，接口需要配置成 access 模式

[SW2] interface GigabitEthernet0/0/23 //对接 PC1

[SW2-GigabitEthernet0/0/23] port link-type access //链路类型为 access[SW2-GigabitEthernet0/0/23] port default vlan 2

[SW2-GigabitEthernet0/0/23] quit

[SW2] interface GigabitEthernet0/0/24 //对接 PC2

[SW2-GigabitEthernet0/0/24] port link-type access

[SW2-GigabitEthernet0/0/24] port default vlan 3

[SW2-GigabitEthernet0/0/24] quit

<SW2> save

此时PC3和PC4能够互通，和PC5不能够互通，验证一下。

扩展阅读，以下内容您可能还感兴趣。

华为交换机可不可以基于VLAN做ACL，而不是物理端口，具体是什么型号，新手啊，好多都不懂

S2700-EI支持丰富的ACL策略控制，特别支持基于VLAN下发ACL规则，实现VLAN内多端口的灵活控制和统一资源调度。而S3700、S5700更是三层交换机，以及为运营商提供的S2300、S3300、5300以及S9300，当然支持基于VLAN的ACL，而华三的交换机， 二层交换机需要是EI型号，比如 S3100-26TP-EI，而SI类应该是有问题，没有试过，华三 S3600、S5120EI，S5500，S5800，S7500及以上三层交换机也都支持基于VLAN的ACL。 

在思科设备上，有VLAN ACL和VACL的区别：

我们常说的VLAN之间的访问控制，它的实现方式是将ACL直接应用到VLAN的虚端口上，与应用到物理端口的ACL实现方式是一样的。而VLAN访问控制（VACL），也称为VLAN访问映射表，它的实现方式与前者完全不同。它应用于VLAN中的所有通信流，支持基于ETHERTYPE和MAC地址的过滤，可以防止未经授权的数据流进入VLAN。目前支持的VACL操作有三种：转发(forward)，丢弃(drop)，重定向(redirect)。 

1)       最后一条隐藏规则是deny ip any any，与ACL相同。

2)       VACL没有inbound和outbound之分，区别于ACL。

3)       若ACL列表中是permit，而VACL中为drop，则数据流执行drop。

4)       VACL规则应用在NAT之前。

5)       一个VACL可以用于多个VLAN中；但一个VLAN只能与一个VACL关联。

6)       VACL只有在VLAN的端口被激活后才会启用，否则状态为inactive。

在交换机上有两种访问控制列表

1.控制抵达交换机的流量的访问控制列表

2.穿越交换机的流量的访问控制列表

控制穿越流量的三种类型ACL

1.RACL：路由器ACL，路由器是可以支持的，控制的是三层的流量，可以在三层接口上做input/output的过滤

2.VACL：vlan间的ACL，这种ACL是路由器不能支持的，它可以做三层或者VLAN内部的控制，也就是二层/三层都可以做*

3.RACL：端口ACL，二层端口运用一个三层的访问控制列表，可以对VLAN间或者VLAN内部做*，只能在input方向应用

VACL的特点

1.VACL能控制vlan内的流量

2.能够对IP或者是非IP的流量进行控制

3.VACL优先RACL进行处理

4.VACL没有方向性，进入或离开都要受控制

在思科设备上，我也试过，应用也很简单。

在华三的设备上，几年前我试过，没成功，只能用以下方法，进行代替性的工作：

基于网段的限速

为了保证办公区对带宽的优先使用，决定采用按VLAN分配带宽的限速策略。由于办公区优先级别高，它的平均带宽应大于带宽总平均值，所以将30M中的10M分配给VLAN 2，10M分配给VLAN 10,10M分配给VLAN 20配置如下：

定义各个vlan的上下行ACL

acl number 3001

rule 0 permit ip source 192.168.0.0 255.255.255.0

acl number 3002 

rule 0 permit ip destination 192.168.0.0 255.255.255.0

acl number 3003 

rule 0 permit ip source 192.168.1.0 255.255.255.0

acl number 3004 

rule 0 permit ip destination 192.168.1.0 255.255.255.0   

acl number 3005

rule 0 permit ip source 192.168.2.0 255.255.255.0

acl number 3006 

rule 0 permit ip destination 192.168.2.0 255.255.255.0

interface GigabitEthernet1/0/1 //在口做限速

qos car inbound acl 3001 cir 12288000 cbs 800000 ebs 0 green pass red discard   //vlan2上行带宽*为12M

qos car inbound acl 3003 cir 12288000 cbs 800000 ebs 0 green pass red discard   //vlan10上行带宽*为12M

qos car inbound acl 3005 cir 12288000 cbs 800000 ebs 0 green pass red discard   //vlan20上行带宽*为12M

qos car outbound acl 3002 cir 12288000 cbs 800000 ebs 0 green pass red discard  //vlan2下行带宽*为12M

qos car outbound acl 3004 cir 12288000 cbs 800000 ebs 0 green pass red discard  //vlan10下行带宽*为12M

qos car outbound acl 3006 cir 12288000 cbs 800000 ebs 0 green pass red discard  //vlan20下行带宽*为12M

interface GigabitEthernet1/0/3 //在内网口做每IP限速

qos car inbound acl 3001 cir 2000000 cbs 100000 ebs 0 green pass red discard   //vlan2上行带宽*为2M

qos car inbound acl 3003 cir 2000000 cbs 100000 ebs 0 green pass red discard   //vlan10上行带宽*为2M

qos car inbound acl 3005 cir 2000000 cbs 100000 ebs 0 green pass red discard   //vlan20上行带宽*为2M

qos car outbound acl 3002 cir 2000000 cbs 100000 ebs 0 green pass red discard  //vlan2下行带宽*为2M

qos car outbound acl 3004 cir 2000000 cbs 100000 ebs 0 green pass red discard  //vlan10下行带宽*为2M

qos car outbound acl 3006 cir 2000000 cbs 100000 ebs 0 green pass red discard  //vlan20下行带宽*为2M

可以通过运行display qos car interface命令查看每条限速命令是否已生效

其他应用，需要实际应用的时候试试看了。 

这是几年前开局时用过的，现在的交换机软件版本更新太快，这个做法，现在已经做不出来了。

现在最常用的，就是在华为X7系列以及X3交换机上做基于IP地址的ACL：

#

 sysname Quidway

#

 time-range server1 09:00 to 18:00 working-day

#

acl number 3001

 rule 1 deny ip destination 192.168.2.1 0 time-range server1

#

interface GigabitEthernet0/0/1

 traffic-filter inbound acl 3001 rule 1

return

刚才找了台机器试了下，华在X3，X7系列都支持，在WEB页面可以配置。将ACL应用到VLAN。

请问，华为2309系列交换机，本身可以对端口限速，可以基于VLAN限速吗，如果可以对VLAN限速，请问配置方式

此交换机不支持acl方式限速。

型号太低。

华为交换机可不可以基于VLAN做ACL，而不是物理端口，具体是什么型号，新手啊，好多都不懂

S2700-EI支持丰富的ACL策略控制，特别支持基于VLAN下发ACL规则，实现VLAN内多端口的灵活控制和统一资源调度。而S3700、S5700更是三层交换机，以及为运营商提供的S2300、S3300、5300以及S9300，当然支持基于VLAN的ACL，而华三的交换机， 二层交换机需要是EI型号，比如 S3100-26TP-EI，而SI类应该是有问题，没有试过，华三 S3600、S5120EI，S5500，S5800，S7500及以上三层交换机也都支持基于VLAN的ACL。 

在思科设备上，有VLAN ACL和VACL的区别：

我们常说的VLAN之间的访问控制，它的实现方式是将ACL直接应用到VLAN的虚端口上，与应用到物理端口的ACL实现方式是一样的。而VLAN访问控制（VACL），也称为VLAN访问映射表，它的实现方式与前者完全不同。它应用于VLAN中的所有通信流，支持基于ETHERTYPE和MAC地址的过滤，可以防止未经授权的数据流进入VLAN。目前支持的VACL操作有三种：转发(forward)，丢弃(drop)，重定向(redirect)。 

1)       最后一条隐藏规则是deny ip any any，与ACL相同。

2)       VACL没有inbound和outbound之分，区别于ACL。

3)       若ACL列表中是permit，而VACL中为drop，则数据流执行drop。

4)       VACL规则应用在NAT之前。

5)       一个VACL可以用于多个VLAN中；但一个VLAN只能与一个VACL关联。

6)       VACL只有在VLAN的端口被激活后才会启用，否则状态为inactive。

在交换机上有两种访问控制列表

1.控制抵达交换机的流量的访问控制列表

2.穿越交换机的流量的访问控制列表

控制穿越流量的三种类型ACL

1.RACL：路由器ACL，路由器是可以支持的，控制的是三层的流量，可以在三层接口上做input/output的过滤

2.VACL：vlan间的ACL，这种ACL是路由器不能支持的，它可以做三层或者VLAN内部的控制，也就是二层/三层都可以做*

3.RACL：端口ACL，二层端口运用一个三层的访问控制列表，可以对VLAN间或者VLAN内部做*，只能在input方向应用

VACL的特点

1.VACL能控制vlan内的流量

2.能够对IP或者是非IP的流量进行控制

3.VACL优先RACL进行处理

4.VACL没有方向性，进入或离开都要受控制

在思科设备上，我也试过，应用也很简单。

在华三的设备上，几年前我试过，没成功，只能用以下方法，进行代替性的工作：

基于网段的限速

为了保证办公区对带宽的优先使用，决定采用按VLAN分配带宽的限速策略。由于办公区优先级别高，它的平均带宽应大于带宽总平均值，所以将30M中的10M分配给VLAN 2，10M分配给VLAN 10,10M分配给VLAN 20配置如下：

定义各个vlan的上下行ACL

acl number 3001

rule 0 permit ip source 192.168.0.0 255.255.255.0

acl number 3002 

rule 0 permit ip destination 192.168.0.0 255.255.255.0

acl number 3003 

rule 0 permit ip source 192.168.1.0 255.255.255.0

acl number 3004 

rule 0 permit ip destination 192.168.1.0 255.255.255.0   

acl number 3005

rule 0 permit ip source 192.168.2.0 255.255.255.0

acl number 3006 

rule 0 permit ip destination 192.168.2.0 255.255.255.0

interface GigabitEthernet1/0/1 //在口做限速

qos car inbound acl 3001 cir 12288000 cbs 800000 ebs 0 green pass red discard   //vlan2上行带宽*为12M

qos car inbound acl 3003 cir 12288000 cbs 800000 ebs 0 green pass red discard   //vlan10上行带宽*为12M

qos car inbound acl 3005 cir 12288000 cbs 800000 ebs 0 green pass red discard   //vlan20上行带宽*为12M

qos car outbound acl 3002 cir 12288000 cbs 800000 ebs 0 green pass red discard  //vlan2下行带宽*为12M

qos car outbound acl 3004 cir 12288000 cbs 800000 ebs 0 green pass red discard  //vlan10下行带宽*为12M

qos car outbound acl 3006 cir 12288000 cbs 800000 ebs 0 green pass red discard  //vlan20下行带宽*为12M

interface GigabitEthernet1/0/3 //在内网口做每IP限速

qos car inbound acl 3001 cir 2000000 cbs 100000 ebs 0 green pass red discard   //vlan2上行带宽*为2M

qos car inbound acl 3003 cir 2000000 cbs 100000 ebs 0 green pass red discard   //vlan10上行带宽*为2M

qos car inbound acl 3005 cir 2000000 cbs 100000 ebs 0 green pass red discard   //vlan20上行带宽*为2M

qos car outbound acl 3002 cir 2000000 cbs 100000 ebs 0 green pass red discard  //vlan2下行带宽*为2M

qos car outbound acl 3004 cir 2000000 cbs 100000 ebs 0 green pass red discard  //vlan10下行带宽*为2M

qos car outbound acl 3006 cir 2000000 cbs 100000 ebs 0 green pass red discard  //vlan20下行带宽*为2M

可以通过运行display qos car interface命令查看每条限速命令是否已生效

其他应用，需要实际应用的时候试试看了。 

这是几年前开局时用过的，现在的交换机软件版本更新太快，这个做法，现在已经做不出来了。

现在最常用的，就是在华为X7系列以及X3交换机上做基于IP地址的ACL：

#

 sysname Quidway

#

 time-range server1 09:00 to 18:00 working-day

#

acl number 3001

 rule 1 deny ip destination 192.168.2.1 0 time-range server1

#

interface GigabitEthernet0/0/1

 traffic-filter inbound acl 3001 rule 1

return

刚才找了台机器试了下，华在X3，X7系列都支持，在WEB页面可以配置。将ACL应用到VLAN。

请问，华为2309系列交换机，本身可以对端口限速，可以基于VLAN限速吗，如果可以对VLAN限速，请问配置方式

此交换机不支持acl方式限速。

型号太低。

华为的三层交换机基于ip划分了两个vlan，交换机怎么跟路由器相连，实现通信，求具体配置

你的是单臂路由器。需要通过配置子接口。。。

如果你的交换机是三层的话，直接在交换机上配置VLAN间互访即可。