这个问题怎么解决？

wmj7928

pc1和pc2所在的2个部门不能互相访问（不一定要划vlan），但2个部门都能上internet，

lugelg

。。。。。。。。你这水贴~！哈哈

[ 本帖最后由 lugelg 于 2009-3-25 10:22 编辑 ]

wmj7928

原帖由 xiao8206 于 2009-3-25 10:11 发表
access-list 100 deny tcp host a host b
access-list 100 permit any any

这规则放在什么地方呢？在路由器上不起作用的，在交换机上的话，好像规则也不用那么做啊

wmj7928

我原来的想法是在路由器上做单臂，但不知道下面这样的配置能不能实现，？（没在设备上做实验）
然后在交换机上划vlan，在路由器e1接口上做acl,阻止不能部门间的互访，
nat address-group 0 60.191.55.55 60.191.55.60
acl number 2000
rule normal permit source 192.168.0.0 0.0.255.255
rule normal deny source any
interface Ethernet0/0
ip address 60.191.55.55 255.255.255.0  #出口
nat outbound 2000 address-group 0  
interface Ethernet0/0.1
ip address 192.168.0.1 255.255.255.0  #子接口
interface Ethernet0/0.2
ip address 192.168.1.1 255.255.255.0  #子接口
ip route-static 0.0.0.0 0.0.0.0 60.191.*。*  preference 60

wmj7928

原帖由 xiao8206 于 2009-3-25 10:51 发表
你用的模拟机器交换没有access-list命令吧？？我刚去看了下没有这个命令，通过你给的top，建议用真机或者小凡的模拟器看看！~

呵呵，模拟器上是没access-list