公司一台cisco 3750内网交换机做核心交换机用，交换机上层为一台Juniper rtx550防火墙 。网络需求要需要配置vlan、DHCP、同时针对不同的vlan部门需要配置ACL规则 。具体需求如下
：
一、需求
1、划分三个vlan
vlan2 server 1－8口 服务器所在网络
vlan3 work01 9－16口
vlan4 work02 17-24口
<br />
2、网关配置
192.168.2.1/24
192.168.3.1/24
192.168.4.1/24
<br />
3、DHCP及预留
每段开启DHCP，每段保留xx.2-xx.10段IP做预留用处 192.168.2.10/24 为AD域服务器,同时兼作DNS服务器,另外再增加两个备用DNS 114.114.114.114 8.8.8.8
<br />
4、路由
指定内网所有主机的下一跳路由为192.168.1.2，该IP为Juniper防火墙IP 。
<br />
5、ACL规则
VLAN 3和VLAN 4 不允许互相访问，但都可以访问服务器所在的VLAN 2,默认访问控制列表的规则是拒绝所有包。
<br />
二、配置命令及步骤
<br />
第一步：创建VLAN：
Switch>en Switch#Vlan Database Switch(Vlan)>Vlan 2 Name server Switch(Vlan)>Vlan 3 Name work01 Switch(vlan)>Vlan 4 Name work02
<br />
第二步：设置VLAN IP地址：
Switch#config t Switch(Config)>int Vlan 2 Switch(Config-vlan)Ip Address 192.168.2.1 255.255.255.0 Switch(Config-vlan)No Shut Switch(Config-vlan)>int Vlan 3 Switch(Config-vlan)Ip Address 192.168.3.1 255.255.255.0 Switch(Config-vlan)No Shut Switch(Config-vlan)>int Vlan 4 Switch(Config-vlan)Ip Address 192.168.4.1 255.255.255.0 Switch(Config-vlan)No Shut Switch(Config-vlan)Exit
注意：由于此时没有将端口分配置到VLAN2，3，4，所以各VLAN会DOWN掉，待将端口分配到各VLAN后，VLAN会起来
<br />
第三步：设置端口全局参数
Switch(Config)interface Range GigabitEthernet1/0/1 - 24 Switch(Config-if-range)Switchport Mode Access Switch(Config-if-range)Spanning-tree Portfast
注：上面使用mode access这一段可以去掉，因为access模式主要用于PC、server等，即用在接入层模式时用可以参考<a href="http://wenku.baidu.com/view/465e7186b9d528ea81c7791d.html" target="_blank" rel="noopener">百度文库上的相关文档</a>。
<br />
第四步：将端口添加到VLAN中
/*将端口1-8添加到VLAN 2*/ Switch(Config)interface Range GigabitEthernet1/0/1 - 8 Switch(Config-if-range)Switchport Access Vlan 2 /*将端口9-16添加到VLAN 3*/ Switch(Config)interface Range GigabitEthernet1/0/9 - 16 Switch(Config-if-range)Switchport Access Vlan 3 /*将端口17-24添加到VLAN 4*/ Switch(Config)interface Range GigabitEthernet1/0/17 - 24 Switch(Config-if-range)Switchport Access Vlan 4 Switch(Config-if-range)Exit /*经过这一步后，各VLAN会起来*/
<br />
第五步：配置DHCP服务器及地址池
/*VLAN 2可用地址池和相应参数的配置,有几个VLAN要设几个地址池*/ Switch(Config)Ip Dhcp Pool Test01 /*设置可分配的子网*/ Switch(Config-pool)Network 192.168.2.0 255.255.255.0 /*设置DNS服务器*/ Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8 /*设置该子网的网关*/ Switch(Config-pool)Default-router 192.168.2.1 /*配置VLAN 3所用的地址池和相应参数*/ Switch(Config)Ip Dhcp Pool Test02 Switch(Config-pool)Network 192.168.3.0 255.255.255.0 Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8 Switch(Config-pool)Default-router 192.168.3.1 /*配置VLAN 4所用的地址池和相应参数*/ Switch(Config)Ip Dhcp Pool Test03 Switch(Config-pool)Network 192.168.4.0 255.255.255.0 Switch(Config-pool)dns-server 192.168.2.10 114.114.114.1148.8.8.8 Switch(Config-pool)Default-router 192.168.4.1
注：DHCP和VLAN之间是通过IP衔接的 ，VLAN的网关地址和DHCP池的默认网络地址和网关地址之间进行关联后，就可以知道具体插到某个物理口时，是否能通过DHCP获取到地址。
<br />
第六步:设置DHCP保留不分配的地址
Switch(Config)Ip Dhcp Excluded-address 192.168.2.2 192.168.2.10 Switch(Config)Ip Dhcp Excluded-address 192.168.3.2 192.168.3.10 Switch(Config)Ip Dhcp Excluded-address 192.168.4.2 192.168.4.10
<br />
第七步:路由及静态路由
/*配置该步后，各vlan间可以互访*/ Switch(config)#ip routing /* 增加静态路由,所有机器的外网请求指向juniper防火墙 */ Switch(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.2
<br />
第八步:配置访问控制列表
Switch(Config)access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255 Switch(Config)access-list 103 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255 Switch(Config)access-list 103 permit udp any any eq bootpc Switch(Config)access-list 103 permit udp any any eq tftp Switch(Config)access-list 103 permit udp any eq bootpc any Switch(Config)access-list 103 permit udp any eq tftp any Switch(Config)access-list 104 permit ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255 Switch(Config)access-list 104 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255 Switch(Config)access-list 104 permit udp any eq tftp any Switch(Config)access-list 104 permit udp any eq bootpc any Switch(Config)access-list 104 permit udp any eq bootpc any Switch(Config)access-list 104 permit udp any eq tftp any
<br />
第九步:应用访问控制列表
/*将访问控制列表应用到VLAN 3和VLAN 4,VLAN 2不需要*/ Switch(Config)int Vlan 3 Switch(Config-vlan)ip access-group 103 out Switch(Config-vlan)int Vlan 4 Switch(Config-vlan)ip access-group 104 out
<br />
第十步：保存配置并确认
<br />
Switch#write memory Switch#show run-config /*会输出上面的所有配置信息*/
<br />
三、测试
按上面的配置完成后，通过将PC接入到相应的端口，查看是否能获取到地址，两台PC时，分别处于不同的vlan之间时是否可以互访 。