某企業網採用Cisco 3550 EMI作核心三層交換兼DHCP服務器，劃分三個VLAN承載不同業務，需實現地址池隔離、保留地址、跨VLAN訪問控制。本文記錄完整配置流程與關鍵命令。
網絡規劃
| VLAN | 名稱 | 網段 | 網關 | 端口範圍 | 備註 |
|---|
| 2 | server | 192.168.2.0/24 | 192.168.2.1 | Fa0/1-8 | 域控/DNS: 192.168.2.10 |
| 3 | work01 | 192.168.3.0/24 | 192.168.3.1 | Fa0/9-16 | 客戶機群1 |
| 4 | work02 | 192.168.4.0/24 | 192.168.4.1 | Fa0/17-24 | 客戶機群2 |
需求：各VLAN保留.2-.10地址；VLAN3/4互不訪問，均可訪問VLAN2；默認拒絕所有流量。
十步配置實戰
- 創建VLAN：`vlan database` → `vlan 2 name server` / `vlan 3 name work01` / `vlan 4 name work02`
- 配置SVI接口IP：`interface vlan 2/3/4` → `ip address ...` → `no shutdown`
- 端口全局參數：`interface range fa0/1-24` → `switchport mode access` → `spanning-tree portfast`
- 端口歸屬VLAN：分三組`interface range`配置`switchport access vlan x`
- 啟用DHCP服務：建立三個地址池，各配置`network`、`dns-server 192.168.2.10`、`default-router`對應網關
- 排除保留地址：`ip dhcp excluded-address 192.168.x.2 192.168.x.10` (x=2,3,4)
- 開啟三層路由：`ip routing`
- 配置ACL訪問控制：
- ACL 103（VLAN3↔VLAN2）：許可雙向IP + DHCP/TFTP(UDP 67/69)
- ACL 104（VLAN4↔VLAN2）：同理
- 隱含拒絕所有其餘流量
- 應用ACL：`interface vlan 3/4` → `ip access-group 103/104 out`（VLAN2無需限制）
- 保存配置：`end` → `copy run start`
關鍵驗證點
- 各VLAN SVI狀態Up/Up
- DHCP地址池正確分配，排除段生效
- 跨VLAN Ping測試：3↔2、4↔2通；3↔4不通
- DHCP協議報文（UDP 67/69）正常穿透ACL
此配置模板可直接應用於中小企業核心接入場景，實現「一機多用、安全隔離、易於維護」。