1，試驗拓撲：
兩臺7609做核心交換，配置上N個vlan，其中vlan199的HSRP active在7609-A上，vlan208的HSRP active在7609-B上。
訪問控制的需求：
1..其他網段可以訪問vlan208的任何端口
2..vlan208不能訪問 250 254等管理網段的任何端口
3..vlan208可以訪問其他服務網段的服務端口 如80 8080 443 7001 5200 1521
4..vlan208 可以訪問vlan201 的 TCP/UDP 32768--65535 udp/tcp 111 udp/tcp 2049 這些端口組成了nfs的服務
2，配置如下：
ip access-list extended tov208
permit tcp any 192.168.208.0 0.0.0.255 reflect remain timeout 120
permit udp any 192.168.208.0 0.0.0.255 reflect remain
permit ip any any
ip access-list extended fromv208
permit icmp any any
evaluate remain
deny tcp any 192.168.250.0 0.0.0.255
deny udp any 192.168.250.0 0.0.0.255
deny tcp any 192.168.254.0 0.0.0.255
deny udp any 192.168.254.0 0.0.0.255
permit tcp any any eq www
permit tcp any any eq 8080
permit tcp any any eq 443
permit tcp any any eq 7001
permit tcp any any eq 5200
permit tcp any any eq 1521
permit tcp any 192.168.201.0 0.0.0.255 eq 111
permit udp any 192.168.201.0 0.0.0.255 eq 111
permit tcp any 192.168.201.0 0.0.0.255 eq 2049
permit udp any 192.168.201.0 0.0.0.255 eq 2049
permit tcp any 192.168.201.0 0.0.0.255 gt 32767
permit udp any 192.168.201.0 0.0.0.255 gt 32767
permit ip any host 224.0.0.2
int vlan 208
ip access-group fromv208 in
ip access-group tov208 out
no ip unreachables
3，結果分析
測試成功。但是同時出現(xiàn)了新問題：
vlan199訪問不了vlan208(在vlan199端設備上telnet 192.168.208.4 8080)
分析原因：
在7609-A上vlan199為active，vlan208為standby，所以在7609-A上，數據從vlan199到vlan208的數據匹配tov208后產生一條自反acl。但是這條acl不會同步到7609-B上去，所以回來的數據流到達vlan208后匹配不到acl，所以也就丟棄了。請注意路由器嚴格按照路由表來執(zhí)行路由查找工作。
