求助,关于思科ACL的VLAN间访问限制的问题

                                                           网络规划如下

VLANIP地址分配服务器IP地址分配 VLAN1(管理VLAN) 192.168.100.0/24 网络管理服务     器 192.168.100.10 VLAN10(内网服务器) 192.168.10.0/24 FTP 服务器 192.168.10.10 Web 服务器 192.168.10.30在网络使用中，该企业要求所有部门都可以访问FTP 和Web 服务器；同时，网络管理员可以访问所有网络资源，
禁止非网络管理员访问交换设备。根据需求，完成核心交换机Route-Switch 以下配置命令。
- s: ]* ]1 c* ?9 D5 wRoute-Switch(config)#access-list 101 permit ip host 192.168.100.10 any
Route-Switch(config)#access-list 101 permit tcp any host 192.168.10.10 eq ftp
Route-Switch(config)#access-list 101 permit tcp any host 192.168.10.30 eq www
/ J6 {+ b2 ~( m0 }" X4 \//允许所有主机访问Web 服务器
Route-Switch(config)#access-list 101 permit ip 192.168.3.0 0.0.0.255 host 192.168.10.20
8 O( i7 S0 s; i' C5 L//允许财务部门访问DataBase 服务器
& @2 b5 d$ y3 R# s2 ZRoute-Switch(config)#access-list 101 deny any any
Route-Switch(config-if)#int VLAN 10
Route-Switch(config-if)#ip access-group 101 in
" @* R8 t6 e7 w' k/ j9 r# v//在VLAN10 的入方向应用acl101
Route-Switch(config)#access-list 102 deny any any
Route-Switch(config)# int VLAN 1
Route-Switch(config-if)# ip access-group 102 in
; n3 S% G. @5 X1 Y% |//禁止非管理员用户访问网络设备和网管服务器等
) O* @0 J& b6 m9 I& |
/ c9 V( |/ O& B3 k6 q
% ?* x5 A+ [/ G! {% S目前纠结在网络管理员可以访问所有网络资源，并且禁止非网络管理员访问交换设备。因为 ACL 102 在我的理解上会禁止所有用户访问vlan1.之前是否要在加一条Route-Switch(config)#access-list 102 permit ip host 192.168.100.10 any
0 b1 Y# u5 E! p
% P- g. E- _" {2 F* w/ T

帮帮顶顶！！

小手一抖，金币到手！

要的 ， 因为你的102是拒绝所有的，流量出去了回不来的，，，

要的 ， 因为你的102是拒绝所有的，流量出去了回不来的，，，

这是2013年软考网络工程师的真题，题目中应用在vlan1入方向的acl102就只有一条deny，所以很困惑为什么网管可以访问所有资源，没有被这条acl102拦截。

过来看看的,感谢攻城狮论坛

学习了，不错，讲的太有道理了

凑个热闹，qq:1485339972

9 h! u7 a- z: i! P" k. j3 ?$ Y. E. J