思科3层交换机怎么实现vlan划分，不要vlan间互通，只要vlan间不互通，vlan上公网

Question

要求这个三层结构的网络实现vlan划分，不要vlan间互通，只要vlan间不互通，vlan能上公网。现在在接入层和汇聚层交换机上划分了vlan和trunk链路，但是主机ping路由器的子接口（网管）ping不同啊，求大神给一个详细的解答和解决方案。

Answer 1

1、双核心的结构，两个核心交换机之间一般会做连接。再用mstp去防环。
2、vlan之间不通的方法一：就是在核心上不启用三层接口，而是把所有的网关都放在路由器的接口上去做子接口。（单臂路由）这里要注意把核心与路由器之间也要设成trunk链接，而且子接口要封装正确的协议（isl或dot1q).在华三模拟器上作实验时，还有一个什么广播功能要打开，但记不住是什么广播了。思科的不知道用不用。
3、vlan间不通的第二种方法，是在核心上启用三层接口，然后在汇聚层的交换机的接口上用ACL限制一下vlan间访问。
第一种方法，所有的流量都到路由器上去转发，在那里形成的网络的瓶颈，而且也是单点故障。路由器本身的转发能力就差，再把这些工作都交给它就太累了。
第二次方法是在汇聚层交换机上要配置的ACL比较多和麻烦。但是效率是相当高的。