我们现在在公司里经常会遇到这样的要求，那就是
在公司的网络中，各部门经理之间能通信，员工之间是不
能的，但是内网的所有机器都能访问外网，( PC1和PC2是
财务部的成员，划分在VLAN10里，PC1是财务部经理，
PC2是财务部的员工，PC3和PC4是业务部的成员，划分
在VLAN20里，PC3是业务部经理，PC4是业务部员工。)
有些人会问，这不是矛盾吗，不让他们通信了，但是经理
之间还能通，这可能实现吗？
不用急，接下来我为大家解析一下：
实验拓扑如下:
我们要达到要求，只需要做三步就够了：
1、 划分VLAN。
2、 添加子接口，实现不同VLAN 之间的通讯。
3、 利用访问列表达到我们所要的目的。经理之间通
讯，员工之间不能通讯。
1、 我们首先来划分VLAN实现各部门之间不能通讯。
Switch>
Switch>en
Switch#conf t
Switch(config)#host sw1
sw1(config)#vlan 10
sw1(config-vlan)#name caiwubu
sw1(config-vlan)#exit
sw1(config)#vlan 20
sw1(config-vlan)#name yewubu
sw1(config-vlan)#exit
把成员添加到VLAN里：
sw1(config)#int range f0/2 - 3 （有人会问，为什么不用int
f0/2这条命令来添加vlan成员呢，你想一下，如果一个vlan
里要添加几十个或是几百个成员，这岂不是一个很重的任
务，所以我们在这里用的命令是一次添加多个成员的，但
是前提是多个成员必须是连续的。比如：1-4）
sw1(config-if-range)#switchport access vlan 10
sw1(config-if-range)#exit
sw1(config)#int range f0/4 - 5
sw1(config-if-range)#switchport access vlan 20
sw1(config-if-range)#exit
划分好VLAN添加成员之后，创建TRUNK链路：
sw1(config)#int f0/1
sw1(config-if)#switchport mode trunk
接下来我们给PC机配上IP 地址，测试一下看看。
第一步我们完成了，接下来我们实现第二部，不同VLAN
之间互通。
1、 添加子接口，实现不同VLAN 之间的互通。
在R1上配置：
Router>en
Router#conf t
Router(config)#host r1
r1(config)#int s0/0
r1(config-if)#ip addr 172.16.1.1 255.255.255.0
r1(config-if)#clock rate 64000
r1(config-if)#no shut
r1(config-if)#exit
接下来我们来激活接口f0/0以及划分子接口
r1(config)#int f0/0
r1(config-if)#no shut
r1(config-if)#exit
r1(config)#int f0/0.1
r1(config-subif)#encapsulation dot1Q 10 （封装子接口）
r1(config-subif)#ip addr 192.168.1.1 255.255.255.0
r1(config-subif)#exit
r1(config)#int f0/0.2
r1(config-subif)#encapsulation dot1Q 20
r1(config-subif)#ip addr 192.168.2.1 255.255.255.0
r1(config-subif)#exit
实验一下不同VLAN 之间的的通信：
社区：
