在實際應用中截取出簡易拓撲：
INTERNET → cisco PIX515E → cisco 3550 → cisco 2960G（VLAN10、VLAN20）
cisco PIX515E：
(config)#interface Ethernet 0 auto //舉例定義外部IP
(config)#nameif ethernet0 outside security 0
(config-if)#ip add 123.123.123.123 255.255.255.0
(config-if)#no sh
(config)#interface Ethernet 1 auto //定義內部IP
(config)#nameif ethernet1 inside security 100
(config-if)#ip add 172.16.3.1 255.255.255.0
(config-if)#no sh
(config)#global (outside) 1 interface //公網地址池定義爲外部接口IP(也可自定義地址池)
(config)#nat (inside) 1 172.16.0.0 255.255.0.0 //內部允許轉換的地址
(config)#route outside 0.0.0.0 0.0.0.0 123.123.123.124 //配置默認路由
(config)#route inside 172.16.0.0 255.255.0.0 172.16.3.2 //配置回指路由
(config)#write //保存配置(切記)
cisco 3550：
(config)#vlan 10 //添加VLAN
(config-vlan)#name aaa //爲VLAN命名(便於日後查詢管理)
(config)#interface vlan 10
(config-if)#ip add 172.16.1.1 255.255.255.0 //配置管理IP地址(用作終端設備網關)
(config-if)#no sh
(config)#vlan 20 //添加VLAN
(config-vlan)#name bbb //爲VLAN命名(便於日後查詢管理)
(config)#interface vlan 20
(config-if)#ip add 172.16.2.1 255.255.255.0 //配置管理IP地址(用作終端設備網關)
(config-if)#no sh
(config)#interface gi0/12 //下聯二層交換機端口(配置TRUNK,傳輸VLAN)
(config-if)#switchport trunk encapsoltion dot1q
(config-if)#switchport mode trunk
(config-if)#no sh
(config)#interface gi0/1 //上聯防火牆端口
(config-if)#ip add 172.16.3.2 255.255.255.0
(config-if)#no sh
(config)#interface gi0/2 //連接服務器端口(一般服務器都會放在機房，連在三層設備上，不會連到各樓層的二層設備上)
(config-if)#switchport mode access
(config-if)#switchport access vlan10
(config-if)#no sh
(config)#interface gi0/3 //連接服務器端口
(config-if)#switchport mode access
(config-if)#switchport access vlan20
(config-if)#no sh
(config)#ip routing //開啓三層
(config)#ip route 0.0.0.0 0.0.0.0 172.16.3.1 //默認路由
3550#copy run start //保存配置(切記)
如果想要禁止內部VLAN互訪添加以下命令即可：(ACL)
(config)#access-list 101 deny ip 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255
(config)#access-list 101 permit any any
(config)#access-list 102 deny ip 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.255
(config)#access-list 102 permit any any
(config)#interface vlan 10
(config-if)#ip access-group 101 in
(config)#interface vlan 20
(config-if)#ip access-group 102 in
3550#copy run start
cisco 2960G：
(config)#vlan 10
(config-vlan)#name aaa
(config)#interface vlan 10
(config-if)#ip add 172.16.1.254 255.255.255.0 //配置管理IP地址(主要用於telnet遠程)
(config-if)#no sh
(config)#vlan 20
(config-vlan)#name bbb
(config)#interface vlan 20
(config-if)#ip add 172.16.2.254 255.255.255.0 //配置管理IP地址(主要用於telnet遠程)
(config-if)#no sh
(config)#interface gi0/1 //下聯終端設備端口
(config-if)#switchport mode access
(config-if)#switchport access vlan10
(config-if)#no sh
(config)#interface gi0/2 //下聯終端設備端口
(config-if)#switchport mode access
(config-if)#switchport access vlan20
(config-if)#no sh
(config)#interface gi0/24 //上聯三層交換機端口(配置TRUNK,傳輸VLAN)
(config-if)#switchport trunk encapsoltion dot1q
(config-if)#switchport mode trunk
(config-if)#no sh
2960G#copy run start //保存配置(切記)
本文出自 “挨踢的人會掐網線” 博客，請務必保留此出處http://haiphone.blog.51cto.com/3035806/1186424