实验要求及组网：
交换机配置过程：
sysname HEXIN-SW
vlan batch 100 200 300
acl number 3000 //创建高级ACL 3000并配置ACL规则，拒绝市场部访问研发部的报文通过
rule 5 deny ip source 10.1.100.0 0.0.0.255 destination 10.1.200.0 0.0.0.255
acl number 3001 //创建高级ACL 3001并配置ACL规则，拒绝研发部访问市场部的报文通过
rule 5 deny ip source 10.1.200.0 0.0.0.255 destination 10.1.100.0 0.0.0.255
traffic classifier TC1 operator and //配置流分类TC1，对匹配ACL 3000和ACL 3001的报文进行分类。
if-match acl 3000
if-match acl 3001
traffic behavior TB1 // 配置流行为TB1，动作为拒绝报文通过。
deny
traffic policy TP1 //定义流策略，将流分类与流行为关联。
classifier TC1 behavior TB1
interface Vlanif100
ip address 10.1.100.254 255.255.255.0
interface Vlanif200
ip address 10.1.200.254 255.255.255.0
interface Vlanif300
ip address 10.10.10.254 255.255.255.0
interface MEth0/0/1
interface GigabitEthernet0/0/2 //在市场部接口的入方向应用流策略
port link-type trunk
port trunk allow-pass vlan 100
traffic-policy TP1 inbound
#
interface GigabitEthernet0/0/3 ////在研发部接口的入方向应用流策略
port link-type trunk
port trunk allow-pass vlan 200
traffic-policy TP1 inbound
#
interface GigabitEthernet0/0/4
port link-type access
port default vlan 300
验证配置：市场部可以访问公司OA服务器，但不能访问研发部。
验证配置：研发部可以访问公司OA服务器，但不能访问市场部。
验证配置：公司OA服务器均可访问市场和研发。
原文地址：http://www.cnblogs.com/speednet/p/16928618.html
