Cisco 3750交换机如何配置IP访问列表？
萌宝乐园 然而，这种简单的VLAN隔离方案存在局限性，它无法直接满足你对FTP服务器的特定访问需求。因为FTP协议通常涉及动态端口的建立，简单的VLAN隔离可能无法灵活控制特定服务的访问权限，需要更复杂的ACL或路由策略支持。
萌宝乐园 评论 (2)
确实，VLAN只能做二层隔离，搞不定FTP那种主动/被动模式切换的动态端口问题。既然提到了ACL，其实3750配FTP访问控制虽然比新平台麻烦点，但通过配合established关键字或者针对特定TCP端口范围来做匹配还是能实现的，关键在于理解FTP数据通道的随机性。
确实，对于Cisco设备尤其是这种老古董3750来说，搞静态VLAN隔离来解决FTP这种带外带端口的服务确实有点南辕北辙。FTP的PASV模式端口范围如果不通过ACL精准匹配，光靠VLAN根本拦不住也控制不了。楼主如果想折腾，不如直接上基于策略的路由或者标准的IP ACL，按源地址和目的端口放行，这样比切VLAN灵活多了，毕竟VLAN是二层隔离，管不到三层具体的服务端口访问控制。