你的意2113思可能是200和300不能主动发起到100的连接是吧?你这5261样的情况因4102为100要访问200和300，同时200和300也要能访问100，否则1653100访问200和300的流量没法返回的话100也没法访问200和300，所以不能用vacl来做。当然也不能用pvlan来做。 你这样的要求只能在路由器上做acl了，如果只是tcp的访问你可以用acl里面的established参数来控制。如果不仅仅是tcp的话，你就用cbac特性吧,2620上应该是支持的。不过要带防火墙功能的ios才支持cbac的。