我在我们的总部有一堆 VLAN。想法是只有几个子网必须看到 IT 部门 VLAN，而所有其他子网都不要，但 IT 部门必须看到所有 VLAN。

我试过这样，为所有VLAN制作所有扩展acl

Extended IP access list FILTER_VLAN_25
10 deny ip any 192.168.0.0 0.0.128.255 (648975 matches)
20 permit ip any any (43833968 matches)
30 permit icmp any any

和 vlan 50（这是 IT 部门）

Extended IP access list FILTER_VLAN_50
10 permit ip any any (76171578 matches)
20 permit icmp any any

所以当我尝试从那个 vlan 25 ping 时，我可以看到 vlan 50 中的子网。为什么？我试图在 ext acl FILTER_VLAN_25 中添加阻止规则，我拒绝 192.168.50.0 0.0.0.255 但后来我也无法从 VLAN 50 访问

并且 ip access-group 对于所有这些 VLAN 接口都是 IN。