利用自反ACL实现VLAN之间的单向访问

2，配置如下：
ip access-list extended tov208
permit tcp any 192.168.208.0 0.0.0.255 reflect remain timeout 120
permit udp any 192.168.208.0 0.0.0.255 reflect remain 
permit ip any any
ip access-list extended fromv208
permit icmp any any
evaluate remain    
deny tcp any 192.168.250.0 0.0.0.255
deny udp any 192.168.250.0 0.0.0.255
deny tcp any 192.168.254.0 0.0.0.255
deny udp any 192.168.254.0 0.0.0.255
permit tcp any any eq www
permit tcp any any eq 8080
permit tcp any any eq 443
permit tcp any any eq 7001
permit tcp any any eq 5200
permit tcp any any eq 1521
permit tcp any 192.168.201.0 0.0.0.255 eq 111
permit udp any 192.168.201.0 0.0.0.255 eq 111
permit tcp any 192.168.201.0 0.0.0.255 eq 2049
permit udp any 192.168.201.0 0.0.0.255 eq 2049
permit tcp any 192.168.201.0 0.0.0.255 gt 32767
permit udp any 192.168.201.0 0.0.0.255 gt 32767
permit ip any host 224.0.0.2
int vlan 208
ip access-group fromv208 in
ip access-group tov208 out
no ip unreachables
3，结果分析
测试成功。但是同时出现了新问题：
vlan199访问不了vlan208(在vlan199端设备上telnet 192.168.208.4 8080)
分析原因：
在7609-A上vlan199为active，vlan208为standby，所以在7609-A上，数据从vlan199到vlan208的数据匹配tov208后产生一条自反acl。但是这条acl不会同步到7609-B上去，所以回来的数据流到达vlan208后匹配不到acl，所以也就丢弃了。请注意路由器严格按照路由表来执行路由查找工作。