网络结构 外网-----路由器------三层交换机-------二层交换机--

网络结构   外网-----路由器------三层交换机-------二层交换机--------用户1,2,3和内网服务器
大问题一  ：客户想实现以下功能  用户123不允许互访，用户123都能访问服务器，用户12可以访问外网，用户3不可以访问外网
子问题1.1 ：ac以透明模式部署在路由器与三层交换之间能否实现客户的需求？
子问题1.2 ：ac中配置多个用户组，能否实现不同用户组不能互访的功能
子问题1.3 ：对于客户的禁止用户123进行互访的需求，能否通过在交换机上配置vlan直接实现？
学习历来是要举一反三的，所以扩展的问题来了
问题二：ac以路由模式部署，关闭nat功能，开启vlan功能，配置路由表，放通防火墙权限，能不能把ac当成一个三层交换机（或者单臂路由器）使用，进而替代三层交换机（前提条件：此问题中，vlan基于ip进行划分）
问题三：ac以透明模式部署，能不能开启防火墙的功能，通过在透明模式配置vlan，对不同的vlan进行lan<->lan的访问控制
问题四：如果ac以路由模式部署，能不能实现问题三的功能
问题五：ac部署在三层交换机前段，配置了用户名密码与mac和ip的绑定，但是内网中的用户只访问内网服务器，这样数据流根本不会通过ac，这样还能对用户进行认证吗？
  
暂时就这么些问题了，谢谢各位。

追加一个问题，ac是不是对于内网用户访问外网具有很好的管控能力，但是内网用户访问内网就没有很好的管控方法？

问题太多，看着头晕。
用户123不允许互相访问，可以用交换机上的隔离VLAN实现。哪些用户不允许访问外网，不在出口设备上做SNAT就可以了。

问题1：内网之间的访问，数据是不经过我们设备的，在我们设备上不能限制，交换机上能否实现，要看交换机有没有ACL功能，这个请与交换机厂商确认下~
问题2：AC本身并不能划分VLAN，只是内网有VLAN环境时，可以在AC上启用VLAN，并设置VLANIP，这样就可以与内网各VLAN通信。
问题3，同上，AC本身不能划VLAN，在VLAN环境下，可以启用设备上的VLAN并配置VLANIP和对应的VLANID，从而达到到内网VLAN通信的目的。
问题4：同1，内网访问时，数据不经过我们设备，无法限制，但如果您的内网，一个在设备的LAN口，一个在设备的DMZ口，可以通过防火墙规则来限制LAN口和WAN口之间的通信
问题5：内网访问，不经过设备，设备的认证对内网之间的访问无效。

需要AC做访问控制，得确保数据是从AC的内网口进来，外网口出去的，内网之间的访问，数据都不会走到AC上，所以，AC无法对内网之间的访问做控制。