華為企業(yè)交換機(jī)ACL設(shè)置案例分析

實(shí)驗(yàn)?zāi)康?/p>

模擬器有三臺主機(jī)PC，是PC1,PC2,PC3我們分別使用基本ACL高級ACL和二層ACL來實(shí)現(xiàn)一些訪問控制，用戶可自行體會其中的差別

實(shí)驗(yàn)拓補(bǔ)

前半段

開始前，我們首先讓三臺PC獲取IP地址，方便后面的實(shí)驗(yàn)

system-view?//進(jìn)入系統(tǒng)視圖
Enter?system?view,?return?user?view?with?Ctrl+Z.
[Huawei]undo?info-center?enable?
Info:?Information?center?is?disabled.
[Huawei]sysname?CORE?//命名設(shè)備
[CORE]vlan?batch?10?20?30//創(chuàng)建三個(gè)vlan，10?20?30
Info:?This?operation?may?take?a?few?seconds.?Please?wait?for?a?moment...done.
[CORE]dhcp?enable?
Info:?The?operation?may?take?a?few?seconds.?Please?wait?for?a?moment.done.

[CORE]interface?Vlanif?10?//進(jìn)入vlanif10
[CORE-Vlanif10]ip?address?192.168.10.254?24?//配置IP地址
[CORE-Vlanif10]dhcp?select?interface?//dhcp的方式是基于接口
[CORE-Vlanif10]quit?

[CORE]interface?Vlanif?20
[CORE-Vlanif20]ip?address?192.168.20.254?24
[CORE-Vlanif20]dhcp?select?interface?
[CORE-Vlanif20]quit?

[CORE]interface?Vlanif?30
[CORE-Vlanif30]ip?address??192.168.30.254?24?
[CORE-Vlanif30]dhcp?select?interface??
[CORE-Vlanif30]quit?
?
[CORE]interface?GigabitEthernet?0/0/1
[CORE-GigabitEthernet0/0/1]port?link-type?access?//設(shè)置鏈路類型為ACCESS
[CORE-GigabitEthernet0/0/1]port?default?vlan?10?//劃分至vlan10
[CORE-GigabitEthernet0/0/1]quit?

[CORE]interface?GigabitEthernet?0/0/2?
[CORE-GigabitEthernet0/0/2]port?link-type?access?
[CORE-GigabitEthernet0/0/2]port?default?vlan?20
[CORE-GigabitEthernet0/0/2]quit?

[CORE]interface?GigabitEthernet?0/0/3?
[CORE-GigabitEthernet0/0/3]port?link-type?access?
[CORE-GigabitEthernet0/0/3]port?default?vlan?30
[CORE-GigabitEthernet0/0/3]quit?
[CORE]

基本ACL（2000-2999）

實(shí)驗(yàn)?zāi)康模航?92.168.30.253的IP地址的主機(jī)訪問192.168.10.253的主機(jī)

[CORE]acl?2000//創(chuàng)建基本ACL，編號是2000
[CORE-acl-basic-2000]step?10?//設(shè)置步長為10?
[CORE-acl-basic-2000]ru?deny?source?192.168.30.253?0.0.0.0?//拒絕192.168.30.253的IP報(bào)文
[CORE-acl-basic-2000]quit?
[CORE]interface?GigabitEthernet?0/0/1
[CORE-GigabitEthernet0/0/1]traffic-filter?outbound?acl?2000?//你G0/0/1的出端口調(diào)用ACL2000

高級ACL（3000-3999）

實(shí)驗(yàn)?zāi)康模航笽P地址是192.168.30.0的網(wǎng)段訪問192.168.10.253的主機(jī)

[CORE]acl?3000
[CORE-acl-adv-3000]rule?deny?ip?source?192.168.30.0?0.0.0.255?destination?192.16
8.10.253?0.0.0.0?
[CORE-acl-adv-3000]quit?

[CORE]interface?GigabitEthernet?0/0/1?
[CORE-GigabitEthernet0/0/1]traffic-filter?outbound?acl?3000

二層ACL（4000-4999）

實(shí)驗(yàn)?zāi)康模航筂AC地址是5489-98d2-1bdd的主機(jī)訪問MAC地址為5489-9834-1372的主機(jī)

注：這里的設(shè)計(jì)有問題，在三層交換機(jī)上，只有兩臺主機(jī)在同一vlan下才可以實(shí)現(xiàn)，不過思路還是這個(gè)思路。

這里發(fā)生了個(gè)有趣的事情，ENSP模擬器宛如ZZ一樣，怎么都實(shí)現(xiàn)不了想要的效果，還以為配置有問題，重新增加交換機(jī)和主機(jī)測試就OK了，所以模擬器還是有很多潛在的BUG的。

哈哈，其實(shí)是我錯(cuò)了，我要留下這段話。

[CORE]acl?4001
[CORE-acl-L2-4001]rule??deny?source-mac?5489-98d2-1bdd?destination-mac?5489-9834
-1372
[CORE-acl-L2-4001]quit?

[CORE]interface?GigabitEthernet?0/0/1
[CORE-GigabitEthernet0/0/1]traffic-filter?outbound?acl?4001
[CORE-GigabitEthernet0/0/1]quit?

更正：天吶！這里犯了一個(gè)錯(cuò)誤，其實(shí)這段代碼是實(shí)現(xiàn)不了互相禁止的，因?yàn)関lan10和vlan30屬于三層IP轉(zhuǎn)發(fā)，三層交換機(jī)上，如果是同一vlan下是可以用ACL4000實(shí)現(xiàn)的（同一vlan轉(zhuǎn)發(fā)不涉及三層轉(zhuǎn)發(fā)）。所以有三層交換機(jī)的時(shí)候我們盡量用高級ACL來做（3000-3999）.

常用ACL

?

編輯：黃飛