高级应用-QACL之访问控制

2019-11-04 01:35:56

字体：大中小

来源：转载

供稿：网友

单向访问控制

1 功能需求及组网说明

l 单向访问控制高级应用-QACL之访问控制（图一）

单向访问控制『配置环境参数』PCA、PCB和PCC通过交换机SwitchAA互连其中PCA的ip地址为10.1.1.2/24,PCB的IP地址为10.1.1.3/24，PCC的IP地址为10.1.1.4/24『组网需求』PCA、PCB和PCC之间完成单向访问，即PCA可以访问PCB、PCC，但是PCB、PCC不能访问PCA

2 数据配置步骤

『单向访问控制流程』单向访问控制主要是针对有方向的数据包，例如ICMP，TCP报文等，而对于没有方向的UDP报文，交换机暂时无法进行控制，所以假如要实现单向访问控制就简单等同于对ICMP和TCP报文的控制。假如要对UDP报文进行控制，必须知道UDP报文的端口号。目前也只有E系列交换机、8016、6506和5516能够实现这种组网，以下按产品分别举例（S8016的配置这里略去）。【3526E配置方法】〖ICMP报文控制〗PCA与交换机的e0/1端口相连，配置如下：1. 配置二层访问控制规则[SwitchA]acl number 1002. 配置二层访问控制子规则，禁止从任何端口的入报文出端口到e0/1[SwitchA-acl-link-100]rule deny icmp source 1.1.1.1 0 destination 1.1.1.2 0 icmp-type echo3. 激活该规则[SwitchA]packet-filter ip-group 100〖TCP报文单向访问控制〗1. 配置三层访问控制规则[SwitchA]acl number 1002. 主机ip地址为1.1.1.1的PC无法向1.1.1.2的PC发起TCP连接建立请求[SwitchA-acl-adv-100]rule deny tcp established source 1.1.1.1 0 destination 1.1.1.2 03. 激活该规则[SwitchA]packet-filter ip-group 100 【6506配置方法】〖ICMP报文控制〗PCA与交换机的e4/0/1端口相连，配置如下：1. 配置扩展访问控制规则[SwitchA]acl number 1002. 配置扩展访问控制子规则，禁止1.1.1.1 Ping通1.1.1.2[SwitchA-acl-adv-100]rule 0 deny icmp source 1.1.1.1 0 destination 1.1.1.2 0 3. 进入端口视图[SwitchA-acl-adv-100]int e4/0/14. 激活该规则
[SwitchA-Ethernet4/0/1] packet-filter inbound ip-group 100 rule 0〖TCP报文单向访问控制〗PCA与交换机的e4/0/1端口相连，配置如下：1. 配置扩展访问控制规则[SwitchA]acl number 1002. 主机ip地址为1.1.1.1的PC可以ping通1.1.1.2的PC，但是不能通过网上邻居查找到1.1.1.2，反之则可以3. [SwitchA-acl-adv-100] rule 1 deny tcp established source 1.1.1.1 0 destination 1.1.1.2 0 4. 进入端口视图[SwitchA-acl-adv-100]int e4/0/15. 激活该规则[SwitchA-Ethernet4/0/1] packet-filter inbound ip-group 100 rule 1 【5516配置方法】〖ICMP报文控制〗PCA与交换机的e0/1端口相连，配置如下：1. 配置二层访问控制规则[SwitchA]acl number 1002. 配置访问控制子规则，禁止主机pcb访问pca[SwitchA-acl-link-100]rule deny icmp source 1.1.1.3 0 destination 1.1.1.2 0 3. 配置访问控制子规则，禁止主机pcc访问pca[SwitchA-acl-link-100]rule deny icmp source 1.1.1.4 0 destination 1.1.1.2 0 4. 激活该规则[SwitchA]packet-filter ip-group 100〖TCP报文单向访问控制〗1. 配置三层访问控制规则[SwitchA]acl number 1002. 主机ip地址为1.1.1.3的PC可以ping通1.1.1.2的PC，但是不能通过网上邻居查找到1.1.1.2，反之则可以[SwitchA-acl-adv-100]rule deny tcp source 1.1.1.3 0 destination 1.1.1.2 0 destination-port eq 1393. 激活该规则[SwitchA]packet-filter ip-group 100进入讨论组讨论。

双向访问控制

1 功能需求及组网说明

双向访问控制『配置环境参数』
说明：通过配置三层交换机的acl来实现vlan之间的访问控制『组网需求』需求：组网和vlan分配如图所示，要求vlan 10、20、30均可以访问server 1，但是只有vlan 10和vlan 20可以访问server 2，同时vlan 10、20、30之间不能互访。

2 数据配置步骤

『交换机双向访问控制流程』假如是低端交换机同一网段内的双向访问控制，也可以通过端口的hybrid属性来实现，具体的内容可以参考关于端口bybrid属性的配置部分。【3526E配置方法】基础配置1. 创建（进入）vlan10[SwitchA] vlan 102. 创建（进入）vlan10的虚接口[SwitchA] interface Vlan-interface 103. 给vlan20的虚接口配置IP地址[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.0.04. 创建（进入）vlan20[SwitchA] vlan 205. 创建（进入）vlan20的虚接口[SwitchA] interface Vlan-interface 206. 给vlan20的虚接口配置IP地址[SwitchA-Vlan-interface20]ip address 10.20.1.1 255.255.0.07. 创建（进入）vlan30[SwitchA] vlan 308. 创建（进入）vlan30的虚接口[SwitchA] interface Vlan-interface 309. 给vlan30的虚接口配置IP地址[SwitchA-Vlan-interface30]ip address 10.30.1.1 255.255.0.010. 创建（进入）vlan100[SwitchA] vlan 10011. 创建（进入）vlan100的虚接口[SwitchA] interface Vlan-interface 10012. 给vlan100的虚接口配置IP地址[SwitchA-Vlan-interface100]ip address 10.100.1.1 255.255.0.013. 创建（进入）vlan200[SwitchA] vlan 20014. 创建（进入）vlan200的虚接口[SwitchA] interface Vlan-interface 20015. 给vlan200的虚接口配置IP地址[SwitchA-Vlan-interface200]ip address 10.200.1.1 255.255.0.0进入讨论组讨论。

访问控制配置 1.      配置ACL
[SwitchA] acl num 1002.      配置acl访问控制列表禁止网段10.10.0.0访问网段10.20.0.0[SwitchA-acl-adv-100]rule deny ip source 10.10.1.1 0.0.255.255 destination 10.20.1.1 0.0.255.2553.      禁止网段10.10.0.0访问网段10.30.0.0[SwitchA-acl-adv-100]rule deny ip source 10.10.1.1 0.0.255.255 destination 10.30.1.1 0.0.255.2554.      禁止网段10.20.0.0访问网段10.10.0.0[SwitchA-acl-adv-100]rule deny ip source 10.20.1.1 0.0.255.255 destination 10.10.1.1 0.0.255.2555.      禁止网段10.20.0.0访问网段10.30.0.0[SwitchA-acl-adv-100]rule deny ip source 10.20.1.1 0.0.255.255 destination 10.30.1.1 0.0.255.2556.      禁止网段10.30.0.0访问网段10.10.0.0[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1 0.0.255.255 destination 10.10.1.1 0.0.255.2557.      禁止网段10.30.0.0访问网段10.20.0.0[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1 0.0.255.255 destination 10.20.1.1 0.0.255.2558.      禁止网段10.30.0.0访问网段10.200.0.0[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1 0.0.255.255 destination 10.200.1.1 0.0.255.2559.      下发访问控制列表[SwitchA]packet-filter ip 100 【6506配置方法】基础配置1.      创建（进入）vlan10[SwitchA] vlan 102.      创建（进入）vlan10的虚接口[SwitchA] interface Vlan-interface 103.      给vlan20的虚接口配置IP地址[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.0.04.      创建（进入）vlan20[SwitchA] vlan 205.      创建（进入）vlan20的虚接口[SwitchA] interface Vlan-interface 206.      给vlan20的虚接口配置IP地址[SwitchA-Vlan-interface20]ip address 10.20.1.1 255.255.0.0
7.      创建（进入）vlan30[SwitchA] vlan 308.      创建（进入）vlan30的虚接口[SwitchA] interface Vlan-interface 309.      给vlan30的虚接口配置IP地址[SwitchA-Vlan-interface30]ip address 10.30.1.1 255.255.0.010. 创建（进入）vlan100[SwitchA] vlan 10011. 创建（进入）vlan100的虚接口[SwitchA] interface Vlan-interface 10012. 给vlan100的虚接口配置IP地址[SwitchA-Vlan-interface100]ip address 10.100.1.1 255.255.0.013. 创建（进入）vlan200[SwitchA] vlan 20014. 创建（进入）vlan200的虚接口[SwitchA] interface Vlan-interface 20015. 给vlan200的虚接口配置IP地址[SwitchA-Vlan-interface200]ip address 10.200.1.1 255.255.0.0进入讨论组讨论。

访问控制配置 1. 配置ACL[SwitchA] acl num 1002. 配置acl访问控制列表禁止网段10.10.0.0访问网段10.20.0.0[SwitchA-acl-adv-100]rule 0 deny ip source 10.10.1.1 0.0.255.255 destination 10.20.1.1 0.0.255.2553. 配置acl访问控制列表禁止网段10.10.0.0访问网段10.30.0.0[SwitchA-acl-adv-100]rule 1 deny ip source 10.10.1.1 0.0.255.255 destination 10.30.1.1 0.0.255.2554. 配置acl访问控制列表禁止网段10.20.0.0访问网段10.10.0.0[SwitchA-acl-adv-100]rule 2 deny ip source 10.20.1.1 0.0.255.255 destination 10.10.1.1 0.0.255.2555. 配置acl访问控制列表禁止网段10.20.0.0访问网段10.30.0.0[SwitchA-acl-adv-100]rule 3 deny ip source 10.20.1.1 0.0.255.255 destination 10.30.1.1 0.0.255.2556. 配置acl访问控制列表禁止网段10.30.0.0访问网段10.10.0.0[SwitchA-acl-adv-100]rule 4 deny ip source 10.30.1.1 0.0.255.255 destination 10.10.1.1 0.0.255.2557. 配置acl访问控制列表禁止网段10.30.0.0访问网段10.20.0.0
[SwitchA-acl-adv-100]rule 5 deny ip source 10.30.1.1 0.0.255.255 destination 10.20.1.1 0.0.255.2558. 配置acl访问控制列表禁止网段10.30.0.0访问网段10.200.0.0[SwitchA-acl-adv-100]rule 6 deny ip source 10.30.1.1 0.0.255.255 destination 10.200.1.1 0.0.255.255进入端口视图[SwitchA]int e4/0/19. 下发访问控制列表[SwitchA]packet-filter inbound ip 100 not-care-for-interface 【5516配置方法】基础配置1. 创建（进入）vlan10[SwitchA] vlan 102. 创建（进入）vlan10的虚接口[SwitchA] interface Vlan-interface 103. 给vlan20的虚接口配置IP地址[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.0.04. 创建（进入）vlan20[SwitchA] vlan 205. 创建（进入）vlan20的虚接口[SwitchA] interface Vlan-interface 206. 给vlan20的虚接口配置IP地址[SwitchA-Vlan-interface20]ip address 10.20.1.1 255.255.0.07. 创建（进入）vlan30[SwitchA] vlan 308. 创建（进入）vlan30的虚接口[SwitchA] interface Vlan-interface 309. 给vlan30的虚接口配置IP地址[SwitchA-Vlan-interface30]ip address 10.30.1.1 255.255.0.010. 创建（进入）vlan100[SwitchA] vlan 10011. 创建（进入）vlan100的虚接口[SwitchA] interface Vlan-interface 10012. 给vlan100的虚接口配置IP地址[SwitchA-Vlan-interface100]ip address 10.100.1.1 255.255.0.013. 创建（进入）vlan200[SwitchA] vlan 20014. 创建（进入）vlan200的虚接口[SwitchA] interface Vlan-interface 20015. 给vlan200的虚接口配置IP地址
[SwitchA-Vlan-interface200]ip address 10.200.1.1 255.255.0.0进入讨论组讨论。

附件(本网站支持断点续传下载，建议使用 FlashGet、NetAnts等支持断点续传的工具下载,登录用户请查看帮助)