Chinaunix首页 | 论坛 | 博客

知其所以然

首页　| 　博文目录　| 　关于我

jjhjim

  • 博客访问： 98317
  • 博文数量： 48
  • 博客积分： 1980
  • 博客等级： 上尉
  • 技术积分： 500
  • 用 户 组： 普通用户
  • 注册时间： 2009-09-16 15:03
文章分类

全部博文（48）

文章存档

2009年（48）

我的朋友
最近访客
推荐博文
相关博文
常用配置之QACL访问控制（华为）

分类： 系统运维

2009-09-19 08:00:37

l         单向访问控制

 

『配置环境参数』

PCA、PCB和PCC通过交换机SwitchAA互连

其中PCA的IP地址为10.1.1.2/24,PCB的IP地址为10.1.1.3/24，PCC的IP地址为10.1.1.4/24

『组网需求』

PCA、PCB和PCC之间完成单向访问，即PCA可以访问PCB、PCC，但是PCB、PCC不能访问PCA

2         数据配置步骤

『单向访问控制流程』

单向访问控制主要是针对有方向的数据包，例如ICMP，TCP报文等，而对于没有方向的UDP报文，交换机暂时无法进行控制，所以如果要实现单向访问控制就简单等同于对ICMP和TCP报文的控制。如果要对UDP报文进行控制，必须知道UDP报文的端口号。目前也只有E系列交换机、8016、6506和5516能够实现这种组网，以下按产品分别举例（S8016的配置这里略去）。

【3526E配置方法】

〖ICMP报文控制〗

PCA与交换机的e0/1端口相连，配置如下：

1.      配置二层访问控制规则

[SwitchA]acl number 100

2.      配置二层访问控制子规则，禁止从任何端口的入报文出端口到e0/1

[SwitchA-acl-link-100]rule deny icmp source 1.1.1.1 0 destination 1.1.1.2 0 icmp-type echo

3.      激活该规则

[SwitchA]packet-filter ip-group 100

〖TCP报文单向访问控制〗

1.      配置三层访问控制规则

[SwitchA]acl number 100

2.      主机ip地址为1.1.1.1的PC无法向1.1.1.2的PC发起TCP连接建立请求

[SwitchA-acl-adv-100]rule deny tcp established source 1.1.1.1 0 destination 1.1.1.2 0

3.      激活该规则

[SwitchA]packet-filter ip-group 100

 

【6506配置方法】

〖ICMP报文控制〗

PCA与交换机的e4/0/1端口相连，配置如下：

1.      配置扩展访问控制规则

[SwitchA]acl number 100

2.      配置扩展访问控制子规则，禁止1.1.1.1 Ping通1.1.1.2

[SwitchA-acl-adv-100]rule 0 deny icmp source 1.1.1.1 0 destination 1.1.1.2 0

3.      进入端口视图

[SwitchA-acl-adv-100]int e4/0/1

4.      激活该规则

[SwitchA-Ethernet4/0/1] packet-filter inbound ip-group 100 rule 0

〖TCP报文单向访问控制〗

PCA与交换机的e4/0/1端口相连，配置如下：

1.      配置扩展访问控制规则

[SwitchA]acl number 100

2.      主机ip地址为1.1.1.1的PC可以ping通1.1.1.2的PC，但是不能通过网上邻居查找到1.1.1.2，反之则可以

3.       

[SwitchA-acl-adv-100] rule 1 deny tcp established source 1.1.1.1 0 destination 1.1.1.2 0

4.      进入端口视图

[SwitchA-acl-adv-100]int e4/0/1

5.      激活该规则

[SwitchA-Ethernet4/0/1] packet-filter inbound ip-group 100 rule 1

 

【5516配置方法】

〖ICMP报文控制〗

PCA与交换机的e0/1端口相连，配置如下：

1.      配置二层访问控制规则

[SwitchA]acl number 100

2.        配置访问控制子规则，禁止主机pcb访问pca

[SwitchA-acl-link-100]rule deny icmp source 1.1.1.3 0 destination 1.1.1.2 0

3.        配置访问控制子规则，禁止主机pcc访问pca

[SwitchA-acl-link-100]rule deny icmp source 1.1.1.4 0 destination 1.1.1.2 0

4.      激活该规则

[SwitchA]packet-filter ip-group 100

〖TCP报文单向访问控制〗

1.      配置三层访问控制规则

[SwitchA]acl number 100

2.      主机ip地址为1.1.1.3的PC可以ping通1.1.1.2的PC，但是不能通过网上邻居查找到1.1.1.2，反之则可以

[SwitchA-acl-adv-100]rule deny tcp source 1.1.1.3 0 destination 1.1.1.2 0  destination-port eq 139

3.      激活该规则

[SwitchA]packet-filter ip-group 100

 

 

『配置环境参数』

说明：通过配置三层交换机的acl来实现vlan之间的访问控制

『组网需求』

需求：组网和vlan分配如图所示，要求vlan 10、20、30均可以访问server 1，但是只有vlan 10和vlan 20可以访问server 2，同时vlan 10、20、30之间不能互访。

步骤

『交换机双向访问控制流程』

如果是低端交换机同一网段内的双向访问控制，也可以通过端口的hybrid属性来实现，具体的内容可以参考关于端口bybrid属性的配置部分。

【3526E配置方法】

基础配置

1.      创建（进入）vlan10

[SwitchA] vlan 10

2.      创建（进入）vlan10的虚接口

[SwitchA] interface Vlan-interface 10

3.      给vlan20的虚接口配置IP地址

[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.0.0

4.      创建（进入）vlan20

[SwitchA] vlan 20

5.      创建（进入）vlan20的虚接口

[SwitchA] interface Vlan-interface 20

6.      给vlan20的虚接口配置IP地址

[SwitchA-Vlan-interface20]ip address 10.20.1.1 255.255.0.0

7.      创建（进入）vlan30

[SwitchA] vlan 30

8.      创建（进入）vlan30的虚接口

[SwitchA] interface Vlan-interface 30

9.      给vlan30的虚接口配置IP地址

[SwitchA-Vlan-interface30]ip address 10.30.1.1 255.255.0.0

10.  创建（进入）vlan100

[SwitchA] vlan 100

11.  创建（进入）vlan100的虚接口

[SwitchA] interface Vlan-interface 100

12.  给vlan100的虚接口配置IP地址

[SwitchA-Vlan-interface100]ip address 10.100.1.1 255.255.0.0

13.  创建（进入）vlan200

[SwitchA] vlan 200

14.  创建（进入）vlan200的虚接口

[SwitchA] interface Vlan-interface 200

15.  给vlan200的虚接口配置IP地址

[SwitchA-Vlan-interface200]ip address 10.200.1.1 255.255.0.0

 

访问控制配置

 

1.      配置ACL

[SwitchA] acl num 100

2.      配置acl访问控制列表禁止网段10.10.0.0访问网段10.20.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.10.1.1  0.0.255.255 destination 10.20.1.1 0.0.255.255

3.      禁止网段10.10.0.0访问网段10.30.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.10.1.1  0.0.255.255 destination 10.30.1.1 0.0.255.255

4.      禁止网段10.20.0.0访问网段10.10.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.20.1.1  0.0.255.255 destination 10.10.1.1 0.0.255.255

5.      禁止网段10.20.0.0访问网段10.30.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.20.1.1  0.0.255.255 destination 10.30.1.1 0.0.255.255

6.      禁止网段10.30.0.0访问网段10.10.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1  0.0.255.255 destination 10.10.1.1 0.0.255.255

7.      禁止网段10.30.0.0访问网段10.20.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1  0.0.255.255 destination 10.20.1.1 0.0.255.255

8.      禁止网段10.30.0.0访问网段10.200.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1  0.0.255.255 destination 10.200.1.1 0.0.255.255

9.      下发访问控制列表

[SwitchA]packet-filter ip 100

 

【6506配置方法】

基础配置

1.      创建（进入）vlan10

[SwitchA] vlan 10

2.      创建（进入）vlan10的虚接口

[SwitchA] interface Vlan-interface 10

3.      给vlan20的虚接口配置IP地址

[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.0.0

4.      创建（进入）vlan20

[SwitchA] vlan 20

5.      创建（进入）vlan20的虚接口

[SwitchA] interface Vlan-interface 20

6.      给vlan20的虚接口配置IP地址

[SwitchA-Vlan-interface20]ip address 10.20.1.1 255.255.0.0

7.      创建（进入）vlan30

[SwitchA] vlan 30

8.      创建（进入）vlan30的虚接口

[SwitchA] interface Vlan-interface 30

9.      给vlan30的虚接口配置IP地址

[SwitchA-Vlan-interface30]ip address 10.30.1.1 255.255.0.0

10.  创建（进入）vlan100

[SwitchA] vlan 100

11.  创建（进入）vlan100的虚接口

[SwitchA] interface Vlan-interface 100

12.  给vlan100的虚接口配置IP地址

[SwitchA-Vlan-interface100]ip address 10.100.1.1 255.255.0.0

13.  创建（进入）vlan200

[SwitchA] vlan 200

14.  创建（进入）vlan200的虚接口

[SwitchA] interface Vlan-interface 200

15.  给vlan200的虚接口配置IP地址

[SwitchA-Vlan-interface200]ip address 10.200.1.1 255.255.0.0

 

访问控制配置

 

1.      配置ACL

[SwitchA] acl num 100

2.      配置acl访问控制列表禁止网段10.10.0.0访问网段10.20.0.0

[SwitchA-acl-adv-100]rule 0 deny ip source 10.10.1.1  0.0.255.255 destination 10.20.1.1 0.0.255.255

3.      配置acl访问控制列表禁止网段10.10.0.0访问网段10.30.0.0

[SwitchA-acl-adv-100]rule 1 deny ip source 10.10.1.1  0.0.255.255 destination 10.30.1.1 0.0.255.255

4.      配置acl访问控制列表禁止网段10.20.0.0访问网段10.10.0.0

[SwitchA-acl-adv-100]rule 2 deny ip source 10.20.1.1  0.0.255.255 destination 10.10.1.1 0.0.255.255

5.      配置acl访问控制列表禁止网段10.20.0.0访问网段10.30.0.0

[SwitchA-acl-adv-100]rule 3 deny ip source 10.20.1.1  0.0.255.255 destination 10.30.1.1 0.0.255.255

6.      配置acl访问控制列表禁止网段10.30.0.0访问网段10.10.0.0

[SwitchA-acl-adv-100]rule 4 deny ip source 10.30.1.1  0.0.255.255 destination 10.10.1.1 0.0.255.255

7.      配置acl访问控制列表禁止网段10.30.0.0访问网段10.20.0.0

[SwitchA-acl-adv-100]rule 5 deny ip source 10.30.1.1  0.0.255.255 destination 10.20.1.1 0.0.255.255

8.      配置acl访问控制列表禁止网段10.30.0.0访问网段10.200.0.0

[SwitchA-acl-adv-100]rule 6 deny ip source 10.30.1.1  0.0.255.255 destination 10.200.1.1 0.0.255.255

进入端口视图

[SwitchA]int e4/0/1

9.      下发访问控制列表

[SwitchA]packet-filter inbound ip 100 not-care-for-interface

 

【5516配置方法】

基础配置

1.      创建（进入）vlan10

[SwitchA] vlan 10

2.      创建（进入）vlan10的虚接口

[SwitchA] interface Vlan-interface 10

3.      给vlan20的虚接口配置IP地址

[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.0.0

4.      创建（进入）vlan20

[SwitchA] vlan 20

5.      创建（进入）vlan20的虚接口

[SwitchA] interface Vlan-interface 20

6.      给vlan20的虚接口配置IP地址

[SwitchA-Vlan-interface20]ip address 10.20.1.1 255.255.0.0

7.      创建（进入）vlan30

[SwitchA] vlan 30

8.      创建（进入）vlan30的虚接口

[SwitchA] interface Vlan-interface 30

9.      给vlan30的虚接口配置IP地址

[SwitchA-Vlan-interface30]ip address 10.30.1.1 255.255.0.0

10.  创建（进入）vlan100

[SwitchA] vlan 100

11.  创建（进入）vlan100的虚接口

[SwitchA] interface Vlan-interface 100

12.  给vlan100的虚接口配置IP地址

[SwitchA-Vlan-interface100]ip address 10.100.1.1 255.255.0.0

13.  创建（进入）vlan200

[SwitchA] vlan 200

14.  创建（进入）vlan200的虚接口

[SwitchA] interface Vlan-interface 200

15.  给vlan200的虚接口配置IP地址

[SwitchA-Vlan-interface200]ip address 10.200.1.1 255.255.0.0

 

访问控制配置

 

1.      配置ACL

[SwitchA] acl num 100

2.      配置acl访问控制列表禁止网段10.10.0.0访问网段10.20.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.10.1.1  0.0.255.255 destination 10.20.1.1 0.0.255.255

3.      配置acl访问控制列表禁止网段10.10.0.0访问网段10.30.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.10.1.1  0.0.255.255 destination 10.30.1.1 0.0.255.255

4.      配置acl访问控制列表禁止网段10.20.0.0访问网段10.10.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.20.1.1  0.0.255.255 destination 10.10.1.1 0.0.255.255

5.      配置acl访问控制列表禁止网段10.20.0.0访问网段10.30.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.20.1.1  0.0.255.255 destination 10.30.1.1 0.0.255.255

6.      配置acl访问控制列表禁止网段10.30.0.0访问网段10.10.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1  0.0.255.255 destination 10.10.1.1 0.0.255.255

7.      配置acl访问控制列表禁止网段10.30.0.0访问网段10.20.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1  0.0.255.255 destination 10.20.1.1 0.0.255.255

8.      配置acl访问控制列表禁止网段10.30.0.0访问网段10.200.0.0

[SwitchA-acl-adv-100]rule deny ip source 10.30.1.1  0.0.255.255 destination 10.200.1.1 0.0.255.255

9.      下发访问控制列表

[SwitchA]packet-filter ip-group 100

阅读(616) | 评论(0) | 转发(0) |
0

上一篇：常用配置之DHCP-RELAY配置（华为）

下一篇：常用配置之端口汇聚（华为）

给主人留下些什么吧！~~
关于我们 | 关于IT168 | 联系方式 | 广告合作 | 法律声明 | 免费注册

Copyright 2001-2010 ChinaUnix.net All Rights Reserved 北京皓辰网域网络信息技术有限公司. 版权所有

感谢所有关心和支持过ChinaUnix的朋友们

16024965号-6