華為企業(yè)交換機ACL經(jīng)典案例
實驗?zāi)康?/p>
模擬器有三臺主機PC，是PC1,PC2,PC3我們分別使用基本ACL高級ACL和二層ACL來實現(xiàn)一些訪問控制，用戶可自行體會其中的差別
實驗拓補
前半段
開始前，我們首先讓三臺PC獲取IP地址，方便后面的實驗
system-view//進入系統(tǒng)視圖 Entersystemview,returnuserviewwithCtrl+Z. [Huawei]undoinfo-centerenable Info:Informationcenterisdisabled. [Huawei]sysnameCORE//命名設(shè)備 [CORE]vlanbatch102030//創(chuàng)建三個vlan，102030 Info:Thisoperationmaytakeafewseconds.Pleasewaitforamoment...done. [CORE]dhcpenable Info:Theoperationmaytakeafewseconds.Pleasewaitforamoment.done. [CORE]interfaceVlanif10//進入vlanif10 [CORE-Vlanif10]ipaddress192.168.10.25424//配置IP地址 [CORE-Vlanif10]dhcpselectinterface//dhcp的方式是基于接口 [CORE-Vlanif10]quit [CORE]interfaceVlanif20 [CORE-Vlanif20]ipaddress192.168.20.25424 [CORE-Vlanif20]dhcpselectinterface [CORE-Vlanif20]quit [CORE]interfaceVlanif30 [CORE-Vlanif30]ipaddress192.168.30.25424 [CORE-Vlanif30]dhcpselectinterface [CORE-Vlanif30]quit [CORE]interfaceGigabitEthernet0/0/1 [CORE-GigabitEthernet0/0/1]portlink-typeaccess//設(shè)置鏈路類型為ACCESS [CORE-GigabitEthernet0/0/1]portdefaultvlan10//劃分至vlan10 [CORE-GigabitEthernet0/0/1]quit [CORE]interfaceGigabitEthernet0/0/2 [CORE-GigabitEthernet0/0/2]portlink-typeaccess [CORE-GigabitEthernet0/0/2]portdefaultvlan20 [CORE-GigabitEthernet0/0/2]quit [CORE]interfaceGigabitEthernet0/0/3 [CORE-GigabitEthernet0/0/3]portlink-typeaccess [CORE-GigabitEthernet0/0/3]portdefaultvlan30 [CORE-GigabitEthernet0/0/3]quit [CORE]
基本ACL（2000-2999）
實驗?zāi)康模航?92.168.30.253的IP地址的主機訪問192.168.10.253的主機
[CORE]acl2000//創(chuàng)建基本ACL，編號是2000 [CORE-acl-basic-2000]step10//設(shè)置步長為10 [CORE-acl-basic-2000]rudenysource192.168.30.2530.0.0.0//拒絕192.168.30.253的IP報文 [CORE-acl-basic-2000]quit [CORE]interfaceGigabitEthernet0/0/1 [CORE-GigabitEthernet0/0/1]traffic-filteroutboundacl2000//你G0/0/1的出端口調(diào)用ACL2000
高級ACL（3000-3999）
實驗?zāi)康模航笽P地址是192.168.30.0的網(wǎng)段訪問192.168.10.253的主機
[CORE]acl3000 [CORE-acl-adv-3000]ruledenyipsource192.168.30.00.0.0.255destination192.16 8.10.2530.0.0.0 [CORE-acl-adv-3000]quit [CORE]interfaceGigabitEthernet0/0/1 [CORE-GigabitEthernet0/0/1]traffic-filteroutboundacl3000
二層ACL（4000-4999）
實驗?zāi)康模航筂AC地址是5489-98d2-1bdd的主機訪問MAC地址為5489-9834-1372的主機
注：這里的設(shè)計有問題，在三層交換機上，只有兩臺主機在同一vlan下才可以實現(xiàn)，不過思路還是這個思路。
這里發(fā)生了個有趣的事情，ENSP模擬器宛如ZZ一樣，怎么都實現(xiàn)不了想要的效果，還以為配置有問題，重新增加交換機和主機測試就OK了，所以模擬器還是有很多潛在的BUG的。
哈哈，其實是我錯了，我要留下這段話。
[CORE]acl4001 [CORE-acl-L2-4001]ruledenysource-mac5489-98d2-1bdddestination-mac5489-9834 -1372 [CORE-acl-L2-4001]quit [CORE]interfaceGigabitEthernet0/0/1 [CORE-GigabitEthernet0/0/1]traffic-filteroutboundacl4001 [CORE-GigabitEthernet0/0/1]quit
更正：天吶！這里犯了一個錯誤，其實這段代碼是實現(xiàn)不了互相禁止的，因為vlan10和vlan30屬于三層IP轉(zhuǎn)發(fā)，三層交換機上，如果是同一vlan下是可以用ACL4000實現(xiàn)的（同一vlan轉(zhuǎn)發(fā)不涉及三層轉(zhuǎn)發(fā)）。所以有三層交換機的時候我們盡量用高級ACL來做（3000-3999）.
常用ACL
| 分類 | 規(guī)則定義描述 | 編號 |
| 基本ACL | 僅使用報文的源IP地址、分片信息和生效時間段信息來定義規(guī)則。 | 2000-2999 |
| 高級ACL | 既可使用IPv4報文的源IP地址，也可使用目的IP地址、IP協(xié)議類型、ICMP類型、TCP源/目的端口、UDP源/目的端口號、生效時間段等來定義規(guī)則。 | 3000-3999 |
| 二層ACL | 使用報文的以太網(wǎng)幀頭信息來定義規(guī)則，如根據(jù)源MAC（Media Access Control）地址、目的MAC地址、二層協(xié)議類型等。 | 4000-4999 |
| 用戶自定義ACL | 使用報文頭、偏移位置、字符串掩碼和用戶自定義字符串來定義規(guī)則，即以報文頭為基準(zhǔn)，指定從報文的第幾個字節(jié)開始與字符串掩碼進行“與”操作，并將提取出的字符串與用戶自定義的字符串進行比較，從而過濾出相匹配的報文。 | 5000-5999 |
| 用戶ACL | 既可使用IPv4報文的源IP地址或源UCL（User Control List）組，也可使用目的IP地址或目的UCL組、IP協(xié)議類型、ICMP類型、TCP源端口/目的端口、UDP源端口/目的端口號等來定義規(guī)則。 | 6000-6999 |
| 基本ACL6 | 可使用IPv6報文的源IPv6地址、分片信息和生效時間段來定義規(guī)則 | 2000-2999 |
| 高級ACL6 | 可以使用IPv6報文的源IPv6地址、目的IPv6地址、IPv6協(xié)議類型、ICMPv6類型、TCP源/目的端口、UDP源/目的端口號、生效時間段等來定義規(guī)則。 | 3000-3999 |
審核編輯：湯梓紅
聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問題，請聯(lián)系本站處理。
舉報投訴
-
華為
+關(guān)注
關(guān)注
216文章
34541瀏覽量
253101 -
交換機
+關(guān)注
關(guān)注
21文章
2658瀏覽量
100203 -
模擬器
+關(guān)注
關(guān)注
2文章
882瀏覽量
43437 -
ACL
+關(guān)注
關(guān)注
0文章
61瀏覽量
12027
發(fā)布評論請先 登錄
相關(guān)推薦
華為路由器交換機VLAN配置實例
華為路由器交換機VLAN配置實例[hide]華為路由器交換機VLAN配置實例使用4臺PC（pc多和少，原理是一樣的，所以這里我只用了4臺pc），華為
發(fā)表于 05-25 00:21
虛擬交換機有什么特點？
虛擬交換機是數(shù)字程控交換機所具有的一種功能，是當(dāng)今電話通信中最新應(yīng)用技術(shù)。Centrex 意思是在用戶端不裝任何小交換機，而由數(shù)字程控交換機直接向這個
發(fā)表于 11-06 09:10
接入層交換機、匯聚層交換機和核心層交換機的區(qū)別
景區(qū)別對于核心層交換機、匯聚層交換機以及接入層交換機并沒有固定要求，它們處于哪一層主要取決于網(wǎng)絡(luò)環(huán)境的大小及設(shè)備的轉(zhuǎn)發(fā)能力，也不是每個網(wǎng)絡(luò)都必須有這三個結(jié)構(gòu)，有些企業(yè)只有接入層
發(fā)表于 06-04 11:57
網(wǎng)絡(luò)交換機的應(yīng)用類型
網(wǎng)絡(luò)交換機的應(yīng)用類型
根據(jù)交換機所應(yīng)用的網(wǎng)絡(luò)層次，我們又可以將網(wǎng)絡(luò)交換機劃分為可分為企業(yè)級交換機、校園網(wǎng)
發(fā)表于 01-08 11:06
?2635次閱讀
華為第五代敏捷交換機S12700：重新定義交換機
關(guān)鍵詞：華為 , 敏捷 , 交換機 , S12700 8月8日，華為在北京發(fā)布全球首個以業(yè)務(wù)和用戶體驗為中心的敏捷網(wǎng)絡(luò)架構(gòu)及全球首款敏捷交換機S12700。 用
華為交換機配置技巧入門到精通的資料合集免費下載
本文檔的主要內(nèi)容詳細介紹的是華為交換機配置技巧入門到精通的資料合集免費下載主要內(nèi)容包括了:TELNET遠程管理交換機配置，交換機基于端口VLAN應(yīng)用配置，Web管理的配置，VLAN接口
發(fā)表于 01-14 08:00
?67次下載
核心交換機、匯聚交換機與普通交換機的區(qū)別介紹
核心交換機并不是交換機的一種類型，放在核心層(網(wǎng)絡(luò)主干部分)的交換機叫核心交換機。匯聚層交換機，是多臺接入層
發(fā)表于 03-19 14:50
?1.3w次閱讀
家庭交換機怎么安裝_交換機網(wǎng)速是平分的嗎
已經(jīng)廣泛應(yīng)用于各個領(lǐng)域，作為網(wǎng)絡(luò)的主要連接設(shè)備，被眾多用戶廣泛應(yīng)用，在這里我同大家分享的詳細安裝圖解，在這里你會了解，。交換機華為交換機華為S5700
發(fā)表于 03-25 10:29
?1.1w次閱讀
核心交換機、匯聚交換機、接入交換機之間的對比分析
Cisco定義的分層互聯(lián)模型包括核心層、匯聚層和接入層，因此，工作在這些層的網(wǎng)絡(luò)交換機有相應(yīng)的名稱，如核心交換機、匯聚交換機和接入交換機。
助力企業(yè)構(gòu)建更可靠的云上云下網(wǎng)絡(luò)，華為云企業(yè)交換機巧解企業(yè)上云難題！
助力企業(yè)構(gòu)建更可靠的云上云下網(wǎng)絡(luò)，華為云企業(yè)交換機巧解企業(yè)上云難題！ 近年來，隨著通訊網(wǎng)絡(luò)的發(fā)展，交換機
助力企業(yè)構(gòu)建更可靠的云上云下網(wǎng)絡(luò)，華為云企業(yè)交換機巧解企業(yè)上云難題！
助力企業(yè)構(gòu)建更可靠的云上云下網(wǎng)絡(luò)，華為云企業(yè)交換機巧解企業(yè)上云難題！ 近年來，隨著通訊網(wǎng)絡(luò)的發(fā)展，交換機
PoE交換機可以當(dāng)普通交換機使用嗎
隨著PoE交換機的廣泛應(yīng)用，人們對PoE交換機有了一定的了解。然而，很多人認(rèn)為PoE交換機可以自行發(fā)電，這種說法并不正確，通常所講的PoE交換機供電指的是PoE
工業(yè)級POE交換機的ACL
工業(yè)級POE交換機通常支持訪問控制列表（Access Control List，ACL）功能，用于實施網(wǎng)絡(luò)安全策略。ACL可以根據(jù)源IP地址、目標(biāo)IP地址、傳輸協(xié)議、端口號等條件來過濾和控制網(wǎng)絡(luò)流量。
華為交換機常用命令大全
華為作為全球領(lǐng)先的信息與通信解決方案供應(yīng)商，其交換機產(chǎn)品在全球市場占據(jù)了重要位置。華為交換機以高性能、高可靠性和豐富的功能著稱，廣泛應(yīng)用于企業(yè)
工商網(wǎng)監(jiān)
評論