您的位置: 首页  >  生活常识  >  华为交换机acl配置实例允许访问(华为交换机acl实现vlan隔离)

华为交换机acl配置实例允许访问(华为交换机acl实现vlan隔离)

分类: 生活常识 • 2023-11-09 13:40:10
实验目标验证华为交换机在视图模式下配置全局ACL流量过滤和全局基于VLAN模式下inbound和outbound过滤情况进行总结。测试环境主要用到LSW2交换机、Server1、Client1、Client2、PC2、PC5。实验拓扑图实验拓扑图实验配置一（黑名单模式）全局下拓展ACL简化流策略LSW2:acl number 3001rule 10 deny icmp source 192.168.20.20 0rule 20 deny tcp source 192.168.20.30 0 destina

目的是验证华为交换机在全球范围内配置了查看模式下的全局ACL流量过滤和VLAN模式下的入站和出站过滤。测试环境中主要使用LSW2交换机、Server1、Client1、Client2、PC2和PC5。

实验拓扑图

实验拓扑图

实验一(黑名单模式)全局扩展ACL，简化流量策略。

LSW2:

acl编号3001

规则10拒绝icmp源192.168.20.20 0

规则20拒绝tcp源192.168.20.30 0目的端口eq ftp

规则25拒绝tcp源192.168.20.30目的端口eq www

规则30允许ip

[ls w2]流量筛选器入站acl 3001

  • 在应用全局ACL之前进行测试:

    • PC5可以正常PING通Server1。

    客户端1可以正常地ftp到服务器1。

    客户端1可以正常地http访问服务器1。

  • 在启用全局ACL之前测试情况:

    • LSW2启用全局ACL过滤。

    Pcping无法到达服务器1。

    客户端1仍然可以通过ftp访问服务器1。

    客户端1仍然可以通过http访问服务器1

    2.客户端2可以正常PING服务器1。

    发现全局模式下的ACL过滤对高层协议(L4及以上)无效，对网络级协议有效。并且建议使用黑名单来限制流量，即最后一个必须是permit ip any。

    基于全局vlan的扩展ACL流策略

    acl编号3001

    规则10拒绝icmp源192.168.20.20 0

    规则20拒绝tcp源192.168.20.30 0目的端口eq ftp

    规则25拒绝tcp源192.168.20.30目的端口eq www

    规则30允许ip

    [ls w2]流量筛选器vlan 20入站acl 3001

  • 在全局VLAN模式下启用ACL之前进行测试:

    • LSW2应用全球VLAN入站方向的ACL。

    Pcping无法到达服务器1。

    客户端1可以通过ftp访问服务器1。

    客户端1可以通过http访问服务器1。

    PC2、客户端2 PING服务器1

    根据配置1的汇总测试，全局模式下的acl过滤和全局vlan模式下的acl过滤对高层协议(L4及以上)无效，对网络层协议有效。入站和出站效果一样，建议使用黑名单限制流量，即最后一个必须是permit ip any。

    实验二(白名单模式):全局扩展ACL，简化流量策略(谨慎使用白名单机制，防止ospf邻居宕机或其他协议因泄漏策略受到影响)

    LSW2:

    acl编号3003

    规则10允许ip源192.168.20.20 0目的地192.168.10.10 0

    规则15允许ip源192.168.10.10 0目的地192.168.20.20 0

    规则20允许ip源192.168.20.30 0目的地192.168.10.10 0

    规则25允许ip源192.168.10.10 0目的地192.168.20.30 0

    规则30拒绝ip

    [ls w2]流量筛选器入站acl 3003

  • 在启用全局ACL之前测试情况:

    • PC5可以PING通服务器1。

    客户端1可以通过http访问服务器1。

    客户端1可以通过ftp访问服务器1。

    2.客户端2无法PING通服务器1。

    Ospf邻居关系关闭

    发现全局acl过滤在全局上是有效的，要注意往返流量方向的变化。所以，每篇文章都是放出来的。

    其实应该写两个策略，目标地址互换。

    基于全局vlan的扩展ACL流策略

    acl编号3003

    规则10允许ip源192.168.20.20 0目的地192.168.10.10 0

    规则15允许ip源192.168.10.10 0目的地192.168.20.20 0

    规则20允许ip源192.168.20.30 0目的地192.168.10.10 0

    规则25允许ip源192.168.10.10 0目的地192.168.20.30 0

    规则30拒绝ip

    [ls w2]流量筛选器vlan 20入站acl 3003

  • 在启用全局VLAN ACL之前测试情况:

    • PC5可以PING通服务器1。

    客户端1可以通过ftp访问服务器1。

    客户端1可以通过http访问服务器1。

    Client2可以PING通Server1，但PC2无法PING通Server1。

    测试结论:基于全局vlan的acl过滤仅对vlan有效，要注意流量方向的变化。所以，每个释放策略实际上应该写成两个，源地址和目的地址互换，入站生效。换个方向，把进站换成出站，检测结果不生效。

    总结:全局模式下的acl过滤和全局vlan模式下的acl过滤对高层协议(L4及以上)无效，对网络层协议有效。并且建议使用黑名单来限制流量，即最后一个必须是permit ip any。

  • 全局acl过滤是全局生效的，而基于全局VLAN的acl过滤只对VLAN生效，要注意流量方向的变化。因此，每个发布策略实际上应该写成两个，目的地址是可以互换的。入站生效，出站不生效。
  • 尽量谨慎使用白名单机制，因为泄露策略很容易导致OSPF协议(OSPF协议工作在网络层)等网络瘫痪。

    • 相关推荐