VLAN間單向存取控制配置執行個體

VLAN間單向存取控制配置執行個體2007-07-25 14:01

一 功能需求及組網說明
配置環境參數：
1. VLAN8的IP地址為192.168.8.254，VLAN9的IP地址為192.168.9.254；
2. E1/0/40- E1/0/44連接埠屬於VLAN8，E1/0/45- E1/0/48連接埠屬於VLAN9。
產品版本資訊：
S3952P的版本為Release1510。
組網要求：
VLAN8的每一台主機都無法訪問VLAN9的主機，VLAN9的主機都能訪問VLAN8的主機。

二 資料配置步驟：
1. 劃分VLAN，並將相應連接埠加入VLAN；
2. 配置VLAN的IP地址；
3. 配置ACL，並下發到連接埠上。

三 配置命令參考：
S3952P相關配置：
1. 建立（進入）VLAN8
[Quidway]vlan 8
2. 將連接埠加入VLAN8
[Quidway-vlan8]port e1/0/40 to e1/0/44
3. 建立（進入）VLAN9
[Quidway-vlan8]vlan 9
4. 將連接埠加入VLAN9
[Quidway-vlan9]port e1/0/45 to e1/0/48
5. 進入VLAN連接埠8視圖
[Quidway-vlan9]int vlan 8
6. 為VLAN8配置IP地址
[Quidway-interface-vlan8]ip add 192.168.8.1 255.255.255.0
7. 進入VLAN連接埠9視圖
[Quidway-interface-vlan8]int vlan 9
8. 為VLAN9配置IP地址
[Quidway-interface-vlan9] ip add 192.168.9.1 255.255.255.0
9. 建立ACL 3001
[Quidway-interface-vlan9]acl number 3001
10. 配置ACL 3001規則
[Quidway-acl-adv-3001]rule 0 deny icmp destination 192.168.9.0 0.0.0.255 icmp-type echo
[Quidway-acl-adv-3001]rule 1 deny tcp established destination 192.168.9.0 0.0.0.255
[Quidway-acl-adv-3001]rule 2    permit icmp source 192.168.9.0 0.0.0.255 icmp-type echo
[Quidway-acl-adv-3001]rule 3 permit tcp established source 192.168.9.0 0.0.0.255
11. 進入E1/0/48連接埠
[Quidway-acl-adv-3001]int e1/0/40
12. 在E1/0/48連接埠的outbound方向下發ACL
[Quidway-interface-Ethernet1/0/40]packet inbound ip-group 3001

四 補充說明：
1. 此處僅僅將ACL下發到E1/0/40連接埠，VLAN9的其餘連接埠同樣下發；
2. S3900系列交換器的匹配規則為後下發先生效，且建議最好下發在連接埠inbound方向；
3. 此處以S3952P為例，其他交換器如S5600等配置相同。