ENSP模拟交换环境中调用高级ACL限制不同网段之间互访

Posted 2021-01-16

实验环境：

网段规划：
vlan 100：10.10.10.0 /24 网关 10.10.10.254 DNS：8.8.8.8
vlan 101：192.168.10.0/24 网关 192.168.10.254 DNS：8.8.8.8
配置Center
1、创建vlan
vlan 100
description bangong
vlan 101
description youke
2、配置trunk接口
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 to 101
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 100 to 101
3、创建虚接口并配置IP地址
interface Vlanif101
ip address 192.168.10.254 255.255.255.0
interface Vlanif100
ip address 10.10.10.254 255.255.255.0
4、配置DHCP
dhcp enable
ip pool bangong
gateway-list 10.10.10.254
network 10.10.10.0 mask 255.255.255.0
dns-list 8.8.8.8

ip pool youke
gateway-list 192.168.10.254
network 192.168.10.0 mask 255.255.255.0
dns-list 8.8.8.8

interface Vlanif100
ip address 10.10.10.254 255.255.255.0
dhcp select global

interface Vlanif101
ip address 192.168.10.254 255.255.255.0
dhcp select global

配置Access1
vlan 100
description bangong
vlan 101
description youke

interface Ethernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 to 101

interface Ethernet0/0/3
port link-type access
port default vlan 100

interface Ethernet0/0/4
port link-type access
port default vlan 101

interface Ethernet0/0/5
port link-type access
port default vlan 100

配置Access2

vlan 100
description bangong
vlan 101
description youke

interface Ethernet0/0/2
port link-type trunk
port trunk allow-pass vlan 100 to 101

interface Ethernet0/0/3
port link-type access
port default vlan 100

interface Ethernet0/0/4
port link-type access
port default vlan 101

interface Ethernet0/0/5
port link-type access
port default vlan 100

将PC1 PC2 PC3 PC4ip地址设置为自动获取，并验证获取到的地址






我们先互相ping一下游客和办公网络，目前是互通的

我们在Center上定义ACL
acl number 3000
rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 10.10.10.0 0.0.0.255

traffic classifier 111
if-match acl 3000

traffic behavior 111
deny

traffic policy 111
classifier 111 behavior 111

traffic-policy 111 global inbound

我们再次互相ping游客和办公网络，已经不通了

同网段互相ping，可以访问

由于我们的acl只是针对网络层做了限制，并没有限制传输层，所以我们将FTP Server放入办公网络，将FTP CLient放入游客网络，验证能否通

给FTP Server和FTP Client分配IP地址，并验证能否ping通网关

打开FTP Server功能

用客户端访问，TCP连接无法建立。说明定义ACL时，如果协议选择IP，则四层不能通过。

但是，如果acl定义的协议为ICMP，则四层仍然能够访问。