华为S5700实现两个VLAN间不通信的ACL策略

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了华为S5700实现两个VLAN间不通信的ACL策略相关的知识,希望对你有一定的参考价值。

该技术贴也是最近做实验的结果,本着存档的习惯将方法记录下来。如有不对请指正!!

进入正题:

需求,配置两个VLAN,让其不通。

需求很简单,但是我们要学会用简单的实验来学习思考复杂的环境配置。

因为现在的交换机默认情况下VLAN是互通的。所以在这里我们用ACL策略来实现。

先上个拓扑图吧,这个图暂时借来用的,没这么多client。技术分享


首先进入配置:

1、先配好VLAN10和VLAN20,并设置好DHCP地址池,这里不是重点就不细说了,不知道的同学可以去查资料,很简单,学习在于探索嘛!


vlan 10

 description [OA]

vlan 20

 description [WIFI]

#

ip pool 10

 gateway-list 192.168.10.1

 network 192.168.10.0 mask 255.255.255.0

 excluded-ip-address 192.168.10.2 192.168.10.10

 excluded-ip-address 192.168.10.241 192.168.10.254

 lease day 0 hour 6 minute 0

 dns-list 210.22.84.3 210.22.70.3

#

ip pool 20

 gateway-list 192.168.20.1

 network 192.168.20.0 mask 255.255.255.0

 excluded-ip-address 192.168.20.2 192.168.20.5

 excluded-ip-address 192.168.20.235 192.168.20.254

 lease day 0 hour 6 minute 0

 dns-list 210.22.84.3 210.22.70.3


2、直接进入ACL配置:

acl number 3000

 rule 1 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255


[Switch] traffic classifier tc1  //创建流分类
[Switch-classifier-tc1] if-match acl 3000 //将ACL与流分类关联
[Switch-classifier-tc1] quit

[Switch] traffic behavior tb1  //创建流行为
[Switch-behavior-tb1] deny  //配置流行为动作为拒绝报文通过
[Switch-behavior-tb1] quit
[Switch] traffic policy tp1  //创建流策略
[Switch-trafficpolicy-tp1] classifier tc1 behavior tb1  //将流分类tc1与流行为tb1关联
[Switch-trafficpolicy-tp1] quit

(这一段是摘的,因为解释的比较详细,一看就明白)

以上设置好还不算完!

VLAN 10

traffic-policy tp1 inbound //流策略应用在接口入方向


测试一下,不能PING 通了。成功!

以上实验我们初学者可以学到怎么去配置ACL策略逻辑,vlan和地址池的配置,在实际应用中还是很常用的。

本文出自 “黄了的树叶” 博客,请务必保留此出处http://wenyilin523.blog.51cto.com/7671384/1774411

以上是关于华为S5700实现两个VLAN间不通信的ACL策略的主要内容,如果未能解决你的问题,请参考以下文章

华为S5700系列交换机配置通过流策略实现VLAN间三层隔离

华为S5700系列交换机使用高级ACL限制不同网段的用户互访

华为s5700怎么做vlan间禁止访问?

华为ACL规则问题,我的三层交换机是5700,

华为USG6330运维记录-端口回流策略路由

华为VLAN的ACL策略应用