网络一向不只是能通就好,很多场景里面,都会有特殊的需求,比如说,有时候需要配置VLAN之间TCP的单向访问——在下图中,要求只允许PC1主动与PC2建立TCP连接,而不允许PC2主动发起与PC1的TCP连接 。
针对客户的要求,打算配置高级ACL和基于ACL的流分类,通过限制ICMP和TCP连接的方式实现PC1到PC2的单向访问 。
文章插图
实际上的网络架构当然不可能这么简单,本文只为展示TCP单向发起通讯的配置方法,所以其他因素暂不考虑,也就暂时不需要引入其他的设备了 。
配置步骤如下:
- 配置VLAN参数
[HUAWEI] sysname Sw1
[Sw1] vlan batch 10 20 # 创建VLAN10和VLAN20
[Sw1] interface vlanif 10
[Sw1-Vlanif10] ip address 10.1.1.1 24
[Sw1-Vlanif10] quit
[Sw1] interface vlanif 20
[Sw1-Vlanif20] ip address 10.1.2.1 24
[Sw1-Vlanif20] quit
2、配置物理接口
[Sw1] interface gigabitethernet 0/0/1
[Sw1-GigabitEthernet0/0/1] port link-type trunk
[Sw1-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
【如何让老板能访问员工的电脑,而员工却不能访问老板的电脑】[Sw1-GigabitEthernet0/0/1] quit
[Sw1] interface gigabitethernet 0/0/2
[Sw1-GigabitEthernet0/0/2] port link-type trunk
[Sw1-GigabitEthernet0/0/2] port trunk allow-pass vlan 20
[Sw1-GigabitEthernet0/0/2] quit
3、配置高级ACL
[Sw1] acl 3001
[Sw1-acl-adv-3001] rule permit tcp source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 tcp-flag syn ack
[Sw1-acl-adv-3001] rule deny tcp source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 tcp-flag syn
[Sw1-acl-adv-3001] rule deny icmp source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 icmp-type echo
[Sw1-acl-adv-3001] quit
- 配置匹配于高级ACL的流分类
[Sw1-classifier-c1] if-match acl 3001
[Sw1-classifier-c1] quit
- 配置流行为
[Sw1-behavior-b1] permit
[Sw1-behavior-b1] quit
- 配置流策略,将流分类与流行为关联
[Sw1-trafficpolicy-p1] classifier c1 behavior b1
[Sw1-trafficpolicy-p1] quit
- 在接口下应用流策略
[Sw1-GigabitEthernet0/0/2] traffic-policy p1 inbound
[Sw1-GigabitEthernet0/0/2] quit
最后提醒一下,不要在模拟器里面实验这个配置,因为完全没有效果,此时,如果把流行为修改为deny,那就双向都不通了,可能是模拟器的BUG,也可能是我水平问题,就算是用traffic-filter vlan 20 inbound acl 3001也还是不行 。
推荐阅读
- 家居风水宝地
- 如何泡花草茶,花草茶泡制方法
- 牛蒡茶天喝几杯最好,茉莉花茶如何喝
- 笔记本如何加内存条
- 花茶怎么保存,如何保存花草茶
- 花草茶的选择和保存,如何保存花草茶
- 如何控制孩子玩手机的时间 用手机控制另一台手机
- 如何做一个比较规范的市场调查
- 喝什么茶都一个味道?看懂这些,让你懂得品茶的学问
- 哪些人不能喝金银花茶,金银花茶如何贮存