【WLAN】华为AC使用ACL禁止业务VLAN的IP地址访问管理VLAN

前景提示

安全一直是一个很重要的话题，尤其在企业AC+AP组网的方式中。我们通常会把业务vlan和管理vlan区分开来，使用不同的VLAN，增加安全性，这二者其实可以分离的。

业务vlan：

业务vlan就是我们使用无线设备获取到的IP地址所属的vlan

管理vlan：

管理vlan就是我们的AP设备自身的IP地址

实验目的

通过此次实验，熟练掌握AP在AC上上线的过程，体会模板调用的方法。顺便理解traffic-filter和traffic-policy 用法，从而实现业务vlan的用户无法访问AP管理地址以及各个AP的IP地址的实验目的。

实验拓补

实验过程

[AC6005]sysname AC-1029 //更改设备名
[AC-1029]dhcp enable //开启dhcp服务
Info: The operation may take a few seconds. Please wait for a moment.done.
[AC-1029]undo  info-center enable //关闭信息中心提示
Info: Information center is disabled.
[AC-1029]vlan batch 10 20 //创建vlan10,20
Info: This operation may take a few seconds. Please wait for a moment...done.	
[AC-1029]port-group ap //创建“ap”组
[AC-1029-port-group-ap]group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0
/2  //组成员是G1端口和G2端口
[AC-1029-port-group-ap]port link-type trunk //设置端口为trunk
[AC-1029-port-group-ap]port trunk allow-pass vlan 10 //允许vlan10通过
[AC-1029-port-group-ap]port trunk pvid vlan 10	//设置PVID值
[AC-1029-port-group-ap]undo  port trunk allow-pass vlan 1 //禁止vlan1通过
[AC-1029-port-group-ap]quit 
[AC-1029]interface Vlanif 10
[AC-1029-Vlanif10]ip address 192.168.10.25