ACL实现单向访问

最新推荐文章于 2025-04-13 16:40:36 发布

guo1wu3shi4

最新推荐文章于 2025-04-13 16:40:36 发布

阅读量8.1k

点赞数 1

分类专栏： linux 文章标签： tcp/ip 网络服务器

本文链接：https://blog.csdn.net/guo1wu3shi4/article/details/121843397

版权

linux 专栏收录该内容

3 篇文章

订阅专栏

该博客讨论了如何在两个VLAN之间实现单向访问，即业务部门（VLAN10）不能访问管理部门（VLAN20），但管理部门可以访问业务部门。提供了两种配置方案：方案一利用ACL3001允许VLAN10响应TCP连接并禁止其主动访问；方案二通过ACL3002利用TCP的ACK和RST标志来控制访问权限。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

业务部门（VLAN10）

管理部门（VLAN20）

现想实现VLAN之间的单向访问（无法提前知道软件端口），也就是业务部分无法访问管理部门；管理部门可以访问业务部门

方式1：允许VLAN10响应VLAN20的TCP连接请求；不允许VLAN10访问VLAN20
acl number 3001                           
 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 tcp-flag established
 rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

traffic-filter vlan 10 inbound acl 3001

方式2：ACK和RST就是对TCP的连接请求的响应
acl number 3002         
 rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 tcp-flag ack
 rule 10 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 tcp-flag rst                 
 rule 15 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

traffic-filter vlan 10 inbound acl 3002