华三h3c系列交换机ACL实践

已于 2024-06-07 08:57:04 修改
阅读量1.3w 收藏 55
点赞数 23
分类专栏： 华三交换机acl方向 华三交换机acl中inbound/outbound 文章标签： 网络 linux 服务器 h3c 运维
于 2022-04-22 16:14:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/henu_lxz/article/details/121915278
版权


学习目标：使用华三acl控制数据流

1、认识华三h3c的两种ACL：basic acl 、 advanced acl在不同接口类型、不同调用方向及后续运维方式中表现是否一致？
2、区分acl中的source ip或destination ip在接口下调用时华三CLI命令行中：inbound/outbound所指的方向。

3、常见的路由器交换机acl功能设计是否一致？

4、如果接口下同时挂载inbound/outbound策略acl时华三网络设备如何控制数据流量？

5、

本实例分别模拟物理接口和Vlan接口：

        1、acl配置在物理接口

                （acl控制的两个端点访问）接口配置acl时调用：（basic acl 、 advanced acl表现一致且与我们日常所理解的接口的in/out方向相同）

                配置inbound方向（无论从A主动访问B，还是主动从B到A）设备指代的方向都一样：以配置了acl的接口为例，流量进入接口流入设备（流入交换机内部）的方向；

                outbound方向（无论从A主动访问B，还是主动从B到A）以配置了acl的接口为例，流量流出设备（从交换机流出）去往端点的方向；

        如下图所示，当配置outbound方向的acl时，无论从188.8.190.64主动访问188.8.3.2，还是主动从188.8.3.2访问188.8.190.64，ACL控制的方向是相同，都是：从华三设备接口流出去往188.8.190.64端点的方向--outbound方向，反之 inbound同理。

        2、acl配置在interface vlan接口

                interface vlan接口配置acl调用时(basic acl 、 advanced acl与我们日常所理解的接口的in/out方向相反，但是与物理接口指代的in/out方向相同。）：

                 inbound方向（无论从A主动访问B，还是主动从B到A）设备指代的方向都一样：inbound指流量在交换机内部流入网关（该vlan下面的主机发出去往interface vlan的网关）并通过网关且流出设备（流出网关）去往另外一端的方向，与物理接口所指代的方向相同；

                outbound方向（无论从A主动访问B，还是主动从B到A）设备指代方向都一样：outbound指配置acl的接口（interface vlan）从外面进入网关内部(进入interface vlan接口并查找该interface vlan下面的主机转发)去往网关内部主机的方向，与物理接口所指代的方向相同；

                这里提示与日常所理解的接口的in/out方向相反指的是vlan内部的主机主动出去往网关的方向是inbound（从物理接口看是通过该vlan所属的物理接口进入交换机内部），但是数据流是从vlan内部去往网关访问外部主机的方向（离开网关去往外部）如果从口袋口也就是网关看这个数据流量其实是离开网关的方向，是网关的out方向。所以这里很容易引发混淆，在配置acl时我们尽量把物理接口和vlan接口都看作是交换机内部接口，从配置acl的接口进入交换机看作inbound，从配置acl接口的流出看作outbound，不考虑数据流从vlan的进入和离开。

        综上：

        针对物理接口下：参考本次实验拓扑 

                1、如果已知源地址和目的地址，可以通过控制acl的接口下的方向inbound/outbound

来控制数据流。举个例子：如果我们需要放行或拒绝已知端点1为188.8.190.64，端点2为：188.8.3.2的ssh服务，acl我们可以写成：可以看出2个方式都能实现数据流量的访问控制，只需要注意控制源端口还是目的端口（推荐控制目的端口）

server3（188.8.190.64）指代clent，内网ssh服务（188.8.3.2）指代server服务器

advanced ACL：
rule 0 permit ip source 188.8.190.64 0 destination 188.8.3.2 0 destination-port eq ssh
interface GigabitEthernet1/0/5
packet-filter 2005 outbound​​​​​​​​​​​​​​ #ssh服务器的位置是固定的
如果想通过outbound方向控制数据流需要在物理接口上控制clent--->server
拓扑中 server3-->内网ssh服务的方向。

rule 0 permit ip source 188.8.3.2 0 destination 188.8.190.64 0 source-port eq ssh
interface GigabitEthernet1/0/5
packet-filter 2005 inbound  #ssh服务器的位置是固定的
如果想通过inbound方向控制数据流需要在物理接口上控制server--->client
拓扑中 内网ssh服务--->server3 的方向。

使用常规basic ACL：
rule 0 permit source 188.8.190.64 0 
interface GigabitEthernet1/0/5
packet-filter 2005 outbound​​​​​​​​​​​​​​ 

rule 0 permit source 188.8.3.2 0
interface GigabitEthernet1/0/5
packet-filter 2005 inbound

                

        针对interface vlan接口下：参考本次实验拓扑         

                2、如果已知接口下已经调用了acl并且配置了inbound或outbound，可以根据已经确定的方向来控制数据流的源地址和目的地址。举个例子：如果接口下已经存在ACL并且配置了方向，后续维护放行或拒绝已知端点1为188.8.190.64，端点2为：188.8.3.2的ssh服务，acl可以写成：可以看出2个方式都能实现数据流量的访问控制，只需要注意控制源端口还是目的端口（推荐控制目的端口）

拓扑图中：server3(188.8.190.64)指代client，内网ssh服务(188.8.3.2)指代server

interface vlan 5
packet-filter 2005 outbound​​​​​​​​​​​​​​   #已知接口下已经存在acl并配置outbound方向

通过配置的acl outbound可知acl控制的数据流方向为：client--->server
rule 0 permit ip source 188.8.190.64 0 destination 188.8.3.2 0 destination-port eq ssh

interface vlan 5
packet-filter 2005 inbound #已知接口下已经存在acl并配置inbound方向

通过配置的acl inbound可知方向为：server--->client
rule 0 permit ip source 188.8.3.2 0 destination 188.8.190.64 0 source-port eq ssh

                3、接口同时存在inbound/outbound策略acl

                 优先生效的是outbound方向的ACL；
                 相同方向排序靠上的生效，排序靠下的不生效

                匹配和命中顺序与basic acl,advanced acl类型无关与挂载方向inbound/outbound数量无关。

同方向（inbound/outbound）排序靠上的生效，排序靠下的不生效，与basic acl 、 advanced acl类型无关，且与挂载方向inbound/outbound数量无关。

interface Vlan-interface5 #此配置中acl 2005与acl 2101生效，其余无效。
 packet-filter 2005 inbound   
 packet-filter 2001 inbound
 packet-filter 2101 outbound  #acl2101优先匹配生效；
 packet-filter 2102 outbound
 packet-filter 3001 outbound
#
acl number 2101
 rule 0 permit logging counting  #添加outbound第一条策略允许其余拒绝。
 rule 100 deny logging counting

acl number 2102
 rule 100 deny logging counting

acl number 2001
 rule 0 permit logging counting
 rule 100 deny logging counting

acl number 2005
 rule 100 deny logging counting

acl number 3003
 rule 100 deny ip logging 

acl number 3001
rule 0 permit ip any logging count
 rule 100 deny ip logging

%Jun  6 09:17:50:491 2024 xialian_SW01_main FILTER/6/FILTER_IPV4_EXECUTION:
RcvIfName(1023)=Vlan-interface5;Direction(1070)=outbound;AclType(1067)=ACL;
Acl(1068)=2101;Protocol(1001)=TCP;SrcIPAddr(1003)=188.72.128.2;SrcPort(1004)=50115;
DstIPAddr(1007)=188.0.3.2;DstPort(1008)=22;MatchAclCount(1069)=8;Event(1048)=Permit;
%Jun  6 09:17:50:491 2024 xialian_SW01_main FILTER/6/FILTER_IPV4_EXECUTION:
RcvIfName(1023)=Vlan-interface5;Direction(1070)=inbound;AclType(1067)=ACL;
Acl(1068)=2005;Protocol(1001)=TCP;SrcIPAddr(1003)=188.0.3.2;SrcPort(1004)=22;
DstIPAddr(1007)=188.72.128.2;DstPort(1008)=50115;MatchAclCount(1069)=21;Event(1048)=Deny;

#日志显示outbound 2101优先被匹配，inbound 2005命中，其余策略无效。


学习内容：实验过程及结果

本次实验的拓扑如下：

1、如上图所示在交换机SW1上配置basic acl控制R1或客户server 3（188.8.190.64）访问内网ssh服务（188.8.3.2）的接口地址或loop back地址。以便验证华三系列交换机如何配置basic acl并调用在接口下。

2、如上图所示在交换机SW1上配置basic acl控制R1或客户server 3（188.8.190.64）访问内网ssh服务（188.8.3.2）的接口地址或loop back地址。以便验证华三系列交换机如何配置advance acl并调用在接口下。


实验过程：

基本配置：

内网ssh服务：
#
interface GigabitEthernet0/0
 ip address 188.8.3.2 255.255.255.0
#
 ip route-static 188.8.190.64 32 188.8.3.1  #指向客户server3的静态路由
 ip route-static 188.40.190.64 32 188.8.3.1  #指向客户server1的静态路由

SW1：

interface GigabitEthernet1/0/5
 ip address 188.8.3.1 255.255.255.0
 packet-filter 2005 outbound
#
acl basic 2005
 rule 100 deny logging counting
#

R1：
 nat static inbound 2.2.2.2 188.8.190.64  #客户server3的nat地址
 nat static inbound 8.8.8.8 188.40.190.64  #客户server1的nat地址

1、当acl配置在物理接口上时：

         在直连ssh内网服务的接口调用acl 2005 outbound，此时拒绝所有流量。当从ssh内网发起流量（反之亦然，从客户server 3发起流量现象一致）设备log提示：可以从log日志看出无论从哪个方向发起流量，华三交换机的物理接口接口配置outbound拒绝的数据流是：

client--->server

service3（188.8.190.64）服务器为源，内网ssh服务器（188.8.3.2）为目的；

从ssh内网188.8.3.2访问188.8.190.64：

<SW1>%Dec 15 22:17:38:838 2021 SW1 FILTER/6/FILTER_EXECUTION_ICMP: RcvIfName(1023)=GigabitEthernet1/0/5;Direction(1070)=outbound;AclType(1067)=ACL;Acl(1068)=2005;Protocol(1001)=ICMP;SrcIPAddr(1003)=188.8.190.64;DstIPAddr(1007)=188.8.3.2;IcmpType(1062)=ECHOREPLY(0);IcmpCode(1063)=0;MatchAclCount(1069)=1;Event(1048)=Deny;

反之，从客户server3访问188.8.3.2：

%Dec 15 22:17:54:168 2021 SW1 FILTER/6/FILTER_EXECUTION_ICMP: RcvIfName(1023)=GigabitEthernet1/0/5;Direction(1070)=outbound;AclType(1067)=ACL;Acl(1068)=2005;Protocol(1001)=ICMP;SrcIPAddr(1003)=188.8.190.64;DstIPAddr(1007)=188.8.3.2;IcmpType(1062)=ECHO(8);IcmpCode(1063)=0;MatchAclCount(1069)=1;Event(1048)=Deny;

        在直连ssh内网服务的接口调用acl 2005 intbound，此时拒绝所有流量。当从ssh内网发起流量（反之亦然，从客户server 3发起流量现象一致）设备log提示：以从log日志看出无论从哪个方向发起流量，华三交换机的物理接口接口配置inbound拒绝的数据流是：

server--->client

内网ssh服务器（188.8.3.2）为源，service3（188.8.190.64）服务器为目的；

从内网ssh访问客户server3
从客户server3访问内网ssh，两次的acl log日志相同：

[SW1]%Dec 15 22:23:41:587 2021 SW1 FILTER/6/FILTER_IPV4_EXECUTION: RcvIfName(1023)=GigabitEthernet1/0/5;Direction(1070)=inbound;AclType(1067)=ACL;Acl(1068)=2005;Protocol(1001)=TCP;SrcIPAddr(1003)=188.8.3.2;SrcPort(1004)=22;DstIPAddr(1007)=188.8.190.64;DstPort(1008)=29184;MatchAclCount(1069)=1;Event(1048)=Deny;

从客户server3访问内网ssh，两次的acl log日志相同：
%Dec 15 22:24:03:103 2021 SW1 FILTER/6/FILTER_IPV4_EXECUTION: RcvIfName(1023)=GigabitEthernet1/0/5;Direction(1070)=inbound;AclType(1067)=ACL;Acl(1068)=2005;Protocol(1001)=TCP;SrcIPAddr(1003)=188.8.3.2;SrcPort(1004)=17792;DstIPAddr(1007)=188.8.190.64;DstPort(1008)=22;MatchAclCount(1069)=1;Event(1048)=Deny;

综上，接口配置acl时调用：（basic acl 、 advanced acl与我们日常所理解的in/out方向相同）

                inbound方向（无论从A主动访问B，还是主动从B到A）设备指代的方向都一样：以配置了acl的接口为例，流量进入接口流入设备（流入交换机内部）的方向；

                outbound方向（无论从A主动访问B，还是主动从B到A）以配置了acl的接口为例，流量流出设备（从交换机流出）去往端点的方向；

2、当acl配置在interface vlan接口时：

基础配置同上，将物理接口修改为interface vlan 

SW1：
interface Vlan-interface5
 ip address 188.8.3.1 255.255.255.0
 packet-filter 2005 outbound
#
interface GigabitEthernet1/0/5
 port link-mode bridge
 port access vlan 5
 combo enable fiber
 stp edged-port
#
acl basic 2005
 rule 100 deny logging counting

    分别从ssh内网服务，以及客户server3发起ping：

从内网ssh服务发起流量：
[SW1]%Apr 22 15:30:50:467 2022 SW1 FILTER/6/FILTER_EXECUTION_ICMP: RcvIfName(1023)=Vlan-interface5;Direction(1070)=outbound;AclType(1067)=ACL;Acl(1068)=2005;Protocol(1001)=ICMP;SrcIPAddr(1003)=188.8.190.64;DstIPAddr(1007)=188.8.3.2;IcmpType(1062)=ECHOREPLY(0);IcmpCode(1063)=0;MatchAclCount(1069)=1;Event(1048)=Deny;
从客户server3发起：
[SW1]%Apr 22 15:30:58:598 2022 SW1 FILTER/6/FILTER_EXECUTION_ICMP: RcvIfName(1023)=Vlan-interface5;Direction(1070)=outbound;AclType(1067)=ACL;Acl(1068)=2005;Protocol(1001)=ICMP;SrcIPAddr(1003)=188.8.190.64;DstIPAddr(1007)=188.8.3.2;IcmpType(1062)=ECHO(8);IcmpCode(1063)=0;MatchAclCount(1069)=1;Event(1048)=Deny;

可以从log日志看出在interface vlan接口下，无论从哪个方向发起流量，华三交换机的interface vlan接口接口配置outbound拒绝的数据流是：

client--->server

service3（188.8.190.64）服务器为源，内网ssh服务器（188.8.3.2）为目的；

结论：

在华三设备上部署acl限制流量，在物理接口和interface vlan 接口下源地址和目的地址的inbound，outbound方向相同，与acl类型（basic or advanced）无关，与两端主动发起的方向无关。一旦配置在接口下配置了acl并挂载了inbound/outbound就控制了数据流的方向：

                inbound方向（无论从A主动访问B，还是主动从B到A）设备控制数据流的方向都一样：以配置了acl的接口为例，流量进入接口流入设备（流入交换机内部）的方向；

                outbound方向（无论从A主动访问B，还是主动从B到A）以配置了acl的接口为例，流量流出设备（从交换机流出）去往端点的方向；

如果同一接口下配置了多行inbound/outbound策略acl，则相同方向inbound或outbound只有最靠上的第一行生效，其余配置无效，且最先生效的是outbound方向的第一行策略的acl。

多想普度众生
关注
  • 23
    点赞
  • 踩
  • 55
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
H3C交换机 典型配置举例-6W100-ACL典型配置举例
08-04
H3C交换机 典型配置举例-6W100-ACL典型配置举例
华三交换机acl 配置
12-17
本资料主要为hc3交换机的acl配置,为基本acl配置，高级acl配置，二层acl配置
华三基础--清除配置、路由、SSH、VLAN、RSTP、ACL
Richardlygo的博客
12-25 5168
目的地址 掩码 下一跳。当前配置可能在重启后丢失，是否保存当前配置?[Y / N]: N。保存的配置文件将被擦除。[Y / N]: Y。该命令将重新启动设备。[Y / N]: Y。此命令将恢复默认设置。[Y / N]: Y。2、reboot （重启才会生效）SW-B要去PC-12，静态路由怎么写。1、默认是开了stp的，要先关了。2、开启ssh服务，并创建秘钥。3、创建ssh用户密码、级别。3、将端口添加到vlan中。2、在ping是不通的。4、在ping是通的。
H3C ACL的应用与配置1
最新发布
weixin_41120428的博客
04-26 1036
SWHC1-acl-ipv4-adv-3000]rule 30 permit ip source 192.168.50.252 0 destination 192.168.70.252 0 //设置一条ID为30的过滤，允许源地址为 192.168.50.252 访问目的地址为192.168.70.252 的设备。高级ACL范围3000-3999：对源IP，目地IP，协议，端口号进行过滤。[SWHC1]acl number 3000 //创建高级ACL 3000。
外网连接配置及acl配置使用
qq_63926306的博客
01-19 1469
路由器配置命令-出接口设置和静态路由配置 nat地址转换配置 acl配置和应用
【H3C】基本ACL配置
weixin_44372082的博客
12-25 1944
【代码】【H3C】基本ACL配置。
NewH3C——ACL
qq_44859533的博客
02-13 8167
一、ACL概念 1、acl定义： 访问控制列表;用于数据流的匹配和筛选 2、功能： 访问控制：ACL+Packet-filter 路由控制：ACL+Route-policy 流量控制：ACL+QOS 二、ACL的包过滤 1、定义： 对进出的数据包逐包检查，丢弃或允许通过（华三设备默认是允许） 注意：包过滤必须配置在接口的某个方向上才能生效;一个接口的一个方向只能配置一个包过滤策略 2、包过滤的方向 入方向（inbount): 只对从外部进入的数据包做过滤 出方向（outbount):只对从内部发出的
H3C交换机ACL已经配置一个A网段拒绝访问另外一个B网段， 怎么允许A网段访问B网段中一个ip
玩人工智能的辣条哥的博客
03-17 2668
软件版本：7.1.070 Release 6326。
H3C-防火墙-交换机基础配置，值得收藏学习
m0_68698993的博客
05-25 5390
H3C] Firewall zone trust 配置安全域（这里分四个域，local，trust，untrust，DMZ，其中DMZ是介于内网和外网之间的网络，例如，在一个提供电子商务服务的网络中，某些主机需要对外提供服务，如Web服务器、FTP服务器和邮件服务器等,为了更好地提供优质的服务，同时又要有效保护内部网络的安全）system-view是我们最常用的视图，在系统视图，我们可以查看全局配置，同时可以修改和进行所有系统配置，每一个接口视图间的切换都需要回到系统视图。
H3C S6850交换机通过配置基本ACL实现不同vlan之间通信隔离
hhada123的博客
04-09 6438
大家都知道通过vlanif可以实现不同vlan之间相互通信，但大部分情况下，为了安全考虑是希望不同vlan之间不能相互通信。今天讲的ACL（访问控制列表）就可以实现不同vlan之间通信隔离。 首先百度百科一下什么是ACL： ACL(访问控制列表)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。 今天的实验网络拓扑图如下： ...
H3C配置ACL
wanghelove的博客
02-21 857
Switch-Vlanif20]ip address 192.168.20.1 255.255.255.0 //vlanif接口配置地址。[Switch-Vlanif20]dhcp server dns-list 114.114.114.114 //配置DNS。[Switch-Vlanif20]dhcp select interface //选择基于接口的dhcp类型。
华三ACL命令大全华三ACL命令大全_华三交换机查看型号命令
01-08
华三ACL命令大全
华三H3C交换机V5V7配置集
09-04
本文将深入探讨“华三H3C交换机V5V7配置集”所涵盖的知识点。 首先，我们来看交换机的基本配置，这包括设备的初始化设置。在V5和V7版本中，通常需要通过Console口连接到交换机进行初始配置，如设置管理IP地址、...
H3C_ACL包过滤基础配置案例
04-18
本文档将详细讲解一个基于H3C设备的ACL包过滤基础配置案例，适用于H3CV7版本的交换机和路由器，特别是对于初学者来说，这是一个很好的学习参考资料。 **拓扑与环境搭建** 案例的网络拓扑包括两台路由器（RT）和三台...
H3C交换机典型（ACL）访问控制列表配置实例
10-01
本文将介绍如何配置H3C交换机典型（ACL）访问控制列表,需要的朋友可以参考下
H3C全系列交换机配置指导手册汇总集.rar
08-01
《H3C全系列交换机配置指南》涵盖了H3C公司生产的各类交换机的...以上知识点是H3C全系列交换机配置指导手册中的核心内容，通过深入理解和实践，网络管理员能够有效地管理和维护H3C交换机，构建高效、安全的网络环境。
H3C acl配置举例
qq_20127559的博客
10-16 4292
ACL配置举例
华三h3c交换机最详细的配置实例手册_锐捷交换机常用配置命令汇总
11-25
华三H3C交换机最详细的配置实例手册是华三官方发布的"华三交换机H3C系列配置指南"，该手册详细介绍了华三交换机的基本配置和高级配置，包括VLAN配置、接口配置、路由配置、安全配置等内容。这本手册是华三交换机配置的权威参考，通过学习手册中的实例，用户可以全面了解和掌握华三交换机的配置技术。 锐捷交换机常用配置命令汇总可以参考锐捷官方网站或者相关技术论坛上的常用配置命令总结。锐捷交换机的常用配置命令主要涉及到VLAN配置、端口配置、路由配置、QoS配置等方面。通过学习常用配置命令，用户可以熟练掌握锐捷交换机的基本配置和应用技巧，实现网络的安全、高效运行。 这两个交换机品牌都是市场上比较常见的品牌，对于企业网络和数据中心的搭建和维护起到了重要的作用。在配置交换机时，用户应该根据具体的需求和网络环境选择合适的品牌和型号，结合具体的实例手册或配置命令进行配置工作。同时，也可以通过参考其他用户的经验和技巧，提高配置效率和问题解决能力。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值