H3C S6850交换机通过配置基本ACL实现不同vlan之间通信隔离

大家都知道通过vlanif可以实现不同vlan之间相互通信，但大部分情况下，为了安全考虑是希望不同vlan之间不能相互通信。今天讲的ACL（访问控制列表）就可以实现不同vlan之间通信隔离。

首先百度百科一下什么是ACL：

ACL(访问控制列表)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。

今天的实验网络拓扑图如下：

首先配置PC_3和PC_4，如下图：


开始配置S6850_2交换机：

system-view

[H3C]vlan 10 20

[H3C]interface GigabitEthernet 1/0/2

[H3C-GigabitEthernet1/0/2]port link-type access

[H3C-GigabitEthernet1/0/2]port access vlan 10

[H3C]interface GigabitEthernet 1/0/3

[H3C-GigabitEthernet1/0/3]port link-type access

[H3C-GigabitEthernet1/0/3]port access vlan 20

[H3C]interface GigabitEthernet 1/0/1

[H3C-GigabitEthernet1/0/1]port link-type trunk

[H3C-GigabitEthernet1/0/1]port trunk permit vlan 10 20

配置完成后在系统视图下输入dis cu查看设备配置情况如下图：

开始配置S6850_1交换机：

system-view

[H3C]vlan 10 20

[H3C]interface vlan 10

[H3C-Vlan-interface10]ip address 192.168.1.126 25

[H3C]interface vlan 20

[H3C-Vlan-interface20]ip address 192.168.1.254 25

[H3C]interface GigabitEthernet 1/0/1

[H3C-GigabitEthernet1/0/1]port link-type trunk

[H3C-GigabitEthernet1/0/1]port trunk permit vlan 10 20

配置完成后在系统视图下输入dis cu查看设备配置情况如下图：

设置完成后ping测一下：

PC_3pingPC_4、PC_4pingPC_3如下图：


可以看到PC_3和PC_4之间是可以相互通信的。

现在开始在S6850_2交换机配置基本ACL（2000-2999）：

[H3C]acl number 2000

[H3C-acl-ipv4-basic-2000]rule 5 deny source 192.168.1.128 0.0.0.127

[H3C]acl number 2001

[H3C-acl-ipv4-basic-2001]rule 5 deny source 192.168.1.0 0.0.0.127

[H3C]interface GigabitEthernet 1/0/2

[H3C-GigabitEthernet1/0/2]packet-filter 2000 outbound

[H3C]interface GigabitEthernet 1/0/3

[H3C-GigabitEthernet1/0/3]packet-filter 2001 outbound

配置完成后在系统试图下输入dis cu查看设备配置情况如下图：

再次ping测一下：

PC_3pingPC_4、PC_4pingPC_3如下图：


可以看到PC_3和PC_4无法相互通信，实现了不同vlan之间隔离通信。