三层交换技术 ACL访问控制列表

华为模拟器 计算机网络 三层交换技术 ACL访问控制列表

访问控制列表(ACL)：是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。

一、拓扑结构图

二层交换机：S3700
三层交换机：S5700

二、配置三台PC

PC1 IP地址：192.168.10.1
PC2 IP地址：192.168.20.1
PC3 IP地址：192.168.30.1

三、配置二层交换机

<Huawei>sy                      //进入系统视图
[Huawei]vlan 10                 //创建vlan10
[Huawei-vlan10]vlan 20           //创建vlan20
[Huawei-vlan20]vlan 30            //创建vlan30
[Huawei-vlan30]int e0/0/1            //进入e0/0/1接口
[Huawei-Ethernet0/0/1]port link-type access        //将接口设置为access
[Huawei-Ethernet0/0/1]port default vlan 10           //把接口划分进vlan 10
[Huawei-Ethernet0/0/1]int e0/0/2
[Huawei-Ethernet0/0/2]port link-type access
[Huawei-Ethernet0/0/2]port default vlan 20
[Huawei-Ethernet0/0/2]int e0/0/3
[Huawei-Ethernet0/0/3]port link-type access
[Huawei-Ethernet0/0/3]port default vlan 30
[Huawei-Ethernet0/0/3]int e0/0/4                //进入g0/0/4接口
[Huawei-Ethernet0/0/4]port link-type trunk         //将接口设置为trunk
[Huawei-Ethernet0/0/4]port trunk allow-pass vlan all             //设置trunk接口允许所有vlan通过

四、配置三层交换机

<Huawei>sy                     //进入系统视图
[Huawei]vlan 10                 //创建vlan10
[Huawei-vlan10]vlan 20
[Huawei-vlan20]vlan 30
[Huawei-vlan30]int g0/0/1                //进入g0/0/1接口
[Huawei-GigabitEthernet0/0/1]port link-type trunk         //将接口设置为trunk
[Huawei-GigabitEthernet0/0/1]port trunk allow-pass vlan all           //设置trunk接口允许所有vlan通过
[Huawei-GigabitEthernet0/0/1]int vlan 10            //进入vlan 10
[Huawei-Vlanif10]ip add 192.168.10.254 255.255.255.0     //配置vlan 10 的网关地址
[Huawei-Vlanif10]int vlan 20
[Huawei-Vlanif20]ip add 192.168.20.254 255.255.255.0
[Huawei-Vlanif20]int vlan 30
[Huawei-Vlanif30]ip add 192.168.30.254 255.255.255.0

配置完成到这一步
底下三个vlan之间是可以相互通信的

如图：PC1可以ping通PC3
vlan 10 和 vlan 30之间可以通信

设置ACL访问控制规则，是vlan 10 与vlan 30 不能相互通信
ACL访问控制列表：
步骤一：创建一个访问控制规则
步骤二：调用这个规则
找到两个不同vlan之间发送数据包的必经接口，该实例拓扑图为g0/0/1接口

[Huawei]acl name test advance       //创建名为test的acl
[Huawei-acl-adv-test]rule deny ip source 192.168.10.0 0.0.0.255 destination 192.
168.30.0 0.0.0.255                     //设置拒绝从vlan 10 到 vlan 30 的数据包规则
[Huawei-acl-adv-test]rule permit ip source any destination any       //设置允许其他包通过的规则

找到两个不同vlan之间发送数据包的必经接口，该实例拓扑图为g0/0/1接口

[Huawei-acl-adv-test]int g0/0/1                 //进入接口
[Huawei-GigabitEthernet0/0/1]traffic-filter inbound acl name test           //调用名为test的acl规则

五、测试

此时PC1已经不能ping通PC3了

但其他PC之间还是可以相互通信的