思科交换机配置试题_思科交换机RACL用法与配置

RACL针对路由接口的控制通信流量的安全策略。

在交换机中，用户可以在任何路由接口中应用RACL，如：SVI(交换虚拟接口vlan端口)或者交换机3层端口

第一步：创建vlan

Switch(config)#vlan 10,20

Switch(config-vlan)#exit

第二步：把接口划分至相应的vlan

Switch(config)#interface eth0/0

Switch(config-if)#switchport mode access

Switch(config-if)#switchport access vlan 10

Switch(config-if)#exit

Switch(config)#interface eth0/1

Switch(config-if)#switchport mode access

Switch(config-if)#switchport access vlan 20

Switch(config-if)#exit

Switch(config)#do show vlan //查询vlan 概况

第三步：配置交机的SVI接口的IP地址

Switch(config)#interface vlan 10

Switch(config-if)#ip address 192.168.10.254 255.255.255.0

Switch(config-if)#no shutdown

Switch(config-if)#exit

Switch(config)#interface vlan 20

Switch(config-if)#ip address 192.168.20.254 255.255.255.0

Switch(config-if)#no shutdown

Switch(config)#do show ip interface brief //查询接口概况

第四步：配置pc的IP地址

VPCS> set pcname VPC1

VPC1> ip 192.168.10.1/24 192.168.10.254

VPCS> set pcname VPC2

VPC2> ip 192.168.20.1/24 192.168.20.254

测试如下：

VPC1去ping VPC2的时候是通的

第五步：现在给它加RACL

Switch(config)#ip access-list extended RACL

Switch(config-ext-nacl)#deny ip host 192.168.10.1 host 192.168.20.1

Switch(config-ext-nacl)#permit ip any any

Switch(config-ext-nacl)#exit

Switch(config)#interface vlan 10

Switch(config-if)#ip access-group RACL in //在虚拟接口SVI中调用RACL

Switch(config-if)#exit

现在再来测试一下让PC1去ping PC2是不通的

主机不可达 3 13 Communication administratively prohibited by filtering——由于过滤,通信被强制禁止

ping网关的IP地址是通的，因为ACL里面只是拒绝了去往192.168.20.1的地址

Switch(config)#do show ip access-lists //查看一下access-lists是不是匹配到流量了