MSR系列路由器限制某个源MAC只允许访问网关不允许访问外网功能的配置 ...
一、
组网需求:
MSR作为LAN网关,要限制某些主机上网,但是由于这些主机可以变换IP地址,所以通过防火墙限制不能有效防范,最合适的做法是限制MAC地址,在本例中可以实现限制某些MAC访问互联网,但是可以访问网关。
设备清单:MSR系列
路由器1台
二、组网图:
![](http://www.56cto.com/uploads/allimg/080603/1054530.jpg)
三、配置步骤:
适用设备和版本:MSR系列、Version 5.20,
Release 1206后所有版本。
MSR
配置
|
#
//定义
gw分类规则,匹配acl3000
traffic classifier gw operator and
if-match acl 3000
//定义
mac分类规则,匹配3个源地址,匹配操作符为“逻辑或”
traffic classifier mac operator or
if-match source-mac 0015-c50d-1111
if-match source-mac 0015-c50d-2222
if-match source-mac 0015-c50d-3333
#
//定义流行为
permit
traffic behavior permit
//允许通过
filter permit
//定义流行为
deny
traffic behavior deny
//拒绝并丢弃
filter deny
#
//定义
qos策略myqos
qos policy myqos
//将
gw流和permit绑定
classifier gw behavior permit
//将
mac流和deny绑定
classifier mac behavior deny
#
//acl 3000匹配目的地址
10.1.1.1/32,即网关地址
acl number 3000
rule 0 permit ip destination 10.1.1.1 0
#
//连接内网的接口
G0/0
interface GigabitEthernet0/0
port link-mode route
ip address 10.1.1.1 255.255.255.0
//接口入方向应用
myqos策略
qos apply policy myqos inbound
#
|
四、配置
关键点:
1) 注意不能使用ACL4000~4999匹配源MAC地址,因为3层接口只能在桥组模式下支持该ACL,所以必须使用if-match source-mac来匹配源MAC,并通过修改匹配操作符“or”来匹配多个MAC地址;
2) 在QoS策略中需要注意
配置顺序,先允许访问网关,再过滤MAC源地址,表示访问网关全部允许,因为到该接口的流量除了访问网关就是访问互联网,因此可以过滤掉访问互联网的流量中某个源MAC,实现该功能。
转载于:https://blog.51cto.com/dweber/740258