在对应网段的网关上做过滤实现,
有两种:QOS和packet-filter都可以实现:
重点是acl规则如何写:
rule permit ip sourc x.x.x.x 0 des X.X.X.X 0 //x.x.x.x代表运行的地址,X.X.X.X地表服务器地址,有地址可以访问,写几条;
rule deny ip des X.X.X.X 0 //X.X.X.X是服务器地址,将其他地址访问服务器流量拒绝
rule permit ip 放通其他所有流量。
其他参考配置方法:
1. 组网需求
Host通过端口GigabitEthernet1/0/1接入设备Device。
配置流量过滤功能,对端口GigabitEthernet1/0/1接收的源端口号等于21的TCP报文进行丢弃。
2. 组网图
图6-1 配置流量过滤组网图
3. 配置步骤
# 定义高级ACL 3000,匹配源端口号等于21的数据流。
system-view
[DeviceA] acl number 3000
[DeviceA-acl-adv-3000] rule 0 permit tcp source-port eq 21
[DeviceA-acl-adv-3000] quit
# 定义类classifier_1,匹配高级ACL 3000。
[DeviceA] traffic classifier classifier_1
[DeviceA-classifier-classifier_1] if-match acl 3000
[DeviceA-classifier-classifier_1] quit
# 定义流行为behavior_1,动作为流量过滤(deny),对数据包进行丢弃。
[DeviceA] traffic behavior behavior_1
[DeviceA-behavior-behavior_1] filter deny
[DeviceA-behavior-behavior_1] quit
# 定义策略policy,为类classifier_1指定流行为behavior_1。
[DeviceA] qos policy policy
[DeviceA-qospolicy-policy] classifier classifier_1 behavior behavior_1
[DeviceA-qospolicy-policy] quit
# 将策略policy应用到端口GigabitEthernet1/0/1的入方向上。
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] qos apply policy policy inbound
应用IPv4 ACL进行报文过滤配置举例
1. 组网需求
要求通过在Device A的端口GigabitEthernet1/0/1上配置IPv4报文过滤功能,实现在每天的8点到18点期间只允许Host A访问互联网,并以10分钟为周期记录IPv4报文过滤的日志信息并输出至控制台。
2. 组网图
图1-2 应用IPv4 ACL进行报文过滤配置组网图
3. 配置步骤
# 创建名为study的时间段,其时间范围为每天的8点到18点。
system-view
[DeviceA] time-range study 8:0 to 18:0 daily
# 创建IPv4基本ACL 2009,并制订如下规则:在名为study的时间段内只允许来自Host A的报文通过、禁止来自其它IP地址的报文通过,且在这些规则中对允许通过的报文记录日志信息。
[DeviceA] acl number 2009
[DeviceA-acl-basic-2009] rule permit source 192.168.1.2 0 time-range study logging
[DeviceA-acl-basic-2009] rule deny source any time-range study
[DeviceA-acl-basic-2009] quit
# 配置IPv4报文过滤日志的生成与发送周期为10分钟。
[DeviceA] acl logging frequence 10
# 配置系统信息的输出规则,将级别为informational的日志信息输出至控制台。
[DeviceA] info-center source default channel 0 log level informational
# 应用IPv4基本ACL 2009对端口GigabitEthernet1/0/1入方向上的报文进行过滤。
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] packet-filter 2009 inbound
[DeviceA-GigabitEthernet1/0/1] quit