ACL配置

最新推荐文章于 2024-08-02 16:22:25 发布
最新推荐文章于 2024-08-02 16:22:25 发布
阅读量2k 收藏 16
点赞数 19
分类专栏： 网络拓扑 软考网工 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_69884785/article/details/133817237
版权

目录

1.使用基本ACL配置交换telnet访问的权限

2.使用高级ACL配置流分类实现限制互访某一台服务器

3.使用二层ACL配置流分类拒绝指定报文通过

4.通过流策略实现策略路由(重定向到不同的下一跳)

5.通过流策略实现不同网段间限制互访

6.通过流策略实现限速功能

7.通过流策略实现流量统计

8.通过流策略配置PING报文的流量统计

9.交换机通过流策略限制部分用户在特定时间无法上网

10.交换机配置接口限速

ACL功能的分类:

案例:

1.使用基本ACL配置交换telnet访问的权限

如图所示，为了便于远程管理交换机，开启了tenet的服务，公司的所有网络管理员都可以登录到交换机进行管理，但是为了安全考虑，要求在上班期间交换机的管理只能由网络管理部门技术比较好的管理员小王来管理设备，其他管理员只有下班之后才可以登录交换机管理设备;

思路:

•开启交换机的 telent 服务
•配置时间段
•配置基本 ACI
•应用基本 ACI

1.开启交换机的 telent 服务
<Huawei> system-view
[Huaweil telnet server enable    #开启交换机的telnet服务
[Huawei] user-interface vty 0 4  #配置telnet的登陆验证方式为用户名加密码
[Huawei-ui-vty0-4] authentication-mode aaa
[Huawei-ui-vty0-4] protocol inbound all    #允许通过telent和ssh登陆交换机
[Huawei-ui-vty0-4] quit
[Huawei] aaa    #创建telnet登陆交换机的用户名和密码
[Huawei-aaa] local-user huawei privilege level 15 password cipher huawei@2015
[Huawei-aaa] local-user huawei service-type telnet #给huawei用户赋予telent的权限

2.配置时间段，周一到周五早上 8:30 到下午 18:00
[Huawei] time-range workday 8:30 to 18 :00 working-day

3.配置基本 ACL
[Huawei] acl 2000
[Huawei-acl-basic-2000] rule permit source 192.168.1.10 0 time-range workday
#只允许192.168.1.10这一个用户可以telnet交换机
[Huawei-ac1-basic-2000] rule deny  
#这个地方rule deny可以不用写，ac1在这种场景下最后隐含有一条deny any的语句;

4.应用基本 ACL
[Huawei] user-interface vty 0 4
[Huawei-ui-vty0-4] acl 2000 inbound 
#在vty下面应用acl，只允许匹配acl数据流的的用户telent登陆交换机，没有被permit的全部被deny了

2.使用高级ACL配置流分类实现限制互访某一台服务器

如图所示，公司企业网通过switch实现各部门之间的互连。要求正确配置ACL，禁止研发部门和市场部门在上班时间 (8:30至18:00) 访问工资查询服务器 (IP地址为192.168.100.10)，而总裁办公室不受限制，可以随时访问。

思路:

•配置接口、VLAN 和网关地址;
•配置时间段;
•配置高级 ACL;
•配置流分类;
•配置流行为;
•配置流策略;
•在接口上应用流策略。

1.配置接口、VLAN 和网关地址:
<Huawei> system-view
[Huawei] sysname Switch
[Switch] vlan batch 10 20 30 100
#把GEO/0/1-GE0/0/4加入到对应的VLAN
[Switch] interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet0/0/1] port link-type access
[Switch-GigabitEthernet0/0/1] port default vlan 10
[Switch] interface GigabitEthernet 0/0/2
[Switch-GigabitEthernet0/0/2] port link-type access
[Switch-GigabitEthernet0/0/2] port default vlan 20
[Switch] interface GigabitEthernet 0/0/3
[Switch-GigabitEthernet0/0/3] port link-type access
[Switch-GigabitEthernet0/0/3] port default vlan 30
[Switch] interface GigabitEthernet 0/0/4
[Switch-GigabitEthernet0/0/4] port link-type access
[Switch-GigabitEthernet0/0/4] port default vlan 100
#配置四个VLAN的网关地址
[Switch] interface Vlanif 10
[Switch-Vlanif10] ip address 192.168.10.1 24
[Switch] interface Vlanif 20
[Switch-Vlanif20] ip address 192.168.20.1 24
[Switch] interface Vlanif 30
[Switch-Vlanif30] ip address 192.168.30.1 24
[Switch] interface Vlanif 100
[Switch-Vlanif100] ip address 192.168.100.1 24

上述配置基本配置完成之后，所有的部门之间都是可以互访的。
2.配置时间段;(周一到周五早上 8:30 到下午 19:00)2.
[Huaweil time-range workday 8:30 to 18:00 working-day

3.配置 ACL;
#配置市场部门到工资查询服务器的访问规则。
[Switch] acl 3002
[Switch-acl-adv-3002] rule deny ip source 192.168.30.0 0.0.0.255 destination 192.168.100.10 0.0.0.0 time-range workday
[Switch-acl-adv-3002] quit
#配置研发部门到工资查询服务器的访问规则。
[Switch] ac1 3003
[Switch-acl-adv-3003] rule deny ip source 192,168,20.0 0.0.0.255 destination 192.168.100.10 0.0.0.0 time-range workday
[Switch-acl-adv-3003] quit

配置流分类;
# 配置流分类 c_market，对匹配 ACL 3002 的报文进行分类
[Switch] traffic classifier c_market
[Switch-classifier-c_market]if-match ac1 3002
[Switch-classifier-c market]quit

# 配置流分类 c_rd，对匹配 ACI 3003 的报文进行分类
[Switch] traffic classifier c_rd
[Switch-classifier-c rd] if-match acl 3003
[Switch-classifier-c rd] quit

5.配置流行为:
#配置流行为b_market，动作为拒绝报文通过
[Switch] traffic behavior b_market
[Switch-behavior-b market] deny
[Switch-behavior-b market] quit
# 配置流行为b_rd，动作为拒绝报文通过
[Switch] traffic behavior b_rd
[Switch-behavior-b_rd] deny
[Switch-behavior-b rd] quit

6.配置流策略;
# 配置流策略 p_market，将流分类c_market 与流行为b_market 关联
[Switch] traffic policy p_market
[Switch-trafficpolicy-p market] classifier c_market behavior b_market
[Switch-trafficpolicy-p market] quit
# 配置流策略 p_rd，将流分类 c_rd 与流行为 b_rd 关联
[Switch] traffic policy p_rd
[Switch-trafficpolicy-p_rd] classifier c_rd behavior b_rd
[Switch-trafficpolicy-p_rd] quit

7.在接口上应用流策略
# 将流策略p_market应用到GEO/0/2接口。
[Switch] interface gigabitethernet 0/0/2
[Switch-GigabitEthernet0/0/2] traffic-policy p_market inbound
[Switch-GigabitEthernet0/0/2] quit
# 将流策略p_rd应用到GE0/0/3接口
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] traffic-policy p_rd inbound
[Switch-GigabitEthernet0/0/3] quit

3.使用二层ACL配置流分类拒绝指定报文通过

Switch作为网关设备,下挂用户PC.要求配置ACL,禁止源MAC地址为00e0-f201-0101、目的MAC地址为0260-e207-0002的报文通过。

思路:

•配置 ACL
•配置流分类
•配置流行为
•配置流策略
•接口上应用流策略

1.配置 ACL
# 配置符合要求的二层ACL
<Switch> system-view
[Switch] ac1 4000
Switch-acl-I2-4000] rule deny source-mac 00e0-f201-0101 ffff-ffff-ffff destination-mac 0260-e207-0002 ffff-ffff-ffff
[Switch-ac1-I2-4000] quit

2.配置基于 ACL 的流分类
# 配置流分类tc1，对匹配ACL 4000的报文进行分类
[Switch] traffic classifier tcl
[Switch-classifier-tc1] if-match ac1 4000
[Switch-classifier-tc1]quit

3.配置流行为
#配置流行为tb1，动作为拒绝报文通过
[Switch] traffic behavior tb1
[Switch-behavior-tbl] deny
[Switch-behavior-tb1] quit

4.配置流策略
# 配置流策略tp1，将流分类tc1与流行为tb1关联。
[Switch] traffic policy tpl
[Switch-trafficpolicy-tpl] classifier tcl behavior tbl
[Switch-trafficpolicy-tp1]quit

5.应用流策略
# 将流策略tp1应用到GE0/0/2接口。
[Switch] interface gigabitethernet 0/0/2
[Switch-GigabitEthernet0/0/2] traffic-policy tpl inbound
[Switch-GigabitEthernet0/0/2]quit

4.通过流策略实现策略路由(重定向到不同的下一跳)

如图所示，公司用户通过 Switch 双归属到外部网络设备。其中，一条是低速链路，网关为10.1.20.1/24;另外一条是高速链路，网关为 10.1.30.1/24。
公司内网有两个网段192.168.1.0/24和192.168.2.0/24,192.168.1.0 网段主要是服务器区,对链路带宽要求比较高，所以网管决定该网段走高速链路出去，剩余的 192.168.2.0 网段主要用作公司员工上网，上网的话只能走低速链路。

 思路:

•创建 VLAN 并配置各接口，配置路由实现公司和外部网络互通;

•配置 ACL 规则，分别匹配 192.168.1.0 和 192.168.2.0 网段的数据流;

•配置流分类，匹配规则为上述创建的 ACI 规则，使设备对报文可以区分;

•配置流行为，使满足不同 ACL 规则的数据流走不同的链路，需要先把内网互访的数据流放行;

•配置流策略，绑定上述流分类和流行为，并应用到 Switch 设备的 GEO/0/3 接口的入方向，实现策略路由

创建 VLAN 并配置各接口
#在 SwitchA 上面创建 vlan10 和 vlan20
<HUAWEI> system-view
[HUAWEI]sysname SwitchA
[SwitchA] vlan batch 100 200
#配置 SwitchA 交换机，连接终端 PC 的接口为Access 类型，GE0/0/1 加到van10，GE0/0/2加入到vlan20，上联 Switch 的接口 GEO/0/3 配置为trunk 类型，并允许van10 和vlan20 通过
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 10
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 20
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#在 Switch上面配置VLAN10 和 VLAN20，并配置 Switch 连接 SwitchA的 GEO/0/3 接口类型为trunk，并允许 VLAN10 和 VLAN20 通过
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 100 200
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#配置 VIAN10 和 VLAN20 的网关 VIANIF10 和 VLANIF20 地址分别为 192.168.1.1/24和192.168.2.1/24
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 192.168.1.1 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 20
[Switch-Vlanif20] ip address 192.168.2.1 24
[Switch-Vlanif20] quit
# 在 Switch 分别配置两台静态路由指向外网实现互通
[Switch] ip route static 0.0.0.0 0 10.1.20.1
[Switch] ip route-static 0.0.0.0 0 10.1.30.1
经以上调试之后，内网访问外网没问题了，但是不能保证 VLAN10 的数据走高速链路，VLAN20 的数
据走低速链路；
2. 创建 ACL 规则
#在 Switch 上创建编号为 3000、3001 和 3002 的 ACL，分别匹配内网 192.168.1.0 和
192.168.2.0 之间的互访、192.168.1.0、192.168.2.0 的数据；
[Switch] acl 3000 //主要作用是匹配内网两个网段之间互访的数据流，不需要做重定向，
否则内网之间无法互访；
[Switch-acl-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 
192.168.2.0 0.0.0.255
[Switch-acl-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 
192.168.1.0 0.0.0.255
[Switch-acl-adv-3000] quit
[Switch] acl 3001 //匹配内网 VLAN10 服务器的数据流
[Switch-acl-adv-3001] rule permit ip source 192.168.1.0 0.0.0.255
[Switch-acl-adv-3001] quit
[Switch] acl 3002 //匹配内网 VLAN20 上网用户的数据流
[Switch-acl-adv-3002] rule permit ip source 192.168.2.0 0.0.0.255
[Switch-acl-adv-3002] quit
3. 配置流分类
#在 Switch 上创建流分类 c0、c1、c2，分别匹配 ACL3000、ACL3001 和 ACL3002
[Switch] traffic classifier c0
[Switch-classifier-c0] if-match acl 3000
[Switch-classifier-c0] quit
[Switch] traffic classifier c1
[Switch-classifier-c1] if-match acl 3001
[Switch-classifier-c1] quit
[Switch] traffic classifier c2
[Switch-classifier-c2] if-match acl 3002
[Switch-classifier-c2] quit
4. 配置流行为
# 在 Switch 上创建流行为 b0、b1、b2，对 b0 只配置 permit 的工作，b1 和 b2 分别指定重定向
到网段 10.1.20.1/24 和 10.1.30.1/24 的动作。
[Switch] traffic behavior b0
[Switch-behavior-b1] permit
73
[Switch] traffic behavior b1
[Switch-behavior-b1] redirect ip-nexthop 10.1.20.1
[Switch-behavior-b1] quit
[Switch] traffic behavior b2
[Switch-behavior-b2] redirect ip-nexthop 10.1.30.1
[Switch-behavior-b2] quit
5. 配置流策略并应用到接口
# 在 Switch 上创建流策略 p1，将流分类和对应的流行为进行绑定。
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c0 behavior b0
[Switch-trafficpolicy-p1] classifier c1 behavior b1
[Switch-trafficpolicy-p1] classifier c2 behavior b2
[Switch-trafficpolicy-p1] quit
# 将流策略 p1 应用到接口 GE0/0/3 的入方向上。
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] traffic-policy p1 inbound
[Switch-GigabitEthernet0/0/3] quit

5.通过流策略实现不同网段间限制互访

如图所示，公司内部有三个部门，分别属于 VLAN10、VLAN20 和 VLAN30，为了安全考虑，VLAN10 的用户只能访问 VLAN20 但是不能访问 VLAN30，要求三个部门都能正常上网，其他的没有特殊限制；

思路：

•创建 VLAN 并配置各接口，配置路由实现公司和外部网络互通；

•配置 ACL 规则，分别匹配需要允许和拒绝访问的数据流；

•配置流分类，匹配规则为上述创建的 ACL 规则，使设备对报文可以区分；

•配置流行为，动作为 permit，允许访问（拒绝访问的数据流在 acl 里面做控制）；

•配置流策略，绑定上述流分类和流行为，并应用到 Switch 设备的 GE0/0/3 接口的入方向，实现不同网段限制互访的要求； 

1. 创建 VLAN 并配置各接口
#在 SwitchA 上面创建 vlan10、vlan20 和 vlan30
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] vlan batch 10 20 30
#配置 SwitchA 交换机，连接终端 PC 的接口为 Access 类型，GE0/0/1 加到 vlan10，GE0/0/2
加入到 vlan20，GE0/0/4 加入到 vlan30，上联 Switch 的接口 GE0/0/3 配置为 trunk 类型，并允许
vlan10 和 vlan20 通过
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 10
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 20
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
[SwitchA] interface gigabitethernet 0/0/4
[SwitchA-GigabitEthernet0/0/4] port link-type access
[SwitchA-GigabitEthernet0/0/4] port default vlan 30
[SwitchA-GigabitEthernet0/0/4] quit
#在 Switch 上面配置 VLAN10、VLAN20 和 VLAN30，并配置 Switch 连接 SwitchA 的 GE0/0/3
接口类型为 trunk，并允许 VLAN10、VLAN20 和 VLAN30 通过
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10 20 30
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20 30
[SwitchA-GigabitEthernet0/0/3] quit
#配置 VLAN10、VLAN20 和 VLAN30 的网关 VLANIF10、VLANIF20 和 VLANIF30 地址分别为
192.168.1.1/24、192.168.2.1/24 和 192.168.3.1/24
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 192.168.1.1 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 20
[Switch-Vlanif20] ip address 192.168.2.1 24
[Switch-Vlanif20] quit
[Switch] interface vlanif 30
[Switch-Vlanif30] ip address 192.168.3.1 24
[Switch-Vlanif30] quit
# 在 Switch 分别配置静态路由指向外网实现互通
[Switch] ip route-static 0.0.0.0 0 10.1.20.1
2. 创建 ACL 规则
#在 Switch 上创建编号为 3000 的 ACL，配置允许 vlan10 可以访问 vlan20，拒绝 vlan10 访问
vlan30 的数据流；
[Switch] acl 3000
[Switch-acl-adv-3000] rule deny ip source 192.168.1.0 0.0.0.255 destination 
192.168.3.0 0.0.0.255
[Switch-acl-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 
192.168.2.0 0.0.0.255
[Switch-acl-adv-3000] rule permit ip source any#如果内网的网段比较多，把不做限
制互访的流量放行；
[Switch-acl-adv-3000] quit
3. 配置流分类
#在 Switch 上创建流分类 c1，匹配 ACL3000
[Switch] traffic classifier c1
[Switch-classifier-c1] if-match acl 3000
[Switch-classifier-c1] quit
4. 配置流行为
# 在 Switch 上创建流行为 b1，动作为 permit 
[Switch] traffic behavior b1
[Switch-behavior-b1] permit
[Switch-behavior-b1] quit
5. 配置流策略并应用到接口
# 在 Switch 上创建流策略 p1，将流分类和对应的流行为进行绑定。
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c1 behavior b1
[Switch-trafficpolicy-p1] quit
# 将流策略 p1 应用到接口 GE0/0/3 的入方向上。
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] traffic-policy p1 inbound
[Switch-GigabitEthernet0/0/3] quit

6.通过流策略实现限速功能

如图所示，公司内部有两个部门，分别属于 VLAN10 和 VLAN20，VLAN10 主要是一些服务器对 带宽要求比较高，VLAN20 只有公司员工上网对带宽要求不是很高，公司从运营商购买的是 10M 的专线， 要求 VLAN20 员工上网的网速最低需要 2M 不能超过 4M，超过 4M 的流量全部丢弃以免影响服务器对外提供服务；对 VLAN10 的网速不做限制；

 思路:

•创建 VLAN 并配置各接口，配置路由实现公司和外部网络互通；

•配置 ACL 规则，匹配 192.168.2.0 网段的数据流；

•配置流分类，匹配规则为上述创建的 ACL 规则，使设备对报文可以区分；

•配置流行为，动作为流量监管，承诺信息速率为 2M；

•配置流策略，绑定上述流分类和流行为，并应用到 Switch 设备的 GE0/0/3 接口的入方向，实 现对该网段的数据流做限速；

注:交换机可以配置基于每个 IP 地址限速，但是如果 IP 地址太多的话会浪费掉大量的 ACL 资源，并且在配置的时候也是比较繁琐的，每 IP 限速不建议做在交换机侧，可以做在出口路由器或者防火墙上面。

1. 创建 VLAN 并配置各接口
#在 SwitchA 上面创建 vlan10 和 vlan20
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] vlan batch 100 200
#配置 SwitchA 交换机，连接终端 PC 的接口为 Access 类型，GE0/0/1 加到 vlan10，GE0/0/2
加入到 vlan20，上联 Switch 的接口 GE0/0/3 配置为 trunk 类型，并允许 vlan10 和 vlan20 通过
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 10
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 20
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#在 Switch 上面配置 VLAN10 和 VLAN20，并配置 Switch 连接 SwitchA 的 GE0/0/3 接口类型为
trunk，并允许 VLAN10 和 VLAN20 通过
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 100 200
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#配置 VLAN10 和 VLAN20 的网关 VLANIF10 和 VLANIF20 地址分别为 192.168.1.1/24 和
192.168.2.1/24
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 192.168.1.1 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 20
78
[Switch-Vlanif20] ip address 192.168.2.1 24
[Switch-Vlanif20] quit
# 在 Switch 分别配置两台静态路由指向外网实现互通
[Switch]ip route-static 0.0.0.0 0 10.1.20.1
[Switch]ip route-static 0.0.0.0 0 10.1.30.1
经以上调试之后，内网访问外网没问题了，但是不能保证 VLAN10 的数据走高速链路，VLAN20 的数
据走低速链路；
2. 创建 ACL 规则
#在 Switch 上创建编号为 3000 的 ACL，匹配内网 192.168.2.0 数据流；
[Switch] acl 3000
[Switch-acl-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 
[Switch-acl-adv-3000] quit
3. 配置流分类
#在 Switch 上创建流分类 c1，匹配 ACL3000
[Switch] traffic classifier c1
[Switch-classifier-c1] if-match acl 3000
[Switch-classifier-c1] quit
4. 配置流行为
# 在 Switch 上创建流行为 b1，动作为流量监管，承诺信息速率为 2M，峰值速率不能超过 4M；
[Switch] traffic behavior b1
[Switch-behavior-b1] car cir 2048 pir 4096 green pass yellow discard red 
discard //只承诺 2M 的带宽，可以突发到 4M，超过 4M 的全部丢弃
[Switch-behavior-b1] quit
5. 配置流策略并应用到接口
# 在 Switch 上创建流策略 p1，将流分类和对应的流行为进行绑定。
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c1 behavior b1
[Switch-trafficpolicy-p1] quit
# 将流策略 p1 应用到接口 GE0/0/3 的入方向上。
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] traffic-policy p1 inbound
[Switch-GigabitEthernet0/0/3] quit

7.通过流策略实现流量统计

如图所示，公司内部有两个部门，分别属于 VLAN10 和 VLAN20，限制网络管理员想知道 VLAN20 里面的 192.168.1.200 这台主机是否有访问 VLAN10 内的服务器 192.168.1.100 的流量，可以通过 流策略来实现流量统计功能；此外在处理网络故障的是可以通过流量统计来排查是否是网络设备丢了数据流；

 思路:

•创建 VLAN 并配置各接口，配置路由实现公司和外部网络互通；

•配置 ACL 规则，匹配源 192.168.2.100 到目的 192.168.1.100 的数据流；

•配置流分类，匹配规则为上述创建的 ACL 规则，使设备对报文可以区分；

•配置流行为，动作为开启流量统计；

•配置流策略，绑定上述流分类和流行为，并应用到 Switch 设备的 GE0/0/3 接口的入方向，实 例流量统计的功能；

1. 创建 VLAN 并配置各接口
#在 SwitchA 上面创建 vlan10 和 vlan20
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] vlan batch 100 200
#配置 SwitchA 交换机，连接终端 PC 的接口为 Access 类型，GE0/0/1 加到 vlan10，GE0/0/2
加入到 vlan20，上联 Switch 的接口 GE0/0/3 配置为 trunk 类型，并允许 vlan10 和 vlan20 通过
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 10
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 20
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#在 Switch 上面配置 VLAN10 和 VLAN20，并配置 Switch 连接 SwitchA 的 GE0/0/3 接口类型为
trunk，并允许 VLAN10 和 VLAN20 通过
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 100 200
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#配置 VLAN10 和 VLAN20 的网关 VLANIF10 和 VLANIF20 地址分别为 192.168.1.1/24 和
192.168.2.1/24
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 192.168.1.1 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 20
[Switch-Vlanif20] ip address 192.168.2.1 24
[Switch-Vlanif20] quit
# 在 Switch 配置静态路由指向外网实现互通
[Switch] ip route-static 0.0.0.0 0 10.1.20.1
2. 创建 ACL 规则
#在Switch 上创建编号为 3000 的ACL，匹配192.168.2.100 到192.168.1.100 之间的数据流；
[Switch] acl 3000 //匹配 192.168.2.100 到 192.168.1.100 数据流
[Switch-acl-adv-3000] rule permit ip source 192.168.2.100 0.0.0.0 destination 
192.168.1.100 0.0.0.0
[Switch-acl-adv-3000] quit
3. 配置流分类
#在 Switch 上创建流分类 c1，匹配 ACL3000
[Switch] traffic classifier c1
[Switch-classifier-c1] if-match acl 3000
[Switch-classifier-c1] quit
4. 配置流行为
# 在 Switch 上创建流行为 b1，开启流量统计
[Switch] traffic behavior b1
[Switch-behavior-b1] statistic enable
[Switch-behavior-b1] quit
5. 配置流策略并应用到接口
# 在 Switch 上创建流策略 p1，将流分类和对应的流行为进行绑定。
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c1 behavior b1
[Switch-trafficpolicy-p1] quit
# 将流策略 p1 应用到接口 GE0/0/3 的入方向上。
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] traffic-policy p1 inbound
[Switch-GigabitEthernet0/0/3] quit
6. 查看流量统计的结果
[Switch] display traffic policy statistics interface gigabitethernet 0/0/3 inbound

8.通过流策略配置PING报文的流量统计

在处理网络故障的时候会出现 ping 不通的情况，这个时候可以通过配置流量统计来看哪个设备在哪 把流量丢了； 如图，客户有一台 PC1 无法访问 Server，这个时候可以在数据流经过的设备做流量统计来看到底在哪把报文丢弃了。

思路:

•配置 ACL，匹配协议为 ICMP、源目地址分别为 PC1 和 Server 的地址；

•配置流分类，

•配置流行为，动作为开启流量统计；

•配置流策略，把上面配置的流分类和流行为绑定在一起；

•应用流策略，在 Swithc 的接口 GE0/0/1 应用流策略；

1. 配置 ACL
#匹配协议为 ICMP，源目地址分别为 10.1.1.10 和 10.1.2.10 的数据流
<Huawei> system-view
[Huawei] sysname Switch
[Switch] acl number 3333
[Switch-acl-adv-3333] rule permit icmp source 10.1.1.10 0 destination 
10.1.2.10 0
[Switch-acl-adv-3333] rule permit icmp source 10.1.2.10 0 destination 
10.1.1.10 0
2. 配置流分类
#配置流分类 c1，匹配上述创建的 acl 3333
[Switch] traffic classifier c1
[Switch-classifier-c1] if-match acl 3333
3. 配置流行为
#配置流行为 b1，动作为开启流量统计
[Switch] traffic behavior b1
[Switch-behavior-b1] statistic enable 
4. 配置流策略
#将配置流策略 p1，将上面配置的流分类和流行为绑定在一起
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c1 behavior b1
5. 应用流策略
#在交换机 Switch 连接 PC1 的接口出入方向调用流策略 p1
[Switch] interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet0/0/1] traffic-policy p1 inbound 
[Switch-GigabitEthernet0/0/1] traffic-policy p1 outbound
[Switch-GigabitEthernet0/0/1] quit
6. 检测配置结果接流量统计结果
#首先确认流量统计配置是否正确
83
<Switch> display traffic policy user-defined p1
 User Defined Traffic Policy Information:
 Policy: p1
 Classifier: c1
 Operator: AND
 Behavior: b1
 Statistic: enable
#在 PC1 上进行 ping Server 的操作
#在交换机查看流量统计的结果
<Switch> display traffic policy statistics interface g0/0/1 inbound
#查看入接口方向的流量统计结果
<Switch> display traffic policy statistics interface g0/0/1 outbound
#查看出接口方向的流量统计结果
注:
如果两者相同表示是正常的，如果入方向为 0 表示 PC1 发的数据包没有到交换机，如果入方向不为 0，
但是出方向为 0，表示数据到交换机了，但是对端没有回应过来，可以继续在其他设备做流量统计；

9.交换机通过流策略限制部分用户在特定时间无法上网

如图所示，公司内部有两个部门，分别属于 VLAN10 和 VLAN20，VLAN10 主要是服务器区为内 网和外网用户提供服务，VLAN20 内的都是公司员工办公的，现在有个需求就是在上班期间（8:00-18:00） 限制 VLAN20 内网的用户访问公网影响办公，只能访问内网 VLAN10 里面的服务器提供的服务；

 思路:

•创建 VLAN 并配置各接口，配置路由实现公司和外部网络互通；

•配置时间段，定义时间段为周一到周五 8:00-18:00，使设备可以根据时间段对报文做控制；

•配置 ACL 规则并结合上面配置的时间段，分别匹配 VLAN20 访问 VLAN10 的流量和 VLAN20 的 用户访问公网的数据流；

•配置流分类，匹配规则为上述创建的 ACL 规则，使设备对报文可以区分；

•配置流行为，动作为允许数据流通过；

•配置流策略，绑定上述流分类和流行为，并应用到 Switch 设备的 GE0/0/3 接口的入方向，实 现 VLAN20 的用户无法在上班期间上网但是下班时间可以正常上网的需求；

1. 创建 VLAN 并配置各接口
#在 SwitchA 上面创建 vlan10 和 vlan20
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] vlan batch 100 200
#配置 SwitchA 交换机，连接终端 PC 的接口为 Access 类型，GE0/0/1 加到 vlan10，GE0/0/2
加入到 vlan20，上联 Switch 的接口 GE0/0/3 配置为 trunk 类型，并允许 vlan10 和 vlan20 通过
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type access
[SwitchA-GigabitEthernet0/0/1] port default vlan 10
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type access
[SwitchA-GigabitEthernet0/0/2] port default vlan 20
[SwitchA-GigabitEthernet0/0/2] quit
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#在 Switch 上面配置 VLAN10 和 VLAN20，并配置 Switch 连接 SwitchA 的 GE0/0/3 接口类型为
trunk，并允许 VLAN10 和 VLAN20 通过
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 100 200
[SwitchA] interface gigabitethernet 0/0/3
[SwitchA-GigabitEthernet0/0/3] port link-type trunk
[SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 10 20
[SwitchA-GigabitEthernet0/0/3] quit
#配置 VLAN10 和 VLAN20 的网关 VLANIF10 和 VLANIF20 地址分别为 192.168.1.1/24 和
192.168.2.1/24
[Switch] interface vlanif 10
85
[Switch-Vlanif10] ip address 192.168.1.1 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 20
[Switch-Vlanif20] ip address 192.168.2.1 24
[Switch-Vlanif20] quit
# 在 Switch 配置静态路由指向外网实现互通
[Switch] ip route-static 0.0.0.0 0 10.1.20.1
2. 创建时间段
#创建时间段 worktime，规定 worktime 的时间为周一至周五 8:00-18:00
[Switch] time-range worktime 8:00 to 18:00 working-day
3. 创建 ACL 规则
#在 Switch 上创建编号为 3000 的 ACL，第一条规则匹配 VLAN20 访问 VLAN10 的数据流并结合时
间段 worktime，第二条规则匹配 VLAN20 访问公网的数据流并结合时间 worktime
[Switch] acl 3000
[Switch-acl-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 
192.168.1.0 0.0.0.255 time-range worktime
[Switch-acl-adv-3000] rule deny ip source 192.168.2.0 0.0.0.255 time-range 
worktime
[Switch-acl-adv-3000] quit
4. 配置流分类
#在 Switch 上创建流分类 c1，匹配 ACL3000
[Switch] traffic classifier c1
[Switch-classifier-c1] if-match acl 3000
[Switch-classifier-c1] quit
5. 配置流行为
# 在 Switch 上创建流行为 b1，动作为 permit 允许数据流通过
[Switch] traffic behavior b1
[Switch-behavior-b1] permit
[Switch-behavior-b1] quit
6. 配置流策略并应用到接口
# 在 Switch 上创建流策略 p1，将流分类和对应的流行为进行绑定。
[Switch] traffic policy p1
[Switch-trafficpolicy-p1] classifier c1 behavior b1
[Switch-trafficpolicy-p1] quit
86
# 将流策略 p1 应用到接口 GE0/0/3 的入方向上。
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] traffic-policy p1 inbound
[Switch-GigabitEthernet0/0/3] quit
7. 查看流量统计的结果
[Switch] display traffic policy statistics interface gigabitethernet 0/0/3 
inbound

10.交换机配置接口限速

如图所示，Switch 通过接口 GE0/0/3 与路由器互连，企业部门 1 和企业部门 2 通过接口 GE0/0/1 和 GE0/0/2 接入 Switch，经由 Switch 和路由器访问网络。

由于业务较单一，不需要对业务进行区分，但是网络带宽有限，因此需要对企业各个部门的接入带宽 进行整体限制。要求企业部门 1 入方向保证带宽为 8Mbit/s，最高不超过 10Mbit/s；企业部门 2 入方 向保证带宽为 5Mbit/s，最高不超过 8Mbit/s。

 思路:

•配置 Switch 的各接口，使用户能够访问网络。

•在 Switch 接口 GE0/0/1 和 GE0/0/2 的入方向配置接口限速。

1. 创建 VLAN 并配置 Switch 各接口
# 创建 VLAN100、VLAN200 和 VLAN300。
<HUAWEI> system-view
87
[HUAWEI] sysname Switch
[Switch] vlan batch 100 200 300
# 将接口 GE0/0/1、GE0/0/2 和 GE0/0/3 的接入类型均配置为 trunk，并配置 GE0/0/1 允许
VLAN100 通过，配置 GE0/0/2 允许 VLAN200 通过，配置 GE0/0/3 允许 VLAN100、VLAN200 和 VLAN300
通过。
[Switch] interface gigabitethernet 0/0/1
[Switch-GigabitEthernet0/0/1] port link-type trunk
[Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[Switch-GigabitEthernet0/0/1] quit
[Switch] interface gigabitethernet 0/0/2
[Switch-GigabitEthernet0/0/2] port link-type trunk
[Switch-GigabitEthernet0/0/2] port trunk allow-pass vlan 200
[Switch-GigabitEthernet0/0/2] quit
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] port link-type trunk
[Switch-GigabitEthernet0/0/3] port trunk allow-pass vlan 100 200 300
[Switch-GigabitEthernet0/0/3] quit
# 创建 VLANIF300，并配置网段地址 192.168.1.1/24。
[Switch] interface vlanif 300
[Switch-Vlanif300] ip address 192.168.1.1 24
[Switch-Vlanif300] quit 
请在 Router 上的与 Switch 对接的接口上配置 IP 地址 192.168.1.2/24。
2. 配置接口限速
# 在接口 GE0/0/1 的入方向上配置接口限速，保证带宽为 8192kbit/s。
[Switch] interface gigabitethernet 0/0/1
[Switch-GigabitEthernet0/0/1] qos lr inbound cir 8192
[Switch-GigabitEthernet0/0/1] quit
# 在接口 GE0/0/2 的入方向上配置接口限速，保证带宽为 5120kbit/s。
[Switch] interface gigabitethernet 0/0/2
[Switch-GigabitEthernet0/0/2] qos lr inbound cir 5120
[Switch-GigabitEthernet0/0/2] quit
3. 验证配置结果
# 查看接口限速的配置信息。
[Switch] display qos lr inbound interface gigabitethernet 0/0/1
88
GigabitEthernet0/0/1 lr inbound:
 cir: 8192 Kbps, cbs: 1024000 Byte 
[Switch] display qos lr inbound interface gigabitethernet 0/0/2
GigabitEthernet0/0/2 lr inbound:
 cir: 5120 Kbps, cbs: 640000 Byte
dulu~dulu
关注
  • 19
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
路由器策略ACL配置
悦分享
07-09 7378
ACL能够匹配一个IP数据包中的源IP地址、目的IP地址、协议类型、源目的端口等元素的基础性工具。ACL还能够用于匹配路由条目。说了这么多，那么ACL到底是什么呢？ACL是由一系列permit和deny语句组成的（后面跟着条件列表）、有序规则的列表，它通过匹配报文的相关信息实现对报文的分类。
华为H3C ACL配置实例
热门推荐
csgd2000的博客
10-19 1万+
需要注意的是：1）当高级ACL的匹配顺序为config时，用户可以修改该ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态；4） 当高级ACL的匹配顺序为auto时，新创建的规则将按照“深度优先”的原则插入到已有的规则中，但是所有规则对应的编号不会改变。2. 高级ACL：高级ACL可以使用数据包的源IP地址、目的IP地址、IP承载的协议类型、针对协议的特性（例如TCP或UDP的源端口、目的端口，ICMP协议的消息类型、消息码等）内容定义规则。
交换机访问控制列表（ACL）详解
一起coding，一起嗨。
12-21 2449
访问控制列表（Access Control Lists，简称ACL）是网络设备中一种重要的安全机制，主要用于过滤和控制网络流量。在交换机上配置ACL，我们可以根据源IP地址、目的IP地址、协议类型、端口号等参数，允许或拒绝特定的数据包通过。
交换机ACL配置
eys_open的博客
11-11 4548
数据库查询语句和代码–针对节能策略添加设备 truncate table ac_device_s select * from ac_device_s for update select * from ac_control_strategy where AC_STRATEGY_NAME like’%温州%’ for update select * from sys_device_type where device_type_name like ‘%空调%’; update ac_control_strate
ACL的配置
Ljw3187136228的博客
06-14 915
一、引言随着网络技术的不断发展，网络安全问题日益突出。在网络通信中，访问控制列表（Access Control List，简称ACL）作为一种重要的安全机制，被广泛应用于路由器、交换机、防火墙等网络设备中，用于控制数据包的访问权限，确保网络通信的安全性和可靠性。本文将对ACL的配置进行详细介绍，包括ACL的基本原理、分类、配置方法、应用原则及注意事项等方面，旨在为读者提供一份全面、深入的ACL配置指南。二、ACL概述ACL是一种网络安全技术，用于控制数据包的访问权限。
acl配置
安静的一个人
07-18 4091
1 配置 基本acl配置案例 配置基本acl步骤 配置规则生效时间段 执行命令system-view，进入系统视图。 执行命令time-rangetime-name{start-timetoend-time{days} &<1-7> |fromtime1date1[totime2date2] }，创建一个时间段。 创建基本ACL 执行命令acl{ [n...
标准ACL配置
傻傻的心动的博客
04-29 3029
/配置标准ACL后，PC1无法访问PC2。//在Se0/0/0接口入方向应用ACL。#禁止192.168.2.0/24访问。//启用标准ACL，ACL编号为50。//允许其他任何网段访问。掌握标准ACL的配置。实验拓扑如图1所示。（1）R1的基本配置。//配置静态路由协议。（2）R2的基本配置。
扩展ACL配置
傻傻的心动的博客
05-01 1570
扩展ACL配置 【实验目的】 掌握扩展ACL的配置。 认识扩展ACL的作用。 验证配置。
Ensp的ACL配置
Xi522688的博客
06-17 510
（Access Control List）是一种用于网络设备或操作系统上访问权限的列表。ACL可以应用于网络设备，如路由器或交换机，用于限制网络流量和授权特定用户对某些资源的访问。它可以基于源IP地址、目标IP地址、端口号、传输协议等参数来定义访问规则。ACL可以通过允许或拒绝某些流量来保护网络安全。ACL也可以应用于操作系统中，用于限制用户或组对文件、文件夹、注册表项等资源的访问权限。它可以通过允许或拒绝特定操作（如读取、写入、执行）来控制用户的权限。
华为ACL配置.zip
03-08
解压后的文件“华为ACL配置”应该包含网络设备的拓扑结构图，显示了设备间的连接关系，这对于理解流量如何在不同设备间流动至关重要。同时，设备代码部分提供了具体的ACL配置命令，可以复制到华为设备的CLI（命令行...
ACL配置实验
01-30
ACL 配置实验 该实验报告的目的旨在掌握 ACL 的设计原则和工作过程，包括标准 ACL 和扩展 ACL 的配置方法、两种 ACL 的放置规则和调试故障排除方法。 一、ACL 简介 ACL（Access Control List，访问控制列表）是一...
局域网10-ACL配置
09-13
**局域网10-ACL配置** ACL（Access Control List，访问控制列表）是网络设备上的一种安全机制，用于在数据包通过网络时实施访问控制策略。它允许管理员基于源和目的IP地址、端口号、协议类型等参数，对网络流量进行...
Cisco ACL配置
09-26
Cisco访问控制列表（Access Control List, ACL）是网络管理员用于管理网络流量的一种安全工具，它基于预定义的规则对...此外，定期审查和更新ACL配置也是维护网络安全的重要步骤，以适应不断变化的网络环境和安全需求。
【Vulnhub系列】Vulnhub Connect-The-Dots 靶场渗透（原创）
最新发布
Lusen的博客
08-02 395
Vulnhub系列Connect-The-Dots靶场做题记录
网络安全在2024好入行吗？
2401_84466225的博客
07-29 661
024年的今天，慎重进入网安行业吧，目前来说信息安全方向的就业对于学历的容忍度比软件开发要大得多，还有很多高中被挖过来的大佬。
linux操作系统_TCP
hkhkhkhkh123的博客
07-30 1065
1）三次握手和四次挥手机制 2) 确认应答：TCP将每个字节的数据都进行了编号，即为序列号。每一个ACK都带有对应的确认序列号，保证数据不丢失的按序到达 3）超时重传：当发送端发送的数据在网络中丢失时，在一定时间内没有收到接收端的ACK，则发送端会重新发送丢失数据。2. ACK： 确认应答标志 3. PSH: 表示发送数据，提示接收端从TCP接收缓冲区中读走数据，为接收后续数据腾出空间 4. RST： 重置连接标志 5. SYN： 表示请求建立一个连接 6. FIN： finish标志， 表示释放连接。
保护国外使用代理IP的安全方法
iphttp的博客
07-30 423
用户在国外使用代理IP时，应该时刻保持警惕，不要随意点击可疑链接，养成良好的网络安全意识。此外，用户还应该避免在代理服务器上输入敏感信息，如银行账号、密码等。使用代理IP时，用户应该尽量使用加密协议（如SSL、TLS）来保护数据传输的安全。这将确保用户的个人信息和访问记录不会被黑客窃取或监控。在选择代理服务器时，用户应该选择那些经过验证和信任的服务器，如知名的VPN服务提供商。用户应该定期更新操作系统和软件，以确保其安全性。这样可以有效地防止黑客通过代理服务器攻击用户的计算机或移动设备。
华为三层交换机ACL配置
06-11
华为三层交换机（如S5720、S5730、S6720、S6730系列）的ACL配置包括以下步骤： 1. 创建ACL规则：使用acl命令创建ACL规则，可以根据需要设置匹配条件和动作。例如，创建一个允许192.168.1.0/24网段中的主机访问10.0.0.10服务器的ACL规则，命令如下： ``` [Switch] acl number 2000 //创建ACL规则2000 [Switch-acl-adv-2000] rule permit ip source 192.168.1.0 0.0.0.255 destination 10.0.0.10 0 //设置匹配条件 ``` 2. 应用ACL规则：将ACL规则应用到相应的接口或VLAN上，以实现过滤和控制数据流的目的。例如，将ACL规则2000应用到接口GigabitEthernet0/0/1上，命令如下： ``` [Switch] interface gigabitethernet 0/0/1 //进入接口视图 [Switch-GigabitEthernet0/0/1] traffic-filter inbound acl 2000 //应用ACL规则2000至入方向 ``` 3. 验证和管理ACL规则：可以使用display acl命令查看ACL规则的状态和统计信息，以及使用undo acl命令删除ACL规则。例如，查看ACL规则2000的状态和统计信息，命令如下： ``` [Switch] display acl 2000 ``` 需要注意的是，ACL配置应该谨慎操作，避免误操作导致网络故障和安全问题。同时，还应该及时更新ACL规则，以适应网络环境的变化和不断出现的安全威胁。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值