H3C交换机单向访问控制

H3C交换机单向访问控制

交换机vlan10:172.16.1.254，vlan1:192.168.1.225
PC1:192.168.1.224 网关192.168.1.225
PC2:172.16.1.10 网关 172.16.1.254

ICMP单向访问控制：

192.168.1.224可以ping172.16.1.10，反过来拒绝

抓包分析：

上图是192.168.1.224去ping172.16.1.10的包，要满足反向拒绝，则源地址是172.16.1.10，icmp类型为echo

配置方法：
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 1 deny icmp icmp-type echo source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit

[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit

至此：192.168.1.224可以ping172.16.1.10，反过来拒绝
------------------------------------------------------------------------------------------------------------------

TCP单向访问控制：

192.168.1.224可以访问172.16.1.10所有tcp端口，反过来拒绝

以tcp445端口为例抓包分析：

上图是192.168.1.224去telnet 172.16.1.10的445端口包，要满足反向拒绝，则源地址是172.16.1.10，tcp 第一次握手包 SYN 0。

配置方法：
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 2 deny tcp syn 0 source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit

[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit

192.168.1.224可以访问172.16.1.10所有tcp端口，反过来拒绝

注意：如果测试过滤第一次握手包不成功。可以尝试如下配置：
配置方法：
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 3 deny tcp syn 1 ack 0 source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit

[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit