S600-E系列交换机 典型配置案例
使用ACL限制不同网段的用户互访示例
ACL简介
访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。
ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。
基于ACL规则定义方式，可以将ACL分为基本ACL、高级ACL、二层ACL等种类。高级ACL根据源IP地址、目的地址、IP协议类型、TCP源/目的端口、UDP源/目的端口号、分片信息和生效时间段等信息来定义规则，对IPv4报文进行过滤。与基本ACL相比，高级ACL提供了更准确、丰富、灵活的规则定义方法。例如，当希望同时根据源IP地址和目的IP地址对报文进行过滤时，则需要配置高级ACL。
本例，就是将高级ACL应用在流策略模块，使设备可以对不同网段用户互访的报文进行过滤，达到限制两个网段互访的目的。
组网需求
如图10-5所示，某公司通过Switch实现各部门之间的互连。为方便管理网络，管理员为公司的研发部和市场部规划了两个网段的IP地址，两个部门划分在不同VLAN之中。要求通过配置限制两个网段之间互访，防止公司机密泄露。
配置思路
采用如下的思路在Switch上进行配置：
- 配置高级ACL和基于ACL的流分类，使设备可以对研发部与市场部互访的报文进行过滤。
- 配置流行为，拒绝匹配上ACL的报文通过。
- 配置并应用流策略，使ACL和流行为生效。
操作步骤
- 配置接口所属的VLAN以及接口的IP地址
# 创建VLAN10和VLAN20。
<HUAWEI> system-view [HUAWEI] sysname Switch [Switch] vlan batch 10 20
# 配置Switch的接口GE0/0/1和GE0/0/2为trunk类型接口，并分别加入VLAN10和VLAN20。
[Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] port link-type trunk [Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 [Switch-GigabitEthernet0/0/1] quit [Switch] interface gigabitethernet 0/0/2 [Switch-GigabitEthernet0/0/2] port link-type trunk [Switch-GigabitEthernet0/0/2] port trunk allow-pass vlan 20 [Switch-GigabitEthernet0/0/2] quit
# 创建VLANIF10和VLANIF20，并配置各VLANIF接口的IP地址。
[Switch] interface vlanif 10 [Switch-Vlanif10] ip address 10.1.1.1 24 [Switch-Vlanif10] quit [Switch] interface vlanif 20 [Switch-Vlanif20] ip address 10.1.2.1 24 [Switch-Vlanif20] quit
- 配置ACL
# 创建高级ACL 3001并配置ACL规则，拒绝任一部门访问另一部门的报文通过，这里以拒绝研发部访问市场部的报文通过为例。
[Switch] acl 3001 [Switch-acl-adv-3001] rule deny ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255 //禁止研发部访问市场部 [Switch-acl-adv-3001] quit
- 配置基于高级ACL的流分类
# 配置流分类tc1，对匹配ACL 3001的报文进行分类。
[Switch] traffic classifier tc1 //创建流分类 [Switch-classifier-tc1] if-match acl 3001 //将ACL与流分类关联 [Switch-classifier-tc1] quit
- 配置流行为
# 配置流行为tb1，动作为拒绝报文通过。
[Switch] traffic behavior tb1 //创建流行为 [Switch-behavior-tb1] deny //配置流行为动作为拒绝报文通过 [Switch-behavior-tb1] quit
- 配置流策略
# 定义流策略，将流分类与流行为关联。
[Switch] traffic policy tp1 //创建流策略 [Switch-trafficpolicy-tp1] classifier tc1 behavior tb1 //将流分类tc1与流行为tb1关联 [Switch-trafficpolicy-tp1] quit
- 在接口下应用流策略
# 由于研发部访问市场部的流量从接口GE0/0/1进入Switch，所以在接口GE0/0/1的入方向应用流策略。
[Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] traffic-policy tp1 inbound //流策略应用在接口入方向 [Switch-GigabitEthernet0/0/1] quit
- 验证配置结果
# 查看ACL规则的配置信息。
[Switch] display acl 3001 Advanced ACL 3001, 1 rule Acl's step is 5 rule 5 deny ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255 (match-counter 0)# 查看流分类的配置信息。
[Switch] display traffic classifier user-defined User Defined Classifier Information: Classifier: tc1 Operator: AND Rule(s) : if-match acl 3001 Total classifier number is 1# 查看流策略的配置信息。
[Switch] display traffic policy user-defined tp1 User Defined Traffic Policy Information: Policy: tp1 Classifier: tc1 Operator: AND Behavior: tb1 Deny
# 研发部和市场部所在的两个网段之间不能互访，但是均可以与其他网段的部门互访。
配置文件
Switch的配置文件
# sysname Switch # vlan batch 10 20 # acl number 3001 rule 5 deny ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255 # traffic classifier tc1 operator and if-match acl 3001 # traffic behavior tb1 deny # traffic policy tp1 classifier tc1 behavior tb1 # interface Vlanif10 ip address 10.1.1.1 255.255.255.0 # interface Vlanif20 ip address 10.1.2.1 255.255.255.0 # interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 traffic-policy tp1 inbound # interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 20 # return