《2022年2022年华为交换机Vlan间访问控制配置案例》由会员分享,可在线阅读,更多相关《2022年2022年华为交换机Vlan间访问控制配置案例(5页珍藏版)》请在金锄头文库上搜索。
1、华为交换机Vlan 间访问控制配置案例华为交换机ACL/QOS 调用 ACL配置案例1 ACL概述随着网络规模的扩大和流量的增加,对网络安全的控制和对带宽的分配成为网络管理的重要内容。通过对报文进行过滤,可以有效防止非法用户对网络的访问,同时也可以控制流量,节约网络资源。ACL(Access ControlList,访问控制列表)即是通过配置对报文的匹配规则和处理操作来实现包过滤的功能。ACL 通过一系列的匹配条件对报文进行分类,这些条件可以是报文的源MAC 地址、目的MAC 地址、源IP 地址、目的IP 地址、端口号等。2 案例背景网络环境拓扑如下(客户端接入交换机约有几十个,所有设备均采用
2、静态IP)名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页,共 5 页 - - - - - - - - - 服务器区所有服务器网关均在核心交换机上,共有9 个 Vlan,9 个网段分别如下;Vlan10-Vlan11 网段分别为10.0.10.0/24-10.0.11.0/24Vlan14-Vlan19 网段分别为10.0.14.0/24-10.0.19.0/24交换机管理Vlan 为 Vlan1: 10.0.13.0/24,核心交换机的管理ip 为 10.0.13.254 ,
3、其余接入交换机网关均在核心交换机上;客户端共有8 个 Vlan,分别为 Vlan20-Vlan100 ,网段分别为10.0.20.0/24-10.0.100.0/24,网关均在核心交换机上;3 需求一:对服务器区服务器做安全防护,只允许客户端访问服务器某些端口由于网络环境拓扑为客户端 客户端接入交换机 核心交换机 防火墙 服务器接入交换机 服务器,也即客户端访问服务器需要通过防火墙,所以对服务器的防护应该放到防火墙上来做,因为若用交换机来做过滤,配置麻烦且失去了防火墙应有的作用(此处不做防火墙配置介绍);名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - -
4、- - - - - - 名师精心整理 - - - - - - - 第 2 页,共 5 页 - - - - - - - - - 4 需求二:交换机只允许固定管理员通过ssh登陆此处做防护有较为方便的俩种方法一:在所有交换机配置VTY 时,调用 ACL只允许源为网络管理员的IP访问,但此方法虽配置不复杂,但是配置工作量较大需要在所有交换机上配置,而且不灵活例如在网络管理员人员或者IP 变迁时,需要重新修改所有交换机 ACL,所以并不是首选方案;二:因为管理交换机管理Vlan 与所有客户端Vlan 不在同一 Vlan,也即客户端访问接入交换机必须通过核心交换机,所以可以在核心交换机上做ACL来控制客
5、户端访对接入交换机的访问,核心交换机的访问通过VTY来调用 ACL;配置部分在下面;5 需求三:客户端VLAN之间不能互相访问,客户端只允许访问服务器VLAN一:在核心交换机上的所有链接客户端接入交换机端口做ACL,只放行访问服务器的流量,拒绝其余流量,但由于客户端接入交换机约有几十台,所以配置工作量大几十个端口都需要配置,所以也不是首选方案;二:在核心交换机上的客户端Vlan 做 Acl,只放行访问服务器的流量,拒绝其余流量,由于客户端Vlan 共有8 个所以相对于在物理接口上做ACL 而言,工作量较小,所以选择此方案;6 配置部分6.1 ACL配置部分acl number 2000rule
6、 5 permitsource 10.0.20.110rule 10 permitsource 10.0.21.150rule 15 deny/ 定义允许访问核心交换机的俩位网络管理员IP 地址;acl number 3000rule 51 permitip destination10.0.10.00.0.0.255rule 53 permitip destination10.0.12.00.0.0.255rule 55 permitip destination10.0.14.00.0.0.255rule 56 permitip destination10.0.15.00.0.0.255rul
7、e 57 permitip destination10.0.16.00.0.0.255rule 58 permitip destination10.0.17.00.0.0.255rule 59 permitip destination10.0.18.00.0.0.255rule 60 permitip destination10.0.19.00.0.0.255/ 定义所有客户端只允许访问服务器Vlanrule 71 permittcp source 10.0.20.110 destination10.0.13.00.0.0.255destination-porteq 22rule 72 per
8、mittcp source 10.0.21.150 destination10.0.13.00.0.0.255destination-porteq 22名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页,共 5 页 - - - - - - - - - / 定义允许访问核心交换机的tcp22 端口(即 SSH )的俩位网络管理员IP;acl number 3100rule 5 permitip/ 拒绝除允许网段外的其余所有流量/ 由于此处的 acl3000 及 3100 是给下面的
9、QOS做调用的, 所以此处的 permit或 deny 不起作用, 随意设置即可;6.2 Qos调用部分trafficclassifier3000 operatoror precedence5if-matchacl 3000/定义名为 classifier3000 的流分类,并调用ACL3000trafficclassifier3100 operatoror precedence10if-matchacl 3100/定义名为 classifier3100 的流分类,并调用ACL3100/ 定义流分类trafficbehavior 3000permit/ 定义名为 behavior 3000 的
10、流行为,并赋予允许值trafficbehavior 3100deny/ 定义名为 behavior 3100 的流行为,并赋予拒绝值/ 定义流行为/ 上面 ACL 的允许或拒绝不起作用,通过此处来定义拒绝或允许trafficpolicy 634aclclassifier3000 behavior 3000classifier3100 behavior 3100/ 定义名为 policy 634acl 流策略,并将classifier3000 流分类与 behavior 3000 流行为关联,以及classifier3100 流分类与 behavior 3100 流行为关联(注意:允许在前,拒绝
11、在后);vlan 20descriptionkjfzb jimitraffic-policy634acl inbound/ 依次登录客户端Vlan 应用流策略至此完成了所有客户端Vlan 之间不能互访, 以及除网络管理员之外不能访问接入交换机管理网段的访问控制;user-interfacevty 0 4acl 2000 inbound名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页,共 5 页 - - - - - - - - - / 在 vty 界面中调用Acl2000 ,即只允许俩网络管理员登录;authentication-modeaaauser privilegelevel 3protocolinbound ssh/ 至此完成了只允许网络管理员登录核心交换机的访问控制;名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页,共 5 页 - - - - - - - - -