问

msr2600开放端口限制特定地址访问

2020-09-30提问

1关注
1收藏，1478浏览

zhiliao_K24lK0

zhiliao_K24lK0 零段

粉丝：0人关注：0人

问题描述：

MSR2600-10 对外开放端口，想通过ACL策略限制访问源地址。将acl绑定在公网入口，发现不生效。相关配置如下： acl number 3001 rule 0 permit ip source 36.155.112.74 0 rule 100 deny tcp destination-port eq 1433 ;;; interface GigabitEthernet0/0 port link-mode route firewall packet-filter 3001 inbound nat outbound nat server 12 protocol tcp global current-interface 1433 inside 192.168.0.241 1433

最佳答案

已采纳

zhiliao_4FUFwM

zhiliao_4FUFwM 二段

粉丝：1人关注：0人

1、需要开启防火墙功能

firewall enable

2、配置ACL，先写某些IP地址允许访问公网的端口，最后再写某些IP地址不允许访问公网的端口。匹配动作为deny（拒绝），

acl advanced 3001

rule 0 permit tcp source 允许是IP地址 0 destination 公网地址 0 destination-port eq 开放的端口号

rule 100 deny tcp source 禁止的IP地址 0 destination 公网地址 0 destination-port eq 开放的端口号

3、在外网端口使能ACL出方向

int g0/1

firewall packet-filter 3001 outbound (出方向)

firewall packet-filter 3001 in

zhiliao_K24lK0 发表时间：2020-09-30 更多>>

firewall packet-filter 3001 in

zhiliao_K24lK0 发表时间：2020-09-30

3 个回答

按时间按赞数

沧海星辰

沧海星辰七段

粉丝：11人关注：1人

不允许源地址访问应该用deny

acl number 3001

rule 0 deny ip source 36.155.112.74 0

rule 100 deny tcp destination-port eq 1433

interface GigabitEthernet0/0

port link-mode route

firewall packet-filter 3001 inbound

nat outbound nat server 12 protocol tcp global current-interface 1433 inside 192.168.0.241 1433

firewall enable要开。。。感谢大兄弟积极出谋划策!!

zhiliao_K24lK0 发表时间：2020-09-30 更多>>

36.155.112.74 是要放行的地址，默认到1433的deny

zhiliao_K24lK0 发表时间：2020-09-30

你是想禁止公网上的源吗？

沧海星辰发表时间：2020-09-30

如果你要禁止36.155.112.74访问1433，那你要把两条acl的顺序改一下 rule 1 deny tcp destination-port eq 1433 rule 100 deny ip source 36.155.112.74 0

沧海星辰发表时间：2020-09-30

回复沧海星辰:

是的，开放的端口只允许源为36.155.112.74的地址访问。

zhiliao_K24lK0 发表时间：2020-09-30

那你可以这样写：rule permit tcp source 36.155.112.74 0 destination-port eq 1433

沧海星辰发表时间：2020-09-30

然后其他的都会默认拒绝了

沧海星辰发表时间：2020-09-30

再加一条rule 100 deny ip保险一点

沧海星辰发表时间：2020-09-30

[H3C-acl-adv-3001]dis acl 3001 Advanced ACL 3001, named -none-, 2 rules, ACL's step is 5 rule 5 permit tcp source 36.155.112.74 0 destination-port eq 1433 rule 100 deny tcp destination-port eq 1433 改成这样还是不行哟。其它地址依然能telnet通。。

zhiliao_K24lK0 发表时间：2020-09-30

不应该啊，你的源地址不是放通的哪个是吧

沧海星辰发表时间：2020-09-30

不是哦，用3台公网机器测过。。醉了。。

zhiliao_K24lK0 发表时间：2020-09-30

策略路由会不会影响？acl number 2000 rule 10 permit source 192.168.0.0 0.0.0.255 policy-based-route yidong permit node 2 if-match acl 2000 apply ip-address next-hop 36.152.144.209

zhiliao_K24lK0 发表时间：2020-09-30

你不是用的公网机器测试的吗，跟策略路由没什么关系吧

沧海星辰发表时间：2020-09-30

firewall enable要开。。。感谢大兄弟积极出谋划策!!

zhiliao_K24lK0 发表时间：2020-09-30