VLAN间限制通讯

交换机限制网段之间互访配置案例

1、 需求：限制内网员工电脑PC1：192.168.1.2网段不能去访问财务的电脑PC2：192.168.10.2网段。

（组网图）

2、 配置思路：通过在网关设备上运用包过滤防火墙，定义一个ACL来拒绝员工网段访问财务的网段数据流量，实现两个网段不能互相通信。（测试设备为V7交换机）

1) 基本联通性调试

<H3C>sys //进入系统配置视图

System View: return to User View with Ctrl+Z.

[H3C]interface Vlan-interface 1 //创建VLAN1网段的网关

[H3C-Vlan-interface1]ip address 192.168.1.1 24 //配置网关地址

[H3C-Vlan-interface1]quit

[H3C]interface Vlan-interface 10 //创建VLAN10网段的网关

[H3C-Vlan-interface10]ip address 192.168.10.1 24 //配置网关地址

[H3C-Vlan-interface10]quit

PC1去ping主机PC2测试联通性，已经能够正常通信：

<pc1>ping 192.168.10.2

Ping 192.168.10.2 (192.168.10.2): 56 data bytes, press CTRL_C to break

56 bytes from 192.168.10.2: icmp_seq=0 ttl=254 time=8.584 ms

56 bytes from 192.168.10.2: icmp_seq=1 ttl=254 time=1.048 ms

56 bytes from 192.168.10.2: icmp_seq=2 ttl=254 time=1.090 ms

56 bytes from 192.168.10.2: icmp_seq=3 ttl=254 time=1.009 ms

56 bytes from 192.168.10.2: icmp_seq=4 ttl=254 time=1.052 ms

2) 配置包过滤防火墙来让PC1无法ping通主机PC2

[H3C]acl advanced 3000 //创建高级ACL3000（V7交换机这样创建）

[H3C]acl number 3000 //创建高级ACL3000（V5交换机这样创建）

[H3C-acl-ipv4-adv-3000] rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 //定义规则deny目的网段是192.168.10.0网段流量

[H3C-acl-ipv4-adv-3000]quit

[H3C]interface Vlan-interface 1 //进入VLAN1网关接口下

[H3C-Vlan-interface1]packet-filter 3000 inbound //在接口入方向过滤

[H3C-Vlan-interface1]quit

此时PC1去ping主机PC2测试联通性，不能正常通信，过滤动作生效了。

<pc1>ping 192.168.10.2

Ping 192.168.10.2 (192.168.10.2): 56 data bytes, press CTRL_C to break

Request time out

Request time out

Request time out

Request time out

Request time out