问题描述：
vlan 如下：
interface Vlan-interface2
ip address 192.1.1.6 255.255.255.252
interface Vlan-interface11
ip address 192.168.2.1 255.255.255.0
interface Vlan-interface12
ip address 192.168.3.1 255.255.255.0
此端口去分公司专线
interface GigabitEthernet1/0/45
port access vlan 2
路由：
ip route-static 192.168.1.0 255.255.255.0 192.1.1.5
问题是只允许IP 192.168.2.100 、101 等 访问192.168.1.0 网络？？？？
组网及组网描述：
- 2021-02-05提问
- 举报
-
(0)
最佳答案
某公司的网络组网如图1-3所示，现要求：
l Switch在工作时间（8:30～18:00）可以接受管理网管工作站（Host A）的Telnet访问，在其余时间则不接受任何Telnet登录请求。
l Switch作为TFTP客户端，只能从11.1.1.100的服务器上获取文件，以保证设备上不会保存未授权的非法文件。
l Switch作为FTP服务器端，只能接受网管工作站的登录请求。
1.3.2 配置思路
在本例中，要实现Telnet/FTP/TFTP功能的访问限制，可以为各功能分别创建ACL，并在每个ACL中配置两条规则，分别为允许特定源IP地址的数据和拒绝所有数据，然后使用各个功能中相应的命令将ACL进行引用即可。
1.3.3 适用产品、版本
产品 | 软件版本 |
S7500E系列以太网交换机 | Release 6100系列，Release 6300系列，Release 6600系列，Release 6610系列 |
S7600系列以太网交换机 | Release 6600系列，Release 6610系列 |
S5800&S5820X系列以太网交换机 | Release 1110，Release 1211 |
CE3000-32F以太网交换机 | Release 1211 |
S5810系列以太网交换机 | Release 1102 |
S5500-EI系列以太网交换机 | Release 2202，Release 2208 |
S5500-EI-D系列以太网交换机 | Release 2208 |
S5500-SI系列以太网交换机 | Release 2202 ，Release 2208 |
S5120-EI系列以太网交换机 | Release 2202，Release 2208 |
S5120-EI-D系列以太网交换机 | Release 1505 |
S5120-SI系列以太网交换机 | Release 1101，Release 1505 |
S5120-LI系列以太网交换机 | Release 1107 |
E552&E528以太网交换机 | Release 1103 |
S3610&S5510系列以太网交换机 | Release 5301，Release 5303，Release 5306，Release 5309 |
S3500-EA系列以太网交换机 | Release 5303，Release 5309 |
S3100V2系列以太网交换机 | Release 5103 |
E126B以太网交换机 | Release 5103 |
1.3.4 配置过程和解释
l 对Telnet登录请求的限制
# 定义周期时间段telnet，时间范围为每个工作日的8:30～18:00。
<Switch> system-view
[Switch] time-range telnet 8:30 to 18:00 working-day
# 定义基本IPv4 ACL 2000，配置两条规则，分别为允许源IP地址为10.1.3.1的报文在工作时间通过以及拒绝源IP地址为任意地址的报文通过。
[Switch] acl number 2000
[Switch-acl-basic-2000] rule permit source 10.1.3.1 0 time-range telnet
[Switch-acl-basic-2000] quit
# 在所有Telnet用户界面下应用ACL 2000，方向为入方向，表示对登录到本设备的Telnet请求进行限制。
[Switch] user-interface vty 0 4
[Switch-ui-vty0-4] acl 2000 inbound
l 对TFTP服务器的访问限制
# 定义基本IPv4 ACL 2001，配置两条规则，分别为允许源IP地址为11.1.1.100的报文通过以及拒绝源IP地址为任意地址的报文通过。
[Switch] acl number 2001
[Switch-acl-basic-2001] rule permit source 11.1.1.100 0
[Switch-acl-basic-2001] quit
# 配置设备只使用ACL来限制可访问的TFTP服务器设备。
[Switch] tftp-server acl 2001
l 对FTP登录请求的限制
# 定义基本IPv4 ACL 2002，配置两条规则，分别为允许源IP地址为10.1.3.1的报文通过以及拒绝源IP地址为任意地址的报文通过。
[Switch] acl number 2002
[Switch-acl-basic-2001] rule permit source 10.1.3.1 0
[Switch-acl-basic-2001] quit
# 开启设备的FTP服务器功能。
[Switch] ftp server enable
# 配置设备使用ACL 2002来限制FTP登录请求。
[Switch] ftp server acl 2002
1.3.5 完整配置
#
ftp server enable
ftp server acl 2002
#
time-range telnet 08:30 to 18:00 working-day
#
acl number 2000
rule 0 permit source 10.1.3.1 0 time-range telnet
acl number 2001
rule 0 permit source 11.1.1.100 0
acl number 2002
rule 0 permit source 10.1.3.1 0
#
tftp-server acl 2001
#
user-interface vty 0 4
acl 2000 inbound
1.3.6 配置注意事项
l 当基本IPv4 ACL的匹配顺序为config时，用户可以修改该ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态；当ACL的匹配顺序为auto时，用户不能修改该ACL中的任何一条已经存在的规则，否则系统会提示错误信息。
l 新创建或修改后的规则不能和已经存在的规则相同，否则会导致创建或修改不成功，系统会提示该规则已经存在。
l 当基本IPv4 ACL的匹配顺序为auto时，新创建的规则将按照“深度优先”的原则插入到已有的规则中，但是所有规则对应的编号不会改变。
l 当基本IPv4 ACL在设备管理功能中被应用后，用户可以随时编辑（增加、删除、修改）ACL中的过滤规则，修改后的过滤规则将立刻生效。
l 在设备管理功能中应用基本IPv4 ACL时，如果报文没有与ACL中的规则匹配，交换机对此类报文采取的动作为deny，即拒绝报文通过。因此，无需配置拒绝报文的规则。
- 2021-02-05回答
- 评论(2)
- 举报
-
(0)
您好，请知：
可以使用高级ACL来实现。
以下是配置案例，请参考：
组网说明：
本案例采用H3C HCL模拟器来模拟高级ACL典型组网配置。服务器在网络拓扑图中已有明确的标识。要求VLAN 10仅能访问server1，VLAN 20仅能访问server2。R1与SW1运行OSPF路由协议。
配置步骤
1、按照网络拓扑图正确配置IP地址
2、SW1与R1运行OSPF路由协议
3、在SW1配置高级ACL，VLAN 10仅能访问server1，VLAN 20仅能访问server2。
配置关键点
第一阶段调试（基础网络配置）：
SW1：
SW1：
System View: return to User View with Ctrl+Z.
[H3C]sysname SW1
[SW1]int loopback 0
[SW1-LoopBack0]ip address 1.1.1.1 32
[SW1-LoopBack0]quit
[SW1]router id 1.1.1.1
[SW1]vlan 10
[SW1-vlan10]quit
[SW1]vlan 20
[SW1-vlan20]quit
[SW1]int vlan 10
[SW1-Vlan-interface10]ip address 172.16.10.1 24
[SW1-Vlan-interface10]quit
[SW1]int vlan 20
[SW1-Vlan-interface20]ip address 172.16.20.1 24
[SW1-Vlan-interface20]quit
[SW1]int gi 1/0/2
[SW1-GigabitEthernet1/0/2]port link-type access
[SW1-GigabitEthernet1/0/2]port access vlan 10
[SW1-GigabitEthernet1/0/2]quit
[SW1]int gi 1/0/3
[SW1-GigabitEthernet1/0/3]port link-type access
[SW1-GigabitEthernet1/0/3]port access vlan 20
[SW1-GigabitEthernet1/0/3]quit
[SW1]int gi 1/0/1
[SW1-GigabitEthernet1/0/1]port link-mode route
[SW1-GigabitEthernet1/0/1]des
[SW1-GigabitEthernet1/0/1]ip address 10.0.0.1 30
[SW1-GigabitEthernet1/0/1]quit
[SW1]ospf 1 router-id 1.1.1.1
[SW1-ospf-1]area 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]network 10.0.0.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]network 172.16.10.0 0.0.0.255
[SW1-ospf-1-area-0.0.0.0]network 172.16.20.0 0.0.0.255
[SW1-ospf-1-area-0.0.0.0]quit
[SW1-ospf-1]quit
[SW1]
R1：
System View: return to User View with Ctrl+Z.
[H3C]sysname R1
[R1]int gi 0/0
[R1-GigabitEthernet0/0]des
[R1-GigabitEthernet0/0]ip address 10.0.0.2 30
[R1-GigabitEthernet0/0]quit
[R1]int gi 0/1
[R1-GigabitEthernet0/1]ip address 192.168.1.1 24
[R1-GigabitEthernet0/1]quit
[R1]int gi 0/2
[R1-GigabitEthernet0/2]ip address 192.168.2.1 24
[R1-GigabitEthernet0/2]quit
[R1]int loopback 0
[R1-LoopBack0]ip address 2.2.2.2 32
[R1-LoopBack0]quit
[R1]router id 2.2.2.2
[R1]ospf 1 router-id 2.2.2.2
[R1-ospf-1]area 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 10.0.0.2 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 2.2.2.2 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]quit
[R1-ospf-1]quit
第一阶段测试：
所有PC都填写IP地址，且都能互通：
第二阶段调试（高级ACL关键配置点）：
SW1：
[SW1]acl advanced 3000
[SW1-acl-ipv4-adv-3000]rule 0 permit ip source 172.16.10.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
[SW1-acl-ipv4-adv-3000]rule 1 permit ip source 172.16.20.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
[SW1-acl-ipv4-adv-3000]rule 3 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
[SW1-acl-ipv4-adv-3000]rule 4 deny ip source 172.16.20.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
[SW1-acl-ipv4-adv-3000]quit
[SW1]int gi 1/0/1
[SW1-GigabitEthernet1/0/1]packet-filter 3000 outbound
[SW1-GigabitEthernet1/0/1]quit
第二阶段测试：
VLAN 10的终端能PING通server1，无法Ping通server2：
Vlan 20的终端能PING通server2，PING不通server1：
Server1能PING通VLAN 10的终端，PING不通VLAN 20的终端：
Server2能PING通VLAN 20的终端，PING不通VLAN 10的终端：
查看ACL的匹配情况：
至此，高级ACL典型组网配置案例已完成！
- 2021-02-05回答
- 评论(6)
- 举报
-
(0)
指定特定IP走特定出口，可以使用策略路由来实现的。
acl number 2001 rule 0 deny source 192.168.2.0 0.0.0.255 interface Vlan-interface2 ip address 192.1.1.6 255.255.255.252 packet-filter 2001 inbound 好像没有什么效要，还是可以访问，
outbond的方向也应用看下。
acl number 3001 rule 0 permit ip source 192.168.2.99 0 destination 192.168.1.0 0.0.0.255 rule 5 deny ip 这样 99 不能访问192.168.1
具体是怎么应用的呢？
interface GigabitEthernet1/0/45 这是VPN的出口，我只想某些IP走这里出去 port access vlan 2 packet-filter 3001 inbound
指定特定IP走特定出口，可以使用策略路由来实现的。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
简单的来说 写一条ACL rule 1 允许101.102 rule 2拒绝所有，调用在vlan接口下面就行了