问

S5120s ACL还是没有解决哦？感谢提点

2021-02-07提问

0关注
1收藏，1117浏览

蜀天下

蜀天下一段

粉丝：2人关注：2人

问题描述：

怎么限制VLAN 11下的PC，只以允许某个地址192.168.2.90-99访问 VPN接口(VLAN 2或INT45)，意思只允部份走VPN.

组网及组网描述：

对齐方式

靠左
居中
靠右

5120S配置下

vlan 1

vlan 2

vlan 9 to 21

vlan 100

dhcp server ip-pool v11

network 192.168.2.0 mask 255.255.255.0

gateway-list 192.168.2.1

dns-list 61.139.2.69

expired day 3

interface Vlan-interface1

ip address dhcp-alloc client-identifier mac Vlan-interface1

interface Vlan-interface2

ip address 192.1.1.6 255.255.255.252

interface Vlan-interface15

ip address 192.168.6.2 255.255.255.0

interface Vlan-interface11

ip address 192.168.2.1 255.255.255.0 #

interface Vlan-interface15

ip address 192.168.6.2 255.255.255.0

interface GigabitEthernet1/0/1 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address # interface GigabitEthernet1/0/2 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address # interface GigabitEthernet1/0/3 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address # interface GigabitEthernet1/0/4 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address # interface GigabitEthernet1/0/5 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address # interface GigabitEthernet1/0/6 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address # interface GigabitEthernet1/0/7 port access vlan 11 dhcp-snooping information enable dhcp-snooping check mac-address #

interface GigabitEthernet1/0/45 这是去VPN接口

port access vlan 2

interface GigabitEthernet1/0/47 这是上外网接口

description TO U200-M

port access vlan 15 #

ip route-static 0.0.0.0 0.0.0.0 192.168.6.1

ip route-static 10.10.2.0 255.255.255.0 192.1.1.5

ip route-static 192.168.1.0 255.255.255.0 192.1.1.5

dhcp server forbidden-ip 192.168.2.1 192.168.2.100

3 个回答

按时间按赞数

得闲饮茶013

得闲饮茶013 九段

粉丝：135人关注：6人

您好，请知：

vlan 11下的IP不是192.168.2.0网段的,且不明确2.0网段在网络中的位置，因此临时给出参考如下配置命令：

acl basic 2000

rule 0 permit source 192.168.2.90 0

rule 1 permit source 192.168.2.91 0

rule 2 permit source 192.168.2.92 0

rule 3 permit source 192.168.2.93 0

rule 4 permit source 192.168.2.94 0

rule 5 permit source 192.168.2.95 0

rule 6 permit source 192.168.2.96 0

rule 7 permit source 192.168.2.97 0

rule 8 permit source 192.168.2.98 0

rule 9 permit source 192.168.2.99 0

quit

int vlan 11

packet-filter 2000 inbound

packet-filter 2000 outbound

quit

感谢，明天上传个接线图

蜀天下发表时间：2021-02-07 更多>>

rule 9 permit source 192.168.2.99 0 quit int vlan 11 packet-filter 2000 inbound packet-filter 2000 outbound 这样，99 没有法走互联网了

蜀天下发表时间：2021-02-07

您是在有IPSEC VPN的环境下吗？

得闲饮茶013 发表时间：2021-02-07

rule 0 deny source 192.168.2.106 0 destination 192.1.1.5 255.255.255.252 interface Vlan-interface11 ip address 192.168.2.1 255.255.255.0 packet-filter 2001 inbound 这样无效果，还是可以通，，，packet-filter 2000 outbound 无法执行

蜀天下发表时间：2021-02-07

90-99不走NAT转换，就走IPSEC VPN？

得闲饮茶013 发表时间：2021-02-07

192.1.1.5是电信的入口，它路由到子公司网络上

蜀天下发表时间：2021-02-07

具体网络拓扑图是怎么样的呢？

得闲饮茶013 发表时间：2021-02-07

我不是很董，应不是lpset vpn，两端电信分别给了两个地址（一个是192.1.1.1 另一个是192.1.1.5），接在三层交换机上，相互路由，两公司的网就通了

蜀天下发表时间：2021-02-07

感谢，明天上传个接线图

蜀天下发表时间：2021-02-07