一、拓扑
二、需求
内网网关在核心交换机,ACG1000设备作为出口。要求内网网段vlan100中终端PC1 172.16.100.4(8c-16-45-5d-88-e6)不能访问淘宝和斗鱼,其他网站不做限制,其他终端不做限制。
三、配置思路
(1)方法一:使用终端mac地址控制
1、因为ACG作为网关则可以直接学习到终端的真实mac地址,无需配置SNMP同步(跨三层mac学习)。
2、acg创建本地用户,绑定终端真实mac地址8c-16-45-5d-88-e6
3、配置URL对象组,包含禁止访问的域名
4、配置IPV4控制策略,匹配上述用户,通过URL过滤模块进行控制,其他终端可配置控制策略放行,或配置控制策略默认动作为允许
(2)方法二:使用终端ip地址控制
1、配置URL对象组,包含禁止访问的域名
2、配置IPV4控制策略,源地址匹配包含要限制的IP的IP地址对象组,通过URL过滤模块进行控制,其他终端可配置控制策略放行,或配置控制策略默认动作为允许
四、配置步骤
(1) 方法一:使用终端mac地址控制
1、ACG针对上述终端添加本地用户,名为url控制,绑定终端mac地址
2、配置URL对象组,包含禁止访问的域名
3、ACG设备配置控制策略,匹配条件中选中用户”URL限制”,随后URL过滤模块中创建一条规则:访问“禁止的网站”为拒绝。
(2)方法二:使用IP地址控制
1、配置URL对象组,包含禁止访问的域名
2、配置一个IP地址对象组,名为“URL限制的终端”,添加要做限制的终端ip
3、ACG设备配置控制策略,匹配条件中选中源地址”URL限制的终端”,随后URL过滤模块中创建一条规则:访问“禁止的网站”为拒绝。
五、配置验证
1、PC1访问淘宝、斗鱼失败
2、PC1访问百度、京东成功
1、因为ACG作为网关则可以直接学习到终端的真实mac地址,无需配置SNMP同步(跨三层mac学习)。
2、控制策略按照从上到下显示的顺序匹配,默认动作为允许
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作