H3C 5560
- 0关注
- 1收藏，721浏览
问题描述：
关于Vlan隔离的问题
组网及组网描述：
如图我有这么多vlan
DHCP
静态路由如下
我现在vlan之间都可以相互ping通对方的网关和主机，
1.我现在想vlan 300不能ping通其他vlan段，但要能上网
2.如何给交换机一个地址，用于访问交换机web界面，我现在访问任何vlan 网关都可以访问到交换机的web界面，我想给这个交换机配一个固定的IP。10.12.80.251，然后允许10.12.80.0段进行访问，其他的拒绝
- 2021-05-31提问
- 举报
-
(0)
您好，请知：
1.我现在想vlan 300不能ping通其他vlan段，但要能上网
答：可以配置高级ACL来对VLAN 300的ICMP包进行拦截，以下是参考命令：
acl ad 3000
rule 1 deny icmp source 192.168.100.0 0.0.0.255
rule 1 permit any
quit
int vlan 300
packet-filter 300 inbound
packet-filter 300 outbound
2.如何给交换机一个地址，用于访问交换机web界面，我现在访问任何vlan 网关都可以访问到交换机的web界面，我想给这个交换机配一个固定的IP。10.12.80.251，然后允许10.12.80.0段进行访问，其他的拒绝
答：也可以使用ACL来指定允许特定IP登录交换机WEB，以下是参考命令：
acl basic 2000
rule 0 permit source 10.12.80.0 0.0.0.255
quit
ip http acl 2000
ip https acl 2000
- 2021-05-31回答
- 评论(18)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
大佬10.12.80.251这个地址要怎么分配给交换机
我看到你VLAN 100已经是10.12.80.0/24的IP地址段了，修改VLAN 100的IP就可以了
我好像懂你的意思了，但还有一个问题，我有两台5560现在堆叠了，以后想ssh进5560—2要怎么操作
堆叠以后，可以看做只是一台设备，不管远程进那台设备，都是同一台的。
还有一个小问题，rule 1 permit any 这句命令用不了 INTEGER<0-255> Protocol number gre GRE tunneling (47) icmp Internet Control Message Protocol (1) igmp Internet Group Management Protocol (2) ip Any IP protocol ipinip IP in IP tunneling (4) ospf OSPF routing protocol (89) tcp Transmission Control Protocol (6) udp User Datagram Protocol (17)
那就试下rule 1 permit ip source any destination any
特定IP这条好像有点问题 我现在Ip 10.12.80.2无法访问10.12.80.251 251是vlan100的地址
这个VLAN 地址存在吗？PING测试看下通不通。
56 bytes from 10.12.80.251: icmp_seq=0 ttl=255 time=0.268 ms
那可能是ACL生效了。这样的话你就要在ACL内添加这个IP进去
懂了，缓存的问题，清理一下浏览器缓存就行了，感谢大佬
感谢支持！
大佬，我昨天按你的设置vlan300，但现在vlan300端口无法获取到dhcp
interface Vlan-interface300 description Guest vlan ip address 192.168.100.1 255.255.252.0 packet-filter 3000 inbound packet-filter 3000 outbound
[h3c-01]acl number 3000 [h3c-01-acl-adv-3000]rule 1 deny icmp source 192.168.100.0 0.0.0.255 [h3c-01-acl-adv-3000]rule 1 permit ip source any destination any
[h3c-01]dis acl 3000 Advanced ACL 3000, named -none-, 1 rule, ACL's step is 5 rule 1 permit ip
感觉是acl 3000的规则有问题吧
找到问题了dhcp是上游有同一个网段，acl3000应该也有点问题