acl策略

您好，请知：

可以使用高级ACL来实现，以下是配置参考命令：

[SW1]acl advanced 3000

[SW1-acl-ipv4-adv-3000]rule 0 permit ip source 172.16.10.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]rule 1 permit ip source 172.16.20.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]rule 3 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]rule 4 deny ip source 172.16.20.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]quit

[SW1]int gi 1/0/1

[SW1-GigabitEthernet1/0/1]packet-filter 3000 outbound

[SW1-GigabitEthernet1/0/1]quit

您好，在对应网段的网关上做过滤实现，

有两种：QOS和packet-filter都可以实现：

重点是acl规则如何写：

rule  permit ip sourc x.x.x.x 0 des X.X.X.X 0    //x.x.x.x代表运行的地址，X.X.X.X地表服务器地址，有地址可以访问，写几条；

rule  deny ip des X.X.X.X 0   //X.X.X.X是服务器地址，将其他地址访问服务器流量拒绝

rule  permit ip   放通其他所有流量。

其他参考配置方法：

  流量过滤配置举例

1. 组网需求

Host通过端口GigabitEthernet1/0/1接入设备Device。

配置流量过滤功能，对端口GigabitEthernet1/0/1接收的源端口号等于21的TCP报文进行丢弃。

2. 组网图

图6-1 配置流量过滤组网图

3. 配置步骤

# 定义高级ACL 3000，匹配源端口号等于21的数据流。

<DeviceA> system-view

[DeviceA] acl number 3000

[DeviceA-acl-adv-3000] rule 0 permit tcp source-port eq 21

[DeviceA-acl-adv-3000] quit

# 定义类classifier_1，匹配高级ACL 3000。

[DeviceA] traffic classifier classifier_1

[DeviceA-classifier-classifier_1] if-match acl 3000

[DeviceA-classifier-classifier_1] quit

# 定义流行为behavior_1，动作为流量过滤（deny），对数据包进行丢弃。

[DeviceA] traffic behavior behavior_1

[DeviceA-behavior-behavior_1] filter deny

[DeviceA-behavior-behavior_1] quit

# 定义策略policy，为类classifier_1指定流行为behavior_1。

[DeviceA] qos policy policy

[DeviceA-qospolicy-policy] classifier classifier_1 behavior behavior_1

[DeviceA-qospolicy-policy] quit

# 将策略policy应用到端口GigabitEthernet1/0/1的入方向上。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] qos apply policy policy inbound

应用IPv4 ACL进行报文过滤配置举例

1. 组网需求

要求通过在Device A的端口GigabitEthernet1/0/1上配置IPv4报文过滤功能，实现在每天的8点到18点期间只允许Host A访问互联网，并以10分钟为周期记录IPv4报文过滤的日志信息并输出至控制台。

2. 组网图

图1-2 应用IPv4 ACL进行报文过滤配置组网图

3. 配置步骤

# 创建名为study的时间段，其时间范围为每天的8点到18点。

<DeviceA> system-view

[DeviceA] time-range study 8:0 to 18:0 daily

# 创建IPv4基本ACL 2009，并制订如下规则：在名为study的时间段内只允许来自Host A的报文通过、禁止来自其它IP地址的报文通过，且在这些规则中对允许通过的报文记录日志信息。

[DeviceA] acl number 2009

[DeviceA-acl-basic-2009] rule permit source 192.168.1.2 0 time-range study logging

[DeviceA-acl-basic-2009] rule deny source any time-range study

[DeviceA-acl-basic-2009] quit

# 配置IPv4报文过滤日志的生成与发送周期为10分钟。

[DeviceA] acl logging frequence 10

# 配置系统信息的输出规则，将级别为informational的日志信息输出至控制台。

[DeviceA] info-center source default channel 0 log level informational

# 应用IPv4基本ACL 2009对端口GigabitEthernet1/0/1入方向上的报文进行过滤。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] packet-filter 2009 inbound

[DeviceA-GigabitEthernet1/0/1] quit