H3C S6520-24S-SI + mini s1226 Vlan配置
- 1关注
- 1收藏，1983浏览
问题描述：
核心交换是：H3C S6520-24S-SI
三台二层交换机是：mini s1226 傻瓜型
server area是服务器，直连核心交换机。
想实现：
VLAN10：服务器使用，核心交换机的21-24号口，纯内网，192.168.1.0/24，禁止连接互联网。
VLAN20：办公电脑使用，三个二层交换机(mini s1226)下的设备。192.168.2.0/24，可以访问互联网和VLAN10。
VLAN30：其他设备，三个二层交换机(mini s1226)下的设备。192.168.200.0/24，只能访问互联网。
VLAN20：内部的办公电脑，通过mac地址绑定VLAN10。
VLAN30：接入设备默认分配到VLAN30
额外的问题：
VLAN20到VLAN10可以单向放通吗？VLAN10不可以访问VLAN20。
主要需求是VLAN20通过3389连接VLAN10的服务器。想禁止VLAN10服务器访问VLAN20的客户端。
组网及组网描述：
- 2022-05-07提问
- 举报
-
(0)
最佳答案
在S6520上配置mac vlan加acl就行了。
分别在vlan 10 20 30调用不通的acl策略即可。
- 2022-05-07回答
- 评论(4)
- 举报
-
(0)
可以麻烦给个配置命令吗？ 不太会弄。。。
1、不允许服务器上网，你在ER3108G不配置回指到192.168.10.0网段的路由，这样服务器就上不去网了
2、创建高级ACL
acl advanced 3999
rule 0
permit ip source 192.168.2.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
rule 10
deny ip
int vlan 10
packet-filter 3999 inbound
packet-filter 3999 out
3、内部的办公电脑，通过mac地址绑定VLAN10。-----配置mac-vlan
4、连接vlan30 的电脑上交换机口配置vlan 30
5、不可以单向放通，因为数据通信都是双向的
- 2022-05-07回答
- 评论(4)
- 举报
-
(1)
这个也组网也太诡异了。
应该是做基于ip子网的vlan以及基于mac的vlan。
然后加上控制访问的acl。
然后你那个单通要用特殊的acl（带tcp的标识）。。。。。。
给你个配置指导链接吧，里面有配置举例，照抄就行：
1.基于ip子网的vlan以及基于mac的vlan
https://www.h3c.com/cn/d_202201/1540196_30005_0.htm
2.用acl做包过滤：
https://www.h3c.com/cn/d_202201/1540268_30005_0.htm#_Toc94216699
3.用acl实现tcp单通：
https://zhiliao.h3c.com/Theme/details/67893
- 2022-05-07回答
- 评论(6)
- 举报
-
(1)
感谢感谢。
二层交换机买成傻瓜了啊。。。也不知道该怎么办了。。 主要需求就是 服务器禁止外网连接。 手动确认过的办公电脑可以访问服务器和互联网。 其他设备只能访问互联网。
大佬，acl实现tcp单通 他哪个3389 的应该怎么写呀
rule 0 deny tcp source 192.168.10.0 0.0.0.255 source-port eq 3389 destination-port eq 3389 ack 0
感谢感谢。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
交换机的话一定程度上能实现，但是要完全实现最好是防火墙产品。如果只需求vlan20可能访问vlan10的3389 但vlan10无法主动访问vlan20倒是可以实现。