三层交换机下禁止不同vlan之间相互访问该如何实现

通过在vlanif接口套用packet-filter绑定acl来实现

参考

交换机限制网段之间互访配置案例

1、 需求：限制内网员工电脑PC1：192.168.1.2网段不能去访问财务的电脑PC2：192.168.10.2网段。

2、 配置思路：通过在网关设备上运用包过滤防火墙，定义一个ACL来拒绝员工网段访问财务的网段数据流量，实现两个网段不能互相通信。（测试设备为V7交换机）

1) 基本联通性调试

<H3C>sys //进入系统配置视图

System View: return to User View with Ctrl+Z.

[H3C]interface Vlan-interface 1 //创建VLAN1网段的网关

[H3C-Vlan-interface1]ip address 192.168.1.1 24 //配置网关地址

[H3C-Vlan-interface1]quit

[H3C]interface Vlan-interface 10 //创建VLAN10网段的网关

[H3C-Vlan-interface10]ip address 192.168.10.1 24 //配置网关地址

[H3C-Vlan-interface10]quit

PC1去ping主机PC2测试联通性，已经能够正常通信：

<pc1>ping 192.168.10.2

Ping 192.168.10.2 (192.168.10.2): 56 data bytes, press CTRL_C to break

56 bytes from 192.168.10.2: icmp_seq=0 ttl=254 time=8.584 ms

56 bytes from 192.168.10.2: icmp_seq=1 ttl=254 time=1.048 ms

56 bytes from 192.168.10.2: icmp_seq=2 ttl=254 time=1.090 ms

56 bytes from 192.168.10.2: icmp_seq=3 ttl=254 time=1.009 ms

56 bytes from 192.168.10.2: icmp_seq=4 ttl=254 time=1.052 ms

2) 配置包过滤防火墙来让PC1无法ping通主机PC2

[H3C]acl advanced 3000 //创建高级ACL3000（V7交换机这样创建）

[H3C]acl number 3000 //创建高级ACL3000（V5交换机这样创建）

[H3C-acl-ipv4-adv-3000] rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 //定义规则deny目的网段是192.168.10.0网段流量

[H3C-acl-ipv4-adv-3000]quit

[H3C]interface Vlan-interface 1 //进入VLAN1网关接口下

[H3C-Vlan-interface1]packet-filter 3000 inbound //在接口入方向过滤

[H3C-Vlan-interface1]quit

此时PC1去ping主机PC2测试联通性，不能正常通信，过滤动作生效了。

<pc1>ping 192.168.10.2

Ping 192.168.10.2 (192.168.10.2): 56 data bytes, press CTRL_C to break

Request time out

Request time out

Request time out

Request time out

Request time out

您好，请知：

可以配置高级ACL来实现，以下是配置举例：

1.5  ACL典型配置举例

1. 组网需求

·     某公司内的各部门之间通过Device A实现互连，该公司的工作时间为每周工作日的8点到18点。

·     通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

2. 组网图

图1-1 ACL典型配置组网图

3. 配置步骤

# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

<DeviceA> system-view

[DeviceA] time-range work 08:0 to 18:00 working-day

# 创建IPv4高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

[DeviceA] acl number 3000

[DeviceA-acl-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

[DeviceA-acl-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work

[DeviceA-acl-adv-3000] rule deny ip source any destination 192.168.0.100 0

[DeviceA-acl-adv-3000] quit

# 应用IPv4高级ACL 3000对接口FortyGigE1/0/1出方向上的报文进行过滤。

[DeviceA] interface fortygige 1/0/1

[DeviceA-FortyGigE1/0/1] packet-filter 3000 outbound

[DeviceA-FortyGigE1/0/1] quit

4. 验证配置

配置完成后，在各部门的PC（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在Device A上可以使用display acl命令查看ACL的配置和运行情况。例如在工作时间：

# 在财务部的PC上检查到财务数据库服务器是否可达。

C:\> ping 192.168.0.100

Pinging 192.168.0.100 with 32 bytes of data:

Reply from 192.168.0.100: bytes=32 time=1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 1ms, Average = 0ms

由此可见，财务部的PC能够在工作时间访问财务数据库服务器。

# 在市场部的PC上检查财务数据库服务器是否可达。

C:\> ping 192.168.0.100

Pinging 192.168.0.100 with 32 bytes of data:

Request timed out.

Request timed out.

Request timed out.

Request timed out.

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可见，市场部的PC不能在工作时间访问财务数据库服务器。

# 查看IPv4高级ACL 3000的配置和运行情况。

[DeviceA] display acl 3000

Advanced ACL  3000, named -none-, 3 rules,

ACL's step is 5

 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

 rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (Active)

 rule 10 deny ip destination 192.168.0.100 0

由此可见，由于目前是工作时间，因此规则5是生效的。