参考案例

通过IP地址过滤流量典型配置举例

5.1  组网需求

如图3所示，某公司的网络分成管理部、研发部和服务器三个区域，通过Device设备与Internet连接。现要求通过ACL实现：

·     管理部任意时间都可以访问Internet和服务器，但不能访问研发部；

·     研发部在工作时间（周一至周五的8:30～18:00）只能访问服务器，不能访问Internet和管理部；非工作时间可以访问Internet和服务器，但不能访问管理部。

图3 通过IP地址过滤流量配置组网图

5.2  配置思路

·     为实现管理部不能访问研发部，需要创建ACL配置规则拒绝目的地址为10.1.2.0/24的报文，在Device的Ten-GigabitEthernet1/0/4的入方向进行过滤；

·     为实现研发部在工作时间只能访问服务器，需要创建ACL配置规则只允许目的地址为10.2.1.0/24的报文通过，并指定规则的生效时间段，在Device的Ten-GigabitEthernet1/0/3的入方向上进行过滤；

·     为实现研发部在非工作时间不能访问管理部，需要创建ACL配置规则拒绝目的地址为10.1.1.0/24的报文，在Device的Ten-GigabitEthernet1/0/3的入方向上进行过滤；

·     缺省情况下，ACL规则的匹配顺序为配置顺序，因此在此例中，需要先创建指定时间段内只允许目的地址为10.2.1.0/24报文通过的规则，再创建指定时间段内拒绝其他报文通过的规则。

5.3  配置步骤

(1)     配置管理部的网络权限

# 创建IPv4高级ACL 3000。

<Device> system-view

[Device] acl advanced 3000

# 创建规则，过滤目的地址为10.1.2.0/24网段的报文。

[Device-acl-ipv4-adv-3000] rule deny ip destination 10.1.2.0 0.0.0.255

[Device-acl-ipv4-adv-3000] quit

# 配置包过滤功能，应用IPv4高级ACL 3000对端口Ten-GigabitEthernet1/0/4收到的IP报文进行过滤。

[Device] interface ten-gigabitethernet 1/0/4

[Device-Ten-GigabitEthernet1/0/4] packet-filter 3000 inbound

[Device-Ten-GigabitEthernet1/0/4] quit

(2)     配置研发部的网络权限

# 配置时间段worktime，指定周一至周五的8:30～18:00为工作时间。

[Device] time-range worktime 8:30 to 18:00 working-day

# 创建IPv4高级ACL 3001。

[Device] acl advanced 3001

# 创建规则，允许时间段内目的地址为10.2.1.0/24网段的报文通过。

[Device-acl-ipv4-adv-3001] rule permit ip destination 10.2.1.0 0.0.0.255 time-range worktime

# 创建规则，过滤时间段内其他的报文。

[Device-acl-ipv4-adv-3001] rule deny ip time-range worktime

# 创建规则，过滤目的地址为10.1.1.0/24网段的报文。

[Device-acl-ipv4-adv-3001] rule deny ip destination 10.1.1.0 0.0.0.255

[Device-acl-ipv4-adv-3001] quit

# 配置包过滤功能，应用IPv4高级ACL 3001对端口Ten-GigabitEthernet1/0/3收到的IP报文进行过滤。

[Device] interface ten-gigabitethernet 1/0/3

[Device-Ten-GigabitEthernet1/0/3] packet-filter 3001 inbound

[Device-Ten-GigabitEthernet1/0/3] quit

5.4  验证配置

# 执行display packet-filter命令查看包过滤功能的应用状态。

[Device] display packet-filter interface inbound

Interface: Ten-GigabitEthernet1/0/3

 Inbound policy:

  IPv4 ACL 3001

Interface: Ten-GigabitEthernet1/0/4

 Inbound policy:

  IPv4 ACL 3000

上述信息显示Ten-GigabitEthernet1/0/3和Ten-GigabitEthernet1/0/4端口上已经正确应用了包过滤功能。

# 在周一的上午9:30，从研发部的某台电脑上ping Internet上某个网站，结果无法ping通。

C:\>ping ***.***

Pinging ***.*** [173.194.127.242] with 32 bytes of data:

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Ping statistics for 173.194.127.242:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 30ms, Maximum = 30ms, Average = 30ms

C:\>

# 在周一的上午9:30，从管理部的某台电脑上ping Internet上某个网站，结果可以ping通。

C:\>ping ***.***

Pinging ***.*** [173.194.127.242] with 32 bytes of data:

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Ping statistics for 173.194.127.242:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 30ms, Maximum = 30ms, Average = 30ms

C:\>

# 在周一的晚上19:30，从研发部的某台电脑上ping Internet上某个网站，结果可以ping通。

C:\>ping ***.***

Pinging ***.*** [173.194.127.242] with 32 bytes of data:

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Reply from 173.194.127.242: bytes=32 time=30ms TTL=50

Ping statistics for 173.194.127.242:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 30ms, Maximum = 30ms, Average = 30ms

C:\>

5.5  配置文件

#

interface Ten-GigabitEthernet1/0/3

 port link-mode bridge

 packet-filter 3001 inbound

#

interface Ten-GigabitEthernet1/0/4

 port link-mode bridge

 packet-filter 3000 inbound

#

 time-range worktime 08:30 to 18:00 working-day

#

acl advanced 3000

 rule 0 deny ip destination 10.1.2.0 0.0.0.255

#

acl advanced 3001

 rule 0 permit ip destination 10.2.1.0 0.0.0.255 time-range worktime

 rule 5 deny ip time-range worktime

 rule 10 deny ip destination 10.1.1.0 0.0.0.255