怎么配置192.168.1.1限制访问16.165.1.3

1 配置需求或说明

1.1  适用产品系列

本案例适用于如 S7006、S7503E、S7506E、S7606、S10510、 S10508等S7000、S7500E、S10500系列 的 V7交换机，V5、V7交换机具体分类及型号可以参考“1.1 Comware V5、V7平台交换机分类说明”。

1.2  配置需求

公司将交换机做为核心交换机，现在在核心交换机上划分2个VLAN网段，VLAN 10和VLAN 20。PC1属于VLAN 10，PC2属于VLAN20，要求VLAN 10和VLAN 20之间不能互相访问。

2 组网图

3 配置步骤

3.1接口配置及vlan划分

<H3C>system-view      //进入系统视图

System View: return to User View with Ctrl+Z.

[H3C]vlan 10    //创建vlan 10

[H3C]quit     //退出当前视图

[H3C I]vlan 20     //创建vlan20

[H3C]quit     //退出当前视图

[H3C]int g1/0/10     //进入g1/0/10接口

[H3C-GigabitEthernet1/0/10]port access vlan 10     //将g1/0/10接入划入vlan10

[H3C -GigabitEthernet1/0/10]quit     //退出当前视图

[H3C]int vlan 10     //创建vlan10虚接口

[H3C-Vlan-interface10]ip add 192.168.10.1 24     //配置接口IP地址为192.168.10.1，掩码为24位

[H3C-Vlan-interface10]quit     //退出当前视图

[H3C]int g1/0/20     //进入g1/0/20接口

[H3C-GigabitEthernet1/0/20]port access vlan 20     //将接口划入vlan20

[H3C-GigabitEthernet1/0/20]quit     //退出当前视图

[H3C]int vlan 20     //创建vlan20虚接口

[H3C-Vlan-interface20]ip add 192.168.20.1 24     //配置接口IP地址为192.168.20.1，掩码为24位

[H3C-Vlan-interface20]quit     //退出当前视图

3.2创建包过滤策略

[H3C]acl advanced 3000     //创建3000的高级访问控制列表

[H3C-acl-ipv4-adv-3000]rule 0 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255      //创建规则拒绝源地址是192.168.10.0，通配符为0.0.0.255的终端访问目的地址是192.168.20.0，通配符为0.0.0.255的终端

[H3C-acl-ipv4-adv-3000]rule 5 permit ip     //创建全放通的规则

[H3C-acl-ipv4-adv-3000]quit     //退出当前视图

[H3C]int vlan 10     //进入vlan10的虚接口

[H3C-Vlan-interface10] packet-filter 3000 inbound     //在该接口的入方向调用acl 3000的包过滤策略

[H3C-Vlan-interface10]quit     //退出当前视图

[H3C]save force     //保存配置

3.3验证配置

1）电脑配置地址或者自动获取地址

接交换机10口的电脑地址为192.168.10.2

接交换机20口的电脑地址为192.168.20.2

第一阶段调试（基础网络配置）：

SW1：

SW1：

sys

System View: return to User View with Ctrl+Z.

[H3C]sysname SW1

[SW1]int loopback 0

[SW1-LoopBack0]ip address 1.1.1.1 32

[SW1-LoopBack0]quit

[SW1]router id 1.1.1.1

[SW1]vlan 10

[SW1-vlan10]quit

[SW1]vlan 20

[SW1-vlan20]quit

[SW1]int vlan 10

[SW1-Vlan-interface10]ip address 172.16.10.1 24

[SW1-Vlan-interface10]quit

[SW1]int vlan 20

[SW1-Vlan-interface20]ip address 172.16.20.1 24

[SW1-Vlan-interface20]quit

[SW1]int gi 1/0/2

[SW1-GigabitEthernet1/0/2]port link-type access

[SW1-GigabitEthernet1/0/2]port access vlan 10

[SW1-GigabitEthernet1/0/2]quit

[SW1]int gi 1/0/3

[SW1-GigabitEthernet1/0/3]port link-type access

[SW1-GigabitEthernet1/0/3]port access vlan 20

[SW1-GigabitEthernet1/0/3]quit

[SW1]int gi 1/0/1

[SW1-GigabitEthernet1/0/1]port link-mode route

[SW1-GigabitEthernet1/0/1]des

[SW1-GigabitEthernet1/0/1]ip address 10.0.0.1 30

[SW1-GigabitEthernet1/0/1]quit

[SW1]ospf 1 router-id 1.1.1.1

[SW1-ospf-1]area 0.0.0.0

[SW1-ospf-1-area-0.0.0.0]network 10.0.0.1 0.0.0.0

[SW1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0

[SW1-ospf-1-area-0.0.0.0]network 172.16.10.0 0.0.0.255

[SW1-ospf-1-area-0.0.0.0]network 172.16.20.0 0.0.0.255

[SW1-ospf-1-area-0.0.0.0]quit

[SW1-ospf-1]quit

[SW1]

R1：

sys

System View: return to User View with Ctrl+Z.

[H3C]sysname R1

[R1]int gi 0/0

[R1-GigabitEthernet0/0]des

[R1-GigabitEthernet0/0]ip address 10.0.0.2 30

[R1-GigabitEthernet0/0]quit

[R1]int gi 0/1

[R1-GigabitEthernet0/1]ip address 192.168.1.1 24

[R1-GigabitEthernet0/1]quit

[R1]int gi 0/2

[R1-GigabitEthernet0/2]ip address 192.168.2.1 24

[R1-GigabitEthernet0/2]quit

[R1]int loopback 0

[R1-LoopBack0]ip address 2.2.2.2 32

[R1-LoopBack0]quit

[R1]router id 2.2.2.2

[R1]ospf 1 router-id 2.2.2.2

[R1-ospf-1]area 0.0.0.0

[R1-ospf-1-area-0.0.0.0]network 10.0.0.2 0.0.0.0

[R1-ospf-1-area-0.0.0.0]network 2.2.2.2 0.0.0.0

[R1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255

[R1-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255

[R1-ospf-1-area-0.0.0.0]quit

[R1-ospf-1]quit

第一阶段测试：

所有PC都填写IP地址，且都能互通：

第二阶段调试（高级ACL关键配置点）：

SW1：

[SW1]acl advanced 3000

[SW1-acl-ipv4-adv-3000]rule 0 permit ip source 172.16.10.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]rule 1 permit ip source 172.16.20.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]rule 3 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]rule 4 deny ip source 172.16.20.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[SW1-acl-ipv4-adv-3000]quit

[SW1]int gi 1/0/1

[SW1-GigabitEthernet1/0/1]packet-filter 3000 outbound

[SW1-GigabitEthernet1/0/1]quit

第二阶段测试：

VLAN 10的终端能PING通server1，无法Ping通server2：

Vlan 20的终端能PING通server2，PING不通server1：

Server1能PING通VLAN 10的终端，PING不通VLAN 20的终端：

Server2能PING通VLAN 20的终端，PING不通VLAN 10的终端：

查看ACL的匹配情况：

至此，高级ACL典型组网配置案例已完成！