问

交换机vlan间acl怎么隔离访问

VLAN

5小时前提问

0关注
0收藏，43浏览

zhiliao_6AsvNb

zhiliao_6AsvNb 零段

粉丝：0人关注：0人

问题描述：

组网中有三个vlan，vlan10网关是192.168.10.1/24 vlan20网关是192.168.2.1/24 vlan30 网关是192.168.3.1/24

要求vlan10能访问vlan11和vlan20 .但是vlan20 vlan30不让访问vlan10

大佬求助下，怎么做能达到要求

3 个回答

按时间按赞数

Sun

Sun 一段

粉丝：0人关注：0人

可以参考这个

接口配置及vlan划分

<H3C>system-view //进入系统视图

System View: return to User View with Ctrl+Z.

[H3C]vlan 10 //创建vlan 10

[H3C]quit //退出当前视图

[H3C I]vlan 20 //创建vlan20

[H3C]quit //退出当前视图

[H3C]int g1/0/10 //进入g1/0/10接口

[H3C-GigabitEthernet1/0/10]port access vlan 10 //将g1/0/10接入划入vlan10

[H3C -GigabitEthernet1/0/10]quit //退出当前视图

[H3C]int vlan 10 //创建vlan10虚接口

[H3C-Vlan-interface10]ip add 192.168.10.1 24 //配置接口IP地址为192.168.10.1，掩码为24位

[H3C-Vlan-interface10]quit //退出当前视图

[H3C]int g1/0/20 //进入g1/0/20接口

[H3C-GigabitEthernet1/0/20]port access vlan 20 //将接口划入vlan20

[H3C-GigabitEthernet1/0/20]quit //退出当前视图

[H3C]int vlan 20 //创建vlan20虚接口

[H3C-Vlan-interface20]ip add 192.168.20.1 24 //配置接口IP地址为192.168.20.1，掩码为24位

[H3C-Vlan-interface20]quit //退出当前视图

3.2创建包过滤策略

[H3C]acl advanced 3000 //创建3000的高级访问控制列表

[H3C-acl-ipv4-adv-3000]rule 0 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 //创建规则拒绝源地址是192.168.10.0，通配符为0.0.0.255的终端访问目的地址是192.168.20.0，通配符为0.0.0.255的终端

[H3C-acl-ipv4-adv-3000]rule 5 permit ip //创建全放通的规则

[H3C-acl-ipv4-adv-3000]quit //退出当前视图

[H3C]int vlan 10 //进入vlan10的虚接口

[H3C-Vlan-interface10] packet-filter 3000 inbound //在该接口的入方向调用acl 3000的包过滤策略

[H3C-Vlan-interface10]quit //退出当前视图

[H3C]save force //保存配置

zhiliao_6AsvNb

zhiliao_6AsvNb 知了小白

粉丝：0人关注：0人

不行的，这种的能控制不让互相访问，我这个需要是不让vlan20和30访问vlan10，但vlan10要访问vlan20和30

回复Sun:

大神就是这样的，还能在请教个问题吗，如果交换机不支持established规则，还能实现我说的这种吗

zhiliao_6AsvNb 发表时间：4小时前 更多>>

system-view vlan 10 quit vlan 20 quit vlan 30 quit interface Vlan-interface10 ip address 192.168.10.1 255.255.255.0 quit interface Vlan-interface20 ip address 192.168.2.1 255.255.255.0 quit interface Vlan-interface30 ip address 192.168.3.1 255.255.255.0 quit acl advanced 3100 rule 0 permit tcp source 192.168.2.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 established rule 5 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 10 permit tcp source 192.168.3.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 established rule 15 deny ip source 192.168.3.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 rule 20 permit ip quit interface Vlan-interface20 packet-filter 3100 inbound quit interface Vlan-interface30 packet-filter 3100 inbound quit save force 此配置允许VLAN10发起的连接得到VLAN20和VLAN30的响应（通过established规则），但直接阻止VLAN20和VLAN30向VLAN10发起新连接，满足单向访问需求。

Sun 发表时间：4小时前

回复Sun:

大神就是这样的，还能在请教个问题吗，如果交换机不支持established规则，还能实现我说的这种吗

zhiliao_6AsvNb 发表时间：4小时前