H3C S5500V2-54S-EI 两个VLAN内PC机的单向访问问题
- 1关注
- 1收藏，805浏览
问题描述：
S5500V2-54S-EI 划分当中的两个VLAN，VLAN10（IP:192.168.10.0，g1/0/10）和VLAN20(IP:192.168.20.0,g1/0/20)，要使VLAN10内PC机能访问VLAN20,让VLAN20内主机不能访问VLAN10内的PC机，也就是两个VLAN内PC机间的单向访问,请问该如何设置才能成功设置单向访问？
要实现的功能：
1、VLAN10内的PC机能访VLAN20内的PC机的所有服务，而VLAN20内的PC机不能访问VLAN10内的PC机
求高手指教下，这个问题，已经困住了一个月了，到现在都无法解决
例：
创建ACL，其中第1条匹配TCP连接请求报文，第2条匹配TCP连接建立报文
[H3C] acl advanced 3100
[H3C-acl-ipv4-adv-3100]rule 0 permit tcp established source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[H3C-acl-ipv4-adv-3100]quit
[H3C]acl advanced 3200
[H3C-acl-ipv4-adv-3200]rule 0 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[H3C-acl-ipv4-adv-3200]quit
#创建流分类，匹配相应的ACL
[H3C]traffic classifier 1
[H3C-classifier-1]if-match acl 3100
[H3C-classifier-1]quit
[H3C]traffic classifier 2
[H3C-classifier-2]if-match acl 3200
#创建流行为，permit TCP连接建立报文，deny从 Vlan 20发送到vlan10的TCP连接建立请求报文
[H3C]traffic behavior 11
[H3C-behavior-11]filter permit
[H3C-behavior-3]quit
[H3C]traffic behavior 22
[H3C-behavior-22]filter deny
#创建Qos策略，关联流分类和流行为
[H3C]qos policy 3
[H3C-qospolicy-3]classifier 1 behavior 11
[H3C-qospolicy-3000]classifier 2 behavior 22
#在Vlan 20端口入方向下发Qos策略
[H3C]interface GigabitEthernet 1/0/20
[H3C-GigabitEthernet1/0/20]qos apply policy 3 inbound
#保存配置
[H3C]save force
- 2019-12-02提问
- 举报
-
(0)
换一种方法实现吧：
实现tcp的单向访问
组网及说明
如图，想要实现msr1不可以telnet访问msr3 msr3能够telnet msr1 （这里以telnet举例）
问题描述
Ping包有直观上的type分别为8和0的 icmp 和 icmp-echo 报文类，通过匹配来实现ping的单向访问，tcp服务可以吗？
如图所示 msr1和msr3设备上都开启了telnet服务，现在想实现msr3可以访问msr1，msr1不能够访问msr3
包过滤调用高级acl可以实现针对于源目ip 源目端口进行匹配，匹配上之后执行动作，高级acl的匹配有什么说法吗？
匹配固定的可以读取的值之后就可以执行动作，permit为放行，deny为禁止！
先看下配置及实现结果，再做详细解释 配置包过滤之前都可以实现telnet
过程分析
配置包过滤之后实现需求
可以看出msr1不可以telnet访问msr3 msr3能够telnet msr1
解决方法
配置包过滤实现需求
解释
高级acl针对于数据进行匹配的时候根据固定的值进行匹配的，比如固定的端口号固定的ip地址，只要不是随机的就可以进行匹配，所以针对于tcp的单向访问是可以实现的，因为tcp有3次握手建立连接，三次握手里面有固定的值如：SYN ACK URG RST PSH FIN，理顺了三次握手会发的报文就可以实现精确的匹配然后执行动作实现过滤！这里的rule 0 per tcp ack 1
就意味着始发者是不能够主动进行访问的，后续在交互报文的时候ACK始终是置1的，都会被放行。
抓包分析能够看出tcp的三次握手步骤，三次握手之后便直接传输数据
Ack置1
- 2019-12-02回答
- 评论(2)
- 举报
-
(0)
这就相当于，10网段可以访问20网段的远程桌面，而20网段访问不了10网段的任何服务，是可以这样理解不
是这样理解，仅对于TCP协议的应用生效。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
这个三层交换机为什么会实现不了单向访问？谢谢啊