目前新加VLAN 60,不想让他上外网怎么设置?
对齐方式
(0)
最佳答案
目录
本案例适用于如S5130-28F-WiNet、S5500V2-24P-WiNet、S5500V2-48P-WiNet等的V7交换机,V5、V7交换机具体分类及型号可以参考“1.1 Comvare V5、V7平台交换机分类说明”。
对于未匹配ACL规则的报文,包过滤功能采取允许通过的动作。
Host A和其它主机通过端口GigabitEthernet 1/0/1接入交换机,Host A的IP地址为10.1.1.1。要求通过配置ACL,实现在GigabitEthernet1/0/1端口上拒绝Host A发送的报文通过,允许来自其它主机的报文通过。
# 创建IPv4基本ACL 2000,配置拒绝源IP地址为10.1.1.1的报文通过的规则。
[H3C] acl basic 2000
[H3C-acl-ipv4-basic-2000] rule deny source 10.1.1.1 0
[H3C-acl-ipv4-basic-2000] quit
说明:如果acl number 2000无法写上去的话可能是由于交换机的软件版本不同导致,此时修改为acl basic 2000的写法就可以了。
# 配置包过滤功能,应用IPv4基本ACL 2000对端口GigabitEthernet1/0/1收到的IPv4报文进行过滤。
[H3C] interface gigabitethernet 1/0/1
[H3C-GigabitEthernet1/0/1] packet-filter 2000 inbound
# 执行display packet-filter命令查看包过滤功能的应用状态。
[H3C] display packet-filter interface GigabitEthernet 1/0/1
Interface: GigabitEthernet1/0/1
In-bound Policy:
acl 2000, Successful
上述信息显示GigabitEthernet1/0/1端口上已经正确应用了包过滤功能。
在除HostA的其它主机上以图中右侧任意一台服务器为目的进行ping操作,返回正常应答信息;在HostA上执行此操作返回请求超时信息,在所有主机上执行此操作均能返回正常应答信息。
[H3C]save force
(0)
看具体型号和组网
如典型三层组网
互联网-F100-C-G2- S5500V2-34S-EI -接入交换机-终端
S5500V2-34S-EI新增了VLAN 60
只要F100-C-G2侧不添加回程路由或者不添加对应NAT功能
新增的VLAN 60是无法上网的
或者实在想在S5500V2-34S-EI上做可通过ACL方式来规避
(0)
请问ACL我该如何做呢,我是个小白。谢谢
看具体型号的 可参考以下S5500V2-EI的ACL配置指导 https://www.h3c.com/cn/d_202008/1319747_30005_0.htm
您好,请知:
关于不让60网段上外网的问题,以下是部署的方法,请参考:
1、如果有需求内网的互通,可以在出口设备上使用ACL来指定特定的网段参与NAT转换,60网段的使用deny拒绝。
2、如果没有需求实现内网互通,或者部分不能互通,可使用ACL来限制,并出口设备上使用ACL来指定特定的网段参与NAT转换,60网段的使用deny拒绝即可。
3、如果直接不允许60网段互通出来,直接不发布路由,或者部署ACL拒绝60网段访问所有即可。
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
三层交换机所有网段统一下一跳127.0.0.1,127.0.0.1下一跳0.0.0.0然后到防火墙路由。所以没法在路由上做
路由上删除回来的路由就行了啊 你看下防火墙上的路由