交换机典型访问控制列表配置实例

1、交换机典型访问控制列表配置实例一 、组网需求：1通过配置基本访问控制列表，实现在每天8:0018:00时间段内对源ip为10.1.1.2主机发出报文的过滤；2要求配置高级访问控制列表，禁止研发部门与技术支援部门之间互访，并限制研发部门在上班时间8:00至18:00访问工资查询服务器；3通过二层访问控制列表，实现在每天8:0018:00时间段内对源mac为00e0-fc01-0101的报文进行过滤。二、组网图三、 配置步骤： h3c 3600 5600  5100系列交换机典型访问控制列表配置共用配置1根据组网图，创建四个vlan，对应加入各个端口<h3c>sys

2、tem-viewh3cvlan 10 h3c-vlan10port gigabitethernet 1/0/1 h3c-vlan10vlan 20 h3c-vlan20port gigabitethernet 1/0/2 h3c-vlan20vlan 20 h3c-vlan20port gigabitethernet 1/0/3 h3c-vlan20vlan 30 h3c-vlan30port gigabitethernet 1/0/3 h3c-vlan30vlan 40 h3c-vlan40port gigabitethernet 1/0/4 h3c-vlan40quit2配置各vlan虚接

3、口地址h3cinterface vlan 10 h3c-vlan-interface10ip address 10.1.1.1 24 h3c-vlan-interface10quith3cinterface vlan 20 h3c-vlan-interface20ip address 10.1.2.1 24 h3c-vlan-interface20quith3cinterface vlan 30 h3c-vlan-interface30ip address 10.1.3.1 24 h3c-vlan-interface30quith3cinterface vlan 40 h3c-vlan-int

4、erface40ip address 10.1.4.1 24 h3c-vlan-interface40quit3定义时间段h3c time-range huawei 8:00 to 18:00 working-day需求1配置（基本acl配置）1进入2000号的基本访问控制列表视图h3c-gigabitethernet1/0/1 acl number 20002定义访问规则过滤10.1.1.2主机发出的报文h3c-acl-basic-2000 rule 1 deny source 10.1.1.2 0 time-range huawei3在接口上应用2000号aclh3c-acl-basic-

5、2000 interface gigabitethernet1/0/1h3c-gigabitethernet1/0/1 packet-filter inbound ip-group 2000h3c-gigabitethernet1/0/1 quit需求2配置（高级acl配置）1进入3000号的高级访问控制列表视图h3c acl number 30002定义访问规则禁止研发部门与技术支援部门之间互访h3c-acl-adv-3000rule 1 deny ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 3定义访问规则禁止研发部

6、门在上班时间8:00至18:00访问工资查询服务器h3c-acl-adv-3000 rule 2 deny ip source any destination 129.110.1.2 0.0.0.0 time-range huaweih3c-acl-adv-3000 quit4在接口上用3000号aclh3c-acl-adv-3000 interface gigabitethernet1/0/2h3c-gigabitethernet1/0/2 packet-filter inbound ip-group 3000需求3配置（二层acl配置）1进入4000号的二层访问控制列表视图h3c acl

7、number 40002定义访问规则过滤源mac为00e0-fc01-0101的报文h3c-acl-ethernetframe-4000 rule 1 deny source 00e0-fc01-0101 ffff-ffff-ffff time-range huawei3在接口上应用4000号aclh3c-acl-ethernetframe-4000 interface gigabitethernet1/0/4h3c-gigabitethernet1/0/4 packet-filter inbound link-group 4000  h3c 5500-si 3610 55

8、10系列交换机典型访问控制列表配置需求2配置1进入3000号的高级访问控制列表视图h3c acl number 30002定义访问规则禁止研发部门与技术支援部门之间互访h3c-acl-adv-3000rule 1 deny ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 3定义访问规则禁止研发部门在上班时间8:00至18:00访问工资查询服务器h3c-acl-adv-3000 rule 2 deny ip source any destination 129.110.1.2 0.0.0.0 time-range huawe

9、ih3c-acl-adv-3000 quit4定义流分类h3c traffic classifier abch3c-classifier-abcif-match acl 3000h3c-classifier-abcquit5定义流行为，确定禁止符合流分类的报文h3c traffic behavior abc h3c-behavior-abc filter denyh3c-behavior-abc quit6定义qos策略，将流分类和流行为进行关联h3cqos policy abc h3c-qospolicy-abc classifier abc behavior abch3c-qospolic

10、y-abc quit7在端口下发qos policyh3c interface g1/1/2 h3c-gigabitethernet1/1/2 qos apply policy abc inbound8补充说明：l        acl只是用来区分数据流，permit与deny由filter确定；l        如果一个端口同时有permit和deny的数据流，需要分别定义流分类和流行为，并在同一qos策略中进行关联；l        qos策略会按照配置顺序将报文和classifier相匹配，当报文和某一个classifier匹配后，执行该classifier所对应的behavior，然后策略执行就结束了，不会再匹配剩下的classifier；l        将qos策略应用到端口后，系统