三层交换机配置ACL(访问控制列表)

三层交换机配置ACL(访问控制列表)三层交换机配置ACL(访问控制列表)三层交换机配置ACL(访问控制列表)xxx公司三层交换机配置ACL(访问控制列表)文件编号：文件日期：修订次数：第1.0次更改批准审核制定方案设计，管理制度三层交换机配置ACL（访问控制列表）说明：书本上讲述的ACL主要是应用在路由器上，但现在三层交换机在大中型企业中的应用越来越广泛，三层交换机因拥有路由器的功能而逐渐代替路由器。ACL访问控制列表是构建安全规范的网络不可缺少的，但在三层交换机上配置ACL却不为一些刚进企业的初级网络管理维护人员所知。在这里我介绍一下在三层交换机上配置ACL的试验过程。

试验拓扑介绍：三层交换机上配置本地Vlan实现下层接入层交换机不同Vlan互通。PC1VLANPC2VLANPC3VLANPC4VLANF0/1（开启路由功能）路由器上配置F0/0PC5F0/1试验步骤：1、在二层交换机上把相应的PC加入VLAN查看交换机Switch0Switch0(config)#showrun！interfaceFastEthernet0/1switchportaccessvlan2!interfaceFastEthernet0/2switchportaccessvlan3!查看交换机Switch1Switch1#showrun!interfaceFastEthernet0/3switchportaccessvlan4!interfaceFastEthernet0/4switchportaccessvlan5!2、在三层交换机上配置相应的本地VALNSwitch(config)#intervl2Switch(config-if)#ipaddSwitch(config-if)#noshutSwitch(config)#intervl3Switch(config-if)#ipaddSwitch(config-if)#noshutSwitch(config)#intervl4Switch(config-if)#ipaddSwitch(config-if)#noshutSwitch(config)#intervl5Switch(config-if)#ipaddSwitch(config-if)#noshutSwitch(config-if)#exi在接口itnerfacef0/1上开启路由接口Switch(config)#interf0/1Switch(config-if)#noswitchport3、在二层交换机和三层交换机之间开启中继链路4、在路由器和三层交换机上配置动态路由协议RIPRouter（config）#routerripRouter（config）#networkRouter（config）#network三层交换机上配置Switch(config)#routerripSwitch(config-router)#neSwitch(config-router)#networkSwitch(config-router)#networkSwitch(config-router)#networkSwitch(config-router)#networkSwitch(config-router)#networkSwitch(config-router)#5、验证各PC互通PC>pingPingingwith32bytesofdata:Requesttimedout.Replyfrom:bytes=32time=110msTTL=126Replyfrom:bytes=32time=110msTTL=126Replyfrom:bytes=32time=125msTTL=126Pingstatisticsfor:Packets:Sent=4,Received=3,Lost=1(25%loss),Approximateroundtriptimesinmilli-seconds:Minimum=110ms,Maximum=125ms,Average=115msPC>pingPingingwith32bytesofdata:Replyfrom:bytes=32time=94msTTL=126Replyfrom:bytes=32time=125msTTL=126Replyfrom:bytes=32time=125msTTL=126Replyfrom:bytes=32time=109msTTL=126Pingstatisticsfor:Packets:Sent=4,Received=4,Lost=0(0%loss),Approximateroundtriptimesinmilli-seconds:Minimum=94ms,Maximum=125ms,Average=113ms6、在三层交换机上配置ACL注意如果设置不同VALN的PC之间不能互通，则应用的接口应为VLAN对应的本地Llan接口。设置PC1不能ping通PC3和PC4Switch(config)#access-list10denyhost应用于接口Switch(config)#intervl4Switch(config-if)#ipaccess-group10outSwitch(config-if)#exiSwitch(config)#intervl5Switch(config-if)#ipaccess-group10outSwitch(config-if)#或者是Switch(config)#intervl2Switch(config-if)#ipaccess-group10inSwitch(config-if)#（注上：此处ACL应用于接口，从PC1到PC3和PC4，数据流走向是经过三层交换机上配置的本地Vlan2接口进入，再从三层交换机上配置的本地Vlan4出去到达PC3，从本地Vlan5出去到达PC4。所以在配置ACL时应注意访问控制列表应用于哪儿接口！）7、验证：PC1不能ping通PC3和PC4PC>pingPingingwith32bytesofdata:Requesttimedout.Requesttimedout.Pingstatisticsfor:Packets:Sent=3,Received=0,Lost=3(100%loss),Control-C^CPC>pingPingingwith32bytesofdata:Requesttimedout.Requesttimedout.Requesttimedout.Requesttimedout.容易发生的错误分析：可能在学习的时候只是学习了如何在路由器上配置ACL，而不知道在三层交换机上也能配置ACL。或许有些同学在三层交换机上各接口开启路由接口模式，就把三层交换机当作路由器来配置，虽说三层交换机有路由器的功能，但是一些协议运用起来还是和路由器有差别的。就比如说这个试验在三层交换机的下连接口f0/5和f0/6上开启路由接口模式，结果是不配置AC