备案控制台
开发者社区 云计算 文章 正文

路由与交换系列高级IP ACL特性与配置实验

2022-11-25 283
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： ? 掌握高级 IP ACL的原理? 掌握ACL在企业网络中的应用? 掌握高级IP ACL的配置方式? 掌握高级IP ACL的验证效果

高级IP ACL特性与配置实验


1.1【实验目的】

? 掌握高级 IP ACL的原理

? 掌握ACL在企业网络中的应用

? 掌握高级IP ACL的配置方式

? 掌握高级IP ACL的验证效果


1.2【实验环境】

华为ENSP模拟器

实验拓扑图如下图所示。



1.3【实验过程及实验结果】


1.地址配置

IP地址规划表

设备名称

设备接口

IP

网关

所属VLAN

STP服务器

E0/0/1

192.168.20.100/24

192.168.20.1/24



私有服务器

E0/0/2

192.168.20.200/24

PC1

E0/0/1

10.20.30.10/24

10.20.30.1/24

VLAN30

PC2

E0/0/1

10.20.60.10/24

10.20.60.1/24

VLAN60

PC3

E0/0/2

10.20.60.20/24

10.20.60.1/24

VLAN60

Client 1

E0/0/2

10.20.30.30/24

10.20.30.1/24

VLAN30

Client 2

E0/0/3

10.20.60.30/24

10.20.60.1/24

VLAN60

AR1

G0/0/2

172.16.20.1/24














G0/0/0

10.20.80.2/24


G0/0/1

10.20.100.2/24


AR2

G0/0/0

172.16.20.2/24


G0/0/1

192.168.20.1/24


LSW1

E0/0/1

10.20.30.1/24

VLAN30

E0/0/2

E0/0/5

10.20.80.1/24

VLAN 1

LSW2

E0/0/1

10.20.60.1/24

VLAN60

E0/0/2

E0/0/3

E0/0/5

10.20.100.1/24

VLAN 1



2.IP编址与基本配置

给所有路由器配置IP地址信息。


AR1

[AR1]int G0/0/0

[AR1-GigabitEthernet0/0/0]ip address 10.20.80.2 24

[AR1-GigabitEthernet0/0/0]int G0/0/1

[AR1-GigabitEthernet0/0/1]ip address 10.20.100.2 24

[AR1-GigabitEthernet0/0/1]int G0/0/2

[AR1-GigabitEthernet0/0/2]ip address 172.16.20.1 24

[AR1-GigabitEthernet0/0/2]q


AR2

[AR2]int G0/0/0

[AR2-GigabitEthernet0/0/0]ip address 172.16.20.2 24

[AR2-GigabitEthernet0/0/0]int G0/0/1

[AR2-GigabitEthernet0/0/1]ip address 192.168.20.1 24

[AR2-GigabitEthernet0/0/1]q




3.在LSW1和LSW2中配置VLAN

LSW1

[LSW1]vlan 30

[LSW1-vlan30]description Jack20-Local_VLAN30

[LSW1-vlan30]q

[LSW1]

[LSW1]int vlan 30

[LSW1-Vlanif30]ip add 10.20.30.1 24

[LSW1-Vlanif30]int vlan 1

[LSW1-Vlanif1]ip add 10.20.80.1 24

[LSW1-Vlanif1]int e0/0/1

[LSW1-Ethernet0/0/1]port link-type access

[LSW1-Ethernet0/0/1]port default vlan 30

[LSW1-Ethernet0/0/1]int e0/0/2

[LSW1-Ethernet0/0/2]port link-type access

[LSW1-Ethernet0/0/2]port default vlan 30

[LSW1-Ethernet0/0/2]int e0/0/5

[LSW1-Ethernet0/0/5]port link-type trunk

[LSW1-Ethernet0/0/5]port trunk allow-pass vlan all

[LSW1-Ethernet0/0/5]q



LSW2

[LSW2]vlan 60

[LSW2-vlan60]description Jack20-Local_VLAN60

[LSW2-vlan60]q

[LSW2]

[LSW2]int vlan 60

[LSW2-Vlanif60]ip add 10.20.60.1 24

[LSW2-Vlanif60]int vlan 1

[LSW2-Vlanif1]ip add 10.20.100.1 24

[LSW2-Vlanif1]int e0/0/1

[LSW2-Ethernet0/0/1]port link-type access

[LSW2-Ethernet0/0/1]port default vlan 60

[LSW2-Ethernet0/0/1]int e0/0/2

[LSW2-Ethernet0/0/2]port link-type access

[LSW2-Ethernet0/0/2]port default vlan 60

[LSW2-Ethernet0/0/2]int e0/0/3

[LSW2-Ethernet0/0/3]port link-type access

[LSW2-Ethernet0/0/3]port default vlan 60

[LSW2-Ethernet0/0/3]int e0/0/5

[LSW2-Ethernet0/0/5]port link-type trunk

[LSW2-Ethernet0/0/5]port trunk allow-pass vlan all

[LSW2-Ethernet0/0/5]q


配置完成后，观察各设备的VLAN表

LSW2

从以上输出可以看到，创建的两个VLAN的端口绑定，Access和Trunk情况，以及给不同VLAN划分时的命名情况



4.在设备中添加OSPF配置

LSW1

[LSW1]ospf

[LSW1-ospf-1]area 0

[LSW1-ospf-1-area-0.0.0.0]net 10.20.30.0 0.0.0.255

[LSW1-ospf-1-area-0.0.0.0]net 10.20.80.0 0.0.0.255

[LSW1-ospf-1-area-0.0.0.0]q

[LSW1-ospf-1]q




LSW2

[LSW2]ospf

[LSW2-ospf-1]area 0

[LSW2-ospf-1-area-0.0.0.0]net 10.20.60.0 0.0.0.255

[LSW2-ospf-1-area-0.0.0.0]net 10.20.100.0 0.0.0.255

[LSW2-ospf-1-area-0.0.0.0]q

[LSW2-ospf-1]q



AR1

[AR1]ospf

[AR1-ospf-1]area 0

[AR1-ospf-1-area-0.0.0.0]net 172.16.20.0 0.0.0.255

[AR1-ospf-1-area-0.0.0.0]net 10.20.100.0 0.0.0.255

[AR1-ospf-1-area-0.0.0.0]net 10.20.80.0 0.0.0.255

[AR1-ospf-1-area-0.0.0.0]q

[AR1-ospf-1]q



AR2

[AR2]ospf

[AR2-ospf-1]area 0

[AR2-ospf-1-area-0.0.0.0]net 172.16.20.0 0.0.0.255

[AR2-ospf-1-area-0.0.0.0]net 192.168.20.0 0.0.0.255

[AR2-ospf-1-area-0.0.0.0]q

[AR2-ospf-1]q



配置完成后，观察各设备的路由表，分别查看：交换机LSW1、LSW2；路由器AR1、AR2

（1） LSW1

（2） LSW2


（3） AR1

（4） AR2

5.在AR1中配置高级IP ACL

在AR1中配置两条高级IP ACL一条使得VLAN 60中的所有TCP传输设备不能访问私有服务器，只有VLAN60可以访问；另一条使得VLAN 30中的所有TCP传输设备不能访问SFTP服务器，只有VLAN60可以访问


AR1

[AR1]acl 3000

[AR1-acl-adv-3000]rule deny tcp source 10.20.30.0 0.0.0.255 destination 192.168.20.100 0 destination-port eq 21

[AR1-acl-adv-3000]rule deny tcp source 10.20.60.0 0.0.0.255 destination 192.168.20.200 0

[AR1-acl-adv-3000]rule permit ip

[AR1-acl-adv-3000]q

[AR1]

[AR1]int g0/0/0

[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

[AR1-GigabitEthernet0/0/0]int g0/0/1

[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

[AR1-GigabitEthernet0/0/1]q



配置完成后，验证通讯情况

（1） 使用client1登录SFTP服务器&私有服务器

登录私有服务器


从以上两次连接可以看出VLAN 30中的所有TCP传输设备不能访问SFTP服务器，只能访问私有服务器


（2） 使用client2登录SFTP服务器&私有服务器

登录SFTP服务器

登录私有服务器


从以上两次连接可以看出VLAN 60中的所有TCP传输设备不能访问SFTP服务器，只能访问私有服务器


（3） 测试PC机与服务器间通讯

从以上两个不同VLAN主机的连接测试中可以看出可以成功的访问远端的两台服务器，因为其传输是通过ICMP报文的形式，所以不会受到两条高级IP ACL的影响，至此说明两条高级IP ACL配置正确。



文章标签：
网络协议
网络架构
网络虚拟化
Jack20
目录
相关文章
知孤云出岫
|
1天前
|
安全 网络虚拟化 网络架构
配置通过流策略实现不同网段间限制互访示例
MQC是指通过将具有某类共同特征的报文划分为一类，并为同一类报文提供相同的服务，也可以对不同类的报文提供不同的服务。 高级ACL可以在规则中使用源IP地址和目的IP地址信息来定义允许和拒绝通过的数据流。在流分类中按照ACL对报文进行分类，并指定对匹配的报文采取的动作（允许或拒绝通过）。本例就是使用该方法实现不同网段间的互访限制。
知孤云出岫
28 6
恬0917
|
11月前
|
数据安全/隐私保护 网络架构
基础和高级的ACL的基础配置和原理
基础和高级的ACL的基础配置和原理
恬0917
54 0
恬0917
|
11月前
|
数据安全/隐私保护
基础和高级的ACL的基础配置和原理2
基础和高级的ACL的基础配置和原理2
恬0917
49 0
释然IT杂谈1
|
网络协议 网络虚拟化 数据安全/隐私保护
华为—DHCP（中继）、路由引入，ACL综合实验
华为—DHCP（中继）、路由引入，ACL综合实验
释然IT杂谈1
272 1
华为—DHCP（中继）、路由引入，ACL综合实验
Jack20
|
网络协议 网络虚拟化 网络架构
路由与交换系列高级IP ACL特性与配置实验二
? 掌握高级 IP ACL的原理 ? 掌握ACL在企业网络中的应用 ? 掌握高级IP ACL的配置方式 ? 掌握高级IP ACL的验证效果
Jack20
186 1
Jack20
|
安全 物联网 网络虚拟化
路由与交换系列之基本IP ACL特性与配置
? 掌握基本IP ACL的原理 ? 掌握ACL在企业网络中的应用 ? 掌握基本IP ACL的配置方式 ? 掌握基本IP ACL的验证效果
Jack20
4197 8
路由与交换系列之基本IP ACL特性与配置
Jack20
|
网络协议 网络虚拟化 数据安全/隐私保护
路由与交换系列之NAPT特性与配置实践
? 掌握NAPT的原理 ? 掌握NAPT在企业网络中的应用 ? 掌握NAPT的配置方式
Jack20
2815 1
路由与交换系列之NAPT特性与配置实践
河北稳控科技
|
网络协议 物联网
DFP 数据转发协议应用实例 4.修改网络中指定设备的参数
稳控科技编写的一套数据转发规则， 取自“自由转发协议 FFP（Free Forward Protocol）” ，或者 DFP（DoubleF Protocol）， DF 也可以理解为 Datas Forward（数据转发）的缩写。DF 协议是与硬件接口无关的数据链路层协议，规定了数据流如何在不同设备之间、不同接口之间的传输方向。 DF 协议一般用于延长数字接口的传输距离（数据中继），它与硬件接口类型无关，可以基于 UART、 LoRA、TCP 等异步数据传输介质。
河北稳控科技
79 0
DFP 数据转发协议应用实例 4.修改网络中指定设备的参数
Python-派大星
|
网络虚拟化
VLAN原理和配置，交换机创建vlan的多种方法、三种接口模式的作用和配置方法、Access、Trunk、Hybrid接口的特性以及配置方法和命令
VLAN原理和配置，交换机创建vlan的多种方法、三种接口模式的作用和配置方法、Access、Trunk、Hybrid接口的特性以及配置方法和命令、以及如何将接口划分到vlan的方法，和管理通行数据的管理方法和命令voice vlan作用。.........
Python-派大星
592 0
VLAN原理和配置，交换机创建vlan的多种方法、三种接口模式的作用和配置方法、Access、Trunk、Hybrid接口的特性以及配置方法和命令
A-刘晨阳
|
网络协议 Linux
Linux网络管理之ip命令 – 显示与操作路由
ip命令用来显示或操纵Linux主机的路由、网络设备、策略路由和隧道，是Linux下较新的功能强大的网络配置工具。
A-刘晨阳
186 0
Linux网络管理之ip命令 – 显示与操作路由

热门文章

最新文章

  • 1
    CVE-2017-9805:Struts2 REST插件远程执行命令漏洞(S2-052) 分析报告
  • 2
    MySQL数据库重命名的方法
  • 3
    流言终结者- Flutter和RN谁才是更好的跨端开发方案？
  • 4
    阿里云播放器SDK的正确打开方式 | 功能、架构与应用（一）
  • 5
    Zabbix icmping外网检测(学习笔记十二)
  • 6
    求24点
  • 7
    UIKit 框架之UIImageView
  • 8
    【iOS开发】自动识别剪贴板内容
  • 9
    IOS设计模式第三篇之外观设计模式
  • 10
    轻松制作Windows Vista/Windows 7系统WIM镜像
  • 1
    如果使用已经到达 End of life 的 Angular 版本会遇到什么问题
    21
  • 2
    印刷文字识别产品使用合集之部署失败如何解决
    21
  • 3
    印刷文字识别产品使用合集之API接口无法调用如何解决
    21
  • 4
    什么是计算机图形领域的 color saturation
    25
  • 5
    mvp架构
    21
  • 6
    dex、vdex、.odex与.oat
    26
  • 7
    java调用kotlin代码编译报错“找不到符号”的问题
    16
  • 8
    印刷文字识别产品使用合集之身份证识别接口有哪些
    18
  • 9
    Build was configured to prefer settings repositories over project repositories but repository
    16
  • 10
    Java注解之编译时注解
    16

    • 相关课程

    更多
  • Linux高级网络应用 - 网络管理与配置实战

    • 相关电子书

    更多
  • 《用管控策略设定多账号组织全局访问边界》
  • 《Pulsar 2.8.0 功能特性概述及规划》
  • 又快又稳：阿里云下一代虚拟交换机解析

    • 相关实验场景

    更多
  • 通过会话管理端口转发功能访问ECS内部服务
  • 函数计算进阶-IP查询工具开发
    • 下一篇
    2024年阿里云免费云服务器及学生云服务器申请教程参考
    http://www.vxiaotou.com