华为数通学习(九)-华为路由器交换ACL的应用与经验总结.pdfVIP

博客地址 /1914756383/ 华为路由交换由浅入深系列（九）-华为路由器交换ACL的应用 与经验总结 1ACL 概述 随着网络规模的扩大和流量的增加，对网络安全的控制和对带宽的分配成为网络管理的重要内容。通过对报文进行过滤，可以有 效防止非法用户对网络的访问，同时也可以控制流量，节约网络资源。ACL （Access Control List，访问控制列表）即是通过配 置对报文的匹配规则和处理操作来实现包过滤的功能。 更多资料访问尽在网络之路空间; 【把学习当做生活，每天都在进步】 /1914756383/ http://U/KUCqX2 ACL 通过一系列的匹配条件对报文进行分类，这些条件可以是报文的源 MAC 地址、目的 MAC 地址、源IP 地址、目的IP 地 址、端口号等。 2案例背景[交换机] 网络环境拓扑如下（客户端接入交换机约有几十个，所有设备均采用静态IP） QQ邮件订阅 http://U/KUCqX2 博客地址 /1914756383/ 服务器区所有服务器网关均在核心交换机上，共有9 个Vlan ，9 个网段分别如下； Vlan10-Vlan11 网段分别为/24-/24 Vlan14-Vlan19 网段分别为/24-/24 交换机管理Vlan 为Vlan1: /24，核心交换机的管理ip 为54，其余接入交换机网关均在核心交换机上； 客户端共有8 个Vlan ，分别为Vlan20-Vlan100 ，网段分别为/24-/24，网关均在核心交换机上； 3 需求一：对服务器区服务器做安全防护，只允许客户端访问服务器某些端口 QQ邮件订阅 http://U/KUCqX2 博客地址 /1914756383/ 由于网络环境拓扑为客户端——客户端接入交换机——核心交换机——防火墙——服务器接入交换机——服务器， 也即客户端访问服务器需要通过防火墙，所以对服务器的防护应该放到防火墙上来做，因为若用交换机来做过滤，配置麻烦且失 去了防火墙应有的作用（此处不做防火墙配置介绍）； 4 需求二：交换机只允许固定管理员通过ssh 登陆 此处做防护有较为方便的俩种方法 一：在所有交换机配置VTY 时，调用ACL 只允许源为网络管理员的IP 访问，但此方法虽配置不复杂，但是配置工作量较大需 要在所有交换机上配置，而且不灵活例如在网络管理员人员或者IP 变迁时，需要重新修改所有交换机ACL ，所以并不是首选方 案； 二：因为管理交换机管理Vlan 与所有客户端Vlan 不在同一Vlan ，也即客户端访问接入交换机必须通过核心 交换机 ，所以可以在核心交换机上做ACL 来控制客户端访对接入交换机的访问 ，核心交换机的访问通过VTY来调用ACL ；配置 部分在下面； 5 需求三：客户端VLAN 之间不能互相访问，客户端只允许访问服务器VLAN 一 ：在核心交换机上的所有链接客户端接入交换机端口做ACL ，只放行访问服务器的流量 ，拒绝其余流量 ，但由于客户端接入交 换机约有几十台，所以配置工作量大几十个端口都需要配置，所以也不是首选方案； 二：在核心交换机上的客户端Vlan 做Acl ，只放行访问服务器的流量，拒绝其余流量，由于客户端Vlan 共有8 个所以相对于 在物理接口上做ACL 而言，工作量较小，所以选择此方案； 6 配置部分 6.1ACL 配置部分 acl number2000 QQ邮件订阅 http://U/KUCqX2 博客地址 /1914756383/ rule5permitsource 10 rule10permitsource 50 rule15deny //定义允许访问核心交换机的俩位网络管理员IP 地址； acl number3000 rule51permitipdestination 55 rule53permitipdestination 55 rule55permitipdestination 55 rule56permitipdestination 55 rule57permitipdestinati