如何使用硬件过滤器实现.PDFVIP

使用硬件过滤器实现TCP 单向访问控制 如何使用硬件过滤器实现 TCP 单向访问控制 （适用）AT-8600/8700XL/Rapier i/8800系列交换机 ATC-TS1003 V1.0 2005-11-25 Connecting The IP World Page 1 of 6 使用硬件过滤器实现TCP 单向访问控制 1 概述 本文介绍如何使用硬件过滤器功能实现TCP 单向访问控制。 2 实施需求 实现该功能有以下实施需求： AT-8600/8700XL/Rapier i/8800 系列交换机； 3 实现原理 一个正常的TCP 的连接发起过程如下： 图1 需要实现的访问控制目的为：PC B 可以TCP 访问PC A ，PC A 不能TCP 访问PC B 。 TCP 是一个面向连接的协议，任何一个TCP 连接的发起都必须经历图1 中的过程。要实现上 述的TCP 单向控制，需要禁止PC A 发往PC B 的只含有SYN 标志位的TCP 数据包，但不能禁止 PC A 发往PC B 的既含有SYN 标志位又含有ACK 标志位的TCP 数据包。 Connecting The IP World Page 2 of 6 使用硬件过滤器实现TCP 单向访问控制 4 配置实例实现环境 AT-Rapier 24 i,Software release 2.6.1-13 5 配置 配置实例在如下拓扑结构下实现： 图 2 Rapier 24i 上划分了两个VLAN: VLAN2 和VLAN3 。PC A 和PC B 分别在不同VLAN 中，配置 实例实现效果为：VLAN2 中机器不能TCP 访问VLAN3 中机器，VLAN3 中机器可以TCP 访问 VLAN2 中机器，其它访问不受限制。 Rapier 24i 配置： 实现该配置可以有两种配置方法，实现效果完全相同： 配置1： Connecting The IP World Page 3 of 6 使用硬件过滤器实现TCP 单向访问控制 # # VLAN general configuration create vlan=v2 vid=2 create vlan=v3 vid=3 # # VLAN port configuration # add vlan=2 port=24 add vlan=3 port=1 # # CLASSIFIER general configuration # create class=1 ipsa=/24 ipda=/24 tcpf=syn create class=2 ipsa=/24 ipda=/24 tcpf=ack,syn #创建两条calssifier ：classifier1 对应 VLAN2 至 VLAN3 TCP标志位为SYN 的流量；classifier2 对 应 VLAN2 至 VLAN3 TCP标志位为SYN+ACK 的流量。 # SWITCH (post-VLAN) configuration # add switch hwf class=1 ac=dis add switch hwf class=2 ac=nodrop #添加hwfiler，禁止匹配classifier1 的所有流量，但允许其中匹配classifier2 的流量通过。 Connecting The IP World Page 4 of 6 使用硬件过滤器实现TCP 单向访问控制 # IP configuration # enable ip add ip int=vlan2 ip= mas