在安全域间实例上应用包过滤的ACL典型配置举例.pdfVIP

1.组网需求

某公司内的各部门之间通过Device实现互连，总裁办、财务部和市场部分别属



于President域、Finance域和Market域。该公司的工作时间为每周工作日的8

点到18点。

通过在安全域间实例上配置包过滤，允许总裁办在任意时间、财务部在工作时



间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问

该服务器。

2.组网图

图1-1ACL典型配置组网图

3.配置步骤

#将接口GigabitEthernet1/0/1加入Server域。

Devicesystem-view

[Device]security-zonenameServer

[Device-security-zone-Server]importinterfacegigabitethernet1/0/1

[Device-security-zone-Server]quit

#将接口GigabitEthernet1/0/2加入President域。

[Device]security-zonenamePresident

[Device-security-zone-President]importinterfacegigabitethernet1/0/2

[Device-security-zone-President]quit

#将接口GigabitEthernet1/0/3加入Finance域。

[Device]security-zonenameFinance

[Device-security-zone-Finance]importinterfacegigabitethernet1/0/3

[Device-security-zone-Finance]quit

#将接口GigabitEthernet1/0/4加入Market域。

[Device]security-zonenameMarket

[Device-security-zone-Market]importinterfacegigabitethernet1/0/4

[Device-security-zone-Market]quit

#创建名为work的时间段，其时间范围为每周工作日的8点到18点。

[Device]time-rangework08:00to18:00working-day

#创建IPv4高级ACL3000，允许总裁办在任意时间访问财务数据库服务器。

[Device]aclnumber3000

[Device-acl-adv-3000]rulepermitipsource192.168.1.00.0.0.255

destination192.168.0.1000

[Device-acl-adv-3000]quit

#创建IPv4高级ACL3001，允许财务部在工作时间访问财务数据库服务器。

[Device]aclnumber3001

[Device-acl-adv-3000]rulepermitipsource192.168.2.00.0.0.255

destination192.168.0.1000time-rangework

[Device-acl-adv-3000]quit

#创建IPv4高级ACL3002，禁止其它部门在任何时间访问财务数据库服务器。

[Device]aclnumber3002

[Device-acl-adv-3000]ruledenyipsourceanydestination192.168.0.100

0

[Device-acl-adv-3000]quit

#创建域间实例(源域为President、目的域为Server)，并在该域间实例上引用

ACL3000进行包过滤。

[Device]zone-pairsecuritysourcepresidentdestinationserver

[Device-zone-pair-security-President-Server]packet-filter3000

[Device-zone-pair-security-President-Serve