九-路由器交换应用与验结.pdfVIP

槐

路由交换（九）-路由器交ACL的应用

由浅入深系列换

与经验总结

1ACL概述

随着网络规模的扩大和流量的增加，对的控制和对带宽的分配成为网络管理的重要内容。通过对报文进行过滤，可以有

效防止用户对网络的，同时也可以控制流量，节约网络资源。ACL（AccessControList，l控制列表）即是通过配

置对报文的匹配规则和处理操作来实现滤的功能。模拟器（支持USG、无线ACAP)【可

点击】

当

资料尽在网络空间;【把学习做生活，每天都在进步】

企业实战课程系列思科H3C路由器交换机无线【推荐】

ACL通过一系列的匹配条件对报文进行分类，这些条件可以是报文的源MAC地址、目的MAC地址、源IP地址、目的IP地

址、端等。

2案例背景[交换机]

网络环境拓扑如下（客户端接入交换机约有几十个，所有设备均采用静态IP）

槐

//

企业实战课程系列思科H3C路由器交换机路由器交换机无线【推荐】

服务器区所有服务器网关均在交换机上，共有9个Vlan，9个网段分别如下；

Vlan10-Vlan11网段分别为10.0.10.0/24-10.0.11.0/24

Vlan14-Vlan19网段分别为10.0.14.0/24-10.0.19.0/24

交换机管理Vlan为Vlan1:10.0.13.0/24，交换机的管理ip为10.0.13.254，其余接入交换机网关均在交换机上；

客户端共有8个Vlan，分别为Vlan20-Vlan100，网段分别为10.0.20.0/24-10.0.100.0/24，网关均在交换机上；

槐

3需求一：对服务器区服务器做安全防护，只允许客户端服务器某些端口

由于网络环境拓扑为客户端——客户端接入交换机——交换机————服务器接入交换机——服务器，

也即客户端服务器需要通过，所以对服务器的防护应该放到上来做，因为若用交换机来做过滤，配置麻烦且失

去了应有的作用（此处不做配置介绍）；

4需求二：交换机只允许固定管理员通过ssh登陆

此处做防护有较为方便的俩种方法

一：在所有交换机配置VTY时，调用ACL只允许源为网络管理员的IP，但此方法虽配置不复杂，但是配置工作量较大需

要在所有交换机上配置，而且不灵活例如在网络管理员人员或者IP变迁时，需要重新修改所有交换机ACL，所以并不是首选方

案；

二：因为管理交换机管理Vlan与所有客户端Vlan不在同一Vlan，也即客户端接入交换机必须通过

交换机，所以可以在交换机上做ACL来控制客户端访对接入交换机的，交换机的通过VTY来调用ACL；配置

部分在下面；

5需求三：客户VLAN之间不能互相