当前位置：文档之家 › Cisco交换机VLAN之间的ACL配置-电脑资料

Cisco交换机VLAN之间的ACL配置-电脑资料

  • 格式：docx
  • 大小：15.77 KB
  • 文档页数：2

Cisco交换机VLAN之间的ACL配置-电脑资料

VLAN之间的ACL配置 提问：如何禁止VLAN间互相访问？

回答： 步骤一：创建vlan10、vlan20、vlan30 S5750#conf

----进入全局配置模式 S5750（config）#vlan 10 ----创建VLAN10 S5750（config-vlan）#exit ----退出VLAN配置模式 S5750（config）#vlan 20 ----创建VLAN20 S5750（config-vlan）#exit ----退出VLAN配置模式 S5750（config）#vlan 30 ----创建VLAN30 S5750（config-vlan）#exit ----退出VLAN配置模式 步骤二：将端口加入各自vlan

S5750（config）# interface range gigabitEthernet 0/1-5 ----进入gigabitEthernet 0/1-5号端口 S5750（config-if-range）#switchport access vlan 10 ----将端口加划分进vlan10

S5750（config-if-range）#exit ----退出端口配置模式

S5750（config）# interface range gigabitEthernet 0/6-10 ----进入gigabitEthernet 0/6-10号端口 S5750（config-if-range）#switchport access vlan 20 ----将端口加划分进vlan20

S5750（config-if-range）#exit ----退出端口配置模式

S5750（config）# interface range gigabitEthernet 0/11-15 ----进入gigabitEthernet 0/11-15号端口 S5750（config-if-range）#switchport access vlan 30 ----将端口加划分进vlan30

S5750（config-if-range）#exit ----退出端口配置模式 步骤三：配置vlan10、vlan20、vlan30的网关IP地址 S5750（config）#interface vlan 10 ----创建vlan10的SVI接口 S5750（config-if）#ip address 192.168.10.1 255.255.255.0 ----配置VLAN10的网关 S5750（config-if）#exit ----退出端口配置模式 S5750（config）#interface vlan 20 ----创建vlan10的SVI接口 S5750（config-if）#ip address 192.168.20.1

255.255.255.0 ----配置VLAN10的网关 S5750（config-if）#exit ----退出端口配置模式 S5750（config）#interface

vlan 30 ----创建vlan10的SVI接口 S5750（config-if）#ip

address 192.168.30.1 255.255.255.0 ----配置VLAN10的网关

S5750（config-if）#exit ----退出端口配置模式 步骤四：创建ACL,使vlan20能访问vlan10,而vlan30不能访问vlan10 S5750（config）#ip access-list extended deny30 ----定义扩展ACL

S5750（config-ext-nacl）#deny ip 192.168.30.0 0.0.0.255

192.168.10.0 0.0.0.255 ----拒绝vlan30的用户访问vlan10资源

S5750（config-ext-nacl）#permit ip any any ----允许vlan30的用户访问其他任何资源 S5750（config-ext-nacl）#exit ----退出扩展ACL配置模式 步骤五：将ACL应用到vlan30的SVI口in方向 S5750（config）#interface vlan 30 ----创建vlan30的SVI接口 S5750（config-if）#ip access-group

deny30 in ----将扩展ACL应用到vlan30的SVI接口下

合集下载

ACL配置

ACL配置

本文中的所有信息归中兴通讯股份有限公司所有，未经允许，不得外传 -1- 第1章 ACL简介

1.1 ACL概述

网络设备为了过滤数据，需要设置一系列匹配规则，以识别需要过滤的对象。在识别出特定的对象之后，根据预先设定的策略允许或禁止相应的数据包通过。ACL（Access Control List）可用于实现这些功能。

ACL（访问控制列表）是一种对经过网络设备的数据流进行判断、分类和过滤的方法。通常我们使用ACL实现对数据报文的过滤、策略路由以及特殊流量的控制。一个ACL中可以包含一条或多条针对特定类型数据包的规则，这些规则告诉网络设备，对于与规则中规定的选择标准相匹配的数据包是允许还是拒绝通过。

由ACL定义的数据包匹配规则，还可以被其它需要对流量进行区分的场合引用，如防火墙、QOS与队列技术、策略路由、数据速率限制、路由策略、NAT等。

1.2 ACL分类

访问控制列表分为多种类型：

1． 基本ACL：只对源IP地址进行匹配。

2． 扩展ACL：对源IP地址、目的IP地址、IP协议类型、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号、ICMP类型、ICMP Code、DSCP（DiffServ Code

Point）、ToS、Precedence进行匹配。

3． 二层ACL：对源MAC地址、目的MAC地址、源VLAN ID、二层以太网协议类型、802.1p优先级值进行匹配。

4． 混合ACL：对源MAC地址、目的MAC地址、源VLAN ID、源IP地址、目的IP地址、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号进行匹配。

5． 用户自定义ACL：对VLAN TAG的个数和偏移字节进行匹配。

1.3 ACL工作流程

下面以路由器为例说明ACL的基本工作过程。 错误！文档中没有指定样式的文字。

ACL配置 2

ACL配置 2

实验案列:访问控制列表（ACL）的应用

网络规划如下:

 公司全部使用192.168.0.0/16网段地址

 配置设备的网关地址,其中sw1为192.168.0.1/24,sw2为192.168.0.2/24,sw3为192.168.0.3/24,R1为1.1.1.1/32

 Pc1为网络管理区主机,其IP地址为 192.168.2.2/24,网关为192.168.2.1/24,属于vlan2,pc2

 为财务部主机,IP地址为192.168.3.2/24,网关为192.168.3.1/24,属于vlan3,pc3位信息安全员主机,IP地址为192.168.4.2/24,网 关为192.168.4.1/24,属于vlan4

 在sw1交换机valn2接口的IP地址为192.168.2.1/24,vlan3接口的IP地址为19.168.3.1/24,vlan4接口的IP地址为192.168.4.1/24,vlan10接口的IP地址为192.168.100.1/24

 服务器的IP地址为192.168.100.2/24,网关为192.168.100.1/24,属于vlan100

 Sw1和R1的互联地址为10.0.0.0/30

 配置R1路由器的loopback接口地址为123.0.1.1/24,为外网地址

推荐步骤 :

1. 配置设备,实现全网互通

2. 配置ACL实现公司要求

3. 配置完后查看sw1的配置信息

4. 配置完成后验证

配置命令：

R1配置如下

R1（config）#int f0/0

R1 (config-if)#ip add 10.0.0.1 255.255.255.252

R1(config-if)#no sh

R1(config)int lo 0 R1(config-if)#ip add 123.0.1.1 255.255.255.0 R1(config-if)#no sh

CiscoSG300系列交换机划分VLan与普通路由器连接配置

CiscoSG300系列交换机划分VLan与普通路由器连接配置

CiscoSG300系列交换机划分VLan与普通路由器连接配置

思科SG300系列三层交换机是针对中⼩企业设计的⼀款产品，Marvell 主控和128M Ram,最⼤⽀持52个千兆RJ45端⼝和2个SFP端⼝，因公

司业务需求，最近也进⾏了解和配置，具体型号为 SG300 – 52 记录下过程，便于参考.

⽹络拓扑图如下所⽰：

计划⽬标：针对不同部门划分不同的VLAN，前期满⾜能够同时上⽹的需求，后期需要能够隔离不同部门的资源访问(本次配置操作不涉

及)。

因之前未接触CISCO交换机，在参考了⽹上众多配置后，发现该交换机部分命令和服务并不⽀持，⽐如DHCP Server 。所以配置过程以Console 为主，Web界⾯为辅的⽅式进⾏。

配置过程： 1.更改交换机⼯作模式

交换机⾃⾝带有Web界⾯，英⽂版，不熟悉的可以通过官⽅下载固件版本对应的中⽂语⾔包进⾏切换，默认IP地址 192.168.1.254 ⽤户名密

码均为cisco ⾸次登陆后需要修改密码，在管理中将⼯作模式更改为三层模式，然后重启。

2.为交换机划分VLAN

交换机默认所有端⼝均属于VLAN1，分别建⽴ vlan 10 , vlan 20 , vlan 30 。在WEB界⾯中可以直接配置，但实际操作却发现点击确定提交

后，⽹络会断开，最后还是得以Console 串⼝线配置。命令如下: # conf t //进⼊配置模式

# vlan 10

# vlan 20

# vlan 30 //分别创建3个VLAN

# exit //退出配置.

3.配置基于端⼝的VLAN (Port to VLAN),即多个端⼝同属于⼀个VLAN，以便直接接⼊PC.

规划⽰例： VLAN 标⽰ 物理端⼝ VLAN⽹关

vlan 10 gi2-10 192.168.1.1

vlan 20 gi11-30 192.168.2.1

vlan 30 gi31-52 192.168.3.1

思科交换机路由器命令大全

思科交换机路由器命令大全

思科交换机路由器命令大全

思科交换机和路由器命令大全

本文档为思科交换机和路由器命令的最新最全范本，供参考使用。以下是详细的命令列表，包括每个命令的说明和用法。

一、接口配置命令

1、ip address：设置接口的IP地质

示例：ip address 192.168.1.1 255.255.255：0

2、no shutdown：启用接口

示例：no shutdown

3、duplex：设置接口的双工模式

示例：duplex auto

4、speed：设置接口的速度

示例：speed 100

5、exit：退出接口配置模式

示例：exit

二、VLAN命令

1、vlan database：进入VLAN数据库模式 示例：vlan database

2、vlan id name：创建VLAN并设置名称

示例：vlan 10 name VLAN-10

3、vlan id：删除VLAN

示例：no vlan 10

4、show vlan：显示VLAN信息

示例：show vlan

5、exit：退出VLAN数据库模式

示例：exit

三、路由命令

1、ip route：设置静态路由

示例：ip route 192.168.2：0 255.255.255：0

192.168.1.2

2、router rip：启用RIP路由协议

示例：router rip

3、network：将网络添加到RIP路由表中

示例：network 10：0：0：0 4、redistribute：将静态路由或其他路由协议添加到RIP路由表中

示例：redistribute static

5、exit：退出路由配置模式

示例：exit

四、ACL命令

1、access-list：创建标准或扩展ACL

示例：access-list 10 permit 192.168.1：0 0：0：0.255