龙空技术网

「路由交换-安全-ACL配置」华为交换机视图模式下ACL流量过滤总结

富悦田园居笔记 905

前言:

现在同学们对“华为交换机监控方案”可能比较关注,小伙伴们都想要了解一些“华为交换机监控方案”的相关资讯。那么小编也在网上搜集了一些对于“华为交换机监控方案””的相关文章,希望咱们能喜欢,姐妹们一起来学习一下吧!

实验目标

验证华为交换机在视图模式下配置全局ACL流量过滤和全局基于VLAN模式下inbound和outbound过滤情况进行总结。测试环境主要用到LSW2交换机、Server1、Client1、Client2、PC2、PC5。

实验拓扑图

实验拓扑图

实验配置一(黑名单模式)

全局下拓展ACL简化流策略

LSW2:

acl number 3001

rule 10 deny icmp source 192.168.20.20 0

rule 20 deny tcp source 192.168.20.30 0 destination-port eq ftp

rule 25 deny tcp source 192.168.20.30 0 destination-port eq www

rule 30 permit ip

[LSW2]traffic-filter inbound acl 3001

未应用全局ACL前测试情况:

PC5可正常PING通Server1

Client1可正常ftp访问Server1

Client1可正常http访问Server1

启用用全局ACL前测试情况:

LSW2启用全局ACL过滤

PC5 PING不通Server1

Client1仍可ftp访问Server1

Client1仍可http访问Server1

PC2、Client2可正常PING通Server1

测试发现,全局模式下ACL过滤对高层协议(L4及以上层)无效,对网络层协议有效。并且建议采用黑名单才限制流量,即最后一条一定要permit ip any.

全局下基于vlan的拓展ACL简化流策略

acl number 3001

rule 10 deny icmp source 192.168.20.20 0

rule 20 deny tcp source 192.168.20.30 0 destination-port eq ftp

rule 25 deny tcp source 192.168.20.30 0 destination-port eq www

rule 30 permit ip

[LSW2]traffic-filter vlan 20 inbound acl 3001

启用用全局VLAN模式下ACL前测试情况:

LSW2应用全局VLAN Inbound方向ACL

PC5 PING 不通Server1

Client1 可ftp访问Server1

Client1可http访问Server1

PC2、Client2 PING Server1

实验配置一测试总结

测试发现,全局模式下acl过滤和全局vlan模式下acl过滤对高层协议(L4及以上层)无效,对网络层协议有效。inbound和outbound效果一样,并且建议采用黑名单才限制流量,即最后一条一定要permit ip any.

实验配置二(白名单模式)

全局下拓展ACL简化流策略(慎用白名单机制,防止因漏放策略导致ospf邻居down或其它协议受影响)

LSW2:

acl number 3003

rule 10 permit ip source 192.168.20.20 0 destination 192.168.10.10 0

rule 15 permit ip source 192.168.10.10 0 destination 192.168.20.20 0

rule 20 permit ip source 192.168.20.30 0 destination 192.168.10.10 0

rule 25 permit ip source 192.168.10.10 0 destination 192.168.20.30 0

rule 30 deny ip

[LSW2]traffic-filter inbound acl 3003

启用用全局ACL前测试情况:

PC5可PING通Server1

Client1 可http访问Server1

Client1可ftp访问Server1

PC2、Client2不能PING通Server1

ospf邻居关系down

测试发现,全局acl过滤对全局生效,且要注意来回流量方向性的改变。因此每一条放行

策略实际要写两条,目标地址有互换。

全局下基于vlan的拓展ACL简化流策略

acl number 3003

rule 10 permit ip source 192.168.20.20 0 destination 192.168.10.10 0

rule 15 permit ip source 192.168.10.10 0 destination 192.168.20.20 0

rule 20 permit ip source 192.168.20.30 0 destination 192.168.10.10 0

rule 25 permit ip source 192.168.10.10 0 destination 192.168.20.30 0

rule 30 deny ip

[LSW2]traffic-filter vlan 20 inbound acl 3003

启用用全局VLAN ACL前测试情况:

PC5可PING通Server1

Client1可ftp访问Server1

Client1可http访问Server1

Client2可PING通Server1,PC2不能PING通Server1

测试结论,基于全局下vlan的acl过滤则只针对vlan生效,且要注意来回流量方向性的改变。因此每一条放行策略实际要写两条,源目标地址有互换,inbound生效。改变方向,把inbound换成outbound,测试发现结果不生效。

实验总结:全局模式下acl过滤和全局vlan模式下acl过滤对高层协议(L4及以上层)无效,对网络层协议有效。并且建议采用黑名单才限制流量,即最后一条一定要permit ip any.全局acl过滤对全局生效,而基于全局下vlan的acl过滤则只针对vlan生效,且要注意来回流量方向性的改变。因此每一条放行策略实际要写两条,目标地址有互换。inbound生效,outbound不生效。尽量慎用白名单机制,因漏放策略很容易导致网络如OSPF协议(OSPF协议工作在网络层)down掉。

标签: #华为交换机监控方案