电脑桌面
添加小米粒文库到电脑桌面
安装后可以在桌面快捷访问

华为交换中端产品QACL配置案例集VIP免费

华为交换中端产品QACL配置案例集_第1页
1/10
华为交换中端产品QACL配置案例集_第2页
2/10
华为交换中端产品QACL配置案例集_第3页
3/10
第1页共10页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第1页共10页华为交换中端产品QACL配置案例集由于芯片结构的原因,中端产品的QACL配置较复杂,给用户使用带来了一定的难度,用服人员维护起来有时也会较为棘手,经常会有用户和用服人员打电话过来咨询这方面的配置的使用,下面的配置案例全部取材于6500系列产品在使用中的实际配置,大多是客户的咨询,其中一些还曾发生过网上问题。将这些东西进行总结,有利于我们更好的使用6506。【案例1】我想实现办公网只有个别的机器(10.1.0.38)访问服务器10.1.0.254,我进行了如下配置,但10.1.0.38依然无法访问服务器,6506是不是不能实现这种需求啊。aclnumber100rule0permitipsou10.1.0.380des10.1.0.2540rule1denyipinte2/0/1paipin100【问题分析】这是个比较典型的错误,错误原因就是没有搞清6506的acl的其作用的顺序。在6500系列产品上,是根据规则的下发时间顺序来决定起作用的顺序的,最近下发的规则我们认为是用户最新的需求,它会最新起作用。对于上面的配置,rule0先下发,rule1后下发,那么首先其作用的是rule1。这样会将所有的报文都过滤掉。【解决办法】将两条规则的配置顺序对调。【案例2】我想禁止210.31.12.00.0.1.255访问任何网段的ICMP报文,但却无法实现,请帮忙检查一下。aclnumber100match-orderautorule0denyicmpsource210.31.12.00.0.1.255第2页共10页第1页共10页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第2页共10页rule1denytcpsource-porteq135destination-porteq135rule2denytcpsource-porteq135destination-porteq139rule3denytcpsource-porteq135destination-porteq4444rule4denytcpsource-porteq135destination-porteq445rule5denyudpsource-porteqtftpdestination-porteqtftprule6denytcpsource-porteq1025rule8permitip【问题分析】又是一个比较典型的错误,用户认为要想让交换机转发,必须配置类似rule8的规则,其实这是不必要的,6506缺省有一条matchall表项,将交换机配置成转发模式,再配置一条,则覆盖了前面的所有规则。【解决办法】将最后一条规则去掉。【案例3】规则如下,要求只允许10.89.0.0/16访问10.1.1.0,但配置后其他网段也可以访问了,请问是为什么?aclnumber101match-orderautorule0denyipaclnumber102match-orderautorule0permitipsource10.89.0.00.0.255.255destination10.1.1.00.0.0.255。。。。。。。。。interfaceEthernet2/0/3descriptionconnectedto5louportlink-typehybridporthybridvlan1taggedporthybridvlan20untagged第3页共10页第2页共10页编号:时间:2021年x月x日书山有路勤为径,学海无涯苦作舟页码:第3页共10页porthybridpvidvlan20qospacket-filterinboundip-group101rule0packet-filterinboundip-group102rule0packet-filterinboundip-group103rule0packet-filterinboundip-group105rule2packet-filterinboundip-group105rule3packet-filterinboundip-group105rule5packet-filterinboundip-group105rule6packet-filterinboundip-group105rule4#【问题分析】由于ACL102的rule0的原因,只要是从这个网段上来的报文都会匹配这个规则的前半部分,但如果它不是访问10.89.0.0/16,它不会匹配上ACL102的rule0,本来希望它匹配到ACL101的rule0,但是由于在硬件中ipsource10.89.0.0和ipanyany使用的是不同的id,所以ACL101的rule0也不再会被匹配到。那么报文会匹配到最后一条缺省的matchall表项,进行转发。【解决办法】把rule0denyip变成rule0denyipsource10.89.0.00.0.255.255。【案例4】某银行当每天造成重起6506后,发现有部分网段的用户无法访问病毒服务器(11.8.14.141和11.8.14.2),将防火墙配置删除后再下发问题消除。配置如下:aclnumber122descriptionguokurule1denyipsourceanydestination11.8.20.1120.0.0.15rule2permitipsource11.8.20.1600.0.0.31destination11.8.20.1120.0.0.15rule3permitipsource11.8.20.1120.0.0.15destination11.8.20.1120.0.0.15rule4permitipsource11.8.20.2080.0.0.7destination11.8....

1、当您付费下载文档后,您只拥有了使用权限,并不意味着购买了版权,文档只能用于自身使用,不得用于其他商业用途(如 [转卖]进行直接盈利或[编辑后售卖]进行间接盈利)。
2、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。
3、如文档内容存在违规,或者侵犯商业秘密、侵犯著作权等,请点击“违规举报”。

碎片内容

华为交换中端产品QACL配置案例集

确认删除?
VIP
微信客服
  • 扫码咨询
会员Q群
  • 会员专属群点击这里加入QQ群
客服邮箱
回到顶部