公司企业网通过交换机Switch实现各部门之间的互连。
要求正确配置IPv4 ACL,禁止研发部门和市场部门在上班时间(8:00至18:00)访问工资查询服务器(IP地址为192.168.4.1),而总裁办公室不受限制,可以随时访问。
配置IPv4 ACL组网图
# 定义8:00至18:00的周期时间段。
<Switch> system-view
[Switch] time-range trname 8:00 to 18:00 working-day
访问规则
# 定义研发部门到工资查询服务器的访问规则。
[Switch] acl number 3000
[Switch-acl-adv-3000] rule deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.1 0.0.0.0 time-range trname
[Switch-acl-adv-3000] quit
# 定义市场部门到工资查询服务器的访问规则。
[Switch] acl number 3001
[Switch-acl-adv-3001] rule deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.1 0.0.0.0 time-range trname
[Switch-acl-adv-3001] quit
QoS策略
# 定义类c_rd,对匹配IPv4 ACL 3000的报文进行分类。
[Switch] traffic classifier c_rd
[Switch-classifier-c_rd] if-match acl 3000
[Switch-classifier-c_rd] quit
# 定义流行为b_rd,动作为拒绝报文通过。
[Switch] traffic behavior b_rd
[Switch-behavior-b_rd] filter deny
[Switch-behavior-b_rd] quit
# 定义类c_market,对匹配IPv4 ACL 3001的报文进行分类。
[Switch] traffic classifier c_market
[Switch-classifier-c_market] if-match acl 3001
[Switch-classifier-c_market] quit
# 定义流行为b_market,动作为拒绝报文通过。
[Switch] traffic behavior b_market
[Switch-behavior-b_market] filter deny
[Switch-behavior-b_market] quit
# 定义QoS策略p_rd,为类c_rd指定流行为b_rd。
[Switch] qos policy p_rd
[Switch-qospolicy-p_rd] classifier c_rd behavior b_rd
[Switch-qospolicy-p_rd] quit
# 定义QoS策略p_market,为类c_market指定流行为b_market。
[Switch] qos policy p_market
[Switch-qospolicy-p_market] classifier c_market behavior b_market
[Switch-qospolicy-p_market] quit
# 将QoS策略p_rd应用到端口GigabitEthernet 1/0/2。
[Switch] interface GigabitEthernet 1/0/2
[Switch-GigabitEthernet1/0/2] qos apply policy p_rd inbound
[Switch-GigabitEthernet1/0/2] quit
# 将QoS策略p_market应用到端口GigabitEthernet 1/0/3。
[Switch] interface GigabitEthernet 1/0/3
[Switch-GigabitEthernet1/0/3] qos apply policy p_market inbound
基本 ACL 只根据源 IP 地址信息制定匹配规则,对报文进行相应的分析处理。其序号取值范围为 2000 ~ 2999 。
|
命令
|
用途说明
|
Step 1
|
system-view
|
进入系统视图
|
Step 2
|
适用于
S5600
及以前系列:
acl numberacl-number[nameacl-name][match-order{auto|config} ]
适用于
S7500
及以后系列:
acl { numberacl-number |nameacl-name[ advanced | basic | link | user ] } [ match-order { config | auto } ]
|
创建基本
ACL
并进入基本
ACL
视图(二者选其一)。缺省情况下,匹配顺序为
config
如果用户在创建
ACL
时指定了名称,则之后可以通过
aclnameacl-name
命令进入指定名称的
ACL
视图
|
Stepo 3
|
rule[rule-id] {deny|permit} [fragment|logging|source{sour-addr sour-wildcard|any} |time-rangetime-name|***-instance***-instance-name]
|
定义规则。可以重复本步骤创建多条规则
需要注意的是,当基本
ACL
被
QoS
策略引用对报文进行流分类时,不支持配置
logging
和
***-instance
参数。而且各个系列所支持的可选项和参数并不完全一样。如中低档的系列不支持
***-instance
可选项和
参数
|
Step 4
|
stepstep-value
|
(可选)定义步长。缺省情况下,步长为
5
|
Step 5
|
descriptiontext
|
(可选)定义
ACL
的描述信息。缺省情况下,
ACL
没有描述信息
|
Step 6
|
rulerule-idcommenttext
|
(可选)定义规则的描述信息。缺省情况下,规则没有描述信息
|