實現多等級reflect acl 配置實例

2019-11-04 20:24:09

字體：大中小

來源：轉載

供稿：網友

　　以下路由器的配置過程:
　　
　　interface FastEthernet0/0
　　no ip address
　　duplex auto
　　speed auto
　　!
　　interface FastEthernet0/0.1
　　encapsulation isl 11
　　ip address 192.168.0.1 255.255.255.0
　　ip access-group v11 in
　　interface FastEthernet0/0.2
　　encapsulation isl 10
　　ip address 172.16.1.1 255.255.255.0
　　ip access-group v10 in
　　interface FastEthernet0/1
　　ip address 10.10.10.9 255.255.255.0
　　ip access-group v13 in
　　
　　ip route 0.0.0.0 0.0.0.0 10.10.10.10
　　
　　ip access-list extended v10
　　permit ip 172.16.1.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit tcp 172.16.1.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit udp 172.16.1.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit icmp 172.16.1.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit ip 172.16.1.0 0.0.0.255 192.168.0.0 0.0.0.255 reflect v111
　　permit tcp 172.16.1.0 0.0.0.255 192.168.0.0 0.0.0.255 reflect v111
　　permit udp 172.16.1.0 0.0.0.255 192.168.0.0 0.0.0.255 reflect v111
　　permit icmp 172.16.1.0 0.0.0.255 192.168.0.0 0.0.0.255 reflect v111
　　permit ip any any
　　ip access-list extended v11
　　evaluate v111
　　deny ip 192.168.0.0 0.0.0.255 172.16.1.0 0.0.0.255
　　deny icmp 192.168.0.0 0.0.0.255 172.16.1.0 0.0.0.255
　　deny udp 192.168.0.0 0.0.0.255 172.16.1.0 0.0.0.255
　　deny tcp 192.168.0.0 0.0.0.255 172.16.1.0 0.0.0.255
　　permit ip 192.168.0.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit udp 192.168.0.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit icmp 192.168.0.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit tcp 192.168.0.0 0.0.0.255 172.18.0.0 0.0.255.255 reflect v133
　　permit ip any any
　　ip access-list extended v13
　　evaluate v133
　　deny icmp 172.18.0.0 0.0.255.255 172.16.1.0 0.0.0.255
　　deny ip 172.18.0.0 0.0.255.255 172.16.1.0 0.0.0.255
　　deny udp 172.18.0.0 0.0.255.255 172.16.1.0 0.0.0.255
　　deny tcp 172.18.0.0 0.0.255.255 172.16.1.0 0.0.0.255
　　deny icmp 172.18.0.0 0.0.255.255 192.168.0.0 0.0.0.255
　　deny ip 172.18.0.0 0.0.255.255 192.168.0.0 0.0.0.255
　　deny tcp 172.18.0.0 0.0.255.255 192.168.0.0 0.0.0.255
　　deny udp 172.18.0.0 0.0.255.255 192.168.0.0 0.0.0.255
　　permit ip any any
　　ip access-list logging interval 100
　　
　　
　　以上配置實現三個等級的網段訪問，使用于企業的總經理、財務、員工三個網段
　　
　　測試方法：
　　配置完成之后，在不同網段使用ping命令開兩個窗口，分別ping其他兩個網段
　　這時在router 上用sh ip access-l 查看有沒有產生你所需要的acl，假如沒有，查看是哪一條acl起效（根據acl后面的條目數，ping的過程會有一個acl的條目逐漸增加）

上一篇：無線網在港口企業的成功應用案例

下一篇：品味“無線”：組建咖啡店無線網絡