您的位置:首页 > 其它

高级IPv4 ACL典型配置指导

2015-04-27 14:49 253 查看
高级IPv4 ACL可以使用报文的源IP地址信息、目的IP地址信息、IP承载的协议类型、协议的特性(例如TCP或UDP的源端口、目的端口,ICMP协议的消息类型、消息码等)等信息来制定匹配规则。
高级IPv4 ACL支持对三种报文优先级的分析处理:
l ToS(Type of Service,服务类型)优先级
l IP优先级
l DSCP(Differentiated Services CodePoint,差分服务编码点)优先级
用户可以利用高级IPv4 ACL定义比基本IPv4 ACL更准确、更丰富、更灵活的匹配规则。
高级IPv4 ACL的序号取值范围为3000~3999。

应用要求
公司企业网通过交换机(以S5500-EI为例)实现各部门之间的互连。要求配置高级IPv4 ACL,禁止研发部门和市场部门在上班时间(8:00至18:00)访问工资查询服务器(IP地址为192.168.4.1),而总裁办公室不受限制,可以随时访问。

1 配置过程和解释
(1) 定义工作时间段
# 定义8:00至18:00的周期时间段。
<Switch> system-view
[Switch] time-range trname 8:00 to 18:00 working-day
(2) 定义到工资查询服务器的访问规则
# 定义研发部门到工资查询服务器的访问规则。
[Switch] acl number 3000
[Switch-acl-adv-3000] rule deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.1 0 time-range trname
[Switch-acl-adv-3000] quit
# 定义市场部门到工资查询服务器的访问规则。
[Switch] acl number 3001
[Switch-acl-adv-3001] rule deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.1 0 time-range trname
[Switch-acl-adv-3001] quit
(3) 应用访问规则
# 定义类classifier_rd,对匹配高级IPv4 ACL 3000的报文进行分类。
[Switch] traffic classifier classifier_rd
[Switch-classifier-classifier_rd] if-match acl 3000
[Switch-classifier-classifier_rd] quit
# 定义流行为behavior_rd,动作为拒绝报文通过。
[Switch] traffic behavior behavior_rd
[Switch-behavior-behavior_rd] filter deny
[Switch-behavior-behavior_rd] quit
# 定义类classifier_market,对匹配高级IPv4 ACL 3001的报文进行分类。
[Switch] traffic classifier classifier_market
[Switch-classifier-classifier_market] if-match acl 3001
[Switch-classifier-classifier_market] quit
# 定义流行为behavior_market,动作为拒绝报文通过。
[Switch] traffic behavior behavior_market
[Switch-behavior-behavior_market] filter deny
[Switch-behavior-behavior_market] quit
# 定义策略policy_rd,为类classifier_rd指定流行为behavior_rd。
[Switch] qos policy policy_rd
[Switch-qospolicy-policy_rd] classifier classifier_rd behavior behavior_rd
[Switch-qospolicy-policy_rd] quit
# 定义策略policy_market,为类classifier_market指定流行为behavior_market。
[Switch] qos policy policy_market
[Switch-qospolicy-policy_market] classifier classifier_market behavior behavior_market
[Switch-qospolicy-policy_market] quit
# 将策略policy_rd应用到端口GigabitEthernet 1/0/2。
[Switch] interface GigabitEthernet 1/0/2
[Switch-GigabitEthernet1/0/2] qos apply policy policy_rd inbound
[Switch-GigabitEthernet1/0/2] quit
# 将策略policy_market应用到端口GigabitEthernet 1/0/3。
[Switch] interface GigabitEthernet 1/0/3
[Switch-GigabitEthernet1/0/3] qos apply policy policy_market inbound
1.1.4 完整配置
#
traffic classifier classifier_market operator and
if-match acl 3001
traffic classifier classifier_rd operator and
if-match acl 3000
#
traffic behavior behavior_market
filter deny
traffic behavior behavior_rd
filter deny
#
qos policy policy_market
classifier classifier_market behavior behavior_market
qos policy policy_rd
classifier classifier_rd behavior behavior_rd
#
time-range trname 08:00 to 18:00 working-day
#
acl number 3000
rule 0 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.1 0 time-range trname
acl number 3001
rule 0 deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.1 0 time-range trname
#
interface GigabitEthernet1/0/2
qos apply policy policy_rd inbound
#
interface GigabitEthernet1/0/3
qos apply policy policy_market inbound
内容来自用户分享和网络整理,不保证内容的准确性,如有侵权内容,可联系管理员处理 点击这里给我发消息
标签:  traffic classifier