华为中端产品QACL配置案例集(3)

　　acl number 186

　　rule 1 permit ip source 11.8.14.0 0.0.0.255 destination any

　　rule 5 permit ip source 11.8.14.141 0.0.0.0 destination 11.8.20.112 0.0.0.15

　　rule 6 permit ip source 11.8.14.2 0.0.0.0 destination 11.8.20.112 0.0.0.15

　　【案例5】

　　我这里用户有这样的一个需求，请帮我确定一下应如何配置：

　　核心使用6506，边缘节点使用五台3526E（使用二层），3526E和6506之间使用trunk模式，用户分为了7个网段。

　　vlan分别为2－8，用户地址是192.168.21.0－27.0。

　　考虑了网络安全，用户需要如下要求：

　　21.0：能够访问internet网，但不能访问其他网段；

　　22.0：能够访问其他网段，但不能访问internet网；

　　。。。。

　　。。。。

　　21.0和22.0分别属于vlan2和3，这两个网段内的用户都通过一个3526E接到6506上，请协助确定如何在6506上使用访问控制策略。

　　多谢。

　　【解决方案】

　　1．根据需求的字面意思来配置，思路清晰，但比较浪费表项。

　　21－－22 deny

　　21－－23 deny

　　21－－24 deny

　　21－－25 deny

　　21－－26 deny

　　21－－27 deny

　　22－－any deny

　　22－－21 peimit

　　22－－23 peimit

　　22－－24 peimit

　　22－－25 peimit

　　22－－26 peimit

　　22－－27 permit

　　2．对需求进行分析，将网段加以合并，可以节省表项。

　　3和4聚合成A：192.168.22.0/23

　　5和8聚合成B：192.168.24.0/22

　　则需求可以简化成禁止2访问A和B,只允许A和B可以互访，禁止A和B访问其他网段。

　　deny 2 to A

　　deny 2 to B

　　deny A to any

　　deny B to any

　　permit A to A

　　permit B to B

　　permit A to B

　　配置一个acl即可：

　　rule 1 deny ip destination 192.168.1.0 0.0.0.255

　　rule 11 deny ip destination 192.168.0.0 0.0.0.255

　　rule 28 permit ip source any destination 192.168.0.0 0.0.0.255

　　【问题分析】

　　规则11和28是同一条规则，虽然动作不同，软件禁止同一条规则重复下发。

　　【解决办法】

　　如果想下发后一条规则，应首先删除头一条。

　　【案例7】

　　用户配置访问列表禁止某一网段在周一至周五禁止上互联网，在这一网段中的两个ip不受限，在运行半天后，不受限的两个ip无法访问internet。即acl中的permit失效，deny还起作用。不做ACL的网段转发没有问题，0030（包括此版本）版本以下都有此问题。

　　访问列表需求如下：

　　有2个网段192.168.21.0/24 192.168.22.0/24在2台3050（分别千兆上连到6506）上，现要求周一到周五不能访问互联网，但其中的192.168.21/22.9和192.168.21/22.10却不受限制。

　　我在6506上做了2种配置均可实现以上功能（运行1/2天以后必须重起6506）

　　第一种是在3050上连到6506的光纤口上做访问列表

　　第二种是在6506连接路由器的电口上做访问列表（在这个口上是为了考虑2个网段访问内网方便----即访问列表简单）