思科沟通机acl与vacl差异
思科沟通机acl与vacl差异
咱们常说的VLAN之间 的拜访操控,它的完毕方法是将ACL直接运用到VLAN的虚端口上,与运用到物理端口的ACL完毕方法是一样的。而VLAN拜访操控(VACL),也称为 VLAN拜访映射表,它的完毕方法与前者彻底纷歧样。它运用于VLAN中的悉数通讯流,支撑根据ETHERTYPE和MAC地址的过滤,能够避免未经授权的 数据流进入VLAN.如今支撑的VACL操作有三种:转发(forward),扔掉(drop),重定向(redirect)。
VACL很少用到,在装备时要留神以下几点:
1) 终究一条躲藏规矩是deny ip any any,与ACL一样。
2) VACL没有inbound和outbound之分,差异于ACL.
3) 若ACL列表中是permit,而VACL中为drop,则数据流施行drop.
4) VACL规矩运用在NAT之前。
5) 一个VACL能够用于多个VLAN中;但一个VLAN只能与一个VACL有关。
6) VACL只需在VLAN的端口被激活后才会启用,不然状况为inactive.
下面,我以Cisco3550沟通机作为实例来详细描写一下两者之间纷歧样的完毕方法。
网络根柢状况是差异了三个vlan:vlan10、vlan20和vlan30,vlan虚端口的IP地址别离为192.168.10.1/24、192.168.20.1/24和192.168.30.1/24.
拜访操控央求:vlan10和vlan20之间不能拜访,但都能拜访vlan30.
(一) 通过VLAN之间ACL方法完毕
******** 装备VLAN ********
Switch(vlan)# vlan 10 // 创立vlan 10
Switch(vlan)# vlan 20
Switch(vlan)# vlan 30
Switch(vlan)# int vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0 // 装备vlan10虚端口IP
Switch(config-if)# int vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# int vlan 30
Switch(config-if)# ip address 192.168.30.1 255.255.255.0
******** 装备ACL ********
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255
******** 运用ACL至VLAN端口 ********
Switch(config)# int vlan 10
Switch(config-if)# ip access-group 101 in
Switch(config)# int vlan 20
Switch(config-if)# ip access-group 102 in
(二) 通过VACL方法完毕
******** 装备VLAN ********
(同上)
******** 装备ACL ********
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
Switch(config)# access-list 101 permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255
(纷歧样的本地:因为VACL对数据流没有inbound和outbound之分,所以要把容许通过某vlan的IP数据流都permit才行。VLAN10容许与VLAN30通讯,而数据流又是双向的,所以要在ACL中添加VLAN30的网段)
Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255
Switch(config)# access-list 102 permit ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255
******** 装备ACL ********
榜首步:装备vlan access map
Switch(config)# vlan access-map test1 //界说一个vlan access map,取名为test1
Switch(config-vlan-access)# match ip address 101 // 设置匹配规矩为acl 101
Switch(config-vlan-access)# action forward // 匹配后,设置数据流转发(forward)
Switch(config)# vlan access-map test2 //界说一个vlan access map,取名为test2
Switch(config-vlan-access)# match ip address 102 // 设置匹配规矩为acl 102
Switch(config-vlan-access)# action forward // 匹配后,设置数据流转发(forward)
第二步:运用VACL
Switch(config)# vlan filter test1 vlan-list 10 //将上面装备的test1运用到vlan10中
Switch(config)# vlan filter test2 vlan-list 20 //将上面装备的test1运用到vlan20中
以上即是关于VLAN之间ACL和VACL的简略装备实例。我自个以为通常状况下,通过VLAN之间ACL完毕拜访操控比照便利,可是当VLAN的端口 比照懈怠时,选用VACL相对而言就要简略很多。不过运用VACL的条件是沟通机支撑此功用,如今或许只需Cisco 3550、4500和6500系列的沟通机支撑。