使用华为eNSP组网试验⑸-访问控制

news2024/11/18 9:26:09

　　今天练习使用华为sNSP模拟网络设备上的访问控制，这样的操作我经常在华为的S7706、S5720、S5735或者H3C的S5500、S5130、S7706上进行，在网络设备上根据情况应用访问控制的策略是一个网管必须熟练的操作，只是在真机上操作一般比较谨慎，现在模拟器上试验就轻松了许多。

　　先准备一个全网通的环境：

　　上面是全网通的环境，验证：

　　路由器Router1的静态路由：

ip route-static 1.1.1.1 255.255.255.255 11.11.12.1
ip route-static 3.3.3.3 255.255.255.255 11.11.11.2
ip route-static 4.4.4.4 255.255.255.255 11.11.11.2
ip route-static 5.5.5.5 255.255.255.255 11.11.11.2
ip route-static 11.11.13.0 255.255.255.0 11.11.11.2
ip route-static 11.11.14.0 255.255.255.0 11.11.11.2
ip route-static 172.16.2.0 255.255.255.0 11.11.11.2
ip route-static 172.16.11.0 255.255.255.0 11.11.11.2
ip route-static 192.168.9.0 255.255.255.0 11.11.12.1
ip route-static 192.168.19.0 255.255.255.0 11.11.12.1
ip route-static 192.168.29.0 255.255.255.0 11.11.12.1

　　路由器Router2的静态路由：

ip route-static 1.1.1.1 255.255.255.255 11.11.11.1
ip route-static 2.2.2.2 255.255.255.255 11.11.11.1
ip route-static 4.4.4.4 255.255.255.255 11.11.13.1
ip route-static 5.5.5.5 255.255.255.255 11.11.14.1
ip route-static 11.11.12.0 255.255.255.0 11.11.11.1
ip route-static 172.16.2.0 255.255.255.0 11.11.13.1
ip route-static 172.16.11.0 255.255.255.0 11.11.14.1
ip route-static 192.168.9.0 255.255.255.0 11.11.11.1
ip route-static 192.168.19.0 255.255.255.0 11.11.11.1
ip route-static 192.168.29.0 255.255.255.0 11.11.11.1

　　一、基于MAC地址拒绝网络设备上网

　　这个方式可以通过访问控制列表限制IP、将这个IP放入黑洞、禁用接口等来实现，下面通过流策略来完成操作。

　　假如限制IP地址为192.168.9.3的计算机，我们可以得到它的Mac地址为54-89-98-B4-4C-48。

　　①在交换机SW1上创建访问控制列表4019；

acl number 4019
 rule 10 deny source-mac 5489-98b4-4c48

　　②在交换机SW1上创建流分类tc1，并且匹配访问控制列表4019；

traffic classifier tc1 operator and
 if-match acl 4019

　　③在交换机SW1上创建流行为tb1，并且设置为拒绝；

traffic behavior tb1
 deny

　　④在交换机SW1上创建流策略tp1并且绑定流分类tc1和流行为tb1；

traffic policy tp1
 classifier tc1 behavior tb1

　　⑤在交换机SW1的端口GigabitEthernet0/0/0的入口处绑定流策略tp1。

interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
 traffic-policy tp1 inbound

　　简单的写，也可以直接在端口上绑定访问控制列表：

interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
 traffic-filter inbound acl 4019

　　也可以达到限制该计算机的上网，效果是一样的。

　　二、限制访问目的设备

　　假定172.16.2.5是服务器地址，拒绝192.168.9.0网段访问，但是允许192.168.19.0和192.168.29.0的网段访问。

　　①在交换机SW2上创建访问控制列表3019；

acl number 3019
 rule 10 deny ip source 192.168.9.0 0.0.0.255 destination 172.16.2.5 0

　　②在交换机SW2上创建流分类tc1，并且匹配访问控制列表3019；

traffic classifier tc1 operator and
 if-match acl 3019

　　③在交换机SW2上创建流行为tb1，并且设置为允许；

traffic behavior tb1
 permit

　　④在交换机SW2上创建流策略tp1并且绑定流分类tc1和流行为tb1；

traffic policy tp1
 classifier tc1 behavior tb1

　　⑤在交换机SW2的端口GigabitEthernet0/0/1的入口处绑定流策略tp1。

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 300
 traffic-policy tp1 inbound

　　上面的操作等价于：

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 300
 traffic-filter inbound acl 3019

　　但是显然流策略可以实现的目的更广泛，虽然ACL可以实现的目的也很多。
　　上面的写法可以变化，访问控制列表为允许，那么流行为就是禁止，效果也是一样的。

　　三、限制上网速度

　　假定现在要限制IP地址为192.168.9.0的网段的网速，可以通过下面的设置来完成。

　　①在交换机SW1上创建访问控制列表3019；

acl number 3019
 rule 10 permit ip source 192.168.9.0 0.0.0.255

　　②在交换机SW1上创建流分类tc1，并且匹配访问控制列表3019；

traffic classifier tc1 operator and
 if-match acl 3019

　　③在交换机SW1上创建流行为tb1，并且设定网速的限制；

traffic behavior tb1
 car cir 1024 pir 4096 cbs 128000 pbs 512000 green pass yellow pass red discard
 statistic enable

　　限定网速为1M，最大为4M。

　　④在交换机SW1上创建流策略tp1并且绑定流分类tc1和流行为tb1；

traffic policy tp1
 classifier tc1 behavior tb1

　　⑤在交换机SW1的端口GigabitEthernet0/0/0的入口处绑定流策略tp1。

interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 20
 traffic-policy tp1 inbound

　　四、策略路由

　　可以根据不同的IP决定数据流走不同的路由，有一些应用对不同的路由选择有需求，这个时候可以使用流策略来完成。

　　实验图：

　　上面的图示中，192.168.9.3最终访问172.16.1.2，192.168.19.3访问172.16.2.2，从而通过策略路由来达到隔离访问的目的，也可以限定网速，比如一条线路为高速，一条线路为一般速度，可以根据源IP来决定是否走高速。

　　路由器R0：

[V200R003C00]
#
 sysname Router0
#
 snmp-agent local-engineid 800007DB03000000000000
 snmp-agent 
#
 clock timezone China-Standard-Time minus 08:00:00
#
portal local-server load portalpage.zip
#
 drop illegal-mac alarm
#
 undo info-center enable
#
 set cpu-usage threshold 80 restore 75
#
acl number 3010  
 rule 10 permit ip source 192.168.9.0 0.0.0.255 
acl number 3020  
 rule 10 permit ip source 192.168.19.0 0.0.0.255 
#
traffic classifier tc20 operator or
 if-match acl 3020
traffic classifier tc10 operator or
 if-match acl 3010
#
traffic behavior tb20
 redirect ip-nexthop 11.11.13.2
traffic behavior tb10
 redirect ip-nexthop 11.11.11.2
#
traffic policy tp10
 classifier tc10 behavior tb10
 classifier tc20 behavior tb20
#
aaa 
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default 
 domain default_admin 
 local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
 local-user admin service-type http
#
firewall zone Local
 priority 15
#
interface GigabitEthernet0/0/0
 ip address 11.11.11.1 255.255.255.252 
#
interface GigabitEthernet0/0/1
 ip address 11.11.13.1 255.255.255.252 
#
interface GigabitEthernet0/0/2
 ip address 11.11.9.2 255.255.255.252 
 traffic-policy tp10 inbound
#
interface NULL0
#
ip route-static 192.168.9.0 255.255.255.0 11.11.9.1
ip route-static 192.168.19.0 255.255.255.0 11.11.9.1
#
user-interface con 0
 authentication-mode password
user-interface vty 0 4
user-interface vty 16 20
#
wlan ac
#
return

　　路由器R1：

[V200R003C00]
#
 sysname Router1
#
 snmp-agent local-engineid 800007DB03000000000000
 snmp-agent 
#
 clock timezone China-Standard-Time minus 08:00:00
#
portal local-server load flash:/portalpage.zip
#
 drop illegal-mac alarm
#
 undo info-center enable
#
 wlan ac-global carrier id other ac id 0
#
 set cpu-usage threshold 80 restore 75
#
aaa 
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default 
 domain default_admin 
 local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
 local-user admin service-type http
#
firewall zone Local
 priority 15
#
interface GigabitEthernet0/0/0
 ip address 11.11.11.2 255.255.255.252 
 arp-proxy enable
#
interface GigabitEthernet0/0/1
 ip address 172.16.1.1 255.255.255.0 
 arp-proxy enable
#
interface GigabitEthernet0/0/2
#
interface NULL0
#
interface LoopBack0
 ip address 2.2.2.2 255.255.255.255 
#
ospf 1 router-id 2.2.2.2 
 import-route static
 area 0.0.0.0 
  network 2.2.2.2 0.0.0.0 
  network 11.11.11.2 0.0.0.0 
  network 11.11.12.2 0.0.0.0 
#
ip route-static 192.168.9.0 255.255.255.0 11.11.11.1
ip route-static 192.168.19.0 255.255.255.0 11.11.11.1
#
user-interface con 0
 authentication-mode password
user-interface vty 0 4
user-interface vty 16 20
#
wlan ac
#
return

　　路由器R2：

[V200R003C00]
#
 snmp-agent local-engineid 800007DB03000000000000
 snmp-agent 
#
 clock timezone China-Standard-Time minus 08:00:00
#
portal local-server load portalpage.zip
#
 drop illegal-mac alarm
#
 undo info-center enable
#
 set cpu-usage threshold 80 restore 75
#
aaa 
 authentication-scheme default
 authorization-scheme default
 accounting-scheme default
 domain default 
 domain default_admin 
 local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
 local-user admin service-type http
#
firewall zone Local
 priority 15
#
interface GigabitEthernet0/0/0
 ip address 11.11.13.2 255.255.255.252 
#
interface GigabitEthernet0/0/1
 ip address 172.16.2.1 255.255.255.0 
#
interface GigabitEthernet0/0/2
#
interface NULL0
#
interface LoopBack0
 ip address 3.3.3.3 255.255.255.255 
#
ospf 1 router-id 3.3.3.3 
 import-route static
 area 0.0.0.0 
  network 3.3.3.3 0.0.0.0 
  network 11.11.13.2 0.0.0.0 
  network 11.11.14.2 0.0.0.0 
#
ip route-static 192.168.9.0 255.255.255.0 11.11.13.1
ip route-static 192.168.19.0 255.255.255.0 11.11.13.1
#
user-interface con 0
 authentication-mode password
user-interface vty 0 4
user-interface vty 16 20
#
wlan ac
#
return

　　通过流策略还可以做很多其他的事情，比如限制协议、限制私密访问、限制端口、隔离特殊应用等等，这些在特殊条件下可以根据需要可以使用流策略来完成。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1065186.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

FFmpeg 基础模块：AVIO、AVDictionary 与 AVOption

FFmpeg 基础模块：AVIO、AVDictionary 与 AVOption

目录 AVIO AVDictionary 与 AVOption 小结 思考 我们了解了 AVFormat 中的 API 接口的功能&#xff0c;从实际操作经验看&#xff0c;这些接口是可以满足大多数音视频的 mux 与 demux&#xff0c;或者说 remux 场景的。但是除此之外&#xff0c;在日常使用 API 开发应用的时…
阅读更多...
cpp primer笔记090-动态内存

cpp primer笔记090-动态内存

shared_ptr和unique_ptr都支持的操作&#xff0c;加上shared_ptr独有的操作 每个shared_ptr都有一个关联的计数器&#xff0c;通常称其为引用计数&#xff0c;当调用了shared_ptr的构造函数时就会递增&#xff0c;当调用析构函数时就会递减&#xff0c;一旦一个shared_ptr的计…
阅读更多...
【2023年11月第四版教材】第19章《配置与变更管理》(合集篇)

【2023年11月第四版教材】第19章《配置与变更管理》(合集篇)

第19章《配置与变更管理》&#xff08;合集篇&#xff09; 1 章节内容2 配置管理3 变更管理4 项目文档管理 1 章节内容 【本章分值预测】本章内容90%和第三版教材内容一样的&#xff0c;少部分有一些变化&#xff0c;特别是变更涉及的人员及职责&#xff0c;预计选择题考3分&a…
阅读更多...
Python如何实现数据驱动的接口自动化测试

Python如何实现数据驱动的接口自动化测试

大家在接口测试的过程中&#xff0c;很多时候会用到对CSV的读取操作&#xff0c;本文主要说明Python3对CSV的写入和读取。下面话不多说了&#xff0c;来一起看看详细的介绍吧。 1、需求 某API&#xff0c;GET方法&#xff0c;token,mobile,email三个参数 token为必填项mobil…
阅读更多...
Connect to 127.0.0.1:1080 [/127.0.0.1] failed: Connection refused: connect

Connect to 127.0.0.1:1080 [/127.0.0.1] failed: Connection refused: connect

报错信息 A problem occurred configuring root project CourseSelection. > Could not resolve all artifacts for configuration :classpath.> Could not resolve com.android.tools.build:gradle:3.6.1.Required by:project :> Could not resolve com.android.tool…
阅读更多...
力扣第101题 c++ 递归 迭代 双方法 ＋注释 ~

力扣第101题 c++ 递归 迭代 双方法 ＋注释 ~

题目 101. 对称二叉树 简单 给你一个二叉树的根节点 root &#xff0c; 检查它是否轴对称。 示例 1&#xff1a; 输入&#xff1a;root [1,2,2,3,4,4,3] 输出&#xff1a;true示例 2&#xff1a; 输入&#xff1a;root [1,2,2,null,3,null,3] 输出&#xff1a;false提示&a…
阅读更多...
点读笔背后的神秘力量，究竟是如何实现即时识别的？

点读笔背后的神秘力量，究竟是如何实现即时识别的？

点读笔是一种智能学习工具&#xff0c;通过与印刷物或电子设备配合使用&#xff0c;将文字、图片或声音转化为可听、可读、可学习的内容。它的核心功能是识别并解析特定标识&#xff08;如二维码、条形码&#xff09;或区域内的信息&#xff0c;并提供相应的语音、文字或图像反…
阅读更多...
docker swarm安装指导

docker swarm安装指导

SWARM部署DOCKER集群 1. 简介............................................................................................................................ 3 2. 部署准备.........................................................................................…
阅读更多...
15040-2021 工作测光标准灯泡 学习记录

15040-2021 工作测光标准灯泡 学习记录

声明 本文是学习GB-T 15040-2021 工作测光标准灯泡.pdf而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们 1 范围 本文件规定了工作测光标准灯(下文在不会引起误解时简称为"标准灯”或“灯")的分类、 一般要求、 技术要求和试验方法&#xff…
阅读更多...
详解链表oJ＜反转链表，链表的中间节点及链表的回文＞

详解链表oJ＜反转链表，链表的中间节点及链表的回文＞

hello&#xff0c;大家好&#xff0c;这里是Dark FlameMaster,今天和大家分享的是有关数据结构链表的几道题目&#xff0c;链表的中间节点&#xff0c;反转链表及判断链表是否为回文结构&#xff0c;放在一起讲解会印象更加深刻。 文章目录 一&#xff0c;链表的中间节点二&…
阅读更多...
C#，数值计算——数据建模FGauss的计算方法与源程序

C#，数值计算——数据建模FGauss的计算方法与源程序

1 文本格式 using System; namespace Legalsoft.Truffer { public class FGauss : MultiFuncd { public void funk(double x, double[] a, ref double y, double[] dyda) { int na a.Length; y 0.0; for (int …
阅读更多...
吃鸡达人专享！提高战斗力，分享干货，查询装备皮肤，保护账号安全！

吃鸡达人专享！提高战斗力，分享干货，查询装备皮肤，保护账号安全！

大家好&#xff01;作为专业吃鸡行家&#xff0c;我将为您带来一些热门话题和实用内容&#xff0c;帮助您提升游戏战斗力&#xff0c;分享顶级游戏作战干货&#xff0c;并提供便捷的作图工具和查询服务。让我们一起享受吃鸡的乐趣&#xff01; 首先&#xff0c;我要推荐一款绝地…
阅读更多...
CleanMyMacX 永久版下载激活码破解版

CleanMyMacX 永久版下载激活码破解版

CleanMyMac X最新破解版V4.9.2是一款出色的Mac 系统垃圾清理程序。 该软件具有强大的垃圾清理功能&#xff0c;可以释放数 GB 的空间&#xff0c;让您的 Mac 焕然一新。 带有激活码的完整破解版 CleanmyMac 可加速您的 Mac 设备。 此外&#xff0c;cleanmymac还能帮助您从 Mac…
阅读更多...
2023最新ICP备案查询系统源码 附教程 Thinkphp框架

2023最新ICP备案查询系统源码 附教程 Thinkphp框架

2023最新ICP备案查询系统源码 附教程 thinkphp框架 本系统支持网址备案&#xff0c;小程序备案&#xff0c;APP备案查询&#xff0c;快应用备案查询 优势&#xff1a; 响应速度快&#xff0c;没有延迟&#xff0c;没有缓存&#xff0c;数据与官方同步 源码下载&#xff1a;ht…
阅读更多...
Puppeteer基础知识（一）

Puppeteer基础知识（一）

Puppeteer基础知识&#xff08;一&#xff09; Puppeteer基础知识&#xff08;一&#xff09;一、简介二、其他一些自动化测试工具三、Puppeteer常用命令四、常见问题解决&#xff1a; 一、简介 Puppeteer 是一个强大而灵活的工具&#xff0c;可以用于网页爬虫、自动化测试、性…
阅读更多...
大数据Doris（六）：编译 Doris遇到的问题

大数据Doris（六）：编译 Doris遇到的问题

文章目录 编译 Doris遇到的问题 一、js_generator.cc:(.text+0xfc3c): undefined reference to `well_known_types_js’
阅读更多...
华为云新开源低代码引擎 TinyEngine

华为云新开源低代码引擎 TinyEngine

在当今数字化飞速发展的时代&#xff0c;企业对高效、敏捷的应用程序需求日益旺盛。为了满足这一需求&#xff0c;越来越多的低代码开发平台开始涌现。这些平台通过提供简单易用的开发工具和优化后的开发流程&#xff0c;帮助开发者快速构建高质量、可重复使用的应用程序&#…
阅读更多...
Suricata + Wireshark离线流量日志分析

Suricata + Wireshark离线流量日志分析

Suricata 环境搭建&#xff1a;基于Ubuntu坏境下的Suricata坏境搭建_奈何&#xff20;_&#xff20;的博客-CSDN博客 suricata&#xff1a;监控日志 wireshark:监控流量 同时使用需要降噪&#xff0c;因为规则有许多重叠 题目及要求我打包上传了&#xff0c;有需要的同学自…
阅读更多...
十一工具箱流量主小程序源码

十一工具箱流量主小程序源码

无授权&#xff0c;去过滤机制版本 看到网上发布的都是要授权的 朋友叫我把他去授权&#xff0c;能用就行 就把过滤去了 这样就不用授权 可以免费使用 白嫖党专属 一切接口可用&#xff0c;无需担心不能用 授权者不关站一直可以用 源码下载&#xff1a;https://download.csdn.…
阅读更多...
彻底理解浏览器cookie策略

彻底理解浏览器cookie策略

cookie介绍 为什么存在cookie&#xff1f; &#xff08;1&#xff09;cookie存在的原因 因为http请求是无状态的&#xff0c;同一个用户从浏览器向A服务器发送两次请求&#xff0c;A服务器无法判断这两次请求是否是同一个用户。所以&#xff0c;浏览器提供了客户端携带cooki…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023