Vlan端口部署ACL与VACL的差异

    （一）     通过VLAN之间ACL方式实现

    ******** 配置VLAN ********
    Switch(config)# vlan 10  // 创建vlan 10
    Switch(config-vlan)# vlan 20
    Switch(config-vlan)# vlan 30
    Switch(config-vlan)# int vlan 10
    Switch(config-if)# ip address 192.168.10.1 255.255.255.0 // 配置vlan10虚端口IP
    Switch(config-if)# int vlan 20
    Switch(config-if)# ip address 192.168.20.1 255.255.255.0
    Switch(config-if)# int vlan 30
    Switch(config-if)# ip address 192.168.30.1 255.255.255.0

    ******** 配置ACL ********
    Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
    Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255

    ******** 应用ACL至VLAN端口 ********
    Switch(config)# int vlan 10
    Switch(config-if)# ip access-group 101 in
    Switch(config)# int vlan 20
    Switch(config-if)# ip access-group 102 in

    ******** 完毕 ********

    （二）     通过VACL方式实现

    ******** 配置VLAN ********

    （同上）

    ******** 配置ACL ********
    Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
    Switch(config)# access-list 101 permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255
    （不同之处：因为VACL对数据流没有inbound和outbound之分，所以要把允许通过某vlan的IP数据流都permit才行。VLAN10允许与VLAN30通讯，而数据流又是双向的，所以要在ACL中增加VLAN30的网段）
    Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255
    Switch(config)# access-list 102 permit ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255

    ******** 配置VACL ********

    第一步：配置vlan access map
    Switch(config)# vlan access-map test1  //定义一个vlan access map，取名为test1
    Switch(config-vlan-access)# match ip address 101 // 设置匹配规则为acl 101
    Switch(config-vlan-access)# action forward // 匹配后，设置数据流转发（forward）
    Switch(config)# vlan access-map test2  //定义一个vlan access map，取名为test2
    Switch(config-vlan-access)# match ip address 102 // 设置匹配规则为acl 102
    Switch(config-vlan-access)# action forward // 匹配后，设置数据流转发（forward）

    第二步：应用VACL
    Switch(config)# vlan filter test1 vlan-list 10 //将上面配置的test1应用到vlan10中
    Switch(config)# vlan filter test2 vlan-list 20 //将上面配置的test1应用到vlan20中

    ******** 完毕 ********

    以上就是关于VLAN之间ACL和VACL的简单配置实例。我个人认为一般情况下，通过VLAN之间ACL实现访问控制比较方便，但是当VLAN的端口比较分散时，采用VACL相对而言就要简单很多。不过使用VACL的前提是交换机支持此功能，目前可能只有Cisco 3550、4500和6500系列的交换机支持。
  

上一页  [1] [2] 

【责编:Zenghui】