| 本月文章推荐 |
高级应用-QACL之绑定发表日期：2008-3-1
|
|
IP+MAC+端口绑定
1 功能需求及组网说明
IP地址绑定
『配置环境参数』
用户的IP地址10.1.1.2，MAC地址0000-0000-0001
『组网需求』
对合法的用户进行ip＋mac＋端口的绑定，防止恶意用户通过更换自己的地址上网的行为。
2 数据配置步骤『IP+MAC+端口绑定流程』 三层交换机中目前只有S3526系列支持使用AM命令来进行IP地址和端口的绑定。并且假如S3526系列交换机要采用AM命令来实现绑定功能，则交换机必须是做三层转发（即用户的网关应该在该交换机上）。 【采用DHCP-SECURITY来实现】 1. 配置端口的静态MAC地址 [SwitchA]mac-address static 0000-0000-0001 interface e0/1 vlan 1 2. 配置IP和MAC对应表 [SwitchA]dhcp-security 10.1.1.2 0000-0000-0001 static 3. 配置dhcp-server组号(否则不答应执行下一步，此dhcp-server组不用在交换机上创建也可) [SwitchA-Vlan-interface1]dhcp-server 1 4. 使能三层地址检测 [SwitchA-Vlan-interface1]address-check enable 【采用AM命令来实现】 1. 使能AM功能 [SwitchA]am enable 2. 进入端口视图 [SwitchA]vlan 10 3. 将E0/1加入到vlan10 [SwitchA-vlan10]port Ethernet 0/1 4. 创建（进入）vlan10的虚接口 [SwitchA]interface Vlan-interface 10 5. 给vlan10的虚接口配置IP地址 [SwitchA-Vlan-interface10]ip add 10.1.1.1 255.255.255.0 6. 进入E0/1端口 [SwitchA]interface Ethernet 0/1 7. 该端口只答应起始IP地址为10.1.1.2的10个IP地址上网 [SwitchA-Ethernet0/1]am ip-pool 10.1.1.2 10通过ACL实现的各种绑定的配置进入讨论组讨论。 1 功能需求及组网说明
各种绑定的配置 『配置环境参数』 1. 三层交换机SwitchA有两个端口ethetnet 0/1、ethernet 0/2分别属于vlan 1、vlan 2 2. vlan 1、vlan 2的三层接口地址分别是1.0.0.1/8、2.0.0.1/8，上行口G 1/1是trunk端口，并答应vlan 3 通过 『组网需求』 1. 静态mac、端口捆绑：端口ethetnet 0/1仅仅答应pc1（mac：0.0.1）接入。 2. 动态mac、端口捆绑：端口ethetnet 0/1仅仅答应一个主机（任何mac地址）接入。 3. ip、端口捆绑：端口ethetnet 0/1仅仅答应ip地址为（ip：1.0.0.2）的主机接入 4. ip、mac捆绑：vlan 1下的主机pc1（mac：0.0.1）必须使用ip地址（ip：1.0.0.2）才可以通过交换机。 5. mac、ip、端口捆绑：端口ethetnet 0/1仅仅答应mac地址为（mac：0.0.1）而且ip地址为（ip：1.0.0.2）的主机接入。 2 数据配置步骤『各种接入控制流程』 本例以3526E为例 【静态mac、端口捆绑】 这里必须严格rule规则的顺序，否则不生效。 1. 创建ACL [SwitchA]acl num 200 2. 定义规则禁止E0/1去往任意端口的数据包 [SwitchA-acl-link-200]rule 0 deny ingress interface e0/1 egress any 3. 定义规则答应0.0.1的MAC地址从E0/1发住任意端口 [SwitchA-acl-link-200]rule 1 permit ingress 0.0.1 interface e0/1 egress any 4. 下发访问控制列表 [SwitchA]packet-filter link-group 200 【动态mac、端口捆绑】 1. 定义端口最大MAC地址学习数为1 [SwitchA-Ethernet0/2]mac-address max-mac-count 1 【ip、端口捆绑】 注：这是用QACL命令实现的，该功能在S3526系列交换机上可以使用用静态dhcp和am命令分别实现，具体情况请参考上面的内容。 1. 创建ACL [SwitchA]acl num 1 2. 定义规则禁止所有的IP报文 [SwitchA-acl-basic-1]rule 0 deny source any 3. 定义规则答应源地址1.0.0.2主机[SwitchA-acl-basic-1]rule 1 permit source 1.0.0.2 0 4. 创建ACL [SwitchA]acl num 200 5. 定义规则 [SwitchA-acl-link-200]rule 0 deny ingress interface e0/1 egress any [SwitchA-acl-link-200]rule 1 permit ingress interface e0/1 egress any 6. 下发访问控制列表，禁止E0/1的所有的IP报文 [SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 0 7. 下发访问控制列表，答应主机1.0.0.2报文通过E0/1 [SwitchA]packet-filter ip-group 1 rule 1 link-group 200 rule 1进入讨论组讨论。 【ip、mac捆绑】
1. 创建ACL
[SwitchA]acl number 1
2. 定义规则答应特定IP
[SwitchA-acl-basic-1]rule 0 permit source 1.0.0.2 0
[SwitchA]acl number 200
3. 定义规则禁止特定MAC
[SwitchA-acl-link-200]rule 0 deny ingress 1 0000-0000-0001 0000-0000-0000 egress any
4. 定义规则答应特定MAC
[SwitchA-acl-link-200]rule 1 permit ingress 1 0000-0000-0001 0000-0000-0000 egress any
5. 下发访问控制列表，禁止特定mac 0.0.1
[SwitchA]packet-filter link-group 200 rule 0
6. 下发访问控制列表，答应符合IP的特定mac
[SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 1
【ip、mac和端口捆绑】
1. 创建ACL
[SwitchA]acl number 1
2. 定义规则答应1.0.0.2主机
[SwitchA-acl-basic-1]rule 0 permit source 1.0.0.2 0
3. 创建ACL
[SwitchA]acl number 200
4. 定义规则禁止E0/1发往任何端口的数据
[SwitchA-acl-link-200]rule 0 deny ingress interface Ethernet0/1 egress any
5. 定义规则答应0.0.1这台主机从E0/1去往任意端口
[SwitchA-acl-link-200]rule 1 permit ingress 1 0000-0000-0001 0000-0000-0000 egress any
6. 下发访问控制列表 [SwitchA]packet-filter link-group 200 rule 0 [SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 1 附件(本网站支持断点续传下载，建议使用FlashGet、NetAnts等支持断点续传的工具下载,登录用户请查看帮助) 
交换机qacl之绑定.doc
进入讨论组讨论。
|
| 上一篇：华为QuidwayS8016骨干交换机在银行中的应用
人气:651 下一篇：高级应用-QACL之访问控制 人气:783 |
| 浏览全部华为网络的内容
Dreamweaver插件下载 网页广告代码 祝你圣诞节快乐 2009年新年快乐 |
