如何通过流策略实现VLAN间的访问权限一看便知

如何通过流策略实现VLAN间的访问权限，一看便知！！！前言VLAN（VirtualLocalAreaNetwork）即虚拟局域网，是将一个物理的LAN在逻辑上划分成多个广播域的通信技术。本文主要介绍通过流策略实现VLAN间三层隔离，也就是我们常说的对用户增加访问权限。01

过流策略实现VLAN间三层隔离1.1组网需求如图1所示，为了通信的安全性，某公司将访客、员工、服务器分别划分到VLAN10、VLAN20、VLAN30中。公司希望：员工、服务器主机、访客均能访问Internet。访客只能访问Internet，不能与其他任何VLAN的用户通信。员工A可以访问服务器区的所有资源，但其他员工只能访问服务器A的21端口（FTP服务）。​图片图1配置通过流策略实现VLAN间三层隔离组网图1.2配置思路可采用如下思路配置通过流策略实现VLAN间互访控制：配置VLAN并将各接口加入VLAN，使员工、服务器、访客间二层隔离。配置VLANIF接口及其IP地址，使员工、服务器、访客间可三层互通。配置上行路由，使员工、服务器、访客均可通过Switch访问Internet。配置并应用流策略，使员工A可以访问服务器区的所有资源，其他员工只能访问服务器A的21端口，且只允许员工访问服务器；使访客只能访问Internet。1.3操作步骤【1】配置VLAN并将各接口加入VLAN，使员工、服务器、访客间二层隔离#在Switch_1上创建VLAN10，并将接口GE1/0/1以Untagged方式加入VLAN10，接口GE1/0/2以Tagged方式加入VLAN10。Switch_2和Switch_3的配置与Switch_1类似，不再赘述。（详看文章后面的配置文件）<HUAWEI>system-view[HUAWEI]sysnameSwitch_1[Switch_1]vlanbatch10[Switch_1]interfacegigabitethernet1/0/1[Switch_1-GigabitEthernet1/0/1]portlink-typeaccess[Switch_1-GigabitEthernet1/0/1]portdefaultvlan10[Switch_1-GigabitEthernet1/0/1]quit[Switch_1]interfacegigabitethernet1/0/2[Switch_1-GigabitEthernet1/0/2]portlink-typetrunk[Switch_1-GigabitEthernet1/0/2]porttrunkallow-passvlan10[Switch_1-GigabitEthernet1/0/2]quit#在Switch_4上创建VLAN10、VLAN20、VLAN30、VLAN100，并配置接口GE1/0/1～GE1/0/4分别以Tagged方式加入VLAN10、VLAN20、VLAN30、VLAN100。<HUAWEI>system-view[HUAWEI]sysnameSwitch_4[Switch_4]vlanbatch102030100[Switch_4]interfacegigabitethernet1/0/1[Switch_4-GigabitEthernet1/0/1]portlink-typetrunk[Switch_4-GigabitEthernet1/0/1]porttrunkallow-passvlan10[Switch_4-GigabitEthernet1/0/1]quit[Switch_4]interfacegigabitethernet1/0/2[Switch_4-GigabitEthernet1/0/2]portlink-typetrunk[Switch_4-GigabitEthernet1/0/2]porttrunkallow-passvlan20[Switch_4-GigabitEthernet1/0/2]quit[Switch_4]interfacegigabitethernet1/0/3[Switch_4-GigabitEthernet1/0/3]portlink-typetrunk[Switch_4-GigabitEthernet1/0/3]porttrunkallow-passvlan30[Switch_4-GigabitEthernet1/0/3]quit[Switch_4]interfacegigabitethernet1/0/4[Switch_4-GigabitEthernet1/0/4]portlink-typetrunk[Switch_4-GigabitEthernet1/0/4]porttrunkallow-passvlan100[Switch_4-GigabitEthernet1/0/4]quit​【2】配置VLANIF接口及其IP地址，使员工、服务器、访客间可以三层互通#在Switch_4上创建VLANIF10、VLANIF20、VLANIF30、VLANIF100，并分别配置其IP地址为/24、/24、/24、/24。[Switch_4]interfacevlanif10[Switch_4-Vlanif10]ipaddress24[Switch_4-Vlanif10]quit[Switch_4]interfacevlanif20[Switch_4-Vlanif20]ipaddress24[Switch_4-Vlanif20]quit[Switch_4]interfacevlanif30[Switch_4-Vlanif30]ipaddress24[Switch_4-Vlanif30]quit[Switch_4]interfacevlanif100[Switch_4-Vlanif100]ipaddress24[Switch_4-Vlanif100]quit【3】配置上行路由，使员工、服务器、访客均可通过Switch访问Internet。#在Switch_4上配置OSPF基本功能，发布用户网段以及Switch_4与Router之间的互联网段。[Switch_4]ospf[Switch_4-ospf-1]area0[Switch_4-ospf-1-area-]network55[Switch_4-ospf-1-area-]network55[Switch_4-ospf-1-area-]network55[Switch_4-ospf-1-area-]network55[Switch_4-ospf-1-area-]quit[Switch_4-ospf-1]quitRouter上需要进行如下配置：将连接Switch的接口以Tagged方式加入VLAN100，并指定VLANIF100的IP地址与在同一网段。配置OSPF基本功能，并发布Switch与Router之间的互联网段。【4】配置并应用流策略，控制员工、访客、服务器之间的访问A、通过ACL定义每个流#在Switch_4上配置ACL3000，禁止访客访问员工区和服务器区。[Switch_4]acl3000[Switch_4-acl-adv-3000]ruledenyipdestination55[Switch_4-acl-adv-3000]ruledenyipdestination55[Switch_4-acl-adv-3000]quit#在Switch_4上配置ACL3001，使员工A可以访问服务器区的所有资源，其他员工只能访问服务器A的21端口。[Switch_4]acl3001[Switch_4-acl-adv-3001]rulepermitipsource0destination55[Switch_4-acl-adv-3001]rulepermittcpdestination0destination-porteq21[Switch_4-acl-adv-3001]ruledenyipdestination55[Switch_4-acl-adv-3001]quitB、配置流分类，区分不同的流#在Switch_4上创建流分类c_custom、c_staff，并分别配置匹配规则3000、3001。[Switch_4]trafficclassifierc_custom[Switch_4-classifier-c_custom]if-matchacl3000[Switch_4-classifier-c_custom]quit[Switch_4]trafficclassifierc_staff[Switch_4-classifier-c_staff]if-matchacl3001[Switch_4-classifier-c_staff]quitC、配置流行为，指定流动作#在Switch_4上创建流行为b1，并配置允许动作。[Switch_4]trafficbehaviorb1[Switch_4-behavior-b1]permit[Switch_4-behavior-b1]quitD、配置流策略，关联流分类和流行为#在Switch_4上创建流策略p_custom、p_staff，并分别将流分类c_custom、c_staff与流行为b1关联。[Switch_4]trafficpolicyp_custom[Switch_4-trafficpolicy-p_custom]classifierc_custombehaviorb1[Switch_4-trafficpolicy-p_custom]quit[Switch_4]trafficpolicyp_staff[Switch_4-trafficpoli