iT邦幫忙

0

L3 switch Vlan的ACL觀念問題

有一台Extreme summit 200-24的L3 switch
設定完vlan
enable ipforwarding,啟動vlan間的路由後
所有的vlan都可以相通

但公司沒有要讓vlan全相通,需設定成,
ex: v1 vlan可以連v2 vlan,但v2 vlan不能連v1 vlan(VLAN間的單向訪問)
vl vlan ip=192.168.1.0
v2 vlan ip=192.168.2.0

有試著設定ACL

create access-mask m1 dest-ip /24 source-ip /24 precedence 25
create access-list list1 access-mask m1 dest-ip 192.168.1.0 /24 source-ip 192.168.2.0 /24 deny

但設定完後,v1 vlan和v2 vlan都沒辦法互通

廠商說這台沒辦法做到ex:v1 vlan可以連v2 vlan,但v2 vlan不能連v1 vlan的設定,
三向式交握會有問題

使用者手冊上還有另一種設定方法"permit-established"
但只能設定dest-L4port,沒法根據vlan或ip下去設定

以下是我的問題:
Q1:L3 switch啟動vlan間的路由後,也是所有的vlan都相通嗎?

Q2:在網路上有看到,好像有的L3 switch可以做到ex: v1 vlan可以連v2 vlan,但v2 vlan不能連v1 vlan,例如cisco 3550 switch,可以設定完ACL後應用在VLAN,
所以L3 switch能不能做到,是要看L3 switch本身有沒有提供這個功能嗎?

Q3:在網路上還有看到"VACL"這個名詞,何謂VACL?
VACL和ACL應用在VLAN有什麼差別?
VACL也是要看L3 switch本身有沒有支援嗎?

感謝回答!!

2 個回答

28
star03629
iT邦新手 4 級 ‧ 2009-08-23 19:02:23
最佳解答

Q1. 是

Q2. 對, 例如 Juniper EX-Series 的 L3-switch , 他有 firewall filter(類似 ACL) 跟 routing policy 這兩項功能做到你想要的需求

Q3.
a) 何謂VACL ?
我们常说的VLAN之间的访问控制,它的实现方式是将ACL直接应用到VLAN的虚端口上,与应用到物理端口的ACL实现方式是一样的。而VLAN访问控制(VACL),也称为VLAN访问映射表,它的实现方式与前者完全不同。它应用于VLAN中的所有通信流,支持基于ETHERTYPE和MAC地址的过滤,可以防止未经授权的数据流进入VLAN。目前支持的VACL操作有三种:转发(forward),丢弃(drop),重定向(redirect)。

b)VACL和ACL應用在VLAN有什麼差別?
不同之處:因為VACL對data stream 没有inbound和outbound之分,所以同1個情景應用ACL的話, 只要設一個 Destination and Source, 但應用到VACL的話, 就要 Destination to Source and Source to Destination 兩個方向

c)VACL也是要看L3 switch本身有沒有支援嗎?
對, Cisco的話目前可能只有Cisco 3550、4500和6500系列的Switch支持。

8
max193
iT邦新手 4 級 ‧ 2009-08-25 18:30:24

關於Extreme 200-24 ACL的設定,印象中應該這樣做,若有誤,望請各位前輩指正。
enable ipforwarding 這條指令,是在所有ACL指令下完後才執行的,你可以試試看再下一次enable ipforwarding,看看這樣是不是OK。

hope35520 iT邦新手 2 級 ‧ 2009-08-27 17:30:57 檢舉

剛測試了
把enable ipforwarding留在最後才下
但結果還是一樣
v1 vlan和v2 vlan互不相通

max193 iT邦新手 4 級 ‧ 2009-08-28 11:42:50 檢舉

再試試把允許訪問的條件加上去試試看:
create access-mask m2 dest-ip /24 source-ip /24 precedence 24 permit-established
create access-list list2 access-mask m2 dest-ip 192.168.2.0 /24 source-ip 192.168.1.0 /24 permit

我要發表回答

立即登入回答