內網PC限制存取其他網段電腦

路由器 router

nick0819 2013-02-27 11:41:54 ‧ 10552 瀏覽

請問一下
公司架構為：防火牆 > L2 CoreSwitch> Switch > PC
有切VLAN，10.1.1.0/24 & 10.1.2.0/24
兩個vlan的 gateway都在CoreSwitch

目前有PC1在 10.1.1.1，gateway=10.1.1.254，可以存取10.1.2.0/24 這個網段
請問有辦法讓這台電腦可以上網，但是無法存取10.1.2.0/24 這個網段嗎？
(我有試過在此PC上增加靜態路由，把10.1.2.254這個網段的gateway改成一個假的
也是不行)

slime iT邦大師 1 級 ‧ 2013-02-27 12:38:44 檢舉

core switch 型號?

nick0819 iT邦新手 4 級 ‧ 2013-03-04 14:28:42 檢舉

感謝各位的幫忙，謝謝。

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

4 個回答

zyman2008

iT邦大師 6 級 ‧ 2013-03-01 18:01:23

最佳解答

Extreme Alpine 3804是layer 3 switch,不是 layer 2 switch.

你要的 ACL 設定如下:
create access-list acl01 ip destination 10.1.2.0/24 source 10.1.1.1/32 deny ports any precedence 1

回應
分享
檢舉

登入發表回應

willhomwtw

iT邦研究生 5 級 ‧ 2013-02-27 12:47:28

PC上增加靜態路由這樣下看看..
route add -p 10.1.2.0 mask 255.255.255.0 10.1.1.123 (假的 gw)
試試

回應 3
分享
檢舉

nick0819 iT邦新手 4 級 ‧ 2013-02-27 14:46:45 檢舉

感謝你的幫忙……這個試過………不行呢……

willhomwtw iT邦研究生 5 級 ‧ 2013-02-27 16:14:26 檢舉

10.1.1.254 跟 10.1.2.254 是同一個 l3 的 coreswitch 嗎

nick0819 iT邦新手 4 級 ‧ 2013-02-27 17:15:33 檢舉

coreswitch 是L2的

登入發表回應

yesongow

iT邦大師 1 級 ‧ 2013-02-27 14:30:03

CoreSwitch是L2 or L3呢？
若是L2，則CoreSwitch只有一個IP，且並無Routing功能，只能提供切Port的VLAN，並不能達到IP Vlan的功能，那區網的GateWay(10.1.1.254/24與10.1.2.254/24)應該是兩套Firewall的LAN Port嗎？

若是L3，則CoreSwitch應該有兩至三個Vlan IP，個別為
VLAN1=10.1.1.254/24 for PC group
VLAN2=10.1.2.254/24 for Server Gruop
VLAN3=10.1.3.254/25 for Wan,for Firewall,for outside
一般來說，L3 Switch並不會限制Vlan 1 與Vlan 2的網路連線，若要限制PC1從VLan1去存取Vlan2 的Server，

方式一：則提供CoreSwitch的品牌與型號，以便查詢手冊，與提供指令。
或是
方式二：在Vlan 2的Server上，安裝or啟動(系統防火牆)，以便限制From Vlan 1 Any_IP to Access Vlan 2 Server Any_Port

我怕寫在(討論)版主會沒有看到，故，寫在(回答區)

另外一種
方式三：CoreSwitch 為Layer2交換器，有切以下VLAN
Vlan1=Port 1 ~Port 12，Port12接Firewall 的LAN port，Firewall LAN_IP=10.1.1.254/24
Vlan2=Port 13 ~Port24，Port24接Firewall的DMZ Port，Firewall DMZ IP=10.1.2.254/24
防火牆須設定規則，
Deny IP From LAN 10.1.1.1/24 to DMZ ANY
Allow IP From LAN ANY to WAN ANY
Allow IP From LAN ANY to DMZ ANY

至於WAN to DMZ規則，與DMZ to LAN，DMZ to WAN的規則，不在此贅述。

回應 3
分享
檢舉

nick0819 iT邦新手 4 級 ‧ 2013-02-27 17:24:08 檢舉

感謝大大的幫忙
CoreSwitch 是Layer2
CoreSwitch 接到firewall 只有一個LAN PORT，沒有用到兩個LAN PORT

所以是不是沒有辦法在CoreSwitch上下手？（因為不是L3的）
從防火牆下手更不行，因為CoreSwitch 和 Firewall只有各用一個PORT對接
這樣是不是從PC1裝個軟體防火牆來檔連到10.1.2.0/24較好呢？

yesongow iT邦大師 1 級 ‧ 2013-02-27 18:13:18 檢舉

兩個vlan的 gateway都在CoreSwitch

語意不詳！
是否代表
[[這兩個VLAN所用到的gateway(10.1.1.254/24與10.1.2.254/24)都設在CoreSwitch]]
嗎？
是這意思嗎？那此CoreSwitch應該是Layer3的，能否提供品牌與型號？

若您真強調此CoreSwitch是Layer2 Switch，那是否表示防火牆的LAN有支援Port Trunking功能，能模擬多LAN並搭配Trunking使用？
此防火牆只有WAN Port與LAN Port？
而LAN Port開啟Trunking功能，並建立對應的網卡，
LAN1.1=10.1.1.254/24，且Tag=1
LAN1.2=10.1.2.254/24，且Tag=2

還是Firewall的LAN沒有支援Trunking (802.1Q)，只是將LAN設定了兩個IP
一個是10.1.1.254/24，另外一個IP，用alias方式，設定為10.1.2.254/24，是這樣嗎？
還請nick0819詳細解說。
此CoreSwitch是否提供品牌與型號？

nick0819 iT邦新手 4 級 ‧ 2013-03-01 09:47:17 檢舉

[[這兩個VLAN所用到的gateway(10.1.1.254/24與10.1.2.254/24)都設在CoreSwitch]]嗎？

是的
CoreSwitch廠牌和型號為 extreme Alpine 3804
防火牆有支援Port Trunking，LAN Port 沒有在另外設定IP
防火牆LAN PORT <-- 一條網路線相接 --> CoreSwitch
CoreSwitch <-- 兩條網路線各再接到SWITCH --> SWITCH <-- --> PC

再麻煩幫忙一下，謝謝。

登入發表回應

aaronlin

iT邦新手 3 級 ‧ 2013-02-27 17:25:08

可以大概告知CoreSwitch的廠牌型號嗎?
不然沒辦法幫你想指令
因為你的需求很簡單
就直接在CoreSwitch上設定ACL禁止A網段到B網段即可!!
其他Default Gateway都設定在防火牆上就搞定了!!
不過不知道你的廠牌型號很難幫你@@
而且L2沒Route功能!!要坐的話變成要在防火牆上面設定了~