iT邦幫忙

0

內網PC限制存取其他網段電腦

請問一下
公司架構為: 防火牆 > L2 CoreSwitch> Switch > PC
有切VLAN,10.1.1.0/24 & 10.1.2.0/24
兩個vlan的 gateway都在CoreSwitch

目前有PC1在 10.1.1.1,gateway=10.1.1.254,可以存取10.1.2.0/24 這個網段
請問有辦法讓這台電腦可以上網,但是無法存取10.1.2.0/24 這個網段嗎?
(我有試過在此PC上增加靜態路由,把10.1.2.254這個網段的gateway改成一個假的
也是不行)

slime iT邦大師 1 級 ‧ 2013-02-27 12:38:44 檢舉
core switch 型號?
nick0819 iT邦新手 4 級 ‧ 2013-03-04 14:28:42 檢舉
感謝各位的幫忙,謝謝。
2
zyman2008
iT邦大師 8 級 ‧ 2013-03-01 18:01:23
最佳解答

Extreme Alpine 3804是layer 3 switch,不是 layer 2 switch.

你要的 ACL 設定如下:
create access-list acl01 ip destination 10.1.2.0/24 source 10.1.1.1/32 deny ports any precedence 1

8
willhomwtw
iT邦新手 1 級 ‧ 2013-02-27 12:47:28

PC上增加靜態路由 這樣下看看..
route add -p 10.1.2.0 mask 255.255.255.0 10.1.1.123 (假的 gw)
試試

nick0819 iT邦新手 4 級 ‧ 2013-02-27 14:46:45 檢舉

感謝你的幫忙……這個試過………不行呢……

10.1.1.254 跟 10.1.2.254 是 同一個 l3 的 coreswitch 嗎

nick0819 iT邦新手 4 級 ‧ 2013-02-27 17:15:33 檢舉

coreswitch 是L2的

11
yesongow
iT邦大師 1 級 ‧ 2013-02-27 14:30:03

CoreSwitch是L2 or L3呢?
若是L2,則CoreSwitch只有一個IP,且並無Routing功能,只能提供切Port的VLAN,並不能達到IP Vlan的功能,那區網的GateWay(10.1.1.254/24與10.1.2.254/24)應該是兩套Firewall的LAN Port嗎?

若是L3,則CoreSwitch應該有兩至三個Vlan IP,個別為
VLAN1=10.1.1.254/24 for PC group
VLAN2=10.1.2.254/24 for Server Gruop
VLAN3=10.1.3.254/25 for Wan,for Firewall,for outside
一般來說,L3 Switch並不會限制Vlan 1 與Vlan 2的網路連線,若要限制PC1從VLan1去存取Vlan2 的Server,

方式一:則提供CoreSwitch的品牌與型號,以便查詢手冊,與提供指令。
或是
方式二:在Vlan 2的Server上,安裝or啟動(系統防火牆),以便限制From Vlan 1 Any_IP to Access Vlan 2 Server Any_Port

我怕寫在(討論)版主會沒有看到,故,寫在(回答區)

另外一種
方式三:CoreSwitch 為Layer2交換器,有切以下VLAN
Vlan1=Port 1 ~Port 12,Port12接Firewall 的LAN port,Firewall LAN_IP=10.1.1.254/24
Vlan2=Port 13 ~Port24,Port24接Firewall的DMZ Port,Firewall DMZ IP=10.1.2.254/24
防火牆須設定規則,
Deny IP From LAN 10.1.1.1/24 to DMZ ANY
Allow IP From LAN ANY to WAN ANY
Allow IP From LAN ANY to DMZ ANY

至於WAN to DMZ規則,與DMZ to LAN,DMZ to WAN的規則,不在此贅述。

nick0819 iT邦新手 4 級 ‧ 2013-02-27 17:24:08 檢舉

感謝大大的幫忙
CoreSwitch 是Layer2
CoreSwitch 接到firewall 只有一個LAN PORT,沒有用到兩個LAN PORT

所以是不是沒有辦法在CoreSwitch上下手?(因為不是L3的)
從防火牆下手更不行,因為CoreSwitch 和 Firewall只有各用一個PORT對接
這樣是不是從PC1裝個軟體防火牆來檔連到10.1.2.0/24較好呢?

yesongow iT邦大師 1 級 ‧ 2013-02-27 18:13:18 檢舉

兩個vlan的 gateway都在CoreSwitch

語意不詳!
是否代表
[[這兩個VLAN所用到的gateway(10.1.1.254/24與10.1.2.254/24)都設在CoreSwitch]]
嗎?
是這意思嗎?那此CoreSwitch應該是Layer3的,能否提供品牌與型號?

若您真強調此CoreSwitch是Layer2 Switch,那是否表示防火牆的LAN有支援Port Trunking功能,能模擬多LAN並搭配Trunking使用?
此防火牆只有WAN Port與LAN Port?
而LAN Port開啟Trunking功能,並建立對應的網卡,
LAN1.1=10.1.1.254/24,且Tag=1
LAN1.2=10.1.2.254/24,且Tag=2

還是Firewall的LAN沒有支援Trunking (802.1Q),只是將LAN設定了兩個IP
一個是10.1.1.254/24,另外一個IP,用alias方式,設定為10.1.2.254/24,是這樣嗎?
還請nick0819詳細解說。
此CoreSwitch是否提供品牌與型號?

nick0819 iT邦新手 4 級 ‧ 2013-03-01 09:47:17 檢舉

[[這兩個VLAN所用到的gateway(10.1.1.254/24與10.1.2.254/24)都設在CoreSwitch]]嗎?

是的
CoreSwitch廠牌和型號為 extreme Alpine 3804
防火牆有支援Port Trunking,LAN Port 沒有在另外設定IP
防火牆LAN PORT <-- 一條網路線相接 --> CoreSwitch
CoreSwitch <-- 兩條網路線各再接到SWITCH --> SWITCH <-- --> PC

再麻煩幫忙一下,謝謝。

8
aaronlin
iT邦新手 3 級 ‧ 2013-02-27 17:25:08

可以大概告知CoreSwitch的廠牌型號嗎?
不然沒辦法幫你想指令疑惑
因為你的需求很簡單
就直接在CoreSwitch上設定ACL禁止A網段到B網段即可!!
其他Default Gateway都設定在防火牆上就搞定了!!
不過不知道你的廠牌型號很難幫你@@
而且L2沒Route功能!!要坐的話變成要在防火牆上面設定了~

nick0819 iT邦新手 4 級 ‧ 2013-03-01 09:48:57 檢舉

CoreSwitch廠牌和型號為 extreme Alpine 3804
再麻煩幫忙一下,謝謝。

nick0819 iT邦新手 4 級 ‧ 2013-03-04 14:31:55 檢舉

感謝大家的幫忙,謝謝。

我要發表回答

立即登入回答