Фильтрация трафика на коммутаторах Huawei, например S5735

-



Есть несколько способов, рассмотрим способ с помощью traffic-policy

Итак нам нужно сначала создать ACL

Например у нас есть Vlan 2 (192.168.1.0/24) и мы хотим чтоб все ПК в этом VLAN могли ходить куда угодно кроме сети 192.168.2.0/24.

Создадим такой ACL:

acl number 3200
  rule 10 deny ip destination 192.168.2.0 0.0.0.255
  rule 40 permit ip source 192.168.1.0 0.0.0.255

Теперь нужно создать классификатор ну и описать поведение:
 

traffic classifier 3200 operator or
  if-match acl 3200

traffic behavior 3200
  statistic enable
 

И применить политику к VLAN:

vlan 2
  description PC
  name PC
  traffic-policy 3200 inbound

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

Статические маршруты и петли маршрутизации

-
 Допустим у вас есть маршрутизатор, он является шлюзом по умолчанию для ПК. Пусть сеть ПК будет 192.168.0.0 255.255.255.0 Так же у вас есть сеть принтеров 192.168.1.0 255.255.255.0 И предположим есть файрвол, он связан с маршрутизатором PtP сетью например 10.0.0.0 255.255.255.252 Сети у вас иногда добавляются но их немного и вам нет смысла поднимать динамическую маршрутизацию. Но вы на файрволе прописали маршрут на сети 192.168.0.0 255.255.0.0 через маршрутизатор 10.0.0.1 А на маршрутизаторе маршрут по умолчанию на файрвол. И теперь если мы пинганем принтер 192.168.1.5 то если он существует мы увидим ответ а если его нет то будет таймаут. А вот если мы пинганем адрес 192.168.2.5 то мы увидим ответ от маршрутизатора что истек TTL потому что у маршрутизатора адрес 192.168.2.5 попадает в маршрут по умолчанию на файрвол, а у файрвола он же в маршрут на сети 192.168.0.0 255.255.0.0 на маршрутизатор. Так они и шлют трафик друг другу пока не истечет TTL. Что делать? 1. Прописать маршруты ...
Далее...

Двухфакторная аутентификация на VPN шлюзах для всех

-
Двухфакторная аутентификация с использованием одноразовых паролей, является одним из самых надежных методов защиты от несанкционированного доступа к внутренним ресурсам компании, так как с одной стороны делает утечку логина/пароля не достаточной для того чтоб злоумышленник смог получить доступ, и с другой делает невозможной перебор паролей, так как перебирать нужно одновременно логин, пароль и одноразовый пароль, а он все время разный. Одноразовый пароль можно например отправить по СМС или по электронной почте, или можно его сгенерировать при помощи программного или аппаратного токена что наиболее удобно и бесплатно. Поставщиков программного обеспечения для двухфакторной аутентификации великое множество, как облачных так и тех кто позволяет развернуть его внутри компании. Для примера приведем несколько подобных: DUO SafeNet MFASoft Multifactor multiOTP   Большинство подобных продуктов состоит, как минимум из следующих компонентов: 1. Radius сервера, который взаимодействует с ш...
Далее...

Собираем в L2 домен пару портов в BDI и порты на Switch карте на Cisco 4331

-
Допустим у нас есть потребность связать в один L2 домен пару SFP портов на шасси, и плюс ко всему мы еще и модуль NIM-ES2-4 используем и подключаем к нему тоже например коммутатор. Что нам потребуется: 1. Настроить BDI и VLAN интерфейсы 2. Настроить на портах на шасси параметры добавления удаления тегов dot1q  3. Настроить Vlan'ы Пример: vlan 2  name MGMT ! vlan 3  name PC ! interface GigabitEthernet0/0/0  no ip address  negotiation auto  service instance 2 ethernet   encapsulation dot1q 2   rewrite ingress tag pop 1   rewrite egress tag push dot1q 2   l2protocol peer stp   bridge-domain 2  !  service instance 3 ethernet   encapsulation dot1q 3   rewrite ingress tag pop 1   rewrite egress tag push dot1q 3   l2protocol peer stp   bridge-domain 3  ! interface GigabitEthernet0/0/1  no ip address  negotiation auto  service instance 2 ethernet   encapsulation dot1q 2   rewr...
Далее...