ACL实现单向访问

业务部门（VLAN10）管理部门（VLAN20）现想实现VLAN之间的单向访问（无法提前知道软件端口），也就是业务部分无法访问管理部门；管理部门可以访问业务部门方式1：允许VLAN10响应VLAN20的TCP连接请求；不允许VLAN10访问VLAN20acl number 3001rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination

guo1wu3shi4

9091人浏览 · 2021-12-09 20:28:02

guo1wu3shi4 · 2021-12-09 20:28:02 发布

业务部门（VLAN10）

管理部门（VLAN20）

现想实现VLAN之间的单向访问（无法提前知道软件端口），也就是业务部分无法访问管理部门；管理部门可以访问业务部门

方式1：允许VLAN10响应VLAN20的TCP连接请求；不允许VLAN10访问VLAN20
acl number 3001                           
 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 tcp-flag established
 rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

traffic-filter vlan 10 inbound acl 3001

方式2：ACK和RST就是对TCP的连接请求的响应
acl number 3002         
 rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 tcp-flag ack
 rule 10 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 tcp-flag rst                 
 rule 15 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

traffic-filter vlan 10 inbound acl 3002