華為交換中端產(chǎn)品qacl配置案例集(編輯修改稿)
2025-05-14 00:01 本頁面
【文章內(nèi)容簡介】 。 186 dscp 0packetfilter inbound ipgroup 120 notcareforinterfacepacketfilter inbound ipgroup 121 notcareforinterfacepacketfilter inbound ipgroup 122 notcareforinterfacepacketfilter inbound ipgroup 123 notcareforinterfacepacketfilter inbound ipgroup 124 notcareforinterfacepacketfilter inbound ipgroup 125 notcareforinterface【問題分析】當我們做完配置時，軟件對配置進行了相應的記錄，我們使用save命令就可以將這些記錄保存在配置文件中，每次啟動后按照此記錄的順序逐條下發(fā)。由于acl的功能和下發(fā)順序密切相關，所以軟件上應該能夠保證啟動后的配置順序和啟動前的順序一致性。本問題出在軟件在build run時將acl和qos的順序進行了調(diào)整，將qos的動作放在了acl的動作之后，相當于人為的提高了qos動作的優(yōu)先級，重起后造成了部分acl失效。將acl刪除后再下發(fā)，再次改變了匹配順序，acl規(guī)則生效。由于軟件設計時將acl和qos設計成了兩個模塊，而build run的各個模塊是獨立的，所以此部分更改起來需要徹底更改設計方案，變動實在太大?！窘鉀Q辦法】可以將qos的操作移動到前面的端口來做，由于build run的順序是按照端口順序來做的，這樣qos就會先行下發(fā)，acl的動作后下發(fā)，避免了覆蓋的發(fā)生。對于上面的例子，也可以將acl186再添加兩條如下藍色字體的規(guī)則，acl number 186 rule 1 permit ip source destination anyrule 5 permit ip source destination rule 6 permit ip source destination 【案例5】我這里用戶有這樣的一個需求，請幫我確定一下應如何配置：核心使用6506，邊緣節(jié)點使用五臺3526E（使用二層），3526E和6506之間使用trunk模式，用戶分為了7個網(wǎng)段。vlan分別為2－8，－。考慮了網(wǎng)絡安全，用戶需要如下要求：：能夠訪問internet網(wǎng)，但不能訪問其他網(wǎng)段；：能夠訪問其他網(wǎng)段，但不能訪問internet網(wǎng)；。，這兩個網(wǎng)段內(nèi)的用戶都通過一個3526E接到6506上，請協(xié)助確定如何在6506上使用訪問控制策略。多謝?！窘鉀Q方案】1．根據(jù)需求的字面意思來配置，思路清晰，但比較浪費表項。21－－22 deny21－－23 deny21－－24 deny 21－－25 deny21－－26 deny21－－27 deny22－－any deny22－－21 peimit22－－23 peimit22－－24 peimit22－－25 peimit22－－26 peimit22－－27 permit2．對需求進行分析，將網(wǎng)段加以合并
教學教案相關推薦
鄂ICP備17016276號-1