内容参考:华为文档 实验复现:释然IT杂谈 文案排版:释然IT杂谈 (转载保持格式哦)
一、前言:
如何对同一VLAN下用户进行隔离呢,如果实现部分VLAN互通、部分VLAN隔离呢,如何针对某个用户、或某个网段用户进行隔离呢,下面就一一道来 。
二、同一VLAN下用户进行隔离:
如果不希望同一VLAN下某些用户进行互通,可以通过配置端口隔离实现。
下面通过一个实验来详细讲解如何实现端口隔离:
如下图所示,三台PC属于同一VLAN、同一网段,配置完成后,三台PC都可以互访,现在要求PC1和PC2之间不能互通,PC1和PC3能够互通、PC2和PC3能够互通。
配置过程如下:
<Huawei>sys
[Huawei]vlan 10
[Huawei-vlan10]quit
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 10
[Huawei-GigabitEthernet0/0/1]port-isolate enable
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]interface GigabitEthernet 0/0/2
[Huawei-GigabitEthernet0/0/2]port link-type access
[Huawei-GigabitEthernet0/0/2]port default vlan 10
[Huawei-GigabitEthernet0/0/2]port-isolate enable
[Huawei-GigabitEthernet0/0/2]quit
[Huawei]interface GigabitEthernet 0/0/3
[Huawei-GigabitEthernet0/0/3]port link-type access
[Huawei-GigabitEthernet0/0/3]port default vlan 10
#公众号:释然IT杂谈
验证配置结果:
PC1 ping PC2,无法ping通。
PC1 ping PC3,可以ping通。
PC2 ping PC3,也可以ping通。
OK!配置成功。
三、MUX VLAN进行隔离:
部分VLAN间可以互通、部分VLAN间隔离、VLAN内用户隔离――通过MUX VLAN实现,MUX VLAN只适用于二层网络中、对同一网段的用户进行互通和隔离。
MUX VLAN分为Principal VLAN和Subordinate VLAN,Subordinate VLAN又分为Separate VLAN和Group VLAN。
下面通过一个例子详解介绍通过MUX VLAN进行VLAN互通和隔离。如下图所示,由于不同的PC属于不同的部门,需要对用户进行互通和隔离。
详细配置步骤如下:
1、创建VLAN 10、20、30
[Huawei]vlan batch 10 20 30
2、将VLAN 10配置为Principal VLAN,将VLAN20配置为Group VLAN ,将VLAN 30配置为Separate VLAN
[Huawei]vlan 10
[Huawei-vlan10]mux-vlan
[Huawei-vlan10]subordinate group 20
[Huawei-vlan10]subordinate separate 30
[Huawei-vlan10]quit
3.将Server的G0/0/5口假如Principal Vlan 10 ,并开启MUX VLAN功能
[Huawei]interface GigabitEthernet 0/0/5
[Huawei-GigabitEthernet0/0/5]port link-type access
[Huawei-GigabitEthernet0/0/5]port default vlan 10
[Huawei-GigabitEthernet0/0/5]port mux-vlan enable ##V200R003C00及之前版本不需要指定VLAN,即命令port mux-vlan enable
#公众号:释然IT杂谈
4.将pc1和pc2加入Group VLAN 20 ,并启用MUX VLAN 将PC3和PC4加入Separate VLAN 30
[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 20
[Huawei-GigabitEthernet0/0/1]port mux-vlan enable
[Huawei-GigabitEthernet0/0/1]quit
[Huawei]interface GigabitEthernet 0/0/2
[Huawei-GigabitEthernet0/0/2]port link-type access
[Huawei-GigabitEthernet0/0/2]port default vlan 20
[Huawei-GigabitEthernet0/0/2]port mux-vlan enable
[Huawei-GigabitEthernet0/0/2]quit
[Huawei]interface GigabitEthernet 0/0/3
[Huawei-GigabitEthernet0/0/3]port link-type access
[Huawei-GigabitEthernet0/0/3]port default vlan 30
[Huawei-GigabitEthernet0/0/3]port mux-vlan enable
[Huawei-GigabitEthernet0/0/3]quit
[Huawei]interface GigabitEthernet 0/0/4
[Huawei-GigabitEthernet0/0/4]port link-type access
[Huawei-GigabitEthernet0/0/4]port default vlan 30
[Huawei-GigabitEthernet0/0/4]port mux-vlan enable
[Huawei-GigabitEthernet0/0/4]quit
[Huawei]
#公众号:释然IT杂谈
OK,配置完成,让我们来验证一下配置结果吧。
所有PC都可以和Principal VLAN中的Server互通。
PC1 ping Server
PC3 ping Server
所有Group VLAN中的PC可以互通,但是不可以和Separate VLAN中的PC互通。
PC1 ping PC2
PC1 ping PC3
Separate VLAN的PC隔离,不能互通。
PC3 ping PC4
四、通过流策略进行隔离:
如上图所示,Server属于192.168.3.0/24网段,PC1和PC2属于192.168.1.0/24,PC3和PC4属于192.168.2.0/24网段。
假设所有VLAN已经通过VLANIF接口实现VLAN间互通,详细配置方法不做赘述。
将 Server的网关设置为192.168.3.1,将PC1和PC2的网关设置为192.168.1.1,将PC2和PC4的网关设置为192.168.2.1。VLAN10、VLAN20和VLAN100内所有设备能够互通,例如:在PC1上ping Server,能够ping通。
现在要求PC3和PC4所在网段设备能够访问 Server,PC1和PC2所在网段设备禁止访问 Server。
在LSW1上配置ACL和流策略进行隔离,192.168.1.0/24网段的设备禁止访问Server,详细配置步骤如下:
1.配置基本ACl 2000对PC1和PC2所在的网段进行过滤
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule deny source 192.168.1.0 0.0.0.255
[Huawei-acl-basic-2000]quit
#公众号:释然IT杂谈
2.配置流分类c1,匹配ACL2000
[Huawei]traffic classifier c1
[Huawei-classifier-c1]if-match acl 2000
[Huawei-classifier-c1]quit
#公众号:释然IT杂谈
3.配置流行为b1,动作为deny,匹配到源地址为192.168.1.0网段的报文,则禁止通过
[Huawei]traffic behavior b1
[Huawei-behavior-b1]deny
[Huawei-behavior-b1]quit
#公众号:释然IT杂谈
4.配置流策略p1,将流分类和流行为关联
[Huawei]traffic policy p1
[Huawei-trafficpolicy-p1]classifier c1 behavior b1
[Huawei-trafficpolicy-p1]quit
#公众号:释然IT杂谈
5.在LSW1上的G0/0/3接口的出方向应用流策略p1
[Huawei]interface GigabitEthernet 0/0/3
[Huawei-GigabitEthernet0/0/3]traffic-policy p1 outbound
[Huawei-GigabitEthernet0/0/3]quit
#公众号:释然IT杂谈
配置完之后,我们再来验证一下PC1是否能够ping通 Server呢?
但是PC3任然可以ping同Server。
OK,配置成功,大功告成。
PS:通过ACL和流策略对VLAN进行隔离,是一种非常灵活的方式,也可以对单个用户进行隔离,ACL只要匹配单个用户的IP即可。