H3C交换机单向访问控制

H3C交换机单向访问控制

交换机vlan10:172.16.1.254,vlan1:192.168.1.225
PC1:192.168.1.224 网关192.168.1.225
PC2:172.16.1.10 网关 172.16.1.254

ICMP单向访问控制:

192.168.1.224可以ping172.16.1.10,反过来拒绝

抓包分析:
H3C交换机单向访问控制_第1张图片
上图是192.168.1.224去ping172.16.1.10的包,要满足反向拒绝,则源地址是172.16.1.10,icmp类型为echo

配置方法:
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 1 deny icmp icmp-type echo source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit

[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit

至此:192.168.1.224可以ping172.16.1.10,反过来拒绝
------------------------------------------------------------------------------------------------------------------


TCP单向访问控制:

192.168.1.224可以访问172.16.1.10所有tcp端口,反过来拒绝

以tcp445端口为例抓包分析:
H3C交换机单向访问控制_第2张图片
上图是192.168.1.224去telnet 172.16.1.10的445端口包,要满足反向拒绝,则源地址是172.16.1.10,tcp 第一次握手包 SYN 0。

配置方法:
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 2 deny tcp syn 0 source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit

[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit

192.168.1.224可以访问172.16.1.10所有tcp端口,反过来拒绝



注意:如果测试过滤第一次握手包不成功。可以尝试如下配置:
配置方法:
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 3 deny tcp syn 1 ack 0 source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit

[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit

你可能感兴趣的:(H3C产品系列)