Khi
muốn lọc giao thông di chuyển từ 1 VLAN này tới VLAN khác, chúng ta sẽ
sử dụng Acess Control List, chúng ta sẽ sử dụng dựa trên định tuyến một
danh sách điều khiển truy cập ( Router base ACL) hoặc RACL
Nhưng
cái mà chúng ta muốn là lọc gói tin trong 1 VLAN và định tuyến danh
sách điều khiển truy cập không giúp được chúng ta. Lúc này chúng ta sẽ
sử dụng VLAN Access Control List
Ta có mô hình:
Fasthe
Ethernet trên R1 và R2 là cùng VLAN (VLAN 10). Chúng ta sẽ cần 1 VACL
nếu chúng ta muốn lọc khả năng giao tiếp R1 với R2, chúng ta thử nghiệm
với sử dụng Telnet. Trước khi thực hiện đầu tiên ta Telnet từ R1 tới R2,
đảm bảo rằng nó làm việc sau đó chặn khả năng đó với VACL
R1#telnet 10.10.10.2
Trying 10.10.10.2 ... Open
User Access Verification
Password:
R2>quit
[Connection to 10.10.10.2 closed by foreign host]
R1#
Mọi thứ đã ok, giờ ta test với VACL. Tạo 1 VACL cái sẽ deny khả năng Telnet của R1 tới R2 trong khi vẫn cho R1 ping tới R2.
Bắt đầu với việc config ACL nó sẽ định nghĩa giao thông ở đâu chúng ta sẽ thực hiện chặn, nhưng tôi sẽ sử dụng permit danh sách điều khiển truy cập đầu vào (ACE) chi tiết tới giao thông, nhưng tôi sẽ thực hiện deny nó sau trong cấu trúc của VACL
SW2(config)#ip access-list extended ACL_TELNETR1_R2
SW2(config-ext-nacl)#permit tcp host 10.10.10.1 host 10.10.10.2 eq 23
Khi đã có ACL, tôi tiếp đi cấu hình VACL.
- Bước 1 tạo ra VLAN Access Map
SW2(config-ext-nacl)#vlan access-map VACL_STOPTELNET
SW2(config-access-map)#action drop
SW2(config-access-map)#match ip address ACL_TELNETR1_R2
SW2(config-access-map)#vlan access-map VACL_STOPTELNET
SW2(config-access-map)#action forward
SW2(config-access-map)#exit
ACL được match cho khả năng Telnet được thực hiện là DROP , sau đó tôi match tất cả các giao thông khác, và cho phép forward tất cả
Forward là default vì vậy có thể không cần câu lệnh action forward vẫn ok, mục đích thêm ở trên cho dễ hiểu mà thôi
- Bước 2 apply “map” tới VLAN thích hợp, VLAN ở đây là VLAN 10
SW2(config)#vlan filter VACL_STOPTELNET vlan-list 10
Test:
- R1 ping ok tới R2
R1#ping 10.10.10.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.10.2, timeout is 2 seconds:
!!!!
- R1 telnet fail tới R2
R1#telnet 10.10.10.2
Trying 10.10.10.2 ...
% Connection timed out; remote host not responding
