求助三层交换机上VLAN配置ACL的问题

5916991

RT

如图，我是这样理解的
1. 10.1.1.2 ping 10.1.2.1 ，流量通过vlan10到达vlan20
2. vlan20返还应答到vlan10
3.因为写了acl到vlan10 out，所以应答的流量要匹配控制列表，匹配的上就通过vlan10，匹配不了就丢弃
4.问题是我想不通为啥10.1.1.3 ping 10.1.2.1也可以ping通。 难道我对 in和out的理解有问题？  
求帮助。。。。

hisuser

5916991 发表于 2017-5-12 14:10
加一台pc3连在3560上边   pc3  10.1.3.2          vlan30  10.1.3.1   
vlan10 access-group 100 out  ...

我按照你的要求在GNS3上实验 PC0和PC1 在vlan10  PC3在vlan20  按照你的要求配置后PC0和PC3何以互相ping通  PC1和PC3无法ping通。所以你的问题可能配置有问题检查下配置第二个就是模拟器的问题！

一叶孤舟、

我不知道你使用的掩码是不是24位，但在同一个交换机上的不通VLAN，不需要用到ACL来匹配。要是都24位掩码，10.1.1.2能ping通的IP，换成10.1.1.3一样能ping通。

hisuser

ACL过滤只对通过流量起作用。对于自身产生的流量不起作用。

5916991

hisuser 发表于 2017-5-12 09:00
ACL过滤只对通过流量起作用。对于自身产生的流量不起作用。

加一台pc3连在3560上边   pc3  10.1.3.2          vlan30  10.1.3.1   
vlan10 access-group 100 out
access-list 100 permit ip host 10.1.3.2 host 10.1.1.2

结果是pc0和pc2还是都可以ping通10.1.3.1，根据我的理解，ping 返回的包 原地址应该是10.1.3.2  目的地址是10.1.1.2     应该是有pc0的ping返回的包才能通过啊  pc2也能通 无法理解

从pc3 倒只能ping通 10.1.1.2

Rockyw

你那个目标地址是网关地址，其流量是三层交换机内部的流量，ACL是不起作用的。如果把目标地址换成其他设备的地址的话，才会起作用。

hisuser

5916991 发表于 2017-5-12 11:14
加一台pc3连在3560上边   pc3  10.1.3.2          vlan30  10.1.3.1   
vlan10 access-group 100 out
...

从你3560下接的PC去ping3560上的虚接口做ping回应的都是3560本身做的回应。
你PC0和PC1去ping10.1.3.1是vlan30的网关也是在3650上的虚接口回应也是3650回应。
你怎么说回包的源地址是10.1.3.2？你mingmingping的是10.1.3.1
你PC3ping只能ping同10.1.1.2很正常因为你这个ping的流量是从PC3产生的所以ACL100起作用！

5916991

加一台pc3连在3560上边   pc3  10.1.3.2          vlan30  10.1.3.1   
vlan10 access-group 100 out
access-list 100 permit ip host 10.1.3.2 host 10.1.1.2

结果是pc0和pc2还是都可以ping通10.1.3.1，根据我的理解，ping 返回的包 原地址应该是10.1.3.2  目的地址是10.1.1.2     应该是有pc0的ping返回的包才能通过啊  pc2也能通 无法理解

从pc3 倒只能ping通 10.1.1.2


标红那里写错了 应该是Ping 10.1.3.2

5916991

hisuser 发表于 2017-5-12 11:42
从你3560下接的PC去ping3560上的虚接口做ping回应的都是3560本身做的回应。
你PC0和PC1去ping10.1.3.1是 ...

加一台pc3连在3560上边   pc3  10.1.3.2          vlan30  10.1.3.1   
vlan10 access-group 100 out
access-list 100 permit ip host 10.1.3.2 host 10.1.1.2

结果是pc0和pc2还是都可以ping通10.1.3.1，根据我的理解，ping 返回的包 原地址应该是10.1.3.2  目的地址是10.1.1.2     应该是有pc0的ping返回的包才能通过啊  pc2也能通 无法理解

从pc3 倒只能ping通 10.1.1.2


标红那里写错了 应该是Ping 10.1.3.2

5916991

谢谢了！ 主要还是我自己对在虚拟接口VLAN上配置ACL IN和OUT方向有疑问。相同了，IN就是acl只匹配从这个VLAN发出来的流量，OUT就是指匹配进入该VLAN的流量

李壑彝

李壑彝

就是后面你in和out 的问题哈