配置NETGEAR三层交换机 (FSM7326P,FSM7328S,FSM7352S,GSM7312,GSM7324) 的 ACL 访问控制列表

1 网络连接示意图

2 NETGEAR交换机ACL配置预完成目标;

a. 预实现FSM726交换机的VLAN4不能与FS526T交换机上的VLAN2通信。但可以进行互联网的访问。

FS526交换机上的VLAN2可以访问FSM726交换机上的VLAN5

b.允许其他的传输

c.测试环境以PING作为检查相互访问的方式.

3. 交换机配置准备

使用网络连接分别连接NETGEAR系列智能交换机、FSM700系列交换机、GSM7000系列交换机和路由器.（此处以FS526T智能交换机、FSM726交换机和GSM7324交换机为例）

3.1 交换机连接端口对应关系表

3.2 交换机VLAN与所属于端口对应关系表

3.3 IP地址预规划

VLAN1(Default Vlan)：管理用网段，

GSM7324: 192.168.0.238/24

FS526T: 192.168.0.239/24

FSM726 : 192.168.0.240/24

FR328S:192.168.0.1/24

VLAN2：192.168.10.10/24;

VLAN3：192.168.40.10/24;

VLAN4：192.168.20.10/24

VLAN5：192.168.30.10/24;

FR328S LANPort: 192.168.0.1/24

3.4 基本的VLAN和路由配置参考NETGEAR 交换机VLAN和IP路由配置和管理

4配置NETGEAR三层交换机的ACL访问控制列表

GSM7324配置步骤

4.1 实现2 预完成目标的第1项内容的配置

1. 连接配置计算机的网线到GSM7324的端口10,IP地址设置为192.168.0.36/24。

2. 打开IE浏览器，在URL处输入http://192.168.0.238/,进入交换机配置管理界面。

3. 点选菜单Traffic Management>ACL>config ;在ACL Configuration界面里进行选择配置；（见下图示）

ACL ：Create New Extended ACL

ACL ID: 100

Slot.Port: 0.1

Direction: Inbound

选择完毕，点“Submit”按纽保存。

4．点选菜单Traffic Management>ACL>Rule config ;在ACL Rule Configuration界面里进行选择配置；

ACL : 100

Rule : Create Rule

Rule ID: 1

Action: Permit

Match Every: False

选择完毕，点“Submit”按纽继续下个页面的配置。

5．在随后出现的配置页里，选择并输入相关的信息。（见下图示）

ACL：100

Rule:1

Action : Deny ; 点击”Configuration”按纽将Permit设置修改为Deny

Protocol keywork::ICMP点击”Configuration”按纽选择协议类型，此处为了方便测试，选择了ICMP方式；

Source IP Address: 192.168.10.0 /24 ;

点击“”Configuration”按纽填入源IP: 192.168.10.0

Destinnation IP Address: 192.168.20.0 /24 ;

点击“”Configuration”按纽填入目的IP: 192.168.20.0

6．随后下拉Rule栏目,选择Create Rule ; 在ACL Rule Configuration界面里进行新的规则的定义配置；（见下图示）

ACL : 100

Rule : Create Rule

Rule ID: 2

Action: Permit

Match Every: False

选择完毕按”submit”键进行下一步配置

7. 进到规则2的配置页里，选择并输入相关的信息。（见下图示）

ACL：100

Rule:2

Action : Permit ;

Protocol keywork: ICMP点击”Configuration”按纽选择协议类型，此处为了方便测试，选择ICMP方式；

Source IP Address: 192.168.10.0 /24 ;

点击“”Configuration”按纽填入源IP: 192.168.10.0

Destinnation IP Address: 192.168.30.0 /24 ;

点击“”Configuration”按纽填入目的IP: 192.168.30.0

8. 创建规则3; 当交换机无法匹配规则1,2时,将允许其他的传输.

ACL：100

Rule:3

Action : Permit

Match Every: True;

9. 连接计算机到VLAN4 ，计算机地址修改为192.168.20.11/24; 网关192.168.20.10, 在DOS窗口PING VLAN2内的计算机的IP地址。

10. 测试显示结果,VLAN4内的计算机是无法PING通VLAN2内的机器的.

但是VLAN2内的计算机,是可以Ping 通VLAN5内的计算机.

4.2 命令行操作如下

1）在Config的模式下面设置ACL

(GSM7324) (Config)access-list 100 deny icmp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255

(GSM7324) (Config)access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255

(GSM7324) (Config)access-list 100 permit every

2）在interface 0/1里面设置ACL应用

(GSM7324) (Interface 0/1)ip access-group 100 in