說(shuō)實(shí)話(huà)我剛接觸華為數(shù)通的時(shí)候也干過(guò)一件特別蠢的事把PC和服務(wù)器規(guī)劃在同一個(gè)子網(wǎng)里然后費(fèi)盡心思在VLANIF上寫(xiě)ACL想控制誰(shuí)可以訪(fǎng)問(wèn)服務(wù)器誰(shuí)不能訪(fǎng)問(wèn)。結(jié)果抓包抓了一個(gè)下午ACL一條都沒(méi)命中規(guī)則就像在空氣里生效一樣。后來(lái)才徹底搞明白同一個(gè)網(wǎng)段內(nèi)的互訪(fǎng)流量本質(zhì)上就是二層轉(zhuǎn)發(fā)壓根不會(huì)經(jīng)過(guò)VLANIF這個(gè)三層口你把ACL貼在VLANIF上等于把保安安排在一間根本沒(méi)人經(jīng)過(guò)的房間里。這篇文章就專(zhuān)門(mén)說(shuō)說(shuō)華為數(shù)通里“同網(wǎng)段互訪(fǎng)”這個(gè)場(chǎng)景下Hybrid接口和ACL到底該怎么配合。我會(huì)把為什么會(huì)配錯(cuò)、正確怎么做、華為命令行長(zhǎng)什么樣、以及我在現(xiàn)場(chǎng)踩過(guò)哪些坑一次性講清楚。適合正在學(xué)HCIA/HCIP的朋友也適合被這類(lèi)問(wèn)題折磨過(guò)的運(yùn)維兄弟們參考。1. 為什么“同網(wǎng)段互訪(fǎng)”的ACL總是不生效1.1 經(jīng)典的“三層ACL思維”陷阱很多人在學(xué)?；蛘吲嘤?xùn)課上接觸ACL的時(shí)候用的拓?fù)鋷缀醵际恰安煌琕LAN、不同網(wǎng)段、通過(guò)VLANIF三層轉(zhuǎn)發(fā)”所以下意識(shí)覺(jué)得ACL就是綁在接口上、用來(lái)控制跨網(wǎng)段訪(fǎng)問(wèn)的。比如在VLANIF 10上掛一個(gè)ACL限制192.168.1.0/24訪(fǎng)問(wèn)192.168.2.0/24這個(gè)思路本身沒(méi)錯(cuò)因?yàn)榭缇W(wǎng)段流量確實(shí)會(huì)經(jīng)過(guò)三層接口。但一旦把場(chǎng)景換成“同一個(gè)網(wǎng)段里的PC1要訪(fǎng)問(wèn)同一個(gè)網(wǎng)段里的服務(wù)器”很多人還是條件反射式地往VLANIF上掛ACL這就出大問(wèn)題了。同網(wǎng)段互通走的是二層交換數(shù)據(jù)幀在交換機(jī)內(nèi)部直接從一個(gè)端口轉(zhuǎn)發(fā)到另一個(gè)端口根本不送上CPU也不做三層路由查詢(xún)自然也就不會(huì)去匹配VLANIF上綁定的ACL規(guī)則。規(guī)則建了但永遠(yuǎn)不會(huì)被觸發(fā)這就是最常見(jiàn)的配置錯(cuò)誤。1.2 二層轉(zhuǎn)發(fā)路徑與三層路由路徑的本質(zhì)區(qū)別回過(guò)頭來(lái)看一下數(shù)據(jù)包到底是怎么走的。假設(shè)PC1的IP是192.168.1.1服務(wù)器是192.168.1.100子網(wǎng)掩碼都是255.255.255.0它們又在同一個(gè)VLAN里。PC1想訪(fǎng)問(wèn)服務(wù)器它第一步會(huì)去查自己的路由表發(fā)現(xiàn)目標(biāo)地址192.168.1.100和自己在同一個(gè)網(wǎng)段于是直接發(fā)ARP廣播找服務(wù)器的MAC。拿到MAC后PC1會(huì)封裝一個(gè)以太網(wǎng)幀目的MAC是服務(wù)器的MAC源MAC是自己的MAC然后把這個(gè)幀發(fā)給交換機(jī)。交換機(jī)拿到這個(gè)幀后只做二層查表根據(jù)目的MAC在MAC地址表里找到對(duì)應(yīng)端口然后把幀從那個(gè)端口轉(zhuǎn)發(fā)出去完事。這中間沒(méi)有任何三層處理ACL如果掛在一個(gè)三層接口上根本不會(huì)被匹配。這也是為什么有些人在訪(fǎng)問(wèn)控制配置完成后檢查ACL命中計(jì)數(shù)發(fā)現(xiàn)count始終是0。不是ACL寫(xiě)錯(cuò)了而是你把ACL放錯(cuò)了地方比如放到VLANIF、放到loopback口或者放到一個(gè)這三層接口下根本就不會(huì)有流量經(jīng)過(guò)的位置。1.3 華為接口類(lèi)型里Hybrid為何總被忽略華為交換機(jī)上常見(jiàn)的接口類(lèi)型有三種Access、Trunk、Hybrid。Access口基本只屬于一個(gè)VLANTrunk口常用于交換機(jī)之間透?jìng)鞫鄠€(gè)帶標(biāo)簽的VLAN而Hybrid最靈活它既可以像Access一樣把某個(gè)VLAN的幀剝成無(wú)標(biāo)簽也可以像Trunk一樣承載多個(gè)帶標(biāo)簽的VLAN還能同一個(gè)接口下同時(shí)放行“無(wú)標(biāo)簽的多個(gè)VLAN”和“帶標(biāo)簽的多個(gè)VLAN”。但實(shí)際項(xiàng)目里Hybrid的使用率反而不如Access和Trunk高很多網(wǎng)絡(luò)工程師習(xí)慣了Access接電腦、Trunk接交換機(jī)遇到需要同網(wǎng)段控制訪(fǎng)問(wèn)的時(shí)候第一反應(yīng)還是“把ACL掛在VLANIF上”完全沒(méi)想到可以利用Hybrid接口可以靈活進(jìn)出標(biāo)簽的特性配合ACL做到精確過(guò)濾。說(shuō)白了Hybrid并不是一個(gè)花哨的擺設(shè)在“同網(wǎng)段二層互訪(fǎng)”這種場(chǎng)景下你真正能把ACL生效的位置往往就在這些二層物理接口上而Hybrid的PVID、untagged、tagged屬性會(huì)直接影響ACL在接口上是“看得見(jiàn)”還是“看不見(jiàn)”流量。2. 正確姿勢(shì)把ACL“貼”到數(shù)據(jù)真正經(jīng)過(guò)的地方2.1 設(shè)計(jì)思路在物理端口上應(yīng)用traffic-filter既然同網(wǎng)段互訪(fǎng)的流量只在二層物理接口之間穿梭那ACL就該貼在物理接口上。華為交換機(jī)的做法是在接口視圖下調(diào)用traffic-filter通過(guò)入方向或出方向的流量過(guò)濾來(lái)匹配經(jīng)過(guò)這個(gè)端口的數(shù)據(jù)幀。比如我現(xiàn)在要做這樣一個(gè)控制服務(wù)器在192.168.1.100PC1的IP是192.168.1.1PC2的IP是192.168.1.2三者都在同一個(gè)VLAN里?？蛻?hù)要求只有PC1能訪(fǎng)問(wèn)服務(wù)器PC2不允許訪(fǎng)問(wèn)服務(wù)器但PC2訪(fǎng)問(wèn)外網(wǎng)和其他機(jī)器不受影響。正確的思路就是在連接服務(wù)器的那個(gè)交換機(jī)端口上做入方向流量過(guò)濾來(lái)自PC2、發(fā)往服務(wù)器的IP報(bào)文全部丟棄其余報(bào)文正常放行。因?yàn)镻C2訪(fǎng)問(wèn)服務(wù)器時(shí)最終數(shù)據(jù)幀是從服務(wù)器端口進(jìn)入交換機(jī)的在這個(gè)端口上做入方向過(guò)濾正好可以卡住所有真正想要訪(fǎng)問(wèn)服務(wù)器的流量。這個(gè)思路并不復(fù)雜但實(shí)際工作中很少有人往這個(gè)方向想原因就在于大家已經(jīng)被“VLANIF掛ACL”的慣性思維鎖死了。2.2 入方向還是出方向千萬(wàn)別搞反在接口上做traffic-filter方向和語(yǔ)義非常關(guān)鍵也是現(xiàn)場(chǎng)最容易翻車(chē)的點(diǎn)。華為接口上的traffic-filter inbound是指對(duì)這個(gè)接口接收到的流量進(jìn)行過(guò)濾。拿上面的例子來(lái)說(shuō)如果在服務(wù)器所接的端口G0/0/3上做inbound過(guò)濾那么所有從PC1、PC2或者其他設(shè)備送到服務(wù)器端口的數(shù)據(jù)包一進(jìn)交換機(jī)就會(huì)被ACL檢查。PC2訪(fǎng)問(wèn)服務(wù)器的流量源IP是192.168.1.2目的IP是192.168.1.100一匹配就直接丟棄這個(gè)效果是最直接的。如果反過(guò)來(lái)做成outbound語(yǔ)義就變成了檢查從這個(gè)端口發(fā)出去的流量。也就是說(shuō)所有從交換機(jī)發(fā)往服務(wù)器的報(bào)文都會(huì)經(jīng)過(guò)檢查。這樣也能實(shí)現(xiàn)“服務(wù)器被訪(fǎng)問(wèn)”的控制但你需要注意方向判斷非常容易亂尤其在有多臺(tái)設(shè)備同時(shí)訪(fǎng)問(wèn)服務(wù)器的場(chǎng)景下越搞越頭暈。我的經(jīng)驗(yàn)是控制“誰(shuí)能訪(fǎng)問(wèn)某臺(tái)服務(wù)器”首選服務(wù)器端口的inbound方向控制“誰(shuí)能從某個(gè)終端出去訪(fǎng)問(wèn)其他主機(jī)”首選終端端口的inbound方向。還有一點(diǎn)要提醒接口上的inbound和outbound過(guò)濾會(huì)疊加。也就是說(shuō)如果入方向和出方向都配置了ACL兩個(gè)方向的ACL都會(huì)被檢查不是“誰(shuí)后配誰(shuí)生效”而是兩個(gè)方向同時(shí)起作用。別到時(shí)候配了半天發(fā)現(xiàn)兩條方向都生效了懷疑自己哪里寫(xiě)錯(cuò)。2.3 為什么這里強(qiáng)調(diào)“Hybrid ACL 配合”可能有人會(huì)問(wèn)既然Access口也能用ACL為什么非得扯上Hybrid因?yàn)槿A為交換機(jī)的默認(rèn)端口類(lèi)型本來(lái)就是Hybrid很多人在實(shí)際配置的時(shí)候雖然沒(méi)有顯式改端口類(lèi)型但端口其實(shí)已經(jīng)是Hybrid了。Hybrid的PVID和untagged參數(shù)如果配得不對(duì)就會(huì)直接影響ACL的匹配效果。舉個(gè)例子你新建了一個(gè)VLAN 10然后把端口默認(rèn)VLAN設(shè)成了10但沒(méi)有把VLAN 10加入到untagged列表里。此時(shí)如果終端發(fā)過(guò)來(lái)的是無(wú)標(biāo)簽幀交換機(jī)會(huì)根據(jù)PVID把幀劃分到VLAN 10但在某些轉(zhuǎn)發(fā)路徑上幀可能是帶著VLAN Tag出去的。如果你在接口上掛了一個(gè)基于二層MAC或VLAN ID來(lái)匹配的ACL那ACL能不能正確命中就得看這個(gè)幀到底帶沒(méi)帶標(biāo)簽。用Hybrid時(shí)你可以非常清楚地指定哪些VLAN的幀從哪個(gè)口出去時(shí)剝標(biāo)簽、哪些保留標(biāo)簽這樣ACL的匹配條件和你對(duì)數(shù)據(jù)幀的實(shí)際預(yù)期才是一致的。如果只圖省事把端口改成Access也能用ACL控制同一VLAN內(nèi)的互訪(fǎng)但Hybrid能覆蓋更多復(fù)雜場(chǎng)景。特別是當(dāng)你需要在一個(gè)接口上同時(shí)允許多個(gè)VLAN的終端訪(fǎng)問(wèn)一臺(tái)服務(wù)器同時(shí)對(duì)其中某些IP做精細(xì)化限制時(shí)Access口就不夠靈活了而Hybrid卻可以游刃有余。3. 華為數(shù)通實(shí)戰(zhàn)配置Hybrid ACL 控制同網(wǎng)段互訪(fǎng)3.1 拓?fù)渑cIP規(guī)劃我們用一個(gè)非常經(jīng)典的測(cè)試環(huán)境來(lái)演示設(shè)備可以是真機(jī)也可以是ENSP里的S5700交換機(jī)。設(shè)備接口IP地址所屬VLAN說(shuō)明PC1Eth0/0/1192.168.1.1/24VLAN 10允許訪(fǎng)問(wèn)服務(wù)器PC2Eth0/0/2192.168.1.2/24VLAN 10禁止訪(fǎng)問(wèn)服務(wù)器ServerEth0/0/3192.168.1.100/24VLAN 10被保護(hù)對(duì)象上行網(wǎng)關(guān)GE0/0/24192.168.1.254/24VLAN 10出口路由器三臺(tái)終端和服務(wù)器IP都在192.168.1.0/24這個(gè)網(wǎng)段里對(duì)應(yīng)VLAN也是同一個(gè)VLAN 10這是真正意義上的同網(wǎng)段二層互訪(fǎng)。我們要做的核心控制是PC1能訪(fǎng)問(wèn)服務(wù)器PC2訪(fǎng)問(wèn)服務(wù)器時(shí)丟包但PC2去訪(fǎng)問(wèn)PC1、去訪(fǎng)問(wèn)外網(wǎng)都正常。3.2 交換機(jī)Hybrid接口基礎(chǔ)配置先把交換機(jī)基礎(chǔ)環(huán)境建起來(lái)。在華為設(shè)備上VLAN和接口配置如下Huawei system-view [Huawei] sysname SW1 [SW1] vlan batch 10 [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type hybrid [SW1-GigabitEthernet0/0/1] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/1] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/1] quit這里有兩個(gè)關(guān)鍵點(diǎn)。一是port hybrid pvid vlan 10它決定收到無(wú)標(biāo)簽幀時(shí)把這個(gè)幀劃分到哪個(gè)VLAN里。如果不設(shè)置默認(rèn)PVID是VLAN 1終端發(fā)過(guò)來(lái)的無(wú)標(biāo)簽幀會(huì)被統(tǒng)統(tǒng)劃進(jìn)VLAN 1那你后面建VLAN 10就白建了。二是port hybrid untagged vlan 10它告訴交換機(jī)從該接口出去的VLAN 10幀不攜帶標(biāo)簽。終端網(wǎng)卡一般不認(rèn)識(shí)帶標(biāo)簽的幀所以必須剝掉否則終端會(huì)直接丟棄。同樣的配置給另外三個(gè)端口都做一遍[SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type hybrid [SW1-GigabitEthernet0/0/2] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/2] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/2] quit [SW1] interface GigabitEthernet0/0/3 [SW1-GigabitEthernet0/0/3] port link-type hybrid [SW1-GigabitEthernet0/0/3] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/3] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/3] quit [SW1] interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24] port link-type hybrid [SW1-GigabitEthernet0/0/24] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/24] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/24] quit配置完成后可以用一條命令檢查一下端口狀態(tài)[SW1] display port vlan正常情況下四個(gè)端口都會(huì)顯示PVID為10并且untagged VLAN也包含10。如果哪一個(gè)端口沒(méi)配上后面終端之間必然通信異常ACL再對(duì)也白搭。3.3 高級(jí)ACL配置與調(diào)用接下來(lái)是核心部分配置ACL并把它掛到服務(wù)器端口上。我使用高級(jí)ACL高級(jí)ACL的編號(hào)范圍是3000到3999。規(guī)則要特別注意順序華為ACL默認(rèn)是從第一條開(kāi)始向下匹配沒(méi)被匹配到的就繼續(xù)走下一條。所以我們把需要阻斷的語(yǔ)句放在前面放行語(yǔ)句放在后面最后再用一條permit ip兜底防止把關(guān)鍵流量誤傷。[SW1] acl number 3001 [SW1-acl-adv-3001] rule 5 deny ip source 192.168.1.2 0 destination 192.168.1.100 0 [SW1-acl-adv-3001] rule 10 permit ip [SW1-acl-adv-3001] quit這里source 192.168.1.2 0后面的0表示通配符掩碼為0也就是嚴(yán)格匹配主機(jī)地址一點(diǎn)都不能差。destination 192.168.1.100 0同理嚴(yán)格匹配服務(wù)器地址。ACL建好后到服務(wù)器所連接的端口G0/0/3上以入方向調(diào)用[SW1] interface GigabitEthernet0/0/3 [SW1-GigabitEthernet0/0/3] traffic-filter inbound acl 3001 [SW1-GigabitEthernet0/0/3] quit這個(gè)命令就相當(dāng)于在服務(wù)器的門(mén)口放了一個(gè)保安所有想進(jìn)服務(wù)器的數(shù)據(jù)幀只要是從這個(gè)端口進(jìn)入交換機(jī)的都必須接受檢查。如果我想控制得更細(xì)比如只限制PC2通過(guò)ICMP訪(fǎng)問(wèn)服務(wù)器但允許PC2用遠(yuǎn)程桌面或數(shù)據(jù)庫(kù)端口訪(fǎng)問(wèn)服務(wù)器就可以把高級(jí)ACL寫(xiě)得更細(xì)[SW1] acl number 3002 [SW1-acl-adv-3002] rule 5 deny icmp source 192.168.1.2 0 destination 192.168.1.100 0 [SW1-acl-adv-3002] rule 10 permit tcp source 192.168.1.2 0 destination 192.168.1.100 0 destination-port eq 3389 [SW1-acl-adv-3002] rule 15 permit ip [SW1-acl-adv-3002] quit這種五元組控制在實(shí)際項(xiàng)目中非常實(shí)用因?yàn)榭蛻?hù)有時(shí)候不是一刀切地說(shuō)“禁止訪(fǎng)問(wèn)”而是“你可以ping通它但你不能遠(yuǎn)程桌面連它”這類(lèi)精細(xì)化需求。3.4 驗(yàn)證與實(shí)測(cè)效果配置做完后我先在PC1上ping服務(wù)器C:\Users\PC1 ping 192.168.1.100正常情況下PC1可以ping通服務(wù)器因?yàn)锳CL只拒絕了源IP為192.168.1.2的流量PC1不在阻斷范圍內(nèi)。接著在PC2上ping服務(wù)器C:\Users\PC2 ping 192.168.1.100這次會(huì)直接超時(shí)因?yàn)镮CMP請(qǐng)求報(bào)文一到交換機(jī)的G0/0/3端口就被ACL規(guī)則匹配并丟棄。如果需要確認(rèn)ACL是否真的在生效可以查看ACL命中計(jì)數(shù)[SW1] display acl 3001輸出里會(huì)顯示每條規(guī)則的Matched計(jì)數(shù)。如果PC2確實(shí)ping過(guò)服務(wù)器那條deny規(guī)則的計(jì)數(shù)會(huì)持續(xù)增加。這是排查配置是否生效最直接的手段比看終端丟包還要直觀(guān)。再看一下接口上的流量過(guò)濾調(diào)用情況[SW1] display traffic-filter applied-record這個(gè)命令會(huì)清晰地告訴你哪個(gè)ACL被應(yīng)用到了哪個(gè)接口、哪個(gè)方向適合在多人維護(hù)的交換機(jī)上快速確認(rèn)配置狀態(tài)。4. 99%的人都會(huì)在這里“配錯(cuò)”的細(xì)節(jié)清單4.1 把ACL掛在VLANIF上等于白配前面反復(fù)強(qiáng)調(diào)同網(wǎng)段二層互訪(fǎng)的流量不經(jīng)過(guò)VLANIF。所以如果你在一個(gè)VLANIF下寫(xiě)了traffic-filter inbound acl xxx大概率是沒(méi)有任何效果的。這個(gè)錯(cuò)誤在現(xiàn)場(chǎng)出現(xiàn)頻率極高我甚至見(jiàn)過(guò)一個(gè)項(xiàng)目里工程師在同一臺(tái)交換機(jī)上把ACL同時(shí)掛到了VLANIF和物理口結(jié)果排查了三個(gè)小時(shí)才發(fā)現(xiàn)真正生效的是物理口上那條VLANIF那條從頭到尾就沒(méi)起過(guò)作用。正確的思路是同網(wǎng)段控制老老實(shí)實(shí)放到物理接口或者VLAN視圖下的traffic-filter里跨網(wǎng)段控制放到VLANIF或三層接口上。4.2 方向搞混該inbound寫(xiě)成outbound再?gòu)?qiáng)調(diào)一次入站和出站的區(qū)別。traffic-filter inbound過(guò)濾的是從接口進(jìn)入交換機(jī)的流量traffic-filter outbound過(guò)濾的是從交換機(jī)從接口發(fā)出去的流量。以服務(wù)器端口G0/0/3為例如果你想控制“別的機(jī)器訪(fǎng)問(wèn)服務(wù)器”用inbound方向最直觀(guān)因?yàn)樵L(fǎng)問(wèn)流量最終是從這個(gè)接口進(jìn)入交換機(jī)的。如果你寫(xiě)成outbound那就變成了檢查從服務(wù)器端口出去的流量也就是服務(wù)器對(duì)外發(fā)起的訪(fǎng)問(wèn)那和你想要的控制完全是兩碼事。我曾經(jīng)在一個(gè)客戶(hù)現(xiàn)場(chǎng)見(jiàn)過(guò)這樣的配置工程師在服務(wù)器端口上做了outbound過(guò)濾結(jié)果外面的終端無(wú)論怎么訪(fǎng)問(wèn)服務(wù)器都正常反而是服務(wù)器主動(dòng)去ping別的機(jī)器時(shí)丟包當(dāng)時(shí)所有人都以為是網(wǎng)線(xiàn)問(wèn)題最后看了一眼traffic-filter applied-record才發(fā)現(xiàn)方向搞反了。4.3 Hybrid的PVID和untagged沒(méi)配對(duì)ACL“看不見(jiàn)”流量華為交換機(jī)的端口默認(rèn)是Hybrid很多人建了VLAN但沒(méi)把端口的PVID改成這個(gè)VLAN導(dǎo)致終端發(fā)過(guò)來(lái)的無(wú)標(biāo)簽幀被劃到了VLAN 1里。這時(shí)候ACL配置卻是在VLAN 10的場(chǎng)景下設(shè)計(jì)的雖然L3報(bào)文匹配可能不一定受VLAN影響但一旦數(shù)據(jù)幀在交換機(jī)內(nèi)部被錯(cuò)誤劃分到別的VLAN整個(gè)轉(zhuǎn)發(fā)行為都會(huì)變得詭異可能一會(huì)兒通一會(huì)兒不通ACL的計(jì)數(shù)要么永遠(yuǎn)為0要么莫名其妙地把不該擋的流量也擋了。配置Hybrid口時(shí)請(qǐng)務(wù)必檢查三件事PVID是否已經(jīng)改成了目標(biāo)VLANuntagged列表是否包含了目標(biāo)VLAN上行口和下行口的VLAN劃分是否一致用display port vlan命令看一眼幾秒鐘就能發(fā)現(xiàn)問(wèn)題。4.4 ACL規(guī)則順序與隱含拒絕別把辦公網(wǎng)配成“全網(wǎng)癱瘓”華為ACL是順序匹配的規(guī)則編號(hào)越小越靠前。寫(xiě)ACL時(shí)一定要把最精確的deny規(guī)則放在前面permit放后面。還有一個(gè)特別容易踩的坑高級(jí)ACL默認(rèn)只匹配IP報(bào)文。如果你用rule deny ip寫(xiě)了阻斷規(guī)則然后沒(méi)有加rule permit ip兜底那么其他所有未匹配到的IP報(bào)文都會(huì)被放行這是華為ACL的默認(rèn)行為和思科的“隱含拒絕所有”不一樣。但如果你用的是二層ACL也就是編號(hào)4000到4999的ACL情況就不一樣了。二層ACL匹配的是MAC地址、以太網(wǎng)類(lèi)型這些字段一旦你寫(xiě)rule deny source-mac xxxx后面如果不記得放行ARP報(bào)文PC可能會(huì)因?yàn)閷W(xué)不到網(wǎng)關(guān)MAC地址而直接“失聯(lián)”。解決辦法是在A(yíng)CL里顯式加一條放行ARP的規(guī)則比如[SW1] acl number 4001 [SW1-acl-L2-4001] rule 5 permit ethernet-type arp [SW1-acl-L2-4001] rule 10 deny source-mac 00e0-fc00-0001 dest-mac 00e0-fc00-0002 [SW1-acl-L2-4001] rule 20 permit4.5 只寫(xiě)“禁止訪(fǎng)問(wèn)服務(wù)器”把DNS、網(wǎng)關(guān)等關(guān)鍵流量也誤傷同網(wǎng)段互訪(fǎng)場(chǎng)景里終端除了要訪(fǎng)問(wèn)服務(wù)器還要訪(fǎng)問(wèn)外網(wǎng)、要解析DNS。如果你在接入端口上做過(guò)于寬泛的過(guò)濾很容易把正常業(yè)務(wù)也擋掉。比如你有兩個(gè)DHCP地址池網(wǎng)關(guān)在192.168.1.254PC2被ACL禁止訪(fǎng)問(wèn)服務(wù)器后如果ACL忘了放行到網(wǎng)關(guān)的流量PC2可能連外網(wǎng)也上不了。解決方法是先梳理清楚這臺(tái)PC需要訪(fǎng)問(wèn)哪些目標(biāo)把合法流量在前面的permit規(guī)則中顯式列出來(lái)再加deny最后加兜底permit或deny按需設(shè)計(jì)。我通常會(huì)在配置ACL之前畫(huà)一個(gè)簡(jiǎn)單的矩陣列出源IP目的IP協(xié)議端口動(dòng)作放置位置和方向畫(huà)完矩陣再寫(xiě)規(guī)則基本不會(huì)亂。5. 擴(kuò)展雙向隔離、多VLAN聯(lián)動(dòng)與替代方案對(duì)比5.1 同網(wǎng)段雙向隔離怎么配上面例子只做了單向控制PC2不能訪(fǎng)問(wèn)服務(wù)器但服務(wù)器主動(dòng)訪(fǎng)問(wèn)PC2是不受影響的。如果客戶(hù)要求雙向隔離比如PC1和PC2之間不能互相訪(fǎng)問(wèn)無(wú)論誰(shuí)先發(fā)起都不行那就要在雙方的接入端口上同時(shí)做入向過(guò)濾。假設(shè)PC1在G0/0/1PC2在G0/0/2。先配一條ACL限制源IP為PC1、目標(biāo)IP為PC2的流量[SW1] acl number 3003 [SW1-acl-adv-3003] rule 5 deny ip source 192.168.1.1 0 destination 192.168.1.2 0 [SW1-acl-adv-3003] rule 10 permit ip [SW1-acl-adv-3003] quit [SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] traffic-filter inbound acl 3003再配一條ACL限制源IP為PC2、目標(biāo)IP為PC1的流量[SW1] acl number 3004 [SW1-acl-adv-3004] rule 5 deny ip source 192.168.1.2 0 destination 192.168.1.1 0 [SW1-acl-adv-3004] rule 10 permit ip [SW1-acl-adv-3004] quit [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] traffic-filter inbound acl 3004這樣PC1和PC2之間的雙向訪(fǎng)問(wèn)都被禁止了但PC1和PC2訪(fǎng)問(wèn)其他設(shè)備完全不受影響。注意別漏掉ARP如果同VLAN內(nèi)兩臺(tái)機(jī)器需要互通但被雙向ACL阻斷了IP流量ARP卻仍然能通這時(shí)候終端會(huì)發(fā)現(xiàn)“鄰居MAC可學(xué)到但ping不通”這種半通狀態(tài)比全不通還難排查。5.2 和端口隔離、MUX VLAN的對(duì)比同網(wǎng)段互訪(fǎng)控制除了ACL華為交換機(jī)上還有端口隔離和MUX VLAN這兩種常見(jiàn)手段。手段隔離粒度能否按IP/協(xié)議細(xì)分配置復(fù)雜度適用場(chǎng)景端口隔離端口級(jí)同組端口互不相通不能低同一VLAN內(nèi)徹底隔離主機(jī)MUX VLAN主VLAN與從VLAN之間的復(fù)用與隔離較弱中一臺(tái)服務(wù)器多客戶(hù)接入的隔離Hybrid ACL可基于源IP、目的IP、協(xié)議、端口精確控制能中精細(xì)化訪(fǎng)問(wèn)控制、等保需求如果你的需求只是“同VLAN內(nèi)的所有PC之間都不許互訪(fǎng)但都能訪(fǎng)問(wèn)上聯(lián)網(wǎng)關(guān)”用端口隔離最省事。但如果你需要“A能訪(fǎng)問(wèn)BC不能訪(fǎng)問(wèn)BD只能訪(fǎng)問(wèn)B的80端口”端口隔離就無(wú)能為力必須用Hybrid加ACL來(lái)做。MUX VLAN在服務(wù)器多租戶(hù)接入場(chǎng)景里很有用主VLAN里的服務(wù)器可以被多個(gè)從VLAN訪(fǎng)問(wèn)從VLAN之間的主機(jī)默認(rèn)隔離。它的缺點(diǎn)是策略不夠靈活想按IP放行某些特定主機(jī)時(shí)配置會(huì)繞一些。如果你的客戶(hù)需求里包含“同一個(gè)網(wǎng)段下既要有部分隔離又要允許某些特定IP互通”那ACL方案一定比MUX VLAN順手。5.3 割接建議先在ENSP模擬再上真機(jī)無(wú)論你是學(xué)習(xí)還是做現(xiàn)網(wǎng)割接我都建議先把整套配置在ENSP里模擬一遍。ENSP里的S5700、CE6800之類(lèi)的設(shè)備型號(hào)對(duì)Hybrid、ACL、traffic-filter的支持和真機(jī)非常接近足夠用來(lái)驗(yàn)證思路。我自己的習(xí)慣是先搭一個(gè)最小拓?fù)浒裀C1、PC2、Server和一臺(tái)交換機(jī)組起來(lái)。然后用命令行把VLAN、Hybrid口、ACL全部配好再做ping測(cè)試和抓包驗(yàn)證。最后用display acl看命中計(jì)數(shù)確認(rèn)預(yù)期效果。全部驗(yàn)證通過(guò)后再把ACL和接口配置翻譯成腳本拿到現(xiàn)場(chǎng)去執(zhí)行。真機(jī)上有一點(diǎn)和ENSP不同就是ACL的生效可能會(huì)有硬件表項(xiàng)下發(fā)過(guò)程配置完成后如果想立刻生效可能需要清一下對(duì)應(yīng)接口的流量表項(xiàng)。大多數(shù)情況下華為交換機(jī)配置ACL后是即時(shí)生效的但如果遇到配置下發(fā)后規(guī)則沒(méi)生效的情況先檢查一下系統(tǒng)日志里有沒(méi)有ACL資源不足的提示再考慮重啟或調(diào)整ACL條目順序。最后再說(shuō)點(diǎn)我的體會(huì)我在實(shí)際項(xiàng)目里配置這類(lèi)同網(wǎng)段互訪(fǎng)控制時(shí)最大的感觸是ACL本身并不難難的是搞清楚流量到底走哪條路。很多問(wèn)題排查到最后往往不是ACL規(guī)則寫(xiě)錯(cuò)了而是把ACL放到了流量根本不經(jīng)過(guò)的位置。你只有把“二層轉(zhuǎn)發(fā)”“VLANIF三層訪(fǎng)問(wèn)”“Hybrid接口的標(biāo)簽處理”這一整條鏈路想明白才能做到人肉抓包級(jí)精確預(yù)判哪個(gè)包會(huì)去哪哪個(gè)包會(huì)在哪被攔下來(lái)。另外也建議你在交付配完之后務(wù)必保留一份ACL命中計(jì)數(shù)的截圖或者把display acl的輸出存檔。我遇到過(guò)不少次過(guò)了幾個(gè)月客戶(hù)反饋“服務(wù)器被訪(fǎng)問(wèn)延遲變高”查到最后發(fā)現(xiàn)是后來(lái)同事調(diào)整ACL時(shí)把規(guī)則順序改了原本的deny被提前匹配導(dǎo)致部分流量被丟棄。沒(méi)有基線(xiàn)記錄的話(huà)這種問(wèn)題排查起來(lái)非常痛苦。下次再有人說(shuō)“同一個(gè)網(wǎng)段的互訪(fǎng)不能用ACL控制”的時(shí)候你可以把這篇文章甩給他然后告訴他不是不能用是99%的人把它配在了ACL永遠(yuǎn)看不見(jiàn)的地方。把ACL貼到物理接口入口用對(duì)Hybrid的PVID和untagged同網(wǎng)段互訪(fǎng)的精細(xì)化控制其實(shí)一點(diǎn)也不玄乎。