华为S5700实现两个VLAN间不通信的ACL策略

23uyut

该技术贴也是最近做实验的结果，本着存档的习惯将方法记录下来。如有不对请指正！！
进入正题：
需求，配置两个VLAN，让其不通。
需求很简单，但是我们要学会用简单的实验来学习思考复杂的环境配置。
因为现在的交换机默认情况下VLAN是互通的。所以在这里我们用ACL策略来实现。
先上个拓扑图吧，这个图暂时借来用的，没这么多client。

首先进入配置：
1、先配好VLAN10和VLAN20,并设置好DHCP地址池，这里不是重点就不细说了，不知道的同学可以去查资料，很简单，学习在于探索嘛！


vlan 10
description [OA]
vlan 20
description [WIFI]
#
ip pool 10
gateway-list 192.168.10.1
network 192.168.10.0 mask 255.255.255.0
excluded-ip-address 192.168.10.2 192.168.10.10
excluded-ip-address 192.168.10.241 192.168.10.254
lease day 0 hour 6 minute 0
dns-list 210.22.84.3 210.22.70.3
#
ip pool 20
gateway-list 192.168.20.1
network 192.168.20.0 mask 255.255.255.0
excluded-ip-address 192.168.20.2 192.168.20.5
excluded-ip-address 192.168.20.235 192.168.20.254
lease day 0 hour 6 minute 0
dns-list 210.22.84.3 210.22.70.3

2、直接进入ACL配置：
acl number 3000
rule 1 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

[Switch] traffic classifier tc1  //创建流分类
[Switch-classifier-tc1] if-match acl 3000 //将ACL与流分类关联
[Switch-classifier-tc1] quit

[Switch] traffic behavior tb1  //创建流行为
[Switch-behavior-tb1] deny  //配置流行为动作为拒绝报文通过
[Switch-behavior-tb1] quit
[Switch] traffic policy tp1  //创建流策略
[Switch-trafficpolicy-tp1] classifier tc1 behavior tb1  //将流分类tc1与流行为tb1关联
[Switch-trafficpolicy-tp1] quit
（这一段是摘的，因为解释的比较详细，一看就明白）
以上设置好还不算完！

VLAN 10
traffic-policy tp1 inbound //流策略应用在接口入方向

测试一下，不能PING 通了。成功！
以上实验我们初学者可以学到怎么去配置ACL策略逻辑，vlan和地址池的配置，在实际应用中还是很常用的。