ospf引流防火墙使用场景 防火墙ospf配置

ACL简介

定义

访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。

ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

ACL配置完成后，必须应用在业务模块中才能生效，其中最基本的ACL应用，就是在简化流策略/流策略中应用ACL，使设备能够基于全局、VLAN或接口下发ACL，实现对转发报文的过滤。此外，ACL还可以应用在Telnet、FTP、路由等模块。业务模块之间的ACL默认处理动作和处理机制有所不同，具体请参见ACL应用模块的ACL默认动作和处理机制。

目的

ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。

图1是一个典型的ACL应用组网场景。

某企业为保证财务数据安全，禁止研发部门访问财务服务器，但总裁办公室不受限制。实现方式：在Interface 1的入方向上部署ACL，禁止研发部门访问财务服务器的报文通过。Interface 2上无需部署ACL，总裁办公室访问财务服务器的报文默认允许通过。

保护企业内网环境安全，防止Internet病毒入侵。实现方式：在Interface 3的入方向上部署ACL，防止病毒通过该接口入侵。

在OSPF中使用基本ACL过滤路由信息示例

组网需求

如图1所示，运行OSPF协议的网络中，SwitchA从Internet网络接收路由，并为OSPF网络提供了Internet路由。用户希望OSPF网络中只能访问172.16.17.0/24、172.16.18.0/24和172.16.19.0/24三个网段的网络，其中SwitchC连接的网络只能访问172.16.18.0/24网段的网络。

配置思路

采用如下的思路配置对路由进行过滤：

1. 在SwitchA上配置ACL，在路由发布时应用ACL，使SwitchA仅提供路由172.16.17.0/24、172.16.18.0/24、172.16.19.0/24给SwitchB，实现OSPF网络中只能访问172.16.17.0/24、172.16.18.0/24、172.16.19.0/24三个网段的网络。
2. 在SwitchC上配置ACL，在路由引入时应用ACL，使SwitchC仅接收路由172.16.18.0/24，实现SwitchC连接的网络只能访问172.16.18.0/24网段的网络

拓扑图

S1基本配置

配置各接口所属的VLAN 
# 配置SwitchA。SwitchB和SwitchC的配置与SwitchA类似。
<HUAWEI> system-view
[HUAWEI] sysname S1
[S1] vlan batch 10
[S1] interface gigabitethernet 0/0/1
[S1-GigabitEthernet0/0/1] port link-type trunk
[S1-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
[S1-GigabitEthernet0/0/1] quit


配置各VLANIF接口的IP地址 
# 配置SwitchA。SwitchB和SwitchC的配置与SwitchA类似。
[S1] interface vlanif 10
[S1-Vlanif10] ip address 192.168.1.1 24
[S1-Vlanif10] quit


配置OSPF基本功能 
# SwitchA的配置。
[S1] ospf
[S1-ospf-1] area 0
[S1-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255
[S1-ospf-1-area-0.0.0.0] quit
[S1-ospf-1] quit


在SwitchA配置5条静态路由，并在将这些静态路由引入到OSPF协议中 
[S1] ip route-static 172.16.16.0 24 NULL 0
[S1] ip route-static 172.16.17.0 24 NULL 0
[S1] ip route-static 172.16.18.0 24 NULL 0
[S1] ip route-static 172.16.19.0 24 NULL 0
[S1] ip route-static 172.16.20.0 24 NULL 0
[S1] ospf
[S1-ospf-1] import-route static
[S1-ospf-1] quit


配置路由发布策略 

# 在SwitchA配置ACL 2002，允许172.16.17.0/24、172.16.18.0/24和172.16.19.0/24通过。
[S1] acl number 2002
[S1-acl-basic-2002] rule permit source 172.16.17.0 0.0.0.255
[S1-acl-basic-2002] rule permit source 172.16.18.0 0.0.0.255
[S1-acl-basic-2002] rule permit source 172.16.19.0 0.0.0.255
[S1-acl-basic-2002] quit


# 在SwitchA配置发布策略，引用ACL 2002进行过滤。
[S1] ospf
[S1-ospf-1] filter-policy 2002 export static
[S1-ospf-1] quit

S2基本配置
<Huawei>system-view 
[Huawei]sysname S2

[S2]interface GigabitEthernet 0/0/1
[S2-GigabitEthernet0/0/1]port link-type trunk 	
[S2-GigabitEthernet0/0/1]port trunk allow-pass vlan 10
[S2-GigabitEthernet0/0/1]q

[S2]interface Vlanif 10 
[S2-Vlanif10]ip address 192.168.1.2 24
[S2-Vlanif10]q

[S2]vlan 20
[S2-vlan20]q

[S2]interface GigabitEthernet 0/0/2	
[S2-GigabitEthernet0/0/2]port link-type trunk 

[S2-GigabitEthernet0/0/2]port trunk  allow-pass vlan 20
[S2-GigabitEthernet0/0/2]q

[S2]interface Vlanif 20
[S2-Vlanif20]ip address 192.168.2.1 24
[S2-Vlanif20]q



配置ospf
[S2] ospf
[S2-ospf-1] area 0
[S2-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255
[S2-ospf-1-area-0.0.0.0] network 192.168.2.0 0.0.0.255
[S2-ospf-1-area-0.0.0.0] quit
[S2-ospf-1] quit

S3基本配置

<Huawei>system-view 
[Huawei]sysname S3

[S3]vlan 20
[S3-vlan20]q

[S3]interface GigabitEthernet 0/0/1
[S3-GigabitEthernet0/0/1]port link-type trunk 	
[S3-GigabitEthernet0/0/1]port trunk allow-pass vlan 20
[S3-GigabitEthernet0/0/1]q

[S3]interface Vlanif 20
[S3-Vlanif20]ip address 192.168.2.2 24
[S3-Vlanif20]q


配置OSPF
[S3] ospf
[S3-ospf-1] area 0
[S3-ospf-1-area-0.0.0.0] network 192.168.2.0 0.0.0.255
[S3-ospf-1-area-0.0.0.0] quit
[S3-ospf-1] quit


配置路由接收策略 

# 在SwitchC配置ACL 2003，允许172.16.18.0/24通过。
[S3] acl number 2003
[S3-acl-basic-2003] rule permit source 172.16.18.0 0.0.0.255
[S3-acl-basic-2003] quit

# 在SwitchC配置接收策略，引用ACL 2003进行过滤。
[S3] ospf
[S3-ospf-1] filter-policy 2003 import
[S3-ospf-1] quit

S1路由表

S2路由表

S3路由表