低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败.docVIP

下载本文档

6
0
约1.77千字
约 6页
2017-07-14 发布于浙江
举报
版权申诉

低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败.doc

1、有哪些信誉好的足球投注网站（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
7、VIP文档为合作方或网友上传，每下载1次，网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档

低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败

低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败现象描述：希望利用traffic-policy，仅允许10.1.1.2能ping10.1.1.1。测试了三种配置均失败，以下是在S5300上做的几次测试的结果及配置：1）10.1.1.2发给10.1.1.1的icmp报文被过滤，其他任何类型业务正常vlan 1 traffic-policy test inbound#acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0#traffic classifier test if-match acl 3001#traffic behavior test deny#traffic policy test classifier test behavior test#interface Vlanif1 ip address 10.1.1.1 255.255.252.02）所有的icmp报文被过滤vlan 1 traffic-policy test inbound#acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 rule 20 deny icmp#traffic classifier test if-match acl 3001#traffic behavior test deny#traffic policy test classifier test behavior test#interface Vlanif1 ip address 10.1.1.1 255.255.252.03）所有类型报文均被放行：vlan 1 traffic-policy test inbound#acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 rule 20 deny icmp#traffic classifier test if-match acl 3001#traffic behavior test permit#traffic policy test classifier test behavior test#interface Vlanif1 ip address 10.1.1.1 255.255.252.0 原因分析：流程图：在低端交换机上通过traffic-policy引用acl场景中，低端交换机acl的rule里面的permit/deny是不生效的，一切取决于traffic-behaviour中的配置所作操作失败的原因在于：1）匹配rule 10 的报文被deny(rule中permit无效)，其他没有匹配rule 10的报文默认permit2）匹配rule 10和20 的报文被deny，即丢弃所有icmp，报文默认permit3）匹配rule 10和20 的报文被permit，即丢弃所有icmp，报文默认permit ：正确的配置：在一个policy中配两个classifier behavior对，前面一个允许特定icmp流量通过，后面一个禁止其它icmp流量acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0#acl number 3002 rule 20 deny icmp#traffic classifier mgt if-match acl 3001#traffic classifier mgt2 if-match acl 3002#traffic behavior mgt permit#traffic behavior mgt2 deny#traffic policy test classifier mgt behavior mgt classifier mgt2 behavior mgt2 建议与总结：高端交换机S9300的ACL中rule定义的permit/deny是生效的，结合behaviour中的permit/deny共同作用，两个中有一个deny结果就是deny。