web-dev-qa-db-ja.com

2つの特定のVLAN間のトラフィックをブロックするにはどうすればよいですか

ネットワークのコアスイッチとして機能するDell6224powerconenctスイッチがあります。いくつかのVLANを構成しましたが、特定のVLAN間のトラフィックをブロックすることを検討するときが来ました。

私は現在VLAN2-10を使用しており、それぞれのサブネットは10.58です。v。0/24（ここで、vはVLAN ID） 。各VLANは10.58です。v。1）のルーターインターフェイス

たとえば、VLAN 5は10.58.5.0/24を使用し、ゲートウェイは10.58.5.1です。

私がやりたいのは、VLAN 5とVLAN 8の間、つまりIPが10.58.5.0/の範囲にあるものすべてをブロックすることです。 24は10.58.8.0/24では何とも通信できません。その逆も同様です。

これは実稼働ネットワークであるため（そして利用可能なテスト環境がないため）、混乱した場合に備えて、ACLの作成を開始したくありません。

私が最初に考えたのは、などのアクセスリストを作成することでした。

access-list testacl deny ip 10.58.5.0 255.255.255.0 10.58.8.0 255.255.255.0

しかし、これを特定のインターフェイスに割り当てる必要があるかどうかは本当にわかりませんか？

更新：

私はさらに読んでいて、他のすべてのために許可ルールを追加する必要があることに気付きました。そうしないと、暗黙のすべての拒否ルールがすべてをブロックするので、私のtestaclは次のようになります。

access-list testacl deny ip 10.58.5.0 255.255.255.0 10.58.8.0 255.255.255.0
access-list testacl permit every

しかし、これが正しいかどうかはまだわかりません。私が行っている他の考えられる副作用を完全に理解せずに本番スイッチを再構成するリスクを冒したくないので、助けていただければ幸いです。

networkingroutingvlanaccess-control-listdell-powerconnect
1
Bryan

私は自分の質問に答えるのが嫌いですが、これを解決したので、これは他の誰かを助けるかもしれません。

まず、上記のネットマスクが正しくありません。 ワイルドカードマスク を使用する必要があります。

いくつかの調査の結果、ACLを作成するための正しいコマンドは次のとおりであることがわかりました。

access-list testacl deny ip 10.58.5.0 0.0.0.255 10.58.8.0 0.0.0.255
access-list testacl permit every

...そしてACLを適用するために、私は以下を使用しました：

interface vlan 5
ip access-group testacl

私が行った調査の後、ACLを本番スイッチに適用することに自信があり、変更は問題なく機能しました。

2
Bryan