台式电脑

电脑怎么样禁止使用外网(如何配置禁止某一网段上外网,原来用ACL是这么容易实现的)

在工作中,可以能有这样的需求,有些部门需要访问互联网,一些不让访问互联网,但是在局域网内部,不同部门可能有业务的来往,所以需要互通。一般情况下,会使用访问控制列表来实现这个需求。

如下图的拓扑

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

上图的R1为出口路由,通过连接到运营商自动获取IP上网。内部局域网通过NAT方式上网。按照上图的需求,直接把VLAN30的网段做NAT就能实现上网,VLAN20和30不做NAT就实现不能上互联网的需求了。

配置思路

1、把不同部门的加入到相对应的vlan中

2、为每个VLAN配置VLANIF的IP地址,作为此网段的网关地址

3、在SW1和SW2的级联口配置,运行VLAN10到VLAN30通过。

4、SW1和R1配置互联IP

5、在SW1上配置默认路由,把去往互联网的数据包交给R1处理。

6、R1上指定数据包回来的路由。

7、匹配要做NAT的网段

8、在R1的GE0接口上应用NAT。

关键配置

在SW2中,把财务部、开发部和访客分别加入到vlan10、vlan20和30中。

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

电脑怎么样禁止使用外网(如何配置禁止某一网段上外网,原来用ACL是这么容易实现的)

SW2

在SW1上为vlan10、vlan20和vlan30配置,VLANIF的IP地址

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

SW1

把SW1和SW2的GE23端口配置trunk模式,并允许vlan10到30通过。

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

配置R1和SW1的互联IP地址

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

R1

在R1和SW1配置路由信息.

在SW上执行如下命令,意思是把去往互联网的数据包交给路由器处理。192.168.100.2是路由器R1的GE02接口IP.

iproute-static0.0.0.00.0.0.0192.168.100.2

同时,还需要在路由器R1上指定回来的路由走向,如果在路由器不配置回来的路由,会造成有去无回的现象

在路由器R1上执行如下命令,意思是以192.168.开头的数据包交给SW1处理。192.168.100.1为SW1的接口IP

iproute-static192.168.0.0255.255.0.0192.168.100.1

到此局域内部是可以相互访问的,但是去往互联网还是不通的,原因由于私有IP不能再公网路由,所有,我们需要把私网地址转换成公网IP。这时会用到NAT技术。

配置NAT

根据需求,只需要访客VALN30的网段需要上网,因此,采用访问控制列表。把VALN30的网段匹配到。

aclnumber2000

rule5permitsource192.168.30.00.0.0.255

定义公网地址池

nataddress-group1192.168.224.135192.168.224.135

在R1的GE0接口应用NAT

interfaceGigabitEthernet0/0/0

natoutbound2000address-group1

ipaddressdhcp-alloc

到此上述的功能已经完成了。好了,我们看看效果吧

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

PC3

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

PC1

通过上图可以看到访客可以正常访问互联网和内网的其他部门。开发部和财务部均不能访问互联网。

我们还可以通过在R1上执行displaynatsessionall,查看nat转换的情况,如下图。

如何配置禁止某一网段上外网,原来用ACL是这么容易实现的

可以看到内部IP地址192.168.30.10被转换成192.168.224.135这个地址。

想获取此拓扑和详细的配置文件,请关注并转发,私信回复“ACL”获取。感谢大家的一路支持。

相关新闻

返回顶部