目录

一、前言

二、拓扑图

三、实现目标

四、IP ACL规则设置

1. 自定义IP ACL
2. 新增一条ACL
3. 查看已添加的ACL规则
4. 另新增一条允许其他IP通讯的ACL
5. 将ACL应用到端口

五、效果测试

一、前言

FS728TPv1、GS724TP、GS748TP系列交换机支持IP ACL的功能，能通过对源或目标IP地址、使用协议来定义网络中的访问规则。下面我们就通过FS728TP上一个例子来描述如何设置IP ACL。

二、拓扑图

三、实现目标

在端口1上阻止PC1（IP：192.168.1.65）访问HTTP服务。

四、IP ACL规则设置

1、自定义IP ACL

在Switch－Security－Access Control中，选择Define IP ACL。

2、新增一条ACL

点Add ACL，建立一条新的ACL。

ACL Name：ACL的名称

New Rule Priority：规则的优先级，决定规则匹配端口包的顺序，这里需要把前面的勾点上

Protocol：定义要限制或允许协议，可以从下拉列表中选择协议，也可以自己手动设置协议的ID

Source IP Address：源IP地址，这里填入一台PC的IP地址，或者一个子网，比如192.168.1.0

WildCard Mask：通配符掩码，即反掩码，填入0.0.0.0表示指定一个IP，如果填入0.0.0.255，表示指定一个C类网段

Dest. IP Address：目的IP地址，如果是所有，则不用填

TCP/UDP Source Port：TCP/UDP的源端口，可以手工指定或选择Any代表所有

TCP/UDP Destination Port：TCP/UDP的目标端口，可以手工指定或选择Any代表所有

Acion：操作。可以选择Permit、Deny和Shutdown

设置好后点Apply。

3、查看已添加的ACL规则

再点击Define IP ACL，可以看到已经建立了一条IP ACL。

作用是阻止192.168.1.65访问其他任何网络。但单单是这样还不行，因为IP ACL默认是禁止所有IP地址访问的，即按目前这个配置，这条ACL还是会阻止所有的IP通信。

4、另新增一条允许其他IP通讯的ACL

还需增加一条规则，使其他的IP通信正常，点Add Rule。

这里Priority应低于前面那条规则，以便数据包进来时先比对第一条规则。Protocol选择ANY，表示所有协议。源地址和目的地址都不填，即包含了所有地址。Action选Permit。点Apply。这样这条ACL就添加了两条规则：

5、将ACL应用到端口

将这条ACL绑定到端口，点ACL Binding。

选择端口1

点Apply，这样这条ACL就绑定到端口1了。

注意：每个端口只能绑定一条ACL，不管是MAC的还是IP的。如果将一个已经绑定了ACL的端口再绑定到另一条ACL上，原来的ACL绑定会自动取消。

五、效果测试

使用192.168.1.65这台电脑ping NETGEAR官方网站：www.netgear.com.cn，同时使用IE浏览这个网址，可以看到：

可以ping通该网址，说明ICMP和DNS等服务都没有被禁止，但网页打不开，说明HTTP服务已经被禁止了。