目录

一、前言

二、拓扑图

三、实现目标

四、ACL规则设置

1. 新建IP ACL
2. 设置IP Rules
3. 查看已创建的IP ACL
4. 另新建一台允许其他IP通讯的ACL Rules
5. 将ACL应用到端口

注意

五、测试效果

一、前言

FS728TPv1,GS724TS,GS748TS,GS724TP,GS748TP系列交换机支持IP ACL的功能，能通过对源或目标IP地址、使用协议来定义网络中的访问规则。下面我们就通过GS724TP上一个例子来描述如何设置IP ACL。

二、拓扑图

三、实现目标

在端口1上阻止PC1（IP：192.168.1.65）访问HTTP服务。

四、ACL规则设置

1、新建IP ACL

在Security>ACL>Basic>IP ACL中，新建一个IP ACL，取名为“ip1”，点ADD添加。

2、设置IP Rules

进入IP Rules，建立一条新的规则，即阻止192.168.1.65访问HTTP服务。

Priority：规则的优先级，决定规则匹配端口包的顺序，这里需要把前面的勾点上

Protocol：定义要限制或允许协议，需要自己手动设置协议的ID，常用的协议ID如：6（TCP），17（UDP），1（ICMP），2（IGMP），255（所有服务）等。更多协议ID请参考Protocol Number。

Source的IP Address：源IP地址，这里填入一台PC的IP地址，或者一个子网，比如192.168.1.0。本例中是一台PC，因此为192.168.1.65。

Source的Mask：通配符掩码，即反掩码，填入0.0.0.0表示指定一个IP，如果填入0.0.0.255，表示指定一个C类网段。

Destination的IP Address：目的IP地址，如果是所有，则不用填。

Destination的Mask：也是通配符掩码，即反掩码。

Source Port：TCP/UDP的源端口，可以设置特定端口号或输入Any代表所有。本例中源端口是所有，即为Any。

Destination Port：TCP/UDP的目标端口，可以设置特定端口号或输入Any代表所有。本例中目标端口为80（HTTP）。

Acion：操作。可以选择Permit、Deny和Shutdown。

设置好后点ADD。

3、查看已创建的IP ACL

此时可以看到已经建立了一条IP ACL，作用是阻止192.168.1.65访问HTTP服务。但单单是这样还不行，因为IP ACL默认是禁止所有IP地址访问的，即按目前这个配置，这条ACL还是会阻止所有的IP通信。

4、另新建一条允许其他IP通讯的ACL Rules

还需增加一条规则，使其他的IP通信正常，

这里Priority应低于前面那条规则，以便数据包进来时先比对第一条规则。Protocol ID、源地址和目的地址都不填，则表明包含了所有协议和地址。Action选Permit。点ADD。这样这条ACL就添加了两条规则：

5、将ACL应用到端口

将这条ACL绑定到端口，进入IP Binding Configuration，在ACL Name中选“ip1”，在Port Selection Table下的黄条上点一下，即可出现所有端口。点击01端口，就把这个ACL应用到端口1了。点APPLY应用。

注意

每个端口只能绑定一条ACL，不管是MAC的还是IP的。如果在一个已经绑定了ACL的端口再绑定另一条ACL，会出现错误提示，如下图：

五、测试效果

使用192.168.1.65这台电脑ping NETGEAR官方网站：www.netgear.com.cn，同时使用IE浏览这个网址，可以看到：
可以ping通该网址，说明ICMP和DNS等服务都没有被禁止，但网页打不开，说明HTTP服务已经被禁止了。