S7000/S7500E/10500係列交換機禁止VLAN互訪方法（命令行版）

1 配置需求或說明

1.1  適用產品係列

本案例適用於如 S7006、S7503E、S7506E、S7606、S10510、 S10508等S7000、S7500E、S10500係列 的 V7交換機，V5、V7交換機具體分類及型號可以參考“1.1 Comware V5、V7平台交換機分類說明”。

1.2  配置需求

公司將交換機做為核心交換機，現在在核心交換機上劃分2個VLAN網段，VLAN 10和VLAN 20。PC1屬於VLAN 10，PC2屬於VLAN20，要求VLAN 10和VLAN 20之間不能互相訪問。

2 組網圖

3 配置步驟

3.1接口配置及vlan劃分

<H3C>system-view      //進入係統視圖

System View: return to User View with Ctrl+Z.

[H3C]vlan 10    //創建vlan 10

[H3C]quit     //退出當前視圖

[H3C I]vlan 20     //創建vlan20

[H3C]quit     //退出當前視圖

[H3C]int g1/0/10     //進入g1/0/10接口

[H3C-GigabitEthernet1/0/10]port access vlan 10     //將g1/0/10接入劃入vlan10

[H3C -GigabitEthernet1/0/10]quit     //退出當前視圖

[H3C]int vlan 10     //創建vlan10虛接口

[H3C-Vlan-interface10]ip add 192.168.10.1 24     //配置接口IP地址為192.168.10.1，掩碼為24位

[H3C-Vlan-interface10]quit     //退出當前視圖

[H3C]int g1/0/20     //進入g1/0/20接口

[H3C-GigabitEthernet1/0/20]port access vlan 20     //將接口劃入vlan20

[H3C-GigabitEthernet1/0/20]quit     //退出當前視圖

[H3C]int vlan 20     //創建vlan20虛接口

[H3C-Vlan-interface20]ip add 192.168.20.1 24     //配置接口IP地址為192.168.20.1，掩碼為24位

[H3C-Vlan-interface20]quit     //退出當前視圖

3.2創建包過濾策略

[H3C]acl advanced 3000     //創建3000的高級訪問控製列表

[H3C-acl-ipv4-adv-3000]rule 0 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255      //創建規則拒絕源地址是192.168.10.0，通配符為0.0.0.255的終端訪問目的地址是192.168.20.0，通配符為0.0.0.255的終端

[H3C-acl-ipv4-adv-3000]rule 5 permit ip     //創建全放通的規則

[H3C-acl-ipv4-adv-3000]quit     //退出當前視圖

[H3C]int vlan 10     //進入vlan10的虛接口

[H3C-Vlan-interface10] packet-filter 3000 inbound     //在該接口的入方向調用acl 3000的包過濾策略

[H3C-Vlan-interface10]quit     //退出當前視圖

[H3C]save force     //保存配置

3.3驗證配置

1）電腦配置地址或者自動獲取地址

接交換機10口的電腦地址為192.168.10.2

接交換機20口的電腦地址為192.168.20.2