Перейти к содержимому
Калькуляторы

ACL на Juniper

Подскажите пожалуйста конфиг для EX4200

необходимо пользователю разрешить доступ к 0.0.0.0/0, но заблочить 10.0.0.0 255.0.0.0

на порту создан L3 интерфейс в влане, который является шлюзом для пользователя.

 

желательно не для физического порта, а именно для L3 интерфейса, т.к в других вланах есть свой трафик.

Изменено пользователем alex4222

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

 

это сам фильтр

 

[edit firewall family inet]

root# show

filter filter-in {

term block-some-packets {

from {

destination-address {

10.0.0.0/8;

}

}

then {

discard;

}

}

term accept-all-other {

then accept;

}

}

 

а вот он прикручивается на порт

 

[edit]

root# edit interfaces em0

 

[edit interfaces em0]

root# show

unit 0 {

family inet {

filter {

input filter-in;

}

}

}

 

[edit interfaces em0]

root#

 

 

а мне нужно на L3 интерфейс например такой http://xgu.ru/w/images/0/06/Rvi-junos.PNG

как?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

set interfaces vlan unit 2225 family inet filter ххххххх

 

наверное так я на влан повешу? будет работать?

 

просто нет песочницы. нельзя ошибиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

set interfaces vlan unit 2225 family inet filter ххххххх

 

наверное так я на влан повешу? будет работать?

Да, именно так, interface vlan unit с family inet - в концепции джуна такой же L3-интерфейс, как и любой другой.

просто нет песочницы. нельзя ошибиться.

commit confirmed с этим поможет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

set interfaces vlan unit 2225 family inet filter ххххххх

 

наверное так я на влан повешу? будет работать?

Да, именно так, interface vlan unit с family inet - в концепции джуна такой же L3-интерфейс, как и любой другой.

просто нет песочницы. нельзя ошибиться.

commit confirmed с этим поможет.

 

спасибо. commit confirmed само собой, но вопрос вначале нужно провентилировать, а то мало ли что. даже минутный простой будет иметь негативные последствия.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

собери лабу на виртуальных джунах и проверь

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Как-то вот так выходит вешаю на сам вилан

 

ТС есть закрытая ветка джуноса на форуме.

 

 

family ethernet-switching {
   filter igmp {
       term 1 {
           from {
               source-address {
                   172.30.20.0/24;
               }
           }
           then {
               discard;
               count source-discard;
           }
       }
       term 2 {
           from {
               destination-address {
                   172.30.20.0/24;
               }
           }
           then count destination-discard;
       }
       term default {
           then {
               accept;
               count accept;
           }
       }
   }

   vlan3013 {
       vlan-id 3013;
       filter {
           input igmp;
           output igmp;

 

Как ты писал у тебя не получится т.к. интерфейсы нужно будет настраивать по другому как на роутере и потом их бриджевать их.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.