1678968748,

组网及说明

一、拓扑

       

二、需求

         内网网关在核心交换机，ACG1000设备作为出口。要求内网网段vlan100中终端PC1 172.16.100.4(8c-16-45-5d-88-e6)不能访问淘宝和斗鱼，其他网站不做限制，其他终端不做限制。

 

三、配置思路

         (1)方法一：使用终端mac地址控制

         1、因为ACG作为网关则可以直接学习到终端的真实mac地址，无需配置SNMP同步(跨三层mac学习)。

         2、acg创建本地用户，绑定终端真实mac地址8c-16-45-5d-88-e6

         3、配置URL对象组，包含禁止访问的域名

         4、配置IPV4控制策略，匹配上述用户，通过URL过滤模块进行控制，其他终端可配置控制策略放行，或配置控制策略默认动作为允许

 

         (2)方法二：使用终端ip地址控制

         1、配置URL对象组，包含禁止访问的域名

         2、配置IPV4控制策略，源地址匹配包含要限制的IP的IP地址对象组，通过URL过滤模块进行控制，其他终端可配置控制策略放行，或配置控制策略默认动作为允许

配置步骤

四、配置步骤

         (1) 方法一：使用终端mac地址控制

         1、ACG针对上述终端添加本地用户，名为url控制，绑定终端mac地址

                

                

         2、配置URL对象组，包含禁止访问的域名

                

                

         3、ACG设备配置控制策略，匹配条件中选中用户”URL限制”，随后URL过滤模块中创建一条规则：访问“禁止的网站”为拒绝。

                

                

                

                

         (2)方法二：使用IP地址控制

         1、配置URL对象组，包含禁止访问的域名

                

                

         2、配置一个IP地址对象组，名为“URL限制的终端”，添加要做限制的终端ip

                

                

         3、ACG设备配置控制策略，匹配条件中选中源地址”URL限制的终端”，随后URL过滤模块中创建一条规则：访问“禁止的网站”为拒绝。

                 

                

                

                

五、配置验证

         1、PC1访问淘宝、斗鱼失败

                

         2、PC1访问百度、京东成功       

                        

配置关键点

1、因为ACG作为网关则可以直接学习到终端的真实mac地址，无需配置SNMP同步(跨三层mac学习)。

2、控制策略按照从上到下显示的顺序匹配，默认动作为允许

内容来源：知了社区，基于知识共享署名-相同方式共享3.0中国大陆许可协议
CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。,ACG1000实现部分终端禁止访问部分网站(ACG作为网关)