薛佳宇,ACG1000实现部分终端禁止访问部分网站(ACG在网关上层)
组网及说明
一、拓扑
二、需求
内网网关在核心交换机，ACG1000设备作为出口。要求内网网段vlan100中终端PC1 172.16.100.4(8c-16-45-5d-88-e6)不能访问淘宝和斗鱼，其他网站不做限制，其他终端不做限制。
三、配置思路
(1)方法一：使用终端mac地址控制
1、ACG设备在终端网关设备上层，因此默认情况下ACG1000设备无法学习到终端的真实mac地址，如果需要通过mac地址来控制则需要在ACG上配置SNMP同步(跨三层mac学习)。
2、为了配合ACG设备完成SNMP同步，需要在核心交换机配置SNMP。
3、acg创建本地用户，绑定终端真实mac地址8c-16-45-5d-88-e6
4、配置URL对象组，包含禁止访问的域名
5、配置IPV4控制策略，匹配上述用户，通过URL过滤模块进行控制，其他终端可配置控制策略放行，或配置控制策略默认动作为允许
(2)方法二：使用终端ip地址控制(可以不配置SNMP同步)
1、配置URL对象组，包含禁止访问的域名
2、配置IPV4控制策略，源地址匹配包含要限制的IP的IP地址对象组，通过URL过滤模块进行控制，其他终端可配置控制策略放行，或配置控制策略默认动作为允许
配置步骤
四、配置步骤
(1) 方法一：使用终端mac地址控制
1、核心交换机配置基础网络及SNMP，ACG配置基础网络。仅列举交换机snmp配置：
#
snmp-agent
snmp-agent community read acg
snmp-agent sys-info version all
#
2、ACG设备配置SNMP同步
3、ACG针对上述终端添加本地用户，名为url控制，绑定终端mac地址
4、配置URL对象组，包含禁止访问的域名
5、ACG设备配置控制策略，匹配条件中选中用户”URL限制”，随后URL过滤模块中创建一条规则：访问“禁止的网站”为拒绝。
(2)方法二：使用IP地址控制
1、配置URL对象组，包含禁止访问的域名
2、配置一个IP地址对象组，名为“URL限制的终端”，添加要做限制的终端ip
3、ACG设备配置控制策略，匹配条件中选中源地址”URL限制的终端”，随后URL过滤模块中创建一条规则：访问“禁止的网站”为拒绝。
五、配置验证
1、PC1访问淘宝、斗鱼失败
2、PC1访问百度、京东成功
3、附交换机配置
#
vlan 10
#
vlan 100
#
vlan 200
#
dhcp enable
#
dhcp server ip-pool v100
gateway-list 172.16.100.1
network 172.16.100.0 mask 255.255.255.0
dns-list 114.114.114.114
#
dhcp server ip-pool v200
gateway-list 172.16.200.1
network 172.16.200.0 mask 255.255.255.0
dns-list 114.114.114.114
#
interface Vlan-interface10
ip address 10.0.0.2 255.255.255.0
#
interface Vlan-interface100
ip address 172.16.100.1 255.255.255.0
#
interface Vlan-interface200
ip address 172.16.200.1 255.255.255.0
#
interface GigabitEthernet1/0/1
port access vlan 10
#
interface GigabitEthernet1/0/3
port access vlan 100
#
interface GigabitEthernet1/0/4
port access vlan 100
#
interface GigabitEthernet1/0/5
port access vlan 200
#
ip route-static 0.0.0.0 0 10.0.0.1
#
snmp-agent
snmp-agent community read acg
snmp-agent sys-info version all
#
配置关键点
1、ACG设备在终端网关设备上层，因此默认情况下ACG1000设备无法学习到终端的真实mac地址，如果需要通过mac地址来控制则需要在ACG上配置SNMP同步(跨三层mac学习)。
2、配置SNMP同步时，填写的mac地址是交换机与ACG互联的三层接口的mac，也就是本案例中vlan-int的mac
CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。,ACG1000实现部分终端禁止访问部分网站(ACG在网关上层)
