關鍵詞：
交换机
依據公司網絡建設要求，對公司新購置的設備進行配置測試。測試內容要求模擬公司業務，對公司各業務進行訪問控制試驗。試驗網絡結構、端口及VLAN配置如圖1所示。
測試方式
對二層交換機" title="交換機">交換機進行VLAN劃分，隔離業務，訪問控制內容定義到接入層的路由器上;對三層交換機基于端口劃分VLAN、定義網關并進行各業務間的訪問控制設定。對交換機進行配置的過程略。
在R2611訪問控制內容不變的情況下，對S3526AC進行逐條訪問控制命令添加，測試各業務間的隔離情況，各機器之間相互ping通試驗。
測試內容
首先，在S3526-AC上添加ACL 100后，PCA與PCB、PCC不通， PCB與PCC通；然后，添加ACL 101后，PCA與PCB通， PCB與PCC不通；最后，添加ACL 102后，PCA、PCB、PCC之間全通。試驗隔離不成功。經過多次修改控制內容，將S3526-AC的訪問控制內容修改則隔離成功。
發現的問題及解決的方式
通過對S3526-AC進行的兩次訪問控制內容比較，發現訪問控制命令中的源地址的反掩碼必須與目的地址的反掩碼對應匹配才行。如果將訪問控制內容的源、目的地址反掩碼比較位定義到24位，根據我公司的網絡情況與業務需求，訪問控制條數將變得非常龐大，實際應用與維護操作都變得很困難；如果將訪問控制內容的源、目的地址反掩碼比較位都定義到16位，則S3526-AC下各端口訪問控制容易出現控制漏洞。
根據S3526-AC已設置好的內容，相應的改變三臺PC機的地址，直接接到S3526-AC上，重復測試過程，結果與上面的試驗情況相同。根據在R2611下進行的訪問控制試驗，在R2611上不存在源、目的地址反掩碼比較位匹配問題，可以將源地址反掩碼比較位與目的地址反掩碼比較位設置不同長度，能匯聚訪問控制的命令條數。將S3526-AC上只設置二層功能，三層上的子接口與訪問控制功能設置在R3640E上，結果各業務訪問控制試驗成功。
測試內容
首先，在S3526-AC上添加ACL 100后，PCA與PCB、PCC不通， PCB與PCC通；然后，添加ACL 101后，PCA與PCB通， PCB與PCC不通；最后，添加ACL 102后，PCA、PCB、PCC之間全通。試驗隔離不成功。經過多次修改控制內容，將S3526-AC的訪問控制內容修改則隔離成功。
發現的問題及解決的方式
通過對S3526-AC進行的兩次訪問控制內容比較，發現訪問控制命令中的源地址的反掩碼必須與目的地址的反掩碼對應匹配才行。如果將訪問控制內容的源、目的地址反掩碼比較位定義到24位，根據我公司的網絡情況與業務需求，訪問控制條數將變得非常龐大，實際應用與維護操作都變得很困難；如果將訪問控制內容的源、目的地址反掩碼比較位都定義到16位，則S3526-AC下各端口訪問控制容易出現控制漏洞。
根據S3526-AC已設置好的內容，相應的改變三臺PC機的地址，直接接到S3526-AC上，重復測試過程，結果與上面的試驗情況相同。根據在R2611下進行的訪問控制試驗，在R2611上不存在源、目的地址反掩碼比較位匹配問題，可以將源地址反掩碼比較位與目的地址反掩碼比較位設置不同長度，能匯聚訪問控制的命令條數。將S3526-AC上只設置二層功能，三層上的子接口與訪問控制功能設置在R3640E上，結果各業務訪問控制試驗成功。
本站內容除特別聲明的原創文章之外，轉載內容只為傳遞更多信息，并不代表本網站贊同其觀點。轉載的所有的文章、圖片、音/視頻文件等資料的版權歸版權所有權人所有。本站采用的非本站原創文章及圖片等內容無法一一聯系確認版權者。如涉及作品內容、版權和其它問題，請及時通過電子郵件或電話通知我們，以便迅速采取適當措施，避免給雙方造成不必要的經濟損失。聯系電話：010-82306118；郵箱：aet@chinaaet.com。