AR1220 блокировка ip

Здравствуйте, думаю, что вам может помочь данная инструкция, если вы замените MAC-адрес функцию на IP-адрес и замените направление применение правила:

https://support.huawei.com/enterprise/en/doc/EDOC1000174075/4bef17f1/example-for-using-layer-2-acls-to-block-network-access-of-the-specified-users

Как не нашли? deny для 1 ip, permit для остальных и повесить на интерфейс

Здравствуйте,
Сделал все по инструкции но с компа все равно есть доступ в интернет.

acl name GigabitEthernet0/0/0 2999
rule 5 permit
#
acl number 4000
rule 5 deny source-mac 502f-9b05-0703

#
traffic classifier tc1 operator or
if-match acl 4000
#
traffic behavior tb1
deny
#
traffic policy tp1
classifier tc1 behavior tb1 precedence 5

interface GigabitEthernet0/0/0
description Internet
ip address 90.155.45.116 255.255.255.252
nat outbound 2999
traffic-policy tp1 inbound

AR1:

!

acl number 2000

  rule 5 deny source 192.168.0.1 0.0.0.0

  rule 10 permit source any

 !

  int GigabitEthernet 0/0/0

  traffic-filter outbound acl 2000

 quit

PC>ping 90.155.45.118

Ping 90.155.45.118: 32 data bytes, Press Ctrl_C to break

Request timeout!

Request timeout!

Request timeout!

Request timeout!

Request timeout!

--- 90.155.45.118 ping statistics ---

  5 packet(s) transmitted

  0 packet(s) received

  100.00% packet loss

<AR1>display acl 2000

Basic ACL 2000, 2 rules

Acl's step is 5

 rule 5 deny source 192.168.0.0 0.0.0.255 (5 matches)

 rule 10 permit (25 matches)

<AR1>

Добрый день!

Если Вам нужно фильтровать по IP, то решение Vasyo с traffic filter Вам поможет. 

Если же по MAC, то предложенный Вами конфиг можно поменять:
1. ACL фильтром надо запрещать (deny) MAC, который не надо пускать дальше, и следующим правилом разрешать все остальное;
2. Behavior соответственно разрешать (permit) для вышестоящего ACL, те. он пропустит MAC-и, которым можно;
3. и самое основное - т.к. фильтрация по MAC, то вешать filter-policy надо не на выходной интерфейс, а на внутренний. У Вас же в примере NAT, соответственно меняется MAC пакета на MAC выходного интерфейса, и QOS его не поймает.

соответственно в Вашем примере (конф AR1, схема по аналогии схемы Vasyo):

acl number 4000  
rule 5 deny source-mac 502f-9b05-0703
rule 10 permit

traffic classifier tc1 operator or
if-match acl 4000
#
traffic behavior tb1
permit
#
traffic policy tp1
classifier tc1 behavior tb1


interface GigabitEthernet0/0/1
ip address ...
traffic-policy tp1 inbound

Обратите внимание - интерфейс внутренний (а не внешний), номера портов брал такие же, как в схеме Vasyo. Проверил в eNSP – у меня работает.

Буду проводить эксперементы на тестовом компе. Пока на компе охраны просто убрал ДНС и все :-) Какой то он заговоренный блин.