như sau: -Đối với nhóm VnproAllow1: cho phép -Đối với nhóm VnproBlock1: bị cấm (tức traffic tương ứng khi truy cập đến IP tương ứng trong nhóm này sẽ bị DROP) -Đối với nhóm VnproDefault1: cho phép. Nguyên tắc: sau khi có chính sách cấm các loại traffic truy cập đến các IP tương ứng nào đó, cần thiết phải kết thúc với Access-list có nội dung “permit any any”, nếu không, do tính chất “implicit deny” của Access-list, các host khác sẽ bị cấm đối với mọi loại traffic còn lại. Trong trường hợp bài Lab, nhóm VnproDefault1 được dùng với chức năng nêu trên. Cấu hình Vlan Access-map (dùng để áp đặt chính sách đối với từng nhóm đã phân loại) Vnpro(config)#vlan access-map VnproMap1 10 Vnpro(config-access-map)#match ip address VnproAllow1 Vnpro(config-access-map)#action forward Vnpro(config-access-map)#exit Vnpro(config)#vlan access-map VnproMap1 20 Vnpro(config-access-map)#match ip address VnproBlock1 Vnpro(config-access-map)#action drop Vnpro(config-access-map)#exit Vnpro(config)#vlan access-map VnproMap1 30 Vnpro(config-access-map)#match ip address VnproDefault1 Vnpro(config-access-map)#action forward Vnpro(config-access-map)#end 00:18:33: %SYS-5-CONFIG_I: Configured from console by console Kiểm tra thông tin về Vlan Access-map vừa cấu hình Vnpro#show vlan access-map Vlan access-map "VnproMap1" 10 Match clauses: ip address: VnproAllow1 Action: forward Vlan access-map "VnproMap1" 20 Match clauses: ip address: VnproBlock1 Action: Drop Vlan access-map "VnproMap1" 30 Match clauses: ip address: VnproDefault1 Action: forward Vnpro# Muốn kích hoạt các chính sách đó, phải áp dụng (apply) các Access-map này vào Vlan cụ thể (trong trường hợp này là Vlan 10 Trước khi Apply vào Vlan 10, host 192.168.10.3/28 và 192.168.10.4/28 đều có thể telnet vào 192.168.10.254 Kết quả telnet thành công từ Work Station 192.168.10.3/24 và 192.168.10.4/24 vào Access Server 192.168.10.254 Apply vào một Vlan (kích hoạt các Access-map trên Vlan 10) Vnpro(config)#vlan fiter VnproMap1 vlan-list 10 Kiểm tra Vnpro#show vlan filter VLAN Map VnproMap1 is filtering VLANs: 10 Vnpro# Error! Kiểm tra sự hoạt động của Vlan Access-list sau khi kích hoạt bằng cách tiến hành telnet từ các Work Station 192.168.10.3/28 và 192.168.10.4/28 và ghi nhận kết quả. Work Station 192.168.10.3/28 vẫn telnet thành công vào Access Server 192.168.10.254 vì Work Station này có địa chỉ IP được phân loại bởi nhóm VnproAllow1, và chính sách áp dụng cho nhóm này là “action: forward” Work Station 192.168.4/28 bị từ chối khi telnet vào Access Server 192.168.254 vì Work Station này có địa chỉ IP được phân loại bợi nhóm VnproBlock1, và chính sách áp dụng cho nhóm này là “action: drop” Đối với các Work Station còn lại nằm trong nhóm VnproDefault1 vẫn có thể telnet vào Access Server 192.168.10.254 vì chính sách đối với nhóm này là “action: forward” Tuy nhiên khi chú ý cấu hình “VnproDefault1 ” như sau: Vnpro(config)#ip access-list extended VnproDefault1 Vnpro(config-ext-nacl)#permit tcp any any Vnpro(config-ext-nacl)#exit Vnpro(config)# Error! Error! Với cấu hình như vậy, các Work Station trong nhóm VnproDefaul1 chỉ có thể telnet chứ không thể ping thấy Access Server do “quên” dòng lệnh “permit ip any any” Muốn ping thấy Access Server cần cấu hình như sau: Vnpro(config)#ip access-list extended VnproDefault1 Vnpro(config-ext-nacl)#permit tcp any any Vnpro(config-ext-nacl)#permit ip any any Vnpro(config-ext-nacl)#exit Vnpro(config)# Đó là do đặc tính “implicit deny” của Access-list . Phần 2 sẽ minh hoạ việc khắc phục lỗi trên. Một lưu ý khác:khi được kích hoạt, các Access-list sẽ kiểm tra theo thứ tự từ trên xuống, gặp dúng điều kiện, Switch sẽ áp đặt chính sách đã được cấu hình vào rồi kết thúc quá trình kiểm tra. Trong bài Lab này, nếu đổi thứ tự các Access-map, kết quả sẽ hoàn toàn khác. VD :nếu đặt vào”VnproMap1 10” cấu hình như sau: Vnpro(config)#vlan access-map VnproMap1 10 Vnpro(config-access-map)#match ip address VnproDefault1 Vnpro(config-access-map)#action forward Vnpro(config-access-map)#exit Access-map sẽ được kiểm tra từ trên xuống, ngay lần kiểm tra đầu tiên gặp “permit ip any any” vì tất cả các IP đều thoả điều kiện “any any”Switch lập tức áp đặt chính sách “action: forward” và nhóm này rối kết thúc quá trình kiểm tra. Kết quả : tất cả các Work Station đều có thể telnet vào Access Server . Vnpro(config-access-map)#exit Vnpro(config)#vlan access-map VnproMap1 20 Vnpro(config-access-map)#match ip address VnproBlock1 Vnpro(config-access-map)#action drop Vnpro(config-access-map)#exit. Vnpro(config)#vlan access-map VnproMap1 30 Vnpro(config-access-map)#match ip address VnproDefault1 Vnpro(config-access-map)#action forward Vnpro(config-access-map)#end 00:18:33: %SYS-5-CONFIG_I: Configured. Access-map (dùng để áp đặt chính sách đối với từng nhóm đã phân loại) Vnpro(config)#vlan access-map VnproMap1 10 Vnpro(config-access-map)#match ip address VnproAllow1 Vnpro(config-access-map)#action