是否可以允许/拒绝使用阿鲁巴交换机上的访问控制列表连接到域名？

Question

我正在做一个阿鲁巴2900系列交换机，我想限制任何流量，除了流量来自/到少数域名。

我要做的是：

ip access-list extended "production"

deny ip any any
permit 192.168.64.0 0.0.0.255 192.168.64.0 0.0.0.255 // Allow internal traffic
permit 192.168.64.0 0.0.0.255 *.mydomain.local // Is this possible?

我在阿鲁巴/高密度聚乙烯文件中找不到关于域名使用的任何信息。

这个是可能的吗？如果是的话，我如何才能做到这一点？

Answer 1

不是的。至少不是直接的。

域名是应用层上的一个概念。ACL在网络层(简单ACL)和传输层(扩展ACL)中工作，因此它们看不到任何名称--只有IP地址和TCP/UDP端口号。

如果将不需要的主机名解析为IP地址，则可以将这些IP地址添加到ACL规则中，并阻止它们的所有通信。请注意，每个ACL的末尾都有一个隐式deny any any。如果您拒绝一些流量，并且希望允许所有其他内容，则需要一个permit any any作为最后一行。