园区网之防火墙ACL的那点事

以下是园区网内网某台学生服务器出现不能访问外网和不能被其他用户访问的故障。

下面我们来聊聊是什么诡异事件，首先，我们查看服务器的IP地址，发现它的地址是一个私网地址，(原来是被某个老师使用自动获取IP地址)，后来把服务器地址配上，发现还是上不了网，我检测了它的环回地址，正确的，然后ping网关地址发现不通，而且服务器的网口不断介于亮与不亮之间。

下面我对接入层交换机进行检测，通过查看日志发现接服务器的那个口不停的在down和up，我用电脑对那个口进行测试发现能上网，没问题，看到这里很诡异吧？别急。。

我猜想可能是中间线路的问题，或者是网线水晶头的问题，果然，到服务器排线架上查看，发现模块坏了，没办法，换模块。

---

      在服务器与电脑机房的接入交换机上发现也有配置，我的想法是把服务器的VLAN划入到园区网的公网VLAN内，之后再进行测试外网，还是不通。ping网关和核心现在都是通了，现在怀疑是服务器没做免认证，于是接着把免认证配上，测试还是不行，最后发现很可能是被防火墙安全策略给限制了，排查到这里就是关键点了。

---

      下面我们做防火墙的ACL配置，允许外网数据包进来:

应用到该防火墙的下联端口即可，具体配置仅供参考，可忽略。

图片发自App