学校的机器都是教育网公网地址，如何让外面访问不到？

剑心通明

学校的机器都是教育网公网地址，机房和办公室什么的都是公网地址，全校是通过cisco6509出去的，没有路由器，在6509上如何设置可以防止下面的机器自己装个iis什么的提供服务？当然我们自己的服务器要让外面访问到？用acl？

apen

装个防火墙，或者在6509上做ACL

剑心通明

没有防火墙，那只能是给每个vlan都加上acl，deny tcp any a.b.c.0 0.0.0.255 eq 80
这样的？

cnadl

不用这么麻烦，你们的出口有几个？

剑心通明

两个，一个教育网一个网通的宽带，网通那个是做的代理，机器用的是教育网的公网地址

cnadl

要求只是让外面不能访问非server开放的某些服务是吧？

假设你内部分了以下几个网段
a,server
b,office
c,dorm
d,etc

那只要在到教育网的出口处inbound方向加上
permit ip any a
deny tcp any any eq port(i.e.80)
permit ip any any

就可以了

最后，建议考察下流量，如果这些私开的服务流量不大的话也未必要紧的。

剑心通明

原帖由 "cnadl" 发表：
要求只是让外面不能访问非server开放的某些服务是吧？

假设你内部分了以下几个网段
a,server
b,office
c,dorm
d,etc

那只要在到教育网的出口处inbound方向加上
permit ip any a
deny tcp any any eq por..........

关键是怕有些人自己放个主页，放倒是无所谓，怕放一些不该放的东西，呵呵