Как настроить ACL между vlan, чтобы был полный доступ с одного vlan, с другого нет?

Question

[Romas94]

Недавно попалась в руки aruba 3810m, 16 портовый оптический L3 коммутатор.
VLAN все поднял, но столкнулся с проблемой ACL.
Есть задача сделать так: чтобы VLAN 33 имел полный доступ к VLAN 30, но чтобы VLAN 30 не имел доступа совсем к VLAN 33.
VLAN 33: 100.10.33.0 /24
VLAN 30: 100.10.30.0 /24
Пробовал разные варианты:
ip access list extended BLOCK_VLAN_30
deny ip 100.10.30.0 0.0.0.255 100.10.33.0 0.0.0.255
permit ip 100.10.33.0 0.0.0.255 100.10.30.0 0.0.0.255
permit ip any any (эту команду пробовал без верхней и вместе)

interface vlan 30
ip access-group BLOCK_VLAN_30 in (так же пробовал и out)

итог оба VLANa не видят друг друга.

Пробовал так:

ip access list extended ACL_IN_VLAN_30
permit ip any 100.10.30.0 0.0.0.255
ip access list extended ACL_OUT_VLAN_30
permit ip 100.10.30.0 0.0.0.255 100.10.33.0 0.0.0.255
deny ip 100.10.30.0 0.0.0.255 any

Interface VLAN 30
ip access-group ACL_IN_VLAN_30 in
ip access-group ACL_OUT_VLAN_30 out

Итог тот же самый, блокируется с обоих сторон трафик.

Пробовал так:
ip access list extended ALLOW_VLAN_33_TO_30
permit ip 100.10.33.0 0.0.0.255 100.10.30.0 0.0.0.255

ip access list extended BLOCK_VLAN_30_TO_33
deny ip 100.10.30.0 0.0.0.255 100.10.33.0 0.0.0.255
permit ip any any

Interface VLAN 30
ip access-group ALLOW_VLAN_33_TO_30 in

Interface VLAN 33
ip access-group BLOCK_VLAN_30_TO_33 in

Текже пробовал поменять местами out.

Итог один и тот же, VLAN блокируются с 2 сторон, не выходит сделать полный доступ с 33 к 30 и чтобы небыло у 30 к 33.

Есть у кого то опыт с арубами, что можно сделать.
Где я ошибаюсь?

Comments

[Drno]

а как тогда вернется тебе обратно траффик запрошенный?

[Akina]

И не мешайте в одну кучу VLAN (второй уровень) и IP (третий уровень)

Answer 1

[Дмитрий]

На циске подобное решается командой permit tcp established со стороны отвечающей сети. Она сможет отвечать, но не сможет начинать соединения. В вашем случае на vlan30 in
permit tcp 100.10.30.0/24 100.10.33.0/24 established
deny ip 100.10.30.0/24 100.10.33.0/24

Answer 2

[Strabbo]

Итог один и тот же, VLAN блокируются с 2 сторон, не выходит сделать полный доступ с 33 к 30 и чтобы небыло у 30 к 33.

На 3810m никак. Ставьте фаервол, на нём можно сделать то что вам нужно