网络实验 文档 打开模拟器 →

AP 处的每 WLAN ACL — 过滤无线客户端流量

策略配置文件的 aclIn / aclOut 字段以前存储为惰性引用，现在实际上会过滤无线客户端流量。使用 aclIn: GUEST_BLOCK_INTERNAL 构建访客 WLAN，拒绝从客户端到 10.0.0.0/8 的流量；当公共互联网流量流动时，PHONE 尝试访问公司 IP 的尝试会在 AP 处被丢弃（用 ACL 名称标记的 PacketDropped）。

在浏览器中打开本实验 →

免费 · 无需安装 · 无需注册

场景

真正的 Cisco 无线部署强制执行每个 WLAN ACL。语音电话获得允许 SIP/RTP 并拒绝一般 TCP 的 ACL。来宾客户端获得一个 ACL，允许 HTTP/HTTPS 访问公共范围并拒绝内部网络访问。 ACL 从策略配置文件中引用并应用于数据平面： - aclIn：从无线客户端到有线端的流量（上行链路）。在 AP 封装时进行评估。 - aclOut：从有线端到无线客户端的流量（下行链路）。在发送到隧道之前在 WLC 封装时间进行评估。 Slice M 将现有 aclIn/aclOut IR 字段连接到实际数据路径中。解析流程： 1. 无线客户端发出数据包（或下行链路到达 WLC）。 2. 找到加入的 AP → 加入的控制器 → 策略标签 → 第一个 WLAN/策略条目 → 策略配置文件 → aclIn（上行链路）或 aclOut（下行链路）名称。 3. 在控制器的 accessLists 上查找指定的 ACL。 4. 根据 ACL 条目评估内部数据包。 5. 允许 → 继续（封装并转发）。拒绝 → 发出 PacketDropped，原因是 wlan-acl: '<NAME>' denied …，跳过 encap。 推迟的内容： - 仅 FlexConnect 强制执行：中央交换模式下的真实 AP 在 WLC 上强制执行； FlexConnect AP 在本地执行。模拟器将两者都分解为“在发射时评估一次”——结论是相同的。 - 有状态匹配：TCP established 有效（ACL 评估器已经支持它），但完整的 conntrack 感知过滤是下一层。 - 基于时间的 ACL：时间范围参考有效（现有 IR），但未对中流重新评估进行建模。

拓扑

2 × 路由器, 1 × 无线控制器, 1 × 交换机, 1 × 无线接入点, 1 × 无线客户端 · Cisco IOS-XE-style

你将完成的任务

  1. 尝试 engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') })。目标 10.40.0.5 属于 deny ip any 10.0.0.0/8 规则之内，因此 ACL 在 AP 上触发，并且数据包永远不会到达线路。 Pcap 不应显示 CAPWAP-Data 上行链路帧；标记为 AP1 的 PacketDropped 事件携带 reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …"。

在浏览器中打开本实验 →

同主题的更多实验

本实验的其他语言版本

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây