华为ensp中高级acl (控制列表) 原理和配置命令 （详解）_ensp高级acl配置示例

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 6.6.6.7 255.255.255.0
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 192.168.2.1 255.255.255.0
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add 192.168.3.1 255.255.255.0
[Huawei-GigabitEthernet0/0/2]q
[Huawei]ip route-static 0.0.0.0 0 6.6.6.6
[Huawei]

> 
> [Huawei]ip route-static 0.0.0.0 0 6.6.6.6
> 
> 
> 这个命令是华为设备上的静态路由配置命令。它的作用是将所有目的地址为0.0.0.0/0（即所有未知目的地址）的流量都指向下一跳地址为6.6.6.6的路由器或者下一跳设备。
> 
> 
> 具体解释如下：
> 
> 
> * `ip route-static` 是配置静态路由的命令。
> * `0.0.0.0 0` 表示匹配所有目的地址，子网掩码为0，表示匹配所有地址。
> * `6.6.6.6` 是下一跳的IP地址，即指定将流量发送到该地址上。
> 
> 
> 


如图所示


![](https://img-blog.csdnimg.cn/direct/ad0c8f525ae142ef9f3432cbd566eb36.png)


#### 全网互通测试


使用PC1来访问PC3和PC4 测试发现均可以ping通


![](https://img-blog.csdnimg.cn/direct/83df9aab906c4c45a7c601ea5b0aab8d.png)


PC2来访问PC3和PC4均可以ping通


![](https://img-blog.csdnimg.cn/direct/5f9c9d5b70a8474dbf258f53285038c8.png)



### ACL策略实施


实验要求：


PC1（192.168.1.2）无法访问 PC3（192.168.2.2）但是可以访问PC4（192.168.3.2）


PC2（192.168.1.3）可以访问 PC3和PC4 192.168.2.2 192.168.3.2



#### 在AR1上做acl策略

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 192.168.2.2

> 
> 这条规则拒绝了源地址为 ，目标地址为 的所有 ICMP 流量。`192.168.1.2``192.168.2.2`
> 
> 
> 


设置完成acl之后应用到接口上

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3000

> 
> 这意味着从接口GigabitEthernet0/0/1发出的所有流量都会被ACL 3000所定义的规则过滤。在你提供的ACL配置中，ACL 3000中有两个规则，分别拒绝了源地址为192.168.1.2的ICMP流量和源地址为192.168.1.2，目标地址为192.168.2.2的ICMP流量。因此，这些流量将被阻止离开该接口。
> 
> 
> 


#### 测试策略是否成功


![](https://img-blog.csdnimg.cn/direct/210b9cfc10b24a08bd77eee5bb4e219e.png)


![](https://img-blog.csdnimg.cn/direct/9438f58484f54e30809a1600b94477ec.png)


经过测试发现成功符合实验要求 


其实可以访问的acl流量不需要设置


因为不设置拒绝访问 当然可以访问的 （根据现实需求去设置acl策略去访问 去允许通过流量和 拒绝流量）


![](https://img-blog.csdnimg.cn/direct/1295ff79226f4a29b7d8df1bf158523d.png)


![](https://img-blog.csdnimg.cn/direct/cbbac086fe5d45a4a1a85bb4a1f97ab1.png)


实验成功高级acl基本就是这样的配置流程和作用！



### 扩展知识


#### 1. 基于ICMP

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255
destination 192 .168.3.0 0.0.0.255 命名规则
[Huawei]int g0/0/1 [Huawei-GigabitEthernet0/0/1]traffic-filter
outbound acl 3000 应用接口

#### 2. 基于TCP/ UDP

[Huawei]acl 3000

[Huawei-acl-adv-3000]rule deny tcp source 192.168.1.1 0 destination 192.168.2.2
0 destination-port eq telnet

[Huawei]int g0/0/0

[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

#### 3. 基于IP

[Huawei]acl 3000

[Huawei-acl-adv-3000]rule deny ip source 192.168.1.0 0.0.0.255 destination 192
.168.3.0 0.0.0.255 命名规则

[Huawei]int g0/0/1

[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3000 应用接口

#### 4.配置时间范围


1.配置时间访问

[Huawei] time-range work_hours 08:00 to 17:00 working-day

这个命令定义了一个名为 的时间范围，从每天的08:00到17:00为工作时间，在工作日有效。



2.配置ACL：

[Huawei] acl number 3000
[Huawei-acl-adv-3000] rule permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 time-range work_hours
[Huawei-acl-adv-3000] rule deny ip

这个ACL 3000允许了源地址为192.168.1.0/24，目标地址为192.168.2.0/24的所有TCP流量，在指定的时间范围内（即工作时间）。除了允许的流量外，其他所有IP流量都会被拒绝。


3.应用ACL：

[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] traffic-filter outbound acl 3000

这个命令将ACL 3000应用到接口GigabitEthernet0/0/1的出方向，以便过滤流出该接口的流量。


这样一来，在工作时间内，允许从192.168.1.0/24网段到192.168.2.0/24网段的所有TCP流量通过，而在其他时间则拒绝所有IP流量。



还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！


王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。


对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！


【完整版领取方式在文末！！】


***93道网络安全面试题***


![](https://img-blog.csdnimg.cn/img_convert/6679c89ccd849f9504c48bb02882ef8d.png)








![](https://img-blog.csdnimg.cn/img_convert/07ce1a919614bde78921fb2f8ddf0c2f.png)





![](https://img-blog.csdnimg.cn/img_convert/44238619c3ba2d672b5b8dc4a529b01d.png)





内容实在太多，不一一截图了


### 黑客学习资源推荐


最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！


对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。


😝朋友们如果有需要的话，可以联系领取~

#### 1️⃣零基础入门


##### ① 学习路线


对于从来没有接触过网络安全的同学，我们帮你准备了详细的**学习成长路线图**。可以说是**最科学最系统的学习路线**，大家跟着这个大的方向学习准没问题。


![image](https://img-blog.csdnimg.cn/img_convert/acb3c4714e29498573a58a3c79c775da.gif#pic_center)


##### ② 路线对应学习视频


同时每个成长路线对应的板块都有配套的视频提供：


![image-20231025112050764](https://img-blog.csdnimg.cn/874ad4fd3dbe4f6bb3bff17885655014.png#pic_center)


#### 2️⃣视频配套工具&国内外网安书籍、文档


##### ① 工具


![](https://img-blog.csdnimg.cn/img_convert/d3f08d9a26927e48b1332a38401b3369.png#pic_center)


##### ② 视频


![image1](https://img-blog.csdnimg.cn/img_convert/f18acc028dc224b7ace77f2e260ba222.png#pic_center)


##### ③ 书籍


![image2](https://img-blog.csdnimg.cn/img_convert/769b7e13b39771b3a6e4397753dab12e.png#pic_center)

资源较为敏感，未展示全面，需要的最下面获取

![在这里插入图片描述](https://img-blog.csdnimg.cn/e4f9ac066e8c485f8407a99619f9c5b5.png#pic_center)![在这里插入图片描述](https://img-blog.csdnimg.cn/111f5462e7df433b981dc2430bb9ad39.png#pic_center)


##### ② 简历模板


![在这里插入图片描述](https://img-blog.csdnimg.cn/504b8be96bfa4dfb8befc2af49aabfa2.png#pic_center)

 **因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆**




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以点击这里获取](https://bbs.youkuaiyun.com/topics/618540462)**

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**