网工日记：如何配置标准IP访问控制列表？

以华为交换机 / 路由器为例，详细介绍标准 IP 访问控制列表（ACL）的配置步骤：

1. 进入系统视图

在设备的命令行界面（CLI）中，使用以下命令进入系统视图：

<设备名称> system - view

例如，在华为交换机上，默认设备名称为 “Huawei”，则输入 “Huawei system - view”，此命令可以让用户进入到系统配置模式，以便进行全局配置，包括 ACL 的创建和应用。

2. 创建标准 ACL

使用 “acl” 命令创建标准 ACL，命令格式如下：

acl [number] acl - number [match - order {auto | config}]

• “number”：表示创建编号型 ACL，这是最常见的方式。标准 IP ACL 的编号范围是 1 - 99，所以可以选择这个范围内的数字作为 ACL 编号。例如，创建编号为 20 的标准 ACL：

acl number 20

• “match - order”：用于指定规则匹配顺序，“auto” 表示按照自动排序（默认），“config” 表示按照用户配置的顺序匹配。一般情况下，默认的自动排序即可满足需求。

3. 配置 ACL 规则

在创建好 ACL 后，需要配置访问控制规则。标准 IP ACL 主要基于源 IP 地址进行过滤，规则配置命令如下：

rule [rule - id] {permit | deny} [source {source - address source - wildcard | any}]

• “rule - id”：规则编号，用于确定规则的顺序。编号越小，规则越先匹配。如果不指定，设备会按照一定的步长（默认是 5）自动分配编号。例如，配置一条规则拒绝来自 192.168.1.0/24 网段的流量：

rule 5 deny source 192.168.1.0 0.0.0.255

这里 “rule 5” 表示规则编号为 5，“deny” 表示拒绝动作，“source 192.168.1.0 0.0.0.255” 表示源 IP 地址为 192.168.1.0，子网掩码反码为 0.0.0.255（即子网掩码为 255.255.255.0）的网段。

• 再配置一条允许其他所有流量的规则（注意编号要大于前面的规则编号）：

rule 10 permit source any

这里 “rule 10” 是规则编号，“permit” 是允许动作，“source any” 表示允许任何源 IP 地址的流量。

4. 将 ACL 应用到接口

配置好 ACL 后，需要将其应用到接口才能生效。假设要将 ACL 应用到接口 GigabitEthernet0/0/1 的入方向，命令如下：

interface GigabitEthernet0/0/1
traffic - filter inbound acl 20

• 首先使用 “interface” 命令进入要应用 ACL 的接口视图，然后使用 “traffic - filter” 命令将 ACL 应用到接口的入方向（“inbound”），其中 “acl 20” 表示应用编号为 20 的 ACL。

如果要将 ACL 应用到接口的出方向（“outbound”），只需将 “inbound” 替换为 “outbound” 即可，如下所示：

interface GigabitEthernet0/0/1
traffic - filter outbound acl 20

通过以上步骤，就完成了标准 IP 访问控制列表的配置，它可以对经过接口的流量根据源 IP 地址进行过滤。不同厂商的设备命令可能会有所差异，但基本原理是相似的。在实际配置时，需要根据具体的网络拓扑和安全需求来灵活调整 ACL 规则和应用接口。