ACL --- 访问控制列表

ACL ---- 访问控制列表

本质上是一种报文过滤器,通过将报文与ACL规则进行匹配，设备可以过滤出特定的报文。

访问控制 ---- 在路由器流量流入或流出的接口上，匹配流量，然后执行相应动作（Permit 允许 ，deny 拒绝 ）

ACL的匹配规则：自上而下，逐一匹配。匹配上了则按照规则执行，不再向下匹配。

华为设备 ---- ACL列表末尾隐含一条允许所有的规则

ACL种类

基本ACL
关注数据包中的源IP
高级ACL
关注数据包中的源IP、目标IP、协议及端口号
二层ACL
用户自定义ACL

一、PC1可以访问3.0网段，但是PC2不行

1，创建ACL列表
[r2]acl ?

 INTEGER<2000-2999> Basic access-list(add to current using rules) ----- 基础ACL
 INTEGER<3000-3999> Advanced access-list(add to current using rules) ---- 高级ACL
 INTEGER<4000-4999> Specify a L2 acl group ---L2ACL

[r2]acl 2000 ---- 创建基础ACL列表
[r2-acl-basic-2000]

2，在ACL列表中添加规则
[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0
[r2-acl-basic-2000]rule permit source any — 允许所有 （可以省略）

3，在接口上调用ACL列表
[r2-GigabitEthernet0/0/0]traffic-filter outbound acl 2000

[Huawei]display acl 2000
Basic ACL 2000, 2 rules
Acl’s step is 5
rule 5 deny source 192.168.1.3 0
rule 10 permit

---

二、PC1可以访问PC3，但是不能访问PC4

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny ip source 192.168.1.2 0.0.0.0 destination 192.168.3.3 0.0.0.0
[Huawei]interface g 0/0/0
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

---

三、要求AR3可以ping通R2，但是不能telnet R2

带内管理(需要网络来连接设备)：通过telnet/web/SNMP协议进行远程登录
带外管理(不需要网络来连接设备)：通过console/AUX线连接设备的console/AUX口对设备进行管理

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny tcp source 192.168.1.5 0.0.0.0 destination 192.168.2.2 0.0.0.0 destination-port eq 23 — 确保TCP传输的数据包不会被全部拦截

开启AR2的telnet服务的方法，并且用AR1远程登陆

1，进入aaa服务 — 一个专门存储和管理账号的地方
[r2]aaa
[r2-aaa]
2，创建登陆用户
[r2-aaa]local-user lisi privilege level 15 password cipher 123456
Info: Add a new user.
3，指定登陆用户的服务类型
[r2-aaa]local-user lisi service-type telnet
4，开启虚拟登陆端口
[r2]user-interface vty 0 4
5，设备登陆端口的认证类型
[r2-ui-vty0-4]authentication-mode aaa
6，远程连接
[r3]telnet 192.168.3.1
之后输入aaa服务创建的用户名和密码