策略 ACL

ACL——访问控制列表

配置一张ACL列表，列表包含设置好的规则，之后所有的流量按照对应的规则进行执行,允许，拒绝。

访问控制——

ACL的匹配原则

自上而下逐一匹配，一旦匹配上，则不继续向下匹配

华为体系默认的ACL列表末尾隐含一条允许所有的指令(不做处理)

思考—默认拒绝所有

抓取感兴趣流——QOS

ACL的分类

基础的ACL—只匹配源  2000--2999

高级的ACL—可以既匹配源，也可以匹配目标，甚至可以匹配协议端口号等等 3000--3999

用户自定义的ACL—可以用户自定义的相应功能。 4000--4999

[r2-acl-basic-2000]rule deny source 192.168.1.3 0.0.0.0

IP_ADDR Wildcard of source—通配符

0                                 Wildcard bits : 0.0.0.0 ( a host )

[r2-acl-basic-2000]rule deny source 192.168.1.3 0.255.0.255 —0代表不可变，1代表可变 （相当于匹配192.X.1.Y这样特征的流量）

[r2-acl-basic-2000]display acl 2000—查看ACL列表配置

Acl's step is 5—步长，一方面确定匹配顺序，方便规则之间插入一些规则

 [r2-acl-basic-2000]undo rule 5—删除ACL规则

1.写ACL列表

2.路由器的接口调用ACL列表，注意方向（一个接口的一个方向只能调用一张列表）

基础的ACL一般更靠近目标的位置配置

配置：

[r1]acl 3000—创建ACL 列表

acl number 3000

rule 5 deny icmp source 192.168.1.2 0 destination 192.168.3.3 0 —配置规则

调用位置—更靠近源

[r1-GigabitEthernet0/0/1]traffic-filter inbound acl 3000—注意调用的方向

[r2]display acl 3000

Advanced ACL 3000, 2 rules

Acl's step is 5

rule 5 deny tcp source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 destination-port eq telnet

rule 10 deny tcp source 192.168.4.2 0 destination 192.168.1.1 0 destination-port eq telnet

静态路由综合实验：

1.配置ip网段划分

2.给R3下面的PC端通过dhcp进行动态获取ip地址

3.手工汇总

    注意：在配置下一跳时，选择最优路径，如果有两条则都配置，ping检查全网可达。

4.R6配置缺省路由，考虑优先级，pre越小越优先。