ACL配置

什么是访问控制列表ACL？

访问控制列表ACL (Access Control List),是一张管理员手动添加的用于 数据包访问控制的 列表,路由器通过 逐项 读取列表中的条目来判断当前数据包是 放行还是丢弃。是一个路由器数据处理数据包的行为规范手册。

访问控制列表ACL分类：

搭建top

PC1的IP配置

PC2的IP配置

PC3的IP配置

PC4的IP配置

 

R1的配置：

[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24

[R1-GigabitEthernet0/0/1]ip add 192.168.2.254 24

[R1-GigabitEthernet0/0/2]ip add 192.168.12.1 24

查看以上配置

R1上面配置静态路由

[R1]ip route-static 192.168.3.0 24 g0/0/2 192.168.12.2

验证可以ping通

R2的配置：

[R2-GigabitEthernet0/0/0]ip add 192.168.12.2 24

[R2-GigabitEthernet0/0/1]ip add 192.168.3.254 24

查看以上配置

R2上面配置静态路由

[R2]ip route-static 192.168.1.0 24 g0/0/0 192.168.12.1

[R2]ip route-static 192.168.2.0 24 g0/0/0 192.168.12.1

PC2可以和PC4 ping通

PC1可以和PC4 ping通

 

接下来配置ACL

第一步：部署位置：可以部署在被控数据包的必经之路上；但部署在 靠近源 的位置且尽量 集中化 部署。

第二步：匹配对应流量

1.1 拒绝PC1通过PC4

[R1]acl 2000

[R1-acl-basic-2000]rule 5 deny source 192.168.1.12 0.0.0.0

放行其他流量

[R1-acl-basic-2000]rule permit source any

第三步：决定调用方向

在g/0/0接口上调用了acl

[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 2000

这时PC1和PC4就不通了

PC3和PC4可以通

PC2和PC4可以通

 

第四步：查看及测试

[R1]display traffic-filter applied-record

-----------------------------------------------------------

Interface                   Direction  AppliedRecord      

-----------------------------------------------------------

GigabitEthernet0/0/0        inbound    acl 2000

-----------------------------------------------------------

查看部署了哪些acl

[R1]dis acl all

-----------------------------------------------------------

 Total quantity of nonempty ACL number is 1

Basic ACL 2000, 2 rules

Acl's step is 5

 rule 5 deny source 192.168.1.12 0

 rule 10 permit (436 matches)

-----------------------------------------------------------

1.2 只允许PC1能访问PC4

先停掉之前的配置：

[R1]acl 2000

[R1-acl-basic-2000]undo rule 5

[R1-acl-basic-2000]undo rule 10

[R1-acl-basic-2000]undo rule 15

[R1]int g0/0/0

[R1-GigabitEthernet0/0/0]undo traffic-filter inbound

然后开始做配置

[R1]acl 2000

[R1-acl-basic-2000]rule 5 permit source 192.168.1.12 0.0.0.0

[R1-acl-basic-2000]rule 10 deny source any

 

[R1]int g0/0/2

[R1-GigabitEthernet0/0/2]traffic-filter outbound acl 2000

PC1可以ping通PC4

PC2不可以ping通PC4

PC3不可以ping通PC4