网络学习-eNSP配置ACL

最新推荐文章于 2025-10-24 07:45:00 发布
原创 最新推荐文章于 2025-10-24 07:45:00 发布 · 740 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络 #学习

在这里插入图片描述

AR1路由器配置
<Huawei>system-view
Enter system view, return user view with Ctrl+Z.
[Huawei]undo info-center enable
Info: Information center is disabled.
[Huawei]interface gigabitethernet 0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 192.168.2.254 24
[Huawei-GigabitEthernet0/0/0]quit
[Huawei]interface gigabitethernet 0/0/1
[Huawei-GigabitEthernet0/0/1]ip address 192.168.1.254 24
[Huawei-GigabitEthernet0/0/1]quit
ACL
分类            端口       参数
1.基本ACL    2000-2999    源IP地址
2.高级ACL    3000-3999    源IP地址、目的IP地址、端口、协议
基本ACL
#----------------------实验1----------------拒绝2.1客户端访问服务器
#定义ACL 端口号
[Huawei]acl 2000
#规则： rule deny|permit source ip 反掩码(0表示匹配，1表示非匹配)
#规则策略：匹配即停止，
[Huawei-acl-basic-2000]rule deny source 192.168.2.1 0.0.0.0
#查询定义的规则
[Huawei-acl-basic-2000]display this
[V200R003C00]
#
acl number 2000  
 rule 5 deny source 192.168.2.1 0 
#
return
[Huawei]interface gigabitethernet 0/0/0
#在入口方向激活acl规则
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000



#----------------------实验2----------------只允许2.1客户端可以访问，其它客户端都不能访问
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule permit source 192.168.2.1 0
[Huawei-acl-basic-2000]rule deny source any
[Huawei-acl-basic-2000]display this
[V200R003C00]
#
acl number 2000  
 rule 5 permit source 192.168.2.1 0 
 rule 10 deny 
#
return
[Huawei-acl-basic-2000]quit
[Huawei]interface gigabitethernet 0/0/1
#清空以前gigabitethernet0/0/1上面的Acl规则
[Huawei-GigabitEthernet0/0/1]undo traffic-filter inbound
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 2000


#-----清空所有ACL规则
[Huawei]undo acl all
 Info: Now deleting all ACL configurations, please wait......
Deleting operation has finished!
高级ACL
#--------------实验1：通过高级acl限制相应终端不能访问服务器http服务
[Huawei]acl 3000
#定义高级acl规则，使用源地址，目的地址和目标端口进行更细粒度限制
[Huawei-acl-adv-3000]rule deny tcp source 192.168.2.2 0 destination 192.168.1.1 
0 destination-port eq 80
[Huawei-acl-adv-3000]quit
[Huawei]interface gigabitethernet 0/0/0
[Huawei-GigabitEthernet0/0/0]display this
[V200R003C00]
#
interface GigabitEthernet0/0/0
 ip address 192.168.2.254 255.255.255.0 
 traffic-filter inbound acl 2000
#
return
[Huawei-GigabitEthernet0/0/0]undo traffic-filter inbound
[Huawei-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
ENSP实验：配置ACL
omh164052427的博客
12-23 5182
原理：访问控制列表(ACL)是一种基于包过滤的网络控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用的路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全 准备：2台服务器，2台客户端，2台交换机，1台路由 先划分好网段，配置好服务器，客户端的网址，我们的实验目标是，让财务客户端能访问web，不能访问ftp，让市场可以访问ftp，不能访问web，所以，我们开启对应的服务（注意：只需开启对应服务，如ftp服务器只
华为eNSP:ACL的配置-访问控制技术
qq_59718828的博客
10-06 1万+
华为eNSP配置高级ACL
华为ENSP——ACL相关实验
最新发布
zdsxc_的博客
10-24 773
如果数据报文没有匹配到第一条规则，继续向下查找第二条规则，如果匹配，则按照第二条规则的动作去执行。匹配即停止（匹配上了第一条规则，就按照规则的动作去执行，不在向下查找第二条规则）-确定售后部和财务服务器之间的数据的转发路径。-售后部主机Client1可以访问行政部的所有主机的所有服务。-售后部主机Client1不能访问网络中的其他主机。-售后部主机可以访问行政部的所有主机的所有服务。如果所有的规则都无法匹配，则执行隐含规则。-售后部主机不能访问网络中的其他主机。-确定ACL的类别（基本&高级）
eNSP中ACL访问控制表的配置和使用
qq_62182264的博客
06-22 2632
主要介绍了ACL访问控制列表的使用方法，以及其他ACL类型介绍。
华为ensp配置ACL
2301_77324496的博客
06-21 1万+
基础ACL和高级ACL的配置
ENSP配置ACL
ngc2244的博客
05-10 1590
各个部件重命名为图示的忽略，不会的可看【集成ENSP】下的其他文章。网络中出现环路，将R2的G0/0/0接口阻塞后环路消失。步骤三ping时出现。另：路由器用AR系列。
010-Ensp-实验-配置ACL
qq_41149775的博客
01-08 986
1.通过ACL 使PC1无法访问PC3。
网络-eNSP-常用命令
06-20
### 网络-eNSP-常用命令 #### eNSP基本命令 ...以上内容涵盖了eNSP中网络配置的基本命令和关键概念，包括VLAN、交换机端口类型、设置网关、ACL以及NAT等核心知识点，为深入理解和实际操作提供了坚实的基础。
华为模拟器eNSP练习题-ACL
01-04
通过在华为设备上配置ACL，我们可以实现对网络数据包的过滤，以保护网络资源，防止未授权的访问。 **HCIA认证与eNSP** HCIA（Huawei Certified ICT Associate）是华为认证体系中的初级认证，旨在验证网络专业人士...
第十一课：eNSP ACL应用教程-acl应用ensp工程
12-21
本教程将深入探讨如何在eNSP（Enterprise Network Simulation Platform，企业网络模拟平台）环境中配置ACL，以实现更精细的网络控制。以下是关于"第十一课：eNSP ACL应用教程-acl应用ensp工程"的详细知识点： 1. **...
eNSP-campus-network-用eNSP建立园区网
02-02
本实验以园区网络数字化转型为切入点，以架构一个大中型企业园区网络为主轴，通过学习关键技术，逐步动手进行架构与实践。实践平台采用华为的eNSP，实践的关键技术包含交换技术和路由技术，具体包括：交换机基础配置...
ENSP 配置访问控制列表ACL
m0_61367139的博客
11-15 2019
访问控制列表ACL是由permit或deny语句组成的一系列有顺序的规则集合，这些规则根据数据包的源地址、目的地址、源端口、目的端口等信息来描述。ACL规则通过匹配报文中的信息对数据包进行分类，路由设备根据这些规则判断哪些数据包可以通过，哪些数据包需要拒绝。
ensp ACL访问控制列表配置
热门推荐
qq_45631844的博客
09-25 2万+
访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全 -----------来源百度百科 ACL的分类 基本ACL（2000-2999） 根据源地址来进行访问控制 高级ACL（3000-3999） 可以根据源地址、目标地址、源端口号等来进行访问控制 基本ACL的配置 注：我们在不管在配置什么ACL的时
华为eNSP配置标准ACL
嘻嘻哥哥~的博客
02-20 8254
int gi0/0/0 #进入接口gi0/0/0中。int gi0/0/0 #进入接口gi0/0/0中。int gi0/0/0 #进入接口gi0/0/0中。[R2]int GigabitEthernet 0/0/0 #进入接口gi0/0/0中。[R2]int GigabitEthernet 0/0/1 #进入接口gi0/0/1中。
eNSP 华为ACL配置
XLB
08-18 1826
/允许20.20.20.0网段的地址访问30.30.30.3主机（反掩码中0表示精准匹配，1表示模糊匹配）//禁止10.10.10.0网段的地址访问30.30.30.3主机（0.0.0.0可以简写成0）需求：公司保证财务部数据安全，禁止研发部门和互联网访问财务服务器，但总裁办不受影响。//拒绝所有网段访问30.30.30.3主机（规则顺序很重要，从小到大匹配）//g2/0/0出口应用acl（数据包从这个口出来）
ENSP中ACL的配置（包含telnet配置）
2301_81704123的博客
07-14 1869
以上是有两个网段，配置好对应的IP地址（为什么用路由器来当PC端，因为ensp中电脑没办法开启telnet去远程控制，所以拿路由器来充当现实生活中的PC端）以上策略，拒绝了 192.168.1.4对192.168.1.1的TCP目标端口23的访问-- 拒绝telnet。标准ACL的配置--- 由于标准ACL，仅关注数据包中的源ip地址，故调用时应该尽量的靠近目标，避免误删。但一个接口的一个方向上只能调用一张列表。扩展acl的扩展应用 -- 在关注数据包中的源、目标ip地址的同时，还关注目标端口号。
ENSP中配置ACL（访问控制列表）
数通的相关技术知识
12-03 931
ENSP中配置ACL
华为eNSP配置扩展ACL
嘻嘻哥哥~的博客
02-21 2025
扩展ACL 基本配置 1.IP地址配置 ISP: int gi0/0/0 #进入接口gi0/0/0中 ip add 172.16.10.2 24 #配置IP地址和子网掩码 quit #退出接口配置模式 int gi0/0/1 #进入接口gi0/0/1中 ip add 172.16.20.2 24
华为eNSP配置专题-ACL的配置
日拱一卒的博客
10-16 1807
华为eNSP配置专题-ACL的配置
ensp 配置acl使相同vlan的pc不通
09-09
<think> 我们之前讨论的是使用ACL阻止不同VLAN（VLAN1和VLAN2）之间的通信。现在用户的需求发生了变化：他们希望阻止相同VLAN内的PC之间的通信。这是一个不同的需求。 在同一个VLAN内，通常PC之间是可以直接通信的（二层交换），因为它们在同一个广播域中。要阻止同一VLAN内的PC之间通信，我们需要在交换机上采取一些措施。 有两种主要方法： 1. 使用端口隔离（Port Isolation）：这是更常见和推荐的方法。通过配置交换机的端口隔离，可以将同一个VLAN内的某些端口隔离，使它们之间不能互相通信，但它们仍然可以与上行端口（如连接路由器的端口）通信。 2. 使用ACL（访问控制列表）：虽然ACL通常用于三层控制，但我们也可以使用二层ACL（基于MAC地址）或扩展ACL（基于IP地址）来阻止同一VLAN内的主机通信。但是，由于同一VLAN内的通信是二层通信（直接通过交换机转发，不经过三层），因此我们需要在交换机的二层接口上应用ACL（即入方向）。 考虑到用户特别要求使用ACL，我将重点介绍使用ACL的方法。但需要注意的是，在二层交换机上应用ACL可能会比较复杂，而且性能影响较大。如果使用三层交换机，我们可以应用ACL在VLAN接口上，但同一VLAN内的通信通常不经过三层接口（除非配置了本地代理ARP等特性）。因此，更直接的方法是在二层接口上应用ACL。 步骤： 假设我们有一个VLAN10，其中有PC1（连接端口1）和PC2（连接端口2），我们希望它们不能互相访问。 方法一：使用二层ACL（基于MAC地址） 1. 创建基于MAC的ACL（通常为4000~4999）： ```bash system-view acl 4000 # 创建基本ACL，但基本ACL是基于IP的，所以这里需要使用二层ACL。在华为设备中，二层ACL编号范围是4000~4999 rule deny source-mac xxxx-xxxx-xxxx dest-mac yyyy-yyyy-yyyy # 具体MAC地址 rule deny source-mac yyyy-yyyy-yyyy dest-mac xxxx-xxxx-xxxx # 反向规则 ``` 但是这样需要知道具体的MAC地址，如果主机多，规则会很多。 方法二：使用扩展ACL（基于IP地址）并应用在二层接口（需要交换机支持在二层接口上应用ACL） 在华为交换机上，我们可以在二层接口上应用ACL，但需要将ACL绑定到接口的入方向，并且该接口必须是二层接口（即端口类型为access或trunk，且没有配置ip地址）。 步骤： 1. 创建扩展ACL（3000~3999）： ```bash acl 3000 rule deny ip source 192.168.10.1 0 destination 192.168.10.2 0 # 阻止PC1（192.168.10.1）访问PC2（192.168.10.2） rule deny ip source 192.168.10.2 0 destination 192.168.10.1 0 # 阻止PC2访问PC1 # 注意：如果希望阻止整个网段内所有主机之间的通信，可以写成： # rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 # 但这样会阻止所有主机之间的通信，包括自己访问自己，所以需要排除自己？实际上，源和目的相同的数据包不会被这样阻止（因为源和目的相同的数据包不会进入交换机的其他端口，而是由主机自己处理）。但要注意，这样会阻止广播和多播？所以需要谨慎。 # 因此，我们通常使用更精确的规则，或者使用端口隔离。 ``` 2. 应用ACL到接口（在连接PC的接口上，比如G0/0/1和G0/0/2）： ```bash interface GigabitEthernet0/0/1 traffic-filter inbound acl 3000 # 在入方向应用ACL3000 interface GigabitEthernet0/0/2 traffic-filter inbound acl 3000 ``` 但是，这种方法有一个问题：当PC1发往PC2的包进入端口1时，被ACL拒绝；同样，PC2发往PC1的包进入端口2时也被拒绝。这样它们就不能通信了。但是，如果同一个VLAN内还有其他的PC（比如PC3连接端口3），而PC1和PC3之间的通信我们不想阻止，那么这种方法就不合适了，因为ACL3000的规则会阻止PC1与整个网段内任何主机的通信（如果我们使用了网段规则）。 因此，更精细的做法是为每一对需要隔离的主机配置单独的规则，或者使用端口隔离。 由于用户要求配置ACL，我们给出基于IP的扩展ACL方法，并假设要阻止整个VLAN内所有主机之间的通信（即每个主机都不能与同一VLAN内的其他任何主机通信）。 注意：这样配置后，同一VLAN内的主机之间不能通信，但它们仍然可以与网关通信（如果交换机上有VLAN接口作为网关），从而访问其他网络。 步骤总结（在华为交换机上）： 1. 创建扩展ACL，拒绝同一子网内任意两个IP之间的通信（源IP和目的IP都在该子网内）。 2. 允许其他所有流量（否则，主机将无法与网关通信，也无法访问其他网络）。 3. 将ACL应用到该VLAN内所有主机连接的交换机端口（入方向）。 详细配置： 假设VLAN10的子网是192.168.10.0/24。 ```bash system-view acl 3000 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 # 拒绝同一子网内任意两个IP之间的通信 rule 10 permit ip # 允许其他所有IP流量（包括去往其他网段的流量） quit # 然后进入每个连接主机的端口，应用该ACL interface range GigabitEthernet 0/0/1 to GigabitEthernet 0/0/24 # 假设1-24口都是连接主机的 port link-type access # 如果还没有配置，需要配置为access port default vlan 10 # 如果还没有配置，加入VLAN10 traffic-filter inbound acl 3000 quit ``` 注意：这样配置后，同一VLAN内的主机之间不能通信，但它们可以访问外部网络（通过网关）。 但是，这种方法有一个缺点：广播和多播也会被拒绝？实际上，ACL的规则不会阻止广播（如目的地址为192.168.10.255）吗？需要测试。另外，ARP请求（广播）也会被阻止，这会导致主机无法解析其他主机的MAC地址（但这也正是我们想要的，因为即使解析了MAC，后续的IP包也会被阻止）。但是，主机需要与网关通信，所以主机需要知道网关的MAC地址。当主机发送ARP请求询问网关的MAC地址时，这个ARP请求是广播，目的地址是广播地址（FF:FF:FF:FF:FF:FF），而我们的ACL规则是基于IP的，不会过滤ARP（因为ARP是二层协议，不在IP层）。因此，ARP广播包不会被ACL3000过滤。但是，当主机A想要和主机B通信时，主机A会先发送ARP请求询问主机B的MAC地址，主机B会收到（因为这是广播）并回复，然后主机A发送IP数据包给主机B，这个数据包在进入交换机端口时被ACL拒绝。所以，实际上通信被阻止了。 然而，上述ACL规则也阻止了主机与网关在同一子网内的通信？注意，网关也在同一子网内（例如，网关IP是192.168.10.1），所以主机发送给网关的IP包也会被规则5拒绝。这是一个严重的问题！ 因此，我们需要修改ACL，允许与网关的通信。我们可以添加一条规则，允许目的地址为网关的流量，并且这条规则需要放在拒绝规则之前。 修改后的ACL： ```bash acl 3000 rule 5 permit ip destination 192.168.10.1 0 # 允许目的地址为网关的流量（假设网关是192.168.10.1） rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 # 拒绝同一子网内的其他通信 rule 15 permit ip # 允许其他所有IP流量（如去往其他网段的流量） ``` 这样，主机发送给网关的包会被规则5允许，而同一子网内主机之间的通信会被规则10拒绝，主机访问外部网络的流量（目的地址不在本子网）会被规则15允许。 但是，如果网关有多个IP地址（比如多个VLAN接口）？不需要担心，因为每个接口的IP不同。 此外，如果主机需要访问其他服务器（比如同一VLAN内的一个服务器，我们不希望被阻止），那么我们需要为这个服务器单独添加允许规则（在拒绝规则之前）。 总结：使用ACL实现同一VLAN内的隔离比较复杂，而且需要为网关设置例外。因此，在实际操作中，更常用的方法是端口隔离（port-isolate），只需要在接口上启用端口隔离功能，并将它们加入同一个隔离组，这样同一隔离组内的端口就不能互相通信，但可以与上行端口通信。 下面给出端口隔离的配置方法（供参考，因为用户要求ACL，但端口隔离更简单）： ```bash # 创建隔离组（默认存在隔离组1） port-group isolate-group # 或者直接使用隔离组1 # 将需要隔离的端口加入隔离组 interface GigabitEthernet0/0/1 port-isolate enable group 1 interface GigabitEthernet0/0/2 port-isolate enable group 1 # 将连接网关的端口（比如上联口）配置为隔离组的上行端口（这样隔离组内的端口可以与上行端口通信） interface GigabitEthernet0/0/24 # 假设这个端口连接网关 port-isolate uplink-port group 1 ``` 但是，由于用户明确要求使用ACL，我们提供ACL的配置方法。 因此，回答如下： </think> ### eNSP中配置ACL实现相同VLAN内的PC隔离方法 在eNSP中实现**同一VLAN内PC之间的通信隔离**需要使用特殊策略，因为传统ACL主要控制三层流量（不同子网），而同一VLAN内的通信发生在二层。以下是两种高效方法，结合引用[1][2]的综合配置原理： --- ### 方法一：二层ACL + 端口隔离（推荐） #### 原理说明 同一VLAN内的PC通信属于**二层数据帧交换**（基于MAC地址）。常规三层ACL无法直接过滤，需使用： 1. **二层ACL**（编号4000-4999）基于MAC地址过滤 2. **端口隔离组**阻止同VLAN端口间直连通信 3. 结合引用[1]的VLAN划分基础配置[^1] #### 配置步骤 假设拓扑： - VLAN 10：PC1(`00-E0-FC-12-34-56`)连接G0/0/1，PC2(`00-E0-FC-12-34-57`)连接G0/0/2 - 目标：阻止PC1与PC2互通 ```bash # 1. 创建二层ACL（基于源/目的MAC） <Huawei> system-view [Huawei] acl 4000 # 二层ACL [Huawei-acl-L2-4000] rule deny source-mac 00e0-fc12-3456 dest-mac 00e0-fc12-3457 [Huawei-acl-L2-4000] rule deny source-mac 00e0-fc12-3457 dest-mac 00e0-fc12-3456 # 双向阻断 [Huawei-acl-L2-4000] quit # 2. 应用ACL到物理接口（入方向） [Huawei] interface gigabitethernet 0/0/1 [Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 4000 # PC1入口过滤 [Huawei-GigabitEthernet0/0/1] quit [Huawei] interface gigabitethernet 0/0/2 [Huawei-GigabitEthernet0/0/2] traffic-filter inbound acl 4000 # PC2入口过滤 # 3. 配置端口隔离组（增强隔离） [Huawei] port-isolate mode all # 启用完全隔离模式 [Huawei] interface gigabitethernet 0/0/1 [Huawei-GigabitEthernet0/0/1] port-isolate enable group 1 # 加入隔离组 [Huawei-GigabitEthernet0/0/1] quit [Huawei] interface gigabitethernet 0/0/2 [Huawei-GigabitEthernet0/0/2] port-isolate enable group 1 # 同组端口互斥 ``` #### 验证命令 ```bash display acl 4000 # 查看ACL匹配计数 display port-isolate group 1 # 检查隔离组状态 ``` --- ### 方法二：扩展ACL + 策略路由（复杂场景） #### 适用场景 当PC需通过**三层网关**通信时（如存在VLAN接口IP），可强制流量经三层转发： ```bash # 1. 创建扩展ACL（阻断同子网IP） [Huawei] acl 3000 [Huawei-acl-adv-3000] rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 # 阻断VLAN10内部所有IP通信 [Huawei-acl-adv-3000] quit # 2. 应用ACL到VLAN接口 [Huawei] interface vlanif 10 # VLAN10的三层接口 [Huawei-Vlanif10] traffic-filter inbound acl 3000 # 关键：使同VLAN流量经三层路由处理 ``` #### 注意事项 1. **性能影响**：此法会强制二层流量走三层路由，增加交换机负载 2. **ARP隔离**：需额外配置`arp-proxy disable`防止ARP广播穿透 3. 引用[2]中ACL应用方向需严格匹配流量路径[^2] --- ### 故障排查关键点 1. **ACL未生效**： - 检查ACL是否应用在**数据入口方向**（`inbound`） - 确认交换机为**三层交换机**（如S5700），二层交换机不支持接口ACL 2. **隔离不彻底**： - 补充广播风暴控制：`broadcast-suppression 80`（限制广播流量） - 启用MAC地址学习限制：`mac-limit maximum 1`（每端口仅学习1个MAC） 3. **验证方法**： - PC1执行`ping 192.168.10.2`应显示`Request timeout` - 交换机执行`display acl 4000`观察`Matched`计数增加 > ⚠️ 优先推荐**方法一**（二层ACL+端口隔离），效率更高且不干扰三层通信。引用[1]中综合实验的ACL配置需结合此策略调整[^1]。 --- ### 相关问题 1. 在eNSP中如何验证二层ACL是否成功过滤MAC层流量？ 2. 端口隔离组能否实现跨交换机的同VLAN隔离？ 3. 当同VLAN内需要部分PC互通、部分隔离时，ACL规则应如何优化？ 4. 引用[1]中的DHCP服务如何与端口隔离ACL协同工作[^1]？
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值