沉浸式学习ACL基本原理与配置（中）

实验二：高级ACL

实验目的

掌握高级ACL的配置方法，掌握高级ACL在接口下的引用方法，以及流量过滤的基本策略。

实验拓扑

实验步骤

PC1设置

PC2设置

R1设置

<Huawei>system-view  

[Huawei]undo  info-center enable

[Huawei]sysname R1

[R1]acl 3000 //创建编号为3000的ACL。

[R1-acl-adv-3000]rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.1

68.20.0 0.0.0.255 //拒绝源为192.168.10.0/24网段的地址访问目的192.168.20.0/24网段。

[R1-acl-adv-3000]quit

[R1]interface GigabitEthernet 0/0/0

[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

[R1-GigabitEthernet0/0/0]quit

[R1]acl 3001

[R1-acl-adv-3001]rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.1

68.10.0 0.0.0.255 //拒绝源为192.168.20.0/24网段的地址访问目的192.168.10.0/24网段。

[R1-acl-adv-3001]quit

[R1]interface GigabitEthernet 0/0/1

[R1-GigabitEthernet0/0/1]traffic-filter inbound acl  3001

测试

以上可以看出PC1和PC2之间相互不能访问。

这就是ACL的拒绝访问的侧漏，两个接口相互都做ACL是为了更好的减少带宽。

实验三：基于时间的ACL

实验目的

掌握基于时间的ACL的配置方法。

实验拓扑

实验步骤

PC1设置

R1设置

<Huawei>system-view  

[Huawei]undo  info-center enable

[Huawei]sysname R1

[R1]interface  GigabitEthernet 0/0/0

[R1-GigabitEthernet0/0/0]ip address  192.168.1.254 24

[R1-GigabitEthernet0/0/0]quit

[R1]interface GigabitEthernet 0/0/1

[R1-GigabitEthernet0/0/1]ip address 100.1.1.1 24

<Huawei>system-view  

[Huawei]undo  info-center enable

[Huawei]sysname R2

[R2]interface GigabitEthernet 0/0/0

[R2-GigabitEthernet0/0/0]ip address 100.1.1.2 24

[R1-GigabitEthernet0/0/0]quit

[R2]ip route-static 192.168.1.0 24 100.1.1.1 //配置PC1所在网段静态路由。

测试

R1配置基于时间的ACL

[R1]time-range hw 8:00 to 17:00 working-day

//配置时间段名字hw，设定时间为工作日的早上8点到下午5点

[R1]display  time-range all         //可以查看到时间策略

Current time is 16:46:30 8-30-2024 Friday                 

Time-range : hw ( Active )

 08:00 to 17:00 working-day   

[R1]acl 3000

[R1-acl-adv-3000]rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 100.

1.1.0 0.0.0.255 time-range hw

//在ACL3000中调用名字为hw的时间段，改规则表示的意义为匹配源IP地址192.168.1.0/24和目的IP地址100.1.1.0/24在每个工作日早上8点到下午5点的流量，执行动作允许。

[R1-acl-adv-3000]rule 20 deny ip //化为的ACL默认为允许所有，必须要设置这条。

[R1-acl-adv-3000]quit

[R1]interface GigabitEthernet 0/0/0

[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000 

测试

能够正常访问，那是以为现在时间还在工作日允许的范围内。

[R1]display  clock //可以看到时间还未到，所以策略是允许访问。

2024-08-30 16:59:01

Friday

Time Zone(China-Standard-Time) : UTC-08:00

[R1]clock datetime 20:00:00  //修改规定时间之外的事件，继续测试发现访问失败。

关注+点赞+评论+收藏，分享更多网工实验小技巧