实验二:高级ACL
实验目的
掌握高级ACL的配置方法,掌握高级ACL在接口下的引用方法,以及流量过滤的基本策略。
实验拓扑
实验步骤
PC1设置
PC2设置
R1设置
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R1
[R1]acl 3000 //创建编号为3000的ACL。
[R1-acl-adv-3000]rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.1
68.20.0 0.0.0.255 //拒绝源为192.168.10.0/24网段的地址访问目的192.168.20.0/24网段。
[R1-acl-adv-3000]quit
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
[R1-GigabitEthernet0/0/0]quit
[R1]acl 3001
[R1-acl-adv-3001]rule 10 deny ip source 192.168.20.0 0.0.0.255 destination 192.1
68.10.0 0.0.0.255 //拒绝源为192.168.20.0/24网段的地址访问目的192.168.10.0/24网段。
[R1-acl-adv-3001]quit
[R1]interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter inbound acl 3001
测试
以上可以看出PC1和PC2之间相互不能访问。
这就是ACL的拒绝访问的侧漏,两个接口相互都做ACL是为了更好的减少带宽。
实验三:基于时间的ACL
实验目的
掌握基于时间的ACL的配置方法。
实验拓扑
实验步骤
PC1设置
R1设置
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R1
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/0]quit
[R1]interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1]ip address 100.1.1.1 24
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R2
[R2]interface GigabitEthernet 0/0/0
[R2-GigabitEthernet0/0/0]ip address 100.1.1.2 24
[R1-GigabitEthernet0/0/0]quit
[R2]ip route-static 192.168.1.0 24 100.1.1.1 //配置PC1所在网段静态路由。
测试
R1配置基于时间的ACL
[R1]time-range hw 8:00 to 17:00 working-day
//配置时间段名字hw,设定时间为工作日的早上8点到下午5点
[R1]display time-range all //可以查看到时间策略
Current time is 16:46:30 8-30-2024 Friday
Time-range : hw ( Active )
08:00 to 17:00 working-day
[R1]acl 3000
[R1-acl-adv-3000]rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 100.
1.1.0 0.0.0.255 time-range hw
//在ACL3000中调用名字为hw的时间段,改规则表示的意义为匹配源IP地址192.168.1.0/24和目的IP地址100.1.1.0/24在每个工作日早上8点到下午5点的流量,执行动作允许。
[R1-acl-adv-3000]rule 20 deny ip //化为的ACL默认为允许所有,必须要设置这条。
[R1-acl-adv-3000]quit
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
测试
能够正常访问,那是以为现在时间还在工作日允许的范围内。
[R1]display clock //可以看到时间还未到,所以策略是允许访问。
2024-08-30 16:59:01
Friday
Time Zone(China-Standard-Time) : UTC-08:00
[R1]clock datetime 20:00:00 //修改规定时间之外的事件,继续测试发现访问失败。
关注+点赞+评论+收藏,分享更多网工实验小技巧