华为ensp中高级acl (控制列表) 原理和配置命令 （详解）_ensp高级acl配置示例(1)

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

ACL匹配规则

好的，我来介绍一下途中ACL的匹配规则。

1. ACL匹配机制

ACL匹配机制遵循“一旦命中即停止匹配”的原则。也就是说，当一条规则匹配了报文时，后续的规则将不再进行匹配。

2. ACL规则匹配顺序

ACL规则匹配顺序有两种：配置顺序和自动排序。

• 配置顺序：即系统按照ACL规则编号从小到大的顺序进行报文匹配，规则编号越小越容易被匹配。如果配置规则时指定了规则编号，则规则编号越小，规则插入位置越靠前，该规则越先被匹配。如果配置规则时未指定规则编号，则由系统自动为其分配一个编号。

• 自动排序：即系统根据规则的优先级进行匹配，优先级越高越容易被匹配。规则的优先级可以通过以下因素来确定：

  • 规则的类型：permit规则的优先级高于deny规则。
  • 规则的具体条件：越具体的条件优先级越高。例如，指定了源IP地址和目的IP地址的规则优先级高于只指定了源IP地址的规则。

3. ACL匹配流程

根据上述的匹配机制和匹配顺序，ACL的匹配流程如下图所示：

4. ACL匹配结果

ACL匹配结果有两种：允许和拒绝。

• 允许：表示报文可以通过ACL。
• 拒绝：表示报文不能通过ACL。

5. 途中ACL的匹配规则

在途中ACL中，通常会使用配置顺序来进行规则匹配。这是因为在途中ACL中，通常需要根据报文的源IP地址和目的IP地址来进行控制，而这两个条件是比较具体的，因此可以很好地利用配置顺序来进行匹配。

在华为ENSP设备上，您可以配置不同类型的ACL，例如：

• 标准ACL（基本acl）：仅根据源IP地址过滤流量。
• 扩展ACL（高级acl）：根据源IP地址、目的IP地址、协议和端口号过滤流量。

请记住，ACL 规则是按顺序处理的，重要的是要有一个最终规则来拒绝与任何先前规则都不匹配的所有其他流量。另外，请记住，具体命令语法和可用选项可能会因设备型号和软件版本而异。

实验拓扑如下

首先先实现全网互通

实验前配置

AR1的基本配置

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
//基本的IP配置
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 192.168.1.1 255.255.255.0
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 6.6.6.6 255.255.255.0
[Huawei-GigabitEthernet0/0/1]q

//默认路由配置
[Huawei]ip route-static 0.0.0.0 0 6.6.6.7

这个命令是华为设备上的静态路由配置命令，
它的作用是将所有目的地址为0.0.0.0/0（即所有未知目的地）的流量都
指向下一跳地址为6.6.6.7的路由器或者下一跳设备。

AR2的基本配置

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 6.6.6.7 255.255.255.0
[Huawei-GigabitEthernet0/0/0]int g0/0/1
[Huawei-GigabitEthernet0/0/1]ip add 192.168.2.1 255.255.255.0
[Huawei-GigabitEthernet0/0/1]int g0/0/2
[Huawei-GigabitEthernet0/0/2]ip add 192.168.3.1 255.255.255.0
[Huawei-GigabitEthernet0/0/2]q
[Huawei]ip route-static 0.0.0.0 0 6.6.6.6
[Huawei]

[Huawei]ip route-static 0.0.0.0 0 6.6.6.6

这个命令是华为设备上的静态路由配置命令。它的作用是将所有目的地址为0.0.0.0/0（即所有未知目的地址）的流量都指向下一跳地址为6.6.6.6的路由器或者下一跳设备。

具体解释如下：

• ip route-static 是配置静态路由的命令。
• 0.0.0.0 0 表示匹配所有目的地址，子网掩码为0，表示匹配所有地址。
• 6.6.6.6 是下一跳的IP地址，即指定将流量发送到该地址上。

如图所示

全网互通测试

使用PC1来访问PC3和PC4 测试发现均可以ping通

PC2来访问PC3和PC4均可以ping通

ACL策略实施

实验要求：

PC1（192.168.1.2）无法访问 PC3（192.168.2.2）但是可以访问PC4（192.168.3.2）

PC2（192.168.1.3）可以访问 PC3和PC4 192.168.2.2 192.168.3.2

在AR1上做acl策略

[Huawei]acl 3000
[Huawei-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 192.168.2.2

这条规则拒绝了源地址为 ，目标地址为 的所有 ICMP 流量。192.168.1.2``192.168.2.2

设置完成acl之后应用到接口上

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-filter outbound acl 3000

这意味着从接口GigabitEthernet0/0/1发出的所有流量都会被ACL 3000所定义的规则过滤。在你提供的ACL配置中，ACL 3000中有两个规则，分别拒绝了源地址为192.168.1.2的ICMP流量和源地址为192.168.1.2，目标地址为192.168.2.2的ICMP流量。因此，这些流量将被阻止离开该接口。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！