ensp之ACL小实验_ensp acl实验-CSDN博客

本文链接：https://blog.csdn.net/AXDRXS/article/details/131925253

该实验涉及在华为路由器上配置扩展ACL，以实现特定的网络访问控制。首先，搭建拓扑图并分配IP地址，然后设置缺省路由确保全网可达。接着，开启telnet服务并配置用户账户。在R1上创建ACL，禁止PC1pingR1和telnet到R2，允许PC2pingR1但不能telnetR1。同时，PC2可以pingR2但不能telnetR2。最后进行测试以验证配置效果。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

PC1不可pingR1，可pingR2编辑

PC2可pingR1，不可pingR2

PC2可telnetR2，不可telnetR1编辑

一、实验题目

二、分析需求

2.1 确定ACL类型

ACL分为基础ACL、扩展ACL以及二层ACL，由于本题具体到做什么，则使用扩展ACL，范围为3000-3999，由于ACL主打的就是就近原则，所以在R1的G0/0/1接口上调用，那么只需要写一张表即可。

2.2 撰写逻辑思路

先写拒绝要求，再写允许，华为默认允许所有，不用写。按照题目要求：

PC1可以登录R1，不可以ping 192.168.1.2 icmp192.168.1.1和2.1

PC2可以登录R2，不可以ping 192.168.1.3 icmp192.168.2.2

PC1不可以登录R2，可以ping TCP 192.168.1.1 0 192.168.2.2 eq 23

PC2不可以登录R1，可以ping TCP 192.168.1.3 0 192.168.1.1 eq 23

三、实验步骤

3.1 搭建拓扑图，规划合法IP

[r1]int g0/0/1
[r1-GigabitEthernet0/0/1]ip address 192.168.1.1 24
[r1-GigabitEthernet0/0/1]int g0/0/0
[r1-GigabitEthernet0/0/0]ip add 192.168.2.1 24

[r2]int g0/0/0
[r2-GigabitEthernet0/0/0]ip add 192.168.2.2 24

[PC1]int g0/0/0
[PC1-GigabitEthernet0/0/0]ip add	
[PC1-GigabitEthernet0/0/0]ip address 192.168.1.2 24

[PC2]int g0/0/0
[PC2-GigabitEthernet0/0/0]ip address 192.168.1.3 24

3.2 写缺省路由，实现全网可达

[PC1]ip route-static 0.0.0.0 0 192.168.1.1
[PC2]ip route-static 0.0.0.0 0 192.168.1.1
[r2]ip route-static 192.168.1.0 24 192.168.2.1

3.3 开启telnet服务

(r1r2相同命令)
添加账号
[r1-aaa]local-user wl password cipher 123456
Info: Add a new user.
确定服务类型
[r1-aaa]local-user wl service-type telnet
制定权限
[r1-aaa]local-user wl privilege level 15
[r1-aaa]q
制定最大登录数量
[r1]user-interface vty 0 4
确定用aaa方式
[r1-ui-vty0-4]authentication-mode aaa
[r1-ui-vty0-4]q

3.4 编写ACL表实现需求

[r1]acl 3000
pc1不可以ping通r1
[r1-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 192.168.1.1 0
[r1-acl-adv-3000]rule deny icmp source 192.168.1.2 0 destination 192.168.2.1 0
pc1不可以telnet r2
[r1-acl-adv-3000]rule deny tcp source 192.168.1.2 0 destination 192.168.2.2 0 destination-port eq 23
pc2不可以telnet r1
[r1-acl-adv-3000]rule deny tcp source 192.168.1.3 0 destination 192.168.1.1 0 destination-port eq 23
pc2不可以ping通r2
[r1-acl-adv-3000]rule deny icmp source 192.168.1.3 0 destination 192.168.2.2 0
进入r1下面接口，用traffic-filiter inbound acl 3000
命令打开服务